Последнее обновление данных: 2 ноября 2026 г., с учетом источников, ссылки на которые приведены в этом посте.
Проверка проходит хорошо, пока ответственный за контроль не спрашивает, что именно будет проверять аудитор, и никто в команде не может сказать, как контроль SOX соотносится с пунктом ISO 27001. Ассоциация сертифицированных экспертов по борьбе с мошенничеством (ACFE) обнаружила, что Внутренний аудит выявил 15% случаев мошенничества. Согласно исследованию 2026 года, мошенничество занимает второе место после наводнений (43%), а организации ежегодно теряют около 5% выручки из-за мошенничества. Аудиторы обнаруживают только то, что умеют искать.
Большинство программ подготовки внутренних аудиторов ориентированы на экзамен на получение сертификата Certified Internal Auditor или сертификата ведущего аудитора ISO. Этот список охватывает вторую половину: знания в области контроля, безопасности, предотвращения мошенничества и этики, необходимые аудиторам для успешной сдачи экзамена. Вы получаете 11 готовых курсов, разделенных на 3 группы, с описанием того, что каждая из них исправляет, и способами их внедрения. Каждая группа завершается обзором. Наш выборПриведенные правовые аспекты описывают федеральные правила США, поэтому используйте это как краткое изложение, а не как постановление.
Все 11 курса с первого взгляда
| "Курс" | Что это покрывает | Длина | В основе этого лежит федеральное правило США? |
|---|---|---|---|
| Хранение документации и внутренний контроль (SOX) | Хранение записей, ключевые средства контроля и признаки манипуляций. | 35 мин | Да (федеральное правило США) |
| Системы управления ИТ и аудита (COBIT и TOGAF) | COBIT, TOGAF, модели зрелости и планирование ИТ-аудита | 45 мин | Нет |
| ISO/IEC 27001 и система управления информационной безопасностью (СУИБ) | Что такое система управления информационной безопасностью и как общаться с аудитором. | 40 мин | Нет |
| Законодательство в области безопасности, комитеты, системы управления и аудиты. | Обязанности по технике безопасности, системы управления, проверки и аудиты. | 40 мин | Нет |
| Искусственный интеллект в финансах, аудите и бухгалтерском учете | Этапы контроля для закрытия отчетного периода и составления отчетов с помощью ИИ. | 40 мин | Нет |
| Фишинг и социальная инженерия | Выявление и сообщение о фишинге и компрометации корпоративной электронной почты. | 30 мин | Нет |
| Социальная инженерия, мошенничество и дипфейки | Мошенничество с платежами, телефонные мошенничества и мошенничество с использованием поддельных данных, включая дипфейки. | 35 мин | Нет |
| Нормы поведения | Честность, спорные моменты и умение высказывать свое мнение | 35 мин | Нет |
| Конфликты интересов | Раскрытие информации о фактических, потенциальных и предполагаемых конфликтах интересов. | 25 мин | Нет |
| Борьба с взяточничеством и коррупцией (FCPA) | Положения о борьбе с коррупцией и бухгалтерском учете, тревожные сигналы | 40 мин | Да (федеральное правило США) |
| Классификация и обработка данных | Классификация, маркировка и обмен данными по уровням. | 25 мин | Нет |
Законы устанавливают правила поведения для организаций. Прохождение каких-либо из этих курсов не является обязательным.
Контрольные механизмы и структуры
Хранение документации и внутренний контроль (SOX)
Этот курс рассматривает причины существования Закона Сарбейнса-Оксли (SOX) и требования разделов 302 и 404, затем ключевые меры контроля, график хранения записей и юридические ограничения, а также признаки манипуляций. SEC Страница, посвященная закону Сарбейнса-Оксли. (копия с archive.org, так как сайт SEC блокирует наши серверы) содержит правила внутреннего контроля и хранения записей, имеющих отношение к аудиту и проверкам. Аудиторы чаще всего проверяют эти средства контроля, поэтому им необходимо знать, что должен продемонстрировать владелец контроля. Курс завершается итоговой проверкой из 12 вопросов, а раунд «Выбери ответ» на вопрос о том, можно ли удалить запись во время юридического запрета, станет хорошим моментом для демонстрации вживую.
Системы управления ИТ, корпоративной архитектуры и аудита ИТ: COBIT и TOGAF.
COBIT и TOGAF предоставляют ИТ-аудиторам рамки, на основе которых они проводят аудит. Этот 45-минутный курс объясняет цели управления ИТ (ценность, риски и ресурсы), разницу между целями управления и менеджмента, метод разработки архитектуры и модели зрелости, а затем завершается планированием ИТ-аудита и составлением отчета для руководства. Используйте упражнение по уровням зрелости, чтобы попросить команду оценить реальную систему, а затем сравните оценки с помощью рейтинговой шкалы.
ISO/IEC 27001 и система управления информационной безопасностью: что должен знать каждый сотрудник.
Знание стандарта ISO 27001 помогает аудиторам оценить, что должна демонстрировать система менеджмента. Курс разработан для сотрудников, поэтому он хорошо подходит и для проверяемых лиц: что такое система менеджмента информационной безопасности, ваша роль и правила, спорные моменты, такие как исключения и слабые места, а также урок о том, как общаться с аудитором. Проведите курс в одном помещении с обеими сторонами, а затем спросите аудиторов и проверяемых, какие доказательства они ожидают увидеть для одного и того же контроля.
Законодательство в области безопасности, комитеты, системы управления и аудиты.
Аудиторам систем управления безопасностью необходимы знания о юридических обязанностях и процессе аудита. Этот 40-минутный курс охватывает обязанности работодателя, менеджера и работника, совместные комитеты по безопасности, пятиступенчатую систему управления, внутренние проверки и аудиты, а также взаимодействие с регулирующим органом. Попробуйте пройти раунд проверки «Найти и исправить»: покажите фотографию рабочего места и позвольте команде проголосовать за то, какие замечания они бы выделили.
