ISAE 3402 stappenplan
Een ISAE 3402-traject doorloop je in zeven stappen: scope bepalen, beheersingsdoelstellingen formuleren, beheersmaatregelen vastleggen in een control matrix, de systeembeschrijving schrijven, een auditor kiezen, bewijs verzamelen en de audit laten uitvoeren. Het hart van het traject is de control matrix: de tabel waarin je per doelstelling laat zien welke maatregelen het risico afdekken.
De standaard zelf is van de IAASB . In Nederland werkt een accountant volgens NBA Standaard 3402 en een IT-auditor volgens NOREA Richtlijn 3402 . Weet je nog niet zeker of je ISAE 3402 nodig hebt, lees dan eerst wat ISAE 3402 is en voor wie het bedoeld is.
Je schrijft de beheersingsdoelstellingen zelf. ISAE 3402 heeft geen vaste lijst met eisen zoals ISO 27001 die heeft. Dat geeft vrijheid, maar de auditor kijkt wel kritisch of je doelstellingen passen bij wat je klanten van je afnemen.
Het ISAE 3402-traject in zeven stappen
Bepaal de scope
Kies welke diensten in het rapport komen. Denk vanuit je klant: welk werk van jou komt terecht in hun jaarrekening? Een salarisverwerker neemt de verloning op, maar niet de HR-adviesdienst. Leg ook vast welke systemen, locaties en leveranciers een rol spelen.
Formuleer de beheersingsdoelstellingen
Een beheersingsdoelstelling beschrijft wat er goed moet gaan, in de taal van de jaarrekening. Denk aan juistheid, volledigheid, tijdigheid en autorisatie. Je hebt er meestal tussen de vijf en vijftien. Daarnaast komen er doelstellingen voor de algemene IT-beheersing, zoals toegangsbeheer en wijzigingsbeheer.
Leg de beheersmaatregelen vast in een control matrix
Per doelstelling beschrijf je de maatregelen die het risico afdekken. Het voorbeeld hieronder laat zien hoe dat eruitziet. Elke maatregel heeft een eigenaar, een frequentie en een vorm van bewijs.
Schrijf de systeembeschrijving
Het management beschrijft de dienst, de organisatie, de systemen, de processen en de maatregelen. Hierin staan ook de maatregelen die je klanten zelf moeten nemen en hoe je met onderaannemers omgaat. Deze beschrijving komt in het rapport, met daarbij een schriftelijke bewering van het management.
Kies een auditor en eventueel eerst een type 1
Vraag offertes bij twee of drie kantoren. Kies of je begint met een type 1 of meteen een type 2-periode start. Het verschil staat op ISAE 3402 type 1 vs type 2, de kosten op kosten en doorlooptijd.
Verzamel bewijs gedurende de periode
Voer de maatregelen uit en leg elke uitvoering vast. Doe periodiek een eigen controle, bijvoorbeeld elk kwartaal, zodat je afwijkingen vindt voordat de auditor ze vindt.
Laat de audit uitvoeren en deel het rapport
De auditor test steekproeven, bespreekt bevindingen en schrijft het rapport. Je deelt het rapport met je klanten en hun accountants. Publiek maken mag niet: het is alleen voor hen bedoeld. Wat de auditor precies controleert en welk bewijs je klaarlegt, staat op de ISAE 3402 audit.
Voorbeeld: beheersingsdoelstelling en control matrix bij ISAE 3402
Stel: je bent een salarisverwerker met 250 klanten. De accountants van die klanten willen zekerheid dat de loonkosten in de jaarrekening kloppen. Een van je doelstellingen wordt dan:
Beheersingsdoelstelling 3: salarismutaties Beheersmaatregelen bieden een redelijke mate van zekerheid dat mutaties in salaris- en personeelsgegevens juist, volledig en tijdig worden verwerkt, en alleen na autorisatie door de klant.
Die doelstelling werk je uit in een control matrix. Zo ziet een deel daarvan eruit:
| Nr. | Risico | Beheersmaatregel | Eigenaar | Frequentie | Soort | Bewijs |
|---|---|---|---|---|---|---|
| 3.1 | Mutatie zonder opdracht van de klant | Mutaties worden alleen verwerkt na een opdracht via het klantportaal van een door de klant gemachtigde gebruiker | Teamleider salarisadministratie | Per mutatie | Preventief, geautomatiseerd | Portaallog met gebruiker en tijdstip |
| 3.2 | Invoerfout bij grote bedragen | Mutaties met een effect boven de € 500 bruto per maand worden voor de verloning gecontroleerd door een tweede medewerker | Salarisadministrateur | Per mutatie | Preventief, handmatig | Paraaf en datum in het verwerkingsoverzicht |
| 3.3 | Mutatie te laat verwerkt | Opdrachten die na de deadline binnenkomen, staan op een uitzonderingslijst die wordt besproken met de klant | Teamleider salarisadministratie | Per verloningsperiode | Detectief, handmatig | Uitzonderingslijst met afhandeling |
| 3.4 | Verschil tussen opdracht en verloning | Het totaal van de mutaties wordt na de verloning aangesloten op het totaal van de opdrachten | Controller | Per verloningsperiode | Detectief, handmatig | Ondertekende aansluiting |
De auditor test bij een type 2 elke regel. Bij 3.2 vraagt hij bijvoorbeeld de lijst van alle mutaties boven € 500 op, trekt een steekproef en kijkt of overal een tweede paraaf staat.
