Assurance door een ISAE 3000 SOC 2-verklaring. Ben jij in control?

Dagelijks zien wij hoe belangrijk vertrouwen en zekerheid zijn in de zakelijke wereld. Of je nu de meest gevoelige persoonsgegevens verwerkt, hosting verzorgt of essentiële diensten levert: de vraag is altijd: “Ben je echt in control?”. De sleutel ligt in assurance. Dit is het vakkundige, onafhankelijke bewijs dat je de IT-zaken daadwerkelijk op orde hebt.

In de huidige tijd is het antwoord op deze vraag vaak afhankelijk van de beheersing van risico’s, met name als het gaat om uitbesteding van IT-processen. In dit blog besteed ik aandacht aan twee standaarden die ook jouw organisatie kunnen helpen: ISAE 3000 en SOC 2. Naast dat ik door de ogenschijnlijk ingewikkelde materie ga, leg ik de link tussen ISAE 3000 en SOC 2 uit, welke stappen nodig zijn naar assurance en waarom het een goed idee is om hierin te investeren.

Assurance is een zakelijke noodzaak

Organisaties besteden steeds meer cruciale processen uit aan externe partijen, ook wel serviceorganisaties genoemd. Denk aan loonverwerking, cloudoplossingen, backoffice of vermogensbeheer. Wanneer je IT-processen uitbesteedt, blijf je als organisatie altijd zelf eindverantwoordelijk voor de verwerking van deze gegevens en de te nemen beveiligingsmaatregelen.

Als jouw leverancier geen zekerheid kan bieden over risicomanagement, interne beheersing en informatiebeveiliging, kan dit grote impact hebben op de bedrijfscontinuïteit en de vertrouwelijkheid van informatie. Klanten, maar ook toezichthouders eisen daarom steeds vaker assurance. Met een assurance-verklaring toon je aan dat jouw processen structureel en vakkundig geborgd zijn. Dit is niet alleen compliance; het is een kwaliteitsstempel en een manier om te onderscheiden van de concurrentie. Zonder deze zekerheid wordt in veel gevallen simpelweg geen zakengedaan met de grotere, beveiligingsbewuste klanten.

Is jouw organisatie zelf een serviceorganisatie, stel de vraag of je zelf wel in control bent en of dit te bewijzen is. Hebben jouw klanten wel eens de vraag gesteld of je in het bezit bent van een assurance-verklaring? Misschien heb je wel eens overwogen om voor een assurance-verklaring te gaan, maar is het alleen gebleven bij een idee. Laten we eerst beginnen bij de basis over de ISAE 3000 en SOC 2.

Wat zijn ISAE 3000 en SOC 2?

De termen ISAE 3000 en SOC 2 worden vaak in één adem genoemd en hebben in de huidige vorm onlosmakelijk met elkaar te maken. ISAE staat voor International Standard on Assurance Engagements en is een auditstandaard voor rapportage over uitbestede procesbeheersing. Assurance-verklaringen kennen twee typen: Type 1 en Type 2.

• Type 1 is een momentopname, waarbij wordt getoetst of de opzet en het bestaan van beheersmaatregelen correct is beschreven.
• Type 2 is diepgaander, waarbij de audit aantoont dat de beheersingsmaatregelen ook daadwerkelijk hebben gewerkt. Hierbij moet bewijs worden verzameld over een periode van minimaal zes maanden.

Wanneer men zekerheid zoekt, is een Type 2 verklaring de meest logische keuze. Type 1 verklaring omschrijft de initiatie van de standaard en is daarbij een momentopname. Type 2 verklaring biedt meer zekerheid richting klanten en toezichthouders. Beide varianten leveren een assurance-verklaring op en is geen certificering.

ISAE 3000 (in Nederland bekend als Standaard 3000 of NOREA Richtlijn 3000) is een overkoepelende en generieke internationale standaard. Het is toepasbaar op een breed scala aan vraagstukken zolang deze niet financieel zijn. Denk hierbij aan zekerheid over de beheersing van persoonsgegevens (AVG en privacy). Als je assurance wil over bijvoorbeeld jouw privacybeleid, kan dit onder ISAE 3000 worden uitgevoerd met behulp van kaders als het Privacy Control Framework (PCF). Je bent met ISAE 3000 dus flexibel en kan je het beheersingskader op maat samenstellen. Hoewel dit flexibiliteit biedt, leidt dit er wel toe dat wanneer je met meerdere IT-leveranciers werkt die elk een eigen, op maat gemaakte ISAE 3000-kader hanteren, de rapporten inhoudelijk kunnen verschillen. De SOC 2-rapportage kan hierin uitkomst bieden.

