ISAE 3402 en de EDP audit: hoe toon je grip op je digitale processen?

Steeds meer organisaties besteden kritieke IT- en administratieve processen uit aan partijen die het gespecialiseerder, goedkoper of eenvoudigweg beter kunnen. Salarisverwerking, applicatiebeheer, betalingsverkeer, archivering en delen van de financiële administratie liggen tegenwoordig zelden nog volledig binnen de eigen muren. Wat daarbij niet meeverhuist, is de verantwoordelijkheid. De uitbestedende organisatie blijft aanspreekbaar richting haar eigen klanten, haar accountant en haar toezichthouder, ook als het proces feitelijk elders draait. Daarmee groeit de behoefte aan een vorm van zekerheid die verder gaat dan een goed gesprek en een prettige samenwerking: werken de beheersmaatregelen bij die dienstverlener echt zoals ze zijn bedoeld, en hoe weet je dat?

Twee instrumenten geven daar op een verschillende manier antwoord op. isae 3402 is een internationale assurance-standaard waarmee een dienstverlener één keer per jaar een rapport laat opstellen over zijn beheersmaatregelen, zodat al zijn klanten en hun accountants daarop kunnen steunen in plaats van dat ieder afzonderlijk op controle komt. Een edp audit kijkt vanuit een andere hoek naar dezelfde werkelijkheid: die beoordeelt de betrouwbaarheid van de geautomatiseerde gegevensverwerking zelf, dus de systemen, de datastromen en de beheersmaatregelen die eromheen zijn ingericht. Het eerste is bedoeld om zekerheid naar buiten te geven, het tweede vooral om vast te stellen hoe het er intern werkelijk voor staat.

In de praktijk lopen die twee sterk in elkaar over, want een assurance-rapport over uitbestede processen is niet geloofwaardig zonder een gedegen beoordeling van de IT waarop die processen draaien. In dit artikel lees je wat beide precies inhouden, hoe ze zich tot elkaar verhouden, wat er tijdens zo’n traject concreet wordt onderzocht, wat het oplevert, hoe je je voorbereidt en welke fouten met enige regelmaat terugkeren.

Wat is ISAE 3402?

De basis van een assurance-rapport

ISAE 3402 is een internationale standaard voor assurance-rapportages over beheersmaatregelen bij serviceorganisaties. De aanleiding is bij uitstek praktisch. Wanneer een organisatie een proces uitbesteedt dat doorwerkt in haar financiële verslaggeving, verdwijnt dat proces uit het blikveld van haar eigen accountant, terwijl die er nog steeds een oordeel over moet kunnen vormen omdat het de jaarrekening raakt waarover hij tekent. Zonder gestandaardiseerde oplossing zou elke klantaccountant afzonderlijk bij de dienstverlener op controle moeten, wat voor beide kanten een onwerkbare situatie oplevert. Het rapport lost dat op: één keer opgesteld, door alle klanten te gebruiken.

Het rapport kent drie herkenbare onderdelen. Allereerst een beschrijving van het systeem en de beheersmaatregelen, die de dienstverlener zelf opstelt en waarin hij zijn beheersdoelstellingen formuleert en toelicht met welke maatregelen hij die realiseert. Daarnaast een bestuursverklaring waarin het management verklaart dat die beschrijving getrouw is. En tot slot het oordeel van de accountant, met daarbij een gedetailleerd overzicht van de uitgevoerde tests, de omvang van de steekproeven en de eventuele uitzonderingen die zijn aangetroffen. Dat laatste onderdeel maakt het rapport waardevol voor de lezer: hij ziet niet alleen dát er is getoetst, maar precies hoe en met welke uitkomst. Belangrijk om te weten is dat het geen certificaat is; er komt geen geaccrediteerde certificerende instelling aan te pas en het document is vertrouwelijk, bedoeld voor een beperkte kring lezers.

Waarom ISAE 3402 vooral relevant is voor uitbestede processen

De standaard is toegesneden op situaties waarin de klant verantwoordelijk blijft terwijl de uitvoering elders ligt. In de praktijk gaat het om salarisverwerkers, pensioenuitvoerders, vermogensbeheerders, betaaldienstverleners, factoringpartijen, administratiekantoren en hosting- of applicatiebeheerders die financiële systemen draaien voor hun klanten. De rode draad is dat een deel van de gegevens die uiteindelijk in de jaarrekening van de klant landen, tot stand komt in een omgeving die de klant zelf niet beheert en waar hij ook geen dagelijks toezicht op heeft.

