Troisième chapitre du manuel de préparation CISA 2012

1. CISA
Acquisition, Conception et
Implantation des Systèmes
d’Information

2. Objectifs
 A la fin de cette leçon ,vous serez capable de :
 Décrire les projets, programmes, dossiers ou
portefeuille.
 Décrire les processus de gestion de projet
 Décrire les formes d’organisation de projet
 Décrire le cycle de développement des
applications d’affaires
 Définir les termes MPO, EPF,
 …

3. Réalisation d’affaires
 Un projet est un effort temporaire dans le but de
créer un produit, un service ou un résultat
unique.
 Le management de projet est l’application de
connaissances, de compétences, d’outils et de
technique aux activités d’un projet afin d’en
satisfaire les exigences.
 La réalisation de projet est un compromis entre
des facteurs majeurs comme les coûts, la
qualité, la vitesse, la précision et la fiabilité.

4. Gestion de dossier et de programme
 Un programme est un groupe de projets et de tâches
assortis d’un calendrier et qui sont étroitement liés par
des objectifs communs et des calendriers et stratégies
entrelacés.
 L’objectif de la gestion de programme est l’exécution
réussie du programme, y compris, entre autres, la
gestion :

De la portée, des finances, des calendriers et des
objectifs et des livrables du programme

Du contexte et de l’environnement du programme
 De la communication et de la culture du programme
 De l’organisation du programme

5. Gestion de dossier et de programme
 Un dossier de projets se définit comme « tous
les projets exécutés dans l’organisation à un
point précis dans le temps ».
 Les objectifs de la gestion du dossier de projets
sont :

L’optimisation des résultats du dossier de projets

La priorisation et la programmation des projets
 La coordination des ressources (internes et externes)
 Le transfert de connaissances à travers les projets

6. Plan de mise en œuvre
 Le plan de mise en œuvre fournit l’information dont
l’organisation a besoin pour décider si un projet doit
aller de l’avant.
 Le plan de mise en œuvre initial dérive d’une étude
de faisabilité entreprise dans le cadre de la
planification ou du lancement du projet.
 Il doit être suffisamment détaillé et apporter une
justification au démarrage ou à la continuation du
projet.
 C’est un élément clé du processus de décision tout
au long du cycle de vie de tout projet.

7. Structure de gestion de projet
 www.pmi.org : Project Management Body
of Knowledge (PMBoK)
 www.prince2.com : Projects in a
Controlled Environment (PRINCE 2)
 www.ipma.ch

8. Aspects généraux
 Un projet est toujours un effort à durée limitée
 Un projet peut être complexe et impliquer un élément de
risque
 Un projet comporte des objectifs, des livrables et des
dates de début et de fin spécifiques.
 La plupart des projets sont divisibles en phases
explicites
 Un projet peut être perçu non seulement comme un
groupe de tâches complexes, mais aussi comme un
système social ou une organisation temporaire.
 La gestion de projet comprend des sous-processus
comme le lancement, la planification, la coordination,
l’exécution, le contrôle, et la clôture

9. Contexte et environnement de
projet
 Le contexte du projet prend en compte :
 L’importance du projet dans l’organisation

Le rapport entre la stratégie de l’organisation et le
projet

La relation entre le projet et les autres projets
 Le rapport entre le projet et la plan de mise en œuvre
sous-jacent
 Les facteurs d’environnement interne ou externe
influencent la planification du projet dans son ensemble
et la réussite du projet.

10. Formes d’organisation de projet
 Influence, Pure, Matricielle

11. Organisation d’influence ou
fonctionnelle

12. Organisation Matricielle

13. Organisation Pure ou par Projet

14. Communication et culture de
projet
 Selon la taille, la complexité du projet et les personnes
concernées, lors du lancement du processus de gestion
du projet, la communication peut être réalisée par :

Des entretiens particuliers

Des réunion de lancements

Des ateliers de démarrage de projet

Une combinaison des trois
 Les cultures et les styles peuvent avoir une forte
influence sur la capacité d’un projet à atteindre ses
objectifs. Les normes culturelles comprennent une
connaissance commune sur la façon d’approcher la
réalisation du travail, les moyens considérés comme
acceptables pour cette réalisation et les personnes dont
l’influence va la faciliter.

