IT-audit Services

Met een SOC 2-rapport verschaft een serviceorganisatie assurance aan haar klanten over de kwaliteit van de beheersingsmaatregelen die relevant zijn voor de dienstverlening. Het rapport richt zich op de processen en systemen die de serviceorganisatie zelf uitvoert ten behoeve van haar klanten, en geeft inzicht in de mate waarin deze betrouwbaar en gecontroleerd functioneren. SOC 2 is ontwikkeld door de AICPA (American Institute of Certified Public Accountants) en is wereldwijd de meest gevraagde assurance-standaard voor technologie- en SaaS-organisaties.

Een SOC 2-rapport is gebaseerd op de Trust Services Criteria. Beveiliging is altijd onderdeel van de scope; beschikbaarheid, vertrouwelijkheid, integriteit van verwerking en privacy worden opgenomen op basis van de dienstverlening en de verwachtingen van klanten. Er zijn twee rapporttypen: een Type I beoordeelt de opzet en het bestaan van controls op een peilmoment, een Type II ook de werking over een periode van drie tot twaalf maanden. In de praktijk vragen klanten vrijwel altijd om een Type II.

Een ISAE 3402-rapport is een onafhankelijke assurance-rapportage door een IT-auditor of accountant, die zekerheid geeft over de opzet, het bestaan en (bij een Type II-rapport) de werking van de beheersingsmaatregelen binnen een serviceorganisatie. Het doel is om gebruikersorganisaties inzicht te geven in de mate waarin zij kunnen vertrouwen op uitbestede processen die van invloed zijn op hun financiele verslaggeving.

Waarom ISAE 3402?

Organisaties besteden steeds vaker kritische processen uit: salarisverwerking, financiele administratie, IT-beheer, dataopslag of applicatiebeheer. De accountant van de gebruikersorganisatie moet bij de jaarrekeningcontrole kunnen vaststellen dat ook de uitbestede processen beheerst verlopen. Een ISAE 3402-rapport levert hiervoor het bewijs. Zonder dit rapport moet de accountant zelf aanvullend onderzoek doen bij de serviceorganisatie, wat voor beide partijen kostbaar en tijdrovend is.

Type I versus Type II

Net als bij SOC 2 kent ISAE 3402 twee rapporttypen. Een Type I-rapport beschrijft het systeem van de serviceorganisatie en beoordeelt of de controls op een specifiek moment adequaat zijn ingericht. Een Type II-rapport voegt daar de werking aan toe: zijn de controls gedurende een periode (minimaal zes maanden, doorgaans zes tot twaalf maanden) ook daadwerkelijk effectief uitgevoerd? In de praktijk vragen accountants vrijwel altijd om een Type II-rapport.

Scope en afbakening

Hoewel de primaire focus van ISAE 3402 ligt op processen die relevant zijn voor de financiele verslaggeving, kan de scope breder zijn. Afhankelijk van de afspraken met gebruikersorganisaties en hun accountants kan het rapport ook betrekking hebben op informatiebeveiliging, beschikbaarheid, integriteit en continuiteit van de dienstverlening. Wij helpen u bij het bepalen van de juiste scope, zodat het rapport aansluit bij wat uw klanten en hun accountants verwachten.

Voor wie is ISAE 3402 relevant?

ISAE 3402 is relevant voor elke organisatie die diensten verleent die direct of indirect van invloed zijn op de financiele verslaggeving van klanten. In veel sectoren is een ISAE 3402-rapport een standaard eis bij het aangaan of verlengen van contracten.

Het auditproces

Wij starten met een inventarisatie van de relevante processen en controls, in afstemming met uw organisatie en (waar nodig) de accountant van uw klant. Vervolgens beoordelen wij de opzet en werking van de controls aan de hand van interviews, proceswalkthrough, documentatiereview en het toetsen van bewijsstukken. Het eindresultaat is een formeel assurance-rapport dat direct bruikbaar is voor de jaarrekeningcontrole van uw klanten.

ISAE 3000 is een internationaal raamwerk voor assurance-opdrachten die betrekking hebben op niet-financiele processen en beheersingsmaatregelen. Waar ISAE 3402 specifiek gericht is op controls die relevant zijn voor de financiele verslaggeving, is ISAE 3000 toepasbaar op vrijwel elk type proces of onderwerp.

Toepassingsgebieden

Binnen de IT-context wordt ISAE 3000 vaak toegepast op processen zoals change management, incident management, service level management, security management, continuiteitsbeheer en softwareontwikkeling. Maar het raamwerk is breder inzetbaar: ook voor duurzaamheidsrapportages (ESG), privacy compliance, kwaliteitsmanagement of elk ander onderwerp waarover een organisatie onafhankelijke assurance wil bieden.

