ISAE 3000 verklaring: type 1, type 2 en wanneer je het nodig hebt

Welke standaard geldt en wie heeft hem uitgevaardigd

ISAE 3000 staat voor International Standard on Assurance Engagements 3000 (Revised), "Assurance Engagements Other than Audits or Reviews of Historical Financial Information". De standaard is uitgevaardigd door de IAASB, de International Auditing and Assurance Standards Board van IFAC, en geldt voor assurancerapporten gedateerd op of na 15 december 2015.

In Nederland heeft de NBA de standaard overgenomen in de NV COS als Standaard 3000A voor attest-opdrachten, waarbij de auditor een bewering of informatie toetst die een andere partij heeft opgesteld, en Standaard 3000D voor directe opdrachten, waarbij de auditor het object zelf meet en rapporteert. Een accountant werkt daarbij onder de Verordening inzake de onafhankelijkheid (ViO). NOREA kent Richtlijn 3000 voor Register EDP-auditors. De inhoud loopt gelijk op, het verschil zit in wie tekent en onder welk beroepsreglement.

ISAE 3000 is het moederraamwerk. ISAE 3402 is er een specifieke uitwerking van voor beheersmaatregelen die de financiele verslaggeving van klanten raken, en SOC 2 wordt in Nederland onder Standaard 3000A uitgevoerd. Het grote verschil met 3402: bij ISAE 3000 ligt het normenkader niet vast in de standaard zelf. De criteria waartegen de auditor toetst worden per opdracht bepaald en moeten geschikt zijn, en dat is precies waar een ISAE 3000-traject begint.

Wanneer heb je een ISAE 3000 verklaring nodig

Zodra iemand zekerheid wil over iets anders dan de cijfers in een jaarrekening. In de praktijk zijn dat vier situaties: een klant vraagt een SOC 2-rapport over de beveiliging, beschikbaarheid of privacy van je SaaS- of hostingdienst; een toezichthouder of opdrachtgever wil zien dat je een normenkader naleeft, zoals bij een DigiD-assessment; een contract eist een onafhankelijke toets op een proces dat buiten de financiele verslaggeving valt; of je eigen bestuur wil een onafhankelijk oordeel over een bewering voordat die naar buiten gaat.

Twee vragen bepalen of je bij ISAE 3000 of bij ISAE 3402 uitkomt. Raken de processen in scope de cijfers in de jaarrekening van je klant, en wil diens accountant erop leunen? Dan is het ISAE 3402. Gaat het om iets anders, zoals security, beschikbaarheid, privacy of naleving, dan is het ISAE 3000. Vraagt je klant om SOC 2, dan ben je dus bij ISAE 3000, en vraagt diens accountant om SOC 1, dan bij ISAE 3402. De assurance-check loopt dit onderscheid in zes vragen met je door.

Een ISAE 3000 verklaring is zelden een wettelijke verplichting. De vraag komt contractueel binnen, via een inkoper, een CISO of de accountant van je klant, of via een toezichthouder die aantoonbare beheersing eist van een proces dat je hebt uitbesteed of zelf uitvoert.

Type 1 of type 2: wat dat bij ISAE 3000 betekent

De termen type 1 en type 2 komen uit ISAE 3402 en zijn in de praktijk overgenomen voor ISAE 3000-rapporten over beheersmaatregelen, zoals SOC 2. De standaard zelf kent ze niet, maar de betekenis is overal dezelfde. Type 1 toetst of de maatregelen goed zijn opgezet en op een peildatum bestaan. Type 2 toetst daarnaast of ze gedurende een rapportageperiode, doorgaans zes tot twaalf maanden, daadwerkelijk hebben gewerkt. Klanten en toezichthouders vragen vrijwel altijd type 2, omdat alleen dat rapport iets zegt over de werking. Type 1 is een logische eerste ronde als je nog geen rapport hebt: je ziet wat er nog niet werkt voordat de werking over een periode wordt getoetst.

Wat de auditor per onderdeel vaststelt

Criteria en object. De auditor stelt eerst vast of de criteria geschikt zijn. De standaard noemt vijf kenmerken: relevant, volledig, betrouwbaar, neutraal en begrijpelijk. Bij SOC 2 zijn dat de Trust Services Criteria, bij een DigiD-assessment het normenkader van Logius, bij een maatwerkopdracht een kader dat je samen met de auditor vastlegt voordat het werk begint. Daarna bakent hij het object af: welke dienst, welke systemen, welke periode.

