Klant vraagt ISAE 3402, wat nu? Eerste stappen in 30 dagen

Een klant, opdrachtgever of investeerder stelt de vraag ineens rechtstreeks: "Kunnen jullie een ISAE 3402-verklaring overleggen?" Vaak gaat het om een organisatie die uw dienst — bijvoorbeeld salarisverwerking, een SaaS-platform of gegevensverwerking — inzet binnen hun eigen jaarrekeningcontrole of risicobeoordeling, en die van hun accountant of compliance-afdeling te horen heeft gekregen dat er bewijs nodig is over de controls bij uw uitbestede proces. Als u nog geen ISAE 3402-rapport heeft, voelt die vraag als een probleem dat vandaag nog moet worden opgelost.

Maar de vraag die er eigenlijk toe doet, stelt u zichzelf pas een paar stappen later: is dit een harde eis met een deadline, of een voorkeur waar nog ruimte in zit? En weet u wat een ISAE 3402-traject daadwerkelijk vraagt, voordat u een tijdlijn toezegt die u misschien niet kunt waarmaken?

De eerste stappen in het kort

Voordat we elk onderdeel uitwerken, hier het overzicht in één oogopslag:

• Stap 1: achterhaal wat er precies wordt gevraagd — harde eis of voorkeur, met of zonder deadline — en leg dat schriftelijk vast.
• Stap 2: bepaal of het om een Type I- of Type II-rapport gaat. Dat verschil bepaalt vrijwel het hele tijdpad.
• Stap 3: boek een gap-analyse tegen het relevante controlraamwerk, in plaats van een rapportdatum te beloven.
• Stap 4: weet wie het rapport straks daadwerkelijk mag afgeven — dat is niet Secrotec, en ook niet zomaar elke partij.

Hieronder lichten we elk onderdeel toe, met daarbij wat wij als onafhankelijke auditor hierin zien en de fouten die we in de praktijk het vaakst tegenkomen.

Harde eis of voorkeur?

De eerste vraag die u zichzelf moet stellen is niet "hoe snel kunnen we dit regelen", maar "wat wordt hier eigenlijk gevraagd". Er zit een wereld van verschil tussen een klant die terloops opmerkt dat een ISAE 3402-rapport "op termijn wel handig zou zijn", en een opdrachtgever wiens eigen accountant bij de jaarrekeningcontrole letterlijk om een verklaring over uw controls vraagt. Ga na of er een concrete deadline is gekoppeld aan een lopend contract, een controlejaar of een aanbesteding.

Vraag het vervolgens op papier. Een opmerking tijdens een gesprek of een informele mail is een signaal, geen garantie — en al helemaal geen basis om maanden aan voorbereiding op te baseren. Vraag om een schriftelijke bevestiging: de exacte formulering in het contract, de vraag van de accountant van uw klant, of op zijn minst een e-mail waarin de eis en de gewenste periode expliciet staan. Pas met die tekst zwart-op-wit weet u wat er precies wordt gevraagd en of het om een absolute eis of om een pluspunt gaat. Onze pagina over IT-audit & assurance-readiness geeft een breder beeld van hoe dit soort vragen doorgaans ontstaan.

Type I of Type II — en waarom Type II niet te versnellen is

Zodra duidelijk is dát er een ISAE 3402-rapport wordt gevraagd, is de volgende vraag: welk type? Een Type I-rapport beoordeelt alleen of uw controls op één specifiek moment goed zijn opgezet — bestaan de juiste maatregelen, en zijn ze passend beschreven? Een Type II-rapport gaat een stap verder: dat toetst niet alleen de opzet, maar ook of die controls gedurende een observatieperiode — vaak zes tot twaalf maanden — daadwerkelijk en consistent hebben gewerkt.

Dat verschil is precies waarom een Type II-rapport niet valt te versnellen, hoe hard uw klant ook duwt. Bewijs dat een controle over meerdere maanden heeft gefunctioneerd, kunt u niet met terugwerkende kracht verzinnen: als de logging, de autorisatiecontroles of het changemanagement de afgelopen maanden niet aantoonbaar hebben gedraaid, dan is er simpelweg geen periode om over te rapporteren. Wie nu pas begint, begint ook nu pas de klok van de observatieperiode.

De eerste stap: een gap-analyse, niet een datum

Zodra u weet wát er wordt gevraagd, is de volgende vraag onvermijdelijk: is een realistische termijn haalbaar? Die vraag is onmogelijk eerlijk te beantwoorden zonder te weten waar u nu staat. Een gap-analyse gericht op ISAE 3402-voorbereiding brengt in kaart welke controls, evidence en documentatie al aanwezig zijn, welke ontbreken, en wat er realistisch nodig is om het relevante controlraamwerk te dekken.

