Alle Controls sind versioniert hinterlegt. Sie wählen anwendbare Controls, dokumentieren Begründungen, Umsetzungsstand, Verantwortliche und Evidenzen; die SoA entsteht automatisch und ist exportierbar.