¿Cuál de los siguientes debería verificar primero un auditor interno al realizar una auditoría del programa de gestión de riesgos de la organización?

Un auditor interno debe verificar primero las políticas y procedimientos porque estos documentos establecen el marco, las reglas y las expectativas para todo el programa de gestión de riesgos. Sin políticas y procedimientos claros, no hay una base para evaluar si el programa se está ejecutando correctamente o si cumple con los objetivos de la organización. La gestión de activos, la evaluación de vulnerabilidades y el análisis de impacto en el negocio son componentes cruciales del programa de gestión de riesgos, pero su eficacia solo puede medirse en relación con las políticas y procedimientos establecidos. Si estos últimos son deficientes o inexistentes, los demás elementos carecen de dirección y propósito definidos.