内部監査担当者とIT監査担当者が自信を持って監査を行うために必要な11のコース

最終更新日：2026年11月2日。この記事にリンクされている情報源に基づき確認済み。

ウォークスルーは順調に進んでいたが、コントロールオーナーが監査人が何をテストするのかを尋ねたところ、チームの誰もSOXコントロールがISO 27001の条項にどのように対応しているかを説明できなかった。公認不正検査士協会（ACFE）は、 内部監査により、不正行為の15％が発見された。 2026年の調査によると、不正行為はチップ（43％）に次いで2番目に多く、組織は毎年推定で収益の5％を不正によって失っている。監査人は、探すべきことがわかっているものしか見つけられない。

ほとんどの内部監査員研修は、公認内部監査員試験またはISO主任監査員資格に関するものです。このリストは、残りの半分、つまり監査員が適切にテストするために必要な統制、セキュリティ、不正、倫理に関する知識を網羅しています。3つのグループに分かれた11の既成コース、それぞれの修正内容、および展開方法が提供されます。各グループの最後には、 私たちのピック本書で説明されている法的論点は、米国の連邦規則に関するものです。したがって、これは判決ではなく、概要としてご利用ください。

全11コースの概要

法律は組織の行動規範を定めているが、これらのコースの受講を義務付けているわけではない。

コントロールとフレームワーク

記録の保存と内部統制（SOX法）

このコースでは、サーベンス・オクスリー法（SOX）が存在する理由、第302条および第404条の要件、主要な管理、記録保持スケジュールと法的保留、および操作の危険信号について説明します。SECの サーベンス・オクスリー法特集ページ （SECのサイトがサーバーをブロックしているため、archive.orgのコピーを掲載）には、内部統制規定と監査およびレビューに関連する記録の保持に関する規則が記載されています。監査人はこれらの統制を最も頻繁にテストするため、統制の所有者が何を示すべきかを知っておく必要があります。コースは12問の最終チェックで終了し、法的保留中に記録を削除できるかどうかを選択するラウンドは、ライブでの良い瞬間です。

このテンプレートを使用する

ITガバナンス、エンタープライズアーキテクチャ、IT監査フレームワーク：COBITとTOGAF

COBITとTOGAFは、IT監査担当者が監査を行う際のフレームワークを提供します。この45分間のコースでは、ITガバナンスの目的（価値、リスク、リソース）、ガバナンスとマネジメントの目標の違い、アーキテクチャ開発手法と成熟度モデルについて説明し、最後にIT監査の計画と経営陣への報告について解説します。成熟度レベルの演習では、チームに実際のシステムを評価してもらい、その評価を評価尺度と比較します。

このテンプレートを使用する

ISO/IEC 27001と情報セキュリティマネジメントシステム：すべての従業員が知っておくべきこと

ISO 27001の知識は、監査員がマネジメントシステムが示すべき内容を判断するのに役立ちます。このコースは従業員向けに作成されているため、監査を受ける側にも適しています。ISMSとは何か、自分の役割とルール、例外や弱点といったグレーゾーン、そして監査員とのコミュニケーション方法などについて学びます。両者を同じ部屋に集めてコースを実施し、監査員と被監査者に、同じ管理策に対してどのような証拠を期待するかを尋ねてみてください。

このテンプレートを使用する

安全法、委員会、管理システム、監査

安全管理システムの監査担当者は、法的義務と監査プロセスを理解する必要があります。この40分間のコースでは、雇用主、管理者、従業員の義務、合同安全委員会、5つのステップからなる管理システム、内部検査と監査、規制当局との連携について解説します。「発見と修正」検査ラウンドに挑戦してみましょう。職場の写真を見せて、チームで発見事項を投票で決めます。

このテンプレートを使用する

おすすめ：記録の保存と内部統制（SOX法）。 統制テストと記録管理は、ほとんどの監査計画の中心となる要素であるため、監査人と統制責任者の間で共通言語を確立するための最短ルートとなる。

