IT Assurance
Een voorwaarde voor zakendoen is tegenwoordig dat je je IT-omgeving goed op orde hebt. Wanneer je je klanten en overige partners zekerheid wilt bieden, heb je de juiste IT-assurancerapportage nodig. Door proactief verantwoording over je activiteiten af te leggen heb je tevens een kans voor je organisatie om zich van de concurrentie te onderscheiden. Wij kunnen je organisatie begeleiden door tijdig audits uit te voeren en de benodigde assurancerapporten te verstrekken. Onze IT-auditors zijn bekend met vrijwel alle (inter)nationale Assurance standaarden en helpen je dan ook graag met al jouw Assurance vraagstukken.
Brede kennis en expertise
Als IT-auditors bij Baker Tilly zijn wij bekend met vrijwel alle (inter)nationale Assurance-standaarden. Iedere branche of sector heeft vaak een eigen standaard. Bekende standaarden waar wij mee werken zijn ENSIA, WPG, BIO, ISAE3000, ISAE3402 – SOC1 / SOC2 / SOC3, SOC for Cyber en het Privacy Control Framework.
IT-Governance, Risk & Assurance: zekerheid voor stakeholders en toezichthouders
“Regeren is vooruitzien”. Dit geldt zeker ook voor IT-vraagstukken. Wij kijken graag samen met jouw organisatie een aantal jaren vooruit: waar staat je organisatie dan en welke ICT omgeving en beheersstructuur zou daarbij passen? Welke stappen kan je vervolgens daarin zetten om te komen tot die gewenste situatie? Samen met jou bepalen wij graag de roadmap daar naartoe. We maken een praktisch visiedocument en meerjarenplan waarmee je vooruit kunt.
Benieuwd hoe een assurancetraject er in praktijk uit ziet? Lees dan hoe wij het Arnhemse ICT-bedrijf Diabolo ICT adviseerden toen zij een ISAE-verklaring nodig hadden, omdat een aantal klanten dit verplicht stelde.
IT Assurance rapportage
-
-
Een ISAE3402, vergelijkbaar met SOC1-rapporten, wordt opgesteld ten behoeve van de jaarrekeningcontrole van je klanten. Deze rapportage stelt de accountant van je klanten in staat om de kwaliteit van jouw dienstverlening binnen hun jaarrekeningcontrole te wegen. De scope van deze rapportage is daarmee beperkt tot datgene wat voor een accountantscontrole relevant is. Dit zijn vaak ook IT-onderwerpen.
-
-
Een SOC2 / SOC3 -rapport is bedoeld om meer in de breedte aan je klanten assurance te verschaffen over de kwaliteit (bijvoorbeeld veiligheid, continuïteit of integriteit) van jouw IT-dienstverlening.
-
-
SOC voor cybersecurity is bedoeld om verantwoording af te leggen over het cybersecurity programma van jo organisatie. Met een SOC voor Cybersecurity-assurance kan je specifiek op dit thema vertrouwen creëren richting je klanten.
Compliance frameworks
-
-
Met de ENSIA-audit (Eenduidige Normatiek Single Information Audit) geeft een gemeente inzicht aan de gemeenteraad over de mate waarin informatiebeveiliging voor verschillende aspecten binnen haar huishouding op orde is. Met name de DigiD-omgevingen en de SUWI-omgevingen liggen binnen de scope van de IT-auditwerkzaamheden. De rapportage die daar uit volgt wordt beschikbaar gesteld aan toezichthoudende instanties, zoals Logius of ministeries.
-
-
De Wet Politiegegevens heeft bepaald dat organisaties met een BOA in dienst zich eens in de 4 jaar richting de Autoriteit Persoonsgegevens moeten verantwoorden over de wijze waarop met privacygevoelige wordt omgegaan. Het eerste jaar waarover de BOA-organisaties zich moesten verantwoorden was 2021. Het eerstvolgende jaar dat een externe audit plaats zal moeten vinden is in 2025. In de tussentijd helpen onze auditors de BOA-organisaties graag bij het jaarlijks uitvoeren van hun interne audit op de WPG-gegevens.
-
-
De Baseline Informatiebeveiliging (BIO) heeft als doel om informatiebeveiliging binnen de overheid te borgen. Momenteel heeft een overheidsorganisatie de verplichting om aan de BIO te voldoen, maar het is nog niet verplicht om door een externe auditor te laten onderzoeken of een overheidsorganisatie hieraan daadwerkelijk voldoet. Een dergelijke verplichting is wel onze wens, want dan pas wordt informatiebeveiliging bij de overheid, maar ook bij de organisaties die aan overheden diensten verlenen, naar een hoger niveau getild. Desalniettemin voeren wij nu al bij verschillende overheidsorganisaties BIO-audits uit. Een positieve ontwikkeling waar we graag meer overheidsorganisaties bij van dienst zijn.
-
-
Het Privacy Control Framework is een Nederlandse standaard voor het verschaffen van assurance aan klanten en andere stakeholders over de mate van privacy-beheersing binnen een organisatie. Met dit rapport kan je onderbouwd aantonen dat je zorgvuldig omgaat met privacygevoelige gegevens die bij je organisatie binnenkomen.
