Qual das seguintes opções um auditor interno deve verificar primeiro ao conduzir uma auditoria do programa de gerenciamento de riscos da organização?

Um auditor interno deve verificar primeiro as políticas e procedimentos porque eles estabelecem a estrutura, as diretrizes e as regras para o programa de gerenciamento de riscos. Sem políticas e procedimentos claros, é impossível avaliar se as outras atividades (gerenciamento de ativos, avaliação de vulnerabilidades, análise de impacto nos negócios) estão sendo realizadas de forma consistente, eficaz e em conformidade com os objetivos da organização. As políticas definem o "o quê" e o "porquê", enquanto os procedimentos detalham o "como". As outras opções são componentes importantes do programa, mas sua eficácia só pode ser medida em relação às políticas e procedimentos estabelecidos.