In het kort
- Een SOC 2-onderzoek in Nederland valt onder ISAE 3000 en de Nederlandse Richtlijn 3000A, niet onder de Amerikaanse standaard AT-C 205.
- De NOREA-handreiking is geschreven voor Register IT-auditors (RE's). Volgens de handreiking brengt een registeraccountant zonder IT-kennis onwaarschijnlijk een SOC 2 uit zonder IT-auditor.
- Het CPA-vereiste geldt voor rapporten die onder Amerikaanse regels worden uitgebracht, niet voor een Nederlands ISAE 3000-rapport.
- Kies op onafhankelijkheid, sectorervaring, acceptatie door je klanten, capaciteit, werkwijze, prijsmodel en kwaliteitsborging, en vraag alles schriftelijk na.
Kort antwoord
Je kiest een SOC 2-auditor niet op één titel. Je let op de standaard waaronder het rapport wordt uitgebracht, op de IT-kennis van het team en op hoe onafhankelijk de partij is die het oordeel geeft. Hoe het onderzoek zelf verloopt, lees je op de pagina over het SOC 2-auditproces.
Voor Nederland is de NOREA-handreiking het belangrijkste uitgangspunt. Die beschrijft hoe een SOC 2- of SOC 3-rapport wordt opgesteld onder ISAE 3000, en voor Nederlands gebruik onder Richtlijn 3000A. Lees die tekst zelf voordat je met kandidaten praat.
Goed om te weten: SOC-2.nl is een kennisinitiatief van 2-Control, een Nederlandse IT-auditorganisatie die zelf SOC 2-audits uitvoert. De redactie heeft dit artikel neutraal geschreven, met de selectiecriteria hieronder, en noemt geen andere auditorganisaties. Meer over de SOC 2-dienst van 2-Control vind je op de dienstpagina.
Wie voert een SOC 2 uit: VS versus Nederland
SOC 2 komt uit de Verenigde Staten. De AICPA, de Amerikaanse beroepsorganisatie van accountants, ontwikkelde het kader en de standaarden voor SOC-opdrachten. Volgens de AICPA-pagina over SOC-diensten zijn het CPA's die deze diensten kunnen aanbieden. De Amerikaanse attestatiestandaard die erbij hoort, is AT-C 205.
Voor Nederland geeft de NOREA-handreiking het kader. Daarin staat dat een SOC 2 hier wordt uitgevoerd onder ISAE 3000, en voor Nederlands gebruik onder Richtlijn 3000A. ISAE 3000 is de internationale tegenhanger van AT-C 205. De handreiking is opgesteld voor Register IT-auditors (RE's), en een Nederlandse opdracht valt onder Nederlandse regels, waaronder de NOREA-reglementen.
Dat heeft twee gevolgen. Een SOC 2-rapport dat onder Amerikaanse wet- en regelgeving wordt gepubliceerd, moet volgens de handreiking worden opgesteld door een CPA die is aangesloten bij de AICPA. En een rapport onder ISAE 3000 van een Nederlandse IT-auditor voldoet niet aan de AICPA-eisen om het SOC-logo te gebruiken; NOREA heeft geen Nederlands equivalent van dat logo.
Let op: dit is algemene informatie over een handreiking, geen juridisch of accountantsadvies. De handreiking dateert van december 2021, dus controleer of er een nieuwere versie is.
Wat de bronnen niet beschrijven, is welke titels precies mogen ondertekenen. Ze noemen RE's als doelgroep en zeggen over registeraccountants alleen iets over IT-kennis. Vraag dit daarom na bij elke kandidaat.
Wat zijn RA, RE en CPA in dit verband
RA is de afkorting van registeraccountant, de titel voor een accountant die bij de NBA is ingeschreven. RE staat voor Register IT-auditor: een IT-auditor die in het register van NOREA is opgenomen. CPA is de Amerikaanse titel Certified Public Accountant.
De titel zegt niet alles over wat iemand kan. De handreiking stelt dat ISAE 3000 specifieke kennis vraagt van processen, technieken en bedrijfstakaspecten. Kennis hoeft niet allemaal bij één persoon te zitten, want een deel kan via specialisten komen. De hoofdauditor moet die specialisten dan wel kunnen aansturen en hun werk beoordelen.
De CPA-titel speelt dus alleen een rol bij een rapport onder Amerikaanse regels. Of een Amerikaanse klant een ISAE 3000-rapport accepteert, staat niet in de bronnen. Vraag dat na bij je klant voordat je een auditor kiest.