Daarbij hoort een aandachtspunt dat regelmatig verkeerd gaat: de scope van ISAE 3402 betreft in beginsel beheersmaatregelen die relevant zijn voor de financiële verslaggeving van klanten. Gaat het om bredere onderwerpen zoals beveiliging, beschikbaarheid, integriteit van verwerking of privacy zonder die financiële insteek, dan is ISAE 3000 het aangewezen kader. Organisaties die dat onderscheid niet vooraf scherp hebben, starten soms een traject dat niet aansluit op wat hun klanten daadwerkelijk vragen, en komen daar pas achter wanneer het rapport er ligt. Die keuze verdient dus aandacht aan het begin, niet halverwege.

Verschil tussen type 1 en type 2

Een Type 1-rapport geeft een oordeel over de beschrijving van het systeem en over de opzet van de beheersmaatregelen op één specifieke datum: bestaan de maatregelen, en zijn ze zo ingericht dat ze de geformuleerde beheersdoelstellingen kunnen realiseren? Een Type 2-rapport voegt daar het oordeel over de werking aan toe, over een aaneengesloten periode van doorgaans zes tot twaalf maanden. De accountant neemt dan steekproeven uit die hele periode, en dat is het moment waarop discipline zichtbaar wordt. Een kwartaalcontrole die in het derde kwartaal is overgeslagen valt onherroepelijk op, net als een goedkeuringsstap die in drie van de vijfentwintig gevallen ontbrak.

Voor organisaties die hier voor het eerst aan beginnen, is Type 1 een verdedigbare tussenstap. Het dwingt je alles in te richten en levert iets tastbaars op voor klanten die druk zetten. Maar het blijft een tussenstap, want klanten en hun accountants hebben aan een momentopname weinig: zij moeten kunnen steunen op maatregelen die het hele boekjaar hebben gewerkt. Let daarbij ook op de aansluiting van de rapportageperiode op de boekjaren van je klanten. Een rapport dat loopt tot september laat bij klanten met een kalenderboekjaar een gat van drie maanden open, wat in de praktijk wordt opgevangen met een bridge letter maar liever wordt voorkomen door de periode meteen goed te kiezen.

Wat is een EDP audit?

EDP audit als toetsing van geautomatiseerde processen

EDP staat voor Electronic Data Processing, een term uit een tijd waarin geautomatiseerde gegevensverwerking nog bijzonder was. De naam bleef hangen, de inhoud groeide mee. Een EDP audit is in de kern een onafhankelijk onderzoek naar de betrouwbaarheid van de geautomatiseerde informatievoorziening: zijn de gegevens die uit de systemen komen juist, volledig en tijdig, worden ze afdoende beschermd, en zijn de processen eromheen zo ingericht dat je daarop kunt vertrouwen? Waar een klassieke financiële controle naar de uitkomsten kijkt, kijkt een EDP audit naar de machinerie die die uitkomsten produceert. De redenering daarachter is eenvoudig: als je kunt vaststellen dat de systemen en de beheersmaatregelen deugen, hoef je aanzienlijk minder cijfers afzonderlijk na te lopen.

Wat een EDP audit onderscheidt van een puur technische beoordeling zoals een penetratietest, is de nadruk op beheersing in plaats van op techniek alleen. Een pentester zoekt naar zwakke plekken in systemen; een EDP-auditor kijkt of de organisatie een proces heeft dat zulke zwakke plekken structureel opspoort en oplost, en of dat proces aantoonbaar wordt uitgevoerd. Die insteek maakt de audit breder maar ook duurzamer van waarde: een pentest geeft je een momentopname van je weerbaarheid, een EDP audit geeft je een beeld van je vermogen om die weerbaarheid over tijd op peil te houden.

