CISA + PMI-RMP: IS-Audit und Risikomanagement Kombi – Kurs

Diese Weiterbildung vereint zwei komplementäre Qualifikationsrahmen: die CISA-Zertifizierung (Certified Information Systems Auditor) von ISACA, die systematische Revision und Kontrolle von Informationssystemen in den Mittelpunkt stellt, und den PMI Risk Management Professional (PMI-RMP) des Project Management Institute, der die proaktive Steuerung von Projektrisiken nach PMBOK-Standards adressiert. Der entscheidende Unterschied zum Geschwisterkurs mit ITIL liegt in der Perspektive: Wo ITIL 4 die laufende Service-Qualität betrachtet, zielt PMI-RMP auf die frühzeitige Erkennung und strukturierte Reaktion auf Risiken im Projektverlauf. Für Fachleute, die IS-Audits leiten und gleichzeitig Risikomanagement-Projekte verantworten, ist diese Kombination ein präzise zugeschnittenes Doppelprofil. Der Unterricht findet synchron im Virtual Classroom statt, ergänzt durch angeleitete Übungen und Fallstudienarbeit.

Modul 1 – CISA: Auditprozess und IT-Governance Der erste Block legt das methodische Fundament: Auditplanung, Umfangsdefinition, risikobasierte Priorisierung und Evidenzerhebung nach ISACA-Standards. Governance-Domäne 2 folgt direkt anschließend und vertieft IT-Strategie, COBIT-Frameworks und die Rolle des Auditausschusses.

• Auditplanung, Auditcharta und Risikoidentifikation im Vorfeld
• Auditprogramme und Sampling-Methodik
• Kontrollziele, Kontrollnachweise und Arbeitspapiere
• IT-Governance-Frameworks (COBIT, ISO 38500)
• IT-Portfolio-Management und Investitionskontrolle
• Lieferanten- und Vertragsmanagement aus Revisionsperspektive

Modul 2 – CISA: IS-Lebenszyklus, Betrieb und Informationssicherheit Die Domänen 3 bis 5 bilden das operative Kernwissen: von der Systementwicklung über den laufenden Betrieb bis hin zum Schutz von Informationsgütern. Besonderes Gewicht liegt auf dem Schnittstellen-Management zwischen Systementwicklung und Sicherheitsanforderungen.

• SDLC-Phasen und Audit-Eingriffspunkte
• Change Management, Release-Kontrollen und Konfigurationsmanagement
• Netzwerkarchitektur, Firewalls und Zugriffskontrollen aus Revisionssicht
• IAM-Systeme, Authentifizierungsverfahren und Berechtigungsmanagement
• Datensicherung, Wiederherstellung und Business-Continuity-Planung
• Kryptografie, physische Sicherheit und Security-Monitoring

Modul 3 – PMI-RMP: Risikoidentifikation und -analyse Dieser Block führt in die PMI-Risikosystematik ein: Risikomanagement-Plan, Identifikation von Risiken und Chancen, qualitative und quantitative Risikoanalyse. Der Fokus liegt auf methodischer Stringenz und der Dokumentation in einem strukturierten Risikoregister.

• Risikoplanung: Prozesse, Rollen, Methoden und Werkzeuge nach PMBOK
• Risikoidentifikation: Brainstorming, Delphi-Methode, Ursache-Wirkungs-Analyse
• Qualitative Risikoanalyse: Wahrscheinlichkeits-Auswirkungsmatrix, Risk Scoring
• Quantitative Risikoanalyse: Monte-Carlo-Simulation, Entscheidungsbäume
• Aktualisierung und Pflege des Risikoregisters
• Risiko-Breakdown-Struktur (RBS)

Modul 4 – PMI-RMP: Risikoreaktionsplanung und -überwachung Nachdem Risiken identifiziert und bewertet sind, konzentriert sich dieser Abschnitt auf die strategische Reaktion und die laufende Überwachung. Das Zusammenspiel mit Projektcontrolling und Stakeholder-Kommunikation steht im Mittelpunkt.

• Strategien für Bedrohungen: Vermeiden, Vermindern, Übertragen, Akzeptieren
• Strategien für Chancen: Ausnutzen, Teilen, Verbessern, Akzeptieren
• Risikobudget, Kontingenzreserven und Management-Reserven
• Monitoring und Controlling von Risiken im Projektverlauf
• Eskalationswege und Risikoberichte für Stakeholder
• Lessons Learned und Aktualisierung organisationaler Prozessgüter

Praxisblock – Integration von IS-Audit und PMI-Risikomanagement Die Verbindung beider Frameworks schließt das Curriculum ab. Übungen und Fallstudien zeigen, wie Audit-Befunde systematisch in den PMI-Risikoprozess eingespeist werden können.

