Welke IT-processen vallen binnen een assuranceonderzoek?

Een assuranceonderzoek richt zich op de IT-processen die direct van invloed zijn op de betrouwbaarheid van gegevens, de continuïteit van dienstverlening en de beveiliging van systemen. Welke processen dat precies zijn, hangt af van de scope die vooraf wordt vastgesteld. Die scope verschilt per type onderzoek, per organisatie en per doel. Hieronder beantwoorden we de meest gestelde vragen over IT-processen binnen een assuranceonderzoek.

Welke IT-systemen worden beoordeeld tijdens een assuranceonderzoek?

Tijdens een assuranceonderzoek worden de IT-systemen beoordeeld die een directe rol spelen in de processen die binnen de scope vallen. Dat zijn doorgaans de systemen waarmee gegevens worden verwerkt, opgeslagen of uitgewisseld die relevant zijn voor de dienstverlening of financiële rapportage. Denk aan ERP-systemen, cloudomgevingen, databases en toegangsbeheerplatforms.

De beoordeling gaat niet over elk systeem in de organisatie, maar over die systemen die de betrouwbaarheid van de in-scope processen ondersteunen. Een webshop die geen rol speelt in de financiële administratie valt dan ook buiten beschouwing, terwijl het boekhoudsysteem dat wel doet juist centraal staat. De auditor kijkt naar hoe systemen zijn ingericht, wie er toegang toe heeft en hoe wijzigingen worden beheerd.

Wat zijn IT-controls en waarom zijn ze onderdeel van het onderzoek?

IT-controls zijn de maatregelen en procedures die een organisatie heeft ingericht om de betrouwbaarheid, beschikbaarheid en beveiliging van haar IT-systemen te waarborgen. Ze vormen een essentieel onderdeel van een assuranceonderzoek omdat ze aantoonbaar maken dat processen beheerst verlopen en dat risico’s worden gemitigeerd.

Er zijn twee hoofdtypen IT-controls die in een assuranceonderzoek terugkomen:

General IT Controls (GITC): brede beheersmaatregelen zoals toegangsbeheer, wijzigingsbeheer en back-upprocedures die gelden voor de gehele IT-omgeving.
Application Controls: specifieke maatregelen binnen een applicatie, zoals invoervalidatie, autorisatiecontroles en geautomatiseerde verwerkingsregels.

Zonder werkende IT-controls is het niet mogelijk om vast te stellen of gegevens betrouwbaar zijn verwerkt. Dat is precies waarom een IT-auditonderzoek altijd begint bij de controls die ten grondslag liggen aan de processen in scope.

Welke processen vallen buiten de scope van een assuranceonderzoek?

Processen die geen directe relatie hebben met de dienstverlening of gegevensverwerking die het assurancerapport moet dekken, vallen buiten de scope. Dat kunnen ondersteunende processen zijn zoals interne HR-administratie, marketingtools of interne communicatiesystemen, mits deze geen invloed hebben op de in-scope diensten of data.

De scopebepaling is een bewuste keuze die vooraf wordt gemaakt in overleg met de opdrachtgever en de auditor. Wat buiten scope valt, wordt expliciet benoemd in het rapport zodat de lezer precies weet waar de assurance wel en niet op van toepassing is. Dit voorkomt misverstanden bij klanten of toezichthouders die het rapport ontvangen.

Hoe bepaal je welke processen relevant zijn voor jouw assurancerapport?

De relevante processen voor een assurancerapport bepaal je op basis van de diensten of producten waarover je assurance wilt afgeven, gecombineerd met de risico’s die daarvoor het meest materieel zijn. Vertrekpunt is altijd de vraag: wat wil de ontvanger van dit rapport kunnen vertrouwen?

In de praktijk verloopt de scopebepaling via een gestructureerde aanpak. Eerst wordt vastgesteld welke diensten of gegevensverwerkingen centraal staan. Vervolgens worden de systemen en processen geïdentificeerd die die diensten ondersteunen. Tot slot worden de risico’s gewogen om te bepalen welke controls het meest kritisch zijn om te toetsen. Een ervaren IT-auditor begeleidt dit proces en zorgt dat de scope aansluit bij wat klanten of toezichthouders verwachten.

