Auditoria Informatica - CAP. 1-2 Manual CISA
GUÍA PARA EL EXAMEN DE AUDITORÍA INFORMÁTICA EN LA UVM SOBRE EL MANUAL DE PREPARACIÓN DE CISA.
- 1.
¿Cuál de los siguientes es un beneficio de un método de planeación de auditoría basado en el riesgo?
- A.
El cronograma de auditoría puede realizarse con meses de anticipación
- B.
Es más probable que los presupuestos de auditoría sean cumplidos por el personal de auditoría de SI
- C.
El personal de auditoría estará expuesto a una variedad de tecnologías
- D.
Los recursos de auditoría son asignados a las áreas de mayor preocupación
Correct Answer
D. Los recursos de auditoría son asignados a las áreas de mayor preocupaciónExplanation
El método basado en el riesgo está diseñado para asegurar que el tiempo de auditoría sea empleado en las áreas de mayor riesgo. El desarrollo de un cronograma de auditoría no está dirigido por un método basado en el riesgo. Los cronogramas de auditoría puede ser preparados con meses de anticipación usando diversos métodos de cronograma. Un método de riesgo no tiene una correlación directa con que el personal de auditoría cumpla con los cronogramas en una auditoría en particular, ni quiere decir necesariamente que una variedad más amplia de auditorias se llevará a cabo en un año dado.Rate this question:
-
- 2.
Una acción correctiva ha sido tomada por un auditado inmediatamente después de la identificación de un hallazgo que debería ser reportado. El auditor debe:
- A.
Incluir el hallazgo en el reporte final porque el auditor de SI es responsable de un reporte exacto de todos los hallazgos.
- B.
No incluir el hallazgo en el reporte final porque el reporte de auditoría debe incluir solamente los hallazgos no resueltos.
- C.
No incluir el hallazgo en el reporte final porque la acción correctiva puede ser verificada por el auditor de SI durante la auditoría.
- D.
Incluir el hallazgo en la reunión de cierre para fines de discusión soalmente.
Correct Answer
A. Incluir el hallazgo en el reporte final porque el auditor de SI es responsable de un reporte exacto de todos los hallazgos.Explanation
Incluir el hallazgo en el reporte final es una práctica de auditoría generalmente aceptada. Si se emprende una acción después de que comenzó la auditoría y antes de que se terminara, el reporte de auditoría debe identificar el hallazgo y describir la acción correctiva tomada. Un reporte de auditoría debe reflejar la situación, tal como ésta existía en el comienzo de la auditoría. Todas las acciones correctivas emprendidas por el auditado deben ser reportadas por escrito.Rate this question:
-
- 3.
El objetivo PRIMARIO de una función de auditoría de SI es:
- A.
Determinar si todos usan los recursos de SI de acuerdo con su descripción del trabajo
- B.
Determinar si los sistemas de información salvaguardan activos, y mantienen la integridad de datos
- C.
Examinar libros de contabilidad y evidencia documentaría relacionada para el sistema computarizado
- D.
Determinar la capacidad de la organización para detectar fraude
Correct Answer
B. Determinar si los sistemas de información salvaguardan activos, y mantienen la integridad de datosExplanation
La razón primara para llevar a cabo auditoría de SI es determinar si un sistema salvaguarda los activos y mantiene la integridad de los datos. Examinar libros de contabilidad es uno de los procesos involucrados en una auditoría de SI pero no es el propósito primario. Detectar fraudes podría ser una consecuencia de una auditoría de SI pero no es el propósito para el que se realiza una auditoría de SI.Rate this question:
-
- 4.
En el curso de la realización de un análisis de riesgo, un auditor de SI ha identificado amenazas e impactos potenciales. Inmediatamente después un auditor de SI debe:
- A.
Identificar y evaluar el proceso de análisis del riesgo usado por la gerencia.
- B.
Identificar los activos de información y los sistemas subyacentes.
- C.
Revelar las amenazas y los impactos a la gerencia.
- D.
Identificar y evaluar los controles existentes.
Correct Answer
D. Identificar y evaluar los controles existentes.Explanation
Es importante que un auditor de SI identifique y evalúe los controles y la seguridad existentes una vez que las amenazas potenciales y los impactos posibles están identificados. Al concluirse una auditoría, un auditor de SI debe describir y discutir con la gerencia las amenazas y los impactos potenciales sobre los activos.Rate this question:
-
- 5.
¿Cuál de las siguientes debe ser la MAYOR preocupación para un auditor de SI?
- A.
No reportar un ataque exitoso en la red
- B.
No notificar a la policía sobre un intento de intrusión.
- C.
La falta de examen periódico de derechos de acceso
- D.
La falta de notificación al público sobre un intruso.
Correct Answer
A. No reportar un ataque exitoso en la redExplanation
No reportar una intrusión es equivalente a un auditor de SI que esconde una intrusión maliciosa, lo cual sería un error profesional. A pesar de que pude requerirse la notificación a la policía y que la falta de un examen periódico de derechos de acceso podría ser una preocupación, ellos no representan una preocupación tan grande como la de dejar de reportar un ataque. Reportar al público no es un requisito y depende del deseo de la organización o de la falta del mismo de hacer saber sobre la intrusión.Rate this question:
-
- 6.
¿Cuál de los siguientes es un objetivo de control de SI?