Selectiecriteria
Gebruik de onderstaande tabel om kandidaten naast elkaar te leggen. De criteria zeggen niet welke auditor de beste is, maar welke vragen je moet kunnen beantwoorden.
| Criterium | Waar let je op | Wat je vraagt |
|---|---|---|
| Onafhankelijkheid | De auditor volgt minimaal de gedragscode van NOREA, en bij een accountantskantoor mogelijk ook de onafhankelijkheidsregels van de NBA. Objectiviteit is het kernbeginsel: geen belangen die het oordeel kunnen beïnvloeden. Een partij die je eerst adviseert over de inrichting en daarna het oordeel geeft, moet die dubbele rol kunnen toelichten. | Welke onafhankelijkheidsregels hanteer je, en hebben jullie ons eerder geadviseerd? |
| Ervaring met sector en techstack | ISAE 3000 vraagt om kennis van processen, technieken en bedrijfstakaspecten. | Welke vergelijkbare opdrachten hebben jullie gedaan, en wie in het team kent onze omgeving? |
| Acceptatie door je klanten | Het rapport is bestemd voor gespecificeerde gebruikers: volgens de handreiking onder meer het management van de serviceorganisatie, van klanten en van partijen die overwegen klant te worden, auditors en toezichthouders. | Vraag je klanten zelf wie het rapport beoordeelt, welk rapport zij accepteren en onder welke voorwaarden. |
| Capaciteit en planning | Een auditor accepteert of continueert een opdracht alleen als het team de competenties heeft en de opdracht effectief kan worden gepland. | Wie is het vaste team, wanneer zijn zij beschikbaar, en hoe vang je een verschuiving van de planning op? |
| Werkwijze en communicatie | De auditor moet de argumenten van het management toetsen, bijvoorbeeld over subserviceorganisaties. | Hoe toets je onze keuzes voor subserviceorganisaties, en hoe vaak krijgen we tussentijds terugkoppeling? |
| Prijsmodel | Let op wat in de prijs zit: de scope (welke diensten en systemen meedoen), de rapportageperiode en wat er gebeurt bij bevindingen. Factoren en kosten staan op de kostenpagina. | Wat is inbegrepen, en wat valt buiten de offerte? |
| Kwaliteitsborging | In de voorbeeldteksten van de handreiking verklaart de auditor dat de firma het Reglement Kwaliteitsbeheersing NOREA (RKBN) toepast. | Passen jullie het RKBN toe, en hoe wordt het werk intern gecontroleerd voordat het rapport uitgaat? |
Vragen voor je gesprek met een auditor
Neem deze lijst mee naar het eerste gesprek en vink af wat je schriftelijk hebt gekregen.
- Welke titel heeft de persoon die het oordeel ondertekent, en hoe is de IT-kennis in het team opgebouwd?
- Onder welke standaard wordt ons rapport uitgebracht: ISAE 3000 met Richtlijn 3000A, of een Amerikaanse variant?
- Welke onafhankelijkheidsregels gelden voor jullie, en hebben jullie ons eerder geadviseerd?
- Welke vergelijkbare opdrachten hebben jullie gedaan, en hoeveel daarvan bij organisaties zoals wij?
- Welke Trust Services Criteria (de beheersingsdoelstellingen per categorie) stel je voor, en hoe wordt de scope vastgelegd?
- Wie is het vaste aanspreekpunt, en hoe ziet de communicatie tijdens het traject eruit?
- Hoe toets je onze keuzes voor subserviceorganisaties, en worden die motivaties in het rapport opgenomen?
- Wat is in de offerte inbegrepen, en wat kost extra werk, bijvoorbeeld bij bevindingen?
- Passen jullie het RKBN toe, en hoe is de interne kwaliteitscontrole ingericht?
- Hoe worden bevindingen en testafwijkingen beschreven, en hoe reageert het management daarop?
- Welke bewijsstukken moeten wij klaarzetten, en wie bepaalt wat voldoende is?
Meer algemene vragen beantwoorden we op de veelgestelde vragen.
Valkuilen
- Zoeken naar een SOC 2-titel. De NOREA-handreiking noemt geen aparte SOC 2-titel. Vraag naar de standaard, de titels van de ondertekenaar en de ervaring, en niet naar een label.
