En altres paraules: en lloc d'especificar el nombre de controls que cal efectuar, l'objectiu hauria de ser establir un nivell de risc residual d'irregularitat per al sistema, és a dir, un risc d'error acceptable.