SOC staat voor Service Organization Controls en is ontwikkeld door de American Institute of Certified Public Accountants (AICPA). Een SOC-rapportage is de standaard om zekerheid te geven over beheersmaatregelen van serviceorganisaties. SOC-rapportages zijn onderverdeeld in drie categorieën:

• SOC 1-rapportage voor beheersing van financiële processen.
• SOC 2-rapportage voor beheersing van processen die te maken hebben met informatiebeveiliging.
• SOC 3-rapportage als zijnde een SOC 2-rapportage voor een breder en algemener publiek.

Een SOC 2-rapportage is een rapportagevorm die zich richt op operationele IT-controls en informatiebeveiliging. SOC 2 werkt met een vast en internationaal erkend control framework: de Trust Services Criteria (TSC).

De Trust Services Criteria in SOC 2

De pijlers van SOC 2 worden de Trust Services Criteria (TSC) genoemd. Een SOC 2-rapportage richt zich op de opzet, het bestaan en de werking van operationele IT-controls met betrekking tot uitbestede IT-processen. Het toetsingskader wordt gevormd door deze vooraf gedefinieerde beheersdoelstellingen.

De SOC 2 criteria bestaan uit vijf principes. Het eerste criterium is verplicht, de andere vier zijn optioneel en kies je op basis van wat relevant is voor de dienstverlening:

1. Beveiliging (Security):

Het beschermen van de systemen tegen ongeautoriseerde toegang, misbruik of wijziging. Dit criterium is verplicht.

2. Beschikbaarheid (Availability)

Zekerheid dat de systemen beschikbaar zijn zoals afgesproken.

3. Vertrouwelijkheid (Confidentiality)

Hoe gevoelige informatie (bijv. bedrijfsplannen, IP) beschermd wordt.

4. Integriteit van gegevensverwerking (Processing Integrity)

Aantonen dat data zuiver is en ongewijzigd wordt verwerkt.

5. Privacy

Hoe er wordt omgegaan met Persoonlijk Identificeerbare Informatie (PII).

Door de vaste aard van deze criteria zijn SOC 2-rapportages transparant en eenvoudig vergelijkbaar tussen verschillende dienstverleners wereldwijd. Dit maakt de SOC 2-rapportage de meest toekomstgerichte assurance-aanpak voor IT-dienstverlening en cloudleveranciers.

De samenhang tussen ISAE 3000 en SOC 2

Wat verbindt deze standaarden? De belangrijkste connectie is dat hoewel SOC 2 van origine Amerikaans is, auditors in Nederland en Europa deze rapportage vaak uitvoeren op basis van de ISAE 3000 auditstandaard. Waar ISAE 3000 flexibel is in de keuze van het beheersingskader, biedt SOC 2 een vast en eenduidig toetsingskader. Hierdoor kun je SOC 2 zien als een uniforme, vaste toepassing van de generieke ISAE 3000 standaard.

Hoewel in Europa de term SOC 2 wordt gebruikt, is het formeel een ISAE 3000-verklaring die in de functie identiek is aan de Amerikaanse SOC 2 en internationaal geaccepteerd wordt.

Wat kan een ISAE 3000 SOC2-verklaring bijdragen aan jouw organisatie?

Een ISAE 3000 SOC 2-verklaring levert aanzienlijke voordelen op voor jouw serviceorganisatie en dient als meer dan alleen compliance. Allereerst biedt het zekerheid (assurance) aan derden, zoals klanten, partners en toezichthouders over de beheersing van uitbestede IT-processen. Door in het bezit te zijn van zo'n verklaring, onderscheid je jezelf van de concurrentie en toon je aan dat je streeft naar continue verbetering en professionalisering. Het verlangen naar zekerheid over informatiebeveiliging groeit bij klanten en zonder een verklaring kan het vertrouwen in je dienstverlening verloren gaan. Het doorlopen van een assurance-traject helpt jouw organisatie een volgende stap te zetten in de volwassenheid van de interne controle.

