Última revisão em 2 de novembro de 2026, com base nas fontes citadas nesta publicação.
A apresentação do controle corre bem até que o responsável pelo controle pergunta o que o auditor irá testar, e ninguém na equipe consegue explicar como o controle SOX se relaciona com a cláusula da ISO 27001. A Associação de Examinadores de Fraude Certificados (ACFE) constatou que A auditoria interna detectou 15% das fraudes. Em seu estudo de 2026, a fraude ficou em segundo lugar, atrás apenas das denúncias (43%), e estima-se que as organizações percam 5% de sua receita anualmente devido a ela. Os auditores só encontram o que sabem que devem procurar.
A maioria dos treinamentos para auditores internos foca no exame de Auditor Interno Certificado (CIA) ou nas certificações de auditor líder ISO. Esta lista abrange a outra metade: os conhecimentos sobre controles, segurança, fraude e ética que os auditores precisam para se sair bem nas provas. Você recebe 11 cursos prontos, divididos em 3 grupos, com explicações sobre o que cada um aborda e como implementá-los. Cada grupo termina com um guia prático. Nossa escolhaOs pontos legais descrevem as normas federais dos EUA, portanto, use isto como um programa de estudos, não como uma decisão judicial.
Todos os 11 cursos em resumo
| Para | O que cobre | Comprimento | É por trás disso uma regra federal dos EUA? |
|---|---|---|---|
| Retenção de registros e controles internos (SOX) | Retenção de registros, controles essenciais e sinais de alerta de manipulação. | 35 minutos | Sim (regra federal dos EUA) |
| Estruturas de governança e auditoria de TI (COBIT e TOGAF) | COBIT, TOGAF, modelos de maturidade e planejamento de uma auditoria de TI | 45 minutos | Não |
| ISO/IEC 27001 e o SGSI (Sistema de Gestão de Segurança da Informação) | O que é um SGSI (Sistema de Gestão de Segurança da Informação) e como falar com um auditor. | 40 minutos | Não |
| Legislação de segurança, comitês, sistemas de gestão e auditorias. | Deveres de segurança, sistemas de gestão, inspeções e auditorias. | 40 minutos | Não |
| Inteligência artificial em finanças, auditoria e contabilidade | Etapas de controle para fechamento e geração de relatórios assistidos por IA | 40 minutos | Não |
| Phishing e engenharia social | Identificação e denúncia de phishing e comprometimento de e-mail comercial. | 30 minutos | Não |
| Engenharia social, fraude e deepfakes | Golpes de pagamento, por telefone e de falsificação de identidade, incluindo deepfakes. | 35 minutos | Não |
| Código de conduta | Integridade, zonas cinzentas e a importância de se manifestar. | 35 minutos | Não |
| Conflitos de interesse | Revelar conflitos reais, potenciais e percebidos. | 25 minutos | Não |
| Anticorrupção e suborno (FCPA) | Disposições anticorrupção e contábeis, sinais de alerta | 40 minutos | Sim (regra federal dos EUA) |
| Classificação e tratamento de dados | Classificar, rotular e compartilhar dados por nível. | 25 minutos | Não |
As leis estabelecem regras sobre como as organizações devem se comportar. Elas não exigem nenhum desses cursos.
Controles e estruturas
Retenção de registros e controles internos (SOX)
Este curso aborda a razão de ser da Lei Sarbanes-Oxley (SOX) e o que exigem as seções 302 e 404, além de controles essenciais, o cronograma de retenção de registros e as retenções legais, e os sinais de alerta de manipulação. (Comissão de Valores Mobiliários dos EUA - SEC) Página de destaque da Lei Sarbanes-Oxley (A cópia do archive.org, já que o site da SEC bloqueia nossos servidores) lista suas regras sobre disposições de controle interno e sobre a retenção de registros relevantes para auditorias e revisões. Os auditores testam esses controles com frequência, portanto, precisam saber o que o responsável pelo controle deve ser capaz de demonstrar. O curso termina com uma verificação final de 12 perguntas, e uma rodada de "Escolha a Resposta" sobre se um registro pode ser excluído durante uma retenção legal é um bom momento para praticar.
Governança de TI, arquitetura empresarial e estruturas de auditoria de TI: COBIT e TOGAF
COBIT e TOGAF fornecem aos auditores de TI as estruturas que eles utilizam para realizar auditorias. Este curso de 45 minutos explica os objetivos da governança de TI (valor, risco e recursos), a diferença entre objetivos de governança e de gestão, o método de desenvolvimento de arquitetura e os modelos de maturidade, e finaliza com o planejamento de uma auditoria de TI e a elaboração de relatórios para a liderança. Utilize o exercício de níveis de maturidade para pedir à equipe que avalie um sistema real e, em seguida, compare as avaliações com uma escala de classificação.
