Report SSAE 18

SSAE 18 (Statement on standards for attestation engagement n. 18), emanato da AICPA (American Institute
of Certified Public Auditors) è una Dichiarazione sugli standard per l’attestazione del’impegno n. 18
rilasciata sotto forma di Report, da parte di un Auditor Indipendente abilitato, sul sistema di controllo
interno implementato da una organizzazione di servizi in outsourcing. Tale standard succede al SSAE 16, in
vigore dal 1/7/2011 sostituitosi, a sua volta, all’ancor più noto standard SAS 70.
La novità portata dal nuovo impegno rispetto allo standard precedente è la presenza di una Risk Analysis
redatta dall’Outsourcer e la necessità che le evidenze vengano conservate al fine di comprovare l’effettività
del controllo da parte dell’Auditor.
Il Report SSAE 18 è richiesto, solitamente, dalle aziende americane che hanno in Italia proprie filiali e che
devono assolvere le richieste della sezione 404 del Sarbanes Oxley Act (SOX) circa l’osservanza dei rigorosi
controlli previsti dalla Legge medesima al fine di salvaguardare i terzi rispetto alla veridicità delle
informazioni scaturenti dal Financial Reporting.
Le aziende cui è richiesto tale report sono essenzialmente organizzazioni che offrono servizi in outsourcing
come ad es. il servizio di elaborazione dei cedolini paghe (payroll), servizi amministrativo-contabili, di
Information Technology (servizi IT), gestione documentale.
I vantaggi:
Per la Service Organization:
 competitività nei mercati internazionali
 maggiore efficienza organizzativa
 miglioramento dell’immagine aziendale
 partecipazione alle gare di appalto in cui il report è richiesto quale requisito obbligatorio.
Per i Clienti della Service Organization (User Organization):
 servizio garantito da controlli certificati
 riduzione dei costi associati alle attività di revisione del bilancio interne.

REPORT ISAE 3402

ISAE (International Standard for Assurance Engagements) n. 3402 è un principio emanato nel dicembre
2009 da IAASB (International Auditing and Assurance Standard Board) che consiste nella valutazione del
sistema dei controlli interni di organizzazioni che erogano servizi, prevalentemente in ambito IT e, sempre
più spesso, di organizzazioni che offrono servizi di payroll. Il report viene rilasciato da Auditors Indipendenti
i quali hanno la responsabilità di valutarne la descrizione, il disegno e l’efficacia, rispetto a best practices di
controllo (es. COBIT). Come per lo Standard SSAE 18, il report ISAE 3402 prevede un’Assertion letter redatta
da parte del Management ed è richiesto dalle aziende (User Organizations) che utilizzano i servizi offerti
dall’Outsourcer in quanto richiesto, a loro volta, dai propri Auditors che verificano i controlli sui servizi a
supporto del financial reporting.
I vantaggi sono gli stessi annoverati per SSAE 18.