Bulut hizmetleri çoğunlukla sağlayıcının hazır şartlarıyla satın alınır ve bu şartlar doğal olarak sağlayıcı lehine kurgulanmıştır. Veri nerede tutulacak, hizmet kesildiğinde ne olacak, sözleşme bittiğinde veriler hangi formatta ve hangi sürede geri alınacak sorularının cevabı sözleşmede yoksa, kurum operasyonel bağımlılığı hukuki güvence olmadan üstlenmiş olur. Sektörel düzenlemelere tabi kurumlarda tablo daha da sıkışır. Program altı modülde bulut ilişkisini satın alma öncesinden çıkışa kadar ele alır. Paylaşılan sorumluluk modeli, veri lokasyonu ve aktarım rejimi, hizmet seviyesi ölçümü, güvenlik kanıtları ve ticari maddeler sırayla incelenir. Gerçek sağlayıcı şartları üzerinde risk işaretleme atölyeleri yapılır, kesinti ve sağlayıcı iflası senaryoları çalışılır. Katılımcılar program sonunda kendi kurumları için bulut sözleşmesi risk kontrol listesi, hizmet seviyesi değerlendirme tablosu ve çıkış planı taslağı üretir.