SOC 2 en ISAE 3402: assurance-rapporten uitgelegd

Wat zijn SOC 2 en ISAE 3402?

Beide rapporten gaan over een serviceorganisatie: een derde partij die diensten levert aan andere organisaties. Denk aan een softwareaanbieder die salarisgegevens verwerkt, een hostingpartij of een leverancier die een platform beheert. De organisaties die zo'n dienst afnemen heten gebruikersorganisaties (user entities). De accountant die bij zo'n gebruiker de jaarrekening controleert, heet de user auditor.

Het rapport zelf wordt uitgebracht door de service auditor. Dat is een accountant in de openbare praktijk die op verzoek van de serviceorganisatie een assurance-rapport geeft over de beheersing bij die organisatie. Assurance betekent hier dat de auditor een oordeel geeft met een redelijke mate van zekerheid. Het betekent niet dat hij iets garandeert.

ISAE 3402 komt van de IAASB, de internationale organisatie die standaarden voor assurance-opdrachten schrijft. De naam SOC komt van de AICPA, de Amerikaanse beroepsorganisatie van accountants. In Nederland voeren onder meer accountants en IT-auditors (RE's) zulke opdrachten uit. Een rapport is geen certificaat, maar een document met een beschrijving, een verklaring van het management en het oordeel van de auditor. Je leest het dus als geheel, niet alleen de samenvatting.

Wat is ISAE 3402 en wanneer wordt het gebruikt?

ISAE 3402 is een internationale standaard voor assurance-opdrachten over beheersing bij een serviceorganisatie. Het rapport is bedoeld voor gebruikersorganisaties en hun accountants. De standaard vult ISA 402 aan: een rapport volgens ISAE 3402 kan geschikt bewijs leveren onder ISA 402.

De standaard gaat over een dienst die waarschijnlijk relevant is voor de interne beheersing van de gebruikersorganisatie op het gebied van financiële verslaggeving. Beheersing die niet over zo'n dienst gaat, valt erbuiten, bijvoorbeeld beheersing van productie of kwaliteit. Ook opdrachten die alleen rapporteren of beheersmaatregelen werkten zoals beschreven, vallen erbuiten. De standaard geldt bovendien alleen als de serviceorganisatie verantwoordelijk is voor de geschikte opzet van de beheersing, of er een verklaring over kan afgeven.

Volgens de tekst van ISAE 3402 in het IAASB Handbook (2013) geldt de standaard voor assurance-rapporten over perioden die eindigen op of na 15 juni 2011. Voor de actuele versie kijk je bij de IAASB. Het Nederlandse equivalent is NBA Standaard 3402, te vinden op de NBA-site.

Een ISAE 3402-rapport bestaat uit drie onderdelen. Het eerste is een beschrijving van het systeem van de serviceorganisatie. Het tweede is een schriftelijke verklaring van de serviceorganisatie dat die beschrijving het systeem getrouw weergeeft en dat de beheersmaatregelen geschikt zijn opgezet. Het derde is het assurance-rapport van de service auditor. Welke rol een IT-auditor hierin heeft, lees je verderop.

Wat is SOC 2 en welke vijf categorieën heeft het?

SOC staat voor System and Organization Controls. De AICPA beschrijft het als een reeks diensten die Amerikaanse accountants (CPA's) kunnen leveren over beheersing bij een serviceorganisatie. Er zijn drie rapporten: SOC 1, SOC 2 en SOC 3. SOC 1 gaat over beheersing die relevant is voor de financiële verslaggeving van gebruikers. NOREA beschrijft SOC 1 als de Amerikaanse afgeleide van ISAE 3402. SOC 2 en SOC 3 gaan over de vijf categorieën hieronder.

Bij SOC 2 onderzoekt de auditor de beschrijving van het systeem van de serviceorganisatie en de beheersing daarvan, voor de vijf categorieën: beveiliging (security), beschikbaarheid (availability), integriteit van verwerking (processing integrity), vertrouwelijkheid (confidentiality) en privacy. De AICPA-gids gebruikt de Trust Services Criteria van 2017, met herziene points of focus uit 2022.

