Wat is ISAE 3402?
ISAE 3402 is een internationale standaard voor assurance-rapporten over de interne beheersing bij een dienstverlener. Een onafhankelijke auditor onderzoekt of jouw processen en beheersmaatregelen goed zijn ingericht en, bij type 2, of ze een periode lang werkten. Het rapport is bedoeld voor je klanten en hun accountants, als het werk dat je voor ze doet hun jaarrekening raakt. De standaard komt van de IAASB , de internationale standaardzetter voor accountants.
ISAE 3402 is geen certificaat. Je krijgt een rapport met een oordeel van een accountant of IT-auditor. De Nederlandse beroepsorganisatie van IT-auditors NOREA waarschuwt zelfs uitdrukkelijk dat je het niet als keurmerk of certificaat mag presenteren. Is jouw dienst vooral IT-beveiliging zonder financiële impact, kijk dan naar SOC 2 of ISO 27001.
Kort gezegd: verwerk je salarissen, administraties, pensioenen of transacties voor andere bedrijven? Dan wil de accountant van je klant weten of jouw processen deugen. Een ISAE 3402-rapport geeft dat antwoord één keer voor al je klanten, zodat niet elke accountant zelf bij jou langs hoeft.
ISAE 3402 in het kort
| Volledige naam | International Standard on Assurance Engagements 3402, Assurance Reports on Controls at a Service Organization |
| Uitgegeven door | IAASB, onderdeel van IFAC (december 2009) |
| Wat is het? | Assurance-rapport over beheersmaatregelen bij een serviceorganisatie |
| Onderwerp | Processen die de financiële verslaggeving van je klanten raken |
| Soorten | Type 1 en type 2 |
| Wie geeft het af? | Een accountant (NBA Standaard 3402) of een register-IT-auditor, RE (NOREA Richtlijn 3402) |
| Wie mag het lezen? | Je klanten en hun accountants |
| Certificaat? | Nee, een rapport met een oordeel |
| Amerikaanse tegenhanger | SOC 1 |
Waarom vragen klanten om ISAE 3402?
De accountant van je klant controleert de jaarrekening. Als een deel van de administratie bij jou ligt, moet hij ook iets weten over jouw processen. Dat staat in de controlestandaard voor uitbesteding (ISA 402). Een ISAE 3402-rapport is precies het bewijs dat die accountant kan gebruiken.
Een voorbeeld: een salarisverwerker draait de loonadministratie voor 300 klanten. Zonder rapport zouden 300 accountants vragen komen stellen of zelf testen. Met één ISAE 3402 type 2-rapport per jaar is dat geregeld. Welke organisaties dat herkennen, lees je op voor wie is ISAE 3402.
Alles over ISAE 3402 op een rij
Hieronder vind je de pagina’s per vraag. Begin bij het stappenplan als je een rapport moet regelen. Begin bij de vergelijkingen als je twijfelt welk rapport of certificaat je nodig hebt. Welke onderdelen een rapport moet bevatten, lees je op ISAE 3402 eisen.
Salarisverwerkers, IT-dienstverleners, pensioenuitvoerders en administratiekantoren.
Voor wie is ISAE 3402?Van scope tot rapport, met een voorbeeld van een control matrix.
ISAE 3402 stappenplanWaar de kosten zitten en hoe lang een eerste traject duurt.
Kosten en doorlooptijdMomentopname of bewijs over een periode: wat je klant verwacht.
Type 1 vs. type 2Twee assurance-standaarden, en wanneer je welke gebruikt.
ISAE 3000 vs. ISAE 3402Rapport of certificaat, en wanneer je beide nodig hebt.
ISAE 3402 of ISO 27001?Welke onderdelen het rapport moet bevatten, met een voorbeeld per onderdeel.
ISAE 3402 eisenWat de auditor controleert, met een checklist voor de voorbereiding.
ISAE 3402 auditTemplate en voorbeeld van de beschrijving van je systeem.
SysteembeschrijvingWat een afwijking in het testdeel betekent en hoe je erop reageert.
Afwijking in type 2Carve-out of inclusive: welke methode bij welke leverancier past.
SubserviceorganisatiesWelke handelingen de klant zelf moet doen om jouw rapport te laten werken.
CUEC: maatregelen van je klantWelke processen het fonds nodig heeft en wat de accountant wil zien.
Voor pensioenuitvoerdersISAE 3402 en SOC 2
ISAE 3402 en SOC 2 worden vaak door elkaar gehaald. ISAE 3402 gaat over processen die de cijfers van je klant raken. SOC 2 gaat over beveiliging, beschikbaarheid en privacy. Het verschil staat uitgewerkt op ISAE 3402 vs SOC 2.
Bronnen
- IAASB: aankondiging en samenvatting van ISAE 3402
- IFAC: staff overview ISAE 3402 (pdf)
- NOREA: reglementen en richtlijnen, waaronder Richtlijn 3402
- NBA: Handleiding Regelgeving Accountancy