La verifica dei controlli è il processo che consiste nel verificare se una misura di sicurezza funziona come previsto nelle condizioni operative reali. Va oltre la conferma dell'esistenza di una policy o di una procedura: un test esamina se le persone, i sistemi o i processi la seguono effettivamente e se riduce il rischio che è stata progettata per affrontare.
I test sono importanti perché i cambiamenti nel personale, nei fornitori, nella tecnologia o nei flussi di lavoro possono indebolire un controllo senza modificarne la descrizione scritta. In ambito di sicurezza informatica, le organizzazioni possono testare le revisioni degli accessi, i backup, le procedure di risposta agli incidenti o il monitoraggio della sicurezza per individuare lacune e assegnare azioni correttive. Test regolari, con responsabilità e registrazioni chiare, aiutano a mantenere le misure di sicurezza in linea con le operazioni correnti e riducono la possibilità che la conformità documentata venga scambiata per una protezione efficace.