נבדק לאחרונה ב-2 בנובמבר 2026 על פי המקורות המקושרים בפוסט זה.
המדריך עובר כשורה עד שבעל הבקרה שואל מה המבקר יבדוק, ואף אחד בצוות לא יכול לומר כיצד בקרת ה-SOX מתאימה לסעיף ISO 27001. איגוד בוחני ההונאה המוסמכים (ACFE) מצא כי ביקורת פנימית גילתה 15% מההונאות במחקר משנת 2026, שני רק לטיפים (43%), וכי ארגונים מפסידים כ-5% מהכנסותיהם עקב הונאות מדי שנה. רואי חשבון מוצאים רק את מה שהם יודעים לחפש.
רוב הכשרות המבקרים הפנימיים עוסקות בבחינת מבקר פנימי מוסמך או בתעודות ISO ראשי. רשימה זו מכסה את החצי השני: ידע בבקרות, אבטחה, הונאות ואתיקה שמבקרים צריכים לבדוק היטב. תקבלו 11 קורסים מוכנים ב-3 קבוצות, מה כל אחד מהם מתקן וכיצד ליישם אותם. כל קבוצה מסתיימת ב... הבחירה שלנוהנקודות המשפטיות מתארות את הכללים הפדרליים של ארה"ב, לכן יש להשתמש בזה כסילבוס, לא כפסיקה.
כל 11 הקורסים במבט חטוף
| קורס | מה זה מכסה | אורך | האם השלטון הפדרלי של ארה"ב עומד מאחורי זה? |
|---|---|---|---|
| שמירת רשומות ובקרות פנימיות (SOX) | שמירת רשומות, בקרות מרכזיות ודגלים אדומים של מניפולציה | 35 דקות | כן (חוק פדרלי אמריקאי) |
| מסגרות ניהול וביקורת של IT (COBIT ו-TOGAF) | COBIT, TOGAF, מודלי בגרות ותכנון ביקורת IT | 45 דקות | לא |
| ISO/IEC 27001 ו-ISMS | מהו ISMS וכיצד לדבר עם מבקר | 40 דקות | לא |
| דיני בטיחות, ועדות, מערכות ניהול וביקורות | חובות בטיחות, מערכות ניהול, בדיקות וביקורות | 40 דקות | לא |
| בינה מלאכותית במימון, ביקורת וחשבונאות | שלבי בקרה לסגירה ודיווח בסיוע בינה מלאכותית | 40 דקות | לא |
| פישינג והנדסה חברתית | זיהוי ודיווח על פישינג ופרצת דוא"ל עסקי | 30 דקות | לא |
| הנדסה חברתית, הונאות וזיופים עמוקים | הונאות תשלום, טלפון והתחזות, כולל זיופים עמוקים | 35 דקות | לא |
| קוד התנהגות | יושרה, אזורים אפורים והבעת קול | 35 דקות | לא |
| ניגודי עניינים | גילוי סכסוכים ממשיים, פוטנציאליים ונתפסים | 25 דקות | לא |
| חוק נגד שוחד ושחיתות (FCPA) | הוראות נגד שוחד וחשבונאות, דגלים אדומים | 40 דקות | כן (חוק פדרלי אמריקאי) |
| סיווג וטיפול בנתונים | סיווג, תיוג ושיתוף נתונים לפי רמה | 25 דקות | לא |
החוקים קובעים כללים כיצד ארגונים מתנהגים. הם אינם דורשים אף אחד מהקורסים הללו.
בקרות ומסגרות
שמירת רשומות ובקרות פנימיות (SOX)
קורס זה מכסה את הסיבות לקיומו של חוק סרבנס-אוקסלי (SOX) ואת הדרישות לפי סעיפים 302 ו-404, בנוסף לאמצעי בקרה מרכזיים, לוח הזמנים לשמירת רשומות ואחיזות משפטיות, ודגלים אדומים של מניפולציה. הוראות ה-SEC עמוד הזרקור של סרבנס-אוקסלי (עותק של archive.org, מכיוון שאתר ה-SEC חוסם את השרתים שלנו) מפרט את הכללים שלו בנוגע להוראות בקרה פנימית ולשמירת רשומות הרלוונטיות לביקורות וסקירות. מבקרים בודקים בקרות אלו לרוב, ולכן עליהם לדעת מה בעל בקרה אמור להיות מסוגל להראות. הקורס מסתיים בבדיקה סופית בת 12 שאלות, וסבב "בחירת תשובה" בשאלה האם ניתן למחוק רשומה במהלך החזקה חוקית הוא רגע טוב לביצוע.