De drempel van € 500 in dit voorbeeld is een keuze, geen regel uit de standaard. Kies een drempel die past bij jouw klanten en onderbouw waarom. De auditor vraagt daarnaar.
Welke maatregelen moet je klant zelf nemen?
Jouw maatregelen werken alleen als je klant ook zijn deel doet. In het voorbeeld moet de klant zelf bijhouden wie gemachtigd is in het portaal, en de loonstroken steekproefsgewijs controleren. Die maatregelen noem je in de systeembeschrijving. In het Engels heten ze complementary user entity controls, uitgelegd op CUEC in ISAE 3402.
Gebruik je zelf een leverancier, zoals een hostingpartij, dan kies je hoe die in het rapport komt. Bij de carve-out-methode laat je de maatregelen van de leverancier buiten het rapport en verwijs je naar diens eigen rapport. Het verschil tussen de twee methoden staat op subserviceorganisaties in ISAE 3402. Bij de inclusive-methode neemt de auditor ze mee in zijn onderzoek. Carve-out komt het meest voor.
Wat de auditor wil zien in een ISAE 3402-traject
- Een systeembeschrijving die klopt met de praktijk. De auditor loopt processen door en vergelijkt.
- Een logische koppeling. Elk risico heeft een maatregel, elke maatregel hoort bij een doelstelling.
- Volledige populaties. Lijsten van alle mutaties, wijzigingen en nieuwe accounts in de periode.
- Bewijs per uitvoering. Een log, paraaf of ticket, met datum en naam.
- Een bewering van het management. Ondertekend door de directie.
Veelgemaakte fouten in het ISAE 3402-stappenplan
- Beveiliging in een 3402-rapport stoppen. Hoort het niet bij de financiële verslaggeving van je klant, dan past ISAE 3000 beter.
- Doelstellingen kopiëren van een ander bedrijf. Ze moeten passen bij jouw dienst.
- Te veel maatregelen opnemen. Alles wat je opneemt, moet je bewijzen. Neem op wat nodig is.
- Gebruikersmaatregelen vergeten. Zonder die afbakening lijkt het alsof jij verantwoordelijk bent voor fouten van de klant.
- Het rapport op de website zetten. Het gebruik is beperkt tot je klanten en hun accountants. Je mag wel melden dat je een rapport hebt.
Veelgestelde vragen over het ISAE 3402-stappenplan
Hoeveel beheersingsdoelstellingen heeft een ISAE 3402-rapport?
Er is geen vast aantal. Een kleine salarisverwerker komt vaak uit op vijf tot tien doelstellingen, inclusief de algemene IT-beheersing. Een pensioenuitvoerder heeft er al snel twintig of meer. Belangrijker dan het aantal is dat elke doelstelling past bij wat je klanten van je afnemen.
Welke IT-doelstellingen horen in een ISAE 3402-rapport?
Bijna elk rapport bevat doelstellingen voor de algemene IT-beheersing. Die zorgen ervoor dat de applicaties waarmee je verwerkt betrouwbaar blijven.
| IT-doelstelling | Voorbeeld van een beheersmaatregel |
|---|---|
| Logische toegang | Toegangsrechten worden elk kwartaal beoordeeld door de proceseigenaar |
| Wijzigingsbeheer | Wijzigingen in productie worden vooraf getest en goedgekeurd |
| Back-up en herstel | Back-ups worden dagelijks gemaakt en hersteltests jaarlijks uitgevoerd |
| IT-beheer | Storingen en incidenten worden geregistreerd en opgevolgd |
Moet de systeembeschrijving in het Nederlands?
Dat kies je zelf. Heb je internationale klanten, dan is een Engelstalig rapport handig. Spreek de taal af met je auditor voordat je begint met schrijven.
Kan ik een template voor de control matrix gebruiken?
Als vertrekpunt wel. De kolommen in het voorbeeld hierboven zijn een goede basis. De inhoud moet je zelf schrijven, want de auditor vergelijkt elke regel met hoe jullie echt werken.
Meer informatie
- ISAE 3402 type 1 vs type 2: welk rapport je klant verwacht
- ISAE 3402 kosten en doorlooptijd: wat elke fase kost en duurt
- Evidence verzamelen voor SOC 2: praktische tips die ook voor ISAE 3402 werken
- Toegangsrechtenmatrix: handig voor de doelstellingen over toegangsbeheer