Was ist SSAE 18? Ein vollständiger Überblick über den Standard

Die meisten Unternehmen verlassen sich heutzutage auf die Cloud, und es kann eine Herausforderung sein, sicherzustellen, dass Daten – seien es Gehaltsabrechnungsinformationen, Cloud-Dateien oder andere sensible Daten – gut geschützt und organisiert bleiben. 

Hier greift das American Institute of Certified Public Accountants (AICPA) mit seinen SOC-1-Bescheinigungsanforderungen. Ursprünglich in Formularen wie SSAE 18 und SSAE 16 kodifiziert, aber nun durch SOC 1 aktualisiert, bieten diese Vorschriften die Gewissheit, dass ein Unternehmen seine Geschäftstätigkeit verantwortungsvoll überwacht. 

In diesem Artikel wollen wir genauer darauf eingehen, was SSAE 18 ist und ob es noch erforderlich ist.

Was ist SSAE 18?

Die Erklärung zu Standards für Prüfungsaufträge 18 (SSAE 18) wurde vom American Institute of Certified Public Accountants (AICPA) erstellt. Der Prüfungsstandardsausschuss der Organisation hat sie zur Bewertung von Dienstleistungsunternehmen formuliert. 

Wenn ein Unternehmen Dienstleistungen erbringt, die sich auf die Finanzberichte eines anderen Unternehmens auswirken könnten, kann es eine Prüfung beantragen, um die Vorschriften und Standards von SSAE 18 einzuhalten.

SSAE Nr. 18 legt klare Standards fest, die von Wirtschaftsprüfern (Certified Public Accountants, CPAs) bei der Durchführung von Bestätigungsaufträgen zu befolgen sind, um sicherzustellen, dass ihre Berichterstattung über Finanzinformationen korrekt und vertrauenswürdig ist. 

Der Zweck von SSAE 16

Der von der AICPA veröffentlichte Standard SSAE 16 dient der Bereitstellung eines umfassenden Rahmens zur Beurteilung der internen Kontrollen der Finanzberichterstattung (ICFR) von Dienstleistungsorganisationen. Dadurch wird den Kunden bzw. Nutzern dieser Dienstleistungen die Gewissheit gegeben, dass relevante Kontrollmechanismen für die Finanzberichterstattung vorhanden sind.

Im Jahr 2016 ersetzte das AICPA jedoch den SSAE Nr. 16 durch den SSAE Nr. 18. Der SSAE 18 ist einfach gehalten und wurde nicht nur für SOC-1-Audits entwickelt.
Tatsächlich umfasst der neue Standard ein erweitertes Spektrum an Beglaubigungsdienstleistungen, darunter SOC 2-Audits die Organisationen, die ihre Finanzqualität, Sicherheit, Vertraulichkeit im Betrieb, Verfügbarkeit und Datenschutzfähigkeiten besser verstehen möchten, tiefere Einblicke bieten. 

Mit dem Wechsel von SSAE 16 zu SSAE 18 wurde klargestellt, wie Organisationen ihre Serviceleistung messen und darüber berichten.

Der Prüfungsnormenausschuss des AICPA konzentriert sich auf die Kontrollen von Informationssystemen und der Finanzberichterstattung und gibt Wirtschaftsprüfern alle Instrumente an die Hand, die sie benötigen, um zu beurteilen, ob der Bericht mit den Angaben ihrer Mandanten übereinstimmt. 

SSAE 18 vs SSAE 16: Wichtigste Unterschiede

Der Hauptunterschied zwischen SSAE 18 und SSAE 16 besteht darin, dass SSAE 18 SSAE 16 mit Wirkung zum 1. Mai 2017 ablöst. Während sich SSAE 16 hauptsächlich auf SOC-1-Berichte konzentriert, die sich auf die Finanzberichterstattung von Kunden auswirken, integriert und umfasst SSAE 18 alle vorherigen AICPA-Standards, um über SOC 1 hinauszugehen und auch andere Bestätigungsberichte abzudecken.

Hier sind die 6 wichtigsten Unterschiede im Detail:

• Der langjährige SSAE-16-Standard wurde überarbeitet und auf das neue Akronym SOC aktualisiert. Anstelle von „Service Organization Control“ steht er nun für „System and Organizational Controls“ (System- und Organisationskontrollen) – und ermöglicht es Unternehmen weltweit, dieses umfassende Rahmenwerk sowohl auf System- als auch auf Unternehmensebene anzuwenden!

