ISAE 3402

Advies en ondersteuning bij ISAE 3402

ISAE 3402 is een audit standaard voor rapportage over de beheersing van processen die zijn uitbesteed. Een leverancier die een proces verzorgt wat van invloed kan zijn op de jaarrekening dient via een zogenaamd ‘Service Organization Control (SOC) Report’ aan haar klant aan te tonen dat het proces beheerst is. ISAE 3402 kent eisen aan financiële processen (financial controls) en informatiebeveiliging (General IT controls).

Voor wie is ISAE 3402?

ISAE 3402 leidt niet tot een (ISO) certificaat. Het wordt met name toegepast door accountants (in de financiële wereld). Doorgaans komt dit voort uit de in de financiële wereld geldende wettelijke verplichtingen. We hebben het dan bijvoorbeeld over de Wet Financieel Toezicht (Wft). Door de wijze van controle zijn de jaarlijkse kosten voor ISAE 3402 compliance vaak hoger dan die van bijvoorbeeld ISO 27001, de internationale norm voor informatiebeveiliging.

Systemen voor informatiebeveiliging

Bedrijven die willen werken aan informatiebeveiliging doen dit het liefst binnen een erkend kader of worden door klanten gevraagd binnen welk kader er al gewerkt wordt. De systemen die in dat geval het vaakst genoemd worden zijn ISO 27001 (of NEN 7510 voor de zorg), ISAE 3402, ITIL of COBIT. Van deze systemen bieden alleen ISO 27001 en ISAE 3402 een zogenaamd ‘bewijs’ van informatiebeveiliging op organisatieniveau. De meeste organisaties kiezen bij het implementeren, beheersen en aantonen van goede informatiebeveiliging voor het internationaal erkende ISO 27001.