Controls of acties. Wat zouden jullie kiezen?

Wij zijn in ons ziekenhuis begonnen met het inrichten van Zenya Risk voor het beheer van onze risico's vanuit gegevensbescherming en informatiebeveiliging. Ik breng een deel van ons centrale risicoregister over vanuit Excel. Nu heb ik voor het registreren van de beheersmaatregelen bij de risico's twee mogelijkheden: ik kan Controls gebruiken of Acties. Bij Acties kom ik in de wat breedvoerige PDCA-aanpak met een eigen workflow en formulieren; bij Controls kan ik vrij compact een maatregel benoemen die preventief, correctief of detectief is. Ik ben dus snel geneigd om voor controls te kiezen, hoewel ik de naam verwarrend vind. Bij een control denk ik al snel aan een (periodieke) controle en niet zo zeer aan een beheersmaatregel, maar dat is een semantische discussie. De echte vraag is dus: Wanneer is het logisch om een control te kiezen, en wanneer een actie? Wat is best practice volgens jullie?