• Der SSAE-16-Standard umfasste zuvor ergänzende Anwender- und Entitätskontrollen, die sowohl notwendig als auch unnötig für das Erreichen der vom Management festgelegten Ziele waren. Der neu eingeführte SSAE-18-Standard hat diese Definition jedoch angepasst und umfasst nun ausschließlich die Kontrollen, die zur Erfüllung der vom Management festgelegten Kontrollobjektivität erforderlich sind.

• Der neue SSAE-18-Standard legt den Schwerpunkt auf die Risikobewertung und stellt strengere Anforderungen an die Bewertung externer Kontrollprozesse in Anwenderorganisationen und Unterorganisationen.

• SSAE-18 hat die Anforderungen an eine Management-Erklärung verschärft, indem es nunmehr deren Unterzeichnung und die Anerkennung als verantwortliche Person für die Beschreibung einer Organisation vorschreibt. Der vorherige Standard SSAE 16 verlangte zwar die Abgabe einer Erklärung durch das Management, die Unterzeichnung musste jedoch überarbeitet werden.

• Der neue SSAE-18-Standard hat die Berichtssprache grundlegend verändert. Die eingeführten Überarbeitungen berücksichtigen die sich ständig wandelnden Rahmenbedingungen und Faktoren der Kontrollen von Anwender- und Unterorganisationen. Das Management Assertion Letter und der Bericht des Service Auditors spiegeln diese Entwicklungen nun wider und bieten den Stakeholdern ein beispielloses Maß an Genauigkeit.

• Die Einführung des neuen SSAE-18-Standards bringt eine Veränderung der Erwartungen an die Kontrolle der Abhängigkeit von Organisationen von Sub-Dienstleistern mit sich. 

Ergänzende Kontrollmechanismen für Tochtergesellschaften und Lieferantenmanagementprozesse ermöglichen es Unternehmen, ihre Beziehungen zu Dienstleistern genau zu überwachen und sicherzustellen, dass die in der Beschreibung des Managements festgelegten Kontrollziele bestmöglich erreicht werden. Zu diesen Aktivitäten der Lieferantenüberwachung gehören:

• Überprüfung und Abgleich der Ausgabeberichte 
• Regelmäßige Gespräche mit der Unterorganisation
• Prüfung der Kontrollmechanismen in der Suborganisation durch Mitglieder der internen Revisionsabteilung der Serviceorganisation
• Prüfung von Berichten des Typs 1 oder Typs II über das System der Unterdienstleistungsorganisation und Überwachung der externen Kommunikation (Kundenbeschwerden im Zusammenhang mit den von der Unterdienstleistungsorganisation erbrachten Dienstleistungen).

Ist SSAE 18 noch relevant?

Ja, SSAE 18 ist nach wie vor relevant. Am 1. Mai 2017 wurde der neue SSAE-18-Standard „Gemeinsame Konzepte für alle Bescheinigungsleistungen“ eingeführt, um den langjährigen SSAE-16-Standard zu ersetzen. 

Viele professionelle Dienstleistungsorganisationen haben die Änderung zur Kenntnis genommen und erkannt, dass der neue SSAE-18 mit Blick auf den Anwender entwickelt wurde und auf den aktuellen Anforderungen und Richtlinien des Abschnitts 320 der Attestation Standards basiert. 

Mit der Einführung von SSAE-18 können die Anwender nun sicher sein, dass Organisationen für die Bereitstellung hochwertiger Unterstützung für die interne Kontrolle der Finanzberichterstattung verantwortlich gemacht werden.

SSAE 18-Auditprozess und -anforderungen

Sie kennen inzwischen die wichtigsten Änderungen, die in SSAE 18 eingeführt wurden. Hier erfahren Sie, was Sie tun müssen, um sich auf SSAE 18 vorzubereiten, damit Sie bei der offiziellen Prüfung nicht ratlos dastehen.

