rammeverket ble utviklet over flere år
en organisasjon med en slik ramme er i stand til å bestemme hvordan man reduserer risiko, svindel og feil
en organisasjon med en slik ramme er ikke i stand til å bestemme hvilke kontrollaktiviteter som skal brukes