NEW
Font size
S
M
L
XL
WorksheetsQCM - GRC
Total questions: 50
Worksheet time: 2hrs 40mins
Name
Class
Date
1.
Lequel des facteurs suivants est le MEILLEUR pour déterminer l’étendue nécessaire de la collecte de données au cours de la phase de planification d’un audit de conformité des systèmes d’information ?
a)
La complexité du fonctionnement de l’organisation
b)
Les conclusions et les questions relevées au cours de l’année précédente
c)
Le but, l'objectif et l'étendue de l’audit
d)
La connaissance de l’organisation par l’auditeur
2.
Lors de la planification d’un audit SI, l’étape LA PLUS critique est l’identification des éléments suivants :
a)
zones à risque important.
b)
compétences du personnel d’audit.
c)
les étapes de test de l’audit.
d)
le temps imparti pour l’audit.
3.
Les décisions et les actions d’un auditeur des systèmes d’information sont les PLUS susceptibles d’affecter le type de risque suivant :
a)
Le risque inhérent
b)
Le risque de détection
c)
Le risque de contrôle
d)
Le risque business
4.
Lors de l’élaboration d’un programme de gestion des risques, quelle est la PREMIÈRE activité à réaliser ?
a)
L’analyse des menaces.
b)
La classification des données
c)
L'Inventaire des biens
d)
L'analyse de la criticité
5.
Parmi les éléments suivants, lequel est le PLUS susceptible d’être utilisé pour établir les objectifs et le champ d’application d’un audit ?
a)
Les rapports d’audit précédents.
b)
La stratégie business
c)
Les rapports d’évaluation des risques
d)
Les résultats de l’audit
6.
Un auditeur des systèmes d’information découvre que des équipements connectés au réseau ne sont pas inclus dans un diagramme de réseau qui avait été utilisé pour définir l’étendu de l’audit. Le directeur des systèmes d’information explique que le diagramme est en cours de mise à jour et qu’il attend l’approbation finale.
L’auditeur SI doit PREMIÈREMENT :
a)
élargir le périmètre de l’audit des SI pour inclure les équipements qui ne figurent pas sur le diagramme de réseau.
b)
évaluer l’impact des équipements non documentés sur l’étendue de l’audit.
c)
Il n’est pas possible de noter une déficience de contrôle parce que le diagramme de réseau n’a pas été approuvé.
d)
planifier les audits de suivi des équipements non documentés.
7.
Des mesures correctives ont été prises par un audité immédiatement après l'identification d'une constatation à signaler. L'auditeur doit :
a)
inclure la constatation dans le rapport final, car l’auditeur des SI est responsable d’un rapport précis de toutes les constatations.
b)
ne pas inclure la constatation dans le rapport final parce que la direction a résolu le problème.
c)
ne pas inclure les conclusions dans le rapport final, car les mesures correctives peuvent être vérifiées par l'auditeur du SI au cours de l'audit.
d)
inclure les conclusions lors de la réunion de clôture à des fins de discussion uniquement.
8.
Lors d’un audit de sécurité des processus TI, un auditeur des systèmes d’information constate qu’il n’existe pas de procédures de sécurité documentées. L’auditeur SI doit :
a)
créer le document de procédures sur la base des pratiques.
b)
émettre une opinion sur l’état actuel et mettre fin à l’audit.
c)
effectuer des tests de conformité sur la base des données disponibles.
d)
identifier et évaluer les pratiques existantes.
9.
La PRINCIPALE raison pour laquelle un auditeur des systèmes d’information effectue une revue structurée fonctionnelle au cours de la phase préliminaire d’une mission d’audit est la suivante :
a)
comprendre le processus business.
b)
se conformer aux normes d’audit.
c)
identifier les faiblesses du contrôle.
d)
élaborer l’évaluation des risques.
10.
Les propriétaires des données sont responsables de :
a)
sauvegarder les données en créant des sauvegardes régulières.
b)
la sécurité des données tout au long de leur cycle de vie, de leur création à leur destruction.
c)
protéger les données en les contrôlant en temps réel.
d)
effectuer l’évaluation des risques et mettre en place les contrôles appropriés.
11.
Parmi les choix suivants, quelle est la MEILLEURE source d’information pour l’élaboration d’un plan d’audit fondé sur le risque ?
a)
Les propriétaires des processus identifient les contrôles clés.
b)
Les responsables du système identifient les vulnérabilités.
c)
Les auditeurs pairs comprennent les résultats des audits précédents.
d)
La direction générale identifie les processus business clés.
12.
