ISAE 3402 verklaring

Zo haal je echt waarde uit je ISAE 3402-verklaring. Van verplicht vinkje naar integraal onderdeel van je interne beheersing

De vraag is zelden of je een ISAE 3402-verklaring nodig hebt. Zeker niet als je organisatie diensten levert die impact hebben op de beheersing van klanten. De echte uitdaging zit in de hoe:

• Hoe richt je die verklaring zo in dat het geen jaarlijks hoofdpijndossier wordt?

• Hoe zorg je dat de controls niet alleen op papier kloppen, maar ook in de praktijk werken?

• En hoe maak je er een instrument van waar je organisatie echt beter van wordt?

Want dat kan! Want als je ISAE 3402 slim aanpakt, levert het veel meer op dan een ‘groen vinkje’ voor de accountant.

ISAE 3402 verklaring

Zo haal je echt waarde uit je ISAE 3402-verklaring. Van verplicht vinkje naar integraal onderdeel van je interne beheersing

De vraag is zelden of je een ISAE 3402-verklaring nodig hebt. Zeker niet als je organisatie diensten levert die impact hebben op de beheersing van klanten. De echte uitdaging zit in de hoe:

• Hoe richt je die verklaring zo in dat het geen jaarlijks hoofdpijndossier wordt?

• Hoe zorg je dat de controls niet alleen op papier kloppen, maar ook in de praktijk werken?

• En hoe maak je er een instrument van waar je organisatie echt beter van wordt?

Want dat kan! Want als je ISAE 3402 slim aanpakt, levert het veel meer op dan een ‘groen vinkje’ voor de accountant.

ISAE 3402: meer dan compliance

Veel organisaties zien de ISAE 3402-verklaring nog altijd als een verplicht nummer. Iets wat je doet voor de auditor, of voor een klant die het nu eenmaal vraagt. Daardoor belanden ze in een jaarlijks repeterend patroon:

• Documenten verzamelen

• Control descriptions actualiseren

• Risicoanalyse herzien (maar vaak alleen oppervlakkig)

• Testplan afronden vóór de deadline

En zodra de controle erop zit? Dan verdwijnt het hele framework weer in een digitale la. Tot volgend jaar.

Zonde. Want wie ISAE 3402 serieus en strategisch inzet, creëert een structuur die:

• inzicht geeft in de volwassenheid van processen;

• houvast biedt aan klanten en toezichthouders; en

• rust en zekerheid geeft binnen je eigen organisatie.

Dan wordt ISAE geen last, maar een kans.

De drie grootste valkuilen

Om die stap te maken, moet je eerst begrijpen waar het meestal misgaat. Drie valkuilen zie je in veel trajecten terug:

1. Je bouwt voort op verouderde processen

Een klassieke fout: bij de (her)inrichting van het ISAE-framework neem je het bestaande procesmodel als uitgangspunt. Handig, denk je. Maar stel jezelf eens deze vragen:

• Zijn je processen sinds de vorige verklaring veranderd?

• Is er sprake van automatisering, hybride werken of outsourcing?

• Is je dienstverlening verschoven naar andere producten of markten?

Als het antwoord op één van deze vragen ‘ja’ is, dan is je oude procesmodel geen stevig fundament meer en sluit je verklaring niet langer aan bij de praktijk.

2. De control descriptions zijn onbegrijpelijk

Te technisch, te abstract of juist zo gedetailleerd dat niemand er nog chocola van kan maken. De control descriptions zijn het hart van je verklaring. En als die niet goed zijn, klopt de rest ook niet.

Een goede control voldoet aan drie eisen:

• Begrijpelijk: proceseigenaren moeten snappen waar de control over gaat.

• Toetsbaar: auditors moeten objectief kunnen vaststellen of de control werkt.

• Toepasbaar: de control moet realistisch uitvoerbaar zijn binnen het proces.

