寓言
工地上装了栏杆，审计问验收记录在哪
河边修了一座粮仓，完工后安全组在仓顶装了防护栏杆、在栈道加了防滑条、在入口配了灭火罐。每一样都装得扎实，仓管拍了照片发给知府交差。知府把照片转给审计署，说粮仓安全管理已到位。
审计署来了三个人，问了仓管一个问题：防护栏杆多久检查一次？仓管愣了一下，说装好了不就行了。审计接着问：检查由谁负责、记录保存在哪、发现了锈蚀怎么升级上报、谁批准维修费用。仓管一个问题都答不上来，但指着栏杆说你们看，栏杆不是在吗。
审计署在报告里写了七个字：有措施，无管理。粮仓的栏杆和防火罐每一样都是真的控制措施，但它们散落在各处的角落里，没有统一编号、没有检查周期、没有责任人、没有异常升级流程。审计说这套安全体系像散落在地上的零件，能用的都有，就是没人知道哪个零件什么时候会坏。
仓管要补课，去隔壁县学府借了一套控制框架手册。框架里先定义了粮仓的资产分类、风险等级，然后列出了每类资产对应的控制措施清单，每条措施后面跟着检查频率、责任岗位、异常升级路径和维护预算额度。仓管按框架把栏杆、防滑条、灭火罐全部编号入册。
第二季度审计复查，审计署看的是手册上的框架对应的每一条执行记录。栏杆第几条、上次检查日期、检查人签名、是否需要更换——一条条全有。验收通过。审计署临走时说了一句话：控制措施是零件，控制框架是把零件装成一个能运转并能验证的机器。
仓管后来发现，控制框架的另一个价值是发现缺失。按框架逐项对照，他发现粮仓高压区没有防爆措施——这个漏洞在以前只看零件的时候根本暴露不出来，因为没人意识到应该有什么。框架告诉你各区域应该有什么，措施只告诉你当前有什么。
粮仓门口刻了一行字：单有栏杆没有检查表，栏杆锈了没人知道。单有检查表没有栏杆，检查表保护不了人。两者不是同一个东西的两种说法，是同一个安全体系的骨架和肌肉。