Så förbättrar du dina chanser att klara ISACA CISA

CISA-provet kan beskrivas som en granskning av hur väl du förstår styrning, risk och kontroll i praktiken. Det testar inte främst tekniska detaljkunskaper, utan också din förmåga att tolka hur ISACA formulerar sina frågor.

Den som läser frågorna på det sättet riskerar att missa vad ISACA egentligen prövar: förmågan att tänka som en revisor, väga risk mot kontrollmål och välja det svar som bäst stödjer styrning, bevisbarhet och affärsnytta.

Certified Information Systems Auditor, CISA, är ISACA:s certifiering för personer som arbetar med revision, kontroll, risk och säkerhet kopplat till informationssystem. Den är relevant för IT- och IS-revisorer, GRC-specialister, riskanalytiker, compliance-roller, dataskyddsroller och konsulter som behöver kunna bedöma om tekniska och organisatoriska kontroller fungerar i praktiken.

En viktig första fråga är om CISA verkligen är rätt certifiering att börja med. Den passar bäst när arbetsuppgifterna handlar om att granska, testa, dokumentera och rapportera kontroller. Om rollen främst handlar om att leda informationssäkerhetsprogram kan CISM ligga närmare, medan CRISC ofta är mer relevant för den som arbetar tungt med riskhantering. För internrevisorer med bredare revisionsansvar kan CIA vara ett parallellt spår, men CISA är mer riktad mot informationssystem och IT-kontroller.

Vad CISA-provet mäter

CISA-provet bygger på fem domäner som tillsammans speglar hur IT-revision fungerar från planering till drift, skydd och uppföljning. ISACA publicerar den aktuella domänindelningen och viktningen i sin officiella CISA-information och i Candidate Information Guide. Eftersom provplaner kan ändras bör kandidater alltid kontrollera den senaste versionen innan de låser sin studieplan.

Det praktiska värdet i domänerna blir tydligt i en vanlig revisionssituation. En revisor som granskar molnkontroller i en SOX-nära miljö behöver förstå åtkomststyrning, förändringshantering, loggning, incidenthantering och bevisinsamling. Frågan är sällan om en viss teknik finns, utan om kontrollen minskar rätt risk, är korrekt utformad, fungerar över tid och kan styrkas med tillräckliga bevis.

Domänvikterna bör inte behandlas som en enkel läsordning. Tunga domäner behöver mer tid, men lätta domäner kan vara avgörande om de innehåller begrepp kandidaten sällan använder i arbetet. En bra studieplan fördelar därför tiden efter både officiell viktning och personlig svaghet, inte efter antal sidor i kursboken.

Provformat, poängsättning och vad 450 betyder

CISA-provet består av flervalsfrågor där varje fråga har ett bästa svar. Det innebär att flera alternativ kan verka rimliga, särskilt i scenarier där både teknik, process och styrning nämns. Kandidaten behöver därför läsa frågan som en revisor: identifiera målet, risken, kontrollen och vilken åtgärd som är mest lämplig i sammanhanget.

ISACA använder en skalad poängmodell, och godkänt resultat anges som 450. En skalad poäng är inte samma sak som en enkel procentandel rätta svar. Den används för att jämna ut svårighetsgrad mellan olika provversioner, vilket gör att övningsprov ska användas för att hitta svagheter snarare än för att försöka räkna ut en exakt procentsats.

På provdagen är tidsdisciplin en del av prestationen. En praktisk metod är att först besvara de frågor där svaret är tydligt, markera scenarier som kräver omprövning och sedan återvända med ett lugnare tempo. Vid osäkerhet bör kandidaten eliminera alternativ som är för tekniskt snäva, för operativa för en revisionsroll eller inte kopplar tillbaka till risk och kontrollmål.

Behörighet, avgifter och underhåll

För att bli CISA-certifierad krävs enligt den tidigare angivna ISACA-informationen fem års relevant yrkeserfarenhet av att granska, kontrollera eller säkra informationssystem under de senaste tio åren. Vissa utbildningar och närliggande erfarenheter kan ge undantag, men detaljerna bör alltid verifieras mot ISACA:s aktuella krav innan ansökan skickas in.

