Lav en kontrolplan, der afspejler de største risici og kontraktens forpligtelser. Den bør fastlægge, hvilke beviser der gennemgås, hvem der vurderer dem, og hvornår mangler skal være afhjulpet.

Kombinér periodisk rapportering med kontroller ved væsentlige ændringer, hændelser og nye underleverandører. Følg også op på kundens egne opgaver, eksempelvis adgangsgodkendelser. Registrér åbne forhold og accepterede risici, så samme problem ikke blot genrapporteres måned efter måned. Opfølgningens formål er at forbedre kontrollen og træffe beslutninger, ikke alene at skabe dokumenter til et arkiv.

Kilder og faglig baggrund: NIST: Cybersecurity Framework 2.0 · Digitaliseringsstyrelsen: K04 – IT-drift