IS 監査の「基準」と「ガイドライン」の関係の説明として、最も適切なものはどれか。