Состав, количество и содержание рабочей документации определяются аудиторской организацией исходя из (отметьте неверное):

Результатов ранее проведенного аудита.
Сложности деятельности проверяемой организации.
Вида проводимого аудита ИБ (внутреннего или внешнего).
Состояния системы внутреннего контроля и (или) мониторинга ИБ.

К сожалению, у нас пока нет статистики ответов на данный вопрос, но мы работаем над этим.