내부 감사자와 IT 감사자가 자신감 있게 감사를 수행하려면 반드시 이수해야 할 11가지 과정

본 게시물에 링크된 자료를 기준으로 2026년 11월 2일에 최종 검토되었습니다.

실사 검토는 통제 담당자가 감사자가 무엇을 테스트할 것인지 묻기 전까지는 순조롭게 진행되었지만, 팀원 중 누구도 SOX 통제가 ISO 27001 조항에 어떻게 적용되는지 설명할 수 없었습니다. 공인 부정 조사관 협회(ACFE)는 다음과 같은 사실을 발견했습니다. 내부 감사에서 부정행위의 15%를 적발했습니다. 2026년 연구에 따르면, 제보(43%) 다음으로 두 번째로 많은 사기 행위가 조직에 발생하며, 조직은 매년 약 5%의 매출 손실을 입는 것으로 추정됩니다. 감사인은 자신이 찾아야 할 것만 발견합니다.

대부분의 내부 감사자 교육은 공인 내부 감사자(CIA) 시험이나 ISO 선임 감사자 자격증 취득에 초점을 맞추고 있습니다. 하지만 이 목록은 감사자가 시험을 잘 치르기 위해 필요한 통제, 보안, 부정행위 및 윤리 지식 등 나머지 절반을 다룹니다. 3개 그룹으로 나뉜 11개의 기성 교육 과정과 각 과정이 다루는 내용, 그리고 실행 방법을 제공합니다. 각 그룹은 최종적으로 마무리됩니다. 우리의 선택이 법률적 요점은 미국 연방 규정을 설명하는 것이므로 판결문이 아닌 강의 계획서로 활용하십시오.

11개 코스 전체를 한눈에 보기

법률은 조직의 행동 방식을 규정하는 규칙을 정하는 것이지, 이러한 교육 과정을 의무화하는 것은 아닙니다.

제어 및 프레임워크

기록 보존 및 내부 통제(SOX)

이 과정에서는 사베인스-옥슬리법(SOX)의 존재 이유와 302조 및 404조의 요구 사항, 주요 통제, 기록 보존 일정 및 법적 보존 조치, 그리고 조작의 위험 신호에 대해 다룹니다. SEC의 사베인스-옥슬리 법안 집중 조명 페이지 (SEC 사이트가 저희 서버를 차단하기 때문에 archive.org 사본을 사용했습니다.) 이 문서에는 내부 통제 조항과 감사 및 검토와 관련된 기록 보존에 관한 규칙이 명시되어 있습니다. 감사인은 이러한 통제를 가장 자주 테스트하므로 통제 책임자가 무엇을 입증할 수 있어야 하는지 알아야 합니다. 과정은 12문항으로 구성된 최종 점검으로 마무리되며, 법적 보존 기간 동안 기록을 삭제할 수 있는지 여부를 묻는 선택형 문제는 실습에 도움이 될 것입니다.

이 템플릿을 사용하세요

IT 거버넌스, 엔터프라이즈 아키텍처 및 IT 감사 프레임워크: COBIT 및 TOGAF

COBIT과 TOGAF는 IT 감사자가 감사 기준으로 삼을 수 있는 프레임워크를 제공합니다. 이 45분 과정에서는 IT 거버넌스의 목표(가치, 위험 및 자원), 거버넌스와 경영 목표의 차이점, 아키텍처 개발 방법론 및 성숙도 모델을 설명하고, IT 감사 계획 수립 및 경영진 보고에 대해 다룹니다. 성숙도 수준 평가 연습을 통해 팀원들에게 실제 시스템을 평가하도록 하고, 평가 결과를 평가 척도와 비교해 보세요.

