CISA 2009 Answers 

IT GOVERNANCE 2.1 

81  ( A )  whether IT processes support business requirements. 

The role of an IT steering committee is to ensure that the IS department is in harmony 
with the organization's mission and objectives. To ensure this, the committee must 
determine whether IS processes support the business requirements. Assessing 
proposed additional functionality and evaluating software stability and the complexity 
of technology are too narrow in scope to ensure that IT processes are, in fact, 
supporting the organization's goals. 
IT GOVERNANCE 2.1 

82  ( C )  technology not aligning with the organization's objectives. 

A steering committee should exist to ensure that the IT strategies support the 
organization's goals. The absence of an information technology committee or a 
committee not composed of senior managers would be an indication of a lack of top‐
level management commitment. This condition would increase the risk that IT would 
not be aligned with the organization's strategy. 
IT GOVERNANCE 2.1 

83  ( C )  Approving and monitoring major projects, the status of IS plans and budgets 

The IS steering committee typically serves as a general review board for major IS 
projects and should not become involved in routine operations; therefore, one of its 
functions is to approve and monitor major projects, the status of IS plans and budgets. 
Vendor change control is an outsourcing issue and should be monitored by IS 
management. Ensuring a separation of duties within the information's processing 
environment is an IS management responsibility. Liaising between the IS department 
and the end users is a function of the individual parties and not a committee. 
IT GOVERNANCE 2.1 

84  ( C )  have formal terms of reference and maintain minutes of its meetings. 

It is important to keep detailed steering committee minutes to document the 
decisions and activities of the IS steering committee, and the board of directors should 
be informed about those decisions on a timely basis. Choice A is incorrect because 
only senior management or high‐level staff members should be on this committee 
because of its strategic mission. Choice B is not a responsibility of this committee, but 
the responsibility of the security administrator. Choice D is incorrect because a vendor 
should be invited to meetings only when appropriate. 

1 
CISA 2009 Answers 
IT GOVERNANCE 2.1 

85  ( A )  strategic plans. 

Strategic plans provide the basis for ensuring that the enterprise meets its goals and 
objectives. Involvement of senior management is critical to ensuring that the plan 
adequately addresses the established goals and objectives. IS policies, procedures, 
standards and guidelines are all structured to support the overall strategic plan. 
IT GOVERNANCE 2.1 

86  ( A )  business plan. 

To govern IT effectively, IT and business should be moving in the same direction, 
requiring that the IT plans are aligned with an organization's business plans. The audit 
and investment plans are not part of the IT plan, while the security plan should be at a 
corporate level. 
IT GOVERNANCE 2.1 

87  ( B )  senior business management. 

Senior management should establish the acceptable risk level, since they have the 
ultimate or final responsibility for the effective and efficient operation of the 
organization. Choices A, C and D should act as advisors to senior management in 
determining an acceptable risk level. 
IT GOVERNANCE 2.1 

88  ( B )  board of directors. 

IT governance is primarily the responsibility of the executives and shareholders (as 
represented by the board of directors). The chief executive officer is instrumental in 
implementing IT governance per the directions of the board of directors. The IT 
steering committee monitors and facilitates deployment of IT resources for specific 
projects in support of business plans. The audit committee reports to the board of 
directors and should monitor the implementation of audit recommendations. 
IT GOVERNANCE 2.1 

89  ( A )  security requirements driven by enterprise requirements. 

Information security governance, when properly implemented, should provide four 
basic outcomes: strategic alignment, value delivery, risk management and 
performance measurement. Strategic alignment provides input for security 
requirements driven by enterprise requirements. Value delivery provides a standard 
set of security practices, i.e., baseline security following best practices or 
institutionalized and commoditized solutions. Risk management provides an 
understanding of risk exposure. 

2 
CISA 2009 Answers 
IT GOVERNANCE 2.1 

90  ( D )  Top management mediate between the imperatives of business and technology. 

Top management mediating between the imperatives of business and technology is an 
IT strategic alignment best practice. Supplier and partner risks being managed is a risk 
management best practice. A knowledge base on customers, products, markets 
andprocesses being in place is an IT value delivery best practice. An infrastructure 
being provided to facilitate the creation and sharing of business information is an IT 
value delivery and risk management best practice. 
IT GOVERNANCE 2.1 

91  ( D )  the IT strategy extends the organization's strategies and objectives. 

Effective IT governance requires that board and executive management extend 
governance to IT and provide the leadership, organizational structures and processes 
that ensure that the organization's IT sustains and extends the organization's 
strategiesand objectives, and that the strategy is aligned with business strategy. 
Choice A is incorrect because it is the IT strategy that extends the organizational 
objectives, not the opposite. IT governance is not an isolated discipline; it must 
become anintegral part of the overall enterprise governance. 
IT GOVERNANCE 2.1 

92  ( B )  Identifying organizational strategies 

The key objective of an IT governance program is to support the business, thus the 
identification of organizational strategies is necessary to ensure alignment between IT 
and corporate governance. Without identification of organizational strategies,the 
remaining choices‐even if implemented‐would be ineffective. 
IT GOVERNANCE 2.1 

93  ( C )  business plan. 

One of the most important reasons for which projects get funded is how well a project 
meets an organization's strategic objectives. Portfolio management takes a holistic 
view of a company's overall IT strategy. IT strategy should be aligned with thebusiness 
strategy and, hence, reviewing the business plan should be the major consideration. 
Choices A, B and D are important but secondary to the importance of reviewing the 
business plan. 
IT GOVERNANCE 2.1 

94  ( A )  IT alignment with the business. 

The goals of IT governance are to improve IT performance, to deliver optimum 
business value and to ensure regulatory compliance. The key practice in support of 
these goals is the strategic alignment of IT with the business (choice A). To achieve 
alignment, all other choices need to be tied to business practices and strategies. 

3 
CISA 2009 Answers 
IT GOVERNANCE 2.1 

95  ( A )  encourage optimal use of IT. 

IT governance is intended to specify the combination of decision rights and 
accountability that is best for the enterprise. It is different for every enterprise. 
Reducing IT costs may not be the best IT governance outcome for an enterprise. 
Decentralizing IT resources across the organization is not always desired, although it 
may be desired in a decentralized environment. Centralizing control of IT is not always 
desired. An example of where it might be desired is an enterprise desiring a 
singlepoint of customer contact. 
IT GOVERNANCE 2.1 

96  ( B )  Defined 

Defined (level 3) is the lowest level at which an IT balanced scorecard is defined. 
IT GOVERNANCE 2.1 

97  ( D )  board of directors. 

