Définir le périmètre : une organisation par entité ou filiale.

Déclarer les actifs critiques avant tout le reste.

Coter les dix risques majeurs, avec un propriétaire nommé.

Décrire les contrôles réellement en place, sans embellir.

Déposer les preuves existantes et laisser les écarts visibles.