Bir kontrolün politika metninde tanımlanmış olması, teknolojinin satın alınmış olması ve kontrolün gerçekten çalışıyor olması birbirinden çok farklı üç durumdur. Kurumların büyük bölümünde güvenlik durumu bu üç durumu ayırt etmeyen beyanlar üzerinden raporlanır; olay yaşandığında ortaya çıkan tablo ise beklenenden farklı olur. Kontrol değerlendirmesi bu boşluğu kapatır: her kontrol için ne beklendiğini, hangi kanıtla doğrulanacağını ve hangi olgunluk seviyesine karşılık geldiğini tanımlar. On sekiz saatlik program altı modülden oluşur ve değerlendirme sırasını izler: kapsam ve kriter seçimi, tasarım etkinliği, işletim etkinliği, teknik doğrulama, olgunluk puanlaması ve raporlama. Katılımcılar gerçek kanıt örnekleri üzerinde çalışır, örnekleme yapar, teknik doğrulama senaryolarını uygular ve puanlama tutarlılığını kalibrasyon oturumuyla test eder. Program sonunda katılımcı, seçtiği kontrol seti için tamamlanmış bir olgunluk değerlendirme raporu ve iyileştirme planı üretir.