Welke systemen, controles en datastromen worden beoordeeld

De scope varieert per opdracht, maar het vertrekpunt is doorgaans het volgen van de gegevensstroom van bron tot uitkomst. Waar komen gegevens binnen, welke controles zitten er op die invoer, welke bewerkingen vinden er plaats, welke koppelingen zijn er tussen systemen, waar worden gegevens opgeslagen, en hoe komen ze uiteindelijk in de rapportage of de administratie terecht? Bij elke stap hoort de vraag welke maatregel voorkomt dat er iets misgaat, en welke maatregel het zou signaleren als het toch misging. Koppelingen tussen systemen krijgen daarbij bijzondere aandacht, omdat daar de meeste stille fouten ontstaan: een import die de helft van de records laat vallen zonder foutmelding, is jarenlang onopgemerkt te houden.

Daarnaast wordt gekeken naar de omgeving waarin dat alles draait: de infrastructuur en platformen, het beheer van uitbestede diensten en clouddiensten, de logging en monitoring, en de continuïteitsvoorzieningen. Ook het onderscheid tussen general IT controls en applicatiecontroles speelt hier een rol. De algemene beheersmaatregelen vormen het fundament: als toegangsbeheer en wijzigingsbeheer niet op orde zijn, kun je niet vertrouwen op de controles die binnen een applicatie zijn ingebouwd, want die kunnen dan immers ongemerkt zijn aangepast of omzeild.

De rol van IT-controls in een betrouwbare administratie

Dat laatste punt verdient uitwerking, omdat het verklaart waarom auditors zoveel aandacht besteden aan onderwerpen die intern soms als bureaucratie worden ervaren. Neem een applicatie die automatisch controleert of een factuur binnen het afgesproken budget valt en anders een goedkeuring afdwingt. Dat is een uitstekende controle, maar de waarde ervan staat of valt bij de vraag of niemand die controle ongemerkt kan uitzetten of aanpassen. Als iedereen met beheerrechten de instellingen kan wijzigen en er geen registratie van wijzigingen is, dan is de controle formeel aanwezig maar praktisch waardeloos.

Een goedkeuringsstap in het wijzigingsproces is daarmee geen formaliteit maar precies de reden dat je erop kunt vertrouwen dat de berekening in je applicatie nog doet wat hij vorig jaar deed. Datzelfde geldt voor functiescheiding: iemand die zowel leveranciers kan aanmaken als betalingen kan accorderen, vormt een risico dat geen enkele applicatiecontrole ondervangt. Voor een betrouwbare administratie zijn deze algemene maatregelen dus geen randvoorwaarde maar het fundament, en dat is de reden dat ze in elk auditrapport prominent terugkomen.

De relatie tussen ISAE 3402 en EDP audit

Waar de twee elkaar versterken

De verhouding is in de kern die tussen fundament en bouwwerk. Een ISAE 3402-rapport beschrijft en toetst de beheersmaatregelen rond de dienstverlening die je voor klanten uitvoert, maar vrijwel al die processen draaien op geautomatiseerde systemen. De vraag of een verwerking volledig en juist is, kun je niet los zien van de vraag of de systemen waarin die verwerking plaatsvindt betrouwbaar zijn en beheerst worden gewijzigd. In vrijwel elk ISAE 3402-traject vormt het IT-deel dan ook een substantieel onderdeel van de beheersdoelstellingen, en dat deel is inhoudelijk precies waar een EDP audit over gaat.

Andersom levert de assurance-context iets op wat een losstaande EDP audit vaak mist: scherpte over wat er precies moet worden aangetoond en voor wie. Een EDP audit die vertrekt vanuit de beheersdoelstellingen die je richting klanten hebt geformuleerd, richt zich op wat er daadwerkelijk toe doet in plaats van op de systemen waar het meeste geld in zit of waar het meeste over geklaagd wordt. Organisaties die beide vanuit één plan aanpakken, ontdekken dat een groot deel van het bewijs dubbel bruikbaar is: dezelfde steekproef op toegangsrechten, hetzelfde wijzigingsdossier en dezelfde restoretest bedienen beide doelen.

