フリーランスにCISAは役立つ？評価される場面と準備

CISAは、フリーランスのIT監査や内部統制の案件のうち、統制を評価し、指摘して、改善を確かめる「監査を行う側」の役割で、知識と経験の裏付けとして役立ちます。ただし、資格がないと入れない案件は多くなく、面談では評価の手続きを実際に回してきた経験が先に見られます。

CISAは試験に合格するだけでは認定されず、監査や統制、セキュリティの実務経験を示して申請し、認定後も毎年の継続教育が求められます。この記事では、試験の範囲と認定の条件、効く場面と効かない場面、実務経験との組み合わせ方、スキルシートでの書き方を整理します（2026年10月時点のISACAの案内による）。

試験の範囲と認定の条件

5つの領域

CISAは、ITのガバナンスや監査に関わる国際的な団体であるISACAが認定する資格です。試験は150問で、次の5つの領域から出題されます。

試験はコンピューターで受け、試験会場か、遠隔での監督のもとで受験する形が案内されています。監査の手順だけでなく、システムの開発や運用、情報資産の保護まで範囲が広いことが特徴です。

実務経験と申請の期限

認定を受けるには、情報システムの監査・統制・セキュリティの分野で、通算5年以上の実務経験が必要です。経験はCISAの出題領域に沿ったもので、申請日からさかのぼって10年以内に積んだものであることが求められます。

試験に合格したあとは、合格日から5年以内に認定の申請をする必要があります。合格しただけでは認定者にはならない点に注意が必要です。経験の数え方などの細かい条件は、申請の前にISACAの案内でご確認ください。

認定後の維持

認定のあとは、次の条件を守ることが求められます。

• 継続教育（CPE）を毎年20時間以上、3年間で120時間以上積んで報告する
• 年会費を毎年支払う
• ISACAの職業倫理規程と、情報システム監査の基準に従う

CPEは無作為に監査の対象に選ばれることがあり、その年の活動の記録を出せないと資格の取り消しにつながります。条件を満たさない場合も、資格は取り消しになるとされています。

フリーランスの案件で効く場面

監査を行う側の案件

IT全般統制の評価、内部監査部門の支援、システム監査、委託先の監査など、評価と報告を担う案件で評価されやすい資格です。試験の領域が監査のプロセスから始まり、運用や情報資産の保護まで広がっているため、「どの統制を、どう評価するか」を体系的に理解している裏付けになります。案件で求められる経験はIT監査・内部統制コンサルのスキルの記事で解説しています。

外資系の企業や海外のグループ会社が関わる監査

国際的な資格のため、外資系の企業や、海外の親会社の方針に沿って監査を進める案件で、知識の水準を説明しやすくなります。報告書や調書を英語で書く場面もあるため、英語の扱いは英語を使うフリーランス案件の記事で整理しています。

取引先の評価制度に関わる仕事

IPAが案内するSCS評価制度では、★3の確認を担う「SCSセキュリティ専門家」の要件となる資格の一つにCISAが挙げられています。専門家として登録するには、資格に加えて研修の受講と、制度の運営機関への登録が必要です。

効きにくい場面

• 監査を受ける側の対応が中心の案件：統制の整備や、監査への資料準備では、業務やシステムの知識が先に見られる
• 技術の作業が中心の案件：構築や診断では、製品や技術の実務の経験が問われる
• 国内の発注元で、国家試験の名前が求められる案件：国内の監査では、IPAの試験の名前が通じやすいことがある

国内の国家試験との違いはシステム監査技術者試験の記事で扱っています。セキュリティの全体を見渡す国際的な資格としてはCISSPの記事もご覧ください。

実務経験との組み合わせ方

CISAは経験の要件があり、申請の際に経験を説明する必要があります。資格と経験を組み合わせるときは、次のように考えます。

1. 経験を5つの領域に当てはめる：たとえば、アクセス権の棚卸しの評価は「情報資産の保護」、変更管理の評価は「取得・開発・導入」のように分ける
2. 監査を行う側の経験を切り出す：開発や運用の経歴の中から、統制の評価やレビューに関わった部分を取り出す
3. 評価の対象の知識を強みにする：会計システム、基幹システム、クラウドなど、評価してきた対象の種類を示す

もう一つ意識したいのが、監査を行う側に求められる独立性です。たとえば、自分が構築や運用に関わったシステムを、同じ発注元で自分が評価する立場になると、客観的な評価とは受け取られにくくなります。業務委託で複数の案件を並行して受けるときは、評価の対象と自分の過去の関わりが重ならないかを、契約の前に見ておくと安心です。

フリーランスとして積んだ経験も申請で説明できるよう、契約の期間、担当した業務、報告の相手を記録しておくと、後から整理しやすくなります。経験として認められる範囲はISACAの案内でご確認ください。独立までの進め方はIT監査・内部統制コンサルがフリーランスになるにはをご覧ください。

スキルシートでの書き方

資格欄には、正式名称・認定の年月・認定団体を書きます。

• 認定済みの場合：「CISA（Certified Information Systems Auditor、ISACA、20XX年X月認定）」
• 試験に合格し、申請の前の場合：「CISA試験 合格（20XX年X月、認定申請前）」

経歴欄では、監査の種類、担った工程（計画、リスクの評価、手続きの実施、報告、改善の確認）、報告の相手を書きます。評価した会社の名前や、指摘の具体的な内容は書きません。書き方の例はIT監査・内部統制コンサルのスキルシートの記事で紹介しています。

準備の進め方

フリーランスは、CPEを積む時間と年会費を自分で手配します。受験を考えるときは、次の順で考えます。

1. 狙う案件を決める：監査を行う側の案件か、外資系や海外のグループ会社が関わる案件が多いかを見る
2. 経験の要件を確かめる：申請日からさかのぼって10年以内に、通算5年の経験があるかを見る
3. 申請までの期限を見込む：経験が足りない場合でも、合格から5年以内に要件を満たせるかを考える
4. CPEを積む手段を決める：研修や勉強会など、案件と並行できる方法を選ぶ

IT監査の分野で評価される資格の全体像はIT監査・内部統制コンサルの資格の記事、資格全般の考え方は資格はフリーランスの案件獲得に役立つかの記事で整理しています。

よくある質問

監査の経験がなくても受験できますか？

受験はできますが、認定を受けるには経験の要件を満たして申請する必要があります。合格から5年以内に申請する決まりがあるため、経験を積む見通しを立ててから受けると無駄がありません。

CISAとシステム監査技術者試験は、どちらを優先すべきですか？

国内の発注元のIT監査が中心なら国家試験が分かりやすく、外資系や海外のグループ会社が関わる監査ではCISAの名前が通じやすいことがあります。IPAは現行の試験制度を2026年度で終える予定としているため、その点も含めて比べます。

監査を受ける側の対応の経験は、CISAの経験に数えられますか？

経験として認められる範囲は、ISACAの案内に沿って判断されます。スキルシートでは、監査を行う側だったか受ける側だったかを分けて書き、申請の前にISACAの案内で対象になるかを確かめてください。