Zonder die nulmeting is elke uitspraak over haalbaarheid een gok op basis van hoop, niet van bewijs. Neem hierin ook expliciet de scope van eventuele sub-service-organisaties mee — onderaannemers of leveranciers die een deel van uw proces uitvoeren — want die scope bepaalt mede wat er straks daadwerkelijk wordt getoetst. Heeft u al ervaring met een gestructureerde gap-analyse vanuit een ISO 27001-traject? Dan is de aanpak herkenbaar: eerst objectief meten, dan pas plannen.

Wie mag een ISAE 3402-rapport eigenlijk afgeven?

Dit is een punt waar we in de praktijk vaak onduidelijkheid over zien: een ISAE 3402-rapport is geen certificaat dat elke adviseur kan afgeven. Het wordt uitsluitend opgesteld door een registeraccountant (RA) die werkt binnen een bij de NBA geregistreerde accountantsorganisatie, of door een bij NOREA geregistreerde IT-auditor (RE). Dat is geen formaliteit, maar een kernvoorwaarde voor de waarde van het rapport: alleen deze partijen zijn bevoegd om het formele assurance-oordeel af te geven waar uw klant en diens accountant op mogen vertrouwen.

Secrotec is geen RA-accountantsorganisatie en geen NOREA-geregistreerde RE-auditor, en geeft daarom zelf geen ISAE 3402-rapport af. Wie u dat wel belooft zonder deze registraties, belooft iets dat hij niet waar kan maken.

De rol van Secrotec: voorbereiding, niet het rapport

Wat Secrotec wél doet, is u onafhankelijk en bewijsgericht voorbereiden op het moment dat de RA-accountant of RE-auditor aan tafel komt. Concreet betekent dat: het opstellen van een control-matrix tegen het relevante raamwerk, een gap-analyse van uw bestaande evidence, het uitbouwen van ontbrekende documentatie, en desgewenst een dry-run testing van uw controls — zodat u vooraf weet waar de zwakke plekken zitten in plaats van dat tijdens het echte onderzoek te ontdekken. Zodra u audit-ready bent, dragen wij u over aan een registeraccountant of NOREA-geregistreerde IT-auditor voor het daadwerkelijke onderzoek en het afgeven van het rapport. Meer over deze aanpak leest u op onze pagina ISAE 3402-voorbereiding, of breder op IT-audit & assurance-readiness.

Eerlijkheid naar uw klant

Onder druk van een klant is het verleidelijk om al in het eerste gesprek een datum te noemen, vaak nog vóórdat iemand daadwerkelijk naar de uitgangssituatie heeft gekeken. Dat is precies de belofte die achteraf het lastigst waar te maken blijkt, zeker bij een Type II-rapport waarvan de observatieperiode niet te versnellen is. Wees liever direct duidelijk over uw huidige status en over wat een realistisch tijdpad vergt, dan een geruststellende toezegging te doen die u later moet terugnemen. De meeste opdrachtgevers waarderen een onderbouwd, eerlijk antwoord meer dan een belofte die niet wordt waargemaakt.

Veelgemaakte fouten bij een klantvraag over ISAE 3402

Een datum beloven vóór de gap-analyse. Het is verleidelijk om een ongeruste klant meteen gerust te stellen met een concrete datum. Maar een toezegging die achteraf niet blijkt te kloppen, kost meer vertrouwen dan een paar dagen wachten op een onderbouwd antwoord ooit had gekost.

De klok van een Type II-observatieperiode te laat laten starten. Omdat de operating effectiveness van uw controls over een periode van vaak zes tot twaalf maanden moet worden aangetoond, is uitstel bij een Type II-vraag geen neutrale keuze: elke maand vertraging schuift de eerst mogelijke rapportdatum evenveel op.

De scope van sub-service-organisaties niet scherp afbakenen. Werkt u met onderaannemers of leveranciers die een deel van het uitbestede proces uitvoeren, en is niet helder vastgelegd welke controls bij u liggen en welke bij hen? Dan ontstaan er dekkingsgaten die pas tijdens het formele onderzoek aan het licht komen — terwijl ze in de gap-analyse al te ondervangen waren geweest.

NBA — Koninklijke Nederlandse Beroepsorganisatie van Accountants (officiële bron).