ניהול IT, ארכיטקטורת ארגון ומסגרות ביקורת IT: COBIT ו-TOGAF
COBIT ו-TOGAF מספקים למבקרים בתחום ה-IT את המסגרות שהם מבצעים ביקורת על פיהן. קורס זה, בן 45 דקות, מסביר את מטרות ניהול ה-IT (ערך, סיכון ומשאבים), את ההבדל בין יעדי ניהול ליעדי ניהול, שיטת פיתוח הארכיטקטורה ומודלים של בגרות, ומסתיים בתכנון ביקורת IT ודיווח להנהלה. השתמשו בתרגיל רמות הבגרות כדי לבקש מהצוות לדרג מערכת אמיתית, ולאחר מכן השוו דירוגים עם סולם דירוג.
ISO/IEC 27001 ומערכת ניהול אבטחת מידע: מה שכל עובד חייב לדעת
ידע בתקן ISO 27001 עוזר למבקרים לשפוט מה מערכת ניהול צריכה להראות. הקורס נכתב עבור עובדים, כך שהוא מתאים גם לאנשים המבוקרים: מהו מערכת ניהול מידע (ISMS), תפקידכם והכללים, אזורים אפורים כמו חריגים וחולשות, ושיעור על שיחה עם מבקר. העבירו את הקורס עם שני הצדדים בחדר אחד, ולאחר מכן שאלו את המבקרים והמבוקרים אילו ראיות הם מצפים לאותה בקרה.
דיני בטיחות, ועדות, מערכות ניהול וביקורות
מבקרי מערכות ניהול בטיחות זקוקים לחובות החוקיות ולתהליך הביקורת. קורס זה, שאורכו 40 דקות, מכסה את חובות המעסיק, המנהל והעובד, ועדות בטיחות משותפות, מערכת ניהול בחמישה שלבים, בדיקות פנימיות וביקורות, ועבודה מול הרגולטור. נסו את סבב הביקורת "מצא ותקן": הציגו תמונה של מקום עבודה ותנו לצוות להצביע על מה שיעלה כממצא.
הבחירה שלנו: שמירת רשומות ובקרות פנימיות (SOX). בדיקות בקרה ותיעוד נמצאים במרכז רוב תוכניות הביקורת, ולכן זוהי הדרך הקצרה ביותר לשפה משותפת בין מבקרים לבעלי בקרות.
סיכון לבינה מלאכותית, פישינג והונאה
בינה מלאכותית במימון, ביקורת וחשבונאות: בקרות, דיוק ואחריותיות
רואי חשבון של מערכות פיננסיות בסיוע בינה מלאכותית צריכים לבחון דיוק, בקרות ואחריותיות. קורס זה נפתח בפרשנות שנוסחה על ידי בינה מלאכותית, אשר ממציאה מניע ומטעה את הדירקטוריון, לאחר מכן מכסה היכן בינה מלאכותית מסייעת ונכשלת, ארבעה שלבי בקרה לסגירה ודיווח בסיוע בינה מלאכותית, הפרדת תפקידים וראיות לביקורת. הוא גם עובד דרך אזורים אפורים כמו ספקים כפולים והעלאות ציבוריות. משימת מיון שואלת אילו משימות פיננסיות בטוחות למסור לבינה מלאכותית ואילו לא.