- A.
Los reportes de salida están bajo llave en un lugar seguro
- B.
No ocurren transacciones duplicadas
- C.
Los procedimientos de respaldo/recuperación del sistema son actualizados periódicamente
- D.
El diseño y el desarrollo del sistema reúnen los requerimientos de los usuarios
Correct Answer
B. No ocurren transacciones duplicadasExplanation
Prevenir las transacciones duplicadas es un objetivo de control. Tener los reportes de salida bajo llave en un lugar seguro es un sistema interno de control de contabilidad, los procedimientos de respaldo/recuperación son un control operativo, y el diseño y el desarrollo del sistema que satisfacen los requerimientos del usuario es un control administrativo.Rate this question:
-
- 7.
Un elemento clave en un análisis de riesgo es / son:
- A.
La planeación de auditoría
- B.
Los controles
- C.
Las vulnerabilidades.
- D.
Las responsabilidades
Correct Answer
C. Las vulnerabilidades.Explanation
Las vulnerabilidades son un elemento clave en la realización de un análisis de riesgo. La planeación de la auditoría está constituida por procesos de corto y largo plazo que pueden detectar amenazas a los activos de información. Los controles mitigan los riesgos asociados con amenazas específicas. Las responsabilidades son parte del negocio y no son un riesgo en forma inherente.Rate this question:
-
- 8.
Un contrato de auditoría debería:
- A.
Ser dinámico y cambiar con frecuencia para coincidir con la naturaleza cambiante de la Tecnología y la profesión de auditoría.
- B.
Establecer claramente los objetivos de la auditoría para la delegación de autoridad para el mantenimiento y revisión de los controles internos.
- C.
Documentar los procedimientos de auditoría designados para lograr los objetivos planeados de auditoría
- D.
Descubrir la autoridad, alcance y responsabilidades generales de la función de auditoría.
Correct Answer
D. Descubrir la autoridad, alcance y responsabilidades generales de la función de auditoría.Explanation
Un contrato de auditoría debería establecer los objetivos de la gerencia para, y la delegación de autoridad a la auditoría de SI. Este contrato no debería cambiar de manera significativa con el tiempo y debería ser aprobado al nivel más alto de la gerencia. El contrato de auditoría no estaría a un nivel de detalle y por lo tanto no incluiría objetivos o procedimientos específicos de auditoría.Rate this question:
-
- 9.
Durante una revisión de los controles sobre el proceso de definir los niveles de servicios de TI, un auditor de SI entrevistaría MÁS probablemente al:
- A.
Programador de sistemas.
- B.
Personal del departamento legal.
- C.
Gerente de la unidad de negocio.
- D.
Programador.
Correct Answer
C. Gerente de la unidad de negocio.Explanation
Entender los requerimientos del negocio es clave para definir los niveles de servicio. Mientras que cada una de las otras entidades enumeradas pueden suministrar alguna definición la mejor elección aquí es el gerente de unidad de negocio, debido a los amplios conocimientos que tiene esta persona sobre los requerimientos relacionados con la organización.Rate this question:
-
- 10.
Es un enfoque de auditoría basado en el riesgo, un auditor de SI, además del riesgo, un auditor de SI, además del riesgo, esta´ria influenciado por la:
- A.
Disponibilidad de CAATs
- B.
Representación de la gerencia.
- C.
Estructura de la organización y las responsabilidades del puesto de trabajo
- D.
Existencia de controles internos y operativos
Correct Answer
D. Existencia de controles internos y operativosExplanation
La existencia de controles internos y operativos tendrá un peso sobre el enfoque de la auditoría por el auditor de SI. En un enfoque basado en el riesgo, el auditor de SI no se esta basando solamente en el riesgo, sino también en los controles internos y operativos así como también en el conocimiento de la compañía y del negocio. Este tipo de decisión de análisis del riesgo puede ayudar a relacionar el análisis costo-beneficio del control con el riesgo conocido, permitiendo elecciones prácticas. La naturaleza de técnicas de prueba disponibles y las manifestaciones de la Gerencia, tienen poco impacto sobre el enfoque de auditoría basado en el riesgo. A pesar de que la estructura de la organización y las responsabilidades del puesto de trabajo necesitan ser consideradas ellas no son consideradas directamente a menos que tengan un impacto en los controles internos y operativos.Rate this question:
-
- 11.
La PRINCIPAL ventaja del enfoque de evaluación del riesgo sobre el enfoque de línea base para la gerencia de seguridad de información es que éste asegura que:
- A.
Los activos de información estén sobreprotegidos.
- B.
Se aplique nivel básico de protección independientemente del valor del activo.
- C.
Se apliquen niveles apropiados de protección a los activos de información.
- D.
Se dedique una proporción igual de recursos para proteger todos los activos de información.
Correct Answer
C. Se apliquen niveles apropiados de protección a los activos de información.Explanation
Una evaluación completa del riesgo determina el nivel apropiado para un nivel dado de riesgo, mientras que el enfoque de la línea base aplica meramente un conjunto estándar de protección independientemente del riesgo. Hay una ventaja de costo en no sobreproteger la información. Sin embargo una ventaja aún mayor es asegurarse que ningún activo de información esta sobre ni protegido de manera insuficiente. El enfoque de la evaluación del riesgo asegurara que se aplique un nivel de protección apropiado al nivel de riesgo y al valor del activo, y por lo tanto, toma en cuenta el valor del activo. El enfoque de línea base permite que más recursos sean dirigidos hacia los activos que están en mayor riesgo de dirigir los recursos a todos los activos.Rate this question:
-
- 12.
