ISAE 3402-verklaring nodig?

Onze adviseurs helpen je praktisch van huidige situatie naar een succesvol ISAE 3402 traject.

Lever je als organisatie diensten waarbij je processen of systemen van klanten beheert, bijvoorbeeld op het gebied van IT of dataverwerking? Dan is de kans groot dat klanten of toezichthouders, zoals De Nederlandsche Bank, transparantie eisen over jouw interne beheersmaatregelen.

Met een ISAE 3402-verklaring laat je zien dat je risico’s rondom informatiebeveiliging beheerst én dat je maatregelen aantoonbaar op orde zijn. Let op: ISAE 3402 is geen certificering zoals ISO 27001, maar een assurance-verklaring van een externe auditor.

Stap 3: Uitvoeren van een risicoanalyse
Vervolgens wordt er gekeken naar de risicomanagementfilosofie van de directie/organisatie. Denk daarbij aan degene(n) die verantwoordelijk is/zijn voor het mitigeren van de risico’s en degene(n) die dit audit(en). In navolging daarvan wordt er gekeken naar de risicobereidheid van de organisatie, met daaraan gekoppeld de vraag ‘wat kan de klant overkomen als het mis gaat’? De risico’s worden weergegeven in een risicoanalyse, met daaraan gekoppeld een waarde die wordt uitgedrukt door de kans maal het effect. Op basis van deze classificatie bepaalt de organisatie haar risicobereidheid.

De risico’s die binnen de scope vallen kunnen onderverdeeld worden in verschillende typen, namelijk:

Stap 4: Integriteit en ethische waarden
De directie en het management van de organisatie hebben een breed scala aan (sociale) beheersmaatregelen getroffen die bijdragen aan de vorming en instandhouding van de door de organisatie gewenste organisatiecultuur. Tijdens deze stap zal er worden gekeken naar de gedragscode en bedrijfswaarden. Deze hebben namelijk invloed op het opstellen van de doelstellingen en de wijze waarop deze doelstellingen moeten worden verwezenlijkt.

Stap 5: Opstellen doelstellingen van de onderneming
In deze stap wordt gekeken naar de doelen die zijn gesteld voor komende periode om ervoor te zorgen dat de organisatie in control is. Tevens wordt daarbij bekeken of de organisatie voldoet aan haar eigen eisen.

Stap 8: Beheersactiviteiten
De controleactiviteiten vormen een belangrijk onderdeel van de maatregelen die getroffen zijn voor de interne beheersing. Hier dient een agenda voor opgesteld te worden met daarin een minimaal aantal onderwerpen die aan bod moeten komen. Dit alles wordt gerapporteerd naar de klant. De onderwerpen zijn:

• Een terugblik op het afgelopen kwartaal;
• Een vooruitblik op het komend kwartaal;
• Strategische zaken

Stap 9: Wijzigingen
Wijzigingen binnen de organisatie kunnen van invloed zijn op de geïmplementeerde risico’s en beheersmaatregelen. Het is daarom belangrijk om veranderingen conform een vast proces te laten verlopen in de vorm van indienen, accepteren, beoordelen, goedkeuren, implementeren en evalueren. Het zogenaamde ‘change proces’ is gebaseerd op ITIL en in lijn met gerelateerde processen die binnen de scope van de verklaring vallen.

ISAE 3402 is niet wettelijk verplicht, maar wordt in de praktijk wel steeds vaker gevraagd door klanten of toezichthouders. Vooral organisaties die cruciale processen of systemen van anderen beheren, zoals IT-dienstverleners, krijgen te maken met deze vraag. Met een ISAE 3402-verklaring toon je aan dat je interne processen en beheersmaatregelen aantoonbaar op orde zijn. Het is daarmee geen verplichting, maar vaak wél een eis om klantrelaties te behouden of nieuwe opdrachten binnen te halen.

De kosten voor een ISAE 3402-traject hangen af van factoren zoals het type verklaring (type 1 of 2), de complexiteit van processen en het aantal beheersmaatregelen. Ook de voorbereiding, bijvoorbeeld het opstellen van de risicobeheersing en het inrichten van processen, beïnvloedt de prijs. De uiteindelijke audit wordt uitgevoerd door een externe accountant, en ook dat brengt kosten met zich mee. Hoewel het traject investering vraagt, levert het waarde op in vertrouwen, klantrelaties en concurrentiepositie.