ISAE 3402 og ISAE 3000: revisorerklæringen og testen

Når en kunde beder om en ISAE-erklæring, og softwarehuset svarer med en pentestrapport, taler parterne om to forskellige dokumenter. Erklæringen er en revisors konklusion om jeres kontroller efter en international standard; rapporten er en testers beskrivelse af, hvad en afgrænset afprøvning fandt. Den ene kan ikke erstatte den anden, men de kan understøtte hinanden. Svaret til kunden hviler derfor på to ting: hvilken af standarderne kunden faktisk mener, og hvad kunden skal bruge dokumentet til.

To standarder fra samme afsender

ISAE 3402 og ISAE 3000 er udgivet af IAASB, den internationale standardsætter for revision og andre erklæringsopgaver. Standarderne retter sig mod revisorer, ikke mod softwarehuse. I kan altså ikke selv udstede en ISAE-erklæring; den laves af en revisor, som I engagerer, og revisoren afgør efter standarden, hvordan arbejdet tilrettelægges.

For jer som sælger betyder det, at kundens ønske om en erklæring er et ønske om en ekstern, uafhængig konklusion om jeres kontroller. Det er et andet ønske end at se, hvad en tester fandt i produktet sidste kvartal. → Pentestrapporten som bevis over for kunder

ISAE 3402: kontroller, der rører kundens regnskab

IAASB beskriver ISAE 3402 som standarden for erklæringer om kontroller hos en serviceorganisation, når kontrollerne sandsynligvis har betydning for kundernes interne kontrol med regnskabsaflæggelsen. Erklæringen er skrevet til kunderne og deres revisorer.

Standarden skelner mellem to typer. En type 1-erklæring handler om, hvorvidt beskrivelsen af jeres system er retvisende, og om kontrollerne er hensigtsmæssigt udformet på en bestemt dato. En type 2-erklæring dækker også, om kontrollerne har fungeret effektivt i en angivet periode. Er jeres produkt et lønsystem, et faktureringssystem eller noget andet, der påvirker kundens tal, er det ISAE 3402, kundens revisor kan efterspørge.

To begreber fra standarden passer direkte på et SaaS-produkt. Det første handler om underleverandører: beskrivelsen kan enten tage underleverandørens kontroller med eller holde dem ude og i stedet omfatte jeres egen opfølgning på dem, fx gennemgang af underleverandørens egen erklæring. Det andet er kontroller, I forudsætter, at kunderne selv udfører, som at kunden styrer sine egne brugere i produktet. Står de i beskrivelsen, ved kunden, hvilken del af ansvaret der ligger hos kunden. Begge dele svarer til spørgsmål, en pentest også rejser: hvad var med i omfanget, og hvad blev holdt ude? → Kundernes eget ansvar

ISAE 3000: erklæringer om andet end regnskab

ISAE 3000 (Revised) er ifølge IAASB den overordnede standard for erklæringsopgaver, der ikke er revision eller review af historiske regnskabsoplysninger. Den bruges, når emnet er noget andet end regnskabet, fx informationssikkerhed i en tjeneste. Indholdet af en ISAE 3000-erklæring afhænger derfor af, hvilke kriterier og kontroller revisor og virksomhed har lagt til grund.

Det er værd at vide, fordi to erklæringer efter ISAE 3000 kan dække meget forskellige ting. Når kunden beder om en ISAE 3000, er næste spørgsmål: om hvad? → Kunden henviser til en standard

Hvor pentesten passer ind

En penetrationstest er ikke en erklæring efter nogen af standarderne. Den er en teknisk afprøvning med et bestemt omfang, gennemført af en tester. Til gengæld kan regelmæssig test og opfølgning på fund være en af de kontroller, jeres sikkerhedsarbejde består af. Hvis kontrollen er med i det system, revisor erklærer sig om, kan revisor efterspørge dokumentation for, at testen er gennemført, og at fundene er fulgt op.