Governance is the set of responsibilities and practices exercised by the board and 
executive management with the goal of providing strategic direction, ensuring that 
objectives are achieved, ascertaining that risks are managed appropriately and 
verifying that the enterprise's resources are used responsibly. The audit committee, 
the chief information officer (CIO) and the IT strategy committee all play a significant 
role in the successful implementation of IT governance within an organization, but the 
ultimate accountability resides with the board of directors. 
IT GOVERNANCE 2.1 

98  ( B )  Organizational data governance practices be put in place 

This choice directly addresses the problem. An organizationwide approach is needed 
to achieve effective management of data assets. This includes enforcing standard 
definitions of data elements, which is part of a data governance initiative. The 
otherchoices, while sound development practices, do not address the root cause of 
the problem described. 

4 
CISA 2009 Answers 
IT GOVERNANCE 2.2 

99  ( D )  establish responsibility and accountability for the employee's actions. 

From a control perspective, a job description should establish responsibility and 
accountability. This will aid in ensuring that users are given system access in 
accordance with their defined job responsibilities. The other choices are not directly 
related to controls. Providing instructions on how to do the job and defining authority 
addresses the managerial and procedural aspects of the job. It is important that job 
descriptions are current, documented and readily available to the employee, but this 
in itself is not a control. Communication of management's specific expectations for job 
performance outlines the standard of performance and would not necessarily include 
controls. 
IT GOVERNANCE 2.2 

100  ( A )  Background screening 

A background screening is the primary method for assuring the integrity of a 
prospective staff member. References are important and would need to be verified, 
but they are not as reliable as background screening. Bonding is directed at due‐
diligencecompliance, not at integrity, and qualifications listed on a resume may not be 
accurate. 
IT GOVERNANCE 2.2 

101  ( D )  disable the employee's logical access. 

There is a probability that a terminated employee may misuse access rights; therefore, 
disabling the terminated employee's logical access is the most important action to 
take. All the work of the terminated employee needs to be handed over to a 
designated employee; however, this should be performed after implementing choice 
D. All the work of the terminated employee needs to be backed up and the employees 
need to be notified of the termination of the employee, but this should not precede 
the action in choice D. 
IT GOVERNANCE 2.2 

102  ( B )  reduce the opportunity for an employee to commit an improper or illegal act. 

Required vacations/holidays of a week or more in duration in which someone other 
than the regular employee performs the job function is often mandatory for sensitive 
positions, as this reduces the opportunity to commit improper or illegal acts. During 
this time it may be possible to discover any fraudulent activity that was taking place. 
Choices A, C and D could all be organizational benefits from a mandatory vacation 
policy, but they are not the reason why the policy is established. 

5 
CISA 2009 Answers 
IT GOVERNANCE 2.2 

103  ( C )  having programming responsibilities. 

A LAN administrator should not have programming responsibilities but may have end‐
user responsibilities. The LAN administrator may report to the director of the IPF or, in 
a decentralized operation, to the end‐user manager. In small organizations, the LAN 
administrator may also be responsible for security administration over the LAN. 
IT GOVERNANCE 2.2 

104  ( D )  ability, as an IS auditor, to be independent of existing IS relationships. 

Independence should be continually assessed by the auditor and management. This 
assessment should consider such factors as changes in personal relationships, financial 
interests, and prior job assignments and responsibilities. The fact that the employee 
has worked in IS for many years may not in itself ensure credibility. The audit 
department's needs should be defined and any candidate should be evaluated against 
those requirements. The length of service will not ensure technical competency. 
Evaluating an individual's qualifications based on the age of the individual is not a 
good criterion and is illegal in many parts of the world. 
IT GOVERNANCE 2.2 

105  ( A )  monitors systems performance and tracks problems resulting from program changes. 

The responsibilities of a telecommunications analyst include reviewing network load 
requirements in terms of current and future transaction volumes (choice B), assessing 
the impact of network load or terminal response times and network data transferrates 
(choice C), and recommending network balancing procedures and improvements 
(choice D). Monitoring systems performance and tracking problems as a result of 
program changes (choice A) would put the analyst in a self‐monitoring role. 
IT GOVERNANCE 2.2 

106  ( B )  Reviewing transaction and application logs 

Only reviewing transaction and application logs directly addresses the threat posed by 
poor segregation of duties. The review is a means of detecting inappropriate behavior 
and also discourages abuse, because people who may otherwise be tempted to exploit 
the situation are aware of the likelihood of being caught. Inadequate segregation of 
duties is more likely to be exploited via logical access to data and computing resources 
rather than physical access. Choice C is a useful control to ensure ITstaff are 
trustworthy and competent but does not directly address the lack of an optimal 
segregation of duties. Choice D acts to prevent unauthorized users from gaining 
system access, but the issue of a lack of segregation of duties is more the misuse 
(deliberately or inadvertently) of access privileges that have officially been granted. 

6 
CISA 2009 Answers 
IT GOVERNANCE 2.2 

107  ( C )  one person knowing all parts of a system. 

Cross‐training is a process of training more than one individual to perform a specific 
job or procedure. This practice helps decrease the dependence on a single person and 
assists in succession planning. This provides for the backup of personnel in the event 
of an absence and, thereby, provides for the continuity of operations. However, in 
using this approach, it is prudent to have first assessed the risk of any person knowing 
all parts of a system and the related potential exposures. Cross‐training reduces the 
risks addressed in choices A, B and D. 
IT GOVERNANCE 2.2 

108  ( D )  Compensating controls 

Compensating controls are internal controls that are intended to reduce the risk of an 
existing or potential control weakness that may arise when duties cannot be 
appropriately segregated. Overlapping controls are two controls addressing the same 
control objective or exposure. Since primary controls cannot be achieved when duties 
cannot or are not appropriately segregated, it is difficult to install overlapping 
controls. Boundary controls establish the interface between the would‐be user of a 
computer system and the computer system itself, and are individual‐based, not role‐
based, controls. Access controls for resources are based on individuals and not on 
roles. 
IT GOVERNANCE 2.2 

109  ( C )  Security awareness programs 

Because social engineering is based on deception of the user, the best 
countermeasure or defense is a security awareness program. The other choices are 
not user‐focused. 
IT GOVERNANCE 2.2 

110  ( A )  Deleting database activity logs 

Since database activity logs record activities performed by the database administrator 
(DBA), deleting them should be performed by an individual other than the DBA. This is 
a compensating control to aid in ensuring an appropriate segregation of duties and is 
associated with the DBA's role. A DBA should perform the other activities as part of 
the normal operations. 

