CISA证书是哪里的？ISACA认证详解与报考指南

CISA 的全称是 Certified Information Systems Auditor，中文通常译为国际注册信息系统审计师。它由 ISACA（国际信息系统审计和控制协会）于 1978 年推出，至今已有四十余年历史，在信息系统审计、控制与安全等专业领域长期被视为一项具有代表性的国际认证。

很多人初次接触 CISA 时，比较关心的问题其实很朴素：这张证书是谁发的？国际认可度如何？考什么、要不要工作经验？本文围绕这些问题做一次系统梳理。

一、CISA 证书由谁颁发？ISACA 是什么机构

CISA 的颁发机构是 ISACA（Information Systems Audit and Control Association，国际信息系统审计和控制协会）。ISACA 成立于 1967 年，蕞初是一群关注计算机系统审计与控制的专业人士组成的小型团体，1969 年正式组建为 EDP 审计师协会，此后逐步发展为覆盖全球的专业组织。

如今 ISACA 的认证体系已从单一的审计方向，扩展到信息安全、IT 治理、风险管理、数据隐私与 AI 治理等多个方向：

也就是说，CISA 并不是一张孤立的证书，而是 ISACA「数字信任」认证体系中的入门起点。很多学员从 CISA 起步，后续再向安全、风险、治理、隐私或 AI 治理方向延伸。

二、CISA 全球认可度与持证规模

CISA 自 1978 年推出以来，全球已有超过 20 万名专业人士获得该认证（截至 2026 年）。持证人广泛分布于国际会计师事务所、管理咨询机构、跨国公司，以及银行、证券、政府、高端制造和信息服务等行业。

CISA 的认可度不只体现在企业端，也体现在政策与企业准入层面：

• 国内金融行业：银行等金融机构在开展 IT 审计工作时，普遍需要具备 CISA 能力的专业人员，持证人在银行、证券、政府及四大会计师事务所中较为常见。
• 地方人才政策：先后入选《北京市国际职业资格认可目录》《上海市境外职业资格证书认可清单》，并列入《上海市重点领域（金融类）「十四五」紧缺人才开发目录》。
• 香港人才清单：作为网络安全相关专业资格，被纳入香港特区政府人才清单。
• 国际标准：ISACA 的认证体系依据 ISO/IEC 17024:2012 获得美国国家标准协会（ANSI）认可；CISA 亦被美国国防部相关指令列为信息安全（IA）专业人员资格之一。

三、CISA 考什么：第 28 版五大知识域

需要注意的是，CISA 已于 2024 年 8 月 1 日起正式启用第 28 版考纲。与上一版相比，新版教材内容显著扩充，新增了大量前沿技术与信息安全领域考点。如果你看到的是 2019 年前后编写的备考资料，其中的知识占比很可能已经过时。

从占比可以看出，「运营与业务恢复能力」和「信息资产保护」两个领域合计占 52%，是考试的重心所在；而审计流程与 IT 治理各占 18%，构成方法论基础。

日常的 IT 审计工作，可以理解为对企业 IT 系统（尤其是与财务相关的系统）做全面检查，确认控制措施能有效保护公司资产与数据完整性。它通常分为两大类：

• 信息系统一般性控制审计（ITGC）：关注系统运行的稳定性、有效性与安全性，覆盖访问控制、开发与变更控制、系统软件控制、职责分离、服务连续性等。
• 信息系统应用性控制审计（ITAC）：关注系统产生的数据在真实性、完整性、可靠性等维度的控制，覆盖授权、完整性、准确性及输入输出控制。

四、CISA 报考条件、考试形式与费用

这是蕞容易被误解的一点：CISA 考试报名本身没有学历与工作经验门槛，任何对 IT 审计感兴趣的人都可以直接报名参加考试。工作经验的要求出现在考试通过之后申请证书的环节。

通过考试后，若要正式换取 CISA 证书，还需满足三项条件：通过 CISA 认证考试、遵守 ISACA《职业道德准则》，以及提供信息系统审计、控制与安全相关工作 5 年以上的经验证明。

经验要求存在抵减空间：持有大专或本科学历者，通常可抵减 2–3 年经验；持有信息系统或相关专业硕士学历者，蕞多可抵减 3 年，即具备 2 年相关经验即可申请。相关成绩一般有 5 年有效期，可在此期间积累经验再申请。

五、CISA 证书怎么维护

CISA 属于需要持续维护的认证，并非一次取得即可长期有效。证书以 3 年为一个持证周期：

如果学分或费用未按时完成，证书可能被冻结甚至失效，重新激活往往需要额外流程。因此建议在取得证书后，就把每年 20 学分的积累节奏固定下来。

六、常见问题