ISAE 3402-verklaring

Wat is ISAE 3402?

Een ISAE 3402-verklaring is een onafhankelijk oordeel door een gecertificeerde IT-auditor (RE) over de kwaliteit van (financiële) processen, die zijn uitbesteed aan een derde partij (outsourcing). Organisaties besteden steeds meer non-core processen uit aan serviceorganisaties. Denk hierbij aan bijvoorbeeld salarisverwerking of factuurscanning. Door de uitbesteding wordt men voor de kwaliteit en beheersing van deze uitbestede processen afhankelijk van die serviceorganisaties.

Door hogere eisen in wet- en regelgeving en het moeten kunnen aantonen van interne beheersing, neemt de vraag naar meer zekerheden over de kwaliteit en de beheersing van uitbestede diensten toe. Financiële instellingen, beursgenoteerde organisaties en professionele bedrijven vragen daarom vaak van de serviceorganisatie een ISAE 3402-verklaring.

ISAE 3402 is de internationaal erkende assurance standaard voor outsourcing. Met een ISAE 3402-rapport kunt u als serviceorganisatie aantonen dat de processen die aan u uitbesteed zijn, betrouwbaar worden uitgevoerd en dat de informatie voldoende beveiligd is.

Voordelen ISAE 3402 voor uw serviceorganisatie

• U heeft een rapport volgens een internationaal erkende standaard.
• U heeft een streepje voor in aanbestedingstrajecten.
• De kwaliteit van uitbestede processen is aantoonbaar gewaarborgd aan uw klanten.
• De accountant van een gebruikersorganisatie van uw klanten kan steunen op deze rapportage voor de audit van een jaarrekening.
• Het is niet langer noodzakelijk dat opdrachtgevers auditors bij u langs sturen.

Verschillen ISAE 3402 en SOC 2

Een ISAE 3402-rapport is vergelijkbaar met een SOC 2-rapport. Beide zijn een rapport, opgesteld volgens de ISAE 3000-standaarden. Het grote verschil is dat een SOC 2-rapport zich toespitst op de uitbestede IT-processen van IT-serviceorganisaties, terwijl een ISAE 3402-rapport gericht is op alle uitbestede (financiële) processen van serviceorganisaties. Dus niet alleen IT-processen, maar ook bijvoorbeeld financiële dienstverlening, zoals de uitvoering van een pensioenregeling.

Bij ISAE 3402 zijn de beheersdoelstellingen vormvrij en worden gedefinieerd door de serviceorganisaties op basis van de klantvereisten. SOC 2 kent voor de IT-processen vast gedefinieerde beheersdoelstellingen m.b.t. beveiliging, beschikbaarheid, integriteit, vertrouwelijkheid en/of privacy. SOC 2 is dus meer een 'standaard' rapportage en wordt o.a. om die reden steeds meer gevraagd.

Uiteindelijk is vaak de vraag van uw klant doorslaggevend voor welke rapportage gekozen wordt. Een assurance-rapportage is nooit een verplichting, maar kan leiden tot een effectievere samenwerking en meer vertrouwen tussen leverancier en klant.

Onze ISAE 3402 audit ondersteuning

2-Control bestaat uit een enthousiast team van geregistreerde IT-auditors (RE) die u op korte termijn kunnen helpen met een ISAE 3402-verklaring. We hebben jarenlange ervaring met het succesvol implementeren en beoordelen van ISAE 3402-trajecten bij serviceorganisaties.

Aangezien een ISAE 3402-rapportage vaak ook een relatie heeft met de processen van de jaarrekening is het van grote meerwaarde dat onze RE's kennis hebben van zowel financiële processen en IT-processen.