הצהרה מתועדת המתארת ​​את מטרות הבקרה והבקרות הרלוונטיות והחלות על מערכת ניהול אבטחת המידע (ISMS) של הארגון. מרכיב מרכזי ב-ISMS המוגדר ב-ISO/IEC 27001:2005.