Letzte Überprüfung am 2. November 2026 anhand der in diesem Beitrag verlinkten Quellen.
Der Walkthrough verläuft gut, bis der Verantwortliche für die Kontrolle fragt, was der Auditor prüfen wird, und niemand im Team erklären kann, wie die SOX-Kontrolle der ISO-27001-Klausel entspricht. Die Association of Certified Fraud Examiners (ACFE) stellte fest, dass Die interne Revision deckte 15 % der Betrugsfälle auf. Laut einer Studie aus dem Jahr 2026 liegt der Anteil der Unternehmen, die durch Betrug Verluste erleiden, an zweiter Stelle nach Trinkgeldern (43 %). Schätzungsweise 5 % ihrer Einnahmen gehen jährlich durch Betrug verloren. Wirtschaftsprüfer finden nur das, wonach sie suchen.
Die meisten Schulungen für interne Auditoren konzentrieren sich auf die Prüfung zum zertifizierten internen Auditor (CIA) oder auf ISO-Lead-Auditor-Zertifikate. Diese Liste deckt die andere Hälfte ab: das Wissen über Kontrollen, Sicherheit, Betrugsprävention und Ethik, das Auditoren für erfolgreiche Prüfungen benötigen. Sie erhalten 11 fertige Kurse in 3 Gruppen, die jeweils die zu behebenden Probleme und die Implementierung erläutern. Jede Gruppe schließt mit einer praktischen Übung ab. Unsere WahlDie rechtlichen Ausführungen beschreiben US-Bundesgesetze; verwenden Sie dies daher als Leitfaden, nicht als Urteil.
Alle 11 Kurse im Überblick
| Kurse | Was es abdeckt | Länge | Dahinter steckt eine US-Bundesverordnung? |
|---|---|---|---|
| Aufbewahrung von Unterlagen und interne Kontrollen (SOX) | Aufbewahrung von Aufzeichnungen, wichtige Kontrollmechanismen und Warnsignale für Manipulationen | 35 Minuten | Ja (US-Bundesregelung) |
| IT-Governance- und Audit-Frameworks (COBIT und TOGAF) | COBIT, TOGAF, Reifegradmodelle und die Planung eines IT-Audits | 45 Minuten | Nein |
| ISO/IEC 27001 und das ISMS | Was ein ISMS ist und wie man mit einem Auditor spricht | 40 Minuten | Nein |
| Sicherheitsrecht, Ausschüsse, Managementsysteme und Audits | Sicherheitspflichten, Managementsysteme, Inspektionen und Audits | 40 Minuten | Nein |
| KI im Finanzwesen, in der Wirtschaftsprüfung und im Rechnungswesen | Kontrollschritte für KI-gestützten Abschluss und Berichtswesen | 40 Minuten | Nein |
| Phishing und Social Engineering | Erkennen und Melden von Phishing und geschäftlichen E-Mail-Kompromittierungen | 30 Minuten | Nein |
| Social Engineering, Betrug und Deepfakes | Zahlungs-, Telefon- und Identitätsdiebstahlbetrug, einschließlich Deepfakes | 35 Minuten | Nein |
| Code of Conduct | Integrität, Grauzonen und das Aussprechen der Wahrheit | 35 Minuten | Nein |
| Interessenkonflikte | Offenlegung tatsächlicher, potenzieller und wahrgenommener Interessenkonflikte | 25 Minuten | Nein |
| Antikorruptionsgesetz (FCPA) | Antikorruptions- und Rechnungslegungsvorschriften, Warnsignale | 40 Minuten | Ja (US-Bundesregelung) |
| Datenklassifizierung und -verarbeitung | Klassifizierung, Kennzeichnung und Weitergabe von Daten nach Ebene | 25 Minuten | Nein |
Die Gesetze legen Regeln für das Verhalten von Organisationen fest. Sie schreiben keine dieser Kurse vor.
Kontrollmechanismen und Rahmenbedingungen
Aufbewahrung von Unterlagen und interne Kontrollen (SOX)
Dieser Kurs behandelt die Hintergründe des Sarbanes-Oxley Act (SOX) und die Anforderungen der Abschnitte 302 und 404. Anschließend werden wichtige Kontrollmechanismen, die Aufbewahrungsfristen für Unterlagen und die rechtlichen Sicherungsmaßnahmen sowie Warnsignale für Manipulationen erläutert. Sarbanes-Oxley-Schwerpunktseite (Die SEC-Website blockiert unsere Server, daher ist eine Kopie auf archive.org verfügbar.) Dort sind die Regeln zu internen Kontrollbestimmungen und zur Aufbewahrung von Unterlagen für Audits und Reviews aufgeführt. Da Wirtschaftsprüfer diese Kontrollen am häufigsten prüfen, müssen sie wissen, welche Nachweise ein Verantwortlicher für die Kontrollen erbringen können sollte. Der Kurs schließt mit einer Abschlussprüfung von 12 Fragen ab. Eine interaktive Fragerunde zum Thema „Darf ein Datensatz während einer gerichtlichen Aufbewahrungspflicht gelöscht werden?“ bietet einen guten Live-Moment.
