IT Assurance audits

Er zijn verschillende type IT-assurance rapportages. Uiteindelijk is vaak de vraag van de opdrachtgever (de gebruikersorganisatie) bepalend voor welke rapportage wordt gekozen. Met andere uw samen met uw klant bepaald u welk type assurance rapport er moet worden opgeleverd. Wat vraagt de klant (gebruikersorganisatie) en waar wil de klant zekerheid over en met welk doel? Een IT-assurance verklaring kan leiden tot een betere samenwerking en meer vertrouwen tussen serviceorganisatie en gebruikersorganisatie. We onderscheiden de volgende type IT-assurance rapportages:

ISAE 3402:

Een ISAE 3402 verklaring is een onafhankelijke beoordeling door een IT-auditor van de betrouwbaarheid van financiële en onderliggende processen die zijn uitbesteed aan een serviceorganisatie. Organisaties besteden processen in toenemende mate uit aan serviceorganisaties (outsourcing), waardoor ze afhankelijk worden van de kwaliteit en beheersing van deze uitbestede diensten en processen. De scope van de ISAE 3402 beperkt zich niet enkel en alleen tot de beheersmaatregelen voor de financiële processen, maar ook zaken als betrouwbaarheid van het primaire proces, informatiebeveiliging, beschikbaarheid en integriteit kunnen worden opgenomen in een ISAE 3402-rapport.

ISAE 3000:

Een ISAE 3000 verklaring is een onafhankelijk beoordeling door een IT-auditor van algemene niet-financiële beheerprocessen, waaronder processen als change management, incident management, service level management, security management, continuïteitsbeheer, software ontwikkeling en overige processen die behoren tot de primaire dienst. Met een ISAE-3000 rapportage kan de klant aantonen dat de interne beheerprocessen ook daadwerkelijk worden uitgevoerd zoals beschreven en zekerheid geven dat het adequaat is ingericht.

SOC 2:

Om als serviceorganisatie aan te tonen dat de processen die aan de serviceorganisatie zijn uitbesteed betrouwbaar worden uitgevoerd wordt er bij een Service Organization Control-standaard (SOC 2) een onafhankelijk oordeel gegeven over de security, beschikbaarheid, vertrouwelijkheid, integriteit en/of privacy. Een SOC 2 Assurance bevat de trust service criteria (doelstellingen) (een generiek Amerikaans normenkader) die onderverdeeld zijn in 5 categorieën: security, beschikbaarheid, vertrouwelijkheid, integriteit en/of privacy. SOC 2 biedt een serviceorganisatie een mogelijkheid om klanten inzicht te geven in de beheersmaatregelen en -processen die van toepassing zijn op de service. Bij een SOC 2 audit beoordeelt DigiTrust de managementdoelstellingen en maatregelen van de serviceorganisatie.