Wat is het verschil tussen ISAE 3402 en SOC 2 in scope en processen?

ISAE 3402 richt zich op de interne beheersing van processen die relevant zijn voor de financiële rapportage van de gebruikersorganisatie. SOC 2 richt zich op de beveiliging, beschikbaarheid, verwerkingsintegriteit, vertrouwelijkheid en privacy van systemen en data. Het verschil zit in het doel en de doelgroep van het rapport.

ISAE 3402: financiële beheersing centraal

ISAE 3402 is met name relevant voor organisaties die processen uitvoeren die direct de financiële administratie van hun klanten raken, zoals salarisverwerking, betalingsverkeer of boekhoudoutsourcing. De scope omvat de controls die aantonen dat financiële gegevens betrouwbaar worden verwerkt en overgedragen.

SOC 2: vertrouwen in technologie en data

SOC 2 is breder inzetbaar en wordt vaak gevraagd door technologiebedrijven, SaaS-aanbieders en clouddienstverleners. De scope is gebaseerd op de zogenoemde Trust Service Criteria en kan worden afgestemd op de specifieke risico’s van de organisatie. SOC 2 geeft gebruikers vertrouwen in de beveiliging en betrouwbaarheid van de technologie die ze afnemen.

Beide rapportages kunnen worden uitgevoerd als Type I (opzet en bestaan van controls op een peildatum) of Type II (werking van controls over een periode). De keuze tussen ISAE 3402 en SOC 2 hangt af van wat uw klanten of toezichthouders vragen en welke processen u wilt laten toetsen.

Wanneer heb je een assuranceonderzoek nodig voor je IT-processen?

Een assuranceonderzoek is nodig wanneer externe partijen aantoonbaar vertrouwen moeten kunnen stellen in de betrouwbaarheid of beveiliging van uw IT-processen. Dat is het geval als klanten erom vragen, als wet- en regelgeving het vereist, of als uw accountant vragen stelt over de IT-controls die ten grondslag liggen aan uw financiële rapportage.

Concrete situaties waarin een assuranceonderzoek relevant is:

Een grote opdrachtgever vraagt om een ISAE 3402- of SOC 2-rapport als voorwaarde voor contractverlenging.
Uw accountant stelt vragen over de werking van IT-controls bij de jaarrekeningcontrole.
NIS2 of DORA stelt eisen aan aantoonbare beheersing van IT-risico’s binnen uw sector.
U overweegt een fusie of overname waarbij due diligence inzicht vereist in IT-risico’s.

Wacht niet tot een klant of toezichthouder het initiatief neemt. Wie proactief een assurancerapport laat opstellen, staat sterker in onderhandelingen en voorkomt verrassingen op het moment dat het er echt toe doet.

Hoe Auren u helpt met IT assurance

Auren helpt organisaties bij het volledige traject van IT assurance: van de eerste scopebepaling tot het definitieve rapport. Onze gecertificeerde RE-auditors (NOREA) kennen de praktijk van het MKB en weten hoe ze complexe IT-omgevingen helder en werkbaar in kaart brengen. We werken risicogericht, transparant en altijd in nauw overleg met u.

Wat we voor u doen:

Bepalen welke processen en systemen relevant zijn voor uw assurancerapport.
Uitvoeren van ISAE 3402, SOC 2 of ISAE 3000-onderzoeken, afgestemd op uw klanten en sector.
Vertalen van bevindingen naar concrete verbeteracties die uw digitale weerbaarheid versterken.
Ondersteunen bij compliance met NIS2, DORA en AVG als onderdeel van een bredere IT-auditstrategie.

Wilt u weten welk type assuranceonderzoek het beste past bij uw situatie? Neem contact op met Auren en we denken graag met u mee, zonder jargon en zonder omwegen.