CISA 的 D1(資訊系統稽核過程)前半是稽核規劃:怎麼決定查哪裡、稽核人員的立場、控制怎麼分類、該遵循什麼準則。觀念不難,難在題目會把「看起來很負責」的做法放進選項。
下面 10 個觀念,每個回答三件事:考試怎麼考、哪裡會被騙、怎麼分辨。例題是自寫的練習題。
規劃|風險決定查哪裡、查多深
1. 年度計畫依風險排,不是輪流或方便
- 考法:排年度計畫,或規劃沒查過的新領域時,問最先做什麼。答案是風險評估:把稽核母體(所有可稽核的流程、系統與單位)依風險高低排序。
- 被騙:「去年發現最多的單位」只看過去,那是追蹤的事;「請業務主管挑想被查的」讓受稽單位決定查什麼;「工時少的先排」只求案數。另外,影響大不等於風險高,還要看發生機率。
例稽核人力只夠完成三分之一的候選案,年度計畫最先做什麼?答案是依風險評估結果排序,先納入高風險領域。
一句話分辨問「查哪裡」,先找風險評估,其他選項都只是它的輸入。
2. 個別稽核案先懂業務
- 考法:問某個系統或流程的稽核第一步。順序是:了解業務與環境(目標、流程、適用法規),風險評估,訂目標與範圍,擬稽核方案。
- 被騙:列系統與控制清單、看技術架構、直接測控制,每一項都合理,卻都排在懂業務之後。
一句話分辨年度計畫決定「查哪些案」,個別案決定「這案怎麼查」。選項同時有「了解業務」和「風險評估」,前者在前。
3. 稽核人員能調的,只有偵測風險
- 考法:稽核風險由三者組成。固有風險是不考慮控制時本來就有的;控制風險是控制沒及時擋住或發現的;偵測風險是稽核程序沒查出來的。
- 被騙:「降低固有風險」「改善受稽單位的控制」聽起來積極,但前者稽核人員改變不了,後者是管理階層的事。能調的只有偵測風險:增加實質測試、加大樣本。
一句話分辨問「稽核人員自己能調哪個」,答偵測風險。控制風險越高,偵測風險要壓得越低。
章程與獨立性|誰核准,誰不能碰
4. 章程由最高治理層核准,不是委任書
- 考法:問哪份文件界定整個稽核職能的目的、權限與當責。答案是稽核章程,由董事會或稽核委員會核准,是獨立性的依據。
- 被騙:「委任書」只管單一案子,結束就失效。報告線同理:功能上向董事會或稽核委員會報告,行政上才向高階管理階層;向被查的資訊長報告,是獨立性的重大缺失。
一句話分辨「整個稽核職能」找章程,「這一案」找委任書,「今年查什麼」找稽核計畫。
5. 能建議,不能動手
- 考法:問哪件事損及獨立性,或被請託時怎麼回應。可以:驗證、評估風險、提供建議、說明控制目標。不可以:替管理階層決定,設計、導入、營運或日常監控受查的控制,推薦特定廠商。
- 被騙:「親手做最有效率」是自己審自己;「一律拒絕」看似有骨氣,但提供建議本來就是稽核的角色。
例報告發布後,IT 主管請稽核人員協助設計並導入改善發現的存取控制流程。最佳回應是提供控制目標與可參考的做法,設計與導入由管理階層負責,日後再追蹤驗證。
一句話分辨能建議,不能動手,碰過的不審。獨立性看組織定位與關係,客觀性看個人判斷;審自己設計的系統,考題歸為獨立性受損。
6. 獨立性可能受損,先向稽核主管揭露
- 考法:稽核人員曾參與受稽系統的設計或導入,或被要求兼做管理工作。答案是開工前先向稽核主管揭露,由他決定改派或調整分工;實在迴避不了,報告中也要揭露。
- 被騙:看似有骨氣的選項:自己拒絕(替主管決定人力)、只在報告註明(事後補一句)、改當最終複核(仍握定稿權)、告訴受稽團隊或找高層。
一句話分辨碰過的是自己,先報稽核主管,由他改派;碰過的只是同事,揭露就能繼續。
稽核類型|先找題目的判準
7. 稽核類型,看「拿什麼當判準」
考法:給一個稽核情境,問屬於哪一種。先找題目拿什麼當判準:
| 遵循稽核 | 判準是明文要求(法規、標準、合約),問「有沒有照規定」,不問效率 |
|---|---|
| 營運稽核 | 評估特定流程的控制設計與運作;評估效率的另稱行政稽核 |
| 整合稽核 | 財務、營運與資訊系統合看,需要跨專業團隊 |
| 鑑識稽核 | 查舞弊與犯罪,證據要能上法庭,監管鏈不能斷 |
| 控制自我評估 | 管理階層自己評估控制,稽核人員當促進者 |
- 被騙:題目問「有沒有照規定」,營運稽核聽起來再全面也不是答案;控制自我評估不取代稽核,也不是為了省費用;「確保完全沒有錯誤或舞弊」的選項不對,稽核只能提供合理確信。
控制|先分擋、找、救
8. 控制先分「何時出手」
- 考法:問屬於預防、偵測還是矯正。發生前擋下是預防(職務分工、存取控制);發生後找出是偵測(對帳、入侵偵測);發現後修復是矯正(備份還原、營運持續計畫)。
- 被騙:日誌審查是偵測,不是預防;備份還原是矯正,不是偵測;政策與程序屬指導性,警告標語屬嚇阻,都擋不下行為。預防優先的前提是擋得住:系統強制勝過靠人記得;風險出在人不懂時,訓練就是預防。
一句話分辨先問壞事有沒有被擋下。管理性、技術性、實體是另一條分類軸,別混在一起。
9. 一般控制是地基,應用控制蓋在上面
- 考法:問是一般控制還是應用控制。一般控制(ITGC)管整個 IT 環境:存取、變更管理、系統開發、電腦作業;應用控制內建在個別系統,管交易的輸入、處理、輸出。
- 被騙:只測應用控制就下結論。一般控制失效,應用控制就難以信賴,要多做實質測試;所以通常先評估一般控制。
一句話分辨編輯檢查、批次總數是應用控制;存取管理、變更管理是一般控制。
準則與指引|拘束力有高低
10. 準則強制,指引和工具只是協助
- 考法:問稽核人員「必須遵循」什麼,答案是 ISACA 的 IT 稽核與確信框架(ITAF)。準則分三類:一般準則管章程、獨立性、客觀性、專業能力,執行準則管規劃、蒐證,報告準則管報告、追蹤。
- 被騙:拘束力依序遞減:準則強制,指引協助應用,工具與技術只是參考。別把 COBIT 當稽核準則,它用在 IT 治理與管理。
一句話分辨「必須遵循」找準則,「怎麼應用」找指引,「IT 治理與管理」找 COBIT。
讀完拿免費試做的題目驗證一次,看自己會被這 10 種選項裡的哪幾種騙到。