Zeker-OnLine is een onafhankelijk en transparant keurmerk voor

Zeker-OnLineiseenonafhankelijkentransparantkeurmerkvooronline
administratievediensten(ookweladministratievecloudoplossingengenoemd).
Transacties
Financiële
registratie
Rapportering
BTWaangifte
Auditprotocol
(dezevervangtversie2.0zoalsopgenomeninhetDocument2.0)
Versienummer3.1
Ingangsdatum:perdirect1januari2016
Werkversie:3.14
Datumeersteversie3.0:1oktober2015
6.
Auditprotocol
6.1
Inleiding
Een belangrijke pijler onder het keurmerk is de assurance verkregen door middel van een onafhankelijke
audit.OminaanmerkingtekunnenkomenvoorhetKeurmerkZeker-OnLinedienendeaanbiedersvanonline
diensten–deDeelnemersvandeStichtingZeker-OnLine–degeformuleerdebeheersdoelstellingendieeen
betrouwbareencontinueverwerkingvantransactieswaarborgenaantoonbaartebehalen.
Dezebeheersdoelstellingenenbeheersmaatregelenookwelkwaliteitseisenzijnvastgelegdinsectie5
“NormenkaderZeker-OnLine”.
6.2
Auditcycle
Ter verkrijging en behouden van het Keurmerk Zeker-OnLine worden audits uitgevoerd in een driejarige
cyclus.TerverkrijgingvanhetKeurmerkiseeninitiëleauditophetvoldoenaandezekwaliteitseisenvereist.
Ditbetreftzoweleenonderzoeknaardeopzetenhetbestaanalsmedenaardewerkingovereenminimale
periode van 6 maanden, van de door de aanbieder getroffen en ingevoerde maatregelen om aan de
controledoelstellingenvanZeker-OnLinetebehalen.Dezeauditvindtplaatsbinnen1jaarnatoekenningvan
hetdeelnemerschap.Hetbestuurkanopverzoekeenverlengingvandezeperiodetoekennen.
NahetverkrijgenvanhetKeurmerkZeker-Onlinegebaseerdopdeinitiëleauditopbasisvanhetuitgebreide
normenkader worden in de daaropvolgende twee jaren minder uitgebreide audits op basis van een verkort
normenkader uitgevoerd waarna een nieuwe periode van drie jaar start. Iedere drie-jaarsperiode start met
een uitgebreide audit op basis van een uitgebreid normenkader en wordt vervolgd met twee jaren met
minderuitgebreideauditsopbasisvaneenverkortnormenkader.
6.3
Aanstellenonafhankelijkeauditorganisatie/auditor
De Deelnemer moet zelfstandig de keuze voor een onafhankelijke auditorganisatie maken, waarbij als
randvoorwaardengelden:
Ø
Ø
Ø
Ø
datdeauditorganisatieovervoldoendeexpertisebeschiktomdeaudituittekunnenvoeren;
datdeaandeauditorganisatieverbondenverantwoordelijkeauditorminimaalisingeschreveninhet
registervanéénvandevolgendeberoepsorganisaties:
o deNederlandseBeroepsorganisatievanAccountants(NBA)alsRAen/of
o deNederlandseOrganisatievanRegisterEDP-Auditors(NOREA);
dathetuitvoerendeauditteamoverrelevanteervaringenexpertisebeschiktopdeonderscheiden
gebiedenvanhetnormenkader;
datdeauditorkennisheeftgenomenvandedoordeStichtingvoorgeschrevenrapportagetemplate
enverklaartinzijnopdrachtbevestigingdezetemplatetegebruikenvoorderapportage.
De Deelnemer stelt het bestuur van de Stichting vooraf in kennis van de voorgenomen keuze voor een
auditorganisatie en auditor. Het bestuur van de Stichting stelt een ‘format’ vast voor een zodanige
inkennisstelling. Dit verplicht te volgen format is te downloaden van de website onder het hoofdstuk
documenten“Formulieraanstellenonafhankelijkauditorganisatie/auditor.
