Wat is een assuranceverklaring en wanneer vraagt een klant erom?

Op een gegeven moment krijgt bijna elke groeiende organisatie deze vraag: een klant, een investeerder of een aanbesteding vraagt ineens om een "assuranceverklaring". Voor wie tot dan toe vooral met ISO-certificering bezig is geweest, klinkt dat vertrouwd — maar het is een ander soort document, afgegeven door een andere partij, met een andere status. Wie dat verschil niet kent, loopt het risico verkeerde beloftes te doen aan een klant, of tijd te verliezen aan de verkeerde vervolgstap.

Dit artikel legt uit wat een assuranceverklaring precies is, welke standaarden erachter zitten, wie hem mag afgeven, en — minstens zo belangrijk — wat er eerst moet gebeuren voordat zo'n traject kan starten. Dit is het startpunt van onze assurance-content: voor de volledige context rond IT-audit en assurance, zie de hub-pagina IT-audit & assurance.

Wat is een assuranceverklaring precies?

Een assuranceverklaring is het schriftelijke oordeel van een onafhankelijke professional over een specifiek onderwerp — bijvoorbeeld de beheersmaatregelen van een dienstverlener rond informatiebeveiliging — getoetst aan vooraf vastgestelde criteria. Kern van dat oordeel is de mate van zekerheid die wordt uitgesproken: een redelijke mate van zekerheid (reasonable assurance, vergelijkbaar met de zekerheid bij een jaarrekeningcontrole) of een beperkte mate van zekerheid (limited assurance, een minder diepgaand onderzoek). Die mate van zekerheid staat expliciet vermeld in de verklaring zelf, samen met de reikwijdte, de onderzoeksperiode en de gehanteerde criteria.

Een assuranceverklaring is dus geen keurmerk en geen vrijblijvende geruststelling. Het is een formeel, gedateerd oordeel dat alleen geldig is voor het onderwerp en de periode die erin staan omschreven.

ISAE 3402 en ISAE 3000: de twee standaarden die er in Nederland toe doen

Assuranceopdrachten vallen onder de standaarden van de IAASB (International Auditing and Assurance Standards Board), de internationale koepel die de spelregels voor dit soort onderzoeken vaststelt. Voor Nederlandse dienstverleners zijn twee van die standaarden verreweg het meest relevant:

• ISAE 3402 — gericht op beheersmaatregelen bij een serviceorganisatie die relevant zijn voor de financiële verslaggeving van haar klanten. Denk aan een salarisverwerker of een IT-dienstverlener die processen uitvoert die doorwerken in de jaarrekening van de opdrachtgever.
• ISAE 3000 — de bredere standaard voor assuranceopdrachten die niet over financiële informatie gaan, zoals informatiebeveiliging, privacy of duurzaamheid. Dit is het kader waarbinnen bijvoorbeeld een SOC 2-achtige rapportage in de Nederlandse praktijk wordt opgezet.

Bij beide standaarden bestaat het onderscheid tussen een Type I-onderzoek (zijn de maatregelen op één peildatum op de juiste manier opgezet?) en een Type II-onderzoek (hebben die maatregelen ook daadwerkelijk gewerkt gedurende een langere periode, vaak zes tot twaalf maanden?). Dat onderscheid is precies waar veel organisaties zich op verkijken — daarover verderop meer.

Assuranceverklaring versus ISO-certificaat: niet hetzelfde document

De verwarring tussen een assuranceverklaring en een ISO-certificaat, zoals ISO 27001, is een van de meest voorkomende misverstanden die wij tegenkomen. Ze lijken oppervlakkig op elkaar — beide gaan over beheersmaatregelen rond informatiebeveiliging — maar het zijn fundamenteel andere documenten:

• Een ISO-certificaat is een pass/fail-beslissing van een geaccrediteerde certificerende instelling: uw managementsysteem voldoet aan een vaste, internationaal erkende norm, of niet. De norm zelf verandert niet per klant.
• Een assuranceverklaring is het oordeel van een accountant of auditor over specifieke beheersmaatregelen of informatie, vaak met een reikwijdte die is toegesneden op de vraag van één specifieke klant, investeerder of contractpartij — niet op een generieke norm.

