準備 CISA 時，只閱讀教材未必足夠。CISA 不少題目會先提供一個審計、資訊科技管治、風險或資訊保安情境，再要求考生從數個看似合理的選項中，判斷哪一項才是 FIRST、BEST、MOST 或 PRIMARY 的答案。

因此，CISA 練習的重點並不是記下越多答案越好，而是理解「為甚麼這個答案在目前情境下較合適」。

5 條 CISA 模擬考題：你會怎樣判斷？

以下選取 5 條 KORNERSTONE CISA Sample Questions 作示範。完整版本共收錄 18 條題目，並在最後一頁提供 Answer Key。重點放在解題方式，而不是背答案。

模擬題 1｜看到 FIRST，先判斷正確次序

Question

When developing a risk management program, what is the FIRST activity to be performed? A. Threat assessment. B. Classification of data. C. Inventory of assets. D. Criticality analysis.

答案：C. Inventory of assets.

題目不是問哪一項工作「重要」，而是問哪一項應該最先進行。

進行風險管理前，首先要知道組織有哪些需要保護的資產。完成資產盤點後，才可以進一步判斷其重要程度、分類資料，以及分析相關威脅。

做 FIRST 題時，可以先問自己：如果這一步未完成，後面的步驟能否合理進行？

模擬題 2｜MOST 不代表其他答案完全錯

Question

Involvement of senior management is MOST important in the development of: A. Strategic plans. B. IT policies. C. IT procedures. D. Standards and guidelines.

答案：A. Strategic plans.

Senior Management 當然亦可能參與 Policies，但題目問的是 MOST important。

Strategic Plan 直接涉及組織方向、資源分配及企業目標，因此最需要高層管理層參與。Procedures、Standards 和 Guidelines 通常會由較接近執行層的人員進一步制定。

這類題目的難點，是其他答案未必完全「錯」，只是其中一項最符合題目的層級與角色。

模擬題 3｜不要被相近的 Security Concept 混淆

Question

The purpose of code signing is to provide assurance that: A. The software has not been subsequently modified. B. The application can safely interface with another signed application. C. The signer of the application is trusted. D. The private key of the signer has not been compromised.

答案：A. The software has not been subsequently modified.

這條題目的干擾項全部看起來都與 Security 有關。

Code signing 的主要作用之一，是讓使用者驗證軟件在簽署後有沒有被未經授權修改，因此核心概念是 Integrity。

做這類題時，可以先把每個答案對應到背後的 Security Objective，再判斷哪一項最直接回答題目。

模擬題 4｜基本概念仍然要準確

Question

Which of the following does a lack of adequate security controls represent? A. Threat B. Asset C. Impact D. Vulnerability

答案：D. Vulnerability

這是一條相對直接的概念題。Control 不足代表系統存在可以被利用的弱點，因此屬於 Vulnerability。Threat 是可能利用弱點造成損害的威脅來源；Impact 則是事件發生後造成的影響。

這也說明 CISA 題目並非全部都是複雜情境題。基本 Audit、Risk 和 Security terminology 仍然要掌握。

模擬題 5｜PRIMARY 要找最直接的風險

Question

While reviewing the IT governance processes of an organization, an IS auditor discovers the firm has recently implemented an IT balanced scorecard (BSC). The implementation is complete; however, the IS auditor notices that performance indicators are not objectively measurable. What is the PRIMARY risk presented by this situation? A. Key performance indicators are not reported to management and management cannot determine the effectiveness of the BSC. B. IT projects could suffer from cost overruns. C. Misleading indications of IT performance may be presented to management. D. IT service level agreements may not be accurate.

答案：C. Misleading indications of IT performance may be presented to management.

題目提到的是「Performance Indicators 無法客觀量度」，因此最直接的風險就是管理層無法得到可靠的 IT Performance picture。

其他答案，例如 project cost overrun，的確可能是 IT Management 的問題，但不是題目中這個 control weakness 最直接造成的結果。

看到 PRIMARY 時，可以先問：題目描述的問題最直接造成甚麼後果？不要直接跳到最嚴重、最吸引注意的風險。

做 CISA 題目時，先留意這 4 個字

CISA 題目其中一個常見難點，是幾個答案都有一定合理性。

題目字眼	判斷方式
FIRST	哪一步在正確流程中應最先完成？
BEST	幾個可行方案之中，哪一項最符合目前情境？
MOST	哪一項影響最大、最重要或最符合題目要求？
PRIMARY	哪一項是最主要、最直接的原因、目的或風險？

 

做題時可以先辨認題目的 subject、risk／control／objective，以及 first／next／last 等時序提示，再比較不同選項，而不是看到熟悉的字眼就立即作答。

CISA 題庫怎樣練才有效？

做 CISA 題庫時，很容易出現一個情況：看完答案後覺得「明白」，隔幾日遇到另一個情境卻再次選錯。原因通常不是題目做得不夠，而是只記住了答案，沒有找出自己當時判斷錯在哪裡。

錯題原因	常見情況
Concept Gap	本身不理解題目涉及的 Audit／Risk／Control 概念
Qualifier 看漏	忽略 FIRST、BEST、MOST、PRIMARY 等關鍵字
Technical Bias	選了技術上可行的方案，但並非審計角度最合適的答案
Sequence Error	知道要做甚麼，但沒有判斷正確先後次序
Role Confusion	沒有分清 Board、Management、Data Owner、IS Auditor 等角色責任

 

