Última revisión: 2 de noviembre de 2026, cotejada con las fuentes enlazadas en esta publicación.
El recorrido transcurre bien hasta que el responsable del control pregunta qué probará el auditor, y nadie del equipo puede decir cómo se relaciona el control SOX con la cláusula ISO 27001. La Asociación de Examinadores Certificados de Fraude (ACFE) descubrió que La auditoría interna detectó el 15% de los fraudes. En su estudio de 2026, solo superado por las propinas (43%), se estima que las organizaciones pierden un 5% de sus ingresos anuales debido al fraude. Los auditores solo encuentran aquello que saben buscar.
La mayoría de la capacitación de auditores internos se centra en el examen de Auditor Interno Certificado o en los certificados de auditor líder ISO. Esta lista cubre la otra mitad: los conocimientos sobre controles, seguridad, fraude y ética que los auditores necesitan para aprobar el examen. Obtendrá 11 cursos listos para usar en 3 grupos, qué corrige cada uno y cómo implementarlos. Cada grupo finaliza con un Nuestra selecciónLos puntos legales que se describen son normas federales de EE. UU., así que utilícelo como un programa de estudios, no como una resolución judicial.
Los 11 cursos de un vistazo
| Curso | Lo que cubre | Longitud Mínima | ¿Existe alguna norma federal estadounidense que lo respalde? |
|---|---|---|---|
| Retención de registros y controles internos (SOX) | Retención de registros, controles clave y señales de alerta de manipulación. | 35 min | Sí (norma federal de EE. UU.) |
| Marcos de gobernanza y auditoría de TI (COBIT y TOGAF) | COBIT, TOGAF, modelos de madurez y planificación de una auditoría de TI | 45 min | No |
| ISO/IEC 27001 y el SGSI | Qué es un SGSI y cómo hablar con un auditor. | 40 min | No |
| Legislación sobre seguridad, comités, sistemas de gestión y auditorías. | Deberes de seguridad, sistemas de gestión, inspecciones y auditorías. | 40 min | No |
| Inteligencia artificial en finanzas, auditoría y contabilidad. | Pasos de control para el cierre y la elaboración de informes asistidos por IA | 40 min | No |
| Phishing e ingeniería social | Detección y notificación de ataques de phishing y fraudes de correo electrónico empresarial. | 30 min | No |
| Ingeniería social, fraude y deepfakes | Estafas de pago, telefónicas y de suplantación de identidad, incluyendo deepfakes. | 35 min | No |
| Código de Conducta | Integridad, zonas grises y alzar la voz | 35 min | No |
| Conflictos de interés | Revelar conflictos reales, potenciales y percibidos. | 25 min | No |
| Ley contra el soborno y la corrupción (FCPA) | Disposiciones antisoborno y contables: señales de alerta | 40 min | Sí (norma federal de EE. UU.) |
| Clasificación y manejo de datos | Clasificación, etiquetado y compartición de datos por nivel | 25 min | No |
Las leyes establecen normas sobre cómo deben comportarse las organizaciones. No exigen ninguno de estos cursos.
Controles y marcos de trabajo
Retención de registros y controles internos (SOX)
Este curso cubre por qué existe la Ley Sarbanes-Oxley (SOX) y qué exigen las secciones 302 y 404, luego los controles clave, el calendario de retención de registros y las retenciones legales, y las señales de alerta de manipulación. Página destacada de la Ley Sarbanes-Oxley (Copia de archive.org, ya que el sitio de la SEC bloquea nuestros servidores) enumera sus reglas sobre disposiciones de control interno y sobre la retención de registros relevantes para auditorías y revisiones. Los auditores suelen poner a prueba estos controles, por lo que necesitan saber qué debe poder demostrar el responsable de un control. El curso finaliza con una verificación final de 12 preguntas, y una ronda de selección de respuestas sobre si se puede eliminar un registro durante una retención legal es un buen momento para practicar en vivo.
Gobernanza de TI, arquitectura empresarial y marcos de auditoría de TI: COBIT y TOGAF
COBIT y TOGAF proporcionan a los auditores de TI los marcos de referencia para sus auditorías. Este curso de 45 minutos explica los objetivos de la gobernanza de TI (valor, riesgo y recursos), la diferencia entre los objetivos de gobernanza y gestión, el método de desarrollo de arquitectura y los modelos de madurez, y finaliza con la planificación de una auditoría de TI y la presentación de informes a la dirección. Utilice el ejercicio de niveles de madurez para pedir al equipo que califique un sistema real y, a continuación, compare las calificaciones con una escala de calificación.
ISO/IEC 27001 y el sistema de gestión de la seguridad de la información: lo que todo empleado debe saber.
