本人从事了几年的it审计，看了楼主的问题，想大概聊下这几个行业：
1）首先，转入it审计，cisa cissp不是必须。像楼主有相关的it工作经验，再加上有认识的朋友，进入这行并不难。

不过，进入这行前需要考虑清楚。你是否了解it审计是怎样的工作，会不会愿意在这行一直做下去。我有朋友把四大形容为火坑，压力大，工作时间长。因为这个领域比较窄，而且越走会越窄，需要一定时间的付出积累经验才能够有成绩。如果只是浅尝辄止，会发现不太容易转去别的行业了，又浪费了时间。

如果是有工作经验的，起薪还行。若是表现出色，能够每年晋升一级，加薪幅度也是可观的。市场对这个行业一直都有需求。

2）我猜想楼主所说的风险管理是信息系统安全的风险管理吧。因为一般意义上的风险管理是有关于金融市场的。若是前者，这个职业大多需要在这方面有一定经验的。通过考证 cissp，可以成为转行的敲门砖。因为对这行不太了解，没办法估计可行性。我知道在许多银行都有自己的系统风险部，他们的主要职责是配合it及内审部门，分析公司内部系统及网络风险，对审计提出的建议进行评估，然后跟it部门商讨具体的补救措施。这个也可以列入你的考虑范围内。

3）楼上也有人建议可以考虑business analyst这个方向。我也同意。这份工作起的是用户和开发人员间的桥梁作用，需要有较好的沟通能力，并不需要实际编程。对于楼主可能是最容易实现的。