ISAE 3402 eisen: wat moet er in het rapport staan?
Een ISAE 3402-rapport bestaat uit vier dingen: het oordeel van de auditor, een bewering van je directie, een beschrijving van je systeem met de beheersingsdoelstellingen en maatregelen, en (bij type 2) de testen die de auditor deed met de resultaten. Dat volgt uit de internationale standaard van de IAASB , de internationale standaardsetter voor assurance. In Nederland werkt de auditor met Standaard 3402 van de NBA (accountants) of Richtlijn 3402 van NOREA (IT-auditors). Wat je zelf moet regelen om die onderdelen te kunnen vullen, lees je in het stappenplan.
ISAE 3402 kent geen lijst van eisen waar je “aan voldoet” zoals een norm. Het rapport moet wel de juiste onderdelen bevatten, en de auditor bepaalt of jouw beschrijving en maatregelen geloofwaardig zijn. Een rapport zonder afwijkingen is dus niet hetzelfde als een rapport dat je “gehaald” hebt.
De onderdelen van een ISAE 3402-rapport
De tabel zet de onderdelen op een rij. Let op de kolom “wie schrijft het”: een deel van het rapport is van jou, een deel van de auditor. De opbouw komt overeen met de tabel op type 1 vs type 2.
| Onderdeel | Wat erin staat | Wie schrijft het | Waar je klant op let |
|---|---|---|---|
| 1. Oordeel van de auditor | Conclusie over de beschrijving, de opzet (type 1) en de werking over een periode (type 2) | Auditor | Is het oordeel zonder beperking? |
| 2. Bewering van het management | Verklaring van de directie dat de beschrijving juist is en de maatregelen goed zijn opgezet (en bij type 2 werkten) | Directie | Heeft de directie het ondertekend? |
| 3. Beschrijving van het systeem | Diensten, processen, infrastructuur, personeel, data, plus de beheersingsdoelstellingen en maatregelen | Jij | Klopt het met wat de klant daadwerkelijk gebruikt? |
| 4. Testen en resultaten (type 2) | Wat de auditor deed en wat hij constateerde | Auditor | Zijn er afwijkingen? |
| 5. Overige informatie (optioneel) | Bijvoorbeeld je reactie op een afwijking | Jij | Is het opgelost en wanneer? |
Eis 1: het oordeel van de auditor
Het oordeel is de pagina die de meeste lezers als eerste openen, en de laatste die ze lezen. Bij type 1 gaat het over twee vragen: is de beschrijving een juiste weergave van je systeem, en zijn de maatregelen opgezet om de doelstellingen te halen? Bij type 2 komt de derde vraag erbij: werkten de maatregelen over de hele periode? Het verschil tussen de twee types staat uitgewerkt op type 1 vs type 2.
Voor jou betekent dit: de auditor oordeelt over wat jij hebt beschreven. Een vage beschrijving kan leiden tot een oordeel met beperking, ook als je processen goed zijn.
Eis 2: een bewering van het management
De directie verklaart schriftelijk dat de beschrijving een juiste weergave is en dat de maatregelen goed zijn opgezet. Bij type 2 verklaart ze ook dat de maatregelen over de periode werkten. De auditor geeft zijn oordeel over diezelfde punten. Zo ligt de verantwoordelijkheid voor de inhoud bij jou, en de beoordeling bij de auditor. De standaard eist dit onderdeel: een serviceorganisatie die geen schriftelijke bewering wil geven, kan geen ISAE 3402-rapport krijgen. Je hoeft er geen aparte controle voor uit te voeren; de bewering mag steunen op toezicht dat al in je werk zit, zoals periodieke controles van leidinggevenden en interne audits.
Concreet: de directeur van een salarisverwerker ondertekent een pagina waarin staat dat de beschrijving klopt met hoe het werk in het jaar is uitgevoerd. Die pagina staat voor het testdeel in het rapport.
Eis 3: een beschrijving die klopt met de praktijk
De beschrijving van het systeem is het deel van het rapport waar je het meeste zelf schrijft. Hij moet concreet genoeg zijn dat een accountant van je klant begrijpt welke gegevens bij jou terechtkomen en wat je ermee doet. Wat er in een goede beschrijving moet, en een werkbare template, staat op ISAE 3402 systeembeschrijving.
Een beschrijving die er mooi uitziet maar niet klopt, is een van de grootste risico’s. De auditor vergelijkt de tekst met wat hij in de praktijk ziet.