De dienstverlener kiest zelf welke categorieën in het rapport zitten. Hij bepaalt ook welke beheersingsmaatregelen van toepassing zijn. Twee SOC 2-rapporten van twee aanbieders kunnen er daardoor verschillend uitzien, ook als het om dezelfde soort dienst gaat. Kijk dus eerst welke categorieën zijn gekozen, voordat je rapporten naast elkaar legt. Volgens NOREA zijn de points of focus nadrukkelijk geen checklist.

De AICPA heeft op 26 oktober 2026 ook concepten gepubliceerd voor herziene Trust Services Criteria en Description Criteria, onder de titel "Proposed 2027". Dat zijn voorstellen voor publieke consultatie, geen vastgestelde criteria. Voor de inhoud en de stand van zaken kijk je bij de AICPA.

Wat is het verschil tussen Type I en Type II?

De termen Type I en Type II horen bij SOC 2. In de ISAE 3402-tekst staan de termen type 1 en type 2. De betekenis is hetzelfde: Type I kijkt naar één moment, Type II naar een periode.

Een Type I-rapport gaat over de beschrijving en de opzet van de beheersing op een bepaalde datum. De verklaring van het management heeft dan betrekking op die datum. Een Type II-rapport gaat over een bepaalde periode. Daarbij komt de verklaring dat de beheersmaatregelen gedurende die periode effectief hebben gewerkt. Alleen bij Type II gaat de verklaring over de werking, niet alleen over de opzet. De NBA omschrijft het type 1-rapport als een rapport over de beschrijving en de opzet van interne beheersingsmaatregelen bij een serviceorganisatie, en het type 2-rapport als een rapport over de beschrijving, opzet en werking.

Volgens NOREA is er bij SOC 2, anders dan bij Richtlijn 3402, geen minimale beoordelingsperiode. NOREA adviseert wel een Type II-rapport over een periode van minimaal drie maanden. Dat advies staat in de handreiking van NOREA van december 2021 en is geen eis van de AICPA.

Type II zegt meer dan Type I, omdat het laat zien dat de beheersing over een periode werkte en welke tests de auditor deed. Het zegt niet dat de beheersing in de toekomst op dezelfde manier werkt. Een Type I kan een eerste stap zijn voor een jonge dienstverlener, en een Type II kan daar later op volgen.

Wat is het verschil tussen SOC 2, SOC 3 en ISAE 3402?

De drie rapporten verschillen op vier punten: wat er wordt beoordeeld, voor wie het bedoeld is, hoe het verspreid mag worden en op welke standaard het rust.

SOC 3 is de beknopte variant. Het bevat dezelfde categorieën als SOC 2, maar niet hetzelfde detailniveau. Daarom mag het breed worden verspreid. NOREA schrijft dat een SOC 3-rapport een oordeel zonder beperking moet bevatten.

Volgens NOREA is een ISAE 3402-rapport altijd gerelateerd aan processen rond financiële verslaglegging. Gaat het om beveiliging, dan dekt een SOC 2- of SOC 3-rapport de behoefte van de gebruikende entiteit vaak beter. SOC 2 en SOC 3 geven geen zekerheid over de uitkomsten van processen, zoals het halen van KPI's uit een service level agreement.

SOC 2 en ISO 27001 zijn niet hetzelfde. ISO 27001 is een norm voor een managementsysteem voor informatiebeveiliging waarvoor een organisatie zich kan laten certificeren, zie het artikel over ISO 27001 en de vacatures met ISO 27001. SOC 2 is een rapport met het oordeel van een auditor over de beschrijving en de beheersing van een dienst. Beide kunnen een klant geruststelling geven en worden soms naast elkaar gebruikt.

Wie gebruikt zo'n rapport en hoe lees je het?

