Le 3 novembre, l'examen CISM change.
Vous avez jusqu'au 2 novembre pour passer celui que vous avez préparé. Après cette date, chaque examen suit le nouveau plan de contenu (Exam Content Outline).
La plupart de ce que vous lirez à ce sujet se résume à un tableau de pourcentages. Les pourcentages sont la partie la moins intéressante.
Ce qui a réellement changé
Les quatre domaines restent intacts. Governance, Risk Management, Program, Incident Management. Mêmes noms, même ordre.
Les pondérations ont bougé d'un seul point à deux endroits. Information Security Governance passe de 17 à 18 %. Incident Management descend de 30 à 29 %. Risk Management reste à 20 %. Program reste à 33 %, toujours le domaine le plus lourd de l'examen.
C'est tout pour les chiffres. Le format ne bouge pas non plus : 150 questions, quatre heures, une note minimale de 450 sur une échelle de 200 à 800.
Il y a ensuite la partie qui mérite votre attention.
ISACA a ajouté deux nouveaux domaines de contenu : l'architecture d'entreprise et l'architecture de sécurité de l'information. Et il a accentué l'accent de l'examen sur la stratégie de sécurité de l'information et le développement du programme.
Pourquoi l'architecture, et pourquoi maintenant
L'explication d'ISACA tient en une phrase : la mise à jour reflète la nécessité de comprendre les technologies relevant du périmètre d'un security manager.
Relisez-la, parce que c'est une correction.
Le CISM a passé des années à être présenté comme la certification à passer quand on ne veut pas la technique. La filière management. Stratégie, gouvernance, ownership du programme, conversations avec le board. Beaucoup de personnes l'ont choisi précisément pour s'éloigner des schémas.
Le plan 2026 ferme cette sortie.
On ne peut pas gouverner ce qu'on ne sait pas décrire. Un security manager qui ne sait pas lire un schéma d'architecture ne peut pas déterminer si un contrôle se trouve là où le risque se situe réellement. Il valide des conceptions qu'il ne suit pas, accepte un risque résiduel qu'il ne sait pas localiser, et signe un programme qui paraît complet sur le papier avec un trou en son centre.
Et remarquez qu'ISACA a ajouté l'architecture d'entreprise, pas seulement la dimension sécurité. C'est la demande la plus exigeante. Cela signifie comprendre comment la technologie du business s'articule réellement, et pas seulement la couche sécurité posée par-dessus. Vos règles de firewall ne constituent pas une architecture. Ce qu'elles protègent, si.
Cela découle de la Job Practice Analysis d'ISACA, qui interroge des CISM en activité. Aucun comité ne l'a inventé. Suffisamment de praticiens ont dit : c'est ça, le métier aujourd'hui.
Passer avant, ou passer après
La moitié de l'industrie de la formation a passé septembre à vous presser. Observez qui en bénéficie.
La réponse honnête comporte trois cas.
Si vous étudiez depuis des mois et que vous êtes prêt. Passez l'examen avant le 3 novembre. Vous maîtrisez les supports actuels, vous avez construit le modèle mental correspondant, et il n'y a rien à gagner à changer de référentiel à trois semaines de l'échéance.
Si vous commencez maintenant. Ne le faites pas. Trois semaines ne constituent pas une fenêtre de préparation au CISM en partant de zéro, et échouer à un examen pour battre un calendrier est une façon coûteuse de ne rien économiser. Préparez-vous sérieusement, passez le nouveau plan, et traitez le contenu sur l'architecture comme quelque chose dont vous aviez besoin de toute façon.
Si vous êtes dans une situation intermédiaire. Soyez honnête sur votre niveau de préparation, pas sur la date. La date limite n'est pas la variable qui détermine si vous réussissez.
Conseil : Le nouveau plan n'est pas plus difficile. C'est une évolution du même modèle de management, avec du contenu ajouté qui reflète ce que le rôle implique déjà. Un écart de pondération d'un point et deux nouveaux domaines de contenu ne justifient pas de réserver en urgence un examen pour lequel vous n'êtes pas prêt.
Si vous êtes déjà titulaire du CISM
Votre certification n'est pas affectée. Le plan régit l'examen, pas le titre, et votre cycle de CPE se poursuit exactement comme avant.
La direction prise vous concerne néanmoins.
Traitez-la comme un bilan de lacunes gratuit. Si l'architecture d'entreprise et l'architecture de sécurité de l'information sont les deux points qu'ISACA vient de décider qu'un security manager doit maîtriser, et que vous seriez en difficulté pour schématiser l'une ou l'autre pour votre propre organisation cet après-midi, vous avez trouvé votre prochain CPE.
Réflexion finale
Les mises à jour de certifications en disent généralement plus sur la profession que sur l'examen.
Celle-ci indique que la distance entre gouverner la sécurité et la comprendre a cessé d'être acceptable. Le manager capable de disserter sur l'appétit pour le risque mais incapable de nommer les systèmes hébergeant les données a toujours posé problème.
À compter du 3 novembre, c'est un problème qui se retrouve à l'examen.
Où cela est enseigné
Notre formation CISM est construite sur le nouveau plan et se déroule en présentiel avec formateur ou en autoformation. La prochaine session en direct est prévue du 7 au 10 décembre, et la licence en autoformation démarre quand vous êtes prêt.
Pour marquer ce lancement, toutes les formations ISACA en autoformation du catalogue sont disponibles au tarif partenaire. Ce tarif est traité au cas par cas et non au moment du paiement en ligne ; demandez un devis en précisant s'il s'agit d'un poste individuel ou d'une équipe.