ISAE 3402 audits voor serviceorganisaties
ISAE 3402 is bedoeld voor assurance over controls bij serviceorganisaties, voor zover die relevant zijn voor de interne beheersing van gebruikersorganisaties met betrekking tot financiële verslaggeving — vooral relevant voor organisaties wier diensten doorwerken in de financiële controleomgeving van hun klanten. Wij vullen dat traject zelf in, van eerste gesprek tot en met de rapportage.
Geen groot auditteam met wisselende rollen. Een compact, senior team dat scope, beoordeling en rapportage zelf overziet, van begin tot eind.
Een goed ISAE 3402-traject draait niet alleen om documentatie, maar om een scherp begrip van processen, risico's, relevante controls en een verdedigbare systeembeschrijving. Dat vraagt senior interpretatie en zorgvuldige afweging, zeker als klanten of hun auditors sterk leunen op de rapportage.
Een centraal onderdeel van het auditdossier van klanten
ISAE 3402 past bij serviceorganisaties, outsourcingpartijen en platforms die een wezenlijke rol spelen in klantprocessen rond financiële beheersing of verslaggeving. Voor hun klanten vormt zo'n rapport vaak een belangrijk onderdeel van het eigen auditdossier en leveranciersbeheer.
Opzet en bestaan, waar nodig aantoonbare werking
Ook bij ISAE 3402 is er een onderscheid tussen Type I en Type II. Type I kijkt naar de opzet en het bestaan van controls op een bepaald moment; Type II kijkt ook naar de werking van die controls over een periode.
Praktisch uitvoerbaar, audit-technisch scherp
Wij helpen met scoping, afbakening, beoordeling van de proces- en systeembeschrijving, control review, readiness, testing en de definitieve rapportage — die wij als geregistreerd EDP-auditor (RE) zelf afgeven. Daarbij zorgen we voor een aanpak die niet alleen audit-technisch klopt, maar ook praktisch uitvoerbaar blijft voor management en teams.
Elke nuance in de systeembeschrijving telt
Bij ISAE 3402 zijn formulering, afbakening en oordeelsvorming essentieel. Een kleine nuance in de beschrijving van het systeem of in de duiding van een control kan grote gevolgen hebben voor bruikbaarheid en kwaliteit van de rapportage. Daarom werken wij met ervaren specialisten die inhoud, afstemming en uitvoering niet uit handen geven. Dat werkt ook door in de jaarlijkse cyclus: omdat wij je systeembeschrijving al kennen, gaat de tijd naar wat er is veranderd — niet naar het opnieuw doorgronden van de beschrijving zelf.
Ook een ISAE 3402-rapportage die aan de norm voldoet, verschilt in hoe scherp de systeembeschrijving vooraf is doorgenomen. Senioriteit zit in het herkennen van nuances die er bij de auditor van je eigen klant toe doen — niet in het format van de rapportage zelf.
ISAE 3402 — vraag en antwoord
Wat is het verschil tussen ISAE 3402 en SOC 2?
ISAE 3402 ziet op controls bij een serviceorganisatie die relevant zijn voor financiële verslaggeving bij klanten, terwijl SOC 2 is gebaseerd op de Trust Services Criteria rond onder meer security en availability.
Wanneer kies je voor Type I of Type II?
Type I is vaak passend bij een eerste stap of nieuwe opzet; Type II is relevanter wanneer klanten bewijs willen zien van werking over tijd.
Voor welke organisaties is ISAE 3402 geschikt?
Voor serviceorganisaties met processen of systemen die controle-relevant zijn voor gebruikersorganisaties en hun auditors.
Voeren jullie de audit zelf uit, of alleen de voorbereiding?
Wij voeren de audit zelf uit — van scoping tot en met de definitieve ISAE 3402-rapportage, afgegeven als geregistreerd EDP-auditor (RE). De systeembeschrijving en voorbereiding liggen bij de organisatie zelf; wij begeleiden en beoordelen dat traject.
Verken of ISAE 3402 past bij jouw dienstverlening
We denken graag mee vanaf de eerste afbakening van scope.
Ook interessant: Voor wie wij werken