确定应用系统中建立多少控制措施的标准不应包含以下哪项（）

A、威胁发生的可能性

B、缺乏控制，可能会造成的影响

C、实施和维护控制所需的成本

D、首先要保证系统的安全，其次再考虑可用、效率等问题。