单选题

一个IS审计师发现有一个没有被包含在网络拓扑图中的设备被连接到网络中，该网络拓扑图是用于确定审计范围的。CIO解释说，该网络拓扑图正在进行更新并且等待最后的审批。审计师应该首先要：（）

A 扩大审计范围以包含这个没有在网络图中出现的设备

B 评估这个未经批准的设备对审计范围的影响

C 注意控制缺陷，因为网络图尚未更新

D 对未记录的设备计划后续的审计工作

解析： 在一个基于风险的审计中，审计范围是由设备的影响程度来确定的。如果一个未经批准的设备不影响审计范围，那么，就可以排除在当前的审计业务约定以外。这些信息由网络图提供，比如网络层、交叉连接等等。重要的是，审计师并不马上假定网络图上所提供的任何有关对网络系统的风险影响如何。要在合适的地方来做网络图的批准和更新的动作。在这种情况下，只是开始IS审计的时间与完成审批的时间不匹配。没有控制缺陷要报告。是否对未批准设备进行后续审计，取决于未记录设备所涉及的风险是否符合审计范围。点评：基于风险来确定审计的目标和范围。