이 템플릿을 사용하세요

ISO/IEC 27001 및 정보 보안 관리 시스템: 모든 직원이 알아야 할 사항

ISO 27001에 대한 지식은 심사자가 경영 시스템이 무엇을 보여줘야 하는지 판단하는 데 도움이 됩니다. 이 교육 과정은 직원을 위해 작성되었지만, 심사를 받는 사람들에게도 유용합니다. 정보 보안 관리 시스템(ISMS)이란 무엇인지, 피심사관의 역할과 규칙, 예외 사항이나 취약점과 같은 모호한 영역, 그리고 심사자와 대화하는 방법 등을 다룹니다. 심사자와 피심사관이 한자리에 모여 교육을 진행한 후, 동일한 통제 항목에 대해 각각 어떤 증거를 기대하는지 질문해 보세요.

이 템플릿을 사용하세요

안전법, 위원회, 경영 시스템 및 감사

안전경영시스템 감사자는 법적 의무와 감사 절차에 대한 지식을 갖춰야 합니다. 40분 과정인 본 교육에서는 고용주, ​​관리자, 근로자의 의무, 공동 안전 위원회, 5단계 경영시스템 구축, 내부 점검 및 감사, 규제 기관과의 협력 방안 등을 다룹니다. "문제 발견 및 해결" 점검 시나리오도 체험해 보세요. 작업장 사진을 보여주고 팀원들이 어떤 문제점을 발견할지 투표하도록 합니다.

이 템플릿을 사용하세요

추천 항목: 기록 보존 및 내부 통제(SOX). 통제 테스트와 기록 유지는 대부분의 감사 계획의 중심에 있으므로, 이는 감사인과 통제 담당자 간의 공통 언어를 구축하는 가장 빠른 방법입니다.

AI, 피싱 및 사기 위험

금융, 감사 및 회계 분야의 AI: 통제, 정확성 및 책임성

AI 기반 재무 감사 ​​담당자는 정확성, 통제 및 책임성을 검증해야 합니다. 이 과정은 AI가 운전자를 임의로 만들어 이사회를 오도하는 사례를 보여주는 것으로 시작하여, AI의 장점과 한계점, AI 기반 결산 및 보고를 위한 네 가지 통제 단계, 직무 분리, 감사 증거 등을 다룹니다. 또한 중복 공급업체 및 공개 데이터 업로드와 같은 모호한 영역에 대해서도 살펴봅니다. 마지막으로, 어떤 재무 업무를 AI에 맡겨도 안전하고 어떤 업무는 그렇지 않은지 판단하는 과제를 제시합니다.

이 템플릿을 사용하세요

피싱 및 소셜 엔지니어링

감사 담당자는 시스템 접근 권한과 감사 결과 보고 권한 때문에 공격 대상이 되기 쉽습니다. 이 30분짜리 교육 과정에서는 비즈니스 이메일 침해(BEC)의 단계별 과정을 살펴보고, 이메일, SMS, 음성 통화, QR 코드 및 AI 딥페이크에서 나타나는 위험 신호를 파악하는 방법을 알려주며, 독립적인 채널을 통해 요청을 검증하는 방법을 가르칩니다. 마지막에는 12개의 질문으로 구성된 최종 점검이 있습니다. 먼저 워드 클라우드를 실행해 보세요. "최근에 받은 의심스러운 요청은 무엇이었나요?"라는 질문에 대한 답을 찾아보세요. 좀 더 가벼운 주간 후속 활동을 원하시면, 저희 가이드를 참고하세요. 피싱 펄스 체크 Slack.

이 템플릿을 사용하세요

사회공학, 사기 및 딥페이크: 전화 사기, 결제 사기 및 신분 도용 사기

감사에서 결제 사기 및 신분 도용 사례가 자주 발견되므로 감사 담당자는 이러한 시나리오를 숙지해야 합니다. 본 과정은 새로운 은행 계좌 정보를 요구하는 설득력 있는 시나리오부터 시작하여, 사기 수법, 자금 검증 방법, 변조된 음성 및 영상, 그리고 직급, 예의, 비밀 유지 등의 이유로 사람들이 요구에 응하는 이유까지 다룹니다. "당신이라면 어떻게 하시겠습니까?" 시나리오를 바탕으로 참가자들이 답변을 선택하는 투표 활동을 진행합니다.

