ISAE 3402 audit: wat de auditor controleert
Een ISAE 3402-audit is een assurance-opdracht waarin een accountant of register-IT-auditor (RE) onderzoekt of jouw beschrijving, je beheersmaatregelen en, bij type 2, de werking daarvan kloppen. De auditor werkt volgens Richtlijn 3402 van NOREA of Standaard 3402 van de NBA, en de uitkomst is een rapport dat je klanten en hun accountants gebruiken. Wat het traject in totaal inhoudt, staat op het stappenplan. Wat er in dat rapport hoort te staan, lees je bij de eisen aan het rapport. Deze pagina gaat over de audit zelf: wat de auditor doet, wat hij van jou nodig heeft en hoe je voorkomt dat hij twijfels krijgt.
De auditor controleert niet of je bedrijf goed draait. Hij controleert of de maatregelen die jij beschrijft bestaan, kloppen met de werkelijkheid en, bij type 2, over de periode gewerkt hebben. Een goed bedrijf met een slechte beschrijving krijgt een slecht rapport.
Drie dingen die de auditor beoordeelt
Elke ISAE 3402-audit gaat over drie vragen. Ze volgen de opbouw van het type 1 en type 2 onderscheid.
| Vraag van de auditor | Type 1 | Type 2 |
|---|---|---|
| Is de beschrijving van het systeem een juiste weergave? | Ja, op de datum | Ja, over de hele periode |
| Zijn de maatregelen opgezet om de doelstellingen te halen? | Ja | Ja |
| Hebben de maatregelen over de periode daadwerkelijk gewerkt? | Niet getoetst | Ja, met steekproeven |
Wat de auditor opvraagt, en waarom
De auditor vraagt in de voorbereiding vaak meer dan je verwacht. Hieronder de documenten die in de meeste trajecten terugkomen, met de reden erachter.
| Document | Wat de auditor ermee doet | Veelgemaakte fout |
|---|---|---|
| Organigram en rolbeschrijvingen | Controleert wie welke maatregel uitvoert | Rollen staan in het organigram, maar niet in de beschrijving |
| Procesbeschrijvingen | Loopt het proces door (walkthrough) om de beschrijving te toetsen | Het proces op papier wijkt af van de praktijk |
| Beheersmaatregelen per doelstelling | Kiest welke maatregelen hij gaat testen | Maatregelen zonder duidelijke eigenaar |
| Bewijs van uitvoering (logs, tickets, handtekeningen) | Toetst of de maatregel daadwerkelijk werkte | Bewijs is er wel, maar niet vindbaar of niet gedateerd |
| Lijst van wijzigingen in de periode | Bepaalt wat extra getest moet worden | Wijzigingen zijn niet vastgelegd |
| Overzicht van subserviceorganisaties | Bepaalt de scope en de methode | Leverancier die ontbreekt in de beschrijving |
Checklist: voordat de auditor komt
Gebruik deze lijst als je het traject voorbereidt. Elk punt moet met een document of een systeem te onderbouwen zijn.
- Is de scope vastgelegd en met de auditor besproken?
- Is de bewering van het management opgesteld, en weet de directie dat zij die ondertekent?
- Staat in de systeembeschrijving elke dienst die in het rapport komt, met de juiste naam?
- Heeft elke beheersingsdoelstelling minstens één maatregel en één eigenaar?
- Is per maatregel vastgelegd welk bewijs je bewaart, waar en hoe lang?
- Zijn alle wijzigingen aan systemen en processen in de periode gelogd?
- Zijn de subserviceorganisaties benoemd, en heb je hun eigen rapporten of verklaringen?
- Staat in de beschrijving welke maatregelen de klant zelf moet nemen (zie CUEC)?
- Heb je een eerste gesprek gehad over wat de auditor per onderdeel gaat testen?
Hoe de audit verloopt
Planning en kickoff
De auditor en jij spreken scope, periode, planning en contactpersonen af. Hier leg je ook vast welke systemen en locaties meedoen.
Walkthrough
De auditor loopt een of meer processen door met de betrokkenen. Hij wil zien dat de beschrijving op papier overeenkomt met wat mensen daadwerkelijk doen.
Testen
Bij type 1 gaat dit vooral over opzet en bestaan van de maatregelen. Bij type 2 kiest de auditor steekproeven uit de hele periode en controleert het bewijs per steekproef. Dit is het deel dat het meeste tijd kost.
Bespreking van bevindingen
Gevonden afwijkingen bespreek je met de auditor voordat het concept klaar is. Jij mag reageren met wat je hebt gedaan. Die reactie kan in het rapport terugkomen.
Concept en definitief rapport
Je ontvangt een concept om op feitelijke juistheid te controleren. De directie ondertekent de bewering over de beschrijving en geeft de auditor schriftelijke bevestigingen. Daarna volgt het definitieve rapport met het oordeel.
Veelgemaakte fouten tijdens de audit
- Te laat beginnen met bewijs verzamelen. Bij type 2 moet je bewijs over de hele periode hebben, niet alleen aan het eind.
- Maatregelen die alleen op papier bestaan. Als de auditor bij de walkthrough ziet dat niemand het doet, komt er een afwijking of een twijfel over je opzet.
- Afspraken die mondeling zijn gemaakt. Wat niet vastligt in een document, telt voor de auditor niet mee.
- Een subservice-leverancier die je vergeet. Dat levert vaak een herwerking op, zeker als een klant er later naar vraagt. Zie subserviceorganisaties.
- Te lang wachten met het reageren op een bevinding. Een bevinding die je pas na het concept oppakt, geeft je geen tijd meer om een onderbouwde reactie te schrijven.
Veelgestelde vragen over de ISAE 3402 audit
Mag de auditor mijn eigen adviseur zijn?
Dat hangt af van de onafhankelijkheidsregels. Een adviseur die je systemen heeft ingericht, is in veel gevallen niet onafhankelijk voor de audit van diezelfde systemen. Vraag dit vooraf na, en leg de verdeling van rollen vast.
Hoe lang duurt de audit zelf?
De doorlooptijd van het traject staat op kosten en doorlooptijd. De audit zelf is vaak een deel daarvan. Het grootste deel zit in het voorbereiden van het bewijs en het oplossen van bevindingen.
Kan ik de auditor kiezen zonder inschrijving bij NOREA of de NBA?
Nee. In Nederland geven een registeraccountant (RA) of een register-IT-auditor (RE) dit rapport af. Controleer de registratie van de auditor voordat je een opdracht tekent. Meer over wie het mag afgeven, staat op voor wie is ISAE 3402.
Meer informatie
Lees ook het type 1 vs type 2 overzicht, de systeembeschrijving en de pagina over afwijkingen. Het volledige overzicht van de sectie staat op de startpagina van ISAE 3402.