Wat is ISAE 3402 | SOC 1?

ISAE 3402 is een internationale assurancestandaard voor serviceorganisaties waarvan de dienstverlening relevant kan zijn voor de financiële verslaggeving van klanten. Het resultaat is geen certificaat, maar een onafhankelijk assurancerapport over de beschreven beheersmaatregelen. Bij Type I gaat het om de opzet op één moment; bij Type II ook om de werking gedurende een afgesproken periode.

Organisaties besteden steeds meer kritieke processen uit. Zij moeten kunnen beoordelen of een leverancier de relevante financiële processen en IT-beheersmaatregelen goed beheerst. Een ISAE 3402-rapport geeft de klant en diens accountant onafhankelijk inzicht in de maatregelen die binnen de afgesproken scope zijn onderzocht.

Een ISAE 3402-rapport bevat doorgaans de verklaring van het management, een beschrijving van het systeem en de beheersmaatregelen, en het oordeel van de onafhankelijke auditor. Een Type II-rapport bevat daarnaast de uitgevoerde tests en testresultaten over een bepaalde periode. De precieze scope moet aansluiten op de diensten die relevant zijn voor de financiële verslaggeving van klanten.

Een pensioenfonds kan het vermogensbeheer uitbesteden aan een vermogensbeheerder. Het pensioenfonds blijft verantwoordelijk voor een beheerste uitbesteding en wil daarom inzicht in onder meer de verwerking van beleggingen, functiescheiding, IT-beheersing en relevante wet- en regelgeving. Een ISAE 3402-rapport van de vermogensbeheerder kan dit inzicht bieden. De accountant van het pensioenfonds beoordeelt vervolgens of en in hoeverre het rapport bruikbaar is voor de jaarrekeningcontrole.

Voor een klant biedt een ISAE 3402-rapport onafhankelijk inzicht in de beheersing van uitbestede processen. Voor de accountant van de klant kan het rapport relevante controle-informatie bevatten. Een Type I-rapport beoordeelt de opzet van de maatregelen op één moment; een Type II-rapport beoordeelt daarnaast de werking gedurende een afgesproken periode.