15. Objectif du projet
 Les résultats attendus d’un projet doivent être
clairement définis et de type SMART.
 Les objectifs principaux sont directement liés au
succès de l’entreprise.
 Les objectifs complémentaires ne sont pas liés
aux objectifs principaux du projet, mais peuvent
contribuer à sa réussite.
 Les non-objectifs précisent la portée et clarifient
les limites du projet.

16. Rôles et responsabilités
 Cadres supérieurs
 Responsables des utilisateurs
 Comité directeur du projet
 Responsable du projet
 Gestionnaire du projet
 Equipe de projet utilisateur
 Responsable de la sécurité des SI
 Assurance qualité
 …

17. Pratique de gestion de projet
 La gestion de projet est la mise en pratique des connaissances, des
habiletés, des outils et des techniques appliqués à une large
gamme d’activités en vue d’atteindre un objectif défini, comme celui
de satisfaire aux exigences déterminées de l’utilisateur et de
respecter les échéances et le budget.
Budget
Livrables Durée

18. Pratique de gestion de projet:
Initiation
 Le gestionnaire ou le responsable doit recueillir
l’information nécessaire pour obtenir
l’approbation du projet.
 L’information sera souvent utilisée comme
référence ou charte de projet pour déterminer
les objectifs du projet, les intervenants dans le
système à concevoir ainsi que le gestionnaire et
le responsable du projet.
 Le projet devient officiellement autorisé lorsque
la charte du projet est approuvée.

19. Pratique de gestion de projet:
Planification
 Le gestionnaire de projet doit déterminer :

Les diverses tâches qui doivent être effectuées pour
créer le système d’application de gestion attendu

La séquence ou l’ordre d’exécution des tâches
 La durée ou la fenêtre de temps de chaque tâche
 La priorité de chacune des tâches
 Les ressources liées aux TI qui sont disponibles ou
nécessaires pour effectuer ces tâches

Le budget ou le coût de chacune des tâches

Les sources et moyens de financement

20. Pratique de gestion de projet:
Gestion générale
 La gestion générale de projet se sert de techniques
automatisées pour traiter les offres et les
estimations de coûts en plus de surveiller les
performance, de faire les prévisions et de présenter
des rapports tout en proposant des mesures
concrètes.
 Documentation : Les outils de documentation automatisés
gèrent la production, la validation et la mise à jour des
documents relatifs aux programmes et aux systèmes

Bureautique : La bureautique diminue le travail du
personnel relatif aux fonctions qui doivent être conformes
aux politiques et effectue des fonctions de communication
et de consignation lors de rencontre du personnel

21. Pratique de gestion de projet:
Contrôle
 Gestion de la portée : Se fait à travers une structure
de répartition du produit généralement dans une
base de données de gestion des composantes.
 Utilisation des ressources : Processus de dépense
du budget du projet. Pour vérifier si les dépenses
réelles correspondent aux dépenses prévues,
l’utilisation des ressources doit être mesurée et
rapportée.
 Gestion du risque : consiste en cinq étapes
exécutées à répétition pendant un projet
(Répertorier les risques, évaluer les risques,
atténuer les risques, découvrir les risques, réviser et

22. Pratique de gestion de projet:
Fermeture
 Un projet doit avoir une durée de vie limitée pour
qu’à un moment donné il soit fermé et que le
système, nouveau ou modifié, soit remis aux
utilisateurs ou au personnel de soutien du
système.
 Quelques activités de clôture de projet :
 Transmission de la documentation

Tenir un registre des leçons apprises
 Evaluer la qualité du travail, de l’équipe et les
liens avec les environnements pertinents

23. Développement des
applications d’affaires
 Nouvelle occasion reliée à un nouveau
processus opérationnel ou à un processus
existant
 Problème relié à un processus
opérationnel existant
 Nouvelle occasion permettant à
l’entreprise de tirer profit de la technologie
 Problème avec la technologie actuelle

24. Modèle Vérification et Validation
Exigences de Test
l’utilisateur d’acceptation
Exigences Test de
fonctionnelles système
Conception Test
architecturale d’intégration
Conception Test unitaire
détaillé
Code

25. Approche traditionnelle du CDS
3A- 4A-
Conception Développement
1- 2- 5- 6- Post
Faisabilité Exigences Implantation Implantation
3B- 4B-
Sélection Configuration

