ISAE 3402 voorbereiden: welke controls en documentatie zijn nodig?

Een klant of opdrachtgever vraagt om een ISAE 3402-rapport, en de eerste reactie is meestal: waar begin ik? De onderzoeksstandaard zelf is voor buitenstaanders abstract geformuleerd, maar de voorbereiding erop is heel concreet. Een auditor gaat straks niet toetsen of uw organisatie "in control" voelt — hij toetst of specifieke, vooraf vastgestelde controls aantoonbaar zijn opgezet en, bij een Type II-onderzoek, ook daadwerkelijk hebben gewerkt gedurende een langere periode.

Dit artikel loopt de voorbereiding stap voor stap door: van scope tot control-matrix, van documentatie tot interne test, en sluit af met de vraag wie het onderzoek uiteindelijk mag uitvoeren. Voor de bredere context rond assurance en IT-audit, zie de hub-pagina IT-audit & assurance.

Wat toetst een ISAE 3402-onderzoek eigenlijk

ISAE 3402 is de internationale standaard voor assuranceonderzoeken bij een serviceorganisatie waarvan de beheersmaatregelen relevant zijn voor de financiële verslaggeving van haar klanten. Denk aan een salarisverwerker, een administratiekantoor, of een IT-dienstverlener die processen uitvoert die doorwerken in de jaarrekening van de opdrachtgever. De auditor beoordeelt niet uw hele organisatie, maar een specifiek afgebakende set control-doelstellingen: bijvoorbeeld rond toegangsbeheer, wijzigingsbeheer, of de juistheid en volledigheid van verwerkte transacties.

Het resultaat is een rapport waarin de opzet van die controls wordt beoordeeld (Type I) en, bij een Type II-onderzoek, ook de werking ervan over een observatieperiode. Die opzet en werking moeten aantoonbaar zijn — een control die informeel goed werkt maar nergens is vastgelegd of te bewijzen, telt tijdens het onderzoek niet mee.

Belangrijk om vooraf te beseffen: een ISAE 3402-onderzoek is geen algemene beoordeling van uw informatiebeveiliging of bedrijfsvoering. Het is een gericht onderzoek naar een vooraf afgebakende set controls, uitgevoerd tegen criteria die uw organisatie zelf — in overleg met de opdrachtgever die het rapport vraagt — vaststelt. Die afbakening is precies waarom de voorbereiding met scope begint, niet met documentatie.

Stap 1: scope en control-doelstellingen vaststellen

De voorbereiding begint niet bij het verzamelen van bewijs, maar bij het scherp krijgen van de scope. Welke dienst of welk proces valt onder het onderzoek? Welke systemen, locaties en teams zijn daarbij betrokken? En vooral: welke control-doelstellingen zijn relevant, gegeven wat uw klant precies nodig heeft voor zijn eigen verantwoording?

Deze stap wordt vaak onderschat, terwijl een te ruime of te vage scope later in het traject tot vertraging leidt — elk extra proces binnen de scope betekent extra controls, extra documentatie en extra bewijslast. Een scope die precies aansluit op de vraag van de klant, zonder overbodige uitbreiding, is de basis voor een haalbaar tijdpad.

Stap 2: bestaande controls inventariseren

Met de scope vast, volgt een inventarisatie van wat er al is. De meeste organisaties hebben al controls die informeel of deels gedocumenteerd bestaan: toegangsrechten worden periodiek gecontroleerd, wijzigingen doorlopen een goedkeuringsproces, back-ups worden getest. De vraag is niet of die activiteiten plaatsvinden, maar of ze consistent worden uitgevoerd, of er een eigenaar is aangewezen, en of het bewijs ervan systematisch wordt vastgelegd in plaats van ad hoc.

Deze inventarisatie legt meteen de eerste gaten bloot: controls die wel bestaan maar niet aantoonbaar zijn, en control-doelstellingen waarvoor nog helemaal geen control is ingericht. Beide type gaten vragen een andere aanpak — het eerste vraagt vooral discipline in vastleggen, het tweede vraagt dat er daadwerkelijk een nieuwe control wordt ingericht voordat er iets te documenteren valt.

Stap 3: control-matrix opstellen

Op basis van de scope en de inventarisatie wordt een control-matrix opgesteld — het document waarmee zowel uw organisatie als de auditor tijdens het onderzoek werkt.

Wat is een control-matrix

Een control-matrix koppelt elke control-doelstelling aan de concrete control die eraan invulling geeft, aan de eigenaar binnen de organisatie die verantwoordelijk is voor de uitvoering, en aan het type bewijs waarmee de werking kan worden aangetoond. Voor een control-doelstelling rond toegangsbeheer staat er bijvoorbeeld: welke control (periodieke toegangsreview), wie de eigenaar is (IT-manager), hoe vaak deze wordt uitgevoerd, en welk bewijs dit oplevert (een ondertekend reviewformulier of een export uit het beheersysteem). De matrix is daarmee het centrale sturingsinstrument tijdens de hele voorbereiding.

