Revisorene utarbeider deretter to karakterer på en skala fra 1 til 5: en karakter som indikerer effektiviteten av informasjonssikkerhetskontrollen og en annen karakter som indikerer nivået av lederskapets bevissthet.
1 til 5 ble valgt av revisorene på demokratisk vis som deres vurderingsskala.