Type I versus Type II

Ook bij ISAE 3000 wordt onderscheid gemaakt tussen Type I (opzet en bestaan op een peilmoment) en Type II (werking over een periode van minimaal zes maanden). Een Type II-rapport biedt meer zekerheid omdat het aantoont dat de controls niet alleen bestaan, maar ook daadwerkelijk effectief functioneren in de dagelijkse praktijk.

Verschil met ISAE 3402

Het belangrijkste verschil is de scope. ISAE 3402 richt zich specifiek op controls die relevant zijn voor de financiele verslaggeving van klanten. ISAE 3000 heeft die beperking niet en is toepasbaar op elk onderwerp. Dat maakt ISAE 3000 geschikt voor organisaties die assurance willen bieden over IT-processen en beveiliging, zonder dat er een directe link met financiele verslaggeving hoeft te zijn.

Voor wie is ISAE 3000 relevant?

ISAE 3000 is relevant voor organisaties die hun klanten, toezichthouders of andere stakeholders zekerheid willen bieden over de kwaliteit van hun processen en beheersing, zonder dat de scope beperkt is tot financiele verslaggeving. Denk aan IT-dienstverleners, overheidsorganisaties, zorginstellingen en organisaties die willen aantonen dat zij voldoen aan specifieke wet- en regelgeving of branche-eisen.

Onze aanpak

Wij bepalen samen met u welke processen, controls en criteria in scope vallen. Het toetsingskader wordt op maat samengesteld, aansluitend bij de verwachtingen van uw stakeholders. De audit verloopt via dezelfde grondige methodiek als onze SOC 2- en ISAE 3402-trajecten: interviews, proceswalkthrough, bewijsstukkenreview en rapportage via het Secure Audit Platform.

Veel overheden en zorginstellingen bieden burgers de mogelijkheid om via een online portaal in te loggen met DigiD. Daarmee krijgen gebruikers toegang tot persoonlijke gegevens of kunnen zij bijvoorbeeld een verhuizing doorgeven via een digitaal formulier. Omdat DigiD toegang geeft tot privacygevoelige informatie, gelden er strikte beveiligingseisen.

Verplichting en normenkader

In Nederland is de DigiD TPM (Third Party Memorandum) verplicht voor alle organisaties met een DigiD-aansluiting. Dit jaarlijkse ICT-beveiligingsassessment moet worden uitgevoerd door een onafhankelijke IT-auditor. De verplichting geldt voor alle aansluithouders: gemeenten, zorginstellingen, waterschappen, uitvoeringsorganisaties, applicatieleveranciers en hostingpartijen. Het normenkader is gebaseerd op de ICT-beveiligingsrichtlijnen van het Nationaal Cyber Security Centrum (NCSC) en wordt jaarlijks bijgewerkt door Logius.

Wat houdt het assessment in?

Een DigiD-assessment bestaat uit twee onderdelen: een audit van de organisatorische en technische beheersingsmaatregelen, en een technische penetratietest op de webapplicatie en onderliggende infrastructuur. De audit toetst onder andere toegangsbeheer, netwerkbeveiliging, patchmanagement, logging en monitoring, en cryptografie. De penetratietest moet door de organisatie zelf worden uitbesteed aan een externe partij en richt zich op het actief zoeken naar kwetsbaarheden in de applicatie en de configuratie van de omgeving.

Het assessment-proces

Rapportage en oplevering

De DigiD-rapportage bevat een overzicht van de bevindingen per norm, inclusief een beoordeling of aan elke norm wordt voldaan. Het rapport wordt ingediend bij Logius, de beheerder van DigiD. Bij bevindingen die leiden tot een niet-voldoende beoordeling stelt Logius een hersteltermijn vast waarbinnen de tekortkomingen moeten worden opgelost. Na herstel kan een hertoeitsing plaatsvinden.

Penetratietest

De penetratietest is een integraal onderdeel van het DigiD-assessment en moet worden uitgevoerd conform de eisen van Logius. De organisatie dient hiervoor zelf een externe partij in te schakelen. De pentest richt zich op veelvoorkomende kwetsbaarheden zoals SQL-injectie, cross-site scripting (XSS), onveilige sessieafhandeling en onjuiste autorisatie. De resultaten worden opgenomen in het DigiD-rapport.

Ketenverantwoordelijkheid

Bij DigiD-koppelingen is vaak sprake van een keten. Het DigiD-normenkader stelt eisen aan alle schakels in deze keten. Wij hebben ervaring met het beoordelen van de volledige keten en ondersteunen bij de verdeling van verantwoordelijkheden en de afstemming tussen de verschillende partijen.