Wat is ISAE 3402?
ISAE 3402 is de internationale assurancestandaard waarmee een onafhankelijke auditor rapporteert over de beheersmaatregelen bij een serviceorganisatie die relevant zijn voor de interne beheersing van de financiële verslaggeving van haar klanten. De standaard heet voluit Assurance Reports on Controls at a Service Organization en is in december 2009 uitgegeven door de IAASB, de standaardsetter van de internationale accountantsfederatie IFAC. Een ISAE 3402-rapport laat klanten en hun accountants zien dat uitbestede processen, zoals salarisverwerking, hosting of applicatiebeheer, aantoonbaar onder controle zijn.
Voor IT/OT-convergentie is ISAE 3402 vooral relevant als leveranciersbewijs voor IT-diensten rond de financiële keten. Over de beveiliging van productiesystemen zegt het rapport weinig.
🧠 Hoe werkt een ISAE 3402-rapport?
Bij ISAE 3402 zijn vier partijen betrokken: de serviceorganisatie (de leverancier), de gebruikersorganisaties (de klanten), de serviceauditor die de audit uitvoert en het rapport opstelt en de accountant van de gebruikersorganisatie. Die laatste gebruikt het rapport bij de jaarrekeningcontrole onder ISA 402, de controlestandaard voor organisaties die diensten uitbesteden. ISAE 3402 is daar het spiegelbeeld van.
De standaard is assertion-based. Het management van de serviceorganisatie schrijft zelf een systeembeschrijving en een bevestiging (assertion) dat die beschrijving klopt en dat de beheersmaatregelen goed zijn opgezet en werken. De auditor geeft daarover een oordeel met redelijke mate van zekerheid. Zo blijven de verantwoordelijkheden helder gescheiden.
Een rapport bevat doorgaans vijf onderdelen:
- Assurancerapport van de auditor - het oordeel, met eventuele beperkingen
- Bevestiging van het management - de assertion van de serviceorganisatie
- Systeembeschrijving - diensten, processen, systemen en organisatie
- Beheersdoelstellingen en beheersmaatregelen - bijvoorbeeld voor toegangsbeheer, wijzigingsbeheer en back-up
- Testwerkzaamheden en resultaten - alleen bij Type II, inclusief afwijkingen
De IAASB-standaard eist dat werk van de interne auditafdeling dat de auditor gebruikt, apart zichtbaar is in de beschrijving van de testen.
🔄 Wat is het verschil tussen Type I en Type II?
| Kenmerk | Type I | Type II |
|---|---|---|
| Oordeel over beschrijving | Ja, getrouwe weergave | Ja, getrouwe weergave |
| Oordeel over opzet | Ja, geschiktheid van de opzet | Ja, geschiktheid van de opzet |
| Oordeel over werking | Nee | Ja, effectieve werking gedurende een periode |
| Peildatum | Eén moment | Periode van doorgaans 6 tot 12 maanden |
| Testen beschreven | Nee | Ja, met aard, omvang en resultaten |
| Waarde voor de klant | Startpunt, eerste jaar | Bewijs dat maatregelen echt werken |
Een Type I-rapport is vaak een opstap in het eerste jaar. Accountants en toezichthouders vragen doorgaans om een Type II-rapport, omdat alleen dat aantoont dat maatregelen ook gedurende een periode werken. Lees bij een Type II altijd de afwijkingen in de testresultaten: een “goedkeurend” oordeel kan uitzonderingen bevatten die voor uw situatie belangrijk zijn.
🧱 Wat dekt ISAE 3402 niet?
De IAASB beperkt de reikwijdte uitdrukkelijk tot maatregelen die relevant zijn voor de financiële verslaggeving van klanten. De standaard noemt zelf als voorbeeld van wat buiten ISAE 3402 valt: maatregelen die de productie of kwaliteitsbeheersing van klanten raken. Dat is precies het domein van OT.