Lors de l’élaboration d’une stratégie d’audit basée sur les risques, un auditeur des systèmes d’information doit procéder à une évaluation des risques afin de s’assurer que :
a)
les contrôles nécessaires pour atténuer le risque sont en place.
b)
les vulnérabilités et les menaces sont identifiées.
c)
le risque d’audit est pris en considération.
d)
une analyse de l’écart est appropriée.
13.
La décision finale d’inclure une conclusion matérielle dans un rapport d’audit doit être prise par :
a)
le comité d’audit.
b)
le manager de l’audité.
c)
l’auditeur des systèmes d’information.
d)
le directeur général.
14.
Lequel des éléments suivants représente un manque de contrôles adéquats ?
a)
Un impact
b)
Une vulnérabilité
c)
Un actif
d)
Une menace
15.
Lequel des éléments suivants est la PREMIÈRE étape d’une évaluation des risques TI dans le cadre d’un audit basé sur les risques ?
a)
Identifier tous les systèmes TI et les contrôles pertinents pour les objectifs de l’audit.
b)
Dresser la liste de tous les contrôles du programme d’audit pour sélectionner ceux qui correspondent aux objectifs de l’audit.
c)
Examiner les résultats d’une évaluation des risques.
d)
Comprendre les activités business, leur modèle de fonctionnement et leurs processus clés.
16.
Un auditeur des systèmes d’information d’une entreprise et également auditeur d’un fournisseur de services en nuage (CSP). La direction de l’entreprise a demandé à l’auditeur une copie du rapport d’audit du CSP parce qu’elle est également cliente de ce dernier. Laquelle des mesures suivantes est la MEILLEURE approche pour l’auditeur SI ?
a)
Partager le rapport car l’entreprise le recevra de toute façon conformément à son contrat avec le fournisseur de services cloud (CSP).
b)
Demander au manager d’obtenir une copie du rapport directement auprès du CSP.
c)
Refuser de partager le rapport parce que l’auditeur a signé un accord de non-divulgation avec le CSP.
d)
Discuter des conclusions générales de manière informelle afin de donner une assurance sur la conformité du CSP.
17.
L’action la PLUS appropriée pour un auditeur des systèmes d’information lorsqu’il découvre des comptes d’utilisateurs partagés est la suivante :
a)
informer le comité d’audit du problème potentiel.
b)
examiner les journaux d’audit pour les identifiants en question.
c)
documenter les conclusions et expliquer le risque lié à l’utilisation d’identifiants partagés.
d)
demander que les identifiants soient retirés du système.
18.
En raison de contraintes imprévues au niveau des ressources de l’équipe d’audit des systèmes d’information, le plan d’audit, tel qu’il a été approuvé à l’origine, ne peut pas être réalisé complètement. Dans l'hypothèse que la situation soit bien communiquée dans le rapport d’audit, quelle est l’approche la PLUS acceptable ?
a)
Tester l’adéquation de la conception des contrôles.
b)
Tester l’efficacité opérationnelle des contrôles.
c)
Se concentrer sur l’audit des zones à haut risque.
d)
S’appuyer sur les tests des contrôles effectués par le management.
19.
Quelle technique d’audit fournit la MEILLEURE preuve de la séparation des tâches dans un service informatique ?
a)
Discussion avec le manager
b)
Examen de l’organigramme
c)
Observation et entretiens
d)
Test des droits d’accès des utilisateurs
20.
La raison la PLUS importante pour laquelle un auditeur des systèmes d’information doit obtenir des preuves d’audit suffisantes et appropriées est la suivante :
a)
se conformer aux exigences réglementaires
b)
fournir une base permettant de tirer des conclusions raisonnables.
c)
assurer une couverture complète de l’audit.
d)
réaliser l’audit conformément à l’étendue définie.
21.
Dans le cadre de la planification de l’audit, un auditeur des systèmes d’information conçoit divers tests de validation des données afin de détecter efficacement les erreurs de transposition et de transcription. Lequel des tests suivants contribuera le PLUS à la détection de ces erreurs ?
a)
Le contrôle des limites
b)
Le contrôle de validité
c)
Le contrôle des doublons
d)
Un chiffre de contrôle
22.
Un auditeur des systèmes d’information teste l’accès des employés à un grand système financier et sélectionne un échantillon à partir de la liste actuelle des employés fournie par l’audité. Parmi les éléments probants suivants, lequel est le PLUS fiable pour étayer les tests ?
a)
Une feuille de calcul fournie par l’administrateur du système.
b)
Les documents d’accès aux ressources humaines signés par les managers des employés
c)
Une liste de comptes avec des niveaux d’accès générée par le système
d)
Des observations effectuées sur place en présence d’un administrateur du système
23.