Avgifter kan ändras, och kandidater bör kontrollera ISACA:s officiella prissida före registrering. I det underlag som denna artikel bygger på anges en ansökningsavgift på 50 USD, examensavgift på 575 USD för ISACA-medlemmar och 760 USD för icke-medlemmar. För underhåll anges 45 USD per år för medlemmar och 85 USD per år för icke-medlemmar.

Senast verifierat: juli 2026 mot det tillhandahållna källunderlaget och med rekommendation att kontrollera ISACA CISA-sidan, Candidate Information Guide, Pricing/Fees och CPE Policy innan betalning eller provbokning. Den typen av kontroll är särskilt viktig eftersom avgifter, regler för omprov och administrativa villkor kan ändras utan att äldre artiklar uppdateras samtidigt.

För att behålla certifieringen krävs fortbildning. Underlaget anger minst 20 CPE-timmar per år och 120 CPE-timmar över en treårsperiod, tillsammans med efterlevnad av ISACA:s yrkesetiska regler och revisionsstandarder. Certifieringsinnehavare kan också behöva visa dokumentation om de väljs ut för CPE-granskning.

Bygg studierna kring revisionslogik, inte bara frågor

Det vanligaste felet i CISA-förberedelser är att behandla provet som ett tekniskt säkerhetsprov. Tekniken spelar roll, men många frågor handlar om vilken kontroll som bör granskas först, vilken typ av bevis som är starkast eller hur en brist bör rapporteras. Den som kan nätverk, IAM och molnsäkerhet men saknar revisionslogik kan därför ändå välja fel svar.

Ett annat vanligt misstag är överdrivet beroende av övningsfrågor. Frågor är användbara, men bara om varje fel svar leder till analys. Kandidaten bör skriva ned varför rätt alternativ är bäst, varför de andra är svagare och vilket ord i frågan som ändrade prioriteringen. På så sätt tränas både kunskap och provspråk.

En enkel metod är att skapa egna evidensmallar under studierna. För varje kontrollområde kan kandidaten koppla samman kontrollmål, risk, förväntat bevis och möjliga teststeg. Exempelvis kan åtkomstgranskning kopplas till risken för otillåten behörighet, bevis i form av användarlistor och godkännanden samt teststeg som urval, spårning och bedömning av avvikelser. Det gör begreppen mer användbara både på provet och i verklig revision.

En realistisk studieplan på sex veckor

Sex veckor räcker inte för alla, men det kan vara en fungerande ram för kandidater med relevant arbetslivserfarenhet och möjlighet att studera regelbundet. Planen bör inte ge varje domän lika mycket tid. Den bör i stället kombinera officiell viktning, tidigare erfarenhet och återkommande repetition.

Vecka 1: Läs Candidate Information Guide, kartlägg domänerna och gör ett diagnostiskt övningsprov utan att jaga högt resultat.

Vecka 2: Studera revisionsprocessen och IT-styrning, och skriv egna noteringar om risk, kontrollmål, bevis och rapportering.

Vecka 3: Arbeta med systemanskaffning, utveckling, förändringshantering och SDLC med fokus på kontrollpunkter.

Vecka 4: Fördjupa drift, resiliens, incidenthantering, katastrofåterställning och kontinuitetsplanering.

Vecka 5: Studera skydd av informationstillgångar och repetera svaga områden från tidigare veckor.

Vecka 6: Genomför tidsatta övningspass, analysera fel svar och repetera minnesankare för COBIT, SDLC, DR och BCP.

Framsteg bör mätas med mer än ett övningsresultat. En kandidat är på rätt väg när fel svar kan förklaras, när scenarier kan kopplas till risk och kontrollmål och när svaren blir konsekventa över flera domäner. Om resultaten varierar kraftigt är det ofta ett tecken på att provspråk och begrepp behöver tränas, inte bara att fler frågor behöver besvaras.

Den som vill komplettera självstudier med strukturerad undervisning kan använda en instruktörsledd CISA-certifieringskurs som stöd för att samla domänerna, få tempo i repetitionen och arbeta mer disciplinerat med provnära scenarier. Det ersätter inte officiella ISACA-material, men kan göra studieperioden mer fokuserad för kandidater som annars fastnar i osorterad läsning.

