CISA certifica il giudizio sugli audit, non la capacità di configurare

Banche, Big Four e imprese vigilate cercano una sigla precisa sul CV: CISA, la certificazione di ISACA per i ruoli di IT audit, risk e GRC¹.

CISA non chiede di scrivere una regola di firewall. Verifica se sai giudicare processi, controlli e rischi. Ogni domanda mette in scena un caso: un auditor scopre qualcosa, la direzione spinge indietro, un controllo fallisce. L’esame chiede quale sia la migliore azione da intraprendere. Misura il giudizio professionale, non la mano sulla console¹.

Il punto è economico, oltre che tecnico. Molte certificazioni IT provano che sai costruire. CISA prova che sai dire se ciò che è stato costruito va bene. Questa abilità è più rara e meglio pagata. La credenziale sta alla base dei ruoli che parlano con i regolatori e interrogano i team tecnici¹.

Se fai il sysadmin, l’analista di sicurezza o l’ingegnere vicino alla compliance e finisci nelle conversazioni di audit senza averci mai studiato, questa è la traiettoria: imparare a porre le domande giuste e a proporre la prossima mossa migliore. La guida alla preparazione che accompagna CISA nasce per questo profilo, che viene trascinato su temi di controllo senza formazione specifica¹.

La struttura dell’esame è chiara. Centocinquanta domande a scelta multipla. Quattro ore di tempo. Punteggio su scala 200-800, con 450 come soglia di superamento¹.

L’esame copre cinque domini. I domini 4 e 5 pesano insieme il 52 per cento delle domande. Il dominio 3 è il più piccolo, al 12 per cento. Se il tempo è poco, conviene allineare lo studio al peso: il dominio 3 per ultimo, non per primo¹.

ISACA ha idee precise su cosa sia “buon giudizio”. Le risposte migliori seguono una logica di rischio, priorità, impatto. L’auditor non riscrive l’architettura. Deve indicare il passo con il maggior valore per l’organizzazione nel contesto dato. È questo l’angolo che CISA valuta in modo sistematico: non il comando, ma la decisione¹.

Sul mercato del lavoro, il segnale è definito. La credenziale è collegata ai ruoli di IT audit, risk e GRC nelle banche, nelle società di consulenza globali e nelle aziende che rispondono ai regolatori. Serve a chi fa domande, non a chi configura apparati. Per chi arriva da ruoli tecnici, spiega come leggere i controlli, confrontarsi con la direzione e gestire le pressioni quando un controllo fallisce¹.

C’è un’indicazione pratica per chi prepara l’esame: allenarsi a scegliere il “miglior corso d’azione” sotto vincoli e pressioni. Le domande mettono alla prova questa capacità con scenari concreti, in cui l’auditor scopre un problema, la direzione contesta e bisogna decidere cosa fare prima, cosa dopo e cosa non fare¹.