Palveluorganisaatioiden taloudellisen raportoinnin luotettavuus on tänä päivänä keskeinen tekijä asiakkaiden valitessa palveluntarjoajaa. ISAE-varmennus luo kilpailuetua ja takeen siitä, että palvelukeskuksen tai tilitoimiston hoitamat prosessit ovat laatuvaatimusten mukaisia, tehokkaita ja toimivia.
ISAE-varmennuksella tarkoitetaan tilitoimistojen ja kirjanpitopalveluita tuottavien palvelukeskusten sisäisen valvontaympäristön sekä talous- ja henkilöstöhallinnon prosessien ja niiden kontrollien varmentamista. Sillä arvioidaan näiden prosessien laatua ja toiminnan tehokkuutta. Järjestelmäkohtainen varmennus voidaan tehdä yhteen tai useampaan järjestelmään prosessikohtaisesti. Varmennus voidaan toteuttaa toimipaikkakohtaisesti niin, että mikäli yrityksellä on useita eri toimipisteitä, testauksiin otetaan tapahtumia eri toimipisteistä ja tarkistetaan, toimivatko prosessit ja kontrollit kaikissa toimipisteissä samalla tavalla. Näin voidaan havaita mahdolliset toimipaikkakohtaiset puutteet ja viedä niihin parhaat tavat toimia.
Keskitetyn varmennuksen tekee valittu ulkopuolinen taho, joko yrityksen oma tai muu riippumaton tilintarkastaja, joka käy läpi palveluorganisaation laatimat kontrollikuvaukset varmennukseen valitusta prosessista ja järjestelmästä, sekä organisaation valvontaympäristöstä. Itse varmennusraportilla palveluorganisaatiolta edellytetään kirjallista kannanottoa siitä, että varmennettu prosessi ja siinä käytössä olleet kontrollit on esitetty kuvauksessa todenmukaisina ja kontrollit ovat olleet käytössä tiettynä ajanjaksona.
Tilintarkastaja todentaa prosessit varmennuksen aikana haastatteluin sekä havainnoimalla kontrollien asianmukaisuuden ja olemassaolon. Kontrollien olemassaolosta voidaan antaa niin sanottu Type 1- lausunto, mutta useimmat organisaatiot haluavat hyödyllisemmän Type 2- lausunnon. Sen saamiseksi tilintarkastaja täydentää edellä mainittuja tietoja testaamalla kontrollien tehokkuuden vähintään kuuden kuukauden ajalta. Tilintarkastajan laatima varmennusraportti sisältää kohtuullisen varmuuden antavan johtopäätöksen edellä mainituista seikoista, sekä kuvauksen kontrollien testauksesta ja tuloksista. Jos ISAE-varmennusta ei tehdä, palvelukeskuksen hoitamien yksittäisten asiakkaiden tilintarkastajien tulisi kunkin tehdä erikseen keskeisten kontrollien testausta palvelukeskuksessa oman asiakkaansa tapahtumiin liittyen.
Palvelukeskuksen hoitamien asiakkaiden tilintarkastajat tarvitsevat varmennusraporttia vuosittain viimeistään seuraavan tilikauden alussa. Hyvä hetki aloittaa varmennusprosessi on keväällä suurimman tilinpäätöskiireen jälkeen, jolloin itse varmennustyöhön voidaan parhaassa tapauksessa päästä jo saman vuoden loppupuolella.
Ajankohtaiseksi ISAE-varmennus voi tulla myös silloin, kun yritys haluaa yleisesti käydä läpi prosessejaan, ottaa uuden järjestelmän käyttöön tai päivitettäessä järjestelmäversiota.
ISAE-varmennuksen hyödyt palveluorganisaatioille
Kun yritys harkitsee lähtemistä ISAE-varmennusprosessiin, sen ylimmän johdon on oltava siihen sitoutunut ja motivoitunut. Prosessi sitoo organisaation henkilöresursseja varmennukseen liittyvien prosessien ja kontrollien kuvaukseen ja mahdolliseen kehitystyöhön. Etuna varmennusprosessin aloittamisesta on, että kuvausvaiheessa havaitaan usein kehityskohteita, puuttuvia kontrolleja tai turhia tuplakontrolleja. Palveluorganisaatio voi siten matkan varrella joutua muuttamaan ja tehostamaan noudatettavia prosesseja. Varmennus auttaa siis tehostamaan rutiininomaisia talous- ja henkilöstöhallinnon prosesseja sekä työtehtäviä järkevämmiksi ja toimivammiksi, millä voidaan motivoida myös prosessissa mukana olevaa henkilöstöä.
ISAE-varmennus antaakin organisaatiolle usein paljon enemmän kuin pelkän raportin ja se toimii hyvänä lähtökohtana organisaation kehittämiselle. Esimerkiksi eräälle vuosia testaamallemme asiakkaalle prosessien läpikäynti on mahdollistanut omalta osaltaan sen, että he ovat voineet ottaa lisää asiakkaita. Tämä kertoo siitä, että työtä on pystytty järkevöittämään.
Organisaation lähtötila eli yrityksessä jo olemassa olevat tai puuttuvat kontrollit ja kuvaukset vaikuttavat varmennusprosessiin ja sen kestoon. Mikäli prosessit ja niissä olevat kontrollit on kuvattu jo alun perin kattavasti, ISAE-varmennus on yritykselle pienitöisempi. Jos taas asianmukaiset kontrollit eivät ole olleet lähtötilanteessa voimassa, ne on otettava käytäntöön ennen varmennuksen alkamista. Lähtötilanteesta riippuen projekti voi siten kestää puolesta vuodesta puoleentoista.
ISAE-varmennuksella palveluorganisaatio saa varmuuden omien prosessiensa toiminnasta ja tehokkuudesta. Se tuo kilpailuetua tilitoimistoille, sillä varmennusta ei ole tehty vielä kattavasti tilitoimistokentässä. Valvontaympäristön ja prosessien todentamisesta on hyötyä uusasiakashankinnassa, kun yritys voi osoittaa, että sillä on toimivat prosessit. Asiakkaille ISAE-varmennus on puolestaan tae toimijan luotettavuudesta sekä siitä, että palveluntuottajan hoitamat prosessit ovat laatuvaatimusten mukaisia.
ISAE 3402 -varmennus
ISAE 3402, eli International Standard on Assurance Engagement on kansainvälinen varmennusstandardi, jonka International Auditing and Assurance Standard Board (IAASB) julkaisi vuonna 2009.
ISAE 3402 tarkoittaa palveluorganisaation kontrolleja koskevia varmennusraportteja.