在IT风险管理过程中，首先要明确系统的功能，要识别系统中的各种有效资源和信息的组成，有关系统的信息，风险管理人员可以通过以下方式取得( )。

A．调查问卷

B．部门访问

C．文件查阅、自动扫描工具

D．以上三者都对