これは、報告された監査上の問題に対する合意された是正措置のフォローアップは、被監査者が是正措置を実施し、その有効性と持続性を実証するのに十分な時間が経過した後に行われるべきであるためです。フォローアップ監査は早すぎても遅すぎてもいけませんが、統制運用の適切なテストと検証を可能にする合理的かつ現実的な期間に基づいて行われるべきです12。
A) 進捗状況の更新は、合意された措置の実施が順調に進んでいることを示しています。これは最適な回答ではありません。なぜなら、進捗状況の更新はフォローアップ監査のタイミングを導くのに十分ではないからです。進捗状況の更新は、是正措置の状況と課題を監視し、伝達するのに役立ちますが、管理業務の決定的な証拠を提供するものではありません。フォローアップ監査は、期待や予測ではなく、実際の結果と成果に基づいて行う必要があります12。
C) 経営陣は合意された措置の実施を予定通りに完了した。は最良の回答ではありません。なぜなら、合意された措置の実施が完了しただけでは、フォローアップ監査のタイミングを決定するのに十分ではないからです。実施の完了は、被監査者が監査上の問題に対処するために必要な措置を講じたことを示すだけであり、是正措置が効果的かつ持続可能であることを保証するものではありません。フォローアップ監査は、管理実施の完了ではなく、管理業務の評価と検証に基づいて行われるべきです12。
D). Regulators have announced a timeline for an inspection visit. is not the best answer, because the regulators' inspection visit is not relevant to guide the follow-up audit timing. The regulators' inspection visit is an external factor that may or may not coincide with the internal follow-up audit schedule. The follow-up audit should be based on the internal audit plan and objectives, not on the external audit requirements or expectations12.

The greatest risk associated with this situation is that management decisions may be based on incomplete data. If important fields are missing during the data transfer, the data in the warehouse could be inaccurate or incomplete, leading to poor decision-making based on unreliable information. This could have significant operational and strategic impacts on the organization.

Section: Protection of Information Assets
Explanation/Reference:
Explanation:
Physical security is meant to control who is entering a secured area, so identification of all individuals is of utmost importance. It is not adequate to trust unknown external people by allowing them to write down their alleged name without proof, e.g., identity card, driver's license. Choice B is not a concern because if the name and address of the organization was written on the card, a malicious finder could use the card to enter the organization's premises. Separating card issuance from technical rights management is a method to ensure a proper segregation of duties so that no single person can produce a functioning card for a restricted area within the organization's premises. Choices B and C are good practices, not concerns.
Choice D may be a concern, but not as important since a system failure of the card programming device would normally not mean that the readers do not function anymore. It simply means that no new cards can be issued, so this option is minor compared to the threat of improper identification.