Deze richtlijn wordt gebruikt als een opdrachtgever een oordeel wenst te krijgen. Vaak wordt dit gebruikt wanneer er geen assurance nodig is en er een specifiek deelgebied of onderdeel beoordeeld moet worden. De scope is dan beperkt en de werkzaamheden dienen een bepaald doel. De auditor voert de specifieke werkzaamheden uit en rapporteert de feitelijke bevindingen, maar geeft geen oordeel.

Bij het uitbesteden van diensten die niét te maken hebben met financiële transactieverwerking kan een serviceorganisatie met behulp van een ISAE 3000-rapportage informatie en zekerheid aan derden verschaffen. Dit ISAE 3000-rapport gaat dan over de getroffen interne beheersmaatregelen. Diverse specifieke rapportages worden uitgebracht onder de ISAE 3000-richtlijn, zoals DigiD-audits en Suwinet-audits.

Bij het uitbesteden van diensten die wel te maken hebben met financiële transactieverwerking kan een serviceorganisatie gebruik maken van een ISAE 3402-rapportage. Deze zijn voor een accountant van belang voor de jaarrekeningcontrole. Er zijn twee varianten van ISAE 3402-rapportages; een type I- en een type II-rapportage. Een ISAE 3402 type I verklaring richt zich op het bestaan van risicomanagement en interne beheersing, een ISAE 3402 type II verklaring bevestigt ook de effectieve werking gedurende een bepaalde periode.

De ISAE 3000 | SOC 2 is een assurance rapport en niet een certificering zoals de ISO 27001. Echter zien veel eindgebruikers dit als hetzelfde. Het belangrijkste verschil is dat ISAE 3000 | SOC 2 een systeembeschrijving vereist die doormiddel van een scope, een beschrijving van de relevante processen, bedrijfspraktijken, de controles en auditorvalidatieprocedures beschrijft.