Stap 4: documentatie en bewijs (evidence) verzamelen

Met de control-matrix als leidraad start het verzamelen van documentatie en bewijs. Dit valt grofweg in twee categorieën uiteen. Ten eerste beleid en procesbeschrijvingen: vastgelegd beleid rond bijvoorbeeld toegangsbeheer, wijzigingsbeheer en incidentafhandeling, en beschrijvingen van hoe processen in de praktijk verlopen. Ten tweede bewijs van werking: logs, goedgekeurde tickets, reviewformulieren, exports uit systemen — kortom, alles wat aantoont dat een control niet alleen op papier bestaat, maar daadwerkelijk is toegepast.

Bij een Type II-onderzoek is dit tweede punt bepalend. Het gaat dan niet om één momentopname, maar om bewijs dat de control gedurende de hele observatieperiode consistent is uitgevoerd. Wie hiermee pas kort voor de audit begint, kan met terugwerkende kracht geen bewijs meer produceren voor maanden waarin een control wél werkte maar niets werd vastgelegd — dat is precies waarom deze stap vroeg in het traject hoort te starten.

Stap 5: interne test vóór de externe audit

Voordat de formele audit start, is het verstandig om de control-matrix en het verzamelde bewijs intern te testen — in feite een eigen, kleinschalige doorloop van wat de auditor straks zal doen. Werkt elke control zoals beschreven? Is voor elke control-doelstelling daadwerkelijk bewijs aanwezig, en is dat bewijs compleet en consistent over de hele periode?

Deze interne test brengt de laatste hiaten aan het licht terwijl er nog tijd is om ze te herstellen, in plaats van dat een auditor ze tijdens het formele onderzoek constateert. Het voorkomt ook een veelvoorkomende valkuil: documentatie die op papier klopt, maar in de praktijk net iets anders blijkt te werken dan beschreven. Juist die discrepantie tussen beschreven en werkelijk proces is wat een auditor het snelst opmerkt, en wat het meeste vertrouwen kost om te herstellen zodra het onderzoek al loopt.

Type I of Type II: wat betekent dit voor de voorbereiding

Een Type I-onderzoek beoordeelt alleen de opzet van de controls op één peildatum: zijn ze op de juiste manier ingericht? Dat maakt de voorbereiding voor Type I overzichtelijker en sneller haalbaar, omdat er geen observatieperiode nodig is. Een Type II-onderzoek beoordeelt daarnaast ook de werking van diezelfde controls over een langere periode, doorgaans meerdere maanden. Dat vraagt niet alleen dat controls zijn ingericht, maar dat het bewijs van hun werking gedurende die hele periode systematisch is vastgelegd.

In de praktijk kiezen organisaties die voor het eerst een assuranceverklaring nodig hebben soms voor Type I als eerste stap, met een Type II-onderzoek als vervolgtraject zodra de controls een periode hebben gedraaid. Welke keuze passend is, hangt af van wat de klant die om het rapport vraagt precies verwacht — dat is dan ook het eerste dat moet worden uitgezocht, nog vóór de voorbereiding zelf start.

Wie voert het uiteindelijke ISAE 3402-onderzoek uit

Het formele ISAE 3402-onderzoek en de bijbehorende assuranceverklaring mogen uitsluitend worden uitgevoerd en afgegeven door een registeraccountant (RA), werkzaam bij een accountantsorganisatie die is aangesloten bij de NBA — vind een accountant, of — bij specifiek IT-gerichte opdrachten — door een RE-auditor die geregistreerd staat bij NOREA. De standaard zelf wordt vastgesteld door de IAASB — internationale ISAE-standaard, de internationale koepel voor assurancestandaarden.

Secrotec is als onafhankelijke ISO 27001 Lead Auditor geen van beide, en voert het formele ISAE 3402-onderzoek dan ook niet zelf uit en geeft geen assuranceverklaring af. Wat Secrotec wél doet, is organisaties onafhankelijk voorbereiden op dat onderzoek: scope bepalen, een gap-analyse uitvoeren tegen de relevante control-doelstellingen, een control-matrix opstellen en helpen bij het structureren van bewijslast — precies de stappen hierboven. De gap-analysemethodiek die Secrotec daarbij hanteert, is in de kern dezelfde als bij een ISO 27001 gap-analyse: eerst helder krijgen waar u staat ten opzichte van het toetsingskader, dan gericht werken aan wat ontbreekt. Zodra de voorbereiding op orde is, draagt Secrotec het traject over aan een RA of RE-auditor voor het formele onderzoek.