CISA（国际注册信息系统审计师）由 ISACA 颁发，自 1978 年设立，是全球信息系统审计、控制、安全与治理领域的权威认证。它证明持证人具备评估企业 IT 系统控制有效性、识别信息风险并确保合规的专业能力，被广泛视为 IT 审计方向的『黄金证书』。
CISA 的全称是 Certified Information Systems Auditor，中文译为国际注册信息系统审计师。它由国际信息系统审计与控制协会（ISACA）颁发，自 1978 年推出以来，全球已有超过 200,000 名专业人士获得该认证（截至 2026 年）。在银行、证券、政府、高端制造以及四大会计师事务所等机构中，CISA 持证人的身影十分常见。
很多人在搜索 CISA 时，真正想弄清楚的是三件事：它到底是做什么的、值不值得考、怎么考。下面从定义、工作内容、证书价值、考试结构到 2026 年的报考费用，逐层说清楚。
一、CISA 是什么？官方定义与核心定位
根据 ISACA 的官方定义，CISA 培养的是掌握信息系统软硬件、开发、运营、维护、管理与安全相关知识，并能运用先进审计技术对信息系统的安全性、稳定性和有效性进行检查、评价与改进的专业人才。
通俗理解，CISA 持证人可以看作是信息系统的『合规与安全质检员』。他们的工作不是开发系统，而是评估一个企业的 IT 系统是否健康、安全、可靠：控制措施是否健全（控制）、安全防护是否到位（安全）、数据处理是否完整准确（审计）、IT 管理是否符合法律法规与行业标准（合规）。
| 项目 | 内容 |
|---|---|
| 证书全称 | Certified Information Systems Auditor（国际注册信息系统审计师） |
| 颁发机构 | ISACA（国际信息系统审计与控制协会） |
| 设立时间 | 1978 年 |
| 知识覆盖 | 审计、风控、合规、IT 治理四大领域 |
| 当前考纲 | 第 28 版，自 2024 年 8 月 1 日起启用 |
| 全球持证人 | 超过 200,000 名（截至 2026 年） |
二、CISA 持证人到底做什么？ITGC 与 ITAC
CISA 的知识体系横跨审计、风控、合规、IT 治理四大领域。这意味着持证人不仅要懂技术，还要懂管理和业务，能把 IT 与企业的战略目标连接起来——这正是数字化转型中比较稀缺的复合型能力。
具体到日常工作，CISA 的核心工作围绕两大类控制审计展开：
- ITGC（IT 一般控制审计）：关注 IT 环境的基础是否可靠。例如员工账号权限管理是否混乱、系统程序的变更是否随意、数据中心的物理门禁是否有效。审计维度覆盖组织与治理、供应商管理、基础设施、业务连续性、IT 项目管控和网络安全。
- ITAC（IT 应用控制审计）：针对某个具体业务流程（如网上支付）做检查，确保流程本身没有漏洞，数据从产生到存储都准确完整。审计维度覆盖业务逻辑、输入输出控制、性能、数据与代码安全。
一句话概括：ITGC 看地基牢不牢，ITAC 看具体业务线有没有漏洞。
三、CISA 认证的价值体现在哪里？
- 行业刚性需求：银监会等监管机构明确要求商业银行必须拥有一定数量的 CISA 持证人，以顺利开展 IT 审计工作。数字化时代，金融机构、上市公司与大型企业对 IT 合规审计和数据安全审查的需求持续存在。
- 地方人才政策认可：CISA 入选《北京市国际职业资格认可目录（1.0 版）》《上海市境外职业资格证书认可清单》，以及《上海市重点领域（金融类）『十四五』紧缺人才开发目录》，并作为『资深网络安全专家』进入香港特区政府人才清单。
- 国际权威背书：美国国防部 DoD 8570.01-M 将 CISA 列为信息安全专业人员必备证书之一；ISACA 相关认证体系已按 ISO/IEC 17024:2012 获得 ANSI 认可。
- 薪酬与职级：全球 CISA 持证人平均年薪超过 11 万美元，部分统计显示全职 IT 审计师平均年薪可达 134,460 美元，约 49% 的持证人处于企业管理层。
