ISAE 3402 is een internationale assurance-standaard speciaal voor serviceorganisaties. Het rapport geeft je klanten, en de accountants van die klanten, onafhankelijke zekerheid over de interne beheersing rond de diensten die je voor hen uitvoert. Het draait vooral om beheersing die van invloed is op de financiële verslaggeving van die klanten.
Voor wie is ISAE 3402 bedoeld?
Voor organisaties die processen of systemen van andere partijen uitvoeren, denk aan een salarisverwerker, een SaaS-leverancier, een datacenter of een administratiekantoor. De klant besteedt een deel van zijn proces aan jou uit, maar blijft zelf verantwoordelijk richting zijn eigen accountant. Een ISAE 3402-rapport geeft die accountant de zekerheid dat de beheersing bij jou op orde is.
Type 1 en Type 2
- Type 1 beschrijft de beheersmaatregelen en beoordeelt of ze op een peildatum passend zijn opgezet.
- Type 2 toetst daarnaast of ze over een periode ook daadwerkelijk hebben gewerkt. Klanten en accountants vragen bijna altijd om Type 2, omdat dat de meeste zekerheid geeft.
Wat staat er in het rapport?
Een ISAE 3402-rapport bevat doorgaans:
- een beschrijving van het systeem en de dienstverlening;
- de beheersdoelstellingen en de bijbehorende beheersmaatregelen;
- de uitgevoerde toetsing en de resultaten daarvan;
- het onafhankelijke oordeel van de auditor.
Complementaire maatregelen en uitbesteding
Een ISAE 3402-rapport gaat er vaak van uit dat je klant zelf ook bepaalde maatregelen treft. Deze complementaire maatregelen (in het Engels complementary user entity controls) staan in het rapport benoemd: alleen samen met die maatregelen aan de kant van de klant is de beheersing compleet. Het is dus goed om te weten wat er van je klanten wordt verwacht.
Besteed je zelf een deel van je dienst uit aan een andere partij, bijvoorbeeld een hostingprovider of rekencentrum, dan is dat een subservice-organisatie. In het rapport geef je aan of je die meeneemt (de inclusive-methode) of juist buiten beschouwing laat (de carve-out-methode). Zo is voor de lezer helder wat wel en niet binnen de toetsing valt.
Wanneer heb je ISAE 3402 nodig?
Zodra klanten je gaan vragen om “een assurance-rapport” of een “third party-verklaring” voor de processen die je voor hen draait, meestal omdat hún accountant daarom vraagt. Eén rapport bedient dan al je klanten, in plaats van dat iedereen apart een audit bij je uitvoert.
ISAE 3402 of SOC 2?
Beide geven assurance over beheersing bij een serviceorganisatie, maar met een ander accent en publiek. In dit artikel vergelijken we ze, zodat je de juiste keuze maakt. Kort gezegd: ISAE 3402 richt zich op beheersing die relevant is voor de financiële verslaggeving van klanten, terwijl SOC 2 breder kijkt naar beveiliging en aanverwante criteria.
Twijfel je welk rapport bij jouw klantvraag past? Plan een kennismaking, dan kijken we er samen naar.