Zoek op "wat kost voorbereiding op een assuranceonderzoek" en u vindt weinig eerlijke antwoorden. Bij een dienst met een vast afgebakende scope, zoals een pentest op één applicatie, is een prijsindicatie vooraf redelijk te geven. Bij voorbereiding op een ISAE- of SOC-assuranceonderzoek ligt dat anders: de scope, de diepgang en het bewijs dat u moet verzamelen verschillen sterk per organisatie, en een aanbieder die tóch meteen één bedrag noemt, heeft ofwel een zeer smalle situatie in gedachten, ofwel rekent achteraf bij zodra uw situatie daarvan afwijkt.
Dit artikel geeft geen los bedrag — dat zou voor uw situatie sowieso geen betekenis hebben zonder de scope te kennen. Wel loopt het de reële factoren langs die de kosten van voorbereiding bepalen, zodat u offertes kunt beoordelen op inhoud in plaats van op het eerste getal dat u tegenkomt.
Waarom er geen vaste prijs bestaat voor assurance-voorbereiding
Voorbereiding op een ISAE 3402-onderzoek of SOC 2-readiness betekent: uw beheersmaatregelen, processen en bewijsvoering op orde brengen vóórdat een accountantskantoor het formele onderzoek uitvoert en het assurance-rapport afgeeft. Hoeveel werk dat kost, hangt volledig af van wát er binnen de reikwijdte valt en hoe ver uw organisatie daar nu al in staat. Vijf factoren wegen daarin het zwaarst mee.
De kostenfactoren van assurance-voorbereiding
1. Scope: processen, systemen en sub-service organisaties
Hoe meer processen en systemen binnen de reikwijdte vallen, hoe meer beheersmaatregelen er beoordeeld en onderbouwd moeten worden. Bij een ISAE 3402-traject komt daar een extra dimensie bij: sub-service organisaties, oftewel derde partijen waar u zelf weer op leunt binnen uw dienstverlening. Elke sub-service organisatie binnen scope betekent extra afstemming en extra bewijs dat moet worden verzameld of overgenomen. Een bewust smalle, goed onderbouwde scope is dan ook, net als bij een ISO 27001 gap-analyse, vaak de grootste hefboom die u zelf in handen heeft.
2. Type I versus Type II
Een Type I-onderzoek beoordeelt of uw beheersmaatregelen op één moment zijn opgezet en bestaan. Een Type II-onderzoek gaat een stap verder en beoordeelt of die maatregelen ook daadwerkelijk hebben gewerkt gedurende een langere observatieperiode. Dat verschil werkt direct door in de voorbereiding: voor Type II moet u doorlopend bewijs verzamelen over de hele periode, niet alleen op één peildatum. Meer periodes, meer bewijsmomenten en dus meer voorbereidingswerk dan bij een Type I-onderzoek.
3. Uw huidige documentatievolwassenheid
Een organisatie die al ISO 27001-gecertificeerd is, heeft doorgaans al een groot deel van het benodigde controlebewijs, risicobeheer en documentbeheer op orde. Veel van dat bewijs is direct herbruikbaar voor een assuranceonderzoek, waardoor de voorbereiding aanzienlijk minder werk vraagt. Een organisatie die bij nul begint — zonder gestructureerd ISMS, zonder vastgelegde beheersmaatregelen — moet die basis eerst opbouwen vóórdat er iets te onderzoeken valt. Dat verschil in beginpositie is een van de grootste voorspellers van de benodigde voorbereidingstijd.
4. Eerste cyclus versus herhaling
Een eerste voorbereidingstraject kost meer tijd dan een jaarlijkse opvolging. Bij de eerste cyclus moeten processen worden vastgelegd, beheersmaatregelen worden ontworpen en bewijs voor het eerst worden gestructureerd. Bij een herhaling bouwt u voort op wat er al staat: bestaande documentatie wordt bijgewerkt, bestaand bewijs wordt ververst, en de opzet van het traject hoeft niet opnieuw te worden bedacht.
5. Welke doelstandaard: ISAE 3402/3000, SOC 1/2 of NIS2 Supply Chain
Niet elk traject vraagt om dezelfde diepgang. ISAE 3402 en SOC 1 richten zich op interne beheersmaatregelen die relevant zijn voor de financiële verslaggeving van uw klanten; ISAE 3000 en SOC 2 richten zich breder op betrouwbaarheid, beveiliging en beschikbaarheid van uw dienstverlening. Een NIS2 Supply Chain-traject kent weer een eigen nadruk op ketenrisico's richting uw eigen leveranciers. Welke standaard voor u van toepassing is, bepaalt mede welke beheersmaatregelen relevant zijn en dus hoeveel voorbereiding daarvoor nodig is.
