Quale dei seguenti aspetti dovrebbe verificare per primo un revisore interno quando conduce un audit del programma di gestione del rischio dell'organizzazione?

Un revisore interno dovrebbe verificare per prime le policy e le procedure perché queste stabiliscono il quadro normativo e le linee guida per l'intero programma di gestione del rischio. Senza policy e procedure chiare e documentate, è difficile valutare l'efficacia o la conformità di qualsiasi altra componente del programma. La gestione degli asset, la valutazione delle vulnerabilità e l'analisi dell'impatto sul business sono tutte attività cruciali, ma la loro implementazione e la loro coerenza dipendono dall'esistenza di policy e procedure ben definite che ne guidano l'esecuzione.