Set aus Präventiv- und Detektivkontrollen je Prozess (z. B. Vier-Augen-Prinzip, Trennung von Funktionen, Logs).
Wirksamkeit über Tests & Audits sicherstellen.