Daniel, achei esta parte na norma, mas se alguém achar outra mais especifica, favor colaborar:
4.2.3 Monitorar e analisar criticamente o SGSI
A organização deve: b) Realizar análises críticas regulares da eficácia do SGSI (incluindo o atendimento da política e dos objetivos do
SGSI, e a análise crítica de controles de segurança), levando em consideração os resultados de auditorias de
segurança da informação, incidentes de segurança da informação, resultados da eficácia das medições,
sugestões e realimentação de todas as partes interessadas.
d) Analisar criticamente as análises/avaliações de riscos a intervalos planejados e analisar criticamente os riscos
residuais e os níveis de riscos aceitáveis identificados, levando em consideração mudanças relativas a:
1) organização;
2) tecnologias;
3) objetivos e processos de negócio;
4) ameaças identificadas;
5) eficácia dos controles implementados;
6) eventos externos, tais como mudanças nos ambientes legais ou regulamentares, alterações das
obrigações contratuais e mudanças na conjuntura social.