Le CISA vu depuis Cotonou
À Cotonou, l'audit des systèmes d'information se pratique surtout là où l'informatique porte de l'argent ou des données sensibles : banques et institutions de microfinance, opérateurs de téléphonie et de paiement mobile, assurances, administrations qui dématérialisent leurs services, et les cabinets d'audit et de conseil qui travaillent pour eux. Le CISA (Certified Information Systems Auditor) est délivré par l'ISACA. Il atteste qu'un professionnel sait planifier et conduire un audit de SI, évaluer la gouvernance informatique et la protection des actifs informationnels selon un référentiel international. Pour un auditeur interne, un contrôleur permanent ou un consultant en sécurité basé à Cotonou, c'est un titre que lisent aussi bien un employeur local qu'un groupe bancaire régional ou un bailleur international.
Atypix prépare à l'examen ; c'est l'ISACA qui certifie. Aucune formation ne garantit la réussite.
Un cadre béninois qui fait appel à l'audit
Le Bénin s'est doté d'un Code du numérique (loi n° 2017-20), qui s'ajoute à la loi n° 2009-09 sur la protection des données personnelles. Le Code désigne l'APDP comme autorité de protection des données. L'ASIN a publié un référentiel d'exigences pour la qualification des prestataires de services de sécurité numérique, dont l'audit organisationnel et physique. Un cabinet de Cotonou qui veut auditer pour l'État doit donc pouvoir montrer la compétence de ses auditeurs. Le CISA ne remplace pas cette qualification du prestataire, mais il atteste de façon reconnue la compétence de chaque auditeur.
Ce que l'ISACA exige pour délivrer le titre
Selon la page Get CISA Certified de l'ISACA, il faut :
- réussir l'examen CISA, puis demander la certification dans les cinq ans qui suivent la réussite ;
- justifier d'au moins cinq ans d'expérience professionnelle en audit, contrôle ou sécurité des systèmes d'information, acquise dans les dix ans qui précèdent la demande ;
- faire vérifier cette expérience par un supérieur hiérarchique ;
- régler des frais de dossier de 50 dollars US, une seule fois, après publication des résultats ;
- adhérer au code de déontologie professionnelle de l'ISACA et aux normes d'audit des SI.
On peut passer l'examen avant d'avoir les cinq ans d'expérience. Un analyste de banque à Cotonou qui a trois ans d'expérience en contrôle informatique peut donc réussir l'examen maintenant et demander le titre quand il aura atteint les cinq ans.
L'examen
L'examen compte 150 questions réparties sur cinq domaines, d'après le plan de contenu officiel :
| Domaine | Poids |
|---|---|
| Processus d'audit des systèmes d'information | 18 % |
| Gouvernance et gestion des TI | 18 % |
| Acquisition, développement et mise en œuvre des SI | 12 % |
| Exploitation des SI et résilience de l'activité | 26 % |
| Protection des actifs informationnels | 26 % |
Le même site publie une traduction française de la terminologie CISA, utile pour réviser quand on travaille en français. D'après la page de l'examen, l'inscription coûte 575 dollars US pour un membre de l'ISACA et 760 dollars US pour un non-membre. Elle est ouverte en continu et donne une période d'éligibilité de six mois. L'examen se passe sur ordinateur dans un centre PSI agréé ou à distance sous surveillance en ligne, et non chez Pearson VUE. Depuis Cotonou, consultez le système de réservation PSI pour savoir si un centre est disponible à la date voulue. Sinon, l'examen à distance demande une connexion stable et une pièce calme : prévoyez une solution de secours (groupe électrogène, second accès internet). On réserve un créneau au plus tôt 48 heures après le paiement, jusqu'à 90 jours à l'avance.
Garder le titre
Le titulaire déclare au moins 20 heures de formation continue (CPE) par an et 120 heures sur trois ans. Il paie aussi des frais annuels de maintien de 45 dollars US pour un membre et de 85 dollars US pour un non-membre, selon la page Maintain CISA. Un audit aléatoire peut demander les justificatifs.
Se former depuis Cotonou
La formation se suit en présentiel à l'agence Atypix de Cotonou ou en classe virtuelle. Cotonou est à l'heure d'Afrique de l'Ouest (UTC+1), sans heure d'été : les horaires des sessions sont donnés à l'heure locale. Le présentiel convient à ceux qui veulent se couper du bureau. La classe virtuelle convient aux auditeurs en mission à Porto-Novo, à Parakou ou chez un client. Les coordonnées des agences sont sur la page Agences.
Financer le projet au Bénin
Deux budgets sont à prévoir : la formation, facturée par Atypix, et l'examen, payé en dollars directement à l'ISACA. Dans les banques et les grandes entreprises, le CISA entre souvent dans le plan de formation de la direction de l'audit ou des risques : présentez la demande avec le programme et le lien vers les exigences de l'ISACA. Le FODEFCA est l'établissement public béninois chargé de la formation professionnelle continue ; renseignez-vous auprès de lui sur les conditions de prise en charge applicables à votre entreprise. Si vous payez vous-même, comparez le coût de l'adhésion à l'ISACA avec l'économie qu'elle procure sur l'examen et les frais annuels.
Pour aller plus loin
La fiche CISA détaille le programme. Pour un profil d'auditeur sécurité, les formations ISO/IEC 27001 et COBIT 2019 complètent le CISA, et le CISSP vise davantage la conception de la sécurité.