- Een AICPA-logo op een Nederlands rapport. Een ISAE 3000-rapport kan het AICPA-logo niet gebruiken, dus een offerte die dat suggereert, vraagt om uitleg.
- Advies en oordeel bij dezelfde partij. De handreiking gaat uit van objectiviteit: geen belangenverstrengeling die het oordeel kan beïnvloeden. Bespreek vooraf hoe de auditor die dubbele rol beoordeelt.
- Een SOC 2 lezen als garantie op resultaten. Het rapport gaat over de beheersmaatregelen, niet over de uitkomsten van processen zoals het halen van afgesproken dienstniveaus (SLA's). Lees hoe je een rapport beoordeelt op de pagina over het SOC 2-rapport lezen.
- Een claim als "SOC certificaat" gebruiken. De handreiking stelt dat zulke claims niet zijn toegestaan, en het artikel over wat je mag claimen gaat daar verder op in.
- Kiezen op de laagste offerte. Verschillen in scope, rapportsoort en standaard maken prijzen niet vergelijkbaar. Vergelijk eerst wat er wordt geleverd.
Zo vergelijk je offertes zonder te gokken
- Leg de scope naast elkaar. Welke diensten, systemen en locaties zitten in elke offerte? Offertes met een andere scope zijn niet vergelijkbaar.
- Controleer de rapportsoort. Een Type 1-rapport beoordeelt de opzet van de beheersmaatregelen op een datum, een Type 2-rapport toetst ook de werking over een periode. Lees het verschil tussen Type 1 en Type 2.
- Controleer de standaard. Staat er ISAE 3000 met Richtlijn 3000A in, of een Amerikaanse AICPA-variant? Dat bepaalt of de ondertekening aansluit bij wat je klanten vragen.
- Stel dezelfde vragen aan elke kandidaat. Zet de antwoorden in één tabel naast elkaar, zodat een vaag antwoord opvalt.
- Vraag je klanten vóór je tekent. Welk rapport accepteren zij, en onder welke voorwaarden?
- Laat de aannames opschrijven. Welke systemen of subserviceorganisaties zijn wel of niet meegenomen, en waarom?
Tip: een uitsluiting van een subserviceorganisatie (carve-out) is een erkende keuze, mits het management die motiveert en de motivatie in het rapport staat. Vraag dus welke onderdelen zijn uitgesloten en waarom.
Vergelijk prijs en doorlooptijd pas nadat de scope gelijk is. Dan zijn de verschillen echt en niet het gevolg van andere afspraken.
Veelgestelde vragen
Mag een registeraccountant een SOC 2-rapport ondertekenen?
De NOREA-handreiking is geschreven voor Register IT-auditors. Over registeraccountants zegt ze dat het onwaarschijnlijk is dat iemand zonder IT-kennis zonder IT-auditor een SOC 2 uitbrengt. Of een RA zelfstandig mag ondertekenen, staat niet in de bronnen, dus vraag dat na bij je auditor.
Moet mijn auditor een CPA zijn?
Voor een Nederlands ISAE 3000-rapport schrijven de bronnen geen CPA voor. De CPA-eis hoort bij een SOC 2-rapport dat onder Amerikaanse regels wordt uitgebracht. Vraag bij je klant na of die een Nederlands rapport accepteert.
Mag de partij die ons heeft ingericht ook het oordeel geven?
De NOREA-handreiking gaat uit van objectiviteit: de auditor mag geen belangenverstrengeling hebben die het oordeel beïnvloedt. Of advies over de inrichting die objectiviteit in een concreet geval uitsluit, staat niet letterlijk in de bronnen. Bespreek daarom vooraf met de auditor hoe die de dubbele rol beoordeelt.
Bronnen
- NOREA: Handreiking voor SOC 2- en SOC 3-opdrachten op basis van ISAE 3000 (Nederlands, PDF, december 2021): de doelgroep (RE's), de standaard ISAE 3000 en Richtlijn 3000A, onafhankelijkheid, teamkennis, de AICPA-logoregel en het RKBN.
- NOREA: Guide to performing SOC 2 and SOC 3 based upon ISAE 3000 (Engelse versie, PDF): de CPA-eis voor rapporten onder Amerikaanse regels en de regel dat Nederlandse opdrachten niet naar AT-C 205 verwijzen.
- AICPA: pagina over SOC-diensten en SOC 2: dat SOC-diensten door CPA's worden aangeboden en dat de AICPA de professionele standaarden voor SOC-opdrachten vaststelt.