APIゲートウェイのセキュリティ監査において、JWT（JSON Web Token）を用いた認証・認可の検証ポイントはどれか。

システム開発の見積もり監査において、FP法（ファンクションポイント法）などの客観的手法を用いず、「類推法（過去の経験）」のみで見積もっている場合のリスク指摘として適切なものはどれか。