ISAE 3402 vs SOC 2: wat is het verschil?
Het verschil tussen ISAE 3402 en SOC 2 zit vooral in de doelstelling van het rapport. ISAE 3402 richt zich op interne beheersing van processen die invloed hebben op de financiële verslaggeving van klanten. SOC 2 richt zich op informatiebeveiliging en de overige Trust Services-categorieën die binnen het afgesproken toepassingsgebied vallen.
In dit artikel leest u wat ISAE 3402 en SOC 2 inhouden, wat de belangrijkste verschillen zijn en in welke situaties een combinatie logisch kan zijn. De keuze hangt af van uw dienstverlening en de eisen van uw klanten.
ISAE 3402 vs SOC 2 in één overzicht
Vergelijk hieronder de doelstelling, de beoogde gebruikers en de verschillende rapporttypen.
| Onderdeel | ISAE 3402 | SOC 2 |
|---|---|---|
| Focus | Beheersingsmaatregelen die relevant zijn voor de financiële verslaggeving van uw klanten. | Informatiebeveiliging en de overige Trust Services-categorieën die binnen het toepassingsgebied vallen. |
| Voorbeelden van toepassing | Uitbestede activiteiten zoals salarisverwerking, financiële administratie en transactieverwerking. | Dienstverlening zoals SaaS, cloudhosting en de verwerking van klantgegevens. |
| Normenkader | De internationale assurance-standaard ISAE 3402, met beheersingsdoelstellingen die relevant zijn voor financiële verslaggeving. | De attestation-standaarden van de AICPA en de toepasselijke Trust Services Criteria. |
| Beoogde gebruikers | Klantorganisaties en hun accountants die de financiële overzichten controleren. | Klanten en andere aangewezen gebruikers die gedetailleerde zekerheid nodig hebben over de beheersing van systemen. |
| Type I | Beoordeling van de systeembeschrijving en de geschiktheid van de opzet van beheersingsmaatregelen op een specifiek moment. | Beoordeling van de systeembeschrijving en de geschiktheid van de opzet van beheersingsmaatregelen op een specifiek moment. |
| Type II | Aanvullend wordt beoordeeld of de beheersingsmaatregelen over een vastgestelde periode effectief hebben gewerkt. | Aanvullend wordt beoordeeld of de beheersingsmaatregelen over een vastgestelde periode effectief hebben gewerkt. |
| Resultaat | Een onafhankelijk assurance-rapport over de afgesproken beheersingsdoelstellingen voor financiële verslaggeving. | Een onafhankelijk assurance-rapport over de Trust Services-categorieën binnen het toepassingsgebied. |
De eisen van uw klant zijn het uitgangspunt. Deze voorbeelden zijn indicatief. Uw sector bepaalt niet op zichzelf welk rapport u nodig heeft. Bij SOC 2 wordt afgesproken welke Trust Services-categorieën binnen het toepassingsgebied vallen.
Welk rapport vraagt uw klant?
Bespreek uw dienstverlening en de rapportagevraag van uw klant met Brand Compliance. Tijdens een kennismakingsgesprek kunt u het toepassingsgebied en het verloop van een onafhankelijk audittraject bespreken.
Lees wat u van een kennismakingsgesprek kunt verwachten en vraag een gesprek aan.
Wat is ISAE 3402?
ISAE 3402 is een internationale assurance-standaard voor serviceorganisaties die invloed hebben op de financiële verslaggeving van hun klanten. Met een ISAE 3402-rapport toont u aan dat relevante interne beheersingsmaatregelen zijn ingericht en, afhankelijk van het type rapport, ook effectief werken.
ISAE 3402 is met name relevant voor organisaties zoals:
- payroll- en salarisadministratiebedrijven
- financiële dienstverleners
- outsourcingpartners van financiële processen
- trustkantoren en beleggingsinstellingen
ISAE 3402 Type I en Type II
- ISAE 3402 Type I: hierbij wordt beoordeeld of de beheersingsmaatregelen op een specifiek moment goed zijn ingericht.
- ISAE 3402 Type II: hierbij wordt niet alleen gekeken naar de opzet, maar ook naar de werking van de maatregelen over een vastgestelde periode.
Wat is SOC 2?
SOC 2 is een rapportageraamwerk dat is ontwikkeld door het American Institute of Certified Public Accountants (AICPA). Dit rapport is bedoeld voor serviceorganisaties die zekerheid willen bieden over informatiebeveiliging en de overige Trust Services-categorieën die binnen het afgesproken toepassingsgebied vallen.
SOC 2 is vooral relevant voor:
- IT- en cloudserviceproviders
- Software-as-a-Service (SaaS)-bedrijven
- hostingproviders en datacenters
- organisaties die klantgegevens verwerken
Trust Services Criteria
Een SOC 2-rapport is gebaseerd op de zogeheten Trust Services Criteria. Dit zijn beoordelingscriteria voor de betrouwbaarheid van systemen en processen.
De vijf categorieën zijn:
- Beveiliging: bescherming tegen ongeautoriseerde toegang tot en openbaarmaking van systemen en gegevens.
- Beschikbaarheid: waarborging dat informatie en systemen beschikbaar zijn voor gebruik zoals vereist.
- Verwerkingsintegriteit: beheersing van de volledigheid, geldigheid, nauwkeurigheid, tijdigheid en autorisatie van gegevensverwerking.
