В больших организациях существует задокументированый процес с четкими критериями и протоколом. Процес четко оговаривает критерии. С этим процессом идут независимые проверки и прочий контроль над тем, чтобы они правильно применялись.

Есть целая серия законодательств на эту тему.