Wat is SAS 70

SAS 70 is een internationaal erkende norm die de interne controle van een dienstverlenende organisatie beoordeeld. SAS staat voor Statement on Auditing Standards en is ontwikkeld door het American Institute of Certified Public Accountants (AICPA). Een SAS 70 verklaring is bijvoorbeeld vaak vereist voor organisaties die aan de Sarbanes-Oxley Act van 2002 (SOx) moeten voldoen.

Een SAS70 – verklaring geeft aan:

- of de beheersingsmaatregelen van een serviceorganisatie correct zijn beschreven
- of de beheersingsmaatregelen van een serviceorganisatie qua opzet effectief zijn
- of de beheersingsmaatregelen van een serviceorganisatie in gebruik zijn op een specifiek moment
- of de beheersingsmaatregelen van een serviceorganisatie effectief werken gedurende een specifieke periode (alleen type II verklaring)

Steeds meer bedrijven besteden delen van hun activiteiten uit aan andere bedrijven. Vaak om zich meer te richten op hun eigen core activiteiten, de kosten te drukken of om meer flexibiliteit in hun eigen dienstverlening te creëren. Het is een strategische keuze geworden.

Bedrijven die activiteiten uitbesteden, willen of moeten zelfs zekerheid hebben dat de uitvoerende partij, de service organisatie, zijn interne controle op orde heeft. Met een internationaal geaccepteerde SAS 70 – verklaring kan zo’n service organisatie weer aan zijn klanten laten zien dat dit het geval is. Steeds meer wordt de SAS 70 – verklaring dan ook een marketinginstrument om aan (potentiële) klanten te laten zien dat de interne controle op orde is.

De SAS70 norm richt zich op de financiële verslaglegging en is dus beperkt tot de beheersingsmaatregelen voor de verwerking van financiele transacties. Dit is een verschil met de recentere ISAE3402 norm.

De SAS70 norm is een audit norm en niet een voorgedefinieerde set van normen waaraan bepaalde binnen de bedrijfsprocessen van de  serviceorganisatie getroffen maatregelen van beheersing moeten voldoen. De vaststelling van de scope van een audit is daarom ook een essentieel onderdeel binnen het audittraject. De serviceorganisatie blijft verantwoordelijk voor de beschrijving van de beheersingsmaatregelen waarop de SAS70 – verklaring van toepassing is.