ISAE 3402 kosten en doorlooptijd
De kosten van ISAE 3402 bestaan uit drie delen: de voorbereiding, de audit door een accountant of IT-auditor, en de tijd van je eigen mensen. Voor een middelgrote dienstverlener ligt een type 2-audit indicatief tussen € 20.000 en € 60.000 per jaar. Van eerste gesprek tot het eerste type 2-rapport ben je meestal 12 tot 18 maanden verder, vooral omdat de auditor een periode van 6 tot 12 maanden moet kunnen toetsen.
Er bestaan geen vaste tarieven. Elk kantoor rekent op basis van uren, en het aantal uren hangt af van je scope. Wie het rapport mag afgeven, staat in de regels van de NBA voor accountants en van NOREA voor IT-auditors. Wat ISAE 3402 precies is, lees je op wat is ISAE 3402.
De bedragen op deze pagina zijn indicaties. Ze sluiten aan op de bandbreedte die we voor SOC 1 noemen, de Amerikaanse tegenhanger. Vraag altijd twee of drie offertes aan, op basis van dezelfde scopebeschrijving.
Uit welke kostenposten bestaat ISAE 3402?
| Kostenpost | Wat je krijgt | Indicatie |
|---|---|---|
| Readiness assessment (optioneel) | Een nulmeting van je processen en beheersmaatregelen, met verbeterpunten | Afhankelijk van scope, meestal een fractie van de auditkosten |
| Advies bij inrichting (optioneel) | Hulp bij systeembeschrijving, control matrix en bewijsvoering | Op uurbasis, sterk afhankelijk van wat je zelf doet |
| Type 1-audit | Oordeel over beschrijving en opzet op één datum | Duidelijk lager dan een type 2 |
| Type 2-audit | Oordeel over opzet en werking over 6 tot 12 maanden | Indicatie € 20.000 tot € 60.000 per jaar |
| Interne tijd | Procesbeschrijvingen, bewijs verzamelen, gesprekken met de auditor | Vaak de grootste verborgen post in jaar één |
| Tooling (optioneel) | Een GRC-tool om controls en bewijs bij te houden | Abonnement, niet verplicht |
De adviseur die je helpt inrichten, mag niet dezelfde partij zijn die het rapport afgeeft. Een auditor die zijn eigen werk beoordeelt, is niet onafhankelijk. Wil je weten wat een readiness assessment inhoudt, kijk dan bij de readiness assessment voor SOC 2. De aanpak is vergelijkbaar.
Wat bepaalt de prijs van een ISAE 3402-audit?
Het aantal auditoren-uren bepaalt de prijs. Die uren hangen vooral af van vijf factoren.
| Factor | Goedkoper | Duurder |
|---|---|---|
| Aantal beheersingsdoelstellingen | 5 tot 8 doelstellingen | 15 of meer |
| Aantal beheersmaatregelen | Rond de 30 | 80 of meer |
| Aantal locaties en systemen | Eén kantoor, één applicatie | Meerdere vestigingen, eigen en ingekochte systemen |
| Uitbesteding aan derden | Weinig, of leveranciers met eigen rapport | Leveranciers zonder rapport die je moet meenemen |
| Volwassenheid | Processen al vastgelegd, bewijs automatisch | Veel handwerk, bewijs op papier of in mailboxen |
Een voorbeeld. Een salarisverwerker met één verloningspakket, twee hostingleveranciers met een eigen ISAE 3402-rapport en zes beheersingsdoelstellingen zit aan de onderkant van de bandbreedte. Een pensioenuitvoerder met eigen software, drie locaties en twintig doelstellingen zit aan de bovenkant of erboven.
Hoe lang duurt een ISAE 3402-traject?
