ISAE 3402 voor pensioenuitvoerders: wat je klant van je verwacht
Een pensioenuitvoerder voert werk uit dat in de jaarrekening van een pensioenfonds terechtkomt, zoals de administratie van deelnemers, premies en uitkeringen. Daarom vraagt de accountant van het fonds vaak om een ISAE 3402-rapport. Dat rapport laat zien dat jouw processen betrouwbaar zijn, zodat de accountant van het fonds ze in zijn controle mag gebruiken. Of jij zo’n rapport nodig hebt, hangt af van de afspraken met je klanten. Het algemene kader vind je op voor wie is ISAE 3402, en het type rapport dat past op type 1 vs type 2. Ook toezichthouder De Nederlandsche Bank (DNB) kijkt mee: in zijn guidance over uitbesteding staat dat een fonds moet nagaan wat de scope van het ISAE 3402-rapport van de uitvoerder is. Bij DNB betekent “pensioenuitvoerder” soms het fonds zelf. Op deze pagina bedoelen we de partij die het werk voor een fonds uitvoert.
Kort antwoord: als je uitgevoerde processen de cijfers van het fonds raken, vraagt de accountant van het fonds er waarschijnlijk naar. Vraag dat vooraf na, want het bepaalt de scope en het type rapport.
Waarom pensioenuitvoerders dit rapport vaak nodig hebben
Het pensioenfonds blijft verantwoordelijk voor zijn eigen jaarrekening, ook als het werk bij jou ligt. Volgens DNB is uitbesteden onder voorwaarden toegestaan op grond van artikel 34 van de Pensioenwet, en blijft het fonds volledig verantwoordelijk voor de naleving van de regels. De accountant van het fonds moet dus kunnen beoordelen of jouw administratie betrouwbaar is. Hij kan dat zelf testen, maar dat is duur en tijdrovend. Een ISAE 3402-rapport geeft hem een onafhankelijk oordeel dat hij kan gebruiken.
Dat betekent voor jou: één goed rapport kan veel vragen van verschillende fondsen en hun accountants beantwoorden. Omgekeerd betekent een zwak rapport dat elk fonds apart komt testen.
Welke processen horen in het rapport
De scope bepaalt wat de auditor test. Voor een pensioenuitvoerder gaat het meestal om processen die de financiële gegevens van het fonds raken. Onderstaande tabel geeft een indicatie; de werkelijke scope leg je vast met je auditor en je klanten.
| Proces | Waarom het telt voor de klant | Typisch bewijs |
|---|---|---|
| Deelnemersadministratie | Wijzigingen in gegevens van deelnemers bepalen wie wat krijgt | Mutatielogs, autorisaties, gecontroleerde wijzigingen |
| Premieverwerking | Premies moeten juist en volledig in de administratie komen | Afstemming van ontvangsten met de bankmutaties |
| Uitkeringen | Uitgaande betalingen moeten kloppen met de regels van het fonds | Goedkeuringen, berekeningen, betaallijsten |
| Afstemming en rapportage | Het fonds moet de cijfers kunnen controleren | Afstemmingsrapporten en de bijbehorende controles |
| Toegang tot systemen | Alleen bevoegden mogen gegevens wijzigen | Toegangsoverzichten, periodieke beoordelingen |
Wat DNB van het fonds verwacht
DNB legt de nadruk op de scope van het rapport. In zijn guidance staat als toetspunt dat het fonds een recente ISAE 3402-verklaring van de uitvoerder heeft (type 1 en 2) en dat alle relevante processen in de scope zitten. Het fonds moet dat zelf hebben getoetst. DNB schreef in 2022 ook dat assurance-rapporten zoals SOC en ISAE vaak niet toereikend zijn , onder meer omdat delen van de uitbestedingsketen buiten de rapportage blijven.
Voor jou betekent dit: een fonds vraagt niet alleen of je een rapport hebt, maar ook wat erin zit. Een uitvoerder die een leverancier als carve-out behandelt, moet duidelijk maken dat dat deel van de keten buiten het oordeel valt. Zie subserviceorganisaties.
Wat de accountant van het fonds wil zien
De accountant wil een rapport dat aansluit op de processen die hij in zijn controle nodig heeft. Dat betekent drie dingen.
- Een duidelijke scope. Welke diensten, welke periode, welke systemen. Een vaag “pensioenadministratie” is onvoldoende.
- Een beschrijving die klopt. Hoe lopen de processen, wie doet wat, en welke systemen worden gebruikt. Zie de systeembeschrijving voor de opbouw.
- Bewijs van de maatregelen. Bij type 2 moet je bewijs hebben over de hele periode, niet alleen aan het eind.
Voorbeeld: uitbestede premieverwerking
Een pensioenuitvoerder verwerkt de premies van een fonds met een paar duizend deelnemers. Elke maand ontvangt hij een premieoverzicht van de werkgevers en controleert hij dat tegen de bankontvangsten. Verschillen worden binnen de afgesproken termijn opgevolgd en gerapporteerd aan het fonds.
