Voor wie is ISAE 3402?
ISAE 3402 is bedoeld voor dienstverleners van wie het werk direct doorwerkt in de jaarrekening van hun klanten. De bekendste voorbeelden zijn salarisverwerkers, IT-dienstverleners die financiële systemen beheren, pensioenuitvoerders en administratiekantoren. Hun klanten hebben een accountant, en die accountant moet kunnen steunen op het uitbestede werk.
De standaard noemt dat dienstverleners die “relevant zijn voor de interne beheersing van klanten, voor zover die de financiële verslaggeving raakt”. Zo staat het in de samenvatting van de IAASB . Wat het rapport zelf is, lees je op wat is ISAE 3402. Gaat het bij jou vooral om beveiliging, kijk dan bij voor wie is SOC 2.
Een snelle test: als jij een fout maakt, staat er dan een verkeerd bedrag in de jaarrekening van je klant? Zo ja, dan is ISAE 3402 waarschijnlijk relevant. Zo nee, dan zoek je eerder naar ISO 27001 of SOC 2.
Voor wie is ISAE 3402: overzicht per type dienstverlener
| Dienstverlener | Wat ze voor klanten doen | Waarom de accountant van de klant meekijkt | Wie vraagt erom |
|---|---|---|---|
| Salarisverwerker | Loonadministratie, loonaangifte, betalingen | Loonkosten en loonheffingen in de jaarrekening | Accountants van klanten, grotere werkgevers |
| IT-dienstverlener | Hosting en beheer van financiële applicaties | De betrouwbaarheid van boekhoud- en ERP-systemen | Klanten met een controleplichtige jaarrekening, financiële instellingen |
| Pensioenuitvoerder | Pensioenadministratie, premie-inning, uitkeringen | Pensioenverplichtingen, premies en uitkeringen | Pensioenfondsen en hun accountants |
| Administratiekantoor | Boekhouding, debiteuren en crediteuren | Omzet, kosten, vorderingen en schulden | Accountants van klanten |
| Vermogensbeheerder of fondsadministrateur | Beleggingsadministratie, waardebepaling | Beleggingen en resultaten | Fondsen, institutionele beleggers |
| Betaaldienstverlener | Verwerking van betalingen en incasso’s | Omzet en kasstromen | Webwinkels, accountants van klanten |
Salarisverwerkers en payroll-software
Salarisverwerking is het schoolvoorbeeld van ISAE 3402. Een fout in de verloning leidt direct tot verkeerde loonkosten en loonheffingen bij de klant. Grote softwareleveranciers en salarisbureaus publiceren daarom jaarlijks een type 2-rapport voor hun klanten.
Bij een salarisbureau draait het rapport om mutaties, berekeningen, aangiftes en betalingen. Een uitgewerkt voorbeeld van zo’n beheersingsdoelstelling met control matrix staat in het ISAE 3402 stappenplan.
IT-dienstverleners
Een IT-dienstverlener raakt de jaarrekening van klanten niet direct, maar wel via de systemen. Als het boekhoudsysteem van een klant bij jou draait, wil de accountant weten of niemand ongeautoriseerd gegevens kan wijzigen, en of back-ups werken.
Het rapport gaat dan over algemene IT-beheersmaatregelen: toegangsbeheer, wijzigingsbeheer, back-up en herstel, en beheer van de infrastructuur. Let op de grens. Willen klanten ook weten of hun gegevens vertrouwelijk blijven, dan is dat een beveiligingsvraag. Daarvoor past een ISAE 3000- of SOC 2-rapport beter.
Pensioenuitvoerders
Veel pensioenfondsen besteden de administratie uit aan een pensioenuitvoerder. Het fonds blijft verantwoordelijk voor het uitbestede werk en moet aantonen dat het dat beheerst. Fondsen en hun accountants vragen daarom bijna altijd om een ISAE 3402 type 2-rapport van de uitvoerder.
