Veel organisaties richten zich op hun core-activiteiten. Niet core-activiteiten worden uitbesteed naar andere organisaties. Zowel vanuit toezichthoudende organisatie als door het afnemende vertrouwen tussen marktpartijen is de vraag naar zekerheid (assurance) over de uitbesteding toegenomen. Een ISAE3402 verschaft zekerheid over alle processen die uiteindelijk effect hebben op de jaarrekening van de gebruikende organisatie.

Veel organisaties die onder toezicht staan van de Nederlandse Bank zijn verplicht om aan te tonen dat uitbestede processen daadwerkelijk beheerst worden. Een ISAE3402 rapport kan daarin behulpzaam zijn en wordt tegenwoordig door steeds meer organisaties zoals zorgkantoren, de AFM, verplicht gesteld. Ook internationale ondernemingen die onder toezicht vallen van de SEC en die dienen te voldoen aan SOx 404 moeten verplicht voldoen aan alle vereisten van ISAE3402 of SSAE16 voor de processen die zij uitbesteden. In gevallen is de vraag naar ISAE3402 dus zeker terecht.

Mogelijk kunt u dit. Een ISAE3402 rapport dient aan een aantal vormvereisten en inhoudelijke vereisten te voldoen. De ISAE3402 standaard is overigens een openbare standaard, u kunt hem van onze website downloaden en raadplegen. Een ISAE3402 rapport dient minimaal een beschrijving van het control framework en een management bevestiging ten aanzien van die interne controle te bevatten.

ISAE3402 is de internationale standaard voor uitbesteding, dit betekent dat u voldoet aan internationale eisen die ook herkenbaar zijn voor zowel uw binnenlandse als internationale opdrachtgevers. Voldoen aan de ISAE3402 standaard wordt in veel aanbestedingen als vereiste gesteld. Een ander voordeel is dat het niet langer noodzakelijk is dat uw opdrachtgever eigen auditors bij u langs stuurt. Daarnaast wordt ISAE3402 vaak gebruikt als middel om processen in de organisatie te uniformeren en beter in te richten.

Dat is wel verplicht. U dient namelijk in het ISAE3402 rapport informatiesystemen die effect hebben op de jaarrekening op te nemen (ref. ISAE3402.16). Veelal is het daarom ook van belang om de controls in uw besturingssysteem (Windows Server of Linux) te beschrijven in het ISAE3402 rapport.

Dit is een voorbeeld van de uitwerking van de Nederlandse ISAE3402 praktijk. Vanuit SOx404 en de PCAOB-standaard is het vereist dat bijvoorbeeld een dagelijkse control 25 maal getest wordt. Deze vereisten kent de ISAE3402 standaard niet. In de ISAE3402 standaard is opgenomen dat de service auditor een steekproefgrootte moet bepalen zodat het risico wordt gereduceerd tot een aanvaardbaar niveau (Standaard 27 sub b).

De Uitsluitingsmethode of Carve-out methode betreft hoe wordt omgegaan met de diensten die worden verleend door een sub-serviceorganisatie. Hierbij omvat de beschrijving van de serviceorganisatie van haar systeem de aard van de diensten die door een sub-serviceorganisatie worden verleend. De relevante interne beheersingsdoelstellingen en de daarmee verband houdende interne beheersingsmaatregelen van de sub-serviceorganisatie zijn echter uitgesloten van de beschrijving van de serviceorganisatie van haar systeem alsmede van de reikwijdte van de opdracht van de accountant van de serviceorganisatie. De beschrijving van de serviceorganisatie van haar systeem en de reikwijdte van de opdracht van de accountant van de serviceorganisatie bevatten interne beheersingsmaatregelen van de serviceorganisatie die de effectiviteit van de interne beheersingsmaatregelen van een subservice organisatie monitort, wat in kan houden dat de serviceorganisatie een assurance-rapport betreffende de interne beheersingsmaatregelen van de sub-serviceorganisatie beoordeelt.