Volgens NOREA is een SOC 2-rapport bedoeld voor het management van de serviceorganisatie en van de gebruikende entiteiten, voor potentiële klanten bij een selectie (due diligence), voor accountants en auditors die de beheersing bij de gebruikende entiteit beoordelen, en voor toezichthoudende autoriteiten. Een ISAE 3402-rapport is gericht op gebruikersorganisaties en hun accountants.

Stel dat een softwareaanbieder salarisgegevens verwerkt voor klanten. De financiële auditor van een klant wil weten of die verwerking betrouwbaar gebeurt, omdat dat de jaarrekening van die klant raakt. Daarvoor kan een ISAE 3402-rapport over de beheersing van de salarisverwerking passen. De information security officer van dezelfde klant wil weten of de aanbieder gegevens veilig opslaat en beschikbaar houdt. Daarvoor kan een SOC 2-rapport over beveiliging, beschikbaarheid en vertrouwelijkheid passen. De aanbieder kan beide laten opstellen of er één kiezen. Dit is een illustratie, geen vaste regel.

Lees het rapport in vier stappen:

1. Scope en periode. Welke diensten en systemen vallen erbinnen, en over welke periode of datum gaat het? Een rapport over een andere dienst of een ander systeem zegt weinig over jouw situatie.
2. Afwijkingen en oordeel. Er kunnen afwijkingen (exceptions) in staan. Een verklaring zonder beperking is een oordeel van de auditor, geen garantie dat alles klopt.
3. Aanvullende maatregelen bij jezelf. De serviceorganisatie gaat ervan uit dat de gebruikersorganisatie bepaalde maatregelen zelf invoert (complementary user entity controls). Die staan in het rapport. Kijk of jouw organisatie ze ook heeft ingericht.
4. Onderaannemers. Een subserviceorganisatie kan in het rapport zijn meegenomen (inclusive method) of buiten het rapport vallen (carve-out method). Kijk welke methode is gekozen.

Welke rol heeft de IT-auditor?

De service auditor maakt het assurance-rapport bij een ISAE 3402-opdracht of een SOC-opdracht. NOREA heeft een handreiking geschreven voor Nederlandse IT-auditors (RE's) die SOC 2- en SOC 3-rapporten uitbrengen onder ISAE 3000 of het Nederlandse equivalent Richtlijn 3000A. Het RE-register staat beschreven in het artikel over het register EDP-auditor van NOREA. Wie wil weten wat het werk inhoudt, leest het artikel werken als IT-auditor. Op de vacaturepagina voor IT-auditors en de werkgeverspagina zie je welke werkgevers deze functie hebben.

Volgens NOREA tellen ISAE-, ISRS- en SOC-rapportages mee bij de beoordeling van ervaring als IT-auditor. ISO-audits op informatiebeveiliging horen er ook bij. Die lijst is niet uitputtend. Wie assurance- of IT-auditcertificeringen in het algemeen wil vergelijken, kijkt naar het artikel over de CISA-certificering.

Het rapport wordt niet alleen door auditors gelezen. De third-party-risk-manager beoordeelt leveranciers en leest hun rapporten als onderdeel van die beoordeling. De information security officer en de compliance officer vragen om een rapport bij het selecteren van een leverancier en controleren of de scope past bij het gebruik. De risk manager weegt de uitkomsten mee in het risicobeeld voor uitbesteding. Bij een dienstverlener zelf coördineert een security manager of compliance officer de voorbereiding en het contact met de auditor.

De termen SOC 2, ISAE 3402, SOC-rapportage en assurance kunnen op vacaturepagina's voorkomen, bijvoorbeeld bij de IT- en SaaS-sector en de financiële dienstverlening. De rol van interne audit en assurance in het bredere model staat in het artikel over ISO 31000 en het three lines model. Voor het bredere plaatje van governance, risk en compliance lees je wat is GRC. Meer artikelen vind je in de kennisbank.