El conocimiento de la norma ISO 27001 ayuda a los auditores a determinar qué debe demostrar un sistema de gestión. El curso está diseñado para empleados, por lo que también resulta útil para quienes son auditados: qué es un SGSI, su rol y las normas, áreas grises como excepciones y debilidades, y una lección sobre cómo comunicarse con un auditor. Realice el curso con ambas partes en una misma sala y luego pregunte a auditores y auditados qué evidencia esperarían para el mismo control.
Legislación sobre seguridad, comités, sistemas de gestión y auditorías.
Los auditores de sistemas de gestión de seguridad necesitan conocer las obligaciones legales y el proceso de auditoría. Este curso de 40 minutos abarca las responsabilidades del empleador, el gerente y el trabajador, los comités conjuntos de seguridad, un sistema de gestión en cinco pasos, las inspecciones y auditorías internas, y la colaboración con el organismo regulador. Pruebe la ronda de inspección "Identificar y corregir": muestre una foto del lugar de trabajo y deje que el equipo vote sobre las deficiencias que señalarían.
Nuestra recomendación: Retención de registros y controles internos (SOX). Las pruebas de control y el registro de datos son fundamentales en la mayoría de los planes de auditoría, por lo que esta es la vía más rápida para lograr un lenguaje común entre los auditores y los responsables de los controles.
Inteligencia artificial, phishing y riesgo de fraude
Inteligencia artificial en finanzas, auditoría y contabilidad: controles, precisión y responsabilidad
Los auditores de finanzas asistidas por IA deben evaluar la precisión, los controles y la rendición de cuentas. Este curso comienza con un comentario generado por IA que inventa un factor y engaña a la junta directiva, luego analiza dónde la IA ayuda y dónde falla, cuatro pasos de control para el cierre y la presentación de informes asistidos por IA, la segregación de funciones y la evidencia para la auditoría. También aborda áreas grises como proveedores duplicados y cargas públicas. Una tarea de clasificación pregunta qué tareas financieras se pueden delegar de forma segura a la IA y cuáles no.
Phishing e ingeniería social
Los auditores son objetivos debido a su acceso a los sistemas y hallazgos. Este curso de 30 minutos describe los pasos de una vulneración del correo electrónico empresarial, cubre las señales de alerta en correo electrónico, SMS, voz, códigos QR y deepfakes de IA, y enseña a verificar una solicitud a través de un canal independiente. Finaliza con una verificación final de 12 preguntas. Primero, crea una nube de palabras: "¿Cuál fue la última solicitud sospechosa que recibiste?" Para un seguimiento semanal más ligero, consulta nuestra guía sobre comprobaciones de pulso de phishing en Slack.
Ingeniería social, fraude y deepfakes: estafas telefónicas, de pago y de suplantación de identidad.
Los casos de fraude en pagos y suplantación de identidad suelen aparecer en las auditorías, por lo que los auditores deben conocer los escenarios. Este curso comienza con una solicitud convincente de nuevos datos bancarios, luego aborda las tácticas, cómo verificar el dinero, las voces y videos falsificados, y por qué las personas acceden a las solicitudes por jerarquía, cortesía y discreción. El escenario "¿Qué harías tú?" funciona bien como votación para elegir la respuesta correcta.
Nuestra recomendación: Ingeniería social, fraude y deepfakes. Los auditores revisan los controles de pago, y este curso muestra cómo se puede burlar un control con una llamada telefónica cortés, que es precisamente lo que debería abarcar un plan de pruebas.
Ética, independencia y manejo de la información
Código de Conducta
Los auditores están sujetos al mismo código que todos los demás, con la objetividad y la confidencialidad como prioridades. El curso ofrece un estándar claro: la importancia de la integridad, las políticas clave que sustentan el código, una prueba de decisión de cuatro preguntas, áreas grises y cómo expresar opiniones. Presente un caso de área gris en una diapositiva anónima de preguntas abiertas y compare las respuestas con la política.
Conflictos de interés
La independencia y los conflictos de interés son fundamentales para la credibilidad del auditor. Este curso de 25 minutos define los conflictos reales, potenciales y percibidos, enumera los tipos más comunes (financieros, familiares, laborales, obsequios, oportunidades corporativas), enseña el método de "revelar y luego decidir" y explica cómo completar una declaración de conflicto. Pregunta de opción múltiple: ¿El primo del auditor trabaja para la entidad auditada? ¿Debe revelar la información, abstenerse de actuar o continuar?
