ISAE 3402 Type I of Type II: wat is het verschil?

Een klant meldt dat hij "een ISAE 3402" van u nodig heeft, en al snel volgt de vraag: Type I of Type II? Voor wie deze term voor het eerst hoort, klinkt dat als een technisch detail — maar het is precies het onderscheid dat bepaalt hoeveel voorbereiding u nodig heeft en hoe lang het traject duurt. Wie hier niet stilstaat, kan zich vastleggen op een tijdpad dat achteraf niet haalbaar blijkt.

Dit artikel legt het verschil tussen Type I en Type II uit, en wat het voor uw voorbereiding en planning betekent. Voor een volledig overzicht van welke controls en documentatie een ISAE 3402-onderzoek in de praktijk vraagt, zie ons artikel ISAE 3402 voorbereiden: welke controls en documentatie zijn nodig?

Type I: de opzet van de controls op één peildatum

ISAE 3402 is de internationale standaard voor assuranceonderzoeken bij serviceorganisaties, vastgesteld door de IAASB — officiële ISAE-standaard. Die standaard onderscheidt uitdrukkelijk twee typen onderzoek, en dat onderscheid bepaalt precies wat er van uw voorbereiding wordt gevraagd.

Een ISAE 3402 Type I-onderzoek beantwoordt één vraag: zijn de beschreven beheersmaatregelen op een specifieke datum op de juiste manier opgezet om de gestelde controledoelstellingen te bereiken? De accountant of RE-auditor beoordeelt de opzet van uw controls — het beleid, de processen, de verantwoordelijkheden — zoals die op dat ene moment bestaan.

Wat een Type I-onderzoek nadrukkelijk niet doet, is toetsen of die controls ook daadwerkelijk hebben gewerkt in de praktijk. Er wordt dus geen bewijs verzameld over een langere periode; het is een momentopname. Dat maakt een Type I-verklaring sneller haalbaar, maar ook een minder vergaande vorm van zekerheid dan een Type II.

Type II: opzet én werking over een observatieperiode

Een ISAE 3402 Type II-onderzoek gaat een stap verder: naast de opzet van de controls toetst de auditor ook de werking ervan gedurende een vastgestelde observatieperiode, doorgaans zes tot twaalf maanden. Dat betekent dat u niet één keer hoeft aan te tonen dat een proces goed is ingericht, maar dat u gedurende de hele periode bewijs moet kunnen laten zien dat het proces daadwerkelijk zo is uitgevoerd: logs, tickets, autorisaties, wijzigingsregistraties en afwijkingsafhandeling.

Een Type II-verklaring biedt daarmee een aanmerkelijk hogere mate van zekerheid dan een Type I, en is dan ook het type dat de meeste opdrachtgevers uiteindelijk verwachten wanneer zij structureel op uw beheersmaatregelen willen kunnen vertrouwen.

Waarom Type II meer voorbereiding vraagt

Het verschil in zekerheid tussen beide typen vertaalt zich direct in het verschil in voorbereiding. Voor Type I hoeft u alleen aan te tonen dat uw controls op de peildatum kloppend zijn beschreven en ingericht. Voor Type II moet u vanaf het begin van de observatieperiode structureel bewijs verzamelen — niet achteraf reconstrueren, maar doorlopend vastleggen. Ontbreekt er bewijs over een deel van de periode, dan kan de auditor over dat deel geen oordeel geven, met als gevolg vertraging of een verklaring met een beperking.

Dat maakt vroege voorbereiding bij Type II essentieel: hoe later u begint met het structureel vastleggen van bewijs, hoe later de volledige observatieperiode ook daadwerkelijk kan starten.

Welk type vraagt uw klant eigenlijk (en hoe achterhaalt u dat)

In de praktijk zeggen klanten en contracten vaak simpelweg "een ISAE 3402-rapport", zonder het type te specificeren. Ga dit altijd expliciet na — bij voorkeur schriftelijk — voordat u een traject start. Vraag concreet: welk type wordt verwacht, voor welke periode, en welke controledoelstellingen moeten worden gedekt? Grotere opdrachtgevers, met name financiële instellingen die uw rapport gebruiken voor hun eigen verantwoording, vragen doorgaans om een Type II. Bij een eerste kennismaking met een nieuwe klant, of wanneer de tijd ontbreekt, kan een Type I soms volstaan — maar alleen als de klant dat ook daadwerkelijk accepteert.

Kan Type I een tussenstap zijn naar Type II

Ja, en in de praktijk kiezen veel organisaties hier bewust voor. Een Type I-verklaring toont aan dat de opzet van uw controls op orde is, en geeft uw klant een eerste, tastbaar resultaat terwijl u tegelijk het bewijs opbouwt voor een aansluitende Type II-observatieperiode. Let wel: de periode vóór het Type I-onderzoek telt niet automatisch mee als observatieperiode voor een latere Type II — die periode moet apart, doorlopend en met volledig bewijs worden opgebouwd. Een Type I is dus geen versnelling van Type II, maar wel een manier om onderweg al iets te kunnen laten zien.

Wat dit betekent voor uw tijdpad

Een Type I-traject is aanmerkelijk korter: zodra de opzet van uw controls aantoonbaar op orde is, kan het onderzoek plaatsvinden en volgt de verklaring op relatief korte termijn. Een Type II-traject vraagt de volledige observatieperiode — doorgaans zes tot twaalf maanden — bovenop de tijd die nodig is voor het onderzoek en de rapportage zelf. Reken dus terug vanaf de deadline van uw klant: als die deadline binnen enkele maanden ligt, is een volwaardige Type II vaak niet meer haalbaar en is een Type I, of een gerichte voorbereiding richting een latere Type II, het realistische alternatief.

Het uiteindelijke ISAE 3402-onderzoek en de verklaring zelf worden altijd afgegeven door een registeraccountant (RA) of een NOREA-geregistreerde RE-auditor — nooit door Secrotec. Wat Secrotec wél doet, is u onafhankelijk voorbereiden: samen bepalen welk type realistisch is gezien uw tijdpad, controls inventariseren en het bewijs structureren zodat de accountant of RE-auditor efficiënt aan het werk kan. Lees meer over die aanpak op de pagina ISAE 3402-voorbereiding, of bekijk welke controls en documentatie concreet nodig zijn.