Kwaliteit zit dus niet in de hoeveelheid, maar in de scherpte ervan. Vijf heldere, werkende controls zijn waardevoller dan twintig wollige maatregelen die niemand echt uitvoert.

3. Geen eigenaarschap in de lijn

Zolang ISAE 3402 ‘iets is van audit of compliance’, zal het nooit echt gaan leven. Je wilt dat proceseigenaren zich verantwoordelijk voelen voor hun beheersmaatregelen. Dat zij snappen waarom die controls er zijn. En dat zij zelf actief bijdragen aan het onderhoud en de verbetering ervan.

Zonder dat eigenaarschap verwordt je verklaring tot een papieren tijger. Mooi op papier, maar nutteloos in de praktijk.

Zo til je ISAE 3402 naar een hoger niveau

De stap van compliance naar continu verbeteren vraagt om een andere mindset en aanpak. Onderstaande tips helpen je op weg:

1. Begin opnieuw met je risicoanalyse

Laat de bestaande versie even voor wat die is. En stel jezelf en je team opnieuw de fundamentele vraag:

Wat zijn de risico’s in onze dienstverlening vandaag, met deze klanten, deze processen en deze systemen?

Breng die risico’s concreet in kaart. Ga daarbij verder dan alleen financiële of operationele risico’s. Kijk ook naar:

• Technologische risico’s (bijv. afhankelijkheid van platforms of integraties)

• Organisatorische risico’s (bijv. personele krapte, hybride werken)

• Reputatierisico’s (bijv. bij een datalek of foutieve rapportage)

Pas als je deze risico’s scherp hebt, kun je ook passende en effectieve controls formuleren.

2. Breng je controls naar de praktijk

Laat niet alleen de audit- of complianceafdeling de controls beschrijven. Leg ze voor aan de mensen die het werk doen. Vraag hen:

“Wat betekent deze control voor jouw werkdag?”

Als ze het niet kunnen uitleggen, werkt de control niet. Dan is er of iets mis met de formulering of met de uitvoerbaarheid. Beide zijn een probleem en bieden tegelijk een kans om te verbeteren.

Door proceseigenaren actief te betrekken, verhoog je de acceptatie en de kwaliteit van je controls.

3. Veranker ISAE in je governance

Een ISAE-framework moet niet losstaan van de rest van je organisatie. Integendeel. Integreer je controls in bestaande managementprocessen, bijvoorbeeld:

• Koppel controls aan bestaande KPI’s en dashboards.

• Neem beheersmaatregelen op in kwartaalrapportages.

• Bespreek knelpunten structureel in RvB- of MT-overleggen.

Zo houd je het onderwerp levend. En voorkom je dat het alleen in het voorjaar relevant is, als de audit eraan komt.

ISAE 3402 is nooit ‘af’

Nieuwe technologieën, nieuwe klanten, nieuwe eisen van toezichthouders, alles verandert voortdurend. Dat betekent ook dat je ISAE-verklaring een levend document moet zijn. Niet een set documenten die je jaarlijks afvinkt, maar een dynamisch framework dat meebeweegt met je organisatie.

Dat vraagt om:

• Continu herijken van je risico’s en controls.

• Periodieke reflectie op de effectiviteit van je beheersmaatregelen.

• Een cultuur waarin eigenaarschap voor beheersing breed wordt gedragen.

Zie het als een kans: organisaties die hun ISAE 3402 slim inzetten, bouwen aan veerkracht, klantvertrouwen en interne rust. Ze kunnen met recht zeggen: wij zijn ‘in control’.

Tot slot: zie ISAE als hefboom, niet als hinderpaal

Een goed ingericht ISAE 3402-framework kost tijd en aandacht. Maar het levert ook veel op:

• Meer grip op je processen

• Beter onderbouwde keuzes

• Hogere klanttevredenheid

• Meer rust bij management en bestuur

Of je nu net begint met een verklaring of al jaren een framework hebt: er valt altijd winst te behalen. Maar dan moet je wel durven kijken. En durven verbeteren.