Lequel des éléments suivants représente un exemple de contrôle préventif en ce qui concerne le personnel TI ?
a)
Un agent de sécurité posté à la porte de la salle des serveurs.
b)
Un système de détection d’intrusion (IDS)
c)
Un système de badge d’entrée pour les installations TI.
d)
Un système d’extinction d’incendie dans la salle des serveurs
24.
Une institution financière possédant plusieurs succursales dispose d’un contrôle automatisé qui exige que le manager de la succursale approuve les transactions dépassant un certain montant. De quel type de contrôle d’audit s’agit-il ?
a)
Détectif
b)
Correctif
c)
Préventif
d)
Directif
25.
Un auditeur des systèmes d’information examine l’accès à une application afin de déterminer si les comptes récemment ajoutés ont été dûment autorisés. Ceci est un exemple de :
a)
échantillonnage de variables.
b)
test de corroboration.
c)
test de conformité.
d)
échantillonnage « arrêt-départ ».
26.
Un auditeur des systèmes d’information souhaite déterminer l’efficacité du contrôle de l'accès des utilisateurs d’une salle de serveurs. Lequel des éléments suivants constitue la MEILLEURE preuve d’efficacité ?
a)
L’observation d’un événement enregistré
b)
L'examen du manuel de procédures
c)
Un entretien avec la direction
d)
Un entretien avec le personnel de sécurité
27.
Un test de corroboration permettant de vérifier que les enregistrements de l’inventaire de la bibliothèque de bandes sont exacts consiste à :
a)
déterminer si des lecteurs de codes-barres sont installés.
b)
déterminer si le mouvement des bandes est autorisé.
c)
effectuer un comptage physique de l’inventaire des bandes.
d)
vérifier si les réceptions et les émissions de bandes sont enregistrées avec exactitude.
28.
Lors d’un audit de conformité d’une petite banque, l’auditeur des systèmes d’information constate que les fonctions TI et comptables sont assurées par le même utilisateur du système financier. Lequel des contrôles suivants, effectués par le superviseur de l’utilisateur, représente le MEILLEUR contrôle compensatoire ?
a)
Des pistes d’audit qui indiquent la date et l’heure de la transaction.
b)
Un rapport quotidien indiquant le nombre total et le montant de chaque transaction.
c)
Le contrôle de l’administration des comptes d’utilisateurs
d)
Les journaux informatiques qui montrent les transactions individuelles
29.
Lors de l’examen d’un système de gestion de la qualité, l’auditeur des systèmes d’information doit PRINCIPALEMENT s’attacher à collecter des éléments de preuve montrant que :
a)
les systèmes de gestion de la qualité sont conformes aux bonnes pratiques.
b)
les objectifs d’amélioration continue font l’objet d’une surveillance.
c)
les procédures opérationnelles standard sont mises à jour chaque année.
d)
les indicateurs clés de performance sont définis.
30.
Un auditeur des systèmes d’information prévoit d’évaluer l’efficacité de la conception des contrôles relatifs à un processus de facturation automatisé. Laquelle des approches suivantes est la PLUS efficace pour l’auditeur SI ?
a)
L’entretien
b)
La demande d’informations
c)
La ré-exécution
d)
Une revue structurée
31.
Un auditeur des systèmes d’information constate que les tentatives de connexion infructueuses à un système financier central sont automatiquement enregistrées et que les journaux sont conservés pendant un an par l’organisation. Cet enregistrement est :
a)
un contrôle préventif efficace.
b)
un contrôle de détection valable.
c)
un contrôle inadéquat.
d)
un contrôle correctif.
32.
L’objectif PRINCIPAL d’une piste d’audit des transactions est de :
a)
réduire l’utilisation des supports de stockage.
b)
déterminer l’imputabilité et la responsabilité des transactions traitées.
c)
aider un auditeur des systèmes d’information à retracer les transactions.
d)
fournir des informations utiles pour la planification des capacités.
33.
Quel est le PRINCIPAL avantage de la mise en œuvre d’un audit basé sur les risques ? Une approche d’audit basée sur le risque :
a)
lie l’audit interne au cadre général de gestion des risques de l’entreprise.
b)
permet de s’assurer que les risques, les réponses aux risques et les actions sont correctement classés et rapportés.
c)
permet d’identifier les risques résiduels qui ne correspondent pas à l’appétit pour le risque, afin que des mesures appropriées soient prises pour traiter le risque.
d)
permet aux auditeurs de fournir au conseil d’administration l’assurance que les processus de gestion des risques gèrent efficacement les risques par rapport à l’appétit pour le risque.