IT-Governance-, Unternehmensarchitektur- und IT-Audit-Frameworks: COBIT und TOGAF
COBIT und TOGAF bieten IT-Auditoren die Rahmenwerke für ihre Prüfungen. Dieser 45-minütige Kurs erläutert die Ziele der IT-Governance (Wert, Risiko und Ressourcen), den Unterschied zwischen Governance- und Managementzielen, die Architekturentwicklungsmethode und Reifegradmodelle. Abschließend werden die Planung eines IT-Audits und die Berichterstattung an die Führungsebene behandelt. Mithilfe der Reifegradübung kann das Team ein reales System bewerten und die Ergebnisse anschließend mit einer Bewertungsskala vergleichen.
ISO/IEC 27001 und das Informationssicherheitsmanagementsystem: Was jeder Mitarbeiter wissen muss
Kenntnisse der ISO 27001 helfen Auditoren bei der Beurteilung, was ein Managementsystem leisten sollte. Der Kurs richtet sich an Mitarbeiter und ist daher auch für die zu auditierenden Personen geeignet: Er behandelt die Definition eines ISMS, Ihre Rolle und die geltenden Regeln, Grauzonen wie Ausnahmen und Schwächen sowie die Kommunikation mit dem Auditor. Führen Sie den Kurs gemeinsam mit beiden Seiten durch und fragen Sie anschließend, welche Nachweise sie für dieselbe Kontrollmaßnahme erwarten würden.
Sicherheitsrecht, Ausschüsse, Managementsysteme und Audits
Prüfer von Sicherheitsmanagementsystemen benötigen Kenntnisse über die rechtlichen Pflichten und den Prüfprozess. Dieser 40-minütige Kurs behandelt die Pflichten von Arbeitgebern, Führungskräften und Arbeitnehmern, gemeinsame Sicherheitsausschüsse, ein Managementsystem in fünf Schritten, interne Inspektionen und Audits sowie die Zusammenarbeit mit der Aufsichtsbehörde. Probieren Sie die Inspektionsrunde „Finden und Beheben“ aus: Zeigen Sie ein Foto eines Arbeitsplatzes und lassen Sie das Team darüber abstimmen, welche Mängel festgestellt werden sollen.
Unsere Empfehlung: Aufbewahrung von Unterlagen und interne Kontrollsysteme (SOX). Die Prüfung und Dokumentation von Kontrollen stehen im Mittelpunkt der meisten Auditpläne. Dies ist der kürzeste Weg zu einer gemeinsamen Sprache zwischen Prüfern und Verantwortlichen für die Kontrollen.
KI, Phishing- und Betrugsrisiko
KI im Finanzwesen, in der Wirtschaftsprüfung und im Rechnungswesen: Kontrollen, Genauigkeit und Verantwortlichkeit
Prüfer von KI-gestützten Finanzprozessen müssen Genauigkeit, Kontrollen und Verantwortlichkeit überprüfen. Dieser Kurs beginnt mit einem KI-generierten Kommentar, der einen Treiber erfindet und den Vorstand in die Irre führt. Anschließend werden die Stärken und Schwächen der KI, vier Kontrollschritte für KI-gestützte Abschlüsse und Berichte, die Aufgabentrennung und die Nachweisführung für die Prüfung behandelt. Auch Grauzonen wie doppelte Lieferanten und öffentlich zugängliche Daten werden thematisiert. Eine Sortierübung fragt, welche Finanzaufgaben bedenkenlos an KI delegiert werden können und welche nicht.
Phishing und Social Engineering
Wirtschaftsprüfer sind aufgrund ihres Zugangs zu Systemen und Erkenntnissen ein Ziel. Dieser 30-minütige Kurs erläutert die Schritte eines Angriffs auf geschäftliche E-Mails, behandelt Warnsignale in E-Mails, SMS, Sprachanrufen, QR-Codes und KI-gestützten Deepfakes und zeigt, wie man eine Anfrage über einen unabhängigen Kanal verifiziert. Er schließt mit einem abschließenden Test mit 12 Fragen ab. Erstellen Sie zunächst eine Wortwolke: „Welche verdächtige Anfrage haben Sie zuletzt erhalten?“ Für eine leichtere wöchentliche Nachbereitung siehe unseren Leitfaden zu Phishing-Pulsprüfungen Slack.