Het bestuur van de Stichting stelt vast of een auditor voldoet aan de genoemde voorwaarden en geeft een
bindendengefundeerdadviestenaanzienvandekeuzevandeauditorganisatieenauditor.Hetbestuurvan
deStichtingaccrediteertdaarmeedeauditorganisatievoorhetuitvoerenvanauditsbijdeDeelnemer.Indien
de auditorganisatie of auditor door het bestuur van de Stichting niet wordt geaccrediteerd, stelt de
Deelnemer een andere auditorganisatie of auditor voor. Een advies vanuit de Stichting voor een bepaalde
auditorganisatieofauditorbehoorttotdemogelijkheden.
Hetaangaanvaneenovereenkomsttotopdrachtmetdeauditorganisatie/auditorrustbijdeDeelnemer.De
Deelnemercontracteertdeauditorganisatie/auditorzelfstandigenzaldekostenvoordezeauditrechtstreeks
voldoen aan de auditorganisatie/auditor. De kosten van een audit kunnen worden beperkt, indien de
Deelnemereendocumentaanlevertmetdaarinpernormaangegevenwelkemaatregelenzijngetroffen.Het
bestuurheefthiervooreenformatbeschikbaardatopvraagbaarisbijhetsecretariaatvandeStichting.
DeStichtingontvangtvandeDeelnemerdedoorpartijengetekendeopdrachtbriefomvasttestellendatde
scopingovereenkomstigdegevraagdeassuranceis.
6.4
Inkaderingopdracht
6.4.1 Opdrachtaanauditor
1
Aandeauditorwordtdeopdracht,conformartikel8vanStandaard3402 ,gegeventot:
a.
b.
hetverkrijgenvaneenredelijkematevanzekerheidoverdevraagof,inallevanmaterieelbelang
zijndeopzichten,opbasisvangeschiktecriteria:
1. eenbeschrijvingvandeserviceorganisatievanhaarsysteem,hetsysteemgetrouw
weergeeftzoalsditgedurendedegespecificeerdeverslagperiodeisopgezeten
geïmplementeerd;
2. deinternebeheersingsmaatregelendieverbandhoudenmetdecontroledoelstellingenzoals
dezeinhetnormenkadervanZeker-OnLinestaanvermeldindebeschrijvingvande
serviceorganisatievanhaarsysteemgedurendedegespecificeerdeverslagperiodeop
afdoendewijzezijnopgezet;
3. deinternebeheersingsmaatregelen,effectiefwerktenomeenredelijkematevanzekerheid
teverschaffendatdecontroledoelstellingenzoalsdezeinhetnormenkadervanZekerOnLinestaanvermeldendieindebeschrijvingvanhetsysteemvandeserviceorganisatie
zijnopgenomen,gedurendedegespecificeerdeverslagperiodevanminimaal6maandenzijn
bereikt.
hetrapporterenoverdeaangelegenhedendiehierbovenbij(a)staanvermeldinovereenstemming
metdebevindingenvandeauditorvandeserviceorganisatie.
DoorhetbestuurvandeStichtingisvoorderapportageeenverplichttevolgentemplaterapportZekerOnLinevastgesteld.DittemplateisgebaseerdopderapporteringseisenuitStandaard3402(NBA)ende
equivalentRichtlijn3402(NOREA).HetisvanbelangdatindeopdrachtbevestigingdiedoordeDeelnemer
aandeauditorwordtgegevenhethanterenvandedoordeStichtingverplichtgestelderapportagetemplate
wordtvastgelegd.
Deopdrachtdienttewordenuitgevoerdconformeenvanonderstaandestandaarden:
1
HandleidingRegelgevingAccountancy(HRA)editie2015,Naderevoorschriftencontrole-enoverigestandaarden
Standaard(NVCOS),Standaard3402artikel8.
1. Standaard3402vandeNBA;of
2. Richtlijn3402vandeNOREA;of
3. ISAE3402vanIFAC.
DeontwikkelingenrondomSOC2wordennauwlettendgevolgddoorhetbestuurvandeStichtingenzodra
dezestandaardeenNederlandsejuridischebasisheeft,wordtdetoepassingverderbepaald.
