ثم يقوم المراجعون بتطوير تصنيفين على مقياس من 1 إلى 5: تصنيف واحد للإشارة إلى فعالية ضوابط أمن المعلومات وتصنيف ثان للإشارة إلى مستوى الوعي الإداري.
يتم إنشاء تصنيفين من قبل المدققين باستخدام مقياس من واحد إلى خمسة.