Wanneer een EDP audit aanvullend nodig is

Er zijn situaties waarin een EDP audit los van of voorafgaand aan een assurance-traject zinvol is. De meest voorkomende is de voorbereidende fase: voordat je beheersdoelstellingen formuleert waar een accountant een oordeel over gaat geven, wil je weten hoe het er feitelijk voor staat. Een EDP audit vooraf voorkomt dat je doelstellingen opschrijft die je operationeel niet waarmaakt, met uitzonderingen in het rapport als voorspelbaar gevolg. Dat is een aanzienlijk goedkopere volgorde dan het omgekeerde.

Een tweede situatie is die waarin de vraag breder is dan financiële verslaggeving. Als je klanten of je eigen bestuur willen weten of je informatievoorziening als geheel betrouwbaar en weerbaar is, inclusief beschikbaarheid en herstelvermogen, dan valt dat buiten de kern van ISAE 3402 en is een EDP audit het passende instrument. Datzelfde geldt bij ingrijpende veranderingen: een migratie naar een nieuw platform, de overstap naar een andere leverancier, een fusie of overname. Op zulke momenten kloppen de aannames onder je bestaande rapportage vaak niet meer, en is een tussentijdse beoordeling verstandiger dan wachten tot de volgende cyclus.

Voorbeelden uit de praktijk

De bevindingen die op deze manier boven water komen, zijn zelden spectaculair maar wel structureel. Een salarisverwerker ontdekt dat de controle op mutaties formeel bestaat maar in de praktijk wordt uitgevoerd door dezelfde medewerker die de mutatie invoert, omdat de collega die het zou controleren al een jaar op een andere afdeling zit. Een applicatiebeheerder ontdekt dat spoedwijzigingen buiten het reguliere proces om worden doorgevoerd met de bedoeling ze achteraf te registreren, wat in de helft van de gevallen niet gebeurt. Een hostingpartij ontdekt dat de replicatie naar de uitwijkomgeving na een netwerkwijziging is gestopt zonder dat iemand een melding kreeg, en dat de gegevens daar inmiddels maanden achterlopen.

Wat deze voorbeelden gemeen hebben, is dat ze geen kwade wil of onkunde weerspiegelen maar het natuurlijke verloop van organisaties: mensen wisselen van rol, processen worden onder tijdsdruk versoepeld, systemen veranderen en niemand loopt daarna alles opnieuw na. Precies dat verloop is de reden dat periodieke, onafhankelijke toetsing waarde heeft. Niet omdat de organisatie niet deugt, maar omdat aannames verouderen zonder dat iemand het merkt.

Wat wordt er precies onderzocht?

Procesbeheersing

Het vertrekpunt is de vraag of het proces doet wat het moet doen en of afwijkingen worden opgemerkt. Concreet: zijn er controles op invoer, verwerking en uitvoer, is er functiescheiding tussen wie iets initieert, wie het goedkeurt en wie het uitvoert, en is er aansluiting tussen bron en uitkomst zodat verschillen zichtbaar worden? Ook wordt gekeken naar uitzonderingen en handmatige correcties: die zijn niet verboden, maar ze horen geregistreerd, onderbouwd en geautoriseerd te zijn. Een proces waarin regelmatig handmatig wordt ingegrepen zonder spoor, is voor een auditor een aanzienlijk groter risico dan een proces met een enkele gedocumenteerde uitzondering.

Toegangsbeheer

Geen onderwerp levert zoveel bevindingen op als dit, en dat is niet toevallig. Het aanmaken van accounts gaat vrijwel overal goed, want een nieuwe medewerker die niet kan inloggen meldt zich vanzelf. Het intrekken en beperken van rechten kent die natuurlijke druk niet en verwatert stilletjes: rechten stapelen zich op bij mensen die intern van functie wisselen, beheeraccounts blijven bestaan lang nadat het project waarvoor ze werden aangemaakt is afgerond, en gedeelde accounts blijven in gebruik omdat het praktisch is. Een auditor toetst of er een periodieke beoordeling plaatsvindt, of die door de juiste persoon wordt gedaan en of er wordt opgevolgd. Vooral dat laatste ontbreekt vaak: er wordt keurig een overzicht rondgestuurd, maar niemand controleert of de gemelde correcties zijn doorgevoerd.

