Během fáze preassessment, neboli předběžného hodnocení, se auditor seznámí s programem řízení rizik kybernetické bezpečnosti vaší organizace a porozumí mu. Poté s vámi bude spolupracovat na zmapování vašeho stávajícího programu řízení rizik podle konkrétních kritérií. V této fázi vám auditor rovněž pomůže identifikovat případné nedostatky v dokumentaci programu a navrhne správnou nápravu, aby byly nedostatky odstraněny. Cílem předběžného hodnocení je připravit organizaci na SOC kontroly, které budou následovat. Tato fáze může trvat několik měsíců, nebo může trvat i více než rok. Vše závisí na tom, v jakém stavu je program řízení rizik kybernetické bezpečnosti organizace před fází předběžného hodnocení.
V případě, že vaše organizace nemá zavedou dokumentaci k řízení rizik kybernetické bezpečnosti, vás auditor provede vytvářením programu řízení rizik na míru vaší organizaci.