IndeopdrachtaandeauditormoettevenswordenopgenomendatdeDeelnemerdeauditorontheftvanzijn
geheimhoudingsplicht(vertrouwelijkheid)richtinghetbestuurvandeStichting,voorzoverdatnodigisvoor
eengoedeoordeelsvormingdoorhetbestuurvandeStichting,inbijvoorbeeldeentoelichtendgesprek.Van
dossierreviewisuitdrukkelijkgeensprake.
Indeopdrachtbevestigingmoetdusminimaaldescoping,rapportage,gebruiktemplateenontheffingvande
vertrouwelijkheidvaninformatierichtingZeker-OnLinetenbehoevevanoordeelsvormingzijnopgenomen.
6.4.2 Werkzaamhedenauditor
Dewerkzaamhedenbestaanuithetvaststellenofdeaanbiedervanonlineadministratievedienstverlening
zodanigemaatregelenheeftgenomendatdeinsectie5omschrevenbeheersdoelstellingenwordenbehaald
endatverderaandeminimalekwaliteitseisenwordtvoldaan.
Deauditorsteltvandebeheersmaatregelennaastopzetenbestaandewerkingvastgedurendeminimaal6
maanden.Hetnormenkaderis“principlebased”opgezetwaarbijbeheersmaatregeleneenbelangrijke
uitwerkingzijnvanhetminimaalvereisteniveauwaarmeederisico’saangaandedebeheersdoelstellingen
wordengemitigeerd.Totafwijkenvandegenoemdebeheersmaatregelenkaneenauditorbesluiteningeval
vancompenserendemaatregelen.Indieneenuitzonderingwordtvastgesteldendezewordtvervangendoor
eencompenserendemaatregel(en)wordtditverwerktinderapportagemetbeschrijvingvandeaardvan
dezecompenserendemaatregel.Hetisaandeauditoromtebeoordelenofdezecompenserende
maatregeleninredelijkematederisico’safdekkenvoordegenoemdebeheersdoelstelling.AlshetBestuur
vandeStichtingeenmaatregelnietalsvolledigevervangingzietvoordeinhetnormenkadergenoemde
beheersmaatregelwordendeprincipesvan“dueprocess”toegepast(reviewmetbevindingen,hoor-en
wederhoor,standpuntbepaling).AlsdeauditorzichnietkanvindeninhetstandpuntvanhetBestuurwordt
contactopgenomenmetdeopdrachtgever.ZoweldedeelnemeralshetbestuurvandeStichtingkunnenook
besluitenomdezemaatregelaandedeelnemersraadofdevoorzittervandeelnemersraadvoorteleggen.Dit
proceskanhetuitreikenvanhetcertificaatvertragenendaaromadviseerthetbestuuromsignificante
wijzigentijdigtecommuniceren;bijvoorbeeldalnaeen“nulmeting”.DeDeelnemerkanookzelfstandigeen
voorsteltotaanpassingvanbeheersmaatregelinbrengenindenormcommissie,zodatdezemaatregel
eventueelwordtmeegenomenineenherziennormenkader.
DeStichtingheeftgekozenvoortoepassingvanStandaard3402omdatdezestandaarddejuistesetvan
werkzaamhedenvoorschrijft.Deadministratievesoftwarezalhoofdzakelijkgebruiktwordenvoorfinanciële
processen.EenStandaard3402rapportagezorgterookvoordataccountantsinhetkadervaneen
jaarrekeningcontrolegebruikkunnenmakenvandewerkzaamhedendiebijdeserviceorganisatiezijnverricht
inhetkadervanhetverkrijgenvanhetkeurmerkZeker-OnLine.Dewerkzaamhedenkunnendaarmee
meerderedoelendienen.