34.
Laquelle des mesures suivantes devrait être la PREMIÈRE action d’un auditeur des systèmes d’information lors d’un différend avec un manager d’un service au sujet des conclusions d’un audit ?
a)
Retester le contrôle pour valider les conclusions.
b)
Faire appel à un tiers pour valider les conclusions.
c)
Inclure la constatation dans le rapport avec les conclusions du manager du service.
d)
Revalider les éléments probants à l’appui de la conclusion.
35.
Lequel des éléments suivants est un avantage CLÉ d’un contrôle d’auto-évaluation (CSA) ?
a)
L’appropriation par le manager des contrôles internes soutenant les objectifs business est renforcée.
b)
Les dépenses d’audit sont réduites lorsque les résultats de l’évaluation sont pris en compte dans les travaux d’audit externe.
c)
La détection des fraudes est améliorée car le personnel interne de l’entreprise participe aux contrôles de test.
d)
Les auditeurs internes peuvent passer à une approche consultative en utilisant les résultats de l’évaluation.
36.
L’objectif PRINCIPAL d’une réunion avec les audités avant la clôture formelle d’une revue est de :
a)
confirmer que les auditeurs n’ont pas négligé de questions importantes.
b)
obtenir un accord sur les conclusions.
c)
recevoir des commentaires sur l’adéquation des procédures d’audit.
d)
tester la structure de la présentation finale.
37.
Lorsque l’auditeur des systèmes d’information rencontre des cas ou des indicateurs de fraude au cours de ses travaux d’assurance habituels, que doit faire l’auditeur EN PREMIER ?
a)
Communiquer avec le manager de l’audit.
b)
Signaler le problème au comité d’audit.
c)
Signaler le cas de fraude aux autorités compétentes.
d)
Procéder à une analyse et à une évaluation minutieuses.
38.
Un auditeur des systèmes d’information constate que les réponses reçues lors d’un entretien avec un responsable de la paie ne correspondent pas aux descriptions de poste et aux procédures documentées. Dans ces circonstances, l’auditeur SI doit :
a)
conclure que les contrôles sont inadéquats.
b)
élargir l’étendue des travaux pour y inclure des tests de corroboration.
c)
s’appuyer davantage sur les audits précédents.
d)
suspendre l’audit.
39.
Un auditeur des systèmes d’information élabore un plan d’audit pour un environnement comprenant de nouveaux systèmes. La direction de l’entreprise souhaite que l’auditeur SI se concentre sur les systèmes d’information récemment mis en place. Quelle doit être la réponse de l’auditeur SI ?
a)
Auditer les nouveaux systèmes comme le demande la direction.
b)
Auditer les systèmes non inclus dans le champ d’application de l’année précédente.
c)
Déterminer les systèmes présentant le plus de risques et planifier en conséquence.
d)
Auditer les systèmes ne figurant pas dans le champ d’application de l’année dernière et les nouveaux systèmes.
40.
Au cours de l’examen d’un logiciel d’application, un auditeur des systèmes d’information a identifié des faiblesses mineures dans un environnement de base de données pertinent qui n’entre pas dans le champ de l’audit. La MEILLEURE option consiste à :
a)
inclure une revue des contrôles de la base de données dans le champ d’application.
b)
un examen des documents pour un examen ultérieur.
c)
travailler avec les administrateurs de la base de données pour corriger le problème.
d)
signaler les faiblesses telles qu’elles ont été observées.
41.
Lors d’un audit de systèmes d'information, l’auditeur a observé une activité frauduleuse dans une zone qui n’entrait pas dans le champ d’application de l’audit. Laquelle des mesures suivantes est la MEILLEURE approche pour l’auditeur ?
a)
Effectuer un audit de la zone suspecte et l’inclure dans le rapport.
b)
Communiquer les observations à la direction générale.
c)
Ignorer l’activité et ne rien faire, puisqu’elle n’entre pas dans le champ de l’audit.
d)
Signaler l’activité frauduleuse à un organisme chargé de l’application de la loi.
42.
