Till exempel anges att kontroller ska vara kostnadseffektiva och utformade beroende på risknivå .