A como evidência dos resultados de qualquer ação corretiva.
B dos resultados das avaliações de risco de segurança da informação.
C dos resultados do tratamento dos riscos de segurança da informação.
D como evidência dos programas da auditoria e dos resultados desta.
E como evidência dos resultados das análises críticas pela direção.