בקרות פנימיות (Internal Controls)

ביקורות SOC ותקנים דורשים הוכחת יישום בקרות לאורך זמן.

בקרות חייבות להיות משמעותיות ולא רק «קיימת במסמך».

כיסוי חלקי — בקרות שלא מכסות תהליכים קריטיים.

כישלון בתיעוד התפעול השוטף.

מפת בקרות מול סיכונים ודרישות חיצוניות.

בדיקות תקופתיות ותיקון ליקויים.

מיפוי בקרות ו-Evidence owners.

שיפור מתמשך לאחר ממצאים.