Wilt u zekerheid over beveiliging, beschikbaarheid of vertrouwelijkheid, dan is ISAE 3000 de juiste basis, de algemene assurancestandaard voor niet-financiële onderwerpen. In de Verenigde Staten heet dat een SOC 2-rapport op basis van de Trust Services Criteria van de AICPA. NOREA, de beroepsvereniging van IT-auditors, publiceerde in 2016 een handreiking voor zo’n SOC 2-gelijkwaardig rapport voor Nederlandse IT-dienstverleners. Daarbij merkte de beroepsgroep op dat ISAE 3402 in de praktijk soms ten onrechte werd gebruikt voor beveiligingsonderwerpen.
Twee andere valkuilen:
- Carve-out van subdienstverleners - gebruikt de leverancier zelf een datacenter of cloudplatform, dan kan dat buiten de scope vallen (carve-out). Bij de inclusive-methode zijn die maatregelen wel meegetoetst.
- Complementary User Entity Controls (CUEC’s) - maatregelen die de leverancier van u als klant verwacht, zoals het tijdig intrekken van accounts. Voert u die niet uit, dan biedt het rapport minder zekerheid.
🔁 Hoe verhoudt ISAE 3402 zich tot andere standaarden?
| Standaard of rapport | Onderwerp | Verhouding tot ISAE 3402 |
|---|---|---|
| SOC 1 (SSAE 18) | Financiële verslaggeving | Amerikaanse tegenhanger; inhoudelijk vergelijkbaar |
| SOC 2 / ISAE 3000 | Beveiliging, beschikbaarheid, vertrouwelijkheid, integriteit, privacy | Aanvullend; beter voor cybersecurity |
| ISO 27001 | ISMS-certificering | Certificaat van het managementsysteem, geen oordeel over werking van specifieke maatregelen |
| IEC 62443-2-4 | Beveiligingseisen aan OT-serviceleveranciers | Beste fit voor integrators en onderhoudspartijen van OT |
| COBIT | IT-governance en -beheersing | Vaak bron van de beheersdoelstellingen in het rapport |
ISAE 3402 verving internationaal de Amerikaanse SAS 70-rapportage. In de VS volgde SSAE 16, met dezelfde ingangsdatum, en daarna SSAE 18, van toepassing op rapporten vanaf 1 mei 2017. In Nederland heeft de NBA de standaard vertaald als Standaard 3402, Assurance-rapporten betreffende interne beheersingsmaatregelen bij een serviceorganisatie. ISAE 3402 geldt voor rapporten over perioden die eindigen op of na 15 juni 2011.
🏭 Waar is ISAE 3402 relevant in een IT/OT-omgeving?
In een productiebedrijf raakt ISAE 3402 vooral de IT-kant van de keten. Denk aan het hosten van het ERP-systeem, salaris- en facturatieprocessen, of een MES-koppeling waarvan productieaantallen in de financiële administratie terechtkomen. Typische beheersdoelstellingen in zo’n rapport:
- Logische toegang - IAM, RBAC en periodieke autorisatiereviews
- Wijzigingsbeheer - goedkeuring en testen van changes op applicaties en interfaces
- IT-operations - back-ups, jobscheduling en incidentbeheer, vaak ingericht volgens ITIL
- Fysieke beveiliging - toegang tot datacenters en serverruimtes
Een OT-dienstverlener die toegang op afstand tot uw PLC’s, SCADA of andere OT-assets heeft, een jumpserver beheert of patches uitrolt, toont zijn beveiliging beter aan met een ISAE 3000/SOC 2-rapport of een IEC 62443-2-4-certificaat. Combineer dat met eigen maatregelen zoals sessie-opname, monitoring en een actuele asset-inventarisatie.
🔧 Hoe beoordeelt u een ISAE 3402-rapport van een leverancier?
- Controleer de scope - dekt de systeembeschrijving precies de dienst, locaties en systemen die u afneemt?
- Kijk naar type en periode - is het een Type II, en sluit de periode aan op uw boekjaar? Vraag bij een gat om een bridge letter.
- Lees het oordeel - is het oordeel zonder beperking, of met een beperking voor een of meer doelstellingen?