7 
CISA 2009 Answers 
IT GOVERNANCE 2.2 

111  ( B )  IT balanced scorecard (BSC). 

The IT balanced scorecard (BSC) is a tool that provides the bridge between IT 
objectives and business objectives by supplementing the traditional financial 
evaluation with measures to evaluate customer satisfaction, internal processes and 
the abilityto innovate. An enterprise data model is a document defining the data 
structure of an organization and how data interrelate. It is useful, but it does not 
provide information on investments. The IT organizational structure provides an 
overview of the functional and reporting relationships in an IT entity. Historical 
financial statements do not provide information about planning and lack sufficient 
detail to enable one to fully understand management's activities regarding IT assets. 
Past costs do not necessarily reflect value, and assets such as data are not represented 
on the books of accounts. 
IT GOVERNANCE 2.2 

112  ( B )  Job descriptions contain clear statements of accountability for information security. 

Inclusion in job descriptions of security responsibilities is a form of security training 
and helps ensure that staff and management are aware of their roles with respect to 
information security. The other three choices are not criterion for evaluating security 
awareness training. Awareness is a criterion for evaluating the importance that senior 
management attaches to information assets and their protection. Funding is a 
criterion that aids in evaluating whether security vulnerabilities are being addressed, 
while the number of incidents that have occurred is a criterion for evaluating the 
adequacy of the risk management program. 
IT GOVERNANCE 2.2 

113  ( C )  One employee may know all parts of a system 

When cross‐training, it would be prudent to first assess the risk of any person knowing 
all parts of a system and what exposures this may cause. Cross‐training has the 
advantage of decreasing dependence on one employee and, hence, can be part of 
succession planning. It also provides backup for personnel in the event of absence for 
any reason and thereby facilitates the continuity of operations. 
IT GOVERNANCE 2.2 

114  ( A )  Periodically reviewing and evaluating the security policy 

The role of a chief security officer (CSO) is to ensure that the corporate security policy 
and controls are adequate to prevent unauthorized access to the company assets, 
including data, programs and equipment. User application and other software testing 
and evaluation normally are the responsibility of the staff assigned to development 
and maintenance. Granting and revoking access to IT resources is usually a function of 
network or database administrators. Approval of access to data and applications is the 
duty of the data owner. 

8 
CISA 2009 Answers 
IT GOVERNANCE 2.3 

115  ( B )  long‐ and short‐range plans. 

To ensure its contribution to the realization of an organization's overall goals, the IS 
department should have long‐ and short‐range plans that are consistent with the 
organization's broader plans for attaining its goals. Choices A and C are objectives, and 
plans would be needed to delineate how each of the objectives would be achieved. 
Choice D could be a part of the overall plan but would be required only if hardware or 
software is needed to achieve the organizational goals. 
IT GOVERNANCE 2.3 

116  ( A )  there is an integration of IS and business staffs within projects. 

The integration of IS and business staff in projects is an operational issue and should 
be considered while reviewing the short‐range plan. A strategic plan would provide a 
framework for the IS short‐range plan. Choices B, C and D are areas covered by a 
strategic plan. 
IT GOVERNANCE 2.3 

117  ( A )  Allocating resources 

The IS department should specifically consider the manner in which resources are 
allocated in the short term. Investments in IT need to be aligned with top 
management strategies, rather than focusing on technology for technology's sake. 
Conducting control self‐assessments and evaluating hardware needs are not as critical 
as allocating resources during short‐term planning for the IS department. 
IT GOVERNANCE 2.3 

118  ( D )  Become the supplier of choice for the product offered. 

Strategic planning sets corporate or departmental objectives into motion. 
Comprehensive planning helps ensure an effective and efficient organization. Strategic 
planning is time‐ and project‐oriented, but also must address and help determine 
priorities to meet business needs. Long‐ and short‐range plans should be consistent 
with the organization's broader plans for attaining their goals. Choice D represents a 
business objective that is intended to focus the overall direction of the business 
andwould thus be a part of the organization's strategic plan. The other choices are 
project‐oriented and do not address business objectives. 
IT GOVERNANCE 2.3 

119  ( D )  supports the business objectives of the organization. 

Strategic planning sets corporate or department objectives into motion. Both long‐
term and short‐term strategic plans should be consistent with the organization's 
broader plans and business objectives for attaining these goals. Choice A is 
incorrectsince line management prepared the plans. 

9 
CISA 2009 Answers 
IT GOVERNANCE 2.3 

120  ( B )  the business plan. 

The IT strategic plan exists to support the organization's business plan. To evaluate the 
IT strategic plan, an IS auditor would first need to familiarize themselves with the 
business plan. 
IT GOVERNANCE 2.3 

121  ( B )  plans are consistent with management strategy. 

Determining if the IS plan is consistent with management strategy relates IS/IT 
planning to business plans. Choices A, C and D are effective methods for determining 
the alignment of IS plans with business objectives and the organization's strategies. 
IT GOVERNANCE 2.3 

122  ( B )  Managed 

Boards of directors and executive management can use the information security 
governance maturity model to establish rankings for security in their organizations. 
The ranks are nonexistent, initial, repeatable, defined, managed and optimized. When 
the responsibilities for IT security in an organization are clearly assigned and enforced 
and an IT security risk and impact analysis is consistently performed, it is said to be 
‘managed and measurable.’ 
IT GOVERNANCE 2.3 

123  ( C )  an IT balanced scorecard. 

An IT balanced scorecard (BSC) provides the bridge between IT objectives and business 
objectives by supplementing the traditional financial evaluation with measures to 
evaluate customer satisfaction, internal processes and the ability to innovate. Control 
self‐assessment (CSA), business impact analysis (BIA) and business process 
reengineering (BPR) are insufficient to align IT with organizational objectives. 
IT GOVERNANCE 2.3 

124  ( C )  articulates the IT mission and vision. 

The IT strategic plan must include a clear articulation of the IT mission and vision. The 
plan need not address the technology, operational controls or project management 
practices. 
IT GOVERNANCE 2.3 

125  ( C )  effective support of an executive sponsor. 

