I denne organisasjonen måtte avvik fra retningslinjer dokumenteres i et brev signert av både lederen av forretningsgruppen som anmodet om avvik og lederen av den sentrale informasjonssikkerhetsgruppen.
Ingenting trenger å dokumenteres, det er en veldig kald operasjon. 