Hier sind die 3 Implementierungsschritte von SSAE 18:

Schwerpunkt auf Risikobewertung und Verantwortung 

Gemäß diesem neuen Standard sind Sie nun verpflichtet, bei der Erstellung Ihres SOC-Berichts eine Risikobewertung durchzuführen . Sie müssen das Konzept des „Risikos wesentlicher Falschdarstellungen“ und dessen Folgen verstehen.

Das Risiko einer wesentlichen Falschdarstellung besteht, wenn der Gegenstand und/oder die Aussage des Managements als Bestandteil des SOC-Berichts einer korrekten Darstellung bedarf, was zu erheblichen Konsequenzen führen könnte. 

Tatsächlich lag diese Verantwortung traditionell beim Service-Auditor; diese Pflicht wurde jedoch inzwischen auf die verantwortliche Partei – die Organisation – verlagert. 

So können Sie Verantwortung übernehmen, indem Sie die mit den Kontrollzielen und den von Ihnen erstellten Kontrollen verbundenen Risiken proaktiv bewerten. Dies wiederum fördert die Verantwortlichkeit innerhalb von Organisationen und bietet gleichzeitig einen sicheren Rahmen für Systemprüfungen, der Transparenz und Vertrauen erhöht.

Jede Organisation ist einzigartig, und daher unterscheiden sich ihre Risikobewertungsprozesse in kleinen, aber wichtigen Details. 

Bei der Vorbereitung Ihres Managementteams auf die Entwicklung eines Vorgehens ist es wichtig, die richtigen Fragen zu stellen, um potenzielle Risiken zu identifizieren, die zu finanziellen Verlusten oder fehlerhafter Berichterstattung führen könnten. Zu diesen Fragen gehören:

• Wer ist dein Publikum?
• Welche Handlungen könnten zu finanziellen Verlusten und der Offenlegung sensibler Informationen führen und sollten einer umfassenderen Überprüfung unterzogen werden?
• Welche Maßnahmen könnten zu Störungen und längerfristigen Beeinträchtigungen des täglichen Betriebs führen?

Lieferanten vs. Subdienstleister  

Viele Unternehmen sind entweder auf Lieferanten oder Subunternehmen angewiesen. Obwohl die Nutzung dieser Organisationen nicht neu ist, ist es wichtig zu erkennen, dass die Unterschiede zwischen einem Lieferanten und einem Subunternehmen so groß sind, dass sie eine deutlich andere Überprüfung erforderlich machen.

Eine Suborganisation gilt als Einheit, die von einem anderen Dienstleister zur Erbringung der in seinem SOC-Bericht beschriebenen Dienstleistungen eingesetzt wird. Daher verfügt sie über weitreichende Befugnisse hinsichtlich der Einrichtung von Kontrollmechanismen in den Systemen ihrer Kunden. 

Andererseits liefern Anbieter in erster Linie Produkte oder Dienstleistungen, die nicht in direktem Zusammenhang mit der Erbringung der in ihrem Bericht aufgeführten Dienstleistungen für die Kunden stehen. 

Daher kann das Verständnis des Unterschieds zwischen einem Lieferanten und einer Subunternehmerorganisation sicherstellen, dass Sie die Qualitätsstandards zum Vorteil Ihres Kunden erfüllen.

Doch damit nicht genug: Eine gründliche Überprüfung der Dienstleistungen und Kontrollen eines Anbieters ist entscheidend, um festzustellen, ob es sich um eine für SOC1 relevante Subserviceorganisation handelt.

Fragen Sie sich: Ist die Funktion des Anbieters Teil der Systembeschreibung, oder ermöglichen seine Dienstleistungen das effektive Funktionieren der genannten Kontrollmechanismen? 

Wenn Sie diese Fragen mit Ja beantworten, bedeutet dies, dass der Lieferant tatsächlich in Ihre SOC-1-Bewertung einbezogen werden sollte.

Dies kann Ihnen helfen, potenzielle Risiken zu erkennen und stärkere interne Kontrollmechanismen für die Finanzberichterstattung Ihrer Nutzerbasis zu entwickeln. Die Einhaltung regulatorischer Anforderungen hat dabei natürlich stets oberste Priorität!

