Em relação ao processo e organização da função de auditoria de TI, é correto afirmar: