ISAE 3402 - Was ist das?

Grundsätzliches

International Standard on Assurance Engagements No. 3402 (ISAE 3402) ist der international anerkannte Prüfungsstandard zur Prüfung des IKS von Outsourcing-Dienstleistern.

Notwendigkeit einer ISAE 3402 Zertifizierung:

• Outsourcing von administrativen Prozessen und Leistungsprozessen an Dienstleistungsunternehmen

• Outsourcing v.a. im Bereich rechnungslegungsrelevanter Prozesse, welche Einfluss auf die externe Rechnungslegung haben oder im Bereich der Finanzberichterstattung

Es haben sich in der Praxis drei Varianten von Outsourcing Dienstleistungen etabliert:

• Teile bzw. die gesamte IT inklusive IT-Management werden an externe Rechenzentrumsbetreiber oder spezialisierte IT-Dienstleister ausgelagert

• Business Process Outsourcing: Auslagerung administrativer Routinetätigkeiten, z.B. Lohn- sowie Gehaltsabrechnung an darauf spezialisierte IT-Dienstleister

• In der Dienstleistung sind neben der Abwicklung der Geschäftsvorgänge auch die Bereitstellung und der Betrieb des dafür erforderlichen IT-Systems enthalten

Die Grundlage einer Prüfung gemäß ISAE 3402 umfasst die Beschreibung des dienstleistungsbezogenen internen Kontrollsystems (IKS), sowie die Management Assertion. Das Management gibt im Rahmen der Management Assertion eine Erklärung darüber ab, dass das IKS angemessen dargestellt ist bzw. die internen Kontrollen während des Prüfungszeitraums implementiert und im Falle einer Prüfung gemäß Typ II wirksam waren, um die vordefinierten Kontrollziele zu erreichen. Eine Beschreibung des IKS durch das zu prüfende Unternehmen ist ein wesentlicher Bestandteil der Berichterstattung.

Das PCAOB hat im Dezember 2007 eine Entwurf Version des ISAE 3402 (International Standard on Assurance Engagements) veröffentlicht, der die Anforderungen an die Prüfung des IKS eines Dienstleistungsunternehmens und die Berichterstattung hierüber regeln soll. Das Public Company Accounting Oversight Board (PCAOB) ist eine unabhängige Aufsichtsbehörde für Wirtschaftsprüfungsunternehmen in den USA.

Im Rahmen einer Zertifizierung nach dem europäischen Standard ISAE 3402 können noch weitere Möglichkeiten der Zertifizierung in Betracht gezogen werden. So können sich Unternehmen nach dem deutschen Standard IDW PS 951 sowie nach dem strengeren US-amerikanischen Standard SSAE 18 zertifizieren lassen.

BFMT hat als einer der wenigen mittelständischen WP-Gesellschaften die Zulassung der PCAOB zur Prüfung nach SSAE 18.

Wer benötigt ISAE 3402?

Eine Unternehmenskultur, die von ethischen Werten geprägt ist steigert nicht nur die Leistung der Mitarbeiter sondern ist auch der Grundbaustein für den nachhaltigen und langfristigen Erfolg Ihres Unternehmens. Die Loyalität Ihrer Mitarbeiter, Ihrer Kunden und auch namhafter Investoren wird gefestigt und erhöht dadurch den Wert Ihres Unternehmens.

Eine Zertifizierung Ihres Unternehmens bringt Ihnen vor allem bei folgenden Gruppen einen großen Vorteil:

• Bestandskunden (das auslagernde Unternehmen und dessen Wirtschaftsprüfer)

• Neukunden (Zertififzierung als Maßstab für Qualität der Prozesse ihres Unternehmens)

• Aufsichtsbehörden

Service Provider, die rechnungslegungsrelevante Geschäftsprozesse sowie IT-gestützte Services als Dienstleistung anbieten, bestätigen mit einem ISAE 3402 Bericht gegenüber ihren Auftraggebern, dass sie hinsichtlich der an sie ausgelagerten Prozesse ein funktionierendes internes Kontrollsystem besitzen.

Diese Bestätigung in Form einer Zertifizierung durch einen bestellten Wirtschaftsprüfer verhindert, dass externe Prüfer von Auftraggebern die Prozesse beim Service Provider überprüfen müssen.

ISAE 3402 als Bestandteil zur Einhaltung der gesetzlichen Regelungen

Zu den wichtigsten nationalen Regeln zur Erfüllung einer IT-Compliance zählen u.a.:

• das Telekommunikationsgesetz für Deutschland,

• die europäische Datenschutzgrundverordnung (DSGVO),

• die Grundsätze zum Datenzugriff und zur Prüfbarkeit digitaler Unterlagen (Digitale Steuerprüfung) (GDPdU),

• das Gesetz zur Kontrolle und Transparenz im Unternehmensbereich

Neben diesen nationalen Regeln kommen auch europäische Richtlinien (das Rahmenwerk Basel II zur Analyse der Kreditwürdigkeit) und internationale Vorschriften zum Tragen.

So gilt der Sarbanes-Oxley Act (SOX) auch für europäische Unternehmen, wenn sie in den USA an der Börse notiert sind. Weitere Richtlinien sind beispielsweise FINRA (NASD/SEC), HIPAA, IFRS, MiFID und Tabaksblat.

Ablauf der Zertifizierung nach ISAE 3402 Prüfungsstandard

Beschreibung des internen Kontrollsystems durch das Dienstleistungsunternehmen inkl. folgender Eckpunkte:

• Geprüfte Dienstleistungen,

• Zeitraum, auf den sich der Bericht bezieht,

• Beschreibung der abgewickelten Geschäftsvorfälle, Kontrollziele und zugehörige Kontrollen,

• Ergänzende Kontrollen der Kunden,

• Von der Sub-Dienstleistungsorganisation durchgeführte Kontrollen („inclusive method“),

• Der bei der Erstellung von Kundenreports angewandte Prozesse, sowie

• Änderungen des Systems während des geprüften Zeitraums.

Ein möglicher Projektablauf wird in nachfolgendem Workflow dargestellt.
(Zum Vergrößern auf das Bild klicken)