Los auditores desarrollan entonces dos calificaciones en una escala de 1 a 5: Una calificación para indicar la eficacia de los controles de seguridad de la información y una segunda calificación para indicar el nivel de conciencia de la administración.
Los auditores crean dos calificaciones utilizando una escala de uno a cinco.