Sist gjennomgått 2. november 2026 mot kildene som er lenket i dette innlegget.
Gjennomgangen går bra helt til kontrolleieren spør hva revisoren skal teste, og ingen i teamet kan si hvordan SOX-kontrollen samsvarer med ISO 27001-klausulen. Association of Certified Fraud Examiners (ACFE) fant at Internrevisjonen avdekket 15 % av svindelene i sin studie fra 2026, nest etter tips (43 %), og at organisasjoner mister anslagsvis 5 % av inntektene til svindel hvert år. Revisorer finner bare det de vet å se etter.
Mesteparten av internrevisoropplæringen handler om eksamen for sertifisert internrevisor eller ISO-sertifikater for hovedrevisor. Denne listen dekker den andre halvdelen: kunnskapen om kontroller, sikkerhet, svindel og etikk som revisorer trenger for å teste godt. Du får 11 ferdige kurs i 3 grupper, hva hvert av dem fikser og hvordan du ruller dem ut. Hver gruppe avsluttes med en Vårt valgDe juridiske punktene beskriver amerikanske føderale regler, så bruk dette som et pensum, ikke en avgjørelse.
Alle 11 kursene på et blunk
| Kurs | Hva den dekker | Lengde | Er det amerikansk føderal regelverk som står bak det? |
|---|---|---|---|
| Oppbevaring av dokumenter og internkontroll (SOX) | Oppbevaring av journaler, viktige kontroller og manipulasjonsfaresignaler | 35 min | Ja (amerikansk føderal regel) |
| IT-styrings- og revisjonsrammeverk (COBIT og TOGAF) | COBIT, TOGAF, modenhetsmodeller og planlegging av en IT-revisjon | 45 min | Nei |
| ISO/IEC 27001 og ISMS | Hva et ISMS er og hvordan man snakker med en revisor | 40 min | Nei |
| Sikkerhetslovgivning, komiteer, styringssystemer og revisjoner | Sikkerhetsoppgaver, styringssystemer, inspeksjoner og revisjoner | 40 min | Nei |
| AI innen finans, revisjon og regnskap | Kontrolltrinn for AI-assistert avslutning og rapportering | 40 min | Nei |
| Nettfisking og sosial manipulering | Oppdage og rapportere phishing og kompromitterte forretnings-e-poster | 30 min | Nei |
| Sosial manipulering, svindel og deepfakes | Betalings-, telefon- og etterligningssvindel, inkludert deepfakes | 35 min | Nei |
| Etiske retningslinjer | Integritet, gråsoner og å si ifra | 35 min | Nei |
| Interessekonflikter | Avsløre faktiske, potensielle og opplevde konflikter | 25 min | Nei |
| Anti-bestikkelser og korrupsjon (FCPA) | Bestemmelser mot bestikkelser og regnskapsføring, røde flagg | 40 min | Ja (amerikansk føderal regel) |
| Dataklassifisering og -håndtering | Klassifisering, merking og deling av data etter nivå | 25 min | Nei |
Lovene setter regler for hvordan organisasjoner oppfører seg. De krever ingen av disse kursene.
Kontroller og rammeverk
Oppbevaring av dokumenter og internkontroll (SOX)
Dette kurset dekker hvorfor Sarbanes-Oxley Act (SOX) eksisterer og hva paragraf 302 og 404 krever, deretter viktige kontroller, planen for oppbevaring av dokumenter og juridiske forbehold, og røde flagg for manipulasjon. SECs Sarbanes-Oxley-spotlightside (kopi fra archive.org, ettersom SEC-nettstedet blokkerer serverne våre) viser sine regler for interne kontrollbestemmelser og oppbevaring av poster som er relevante for revisjoner og gjennomganger. Revisorer tester disse kontrollene oftest, så de må vite hva en kontrolleier skal kunne vise til. Kurset avsluttes med en siste sjekk på 12 spørsmål, og en «Velg svar»-runde om hvorvidt en post kan slettes under en juridisk sperring er et godt øyeblikk i sanntid.
IT-styring, bedriftsarkitektur og IT-revisjonsrammeverk: COBIT og TOGAF
COBIT og TOGAF gir IT-revisorer rammeverket de reviderer mot. Dette 45-minutters kurset forklarer målene for IT-styring (verdi, risiko og ressurser), forskjellen mellom styrings- og ledelsesmål, arkitekturutviklingsmetoden og modenhetsmodeller, og avslutter med planlegging av en IT-revisjon og rapportering til ledelsen. Bruk modenhetsnivåøvelsen til å be teamet om å vurdere et reelt system, og sammenlign deretter vurderinger med en vurderingsskala.
