Семь органов: три профильных комитета, три экспертных совета и научно-практический центр. У каждого собственный регламент, состав и область ответственности.
Комитеты принимают решения и несут за них ответственность. Экспертные советы дают отраслевую глубину. Центр обеспечивает научную основу. Комитет по аккредитации вынесен в отдельное юридическое лицо — этого требует беспристрастность.
Комитеты принимают решения, но не могут знать каждую отрасль одинаково глубоко. Эту задачу решают экспертные советы: они готовят отраслевое содержание требований, которые затем выносятся на голосование.
Исследовательское звено ассоциации. Ведёт прикладные разработки на стыке направлений безопасности — там, где отраслевые советы работают по отдельности, а угроза приходит через границу между ними.
Центр готовит методические материалы, обобщает практику применения схем оценки и обеспечивает научную основу требований, которые принимают комитеты. Его работа — ответ на то, что корпоративная безопасность не делится на изолированные функции.
Структура ассоциации выглядит сложнее, чем могла бы. Причина одна: совмещение этих функций в одних руках лишает результат оценки смысла.
Ассоциация не сертифицирует организации и не консультирует их. Сертификацию проводят аккредитованные органы по сертификации — самостоятельные участники рынка. Ассоциация отвечает за правила, по которым это делается, и за публичность того, кто и на каком основании работает по этим правилам.