The executive sponsor would be in charge of supporting the organization's strategic 
security program, and would aid in directing the organization's overall security 
management activities. Therefore, support by the executive level of management is 
themost critical success factor (CSF). None of the other choices are effective without 
visible sponsorship of top management. 

10 
CISA 2009 Answers 
IT GOVERNANCE 2.3 

126  ( A )  an assessment of the fit of the organization's application portfolio with business 

objectives. 
An assessment of how well an organization's application portfolio supports the 
organization's business objectives is a key component of the overall IT strategic 
planning process. This drives the demand side of IT planning and should convert into a 
set of strategic IT intentions. Further assessment can then be made of how well the 
overall IT organization, encompassing applications, infrastructure, services, 
management processes, etc., can support the business objectives. Operational 
efficiency initiatives belong to tactical planning, not strategic planning. The purpose of 
an IT strategic plan is toset out how IT will be used to achieve or support an 
organization's business objectives. A listing of approved suppliers of IT contract 
resources is a tactical rather than a strategic concern. An IT strategic plan would not 
normally include detail ofa specific technical architecture. 
IT GOVERNANCE 2.4 

127  ( B )  are more likely to be derived as a result of a risk assessment. 

A bottom‐up approach begins by defining operational‐level requirements and policies, 
which are derived and implemented as the result of risk assessments. Enterprise‐level 
policies are subsequently developed based on a synthesis of existing operational 
policies. Choices A, C and D are advantages of a top‐down approach for developing 
organizational policies. This approach ensures that the policies will not be in conflict 
with overall corporate policy and ensure consistency across the organization. 
IT GOVERNANCE 2.4 

128  ( C )  Unauthorized users may have access to originate, modify or delete data. 

Without a policy defining who has the responsibility for granting access to specific 
systems, there is an increased risk that one could gain (be given) system access when 
they should not have authorization. By assigning authority to grant access to specific 
users, there is a better chance that business objectives will be properly supported. 
IT GOVERNANCE 2.4 

129  ( B )  security and control policies support business and IT objectives. 

Business orientation should be the main theme in implementing security. Hence, an IS 
audit of IT security policies should primarily focus on whether the IT and related 
security and control policies support business and IT objectives. Reviewing whether 
policies are available to all is an objective, but distribution does not ensure 
compliance. Availability of organizational charts with functional descriptions and 
segregation of duties might be included in the review, but are not the primary 
objective of an audit of security policies. 

11 
CISA 2009 Answers 
IT GOVERNANCE 2.4 

130  ( B )  implementing and enforcing good processes. 

Change requires that good change management processes be implemented and 
enforced. Outsourcing the IS function is not directly related to the rate of 
technological change. Personnel in a typical IS department are highly qualified and 
educated; usually they do not feel their jobs are at risk and are prepared to switch jobs 
frequently. Although meeting user requirements is important, it is not directly related 
to the rate of technological change in the IS environment. 
IT GOVERNANCE 2.4 

131  ( A )  this lack of knowledge may lead to unintentional disclosure of sensitive information. 

All employees should be aware of the enterprise's information security policy to 
prevent unintentional disclosure of sensitive information. Training is a preventive 
control. Security awareness programs for employees can prevent unintentional 
disclosure of sensitive information to outsiders. 
IT GOVERNANCE 2.4 

132  ( D )  board of directors. 

Normally, the designing of an information systems security policy is the responsibility 
of top management or the board of directors. The IS department is responsible for the 
execution of the policy, having no authority in framing the policy. The security 
committee also functions within the broad security policy framed by the board of 
directors. The security administrator is responsible for implementing, monitoring and 
enforcing the security rules that management has established and authorized. 
IT GOVERNANCE 2.4 

133  ( A )  Response 

A sound IS security policy will most likely outline a response program to handle 
suspected intrusions. Correction, detection and monitoring programs are all aspects of 
information security, but will not likely be included in an IS security policy statement. 
IT GOVERNANCE 2.4 

134  ( B )  The basis for access authorization 

The security policy provides the broad framework of security, as laid down and 
approved by senior management. It includes a definition of those authorized to grant 
access and the basis for granting the access. Choices A, B and C are more detailed than 
that which should be included in a policy. 

12 
CISA 2009 Answers 
IT GOVERNANCE 2.4 

135  ( B )  Identification of network applications to be externally accessed 

Identification of the applications required across the network should be identified 
first. After identification, depending on the physical location of these applications in 
the network and the network model, the person in charge will be able to understand 
the need for, and possible methods of, controlling access to these applications. 
Identifying methods to protect against identified vulnerabilities and their comparative 
cost‐benefit analysis is the third step. Having identified the applications, the next step 
is to identify vulnerabilities (weaknesses) associated with the network applications. 
The next step is to analyze the application traffic and create a matrix showing how 
each type of traffic will be protected. 
IT GOVERNANCE 2.4 

136  ( D )  Training provided on a regular basis to all current and new employees 

Utilizing an intrusion detection system to report on incidents that occur is an 
implementation of a security program and is not effective in establishing a security 
awareness program. Choices B and C do not address awareness. Training is the only 
choice that is directed at security awareness. 
IT GOVERNANCE 2.4 

137  ( A )  Assimilation of the framework and intent of a written security policy by all appropriate 

parties 
Assimilation of the framework and intent of a written security policy by the users of 
the system is critical to the successful implementation and maintenance of the 
security policy. A good password system may exist, but if the users of the system keep 
passwords written on their desk, the password is of little value. Management support 
and commitment is no doubt important, but for successful implementation and 
maintenance of security policy, educating the users on the importance of security is 
paramount. The stringent implementation, monitoring and enforcing of rules by the 
security officer through access control software, and provision for punitive actions for 
violation of security rules, is also required, along with the user's education onthe 
importance of security. 

13 
CISA 2009 Answers 
IT GOVERNANCE 2.4 

138  ( B )  retention. 

Besides being a good practice, laws and regulations may require that an organization 
keep information that has an impact on the financial statements. The prevalence of 
lawsuits in which e‐mail communication is held in the same regard as the officialform 
of classic ‘paper’ makes the retention of corporate e‐mail a necessity. All e‐mail 
generated on an organization's hardware is the property of the organization, and an e‐
mail policy should address the retention of messages, considering both known and 
unforeseen litigation. The policy should also address the destruction of e‐mails after a 
specified time to protect the nature and confidentiality of the messages themselves. 
Addressing the retention issue in the e‐mail policy would facilitate recovery, rebuilding 
and reuse. 
IT GOVERNANCE 2.4 

139  ( D )  sufficiency. 

