ISMS（JIS Q 27001 / ISO/IEC 27001）の要求事項において、マネジメントシステムの構築（確立）の最初のステップは「組織の状況」の把握であり、自社を取り巻く外部・内部の課題や「利害関係者のニーズと期待の理解」を特定することから開始します。その上で適用範囲の決定、方針策定、リスクアセスメントへと進みます。 組織の状況や利害関係者のニーズを特定した後に実施するステップです。 リスクアセスメント（特定・分析・評価）の結果を踏まえて実施するステップです。 ISMSの運用後にその適合性や有効性を評価するために実施するCheck工程の項目です。