差距评估对 BCMS 八个领域中的 43 个问题进行评分，采用与 DORA、ISO 42001 和 CPS 234 模块相同的 0 到 4 成熟度等级。
用途及其与要求的区别
这 45 项要求条目记录的是每个条款是否已实施。评估衡量的是条款背后的判断要点处理得如何，而这正是认证审核员在审计中花费精力的地方。这些问题有意不复述条款的内容，而是提出审核员会问的问题：范围内的活动是否依赖范围外的事物，RTO 是否落在 MTPD 之内、依赖项是否落在 RTO 之内，活动负责人是否确认了自己的 BIA，哪些战略选项被否决以及原因，代理人能否在压力下按照计划执行，变通措施下采集的交易将如何核对，关键供应商是否曾参加过演练，以及最近三项不符合项是消除了原因还是只纠正了表象。
八个领域
| 领域 | 问题数 | 问题检验的内容 |
|---|---|---|
| 范围与背景 | 5 | 范围边界的可信度、范围的来源、背景更新、相关方登记册中的合同和卡组织承诺、法律登记册的归属 |
| 领导力与资源 | 5 | 高管是否了解自己的危机角色、由谁接受了剩余风险、BCMS 负责人的工作时间和继任安排、代理人的权限、与变更和外包治理的整合 |
| 业务影响分析 | 7 | MTPD 和 RTO 一致性规则、影响准则的批准、业务负责人的确认、中断发生的时点、RPO、最低能力，以及与 DORA 关键职能清单的核对 |
| 风险评估与战略 | 5 | 技术之外的单点故障、与 ICT 登记册的区分、被否决的战略选项、针对最短 RTO 的已验证能力、同时启动时的容量 |
| 计划与响应结构 | 6 | 启动阈值、与事件管理的衔接、计划对外人的可用性、离线可用性、独立于企业租户的沟通渠道、回归正常运营时的核对 |
| 供应商与依赖关系 | 5 | 供应商合同中的连续性义务、鉴证证据的时效和范围、供应商参与演练的情况、提供商或区域的集中度、集团服务 |
| 演练与评价 | 5 | 情景的真实性、周期内的覆盖情况、技术测试与桌面演练的对比、演练行动项的关闭、最近一次启动后的事件后审查 |
| 绩效、审计与改进 | 5 | 指标衡量的是能力还是活动、审计人员的独立性和能力、管理评审输入的完整性、已作出并落实的决定、根本原因与纠正的对比 |
评分
| 得分 | 含义 |
|---|---|
| 0 | 未实施 |
| 1 | 初始 |
| 2 | 发展中 |
| 3 | 已定义 |
| 4 | 已优化 |
问题按审核员对其重视程度设置 1 到 3 的权重：范围边界、剩余风险接受、MTPD 和 RTO 规则、RPO、针对最短 RTO 的已验证能力、启动阈值、与事件管理的衔接、供应商合同条款、演练的真实性、技术测试以及管理评审的完整性权重最高。总体百分比以全部问题为基数计算，无论是否已回答，因此未回答的问题会被视为差距，而不会被排除在分母之外。得分达到 80% 或以上显示为“基本一致”，50 到 79 显示为“部分一致”，低于 50 显示为“重大差距”。
依据数据而非访谈作答
如果您按优先活动记录 MTPD、RTO、RPO 和最低能力，并在每个周期检查这两条一致性规则，那么若干 BIA 问题（MTPD 和 RTO 一致性、RPO、最低能力）就可以依据 BIA 记录而非访谈作答。请将检查结果连同其所依据的 BIA 的日期一起记录在该问题的备注中。
回答的备注和证据
每个回答都可以填写一条备注和一个证据 URL。请使用备注记录评分背后的具体事实，例如哪三项依赖的恢复目标长于其所支持的 RTO、哪些供应商参加了最近一次演练，或者最关键系统最近一次恢复测试的日期。正是这些备注，让明年的重新评估有据可依，而不是重新凭空猜测，它们也是认证审核员会索取的事实。
完成评估的步骤
打开 ISO 22301，然后打开差距评估，并开始一次新的评估。评估创建后处于进行中状态，可以保存并稍后继续。
按顺序完成八个领域；领域导航会显示已回答的问题数，全部回答后还会显示该领域的得分。回答会自动保存。
每个问题都有得分后，完成评估。总体得分会被记录，评估变为只读，仪表板会在要求覆盖范围旁边显示成熟度。
打开得分最低领域的要求，阅读指引，附加证据或提出行动项。在下一个演练周期之后重新评估，以展示变化。