ISAE 3402 vs ISO 27001

ISAE 3402 och ISO 27001 är två av de mest etablerade ramverken inom kontroll, riskhantering och governance - du har troligen hört om minst en av dem tidigare. De används ofta av tjänsteorganisationer som hanterar känslig information, finansiella processer eller outsourcade funktioner för att demonstrera sin kontroll över processer. Trots detta har de helt olika syften, användningsområden och mottagare.

Översikt: ISAE 3402 och ISO 27001

ISAE 3402

ISAE 3402 är en internationell standard för att granska kontroller som påverkar kunders finansiella rapportering. Resultatet presenteras i en SOC 1 Type I- eller Type II-rapport.

Syftet är att visa att finansiella processer och system fungerar korrekt, stabilt och kontrollerat.

Mest relevant för:

• lönehantering och payroll
• betalnings- och transaktionsflöden
• shared service centers
• redovisning och ekonomiadministration
• outsourcade finansiella funktioner

ISO 27001

En internationell standard för att etablera, underhålla och certifiera ett ledningssystem för informationssäkerhet (ISMS).

Syftet är att skydda information genom strukturerad riskhantering, policyer, säkerhetskontroller och kontinuerlig förbättring.

ISO 27001 är applicerbart på många organisationer men är mest relevant för:

• IT-tjänsteleverantörer
• SaaS-organisationer
• cloud- och driftleverantörer
• företag som hanterar känsliga eller reglerade data
• organisationer som behöver ett formellt informationssäkerhetsledningssystem

Huvudskillnaden i fokus

Område
ISAE 3402

Primärt syfte: Finansiell rapportering

Output: Årlig Rapport Type I/II

Målgrupp: Kunder, revisorer, upphandlare

Krav: Kontroller som minskar finansiell risk

Frekvens: Årlig

Fokusområde: Processer, åtkomst, databehandling, ITGC

Område
ISO 27001

Primärt syfte: Informationssäkerhet

Output: Flerårig certifiering 

Målgrupp: Kunder, säkerhetsteam

Krav: 93 säkerhetskontroller i Annex A (tidigare 114 kontroller)

Frekvens: Årlig övervakningsrevision, full certifiering vart tredje år

Fokusområde: Riskhantering, policyer, styrning, tekniska och organisatoriska kontroller

Vad granskas i ISAE 3402?

ISAE 3402 fokuserar på kontroller som påverkar kundens finansiella rapportering, bland annat:

• attest och godkännanden
• avstämningar
• transaktionshantering
• datavalideringar
• behörigheter i finansiella system
• förändringshantering
• ITGC kopplade till de finansiella flöden som granskas. 

Granskningen är alltid knuten till en tjänst eller process.

Vad granskas i ISO 27001?

ISO 27001 granskar organisationens hela ledningssystem för informationssäkerhet, inklusive:

• riskhantering
• ledningens styrning
• policyer och riktlinjer
• tekniska kontroller
• fysiska kontroller
• incidenthantering
• leverantörshantering
• kontinuitetsplanering
• säkerhetskultur och utbildning

Det handlar inte om en enskild tjänsteprocess utan om hela organisationens säkerhetsarbete.

När ska man välja ISAE 3402?

ISAE 3402 är rätt val när organisationen:

• hanterar processer som påverkar kunders bokslut
• utför avstämningar, valideringar eller annan databehandling åt kunder
• erbjuder finansiella tjänster eller outsourcing
• deltar i upphandlingar där SOC 1 eller ISAE 3402 efterfrågas
• behöver visa kontroll över ekonomirelaterade risker

När ska man välja ISO 27001?

ISO 27001 är rätt val när organisationen:

• arbetar med IT, teknik, molntjänster eller SaaS
• hanterar känslig information från kunder
• behöver ett formellt informationssäkerhetsramverk
• möter regulatoriska krav på informationssäkerhet
• vill certifieras inom informationssäkerhet
• deltar i upphandlingar där ISO 27001 efterfrågas

Kan organisationer behöva båda?

Ja, i många fall.

Till exempel:

• En fintech kan behöva ISAE 3402 för transaktionsflöden och ISO 27001 för säkerhetsarbetet.
• En outsourcingpartner inom ekonomi kan behöva ISAE 3402 och samtidigt visa att deras IT-miljö är säker genom ISO 27001.
• En global SaaS-plattform som hanterar både data och betalningsinformation kan behöva flera ramverk.

Ramverken kompletterar varandra men överlappar inte.

Sammanfattningsvis:

• ISAE 3402 handlar om kontroller kopplade till finansiell rapportering.
• ISO 27001 handlar om informationssäkerhet i hela organisationen.
• Ramverken har olika syften, målgrupper och krav.
• Många organisationer behöver båda, men i olika delar av sin verksamhet.

Valet styrs av vilken risk och vilket krav som ska adresseras.