こんばんは。

内部統制の初年度である昨年度からITセキュリティポリシーを
運用開始しているのですが、
年一回の見直しの時期がやってきました。

見直しの分類としてはざっと以下のような感じで考えています。

1.足の速いIT技術の変化や社内環境の変化に伴い、
現状と乖離してしまった内容の改正
2.実施できているが規程として明文化されていないルールの盛り込み
3.不整合（当規程内、他規程間）や曖昧な表現の是正

手順としては、これを情シスのメンバーに周知し、期限付きで意見を集めて
それをインプット情報として・・

ドラフト改訂版の作成
↓
部内レビュー
↓
修正
↓
部内承認
↓
会社承認

といった流れで進めようと思っておりますが、
こういった規程類の改正を仕切るのは初めてなので、
正直こんな流れで進めてよいのか不安なところもあります。
（会社承認以降の流れは社内規定で決まっているので問題ないのですが）

そこでなのですが、皆さんの会社ではITセキュリティポリシーなどの
規程類の見直しってどんな流れで実施していますか。
アイデアや改善案が出やすいような仕掛けなどアドバイスいただけると嬉しいです。

よろしくお願いします。