26. Etude de faisabilité
 Définir un échéancier pour l’implantation de la solution
requise
 Déterminer une solution de rechange optimale basée sur
le risque
 Déterminer si un système existant peut corriger la
situation avec de légères modifications ou sans
modifications
 Déterminer si le produit d’un fournisseur propose une
solution au problème
 Déterminer le coût approximatif de concevoir le système
afin de corriger le problème
 Déterminer si la solution convient à la stratégie de
l’entreprise

27. Définition des exigences
 Identifier et consulter les partenaires pour déterminer
leurs exigences
 Analyser les exigences pour détecter et corriger les
conflits et déterminer les priorités
 Identifier les limites du système et la façon dont le
système doit interagir avec son environnement
 Convertir les exigences de l’utilisateur en exigences de
système
 Enregistrer les exigences fans un format structuré
 Vérifier que les exigences sont complètes; constantes,
limpides, vérifiables, modifiables, testables et traçables

28. Conception
 Elaboration d’organigrammes et de modèles entité relation pour
illustrer comment l’information circulera à travers le système
 Définition de l’utilisation des techniques structurées de conception
qui montrent diverses relations de haut niveau jusqu’en détails
 Description des entrants et des sortants telles que la conception des
écrans et les rapports
 Définition des étapes de traitement et des règles de calculs lors du
traitement des besoins fonctionnels
 Définition de la conception des fichiers de données ou des fichiers
des systèmes de bases de données
 Préparation des spécifications du programme pour les divers types
d’exigences ou de critères d’information définis
 Élaboration des plans de tests pour les divers niveaux de test
 Elaboration des plans de conversion des données pour convertir les
données et les procédures manuelles du vieux système au nouveau
système

29. Développement
 Codage et rédaction de documents reliés au programme
et au système
 Débogage et test des programmes conçus
 Conception de programmes visant à convertir les
données du vieux système afin qu’elles puissent être
utilisées dans le nouveau système
 Création de procédures utilisateurs pour gérer la
transition vers le nouveau système
 Formation d’utilisateurs sélectionnés sur le nouveau
système puisque leur participation sera nécessaire
 Assurance que les modifications sont documentées et
appliquées convenablement et complètement au
système

30. Implantation
 Mise en place des structures de soutien
dans l’entreprise
 Formation des utilisateurs finaux
 Conversion des données du vieux
système
 Migration des données dans le nouveau
système
 Derniers tests d’acceptation

31. Révision post implémentation
 Evaluer la pertinence du système
 Vérifier si le système respecte les exigences de l’utilisateur et les objectifs de
l’entreprise
 Vérifier si les contrôles d’accès ont été définis et implantés convenablement
 Evaluer les mesures coûts-avantages et du retour sur
investissement prévue
 Rédiger les recommandations qui abordent les lacunes
et les insuffisances du système
 Elaborer un plan pour l’implantation des
recommandations
 Evaluer le processus de projet de conception:
 Est-ce que les méthodologies, normes et techniques choisies ont été suivies ?
 Est-ce que les techniques de gestion de projet appropriées ont été utilisées ?

32. Système d’application d’affaires
 Le commerce électronique
 L’échange de documents informatisés
 Le courrier électronique
 Système d’intelligence artificielle
 Système d’aide à la décision
 Gestion de la relation clientèle
 Autre systèmes d’application d’affaires

33. Commerce Electronique
 Modèles de commerce électronique

Relations entreprise à client
 Relations entreprise à entreprise
 Relations intra-entreprise

Relations entreprises-gouvernement
 Relations clients-gouvernement

Relation d’échange

34. Commerce Electronique
 Architecture du commerce électronique

Langage XML
 Modèle de composants( COM, EJB)
 Environnement (.NET, ONE, JAVA)

Serveur d’applications (BEA, Websphere,
Oracle AS, …)
 Serveur de bases de données (Oracle,
MySQL, SQL Server, …)

35. Commerce Electronique
 Risques du commerce électronique

Confidentialité
 Intégrité
 Disponibilité

Authentification et non-répudiation
 Transfert de pouvoir aux clients

36. Commerce Electronique
 Audit du commerce électronique

Des mécanismes et procédures de sécurité
 Processus d’identification
 Signatures numériques

Procédures de contrôle des changements
 Méthode de monitoring des brèches de
sécurité

Organisation de la confidentialité
 Mécanismes de protection des composants
 Responsabilité partagée et comprise

