确认或验证的范围和程度应当经过风险评估来确定。