Het verschil tussen ISAE 3000 en 3402

Organisaties besteden steeds meer cruciale (financiële) activiteiten uit aan externe partijen – ook wel serviceorganisaties genoemd. Het is dan wel belangrijk dat je als organisatie weet hoe het geregeld is met betrekking tot risicomanagement, interne beheersing en informatiebeveiliging van die activiteiten. Wanneer deze zaken niet geborgd zijn, kan dat immers veel impact hebben op de businesscontinuïteit  en de vertrouwelijkheid van informatie. Om die reden willen organisaties zekerheid over de uitbestede activiteiten in de vorm van ‘assurance’. Er zijn verschillende assurance-verklaringen die deze zekerheid bieden, waaronder ISAE 3402 en ISAE 3000. In dit artikel zoomen we in op ISAE 3000 en 3402. We leggen uit wat ze betekenen en hoe ze verschillen van elkaar.

Zoals gezegd besteden organisaties steeds meer activiteiten uit. Denk daarbij aan:

Om zekerheid te hebben over de kwaliteit van die uitbestede processen kunnen zij van serviceorganisaties een assurance-verklaring eisen. Wanneer je – als serviceorganisatie – in het bezit bent van zo’n verklaring dan:

ISAE staat voor International Standard on Assurance Engagements en is een auditstandaard voor rapportage over beheersing van processen die zijn uitbesteed. Voor zowel ISAE 3000 alsmede ISAE 3402 zijn er twee verschillende typen verklaringen, namelijk type 1 en type 2. Beide rapporten lijken sterk op elkaar. Het verschil zit hem echter in de controle (audit) die erop wordt uitgevoerd. Bij type 1 is dit een momentopname waar bij type 2 om een bewijs van minimaal zes maanden wordt gevraagd. Middels de audit wordt aangetoond dat de interne beheersprocessen ook daadwerkelijk worden uitgevoerd zoals beschreven en dat er dus sprake is van een ‘beheerst proces’.

Zowel ISAE 3000 alsmede ISAE 3402 zijn gericht op beheersingsmaatregelen bij serviceorganisaties. Voor beide verklaringen geldt ook dat het beheersingskader (beheersdoelstellingen en -maatregelen) zelf, op maat, mag worden samengesteld.

Het verschil tussen ISAE 3000 en 3402 is grofweg dit:

Simpel gezegd is er bij een ISAE 3402 verklaring een relatie met de jaarrekening van de klant, waar die relatie er bij ISAE 3000 niet hoeft te zijn.

ISAE 3000 is een internationale standaard die generiek toepasbaar is op een breed scala aan vraagstukken, zoals bijvoorbeeld zekerheid bij de beheersing van persoonsgegevens, en is daardoor een bekende en overkoepelende vorm van assurance. In Nederland kennen we ISAE 3000 als Standaard 3000 (NBA) en Richtlijn 3000 (NOREA). ISAE 3000 wordt met name toegepast door (cloud)technologiebedrijven en IT-serviceorganisaties ed., waarbij er geen sprake is van een directe relatie met de financiële verwerkingsprocessen.

ISAE 3402 is tevens een internationale standaard en wordt specifiek toegepast op uitbestede processen die een (indirect) verband hebben met de financiële verslaglegging van de uitbestedende organisatie. Een ISAE 3402 rapport is algemeen (h)erkend als middel om inzicht te verkrijgen in de beheersdoelstellingen en -maatregelen met betrekking tot administratieve processen die zijn uitbesteed aan derden.

Hoe zit het dan met ISAE 3000 versus ISO 27001? ISAE 3000 gaat, net als ISO 27001, ook over informatiebeveiliging. ISO 27001 beschrijft echter een soort momentopname, terwijl ISAE 3000 een hele periode, van minimaal zes maanden bewijs, omvat. De audit van ISAE 3000 is om die reden ook intensiever dan de ISO 27001 audit.

Desalniettemin zijn ISAE 3000 en ISO 27001 op heel veel gebieden vergelijkbaar met elkaar. Om die reden is het logisch om de twee te combineren en tegelijkertijd te implementeren/uit te laten voeren. Op die manier kunnen audits efficiënter uitgevoerd worden, doordat je slechts één keer alle onderdelen hoeft toe te lichten. Dat scheelt weer werk en dus tijd!

In dit artikel hebben we wat meer informatie gegeven over het verschil tussen ISAE 3000 en 3402. De verschillen tussen beide assurance-verklaringen zijn niet groot, maar het is wel van belang dat je als organisatie de juiste verklaring kiest. Wil je meer weten over deze verklaringen? Neem dan gerust contact met ons op. Onze adviseur legt je graag meer uit over de mogelijkheden.