効果的なコントロール自己評価（CSA）プログラムにとって、ビジネスプロセスを理解することが最も重要な要素です。CSAプログラムとは、事業部門、機能、またはプロセスに直接関与する管理者や作業チームが、組織のリスク管理およびコントロールプロセスを評価することを可能にする手法です1。CSAプログラムは、戦略的な事業目標の達成に対するリスクと潜在的な影響を特定し、コントロールの適切性と有効性を評価し、ギャップや弱点に対処するための是正計画を実施するのに役立ちます2。CSAを成功させるには、レビュー対象のビジネスプロセスについて、その目的、インプット、アウトプット、アクティビティ、リソース、依存関係、利害関係者、パフォーマンス指標などを含め、明確かつ包括的に理解することが不可欠です。これにより、プロセスに関連するリスクとコントロールを特定し、その影響と発生可能性を評価することができます。評価の範囲を決定し、詳細なテスト手順を実行し、リスク環境の変化を評価することも、効果的なCSAプログラムにとって重要な要素ですが、ビジネスプロセスを理解することほど重要ではありません。これらの要素はCSAプログラムの実行および監視フェーズに関係する一方、ビジネスプロセスの理解は計画および準備フェーズに関係します。ビジネスプロセスをしっかりと理解していなければ、CSAの範囲、テスト、および評価は正確または完全ではない可能性があります。参考文献：ISACA CISAレビューマニュアル第27版、310ページ

Explanation/Reference:
Explanation:
With a policy of well-archived e-mail records, access to or retrieval of specific e-mail records is possible without disclosing other confidential e-mail records. Security and/or audit policies would not address the efficiency of record retrieval, and destroying e-mails may be an illegal act.

説明
災害復旧計画（DRP）とは、企業の重要資産を概説し、予期せぬ事態への対応方法を説明した、詳細かつ文書化された一連のガイドラインです。予期せぬ事態や災害には、通常、サイバー攻撃、システム障害、停電、自然災害、機器の故障、インフラの損傷などが含まれます¹。DRPは、災害が企業の事業継続性、データの完全性、およびサービス提供に与える影響を最小限に抑えることを目的としています。また、DRPは、組織が災害からできるだけ迅速かつ効率的に復旧できるよう支援します。
災害復旧計画（DRP）には、代替品の調達手順を含める必要があります。これは、災害後に組織の通常の業務を復旧させる上で不可欠な要素だからです。代替品には、ハードウェア、ソフトウェア、データ、ネットワーク機器、事務機器、その他、災害によって中断された業務機能やプロセスを再開するために必要なリソースが含まれます。代替品の調達には、ベンダー、サプライヤー、パートナーへの連絡、バックアップシステムや代替システムの起動、新規機器の購入またはレンタルなどが含まれる場合があります。DRPでは、代替品の入手先、場所、費用、および調達と設置の手順と責任を明確にする必要があります。
The other three options are not steps that a DRP should include, as they are either part of the pre-disaster planning process or not directly related to the disaster recovery objectives. Assessing and quantifying risk is a step that should be done before creating a DRP, as it helps identify the potential threats and vulnerabilities that could affect the organization and determine the likelihood and impact of each scenario2. Negotiating contracts with disaster planning consultants is also a pre-disaster activity that may help the organization design, implement, test, and maintain a DRP with external expertise and guidance3. Identifying application control requirements is not a step in a DRP, but rather a part of the application development and maintenance process that ensures the quality, security, and reliability of the software applications used by the organization.
Therefore, obtaining replacement supplies is the correct answer.
References:
What is a Disaster Recovery Plan? + Complete Checklist
Risk Assessment - ISACA
Disaster Recovery Planning - ISACA
[Application Controls - ISACA]