Программа аудита должна учитывать:

потребности и ожидания соответствующих заинтересованных сторон
соответствующие внешние и внутренние факторы
требования заказчика аудита
требования к информационной безопасности и конфиденциальности
цели организации

К сожалению, у нас пока нет статистики ответов на данный вопрос, но мы работаем над этим.