¿Cuál de los métodos de muestreo es el MÁS útil cuando se pone a prueba su cumplimento?
- A.
Muestreo de atributos.
- B.
Muestreo de variables.
- C.
Media estratificada por unidad .
- D.
Estimación de la diferencia.
Correct Answer
A. Muestreo de atributos.Explanation
El muestreo de atributos es el método primario de muestreo que se usa para comprobar el cumplimiento. El muestreo de atributos es un modelo de muestreo que se usa para estimar la tasa de ocurrencia de una calidad especifica (atributo) en una población y se usa en la comprobación de cumplimento para confirmar si esta calidad existe o no. Las otras elecciones se usan en comprobaciones substantivas que involucran la comprobación de detalles o cantidad.Rate this question:
-
- 13.
El propósito PRIMARIO de un contrato de auditoría es:
- A.
Documentar el proceso de auditoría usado por la empresa.
- B.
Documentar formalmente el plan de acción del departamento de auditoría.
- C.
Documentar un código de conducta profesional para el auditor.
- D.
Describir la autoridad y responsabilidades del departamento de auditoría.
Correct Answer
D. Describir la autoridad y responsabilidades del departamento de auditoría.Explanation
El contrato de auditoría típicamente establece la función y la responsabilidad del departamento de auditoría interna. Debería establecer los objetivos de la gerencia y la delegación de autoridad al departamento de auditoría. Este se cambia muy pocas veces y no contiene el plan de auditoría o el proceso de auditoría que es por lo general parte del plan anual de auditoría, ni describe un código de conducta profesional ya que dicha conducta es fijada por la profesión y no por la gerencia.Rate this question:
-
- 14.
¿Cuál de las siguientes opciones sería normalmente la evidencia MÁS confiable para un auditor?
- A.
Una carta de confirmación recibida de un tercero verificado un saldo de cuenta.
- B.
Garantía de la gerencia de línea de que una aplicación está funcionado como se la diseño.
- C.
Los datos de tendencia obtenidos de fuentes de la World Wide Web (internet)
- D.
Los análisis de ratio desarrollados por el auditor de SI a partir de los informes suministrados por la gerencia de línea.
Correct Answer
A. Una carta de confirmación recibida de un tercero verificado un saldo de cuenta.Explanation
La evidencia obtenida de terceros independientes casi siempre es considerada la más confiable. Las respuestas B, C y D no serían consideradas confiables.Rate this question:
-
- 15.
¿Cuál de las siguientes es la razón MÁS probable de por qué los sistemas de correo electrónico se han convertido en una fuente útil de evidencia en litigios?
- A.
Permanecen disponibles archivos de respaldo de diferentes ciclos.
- B.
Los controles de acceso establecen la responsabilidad de dar cuenta de la información de correo electrónico.
- C.
La clasificación de datos regular que información debería ser comunicada por correo electrónico.
- D.
Dentro de la empresa, una política clara para usar el correo electrónico asegura que la evidencia esta disponible.
Correct Answer
A. Permanecen disponibles archivos de respaldo de diferentes ciclos.Explanation
Los archivos de respaldo contienen documentos, que supuestamente han sido borrados, podrían ser recuperados de estos archivos. Los controles de acceso pueden ayudar a establecer responsabilidades de dar cuenta de la emisión de un documento en particular, pero esto no provee evidencia del correo electrónico. Las normas de clasificación de datos pueden haber sido fijadas respecto a lo que debería comunicarse por correo electrónico, pero la creación de la política no provee información requerida para fines de litigación.Rate this question:
-
- 16.
¿Cuál de los siguientes describe MEJOR una prueba integrada (integrated test facility- ITF)?
- A.
Una técnica que permite al auditor de SI probar una aplicación de computadora con el fin de verificar si hay un proceso correcto.
- B.
La utilización de hardware y/o software para revisar y probar el funcionamiento de un sistema de computadora.
- C.
Un método para usar opciones especiales de programación para permitir que se imprima la ruta a través de un programa tomado para procesar una transacción especifica.
- D.
Un procedimiento para marcar y extender transacciones y registros maestros que son usados por un auditor de SI para pruebas.
Correct Answer
A. Una técnica que permite al auditor de SI probar una aplicación de computadora con el fin de verificar si hay un proceso correcto.Explanation
La respuesta A describe mejor una prueba integrada (integrated test facility- ITF), que es un proceso de auditoría especializado asistido por una computadora que permite que auditor de SI pruebe una aplicación de manera continua. La respuesta B es un ejemplo de un archivo de revisión de control de sistemas; las respuestas C y D son ejemplos de instantáneas.Rate this question:
-
- 17.
El departamento de SI de una organización quiere asegurarse de que los archivos de computadora usados en la instalación de procesamiento de información, estén respaldados adecuadamente para permitir la recuperación apropiada. Este es un:
- A.
Procedimiento de control.
- B.
Objetivos de control.
- C.
Control correctivo.
- D.
Control operativo.
