达到评价IT风险的目标最好是通过（）

A、评估与当前IT资产和IT项目相关的威胁

B、使用过去公司损失的实际经验来确定当前的风险

C、浏览公开报导的可比较组织的损失统计数据

D、浏览审计报告中涉及的IT控制薄弱点