В стандарте INCITS 494-2012 правила группируются в политики и создают ограничения, которые обрабатываются на уровне ядра RBAC и могут применяться к базовым множествам: пользователям, ролям, операциям, объектам и правам доступа. Референтная модель этого стандарта состоит из движка RBAC, правил внешней политики, унифицированных функций стандарта для взаимосвязи компонентов и выхода для аудита. Через интерфейс правил внешней политики ограничения из внешней среды поступают в движок RBAC, который может служить точкой принятия решения или использовать результаты других точек.