Als dat proces in het rapport staat, moet de beschrijving precies zijn: welk overzicht, welke afstemming, wie controleert, en welke tolerantie geldt. Het bewijs zijn de maandelijkse afstemmingen met handtekening en datum. Ontbreekt een maand, dan is dat een afwijking, en de accountant van het fonds ziet dat.
De getallen in dit voorbeeld zijn fictief en dienen om de opbouw te tonen. Gebruik ze niet als norm.
Veelgemaakte fouten
- Te brede scope. Een rapport dat “alles” dekt, is moeilijk te lezen en makkelijk te betwisten. Kies de processen die het fonds raken.
- Subserviceorganisaties vergeten. Een administratiepakket, een bank of een archiefpartij kan onderdeel zijn van de keten. Bepaal per partij de methode; zie subserviceorganisaties.
- Aanvullende maatregelen van het fonds niet benoemd. Het fonds levert gegevens aan en keurt sommige wijzigingen goed. Dat hoort als CUEC in de beschrijving.
- Een rapport dat niet aansluit op de vraag van het fonds. Stem vooraf af welk type en welke periode het fonds nodig heeft.
- Het rapport pas bij het jaareinde aanvragen. Bij type 2 heb je de periode nodig voordat het rapport kan worden opgesteld, dus de voorbereiding moet al lopen.
Scope afstemmen met het pensioenfonds
De scope is het belangrijkste onderwerp in de voorbereiding. Een te brede scope maakt het rapport zwaarder en makkelijker te betwisten. Een te smalle scope laat het fonds met een gat zitten. Deze volgorde helpt:
- Vraag het fonds om zijn eigen processen. Welke werkzaamheden besteedt het fonds uit, en welke houdt het zelf?
- Koppel elk proces aan de cijfers. Welk proces raakt welke post in de jaarrekening van het fonds? Alles wat niet raakt, valt buiten de scope.
- Leg de grens met de klant vast. Wat doet het fonds zelf, wat doe jij, en welke gegevens levert het fonds aan? Dat zijn de CUEC van dit rapport.
- Bepaal de leveranciers in de keten. Een bank, een archiefpartij of een softwareleverancier kan onderdeel zijn van het proces. Kies per partij de methode; zie subserviceorganisaties.
- Leg de scope schriftelijk vast. Eén pagina met processen, periode en uitgesloten onderdelen voorkomt discussie na de audit.
Wat je in het rapport van een pensioenuitvoerder terugziet
Een pensioenrapport heeft meestal dezelfde opbouw als elk ISAE 3402-rapport: een oordeel, een beschrijving, beheersingsdoelstellingen met maatregelen, en testen met resultaten. Het verschil zit in de inhoud. Denk aan:
- Doelstellingen per proces, bijvoorbeeld “premies worden volledig en tijdig verwerkt”.
- Maatregelen die aansluiten op de bankmutaties en de deelnemerslijst, zoals afstemmingen en tweede controles.
- Bewijs dat per periode compleet is, zodat de auditor een steekproef kan trekken uit alle premieperiodes.
Zie de systeembeschrijving voor hoe je dit beschrijft, en de eisen aan het rapport voor de opbouw.
Veelgestelde vragen over ISAE 3402 bij pensioenuitvoerders
Is een ISAE 3402-rapport verplicht voor pensioenuitvoerders?
Voor jou als uitvoerder staat het rapport in de praktijk in het contract of in de eisen van je klanten. Het fonds is degene die de uitbesteding moet beheersen, en DNB noemt een recent ISAE 3402-rapport als punt waarop het fonds zijn uitvoerder beoordeelt. Controleer je contract en vraag je klanten wat ze verwachten.
Mag een fonds zelf een controle doen in plaats van een rapport?
Dat kan, en soms gebeurt het ook. Het nadeel voor jou is dat elk fonds dan apart komt testen. Een rapport voorkomt dat en is daarom de gebruikelijke weg.
Hoe weet ik welke processen het fonds nodig heeft?
Vraag het aan de accountant van het fonds, liefst schriftelijk. Stem daarna de scope af met je eigen auditor, zodat beide kanten dezelfde verwachting hebben.
Wat als het fonds een andere periode wil dan mijn boekjaar?
Dat komt voor. Een fonds met een afwijkend boekjaar vraagt soms om een periode die niet samenvalt met jouw rapport. Benoem dat dan als gat in de beschrijving, en bespreek met je auditor of de periode haalbaar is. Een rapport over een korte periode zegt minder dan een volledig jaar, en dat moet het fonds weten.
Kan ik hetzelfde rapport voor meerdere fondsen gebruiken?
Ja, mits de processen die het rapport dekt voor alle fondsen gelijk zijn. Als er per fonds verschillen zijn in de afspraken, moet je dat in de beschrijving of in een aparte bijlage vastleggen.
Meer informatie
Lees ook het stappenplan voor de volgorde van het traject, de audit-pagina voor wat de auditor doet, en de kosten en doorlooptijd voor wat een eerste traject kost. Het overzicht van de sectie staat op de startpagina van ISAE 3402.