CARVE-OUT MethodeMicrosoft Azure

Die CARVE-OUT Methode ist eine spezifische Herangehensweise in der ISAE 3402 Berichterstattung, bei der bestimmte Funktionen oder Prozesse, die von Sub-Dienstleistern ausgeführt werden, aus dem Prüfungsumfang des primären Dienstleisters ausgeschlossen werden. Dies bedeutet, dass der Hauptdienstleister keine Verantwortung für die Bewertung der Kontrollen seiner Sub-Dienstleister übernimmt. Stattdessen wird erwartet, dass die Sub-Dienstleister eigenständig ISAE 3402 Berichte erstellen und zur Verfügung stellen. Diese Methode wird häufig eingesetzt, wenn der primäre Dienstleister stark auf externe Dienstleister angewiesen ist, um bestimmte Geschäftsprozesse zu erfüllen. In solchen Fällen muss der Kunde (User Entity) sicherstellen, dass er sowohl den Bericht des Hauptdienstleisters als auch den separaten Bericht des Sub-Dienstleisters berücksichtigt, um eine vollständige Abdeckung der Kontrollanforderungen zu gewährleisten. Die CARVE-OUT Methode kann zu einer erhöhten Komplexität im Auditprozess führen, da zusätzliche Berichte von Sub-Dienstleistern eingefordert und geprüft werden müssen.