Correct Answer
B. Objetivos de control.Explanation
Los objetivos de control de SI especifican el conjunto mínimo de controles para asegurar la eficiencia y efectividad en las operaciones y funciones dentro de una organización. Los procedimientos de control se desarrollan para proveer una garantía razonable de que se lograran los objetivos específicos. Un control correctivo es una categoría de controles, que está dirigida a minimizar la amenaza y/o remediar los problemas que no fueron impedidos o que no fueron inicialmente detectados. Los controles operativos se ocupan de las funciones y actividades operativas cotidianas, y ayudan a asegurar que las operaciones estén cumpliendo con los objetivos de negocio deseados.Rate this question:
-
- 18.
El grado hasta donde los datos serán recolectados durante una auditoría de SI debería ser determinado basado en:
- A.
La disponibilidad de la información crítica requerida.
- B.
La familiaridad del auditor con las circunstancias.
- C.
La capacidad del auditado para encontrar evidencia relevante
- D.
El propósito y el alcance de la auditoría que se haga.
Correct Answer
D. El propósito y el alcance de la auditoría que se haga.Explanation
El grado hasta donde los datos serán recolectados durante una auditoría de SI debe relacionarse directamente con el alcance y el propósito de la auditoría. Una auditoría que tenga un propósito y un alcance estrechos lo más probable es que tendría como consecuencia menos recolección de datos, que una auditoría que tuviera un propósito y un alcance más amplios. El alcance de una auditoría de SI no debería ser restringidos por la facilidad de obtener la información o por la familiaridad del auditor con el área que esta siendo auditada. Recolectar toda la evidencia requerida es un elemento requerido de un auditor de SI y el alcance de la auditoría no debe estar limitado por la capacidad del auditado de encontrar evidencia relevante.Rate this question:
-
- 19.
Se asigna a un auditor de sistemas para que realice una revisión de un sistema de aplicación posterior a la implementación. ¿Cuál de las siguientes situaciones puede haber comprometido la independencia del auditor de sistemas? El auditor de sistemas:
- A.
Implementó un control específico durante el desarrollo del sistema de aplicación.
- B.
Diseño un módulo integrado de auditoría exclusivamente para auditar el sistema de aplicación.
- C.
Participó como miembro del equipo del proyecto del sistema de aplicación, pero no tuvo responsabilidades operativas.
- D.
Suministró asesoramiento en relación con las mejores prácticas del sistema de aplicación.
Correct Answer
A. Implementó un control específico durante el desarrollo del sistema de aplicación.Explanation
Se puede comprometer la independencia si el auditor de sistemas está o ha estado involucrado activamente en el desarrollo, adquisición, e implementación del sistema de aplicación. Las opciones B y C son situaciones que no comprometen la independencia del auditor de sistemas. La opción D es incorrecta porque la independencia del auditor de sistemas no compromete suministrando asesoría sobre las mejores prácticas conocidas.Rate this question:
-
- 20.
Cuando se evalúa el efecto colectivo de los controles preventivos de detección o correctivos dentro de un proceso, un auditor de SI debería estar consciente:
- A.
Del punto en que los controles son ejercidos como flujos de datos a través del sistema.
- B.
De que solo los controles preventivos y de detección son relevantes.
- C.
De que los controles correctivos solo pueden ser considerados como compensatorios.
- D.
De que la clasificación permite a un auditor de SI determinar que controles faltan.
Correct Answer
A. Del punto en que los controles son ejercidos como flujos de datos a través del sistema.Explanation
Un auditor de SI debería concentrarse en cuando los controles son ejercidos como flujos de datos a través del sistema de computadora. La opción B es incorrecta ya que los controles correctivos pueden ser también relevantes. La opción C es incorrecta ya que los controles correctivos eliminan o reducen los efectos de los errores o irregularidades y son considerados exclusivamente como controles compensatorios. La opción D es incorrecta e irrelevante ya que la existencia y función de los controles es importante, no la clasificación.Rate this question:
-
- 21.
La ventaja PRIMARIA de un enfoque continuo de auditoría es que:
- A.
No requiere que un auditor de SI recolecte evidencia sobre la confidencialidad del sistema mientras está teniendo lugar el procesamiento.
- B.
Requiere que el auditor de SI revise y dé un seguimiento de inmediato a toda la información recolectada
- C.
Puede mejorar la seguridad del sistema cuando se usa en entornos que comparten el tiempo que procesan un gran número de transacciones.
- D.
No depende de la complejidad de los sistemas de computadora de una organización.
Correct Answer
C. Puede mejorar la seguridad del sistema cuando se usa en entornos que comparten el tiempo que procesan un gran número de transacciones.Explanation
El uso de técnicas continuas de auditoría puede en realidad mejorar la seguridad del sistema cuando se usa en entornos que comparten el tiempo que procesan un gran número de transacciones, pero dejan muy pocas pistas de papel. La opción A es incorrecta ya que el enfoque de auditoría continúa a menuda requiere que un auditor de SI recolecte evidencia sobre la confiabilidad del sistema mientras está llevando a cabo el procesamiento. La opción B es incorrecta ya que un auditor de SI normalmente revisaría y daría seguimiento sólo a las deficiencias materiales o errores detectados. La opción D es incorrecta ya que el uso de técnicas de auditoría continua depende efectivamente de la complejidad de los sistemas de computadora de una organización.Rate this question:
-
- 22.
