Malo by poskytovať ekvivalentnú alebo porovnateľnú ochranu pre relevantný cieľ v skutočnom prostredí systému a jej použitie by malo byť zdôvodnené obmedzeniami, analýzou hrozieb a prijatým rizikom — nielen pohodlnosťou.
Jedna náhrada môže vyžadovať niekoľko koordinovaných kontrol. Organizácia by mala identifikovať zamýšľaný výsledok pôvodnej kontroly, porovnať pokrytie a silu alternatívy, zdokumentovať závislosti a zvyškové medzery, získať požadované schválenie a rozhodnutie prehodnotiť, keď sa mení systém a prostredie hrozieb.
Kľúčové body
Zdôvodnenie náhradyZaznamenať, prečo je pôvodná kontrola neuskutočniteľná alebo nevhodná, ktorá požiadavka a riziko sú dotknuté a prečo je navrhovaná alternatíva vhodná.
EkvivalenciaZmapovať mechanizmy a postupy na zamýšľaný výsledok, preskúmať cesty zlyhania a obchádzania a zozbierať dôkazy, že celá kombinácia funguje podľa návrhu.
Riadenie výnimiekPriradiť vlastníctvo, schválenie, termíny prehodnotenia, monitorovanie a podmienky pre návrat k pôvodnej kontrole alebo prijatie lepšej alternatívy.
Dôležité obmedzenieOznačiť opatrenie ako „kompenzačné" nerobí jeho ochranu ekvivalentnou. Dokumentácia, schválenie alebo akceptácia auditom je obmedzeným dôkazom a iný zákon, štandard, zákazník alebo autorita môže uplatňovať odlišné kritériá náhrady.