når risikoene behandles og kontrollene endres, bør de av og til revideres for å fastslå hvor risikoen har gått ned og hvor nye risikoområder kan oppstå
kontroller bør tilpasses for å håndtere risikoen
kontroller bør aldri bli revidert