需要说明的是，证书本身是能力凭证，实际回报仍取决于岗位、经验与所在行业。
四、CISA 考试怎么考？第 28 版考纲全貌
CISA 自 2024 年 8 月 1 日起正式启用第 28 版考纲。相比第 27 版，教材页数从 385 页增加到 574 页，新增了大量前沿技术与前沿信息安全领域的实践考点。考试内容分为五大领域：
| 领域 | 名称 | 占比 |
|---|---|---|
| 领域 1 | 信息系统审计流程 | 18% |
| 领域 2 | IT 治理与管理 | 18% |
| 领域 3 | 信息系统的购置、开发与实施 | 12% |
| 领域 4 | 信息系统的运营和业务恢复能力 | 26% |
| 领域 5 | 信息资产的保护 | 26% |
CISA 考试关键参数（供参考，以 ISACA 官方实时公示为准）
| 项目 | 说明 |
|---|---|
| 考试形式 | 在线机考，随约随考，一般需提前 1-4 周预约，国内多数省会城市设有线下考点 |
| 考试时长 | 4 小时 |
| 题型题量 | 150 道单选题 |
| 考试语言 | 支持纯中文或纯英文考试，考生任选 |
| 通过标准 | 满分 800 分，标准分 450 分及以上即为通过（约需答对 110 题） |
| 官方考试费 | 约 760 美元（以 ISACA 实时公示为准） |
五、CISA 报考条件与持证要求
这里有一个常被混淆的点：参加 CISA 考试本身没有学历和工作经验门槛，任何人都可以报名考试。但要正式拿到 CISA 证书，还需要满足 ISACA 的认证条件：
- 顺利通过 CISA 全球认证考试；
- 遵守 ISACA《职业道德准则》；
- 提供从事信息系统审计、控制与安全工作 5 年以上的工作经验证明。
关于经验抵减，ISACA 允许的抵减至多为 3 年：
- 拥有大专或本科学历，可抵减 2-3 年工作经验（例如本科 + 3 年信息系统相关经验）；
- 拥有信息系统或相关专业硕士学历，可抵减 3 年工作经验（即只需 2 年相关经验）。
考试通过后的成绩保留 5 年有效期，在此期间补齐经验即可申请证书。
持证后的持续维护
CISA 以 3 年为一个持证周期。为保持证书有效，持证人需要执行 ISACA 的继续职业教育（CPE）政策：
- CPE 学分：每年至少积累 20 个 CPE 学分，3 年周期内积满 120 个（官方建议每年平均完成 40 个）；
- 证书年费：每年需向 ISACA 缴纳 85 美元的维持费。
六、CISA 适合哪些人考？
核心目标人群是 IT 审计专业人士（内审、外审、IT 审计顾问）、信息安全经理与专家、风险控制与合规人员。此外，IT 管理岗位（CIO、IT 经理、运维主管）、财务审计人员和企业高管也会通过学习 CISA 建立数字风险视角。
在信息安全与审计这条赛道上，CISA 与 CISSP、CISM、CRISC 常常被一起讨论：CISA 更偏『审计与控制』，CISM 偏『安全管理』，CRISC 偏『IT 风险』。很多学员从 CISA 起步，后续再向安全管理或企业治理方向延伸，形成完整的能力路径。
艾威培训：ISACA 白金合作伙伴
艾威培训是 ISACA 授权培训机构及 ISACA 白金合作伙伴，在 ISACA 中国官网可查询『上海艾威信息科技有限公司』，合作级别显示为白金合作伙伴；ISACA 全球官网 China 区域也可查询 AVTech 相关信息。艾威长期深耕信息安全、信息系统审计、IT 治理与风险管理方向，并连续多年获得 ISACA 卓越教育奖。
如果你正在准备 CISA，或想了解 CISA 与 CISM、CRISC、CGEIT、AAIA 的学习顺序，可以联系我们做一次学习路径评估。
七、CISA 常见问题
想考 CISA，从哪里开始？
CISA 涉及审计流程、IT 治理、系统开发、运营恢复与信息资产保护五大知识域，备考时既需要理解考点逻辑，也需要结合真实审计场景练习。艾威 CISA 课程覆盖第 28 版新考纲全部知识域，并提供备考答疑与教务支持。
不确定自己是否符合报考与持证条件？可以先让顾问帮你评估。