Det giver to praktiske konsekvenser. Rapporten skal kunne vise dato, omfang og status på fund, så den kan bruges som dokumentation. Og den kontrol, I beskriver i jeres system, skal svare til det, I faktisk gør. Står der årlig test i beskrivelsen, skal der ligge en rapport for hvert år. Aftal derfor testens tidspunkt med blik på den periode, en kommende erklæring skal dække, så I ikke står med en test, der falder lige uden for. → Retestbevis: vis kunden, at fundene er rettet

Når kunden beder om en ISAE

Stil to spørgsmål, før I svarer. Hvilken standard og hvilken type mener kunden? Og hvem skal læse dokumentet: kundens revisor, kundens sikkerhedsfunktion eller indkøb? En revisor, der skal bruge jeres kontroller i regnskabsrevisionen, kan have brug for netop en ISAE 3402 type 2. En sikkerhedsfunktion, der vil vide, om produktet er testet, kan i stedet få det, de skal bruge, af en kundeversion af rapporten og et resumé af jeres sikkerhedsarbejde.

Har I ingen erklæring, så sig det. Fortæl, hvad I har i stedet, og om en erklæring er noget, I arbejder hen imod. Lov ikke en erklæring på en bestemt dato, før en revisor har vurderet, hvad der skal til. → Hel rapport, resumé eller erklæring

Et tænkt eksempel

Et softwarehus leverer et system til tidsregistrering og lønforberedelse. En ny kunde skriver, at kundens revisor ønsker en ISAE 3402 type 2. Softwarehuset har ingen revisorerklæring, men en pentestrapport fra foråret og en kundeversion af den.

Softwarehuset svarer, at der ikke foreligger en ISAE 3402, og sender kundeversionen og en beskrivelse af de kontroller, der omgiver lønberegningen. Kunden aftaler med sin egen revisor, hvad der er tilstrækkeligt i år. Samtidig beslutter softwarehuset at tale med en revisor om en erklæring, fordi flere kunder i samme branche kan få samme krav fra deres revisorer.

Det skal I lade være med

Kalde pentestrapporten en erklæring · den er en testers rapport, ikke en revisors konklusion.
Svare ja til en ISAE uden at spørge hvilken · ISAE 3402 og ISAE 3000 dækker forskellige ting.
Beskrive kontroller, I ikke udfører · revisor kan bede om dokumentation for hver af dem.
Love en erklæring på en dato · omfang og tidsplan afhænger af revisors vurdering.
Glemme perioden · en type 2 dækker en periode, og testen skal ligge inden for den, hvis den skal bruges.

Hvad kan og ikke kan konkluderes

En ISAE-erklæring viser, hvad en revisor har konkluderet om jeres beskrevne kontroller efter en bestemt standard. En pentestrapport viser, hvad en tester fandt i et afgrænset omfang på et tidspunkt. Ingen af dem siger, at produktet er uden svagheder, og ingen af dem afgør, om kunden opfylder sine egne krav. Om en erklæring er nødvendig for netop jeres kunder, er et spørgsmål til kunden og en revisor. Teksten er ikke juridisk rådgivning eller revisionsfaglig vejledning.

Tjekliste, når kunden beder om en ISAE

☐ Ved I, om kunden mener ISAE 3402 eller ISAE 3000, og hvilken type?
☐ Ved I, hvem hos kunden der skal læse dokumentet?
☐ Har I sagt tydeligt, om I har en erklæring i dag?
☐ Kan rapporten vise dato, omfang og status på fund?
☐ Svarer jeres beskrevne kontroller til det, I faktisk gør?
☐ Er en eventuel erklæring drøftet med en revisor, før I lover noget?

Kilder

IAASB: Staff Overview, ISAE 3402: erklæringer til kunder og deres revisorer om kontroller hos en serviceorganisation, der sandsynligvis har betydning for kundernes interne kontrol med regnskabsaflæggelsen.
IAASB: ISAE 3402 (IAASB Handbook 2013, IFAC): definitionerne af type 1 (udformning på en dato) og type 2 (også effektivitet i en periode).
IAASB: ISAE 3000 (Revised): erklæringsopgaver, der ikke er revision eller review af historiske regnskabsoplysninger.

Senest gennemgået: oktober 2026.