第9.1条では以下を規定しています。
「組織は、情報セキュリティのパフォーマンスと情報セキュリティマネジメントシステムの有効性を評価しなければならない。」これは、監視、測定、分析、評価の中心的な目的です。能力（B）は7.2項で規定されています。資産（C）およびアウトソーシングされたプロセス（D）の使用状況の監視は実施可能ですが、規格に記載されている正式な目的ではありません。パフォーマンス評価は、ISMSが意図した成果を継続的に達成し、継続的な改善を支援することを目的としています。
したがって、検証された目的は、A: 情報セキュリティのパフォーマンスを評価することです。