Après avoir examiné le processus de plan de reprise après sinistre d’une organisation, un auditeur des systèmes d’information demande à rencontrer la direction de l’organisation pour discuter de ses conclusions. Lequel des énoncés suivants décrit le MIEUX l’objectif principal de cette réunion ?
a)
Obtenir l’approbation du plan d’actions correctives par la direction
b)
Confirmer l’exactitude factuelle des conclusions.
c)
Assister la direction dans la mise en œuvre des actions correctives.
d)
Établir un ordre de priorité pour la résolution des problèmes.
43.
Lors d’un entretien de clôture, en cas de désaccord sur l’impact d’une conclusion, l’auditeur des systèmes d’information doit :
a)
demander à l’audité de signer un formulaire de décharge acceptant la pleine responsabilité juridique.
b)
informer la direction des conclusions et des risques associés découverts lors d’un audit, en précisant l’importance des conclusions et le risque qu’il y a à ne pas les corriger.
c)
signaler le désaccord au comité d’audit pour qu’il soit résolu.
d)
accepter la position de l’audité parce qu’il est le propriétaire des processus.
44.
Un auditeur des systèmes d’information, qui a participé à la conception du plan de continuité de l’entreprise (BCP) d’une organisation, a été chargé d’auditer ce plan. L’auditeur SI doit :
a)
refuser la mission.
b)
informer le manager de l’éventualité d’un conflit d’intérêts après avoir terminé la mission d’audit.
c)
informer l’équipe chargée du plan de continuité de l’entreprise de l’existence éventuelle d’un conflit d’intérêts avant le début de la mission.
d)
confirmer la possibilité d’un conflit d’intérêts à la direction de l’audit avant le début de la mission.
45.
Une audité n’est pas d’accord avec une conclusion d’audit. Laquelle des mesures suivantes est la MEILLEURE approche par l’auditeur des systèmes d'information ?
a)
Discuter des conclusions avec le manager de l’auditeur SI.
b)
Retester le contrôle pour confirmer les conclusions.
c)
Augmenter le niveau de risque associé au contrôle.
d)
Discuter des conclusions avec le manager de l’audité.
46.
Lorsqu’il évalue l’effet collectif des contrôles préventifs, de détection et correctifs au sein d’un processus, un auditeur des SI doit être conscient de lesquels des éléments suivants ?
a)
Le point auquel les contrôles sont exercés à mesure que les données circulent dans le système
b)
Seuls les contrôles préventifs et détectives sont pertinents
c)
Les contrôles correctifs sont considérés comme compensatoires
d)
La classification permet à un auditeur des SI de déterminer quels contrôles manquent
47.
L’objectif d’une somme de contrôle sur un champ de montant dans une communication d’échange de données informatisée de transactions financières est de garantir :
a)
intégrité.
b)
authenticité.
c)
autorisation.
d)
non-répudiation.
48.
Lors d’un entretien de clôture (débriefing à chaug), en cas de désaccord sur l’impact d’une constatation, un auditeur des SI doit :
a)
demandez à l’audité de signer un formulaire de décharge acceptant l’entière responsabilité légale.
b)
expliquer l’importance de la constatation et le risque de ne pas la corriger.
c)
signaler le désaccord au comité d’audit pour résolution.
d)
accepter la position de l'audité parce qu'il est le propriétaire du processus.
49.
Lequel des contrôles suivants un auditeur des SI rechercherait-il dans un environnement où les tâches ne peuvent pas être séparées de manière appropriée ?
a)
Contrôles qui se chevauchent
b)
Contrôles aux frontières
c)
Contrôles d'accès
d)
Contrôles compensatoires
50.
Le service d'audit interne a rédigé des scripts utilisés pour l'audit continu de certains systèmes d'information. Le service informatique a demandé des copies des scripts afin de pouvoir les utiliser pour mettre en place un processus de surveillance continue des systèmes clés. Le partage de ces scripts avec le service informatique affecterait-il la capacité des auditeurs du SI à auditer de manière indépendante et objective la fonction informatique ?
a)
Le partage des scripts n'est pas autorisé car cela donnerait au service informatique la possibilité de pré-auditer les systèmes et d'éviter un audit précis et complet.
b)
Le partage des scripts est nécessaire car le service informatique doit avoir la capacité d'examiner tous les programmes et logiciels qui s'exécutent sur les systèmes SI, quelle que soit l'indépendance de l'audit.
c)
Le partage des scripts est autorisé à condition que le service informatique reconnaisse que des audits peuvent toujours être menés dans des domaines non couverts par les scripts.
d)
Le partage des scripts n'est pas autorisé car cela signifierait que les auditeurs SI qui ont écrit les scripts ne seraient pas autorisés à auditer les systèmes SI où les scripts sont utilisés à des fins de surveillance.
Reset
