Soa (Statement of Applicability) er et statusoppgjør for din organisasjons arbeid med informasjonssikkerhet. Et SoA-dokument kan du bruke som beslutningsdokument for dine til- og fravalg av sikkerhetsmessige tiltak. Det betyr også at SoA-dokumentet beskriver hvilke tiltak og dermed kontroller som inngår i ISMS-arbeidet.