董事會需要了解認證計劃是否可以降低重大業務風險以及管理層仍需要在哪些方面採取行動。域策略值和投資組合通過百分比是有用的輸入，但都沒有描述整個控制。要求管理階層將配置、觀察到的操作、異常和剩餘威脅連接到指定服務。
詢問範圍內的內容
要求當前清單，涵蓋生產發送者、關鍵的小批量工作流程、子公司、休眠域和最近收購的資產（如果適用）。范围必须足够明确以揭示遗漏。僅涵蓋已在監控平台中註冊的網域的指標可以隱藏未註冊的資產。
假設董事會的假設報告涵蓋四種註冊服務，其中三種具有目前批准的對齊通過證據。其中有兩項至關重要，但其中只有一項有證據。有用的總結是 3/4 服務覆蓋率和 1/2 關鍵服務覆蓋率，並命名了關鍵差距。時事通訊的數量無法彌補缺失的證據。這些是假設值，不是提供的控制包或實際管理報告。
Ask what the evidence means
RFC 9989 定義 DMARC 政策和 結盟， 儘管 RFC 9990 定義匯總報告。這些提供了技術證據，但不能保證觀察到所有合法郵件或防止所有詐欺。詢問哪些接收組織報告、缺少哪些時間段以及哪些單獨的證據涵蓋了基本業務路線。
区分部署的配置和测试的操作。 「存在拒絕政策」與「所有批准的路線都已根據該政策進行了驗證」不同。兩者都不能證明來自受感染帳戶的惡意請求或 相似域名 將被停止。需要對剩餘的威脅及其單獨的控制進行簡短說明。
Ask which decisions remain open
對於假設的關鍵差距，要求管理階層指定服務所有者、缺少的觀察結果、下一次授權測試和決策日期。對於相似的發票欺詐，請使用已經可信的聯繫路線單獨詢問業務驗證；對組織自身領域採取更強有力的政策並不能消除這種風險。這兩個答案都不應該從單一的投資組合百分比推斷出來。
現在假設發現新增了第五個範圍內服務，但目前沒有進行測試。覆蓋範圍從 3/4 (75%) 下降到 3/5 (60%)，且任何先前驗證的服務都不會遺失證據。這種下降反映了更廣泛的已知人群，而不一定是營運退化。這些是手工製作的假設數字。沒有聲稱董事會決定、管理層批准或補救措施。
Require accountable follow-through
詢問誰擁有每個重大差距，什麼證據可以彌補它，下一個決定何時到期以及如果錯過該日期會發生什麼。管理層應解釋延遲是否需要增加人員配置、提供者合作、應用程式變更或明確的風險接受度。更新的例外應保留其原始開放日期和原因。
保持董事會摘要緊湊，同時為保證審核人員保留可複製的證據包。報告趨勢變化及其原因：新發現的服務、糾正的故障和更改的範圍並不是等效的改進。不要因為達到了技術里程碑就稱該計劃普遍合規或完整。有用的結論是涵蓋了哪些物質服務，哪些尚未展示，以及管理階層下一步將做出哪些決策。