情報システムのリスクに対するコントロールが適切に整備運用されていることを検証するための手段として，最も適切なものはどれか。