ISAE 3402-verklaring voor serviceorganisaties
Voert uw organisatie processen uit die van invloed zijn op de financiële verslaglegging van klanten? Met een ISAE 3402-verklaring geeft u klanten en hun accountants inzicht in de interne beheersingsmaatregelen rond deze uitbestede processen.
Brand Compliance voert onafhankelijke ISAE 3402-assurance-opdrachten uit voor serviceorganisaties. De uitkomst wordt vastgelegd in een ISAE 3402-rapport.
Vrijblijvende offerte aanvragenWat is een ISAE 3402-verklaring?
ISAE 3402 is een internationale standaard voor assurance-rapporten over interne beheersingsmaatregelen bij serviceorganisaties. De standaard is relevant wanneer de dienstverlening van een organisatie van invloed kan zijn op de financiële verslaglegging van haar klanten.
Een ISAE 3402-verklaring geeft inzicht in de beschrijving van het systeem, de opzet van de interne beheersingsmaatregelen en, bij een Type II-rapport, de werking van deze maatregelen gedurende een vastgestelde periode.
Een ISAE 3402-verklaring is geen certificaat voor de volledige organisatie. Het rapport heeft betrekking op een vooraf bepaalde reikwijdte, de beschreven dienstverlening en de bijbehorende beheersingsmaatregelen.
Vragen over ISAE 3402?
Bart Versluijs kan u informeren over de toepassing van ISAE 3402, het verschil tussen Type I en Type II, het verloop van de assurance-opdracht en de factoren die van invloed zijn op de kosten.
Brand Compliance blijft als onafhankelijke partij verantwoordelijk voor de beoordeling. Wij geven daarom geen advies over het ontwerpen of implementeren van de beheersingsmaatregelen die wij later beoordelen.
Weet u nog niet precies welke assurance-dienst aansluit op uw vraag? Plan dan een vrijblijvend kennismakingsgesprek.
Bespreek uw situatieVoor welke organisaties is ISAE 3402 relevant?
Organisaties besteden steeds vaker processen uit aan gespecialiseerde dienstverleners. Wanneer deze dienstverlening invloed heeft op de financiële verslaglegging van klanten, willen klanten en hun accountants kunnen beoordelen hoe de bijbehorende risico’s worden beheerst.
Een ISAE 3402-verklaring is met name relevant voor serviceorganisaties die financiële of financieel gerelateerde processen uitvoeren voor andere organisaties. Voorbeelden zijn payrollorganisaties, administratieve dienstverleners en IT-dienstverleners waarvan systemen of processen relevant zijn voor de financiële verslaglegging van klanten.
De exacte reikwijdte verschilt per organisatie. Deze wordt bepaald op basis van de dienstverlening, de relevante risico’s, de gebruikers van het rapport en de beheersingsdoelstellingen waarop de assurance-opdracht betrekking heeft. Twijfelt u of ISAE 3402 aansluit op uw informatiebehoefte? Lees dan meer over het verschil tussen ISAE 3402 en SOC 2.
Wat toont een ISAE 3402-verklaring aan?
Een ISAE 3402-rapport geeft beoogde gebruikers inzicht in de beheersing van processen die door klanten aan een serviceorganisatie zijn uitbesteed.
Afhankelijk van het gekozen rapporttype heeft de assurance-opdracht betrekking op:
- de getrouwe beschrijving van het systeem van de serviceorganisatie;
- de opzet van de interne beheersingsmaatregelen;
- de implementatie van deze beheersingsmaatregelen;
- bij een Type II-rapport, de werking van de maatregelen gedurende een vastgestelde periode.
De auditor beoordeelt deze onderdelen binnen de afgesproken reikwijdte en op basis van geschikte criteria.
Wat staat er in een ISAE 3402-rapport?
Het rapport bevat informatie over de organisatie, de beschreven dienstverlening en de interne beheersingsmaatregelen die relevant zijn voor de financiële verslaglegging van gebruikersorganisaties.
Het rapport bestaat doorgaans uit:
- een beschrijving van de serviceorganisatie en haar systeem;
- een afbakening van de diensten en processen binnen de reikwijdte;
- de beheersingsdoelstellingen en bijbehorende beheersingsmaatregelen;
- een control matrix met de maatregelen per beheersingsdoelstelling;
- een schriftelijke verklaring van de serviceorganisatie;
- het assurance-rapport van de onafhankelijke auditor;
- bij een Type II-rapport, een beschrijving van de uitgevoerde tests en de resultaten daarvan.
