La conformità sostanziale consiste nel rispettare un requisito legale, normativo o di sicurezza nelle attività operative reali, non limitandosi a descriverlo in politiche o procedure. Nell'ambito della sicurezza informatica, un'organizzazione deve poter dimostrare che i controlli richiesti sono implementati, assegnati a responsabili e funzionano come previsto.
Questo è importante perché le sole regole scritte potrebbero non ridurre i rischi né dimostrare che gli obblighi vengono rispettati. Per esempio, un'organizzazione può documentare le revisioni degli accessi, ma la conformità sostanziale dipende dal fatto che tali revisioni vengano effettivamente svolte e che ne siano conservate le prove. Revisori e team di sicurezza utilizzano registrazioni quali log delle revisioni, risultati dei test e tracciamento delle azioni correttive per verificare l'attuazione e la supervisione continuativa. Prove solide aiutano a individuare le lacune e rendono la conformità più difendibile, ma da sole non garantiscono che i controlli siano efficaci.