Programme régulier d’audit

37. Echange de Documents
Informatisés
 Exigences générales

Logiciel de base
 Système d’application
 EDI Traditionnel

Gestionnaire de télécommunication
 Interface de délimiteur de fin de trame
 Système d’application
 EDI sur le Web

38. Echange de Documents
Informatisés
 Risques et contrôles d’EDI

Autorisation des transactions
 Perte de continuité des affaires
 Corruption des applications d’EDI

Accès non autorisé aux transactions
électroniques
 Suppression ou manipulation des transactions
avant ou après la mise en place de contrôles
applicatifs

Perte ou duplication des transmissions d’EDI
 Perte de confidentialité et mauvaise distribution
des transactions d’EDI

39. Echange de Documents
Informatisés
 Vérification d’EDI

Les procédés de chiffrement pour Internet
 Vérification des transactions erronés,
inhabituelles ou invalides

L’utilisation des contrôles totaux sur réception
des transactions
 L’utilisation des champs de contrôle au sein d’un
message
 L’utilisation des systèmes experts

40. Courrier électronique
 Composantes

Serveur de courrier électronique
 Client de messagerie
 Problème de sécurité liés au courriel

Failles dans la configuration du serveur
 Informations sensibles transmises sans
chiffrement
 Virus et autres types de codes malveillants
 Exposition légale suite à l’envoie d’une
information inappropriée

41. Système d’intelligence
artificielle
 Principes :

La connaissance est acquise et exploitée

Les buts sont déterminés et atteints
 L’information est communiquée
 La collaboration est fournie
 Les concepts sont formés

Les langages sont développés

42. Système d’intelligence
artificielle
 Domaines d’application de l’IA

Les systèmes experts

Les langages naturels et artificiels
 Gestion du texte intelligent
 Démonstration de théorèmes
 Raisonnement abstrait

Reconnaissance de formes

Reconnaissance vocale
 Résolution de problèmes
 Traduction automatique de langue étrangères

43. Système d’aide à la décision
 Vise à résoudre les problèmes moins structurés
et moins bien définis auxquels sont confrontés
les cadres supérieurs
 Combine l’utilisation de modèles ou de
techniques d’analyse aux fonctions d’accès et
d’extraction conventionnelles des données
 Met l’accent sur la souplesse et l’adaptabilité
pour composer avec les changements dans
l’environnement et l’approche pour la prise de
décision des utilisateurs.

44. Gestion de la relation avec la
clientèle
 Se concentre sur l’information relative aux données
transactionnelles, les préférences, les modèles d’achat,
l’historique des contacts, les renseignements
démographiques et les courants en matière de service à
la clientèle plutôt que les produits.
 La gestion opérationnelle vise à maximiser l’utilité de
l’expérience du service à la clientèle tout en enregistrant
des données utiles sur l’interaction du client.
 La gestion analytique cherche à convertir les données
que recueille l’organisation sur ses clients et sur ses
interactions avec elle en données qui lui permettent de
maximiser l’achalandage.

45. Autres systèmes d’application
d’affaires
 Systèmes de terminaux de point de vente
 Banque virtuelle
 Finance électronique
 Système de paiement
 Systèmes intégrés de fabrication
 Transfert électronique de fonds
 Fichiers de clientèle intégré
 Bureautique
 Guichet automatique bancaire
 Systèmes de traitement coopératifs
 Réponse vocale automatique

46. Audit du développement, de l’acquisition et
de la maintenance des systèmes
 Déterminer les principales composantes, objectifs et
exigences afin d’identifier les sections qui requièrent des
contrôles.
 Déterminer et classer les risques
 Identifier les contrôles permettant d’atténuer les risques
et les expositions qui peuvent affecter le système
 Evaluer les contrôles disponibles
 Réviser la documentation et las livrables
 Evaluer les normes et procédures de maintenance du
système dans le but de s’assurer de leur exactitude
 Analyser les résultats des tests
 Identifier et tester les contrôles existants

47. Remerciements
 Pour IBT ( Institute of Business and Technology)
 BP: 15441 Douala - Cameroun
 Par Arsène Edmond NGATO, CISA, CISM,
PMP, OCP 10g/11g
 Téléphone- 99183886
 Email- arsenengato@yahoo.fr
 Sources : Manuel de préparation CISA 2012, 4 ème
Edition du PMBoK, Divers articles téléchargés
sur Internet.