- Vertrouwelijkheid: bescherming van informatie die binnen het systeem als vertrouwelijk is gedefinieerd.
- Privacy: beheersing van het verzamelen, gebruiken, bewaren, verstrekken en verwijderen van persoonsgegevens.
In het rapport staat welke categorieën zijn opgenomen. Niet ieder SOC 2-rapport behandelt alle vijf categorieën. De gemeenschappelijke criteria zijn van toepassing op alle geselecteerde categorieën.
Lees meer over de betekenis en criteria van SOC 2-compliance.
SOC 2 Type I en Type II
- Type I: beoordeling van de systeembeschrijving en de geschiktheid van de opzet van beheersingsmaatregelen op een specifiek moment.
- Type II: beoordeling van de opzet én de effectieve werking van de maatregelen over een vastgestelde periode. Het rapport bevat ook de uitgevoerde toetsingen en de resultaten daarvan.
Vraagt uw klant om bewijs dat beheersingsmaatregelen over een periode effectief hebben gewerkt? Dan is een Type I-rapport alleen onvoldoende.
Hoe verschillen SOC 1 en SOC 3 van SOC 2?
SOC 1 betreft de beoordeling van interne beheersingsmaatregelen die relevant zijn voor de financiële verslaggeving van klanten. Denk aan organisaties die diensten leveren zoals salarisverwerking, schadeafhandeling of financiële transacties. Net als ISAE 3402 heeft SOC 1 een doelstelling op het gebied van financiële verslaggeving, maar het gebruikt Amerikaanse attestation-standaarden. Ook binnen SOC 1 bestaan Type I- en Type II-rapporten.
SOC 3 is een rapport voor algemeen gebruik op basis van de toepasselijke Trust Services Criteria. SOC 3-rapporten zijn minder gedetailleerd dan SOC 2-rapporten en zijn geschikt voor openbare verspreiding.
Wat is het verschil tussen ISAE 3402 en SOC 2?
Het verschil tussen ISAE 3402 en SOC 2 zit vooral in de doelstelling van het rapport. ISAE 3402 richt zich op beheersingsmaatregelen die relevant zijn voor de financiële verslaggeving van klanten. SOC 2 richt zich op beheersingsmaatregelen op basis van de toepasselijke Trust Services Criteria binnen het afgesproken toepassingsgebied.
Beide rapporten kunnen betrekking hebben op dezelfde beheersingsmaatregelen, zoals toegangsbeheer of wijzigingsbeheer. De beoordeling vindt dan plaats vanuit verschillende doelstellingen.
Is ISAE 3402 hetzelfde als SOC 2?
Nee. Een ISAE 3402-rapport vervangt geen SOC 2-rapport en andersom. Controleer welk rapport uw klant vraagt, welk toepassingsgebied daarbij hoort en of een Type I- of Type II-rapport wordt verwacht.
Wanneer kiest u voor ISAE 3402 of SOC 2?
Begin bij de zekerheid die uw klanten nodig hebben. Welke activiteiten besteden zij aan uw organisatie uit en wat verwachten zij dat het rapport daarover aantoont?
U kiest voor ISAE 3402 als…
Uw dienstverlening invloed heeft op de financiële verslaggeving van klanten en hun accountants zekerheid nodig hebben over de relevante beheersingsmaatregelen.
Voorbeelden: salarisverwerking, financiële administratie en transactieverwerking.
U kiest voor SOC 2 als…
Uw klanten zekerheid willen over uw informatiebeveiliging en de overige Trust Services-categorieën die binnen het toepassingsgebied van uw rapport zijn afgesproken.
Voorbeelden: SaaS-platforms, cloudhosting en diensten waarbij u klantgegevens verwerkt.
Vragen uw klanten om zekerheid over zowel financiële verslaggeving als informatiebeveiliging? Dan kunnen beide rapporten relevant zijn. Hieronder leest u wanneer een gecombineerd audittraject mogelijk is.
Kunt u ISAE 3402 en SOC 2 combineren?
Ja, in sommige situaties kan een combinatie van ISAE 3402 en SOC 2 relevant zijn. Dat geldt vooral voor organisaties die zowel processen beheren die relevant zijn voor financiële verslaggeving als IT-processen.
Bijvoorbeeld wanneer u:
- financiële gegevens verwerkt in een cloudomgeving
- zowel administratieve als digitale dienstverlening levert
- verschillende rapportagevragen van klanten moet beantwoorden
- zekerheid wilt bieden over zowel financiële beheersing als informatiebeveiliging
In dat soort gevallen kan een gecombineerd audittraject efficiënter zijn dan twee volledig losse trajecten. Voorwaarde is wel dat het toepassingsgebied, ook wel de scope genoemd, en de beoordelingscriteria goed op elkaar worden afgestemd. Elk rapport moet blijven voldoen aan de eigen rapportagedoelstelling.
Officiële bronnen: IAASB: toelichting op ISAE 3402 en AICPA: Trust Services Criteria.
Bespreek uw assurance-vraag
Heeft u vragen over de verschillen tussen ISAE 3402 en SOC 2 of over een onafhankelijk audittraject? Stel uw vraag via het onderstaande formulier.
Beschrijf uw dienstverlening en geef aan welke rapportage uw klant vraagt. Zo kunnen wij gericht reageren op uw vraag over het toepassingsgebied en het audittraject.