Ook moet je denken dat door een ISAE 3000 SOC 2-rapport aan te kunnen tonen, beperk je de noodzaak voor opdrachtgevers om hun eigen auditors langs te sturen en beperk je het invullen van RFI's (Request for Information). Voor internationale klanten, met name Amerikaanse, fungeert een SOC 2-verklaring als een soort brevet van vermogen en is het vaak een standaard verplichting voor het aangaan van een samenwerking.

Hoe pak ik dit aan?

De aanpak om een ISAE 3000 SOC 2-verklaring te behalen, vereist een gestructureerd plan en begeleiding. De eerste stap is belangrijk: je moet de precieze scope vaststellen door te bepalen welke diensten, systemen, processen en criteria relevant zijn voor de zekerheidsbehoefte van je eindgebruikers.

Als je de scope hebt bepaald, dan moet je inzichtelijk maken hoe de beheersmaatregelen in jouw scope zijn ingericht en gedocumenteerd. Ben je al gecertificeerd op de ISO 27001 of NEN 7510-norm, dan ben je al ver hierin. Om vervolgens aan de SOC 2-norm te kunnen voldoen, doe je er goed aan om een gap-analyse uit te voeren. Denk met name aan de bewijsvoering en de documentatie op alle beleidsmaatregelen.

Hierna volgt de keuze voor het type verklaring: hoewel Type 1-verklaring (een momentopname van de opzet en het bestaan van beheersmaatregelen) een begin kan zijn, wordt er vaak gevraagd om een Type 2-verklaring, waarvoor je over een ruime periode bewijs moet verzamelen dat je interne beheersmaatregelen daadwerkelijk hebben gewerkt. Best practices laten zien dat dit over een periode van minimaal 6 maanden hoort te zijn.

Het is slim en efficiënt om dit assurance-traject direct te combineren met andere standaarden (als je hierop gecertificeerd bent of wilt worden), aangezien er een flinke overlap is en dubbel werk voorkomt. Dit alles wordt gedocumenteerd in een systeembeschrijving, die de relevante processen, bedrijfspraktijken en controles bevat, waarna de service auditor de audit uitvoert om te verifiëren dat je praktijken overeenkomen met wat je hebt beschreven.

Kortom, welke stappen moeten worden ondernomen:

1. Bedenk welke scope de ISAE 3000 SOC 2-verklaring moet omvatten;
2. Breng in kaart welke beheersmaatregelen nog ontbreken om aan de SOC 2-norm te voldoen;
3. Integreer de controlepunten van de SOC 2-norm in andere standaarden of normen waar jouw organisatie al mee werkt;
4. Creëer een systeembeschrijving waarop de audit moet plaatsvinden;
5. Laat een service auditor jouw organisatie auditeren op basis van de in stap 1 bepaalde scope.
6. Groen licht op de audit? Ontvang de ISAE 3000 SOC2 assurance-verklaring!

Ons advies

De markt maakt een duidelijke beweging: waar men vroeger keek naar ISAE 3402 voor de financiële link, verschuift de focus voor informatiebeveiliging nu naar SOC 2 (onder de ISAE 3000) om zekerheid te bieden over de digitale kern van jouw organisatie. Het behalen van een assurance-verklaring is een strategische investering. Het versterkt niet alleen de beveiliging en de interne controlevolwassenheid van jouw organisatie, maar het stelt je ook in staat om te voldoen aan de eisen van grote opdrachtgevers en toezichthouders.

Een assurance-verklaring is de fundering voor duurzaam vertrouwen in elke IT-dienstverlening. Wij kunnen jouw organisatie helpen met delen van het assurance-traject, zoals een gap-analyse of scopebepaling. Wij kunnen zorgen voor begeleiding in het assurance-traject in combinatie met ISO 27001 of NEN 7510. Neem contact met ons op om te bespreken hoe wij kunnen helpen deze stap binnen jouw organisatie te zetten.

Contact opnemen