René denkt vrijblijvend met u mee: waar u staat, wat er echt nodig is en wat kan wachten.
ISAE 3000 is de internationale standaard voor assurance over niet-financiële onderwerpen, zoals informatiebeveiliging, privacy en beschikbaarheid. Assurance betekent dat een onafhankelijke auditor een onderbouwd oordeel geeft. ISAE 3402 is de variant voor beheersmaatregelen die de financiële verslaggeving van uw klanten raken. Beide leveren een verklaring op over uw beheersmaatregelen.
Een ISAE-verklaring is geen certificaat. Het is een rapport met een oordeel, bedoeld voor uw klanten en hun accountants. Daar zit ook de kracht: het laat precies zien welke maatregelen zijn getoetst en hoe ze werkten.
In dit artikel leest u wanneer u ISAE 3402 of ISAE 3000 kiest en wat type I en type II zijn. Ook ziet u hoe een ISAE-verklaring zich verhoudt tot ISO 27001. Voor het hele landschap van normen en wetten, zie het overzicht informatiebeveiliging.
Wat assurance betekent
Assurance is een onafhankelijk oordeel over een onderwerp, gemeten aan vaste criteria. De internationale standaarden daarvoor komen van de IAASB, de internationale standaardzetter voor accountants. De officiële titel van ISAE 3000 zegt het al: assurance-opdrachten anders dan de controle of beoordeling van historische financiële informatie.
In Nederland zijn de standaarden overgenomen in eigen regels. Accountants werken met Standaard 3402 en Standaard 3000A van de NBA, IT-auditors met vergelijkbare richtlijnen van NOREA. De verklaring komt dus van een registeraccountant (RA) of een register-IT-auditor (RE).
ISAE 3000 kent twee niveaus van zekerheid. Bij een redelijke mate van zekerheid geeft de auditor een positief oordeel. Bij een beperkte mate doet de auditor minder werk en formuleert hij voorzichtiger: er is niets gebleken dat erop wijst dat het niet klopt. Voor beheersmaatregelen bij dienstverleners is de redelijke mate van zekerheid gebruikelijk.
ISAE 3402: als het de jaarrekening van uw klant raakt
ISAE 3402 gaat over beheersmaatregelen bij een serviceorganisatie die relevant zijn voor de financiële verslaggeving van haar klanten. Denk aan een salarisverwerker, een administratiekantoor of een partij die een financieel pakket host en beheert.
De belangrijkste lezer is de accountant van uw klant. Die controleert de jaarrekening en wil weten of hij kan steunen op wat er bij u gebeurt. Met één ISAE 3402-verklaring hoeft niet elke accountant van elke klant zelf bij u langs te komen.
In de Amerikaanse terminologie heet dit een SOC 1-rapport. Hoe zo’n traject verloopt, leest u bij de ISAE 3402-verklaring.
ISAE 3000: voor beveiliging, privacy en meer
Gaat uw dienst niet over financiële verslaggeving, maar over het veilig en beschikbaar houden van systemen en gegevens, dan past ISAE 3000. Denk aan een SaaS-leverancier met HR-gegevens, een hostingpartij of een leverancier van zorgsoftware.
Bij ISAE 3000 kiest u het normenkader in overleg met de auditor. Veel organisaties nemen de Trust Services Criteria van de AICPA, dezelfde criteria als bij SOC 2. NOREA heeft voor die combinatie een handreiking uitgebracht. Wat een SOC 2-rapport inhoudt, staat in SOC 2 type 2.
Een ander kader kan ook, zoals maatregelen uit ISO 27002 of een normenkader dat u met klanten afspreekt. Voorwaarde is dat de criteria geschikt zijn en beschikbaar voor de lezers van het rapport.
Liever even luisteren? René van der Horst sprak in de QENSORA-podcast over compliance, en over wat de Cyberbeveiligingswet en de Cyber Resilience Act betekenen voor product- en softwareteams.
Het verschil tussen ISAE 3000 en ISAE 3402 op een rij
| ISAE 3402 | ISAE 3000 | |
|---|---|---|
| Onderwerp | Beheersing die de financiële verslaggeving van klanten raakt. | Niet-financiële onderwerpen, zoals beveiliging en privacy. |
| Belangrijkste lezer | De accountant van uw klant. | Uw klant zelf, inkoop en toezichthouders. |
| Normenkader | Beheersdoelstellingen die u zelf formuleert. | Een gekozen kader, zoals de Trust Services Criteria. |
| Mate van zekerheid | Redelijk. | Redelijk of beperkt. |
| Amerikaanse tegenhanger | SOC 1. | SOC 2, bij gebruik van de Trust Services Criteria. |
De vuistregel is eenvoudig. Vraagt de accountant van uw klant erom, dan gaat het meestal om ISAE 3402. Gaat de vraag over beveiliging, beschikbaarheid of privacy, dan ligt ISAE 3000 meer voor de hand. Raakt uw dienst beide, dan kunnen twee verklaringen nodig zijn.
Type I en type II: moment of periode
Er bestaan twee typen verklaringen. Een type I-verklaring beoordeelt of de maatregelen op een bepaalde datum goed zijn beschreven en opgezet. Een type II-verklaring beoordeelt ook of ze gedurende een periode effectief hebben gewerkt.
Volgens Standaard 3402 van de NBA beslaat een type 2-rapport doorgaans minimaal zes maanden. Een periode die aansluit op het boekjaar van uw klanten, is voor hun accountants het prettigst. Bij ISAE 3000 bepaalt u de periode in overleg met de auditor.
