組織のリスク管理プログラムの監査を実施する際、内部監査人が最初に確認すべきものは次のうちどれですか？

内部監査人がリスク管理プログラムの監査を開始する際、組織のポリシーと手順を確認することは、リスク管理の枠組み、目標、および責任を理解するための最初のステップです。これらは、プログラムがどのように設計され、運用されるべきかの基礎となる文書です。 資産管理はリスク管理の重要な要素ですが、最初に確認すべきは、その資産をどのように管理すべきかを定めたポリシーです。脆弱性評価はリスク特定の一部ですが、評価の基準やプロセスを理解するためにはポリシーが必要です。ビジネスインパクト分析もリスク評価の一部ですが、その実施方法や結果の利用に関する指針はポリシーに記載されています。したがって、ポリシーと手順が監査の出発点となります。