De doorlooptijd hangt vooral af van de testperiode. Een type 2-rapport kan pas verschijnen nadat de periode voorbij is. Onderstaande tijdlijn is een indicatie voor een eerste traject.
| Fase | Wat gebeurt er | Indicatieve duur |
|---|---|---|
| 1. Scope en nulmeting | Diensten, klanten en processen afbakenen, gaten in kaart brengen | 1 tot 2 maanden |
| 2. Inrichten | Systeembeschrijving en control matrix opstellen, ontbrekende maatregelen invoeren | 2 tot 6 maanden |
| 3. Type 1-audit (optioneel) | Auditor toetst beschrijving en opzet op één datum | 1 tot 2 maanden |
| 4. Testperiode type 2 | Maatregelen draaien en je legt het bewijs vast | 6 tot 12 maanden |
| 5. Type 2-audit en rapport | Auditor test steekproeven en schrijft het rapport | 1 tot 3 maanden na de periode |
Daarna wordt het een jaarlijkse cyclus. Het rapport over boekjaar 2026 verschijnt dan bijvoorbeeld in het eerste kwartaal van 2027, op tijd voor de jaarrekeningcontroles van je klanten. Hoe je elke fase aanpakt, staat in het ISAE 3402 stappenplan.
Kun je ISAE 3402 sneller halen?
Een beetje. De testperiode kun je niet overslaan, maar je kunt hem wel slim kiezen.
- Begin met type 1. Je hebt binnen enkele maanden een rapport om aan klanten te laten zien. Het verschil lees je op ISAE 3402 type 1 vs type 2.
- Kies een kortere eerste periode. Zes maanden in plaats van twaalf, daarna sluit je aan op het boekjaar.
- Verzamel bewijs vanaf de eerste dag. Wie halverwege moet zoeken, verliest maanden.
Wat de auditor wil zien voordat hij een offerte maakt
Een goede offerte begint met een goede scopebeschrijving. Stuur elk kantoor dezelfde informatie, dan kun je de offertes vergelijken.
- Welke diensten vallen onder het rapport, en voor hoeveel klanten.
- Welke systemen en locaties je gebruikt.
- Welke leveranciers een rol spelen, en of zij zelf een rapport hebben.
- Of je type 1, type 2 of beide wilt, en welke periode.
- Of je ook een rapport over beveiliging wilt, zoals een ISAE 3000- of SOC 2-rapport.
Veelgemaakte fouten bij het begroten van ISAE 3402
- Alleen de auditfactuur begroten. De interne tijd in jaar één is vaak minstens zo groot.
- Een te brede scope. Elke extra dienst betekent extra beheersmaatregelen en extra testwerk.
- Geen rekening houden met jaarlijkse kosten. Een type 2 is geen eenmalige uitgave. Je klanten willen elk jaar een nieuw rapport.
- Offertes op verschillende scopes vergelijken. Een lage prijs betekent soms gewoon minder testwerk.
Veelgestelde vragen over ISAE 3402 kosten
Is een vervolgrapport goedkoper dan het eerste ISAE 3402-rapport?
Meestal wel. In het eerste jaar betaal je voor het leren kennen van je organisatie, het doorlopen van alle processen en vaak een type 1. In volgende jaren kent de auditor je beschrijving al en richt hij zich op het testwerk. Je interne tijd daalt ook, omdat het bewijs dan routine is.
Is ISAE 3402 duurder dan ISO 27001?
Niet per se, maar het kostenpatroon is anders. Een ISO 27001-certificaat heeft een cyclus van drie jaar met lichtere controle-audits tussendoor. Een ISAE 3402 type 2 vraagt elk jaar een volledig rapport met testwerk per maatregel. Over drie jaar gerekend ligt ISAE 3402 daardoor vaak hoger.
Kun je de kosten delen als je ook SOC 2 of ISAE 3000 laat doen?
Ja, deels. De algemene IT-beheersmaatregelen test de auditor één keer en gebruikt hij in beide rapporten. Een gecombineerd traject is daarom goedkoper dan twee losse trajecten, maar duurder dan één rapport.
Mag mijn adviseur ook de audit doen?
Nee. De partij die je helpt met inrichten, mag het rapport niet afgeven. Dat is een kwestie van onafhankelijkheid. Je kunt wel een adviseur en een auditor van verschillende kantoren combineren.
Meer informatie
- Wat is ISAE 3402?: de basis
- ISAE 3402 stappenplan: de fases uitgewerkt
- SOC 2 kosten en tijdlijn: ter vergelijking
- Voor wie is ISAE 3402?: welke dienstverleners erom gevraagd worden