48. Question type examen
 Pour aider à tester un système bancaire principal qu’elle
est sur le point d’acheter, une entreprise a fourni au
fournisseur des données sensibles de son système de
production existant. La préoccupation PRINCIPALE d’un
auditeur des SI serait que les données soient:
A. épurées.
B. complètes.
C. représentatives.
D. actuelles.

49. Question type examen
 Laquelle des mesures suivantes constitue la
MEILLEURE mesure préventive pour atténuer les
risques découlant d’un éventuel désastre naturel pour un
système de TI ?
A. Identifier les menaces naturelles.
B. Choisir un emplacement sécuritaire pour les
installations.
C. Garder les systèmes critiques et les systèmes généraux
dans des endroits distincts.
D. Mettre à jour et entreposer les copies de secours hors
site.

50. Question type examen
 En effectuant un examen de la réingénierie du
processus opérationnel, le vérificateur des SI découvre
qu’un contrôle préventif clé a été supprimé. Dans cette
situation, le vérificateur des SI doit:
A - informer la direction de sa découverte et déterminer si celle-ci est prête à
accepter le risque matériel potentiel engendré par cette suppression.
B - déterminer si un contrôle de détection a remplacer un contrôle préventif pendant
le processus, et si ce n’est pas le cas, signaler la suppression du contrôle
préventif.
C – recommander que cette procédure et toute les procédures qui existaient avant
que le processus soient remodelé fassent partie du nouveau processus.
D – développer une approche de vérification continue pour surveiller les effets de la
suppression du contrôle préventif.

51. Question type examen
 Au cours de quelle étape suivante de réingénierie du
processus opérationnel l’équipe d’analyse comparative
doit-elle visiter l’organisation partenaire?
A. Observation
B. Planification
C. Analyse
D. Adaptation

52. Question type examen
 Laquelle des lacunes suivantes serait considérée
comme la PLUS sérieuse pour un logiciel de planification
des ressources d’entreprise (ERP) utilisé par un
banque ?
A. Les contrôles d’accès n’ont pas été passés en revue.
B. La documentation disponible est limitée.
C. Des bandes de sauvegarde vieilles de deux ans n’ont
pas été remplacées.
D. Une copie de secours de la base de données est
effectuée une fois par jour.

53. Question type examen
 Lorsqu’il vérifie la phase relative aux exigences de
l’acquisition d’un logiciel, l’auditeur des SI doit:
A. Évaluer la faisabilité de l’échéancier du projet.
B. Évaluer les processus de qualité proposés par le
fournisseur.
C. S’assurer de l’acquisition du meilleur progiciel.
D. Réviser l’exhaustivité des spécifications

54. Question type examen
 Une entreprise décide d’acquérir un progiciel au lieu de
le concevoir. Dans une telle situation, les phases de
conception et de développement classiques des
systèmes seraient remplacées par:
A. les phases de sélection et de configuration.
B. les phases de faisabilités et d’exigences.
C. les phases d’implantation et de test.
D. rien; aucun remplacement n’est nécessaire.

55. Question type examen
 Les spécifications de l’utilisateur définies pour un projet
réalisé par la méthode traditionnelle du cycle de
développement des systèmes n’ont pas été respectées.
Laquelle de ces phases doit examiner l’auditeur des SI
pour découvrir ce qui a engendré cette situation?
A. Assurance – qualité
B. Exigences
C. Développement
D. Formation de l’utilisateur

56. Question type examen
 Lors de l’introduction d’une architecture client léger,
lequel des risques suivants, en ce qui concerne les
serveurs, est augmenté de façon significative ?
A. L’intégrité
B. La concurrence
C. La confidentialité
D. La disponibilité

57. Question type examen
 Laquelle des procédures suivantes doit être implantée
pour aider à assurer l’exhaustivité des transactions
entrantes par l’échange de documents informatisés
(EDI)?
A. Totaux de contrôle incorporés dans l’enregistrement
complémentaire de chaque segment
B. Un journal du nombre de messages reçus, vérifié
périodiquement avec l’expéditeur de la transaction
C. Une piste d’audit électronique pour la responsabilité
et la poursuite
D. Établir une correspondance entre les accusés de
réception, des transactions reçues au journal des
messages d’EDI envoyés