SSAE 18 Vorbereitungstipps:

• Stellen Sie sicher, dass Sie über alle relevanten Informationen verfügen und dass alle Beteiligten hinsichtlich neuer Kontroll- oder Prozessänderungen auf dem gleichen Stand sind. 
• Ziehen Sie in Betracht, so viele Besprechungen abzuhalten, wie nötig sind, um das gewünschte Ergebnis zu erzielen. Dazu muss das Management mit den Wirtschaftsprüfern, dem Abteilungsleiter, den für den Prozess verantwortlichen Mitarbeitern und allen anderen, die wertvolle Einblicke geben können, zusammentreffen. 
• Diskutieren Sie, welche Kontrollmaßnahmen sinnvoll sind und wie sie umgesetzt werden sollten, und berücksichtigen Sie dabei die Beiträge anderer Teilnehmer.
• Bevor Sie die Aufgaben endgültig festlegen, sollten Sie sich noch einmal mit denjenigen abstimmen, die die Aufgaben ausführen, um sicherzustellen, dass der Arbeitsablauf korrekt abgebildet wird. 
• Es ist äußerst wertvoll, vor Testbeginn ausreichend Zeit in die Festlegung der Kontrollmaßnahmen zu investieren. Oft wird dieser Prozess beschleunigt und vernachlässigt, wodurch viele Punkte offen bleiben, die sich beim Testen leicht zu einem großen Problem ausweiten können. Wenn die Kontrollmaßnahmen vor dem Test nicht vollständig abgestimmt sind und eine Abweichung festgestellt wird, ist es schwierig zu entscheiden, ob die Kontrollmaßnahme als fehlerhaft gilt oder ob sie so angepasst werden kann, dass sie den Prozess präzise abbildet. 
• Investieren Sie im Vorfeld etwas mehr Aufwand in die korrekte Absicherung Ihrer Prozesse, bevor Sie diese nach dem SSAE 18-Standard testen lassen.

Wenn Sie so weitermachen, können Sie sicher sein, dass Ihre Bedienelemente ordnungsgemäß funktionieren.

Vorteile von SSAE 18

Die Vorteile von SSAE 18 sind folgende:

• Die Einhaltung von SSAE 18 trägt maßgeblich zur Verbesserung Ihrer Datensicherheit und Systeme bei. Sie bietet eine unabhängige Bewertung Ihrer bestehenden Kontrollmechanismen und stellt sicher, dass Sie die Branchenstandards erfüllen. Dadurch wird das Risiko von Datenschutzverletzungen und anderen Sicherheitsvorfällen reduziert und Sie können Ihre Daten effektiver schützen.

• Die Einhaltung von SSAE 18 vereinfacht Audits durch die Bereitstellung eines standardisierten Rahmens zur Bewertung von Kontrollen. Dies erleichtert und beschleunigt die Prüfung verschiedener Organisationen und reduziert die damit verbundenen Kosten und Komplexität.

• Durch die Einhaltung der SSAE-18-Richtlinien erhalten Sie einen besseren Einblick in Ihre Systeme und Kontrollen. Dies hilft Unternehmen, die Funktionsweise ihrer Systeme zu verstehen und potenzielle Verbesserungsbereiche zu identifizieren.

• Die Einhaltung der SSAE-18-Standards belegt das Engagement eines Unternehmens für die Einhaltung gesetzlicher Vorschriften und erleichtert die Erfüllung gesetzlicher Anforderungen. Zudem verringert sie das Risiko der Nichteinhaltung, die zu finanziellen Strafen und anderen negativen Folgen führen kann.

Schaut euch Sprinto an!

Insgesamt ist SSAE 18 wichtig, da es Organisationen eine Anleitung zur Einhaltung der Anforderungen des SOC-2-Berichts bietet . Allerdings müssen Sie nicht alles manuell erledigen!

Entdecken Sie Sprinto , eine automatisierte Compliance-Plattform, die Ihnen hilft, Compliance-Anforderungen mühelos zu erfüllen. Dank unseres durchgängigen Prozesses können Sie sowohl wichtige als auch weniger wichtige Funktionen individuell anpassen und sich darauf verlassen, dass Ihr Compliance-Programm vollautomatisch abläuft.

Mit Sprinto können Sie Ihre Compliance-Situation kontinuierlich überwachen und so einen reibungslosen Ablauf gewährleisten.

Sprechen Sie noch heute mit einem unserer Experten und erleben Sie einen unkomplizierten Weg zur behördlichen Zulassung!

Häufig gestellte Fragen