説明/参照:
通常、保険会社などの第三者にリスクを移転することよりも、災害や事業中断のリスクと影響を軽減することが優先されます。

セクション: 情報資産の保護
Explanation:
選択肢Bで提案されているように、職務の分離を厳格に実施し、追加のスタッフを採用することが望ましいですが、小規模組織では必ずしもこれが可能とは限りません。情報システム監査人は、推奨される代替プロセスを検討する必要があります。選択肢の中で、効果のある現実的な選択肢はCだけです。情報システム監査人は、コード比較など、本番環境のソースコードとオブジェクトコードの変更を検出するプロセスを推奨する必要があります。これにより、変更内容は第三者によって定期的にレビューされます。これは、補完的な制御プロセスとなります。
選択肢Aは開発ライブラリへの変更をログに記録するもので、本番環境ライブラリへの変更を検出できません。選択肢Dは事実上、第三者による変更作業を必要とするため、小規模な組織では現実的ではない可能性があります。

テクノロジー組織の成熟度モデルは、IT機能の進捗状況と能力を、その目標、プロセス、およびプラクティスと照らし合わせて測定するツールです。成熟度モデルは、ギャップや改善領域の特定、そしてIT機能を業界標準やベストプラクティスと比較評価するのに役立ちます。成熟度モデルの重要な側面の一つは、IT機能とその関係者の役割と責任を明確に定義することです。RACIマトリックスなどの役割と責任のマトリックスは、プロジェクトやプロセスにおける各タスクや成果物について、誰が責任者、説明責任を負い、相談相手、そして情報提供を受けるのかを明確にする文書です。
役割と責任のマトリックスは、混乱、重複、作業の省略を回避するのに役立つだけでなく、IT 部門とその顧客、パートナー、サプライヤー間の説明責任とコミュニケーションを確保するのに役立ちます。
したがって、IS 監査人は、テクノロジー組織の成熟度モデルを評価する際に、役割と責任のマトリックスのレビューに重点を置く必要があります。
標準操作手順（SOP）は、定型的または反復的なタスクやプロセスを実行するための手順と指示を記述した文書です。SOPは、IT機能における一貫性、品質、コンプライアンスを確保するために重要ですが、成熟度モデルとは直接関係ありません。サービスレベル契約（SLA）は、ITサービスプロバイダーと顧客間の期待と義務を定義する契約です。SLAは、IT機能における顧客満足度、パフォーマンス測定、紛争解決を確保するために重要ですが、成熟度モデルとは直接関係ありません。ビジネスレジリエンス計画は、IT機能がどのように運用を継続するか、または中断や災害からどのように回復するかを概説した文書です。ビジネスレジリエンスは、IT機能における可用性、信頼性、セキュリティを確保するために重要ですが、成熟度モデルとは直接関係ありません。参考文献：1: IT & テクノロジーの成熟度モデル | Splunk 2: 責任割当マトリックス - Wikipedia 3: 役割と責任マトリックス - SDLCforms