serviceorganisatie

Een serviceorganisatie levert diensten aan andere organisaties en voert processen uit die van invloed kunnen zijn op de interne controles van die andere organisatie. Voorbeelden zijn IT-uitbesteding, dataverwerking, salarisadministratie en klantenservicecentra. De klant blijft verantwoordelijk voor het ontwerp, de implementatie en de werking van haar eigen controles, maar kan bepaalde controles uitbesteden aan de serviceorganisatie door middel van outsourcing, cloud-diensten of shared services.

Een belangrijk kenmerk is dat de output of de deliverables van de serviceorganisatie input kunnen leveren voor de controles van de klant, bijvoorbeeld via data, rapportages of transactieverwerking. Daarom is goede governance en duidelijke afspraken in de dienstverlening cruciaal. De kans op risico’s zoals beveiligingsinbreuken, datalekken of downtime kan toenemen als controles ontbreken of onvoldoende zijn afgestemd.

Typen dienstverlening omvatten IT-infrastructuur en software as a service (SaaS); data- en procesverwerking; payroll en HR-diensten; klantenservice en contactcenters; en logistieke uitbesteding. Dergelijke dienstverleners kunnen belangrijke effecten hebben op de betrouwbaarheid van de klant.

Controle en rapportage: bedrijven beoordelen risico’s via controles bij de serviceorganisatie. Veelgebruikte vormen van assurance zijn ISAE 3402- of SOC-rapporten (SOC 1 voor financiële rapportage, SOC 2 voor trust service criteria). Type 1 geeft een momentopname weer; Type 2 omvat de werking over een periode. Klanten kunnen deze rapporten gebruiken als onderdeel van hun vendor risk management. Het contract moet ook controles, beveiliging, beschikbaarheid, toegangsbeheer en incidentrespons specificeren.

Beheer en samenwerking: effectief leveranciersmanagement vereist due diligence vooraf, duidelijke contractuele verplichtingen, toezicht op wijzigingsbeheer en incidentmelding, en periodieke monitoring van de dienstverlening en naleving.