ISAE 3402 of SOC 2: welk rapport vragen je klanten, en kun je beide in één audit krijgen?

ISAE 3402 en SOC 2 worden in offertes, tenders en leveranciersbeoordelingen voortdurend door elkaar gehaald. Dat is begrijpelijk. Beide zijn assurance-rapporten van een onafhankelijke auditor over de interne beheersing van een serviceorganisatie, beide kennen een Type I en een Type II, en beide worden gevraagd door klanten die zekerheid willen over hun leverancier. Toch beantwoorden ze verschillende vragen. Kies je het verkeerde rapport, dan merk je dat pas als een klant of zijn accountant het niet accepteert, en dan ben je maanden verder.

De kernvraag: wat raakt je dienstverlening bij de klant?

De keuze begint bij één vraag: wat raakt jouw dienstverlening bij je klant? Raakt die de jaarrekening, dan zit je bij ISAE 3402. Raakt die vooral de beveiliging, beschikbaarheid of vertrouwelijkheid van gegevens, dan zit je bij SOC 2.

ISAE 3402 is ontwikkeld voor uitbestede processen die de financiële verslaggeving van klanten beïnvloeden: salarisverwerking, pensioenadministratie, beleggingsadministratie, facturatie, betalingsverkeer. De accountant van je klant gebruikt het rapport bij de jaarrekeningcontrole. Wat er precies in zo'n rapport staat, behandelen we in wat is ISAE 3402.

SOC 2 is ontwikkeld voor dienstverleners die gegevens van klanten verwerken of hosten, en toetst tegen de vijf Trust Services Criteria: security, availability, processing integrity, confidentiality en privacy. Alleen security is verplicht; de overige categorieën kies je op basis van je dienstverlening. Het rapport wordt gelezen door security- en inkoopteams van (potentiële) klanten, niet primair door hun accountant. Meer daarover in SOC 2 uitgelegd.

Herkomst en formele basis

ISAE 3402 is een standaard van de internationale IAASB en wordt wereldwijd gebruikt, met een zwaartepunt in Europa. De Amerikaanse tegenhanger is SOC 1, dat een Amerikaanse accountant uitvoert onder SSAE 18. Inhoudelijk liggen die twee dicht bij elkaar, maar ze zijn niet identiek: de eisen aan de auditor komen uit verschillende beroepsregels. Een enkele opdracht kan wel aan beide standaarden tegelijk voldoen.

SOC 2 is een raamwerk van de Amerikaanse AICPA. Buiten de VS geven auditors het rapport doorgaans af onder ISAE 3000, de brede internationale assurance-standaard. Je ziet dan een rapport dat inhoudelijk SOC 2 is (Trust Services Criteria) met een ISAE 3000-verklaring erop. Let op wat dit betekent voor de vergelijking: ISAE 3402 is de internationale tegenhanger van SOC 1, niet van SOC 2. SOC 2 en ISAE 3402 zijn dus geen varianten van elkaar, het zijn rapporten voor een andere vraag.

De praktische verschillen op een rij

De scope. ISAE 3402 draait om beheersdoelstellingen die de organisatie zelf formuleert rond haar financieel relevante processen. SOC 2 toetst tegen een vast extern raamwerk van criteria. Dat maakt SOC 2-rapporten onderling beter vergelijkbaar, en geeft ISAE 3402 meer ruimte om het rapport op de eigen dienstverlening toe te snijden.

De lezer. Een ISAE 3402-rapport landt bij de accountant van je klant, die er in de jaarrekeningcontrole op steunt. Een SOC 2-rapport landt bij de CISO, de security officer of de inkoopafdeling, die er een leveranciersbeoordeling mee afrondt. Beide rapporten zijn bedoeld voor een beperkte kring: klanten en hun auditors. Wil je iets delen met het publiek, dan bestaat daarvoor het SOC 3-rapport, zonder de testdetails.

De opbouw. Beide rapporten bevatten een beschrijving van het systeem, een verklaring van het management en het oordeel van de auditor. Het verschil zit in waartegen getoetst wordt: bij ISAE 3402 tegen de beheersdoelstellingen uit jouw eigen beschrijving, bij SOC 2 tegen de gekozen Trust Services Criteria.

