Bir kurum aynı takvim yılı içinde kişisel veri mevzuatı denetimine, bilgi güvenliği belgelendirme denetimine, müşteri kaynaklı güvenlik anketlerine ve sektörel düzenleyici incelemelerine yanıt verebilmektedir. Bu gerekliliklerin büyük bölümü aslında aynı temel kontrolleri farklı terimlerle ister: erişim yönetimi, günlük kaydı, tedarikçi denetimi, olay bildirimi. Her talebe ayrı bir belge seti üretmek hem kaynak israfına hem de belgeler arası tutarsızlığa yol açar; çözüm, gereklilikleri tek bir kontrol omurgasına bağlamaktır. Altı saatlik program üç modülden oluşur ve doğrudan matris kurma atölyesi olarak yürütülür. Katılımcılar önce kendi kurumlarının tabi olduğu gereklilik listesini çıkarır, ardından ortak kontrol çerçevesini tanımlar ve gereklilik maddelerini bu kontrollere eşler. Son modülde her kontrol için tek bir kanıt kaynağı belirlenir ve denetim taleplerine bu kaynaktan yanıt verme düzeni kurulur. Katılımcı program sonunda kurumu için doldurulmuş bir çoklu regülasyon eşleme matrisiyle ayrılır.