ISAE 3402 systeembeschrijving: template met voorbeeld

De systeembeschrijving is het deel van je ISAE 3402-rapport waarin je zelf uitlegt welke dienst je levert, hoe die werkt en welke systemen, mensen en gegevens erbij horen. De auditor toetst of de beschrijving klopt met de werkelijkheid. Een klant leest hem om te begrijpen wat er met zijn gegevens gebeurt. Bij een type 2-rapport moet de beschrijving bovendien passen bij de periode waarover je het oordeel vraagt. Het kader van de hele opdracht staat op wat is ISAE 3402, de volgorde van het traject op het stappenplan en de plek van de beschrijving in het rapport bij de eisen aan het rapport. Voor de beschrijving verklaart je directie in een aparte bewering dat ze klopt.

Schrijf de beschrijving zo dat een accountant van je klant er zonder jou een beeld uit krijgt. Als hij na het lezen nog drie vragen moet stellen over hoe een proces loopt, is de beschrijving te dun.

Wat de systeembeschrijving bevat

De onderdelen hieronder komen in de meeste ISAE 3402-rapporten terug. De precieze indeling is afhankelijk van je dienst en van wat de auditor met je afspreekt.

Onderdeel	Wat je opschrijft	Vraag die het beantwoordt
Dienstbeschrijving	Welke diensten je levert en welke onderdelen buiten de scope vallen	Wat krijgt de klant precies van ons?
Infrastructuur	Systemen, applicaties, netwerk en locaties	Waar draait het en met welke software?
Personeel en rollen	Afdelingen en rollen die de dienst uitvoeren	Wie doet wat?
Processen	Stap voor stap de processen die de klant raakt, van ontvangst tot uitvoer	Hoe loopt het werk?
Beheersingsdoelstellingen en maatregelen	Wat je beheerst en met welke maatregel, per doelstelling	Waarom bestaat deze controle?
Gegevens	Welke gegevens je verwerkt, waar ze staan en hoelang je ze bewaart	Welke data raken we?
Subserviceorganisaties	Leveranciers die onderdeel van de dienst zijn, en hoe je ze in het rapport behandelt	Wie werkt er nog meer mee?
Aanvullende maatregelen van de klant	Wat de klant zelf moet doen om de maatregelen te laten werken	Wat moet onze klant zelf regelen?

Template

Gebruik onderstaande opbouw als startpunt. Vul elk kopje met concrete feiten. Vervang de tekst tussen haken door je eigen gegevens.


1. Inleiding en scope
   [Naam dienst] levert [omschrijving] aan [type klanten].
   Buiten scope: [onderdelen die niet in het rapport zitten].
   Periode: [begindatum] tot en met [einddatum].

2. Dienstbeschrijving
   Per dienst: wat de klant bestelt, welke output hij ontvangt,
   welke service level afspraken gelden.

3. Infrastructuur en applicaties
   Per systeem: naam, versie, hosting-locatie, beheerder.

4. Organisatie en rollen
   Per rol: functie, verantwoordelijkheid in het proces.

5. Processen per dienst
   Per proces: start, stappen, controlepunten, einde, uitzonderingen.

6. Gegevens en bewaring
   Welke gegevens, waar opgeslagen, hoelang bewaard, hoe verwijderd.

7. Beheersingsdoelstellingen en maatregelen
   Per doelstelling: de maatregelen, de eigenaar en de frequentie.

8. Subserviceorganisaties
   Per leverancier: welke dienst, welke methode in het rapport
   (zie subserviceorganisaties), en welk eigen rapport bestaat.

9. Aanvullende beheersmaatregelen van de klant
   Per maatregel: wat de klant doet en waarom (zie CUEC).

Voorbeeld: systeembeschrijving van een salarisverwerker

Hieronder een fictief maar realistisch fragment voor een kleine salarisverwerker. Let op de concrete details: wie, welk systeem, welke stap, welke uitzondering.

Processen per dienst (fragment)

Een mutatie in een salarisgegeven komt binnen via het beveiligde klantportaal of via een gestandaardiseerd bestand. Een medewerker van de administratie voert de mutatie in het salarispakket in en legt de bron vast in het ticketsysteem. Mutaties boven de € 500 worden door een tweede medewerker goedgekeurd voordat de salarisrun wordt gestart. Afwijkingen tussen de bron en de invoer worden dezelfde dag gemeld aan de teamleider.

Infrastructuur (fragment)

Het salarispakket is versie 8.2 en draait op twee servers in het datacenter van [hostingpartner], beheerd door de systeembeheerder van de dienstverlener. Back-ups worden dagelijks gemaakt en wekelijks getest op herstel.

Waarom dit werkt: de auditor kan elk onderdeel koppelen aan een bewijsstuk. Het ticketsysteem, de goedkeuringslog en de back-up-testrapporten zijn er. Het rapport beschrijft ook wat er niet in zit, zoals de koppeling tussen het klantportaal en de bank, die buiten scope valt.

Veelgemaakte fouten

Een brochure in plaats van een beschrijving. Marketingzinnen als “betrouwbaar en veilig” zeggen de auditor niets. Schrijf wat er gebeurt en wie het doet.
Systemen die ontbreken. Een tool die je gebruikt voor de verwerking maar niet noemt, valt bij de walkthrough op.
Versies die niet kloppen. Een beschrijving van versie 8 terwijl je in het midden van de periode naar versie 9 bent gegaan, is een wijziging die je moet melden.
Onduidelijke scope. Als de klant niet weet wat er niet in het rapport zit, gaat hij ervan uit dat alles is getest.
Subserviceorganisaties die je verzwijgt. Een datacenter of een externe betaalpartner die de verwerking raakt, hoort in de beschrijving. Hoe je die verwerkt, lees je op subserviceorganisaties.
Maatregelen van de klant die niet worden genoemd. Als jouw systeem afhangt van een controle die de klant moet doen, moet dat in de beschrijving. Zie CUEC.

Veelgestelde vragen over de systeembeschrijving

Moet de beschrijving in het Nederlands?

In de Nederlandse markt is de beschrijving meestal in het Nederlands, soms met Engelse systeemnamen. Overleg met je auditor en je klanten over de taal, zeker als klanten internationaal opereren.

Kan ik een template van een ander bedrijf overnemen?

Je kunt de opbouw overnemen, maar niet de inhoud. De auditor herkent een kopie direct, en het levert een beschrijving op die niet over jouw systemen gaat. Gebruik de structuur, vul de inhoud zelf in.

Hoe lang moet de beschrijving zijn?

Er is geen vast aantal pagina’s. Een kleine dienst past vaak op enkele pagina’s. Het gaat om volledigheid en nauwkeurigheid, niet om lengte.

Wie tekent de beschrijving?

De beschrijving is van de dienstverlener. De directie tekent een aparte bewering dat de beschrijving een juiste weergave is en dat de maatregelen goed zijn opgezet (bij type 2 ook dat ze werkten). De auditor geeft daarover een eigen oordeel in zijn rapport. Zijn oordeel is dus niet hetzelfde als jouw bewering.

Meer informatie

De beschrijving hangt samen met het stappenplan, de audit en de eisen aan het rapport. Zie ook type 1 vs type 2 voor wat de auditor op de beschrijving toetst.