6.4.3Gebruikmakenvantoeleveranciers
Hetkeurmerkwordtverleendopdedienstindevollebreedte.Eensoftwareleverancierkangebruikmaken
vantoeleveranciersvoorbijvoorbeeldhousingservicesenhostingservices.Debeheersingsmaatregelendie
betrekkinghebbenopdetoeleveranciersmoetenmeegenomenwordenindeauditvandeDeelnemer.Indien
debeheersmaatregelenvandetoeleverancierwordenmeegenomenmetbehulpvaneenonderliggende
assurancerapportagedientinhetStandaard3402type2rapportvandeauditoraangegeventewordenwat
daarvandewegingisgeweest.IndiengebruikgemaaktwordtvanhetStandaard3402type2rapportvande
toeleverancierdanmagdezerapportageophetmomentvanafgegevenvanhetStandaard3402type2vande
Deelnemernietouderzijndan2maanden.Hetisvoordeauditoraantebevelenindezesituatievroegtijdig
metdeDeelnemerteoverleggenoverdeperiodevandeauditendeauditvandetoeleverancier/hoster.
Voorbeeldinzakegeldigheidsduuronderliggenderapportage:
AuditvandeDeelnemer
Periodevanonderzoek:1april2015totenmet30september2015
Afgifterapportage:totuiterlijk15januari2016
Rapportagetoeleverancier:
Periodevanonderzoek:1oktober2014totenmet30september2015
Afgifterapportage:15november2015
Deafgiftedatumvanderapportagevandetoeleverancierisbepalendvoordetweemaandenperiode;indit
voorbeeldkanderapportagevandeDeelnemertotuiterlijk15januari2016wordenafgeven:namelijk15
november2015plus2maanden.
Debasisvandetweemaandenligtgelegenindegeldigheidsduurvaneenrapportagevandeonderliggende
periodedezeverliestzekerheidalgelangdezerapportageverouderd.
NotaBene:
DeIT-auditorvandesoftwareleveranciermoetdeoverallconclusietrekkenofdedienstdoordeDeelnemer
overeenkomstighetnormenkadervanZeker-OnLinewordtaangeboden.Ditmoetduidelijkinde
opdrachtomschrijvingenrapportagevandeIT-auditornaarvorenkomen.
6.4.4 Rapporteringauditor
DeauditorbrengtverslaguitoverzijnwerkzaamhedenindevormvandedoordeStichtingverplichtgestelde
formatzoalsisopgenomenonderpunt6.4.1.Ditformatisverstrektbijdeaccreditatievandeauditorenis
verplichtominaanmerkingtekomenvoorhetkeurmerkZeker-OnLine.
6.5JaarlijkseUpdate
Zeker-OnLinekentdefullscopeauditbijaanvraagvanhetkeurmerkenvoordevolgendejarenterverlenging.
Ondervoorwaardenkanbijverlenginggebruikwordengemaaktvaneenbeperkterevariant,deJaarlijkse
Updateopbasisvaneenverkortnormenkader,hierna:"jaarlijkseUpdate”.DeJaarlijkseUpdateisonder
voorwaardenvantoepassing.DezeoptiestaatnietopenvoorKeurmerkhoudersdiewezenlijkewijzingeninde
internebeheersinghebbenaangebracht,welkewijzigingennietmetbehulpvandezebeperkteauditzijnte
beoordelen.Debeslissingofeenwijzigingindeinternebeheersingalswezenlijkkwalificeertendaarmeeeen
uitgebreideauditnoodzakelijkmaakt,isvoorbehoudenaandeauditor.OverlegmetdeDeelnemer
hieromtrentisevident;overlegmethetbestuurvandeStichtingismogelijk.Overigensbestaatereenactieve
informatieplichtbijsignificantewijzigingenindeadministratieveorganisatieen/ofbedrijfsvoering,zowelnaar
deIT-auditoralsnaarhetbestuurvanZeker-OnLine.Wijzigingenzijnsignificantalsnietmeerzondermeerkan
wordenvastgestelddatdedienstvoldoetaanhetnormenkadervanZeker-OnLine.Voorbeeldenkunnenzijn
wijzigingenindeeigendomsstructuurenwijzigingvanbelangrijketoeleveranciers.
DeJaarlijkseUpdateisgebaseerdopdevolgendeveronderstellingen:
1.
2.
3.
4.
