Немного скорректирую... они нигде так не пишут, конечно же (потому что мало ли), только говорят на тренинге и есть слайд на эту тему в учебнике, и это формально законной силы не имеет.
Но при определении фокуса аудита PCI PIN Security такая сущность, как issuing service, отсутствует - ее можно только вписать в Other, а для этого должны быть требования бренда, например, или зудящее желание самого банка, которое представить сложно.