説明
リスク評価は、特定されたビジネスリスクを軽減し、ビジネスを保護するためにプログラムが実施すべき適切な管理策を特定します。業界のベストプラクティス、国際標準、継続的なプロセス改善はプログラムをサポートするために活用できますが、ビジネスリスクを考慮せずにこれらを盲目的に導入することはできません。

説明
ITサービスプロバイダーに定期的な報告を求めることは、組織の情報セキュリティ要件へのコンプライアンスを確保するための最良の方法です。これにより、組織はITサービスプロバイダーのパフォーマンス、セキュリティインシデント、サービスレベル、コンプライアンス状況を監視できます。また、報告は、対処または解決が必要なギャップや問題を特定するのにも役立ちます。（CISMレビューマニュアル第15版より）参考文献：CISMレビューマニュアル第15版、184ページ、セクション4.3.3.2。