Subserviceorganisaties in ISAE 3402: carve-out of inclusive?

Een subserviceorganisatie is een leverancier die jij inschakelt voor een deel van je dienst, zoals een datacenter, een betaalprovider of een externe back-up. In een ISAE 3402-rapport kun je die leverancier op twee manieren behandelen: de carve-out methode, waarbij de maatregelen van de leverancier buiten het oordeel vallen, of de inclusive methode, waarbij ze erin zitten en de auditor ze zelf toetst. Bij carve-out blijven de maatregelen van de leverancier ongetest in jouw rapport. Dat is de kern van deze keuze. De standaard vraagt dat de beschrijving de diensten van de subserviceorganisatie duidelijk beschrijft, en dat het auditrapport vermeldt welke methode is gebruikt. De IAASB, de opsteller van de standaard, schrijft in de toelichting op ISAE 3402  dat de inclusive-methode zelden voorkomt, tenzij de auditor ook de auditor van de leverancier is. Meer over het traject staat in het stappenplan en de systeembeschrijving.

Carve-out en inclusive naast elkaar

Het verschil is praktisch. Bij carve-out heb je een gat in je rapport dat je klant zelf moet dichten. Bij inclusive heb je een dikker rapport en meer afstemming, maar de keten is compleet.

Voorbeeld: een salarisverwerker met een externe datacenter

Een salarisverwerker draait zijn pakket in een datacenter van een derde partij. Het datacenter beheert de fysieke toegang, de stroom en de koeling. De salarisverwerker zelf beheert de applicatie en de toegangsrechten.

Carve-out. De salarisverwerker vermeldt het datacenter in de beschrijving als subserviceorganisatie. De fysieke beveiliging valt buiten het oordeel. De klant moet het eigen rapport van het datacenter opvragen en lezen om die schakel te dekken. Heeft het datacenter een eigen ISAE 3402- of SOC-rapport, dan kan je klant dat opvragen.

Inclusive. De auditor neemt de beheersmaatregelen van het datacenter mee in het testwerk. Het datacenter moet dan meewerken: toegang geven aan de auditor en schriftelijke bevestigingen leveren. De klant heeft één rapport om te lezen, maar het traject is zwaarder.

Welke van beide je kiest, hangt af van wat de leverancier aanlevert en wat je klanten vragen. Bespreek dit vooraf met je auditor.

Hoe je de keuze onderbouwt

Gebruik deze volgorde, die ook in de praktijk bij het opstellen van de beschrijving terugkomt:

1. Benoem de leverancier. Maak een lijst van alle partijen die een deel van de verwerking doen, niet alleen de grote.
2. Bepaal de relevantie. Raakt de leverancier de financiële verslaggeving van je klant? Zo niet, dan hoort hij niet in het rapport.
3. Vraag het eigen rapport op. Heeft de leverancier een ISAE 3402- of SOC-rapport? Dan is carve-out eenvoudiger, mits de periode aansluit.
4. Kies de methode en leg hem vast. Beschrijf in de systeembeschrijving welke methode je gebruikt per leverancier.
5. Dek het gat. Bij carve-out moet je klant weten dat hij het leveranciersrapport moet lezen, en wanneer die periode eindigt.

Veelgemaakte fouten

• Carve-out zonder rapport van de leverancier. Dan heeft niemand zicht op die schakel, en je klant heeft een gat.
• Een leverancier die je niet noemt. Die wordt vaak pas ontdekt als de klant om de keten vraagt. Zie ook de audit-checklist.
• Periodes die niet aansluiten. Het rapport van de leverancier loopt van januari tot juni, terwijl jouw rapport over het hele jaar gaat. Dat gat moet je benoemen.
• Inclusive kiezen zonder bewijs van de leverancier. De auditor kan de maatregelen niet testen als jij de bewijsstukken niet kunt ophalen.
• Methode wisselen tussen rapporten. Als je vorig jaar carve-out gebruikte en nu inclusive, leg dat uit. Klanten vergelijken rapporten van jaar op jaar.

Wat je klant moet weten bij carve-out

Bij carve-out verschuift een deel van de zekerheid naar je klant. Hij moet dan zelf het rapport van de leverancier opvragen en nagaan wat daarin staat. Dat is alleen werkbaar als je hem daarbij helpt. Geef hem daarom in je beschrijving drie dingen:

• De naam van de leverancier en de dienst die hij levert, zodat de klant weet wat er buiten het rapport valt.
• Het periode-overzicht van het leveranciersrapport. Loopt die periode niet gelijk met die van jouw rapport, dan benoem je het gat.
• Een verwijzing naar wat de klant zelf moet controleren. Dat zijn de CUEC die bij deze leverancier horen.

Zonder die drie punten leest de accountant van je klant het rapport als volledig, terwijl het dat niet is. Dat is een van de redenen dat carve-out soms moeilijker verkocht wordt dan inclusive, ook als het technisch correct is.

Checklist bij het kiezen van een leverancier

Gebruik deze lijst per leverancier, voordat je de methode vastlegt:

• Heeft de leverancier een eigen rapport van een onafhankelijke auditor?
• Raakt zijn dienst de verwerking die jouw klant nodig heeft, of alleen de techniek eromheen?
• Loopt zijn rapportperiode in grote lijnen gelijk met die van jouw rapport?
• Kun je de leverancier vragen om zijn bewijs op te leveren als de auditor dat wil zien, bij inclusive?
• Is het contract met de leverancier zo ingericht dat je het rapport elk jaar krijgt?
• Staat de leverancier in de systeembeschrijving met de juiste naam en dienst?

Veelgestelde vragen over subserviceorganisaties

Kan ik per leverancier een andere methode kiezen?

Ja. In één rapport mag je de ene leverancier carve-out behandelen en de andere inclusive. Leg per leverancier vast welke methode geldt, zodat de lezer niet hoeft te raden.

Is een cloudprovider altijd een subserviceorganisatie?

Niet automatisch. Een cloudprovider die alleen infrastructuur levert zonder de verwerking te doen, valt soms buiten de scope. Beoordeel per geval of de leverancier onderdeel is van de dienst die je klant krijgt.

Wat als de leverancier geen rapport heeft?

Dan kun je bij carve-out geen beroep doen op zijn eigen zekerheid. Inclusive kan een uitweg zijn, maar dan moet de leverancier de auditor toegang geven en schriftelijke bevestigingen leveren. Lukt dat niet, bespreek dan met je auditor wat de leverancier wel kan aanleveren, voordat je de keuze maakt.

Kan een leverancier van methode wisselen tussen twee jaar?

Dat kan, maar het is een verandering die je moet uitleggen. Een klant die twee opeenvolgende rapporten vergelijkt, ziet een andere scope en denkt misschien dat er iets verdween. Zet in de beschrijving van het nieuwe rapport waarom je de methode hebt gewijzigd en wat dat voor de lezer betekent.

Verandert de methode het oordeel?

Het oordeel van de auditor gaat over jouw dienst en de maatregelen in het rapport. De methode bepaalt wat er binnen dat oordeel valt. Een carve-out kan het oordeel dus niet verbeteren; hij verkleint de scope.

Meer informatie

Lees ook de pagina over aanvullende beheersmaatregelen van de klant, want bij een leverancier hoort vaak een afspraak met je klant. Zie de systeembeschrijving voor de plek waar je de methode vastlegt, en type 1 vs type 2 voor het tijdsbeeld van het rapport.