ISO/IEC 27001 og informasjonssikkerhetsstyringssystemet: hva alle ansatte må vite
Kunnskap om ISO 27001 hjelper revisorer med å bedømme hva et styringssystem bør vise. Kurset er skrevet for ansatte, så det fungerer også bra for de som revideres: hva et ISMS er, din rolle og reglene, gråsoner som unntak og svakheter, og en leksjon om å snakke med en revisor. Kjør det med begge sider i ett rom, og spør deretter revisorer og reviderte hvilke bevis de forventer for samme kontroll.
Sikkerhetslovgivning, komiteer, styringssystemer og revisjoner
Revisorer av sikkerhetsstyringssystemer trenger de juridiske pliktene og revisjonsprosessen. Dette 40-minutters kurset dekker arbeidsgivers, leders og arbeidstakeres plikter, felles sikkerhetskomiteer, et styringssystem i fem trinn, interne inspeksjoner og revisjoner, og samarbeid med tilsynsmyndighetene. Prøv inspeksjonsrunden «Finn og reparer»: vis et bilde av en arbeidsplass og la teamet stemme over hva de vil ta opp som et funn.
Vårt valg: Oppbevaring av dokumenter og internkontroll (SOX). Kontrolltesting og journalføring står sentralt i de fleste revisjonsplaner, så dette er den korteste veien til et felles språk mellom revisorer og kontrolleiere.
Risiko for kunstig intelligens, phishing og svindel
AI i finans, revisjon og regnskap: kontroller, nøyaktighet og ansvarlighet
Revisorer av KI-assistert finans må teste nøyaktighet, kontroller og ansvarlighet. Dette kurset åpner med KI-utarbeidede kommentarer som finner opp en driver og villeder et styre, deretter dekker det hvor KI hjelper og feiler, fire kontrolltrinn for KI-assistert avslutning og rapportering, ansvarsdeling og bevis for revisjon. Det går også gjennom gråsoner som dupliserte leverandører og offentlige opplastinger. En sorteringsoppgave spør hvilke finansoppgaver som er trygge å overlevere til KI og hvilke som ikke er det.
Nettfisking og sosial manipulering
Revisorer er mål på grunn av tilgangen deres til systemer og funn. Dette 30-minutters kurset sporer trinnene i en kompromittering av forretnings-e-post, dekker røde flagg på tvers av e-post, SMS, tale, QR-koder og AI-deepfakes, og lærer å verifisere en forespørsel gjennom en uavhengig kanal. Det avsluttes med en siste sjekk på 12 spørsmål. Kjør en ordsky først: «Hva var den siste mistenkelige forespørselen du fikk?» For en lettere ukentlig oppfølging, se vår veiledning til phishing pulse sjekker inn Slack.
Sosial manipulering, svindel og deepfakes: telefon-, betalings- og etterligningssvindel
Betalingssvindel og etterligning av identitet dukker opp i revisjonsfunn, så revisorer må kjenne til scenarioene. Dette kurset starter med en overbevisende forespørsel om nye bankdetaljer, deretter dekker det taktikkene, hvordan man verifiserer pengene, forfalskede stemmer og videoer, og hvorfor folk overholder ansiennitet, høflighet og hemmelighold. Scenariet «Hva ville du gjort?» fungerer bra som en «Velg svar»-avstemning.
Vårt valg: Sosial manipulering, svindel og deepfakes. Revisorer gjennomgår betalingskontroller, og dette kurset viser hvordan en kontroll blir slått av med en høflig telefonsamtale, noe som er akkurat det en testplan bør dekke.
Etikk, uavhengighet og informasjonshåndtering
Etiske retningslinjer
Revisorer er underlagt de samme retningslinjene som alle andre, med objektivitet og konfidensialitet i høysetet. Kurset gir én klar standard: hvorfor integritet er viktig, de viktigste retningslinjene bak retningslinjene, en beslutningstest med fire spørsmål, gråsoner og hvordan man kan si ifra. Presenter et gråsone-case i rommet som et anonymt åpent lysbilde og sammenlign svarene med retningslinjene.
Interessekonflikter
Uavhengighet og interessekonflikter er sentralt for revisors troverdighet. Dette 25-minutters kurset definerer faktiske, potensielle og oppfattede konflikter, lister opp vanlige typer (økonomiske, familiekonflikter, eksternt arbeid, gaver, bedriftsmuligheter), lærer «avslør, deretter bestem» og går gjennom hvordan man fyller ut en konfliktrapport. Still et «Velg svar»-spørsmål: en revisors fetter jobber for den reviderte. Avsløre, trekke seg tilbake eller fortsette?