Un auditor de SI descubre evidencia de fraude perpetrado con la identificación del usuario de un Gerente. el gerente habría escrito la contraseña, asignada por el administrador del sistema, dentro del cajón/ la gaveta de su escritorio. El auditor de SI debería concluir que el:
- A.
Asistente del gerente perpetró el fraude
- B.
Perpetrador no puede ser establecido más allá de la duda.
- C.
Fraude pudo haber sido perpetrado por el gerente
- D.
Administrador del sistema perpetró el fraude.
Correct Answer
B. Perpetrador no puede ser establecido más allá de la duda.Explanation
Las debilidades del control de contraseñas significan que cualquiera de las otras tres opciones podría ser cierta. La seguridad de contraseña identificaría normalmente al perpetrador. En este caso, no establece culpa más allá de la duda.Rate this question:
-
- 23.
El riesgo de detección se refiere a:
- A.
Concluir que no existen errores materiales, cuando de hecho los hay
- B.
Un control que deja de detectar un error.
- C.
Un control que detecta un errores de alto riesgo
- D.
Un control que detecta un error pero que deja de reportarlo
Correct Answer
A. Concluir que no existen errores materiales, cuando de hecho los hayExplanation
El riesgo de detección se refiere al riesgo de que un auditor de sistemas pueda usar un procedimiento inadecuado de examen y pueda concluir que no existe error material cuando en realidad si existen errores.Rate this question:
-
- 24.
¿Qué técnica de auditoría provee la MEJOR evidencia de la segregación de funciones en un departamento de SI?
- A.
Discusión con la gerencia
- B.
Revisión del organigrama
- C.
Observación y entrevistas
- D.
Prueba de derechos de acceso de usuario
Correct Answer
C. Observación y entrevistasExplanation
Observando al personal de SI cuando realiza sus tareas, el auditor de SI puede identificar si ellos están realizando operaciones no compatibles y entrevistando el personal de SI el auditor puede obtener un panorama general de las tareas realizadas. Basado en las observaciones y entrevistas, el auditor puede evaluar la segregación de funciones. La gerencia no puede estar en conocimiento de las funciones detalladas de cada empleado en el departamento de SI, por lo tanto, la discusión con la gerencia proveería solo información limitada respecto a la segregación de funciones. Un organigrama no proveería información sobre los derechos que ellos tiene dentro de los sistemas de SI, pero no proveería información completa sobre las funciones que ellos desempeñan.Rate this question:
-
- 25.
Durante una revisión de un archivo maestro de clientes, un auditor de SI descubrió numerosas duplicaciones de nombre de cliente que surgían de variaciones en los primeros nombres del cliente. Para determinar la extensión de la duplicación, el auditor de SI usaría:
- A.
Datos de prueba para validar los datos ingresados.
- B.
Datos de prueba para determinar las capacidades de selección del sistema.
- C.
Software generalizado de auditoría para buscar duplicaciones de campo de dirección.
- D.
Software generalizado de auditoría para buscar duplicaciones de campos de cuenta.
Correct Answer
C. Software generalizado de auditoría para buscar duplicaciones de campo de dirección.Explanation
Como el nombre no es el mismo (debido a variaciones de los primeros nombres), un método para detectar duplicaciones sería comparar otros campos comunes, como por ejemplo las direcciones. Y podría entonces seguidamente llevarse a cabo una revisión para determinar los nombres de los clientes en estas direcciones. Buscar los números de cuenta duplicados probablemente no hallaría duplicaciones de nombres ya que lo mas probable es que los clientes tengan números de cuenta diferentes para cada combinación. Los datos de prueba no serían útiles para detectar la extensión de cualquier característica de dato, sino simplemente para determinar como fueron procesados los datos.Rate this question:
-
- 26.
Un revisión de implementación de una aplicación distribuida multiusuario, el auditor de SI encuentra debilidades menores en tres áreas -La disposición inicial de parámetros está instalada incorrectamente, se están usando contraseñas débiles y algunos reportes vitales no se están verificando debidamente. Mientras se prepara el informe de auditoría, el auditor de SI debería:
- A.
Registrar las observaciones por separado con el impacto de cada una de ellas marcado contra cada hallazgo respectivo.
- B.
Advertir al gerentes sobre probables riesgos sin registrar las observaciones ya que las debilidades de control de menor importancia
- C.
Registrar las observaciones y el riesgo que surjan de las debilidades colectivas.
- D.
Evaluar los jefes de departamento concernidos con cada observación y documentario debidamente en el reporte
Correct Answer
C. Registrar las observaciones y el riesgo que surjan de las debilidades colectivas.Explanation
Las debilidades individualmente son de menor importancia, sin embargo, juntas tienen el potencial de debilitar sustancialmente la estructura general de control. Las opciones A y D reflejan una falla de parte del auditor de SI para recolectar el efecto combinado de la debilidad de control. Advertir al gerente local sin reportar los hechos y observaciones ocultaría los hallazgos de las otras partes interesadas.Rate this question:
-
- 27.
¿Cuál de las siguientes sería la MEJOR población de la cual tomar una muestra cuando un programa en prueba cambia?
- A.
Listados de la biblioteca de prueba
- B.
Listados de programas fuente
- C.
Solicitudes de cambio de programas
- D.
Listados de la biblioteca de producción.
