Amsterdam telt duizenden ondernemingen die dagelijks gevoelige data verwerken voor klanten. Van salarisadministrateurs in Zuidoost tot cloudproviders op de Zuidas: zodra een organisatie gegevens beheert namens opdrachtgevers, groeit de druk om aan te tonen dat die data veilig is. Die druk komt niet alleen vanuit wetgeving, maar ook steeds vaker vanuit zakelijke partners die harde garanties eisen.

De vraag naar onafhankelijke IT-audits is de afgelopen jaren merkbaar toegenomen. Waar een beveiligingsscan vijf jaar geleden nog volstond als geruststelling, verwachten opdrachtgevers in 2026 een formele assuranceverklaring. Vooral serviceorganisaties merken dit: hun klanten willen zwart op wit zien dat processen, systemen en toegangsbeheer op orde zijn.

Een veelgevraagd instrument daarbij is de ISAE 3402-verklaring. Dit is een internationale standaard waarmee een onafhankelijke auditor beoordeelt of de interne beheersingsmaatregelen van een serviceorganisatie daadwerkelijk effectief zijn. Denk aan een salarisverwerker die voor tientallen werkgevers de loonadministratie verzorgt, of een hostingpartij die financiele applicaties draait voor externe klanten. De verklaring geeft hun opdrachtgevers de zekerheid die ze nodig hebben voor hun eigen jaarrekening en risicobeheersing.

Wat een IT-audit precies oplevert

Bij een IT-audit onderzoekt een gecertificeerde auditor hoe een organisatie haar informatiesystemen heeft ingericht, welke risico's er bestaan en of de getroffen maatregelen die risico's daadwerkelijk afdekken. Het gaat verder dan een checklist afvinken. Het resultaat is een rapport met bevindingen en, bij voldoende volwassenheid, een assuranceverklaring.

Voor Amsterdamse dienstverleners die werken met grote opdrachtgevers of overheidsinstanties is zo'n verklaring vaak een harde eis bij aanbestedingen. Zonder onafhankelijke toetsing van IT-processen vallen ze buiten de boot. Dat geldt niet alleen voor technologiebedrijven, maar ook voor accountantskantoren, administratiekantoren en facilitaire dienstverleners die toegang hebben tot vertrouwelijke systemen.

De ISAE 3402-verklaring kent twee typen. Type I beoordeelt de opzet van maatregelen op een enkel moment, type II toetst of die maatregelen gedurende een langere periode daadwerkelijk hebben gewerkt. Opdrachtgevers hechten doorgaans meer waarde aan type II, omdat het een beeld geeft van de dagelijkse praktijk in plaats van een momentopname.

Privacywetgeving als extra drijfveer

Naast de vraag vanuit opdrachtgevers speelt ook de Algemene Verordening Gegevensbescherming een belangrijke rol. De AVG verplicht organisaties om passende technische en organisatorische maatregelen te nemen voor de bescherming van persoonsgegevens. Een privacyaudit toetst of een organisatie die verplichting in de praktijk waarmaakt.

In een stad waar sectoren als fintech, gezondheidszorg en juridische dienstverlening sterk vertegenwoordigd zijn, is de hoeveelheid persoonsgegevens die dagelijks wordt verwerkt enorm. De Autoriteit Persoonsgegevens heeft de afgelopen jaren meerdere boetes opgelegd aan organisaties die hun beveiliging niet op orde hadden. Dat maakt een periodieke audit niet alleen verstandig, maar ook een manier om boetes en reputatieschade voor te zijn.

Bureaus die zich specialiseren in IT-audits, zoals het Bredase 2-Control, combineren vaak een ISAE 3402-traject met een privacyaudit in een enkel project. Dat scheelt tijd en kosten, omdat veel beheersingsmaatregelen overlap vertonen. Voor organisaties die met ERP-systemen als Microsoft Dynamics Business Central werken, kan een auditor bovendien specifiek het autorisatiebeheer binnen die omgeving beoordelen.

Waar je op let bij het kiezen van een auditor

Niet elke IT-auditor heeft dezelfde kwalificatie. In Nederland zijn Register EDP-Auditors (RE) en CISA-gecertificeerden de professionals met een erkend diploma. De beroepsorganisatie NOREA houdt toezicht op de beroepsstandaarden van deze auditors, wat een extra waarborg biedt voor kwaliteit.

Een pragmatische aanpak maakt daarbij verschil. Sommige bureaus hanteren een vast stappenplan: een vooronderzoek om de scope te bepalen, een fase waarin eventuele tekortkomingen worden opgelost, een eindaudit en tot slot het rapport met de formele verklaring. Dat voorkomt verrassingen en geeft de organisatie de kans om verbeteringen door te voeren voordat de definitieve toetsing plaatsvindt.

Amsterdamse bedrijven die hun IT-beheersing willen professionaliseren, beginnen vaak met een verkennend gesprek met een auditkantoor. Dat hoeft niet meteen te resulteren in een volledige ISAE 3402-verklaring. Soms blijkt een compacte compliance-scan voldoende om de belangrijkste risico's in kaart te brengen en gericht actie te ondernemen.