Inleiding 7DEEL 1 – 35 GEBRUIKERSVRAGENHoe legt een Service Provider verantwoording af? 11Wat is Third Party Assurance? 12Hoe is Third Party Assurance ontstaan? 12Wat betekent de ISAE 3402-standaard? 14Wat is het verschil tussen een Type I en Type IIrapportage? 16Hoe stelt de auditor vast dat de beheersingsmaatregelenhebben gewerkt? 17Wat is het verschil tussen ISAE 3402 en de voorgangerSAS 70? 18Wat zijn de beperkingen van ISAE 3402? 20Waarom geeft de auditor beperkte zekerheid? 23Hoe ga je met niet-gedekte periodes om? 24Hoe lang is een ISAE 3402-rapportage geldig? 25Wat is het belang van ‘User Entity Controls’? 25Waarom is een ISAE 3402-rapport niet publiek? 26Wat is het verschil met een ISO 27001-certificering? 27Kost een ISAE 3402-rapportage geld? 29Wie mag een ISAE 3402-audit uitvoeren? 30Hoe komt een ISAE 3402-rapport tot stand? 30Welke verplichtingen heeft de Service Provider? 32Wat is het belang van de ‘management assertion’? 33Kunnen ISAE 3402-verklaringen gestapeld worden? 33Moet de waarneming statistisch onderbouwd zijn? 34Mag de auditor eerdere waarnemingen gebruiken? 35Hoe bepaal je de kwaliteit van het ISAE 3402-rapport? 35Wat is ISAE 3000? 37Wat is een ‘SOC rapport’? 39Wanneer gebruikt een Service Provider SOC3? 40Geef ik mijn audit-recht op als mijn Service Provider eenISAE 3402-rapport heeft? 40Is een Service Provider met ISAE 3402 beter dan eenService Provider zonder ISAE 3402? 41De auditor heeft afwijkingen aangetroffen, moet ik mij nuzorgen maken? 42Wat heeft ‘de cloud’ met ISAE 3402 te maken? 43Waarom is ISAE 3402 beperkt over Business ContinuityManagement? 44Is een ISAE 3402-rapport in alle landen hetzelfde? 44Wat zijn veelgemaakte fouten door de gebruiker? 45Heeft mijn Service Provider ISAE 3402? 46Wat mogen we van de toekomst verwachten? 47DEEL 2 – EEN STAPPENPLANEen stappenplan voor de gebruikers organisatie 51CONCLUSIE 63VINDPLAATSEN 6435 gebruikersvragen leiden de lezer door de bijzondere en waardevolle wereld van ISAE 3402, de standaard op het gebied van Third Party Assurance. Het praktische stappenplan geeft direct de mogelijkheid om succesvol waarder te genereren.Hoewel outsourcing voor weinig organisaties onbekend terrein is, wordt het beperkte zicht op het risicomanagement van de Service Provider als een belangrijke belemmering ervaren. Service Providers voorzien hierin door actief verantwoording af te leggen met een ISAE 3402-programma Een ISAE 3402-rapport beoogt duidelijkheid te creëren, maar mist vaak het doel en niet in de laatste plaats omdat gebruikers niet goed weten hoe ermee om te gaan. Hierdoor blijft een bron van waardevolle informatie onbenut. - Aan de hand van gebruikersvragen wordt de ISAE 3402- standaard uitgelegd zodat deze geen geheimen meer heeft. - Het stappenplan geeft de gebruiker een dynamische aanpak om elke ISAE 3402-rapportage succesvol te gebruiken. - Met kennis van ISAE 3402 ben je in staat om de relatie met je Service Provider op een hoger niveau te brengen. Kortom, dit boek maakt op praktische wijze inzichtelijk hoe je als gebruiker waarde realiseert met het ISAE 3402-programma van je Service Provider. Drs. Wim Krechting RA is eigenaar van Bizzenze, een adviesbureau gespecialiseerd in de beheersing van outsourcing-relaties. Hij heeft de ontwikkelingen van Third Party Assurance van dichtbij meegemaakt en weet als geen ander hoe ISAE 3402 bijdraagt aan het succes van outsourcing.