ดุลยพินิจใน การตัดสินใจให้ผลการประเมินเป็น “Level 3” ได้ ตัวอย่าง การควบคุมที่พึงมี มีกระบวนการจัดการเกี่ยวกับการเปลี่ยนแปลงตำแหน่งงานหรือสิ้นสุดการจ้างงาน และมอบหมายให้มีผู้รับผิดชอบอย่างชัดเจน เช่น การคืน
กำหนด พร้อมทั้งให้คำปรึกษา ติดตามความเสี่ยง และทบทวนการควบคุมความเสี่ยงด้าน IT ให้อยู่ในระดับ ความเสี่ยงที่ยอมรับได้ โดยมีการรวบรวมและเชื่อมโยงความเสี่ยงด้าน IT กับความเสี่ยงด้านอื่น และนำเสนอผลการบริหาร