imidlertid ga finansselskapet det beste eksemplet på hvordan periodiske rapporter om resultater kan brukes til å holde ledere ansvarlige for å forstå, samt redusere, informasjonssikkerhetsrisikoene for sine forretningsenheter
ledere kan holdes ansvarlige for informasjonssikkerhetsrisikoene for sine enheter ved å bruke disse rapportene
risikoen for informasjonssikkerhet for forretningsenhetene ble ansett som ubetydelig