Le conseil trace des flèches.
Le réviseur audite les coutures.

Toute attestation GOAT contient les huit champs suivants :

1. Entité auditée et équipes incluses
2. Périmètre technique : systèmes, pipelines, modèles, environnements, périodes
3. Échantillon : nombre de runs, critères, taux de reconstruction
4. Date d'observation et durée de validité
5. Sources et accès effectivement fournis
6. Exclusions, limites et incidents
7. Définition exacte de chaque verdict (Démontré, Déclaré, Non documenté)
8. Interdiction de la présenter comme une certification ISO, réglementaire ou publique

« Attestation valable uniquement pour le périmètre, l'échantillon et la période indiqués. Elle exprime un constat méthodologique fondé sur les éléments accessibles lors de la revue. Elle ne garantit pas l'absence d'écarts hors périmètre, ni la conformité à une norme ou à un régime réglementaire. »

Le terme « évaluation indépendante » n'est employé qu'en l'absence de conception, d'intégration ou de maintien de la chaîne auditée, en l'absence d'intérêt financier dans les outils évalués, et après déclaration des conflits d'intérêts. À défaut : « évaluation méthodologique réalisée par un intervenant distinct des équipes opérationnelles auditées, sous réserve des conflits d'intérêts déclarés ».

Cette matrice met en regard des outils, standards et cadres reconnus avec les niveaux N1 à N5 du référentiel GOAT. Elle ne constitue ni une équivalence officielle, ni une certification.