ISAE 3000 vs ISAE 3402
ISAE 3000 en ISAE 3402 zijn allebei standaarden voor assurance-rapporten, maar met een ander onderwerp. ISAE 3402 is specifiek voor rapporten over beheersmaatregelen bij een dienstverlener die de financiële verslaggeving van zijn klanten raken. ISAE 3000 is de algemene standaard voor alle overige assurance, bijvoorbeeld over informatiebeveiliging, privacy of beschikbaarheid.
Beide komen van de IAASB. De herziene ISAE 3000 geldt voor rapporten vanaf 15 december 2015. ISAE 3402 is sinds 2011 van kracht. Een SOC 2-rapport wordt in Nederland meestal onder ISAE 3000 uitgevoerd.
Kort antwoord: raakt je dienst de cijfers van je klant, dan is het ISAE 3402. Gaat het om iets anders, zoals beveiliging of privacy, dan is het ISAE 3000. Een rapport onder ISAE 3402 mag niet zomaar over beveiliging gaan.
ISAE 3000 en ISAE 3402 naast elkaar
| ISAE 3402 | ISAE 3000 | |
|---|---|---|
| Volledige naam | Assurance Reports on Controls at a Service Organization | Assurance Engagements Other than Audits or Reviews of Historical Financial Information |
| Soort standaard | Specifiek | Algemeen, de paraplu voor overige assurance |
| Onderwerp | Processen die de financiële verslaggeving van klanten raken | Elk ander onderwerp: beveiliging, privacy, beschikbaarheid, wetgeving, duurzaamheid |
| Lezer | Klanten en hun accountants | Afhankelijk van de opdracht, vaak klanten, inkoop en toezichthouders |
| Normenkader | Je eigen beheersingsdoelstellingen | Wisselt: Trust Services Criteria, BIO, DigiD-normenkader, eigen normen |
| Bekendste toepassing | Rapport voor salarisverwerkers en administrateurs | SOC 2, DigiD-audits, privacy-assurance |
| Nederlandse uitwerking | NBA Standaard 3402, NOREA Richtlijn 3402 | NBA Standaard 3000A en 3000D, NOREA Richtlijn 3000 |
| Amerikaanse tegenhanger | SOC 1 | SOC 2 (via de AICPA) |
Waar gaat ISAE 3402 over?
ISAE 3402 heeft een smal en duidelijk onderwerp. De standaard is volgens de IAASB-samenvatting bedoeld voor diensten die relevant zijn voor de interne beheersing van klanten, voor zover die de financiële verslaggeving raakt. Rapporten over bijvoorbeeld productie of kwaliteitscontrole bij klanten vallen er uitdrukkelijk buiten.
Een voorbeeld: een administratiekantoor verwerkt de inkoopfacturen van 80 mkb-klanten. Fouten in die verwerking komen rechtstreeks in de jaarrekening terecht. Dat is een typisch ISAE 3402-onderwerp.
Waar gaat ISAE 3000 over?
ISAE 3000 is breed. De standaard regelt hoe een auditor zekerheid geeft over elk onderwerp dat geen historische financiële informatie is. Het normenkader kies je per opdracht.
Een voorbeeld: een hostingbedrijf wil zijn klanten laten zien dat de servers goed beveiligd zijn en beschikbaar blijven. Dat raakt de jaarrekening van die klanten niet. Het rapport wordt dan een ISAE 3000-rapport, vaak in de vorm van een SOC 2. Ook de DigiD-audit die gemeenten elk jaar laten doen, loopt via de 3000-standaard. Dat lees je op ENSIA en ISO 27001 voor gemeenten.
Wat is het verschil tussen 3000A en 3000D?
In Nederland heeft de NBA de ISAE 3000 in twee varianten uitgewerkt. Het verschil zit in wie de bewering doet.
| Variant | Hoe het werkt | Voorbeeld van de uitkomst |
|---|---|---|
| 3000A (attest) | Het management doet een bewering, de auditor toetst die | ”De bewering van de directie dat de maatregelen werken, is juist” |
| 3000D (direct) | De auditor meet zelf aan de normen, zonder bewering van het management | ”De maatregelen voldoen in alle van materieel belang zijnde opzichten aan het normenkader” |
ISAE 3402 werkt altijd met een bewering van het management, net als 3000A. Bij ENSIA zijn gemeenten overgestapt op 3000D voor DigiD en Suwinet.
