Normwijzer.nlHulp bij certificering in Nederland

Hulp nodig bij SOC 2?

Wij helpen je verder. Vertel wat je nodig hebt en wij brengen je in contact met tot 3 specialisten in SOC 2.

Waar kunnen we je mee helpen?
Skip to Content
SOC 2RE-auditor en SOC 2

Register EDP-auditor en SOC 2: mag een RE-auditor het rapport afgeven?

Een RE (Register EDP-auditor) is een IT-auditor die is ingeschreven in het register van NOREA , de beroepsorganisatie voor IT-auditors in Nederland. Volgens Kiwa  gebruik je bij een SOC 2-onderzoek de ISAE 3000-richtlijn, en NOREA publiceerde in 2016 een handreiking voor SOC 2-rapporten . Een RE mag dus een SOC 2-rapport onder ISAE 3000 afgeven, mits hij of zij onafhankelijk is van je organisatie. Let op: NOREA noemt dat rapport een SOC 2-equivalent. Strikt genomen is een AICPA-rapport werk van een CPA-kantoor. Lees meer over de Nederlandse context en het verschil met ISAE 3402.

Dit is een uitleg van de hoofdlijnen, geen juridisch advies. Of een specifieke auditor een specifiek SOC 2-rapport mag tekenen, hangt af van de beroepsregels van NOREA en de opdrachtvoorwaarden. Vraag de bevestiging daarom altijd op voordat je een auditor inhuurt.

Wat is een RE-auditor precies?

De RE-titel wordt door NOREA verleend. Je rondt een erkende post-masteropleiding IT-audit af (NOREA noemt minimaal 4.500 studie-uren) en kunt daarna minimaal drie jaar praktijkervaring aantonen. Een RE verbindt zich aan de gedrags- en beroepsregels van NOREA. Volgens NOREA zelf zijn er ongeveer 1.800 RE’s ingeschreven. NOREA meldt ook dat de organisatie door de NBA (de Nederlandse beroepsorganisatie van accountants) is geaccrediteerd.

Dat maakt de RE-titel iets anders dan de registeraccountant (RA). Een RA is in de eerste plaats financieel accountant. Een RE is gespecialiseerd in IT-beheersing, informatiebeveiliging en de controls die daarbij horen. Voor een SOC 2 gaat het om die laatste categorie: toegangsbeheer, logging, change management en back-ups.

VraagAntwoord in de praktijk
Wie verleent de titel?NOREA, niet de NBA
Wat is de opleidingseis?Erkende post-masteropleiding IT-audit (minimaal 4.500 studie-uren)
Hoeveel ervaring is nodig?Minimaal drie jaar praktijkervaring
Wat houdt de titel in?Registratie en gedrags- en beroepsregels van NOREA
Waar controleer je dit?Op de website van NOREA 

Welke standaard past bij een SOC 2 in Nederland?

Een SOC 2 is in de kern een assurance-rapport over je beveiligingscontroles, gebaseerd op de Trust Services Criteria van de AICPA. In Nederland wordt dat rapport uitgevoerd onder ISAE 3000, de internationale standaard voor assurance buiten de jaarrekening. NOREA beschrijft het resultaat als een SOC 2-equivalent op basis van de AICPA-criteria. De auditor geeft een oordeel over de beschrijving van je systeem en de werking van je controls, en legt dat vast in een rapport.

Het is belangrijk om twee dingen uit elkaar te houden. De ene standaard is de inhoud van het rapport, de andere is de bevoegdheid van de auditor die het tekent. Een RE-auditor kan een ISAE 3000-opdracht uitvoeren. Een rapport onder de AICPA-standaarden zelf tekent volgens meerdere adviesbureaus een CPA-kantoor met Amerikaanse licentie. Daarom wordt een Nederlands rapport niet automatisch overal geaccepteerd. Dat vraagstuk behandelen we op de pagina over Amerikaanse klanten en een Nederlandse auditor.

