Revisorene utarbeider deretter to karakterer på en skala fra 1 til 5: en karakter som indikerer effektiviteten av informasjonssikkerhetskontrollen og en annen karakter som indikerer nivået av lederskapets bevissthet.
Revisorene setter opp to karakterer på en skala fra én til fem.