ISO/IEC 27001 e o sistema de gestão de segurança da informação: o que todo funcionário precisa saber
O conhecimento da ISO 27001 ajuda os auditores a avaliar o que um sistema de gestão deve demonstrar. O curso é voltado para funcionários, portanto, também é útil para as pessoas que estão sendo auditadas: o que é um SGSI (Sistema de Gestão de Segurança da Informação), seu papel e as regras, áreas cinzentas como exceções e pontos fracos, e uma lição sobre como conversar com um auditor. Realize o curso com ambos os lados em uma mesma sala e, em seguida, pergunte aos auditores e auditados quais evidências eles esperariam para o mesmo controle.
Legislação de segurança, comitês, sistemas de gestão e auditorias.
Os auditores de sistemas de gestão de segurança precisam conhecer as obrigações legais e o processo de auditoria. Este curso de 40 minutos aborda as responsabilidades do empregador, do gestor e do trabalhador, comissões mistas de segurança, um sistema de gestão em cinco etapas, inspeções e auditorias internas e o trabalho com o órgão regulador. Experimente a rodada de inspeção "Encontre e corrija": mostre uma foto de um local de trabalho e deixe a equipe votar no que eles apontariam como uma não conformidade.
Nossa escolha: Retenção de registros e controles internos (SOX). Os testes de controle e a manutenção de registros são fundamentais para a maioria dos planos de auditoria, sendo, portanto, o caminho mais curto para uma linguagem comum entre auditores e responsáveis pelos controles.
IA, phishing e risco de fraude
Inteligência artificial em finanças, auditoria e contabilidade: controles, precisão e responsabilidade.
Os auditores de finanças assistidas por IA precisam testar a precisão, os controles e a responsabilidade. Este curso começa com um comentário elaborado por IA que inventa um fator determinante e induz o conselho ao erro. Em seguida, aborda os casos em que a IA ajuda e falha, quatro etapas de controle para o fechamento e a geração de relatórios assistidos por IA, a segregação de funções e as evidências para auditoria. Também explora áreas cinzentas, como fornecedores duplicados e uploads públicos. Uma atividade de classificação questiona quais tarefas financeiras podem ser delegadas à IA com segurança e quais não podem.
Phishing e engenharia social
Os auditores são alvos devido ao seu acesso a sistemas e descobertas. Este curso de 30 minutos descreve os passos de uma fraude por e-mail corporativo, aborda sinais de alerta em e-mails, SMS, mensagens de voz, códigos QR e deepfakes de IA, e ensina como verificar uma solicitação por meio de um canal independente. O curso termina com uma verificação final de 12 perguntas. Comece com uma Nuvem de Palavras: "Qual foi a última solicitação suspeita que você recebeu?". Para um acompanhamento semanal mais leve, consulte nosso guia. verificações de pulso de phishing em Slack.
Engenharia social, fraudes e deepfakes: golpes por telefone, pagamento e falsificação de identidade.
Casos de fraude em pagamentos e falsificação de identidade são frequentemente relatados em auditorias, por isso os auditores precisam conhecer esses cenários. Este curso começa com uma solicitação convincente de novos dados bancários e, em seguida, aborda as táticas, como verificar o dinheiro, vozes e vídeos falsificados e por que as pessoas cedem com base na hierarquia, na cortesia e no sigilo. O cenário "O que você faria?" funciona bem como uma votação de escolha de resposta.
Nossa escolha: Engenharia Social, Fraude e Deepfakes. Os auditores revisam os controles de pagamento, e este curso mostra como um controle pode ser burlado com um telefonema educado, que é exatamente o que um plano de testes deve abranger.
Ética, independência e gestão da informação
Código de conduta
Os auditores estão sujeitos ao mesmo código de ética que todos os demais, com objetividade e confidencialidade como princípios fundamentais. O curso apresenta um padrão claro: por que a integridade é importante, as principais políticas que regem o código, um teste de decisão com quatro perguntas, áreas cinzentas e como se manifestar. Apresente um caso de área cinzenta à turma como um slide de resposta aberta e anônima e compare as respostas com a política.
Conflitos de interesse
Independência e conflitos de interesse são fundamentais para a credibilidade do auditor. Este curso de 25 minutos define conflitos reais, potenciais e percebidos, lista os tipos mais comuns (financeiros, familiares, trabalho externo, presentes, oportunidades corporativas), ensina a "divulgar e depois decidir" e demonstra como preencher uma declaração de conflito. Faça uma pergunta de múltipla escolha: o primo do auditor trabalha para a empresa auditada. Divulgar, afastar-se ou continuar?