Wie om een ISAE 3000-verklaring vraagt en wie hem afgeeft
De vraag komt meestal van buiten. Soms wil een klant zekerheid over de dienst die hij afneemt. Soms neemt een inkoopafdeling het op in een aanbesteding, of vraagt de accountant van een klant erom. Ook financiële instellingen die onder de DORA-wetgeving vallen, vragen hun ICT-leveranciers om aantoonbaar bewijs.
De verklaring zelf komt van een onafhankelijke RA of RE. Die onafhankelijkheid is de kern van assurance. Wie u helpt met de voorbereiding, kan daarom niet ook de verklaring tekenen.
Een ISAE-verklaring is bestemd voor uw klanten en hun accountants, niet voor een breed publiek. NOREA waarschuwt ervoor een 3402-verklaring te presenteren als kwaliteitskeurmerk. Vertel op uw website gerust dat u een verklaring heeft en hoe klanten die kunnen opvragen.
ISAE 3000 of ISO 27001?
Een ISO 27001-certificaat en een ISAE 3000-verklaring vullen elkaar aan. ISO 27001 toont aan dat u een managementsysteem voor informatiebeveiliging heeft dat werkt en verbetert. Een ISAE 3000-verklaring laat zien dat specifieke maatregelen voor een specifieke dienst hebben gewerkt, met de tests erbij.
Ook de toetser verschilt. Het ISO 27001-certificaat komt van een geaccrediteerde certificatie-instelling, de ISAE-verklaring van een RA of RE. Een logische route is beginnen met ISO 27001 en een ISAE 3000-verklaring toevoegen als klanten om meer detail vragen. De maatregelen uit uw managementsysteem vormen dan de basis van het normenkader. Lees meer in wat is ISO 27001.
Vier misverstanden over ISAE-verklaringen
Rond assurance bestaan een paar hardnekkige misverstanden. Wie ze kent, voorkomt teleurstelling bij klanten en bij uzelf.
- Het is een keurmerk voor de hele organisatie. Een verklaring gaat over specifieke maatregelen, voor een specifieke dienst, op een datum of over een periode. Daarbuiten zegt hij niets.
- Type I is genoeg. Een type I-verklaring laat alleen de opzet zien. Accountants en afnemers willen meestal weten of de maatregelen ook hebben gewerkt.
- De verklaring dekt al onze diensten. De scope staat in de beschrijving van het systeem. Wat daar niet in staat, is niet getoetst.
- Eén keer en klaar. Een type II-verklaring gaat over een afgesloten periode. Klanten vragen daarom steeds om een recente versie.
Zo verloopt een ISAE 3000-traject
Begin bij de vraag van uw klant: welke dienst, welke zorgen, welk kader. Een nulmeting laat zien wat er al ligt en waar bewijs ontbreekt. Daarna richt u de maatregelen in, zodat bewijs tijdens het werk ontstaat en niet achteraf.
Na de eerste type II-verklaring volgt meestal elk jaar een nieuwe, over de periode daarna. Wie het bewijs in het dagelijkse werk heeft ingebouwd, merkt dat elke ronde minder moeite kost.
Veelgestelde vragen over ISAE 3000
Wat is het verschil tussen ISAE 3402 en ISAE 3000?
ISAE 3402 gaat over beheersmaatregelen die de financiële verslaggeving van uw klanten raken; de accountant van uw klant is de belangrijkste lezer. ISAE 3000 is breder en wordt gebruikt voor onderwerpen als beveiliging, beschikbaarheid en privacy. Welke past, hangt af van wie erom vraagt en waarom.
Is een ISAE-verklaring een certificaat, net als ISO 27001?
Nee. Een ISAE-verklaring is een assurance-rapport met het oordeel van een onafhankelijke auditor. Het is bestemd voor uw klanten en hun accountants. Een certificaat komt van een certificatie-instelling en toetst een managementsysteem tegen een norm.
Wie mag een ISAE-verklaring afgeven?
Een registeraccountant (RA) of een register-IT-auditor (RE) die onafhankelijk is van uw organisatie. Accountants werken volgens de standaarden van de NBA, IT-auditors volgens de richtlijnen van NOREA. Een adviseur die u helpt met de voorbereiding, kan de verklaring niet zelf afgeven.
Hoe lang duurt een ISAE 3000-traject?
Dat hangt af van uw startpunt en van de periode van de type II-verklaring. Voor ISAE 3402 geldt doorgaans een periode van minimaal zes maanden; bij ISAE 3000 kiest u de periode in overleg met de auditor. Reken op een traject van meerdere maanden, met daarna meestal een jaarlijkse herhaling.
Kan ik ISAE 3000 combineren met SOC 2?
Ja. Een Nederlandse register-IT-auditor kan onder ISAE 3000 rapporteren aan de hand van de Trust Services Criteria, de criteria van SOC 2. Zo’n rapport lijkt inhoudelijk op een SOC 2-rapport. Het AICPA-logo mag u er niet bij gebruiken.
Eerst de vraag, dan de verklaring
Of u ISAE 3402 of ISAE 3000 nodig heeft, hangt af van wie erom vraagt en waarom. Wie dat eerst helder heeft, kiest het juiste kader en voorkomt een traject waar niemand iets aan heeft.
Hoe assurance past naast normen en wetten, staat in het overzicht informatiebeveiliging. Voor de voorbereiding: de ISAE 3402-verklaring en de SOC 2-verklaring.
