مُقيَّمون مقابل الأداة التي تُلزمكم. لا قائمة تحقق عامة.

مجموعة مقرّها دبي ولها عملية في الرياض لا تحكمها القواعد الإماراتية في الرياض. فما ينطبق يحدّده مكان تقديم الخدمة، والقطاع الذي تقع فيه، وفي المناطق الحرة: الولاية التي سُجّل فيها الكيان. ويدير مركز دبي المالي العالمي وسوق أبوظبي العالمي نظامَي حماية بيانات مستقلين تماماً عن النظام الاتحادي، وبيانات أبوظبي الصحية مستثناة من كليهما.

لذا يبدأ التقييم بالاستبعاد. فمصنّع خاص في عُمان غير خاضع لمجموعة ضوابط سيبرانية وطنية، لأن عُمان ليست لديها واحدة للقطاع الخاص — مهما ادّعت مصفوفة مورّد. وشركة كويتية خارج ترخيص البنك المركزي غير خاضعة لإطار المرونة السيبرانية والتشغيلية. وأن يُقال لكم صراحةً ما الذي لا ينطبق يساوي عادةً أكثر من قائمة ضوابط أخرى، لأنه الجزء الذي لن يخبركم به أحد.

ثم نقيّم ما تبقّى بلغة الجهة المصدِرة نفسها — مراجع الضوابط ومستويات النضج وتوقعات الأدلة كما صاغها المنظّم، بحيث يمكن تسليم المُخرَج إلى مقيّم دون ترجمته أولاً.