Habiendo elaborado ese marco, una organización está bien posicionada para determinar qué actividades de control se realizan para reducir los riesgos y reducir en última instancia el fraude y los errores.
Una organización con ese marco no puede decidir qué actividades de control utilizar.