Anti-bestikkelser og korrupsjon (FCPA)
Revisorer må kjenne til røde flagg mot bestikkelser for å oppdage dem i feltarbeid. Det amerikanske justisdepartementet sier at FCPAs bestemmelser mot bestikkelser forbyr korrupte betalinger til utenlandske tjenestemenn, og at regnskapsbestemmelsene krever at dekkede selskaper fører nøyaktige regnskaper og registre og opprettholder et tilstrekkelig system for intern regnskapskontroll. Dette kurset dekker begge deler, i tillegg til gaver, reiser, gjestfrihet og varselssignaler fra tredjeparter.
Dataklassifisering og -håndtering
Revisorer håndterer sensitiv bevismateriale og må klassifisere og dele det riktig. Dette 25-minutters kurset dekker klassifiseringsnivåer, hvordan man merker, lagrer, deler og avhender data etter nivå, røde flagg for feilbehandling og hvordan man rapporterer en feilklassifisering. I case-praksisrunden ber du deltakerne klassifisere et eksempel på et arbeidsdokument, et utkast til ledelsesbrev og en personalliste.
Vårt valg: Interessekonflikter. En revisors funn er bare så gode som deres uavhengighet, og dette er den korteste veien som beskytter den.
Hvordan rulle ut planen
Start med kursene som er basert på en amerikansk føderal regel og gjelder for alle i teamet (SOX og anti-bestikkelser), pluss atferdskodeksen og interessekonflikter ved onboarding. De er grunnlaget for alt annet, og ACFE-dataene viser hvorfor revisorer trenger dem: med internrevisjon avdekker 15 % av svindelene, lagets egen kunnskap avgjør hva som blir tatt.
- Ved onboarding: atferdskodeks, interessekonflikter, dataklassifisering og phishing.
- Innenfor første kvartal: SOX, antibestikkelser og ISO 27001-kurset for revisorer som tester sikkerhetskontroller.
- Hvert år: en oppfriskningsquiz om kursene i oppførsel og svindel, og kurset i svindel med etterligning før årsslutt.
- Rollespesifikk dybde: COBIT og TOGAF for IT-revisorer, kurset i KI i finans for de som tester rapportering, og kurset i sikkerhetslovgivning for driftsrevisorer.
Legg til reglene i ditt eget land der teamene dine jobber, og spør det juridiske teamet ditt hva som gjelder. Hvis du også leder revisjonsteamet, kan vår veiledning til lederopplæring for veiledere dekker den siden av rollen.
Måter å gjennomføre disse kursene på AhaSlides
Du kan bygge hvilken som helst av disse som et kurs i eget tempo med AhaSlides kursskaperen, kjør dem som en live-øktdekk, eller begge deler, med en undersøkelse etter kurset og en 30-dagers innsjekking for å se hva som har endret seg.
- Velg svar: spørre om en post kan slettes under en juridisk reservasjon, eller hva man skal gjøre når en revisors fetter jobber for den reviderte.
- Word Cloud: spør «Hva var den siste mistenkelige forespørselen du fikk?» De største ordene viser hvilke svindelforsøk som skal dekkes først.
- Vurderingsskala: la teamet vurdere et reelt system mot COBIT-modenhetsnivåene, og deretter sammenligne.
- Åpent slutt: samle anonyme svar i en gråsonesak om atferd, slik at folk sier hva de ville gjort.
FAQ
Hvilken opplæring trenger interne revisorer?
Interne revisorer trenger revisjonsmetodikk, kontrollrammeverk som COSO eller COBIT, bevissthet om svindel og etikk. Kursene ovenfor dekker de tre siste, som sertifiseringskurs ofte forutsetter at du allerede kjenner til.
Hvilken sertifisering bør en internrevisor ha?
De fleste interne revisorer velger sertifisert internrevisor (CIA), og IT-revisorer legger ofte til sertifisert informasjonssystemrevisor (CISA). Sjekk det utstedende organet for gjeldende krav, da disse kursene ikke teller mot noen av eksamenene.
Hva gjør en IT-revisor?
En IT-revisor tester teknologikontroller, tilgang, sikkerhet og endringshåndtering mot anerkjente rammeverk som COBIT og ISO 27001. Kursene i IT-styring og ISO 27001 ovenfor gir kunnskap om dette rammeverket.
Hvor ofte bør revisorer trene?
Faglige organer krever vanligvis etterutdanning hvert år, så planlegg en oppfriskning minst én gang i året. Sjekk reglene i ditt eget sertifiseringsorgan for timene det forventer.
Dette innlegget er generell informasjon, ikke juridisk rådgivning. For å ta en avgjørelse om din egen arbeidsplass, snakk med en kvalifisert advokat eller tilsynsmyndighetene.