Wijzigingsbeheer

Hier draait het om de vraag of aanpassingen aan systemen getest, geautoriseerd en gedocumenteerd zijn voordat ze naar productie gaan, en of ontwikkelaars niet ongecontroleerd in de productieomgeving kunnen werken. De interessante steekproeven zitten niet bij de reguliere releases, want die verlopen doorgaans netjes, maar bij spoedwijzigingen. Daar zit de ruimte waarin het proces wordt losgelaten met de bedoeling het achteraf recht te trekken, en juist daar valt het gat. Een auditor vraagt daarom vrijwel altijd expliciet naar de spoedprocedure en naar voorbeelden van wijzigingen die daaronder zijn doorgevoerd.

Logging en monitoring

Beoordeeld wordt of er wordt gelogd op de plekken waar dat nodig is, of logs beschermd zijn tegen manipulatie, of ze lang genoeg worden bewaard en, het belangrijkste, of er iemand naar kijkt. Logging die wordt vastgelegd maar nooit beoordeeld, voldoet aan de letter en niet aan de bedoeling. Hetzelfde geldt voor alerts: een gefaalde back-upjob of een stilgevallen replicatie moet leiden tot een melding bij een persoon die er actie op onderneemt, niet tot een regel in een bestand dat niemand opent. Dat klinkt vanzelfsprekend maar is het in de praktijk zelden, zeker in omgevingen waar het aantal meldingen zo hoog is dat iedereen ze is gaan negeren.

Back-ups en continuïteit

Tot slot wordt gekeken of je gegevens en processen terug te krijgen zijn wanneer er iets misgaat. Dat betekent: welke back-upfrequentie hanteer je, staan de back-ups gescheiden van de productieomgeving, zijn ze beschermd tegen versleuteling bij een aanval, hoe lang worden ze bewaard, en is er recent daadwerkelijk een restore uitgevoerd waarvan een verslag bestaat? Dat laatste is de kern. Een back-up die nooit is teruggezet, is geen back-up maar een aanname, en de lijst met organisaties die daar op het slechtst denkbare moment achterkwamen is lang. Ook de vraag of de hersteltijden aansluiten bij wat de bedrijfsvoering nodig heeft, komt hier aan de orde.

Voordelen voor organisaties en klanten

Meer vertrouwen bij opdrachtgevers

Het meest directe effect is dat je een vraag beantwoordt die anders eindeloos terugkomt. Zonder rapport krijgt een dienstverlener van elke serieuze klant een eigen vragenlijst, gevolgd door verdiepende vragen, gevolgd door soms een controlebezoek. Dat kost per klant tientallen uren van precies de mensen die je operatie draaiende houden, en het schaalt niet mee met je groei. Wat een onafhankelijk oordeel daaraan toevoegt, is het verschil tussen een bewering en een vastgesteld feit: “wij beoordelen elk kwartaal de autorisaties” is een uitspraak van een verkopende partij, terwijl “de accountant heeft over twaalf maanden steekproeven genomen en vastgesteld dat de beoordelingen zijn uitgevoerd” iets fundamenteel anders is.

Betere interne beheersing

Het minder zichtbare maar minstens zo waardevolle effect zit intern. Beide trajecten dwingen een organisatie om te expliciteren wat er feitelijk gebeurt, en dat legt onvermijdelijk zaken bloot die anders onopgemerkt blijven. Bovendien sturen ze op een cyclus in plaats van op een momentopname: bevindingen krijgen een oorzaakanalyse en een eigenaar, incidenten worden niet alleen opgelost maar ook geanalyseerd, en de directie kijkt periodiek naar het geheel. Dat mechanisme voorkomt dat dezelfde problemen zich blijven herhalen, en organisaties die het serieus toepassen merken over een periode van enkele jaren een meetbaar verschil in het aantal en de ernst van hun verstoringen.

Minder auditdruk door herbruikbare rapportages

Het praktische argument is misschien wel het overtuigendst voor wie de rekening betaalt. Eén rapport per jaar vervangt een onbepaald aantal individuele klantonderzoeken, en dat effect wordt sterker naarmate je klantenbestand groeit. Daar komt bij dat het bewijs dat je verzamelt breder bruikbaar is dan alleen voor dit ene traject: dezelfde registraties van toegangsreviews, wijzigingsdossiers en testverslagen bedienen ook je ISO-traject, je klantvragenlijsten en je verantwoording richting toezichthouders. Wie zijn bewijsvoering één keer goed organiseert, verlaagt daarmee de belasting van elke volgende beoordeling, en die belasting is doorgaans de reden dat audits intern weerstand oproepen.

