Waarom een ISAE 3402

Een aantoonbaar betrouwbare verwerking van de financiële transacties van een gebruikersorganisatie is mede afhankelijk van de controlemaatregelen bij een service- organisatie. Een goed begrip van deze controlemaatregelen is belangrijk bij de jaarrekeningcontrole van de gebruikersorganisatie. Reeds vele jaren zijn er professionele standaarden waarmee externe auditors konden rapporteren over de kwaliteit van controlemaatregelen bij een serviceorganisatie.

Vanaf 15 juni 2011 is er een aangepaste standaard gekomen vanuit de wereldwijde accountantsberoepsorganisatie, de International Federation of Accountants (IFAC), in de vorm van de International Standard on Assurance Engagements (ISAE) 3402 ‘Assurance reports on controls at a Service Organization’. Deze is vervolgens vertaald in de standaard 3402 van de Nederlandse Beroepsorganisatie van Accountants (NBA) en in richtlijn 3402 door de Nederlandse Orde van EDP Auditors (NOREA).

Er zijn twee type ISAE 3402-verklaringen. In beide verklaringen geeft de serviceorganisatie een beschrijving van het systeem en bepaalt de controlemaatregelen die in de verklaringen moeten komen.

Een type I-verklaring richt zich op één moment in tijd en bevat de opinie van een externe auditor over de opzet van de interne controlemaatregelen die in de verklaring staan vermeld. Aanvullend op een type I-verklaring, geeft een externe auditor in een type II verklaring ook een opinie over de effectieve werking van de controlemaatregelen.

Een type II verklaring gaat minimaal over een periode van 6 maanden. Beide type verklaringen geven gedetailleerde informatie over de controles en processen van een serviceorganisatie. De controledoelstellingen zoals gespecificeerd door de serviceorganisatie, richten zich veelal op de beheersing van het proces(sen) en systeem(en) die relevant kunnen zijn voor de financiële transacties van de gebruikersorganisatie(s). 

Organisaties die onderstaande diensten leveren komen in aanmerking voor een ISAE 3402:

• Uitvoeringsinstanties voor hypotheken en pensioenen
• Payroll organisaties
• App leveranciers
• Webbased software leveranciers
• Managed BI leveranciers
• Callcenters
• Vastgoedbeheer
• Hosting leverancier
• Cloud leveranciers
• SaaS leveranciers
• Datacenters
• Managed service leveranciers
• Internet providers
• Uitvoerings Instanties voor medische claims