Het voorbeeld: een SaaS-bedrijf in Utrecht

Een fictief voorbeeld. Een SaaS-bedrijf met twintig medewerkers wil een SOC 2 Type II rapport. Het zoekt een auditor en ziet drie aanbieders:

AanbiederTitel auditorStandaardPast bij deze vraag?
Kantoor ARE, geregistreerd bij NOREAISAE 3000Ja, voor Nederlandse en Europese klanten
Kantoor BConsultant zonder auditbevoegdheidGeen assuranceNee, dit is readiness-werk, geen rapport
Kantoor CRA (registeraccountant) met IT-auditervaringISAE 3000Onbevestigd: vraag na of de opdracht binnen de bevoegdheid valt

Het bedrijf kiest voor kantoor A, maar vraagt eerst schriftelijk of de RE-auditor het SOC 2-rapport onder ISAE 3000 mag tekenen en of de onderliggende controls binnen de scope van zijn bevoegdheid vallen. Het antwoord komt in de opdrachtbevestiging te staan. Zo voorkom je dat je na zes maanden werk een rapport krijgt dat je klant niet accepteert.

Checklist voordat je een RE-auditor inhuurt

  • Staat de auditor in het register van NOREA? Controleer de naam en het registratienummer.
  • Welke standaard gebruikt de auditor voor het SOC 2-rapport? Vraag om ISAE 3000 of een andere onderbouwde standaard.
  • Is de auditor onafhankelijk? Een partij die je controls heeft ingericht, mag ze niet zelf beoordelen.
  • Staat de opdracht schriftelijk, met de scope en de Trust Services Criteria die meegaan?
  • Weet je klant welke standaard zij accepteren? Dat is de vraag die de meeste trajecten laat vastlopen.

Veelgemaakte fouten

Titel en bevoegdheid door elkaar halen. “Een RA of RE kan alles” is niet waar. De titel zegt iets over het register en de opleiding. Of een auditor een specifiek rapport mag tekenen, volgt uit de beroepsregels en de opdracht.

Alleen op de titel afgaan. Een auditor die zich “IT-auditor” noemt, is niet automatisch een RE. Controleer het register.

Rapport laten tekenen door een partij die ook de controls heeft ingericht. Dan is er geen onafhankelijkheid. Die partij mag hooguit helpen met de voorbereiding, zoals beschreven op de pagina over de interne auditor.

Geen afspraak over de standaard. Veel bedrijven ontdekken pas aan het eind dat hun klant een andere standaard vraagt. Leg dat vooraf vast.

Wat zegt de auditor over jouw traject?

Een RE-auditor beoordeelt dezelfde dingen als elke andere auditor: policies, bewijs, werking van de controls en de rapportage. Het verschil zit vooral in de focus op IT-beheersing. Voor de volledige route van de audit, van kickoff tot rapport, zie het auditproces en het stappenplan.

Als je nog niet zeker weet of je klaar bent voor een officiële audit, begin dan met een readiness assessment. Die kan ook door een andere partij worden gedaan dan de auditor die het rapport tekent, en dat scheelt je een onafhankelijkheidsvraag.

Wat mag je van een RE-auditor verwachten?

Een RE-auditor levert meer dan een handtekening. Bij een goede opdracht krijg je de volgende onderdelen, en die kun je vooraf bespreken.

  • Een opdrachtbevestiging met scope, periode en de Trust Services Criteria die meegaan.
  • Een planning die aansluit op je observatieperiode, zodat de testdata klopt met de periode die je klant wil zien.
  • Een korte lijst van de bewijsstukken die de auditor wil zien, vooraf in plaats van halverwege de opdracht.
  • Een toelichting op de uitzonderingen als die er zijn, met de tijd die nodig is om die te bespreken.
  • Een auditorsverklaring die de standaard noemt waaronder het rapport is opgesteld.

Let op het laatste punt. Een verklaring zonder vermelding van de standaard is lastiger uit te leggen aan een klant. Vraag je auditor om die vermelding expliciet op te nemen.

Een kleine check voordat je tekent

Loop deze vragen na met je auditor. Het kost een kwartier en voorkomt later het grootste gedoe.

  1. Op welke grond mag jij dit SOC 2-rapport tekenen?
  2. Welke standaard volgen we, en is die voor onze klanten bruikbaar?
  3. Wie in ons team is het aanspreekpunt, en wie beslist over uitzonderingen?
  4. Wat gebeurt er als de observatieperiode langer duurt dan gepland?
  5. Mogen we het rapport delen met klanten, en onder welke voorwaarden?

De antwoorden leggen vast waar je aan toe bent. Schrijf ze op in het dossier van de opdracht.

Meer informatie

Bronnen

SOC 2 in NederlandAmerikaanse klanten en een Nederlandse auditor