Was sollte ein interner Auditor bei der Prüfung des Risikomanagementprogramms einer Organisation zuerst überprüfen?

Ein interner Auditor sollte zuerst die Richtlinien und Verfahren des Risikomanagementprogramms überprüfen, da diese die Grundlage und den Rahmen für alle weiteren Aktivitäten bilden. Sie definieren, wie Risiken identifiziert, bewertet, behandelt und überwacht werden sollen. Ohne klare und dokumentierte Richtlinien und Verfahren kann die Wirksamkeit des gesamten Programms nicht beurteilt werden. Asset Management (Vermögensverwaltung) ist zwar wichtig, um zu wissen, welche Werte geschützt werden müssen, aber die Richtlinien legen fest, wie dies geschehen soll. Eine Schwachstellenanalyse identifiziert spezifische Schwachstellen, aber die Richtlinien bestimmen den Prozess dafür. Die Business Impact Analyse (BIA) bewertet die Auswirkungen von Ausfällen, aber die Richtlinien geben vor, wann und wie eine BIA durchgeführt wird.