ISAE 3402 kosten: wat bepaalt de prijs van je verklaring?

De ISAE 3402 kosten laten zich niet in één bedrag samenvatten. Wat je betaalt hangt af van het type verklaring, het aantal beheersmaatregelen dat je laat toetsen en hoe complex de dienstverlening is die je uitbesteedt. Daarbij komt een post die op geen enkele factuur staat: je eigen uren. Hieronder zie je welke factoren de prijs bepalen, een kostenindicatie per profiel en wat er naast de auditfee bij komt.

Wat bepaalt de ISAE 3402 kosten?

De vraag begint bij je eigen situatie. Hoeveel van het benodigde werk ligt al klaar? Zijn processen beschreven, is er bewijs van uitvoering, weet je welke maatregelen je klanten belangrijk vinden? Een organisatie die daar al staat, betaalt minder en is sneller klaar.

Drie factoren verklaren het grootste deel van de spreiding in de prijs.

Personeelsomvang speelt een rol, maar een kleinere dan veel mensen denken. Het aantal medewerkers zegt weinig over hoeveel processen je uitbesteedt of hoeveel maatregelen daarbij horen. Twijfel je over het type, dan helpt de vergelijking tussen Type I en Type II om die keuze eerst scherp te krijgen.

Let ook op de aard van je scope. ISAE 3402 is bedoeld voor processen die doorwerken in de financiële verslaggeving van je klanten. Gaat het om andere onderwerpen, zoals beveiliging of privacy, dan kan ISAE 3000 passender zijn, met een ander kostenplaatje.

Wat kost ISAE 3402 per organisatieprofiel?

De tabel hieronder geeft een eerste beeld. De bandbreedtes voor de externe kosten sluiten aan op de kostenindicatie voor ISAE 3402 en schetsen een marktbeeld; er kan geen prijs aan worden ontleend. De interne kosten zijn een ervaringsindicatie: de eigen uren die je organisatie in het traject steekt, uitgedrukt in euro’s. Wat jouw mensen intern kosten bepaalt hoe zwaar die post uitpakt.

Alle bedragen zijn indicatief en vervangen geen offerte. De externe kolommen volgen de kostenindicatie voor ISAE 3402 en zijn afgerond op duizenden. De kolommen interne kosten en totaalindicatie berusten op ervaring uit vergelijkbare trajecten en zijn afhankelijk van wat jouw eigen mensen kosten. De spreiding binnen elke rij komt vooral door de mate van voorbereiding en het aantal betrokken locaties.

Welke kosten staan niet op de auditfactuur?

Bij ISAE 3402 zit een groot deel van het werk aan jouw kant van de tafel. De auditor toetst en rapporteert, maar de onderbouwing lever jij. Dat verklaart waarom organisaties die alleen de auditfee begroten, halverwege het traject worden verrast.

• De systeembeschrijving. Sectie 3 van het rapport beschrijft je systeem, de beheersdoelstellingen en de bijbehorende maatregelen. Dat document schrijf je zelf, en het moet kloppen met de werkelijkheid.
• Bewijsmateriaal aanleveren. Bij een Type II toon je over de hele testperiode aan dat maatregelen zijn uitgevoerd. Ontbrekende logging of onvindbare goedkeuringen leiden tot extra werk, en soms tot uitzonderingen in het rapport.
• Herstelwerk vooraf. Komt uit een gap-analyse dat maatregelen ontbreken, dan wordt dat eerst ingericht. Die kosten vallen buiten de audit, maar horen wel in je begroting.
• Coördinatie. Iemand trekt het traject, haalt bewijs op bij collega’s en staat de auditor te woord. In de praktijk is dat een substantieel deel van de interne uren.

Onze ervaring
In een eerste traject gaat de meeste tijd op aan het opschrijven van wat er al gebeurt. De toetsing zelf is dan het kortste stuk. Organisaties die hun processen goed kennen maar nooit hebben vastgelegd, zijn aan de systeembeschrijving vaak meer tijd kwijt dan aan alle andere stappen bij elkaar. In een tweede jaar valt die post grotendeels weg, en dat is meestal ook waar de investering merkbaar daalt.

Welke kosten komen elk jaar terug?

Je klanten en hun accountants willen een verklaring die aansluit op hun eigen verslagperiode. Daarmee wordt ISAE 3402 een terugkerende cyclus.

