Le CISA dans le paysage parisien de l'audit et de la conformité
Le CISA (Certified Information Systems Auditor), délivré par ISACA, atteste une pratique de l'audit, du contrôle et de l'assurance des systèmes d'information. À Paris, il concerne surtout les fonctions qui rendent compte de la maîtrise des risques informatiques : audit interne et contrôle permanent des banques et des assureurs, cabinets d'audit et de conseil, directions des risques et de la sécurité des grands groupes, administrations qui exploitent des systèmes critiques.
Dans la finance, le cadre a changé. Le règlement européen DORA (règlement (UE) 2022/2554 sur la résilience opérationnelle numérique du secteur financier) est entré en application le 17 janvier 2025. Il vise une vingtaine de types d'entités financières, dont les banques et les compagnies d'assurance, ainsi que des prestataires de services informatiques. Pour les établissements parisiens concernés, la résilience des systèmes d'information devient un sujet de conformité qu'il faut pouvoir auditer : c'est le métier que décrit le référentiel du CISA.
Ce que recouvre l'examen
ISACA publie le plan officiel de l'examen : 150 questions réparties en cinq domaines. Processus d'audit des systèmes d'information (18 %), gouvernance et management des TI (18 %), acquisition, développement et mise en œuvre des systèmes d'information (12 %), exploitation des systèmes d'information et résilience de l'activité (26 %), protection des actifs informationnels (26 %). Les deux derniers domaines représentent à eux seuls plus de la moitié des questions.
Sur la même page, ISACA propose une traduction française de la liste terminologique du CISA, utile pour relier le vocabulaire anglais du référentiel aux pratiques des équipes françaises. Pour le domaine gouvernance, COBIT, le référentiel de gouvernance des TI publié par ISACA, a sa propre fiche : COBIT 2019. Les auditeurs qui interviennent sur un système de management de la sécurité de l'information peuvent consulter la fiche ISO/IEC 27001.
Les conditions d'ISACA pour être certifié
Selon la page de certification d'ISACA, il faut au moins cinq ans d'expérience professionnelle en audit, contrôle ou sécurité des systèmes d'information, acquise dans les dix ans qui précèdent la demande de certification. L'examen peut être passé avant d'avoir réuni cette expérience : elle n'est exigée qu'au moment de la demande.
La page officielle du CISA détaille les autres étapes : réussir l'examen, déposer la demande dans les cinq ans qui suivent, régler des frais de traitement de 50 dollars US, s'engager à respecter le code de déontologie professionnelle, la politique de formation continue et les normes d'audit des systèmes d'information d'ISACA. Pour un candidat parisien qui vient de l'audit financier ou du contrôle interne, la question pratique est de savoir quelles missions passées relèvent de l'audit, du contrôle ou de la sécurité des systèmes d'information. C'est ISACA qui examine l'expérience déclarée dans la demande.
Passer l'examen depuis Paris
D'après la page officielle du CISA, l'examen est informatisé et se passe soit dans un centre agréé PSI, soit à distance sous surveillance en ligne. Pearson VUE n'intervient pas pour cet examen. L'inscription est ouverte en continu ; le paiement complet est exigé avant de réserver un créneau, ce qui devient possible 48 heures après le paiement et jusqu'à 90 jours à l'avance. La période d'éligibilité dure six mois à compter de l'inscription, et un report est gratuit s'il est fait au moins 48 heures avant le rendez-vous.
Selon la page officielle du CISA, le tarif publié par ISACA est de 575 dollars US pour un membre et de 760 dollars US pour un non-membre. Il est fixé en dollars : le montant débité en euros dépend du taux de change au moment du paiement.
Classe virtuelle et fuseau horaire
Atypix n'a pas d'agence en France : la formation se suit en classe virtuelle, et les agences d'Atypix se trouvent à Montréal, Dakar et Cotonou. Paris est à UTC+1 en hiver et à UTC+2 en été. Montréal a en général six heures de retard sur Paris ; Dakar, une heure en hiver et deux en été. Les horaires de chaque session affichée plus haut sont donc à convertir en heure de Paris avant de bloquer son agenda ou de le faire valider par son employeur.
Financer la formation en France
Un salarié peut demander une prise en charge par son employeur, dans le cadre du plan de développement des compétences de l'entreprise, avec le cas échéant un financement de l'opérateur de compétences (OPCO) de sa branche, selon les critères propres à cette branche.
Le compte personnel de formation (CPF) obéit à une règle stricte : selon Centre Inffo, seules les formations menant à une certification enregistrée au RNCP ou au Répertoire spécifique, ou à un bloc de compétences, sont éligibles, et seulement si elles figurent sur la plateforme Mon Compte Formation. Avant de compter sur le CPF, il faut vérifier sur moncompteformation.gouv.fr que la formation visée y apparaît.
Maintenir la certification
Le CISA se maintient par la formation continue : ISACA demande au moins 20 heures de CPE par an et 120 heures sur un cycle de trois ans. La politique CPE applicable au 1er janvier 2027 conserve ce total de 120 heures, mais en exige au moins 90 alignées sur le contenu de la certification ; 30 heures au plus peuvent porter sur des compétences professionnelles plus larges. À Paris, le chapitre français d'ISACA, ISACA-AFAI (3 rue du Colonel Moll, 75017), organise des rencontres comme les Jeudis de l'ISACA France.