פישינג והנדסה חברתית
מבקרים הם מטרות בגלל הגישה שלהם למערכות ולממצאים. קורס זה בן 30 דקות עוקב אחר שלבי פריצת דוא"ל עסקית, מכסה דגלים אדומים בדוא"ל, SMS, קול, קודי QR וזיופים עמוקים של בינה מלאכותית, ומלמד אימות בקשה דרך ערוץ עצמאי. הקורס מסתיים בבדיקה סופית בת 12 שאלות. הרץ תחילה ענן מילים: "מהי הבקשה החשודה האחרונה שקיבלת?" למעקב שבועי קל יותר, עיין במדריך שלנו ל... בדיקות דופק של פישינג Slack.
הנדסה חברתית, הונאות וזיופים עמוקים: הונאות טלפון, תשלום והתחזות
מקרי הונאת תשלומים והתחזות מופיעים בממצאי ביקורת, ולכן מבקרים צריכים להכיר את התרחישים. קורס זה מתחיל בבקשה משכנעת לפרטי בנק חדשים, לאחר מכן מכסה את הטקטיקות, כיצד לאמת את הכסף, קולות ווידאו מזויפים, ומדוע אנשים פועלים לפי דרישות בכירות, נימוס וסודיות. התרחיש "מה הייתם עושים?" עובד היטב כהצבעה בבחירת תשובה.
הבחירה שלנו: הנדסה חברתית, הונאה וזיופים עמוקים. מבקרים סוקרים בקרות תשלומים, וקורס זה מראה כיצד בקרה מופרת על ידי שיחת טלפון מנומסת, וזה בדיוק מה שתוכנית בדיקה צריכה לכסות.
אתיקה, עצמאות וטיפול במידע
קוד התנהגות
מבקרים מחויבים לאותו קוד כמו כולם, עם אובייקטיביות וסודיות כחלק מהתקנות. הקורס נותן סטנדרט ברור אחד: מדוע יושרה חשובה, המדיניות המרכזית מאחורי הקוד, מבחן החלטה בן ארבע שאלות, אזורים אפורים וכיצד להשמיע את קולם. הציגו מקרה של אזור אפור לחדר כשקופית פתוחה אנונימית והשוו את התשובות למדיניות.
ניגודי עניינים
עצמאות וניגודי עניינים הם מרכזיים לאמינות רואה החשבון. קורס זה, בן 25 דקות, מגדיר ניגודי עניינים ממשיים, פוטנציאליים ונתפסים, מפרט את הסוגים הנפוצים (פיננסיים, משפחתיים, עבודה חיצונית, מתנות, הזדמנויות תאגידיות), מלמד "לגלות, ואז להחליט" ומסביר כיצד לבצע גילוי ניגודי עניינים. שאל שאלה של בחירה בתשובה: בן דוד של רואה החשבון עובד עבור המבוקר. לגלות, לסגת או להמשיך הלאה?
חוק נגד שוחד ושחיתות (FCPA)
רואי חשבון צריכים להכיר את דגלי האזהרה נגד שוחד כדי לזהות אותם בעבודה בשטח. משרד המשפטים האמריקאי אומר ש... סעיפי FCPA נגד שוחד אוסרים תשלומים מושחתים לפקידים זרים, וכי הוראות החשבונאות שלה מחייבות חברות מכוסות לנהל ספרים ורישומים מדויקים ולקיים מערכת נאותה של בקרות חשבונאיות פנימיות. קורס זה מכסה את שניהם, בנוסף למתנות, נסיעות, אירוח ודגלים אדומים של צד שלישי.
סיווג וטיפול בנתונים
מבקרים מטפלים בראיות רגישות ועליהם לסווג ולשתף אותן בצורה נכונה. קורס זה, שאורכו 25 דקות, מכסה רמות סיווג, כיצד לתייג, לאחסן, לשתף ולהשליך נתונים לפי רמה, דגלים אדומים של טיפול שגוי וכיצד לדווח על סיווג שגוי. בסבב תרגול מקרה, בקשו מהלומדים לסווג דוגמה לדף עבודה, טיוטת מכתב ניהולי ורשימת עובדים.
הבחירה שלנו: ניגודי עניינים. ממצאיו של רואה חשבון טובים רק כעצמאותו, וזהו הדרך הקצרה ביותר שמגנה עליהם.
