Tabella comparativa: ISAE 3402 vs SOC 1
| Dimensione | ISAE 3402 | SOC 1 |
|---|---|---|
| Giurisdizione | Europa e paesi IFAC; riconosciuto a livello internazionale | Primariamente USA; sempre più riconosciuto a livello globale |
| Organo di normazione | IAASB (International Auditing and Assurance Standards Board) | AICPA (American Institute of Certified Public Accountants) |
| Framework di controllo | COSO o framework di controllo interno del paese | Framework AICPA specifico (gestione dei rischi, controlli preventivi e detective) |
| Tipo di relazione | Tipo I (momento specifico nel tempo); Tipo II (periodo di tempo) | Tipo I (momento specifico); Tipo II (periodo di tempo) |
| Periodo minimo | 6 mesi per Tipo II | 6 mesi per Tipo II (in genere 12 mesi per accettazione da parte dei clienti) |
| Periodo di transizione | Non richiesto | Generalmente 3-6 mesi (il client valuta prima di accettare) |
| Accettazione globale | Standard in Europa, paesi IFAC, Canada, Australia, NZ | Standard negli USA; crescente accettazione in APAC e EMEA per fornitori americani |
| Costo e complessità | Generalmente più economico; meno oneri di transizione | Più costoso; oneri di transizione più elevati per il client |
Quando la differenza conta realmente in un incarico
Un team di audit che valuta l'idoneità di un fornitore di servizi deve comprendere quale certificazione è applicabile e quale è il suo valore per la gestione del rischio. Se il cliente opera principalmente in Europa, l'ISAE 3402 è lo standard atteso. Se il cliente ha significative operazioni negli USA o è un'azienda americana, richiede SOC 1. Se il cliente opera in entrambe le giurisdizioni, il fornitore di servizi dovrebbe possedere entrambe le certificazioni.
La confusione tra ISAE 3402 e SOC 1 porta a due errori comuni:
- Non richiedere il certificato corretto per la giurisdizione: un revisore che valuta i controlli di un fornitore di servizi europeo accetta un SOC 1 Type II senza verificare che l'azienda ha anche l'ISAE 3402. L'ISA 402.13 richiede al revisore di valutare l'idoneità dei controlli del fornitore secondo la giurisdizione applicabile.
- Confondere i criteri di controllo: i principi di controllo interno in ISAE 3402 (tipicamente COSO) si differenziano dal framework AICPA utilizzato in SOC 1. Un revisore che accetta un SOC 1 come equivalente a un ISAE 3402 non valuta se i criteri utilizzati sono coerenti con le aspettative dei clienti del fornitore di servizi.
Esempio pratico: Servizi di outsourcing contabile
Cliente: Tessuti Trentini S.p.A., azienda manifatturiera basata in Italia con filiale negli USA, gestisce il ciclo contabilità tramite un fornitore di servizi internazionale. L'outsourcer ha sia certificazione ISAE 3402 che SOC 1.
Passaggio 1: Identificare quale certificazione valutare
Tessuti Trentini opera principalmente in Italia e in Europa, con una filiale minore negli USA. Per le operazioni europee, il revisore richiede l'ISAE 3402. Per la filiale americana, valuta il SOC 1 Type II del fornitore. Nota di documentazione: nel memorandum di pianificazione, il revisore dichiara quale certificazione è stata valutata, quale periodo copre e quale giurisdizione copre.
Passaggio 2: Verificare il periodo di copertura del certificato
L'ISAE 3402 Type II del fornitore copre il periodo dal 1° gennaio 2024 al 30 giugno 2024 (sei mesi). Il SOC 1 Type II copre il periodo dal 1° gennaio 2024 al 31 dicembre 2024 (12 mesi, come atteso dai clienti americani). Nota di documentazione: il revisore registra le date di copertura di ciascun certificato nel fascicolo di lavoro e verifica che coprano il periodo di revisione dell'azienda.