Belangrijkste aandachtspunten bij een ISAE 3402 of EDP audit

• Duidelijke afbakening van processen en systemen. Bepaal expliciet wat wel en niet meedoet, inclusief uitbestede diensten, en toets die afbakening bij een paar sleutelklanten in plaats van hem uitsluitend intern vast te stellen.

• Aantoonbare werking van interne controles. Maatregelen die afhangen van één persoon die er handmatig aan moet denken, halen zelden een steekproef over twaalf maanden; bed ze in een systeem of een terugkerende afspraak met vastlegging.

• Voldoende documentatie en bewijs. Registraties met datum, naam en uitkomst wegen zwaarder dan beleidsteksten; richt één vindbare locatie in waar dat bewijs vanzelf terechtkomt.

• Periodieke evaluatie van risico’s. Een analyse die alleen jaarlijks van datum verandert, valt onmiddellijk door de mand; werk hem bij na migraties, nieuwe leveranciers en incidenten.

• Afstemming tussen IT, finance en compliance. Deze trajecten raken alle drie, en zolang ze afzonderlijk hun eigen versie van de waarheid onderhouden, ontstaan er tegenstrijdigheden die een auditor gegarandeerd opmerkt.

Hoe bereid je je voor op een audit?

Inventariseer processen en risico’s

Begin bij de processen en niet bij de documentatie. Breng in kaart welke diensten je levert, welke processen daarvoor nodig zijn, welke systemen en leveranciers daarbij betrokken zijn en welke gegevensstromen erdoorheen lopen. Bepaal daarna welke daarvan relevant zijn voor je klanten en dus voor de scope. Voer vervolgens een risicobeoordeling uit die die naam verdient: geen generieke dreigingenlijst die op elke organisatie past, maar een analyse die uitgaat van jouw processen, systemen en afhankelijkheden. Die beoordeling is het fundament onder je beheersdoelstellingen, en een zwakke analyse werkt door in alles wat erna komt.

Verzamel bewijs en documentatie

Organiseer je bewijs zo dat het ontstaat tijdens het werk, niet erna. Een toegangsreview die eindigt met een afgetekend overzicht in een vaste map levert automatisch bewijs op; dezelfde review afgehandeld via losse e-mails levert een zoektocht op. Datzelfde geldt voor wijzigingsdossiers, incidentregistraties, testverslagen van herstelprocedures, trainingsdeelname en verslagen van directiebeoordelingen. Hanteer daarbij een simpele toets: als het meer dan een paar minuten kost om een gevraagd bewijsstuk te vinden, deugt de structuur niet. Auditors trekken uit een rommelige bewijsbasis bovendien conclusies die verder gaan dan de vindbaarheid alleen.

Test controles vooraf

Voer voorafgaand aan het externe traject zelf een steekproef uit zoals de auditor die zou doen. Neem tien recente wijzigingen en controleer of de goedkeuringen aanwezig zijn. Neem vijf medewerkers die uit dienst zijn gegaan en controleer of hun accounts tijdig zijn geblokkeerd. Vraag om het verslag van de laatste restoretest. Wat je daar tegenkomt, komt de auditor ook tegen, met als verschil dat jij het nu nog kunt oplossen. Doe dat bij een Type 2-rapportage ruim vóór het begin van de observatieperiode, want maatregelen die pas halverwege operationeel worden, leiden onvermijdelijk tot uitzonderingen ongeacht hoe goed ze daarna functioneren.

Betrek de juiste stakeholders

Deze trajecten raken IT, finance, operations en compliance tegelijk, en zolang die partijen niet zijn aangehaakt, blijven er gaten die geen enkele afdeling alleen kan dichten. Zorg dat elke beheersmaatregel een aanwijsbare eigenaar heeft die begrijpt waarom hij bestaat, en dat het management weet wat het tekent: bij ISAE 3402 verklaart het bestuur zelf dat de systeembeschrijving getrouw is, en dat is een verantwoordelijkheid met gewicht. Leg medewerkers bovendien vooraf uit wat er gaat gebeuren. Auditgesprekken verlopen aanzienlijk beter wanneer mensen weten dat het over het proces gaat en niet over hun persoonlijke functioneren.

