De concerncontroller toetst in samenspraak met de CISO of de vastgestelde beveiligingsmaatregelen worden nageleefd. De concerncontroller staat buiten het primaire proces en is onafhankelijk. De concerncontroller heeft een onafhankelijke positie en kan het bestuur gevraagd en ongevraagd adviseren.