Ce cas présente une situation dans laquelle une entreprise commerciale a confié à une firme de consultants le soin d'élaborer un plan directeur de sécurité informatique. Dans le cadre de ce mandat, la firme de consultants a produit deux rapports d'étape qui ont été remis à la direction de l'entreprise cliente. Le premier de ces rapports décrit la situation actuelle de la sécurité informatique dans l'entreprise alors que le second détaille les lacunes observées dans ce contexte et propose des recommandations pour les corriger. Ces deux rapports sont subséquemment transmis au vérificateur externe de l'entreprise pour qu'il en fasse une analyse dans la perspective d'une étude des contrôles généraux en vue de modifier, si possible, la stratégie de vérification.