ISACA Candidate Guide 亦特別提醒，部分題目會使用 MOST likely 或 BEST 等 qualifier。考生應先排除明顯錯誤的選項，再判斷哪個答案最符合題目的情境。

準備 CISA，要用哪些教材？

不少人在搜尋 CISA 教材時，都會遇到 CRM 和 QAE 這兩個名稱。兩者的作用並不一樣，實際備試時亦不宜互相取代。

備試資源	主要用途	適合使用階段
CISA Official Review Manual（CRM）	建立五大 Domain 的知識框架，理解 Audit、Risk、Governance、Control 等概念	備試初期及重溫弱項
CISA QAE Database	練習如何把概念應用於題目，理解正確及錯誤選項背後的原因	中期至後期
Practice Quiz／Mock Exam	測試跨 Domain 判斷、答題節奏及時間管理	備試後期

 

現時 ISACA 仍把 CISA Official Review Manual 28th Edition 列為主要官方參考教材，而 QAE Database 則提供逐個答案選項的詳細 explanation，讓考生了解為甚麼某個答案正確、其他選項又為甚麼不合適。

換句話說，CRM 比較像建立知識框架的「地圖」；QAE 則是用題目測試自己能否真正運用這張地圖。

CISA Review Manual（CRM）應該怎樣用？

第一次閱讀 CRM 時，不需要急於把每一項細節背熟。較實際的方法，是先理解五大 Domain 各自在處理甚麼問題，例如資訊系統審計流程、IT 管治、系統開發與實施、資訊系統營運，以及資訊資產保護。完成一輪基本閱讀後，再開始做 CISA 題目。

當做題時發現某一類問題經常出錯，例如：

• 不清楚 control design 和 operating effectiveness 的差別；
• 經常混淆 inherent risk、control risk 和 detection risk；
• 對 Governance、Risk Appetite 或 Management Responsibility 的角色掌握不足；
• 技術概念熟悉，但不習慣從 IS Auditor 的角度判斷。

這時才返回 CRM 重看相關章節，通常比由第一頁開始反覆閱讀更容易找到真正弱項。

CISA QAE Database

現時 ISACA 提供的主要 CISA test prep 資源，包括 CISA Official Review Manual 28th Edition、Questions, Answers & Explanations（QAE）Database，以及免費 CISA Practice Quiz。QAE Database 現時包括 1,070 條練習題、按 Domain 查看表現的功能，以及 3 套完整 timed practice exam；ISACA 官網亦提供 10 條免費 Practice Quiz 供考生初步了解題型。

甚麼時候應該開始做完整模擬考？

現行 CISA 考試共有 150 條 multiple-choice questions，考試時間為 4 小時（240 分鐘）。

備試初期，不需要一開始便做完整 150 題 CISA 模擬考。較實際的安排可以分三個階段：

• 初期：按 Domain 做題，先確認自己在哪些範圍最弱。
• 中期：開始 Mixed Practice，把不同 Domain 混合，避免看到題目類別後才知道應用哪套概念。
• 後期：完整 Timed Practice，除了正確率，亦要觀察是否在某類長情境題花太多時間。

完成模擬考後，不要只看總分。更值得記錄的是：哪個 Domain 最常失分、FIRST／BEST／MOST 題是否特別容易出錯、是否經常在兩個答案之間選錯，以及錯誤來自知識不足還是題目理解。

CISA 題庫是否越多越好？

未必。一個有大量題目的題庫，如果只是做完後記答案，實際作用可能不及較少但有認真分析 explanations 的練習。QAE 的價值之一，正是協助考生理解正確與錯誤選項背後的 reasoning。

CISA 教材及模擬題常見問題

CISA CRM 是甚麼？

一般所說的 CISA CRM，是指 CISA Official Review Manual。現行版本為 28th Edition，主要用來建立 CISA 五大 Domain 的知識框架及理解 Information Systems Auditor 的角色與責任。

CISA Review Manual 和 QAE 有甚麼分別？

Review Manual 主要負責「學概念」，QAE 則透過題目測試能否把概念應用到實際情境。較有效的做法不是二選一，而是把兩者循環使用。

只做 CISA 題庫可以嗎？

題庫可以協助熟習題型，但如果只記答案，而沒有理解 Audit、Risk、Governance 和 Control 背後的概念，遇到不同情境時仍然容易失分。

QAE 題目會不會在正式 CISA 考試原題出現？

QAE 是官方備試資源，但不應把它理解為正式考試原題庫。使用 QAE 的目的，是熟習知識應用、題型和判斷方式，而不是背題。

做 CISA 模擬考多少分才算準備好？

不宜把一般 practice test 的 raw percentage 直接換算成正式 CISA 成績。模擬考更適合用來觀察自己的弱項、時間管理和題型判斷是否穩定，再決定哪些 Domain 需要補強。

有意加強 CISA 題目練習？

如果你已有基本 Audit／Risk 經驗，自修時可以以 CISA Official Review Manual 配合 QAE 逐步建立自己的錯題紀錄。

如果對 CISA 的 Audit thinking 不熟悉，或者做題時經常出現「兩個答案都好像正確」的情況，有導師逐題解釋不同選項的判斷邏輯，會較容易找出問題所在。

KORNERSTONE 現時的 CISA 課程為 29 小時 Instructor-led Training，內容按五大 CISA Domain 安排，並配合官方教材、實際案例及經驗分享。

如果想了解 CISA 課程、教材、題目練習或上課安排，可以透過 Course Enquiry 聯絡 KORNERSTONE 培訓顧問。