Wat is een ISAE 3402 Audit?

Afnemers willen graag een onafhankelijk oordeel over de kwaliteit van hun dienstverleners door inzicht in de beheersing van uitbestede financiële processen. Met een ISAE 3402 audit kunt u aan deze klantvraag voldoen. De ISAE 3402 assurance verklaring gaat in op de beheersing van de risico’s gerelateerd aan de financiële processen. Hierbij zijn de beheersingsdoelstellingen en -maatregelen af te stemmen op de gebruikers van deze processen en/of diensten en hun accountants.

Wat is een ISAE 3402 Audit?

ISAE (International Standard for Assurance Engagements) is een audit standaard die zekerheid kan bieden bij uitbestede financiële processen en/of diensten. Afnemers willen graag een onafhankelijk oordeel over de kwaliteit van hun dienstverleners door inzicht in de beheersing van uitbestede financiële processen.

Wat is het verschil tussen een type I of type II audit?

Vaak wordt gesproken over een Type I of Type II rapportage. Maar wat houdt dat nu in en wat is het verschil? Laten we beginnen om te stellen dat beide veel overeenkomsten hebben en dat het verschil met name in de diepgang zit. Bij een Type I audit wordt de opzet van de interne beheersingsmaatregelen beoordeeld en het bestaan vastgesteld op een specifiek moment. Wanneer de auditor een type II audit uitvoert, wordt ook de effectieve werking over een periode van minimaal zes maanden gecontroleerd.

Wat is het verschil met een ISAE 3000/SOC2 audit?

De SOC 2 audit is niet gericht op alleen de financiële processen maar op de ‘Trust Service Criteria’ zoals gedefinieerd door de American Institute of Certified Public Accountants (AICPA). Deze Trust Service Criteria zijn Security, Availability (Beschikbaarheid), Processing Integrity (Integriteit), Confidentiality (Geheimhouding) en Privacy. Hiermee is de SOC 2 veel meer gericht op informatiebeveiliging en privacy en niet alleen op de financiële processen zoals dit bij een ISAE 3402 het geval is.

De ISAE 3402 standaard wordt toegepast wanneer financiële processen zijn uitbesteed aan een service organisatie. Denk aan een salarisverwerker, backoffice dienstverlener of vermogens- of debiteurenbeheer. De ISAE 3000 assurance opdracht is veel breder toepasbaar dan alleen de beheersing van uitbestede financiële processen. Zo kan een ISAE 3000 assurance opdracht zekerheid geven bij security diensten, privacy beheersing (o.a. GDPR/AVG), ENSIA, DigiD etc.

Voor welke organisatie is deze rapportage interessant?

Deze standaard wordt toegepast wanneer financiële processen zijn uitbesteed aan een service organisatie. Denk aan een salarisverwerker, backoffice dienstverlener of vermogens- of debiteurenbeheer. Het gaat hier dus om partijen die een dienst uitvoeren waarbij zekerheid voor de financiële verantwoording noodzakelijk is.

Hoe is een ISAE 3402 rapportage te verkrijgen?

Voor een ISAE 3402 rapportage heeft u normen nodig op basis waarvan getoetst kan worden. In de rapportage wordt het normenkader en de aanwezige interne beheersing beschreven. Aspecten die hier aan bod komen zijn de organisatie- en overlegstructuur, doelstellingen, risicomanagement, toezicht en beheersingsmaatregelen. Door deze rapportage heeft uw klant dus niet alleen inzicht in de betrouwbaarheid en de kwaliteit van uw dienstverlening. Ook heeft hij/zij een externe bevestiging (TPM) dat uw interne beheersing bestaat en effectief werkt.