Software voor ISAE 3402- en SOC-rapportage laten maken
Bij een type II-rapport wordt niet beoordeeld of uw beheersmaatregelen bestaan maar of ze de hele periode hebben gewerkt. Dat verandert wat u moet bewaren: niet de stand op de dag van de audit, maar bewijs uit elke maand. Wie dat achteraf verzamelt, ontdekt dat de maanden waarin het misging precies de maanden zijn waarvan niets is bewaard.
Type I, type II en het verschil dat telt
ISAE 3402 is de internationale standaard voor assurance over beheersmaatregelen bij een serviceorganisatie, gericht op maatregelen die de financiële rapportage van uw klanten raken. SOC 2 richt zich op informatiebeveiliging en de daaraan gerelateerde systeembeheersmaatregelen. Welke van de twee uw klanten vragen, hangt af van waarvoor zij u inschakelen.
Het onderscheid dat het meeste uitmaakt is type I tegenover type II. Een type I-rapport beoordeelt de opzet en het bestaan van uw maatregelen op één moment. Een type II-rapport beoordeelt daarnaast of ze hebben gewérkt over een periode, in de praktijk minimaal een halfjaar. Dat tweede is wat klanten willen en wat een heel ander soort administratie vraagt.
Voor een type I volstaat een beschrijving en een steekproef op de dag zelf. Voor een type II moet u per maatregel kunnen laten zien dat hij elke keer is uitgevoerd, met bewijs uit die periode. Een toegangsbeoordeling die u ieder kwartaal doet, moet vier keer aantoonbaar zijn gedaan, en een kwartaal waarin het is vergeten valt niet te repareren met een extra ronde vlak voor de audit.
Hoe wij dit bouwen
De beheersmaatregel met haar frequentie is hier de eenheid. Ontstaat het bewijs vanzelf op het moment van uitvoeren, dan is de audit een selectie in plaats van een zoektocht.
Wat doet u, hoe vaak, wie is eigenaar en wat is het bewijs. Die vier vragen per maatregel vormen de hele basis; alles daarna volgt eruit.
We halen het uit de systemen waarin het werk gebeurt in plaats van er een aparte handeling van te maken. Bewijs dat handwerk vraagt, ontbreekt in de drukke maanden.
Een maatregel die een keer niet is uitgevoerd, is een bevinding en geen ramp, mits u hem zelf ziet en er iets mee doet. Verstoppen werkt niet; de auditor vindt het gat.
Wat u van uw klant veronderstelt, hoort expliciet in het rapport. We bouwen dat als een eigen lijst en niet als een alinea die niemand leest.
Wat de software concreet doet
Het register van beheersmaatregelen met hun bewijs draagt alles. Welke onderdelen u nodig heeft, hangt af van of u het rapport afgeeft of ontvangt.
Beheersmaatregelen met frequentie en eigenaar
Per maatregel wat er moet gebeuren, hoe vaak, door wie en welk bewijs dat oplevert. Zonder die vier is een type II-audit een reconstructie achteraf.
Bewijs uit de systemen zelf
Toegangsbeoordelingen, back-upcontroles, wijzigingsgoedkeuringen en logbestanden komen binnen via koppelingen in plaats van via een rondje mailen. Wat automatisch binnenkomt, ontbreekt niet in een drukke maand.
Uitvoering per periode bewaakt
Het systeem toont per maatregel welke periodes zijn afgedekt en welke niet, tijdens de periode en niet erna. Een gat is dan nog te herstellen.
Uitzonderingen met opvolging
Een maatregel die niet is uitgevoerd of een controle die faalde. Elk daarvan wordt een bevinding met eigenaar en termijn, want een gat dat u zelf heeft gezien en opgevolgd weegt anders dan een gat dat de auditor vindt.
CUEC als expliciete lijst
De maatregelen die u van uw klanten veronderstelt, met per klant of zij die hebben bevestigd. Dat is de bijlage die iedereen overslaat en waarop uw eigen doelstellingen rusten.
Auditdossier per periode
Alle bewijsstukken van de rapportageperiode bij elkaar, met de versie van de maatregel die toen gold. Bij de audit is dat het verschil tussen aanleveren en verzamelen.
Voor wie wij bouwen
Of u het rapport afgeeft of ontvangt, verandert het systeem volledig. Vier situaties.
Serviceorganisaties die rapporteren
U geeft het rapport af aan uw klanten en draagt de volledige bewijslast. Uw grootste risico is de maand waarin een maatregel is overgeslagen en niemand het heeft gemerkt. Valt u ook onder de Cyberbeveiligingswet, dan overlapt een deel van uw maatregelenset.
Uitbestedende partijen
U ontvangt rapporten van uw leveranciers en moet ze beoordelen. Wat u dan echt moet lezen is de CUEC-bijlage, want daar staat wat ú had moeten inrichten opdat hun conclusie klopt.
Organisaties met veel leveranciers
Tientallen rapporten per jaar, elk met eigen periodes, eigen uitzonderingen en eigen CUEC. Zonder register wordt dat een archiefkast waarin niemand kijkt tot de accountant ernaar vraagt. Het aanleveren door leveranciers loopt via een leveranciersportaal.
Ketens waarin beide rollen samenkomen
U geeft een rapport af en leunt zelf op rapporten van uw onderaannemers. Dan moet zichtbaar zijn welk deel van uw eigen zekerheid uit hun rapport komt. Loopt daar ook een norm onder, dan sluit dit aan op uw kwaliteitsmanagementsysteem.