Beide kunnen naast elkaar bestaan en elkaar zelfs versterken: een werkend ISMS dat al ISO 27001-gecertificeerd is, levert vaak al veel van het bewijs dat ook voor een assurance-onderzoek nodig is. Maar het ene document vervangt het andere niet.

Wie mag een assuranceverklaring afgeven?

Dit is wettelijk en beroepsmatig strikt afgebakend. Een assuranceverklaring mag uitsluitend worden afgegeven door:

• een registeraccountant (RA), werkzaam bij een accountantsorganisatie die is aangesloten bij de NBA (Koninklijke Nederlandse Beroepsorganisatie van Accountants); of
• bij specifiek IT-gerichte assuranceopdrachten, een RE-auditor die geregistreerd staat bij NOREA (de beroepsorganisatie van IT-auditors).

Secrotec is als onafhankelijke ISO 27001 Lead Auditor geen van beide, en geeft zelf dan ook geen assuranceverklaringen af. Wat wij wél doen, leest u verderop.

Wanneer krijgt u deze vraag voor het eerst?

In de praktijk komt de term "assuranceverklaring" meestal niet uit het niets. Er zijn een paar terugkerende momenten waarop een Nederlandse organisatie er voor het eerst mee te maken krijgt:

• Een klant of opdrachtgever die zelf onder toezicht staat — bijvoorbeeld een financiële instelling — en van haar leveranciers een ISAE 3402- of ISAE 3000-rapportage eist als onderdeel van hun eigen verantwoording.
• Een investeerder of overnamekandidaat die tijdens due diligence vraagt om onafhankelijk bewijs dat beveiligingsmaatregelen niet alleen op papier bestaan, maar aantoonbaar functioneren.
• Een aanbesteding of contract waarin een assuranceverklaring expliciet als eis of gunningscriterium is opgenomen, naast of in plaats van een ISO-certificaat.

In alle drie de gevallen geldt hetzelfde advies als bij elke onverwachte compliance-eis: vraag de exacte eis en reikwijdte op papier, voordat u een traject start.

Wat moet er eerst gebeuren voordat een accountant kan beginnen?

Een RA of RE-auditor start een assuranceopdracht niet zomaar. Voordat een formeel onderzoek zinvol is, moet uw organisatie de betreffende beheersmaatregelen en het onderliggende bewijs op orde hebben: vastgelegd beleid, aantoonbaar functionerende processen, en — zeker bij een Type II-onderzoek — een reeks aan bewijs dat die maatregelen gedurende de hele onderzoeksperiode daadwerkelijk zijn toegepast. Ontbreekt die readiness, dan loopt het accountantsonderzoek vast op bevindingen die eigenlijk al vooraf hadden moeten worden opgelost.

Precies dat is de fase waarin Secrotec organisaties onafhankelijk voorbereidt: een gap-analyse tegen de relevante criteria, het structureren van bewijslast, en een realistisch beeld van wat er nog moet gebeuren voordat een accountant of RE-auditor het formele onderzoek kan starten. Voor de twee meest voorkomende trajecten hebben we dat verder uitgewerkt: ISAE 3402-voorbereiding en SOC 2-readiness.

Veelgemaakte misverstanden

Een assuranceverklaring verwarren met een ISO-certificaat. Beide zeggen iets over beheersmaatregelen, maar het zijn andere documenten, afgegeven door andere partijen, met een andere juridische status. Wie ze door elkaar gebruikt in een offerte of tender, loopt het risico de verkeerde eis te beantwoorden.

Denken dat elke consultant een assuranceverklaring kan "regelen". Alleen een RA binnen een NBA-organisatie, of in IT-specifieke gevallen een NOREA-geregistreerde RE-auditor, mag de verklaring daadwerkelijk afgeven. Een consultant of auditor die geen van beide is — ook Secrotec niet — kan hooguit de voorbereiding doen en doorverwijzen voor het formele onderzoek.

Niet beseffen dat een Type II-onderzoek een echte observatieperiode vergt. Een Type II-verklaring vraagt bewijs dat maatregelen gedurende meerdere maanden daadwerkelijk hebben gewerkt, niet alleen dat ze op papier zijn beschreven. Wie pas kort voor de deadline begint, kan een Type II-traject in die tijd vrijwel nooit meer halen — een Type I-verklaring of eerst gerichte voorbereiding is dan vaak het realistische alternatief.