AI、フィッシング、詐欺のリスク

金融、監査、会計におけるAI：統制、正確性、説明責任

AIを活用した財務監査では、監査担当者は正確性、統制、説明責任を検証する必要があります。このコースは、AIが作成した、架空の要因を作り出し取締役会を誤解させる解説から始まり、AIが役立つ場合と役に立たない場合、AIを活用した決算および報告のための4つの統制ステップ、職務分掌、監査のための証拠について解説します。また、重複した仕入先や公開アップロードといったグレーゾーンについても取り上げます。分類タスクでは、どの財務タスクをAIに任せても安全か、どれがそうでないかを判断します。

このテンプレートを使用する

フィッシングとソーシャルエンジニアリング

監査担当者は、システムや調査結果にアクセスできることから標的になりやすい。この30分のコースでは、ビジネスメール詐欺の手順をたどり、メール、SMS、音声、QRコード、AIディープフェイクにおける危険信号を網羅し、独立したチャネルを通じてリクエストを検証する方法を教える。最後に12問の最終チェックを行う。まずワードクラウドを実行してください。「最後に受け取った不審なリクエストは何でしたか？」より手軽な週次フォローアップについては、ガイドを参照してください。 フィッシングパルスチェック Slack.

このテンプレートを使用する

ソーシャルエンジニアリング、詐欺、ディープフェイク：電話、決済、なりすまし詐欺

監査結果には、支払詐欺やなりすましの事例が頻繁に現れるため、監査担当者はこれらのシナリオを理解しておく必要があります。このコースでは、新しい銀行口座情報を説得力のある形で要求することから始め、その手口、資金の確認方法、偽の声や動画、そして人々がなぜ年功序列、礼儀、秘密保持といった理由で要求に従うのかを解説します。「あなたならどうしますか？」というシナリオは、回答選択式の投票形式として最適です。

このテンプレートを使用する

私たちが選んだのは、ソーシャルエンジニアリング、詐欺、そしてディープフェイクです。 監査人は支払管理を審査しますが、このコースでは、丁寧な電話一本で管理がいかに突破されるかを示します。これはまさに、テスト計画で網羅すべき内容です。

倫理、独立性、情報処理

Code of conduct

監査担当者は、客観性と機密保持を最優先事項として、他のすべての従業員と同様の倫理規定に従うことが求められます。このコースでは、明確な基準を提示します。すなわち、誠実さがなぜ重要なのか、倫理規定の背後にある主要な方針、4つの質問からなる意思決定テスト、グレーゾーン、そして声を上げる方法です。グレーゾーンの事例を匿名で自由回答形式のスライドとして提示し、回答を規定の方針と比較します。

このテンプレートを使用する

利害の対立

独立性と利益相反は、監査人の信頼性にとって極めて重要です。この25分間のコースでは、実際の利益相反、潜在的な利益相反、認識されている利益相反を定義し、一般的な種類（金銭的利益相反、家族関係、兼業、贈答品、企業機会）を列挙し、「開示してから判断する」方法を教え、利益相反の開示の手順を解説します。質問例：監査人のいとこが被監査会社で働いています。開示する、身を引く、それとも続ける？

このテンプレートを使用する

贈収賄防止法（FCPA）

監査担当者は、現場で賄賂の危険信号を見つけるために、賄賂防止の危険信号を知っておく必要がある。米国司法省は、 FCPAの贈収賄防止規定 外国公務員への不正な支払いを禁止し、会計規定では対象企業に対し、正確な帳簿と記録を保持し、適切な内部会計管理システムを維持することを義務付けています。本コースでは、これら両方に加え、贈答品、旅行、接待、第三者による不正行為の兆候についても取り上げます。