• Mapping von CISA-Kontrollschwächen auf PMI-Risikoregister-Einträge
• Entwicklung eines kombinierten Audit-/Risikomanagement-Reports
• Risikobasierte Priorisierung von Audit-Empfehlungen
• Einbindung von IS-Audit-Ergebnissen in Projekt-Risikoreviews
• Fallstudie: Risikogesteuertes IS-Audit in einem regulierten Umfeld (Finanzdienstleistungen)
• Erstellung von Risikoberichten für Governance-Gremien
• Quantifizierung von IS-Risiken für das Management
• Kommunikation von Audit-Risiken an Projekt-Sponsoren
• Koordination zwischen Revision, Projektmanagement und IS-Sicherheit
• Dokumentation kombinierter Risiko-Audit-Zyklen
• Gap-Analyse: IS-Kontrollrahmen versus PMI-Risiko-Baseline
• Abschluss-Fallstudie: Integriertes Risikoaudit mit Handlungsempfehlungen

In der abschließenden Fallstudienarbeit zeigt sich der praktische Wert der Kombination: Audit-Befunde und Risiko-Einschätzungen fließen zusammen in ein konsolidiertes Bild, das sowohl für Governance-Gremien als auch für operative Projektteams lesbar und handlungsleitend ist.

Diese Weiterbildung ist für Fachleute konzipiert, die in der Schnittmenge aus IT-Revision und strategischem Risikomanagement tätig sind oder werden wollen.

• Erfahrene IS-Auditoren, die ihre Risikokompetenz formal zertifizieren lassen wollen
• IT-Risikomanager, die den Audit-Bezug in ihrer Arbeit stärken möchten
• Projektmanager mit IT-Hintergrund, die Risikoqualifikationen mit Sicherheitsexpertise verbinden
• Senior-Compliance-Mitarbeitende, die Schnittstellen zwischen Revision und Risiko verantworten

Der Kurs findet als synchroner Live-Unterricht im virtuellen Klassenzimmer statt. Praxiserfahrene Dozierende wechseln zwischen Theorievermittlung, moderierten Übungsphasen und Fallstudienarbeit. Teilnehmende können per Mikrofon, Kamera und Chat aktiv interagieren. Ergänzendes eigenständiges Lernensmaterial steht für die Vor- und Nachbereitung bereit. Die Unterrichtssprache ist Deutsch; englischsprachige Fachbegriffe werden konsequent eingeführt, da beide Prüfungen (CISA, PMI-RMP) international ausgerichtet sind.

Der Kurs wird in Vollzeit absolviert. Da beide Zertifizierungsstrecken eigenständige, umfangreiche Curriculainhalte aufweisen, ist von einem mehrwöchigen Programm auszugehen. Die Gesamtdauer ist von der konkreten Modulauswahl abhängig und wird bei Kursanmeldung verbindlich festgelegt.

Nach erfolgreicher Kursteilnahme wird eine qualifizierte Teilnahmebescheinigung ausgestellt. Die externen Hersteller-Zertifikate – CISA (ISACA) und PMI-RMP (Project Management Institute) – werden durch das Bestehen der jeweiligen offiziellen Prüfungen bei akkreditierten Testcentern erworben. Der Kurs bereitet inhaltlich auf beide Prüfungen vor.

Die Kombination aus CISA und PMI-RMP ist besonders dort wirkungsvoll, wo Projekte und laufender IT-Betrieb eng verzahnt sind – also etwa in Transformationsprojekten, bei ERP-Einführungen oder beim Aufbau neuer IT-Plattformen. Wer einen IS-Audit nicht erst am Ende eines Projekts ansetzt, sondern Risiken bereits in der Planungsphase nach PMI-Methodik erfasst, agiert deutlich effizienter und vermeidet kostspielige Nachbesserungen. Gerade in regulierten Branchen – Finanzdienstleistungen, Energie, Gesundheitswesen – ist die Kombination von formalem IS-Audit-Wissen und nachgewiesener Risikomanagement-Kompetenz ein klares Differenzierungsmerkmal. Auditoren, die Risiken nicht nur dokumentieren, sondern proaktiv steuern, sind in diesen Umgebungen besonders gefragt. Das Doppel-Zertifikat eröffnet außerdem neue Karrierepfade: von der klassischen Revisionsstelle bis hin zu Chief Risk Officer-Positionen oder Beratungsrollen, die sowohl Governance- als auch Risikomanagement-Kompetenz voraussetzen.