Het rapport beslaat dan processen als het verwerken van dienstverbanden, premie-inning, pensioenopbouw en uitkeringen. Zulke rapporten zijn vaak groot, met tientallen beheersingsdoelstellingen. Welke processen je klant nodig heeft en wat de accountant wil zien, werk je uit op ISAE 3402 voor pensioenuitvoerders.
Administratiekantoren
Een administratiekantoor dat de boekhouding van klanten voert, valt onder ISAE 3402 als die klanten een accountantscontrole hebben. Voor een eenmanszaak zonder controleplicht is een rapport meestal te zwaar. Voor een kantoor dat de financiële administratie doet van middelgrote bedrijven, stichtingen of zorginstellingen wordt het steeds vaker gevraagd.
Een voorbeeld: een kantoor verwerkt de crediteurenadministratie van 40 zorgaanbieders. De accountants van die zorgaanbieders willen zekerheid dat alle facturen volledig en juist zijn geboekt en alleen na goedkeuring zijn betaald. Eén ISAE 3402-rapport scheelt het kantoor 40 losse controles per jaar.
Wanneer heb je ISAE 3402 niet nodig?
- Je dienst raakt de jaarrekening niet. Een marketingbureau of een ontwikkelaar van een planningstool heeft er niets aan.
- Je klanten hebben geen accountantscontrole. Dan is er niemand die het rapport gebruikt.
- Je klant vraagt eigenlijk om beveiliging. Dan past ISO 27001 of SOC 2 beter. Het verschil staat op ISAE 3402 of ISO 27001.
Wat de auditor wil zien bij een eerste gesprek
Een auditor vraagt eerst wie je klanten zijn en wat je voor ze doet. Daarmee bepaalt hij of ISAE 3402 de juiste standaard is. Zorg dat je kunt laten zien:
- welke diensten je levert en aan hoeveel klanten;
- welke stappen van jouw proces in de boekhouding van de klant terechtkomen;
- welke systemen je daarvoor gebruikt;
- welke klanten of accountants al om een rapport hebben gevraagd.
Veelgemaakte fouten bij de vraag of ISAE 3402 nodig is
- Op één klantvraag een rapport starten. Check of meer klanten erom vragen, en welk type.
- De scope te ruim nemen. Neem alleen de diensten op die de jaarrekening raken.
- Het verschil met SOC 1 niet kennen. Amerikaanse klanten vragen om SOC 1. Inhoudelijk is dat dezelfde vraag, en veel kantoren kunnen beide in één rapport combineren.
Veelgestelde vragen over voor wie ISAE 3402 is
Is ISAE 3402 verplicht?
ISAE 3402 is in het algemeen geen wettelijke verplichting. De plicht ontstaat via je klanten: hun accountant moet zekerheid hebben over uitbesteed werk, en zij leggen die vraag bij jou neer. In contracten en aanbestedingen staat het daarom vaak als harde eis.
Heb ik ISAE 3402 nodig als kleine salarisverwerker?
Dat hangt af van je klanten. Bedien je vooral kleine ondernemers zonder controleplicht, dan vraagt waarschijnlijk niemand erom. Werk je voor middelgrote werkgevers met een accountantscontrole, dan krijg je de vraag vroeg of laat. Begin dan met een type 1 en een beperkte scope.
Moet mijn eigen leverancier ook een rapport hebben?
Als die leverancier een rol speelt in jouw proces, wil je auditor weten hoe je dat beheerst. De makkelijkste route is dat de leverancier een eigen ISAE 3402- of ISAE 3000-rapport heeft. Jouw rapport verwijst daar dan naar volgens de carve-out-methode uit het stappenplan.
Hoe weet ik welk type mijn klant wil?
Vraag het na en kijk in het contract. In de praktijk bedoelen klanten bijna altijd type 2. Het verschil staat op ISAE 3402 type 1 vs type 2.
Meer informatie
- Wat is ISAE 3402?: de basis
- ISAE 3402 kosten en doorlooptijd: wat een traject vraagt
- ISAE 3402 type 1 vs type 2: welk rapport je klant verwacht
- SOC 2 vs SOC 1: de Amerikaanse rapporten naast elkaar