Test je idee eerst — werkend prototype in 1 dag
Met OneDayBuild maken we je idee in één dag tastbaar voor €950, zodat je weet of verdere ontwikkeling de investering waard is. Besluit je door te gaan met de volledige bouw? Dan verrekenen we de kosten volledig.
Bekijk OneDayBuild →Technologie en koppelingen
De standaarden worden periodiek herzien en uw eigen maatregelenset verandert met uw dienstverlening. Alles wat daarmee samenhangt, hoort instelbaar te zijn en per versie bewaard.
Waarom Appfront
Type II meet de periode, niet de dag
Wij tonen de dekking per periode terwijl die loopt. Een gat dat u in maand drie ziet, is te herstellen; hetzelfde gat in maand negen niet.
Bewijs dat zichzelf verzamelt
Wat mensen handmatig moeten aanleveren, ontbreekt precies in de maanden waarin het druk was. Wij halen het op uit de systemen waarin het werk gebeurt.
De CUEC is geen bijlage maar een afspraak
Uw doelstellingen worden alleen gehaald als uw klant zijn deel heeft ingericht. Wij maken daar een lijst van met bevestiging per klant.
Een zelf gevonden gat weegt anders
Wij maken uitzonderingen zichtbaar met opvolging, want verzwijgen werkt niet en een auditor beoordeelt ook hoe u met afwijkingen omgaat.
Security en privacy
Een auditdossier bevat het complete beeld van hoe uw organisatie is beveiligd, inclusief de plekken waar het een keer misging. Dat is voor een aanvaller waardevoller dan de systemen zelf. Wij zetten toegang daarom strak per rol, scheiden het aanleveren van bewijs van het beoordelen ervan, en leggen elke inzage vast.
Bij het delen met derden speelt iets bijzonders. Uw auditor moet erin kunnen, uw klanten willen het rapport en soms onderliggende stukken, en uw leveranciers leveren hun eigen bewijs aan. Dat zijn drie verschillende kringen die elkaars materiaal niet horen te zien. Wij bouwen daarom aparte toegangspaden in plaats van één gedeelde map, en beperken wat een externe partij ziet tot de periode en de maatregelen waarvoor hij is uitgenodigd. Aan de bewijskant geldt dat een bewijsstuk onwijzigbaar moet zijn met tijdstip: bewijs dat achteraf kan worden bijgewerkt, is bij een type II-audit geen bewijs. Hoe wij zelf met beveiliging omgaan staat in ons informatiebeveiligingsbeleid; meldingen van buitenaf lopen via ons CVD-beleid.
Veelgestelde vragen over ISAE 3402 en SOC
Een type I-rapport beoordeelt de opzet en het bestaan van uw beheersmaatregelen op één moment. Een type II beoordeelt daarnaast of ze hebben gewerkt over een periode, in de praktijk minimaal een halfjaar. Klanten vragen vrijwel altijd om type II, en dat vraagt bewijs uit elke maand in plaats van een momentopname.
ISAE 3402 richt zich op beheersmaatregelen die de financiële rapportage van uw klanten raken; SOC 2 op informatiebeveiliging en gerelateerde systeembeheersmaatregelen. Welke uw klanten vragen, hangt af van waarvoor zij u inschakelen; sommige serviceorganisaties geven beide af. Uw accountant bepaalt de scope, niet uw softwareleverancier.
Dat zijn de maatregelen waarvan de serviceorganisatie veronderstelt dat de klant ze zelf heeft ingericht, bijvoorbeeld het beheer van eigen gebruikersaccounts of het controleren van uitvoerrapporten. De doelstellingen in het rapport worden alleen gehaald als die aanname klopt, en het rapport zegt dat expliciet. Het is de bijlage die het vaakst wordt overgeslagen.
Lezen, en dan vooral de uitzonderingen en de CUEC-lijst. De uitzonderingen vertellen wat er bij uw leverancier misging; de CUEC vertelt wat ú had moeten inrichten opdat zijn conclusie voor u geldt. Een rapport archiveren zonder die twee te beoordelen, geeft schijnzekerheid.
Dan is dat een uitzondering en die hoort in het rapport. Dat is vervelend en niet fataal; wat zwaarder weegt is of u het zelf had gezien en wat u eraan heeft gedaan. Een gat dat de auditor vindt terwijl u het niet wist, zegt iets over uw beheersing en niet alleen over die ene maand.
Voor een type I soms; voor een type II niet. De vraag is of de maatregel op dat moment is uitgevoerd, en een reconstructie achteraf beantwoordt die vraag niet. Daarom halen wij bewijs op uit de systemen waarin het werk gebeurt in plaats van er een aparte handeling van te maken.
Nee. Een certificering zegt dat u aan een norm voldoet; een assurance-rapport beschrijft uw specifieke beheersmaatregelen en het oordeel van een accountant over opzet, bestaan en werking daarvan. Uw klanten kunnen er iets mee dat een certificaat niet biedt: ze kunnen lezen wat u precies doet.
Dat hangt af van het aantal beheersmaatregelen, hoeveel bewijs automatisch op te halen is en of de CUEC-kant meemoet. Het register met periodedekking is doorgaans snel bruikbaar en maakt direct zichtbaar waar de gaten zitten; de koppelingen kosten meer. Wij geven een onderbouwde inschatting na de verkenning.
Bewijs verzamelen tijdens de periode?
Neem één beheersmaatregel die u per kwartaal uitvoert en probeer het bewijs van vier kwartalen terug te vinden. Waar dat spoor stopt, zit uw type II-risico. Wij bouwen dit als losse toepassing en als onderdeel van een breder traject maatwerk software.