Carve-out vs inclusive method: subserviceorganisaties in je SOC 2- of ISAE 3402-rapport

Een SaaS-leverancier draait op een cloudplatform, gebruikt een externe e-maildienst, een betaalprovider en een monitoringtool. Wie zelf een SOC 2- of ISAE 3402-rapport laat opstellen, moet voor elk van die partijen een fundamentele vraag beantwoorden: nemen we hun beheersmaatregelen mee in ons rapport, of snijden we ze eruit? Dat is de keuze tussen de inclusive method en de carve-out method. De keuze klinkt technisch, maar bepaalt de scope van de audit, de boodschap aan je klanten en de hoeveelheid werk in het traject. In dit artikel leggen we beide methoden uit en geven we een afwegingskader uit de praktijk.

Wat is een subserviceorganisatie?

Een subserviceorganisatie is een partij aan wie de serviceorganisatie zelf diensten uitbesteedt die relevant zijn voor de beheersing waarover het rapport gaat. Denk aan de cloudprovider die de infrastructuur levert, het datacenter, een managed service provider die het beheer doet, of een externe partij die back-ups verzorgt. Niet elke leverancier is een subserviceorganisatie: het gaat om partijen wier maatregelen nodig zijn om de controldoelstellingen of Trust Services Criteria van de serviceorganisatie te halen. De kantoorleverancier valt daar niet onder; de hostingpartij vrijwel altijd wel.

De eerste stap in elk traject is dus een inventarisatie: welke uitbestede diensten raken de dienstverlening in scope, en welke beheersmaatregelen liggen feitelijk bij die partijen?

De carve-out method: uitsnijden en verwijzen

Bij de carve-out method worden de beheersmaatregelen van de subserviceorganisatie buiten de scope van het rapport gelaten. De system description vermeldt dat de dienst wordt gebruikt en beschrijft welke maatregelen bij die partij worden verwacht: de complementary subservice organization controls (CSOC's). De auditor toetst die maatregelen niet. Wel toetst hij de maatregelen waarmee de serviceorganisatie haar subserviceorganisaties bewaakt, zoals het beoordelen van hun assurance-rapporten, het monitoren van de dienstverlening en het contractueel borgen van eisen.

Carve-out is verreweg de meest gebruikte methode, en meestal ook de enig haalbare. Een hyperscaler laat zich niet meetesten in het rapport van een individuele klant. In plaats daarvan steunt de keten op de eigen SOC-rapporten van die partij: de serviceorganisatie beoordeelt jaarlijks het rapport van haar cloudprovider en toont daarmee aan dat zij haar keten bewaakt.

Het nadeel zit bij de lezer. Een afnemer die het rapport beoordeelt, ziet dat een deel van de beheersing niet is getoetst en moet zelf nagaan of de serviceorganisatie haar toezicht op die partijen serieus neemt. Een rapport met veel carve-outs en dun beschreven monitoring roept bij kritische inkopers terecht vragen op.

De inclusive method: meetesten in één rapport

Bij de inclusive method worden de relevante beheersmaatregelen van de subserviceorganisatie wel opgenomen in de system description en meegetest door de auditor. Het rapport dekt dan de hele keten voor de dienst in kwestie. Dat geeft de lezer maximale zekerheid: er zijn geen gaten waar hij zelf achteraan moet.

Daar staat veel tegenover. De subserviceorganisatie moet meewerken: toegang geven aan de auditor, bewijs aanleveren en een eigen assertion afgeven over de juistheid van de beschrijving. Dat vraagt afspraken over aansprakelijkheid, planning en kosten. In de praktijk is de inclusive method daarom vooral haalbaar bij nauwe, exclusieve samenwerkingen, bijvoorbeeld wanneer een zusterbedrijf het beheer doet of wanneer een kleine hostingpartij vrijwel volledig voor één klant werkt. Bij grote, gestandaardiseerde clouddiensten is het geen reële optie.

Het afwegingskader

De keuze laat zich samenvatten in drie vragen. Ten eerste: heeft de subserviceorganisatie een eigen assurance-rapport? Zo ja, dan is carve-out logisch, want de keten is via dat rapport al gedekt en afnemers zijn dat gewend. Ten tweede: hoe kritisch is de uitbestede dienst voor de controldoelstellingen? Hoe zwaarder de dienst weegt en hoe minder eigen assurance de partij heeft, hoe meer er te zeggen valt voor inclusive, of voor het heroverwegen van de leverancierskeuze. Ten derde: is de samenwerking nauw genoeg om een gezamenlijke audit praktisch te maken? Zonder bereidheid en contractuele basis bij de subserviceorganisatie is inclusive simpelweg niet uitvoerbaar.

Een combinatie kan ook. Een rapport kan de ene subserviceorganisatie inclusive meenemen en de andere uitsnijden. Dat zien wij bijvoorbeeld bij organisaties die het technisch beheer bij een vaste partner hebben belegd (inclusive) en daarnaast op een hyperscaler draaien (carve-out).

Wat de carve-out method van jou vraagt

Wie voor carve-out kiest, en dat is de meerderheid, moet twee dingen goed regelen. Eerst de beschrijving: benoem in de system description welke diensten zijn uitgesneden en formuleer per subserviceorganisatie concrete CSOC's. Vage formuleringen als "de hostingpartij zorgt voor fysieke beveiliging" zijn onvoldoende; beschrijf welke maatregelen worden verwacht en waarom die nodig zijn voor de eigen controldoelstellingen.

Daarnaast het toezicht: richt aantoonbare monitoring in. In de praktijk betekent dat minimaal een jaarlijkse beoordeling van de assurance-rapporten van je subserviceorganisaties, inclusief een vastgelegde analyse van de exceptions en de vraag of de CSOC's daadwerkelijk door dat rapport worden afgedekt, aangevuld met het volgen van incidenten en prestaties. Dit is precies het punt waarop auditors doorvragen en waar rapporten in de praktijk het vaakst mager zijn. Een beoordeling die alleen vaststelt dat er een rapport is ontvangen, is geen beoordeling.

De blik van de afnemer

Bedenk bij de keuze ook hoe het rapport bij de lezer landt. Inkopers en auditors van je klanten kijken bij het beoordelen van een rapport expliciet naar de carve-outs: welke partijen zijn uitgesneden, en houdt de serviceorganisatie daar aantoonbaar toezicht op? Wie dat deel van het rapport sterk neerzet, met heldere CSOC's en een gedegen monitoringcontrol, voorkomt vervolgvragen en versnelt het inkoopproces. Zie het niet als verplicht nummer maar als etalage van je leveranciersmanagement.

Conclusie

De carve-out method is de praktische standaard: de maatregelen van subserviceorganisaties blijven buiten het rapport, en de serviceorganisatie toont haar toezicht op de keten aan. De inclusive method biedt de lezer meer zekerheid, maar is alleen haalbaar bij nauwe samenwerkingen waarin de subserviceorganisatie wil en kan meewerken. Welke methode je ook kiest: de kwaliteit zit in de uitwerking. Concrete CSOC's, een scherpe system description en aantoonbaar leveranciersmanagement maken het verschil tussen een rapport dat vragen oproept en een rapport dat vertrouwen geeft. Twijfel je over de juiste scope voor jouw rapport? We denken graag mee.