A analisar criticamente as análises/avaliações de riscos a intervalos planejados e remover quaisquer riscos residuais.
B conduzir uma única auditoria interna do SGSI.
C levar em consideração os resultados das atividades de monitoramento e análise crítica, mas não atualizar os planos de segurança da informação.
D medir a eficácia dos controles para verificar se os requisitos de segurança da informação foram atendidos.
E realizar fases de correção no sistema, sem tentar reidentificar possíveis novos riscos.