An IS auditor should first evaluate the definition of the minimum baseline level by 
ensuring the sufficiency of controls. Documentation, implementation and compliance 
are further steps. 
IT GOVERNANCE 2.4 

140  ( C )  legal and regulatory requirements. 

To ensure that the organization is complying with privacy issues, an IS auditor should 
address legal and regulatory requirements first. To comply with legal and regulatory 
requirements, organizations need to adopt the appropriate infrastructure. After 
understanding the legal and regulatory requirements, an IS auditor should evaluate 
organizational policies, standards and procedures to determine whether they 
adequately address the privacy requirements, and then review the adherence to these 
specific policies, standards and procedures. 
IT GOVERNANCE 2.4 

141  ( A )  that they are consistent across the organization. 

Deriving lower level policies from corporate policies (a top‐down approach) aids in 
ensuring consistency across the organization and consistency with other policies. The 
bottom‐up approach to the development of operational policies is derived as a result 
of risk assessment. A top‐down approach of itself does not ensure compliance and 
development does not ensure that policies are reviewed. 

14 
CISA 2009 Answers 
IT GOVERNANCE 2.4 

142  ( C )  Privacy laws could prevent cross‐border flow of information. 

Privacy laws prohibiting the cross‐border flow of personally identifiable information 
would make it impossible to locate a data warehouse containing customer information 
in another country. Time zone differences and higher telecommunications costs are 
more manageable. Software development typically requires more detailed 
specifications when dealing with offshore operations. 
IT GOVERNANCE 2.4 

143  ( A )  Issues of privacy 

The purchaser of an item will not necessarily be aware of the presence of the tag. If a 
tagged item is paid for by credit card, it would be possible to tie the unique ID of that 
item to the identity of the purchaser. Privacy violations are a significant concern 
because RFID can carry unique identifier numbers. If desired it would be possible for a 
firm to track individuals who purchase an item containing an RFID. Choices B and C are 
concerns of less importance. Choice D is not a concern. 
IT GOVERNANCE 2.4 

144  ( B )  Defining a security policy 

Defining a security policy for information and related technology is the first step 
toward building a security architecture. A security policy communicates a coherent 
security standard to users, management and technical staff. Security policies willoften 
set the stage in terms of what tools and procedures are needed for an organization. 
The other choices should be executed only after defining a security policy. 
IT GOVERNANCE 2.4 

145  ( C )  recommend changes to the IS policy to ensure deactivation of user IDs upon 

termination. 
Although a policy provides a reference for performing IS audit assignments, an IS 
auditor needs to review the adequacy and the appropriateness of the policy. If, in the 
opinion of the auditor, the time frame defined for deactivation is inappropriate,the 
auditor needs to communicate this to management and recommend changes to the 
policy. Though the deactivation happens as stated in the policy, it cannot be concluded 
that the control is effective. Best practice would require that the ID of a terminated 
user be deactivated immediately. Verifying that user access rights have been granted 
on a need‐to‐have basis is necessary when permissions are granted. Recommending 
that activity logs of terminated users be reviewed on a regular basis is a good practice, 
but not as effective as deactivation upon termination. 

15 
CISA 2009 Answers 
IT GOVERNANCE 2.4 

146  ( B )  parent bank is authorized to serve as a service provider. 

Even between parent and subsidiary companies, contractual agreement(s) should be 
in place to conduct shared services. This is particularly important in highly regulated 
organizations such as banking. Unless granted to serve as a service provider, itmay not 
be legal for the bank to extend business to the subsidiary companies. Technical 
aspects should always be considered; however, this can be initiated after confirming 
that the parent bank can serve as a service provider. Security aspects are another 
important factor; however, this should be considered after confirming that the parent 
bank can serve as a service provider. The ownership of the payment system is not as 
important as the legal authorization to operate the system. 
IT GOVERNANCE 2.5 

147  ( A )  desired result or purpose of implementing specific control procedures. 

An IT control objective is defined as the statement of the desired result or purpose to 
be achieved by implementing control procedures in a particular IT activity. They 
provide the actual objectives for implementing controls and may or may not be 
thebest practices. Techniques are the means of achieving an objective, and a security 
policy is a subset of IT control objectives. 
IT GOVERNANCE 2.5 

148  ( C )  adoption of a corporate information security policy statement. 

A policy statement reflects the intent and support provided by executive management 
for proper security and establishes a starting point for developing the security 
program. 
IT GOVERNANCE 2.5 

149  ( D )  Periodic reviews and comparison with best practices 

The adequacy of security awareness content can best be assessed by determining 
whether it is periodically reviewed and compared to industry best practices. Choices A, 
B and C provide metrics for measuring various aspects of a security awareness 
program, but do not help assess the content. 
IT GOVERNANCE 2.5 

150  ( A )  provide strategic direction. 

Corporate governance is a set of management practices to provide strategic direction, 
thereby ensuring that goals are achievable, risks are properly addressed and 
organizational resources are properly utilized. Hence, the primary objective of 
corporate governance is to provide strategic direction. Based on the strategic 
direction, business operations are directed and controlled. 

16 
CISA 2009 Answers 
IT GOVERNANCE 2.5 

151  ( C )  Select projects according to business benefits and risks 

Prioritization of projects on the basis of their expected benefit(s) to business, and the 
related risks, is the best measure for achieving alignment of the project portfolio to an 
organization's strategic priorities. Modifying the yearly process of the projects 
portfolio definition might improve the situation, but only if the portfolio definition 
process is currently not tied to the definition of corporate strategies; however, this is 
unlikely since the difficulties are in maintaining the alignment, and not in setting it up 
initially. Measures such as balanced scorecard (BSC) and key performance indicators 
(KPIs) are helpful, but they do not guarantee that the projects are aligned with 
business strategy. 
IT GOVERNANCE 2.6 

152  ( D )  increased market penetration. 

A comprehensive business case for any proposed IT‐related business investment 
should have clearly defined business benefits to enable the expected return to be 
calculated. These benefits usually fall into two categories: direct and indirect, or 
soft.Direct benefits usually comprise the quantifiable financial benefits that the new 
system is expected to generate. The potential benefits of enhanced reputation and 
enhanced staff morale are difficult to quantify, but should be quantified to the extent 
possible. IT investments should not be made just for the sake of new technology but 
should be based on a quantifiable business need. 
IT GOVERNANCE 2.6 

153  ( D )  enterprise architecture (EA). 

