ISACA Certified Information Systems Auditor (CISA)

CISA 是 IT 审计这条赛道的默认证书

如果你要进 Deloitte / PwC / EY / KPMG 的 Risk Advisory 或 IT Audit & Assurance 部门，CISA 几乎是 senior consultant 升 manager 的硬要求。Big 4 内部的 IT audit 团队在讨论晋升时会直接看你有没有 CISA — 没有就卡在 senior 级别不动。这不是夸张，这是 Big 4 HR 系统里直接写进 promotion criteria 的。

真实薪资数据（2026）

根据 StationX、ZipRecruiter 和 ISACA 官方 2024 Pay Index 综合：

| 地区 | CISA 持证人中位年薪 | 金融/Big4 溢价 | |------|---------------------|----------------| | 美国 | USD 108,000–149,000 | Big 4 / 银行 +15-25% | | 澳洲 | AUD 135,000 | 四大行 + 政府 +20% | | 英国 | GBP 65,000 | 伦敦金融城 +25% | | 新加坡 | SGD 110,000 | MAS 监管机构 +20% |

ISACA 官方 Pay Index 给出的全球平均是 USD 149,000+，这个数字偏高是因为统计样本集中在有 5 年以上经验的持证人；ZipRecruiter 和 Payscale 给出的市场中位数在 USD 108k-110k 之间，更接近中级 IT auditor 的实际水平。

三类岗位最值得考 CISA

1. Big 4 IT Audit / Risk Advisory — Deloitte、PwC、EY、KPMG 的 Cyber Risk 或 Internal Audit 部门，CISA 是晋升硬通货，不考就只能一直做 senior consultant。
2. 大型银行 / 保险 / 监管行业内审 — 四大行、汇丰、AXA、AIA 这类机构的 Internal Audit department，IT auditor 岗几乎 100% 要求或强烈偏好 CISA。澳洲 APRA CPS 230 出台后，这条赛道的需求在 2025-2026 年明显上涨。
3. 政府 / 公共部门 IT 审计岗 — 澳洲 ANAO（Australian National Audit Office）、美国 GAO、香港审计署、新加坡 AGD 的 IT audit 岗位都明确把 CISA 列为 preferred 或 required。政府合同的 IT audit 外包项目也会看团队里有几张 CISA 来决定 billing rate。

最适合考 CISA 的人：

• ✅ Big 4 做 IT audit 3-5 年的 senior consultant：你已经有经验，考 CISA 就是拿 manager 升职券。ROI 最高。
• ✅ 财务审计（CPA / ACCA）想转 IT 审计：你已经懂审计流程和职业怀疑精神，CISA 教你如何把这套方法论应用到 IT 系统上。Fishbowl 上经常能看到 Big 4 CPA 转 IT audit 的讨论，CISA 是最短路径。
• ✅ 银行 / 保险内审部门的内部转岗：从财务内审转 IT 内审，CISA 是官方认可凭证。
• ✅ 合规 / GRC 方向的分析师：SOX 402 IT General Controls 测试、COBIT 框架评估都是 CISA 的核心内容。

不适合考 CISA 的人：

• ❌ 纯技术路线的安全工程师 / SOC analyst / 渗透测试：CISA 对 hands-on 技术几乎没加成，CISSP / OSCP 更对口。
• ❌ 想做 CISO 或安全架构师：这条路 CISSP 比 CISA 含金量高，CISA 和 CISSP 有 40% 内容重叠但定位完全不同 — CISA 是"检查别人有没有做对"，CISSP 是"设计怎么做对"。
• ❌ 工作经验不足 3 年的应届生：可以先考 ISACA 的 ITCA（IT 基础）或 CompTIA Security+ 建立基础。CISA 硬考过了也要等 5 年内补够经验才能拿证。
• ❌ 不愿意每年攒 20 CPE + 交 $45-85 AMF 的人：这是终身成本。