ISAE staat voor International Standard on Assurance Engagements en is een internationale standaard voor assurance-opdrachten. Deze standaard wordt gebruikt om zekerheid te verschaffen over de beheersing van processen binnen een organisatie. Er zijn twee veelgebruikte varianten:
· ISAE 3402 – Specifiek gericht op serviceorganisaties die processen voor klanten uitvoeren, zoals IT dienstverleners, salarisadministratiebedrijven en cloudproviders. Hiermee tonen zij aan dat zij hun processen en interne controles effectief beheren.
· ISAE 3000 – Breder toepasbaar en gericht op niet-financiële rapportages, zoals informatiebeveiliging, duurzaamheid en privacy. Denk hierbij aan verklaringen over GDPR-compliance of duurzaamheidsverslaglegging.
ISAE gaat niet over het managen van kwaliteit zelf, maar over het toetsen en waarborgen van de kwaliteit van processen. Vaak met betrekking tot informatiebeveiliging, dataverwerking of interne controles.
ISAE in het kader van kwaliteitsmanagement
- ISAE 3000 en ISAE 3402 zijn standaarden die worden gebruikt om assurance-rapporten op te stellen.
- Deze rapporten worden vaak gebruikt om aan te tonen dat een organisatie processen beheerst, zoals:
- Beveiliging van klantdata
- Betrouwbaarheid van IT-systemen
- Interne controlemaatregelen (denk aan financiële processen)
Relatie tussen ISAE en kwaliteitsmanagement
- ISAE draagt bij aan het borgen van de kwaliteit van processen, door onafhankelijk bewijs te leveren dat systemen en controles effectief zijn.
- Het ondersteunt het vertrouwen van klanten en stakeholders.
- Het heeft raakvlakken met ISO-normen (zoals ISO 9001, 27001), maar waar ISO meer gericht is op interne kwaliteitsborging, is ISAE vooral bedoeld voor externe verantwoording.
Voorbeeld:
Een bedrijf dat clouddiensten levert aan klanten kan een ISAE 3402 type II-verklaring hebben. Daarmee toont het aan dat de interne processen rondom databeveiliging en servicelevering betrouwbaar zijn bevonden.
