La conformité ne se présume pas : elle se démontre. Pour les systèmes à haut risque, le cadre attend une documentation technique permettant de comprendre le système et de vérifier le respect des exigences. Sans preuves traçables, une organisation conforme dans les faits reste vulnérable lors d'un contrôle.