Twee gescheiden kostenposten: voorbereiding en het formele onderzoek
Een onderscheid dat in de markt vaak wordt vervaagd, maar dat voor uw begroting belangrijk is: de voorbereiding en het formele onderzoek zijn twee losse kostenposten, bepaald door twee onafhankelijke partijen. Secrotec begeleidt de voorbereiding — het op orde brengen van beheersmaatregelen, processen en bewijs, zodat u aantoonbaar klaar bent voor het onderzoek. Het formele onderzoek zelf, dat resulteert in het daadwerkelijke ISAE- of SOC-assurance-rapport, wordt uitgevoerd en geprijsd door het accountantskantoor dat als onafhankelijke partij dat rapport afgeeft. Dat tarief stelt Secrotec niet vast en kan Secrotec ook niet voor u inschatten — het is aan het accountantskantoor zelf om daarover een offerte te geven.
Dit is meer dan een boekhoudkundig detail. Het betekent dat "wat kost een assuranceonderzoek" eigenlijk twee vragen zijn, met twee verschillende antwoorden en twee verschillende partijen die daarover gaan. Wie beide posten op één hoop veegt, of één van de twee partijen om een totaalprijs vraagt die ook het werk van de ander dekt, krijgt onvermijdelijk een vertekend beeld.
Hoe u een reële inschatting voor uw situatie krijgt
Een generieke prijslijst kan deze vijf factoren onmogelijk recht doen — daarvoor lopen scope, type onderzoek en beginpositie tussen organisaties te sterk uiteen. De enige manier om tot een bruikbaar beeld te komen, is een kort scopinggesprek: wat valt binnen de reikwijdte, gaat het om Type I of Type II, welke doelstandaard is van toepassing, en hoe ver staat uw documentatie al. Dat is precies dezelfde, eerlijke aanpak die Secrotec hanteert bij de kosten van een ISO 27001 gap-analyse: geen vast tarief vooraf, wel een offerte die is afgestemd op wat uw organisatie daadwerkelijk nodig heeft.
Overweegt u eerst te bepalen of ISAE 3402, ISAE 3000, SOC 1, SOC 2 of een NIS2 Supply Chain-traject bij uw situatie past? Lees dan IT-audit en assurance bij Secrotec voor het bredere overzicht, of ga direct naar de specifieke voorbereiding op ISAE 3402 of SOC 2.
Veelgestelde vragen
Korte, directe antwoorden op de meestgestelde vragen.
Omdat de scope-afhankelijkheid te groot is voor een zinvolle vaste prijs. Het aantal processen, systemen en — bij ISAE 3402 — sub-service organisaties binnen de reikwijdte, of het om een Type I- of Type II-onderzoek gaat, hoe volwassen uw huidige documentatie al is, en of dit uw eerste cyclus is of een jaarlijkse opvolging, bepalen samen hoeveel voorbereidingswerk er nodig is. Een vast bedrag dat geen van deze factoren meeweegt, zegt weinig over wat uw specifieke situatie werkelijk vraagt.
Dat verschilt per situatie en is niet in het algemeen te zeggen zonder een bedrag te verzinnen. Voorbereiding en het formele onderzoek zijn twee gescheiden kostenposten: de voorbereiding volgt de scope en het benodigde bewijs, en het formele onderzoek — de opdracht die resulteert in het assurance-rapport — wordt onafhankelijk geprijsd door het accountantskantoor dat het onderzoek uitvoert. Welke van de twee posten hoger uitvalt, hangt af van uw scope en van het tarief dat de uitvoerende accountant zelf hanteert.
Via een vrijblijvend intakegesprek. Daarin bespreken we de scope, de doelstandaard (ISAE 3402/3000, SOC 1/2 of een NIS2 Supply Chain-traject), en of het om een Type I- of Type II-onderzoek gaat. Pas met die informatie is een reële inschatting van de benodigde voorbereiding mogelijk — een generieke prijslijst zou dat niet eerlijk kunnen doen.
Wilt u een reële inschatting voor uw situatie?
Plan een vrijblijvend gesprek. Aan de hand van uw scope, doelstandaard en het gewenste type onderzoek geven we u een beeld dat past bij uw organisatie — geen vast tarief, wel een eerlijk antwoord.
