ISAE 3402
ISAE 3402 ist ein Standard für Prüfungen bei Dienstleistern. Ein Wirtschaftsprüfer untersucht die Kontrollen eines Unternehmens, das Aufgaben für andere übernimmt, etwa Rechenzentrumsbetrieb, Lohnabrechnung oder Hosting, und fasst das Ergebnis in einem Bericht zusammen. Den Bericht gibt der Dienstleister an seine Kunden und deren Abschlussprüfer weiter, damit diese nicht jeden Dienstleister selbst prüfen müssen.
Die Abkürzung steht für International Standard on Assurance Engagements 3402. Herausgeber ist das International Auditing and Assurance Standards Board (IAASB). Der Standard erschien im Dezember 2009 und gilt für Berichtszeiträume, die ab dem 15. Juni 2011 enden. Er löste im internationalen Gebrauch den US-Standard SAS 70 ab.
Worum es geht
ISAE 3402 betrachtet Kontrollen, die für die Finanzberichterstattung der Kunden relevant sind. Die Frage dahinter: Kann sich der Abschlussprüfer eines Kunden darauf verlassen, dass die ausgelagerten Vorgänge ordnungsgemäß laufen?
Bei einem Rechenzentrum geht es etwa um:
- Zutrittskontrolle zu Räumen mit Systemen der Kunden
- Vergabe und Entzug von Zugriffsrechten
- Änderungen an Systemen nach festgelegtem Verfahren
- Datensicherung und Wiederherstellung
- Überwachung von Betrieb und Störungen
Der Dienstleister beschreibt sein System und seine Kontrollen selbst. Der Prüfer beurteilt, ob die Beschreibung stimmt und die Kontrollen geeignet sind.
Typ 1 und Typ 2
| Typ 1 | Typ 2 | |
|---|---|---|
| Prüft | Beschreibung und Eignung der Kontrollen zu einem Stichtag | zusätzlich die Wirksamkeit über einen Zeitraum |
| Zeitraum | ein Tag | meist sechs bis zwölf Monate |
| Aussagekraft | die Kontrollen sind vorhanden und richtig angelegt | die Kontrollen haben im Zeitraum tatsächlich funktioniert |
| Einsatz | erstmalige Prüfung | Regelfall, jährlich wiederholt |
Für Kunden und deren Prüfer zählt in der Regel nur der Typ-2-Bericht. Ein Typ-1-Bericht zeigt, dass es Regeln gibt, nicht dass sie eingehalten werden.
Kein Zertifikat
ISAE 3402 ist keine Zertifizierung. Am Ende steht kein Siegel, sondern ein Bericht mit dem Urteil des Prüfers und gegebenenfalls festgestellten Abweichungen. Der Bericht ist nicht öffentlich und nur für Kunden und deren Prüfer bestimmt.
Wer einen Bericht erhält, sollte prüfen:
- welcher Zeitraum abgedeckt ist und ob er an das eigene Geschäftsjahr anschließt
- welche Dienste und Standorte in der Systembeschreibung stehen
- ob der Prüfer Abweichungen festgestellt hat
- welche ergänzenden Kontrollen der Kunde selbst übernehmen muss (Complementary User Entity Controls) — der Bericht setzt sie voraus
Verwandte Standards
| Standard | Herkunft | Gegenstand |
|---|---|---|
| ISAE 3402 | international (IAASB) | Kontrollen mit Bezug zur Finanzberichterstattung |
| SSAE 18, SOC 1 | USA (AICPA) | inhaltlich entsprechend, oft im selben Bericht abgedeckt |
| IDW PS 951 | Deutschland (Institut der Wirtschaftsprüfer) | deutsche Entsprechung, an ISAE 3402 angeglichen |
| ISAE 3000 | international (IAASB) | Rahmen für Prüfungen ohne Bezug zur Finanzberichterstattung, etwa Informationssicherheit |
| SOC 2 | USA (AICPA) | Sicherheit, Verfügbarkeit, Vertraulichkeit und weitere Kriterien |
Geht es dem Kunden um Informationssicherheit statt um Finanzberichte, ist ein Bericht nach SOC 2 oder nach ISAE 3000 die passendere Grundlage. Das Testat zum Cloud-Kriterienkatalog C5 des BSI wird ebenfalls nach ISAE 3000 geprüft.
ISAE 3402 und ISO/IEC 27001
| ISAE 3402 | ISO/IEC 27001 | |
|---|---|---|
| Ergebnis | Bericht mit Prüfungsurteil | Zertifikat |
| Prüfer | Wirtschaftsprüfer | akkreditierte Zertifizierungsstelle |
| Gegenstand | konkrete Kontrollen und ihre Wirksamkeit im Zeitraum | das Managementsystem für Informationssicherheit |
| Öffentlich | nein | Zertifikat ja |
Beides ergänzt sich. Banken und Versicherer verlangen von ihren Dienstleistern oft beides.
Im Rechenzentrum
Colocation- und Hosting-Anbieter mit Kunden aus dem Finanzsektor legen meist jährlich einen Typ-2-Bericht vor. Der Bericht deckt dann die Kontrollen ab, für die das Rechenzentrum verantwortlich ist: Zutritt, Umgebung, Betriebsabläufe. Für alles innerhalb der eigenen Racks bleibt der Kunde selbst zuständig, was im Bericht als ergänzende Kundenkontrolle steht.