Resurser som bör användas med omdöme

Den officiella CISA Review Manual, ISACA:s övningsfrågor och Candidate Information Guide bör vara basen. Communityforum, bloggar och studiegrupper kan bidra med förklaringar och erfarenheter, men de ska inte ersätta primärkällor. Särskilt provregler, avgifter, språkval, omprov och certifieringskrav bör alltid kontrolleras direkt hos ISACA.

• ISACA CISA-sidan för certifieringsöversikt och aktuella krav.
• Candidate Information Guide för provadministration, regler och praktiska instruktioner.
• Pricing/Fees för aktuella avgifter före registrering.
• CPE Policy för underhåll, rapportering och eventuell granskning efter certifiering.

Undvik material som påstår sig återge riktiga provfrågor. Förutom den etiska risken tränar sådant material ofta fel beteende: memorering utan förståelse. CISA premierar förmågan att tolka situationer, inte att känna igen formuleringar.

Provdagens strategi

På provdagen bör kandidaten komma med en enkel taktisk plan. Första genomgången bör fokusera på frågor där det bästa svaret framgår snabbt. Frågor med långa scenarier, tvetydiga formuleringar eller flera till synes rimliga svar kan flaggas och hanteras senare när tempot är stabilare.

Vid svåra frågor är det ofta effektivt att fråga vilket svar som bäst stödjer revisionsmålet. Ett alternativ som åtgärdar ett tekniskt problem kan vara lockande, men revisorns roll är ofta att bedöma kontroll, bevis, riskacceptans och rapportering. Minnesankare för COBIT, SDLC, disaster recovery och business continuity hjälper bara om de används för att förstå sammanhanget, inte som lösa definitioner.

Efter godkänd examen: CPE och praktisk utveckling

CISA-arbetet slutar inte när provet är godkänt. CPE-kraven gör att certifieringsinnehavaren behöver fortsätta utvecklas och dokumentera relevanta aktiviteter. I Sverige kan CPE ofta byggas genom branschseminarier, interna utbildningar, revisionsworkshops, konferenser, webbinarier, policyarbete och kunskapsdelning inom organisationen.

Det praktiska rådet är att logga CPE löpande i stället för att rekonstruera allt i efterhand. Spara datum, ämne, arrangör, agenda, intyg eller annat underlag och en kort notering om kopplingen till IT-revision, risk, kontroll eller säkerhet. Det gör underhållet enklare och minskar risken för problem vid en eventuell granskning.

Vanliga frågor om CISA-förberedelser

Kan CISA klaras med enbart självstudier?

Ja, många kandidater kan förbereda sig med officiella material, en tydlig studieplan och disciplinerad övning. Självstudier fungerar bäst när kandidaten redan har praktisk erfarenhet av revision, risk, compliance eller informationssäkerhet och kan koppla teorin till verkliga kontrollsituationer.

Hur viktigt är teknisk erfarenhet?

Teknisk förståelse är viktig, men CISA kräver också process- och styrningsperspektiv. Kandidaten behöver förstå hur kontroller utformas, testas och rapporteras snarare än att enbart kunna konfigurera systemen som granskas.

Vad betyder 450 i CISA-resultatet?

450 är den skalade poäng som anges som godkänt resultat. Den ska inte tolkas som en rak procentandel, eftersom skalningen används för att hantera variationer mellan provversioner.

När bör avgifter och regler kontrolleras?

De bör kontrolleras före registrering, före provbokning och igen om provet behöver flyttas eller göras om. ISACA:s officiella sidor är den avgörande källan för aktuella avgifter, administrativa regler och underhållskrav.

Gör CISA-förberedelsen användbar även efter provet

Den starkaste CISA-förberedelsen tränar samma tänkande som används i en verklig IT-revision: att förstå risk, bedöma kontroller, samla bevis och kommunicera brister tydligt. Det ger bättre provberedskap och gör kunskapen mer användbar i arbetet efter certifieringen.

Ett praktiskt nästa steg är att jämföra den egna erfarenheten med CISA-domänerna, välja officiella ISACA-resurser och bygga en tidsatt plan med återkommande felanalys. Readynez kan vara ett alternativ för den som vill lägga till instruktörsledd struktur, men grunden är alltid densamma: konsekvent arbete med domänerna, revisionsspråket och de riskbaserade besluten bakom varje fråga.