Correct Answer
D. Listados de la biblioteca de producción.Explanation
La mejor población de la cual tomar una muestra cuando un programa en prueba cambia sería de los listados de la biblioteca de producción. Esto se debe a que los listados de la biblioteca de producción contienen las versiones finales y actualizadas de los programas que se utilizan en producción. Al tomar una muestra de esta población, se puede evaluar cómo los cambios en el programa en prueba afectan directamente a la versión que se utiliza en producción, lo cual es crucial para garantizar que los cambios no causen problemas o errores en el entorno de producción.Rate this question:
-
- 28.
¿Cuál de las siguientes pruebas es realizada por un auditor de SI cuando es seleccionada una muestra de programas para determinar si las versiones fuentes y las versiones objeto son las mismas?
- A.
Una prueba sustantiva de los controles de la biblioteca de programas
- B.
Una prueba de cumplimiento de controles de la biblioteca de programas
- C.
Una prueba de cumplimiento de los controles del compilador de programas
- D.
Una prueba sustantiva de los controles de compilador de programas
Correct Answer
B. Una prueba de cumplimiento de controles de la biblioteca de programasExplanation
La respuesta correcta es "Una prueba de cumplimiento de controles de la biblioteca de programas". Esta prueba se realiza para determinar si las versiones fuentes y las versiones objeto de los programas son las mismas. Al realizar esta prueba, el auditor de SI verifica si se están siguiendo los controles establecidos en la biblioteca de programas para garantizar la integridad y seguridad de los programas utilizados en el sistema de información.Rate this question:
-
- 29.
Una prueba integrada (integrated test facility -ITF) se considera una herramienta útil de auditoría porque:
- A.
Es un enfoque eficiente en costos de los controles de aplicación de auditoría
- B.
Permite a la gerencia financiera y al auditor de SI integrar sus pruebas de auditoría
- C.
Compara el resultado (output) del procesamiento con datos calculados de manera independiente.
- D.
Provee al auditor de SI una herramienta para analizar una amplia gama de información.
Correct Answer
C. Compara el resultado (output) del procesamiento con datos calculados de manera independiente.Explanation
An integrated test facility (ITF) is considered a useful auditing tool because it allows the comparison of the processing output with independently calculated data. This helps in verifying the accuracy and reliability of the system being audited. By comparing the actual output with independently calculated data, any discrepancies or errors can be identified and investigated. This enhances the effectiveness of the audit process and provides assurance to the auditor and management regarding the integrity of the system being tested.Rate this question:
-
- 30.
El propósito PRIMARIO de las pistas de auditoría es:
- A.
Mejorar el tiempo de respuesta para los usuarios.
- B.
Establecer el deber de rendir cuenta y responsabilidad de las transacciones procesadas.
- C.
Mejorar la eficiencia operativa del sistema.
- D.
Proveer la información útil a los auditores que puedan desear rastrear transacciones
Correct Answer
B. Establecer el deber de rendir cuenta y responsabilidad de las transacciones procesadas.Explanation
Las pistas de auditoría se utilizan principalmente para establecer el deber de rendir cuentas y responsabilidad de las transacciones procesadas. Estas pistas proporcionan un registro detallado de todas las actividades realizadas en un sistema, lo que permite rastrear y verificar las transacciones realizadas. Esto es especialmente importante en entornos empresariales donde la transparencia y la responsabilidad son fundamentales. Las pistas de auditoría también pueden ser útiles para los auditores externos, ya que les brindan información útil para evaluar la integridad y la precisión de los registros contables.Rate this question:
-
- 31.
Para identificar el valor del inventario que se ha guardado (no han rotado) por más de ocho semanas, lo MÁS probable es que un auditor de SI utilice:
- A.
Datos de prueba
- B.
Muestreo estadístico
- C.
Una facilidad de prueba integrada
- D.
Software generalizado de auditoría
Correct Answer
D. Software generalizado de auditoríaExplanation
An auditor of SI would most likely use general audit software to identify the value of inventory that has been stored (not rotated) for more than eight weeks. This software is designed to analyze and process large amounts of data efficiently, making it suitable for identifying inventory that has not been sold or used for a long period of time. It can help the auditor track and analyze inventory records, calculate the value of the inventory, and identify any discrepancies or anomalies.Rate this question:
-
- 32.
Los diagramas de flujo de datos son usados por los Auditores de SI para:
- A.
Ordenar los datos jerárquicamente
- B.
Resaltar las definiciones de datos de alto nivel
- C.
Resumir gráficamente las rutas y el almacenamiento de datos.
- D.
Describir detalles paso por paso de la generación de datos.
Correct Answer
C. Resumir gráficamente las rutas y el almacenamiento de datos.Explanation
Los diagramas de flujo de datos son utilizados por los Auditores de SI para resumir gráficamente las rutas y el almacenamiento de datos. Estos diagramas proporcionan una representación visual de cómo fluyen los datos a través de un sistema, mostrando las diferentes etapas y procesos por los que pasan los datos. Esto permite a los auditores identificar posibles problemas o brechas en la seguridad de los datos, así como comprender cómo se almacenan y se transfieren los datos dentro del sistema.Rate this question:
-
- 33.
¿Cuál de los siguientes es un objetivo de un programa de auto evaluación de control (CSA)?
- A.