このテンプレートを使用する

データ分類と処理

監査担当者は機密性の高い証拠を取り扱うため、正しく分類・共有する必要があります。この25分間のコースでは、分類レベル、レベルごとのデータのラベル付け、保管、共有、廃棄方法、不適切な取り扱いの兆候、分類ミスを報告する方法について解説します。ケーススタディでは、受講者にサンプル作業書類、経営陣宛ての手紙の草稿、従業員リストを分類してもらいます。

このテンプレートを使用する

私たちが選んだのは、利益相反です。 監査人の調査結果の信頼性は、その独立性によって左右される。そして、これがその独立性を守るための最短ルートである。

計画の展開方法

米国の連邦規則に基づき、チーム全員に適用されるコース（SOX法と贈収賄防止法）から始め、入社時の行動規範と利益相反に関する研修も受講しましょう。これらは他のすべての基礎となるものであり、ACFEのデータは監査人がこれらを必要とする理由を示しています。 内部監査により、不正行為の15％が発見された。何が捕まるかは、チーム自身の知識によって決まる。

1. オンボーディング時: 行動規範、利益相反、データ分類、フィッシング。
2. 第1四半期中： SOX法、贈収賄防止、およびセキュリティ管理をテストする監査員向けのISO 27001コース。
3. 毎年： 年末締め切り前に、行動規範と不正行為に関する研修、およびなりすまし詐欺に関する研修の復習クイズを実施する。
4. 役割別の詳細度： IT監査担当者向けのCOBITとTOGAF、レポート作成テスト担当者向けの財務におけるAIコース、そして業務監査担当者向けの安全法コース。

チームが活動する自国のルールを追加し、法務チームに何が適用されるかを確認してください。監査チームも率いている場合は、当社のガイドを参照してください。 管理職向けリーダーシップ研修 その役割の側面をカバーする。

これらのコースを実施する方法 AhaSlides

これらのいずれも、自己ペース学習コースとして構築できます。 AhaSlides コース作成者は、ライブセッションの資料として、または両方として提供し、コース終了後のアンケートと30日後のフォローアップを実施して、何が変わったかを確認します。

1. 答えを選んでください: 法的保留期間中に記録を削除できるかどうか、あるいは監査人のいとこが被監査企業で働いている場合はどうすればよいか、といったことを尋ねる。
2. ワードクラウド： 「最後に受けた不審な要求は何でしたか？」と尋ねてください。最も大きな文字で示されているのは、どの詐欺を優先的に取り上げるべきかということです。
3. 評価尺度: チームに実際のシステムをCOBIT成熟度レベルに照らし合わせて評価させ、その後比較する。
4. 自由回答形式： 行動のグレーゾーンに関する事例について、匿名で回答を集め、人々が自分ならどうするかを述べる。

FAQ

内部監査員にはどのような研修が必要ですか？

内部監査員には、監査手法、COSOやCOBITなどの統制フレームワーク、不正に対する認識、そして倫理観が必要です。上記のコースは、最後の3つの項目を網羅していますが、これらの項目は資格取得コースでは既に理解していることを前提としている場合が多いです。

内部監査担当者はどのような資格を取得すべきでしょうか？

内部監査担当者の多くは公認内部監査人（CIA）資格を取得し、IT監査担当者は公認情報システム監査人（CISA）資格も取得することが多い。これらのコースはどちらの試験の単位としても認められないため、認定機関の最新の要件を確認すること。

IT監査人は何をしますか？

IT監査担当者は、COBITやISO 27001などの認知されたフレームワークに照らし合わせて、技術統制、アクセス、セキュリティ、変更管理をテストします。上記のITガバナンスおよびISO 27001コースは、これらのフレームワークに関する知識を提供します。

監査担当者はどのくらいの頻度で研修を受けるべきか？

専門機関は通常、毎年継続教育を義務付けているため、少なくとも年に一度は復習のための研修を計画しましょう。ご自身の認定機関が求める研修時間については、所属機関の規定をご確認ください。

この記事は一般的な情報提供であり、法的助言ではありません。ご自身の職場に関する決定については、資格のある弁護士または規制当局にご相談ください。