Enterprise architecture (EA) involves documenting the organization's IT assets and 
processes in a structured manner to facilitate understanding, management and 
planning for IT investments. It involves both a current state and a representation of an 
optimized future state. In attempting to complete an EA, organizations can address 
the problem either from a technology perspective or a business process perspective. 
Project management does not consider IT investment aspects; it is a tool to aid in 
delivering projects. Object‐oriented architecture is a software development 
methodology and does not assist in planning for IT investment, while tactical planning 
is relevant only after high‐level IT investment decisions have been made. 
IT GOVERNANCE 2.6 

154  ( A )  facilitates interoperability. 

Open systems are those for which suppliers provide components whose interfaces are 
defined by public standards, thus facilitating interoperability between systems made 
by different vendors. In contrast, closed system components are built to proprietary 
standards so that other suppliers' systems cannot or will not interface with existing 
systems. 

17 
CISA 2009 Answers 
IT GOVERNANCE 2.6 

155  ( A )  optimize security investments in support of business objectives. 

In the context of effective information security governance, value delivery is 
implemented to ensure optimization of security investments in support of business 
objectives. The tools and techniques for implementing value delivery include 
implementation of a standard set of security practices, institutionalization and 
commoditization of standards‐based solutions, and implementation of a continuous 
improvement culture considering security as a process, not an event. 
IT GOVERNANCE 2.6 

156  ( C )  Investment portfolio analysis 

It is most desirable to conduct an investment portfolio analysis, which will present not 
only a clear focus on investment strategy, but will provide the rationale for 
terminating nonperforming IT projects. Internal control self‐assessment (CSA) may 
highlight noncompliance to the current policy, but may not necessarily be the best 
source for driving the prioritization of IT projects. Like internal CSA, IS audits may 
provide only part of the picture for the prioritization of IT projects. Businessrisk 
analysis is part of the investment portfolio analysis but, by itself, is not the best 
method for prioritizing new IT projects. 
IT GOVERNANCE 2.6 

157  ( B )  The replacement effort consists of several independent projects without integrating 

the resource allocation in a portfolio management approach. 
The efforts should be consolidated to ensure alignment with the overall strategy of the 
postmerger organization. If resource allocation is not centralized, the separate 
projects are at risk of overestimating the availability of key knowledge resources for 
the in‐house developed legacy applications. In postmerger integration programs, it is 
common to form project management offices to ensure standardized and comparable 
information levels in the planning and reporting structures, and to 
centralizedependencies of project deliverables or resources. The experience of 
external consultants can be valuable since project management practices do not 
require in‐depth knowledge of the legacy systems. This can free up resources for 
functional tasks. Itis a good idea to first get familiar with the old systems, to 
understand what needs to be done in a migration and to evaluate the implications of 
technical decisions. In most cases, mergers result in application changes and thus in 
training needs asorganizations and processes change to leverage the intended synergy 
effects of the merger. 

18 
CISA 2009 Answers 
IT GOVERNANCE 2.7 

158  ( D )  Monitoring the outsourcing provider's performance 

In an outsourcing environment, the company is dependent on the performance of the 
service provider. Therefore, it is critical the outsourcing provider's performance be 
monitored to ensure that services are delivered to the company as required. Payment 
of invoices is a finance function, which would be completed per contractual 
requirements. Participating in systems design is a byproduct of monitoring the 
outsourcing provider's performance, while renegotiating fees is usually a one‐time 
activity. 
IT GOVERNANCE 2.7 

159  ( A )  Yes, because an IS auditor will evaluate the adequacy of the service bureau's plan and 

assist their company in implementing a complementary plan. 
The primary responsibility of an IS auditor is to assure that the company assets are 
being safeguarded. This is true even if the assets do not reside on the immediate 
premises. Reputable service bureaus will have a well‐designed and tested business 
continuity plan. 
IT GOVERNANCE 2.7 

160  ( C )  ownership of intellectual property. 

Of the choices, the hardware and access control software is generally irrelevant as 
long as the functionality, availability and security can be affected, which are specific 
contractual obligations. Similarly, the development methodology should be ofno real 
concern. The contract must, however, specify who owns the intellectual property (i.e., 
information being processed, application programs). Ownership of intellectual 
property will have a significant cost and is a key aspect to be defined in anoutsourcing 
contract. 
IT GOVERNANCE 2.7 

161  ( A )  There could be a question regarding the legal jurisdiction. 

In the funds transfer process, when the processing scheme is centralized in a different 
country, there could be legal issues of jurisdiction that might affect the right to 
perform a review in the other country. The other choices, though possible, arenot as 
relevant as the issue of legal jurisdiction. 

19 
CISA 2009 Answers 
IT GOVERNANCE 2.7 

162  ( A )  References from other customers 

An IS auditor should look for an independent verification that the ISP can perform the 
tasks being contracted for. References from other customers would provide an 
independent, external review and verification of procedures and processes the ISP 
follows‐issues which would be of concern to an IS auditor. Checking references is a 
means of obtaining an independent verification that the vendor can perform the 
services it says it can. A maintenance agreement relates more to equipment than to 
services, and a conversion plan, while important, is less important than verification 
that the ISP can provide the services they propose. 
IT GOVERNANCE 2.7 

163  ( B )  Gain‐sharing performance bonuses 

Because the outsourcer will share a percentage of the achieved savings, gain‐sharing 
performance bonuses provide a financial incentive to go above and beyond the stated 
terms of the contract and can lead to cost savings for the client. Refresh frequencies 
and penalties for noncompliance would only encourage the outsourcer to meet 
minimum requirements. Similarly, tying charges to variable cost metrics would not 
encourage the outsourcer to seek additional efficiencies that might benefit the client. 
IT GOVERNANCE 2.7 

164  ( A )  Accountability for the corporate security policy 

Accountability cannot be transferred to external parties. Choices B, C and D can be 
performed by outside entities as long as accountability remains within the 
organization. 
IT GOVERNANCE 2.7 

165  ( C )  That the contractual warranties of the providers support the business needs of the 

organization 
The complexity of IT structures matched by the complexity and interplay of 
responsibilities and warranties may affect or void the effectiveness of those warranties 
and the reasonable certainty that the business needs will be met. All other choices are 
important, but not as potentially dangerous as the interplay of the diverse and critical 
areas of the contractual responsibilities of the outsourcers. 

