„Dacă îți cunoști dușmanul și te cunoști pe tine, nu trebuie să te temi de rezultatul a o sută de bătălii. Dacă te cunoști pe tine, dar nu îl cunoști pe dușman, pentru fiecare victorie câștigată vei suferi și o înfrângere. Dacă nu cunoști nici dușmanul, nici pe tine însuți, vei pierde în fiecare bătălie.”Sun Tzu, traducere Lionel Giles · The Art of War · 1910 · The Art of War, traducerea Lionel Giles (1910), cap. III «Attack by Stratagem», §18
O analiză a decalajelor fără proprietari și termene este o listă de regrete.
Standardul cere explicit informații documentate în paisprezece locuri: domeniul de aplicare (4.3), politica (5.2), procesul de evaluare a riscului (6.1.2), procesul de tratare a riscului și Declarația de aplicabilitate (6.1.3), obiectivele (6.2), dovezile de competență (7.2), dovezile că procesele s-au desfășurat conform planului (8.1), rezultatele evaluărilor de risc (8.2), rezultatele tratării (8.3), rezultatele monitorizării și măsurării (9.1), programul și rezultatele auditului intern (9.2), rezultatele analizelor de management (9.3) și, la 10.2, natura neconformităților, acțiunile întreprinse și rezultatele lor. Peste ele se adaugă documentele cerute de controalele reținute în Declarație: politici tematice, inventarul informațiilor și al activelor asociate, regulile de utilizare acceptabilă și celelalte. O analiză a decalajelor bună are o linie pentru fiecare cerință și trei coloane: ce cere standardul, ce dovadă există astăzi și unde, apoi decizia — conform, parțial sau absent, cu un proprietar și un termen. Procentele fără proprietari nu închid nimic.
De ce contează Etapa 1 se pică cel mai des nu din lipsă de controale, ci din lipsa dovezilor documentate pe care standardul le cere pe nume.