Veelgemaakte fouten

Onduidelijke scope

De scope bepaalt alles wat erna komt, en juist daar vallen de duurste beslissingen. Te ruim afbakenen levert een omvangrijk traject op waarin je bewijs verzamelt voor onderdelen waar geen enkele klant naar vraagt, en dat is de meest voorkomende reden dat trajecten uitlopen of halverwege stilvallen. Te krap afbakenen levert een rapport op dat formeel klopt maar waar de accountant van je klant niet op kan steunen, waarmee de hele exercitie zijn nut verliest. Bespreek de scope daarom vooraf met een paar sleutelklanten, en denk een paar jaar vooruit, want uitbreiden is bewerkelijker dan in één keer goed kiezen.

Onvoldoende bewijs

De klassieker die onverminderd terugkeert: de organisatie werkt zorgvuldig, maar er blijft niets van over. Er wordt gecontroleerd zonder registratie, incidenten worden opgelost zonder ticket, autorisaties worden beoordeeld zonder afgetekend overzicht. Bij een audit valt dat in dezelfde categorie als niets doen, hoe wrang dat ook voelt voor de mensen die het werk wel degelijk hebben gedaan. Het onderscheid dat telt is dat tussen beleid en bewijs: dikke handboeken maken geen indruk, registraties met datum, naam en uitkomst wel.

Controles die alleen op papier bestaan

Een variant die net iets pijnlijker is: de controle staat beschreven, iedereen gaat ervan uit dat hij wordt uitgevoerd, maar dat gebeurt al maanden niet meer. Dat ontstaat sluipenderwijs, bijvoorbeeld doordat de collega die het deed van rol wisselde en niemand de taak overnam, of doordat het systeem waarin de controle plaatsvond is vervangen. Bij een Type 2-rapportage komt dat gegarandeerd aan het licht, en het belandt zichtbaar in het rapport dat je klanten lezen. De remedie is een periodieke eigen steekproef: niet vragen of de controle wordt uitgevoerd, maar het bewijs opvragen.

Te late voorbereiding

De laatste fout is er een van timing, en die is kostbaar. Bij een Type 2-rapport laat de doorlooptijd zich letterlijk niet comprimeren, omdat de observatieperiode moet verstrijken en de accountant over die hele periode steekproeven moet kunnen nemen. Wie start op het moment dat een klant om een rapport vraagt, kijkt aan tegen ruim een jaar voordat er iets bruikbaars ligt, en betaalt bovendien een veelvoud aan externe inzet om onder tijdsdruk in te richten wat rustig had kunnen worden opgebouwd.

Veelgestelde vragen

Is ISAE 3402 verplicht?

Nee, er is geen wet die het voorschrijft. De druk komt vrijwel altijd van klanten en hun accountants, die zekerheid nodig hebben over processen die zij bij jou hebben ondergebracht en die doorwerken in hun eigen verslaggeving. In de praktijk voelt dat voor veel dienstverleners toch als een verplichting, omdat het alternatief bestaat uit individuele controlebezoeken en uitgebreide vragenlijsten per klant. Bij grotere opdrachtgevers is het bovendien steeds vaker een contractuele eis of zelfs een selectiecriterium, waardoor je zonder rapport niet aan tafel komt.

Wat is het verschil tussen ISAE 3402 en een EDP audit?

ISAE 3402 is een assurance-standaard die resulteert in een rapport met een accountantsoordeel, bedoeld voor klanten en hun accountants, met een scope die zich richt op beheersmaatregelen die relevant zijn voor hun financiële verslaggeving. Een EDP audit is een onafhankelijk onderzoek naar de betrouwbaarheid van je geautomatiseerde informatievoorziening, doorgaans uitgevoerd door een IT-auditor, en levert een rapport op dat primair intern wordt gebruikt om vast te stellen hoe het ervoor staat. Ze sluiten nauw op elkaar aan: het IT-deel van een ISAE 3402-traject is inhoudelijk grotendeels waar een EDP audit over gaat, en een EDP audit vooraf is een verstandige voorbereiding op een assurance-traject.