Concentración en las áreas de alto riesgo
- B.
El reemplazo de las responsabilidades de auditoría
- C.
La realización de cuestionarios de control
- D.
Los talleres de facilitación colaborativa
Correct Answer
A. Concentración en las áreas de alto riesgoExplanation
A program de auto evaluación de control (CSA) tiene como objetivo concentrarse en las áreas de alto riesgo. Esto significa que el programa se enfocará en identificar y evaluar las áreas de mayor riesgo dentro de una organización, con el fin de implementar controles y medidas de mitigación adecuadas. Al concentrarse en estas áreas críticas, el programa de auto evaluación de control puede ayudar a mejorar la efectividad de los controles internos y reducir el riesgo de fraudes, errores y pérdidas significativas para la organización.Rate this question:
-
- 34.
Un auditor de SI que lleva a cabo una revisión del uso y licenciamiento de software descubre que numerosas PCs contienen software no autorizado. ¿Cuál de las siguientes acciones debería emprender el auditor de SI?
- A.
Borrar personalmente todas las copia del software no autorizado
- B.
Informar al auditado sobre el software no autorizado y dar seguimiento para confirmar la eliminación.
- C.
Reportar el uso del software no autorizado a la gerencia del auditado y la necesidad de prevenir que vuelva a ocurrir.
- D.
No emprender ninguna acción, ya que es una práctica comúnmente aceptada y la gerencia de operaciones es responsable del monitorear dicho uso.
Correct Answer
C. Reportar el uso del software no autorizado a la gerencia del auditado y la necesidad de prevenir que vuelva a ocurrir.Explanation
The correct answer is to report the use of unauthorized software to the management of the audited organization and emphasize the need to prevent it from happening again. This action is important because unauthorized software can pose security risks, violate licensing agreements, and potentially lead to legal consequences. By reporting it to management, the auditor ensures that the issue is addressed and measures are taken to prevent future occurrences, promoting compliance and protecting the organization's interests.Rate this question:
-
- 35.
El riesgo de que un auditor de SI use un procedimiento inadecuado de prueba y concluya que los errores materiales no existen cuando en realidad existen, es un ejemplo de:
- A.
Riesgo inherente
- B.
Riesgo de control
- C.
Riesgo de detección
- D.
Riesgo de auditoría
Correct Answer
C. Riesgo de detecciónExplanation
El riesgo de detección se refiere a la posibilidad de que un auditor no detecte errores materiales en los estados financieros durante una auditoría. En este caso, el auditor de SI está utilizando un procedimiento inadecuado de prueba, lo que significa que existe la posibilidad de que no detecte los errores materiales que realmente existen. Por lo tanto, esto se considera un ejemplo de riesgo de detección.Rate this question:
-
- 36.
Un beneficio PRIMARIO para una organización que emplea técnicas de auto evaluación de controles (control self-assessment -CSA), es que ella:
- A.
Puede identificar las áreas de alto riesgo que pudieran necesitar una revisión de tallada mas tarde.
- B.
Permite al auditor de SI que evalúe el riesgo de manera independiente.
- C.
Se puede usar como reemplazo de las auditorías tradicionales
- D.
Permite que la gerencia delegue la responsabilidad de control.
Correct Answer
A. Puede identificar las áreas de alto riesgo que pudieran necesitar una revisión de tallada mas tarde.Explanation
The primary benefit of employing control self-assessment (CSA) techniques is that it allows the organization to identify high-risk areas that may require a detailed review later on. This means that the organization can proactively address potential risks and take necessary actions to mitigate them. By conducting self-assessments, the organization can gain insights into its control environment and identify areas where improvements are needed. This helps in enhancing the overall effectiveness of the organization's controls and reducing the likelihood of potential risks materializing.Rate this question:
-
- 37.
Cuando se implementan sistemas de monitoreo continuo el PRIMER paso de un auditor de SI es identificar:
- A.
Los umbrales razonables objetivo
- B.
Las áreas de alto riesgo dentro de la organización
- C.
La ubicación y el formato de los archivos de output
- D.
Las aplicaciones que proveen la más alta retribución (pay back) potencial.
Correct Answer
B. Las áreas de alto riesgo dentro de la organizaciónExplanation
The correct answer is "las áreas de alto riesgo dentro de la organización." When implementing continuous monitoring systems, the first step for an IS auditor is to identify the high-risk areas within the organization. This is crucial as it allows the auditor to prioritize their efforts and focus on areas that pose the greatest threat to the organization's security and operations. By identifying these high-risk areas, the auditor can then develop appropriate controls and strategies to mitigate the identified risks effectively.Rate this question:
-
- 38.
En un enfoque de auditoria basado en el riesgo, un auditor de SI debería realizar primero una:
- A.
Evaluación del riesgo inherente
- B.
Evaluación del riesgo de control
- C.
Prueba de evaluación de control.
- D.
Evaluación de prueba sustantiva
Correct Answer
A. Evaluación del riesgo inherenteExplanation
En un enfoque de auditoría basado en el riesgo, un auditor de SI debería realizar primero una evaluación del riesgo inherente. Esto implica identificar y evaluar los riesgos inherentes asociados con los sistemas de información de una organización antes de considerar los controles implementados para mitigar esos riesgos. Al comprender los riesgos inherentes, el auditor puede determinar qué controles son necesarios y efectivos para mitigar esos riesgos. La evaluación del riesgo inherente es fundamental para establecer una base sólida para la auditoría de los sistemas de información.Rate this question:
-
- 39.