Hetbeheerskaderbestaatvooreengrootdeeluitbeheersmaatregelenwaarvan,alszezijn
geïmplementeerd,deverwachtingbestaatdatdezebeheersmaatregelendebeheersdoelstelling
blijvendafdekkenvooreenperiodevan3jaar.DeDeelnemerwordtgevraagddeze
beheersmaatregelen,dietemakenhebbenmetinrichtingvandebeheersorganisatie,tebevestigen
injaar2en3.Middelsdebeschrijvingvandeinterneserviceorganisatie..
Alsgevolgvanbovenstaandkomendebeheersmaatregelenuitdejuridischeenapplicatielaagin
principenietinaanmerkingvoordeauditinjaar2en3.
ActueleontwikkelingenofspecifiekeaanwijzingenvanhetbestuurvandeStichtingwordenverwerkt
indebeschrijvingvandeinterneserviceorganisatieoftoegevoegdaandejaarlijkseupdate
uitgevoerddoorIT-auditorafhankelijkvandeaardvandemaatregel.
Beheersmaatregelenwaarvanalleenopzetenbestaanisvastgesteldvanwegehetnietbeschikbaar
zijnvantest-itemsgedurendedeauditperiodewordenexplicietmeegenomenindeJaarlijkseUpdate
vanjaar2en3.
Derapportageinjaar2en3vindtplaatsopbasisvanStandaard3000ofStandaard3402enbevat
1.
2.
eenbeschrijvingvandeserviceorganisatievanhaarsysteemdiehetsysteemgetrouw
weergeeftzoalsditgedurendedegespecificeerdeverslagperiodeisopgezeten
geïmplementeerd;
deinternebeheersingsmaatregelen,dieverbandhoudenmetdecontroledoelstellingen
zoalsdezeinhetnormenkadervanZeker-OnLineendiestaanvermeldindebeschrijving
vandeserviceorganisatievanhaarsysteemgedurendedegespecificeerdeverslagperiodeen
ofdezeopafdoendewijzezijnopgezet;
AandeIT-AuditorwordtgevraagdomconformStandaard3402of3000terapporterenoverdeopzet,bestaan
enwerkingenwerkingvandebeheersmaatregelenovereenperiodevan6maanden.Degeselecteerde
maatregelenvoordeJaarlijkseUpdatezijnopgenomenindetemplateJaarlijkseUpdate.Dezetemplate
wordtverstrektaandekeurmerkhouders.
6.6
UitbreidingauditenintrekkenKeurmerk
Zoalsinpunt6.2isaangegeven,behelstdeauditcycleeenperiodevan3jaar,bestaandeuiteenuitgebreide
auditgevolgddoortweeJaarlijkseUpdates.IndienhetBestuurvandeStichtingopgegronderedenen
tussentijdstothetoordeelkomtdateenaanvullendeauditvereistisomtekunnenbepalenofhetKeurmerk
instandkanblijvenbijeenDienst,danzaldeDeelnemereennieuweauditlatenuitvoerenenallekosten
daarvoordragen.HetzelfdegeldtindiendeDienstwijzigingenheeftondergaanwelkenaarhetoordeelvan
hetBestuurvandeStichtingdekwaliteitseisenenhetnormenkaderraken.
Indieninjaar2en3blijktdatdezekerheidvanhetKeurmerkZeker-Onlineonderdrukkomttestaanishet
BestuurvandeStichtinggerechtigdeentussentijdsevolledigeaudittevereisen.
DeDeelnemerheeft,ookopgrondvandedeelnemersvoorwaarden,eenactieveinformatieplichtnaarde
Stichtingoverwijzigingenindeorganisatie,deprocessenenhetkwaliteitssysteemdievaninvloedzijnopde
dienst.
Desnelheidindeontwikkelingenophetgebiedvanonlinedienstverleningkunnenaanleidingzijnom
aanvullendemaatregelenofherformuleringenoptenemenindehandreiking.
DeuitkomstvandeJaarlijkseUpdatedanweleenfullscopeauditbepaaltofdeDeelnemerhetKeurmerkop
dedienstmagblijvenvoeren.IndienaanwijzingenvanhetBestuurvandeStichtingniet,danwelniet
adequaatoftijdigwordenopgevolgd,kandithetintrekkenvanhetkeurmerktengevolgehebben.