参考答案：B

解析：业务导向应该是实施安全政策的主旨。因此，针对IT安全政策时IS审计应主要集中在IT及相关的安全和控制政策是否支持业务和IT目标上。审查是否为所有员工提供安全政策是一个目标，但分配本身不能确保合规。可以将具有功能说明的组织架构图以及职责的分离纳入到审查范围，但这不是安全政策的审计的主要目标。