Moin,
also, vorab: wissen tu ich das nicht. Aber: Dürfte abhängig sein von eurer Mitarbeiteranzahl und evtl. auch noch von der Art und Komplexität eurer Tätigkeit.
Ich denke die Vorgaben dazu kommen von der DAKKS.
Wie geschrieben, alles Vermutung.
Frag einfach deinen Auditleiter.