20 
CISA 2009 Answers 
IT GOVERNANCE 2.7 

166  ( A )  Outsourced activities are core and provide a differentiated advantage to the 

organization. 
An organization's core activities generally should not be outsourced, because they are 
what the organization does best; an IS auditor observing that should be concerned. An 
IS auditor should not be concerned about the other conditions because specification 
of periodic renegotiation in the outsourcing contract is a best practice. Outsourcing 
contracts cannot be expected to cover every action and detail expected of the parties 
involved, while multisourcing is an acceptable way to reduce risk. 
IT GOVERNANCE 2.7 

167  ( A )  requirement for protecting confidentiality of information could be compromised. 

Many countries have enacted regulations to protect the confidentiality of information 
maintained in their countries and/or exchanged with other countries. Where a service 
provider outsources part of its services to another service provider, there isa potential 
risk that the confidentiality of the information will be compromised. Choices B and C 
could be concerns but are not related to ensuring the confidentiality of information. 
There is no reason why an IS auditor should be concerned with choice D. 
IT GOVERNANCE 2.7 

168  ( D )  Significant contracts 

Contractual requirements are one of the sources that should be consulted to identify 
the requirements for the management of information assets. Vendor best practices 
provides a basis for evaluating how competitive an enterprise is, while security 
incident summaries are a source for assessing the vulnerabilities associated with the IT 
infrastructure. CERT (www.cert.org) is an information source for assessing 
vulnerabilities within the IT infrastructure. 
IT GOVERNANCE 2.7 

169  ( B )  independent audit reports or full audit access. 

When the functions of an IS department are outsourced, an IS auditor should ensure 
that a provision is made for independent audit reports that cover all essential areas, or 
that the outsourcer has full audit access. Although it is necessary to document the fact 
that background checks are performed, this is not as important as provisions for 
audits. Financial measures such as year‐to‐year incremental cost reductions are 
desirable to have in a service level agreement (SLA); however, cost reductions are not 
as important as the availability of independent audit reports or full audit access. An 
SLA might include human relationship measures such as resource planning, staff 
turnover, development or training, but this is not as important as the requirements for 
independent reports or full audit access by the outsourcing organization. 

21 
CISA 2009 Answers 
IT GOVERNANCE 2.7 

170  ( B )  agrees to be subject to external security reviews. 

It is critical that an independent security review of an outsourcing vendor be obtained 
because customer credit information will be kept there. Compliance with security 
standards or organization policies is important, but there is no way to verify orprove 
that that is the case without an independent review. Though long experience in 
business and good reputation is an important factor to assess service quality, the 
business cannot outsource to a provider whose security control is weak. 
IT GOVERNANCE 2.8 

171  ( C )  archive policy. 

With a policy of well‐archived e‐mail records, access to or retrieval of specific e‐mail 
records is possible without disclosing other confidential e‐mail records. Security 
and/or audit policies would not address the efficiency of record retrieval, and 
destroying e‐mails may be an illegal act. 
IT GOVERNANCE 2.8 

172  ( C )  security policy decisions. 

The risk management process is about making specific, security‐related decisions, such 
as the level of acceptable risk. Choices A, B and D are not ultimate goals of the risk 
management process. 
IT GOVERNANCE 2.8 

173  ( C )  Identify threats and likelihood of occurrence 

An IS auditor must identify the assets, look for vulnerabilities, and then identify the 
threats and the likelihood of occurrence. Choices A, B and D should be discussed with 
the CIO, and a report should be delivered to the CEO. The report should include the 
findings along with priorities and costs. 
IT GOVERNANCE 2.8 

174  ( A )  Security and control practices 

Risks are mitigated by implementing appropriate security and control practices. 
Insurance is a mechanism for transferring risk. Audit and certification are mechanisms 
of risk assurance, while contracts and SLAs are mechanisms of risk allocation. 
IT GOVERNANCE 2.8 

175  ( C )  Inventory of assets 

Identification of the assets to be protected is the first step in the development of a risk 
management program. A listing of the threats that can affect the performance of 
these assets and criticality analysis are later steps in the process. Data classification is 
required for defining access controls and in criticality analysis. 

22 
CISA 2009 Answers 
IT GOVERNANCE 2.8 

176  ( C )  apply a qualitative approach. 

The common practice, when it is difficult to calculate the financial losses, is to take a 
qualitative approach, in which the manager affected by the risk defines the financial 
loss in terms of a weighted factor (e.g., one is a very low impact to thebusiness and 
five is a very high impact). An ROI is computed when there is predictable savings or 
revenues that can be compared to the investment needed to realize the revenues. 
Amortization is used in a profit and loss statement, not in computing potential losses. 
Spending the time needed to define exactly the total amount is normally a wrong 
approach. If it has been difficult to estimate potential losses (e.g., losses derived from 
erosion of public image due to a hack attack), that situation is not likely to change, and 
at the end of the day, the result will be a not well‐supported evaluation. 
IT GOVERNANCE 2.8 

177  ( D )  Vulnerability 

The lack of adequate security controls represents a vulnerability, exposing sensitive 
information and data to the risk of malicious damage, attack or unauthorized access 
by hackers. This could result in a loss of sensitive information and lead to theloss of 
goodwill for the organization. A succinct definition of risk is provided by the Guidelines 
for the Management of IT Security published by the International Organization for 
Standardization (ISO), which defines risk as the ‘potential that a given threat will 
exploit the vulnerability of an asset or group of assets to cause loss or damage to the 
assets.’ The various elements of the definition are vulnerability, threat, asset and 
impact. Lack of adequate security functionalityin this context is a vulnerability. 
IT GOVERNANCE 2.8 

178  ( A )  evaluating threats associated with existing IT assets and IT projects. 

To assess IT risks, threats and vulnerabilities need to be evaluated using qualitative or 
quantitative risk assessment approaches. Choices B, C and D are potentially useful 
inputs to the risk assessment process, but by themselves are not sufficient.Basing an 
assessment on past losses will not adequately reflect inevitable changes to the firm's 
IT assets, projects, controls and strategic environment. There are also likely to be 
problems with the scope and quality of the loss data available to beassessed. 
Comparable organizations will have differences in their IT assets, control environment 
and strategic circumstances. Therefore, their loss experience cannot be used to 
directly assess organizational IT risk. Control weaknesses identified during audits will 
be relevant in assessing threat exposure and further analysis may be needed to assess 
threat probability. Depending on the scope of the audit coverage, it is possible that 
not all of the critical IT assets and projects will have recently been audited, and there 
may not be a sufficient assessment of strategic IT risks. 