Ley contra el soborno y la corrupción (FCPA)
Los auditores necesitan conocer las señales de alerta antisoborno para detectarlas en el trabajo de campo. El Departamento de Justicia de EE. UU. dice que Disposiciones contra el soborno de la FCPA Prohíbe los pagos corruptos a funcionarios extranjeros y sus disposiciones contables exigen que las empresas cubiertas mantengan libros y registros precisos y un sistema adecuado de controles internos de contabilidad. Este curso abarca ambos aspectos, además de obsequios, viajes, hospitalidad y señales de alerta de terceros.
Clasificación y manejo de datos
Los auditores manejan evidencia sensible y deben clasificarla y compartirla correctamente. Este curso de 25 minutos abarca los niveles de clasificación, cómo etiquetar, almacenar, compartir y eliminar datos por nivel, las señales de alerta de un manejo incorrecto y cómo reportar una clasificación errónea. En la ronda de práctica de casos, pida a los participantes que clasifiquen un documento de trabajo de muestra, un borrador de carta de gerencia y una lista de personal.
Nuestra recomendación: Conflictos de intereses. Las conclusiones de un auditor solo son válidas en la medida en que este sea independiente, y este es el camino más corto para protegerla.
Cómo implementar el plan
Comience con los cursos que se basan en una norma federal de EE. UU. y se aplican a todos los miembros del equipo (SOX y antisoborno), además del código de conducta y los conflictos de interés en la incorporación. Son la base de todo lo demás, y los datos de la ACFE muestran por qué los auditores los necesitan: con La auditoría interna detecta el 15% de los fraudes.El conocimiento del propio equipo decide qué se captura.
- En la incorporación: Código de conducta, conflictos de intereses, clasificación de datos y suplantación de identidad (phishing).
- Durante el primer trimestre: SOX, lucha contra el soborno y el curso ISO 27001 para auditores que prueban los controles de seguridad.
- Cada año: Un examen de repaso sobre los cursos de conducta y fraude, y el curso sobre estafas por suplantación de identidad antes del cierre de fin de año.
- Profundidad específica del rol: COBIT y TOGAF para auditores de TI, el curso de IA en finanzas para quienes evalúan la elaboración de informes y el curso de legislación sobre seguridad para auditores operativos.
Agregue las normas de su propio país donde trabajan sus equipos y pregunte a su equipo legal qué se aplica. Si también lidera el equipo de auditoría, nuestra guía para formación en liderazgo para supervisores Cubre ese aspecto del rol.
Formas de impartir estos cursos en AhaSlides
Puedes crear cualquiera de estos como un curso a tu propio ritmo con el AhaSlides El creador del curso puede ejecutarlo como una presentación en vivo, o ambas cosas, con una encuesta posterior al curso y una revisión a los 30 días para ver qué ha cambiado.
- Elija respuesta: Pregunte si se puede eliminar un registro durante una retención legal, o qué hacer cuando el primo de un auditor trabaja para la entidad auditada.
- Nube de palabras: Pregunta "¿Cuál fue la última solicitud sospechosa que recibiste?" Las palabras más grandes indican qué estafas se deben abordar primero.
- Escala de valoración: Pida al equipo que evalúe un sistema real según los niveles de madurez de COBIT y luego compare los resultados.
- Final abierto: Recopilar respuestas anónimas sobre un caso de conducta dudosa, para que la gente diga qué haría en ese caso.
Preguntas Frecuentes
¿Qué formación necesitan los auditores internos?
Los auditores internos necesitan metodología de auditoría, marcos de control como COSO o COBIT, concienciación sobre el fraude y ética. Los cursos mencionados anteriormente abarcan los tres últimos aspectos, que los cursos de certificación suelen dar por sentado que ya se conocen.
¿Qué certificación debería obtener un auditor interno?
La mayoría de los auditores internos optan por la certificación de Auditor Interno Certificado (CIA), y los auditores de TI suelen añadir la de Auditor de Sistemas de Información Certificado (CISA). Consulta con el organismo certificador los requisitos vigentes, ya que estos cursos no cuentan para ninguno de los dos exámenes.
¿Qué hace un auditor de TI?
Un auditor de TI evalúa los controles tecnológicos, el acceso, la seguridad y la gestión de cambios conforme a marcos de referencia reconocidos como COBIT e ISO 27001. Los cursos sobre gobernanza de TI e ISO 27001 mencionados anteriormente proporcionan los conocimientos necesarios para cumplir con dichos marcos.
¿Con qué frecuencia deben recibir formación los auditores?
Los organismos profesionales suelen exigir formación continua anual, así que planifica un curso de actualización al menos una vez al año. Consulta las normas de tu organismo certificador para conocer las horas de formación que exige.
Esta publicación contiene información general y no constituye asesoramiento legal. Para tomar una decisión sobre su lugar de trabajo, consulte con un abogado calificado o con el organismo regulador.
