上場企業が、監査法人から、Google が取得している ISO/IEC 27001 や SOC 2 の報告書と、自社の構成の適合性の双方を示すよう求められた。どちらの証跡を、誰がどこから用意するかを決める。コンプライアンス上の実務として正しい進め方はどれか。