이 템플릿을 사용하세요

저희가 선정한 수법: 소셜 엔지니어링, 사기 및 딥페이크. 감사인은 지급 통제를 검토하는데, 이 과정에서는 정중한 전화 한 통으로 통제를 무력화하는 방법을 보여줍니다. 이는 테스트 계획에 반드시 포함되어야 할 내용입니다.

윤리, 독립성 및 정보 처리

행동 강령

감사인은 다른 모든 사람과 마찬가지로 객관성과 기밀 유지라는 윤리 강령을 준수해야 합니다. 본 교육 과정은 청렴성이 왜 중요한지, 윤리 강령의 핵심 정책, 네 가지 질문으로 구성된 판단 기준, 모호한 영역, 그리고 의견을 제시하는 방법 등 명확한 기준을 제시합니다. 익명의 개방형 질문 슬라이드를 통해 모호한 사례를 제시하고 참가자들의 답변을 정책과 비교해 보세요.

이 템플릿을 사용하세요

관심의 충돌

감사인의 신뢰성을 위해서는 독립성과 이해 상충 문제가 매우 중요합니다. 이 25분 과정에서는 실제, 잠재적, 그리고 인지된 이해 상충을 정의하고, 일반적인 유형(재무적, 가족적, 외부 업무, 선물, 기업 기회)을 나열하며, "공개 후 결정" 원칙을 교육하고 이해 상충 공개 양식을 작성하는 과정을 안내합니다. 다음 질문에 대한 답변을 선택해서 풀어보세요: 감사인의 사촌이 피감사 기업에 근무합니다. 공개해야 할까요, 아니면 감사를 계속 진행해야 할까요?

이 템플릿을 사용하세요

뇌물 및 부패 방지법(FCPA)

감사관은 현장 조사에서 뇌물 수수 위험 신호를 포착하기 위해 관련 정보를 숙지해야 합니다. 미국 법무부는 다음과 같이 밝혔습니다. FCPA의 뇌물방지 조항 외국 공무원에 대한 부정한 금전적 대가 지급을 금지하고, 회계 규정에 따라 해당 기업들이 정확한 장부와 기록을 유지하고 적절한 내부 회계 통제 시스템을 구축하도록 요구합니다. 본 과정에서는 이러한 내용 외에도 선물, 여행, 접대 및 제3자 관련 위험 신호에 대해서도 다룹니다.

이 템플릿을 사용하세요

데이터 분류 및 처리

감사인은 민감한 증거 자료를 다루기 때문에 이를 정확하게 분류하고 공유해야 합니다. 이 25분 과정에서는 분류 수준, 수준별 데이터 라벨링, 저장, 공유 및 폐기 방법, 잘못된 처리의 징후, 그리고 잘못된 분류 보고 방법에 대해 다룹니다. 실습 시간에는 학습자에게 샘플 작업 문서, 경영진 서신 초안, 직원 목록을 분류하도록 요청합니다.

이 템플릿을 사용하세요

우리가 선택한 주제: 이해충돌. 감사인의 조사 결과는 감사인의 독립성이 보장될 때 비로소 신뢰성을 갖게 되며, 이것이 바로 독립성을 보호하는 가장 빠른 방법입니다.

계획을 실행하는 방법

미국 연방 규정에 따라 팀원 모두에게 적용되는 과정(SOX 및 뇌물방지)과 신규 직원 온보딩 시 행동 강령 및 이해 충돌 관련 교육부터 시작하세요. 이 과정들은 모든 것의 기초가 되며, ACFE 데이터는 감사인이 이러한 교육을 필요로 하는 이유를 보여줍니다. 내부 감사로 부정행위의 15%를 적발했습니다.팀원들 자신의 지식이 무엇을 포착할지를 결정합니다.

