В ITIL есть понятие внутренней стоимости услуг, тут конечно ИБ сложно прицепить, но я бы в этом направлении подумал
В крупных компаниях может быть практика «бизнес бюджетирует у себя расходы на ИБ», тогда SM/РП выдаёт годовую стоимость услуг, например