描述部署及其支持的业务服务
IT 领导者和技术服务提供商可以围绕实际部署调查职责。识别数据、用户、托管位置、供应商访问以及依赖该系统的业务服务。
将系统架构与职责和实施选择联系起来
明确与技术提供商分担的责任
在监管背景下分析云提案、服务描述或控制文档。询问哪些责任由提供商承担，哪些仍由客户承担。
将研究转化为向实施团队提出的问题
将监管研究转化为关于访问、保留、弹性或事件处理的初步要求。向安全、隐私、法律和服务负责人提出具体问题，以便在实施前解决。
研究 IT 采购、部署和日常运营背后的职责
调查云或供应商安排背后的责任
针对拟议服务研究托管、外包、数据访问、分包和退出安排。将问题与客户的行业及涉及的地点联系起来。
跟踪数据在系统中的访问、保留和传输
探索关于收集、访问、重用、存储、删除和国际传输的监管要求。使用定义的数据流，为与隐私和安全负责人进行实际讨论做好准备。
检查内部或面向客户的 AI 工具引发的职责
调查与采用或提供 AI 系统相关的角色和职责。在研究范围内包括其业务目的、受影响人群、输入、供应商关系以及拟议的监督。
确定决定事件报告要求的关键事实
检查针对所描述的安全或服务事件的通知要求。确定哪些事实决定了相关机构、报告阈值和时限，供负责的专家评估。
将关键服务依赖性与运营弹性职责联系起来
研究业务服务的连续性、第三方和运营弹性要求。起草关于关键依赖性、恢复安排、测试以及负责人应保留的证据的问题。
当系统或供应商发生变化时，重新评估监管假设
在推出前探索迁移、新集成、供应商切换或扩展数据使用。总结受影响的假设和监管问题，供批准技术变更的人员参考。