CISA Certified Information Systems Auditor.

Ce que CISA certifie réellement

CISA est la certification qui atteste votre capacité à auditer un système d'information et à défendre l'opinion à laquelle vous parvenez. Elle est délivrée par ISACA et constitue depuis des décennies la qualification de référence en audit informatique, ce qui explique pourquoi elle est l'attente par défaut sur les missions des Big Four et l'exigence que de nombreux employeurs réglementés inscrivent dans les fiches de poste d'audit interne et de conformité. La certification ne porte pas sur l'exploitation du système d'information ni sur sa sécurisation. Elle porte sur l'évaluation indépendante de l'existence des contrôles, de leur efficacité, et de la capacité des preuves à étayer cette conclusion.

La distinction de praticien qu'il faut retenir est que CISA est une certification d'assurance, et non de mise en œuvre. Un titulaire CISM dirige un programme de sécurité. Un titulaire CISA forme une opinion indépendante sur le caractère maîtrisé de ce programme, et de l'environnement informatique plus large qui l'entoure. Cette indépendance est l'enjeu même : un auditeur qui a conçu le contrôle ne peut pas en donner une assurance crédible. CISA forme à l'état d'esprit fondé sur la preuve et l'échantillonnage qui rend l'opinion défendable.

Les cinq domaines CISA

L'examen et le corpus de connaissances sont organisés en cinq domaines. Ils progressent de la manière dont vous auditez, à la manière dont l'informatique est gouvernée, jusqu'aux trois domaines du cycle de vie qu'un auditeur doit être capable d'évaluer :

• Processus d'audit des systèmes d'information. Planification, cadrage fondé sur le risque, collecte des preuves, échantillonnage et reporting. La discipline qui rend tous les autres domaines auditables.
• Gouvernance et gestion de l'informatique. Stratégie, politiques, structure organisationnelle, et manière dont l'entreprise pilote et supervise son informatique.
• Acquisition, développement et mise en œuvre des systèmes d'information. La question de savoir si les projets, les changements et les nouveaux systèmes sont maîtrisés du cas d'affaires jusqu'à la mise en production.
• Exploitation des systèmes d'information et résilience de l'activité. Exploitation quotidienne, gestion des services, sauvegarde, continuité et reprise après sinistre.
• Protection des actifs informationnels. Sécurité logique et physique, identité et accès, chiffrement, et contrôles de protection des données.

La place de CISA parmi les certifications voisines

CISA n'existe pas isolément dans le catalogue ISACA, et les praticiens la combinent couramment avec d'autres. Les évolutions les plus fréquentes sont latérales vers le risque avec CRISC, ou ascendantes vers le leadership en sécurité avec CISM. Face au monde ISO, CISA et la certification PECB Lead Auditor attestent toutes deux d'une compétence d'audit, mais sur des terrains différents : CISA est une qualification large en audit informatique liée aux domaines ISACA, tandis que Lead Auditor s'appuie sur ISO 19011 et vise l'audit d'un système de management spécifique, tel qu'un SMSI ISO 27001, souvent comme voie pour devenir auditeur accrédité d'un organisme de certification.

Obtenir la certification représente plus que réussir l'examen. ISACA exige une expérience professionnelle vérifiée en audit informatique, l'adhésion à un code de déontologie professionnelle, et une formation professionnelle continue pour maintenir la certification active. Cette exigence d'expérience est ce qui donne du poids à CISA : elle confirme que le titulaire a réellement effectué le travail, et pas seulement étudié la matière.