כיצד ליישם את התוכנית
התחילו עם הקורסים המבוססים על כלל פדרלי אמריקאי וחלים על כל אחד בצוות (SOX ואיסור שוחד), בנוסף לקוד ההתנהגות וניגודי העניינים בעת הקליטה. הם הבסיס לכל השאר, ונתוני ACFE מראים מדוע מבקרים זקוקים להם: עם ביקורת פנימית מגלה 15% מההונאות, הידע של הצוות עצמו מחליט מה ייתפס.
- בעת הקליטה: קוד התנהגות, ניגודי עניינים, סיווג נתונים ופישינג.
- בתוך הרבעון הראשון: SOX, מניעת שוחד, וקורס ISO 27001 למבקרים שבודקים בקרות אבטחה.
- בכל שנה: בוחן רענון על קורסי התנהגות והונאה, וקורס התחזות להונאות לפני סגירת סוף השנה.
- עומק ספציפי לתפקיד: COBIT ו-TOGAF למבקרים בתחום ה-IT, קורס בינה מלאכותית במימון לבודקי דיווחים, וקורס דיני בטיחות למבקרים תפעוליים.
הוסיפו את הכללים של המדינה שלכם שבה הצוותים שלכם עובדים, ושאלו את הצוות המשפטי שלכם מה חל. אם אתם מובילים גם את צוות הביקורת, המדריך שלנו ל... הכשרת מנהיגות למפקחים מכסה את הצד הזה של התפקיד.
דרכים להפעיל את הקורסים האלה AhaSlides
ניתן לבנות כל אחד מאלה כקורס בקצב עצמי עם AhaSlides יוצר הקורסים, להפעיל אותם כחפיסת מפגשים בשידור חי, או את שניהם, עם סקר לאחר הקורס ובדיקה לאחר 30 יום כדי לראות מה השתנה.
- בחר תשובה: לשאול האם ניתן למחוק רשומה במהלך החזקה משפטית, או מה לעשות כאשר בן דוד של רואה חשבון עובד עבור המבוקר.
- ענן מילים: שאלו "מהי הבקשה החשודה האחרונה שקיבלת?" המילים הגדולות ביותר מראות אילו הונאות לכסות תחילה.
- סולם דירוג: בקשו מהצוות לדרג מערכת אמיתית מול רמות הבשלות של COBIT, ולאחר מכן להשוות.
- פתוח: לאסוף תשובות אנונימיות לתיק התנהגותי באזור אפור, כדי שאנשים יגידו מה היו עושים.
שאלות נפוצות
איזו הכשרה צריכים מבקרים פנימיים?
מבקרים פנימיים זקוקים למתודולוגיית ביקורת, מסגרות בקרה כגון COSO או COBIT, מודעות להונאות ואתיקה. הקורסים הנ"ל מכסים את שלושת האחרונים, שלעתים קרובות קורסי הסמכה מניחים שאתם כבר מכירים.
איזו הסמכה צריך לקבל מבקר פנימי?
רוב המבקרים הפנימיים בוחרים בתואר מבקר פנימי מוסמך (CIA), ומבקרי IT מוסיפים לעיתים קרובות את התואר מבקר מערכות מידע מוסמך (CISA). יש לבדוק את הגוף המעניק את הדרישות העדכניות, מכיוון שקורסים אלה אינם נחשבים לאף אחת מהבחינות.
מה עושה מבקר IT?
מבקר IT בודק בקרות טכנולוגיה, גישה, אבטחה וניהול שינויים מול מסגרות מוכרות כגון COBIT ו-ISO 27001. קורסי ניהול IT ו-ISO 27001 הנ"ל מקנים ידע במסגרת זו.
באיזו תדירות צריכים מבקרים להתאמן?
גופים מקצועיים דורשים בדרך כלל לימודים מתמשכים מדי שנה, לכן תכננו רענון לפחות פעם בשנה. בדקו את כללי הגוף המאשר שלכם לגבי השעות שהוא מצווה עליהם.
פוסט זה הוא מידע כללי, לא ייעוץ משפטי. לקבלת החלטה בנוגע למקום העבודה שלך, פנה לעורך דין מוסמך או לרשות הרגולטור.
