外部の IS 監査人が、ある企業からセキュリティ監査の依頼を受けた。同じ監査人の事務所は、その企業のセキュリティ対策の設計と導入を請け負い、2 か月前に引き渡したばかりである。最初に行うべきことはどれか。