23 
CISA 2009 Answers 
IT GOVERNANCE 2.8 

179  ( C )  mitigation. 

Mitigation is the strategy that provides for the definition and implementation of 
controls to address the risk described. Avoidance is a strategy that provides for not 
implementing certain activities or processes that would incur risk. Transference is the 
strategy that provides for sharing risk with partners or taking insurance coverage. 
Acceptance is a strategy that provides for formal acknowledgement of the existence of 
a risk and the monitoring of that risk. 
IT GOVERNANCE 2.8 

180  ( A )  vulnerabilities. 

Vulnerabilities represent characteristics of information resources that may be 
exploited by a threat. Threats are circumstances or events with the potential to cause 
harm to information resources. Probabilities represent the likelihood of the 
occurrence of a threat, while impacts represent the outcome or result of a threat 
exploiting a vulnerability. 
IT GOVERNANCE 2.8 

181  ( C )  identify and rank the information assets. 

Identification and ranking of information assets‐e.g., data criticality, locations of 
assets‐will set the tone or scope of how to assess risk in relation to the organizational 
value of the asset. Second, the threats facing each of the organization's assets should 
be analyzed according to their value to the organization. Third, weaknesses should be 
identified so that controls can be evaluated to determine if they mitigate the 
weaknesses. Fourth, analyze how these weaknesses, in absence of given controls, 
would impact the organization information assets. 
IT GOVERNANCE 2.8 

182  ( C )  take into account the entire IT environment. 

When assessing IT security risk, it is important to take into account the entire IT 
environment. Measures of security risk should focus on those areas with the highest 
criticality so as to achieve maximum risk reduction at the lowest possible cost. IT 
strategic plans are not granular enough to provide appropriate measures. Objective 
metrics must be tracked over time against measurable goals, thus the management of 
risk is enhanced by comparing today's results against last week, last month, 
lastquarter. Risk measures will profile assets on a network to objectively measure 
vulnerability risk. They do not identify tolerances. 

24 
CISA 2009 Answers 
IT GOVERNANCE 2.8 

183  ( A )  An understanding of the organization's threat, vulnerability and risk profile 

Implementing risk management, as one of the outcomes of effective information 
security governance, would require a collective understanding of the organization's 
threat, vulnerability and risk profile as a first step. Based on this, an understandingof 
risk exposure and potential consequences of compromise could be determined. Risk 
management priorities based on potential consequences could then be developed. 
This would provide a basis for the formulation of strategies for risk mitigation 
sufficient to keep the consequences from risk at an acceptable level. 
IT GOVERNANCE 2.8 

184  ( A )  performance measurement. 

Performance measurement includes setting and monitoring measurable objectives of 
what the IT processes need to deliver (process outcome) and how they deliver it 
(process capability and performance). Strategic alignment primarily focuses on 
ensuring linkage of business and IT plans. Value delivery is about executing the value 
proposition throughout the delivery cycle. Resource management is about the optimal 
investment in and proper management of critical IT resources. Transparency is 
primarily achieved through performance measurement as it provides information to 
the stakeholders on how well the enterprise is performing when compared to 
objectives. 
IT GOVERNANCE 2.8 

185  ( C )  Business risk 

Priority should be given to those areas which represent a known risk to the 
enterprise's operations. The level of process maturity, process performance and audit 
reports will feed into the decision making process. Those areas that represent real 
riskto the business should be given priority. 
IT GOVERNANCE 2.8 

186  ( B )  enforcement of the management of security risks. 

The major benefit of implementing a security program is management's assessment of 
risk and its mitigation to an appropriate level of risk, and the monitoring of the 
remaining residual risks. Recommendations, visions and objectives of the auditor 
andthe chief information security officer (CISO) are usually included within a security 
program, but they would not be the major benefit. The cost of IT security may or may 
not be reduced. 

25 
CISA 2009 Answers 
IT GOVERNANCE 2.8 

187  ( A )  Stricter controls should be implemented by both the organization and the cleaning 

agency. 
An employee leaving an important document on a desk and the cleaning staff 
removing it may result in a serious impact on the business. Therefore, the IS auditor 
should recommend that strict controls be implemented by both the organization and 
the outsourced cleaning agency. That such incidents have not occurred in the past 
does not reduce the seriousness of their impact. Implementing and monitoring a clear 
desk policy addresses only one part of the issue. Appropriate confidentiality 
agreements with the cleaning agency, along with ensuring that the cleaning staff has 
been educated on the dos and don'ts of the cleaning process, are also controls that 
should be implemented. The risk here is not a loss of data, but leakage of data to 
unauthorized sources. A backup policy does not address the issue of unauthorized 
leakage of information. 
IT GOVERNANCE 2.8 

188  ( D )  Establish regular IT risk management meetings to identify and assess risks, and create 

a mitigation plan as input to the organization's risk management. 
Establishing regular meetings is the best way to identify and assess risks in a medium‐
sized organization, to address responsibilities to the respective management and to 
keep the risk list and mitigation plans up to date. A medium‐sized organizationwould 
normally not have a separate IT risk management department. Moreover, the risks are 
usually manageable enough so that external help would not be needed. While 
common risks may be covered by common industry standards, they cannot address 
the specific situation of an organization. Individual risks will not be discovered without 
a detailed assessment from within the organization. Splitting the one risk position into 
several is not sufficient. 
IT GOVERNANCE 2.9 

189  ( A )  financial results. 

Financial results have traditionally been the sole overall performance metric. The IT 
balanced scorecard (BSC) is an IT business governance tool aimed at monitoring IT 
performance evaluation indicators other than financial results. The IT BSC considers 
other key success factors, such as customer satisfaction, innovation capacity and 
processing. 
IT GOVERNANCE 2.9 

190  ( B )  define key performance indicators. 

A definition of key performance indicators is required before implementing an IT 
balanced scorecard. Choices A, C and D are objectives. 

26 
CISA 2009 Answers 
IT GOVERNANCE 2.9 

191  ( D )  Optimize performance 

An IT performance measurement process can be used to optimize performance, 
measure and manage products/services, assure accountability and make budget 
decisions. Minimizing errors is an aspect of performance, but not the primary 
objective of performance management. Gathering performance data is a phase of the 
IT measurement process and would be used to evaluate the performance against 
previously established performance baselines. 
 

27