De observatieperiode. Bij een Type II toetst de auditor de werking over een periode. ISAE 3402 schrijft geen minimumduur voor, maar in de praktijk geldt zes maanden als ondergrens, omdat de accountant van de klant bij een kortere periode zelf aanvullende werkzaamheden moet doen. Bij SOC 2 schrijft de AICPA evenmin een minimum voor; drie maanden komt voor bij een eerste rapport, zes tot twaalf maanden is gebruikelijk. Meer over het inrichten van die periode lees je in de observatieperiode bij ISAE 3402 Type II en in Type I tegenover Type II bij SOC 2.

De geografie. In Europese tenders en bij Europese accountants is ISAE 3402 de gevestigde naam. Amerikaanse en internationale techbedrijven vragen standaard om SOC 2. Maar dit is een vuistregel, geen wet: kijk naar wat jouw klanten concreet in hun contracten en vragenlijsten zetten.

Wanneer allebei?

Veel organisaties passen in beide beschrijvingen tegelijk. Een salarisverwerker in de cloud raakt de jaarrekening van klanten (ISAE 3402) en verwerkt grote hoeveelheden persoonsgegevens in een SaaS-omgeving (SOC 2). Een beleggingsadministrateur levert cijfers voor de jaarrekening en host tegelijk een klantportaal.

In die gevallen is de efficiënte route meestal één gecombineerde audit. Een groot deel van de beheersmaatregelen, zoals toegangsbeheer, wijzigingsbeheer, back-up en incidentmanagement, is voor beide rapporten relevant en hoeft dan maar één keer getest te worden. De auditor rapporteert dezelfde testresultaten in twee rapporten, elk met de eigen structuur en het eigen publiek.

Een gecombineerde audit betekent niet dat je twee rapporten krijgt voor de prijs van één. Er blijven twee systeembeschrijvingen, twee verklaringen van het management en twee oordelen, en de scope hoeft niet gelijk te lopen: de systeemgrens voor SOC 2 kan breder zijn dan de financieel relevante processen voor ISAE 3402. De besparing zit in het testwerk en de planning, niet in het rapporteren.

Aandachtspunten die bij beide spelen

Subserviceorganisaties. Gebruik je een hostingpartij of een andere onderaannemer voor een deel van de dienst, dan moet je in beide rapporten kiezen tussen de carve-out- en de inclusive-methode. Dat bepaalt of de maatregelen van die partij in jouw rapport worden getoetst of alleen worden benoemd. Het uitgangspunt en de gevolgen voor je klant staan in carve-out tegenover inclusive method.

Complementaire gebruikersmaatregelen. In beide rapporten staat wat je klant zelf moet doen om de beheersing sluitend te maken, bijvoorbeeld het tijdig intrekken van toegang van eigen medewerkers. Een klant die dat overslaat, kan er niet op steunen dat het rapport zijn risico afdekt.

De keuze in drie stappen

Stap één: inventariseer wat klanten en prospects daadwerkelijk vragen. Kijk in contracten, tenders en due-diligencevragenlijsten van het afgelopen jaar. De vraag "heeft u een ISAE 3402?" van de accountant van een klant is een andere vraag dan "heeft u een SOC 2?" op een securityvragenlijst.

Stap twee: bepaal of je dienstverlening de jaarrekening van klanten raakt. Twijfel je, stel dan de vraag andersom: zou de accountant van je klant bij de jaarrekeningcontrole willen weten of jouw proces goed werkt? Zo ja, dan is er een ISAE 3402-vraag.

Stap drie: kies de kleinste set rapporten die de vraag afdekt, en plan de combinatie als beide nodig zijn. Begin niet met twee losse trajecten bij twee partijen; dat betekent dubbel testwerk voor jouw team. Wat een SOC 2-traject kost, hangt sterk af van scope en periode, zie wat een SOC 2-traject kost.

Lees verder over de aanpak per rapport: de ISAE 3402-audit en de SOC 2-audit.