Bilgi güvenliği belgelerinin çoğu, denetim için üretildikleri ve günlük işe temas etmedikleri için raf ömrünü rafta tamamlar. Oysa iyi yazılmış bir politika seti kurumda kimin neyi yapmakla yükümlü olduğunu netleştirir, istisnaları görünür kılar ve denetimde kanıt üretimini kolaylaştırır. Bunun ön koşulu, politika, standart, prosedür ve talimat düzeylerinin birbirine karıştırılmaması; her belgenin kendi soyutluk seviyesinde ve kendi güncelleme ritminde tutulmasıdır. Altı saatlik program üç modülden oluşur ve ağırlıklı olarak yazım atölyesi biçiminde ilerler. Katılımcılar önce kendi kurumlarının belge envanterini çıkarıp hiyerarşideki yerini işaretler, ardından zayıf bir metni birlikte yeniden yazar. Son modülde onay, yayım, farkındalık ve gözden geçirme döngüsü kurulur; istisna yönetimi ve süreli muafiyet mekanizması tasarlanır. Katılımcı program sonunda yeniden yazılmış bir politika metni, bir prosedür taslağı ve kurumsal belge haritasıyla ayrılır.