Bridge letter bij SOC 2 en ISAE 3402: wat het is, wie hem afgeeft en wanneer je hem nodig hebt

Elk SOC 2 Type II- of ISAE 3402 Type II-rapport dekt een afgebakende observatieperiode, bijvoorbeeld 1 oktober tot en met 30 september. Maar de accountant van jouw klant controleert een boekjaar dat op 31 december eindigt. Wat gebeurt er in die drie maanden waarover geen rapport bestaat? Voor precies dat gat bestaat de bridge letter, ook wel gap letter of comfort letter genoemd. Het is een klein document met een grote rol in de jaarlijkse assurance-cyclus, en er bestaan hardnekkige misverstanden over.

Het probleem: het gat tussen rapport en boekjaar

Een Type II-rapport zegt iets over de werking van controls gedurende de observatieperiode, en over niets daarbuiten. Eindigt jouw periode op 30 september en sluit het boekjaar van je klant op 31 december, dan ontbreekt er formeel zekerheid over oktober, november en december. De accountant van je klant wil weten of hij ook voor die maanden op jouw beheersing kan steunen, of dat er aanvullende werkzaamheden nodig zijn.

Dat gat is geen ontwerpfout maar een praktisch gegeven. Observatieperiodes kunnen niet voor elke klant apart worden ingericht, en een rapport heeft nu eenmaal tijd nodig om na afloop van de periode te worden afgerond. Vrijwel elke serviceorganisatie met klanten in verschillende rapportagecycli krijgt er dus mee te maken.

Wat is een bridge letter precies?

Een bridge letter is een korte verklaring van het management van de serviceorganisatie, gericht aan afnemers van het rapport. De kern bestaat uit drie elementen. De brief verwijst naar het meest recente Type II-rapport en de periode die dat rapport dekt. Het management verklaart vervolgens of er sinds het einde van die periode materiële wijzigingen zijn geweest in het systeem, de controls of de organisatie. En de brief benoemt de periode die wordt overbrugd, tot aan een concrete datum.

Zijn er wel relevante wijzigingen geweest, bijvoorbeeld een migratie naar een ander cloudplatform of een reorganisatie van het beheerteam, dan hoort de brief die te benoemen met een korte toelichting op de impact. Een bridge letter die wijzigingen verzwijgt, ondermijnt precies het vertrouwen dat hij moet ondersteunen.

Het grootste misverstand: wie geeft hem af?

Hier gaat het in de praktijk vaak mis. Een bridge letter wordt afgegeven door het management van de serviceorganisatie, niet door de auditor. De auditor heeft de tussenliggende periode immers niet onderzocht en kan er dus geen zekerheid over verschaffen. Afnemers die om een bridge letter van de auditor vragen, vragen om iets wat binnen de assurance-standaarden niet bestaat.

Daaruit volgt ook direct wat de brief wel en niet waard is. Een bridge letter biedt geen assurance. Het is een managementverklaring: nuttig, gebruikelijk en voor de meeste accountants voldoende om het gat te accepteren, maar geen vervanging voor een rapport. De accountant van de afnemer weegt de brief mee in de eigen risicoafweging en kan bij twijfel altijd aanvullende informatie opvragen.

Hoe groot mag het gat zijn?

Er bestaat geen formele regel, maar de praktijk is duidelijk: een overbrugging tot ongeveer drie maanden wordt breed geaccepteerd. Wordt het gat groter, dan neemt de bereidheid van accountants om erop te steunen snel af, en klinkt al gauw de vraag waarom de observatieperiode niet beter aansluit op de rapportagebehoefte van klanten.

Structureel grote gaten zijn dan ook vooral een planningsprobleem. Wie veel klanten heeft met een boekjaar gelijk aan het kalenderjaar, doet er verstandig aan de observatieperiode zo te kiezen dat die dicht op 31 december eindigt, bijvoorbeeld 1 oktober tot en met 30 september of 1 januari tot en met 31 december. In dat laatste geval is het rapport pas enkele weken na jaareinde beschikbaar en overbrugt de bridge letter alleen de afrondingstijd van het rapport.

Voor afnemers: hoe beoordeel je een bridge letter?

Wie als afnemer een bridge letter ontvangt, controleert een aantal punten. Sluit de brief aan op het juiste rapport en de juiste periode, en dekt hij de volledige periode tot jouw rapportagedatum? Is de brief gedateerd en ondertekend door het management van de serviceorganisatie? Worden wijzigingen expliciet geadresseerd, ook als de conclusie is dat er geen waren? En wees alert op formuleringen die meer zekerheid suggereren dan de brief kan bieden: een managementverklaring is geen auditorsoordeel.

Bekijk de brief bovendien altijd samen met het onderliggende rapport. Een bridge letter bij een rapport vol exceptions verandert niets aan die exceptions.

Praktische tips voor serviceorganisaties

Maak van de bridge letter een standaardproduct. Stel één sjabloon op, leg vast wie de brief mag ondertekenen (doorgaans de directie of de eindverantwoordelijke voor compliance) en koppel de afgifte aan een korte interne toets: zijn er sinds het einde van de observatieperiode wijzigingen geweest die materieel zijn voor de dienstverlening? Het wijzigingsbeheer en incidentregister zijn daarvoor de logische bronnen.

Wees daarnaast proactief. Klanten vragen bridge letters vrijwel altijd in dezelfde periode, rond hun jaarafsluiting. Wie in januari een stroom losse verzoeken wil voorkomen, stuurt de brief standaard mee bij de rapportdistributie of stelt hem beschikbaar via het klantportaal. En dateer de brief zo laat mogelijk: een brief van medio januari die de periode tot en met 31 december dekt, is meer waard dan een brief die al in november is opgesteld.

Conclusie

De bridge letter is een klein maar vast onderdeel van een volwassen assurance-cyclus: een managementverklaring die het gat tussen observatieperiode en rapportagedatum overbrugt. Hij biedt geen assurance en vervangt geen rapport, maar geeft afnemers en hun accountants de bevestiging dat het systeem sinds het laatste rapport niet wezenlijk is veranderd. Zorg voor een goed sjabloon, een korte interne toets en een slimme planning van de observatieperiode, dan is de bridge letter elk jaar een formaliteit in plaats van een verrassing. Vragen over de inrichting van jouw rapportagecyclus? Neem gerust contact op.