Drittparteirisiko und ISAE 3402

Vom vollständigen Outsourcing komplexer Funktionen wie IaaS, PaaS-Services oder Komponentenherstellung bis hin zu kleinen Verträgen mit lokalen Dienstleistern und Zulieferern verlassen sich Unternehmen verschiedener Branchen und Größen in hohem Maße auf externe Dienstleistungsunternehmen.

Outsourcing-Aktivitäten führen zu Kosteneinsparungen, betrieblicher Effizienz oder erweitertem Fachwissen innerhalb des Unternehmens. Outsourcing ist auch mit einem erhöhten Risiko verbunden. Das Verstehen, Analysieren und effektive Reagieren auf Risiken als Teil eines Enterprise Risk Management (ERM)-Ansatzes ist unerlässlich, um das Risiko finanzieller Verluste, der Nichteinhaltung von Vorschriften und von Reputationsschäden zu minimieren.

Die Risiken Dritter verstehen

Das Drittparteirisiko ist nicht auf multinationale Unternehmen beschränkt, die wichtige Geschäftsfunktionen an Offshore-Lieferanten auslagern. In der heutigen Welt arbeiten die meisten Unternehmen im Rahmen ihrer regulären Geschäftstätigkeit regelmäßig mit Dienstleistern zusammen, wie im vorherigen Kapitel beschrieben. Selbst kleine Unternehmen verlassen sich bei verschiedenen Aktivitäten auf Dienstleistungsunternehmen, vom Hosting von Servern über IT-Support bis hin zur Lohnabrechnung. Die zunehmende Auslagerung an Dritte vergrößert die potenziellen Risiken für Unternehmen.

Die Analyse dieses Drittparteirisikos zu einem bestimmten Zeitpunkt ist von entscheidender Bedeutung für die Geschäftskontinuität und die Maximierung der Wirkung von Risikomanagementmaßnahmen. Da die meisten Unternehmen in hohem Maße auf Daten angewiesen sind, kann jeder Dritte, der Zugang zu sensiblen oder vertraulichen Informationen hat, ein potenzielles Risiko für die Geschäftskontinuität darstellen. Beim Outsourcing können, wie bei anderen Kategorien auch, Risikostufen und Hierarchien berücksichtigt werden. Diese Hierarchien und Ebenen bilden die Grundlage für die Festlegung von Risikoprioritäten durch das Management und die Basis für den Risikorahmen in einem ISAE 3402 | SOC1 Bericht.

Risikopriorisierung und ISAE 3402

Die Festlegung von Risikoprioritäten ist keine einmalige Angelegenheit. Alle Parameter können im Laufe der Zeit angepasst werden, abhängig von Faktoren, die von wirtschaftlichen Entwicklungen über Änderungen im regulatorischen Umfeld bis hin zu sich entwickelnden strategischen Initiativen reichen. Die Arten von Dritten, die typischerweise ein höheres Risiko für Ihr Unternehmen darstellen, sind nicht erschöpfend, aber zu ihnen gehören Dienstleistungsunternehmen wie z.B:

• Cloud Computing / On-Demand-Computing
• Software-as-a-Service (SaaS)
• Internetdienstanbieter (ISPs)
• Plattformen für die Verarbeitung von Kreditkarten
• Online Auftragsabwicklung
• Anbieter von Rechenzentren und Kollokation
• Verwaltung von HR und Lohnbuchhaltung
• Drittanbieter-Verwalter (TPAs)
• Druck- und Postdienstleistungen
• Logistikdienstleistungen für Dritte (3PL)
• Debitorenbearbeitung und Inkassodienstleistungen
• Due-Diligence-Prüfung durch Dritte

Eine gründliche Due-Diligence-Prüfung vor Abschluss eines neuen Vertrags mit einem Dritten ist nur der Anfang. Wie die Geschäftsrisiken müssen auch die Risiken von Drittanbietern während der gesamten Lebensdauer einer Lieferantenbeziehung regelmäßig und proaktiv verwaltet werden, da sich die Parameter im Laufe der Zeit anpassen. Dies beinhaltet die Einbindung der Innenrevision, der Finanzabteilung, der Rechtsabteilung und – in vielen Fällen – unabhängiger Wirtschaftsprüfer, die ein ISAE 3402-Gutachten erstellen.

Expansion erhält

ISAE 3402 Typ II Erklärung

Utrecht, 25. April 2019 – Der DMS-Anbieter Expansion hat im Januar 2019 die ISAE 3402 Type II Erklärung erhalten. Mit der Unterstützung von Securance erhalten die Kunden von Expansion eine objektive Bestätigung der Zuverlässigkeit ihrer Serviceprozesse. Schließen Sie ab, dass Buchhalter die Prüfung durchgeführt haben.

Digitale Archivierung und Dokumentenverwaltung

Expansion ist ein führender Anbieter von Lösungen für die digitale Archivierung und das Dokumentenmanagement. Es bietet seine Lösungen zunehmend über die Cloud an. Die Erweiterung ermöglicht es Unternehmen, die Verwaltung ihrer wichtigen Geschäftsinformationen vollständig auszulagern. Um den Kunden und ihren Buchhaltern zu versichern, dass sie die höchsten Standards der Informationssicherheit erfüllen, hat Expansion beschlossen, eine ISAE 3402 Typ II-Erklärung einzuholen.

Implementierung & Prüfung

Securance und Conclude Accountants unterstützten Expansion in der zweiten Jahreshälfte 2018 bei der Umsetzung des ISAE 3402-Berichts und prüften verschiedene Aspekte: Ist die Beschreibung der Serviceorganisation korrekt? Sind die definierten Kontrollmaßnahmen angemessen eingerichtet? Erreichen die Kontrollmaßnahmen effektiv die Ziele der Expansion? Conclude Accountants hat während der Prüfung eine Bestätigung zu diesen Aspekten erhalten, was die Abgabe der ISAE 3402 Typ II Erklärung ermöglicht hat.

Umfassende Auswahl

Expansion wählte Securance und Conclude Accountants, um den Prozess zu leiten, vor allem wegen ihrer umfangreichen Erfahrung in diesem Bereich.

Kontinuierlicher Prozess
Expansion empfand die Zusammenarbeit als äußerst konstruktiv und trug dazu bei, seine Dienstleistungen auf ein noch höheres und konsistentes Niveau zu heben. Die Erlangung des ISAE 3402 Typ II Zertifikats ist nicht das Ende der Expansion, sondern Teil eines kontinuierlichen Verbesserungsprozesses, zu dem Securance weiterhin beitragen wird. Die ersten Vorkehrungen für die bevorstehende Prüfung wurden bereits getroffen.

Über Expansion

Mit dem Standard-DMS Xtendis ist Expansion in den Niederlanden einer der Marktführer im Bereich der digitalen Archivierung und des Dokumentenmanagements. Xtendis wird zunehmend als Cloud-Service genutzt. Xtendis wird in den Niederlanden von mehr als 650 Unternehmen für verschiedene Anwendungen eingesetzt, darunter digitale Personalakten, Auftragsakten, Rechnungsbearbeitung, Kundenakten und Postbearbeitung. Xtendis schaltet insgesamt über 2,6 Milliarden Dokumente für mehr als 4 Millionen Nutzer frei.