ISAE 3000 uitgelegd: de standaard voor assurance buiten de jaarrekening

ISAE 3000 is de overkoepelende internationale standaard voor assurance-opdrachten over niet-financiële informatie. De volledige naam is ISAE 3000 (Revised), Assurance Engagements Other than Audits or Reviews of Historical Financial Information, uitgegeven door de IAASB. Alles wat een auditor aan zekerheid verstrekt buiten de klassieke jaarrekeningcontrole om, loopt in de kern via deze standaard.

Dat maakt ISAE 3000 het fundament onder een hele familie van rapporten. ISAE 3402, voor uitbestede processen die de jaarrekening van klanten raken, is een specifiekere standaard in dezelfde familie en bouwt voort op de uitgangspunten van ISAE 3000. Hetzelfde geldt voor ISAE 3410 (broeikasgasverslaggeving). Ook veel SOC 2-rapporten van auditors buiten de VS worden formeel onder ISAE 3000 afgegeven. Wie begrijpt hoe ISAE 3000 werkt, begrijpt daarmee de hele stapel.

Waarvoor wordt ISAE 3000 gebruikt?

In onze praktijk komen ISAE 3000-opdrachten in een paar vormen terug.

Assurance over informatiebeveiliging en IT-beheer. Een klant of toezichthouder wil onafhankelijke zekerheid dat beveiligingsmaatregelen of beheerprocessen werken, maar de scope past niet in een certificering of een ISAE 3402. Denk aan een rapport over de beheersing van een specifiek platform of een specifieke dienst.

Privacy-assurance. Een verwerker die aan zijn opdrachtgevers wil aantonen dat de afspraken uit de verwerkersovereenkomst en de relevante AVG-verplichtingen worden nageleefd, laat daar een ISAE 3000-rapport over afgeven.

Algoritme- en AI-assurance. Een groeiende categorie: onafhankelijke zekerheid over de beheersing rond algoritmes en AI-systemen, bijvoorbeeld voor publieke organisaties die daarover verantwoording afleggen. Dit werkten we uit in een apart artikel over algoritme-assurance onder ISAE 3000.

Sectorspecifieke kaders. Verschillende Nederlandse assessmentregimes zijn opgehangen aan ISAE 3000, waaronder de DigiD-assessments die wij als auditor uitvoeren. Wat daar getoetst wordt, staat in de DigiD-assessment checklist.

En daarnaast SOC 2: buiten de VS geven auditors een SOC 2-rapport vaak af onder ISAE 3000. Het rapport toetst inhoudelijk tegen de Trust Services Criteria, de verklaring erop is een ISAE 3000-verklaring. In de VS zelf gelden de AICPA-standaarden. Welke vorm past bij jouw afnemers, lees je in ISAE 3402 of SOC 2.

Hoe zit een ISAE 3000-opdracht in elkaar?

Elke ISAE 3000-opdracht heeft dezelfde bouwstenen. Er is een onderwerp (de processen, systemen of informatie waarover zekerheid wordt gegeven), er zijn criteria (het kader waartegen wordt getoetst, bijvoorbeeld een normenkader, contractuele afspraken of eigen beheersdoelstellingen), er is een verantwoordelijke partij die een bewering doet, en er is een auditor die daar onafhankelijk onderzoek naar doet en een oordeel over geeft.

Die vrijheid in het kiezen van criteria is de kracht en tegelijk het aandachtspunt van de standaard. De criteria moeten relevant, volledig, betrouwbaar, neutraal en begrijpelijk zijn. Een rapport tegen vage of zelfgekozen lichte criteria voldoet formeel misschien, maar overtuigt de lezer niet. Ook de onafhankelijkheid van de auditor en het kwaliteitsbeheer van het kantoor horen bij de opdracht; je mag dat als lezer van het rapport verwachten. De waarde van een ISAE 3000-rapport staat of valt met de vraag: waartegen is er precies getoetst?

Reasonable of limited assurance

ISAE 3000 kent twee zekerheidsniveaus, en het verschil is voor de lezer van het rapport wezenlijk.

Bij reasonable assurance voert de auditor uitgebreide testwerkzaamheden uit en formuleert het oordeel positief: de beheersmaatregelen zijn effectief, of de informatie is in alle van materieel belang zijnde opzichten juist. Het is een hoog niveau van zekerheid, maar geen absolute: de auditor toetst steekproefsgewijs en kan niet alles zien. Dit niveau is vergelijkbaar met een jaarrekeningcontrole, en het niveau dat afnemers van assurance-rapporten doorgaans verwachten.

Bij limited assurance zijn de werkzaamheden beperkter, bijvoorbeeld vooral inlichtingen inwinnen en cijferanalyses, en is de conclusie negatief geformuleerd: ons is niets gebleken op grond waarvan wij zouden moeten concluderen dat de informatie onjuist is. Dat leest als een subtiel verschil, maar het zekerheidsniveau ligt echt lager, en de prijs ook.

Welk niveau passend is, hangt af van wat de gebruiker van het rapport ermee moet. Een accountant die erop wil steunen of een toezichthouder die er een besluit op baseert, heeft aan limited assurance meestal niet genoeg. Voor een eerste jaar of een intern verbetertraject kan het een bewuste tussenstap zijn.

Opzet en bestaan, of werking over een periode

De termen Type I en Type II komen uit ISAE 3402 en SOC 2, niet uit ISAE 3000 zelf. Het onderscheid bestaat bij een ISAE 3000-rapport over beheersmaatregelen wel: je kunt opzet en bestaan op een peildatum toetsen, of de werking over een periode. De standaard schrijft geen minimale periode voor; die kies je samen met de afnemer op basis van wat het rapport moet aantonen. Voor rapporten waar derden op steunen is een periodegebonden rapport gebruikelijk. Wat dat betekent voor de observatieperiode en de bewijslast, staat in het artikel over Type I en Type II bij SOC 2; de mechanismen zijn bij ISAE 3000 vergelijkbaar.

Wanneer kies je ISAE 3000?

De keuze laat zich samenvatten in één vraag: waarover wil je afnemer zekerheid? Raakt je dienstverlening de jaarrekening van klanten, dan is ISAE 3402 de specifieke en herkenbare route. Gaat het om beveiliging, beschikbaarheid en privacy van een SaaS-dienst en vraagt de markt om een herkenbaar raamwerk, dan is SOC 2 (onder ISAE 3000) de logische vorm. Gaat het om iets anders, van privacynaleving tot algoritmebeheersing tot een sectorspecifiek normenkader, dan is een ISAE 3000-rapport op maat de aangewezen weg.

Secure Audit voert ISAE 3000-opdrachten uit op het gebied van informatiebeveiliging, IT-beheer, privacy en algoritmes, naast onze ISAE 3402- en SOC 2-trajecten. Onze aanpak, de kostenfactoren en veelgestelde vragen staan op de pagina over de ISAE 3000-audit. Twijfel je welk rapport jouw afnemers echt nodig hebben, dan kijken we mee naar de vraag achter de vraag.