De inhoud wordt afgestemd op de dienstverlening en de risico’s die relevant zijn voor de financiële verslaglegging van de gebruikersorganisaties.
ISAE 3402 Type I en Type II
Er bestaan twee typen ISAE 3402-rapporten. Beide rapporttypen behandelen de beschrijving van het systeem en de opzet van de interne beheersingsmaatregelen. Het belangrijkste verschil is de periode waarop de beoordeling betrekking heeft.
Een Type I-rapport geeft inzicht in de situatie op een specifiek moment. Een Type II-rapport beoordeelt daarnaast of de beschreven beheersingsmaatregelen gedurende een vastgestelde periode effectief hebben gewerkt.
Welk rapporttype wordt gevraagd, hangt onder meer af van het doel van de assurance-opdracht en de informatiebehoefte van klanten en hun accountants.
ISAE 3402 Type I
Een Type I-rapport heeft betrekking op een specifieke datum. De auditor beoordeelt of de beschrijving van het systeem een getrouwe weergave geeft en of de relevante beheersingsmaatregelen op die datum passend zijn opgezet en geïmplementeerd.
Een Type I-rapport biedt daarmee inzicht in de inrichting van de interne beheersing op een bepaald moment. Het rapport geeft nog geen zekerheid over de werking van de beheersingsmaatregelen gedurende een langere periode.
ISAE 3402 Type II
Een Type II-rapport behandelt dezelfde onderdelen als een Type I-rapport, maar beoordeelt daarnaast de werking van de interne beheersingsmaatregelen gedurende een vooraf vastgestelde periode.
De auditor voert tests uit om vast te stellen of de beschreven maatregelen gedurende deze periode effectief hebben gewerkt. Het rapport bevat een beschrijving van deze tests en de bijbehorende resultaten.
Een Type II-rapport geeft gebruikers daardoor inzicht in zowel de inrichting als de werking van de interne beheersing.
Wat betekent het rapport voor de accountant van uw klant?
De accountant van een gebruikersorganisatie kan het ISAE 3402-rapport gebruiken bij de beoordeling van processen die aan uw organisatie zijn uitbesteed.
De accountant beoordeelt zelf of de reikwijdte, de verslagperiode, het rapporttype en de beschreven beheersingsmaatregelen voldoende aansluiten op de eigen controle. Ook eventuele beheersingsmaatregelen die de gebruikersorganisatie zelf moet uitvoeren, kunnen daarbij van belang zijn.
Een passend ISAE 3402-rapport kan voorkomen dat iedere gebruikersaccountant dezelfde beheersingsmaatregelen afzonderlijk bij de serviceorganisatie moet onderzoeken. Het rapport ondersteunt daarmee een efficiëntere informatie-uitwisseling tussen de serviceorganisatie, haar klanten en hun accountants.
Hoe komt een ISAE 3402-verklaring tot stand?
Voor een ISAE 3402-verklaring worden de dienstverlening, de reikwijdte en de relevante beheersingsdoelstellingen vooraf duidelijk afgebakend. De serviceorganisatie stelt een beschrijving op van haar systeem en de bijbehorende interne beheersingsmaatregelen.
Vervolgens voert de onafhankelijke auditor de assurance-werkzaamheden uit. Bij een Type I-opdracht ligt de nadruk op de situatie op een specifieke datum. Bij een Type II-opdracht wordt daarnaast de werking van de maatregelen gedurende een vastgestelde periode onderzocht.
Na afronding van de werkzaamheden wordt het ISAE 3402-rapport opgesteld. Dit rapport bevat de beschrijving van het systeem, de verklaring van de serviceorganisatie en het oordeel van de auditor.
Wilt u meer weten over de voorbereiding, de scope, de benodigde informatie en de verschillende fasen?
- Lees hoe een ISAE 3402-audit verloopt
Waarom een ISAE 3402-verklaring laten opstellen?
Met een ISAE 3402-verklaring geeft uw organisatie klanten en hun accountants inzicht in de beheersing van uitbestede processen die relevant zijn voor financiële verslaglegging.
Het rapport kan bijdragen aan:
- meer transparantie over de inrichting van de dienstverlening;
- inzicht in relevante risico’s en interne beheersingsmaatregelen;
- een efficiëntere beoordeling door klanten en hun accountants;
- beantwoording van contractuele of commerciële informatiebehoeften;
- aantoonbare onafhankelijke beoordeling van de beschreven beheersingsmaatregelen.
De waarde van het rapport hangt af van een passende reikwijdte, relevante beheersingsdoelstellingen en een rapportageperiode die aansluit op de informatiebehoefte van de gebruikers.