A as expectativas das partes interessadas externas à organização não são relevantes para o sistema de gestão da segurança da informação.
B as análises críticas anteriores não devem influenciar os relatos acerca do desempenho da segurança da informação nas análises subsequentes.
C as auditorias internas do sistema de gestão da informação são aplicadas de modo não agendado, a fim de que o fator-surpresa favoreça a identificação de eventuais falhas.
D todos os processos devem ser selecionados para auditoria em cada ciclo de monitoramento.
E a organização deve definir os critérios e o escopo da auditoria, para cada auditoria.