Das vor allem in den USA anerkannte Framework definiert hierbei nicht vorrangig, wie die Anforderungen an die IT-Prozesse umzusetzen sind, sondern was in diesen Prozessen umzusetzen und zu messen ist.