Respecto al muestreo, se puede decir que:
- A.
El muestreo es generalmente aplicable cuando la población se refiere a un control intangible o no documentado.
- B.
Si un auditor sabe que los controles internos son fuertes, el coeficiente de confianza puede bajar.
- C.
El muestreo de atributos ayudaría a prevenir el muestreo excesivo de un atributo deteniendo una prueba de auditoría lo antes posible.
- D.
El muestreo variable es una técnica para estimar la velocidad de ocurrencia de un control dado o conjunto de controles relacionados.
Correct Answer
B. Si un auditor sabe que los controles internos son fuertes, el coeficiente de confianza puede bajar.Explanation
If an auditor knows that the internal controls are strong, it means that there is a lower risk of errors or irregularities in the population. Therefore, the auditor can have more confidence in the sample results and may choose to lower the coefficient of confidence. This means that the auditor is willing to accept a lower level of assurance in the sample results because they have a higher level of confidence in the overall population. Lowering the coefficient of confidence allows for a smaller sample size and reduces the time and effort required for the audit.Rate this question:
-
- 40.
¿Cuál de las siguientes formas de evidencia para el auditor se consideraría MÁS confiable?
- A.
Una declaración verbal del auditado
- B.
Los resultados de una prueba realizada por un auditor de SI
- C.
Un reporte de contabilidad por computadora generado internamente
- D.
Una carta de confirmación recibida de una fuente externa
Correct Answer
D. Una carta de confirmación recibida de una fuente externaExplanation
Una carta de confirmación recibida de una fuente externa se consideraría más confiable como evidencia para el auditor debido a que proviene de una fuente independiente y externa a la organización auditada. Esto significa que la información proporcionada en la carta ha sido verificada y confirmada por una tercera parte, lo que aumenta su credibilidad y confiabilidad. En cambio, una declaración verbal del auditado podría ser menos confiable ya que no hay una documentación formal que respalde la información proporcionada. Los resultados de una prueba realizada por un auditor de SI y un reporte de contabilidad por computadora generado internamente también pueden ser confiables, pero no tanto como una carta de confirmación de una fuente externa.Rate this question:
-
- 41.
Los análisis de riesgos realizados por los auditores de SI son un factor crítico para la planeación de la auditoría. Se debe hacer un análisis del riesgo para proveer:
- A.
Garantía razonable de los puntos materiales de SI serán cubiertos durante el trabajo de auditoría.
- B.
Garantía suficiente de que los puntos materiales serán cubiertos durante el trabajo de auditoría
- C.
Garantía razonable de que todos los puntos serán cubiertos durante el trabajo de auditoría.
- D.
Garantía suficiente de que todos los puntos serán cubiertos durante el trabajo de auditoría.
Correct Answer
A. Garantía razonable de los puntos materiales de SI serán cubiertos durante el trabajo de auditoría.Explanation
Los análisis de riesgos realizados por los auditores de SI son críticos para la planeación de la auditoría porque proporcionan una garantía razonable de que los puntos materiales de SI serán cubiertos durante el trabajo de auditoría. Esto significa que al realizar un análisis de riesgos, los auditores pueden identificar y evaluar los posibles riesgos asociados con los sistemas de información y determinar qué áreas son más importantes y deben ser examinadas con mayor detalle. Al cubrir los puntos materiales de SI, se asegura que los aspectos más relevantes y significativos del sistema sean revisados y evaluados adecuadamente durante la auditoría.Rate this question:
-
- 42.
La evaluación de riesgos es un proceso:
- A.
Subjetivo
- B.
Objetivo
- C.
Matemático
- D.
Estadístico
Correct Answer
A. SubjetivoExplanation
The correct answer is "subjetivo". This is because the evaluation of risks involves subjective judgment and assessment based on individual perceptions, beliefs, and experiences. It is influenced by personal biases and opinions, making it a subjective process rather than an objective, mathematical, or statistical one.Rate this question:
-
- 43.
La responsabilidad, autoridad y obligación de rendir cuentas de las funciones de auditoría de los sistemas de información están debidamente documentadas en una carta o contrato de auditoría (Audit Charter) y DEBEN ser:
- A.
Aprobadas por el más nivel de la gerencia
- B.
Aprobadas por la gerencia del departamento de auditoría
- C.
Aprobadas por la gerencia del departamento de los usuarios
- D.
Cambiadas cada año antes del inicio de las auditorías de SI.
Correct Answer
A. Aprobadas por el más nivel de la gerenciaExplanation
The functions of information systems auditing require responsibility, authority, and accountability, which should be documented in an Audit Charter. This charter outlines the approved responsibilities and obligations of the auditing functions. The answer states that these should be approved by the highest level of management. This ensures that the auditing functions have the necessary support and authority from top-level management to effectively carry out their responsibilities.Rate this question:
-
Quiz Review Timeline +
Our quizzes are rigorously reviewed, monitored and continuously updated by our expert board to maintain accuracy, relevance, and timeliness.
-
Current Version
-
Mar 21, 2023Quiz Edited by
ProProfs Editorial Team -
Mar 01, 2010Quiz Created by
Ala
Back to top