Social Engineering, Betrug und Deepfakes: Telefon-, Zahlungs- und Identitätsdiebstahlbetrug
Zahlungsbetrug und Identitätsdiebstahl tauchen häufig in Prüfungsberichten auf, daher müssen Prüfer die entsprechenden Szenarien kennen. Dieser Kurs beginnt mit einer überzeugenden Bitte um neue Bankdaten und behandelt anschließend die Taktiken, die Überprüfung des Geldes, gefälschte Stimmen und Videos sowie die Gründe für die Kooperationsbereitschaft aufgrund von Dienstalter, Höflichkeit und Verschwiegenheit. Das Szenario „Was würden Sie tun?“ eignet sich gut für eine Abstimmung mit Antwortmöglichkeiten.
Unsere Wahl: Social Engineering, Betrug und Deepfakes. Die Wirtschaftsprüfer überprüfen die Zahlungskontrollen, und dieser Kurs zeigt, wie eine Kontrollmaßnahme durch einen höflichen Anruf umgangen werden kann – genau das, was ein Testplan abdecken sollte.
Ethik, Unabhängigkeit und Umgang mit Informationen
Code of Conduct
Für Wirtschaftsprüfer gelten dieselben Verhaltensregeln wie für alle anderen, wobei Objektivität und Vertraulichkeit oberste Priorität haben. Der Kurs vermittelt einen klaren Standard: Warum Integrität wichtig ist, die wichtigsten Richtlinien des Verhaltenskodex, ein Entscheidungstest mit vier Fragen, Grauzonen und wie man diese anspricht. Präsentieren Sie der Gruppe einen Fall aus einer Grauzone als anonyme, offene Frage und vergleichen Sie die Antworten mit den Richtlinien.
Interessenkonflikte
Unabhängigkeit und Interessenkonflikte sind für die Glaubwürdigkeit von Wirtschaftsprüfern von zentraler Bedeutung. Dieser 25-minütige Kurs definiert tatsächliche, potenzielle und vermeintliche Interessenkonflikte, listet die gängigen Arten auf (finanziell, familiär, Nebentätigkeit, Geschenke, Geschäftschancen), vermittelt das Prinzip „Offenlegen und dann entscheiden“ und führt Sie durch das Ausfüllen einer Interessenkonflikt-Offenlegung. Eine Beispielfrage: Der Cousin eines Wirtschaftsprüfers arbeitet für das geprüfte Unternehmen. Offenlegen, zurücktreten oder weitermachen?
Antikorruptionsgesetz (FCPA)
Prüfer müssen die Warnsignale für Bestechung kennen, um sie bei ihrer Arbeit vor Ort zu erkennen. Das US-Justizministerium sagt, dass Antikorruptionsbestimmungen des FCPA Das Gesetz verbietet Bestechungszahlungen an ausländische Amtsträger und verpflichtet die betroffenen Unternehmen zur ordnungsgemäßen Buchführung und zur Einrichtung eines angemessenen internen Kontrollsystems. Dieser Kurs behandelt beides sowie Geschenke, Reisen, Bewirtung und Warnsignale im Zusammenhang mit Drittparteien.
Datenklassifizierung und -verarbeitung
Prüfer bearbeiten sensible Unterlagen und müssen diese korrekt klassifizieren und weitergeben. Dieser 25-minütige Kurs behandelt Klassifizierungsstufen, die Kennzeichnung, Speicherung, Weitergabe und Entsorgung von Daten nach Stufe, Warnsignale für unsachgemäße Behandlung und die Meldung von Fehlklassifizierungen. In der Fallstudie sollen die Teilnehmenden ein Arbeitspapier, einen Entwurf für ein Managementschreiben und eine Mitarbeiterliste klassifizieren.
Unsere Wahl: Interessenkonflikte. Die Ergebnisse eines Wirtschaftsprüfers sind nur so gut wie seine Unabhängigkeit, und dies ist der kürzeste Weg, diese zu gewährleisten.