Hoe lang duurt een audittraject?

Voor een EDP audit reken je afhankelijk van de scope op enkele weken tot een paar maanden doorlooptijd. Voor ISAE 3402 hangt het sterk af van je startpunt: een organisatie die vanaf de basis begint, is doorgaans enkele maanden bezig met het inrichten en beschrijven van beheersmaatregelen voordat een Type 1 zinvol is. Voor een Type 2 komt daar de observatieperiode bovenop, meestal zes tot twaalf maanden, en die laat zich niet inkorten. Reken voor een eerste Type 2-rapport realistisch op ruim een jaar vanaf de start, waarbij organisaties met een al volwassen beheersomgeving de inrichtingsfase fors kunnen verkorten.

Voor welke organisaties is dit relevant?

Voor serviceorganisaties die processen uitvoeren die doorwerken in de verslaggeving of bedrijfsvoering van hun klanten: salarisverwerkers, pensioenuitvoerders, vermogensbeheerders, betaaldienstverleners, factoringpartijen, administratiekantoren, en hosting- of applicatiebeheerders die financiële systemen draaien. Voor de EDP audit is de groep breder, want die is relevant voor elke organisatie die wil weten of haar geautomatiseerde gegevensverwerking betrouwbaar en beheerst is, ongeacht of er iets is uitbesteed. Ook uitbestedende partijen zelf hebben er baat bij, omdat een EDP audit hun inzicht geeft in wat ze eigenlijk hebben weggegeven.

Wat levert een auditrapport concreet op?

Naar buiten toe: kortere verkoop- en onboardingtrajecten, minder onderbrekingen van je operationele mensen door individuele klantonderzoeken, en toegang tot opdrachtgevers die zonder rapport niet met je in zee gaan. Naar binnen toe: een onafhankelijk beeld van waar je beheersing zwak is, uitgedrukt in termen waar het management iets mee kan, en een cyclus die ervoor zorgt dat bevindingen daadwerkelijk worden opgelost in plaats van jaarlijks terug te keren. Het minst zichtbare maar vaak waardevolste effect is dat de organisatie zelf scherper zicht krijgt op haar eigen processen en afhankelijkheden.

Conclusie

ISAE 3402 en een EDP audit helpen organisaties om aantoonbaar grip te houden op uitbestede en geautomatiseerde processen, elk vanuit een eigen invalshoek. Het assurance-rapport beantwoordt de vraag van klanten en hun accountants die moeten kunnen steunen op maatregelen die zij zelf niet kunnen waarnemen. De EDP audit beantwoordt de vraag of de systemen en beheersmaatregelen waarop die processen draaien werkelijk doen wat je ervan verwacht. In de praktijk zijn ze nauw met elkaar verweven, want een assurance-rapport zonder gedegen beoordeling van de onderliggende IT is een verhaal zonder fundament.

Wat beide gemeen hebben, is dat ze staan of vallen bij aantoonbaarheid. Niet bij de omvang van je documentatie, maar bij de vraag of je consistent en over een langere periode kunt laten zien dat je doet wat je zegt te doen. Organisaties die hun bewijs laten ontstaan tijdens het werk in plaats van het achteraf bij elkaar te zoeken, ervaren deze trajecten als een routineactiviteit. Organisaties die pas beginnen wanneer de datum in zicht komt, betalen daar structureel meer voor en houden er een matiger resultaat aan over.

Door je controles goed in te richten en te laten toetsen, vergroot je daarmee niet alleen het vertrouwen bij je klanten maar verbeter je vooral de kwaliteit van je eigen beheersing. Begin niet met documenteren maar met inventariseren: breng in kaart welke processen en systemen er werkelijk toe doen, waar het bewijs ontbreekt en welke zekerheid je klanten concreet van je vragen. Vanuit dat overzicht ontstaat de juiste volgorde vanzelf, en bouw je stap voor stap aan een organisatie die niet alleen in control is, maar dat op elk moment ook kan laten zien.