• Jaarlijkse verklaring. Elk jaar opnieuw een testperiode, een toetsing en een rapport. De tweede ronde gaat doorgaans sneller, omdat de systeembeschrijving er al ligt.
• Onderhoud van de beschrijving. Verandert een proces, systeem of leverancier, dan gaat Sectie 3 mee.
• Bewijs blijven vastleggen. Een Type II vraagt bewijs over de hele periode, en dat werkt alleen als vastlegging onderdeel is van het dagelijkse proces. Achteraf reconstrueren kost een veelvoud.
• Aansluiting op de klantcontrole. Loopt je periode niet door tot het jaareinde van je klant, dan kan een aanvullende verklaring over de resterende maanden nodig zijn.

Waar let je op bij een ISAE 3402-offerte?

Offertes zijn pas vergelijkbaar als duidelijk is wat erin zit. Deze punten maken het verschil.

Hoe houd je de kosten van een ISAE 3402-traject beheersbaar?

De meeste winst zit aan de voorkant, in de scoping. Elke maatregel die je meeneemt, wordt beschreven, getoetst en gerapporteerd, en dat werkt elk jaar opnieuw door in de kosten.

Drie keuzes bepalen samen meer dan de keuze van je auditor. Kies je scope zo smal als verantwoord is, en laat je klanten meedenken over wat zij echt willen zien. Begin met een gap-analyse, zodat ontbrekende maatregelen aan het licht komen voordat de toetsing loopt. En leg bewijs vast als onderdeel van het dagelijkse proces, want achteraf reconstrueren is de duurste variant.

Een veelgemaakte fout is alles meenemen wat je hebt. Dat maakt het rapport duurder zonder dat het je klanten meer zekerheid geeft. Weet je niet waar je moet beginnen, dan is een gesprek over de opzet van je assurance-traject vaak goedkoper dan een scope die je later moet terugdraaien.

Veelgestelde vragen

Wat kost een ISAE 3402-verklaring gemiddeld?

Voor de externe auditkosten is een indicatie van circa €14.000 tot ruim €100.000 exclusief btw realistisch. Waar je in die bandbreedte valt, hangt vooral af van het type verklaring en het aantal beheersmaatregelen in scope. Tel daar je eigen uren bij op voor een compleet beeld van de investering.

Hoeveel duurder is een Type II dan een Type I?

Reken op een opslag van grofweg tien tot twintig procent op de auditkosten. Bij een Type II wordt ook de werking over een periode getoetst en worden de toetsresultaten gerapporteerd. Dat vraagt meer testwerk, meer bewijsmateriaal en een uitgebreidere rapportage dan een Type I.

Zitten de implementatiekosten in de prijs van de audit?

Nee. De auditor toetst en rapporteert. Het inrichten van maatregelen, het schrijven van de systeembeschrijving en het aanleveren van bewijs doe je zelf of met begeleiding. Die inspanning valt buiten de auditfee en beslaat in de praktijk vaak ruwweg een kwart tot bijna de helft van de totale investering.

Hoe lang moet de testperiode van een Type II zijn?

Een periode van zes tot twaalf maanden is gebruikelijk, waarbij zes maanden in de praktijk als ondergrens geldt. Wat past, volgt uit de verslagperiode van je klanten en uit de frequentie van de maatregelen die worden getoetst. Kwartaalcontroles vragen nu eenmaal een langere periode dan dagelijkse.

Wat kost een vervolgjaar?

Een vervolgjaar ligt doorgaans lager dan het eerste, omdat de systeembeschrijving er al ligt en de processen bekend zijn. Reken wel op een volledige toetsing: de werking moet elk jaar opnieuw over de periode worden aangetoond. Wijzigingen in systemen of leveranciers vragen daarnaast aanpassing van de beschrijving.

Is een TPM-verklaring hetzelfde als ISAE 3402?

In de praktijk worden de termen door elkaar gebruikt. Een TPM-verklaring is de Nederlandse aanduiding voor een rapport van een derde partij over uitbestede processen, en wordt vaak volgens ISAE 3402 opgesteld. Voor de kosten maakt de benaming geen verschil; de scope en het type doen dat wel.

Wat als mijn klanten om SOC 2 vragen in plaats van ISAE 3402?

Dat gebeurt vooral bij klanten met een internationale of Amerikaanse achtergrond. De twee rapporten hebben een ander vertrekpunt en een andere scope, en dat werkt door in de kosten. Het verschil tussen SOC 2 en ISAE 3402 helpt bepalen welke van de twee je klanten echt nodig hebben.