ISAE 3402 type 1 vs type 2

Een ISAE 3402 type 1-rapport beoordeelt of je beheersmaatregelen op één datum goed zijn beschreven en goed zijn ontworpen. Een ISAE 3402 type 2-rapport doet hetzelfde, en toetst daarnaast of die maatregelen een hele periode lang echt hebben gewerkt. Accountants van je klanten willen bijna altijd type 2, omdat zij moeten steunen op wat er het hele boekjaar gebeurde.

Die twee soorten staan zo in de standaard zelf, zie de samenvatting van ISAE 3402 door de IAASB . Ben je nieuw met dit onderwerp, lees dan eerst wat ISAE 3402 is. Werk je met beveiligingsrapporten, dan ken je hetzelfde onderscheid misschien van SOC 2 type I en type II.

ISAE 3402 type 1 en type 2 naast elkaar

De tabel zet de verschillen op een rij. De oordelen per type komen uit de standaard. De periode en doorlooptijd zijn wat je in de praktijk ziet.

Wat toetst de auditor bij type 1?

Bij type 1 geeft de auditor een oordeel over twee dingen. Klopt je systeembeschrijving met hoe het in werkelijkheid is ingericht? En zijn de beheersmaatregelen geschikt om je beheersingsdoelstellingen te halen?

Een voorbeeld bij een salarisverwerker. De doelstelling is “mutaties in salarisgegevens zijn juist en volledig verwerkt”. De beheersmaatregel is dat een tweede medewerker elke mutatie boven de € 500 controleert voor de verloning. De auditor kijkt of die regel bestaat, of hij is vastgelegd, en of hij logisch het risico afdekt. Hij kijkt niet of het ook elke maand gebeurde.

Wat toetst de auditor bij type 2?

Bij type 2 komt daar het oordeel over de werking bij. De auditor neemt steekproeven uit de hele periode. Bij de salarisverwerker vraagt hij bijvoorbeeld 25 mutaties boven de € 500 op, verspreid over het jaar, en controleert of bij elke mutatie de tweede controle aantoonbaar is uitgevoerd.

Het rapport bevat dan per beheersmaatregel wat de auditor heeft getest en wat de uitkomst was. Een gevonden afwijking heet een uitzondering. Eén uitzondering hoeft geen probleem te zijn, zolang je kunt laten zien dat je haar hebt opgemerkt en opgelost.

Welke kies je: ISAE 3402 type 1 of type 2?

Kijk naar wie het rapport leest. De accountant van je klant controleert een heel boekjaar. Een momentopname helpt hem maar beperkt, dus hij vraagt om type 2. Dat zie je ook terug in contracten en aanbestedingen: daar staat meestal “ISAE 3402 type II”.

Type 1 heeft wel een plek. Gebruik het als je nog nooit een rapport hebt gehad, of als je een nieuwe dienst start. Je laat dan snel zien dat de opzet klopt, en je leert hoe de auditor werkt. Een half jaar tot een jaar later volgt het eerste type 2.

Hoe lang het hele traject duurt en wat het kost, staat op ISAE 3402 kosten en doorlooptijd.

Hoe lang is de periode van een ISAE 3402 type 2?

De standaard schrijft geen vaste minimumperiode voor. In de praktijk zie je 6 tot 12 maanden. Een eerste type 2-rapport beslaat vaak een kortere periode, zodat je niet een vol jaar hoeft te wachten. Daarna sluit je meestal aan op het boekjaar van je klanten.

Die aansluiting is belangrijk. Loopt jouw rapportperiode van 1 juli tot 30 juni, dan mist de accountant van een klant met een kalenderjaar een half jaar. Overbrug dat gat met een bridge letter: een verklaring van je eigen directie dat er sinds het einde van de periode niets wezenlijks is veranderd. Hoe dat werkt, lees je op bridge letter.

Wat de auditor wil zien bij een type 2

Voor een type 2 moet je bewijs hebben van de hele periode, niet alleen van vandaag. Verzamel dit vanaf de eerste dag.

• Vastgelegde uitvoering. Een parafering, een ticket of een log bij elke controle.
• Volledige populaties. Een lijst van alle mutaties, wijzigingen of nieuwe gebruikers in de periode, zodat de auditor er een steekproef uit kan trekken.
• Afwijkingen met opvolging. Wat ging er mis, wie heeft het opgelost en wanneer. Hoe je een afwijking leest en beantwoordt, staat op afwijking in een type 2-rapport.
• Wijzigingen in processen. Veranderde een maatregel halverwege, dan moet dat in de beschrijving staan.

Veelgemaakte fouten bij ISAE 3402 type 1 en type 2

• Type 1 presenteren als eindstation. Accountants van klanten accepteren het meestal niet als basis voor hun controle.
• Te veel beheersmaatregelen opnemen. Elke maatregel in een type 2 wordt getest. Neem alleen op wat nodig is om de doelstellingen te halen.
• Pas na de periode bewijs zoeken. Wat niet is vastgelegd, kan de auditor niet testen. Dat wordt een uitzondering.
• Geen aansluiting op het boekjaar. Je klant heeft dan een gat dat je met extra verklaringen moet dichten.

Veelgestelde vragen over ISAE 3402 type 1 en type 2

Wat staat er in een ISAE 3402 type 2-rapport?

Een type 2-rapport heeft meestal vijf onderdelen. Bij een type 1 ontbreekt het testwerk over de periode.

Hoe lang is een ISAE 3402 type 2-rapport geldig?

Een rapport heeft geen geldigheidsduur zoals een certificaat. Het gaat over een afgesloten periode. Je klanten en hun accountants verwachten wel elk jaar een nieuw rapport dat aansluit op het vorige, zodat er geen gaten ontstaan.

Wat gebeurt er als de auditor uitzonderingen vindt?

De auditor noemt elke uitzondering in het rapport. Zijn ze beperkt en goed opgevolgd, dan blijft het oordeel meestal zonder voorbehoud. Zijn ze zo ernstig dat een beheersingsdoelstelling niet is gehaald, dan kan de auditor een oordeel met beperking geven. Bespreek bevindingen daarom vroeg, zodat je ze nog kunt toelichten in het rapport.

Is ISAE 3402 type 2 hetzelfde als SOC 1 type 2?

Inhoudelijk wel: beide gaan over beheersmaatregelen die de financiële verslaggeving van klanten raken. Het verschil is de standaard. SOC 1 volgt de Amerikaanse regels van de AICPA, ISAE 3402 de internationale regels van de IAASB. Veel kantoren kunnen een rapport maken dat aan beide voldoet. Meer daarover op SOC 2 vs SOC 1.

Meer informatie

• Wat is ISAE 3402?: de basis
• ISAE 3402 stappenplan: van scope tot rapport, met een control matrix
• SOC 2 type I vs type II: hetzelfde onderscheid bij SOC 2
• SOC 2 vs SOC 1: de Amerikaanse tegenhanger van ISAE 3402