Национальный институт стандартизации США выпустил интересный документ (пока проект) — NIST SP 800-65 «Recommendations for Integrating Information Security into the Capital Planning and Investment Control Process». И хотя документ ориентирован на американские госсорганы, обязанные выполнять требования FISMA, он может быть полезен и у нас. Правда, в первую очередь, для средних и крупных компаний, где процессы бюджетирования и инвестирования более-менее формализованы.
NIST скорее апдейтил свой документ от 2005 года