- Analyseer de afwijkingen - welke testen faalden, en hoe reageerde het management?
- Check subdienstverleners - carve-out of inclusive, en hebt u van die partijen eigen assurance?
- Beleg de CUEC’s - wijs intern eigenaren aan voor de maatregelen die de leverancier van u verwacht.
- Leg het vast - neem de bevindingen op in uw leveranciersrisicobeheer en uw risicoregister.
Voor Nederlandse organisaties onder de Cyberbeveiligingswet, de implementatie van NIS2, hoort leveranciersbeheer bij de zorgplicht. Een ISAE 3402-rapport kan daarbij helpen voor IT-diensten met financiële impact, maar is geen vervanging van leveranciersbeveiliging voor OT.
❓ Veelgestelde vragen
Is ISAE 3402 een certificaat?
ISAE 3402 is geen certificaat maar een assurancerapport met een oordeel van een onafhankelijke auditor. Het rapport is in principe bedoeld voor de klanten van de serviceorganisatie en hun accountants, niet voor publiek gebruik. Daarom vraagt u het rapport meestal op onder geheimhouding.
Wie mag een ISAE 3402-rapport opstellen?
Een ISAE 3402-rapport wordt opgesteld door een onafhankelijke beroepsbeoefenaar die aan de beroepsregels voor assuranceopdrachten voldoet. In Nederland zijn dat registeraccountants (RA) of register-IT-auditors (RE) die bij NOREA zijn aangesloten, vaak in een gemengd team. De serviceorganisatie zelf levert de systeembeschrijving en de bevestiging van het management.
Wat is het verschil tussen ISAE 3402 en SOC 1?
ISAE 3402 is de internationale standaard van de IAASB, SOC 1 is de Amerikaanse variant van de AICPA onder SSAE 18. Inhoudelijk zijn ze vergelijkbaar: beide gaan over beheersmaatregelen die relevant zijn voor de financiële verslaggeving van klanten. Leveranciers met Amerikaanse en Europese klanten laten vaak één gecombineerd rapport opstellen.
Hoe lang is een ISAE 3402 Type II-rapport geldig?
Een ISAE 3402 Type II-rapport heeft geen formele geldigheidsduur, maar beschrijft een afgesloten periode van doorgaans zes tot twaalf maanden. Gebruikers verwachten daarom een jaarlijks vervolgrapport. Voor de tijd tussen het einde van de periode en uw balansdatum geeft de leverancier vaak een bridge letter.
Is ISAE 3402 geschikt om OT-leveranciers te beoordelen?
ISAE 3402 is beperkt geschikt voor OT-leveranciers, omdat de standaard maatregelen voor productie en kwaliteitsbeheersing uitdrukkelijk buiten de scope plaatst. Voor beveiliging van OT-diensten zijn een ISAE 3000- of SOC 2-rapport en een IEC 62443-2-4-certificaat beter passend. ISAE 3402 blijft nuttig voor IT-diensten die uw financiële administratie raken.
Vervangt ISAE 3402 een ISO 27001-certificaat?
ISAE 3402 en ISO 27001 vervangen elkaar niet. ISO 27001 certificeert dat een organisatie een werkend managementsysteem voor informatiebeveiliging heeft, terwijl ISAE 3402 de werking van concrete beheersmaatregelen voor de financiële verslaggeving toetst. Veel dienstverleners hebben daarom beide.
📌 Samengevat
ISAE 3402 is het internationale assurancerapport over beheersmaatregelen bij een dienstverlener die de financiële verslaggeving van klanten raken, met een Type II-oordeel over de werking gedurende een periode. Voor IT/OT-convergentie is het een nuttig bewijsstuk voor IT-diensten zoals ERP-hosting, maar voor de beveiliging van OT-leveranciers passen ISAE 3000/SOC 2 en IEC 62443-2-4 beter. Beoordeel elk rapport op scope, periode, afwijkingen, subdienstverleners en de maatregelen die u zelf moet uitvoeren.