Een ISAE 3000 audit is geschikt voor assurance-opdrachten die geen betrekking hebben op historische financiële informatie. Dit betekent dat de audit ingezet kan worden voor diverse onderwerpen, zoals informatiebeveiliging, beschikbaarheid van systemen, systeemintegriteit, vertrouwelijkheid en privacy. Ook kan een ISAE 3000 worden gebruikt voor een oordeel over General IT Controls (GITC's), de inrichting van een organisatie, een project of specifieke processen.
Het resultaat is een assurance-rapport waarin de accountant een oordeel geeft over het onderzochte onderwerp. Dit rapport geeft uw klanten, toezichthouders of ketenpartners het vertrouwen dat uw informatie klopt en uw processen goed werken. Voor uw organisatie betekent een ISAE 3000 audit meer geloofwaardigheid richting externe partijen en is het een manier om u positief te onderscheiden in de markt.
ISAE 30000 Type I en Type II audit
Bij een ISAE 3000 audit zijn twee varianten mogelijk. Een Type I audit richt zich op de interne beheersingsmaatregelen die op een bepaald moment aanwezig zijn. De auditor toetst of deze maatregelen toereikend zijn beschreven en ingericht (opzet en bestaan). Bij een Type II audit wordt daarnaast ook de effectieve werking van beheersingsmaatregelen getoetst gedurende een bepaalde periode. Hierbij wordt niet alleen gekeken of maatregelen aanwezig zijn, maar ook of ze daadwerkelijk werken in de praktijk.
Voor wie is de ISAE 3000 audit?
De ISAE 3000 audit is geschikt voor organisaties die aan externe partijen willen aantonen dat hun processen, systemen, rapportages of interne beheersmaatregelen betrouwbaar en controleerbaar zijn. De audit is met name relevant voor:
-
IT-dienstverleners die diensten leveren aan de overheidssector of zorginstellingen en transparantie willen bieden over hun dienstverlening
-
Gemeenten en overheidsorganisaties die willen voldoen aan specifieke rapportageverplichtingen zoals DigiD-assessments, ENSIA of andere overheidsspecifieke normen
-
SaaS- en cloudproviders die hun klanten zekerheid willen geven over beveiliging, beschikbaarheid en integriteit van systemen
-
Zorginstellingen en zorgaanbieders die omgaan met gevoelige patiënt-/clientgegevens en compliance willen aantonen
-
Leveranciers in de keten van NIS2-plichtige organisaties of andere grootzakelijke klanten die assurance-rapporten vereisen
-
Organisaties met specifieke compliance-eisen op het gebied van privacy, informatiebeveiliging of sectorspecifieke regelgeving
De ISAE 3000 audit biedt de flexibiliteit om precies die onderwerpen te laten onderzoeken die voor uw organisatie en uw stakeholders het belangrijkst zijn. Denk hierbij aan onderwerpen zoals informatiebeveiliging, beschikbaarheid van systemen, systeemintegriteit, vertrouwelijkheid en privacy.
ISAE 3000 audit aanpak 2-Control
Onze aanpak voor een ISAE 3000 Audit is gestructureerd, transparant en volledig afgestemd op uw specifieke situatie. We doorlopen de volgende stappen:
Intake en scopebepaling
We beginnen met een intakegesprek waarin we samen met u bepalen wat het onderwerp van de assurance-opdracht is. Hierbij stellen we vast welke criteria worden gehanteerd en wat de informatiebehoeften zijn van uw stakeholders. We definiëren duidelijk de scope van het onderzoek en bespreken het gewenste zekerheidsniveau (Type I voor opzet en bestaan, of Type II inclusief effectieve werking gedurende een periode).
Vaststellen normenkader
In overleg met u stellen we het normenkader vast met de beheersingsdoelstellingen. U bent verantwoordelijk voor het opstellen en implementeren van het control framework met de beheersingsmaatregelen en -doelstellingen om te kunnen voldoen aan het normenkader.
Uitvoering van de audit
Onze ervaren en bij NOREA geregistreerde IT-auditors (RE) voeren het onderzoek uit conform de afgesproken scope en het ISAE 3000 raamwerk. We verzamelen audit-bewijs door middel van interviews, documentatie-review, observaties en waar nodig gedetailleerde tests van de beheersingsmaatregelen. We beoordelen onafhankelijk of de maatregelen daadwerkelijk worden uitgevoerd zoals beschreven. Gedurende het proces houden we u op de hoogte van tussentijdse bevindingen.
Rapportage en assurance-verklaring
Op basis van onze bevindingen stellen we een gedetailleerd assurance-rapport op waarin we ons professionele oordeel geven over het onderzochte onderwerp. Dit rapport voldoet aan de internationale ISAE 3000 standaard en bevat alle gegevens en bevindingen van het onderzoek. Het rapport wordt ondertekend door een geregistreerd IT-auditor (RE) en geeft een heldere conclusie over de mate waarin aan de gestelde criteria is voldaan. Dit rapport kunt u gebruiken richting uw klanten, toezichthouders of ketenpartners.
2-Control
Neem contact met ons op
Heeft u vragen of opmerkingen over onze IT-auditdiensten? Wij horen graag van u. Vul uw gegevens in het onderstaande formulier in en wij nemen zo snel mogelijk contact met u op. U kunt ook rechtstreeks contact met ons opnemen via het telefoonnummer aan de linkerkant.
Ons toegewijde team staat klaar om u te helpen met eventuele vragen of problemen. Wij streven ernaar om u de best mogelijke service te bieden.
