董事会需要了解认证计划是否可以降低重大业务风险以及管理层仍需要在哪些方面采取行动。域策略值和投资组合通过百分比是有用的输入，但都没有描述整个控制。要求管理层将配置、观察到的操作、异常和剩余威胁连接到指定服务。
询问范围内的内容
请求当前清单，涵盖生产发送者、关键的小批量工作流程、子公司、休眠域和最近收购的资产（如果适用）。范围必须足够明确以揭示遗漏。仅涵盖已在监控平台中注册的域的指标可以隐藏未注册的资产。
假设董事会的假设报告涵盖四种注册服务，其中三种具有当前批准的对齐通过证据。其中有两项至关重要，但其中只有一项有证据。有用的总结是 3/4 服务覆盖率和 1/2 关键服务覆盖率，并命名了关键差距。时事通讯的数量无法弥补缺失的证据。这些是假设值，不是提供的控制包或实际管理报告。
询问证据意味着什么
RFC 9989 定义 DMARC 政策和 结盟， 尽管 RFC 9990 定义汇总报告。这些提供了技术证据，但不能保证观察到所有合法邮件或防止所有欺诈。询问哪些接收组织报告、缺少哪些时间段以及哪些单独的证据涵盖了基本业务路线。
区分部署的配置和测试的操作。 “存在拒绝政策”与“所有批准的路线都已根据该政策进行了验证”不同。两者都不能证明来自受感染帐户的恶意请求或 相似域名 将被停止。需要对剩余的威胁及其单独的控制进行简短说明。
询问哪些决定仍然悬而未决
对于假设的关键差距，要求管理层指定服务所有者、缺失的观察结果、下一次授权测试和决策日期。对于相似的发票欺诈，请使用已经可信的联系路线单独询问业务验证；对组织自身领域采取更强有力的政策并不能消除这种风险。这两个答案都不应该从单一的投资组合百分比中推断出来。
现在假设发现添加了第五个范围内服务，但当前没有进行测试。覆盖范围从 3/4 (75%) 下降到 3/5 (60%)，且任何先前验证的服务都不会丢失证据。这种下降反映了更广泛的已知人群，而不一定是运营退化。这些是手工制作的假设数字。没有声称董事会决定、管理层批准或补救措施。
需要负责任的后续行动
询问谁拥有每个重大差距，什么证据可以弥补它，下一个决定何时到期以及如果错过该日期会发生什么。管理层应解释延迟是否需要增加人员配置、提供商合作、应用程序更改或明确的风险接受。更新的例外应保留其原始开放日期和原因。
保持董事会摘要紧凑，同时为保证审核人员保留可复制的证据包。报告趋势变化及其原因：新发现的服务、纠正的故障和更改的范围并不是等效的改进。不要因为达到了技术里程碑就称该计划普遍合规或完整。有用的结论是涵盖了哪些物质服务，哪些尚未展示，以及管理层下一步将做出哪些决策。