Wenn ein Stakeholder ein Anrecht als unangemessen markiert, wie ist der Prozess, um es zu widerrufen?

Wenn ein Prüfer eine Zugriffszertifizierung durchführt, bewertet er, ob eine bestimmte Berechtigung, die einem Benutzer im Geltungsbereich zugewiesen ist, geschäftlich angemessen ist oder widerrufen werden sollte. Widerruf ist jedoch kein von Natur aus gut definierter Begriff: Bedeutet es, ein Login-Konto zu deaktivieren oder zu löschen? Sollte der Widerruf sofort oder zu einem späteren Zeitpunkt erfolgen? Sollte die Maßnahme ergriffen werden, sobald der Zertifizierer seine Überprüfung abgeschlossen hat, oder sollte sie der Genehmigung durch andere Interessengruppen unterliegen?