1. 온보딩 과정에서: 행동 강령, 이해 충돌, 데이터 분류 및 피싱.
2. 1분기 내에: SOX, 뇌물방지, 그리고 보안 통제를 테스트하는 심사원을 위한 ISO 27001 교육 과정.
3. 매년: 연말 결산 전에 행동 및 부정행위 교육 과정과 신분 도용 사기 교육 과정에 대한 복습 퀴즈가 있습니다.
4. 직무별 심화 내용: IT 감사자를 위한 COBIT 및 TOGAF 과정, 보고서 검토 담당자를 위한 금융 분야 AI 과정, 그리고 운영 감사자를 위한 안전법 과정.

팀이 활동하는 국가의 규정을 추가하고 법무팀에 어떤 규정이 적용되는지 문의하십시오. 감사팀을 이끌고 있다면 다음 가이드를 참조하십시오. 관리자를 위한 리더십 교육 그 역할의 해당 측면을 다룹니다.

이러한 강좌를 운영하는 방법 AhaSlides

이 모든 것을 자기 주도 학습 과정으로 만들 수 있습니다. AhaSlides 강좌 제작자는 실시간 세션 자료로 강의를 진행하거나, 또는 두 가지 모두를 활용할 수 있으며, 강좌 종료 후 설문조사와 30일 후 점검을 통해 어떤 변화가 있었는지 확인할 수 있습니다.

1. 답변 선택: 법적 보존 기간 동안 기록을 삭제할 수 있는지, 또는 감사인의 사촌이 피감사 기업에 근무하는 경우 어떻게 해야 하는지 등을 문의하세요.
2. 단어 구름: "최근에 받은 의심스러운 요청은 무엇이었나요?"라고 물어보세요. 가장 크게 표시된 단어들을 통해 어떤 사기 유형을 먼저 다뤄야 할지 알 수 있습니다.
3. 평가 척도: 팀원들에게 실제 시스템을 COBIT 성숙도 수준에 따라 평가하게 한 다음, 비교해 보세요.
4. 개방형: 윤리적으로 모호한 사안에 대해 사람들이 익명으로 답변을 수집하여 자신이 어떻게 행동할지 말하도록 합니다.

FAQ

내부 감사 담당자는 어떤 교육을 받아야 할까요?

내부 감사자는 감사 방법론, COSO 또는 COBIT과 같은 통제 프레임워크, 부정행위 인식 및 윤리에 대한 지식이 필요합니다. 위의 과정들은 마지막 세 가지, 즉 부정행위 인식 및 윤리를 다루는데, 자격증 과정에서는 이러한 지식이 이미 있다고 가정하는 경우가 많습니다.

내부 감사자는 어떤 자격증을 취득해야 할까요?

대부분의 내부 감사자는 공인 내부 감사사(CIA) 자격증을 취득하며, IT 감사자는 종종 공인 정보 시스템 감사사(CISA) 자격증을 추가로 취득합니다. 하지만 이러한 교육 과정은 두 시험 모두에 인정되지 않으므로, 자격증 발급 기관에서 요구하는 최신 자격 요건을 확인하십시오.

IT 감사자는 무슨 일을 하나요?

IT 감사자는 COBIT 및 ISO 27001과 같은 공인된 프레임워크를 기준으로 기술 통제, 접근 제어, 보안 및 변경 관리를 테스트합니다. 위에 언급된 IT 거버넌스 및 ISO 27001 과정은 해당 프레임워크에 대한 지식을 제공합니다.

감사 담당자는 얼마나 자주 교육을 받아야 할까요?

전문 협회에서는 일반적으로 매년 보수 교육을 요구하므로 최소한 매년 보수 교육을 계획하십시오. 소속된 자격증 발급 기관에서 요구하는 교육 시간을 확인하십시오.

이 글은 일반적인 정보 제공을 목적으로 하며 법률 자문이 아닙니다. 귀하의 직장과 관련된 결정을 내리시려면 자격을 갖춘 변호사 또는 규제 기관에 문의하십시오.