Eis 4: beheersingsdoelstellingen en maatregelen
Een beheersingsdoelstelling beschrijft wat je wilt garanderen. Een beheersmaatregel beschrijft hoe je dat doet. Het rapport moet beide koppelen, zodat de lezer ziet waarom een maatregel bestaat.
Een voorbeeld bij een salarisverwerker, fictief maar realistisch van opzet:
| Doelstelling | Maatregel | Bewijs dat de auditor zoekt |
|---|---|---|
| Mutaties in salarisgegevens zijn geautoriseerd | Een tweede medewerker keurt mutaties boven de € 500 goed voordat ze worden verwerkt | Goedkeuring in de workflowtool, met naam en datum |
| Alleen bevoegden hebben toegang tot het salarispakket | De teamleider beoordeelt de gebruikerslijst elk kwartaal en past rechten aan | Ondertekende beoordeling met wijzigingen |
| Wijzigingen in het pakket zijn getest voor productie | Wijzigingen gaan eerst naar een testomgeving | Change-ticket met testresultaat en goedkeuring |
Let op de kolom bewijs. Een maatregel zonder bewijs is in een type 2-rapport bijna niet te toetsen. Dat is ook waarom de kosten en doorlooptijd van een eerste traject vaak meer in het bouwen van bewijs zitten dan in de audit zelf.
Eis 5: testen en resultaten
Het rapport beschrijft welke testen de auditor deed. Bij type 1 gaat het vooral om opzet: loopt hij het proces door en leest hij de documenten? Bij type 2 komen daar steekproeven over de periode bij. Het aantal en de spreiding van die steekproeven bepaalt de auditor, niet jij. Je kunt wel zorgen dat het bewijs compleet en vindbaar is.
Het rapport moet ook de resultaten laten zien. Een test zonder bevinding is een “geen afwijking”. Een bevinding die de maatregel niet haalt, is een afwijking. Hoe je die leest en wat je ermee doet, staat op afwijking in een type 2-rapport.
Eis 6: wat het rapport niet is
Het rapport is geen certificaat en geen keurmerk. Het beschrijft een situatie op een datum of over een periode, en het is bedoeld voor je klanten en hun accountants. Dat heeft twee praktische gevolgen:
- Je mag het rapport niet presenteren als “ISAE 3402-gecertificeerd”. NOREA noemt dat in een audit alert een verkeerde voorstelling van zaken. Je mag wel melden dat een rapport beschikbaar is voor klanten en hun accountants.
- Een klant kan vragen om een extra toelichting, maar hij kan niet vragen om een ander oordeel. Dat bepaalt de auditor.
Veelgemaakte fouten bij de eisen
- De beschrijving is een brochure. Marketingteksten over je dienst horen niet in de beschrijving. De auditor wil de werkelijke processen zien.
- Maatregelen zonder eigenaar. Als niet duidelijk is wie een maatregel uitvoert, is er niets om te testen.
- Doelstellingen die niets over het risico van de klant zeggen. “Wij houden het systeem up-to-date” is geen doelstelling die een accountant helpt.
- Afwijkingen verbergen in de beschrijving. Een afwijking hoort in het testdeel. Een beschrijving die doet alsof de maatregel altijd werkte, wordt bij het lezen van het testdeel snel ontmaskerd.
- Alleen de dienst van vandaag beschrijven. Als je in de periode iets hebt veranderd, moet dat in het rapport terugkomen.
Veelgestelde vragen over de eisen van ISAE 3402
Mag ik de beheersingsdoelstellingen zelf kiezen?
Ja, binnen de scope die je met de auditor afspreekt. De auditor toetst of de doelstellingen relevant zijn voor de financiële verslaggeving van je klanten. Een doelstelling die je weglaat omdat ze lastig is, valt snel op als het risico er wel is.
Mijn klant wil dat een specifieke eis in het rapport staat. Kan dat?
Een ISAE 3402-rapport beantwoordt niet elke klant-specifieke checklist. Wel kun je in overleg met je auditor bepalen of een onderwerp in de scope past. Vraag dat vooraf, niet na het concept.
Welke eisen gelden voor de auditor zelf?
Hij moet onafhankelijk zijn en de juiste registratie hebben: een registeraccountant (RA) die Standaard 3402 van de NBA toepast, of een register-IT-auditor (RE) die de NOREA-richtlijn toepast. Het onderscheid tussen die twee en wie je kunt kiezen, lees je op voor wie is ISAE 3402.
Moet ik de standaard zelf in huis hebben?
Nodig is dat niet. Je auditor werkt met de standaard en legt uit wat hij van je nodig heeft. Wil je zelf meelezen, dan staat Richtlijn 3402 op de site van NOREA.