Aunque la latitud otorgada a las unidades de negocio variaba, proporcionando políticas y directrices permitían a las unidades de negocio adaptar las directrices a las necesidades de protección de la información de su propia unidad individual.
El gobierno fue el primero en establecer tanto las directrices como las políticas para las unidades de negocio.