Der Prozess beginnt mit einer Beschreibung des Unternehmens und der relevanten Prozesse. Anschließend wird eine Control Matrix erstellt: Welche Risiken wirken sich auf den Jahresabschluss des Kunden aus, und welche Kontrollen mindern diese Risiken? Diese Kontrollen werden danach vom Service Auditor geprüft – auf ihr Bestehen (Type I) und, bei Type II, auf ihre wirksame Funktionsweise über mindestens sechs Monate.

Type I beurteilt die Gestaltung der Kontrollen zu einem bestimmten Stichtag: Bestehen die Kontrollen tatsächlich, nicht nur auf dem Papier, sondern auch in der Praxis? Type II geht einen Schritt weiter und prüft, ob diese Kontrollen über mindestens sechs Monate auch tatsächlich so funktioniert haben, wie im Bericht beschrieben.

In erster Linie Dienstleister, deren Prozesse für die Finanzberichterstattung ihrer Kunden relevant sind – etwa Rechenzentren, Treuhandgesellschaften oder Outsourcing-Partner, die Banken, Versicherungen oder Pensionsfonds beliefern. Im Finanzsektor müssen Unternehmen nachweisen können, dass sie zuverlässig sind und ihre Sicherheit im Griff haben; die Bestätigung eines externen Wirtschaftsprüfers gibt diesen Institutionen die nötige Sicherheit.

Die Vorbereitung dauert in der Regel einige Monate. Prozesse sind häufig bereits vorhanden, es fehlt jedoch eine gute Beschreibung, oder es mangelt in der Organisation an Disziplin oder bestimmten erforderlichen Maßnahmen. Nach der Implementierung folgt bei Type II eine Beobachtungsperiode von mindestens sechs Monaten. Insgesamt rechnen Organisationen mit etwa acht bis zwölf Monaten bis zum endgültigen Type-II-Bericht, bei Type I einige Monate weniger.

ISAE 3402 ist der internationale Standard, SOC 1 das US-amerikanische Pendant nach den Richtlinien des AICPA. Inhaltlich sind beide eng verwandt; viele Berichte werden heute kombiniert erstellt.

ISO 27001 ist eine Zertifizierung des Informationssicherheits-Managementsystems als Ganzes; ISAE 3402 ist eine Assurance-Erklärung über spezifische Kontrollen gegenüber einem Kunden oder einer Finanzinstitution. Der wichtigste praktische Unterschied liegt in der Prüfungstiefe: Bei ISAE 3402 reicht ein Verbesserungsplan oft nicht aus, wenn eine Kontrolle nicht besteht oder innerhalb der sechs Monate nicht funktioniert hat. Das führt zu einer Feststellung im Bericht und kann sich auch auf die Assurance-Erklärung selbst auswirken, die dann eine Einschränkung oder sogar ein abschließend negatives Urteil enthalten kann.