Opzet en bestaan, bij type 1 en type 2. Per criterium beoordeelt de auditor of de beheersmaatregelen, als ze werken zoals beschreven, aan het criterium voldoen. Daarna stelt hij vast dat de maatregelen op de peildatum daadwerkelijk zijn ingericht, door inlichtingen in te winnen, processen waar te nemen en documentatie te inspecteren.

Werking, alleen bij type 2. Voor terugkerende maatregelen, zoals toegangsreviews, wijzigingsgoedkeuringen en incidentafhandeling, trekt de auditor een steekproef uit de complete populatie over de periode. Voor geautomatiseerde maatregelen toetst hij de configuratie en de general IT controls die de werking ervan borgen. Inlichtingen alleen zijn nooit voldoende bewijs.

Afwijkingen en het oordeel. Elke uitzondering komt bij de betreffende maatregel in het rapport te staan. De auditor beoordeelt of het criterium ondanks de afwijking wordt gehaald. Bij redelijke mate van zekerheid formuleert hij een positief oordeel, vergelijkbaar met een controleverklaring. Bij beperkte mate van zekerheid formuleert hij een negatieve conclusie: er is niets gebleken op grond waarvan de bewering niet zou kloppen. Welke van de twee het wordt, spreek je vooraf af, en het bepaalt de diepgang van het werk.

Het verschil met ISAE 3402 in een alinea. ISAE 3402 gaat alleen over beheersmaatregelen die de financiele verslaggeving van klanten raken, kent altijd redelijke mate van zekerheid, en definieert type 1 en type 2 in de standaard zelf. ISAE 3000 gaat over elk ander object, kent redelijke en beperkte mate van zekerheid, en laat de criteria per opdracht bepalen. Heb je beide nodig, dan kunnen ze in een gecombineerd traject worden uitgevoerd, met een scope en een rapportageperiode.

Het verschil met SOC 2 en ISO 27001. SOC 2 is een Amerikaans rapportagekader met de Trust Services Criteria als normenkader; in Nederland wordt het als ISAE 3000-opdracht onder Standaard 3000A uitgevoerd. SOC 2 is dus een ISAE 3000 verklaring met een specifiek kader, geen andere standaard. ISO 27001 is iets anders: een certificering van je managementsysteem voor informatiebeveiliging door een certificerende instelling, geen assurancerapport van een accountant. Klanten vragen het vaak naast SOC 2, niet in plaats daarvan.

Wat je klaarlegt

Het normenkader of de criteria waartegen getoetst wordt, met de afbakening van het object: welke dienst, welke systemen, welke locaties en welke periode. De beschrijving van je beheersmaatregelen per criterium, met eigenaar, frequentie en het bewijs dat elke maatregel achterlaat. En bij een attest-opdracht de bewering van het management, getekend door de directie, waarin je verklaart dat de beschrijving klopt en de maatregelen goed zijn opgezet en, bij type 2, hebben gewerkt.

Bij type 2 daarnaast de complete populaties over de periode, zoals alle wijzigingen, alle toegangsverzoeken en alle incidenten, zodat de auditor zijn steekproef kan trekken. Draai je op AWS, Azure of een extern datacenter, dan de SOC-rapporten van die partijen, en de afspraak of hun maatregelen buiten je rapport blijven (carve-out) of worden meegetest (inclusive).

Wat de ontvanger met de verklaring doet

Dat hangt af van wie het vroeg. Een inkoper of CISO gebruikt een SOC 2- of ISAE 3000-rapport als leverancierskwalificatie en contractvoorwaarde: het vervangt zijn eigen vragenlijst en audit bij jou. Een toezichthouder gebruikt het als bewijs dat je een normenkader naleeft. En de accountant van je klant gebruikt het niet in de jaarrekeningcontrole; daarvoor heeft hij ISAE 3402 nodig. Daarom is het belangrijk vooraf te weten wie het rapport leest, want dat bepaalt kader, zekerheidsniveau en type.

Dit artikel is een algemene toelichting en geen advies voor jouw specifieke situatie.