Een klant vraagt om een ‘Type 2’, terwijl jouw organisatie nog bezig is met het inrichten van de beheersmaatregelen. Of je hebt een Type 1-rapport en vraagt je af wanneer de stap naar Type 2 logisch is. Het verschil lijkt klein, maar heeft grote gevolgen voor planning, bewijsvoering en de volwassenheid die je moet laten zien.
De kern is tijd. Type 1 geeft zekerheid op een specifieke datum. Type 2 voegt daar bewijs over de werking gedurende een afgesproken periode aan toe.
Direct antwoord: wat is Type 1 versus Type 2?
Een Type 1-rapport beoordeelt de relevante beschrijving en het ontwerp van beheersmaatregelen op een specifieke datum. Een Type 2-rapport omvat daarnaast tests van de werking van beheersmaatregelen gedurende een afgesproken periode. Daardoor vraagt Type 2 om stabiele processen en consistent bewijs over tijd.
Waarom bestaan er twee typen?
Een organisatie kan controls goed hebben ontworpen zonder dat al bewezen is dat zij langere tijd consequent worden uitgevoerd. Type 1 is geschikt om op een bepaald moment zekerheid te geven over de ingerichte beheersing. Type 2 gaat een stap verder en toetst de operationele werking over een periode.
Dat onderscheid komt terug in verschillende service-organization assurance-rapportages. De precieze formulering en criteria hangen af van het gekozen kader, zoals ISAE 3402 of SOC 2.
Wat vraagt Type 1 in de praktijk?
Bij Type 1 moet de organisatie een duidelijke scope, beschrijving van diensten en beheersmaatregelen hebben. De auditor beoordeelt of de controls passend zijn ontworpen voor de relevante doelstellingen en of zij op de rapportagedatum bestaan zoals beschreven.
Dat maakt Type 1 vaak bruikbaar als eerste formele stap wanneer een organisatie haar control framework net heeft gestabiliseerd. Het is geen ‘lichte’ variant zonder inhoud: de opzet moet deugdelijk en aantoonbaar zijn.
Wat voegt Type 2 toe?
Type 2 kijkt niet alleen naar het ontwerp, maar ook naar de uitvoering gedurende de afgesproken periode. De auditor selecteert tests en beoordeelt bewijs waarmee kan worden vastgesteld of controls consequent hebben gewerkt.
Een control die voorschrijft dat toegangsrechten ieder kwartaal worden beoordeeld, moet dan bijvoorbeeld met meerdere reviewmomenten, besluiten en opvolging aantoonbaar zijn. Eén perfect ingevuld formulier vlak voor de audit is onvoldoende.
Hoe lang moet de Type 2-periode zijn?
Er bestaat geen verstandig generiek antwoord dat voor iedere assurance-opdracht hetzelfde is. De periode wordt bepaald door het relevante rapportagekader, de informatiebehoefte van gebruikers en de afspraken in de opdracht.
Plan daarom niet op basis van een internetregel als ‘Type 2 is altijd minimaal zes maanden’. Bespreek de gewenste rapportageperiode tijdig met de accountant of assurance practitioner en stem implementatie, bewijsopbouw en klantdeadline daarop af.
Wanneer is Type 1 logisch?
Type 1 kan logisch zijn wanneer een klant snel onafhankelijke zekerheid nodig heeft terwijl de nieuwe beheersing nog geen volledige rapportageperiode heeft doorlopen. Ook kan het een tussenstap zijn om de scope, beschrijving en controlset te valideren voordat een Type 2-periode start.
Wel moet je vooraf checken of de klant Type 1 accepteert. Als contractueel Type 2 is geëist, lost een Type 1-rapport dat niet automatisch op.
Wanneer is Type 2 logisch?
Type 2 past wanneer de afnemer wil weten of controls structureel werken. Dat is vooral relevant bij langdurige uitbesteding, kritieke IT-diensten, financiële processen of andere situaties waarin een klant op jouw beheersing vertrouwt.
De stap vraagt operationele discipline. Controls moeten niet alleen beschreven zijn, maar in de normale bedrijfsvoering bewijs opleveren.
Bewijsvoering moet onderdeel van het proces worden
Een veelvoorkomende fout is dat bewijs pas voor de audit wordt verzameld. Bij Type 2 werkt dat slecht, omdat de audit juist naar een periode kijkt. Bouw daarom per control vooraf in welk bewijs ontstaat: logbestanden, reviews, tickets, goedkeuringen, rapportages of notulen.
Dat maakt assurance bovendien nuttiger voor de organisatie zelf. Als bewijs automatisch of logisch uit het proces voortkomt, weet het management ook tussentijds of de control werkt.
Hoe KAM helpt bij de voorbereiding
Wij kunnen helpen om de klantvraag te vertalen naar een passende scope, control framework en implementatieplanning. Voor een Type 2-traject rekenen we terug vanaf de gewenste rapportagedatum: wanneer moeten controls operationeel zijn, wanneer start de bewijsperiode en wanneer is ruimte voor een pre-assessment of GAP-analyse?
Zo voorkom je dat een rapportagedatum al vaststaat terwijl de processen nog onvoldoende bewijs kunnen leveren.
Van Norm naar Groei
Type 2 is geen doel op zichzelf. De echte waarde ontstaat wanneer de controlcyclus de organisatie beter bestuurbaar maakt. Herhaalbare reviews, heldere eigenaars en bruikbaar bewijs verminderen niet alleen auditstress, maar versterken ook risicobeheersing.
Dat is Van Norm naar Groei: assurance gebruiken om processen volwassener te maken, niet om achteraf een dossier te bouwen.
Logische volgende stap
Weet je dat een klant Type 2 verlangt? Start dan niet bij de auditdatum, maar bij de benodigde werkingsperiode. Breng controls, eigenaarschap en bewijs eerst op orde en plan daarna de assuranceperiode realistisch.
Veelgestelde vragen
Wat is een Type 1 assurance-rapport?
Een Type 1-rapport beoordeelt onder meer het ontwerp van relevante controls op een specifieke datum, afhankelijk van het gekozen rapportagekader.
Wat is een Type 2 assurance-rapport?
Type 2 beoordeelt daarnaast de operationele werking van controls gedurende een afgesproken periode.
Is Type 2 altijd beter?
Niet automatisch. Type 2 geeft meer bewijs over werking over tijd, maar de juiste keuze hangt af van de klantvraag en het doel van het rapport.
Is er een vaste minimale Type 2-periode?
Niet als universele regel voor alle assurance-opdrachten. Stem de periode af met de practitioner en het relevante kader.
Kun je direct met Type 2 starten?
Ja, als scope en controls tijdig stabiel zijn en gedurende de afgesproken periode voldoende bewijs kunnen leveren.
