deve conter procedimentos e controles de apoio ao sistema de gerenciamento da segurança da informação.

não contempla um relatório de análise de riscos do sistema de gerenciamento da segurança da informação.

não inclui uma descrição do escopo do sistema de gerenciamento da segurança da informação.

não contempla um plano de tratamento de riscos do sistema de gerenciamento da segurança da informação.

deve contemplar a listagem completa dos programas fonte inseridos no sistema de gerenciamento da segurança da informação.