Anticorrupção e suborno (FCPA)
Os auditores precisam conhecer os sinais de alerta anticorrupção para identificá-los em trabalho de campo. O Departamento de Justiça dos EUA afirma que Disposições anticorrupção da FCPA Este curso aborda a proibição de pagamentos corruptos a funcionários estrangeiros e suas disposições contábeis, que exigem que as empresas abrangidas mantenham livros e registros precisos e um sistema adequado de controles internos de contabilidade. Além disso, trata de presentes, viagens, hospitalidade e sinais de alerta de terceiros.
Classificação e tratamento de dados
Os auditores lidam com evidências sensíveis e devem classificá-las e compartilhá-las corretamente. Este curso de 25 minutos aborda os níveis de classificação, como rotular, armazenar, compartilhar e descartar dados por nível, sinais de alerta de manuseio inadequado e como relatar uma classificação incorreta. Na rodada de prática de caso, peça aos participantes que classifiquem um exemplo de documento de trabalho, uma minuta de carta à gerência e uma lista de funcionários.
Nossa escolha: Conflitos de interesse. As conclusões de um auditor são tão boas quanto a sua independência, e este é o caminho mais curto para protegê-las.
Como implementar o plano
Comece com os cursos que se enquadram em uma norma federal dos EUA e se aplicam a todos os membros da equipe (SOX e anticorrupção), além do código de conduta e conflitos de interesse na integração. Eles são a base para todo o resto, e os dados da ACFE mostram por que os auditores precisam deles: com Auditoria interna detecta 15% das fraudes., o conhecimento da própria equipe decide o que será capturado.
- No processo de integração: Código de conduta, conflitos de interesse, classificação de dados e phishing.
- No primeiro trimestre: SOX, legislação anticorrupção e o curso ISO 27001 para auditores que testam controles de segurança.
- A cada ano: Um teste de revisão sobre os cursos de conduta e fraude, e sobre o curso de golpes de falsificação de identidade, antes do encerramento do ano letivo.
- Profundidade específica da função: COBIT e TOGAF para auditores de TI, o curso de IA em finanças para quem testa relatórios e o curso de legislação de segurança para auditores operacionais.
Adicione as regras do seu país onde suas equipes atuam e pergunte à sua equipe jurídica quais se aplicam. Se você também lidera a equipe de auditoria, consulte nosso guia para Treinamento de liderança para supervisores Abrange esse lado da função.
Formas de ministrar esses cursos em AhaSlides
Você pode criar qualquer um desses cursos em seu próprio ritmo com o AhaSlides O criador do curso pode executá-lo como uma apresentação ao vivo ou ambos, com uma pesquisa pós-curso e um acompanhamento de 30 dias para verificar o que mudou.
- Escolha a resposta: Pergunte se um registro pode ser excluído durante um período de retenção legal ou o que fazer quando o primo de um auditor trabalha para a empresa auditada.
- Palavra nuvem: Pergunte: "Qual foi o último pedido suspeito que você recebeu?" As palavras maiores indicam quais golpes devem ser abordados primeiro.
- Escala de classificação: Peça à equipe para avaliar um sistema real em relação aos níveis de maturidade do COBIT e, em seguida, compare os resultados.
- Pergunta aberta: Coletar respostas anônimas sobre um caso de conduta questionável, para que as pessoas digam o que fariam.
Perguntas frequentes
Que tipo de formação os auditores internos precisam?
Os auditores internos precisam de metodologia de auditoria, estruturas de controle como COSO ou COBIT, conscientização sobre fraudes e ética. Os cursos acima abordam os três últimos tópicos, que os cursos de certificação geralmente pressupõem que você já domine.
Que certificação um auditor interno deve obter?
A maioria dos auditores internos opta pela certificação Certified Internal Auditor (CIA), e os auditores de TI geralmente adicionam a Certified Information Systems Auditor (CISA). Verifique os requisitos atuais da entidade certificadora, pois esses cursos não são válidos para nenhum dos exames.
O que faz um auditor de TI?
Um auditor de TI testa os controles de tecnologia, acesso, segurança e gerenciamento de mudanças em relação a estruturas reconhecidas, como COBIT e ISO 27001. Os cursos de governança de TI e ISO 27001 mencionados acima fornecem conhecimento dessas estruturas.
Com que frequência os auditores devem receber treinamento?
As entidades profissionais geralmente exigem educação continuada anualmente, portanto, planeje uma atualização pelo menos uma vez por ano. Verifique as normas da sua entidade certificadora quanto à carga horária exigida.
Este post contém informações gerais e não constitui aconselhamento jurídico. Para decisões relativas ao seu local de trabalho específico, consulte um advogado qualificado ou o órgão regulador.
