ISAE 3000

ISAE 3000: Een ‘in control statement’

De opdrachtgevers waarvoor u werkt moeten aan steeds meer eisen voldoen. Ze kunnen het werk wel aan u uitbesteden, maar de eindverantwoordelijkheid niet. Uw opdrachtgever heeft er dus alle belang bij dat u een betrouwbare samenwerkingspartner bent die kwaliteit levert en de bedrijfsprocessen op orde heeft. Met de ISAE 3000 rapportage biedt u die zekerheid. ISAE 3000 is een ‘in control statement’. Hiermee toont u aan dat u volgens een onafhankelijke audit voldoet aan de vereiste normen.

Nadruk op niet-financiële processen

Het ISAE 3000 assurance rapport wordt opgesteld door de onafhankelijke (IT-)auditor van KroeseWevers. De auditor toetst voor de ISAE 3000 of u de interne processen ook inderdaad uitvoert zoals u deze beschreven heeft. Omdat u zekerheid wilt bieden aan uw opdrachtgevers moet in de verklaring goed omschreven staan om welke informatie en om welke processen het gaat.

Verschil tussen ISAE 3000 en ISAE 3402

Bij ISAE 3402 ligt de nadruk van de audit op de administratieve  processen in uw organisatie. Vaak is de insteek vanuit het effect op de jaarrekening van uw opdrachtgever. Bij ISAE 3000 ligt de nadruk juist op de niet-financiële processen in uw organisatie. Met ISAE 3000 laat u een audit uitvoeren in een breder kader en biedt u dus ook zekerheid voor de algemene proces- en bedrijfsvoering.

• Tijdens onze eerste afspraak inventariseren we samen met u waar de behoefte ligt. Vervolgens kijken we of de ISAE 3000-rapportage de verklaring is die u nodig heeft. Als blijkt dat uw opdrachtgevers vooral garanties willen over de werking van administratieve processen, dan kan ISAE 3402 mogelijk geschikter zijn. Onze auditors kunnen daarover snel uitsluitsel geven.
• Na de inventarisatie gaan we over tot de uitvoering van de toetsing. We vragen u om een procesbeschrijving te overleggen waarin staat welke activiteiten u uitvoert als bedrijf en welke maatregelen u neemt om te voldoen aan de doelstellingen.
• Vervolgens bespreken we met u of de beschrijving van processen en informatie juist en volledig is. Als de procesbeschrijving voldoet, gaan onze auditors toetsen of de beschreven maatregelen aanwezig zijn op één specifiek moment (bestaan, type I rapport) of de beschreven maatregelen werken over een bepaalde periode (type II rapport). Tevens rapporteren wij over de bevindingen per beschreven maatregel.
• Voordat het rapport door ons wordt voorzien van een assurance-verklaring, bespreken de auditors het rapport met u. Na het verstrekken van de assurance verklaring over uw ISAE 3000 rapportage maken de auditors afspraken met u over het vervolg van de audit, zodat de ISAE 3000-verklaring een blijvende werking krijgt. Hierbij moet u denken aan een periodieke audit (bijvoorbeeld 2 keer per jaar) over gevraagde processen en interne controle.