Passaggio 3: Valutare il livello di affidabilità
L'ISAE 3402 valuta i controlli rispetto ai principi di controllo interno COSO relativi ai processi contabili del fornitore. Il certificato indica che i controlli erano efficaci durante il periodo e che non sono stati rilevati difetti significativi. Il SOC 1 Type II valuta i controlli secondo il framework AICPA per la gestione dei rischi e la prevenzione dei rischi di errore. Nota di documentazione: il revisore registra quale livello di affidabilità può essere assegnato al fornitore basandosi su ciascun certificato. Generalmente, un ISAE 3402 Type II o SOC 1 Type II consente al revisore di pianificare procedure di validità a un livello di affidabilità da moderato a elevato, a seconda della natura dei controlli e della coerenza del loro funzionamento.
Passaggio 4: Integrare con i test di controllo del revisore
Anche con certificazioni valide, l'ISA 402.18 richiede al revisore di svolgere procedimenti di validità su un campione dei controlli nel fascicolo di lavoro. Il revisore seleziona quindi alcuni dei controlli critici descritti nel certificato ISAE 3402 (ad esempio, riconciliazione mensile dei conti di payable, approvazione delle fatture) e ripete un campione di transazioni per verificare che i controlli fossero effettivamente efficaci. Nota di documentazione: il revisore documenta quali controlli sono stati testati, quali campioni sono stati selezionati e quali risultati sono stati ottenuti. Se il controllo ha funzionato per tutte le transazioni campionate, il revisore può concludere che il controllo era efficace. Se sono state riscontrate eccezioni, il revisore valuta se quelle eccezioni influenzano il rischio di errore significativo.
Conclusione: La differenza tra ISAE 3402 e SOC 1 non è una differenza di rigore (entrambi sono certificazioni affidabili), ma una differenza di giurisdizione e framework di controllo. Un revisore che comprende quale certificazione applicare e quale periodo copre può pianificare il livello di affidabilità sui controlli del fornitore in modo accurato e documentare la decisione nel fascicolo.
Cosa gli uffici di revisione e i professionisti sbagliano
- Non richiedere il certificato della giurisdizione corretta: molti team accettano un SOC 1 come prova sufficiente per valutare un fornitore di servizi europeo, senza verificare che il fornitore ha anche l'ISAE 3402. Sebbene il SOC 1 sia riconosciuto a livello globale, l'ISAE 3402 e lo standard atteso in Europa e fornisce una valutazione secondo i criteri di controllo europei. Questo errore riduce l'affidabilità della valutazione del controllo.
- Confondere il periodo di transizione: un revisore pianifica i test di controllo su un fornitore di servizi basandosi su un certificato ISAE 3402 Type II che era vigente solo per i primi sei mesi dell'anno. I test dovrebbero coprire almeno un periodo equivalente. Se il certificato non copre l'intero anno di revisione, il revisore deve svolgere ulteriori test di controllo oppure accettare un livello di affidabilità piu basso sui controlli successivi ai sei mesi iniziali. ISA 402.16 richiede che il revisore consideri il periodo durante il quale i controlli del fornitore sono stati in funzione.
- Accettare un certificato scaduto o in corso di rinnovo: alcuni team non verificano la data di scadenza della certificazione. Se un ISAE 3402 Type II era vigente dal 1° gennaio al 30 giugno 2024 ma la revisione e svolta nel gennaio 2025, il certificato non copre piu il periodo di revisione. Il revisore deve acquisire una nuova certificazione oppure svolgere test di controllo per il periodo successivo.
Glossario correlato
---
- Fornitore di servizi (Service Organization) - Un'entità che fornisce servizi a aziende clienti, come outsourcer contabile, fornitore di servizi di gestione dei sistemi informativi, oppure fornitore di elaborazione dati; sottoposto a valutazione secondo ISA 402
- COSO Framework - Framework di controllo interno utilizzato da molti fornitori di servizi come base per la valutazione dei controlli in ISAE 3402
- Framework AICPA - Framework di gestione dei rischi e controlli utilizzato da fornitori di servizi americani per la certificazione SOC 1
- Relazione Type I e Type II - Sia ISAE 3402 che SOC 1 emettono relazioni Type I (punto specifico nel tempo) e Type II (periodo di tempo); Type II e generalmente piu affidabile perché copre un periodo
- Attestazione (Assurance Engagement) - L'ISAE 3402 e un engagement di attestazione che fornisce una conclusione sull'idoneità dei controlli interni di un fornitore di servizi