Un dovere non delegabile è un obbligo che la leadership mantiene anche quando le attività quotidiane vengono assegnate ad altri team. In pratica, i dirigenti o un consiglio di amministrazione possono delegare compiti come la configurazione dei controlli, la redazione delle policy o lo svolgimento degli audit, ma restano responsabili della decisione, della supervisione e della responsabilità finale per il risultato. La delega cambia chi esegue il lavoro; non elimina la responsabilità.
Nella sicurezza informatica, questo è importante perché le falle di sicurezza si verificano spesso nel divario tra esecuzione tecnica e governance. Un'azienda può esternalizzare il monitoraggio o affidare a IT le fasi di risposta agli incidenti, ma può comunque aver bisogno che la leadership approvi la propensione al rischio, accetti le eccezioni e garantisca risorse adeguate. Gli aggressori sfruttano l'ambiguità nella titolarità muovendosi rapidamente attraverso approvazioni deboli e percorsi di escalation lenti. I difensori riducono questo rischio con registrazioni chiare delle approvazioni, regole di escalation definite e una supervisione documentata del consiglio, così da rendere evidente chi ha deciso cosa e quando.