リスクアセスメントにおいて特定すべき対象はどれか。

個人情報保護マネジメントシステムの適用範囲を決定する際に考慮すべきものはどれか。