情報セキュリティプログラムの監査を始める。IS 監査人が最初に確かめるべきことはどれか。