模型不应该看到不安全的选择

要求模型避免一个工具，与使工具无法使用不同. 受监管的系统在开始规划前应该拒绝超过任务权限、数据边界、预算或平台限制的能力。

该模型然后在较小的、相关的一套内进行规划。 这提高了可靠性，并使最后计划的理由可以检查。

路由管道是一个产品特性

LibreTask使用一个浓缩，检索，排名，限制，规划，确认的序列. 提高用户水平的好处不是技术革新。 这个计划可以解释为什么允许本地解析器，为什么网络搜索需要确认，为什么外部电子邮件仍然被封锁。

政策必须达到要求

能力卡定义了投入和产出，但还必须定义副作用、允许的目的地、成本和健康。 这些属性需要随叫随到，而不是生活在与执行脱节的政策文件中。

这就是治理可执行的方式:在选择和援引行动时，允许的边界就存在。

控制应该平静

良好治理的界面不会使用户被原始政策所压倒。 它揭示了重要的决定:允许这个行动，这个需要确认，这个被封锁，这就是为什么。