CUEC in ISAE 3402: aanvullende beheersmaatregelen van je klant

CUEC staat voor complementary user entity controls: beheersmaatregelen die jij als dienstverlener ervan uitgaat dat je klant zelf uitvoert. Jouw maatregelen werken alleen als de klant zijn deel ook doet. In Richtlijn 3402 van NOREA en de internationale standaard zijn het maatregelen die de dienstverlener bij het ontwerp van zijn dienst veronderstelt bij de klant. Zijn ze nodig om een beheersingsdoelstelling te halen, dan benoem je ze in de beschrijving. Waar je ze in het rapport beschrijft, staat op de systeembeschrijving. Hoe ze in het traject terugkomen, lees je op het stappenplan.

Een CUEC die niet in het rapport staat, is voor de klant onzichtbaar. Hij gaat er dan van uit dat jouw dienst het volledige risico dekt, terwijl een deel van de verantwoordelijkheid bij hem ligt.

Waarom CUEC bestaan

Neem een salarisverwerker. De verwerker berekent de salarissen, maar de klant levert de gegevens aan: wie er in dienst is, welke uren zijn gewerkt en welke mutaties gelden. Als de klant verkeerde gegevens aanlevert, is de berekening van de verwerker juist maar het resultaat niet. Een controle bij de verwerker die alleen de berekening toetst, dekt dat niet af. De klant moet zelf controleren wat hij aanlevert.

Die controle hoort in het rapport. Zo weet de accountant van de klant welke maatregel bij de klant zelf ligt, en kan hij die in zijn eigen controle meenemen.

Voorbeeld: CUEC bij een salarisverwerker

Maatregel bij de dienstverlener	CUEC bij de klant	Wat de klant overlegt
Mutaties worden verwerkt zoals aangeleverd	De klant controleert de mutatielijst vóór aanlevering	Een getekende mutatielijst per salarisrun
Alleen geautoriseerde gebruikers hebben toegang tot het klantportaal	De klant beheert zijn eigen portaalgebruikers en verwijdert vertrekkers	Een kwartaaloverzicht van portaalgebruikers
Wijzigingen in contracten worden juist verwerkt	De klant meldt contractwijzigingen tijdig en volledig	Een e-mail of formulier met de wijziging en datum

Let op de middelste kolom. Elke CUEC is een concrete handeling die de klant kan uitvoeren en kan bewijzen. “De klant is verantwoordelijk voor de juistheid van de gegevens” is geen CUEC, want niemand weet wat de klant daarvoor moet doen.

Hoe je CUEC in het rapport beschrijft

Gebruik per CUEC vier elementen. Dat maakt de lijst bruikbaar voor de klant en de auditor.

De handeling. Wat moet de klant doen? Eén zin, in de actieve vorm.
De reden. Welke maatregel van jou heeft deze handeling nodig?
De frequentie. Hoe vaak moet de klant het doen?
Het bewijs. Wat moet de klant bewaren om aan te tonen dat hij het heeft gedaan?

Een lijst met vier kolommen in de systeembeschrijving is in de praktijk het meest werkbaar. De auditor toetst de CUEC niet. In zijn rapport staat dat hij ze niet heeft beoordeeld en dat de doelstellingen alleen gehaald worden als de klant ze goed uitvoert. Daarom moet jij ze helder beschrijven.

Veelgemaakte fouten

CUEC verstopt in een voetnoot. Een belangrijke afspraak in een kleine tekst wordt door lezers gemist.
CUEC die niet bij de juiste maatregel hoort. Als de koppeling ontbreekt, weet de lezer niet waarom de klant iets moet doen.
Vage handelingen. “De klant zorgt voor een veilige omgeving” zegt niets. Schrijf wat hij precies doet.
Geen gesprek met de klant. Als de klant niet weet dat hij een CUEC heeft, voert hij hem niet uit. Bespreek de lijst met je klanten voordat het rapport klaar is.
CUEC die na de periode verandert. Als je in het jaar je proces wijzigt, moet ook de CUEC-lijst mee veranderen.

Voorbeeld van een CUEC-tekst in de beschrijving

Zo kan een CUEC-blok in de systeembeschrijving eruitzien. De tekst is fictief en gaat over een salarisverwerker. Let op de vaste opbouw: handeling, reden, frequentie en bewijs.


CUEC 1: Controle van de mutatielijst vóór aanlevering
Handeling: de klant controleert de mutatielijst op volledigheid
en juistheid voordat hij die aanlevert via het klantportaal.
Reden: mutaties worden verwerkt zoals aangeleverd; de verwerker
controleert alleen op formaat en autorisatie.
Frequentie: per salarisperiode.
Bewijs: getekende mutatielijst, bewaard door de klant.

CUEC 2: Beheer van portaalgebruikers
Handeling: de klant houdt bij wie in het portaal mag inloggen en
verwijdert vertrekkers binnen de afgesproken termijn.
Reden: alleen gemachtigde gebruikers mogen opdrachten geven.
Frequentie: per kwartaal en bij elke wijziging in personeel.
Bewijs: kwartaaloverzicht van portaalgebruikers.

Een blok als dit is voor de klant en zijn accountant direct bruikbaar. Hij ziet welke handeling bij hem ligt, en kan die in zijn eigen controle opnemen.

Hoe je de CUEC-lijst met je klant doorloopt

Een CUEC-lijst die alleen in het rapport staat, wordt zelden uitgevoerd. Doorloop de lijst daarom met elke klant voordat het rapport klaar is:

Stuur de lijst vóór het concept. Een klant die de lijst pas na het rapport ziet, kan er niet meer op reageren.
Vraag of de handeling in de praktijk past. Een controle die de klant niet kan uitvoeren, moet je herontwerpen of zwaarder maken.
Leg de afspraak vast. Een e-mail of een formulier met de datum waarop de klant de lijst heeft ontvangen, is het bewijs dat je zelf nodig hebt.
Herhaal het elk jaar. Veranderde klanten, veranderde systemen of nieuwe medewerkers veranderen de CUEC mee.

Veelgestelde vragen over CUEC

Is een CUEC een tekortkoming van mijn dienst?

Nee. Het is een gedeelde verantwoordelijkheid. Het gaat erom dat je de grens duidelijk maakt. Veel diensten hebben CUEC, omdat de dienst afhangt van gegevens of instructies van de klant.

Moet de auditor de CUEC testen?

Nee. De CUEC zijn de handelingen van de klant, en het rapport kan niet bewijzen dat de klant ze uitvoert. De auditor vermeldt in zijn rapport dat hij ze niet heeft beoordeeld. De beschrijving moet wel duidelijk maken welke CUEC gelden, zodat de accountant van de klant dat kan nagaan.

Mijn klant heeft een eigen accountant. Wat moet die met de CUEC?

Die gebruikt de lijst om zijn eigen controle af te stemmen. Hij kan nagaan of de klant zijn CUEC heeft uitgevoerd, en daarmee het gat in het rapport van de dienstverlener dichten.

Waar eindigt mijn verantwoordelijkheid en begint die van de klant?

Dat staat in de scope en de beschrijving. Maak het zo concreet mogelijk: wat jij doet, wat de klant doet, en waar de grens ligt. Een onduidelijke grens is de bron van de meeste discussies na een audit.

Meer informatie

De CUEC hangen samen met de subserviceorganisaties: ook bij leveranciers ligt een deel van de verantwoordelijkheid vaak niet bij jou. Lees ook de audit-checklist, waarin de CUEC-lijst als controlepunt terugkomt, en de eisen aan het rapport voor de plek van de lijst in het geheel.