En esta organización, las desviaciones de las políticas tuvieron que ser documentadas en una carta firmada por el ejecutivo del grupo empresarial solicitando la desviación y el gerente del grupo central de seguridad de la información.
Con frecuencia se producen desviaciones.