I denne organisasjonen måtte avvik fra retningslinjer dokumenteres i et brev signert av både lederen av forretningsgruppen som anmodet om avvik og lederen av den sentrale informasjonssikkerhetsgruppen.
Avvik fra politikken må dokumenteres av to personer. 