Kun je ISAE 3402 en ISAE 3000 combineren?
Ja, en veel dienstverleners doen dat. Een salarisverwerker met een eigen online portaal heeft twee soorten klantvragen. De accountant wil weten of de verloning klopt (ISAE 3402). De IT-afdeling van de klant wil weten of het portaal veilig is (ISAE 3000 of SOC 2).
Je kunt dan twee rapporten laten maken in één traject. De algemene IT-beheersmaatregelen, zoals toegangsbeheer, wijzigingsbeheer en back-ups, test de auditor één keer en gebruikt hij in beide rapporten.
Beveiliging en beschikbaarheid passen niet in een ISAE 3402-rapport als ze geen relatie hebben met de financiële verslaggeving. NOREA waarschuwt dat zulke rapporten dan buiten de grenzen van 3402 gaan, en verwijst naar Richtlijn 3000.
Wat de auditor wil zien bij ISAE 3000 en 3402
De voorbereiding lijkt sterk op elkaar. In beide gevallen moet je kunnen laten zien:
- een beschrijving van je dienst en systemen, binnen een duidelijke scope;
- een normenkader: je eigen beheersingsdoelstellingen bij 3402, of een bestaand kader zoals de Trust Services Criteria bij 3000;
- beheersmaatregelen met eigenaar, die aan dat kader gekoppeld zijn;
- bewijs van uitvoering, als het om een type 2-rapport gaat.
Hoe je dat stap voor stap opbouwt, staat in het ISAE 3402 stappenplan.
Veelgemaakte fouten bij de keuze tussen ISAE 3000 en 3402
- “ISAE 3402 voor beveiliging” vragen. Komt in aanbestedingen vaak voor. Vraag na wat de klant wil weten. Gaat het om beveiliging, dan past ISAE 3000 of SOC 2 beter.
- Denken dat het ene het andere vervangt. De accountant van je klant accepteert een beveiligingsrapport niet als bewijs voor zijn jaarrekeningcontrole.
- Alles in één rapport willen. Twee rapporten uit één traject zijn vaak duidelijker voor beide lezers.
Veelgestelde vragen over ISAE 3000 en ISAE 3402
Is een SOC 2-rapport een ISAE 3000-rapport?
In Nederland meestal wel. SOC 2 is een Amerikaanse rapportvorm met de Trust Services Criteria als normenkader. Een Nederlandse IT-auditor voert de opdracht uit onder ISAE 3000, zodat het rapport aan beide kaders voldoet. Lees meer op SOC 2 in Nederland.
Wie mag een ISAE 3000- of ISAE 3402-rapport afgeven?
In Nederland een accountant die werkt volgens de standaarden van de NBA, of een register-IT-auditor (RE) die werkt volgens de richtlijnen van NOREA. Een certificerende instelling die ISO-certificaten afgeeft, kan dit niet zonder zo’n beroepsbeoefenaar. Voor de ENSIA-audit op DigiD en Suwinet is een bij NOREA geregistreerde IT-auditor verplicht.
Bestaat er ook een type 1 en type 2 bij ISAE 3000?
ISAE 3000 kent die begrippen zelf niet, maar opdrachten over beheersmaatregelen worden vaak op dezelfde manier ingericht. Een SOC 2-rapport onder ISAE 3000 heeft bijvoorbeeld ook een type I en een type II. Bij ISAE 3402 staan de twee typen in de standaard zelf, zie ISAE 3402 type 1 vs type 2.
Kan ik een ISAE 3000-rapport publiek maken?
Dat hangt af van de afspraken in de opdracht. Een ISAE 3402-rapport is altijd alleen voor klanten en hun accountants. Bij ISAE 3000 bepaalt de opdracht wie het mag lezen. Wil je iets publiek delen, vraag dan naar een verkorte rapportvorm, zoals een SOC 3 naast een SOC 2.
Meer informatie
- Wat is ISAE 3402?: de basis
- ISAE 3402 vs SOC 2: de financiële en de beveiligingsvariant naast elkaar
- SOC 2 in Nederland: hoe ISAE 3000 en NOREA samenwerken
- ISAE 3402 of ISO 27001?: rapport of certificaat
- NOREA: reglementen en richtlijnen : Richtlijn 3000 en Richtlijn 3402