Wie man den Plan umsetzt
Beginnen Sie mit den Kursen, die auf einer US-Bundesverordnung basieren und für alle Teammitglieder gelten (SOX und Antikorruption), sowie dem Verhaltenskodex und den Richtlinien zu Interessenkonflikten beim Onboarding. Sie bilden die Grundlage für alles Weitere, und die Daten der ACFE zeigen, warum Wirtschaftsprüfer sie benötigen: mit Interne Revision deckt 15 % der Betrugsfälle aufDas Wissen des Teams selbst entscheidet darüber, was erwischt wird.
- Beim Onboarding: Verhaltenskodex, Interessenkonflikte, Datenklassifizierung und Phishing.
- Innerhalb des ersten Quartals: SOX, Antikorruptionsmaßnahmen und der ISO 27001-Kurs für Auditoren, die Sicherheitskontrollen prüfen.
- Jedes Jahr: Vor Jahresende wird ein Auffrischungstest zu den Kursen über Verhaltensregeln und Betrug sowie zum Kurs über Identitätsdiebstahl durchgeführt.
- Rollenspezifische Tiefe: COBIT und TOGAF für IT-Auditoren, der KI-im-Finanzwesen-Kurs für Prüfer von Berichtswesen und der Kurs zum Sicherheitsrecht für operative Auditoren.
Ergänzen Sie die Regelungen Ihres Landes, in dem Ihre Teams arbeiten, und fragen Sie Ihre Rechtsabteilung, welche Bestimmungen gelten. Wenn Sie auch das Audit-Team leiten, finden Sie in unserem Leitfaden weitere Informationen. Führungskräftetraining für Vorgesetzte deckt diesen Teil der Rolle ab.
Möglichkeiten, diese Kurse durchzuführen auf AhaSlides
Sie können jeden dieser Kurse als Selbstlernkurs mit dem AhaSlides Der Kursentwickler kann die Kurse als Live-Session-Präsentation oder beides durchführen, mit einer Umfrage nach dem Kurs und einem Check-in nach 30 Tagen, um festzustellen, was sich verändert hat.
- Antwort auswählen: Fragen Sie sich, ob ein Datensatz während einer gerichtlichen Aufbewahrungspflicht gelöscht werden kann, oder was zu tun ist, wenn der Cousin des Prüfers für den Geprüften arbeitet.
- Wortwolke: Fragen Sie: „Was war die letzte verdächtige Anfrage, die Sie erhalten haben?“ Die größten Wörter zeigen an, welche Betrugsmaschen zuerst behandelt werden sollten.
- Bewertungsskala: Lassen Sie das Team ein reales System anhand der COBIT-Reifegrade bewerten und vergleichen Sie die Ergebnisse anschließend.
- Offenes Ende: Sammeln Sie anonyme Antworten in einem Graubereich des Verhaltens, damit die Leute sagen, was sie tun würden.
FAQ
Welche Schulungen benötigen interne Auditoren?
Interne Prüfer benötigen Kenntnisse in Prüfmethoden, Kontrollrahmen wie COSO oder COBIT sowie im Bereich Betrugsprävention und Ethik. Die oben genannten Kurse decken die letzten drei Punkte ab, deren Kenntnis in Zertifizierungskursen häufig vorausgesetzt wird.
Welche Zertifizierung sollte ein interner Auditor erwerben?
Die meisten internen Auditoren entscheiden sich für die Zertifizierung zum Certified Internal Auditor (CIA), IT-Auditoren zusätzlich oft für die Zertifizierung zum Certified Information Systems Auditor (CISA). Bitte informieren Sie sich bei der jeweiligen Zertifizierungsstelle über die aktuellen Anforderungen, da diese Kurse nicht für die Prüfungen angerechnet werden.
Was macht ein IT-Auditor?
Ein IT-Auditor prüft Technologiekontrollen, Zugriffsrechte, Sicherheit und Änderungsmanagement anhand anerkannter Rahmenwerke wie COBIT und ISO 27001. Die oben genannten Kurse zu IT-Governance und ISO 27001 vermitteln das nötige Wissen für diese Rahmenwerke.
Wie oft sollten sich Auditoren weiterbilden?
Berufsverbände fordern in der Regel jährliche Weiterbildungen, planen Sie daher mindestens einmal jährlich eine Auffrischung ein. Informieren Sie sich über die Vorgaben Ihres jeweiligen Zertifizierungsverbandes hinsichtlich der erforderlichen Weiterbildungsstunden.
Dieser Beitrag dient der allgemeinen Information und stellt keine Rechtsberatung dar. Für eine Entscheidung bezüglich Ihres Arbeitsplatzes wenden Sie sich bitte an einen qualifizierten Rechtsanwalt oder die zuständige Aufsichtsbehörde.