Наш выбор: Хранение документации и внутренний контроль (SOX). Проверка контрольных механизмов и ведение документации лежат в основе большинства планов аудита, поэтому это кратчайший путь к общему языку между аудиторами и ответственными за контроль.
Искусственный интеллект, фишинг и мошенничество — риски
Искусственный интеллект в финансах, аудите и бухгалтерском учете: контроль, точность и подотчетность.
Аудиторам, работающим с финансовыми инструментами, созданными с помощью ИИ, необходимо проверять точность, контроль и подотчетность. Этот курс начинается с анализа комментариев, составленных ИИ, которые выдумывают причину проблемы и вводят в заблуждение совет директоров, затем рассматриваются области, где ИИ помогает, а где терпит неудачу, четыре этапа контроля для закрытия отчетного периода и составления отчетов с помощью ИИ, разделение обязанностей и доказательства для аудита. Он также рассматривает спорные моменты, такие как дублирование поставщиков и публичные загрузки. В задании на сортировку задается вопрос, какие финансовые задачи безопасно передавать ИИ, а какие нет.
Фишинг и социальная инженерия
Аудиторы становятся мишенью из-за доступа к системам и полученной информации. Этот 30-минутный курс описывает этапы взлома корпоративной электронной почты, рассматривает признаки подозрительной активности в электронной почте, SMS, голосовой связи, QR-кодах и дипфейках, созданных с помощью ИИ, а также учит проверять подлинность запроса через независимый канал. Завершается курс итоговой проверкой из 12 вопросов. Сначала создайте облако слов: «Какой последний подозрительный запрос вы получили?» Для более простого еженедельного контроля ознакомьтесь с нашим руководством по... проверки на фишинговый импульс Slack.
Социальная инженерия, мошенничество и дипфейки: телефонные, платежные и мошеннические схемы с использованием поддельных данных.
Случаи мошенничества с платежами и подделки личных данных выявляются в ходе аудита, поэтому аудиторам необходимо знать сценарии подобных ситуаций. Этот курс начинается с убедительного запроса на предоставление новых банковских реквизитов, затем рассматривает тактику, способы проверки подлинности денег, поддельные голоса и видеозаписи, а также причины, по которым люди подчиняются требованиям старшинства, вежливости и секретности. Сценарий «Что бы вы сделали?» хорошо подходит для голосования «Выбери ответ».
Наш выбор: социальная инженерия, мошенничество и дипфейки. Аудиторы проверяют системы контроля платежей, и этот курс показывает, как можно обойти систему контроля с помощью вежливого телефонного звонка, что как раз и должно быть предусмотрено планом тестирования.
Этика, независимость и обработка информации.
Нормы поведения
К аудиторам предъявляются те же требования, что и ко всем остальным, при этом объективность и конфиденциальность стоят на первом месте. Курс дает один четкий стандарт: почему важна добросовестность, основные положения кодекса, тест из четырех вопросов для принятия решения, спорные моменты и как высказывать свое мнение. Предложите аудитории анонимный вопрос с открытым ответом по спорному вопросу и сравните ответы с требованиями кодекса.
Конфликты интересов
Независимость и конфликты интересов имеют центральное значение для доверия к аудитору. Этот 25-минутный курс дает определение фактическим, потенциальным и предполагаемым конфликтам, перечисляет распространенные типы (финансовые, семейные, внешняя работа, подарки, корпоративные возможности), учит принципу «сначала раскрой, потом прими решение» и пошагово объясняет, как заполнить форму раскрытия информации о конфликте интересов. Вопрос для рубрики «Задайте вопрос эксперту»: двоюродный брат аудитора работает на проверяемую компанию. Раскрыть информацию, отстраниться или продолжить работу?
Борьба с взяточничеством и коррупцией (FCPA)
Аудиторам необходимо знать признаки коррупции, чтобы выявлять их в ходе полевых работ. Министерство юстиции США заявляет, что Положения Закона о борьбе с коррупцией за рубежом (FCPA) о противодействии взяточничеству Запрещается осуществлять коррупционные платежи иностранным должностным лицам, а положения бухгалтерского учета обязывают компании, подпадающие под действие данного закона, вести точную бухгалтерскую отчетность и поддерживать надлежащую систему внутреннего бухгалтерского контроля. Этот курс охватывает оба аспекта, а также подарки, поездки, представительские расходы и факторы, указывающие на нарушения со стороны третьих лиц.
Классификация и обработка данных
Аудиторы работают с конфиденциальными доказательствами и должны правильно их классифицировать и передавать. Этот 25-минутный курс охватывает уровни классификации, способы маркировки, хранения, передачи и уничтожения данных по уровням, признаки неправильного обращения и порядок сообщения о неверной классификации. В практическом задании участникам предлагается классифицировать образец рабочего документа, черновик письма руководству и список сотрудников.
Наш выбор: конфликт интересов. Достоверность аудиторских заключений зависит от их независимости, и это кратчайший путь к её защите.
Как реализовать план
Начните с курсов, основанных на федеральных правилах США и применимых ко всем членам команды (SOX и борьба с коррупцией), а также кодекса поведения и правил предотвращения конфликтов интересов при приеме на работу. Они являются основой для всего остального, и данные ACFE показывают, почему аудиторам они необходимы: Внутренний аудит выявил 15% случаев мошенничества.Знания самой команды определяют, что будет поймано.
- При приеме на работу: Кодекс этики, конфликты интересов, классификация данных и фишинг.
- В течение первого квартала: Закон Сарбейнса-Оксли (SOX), борьба с коррупцией и курс ISO 27001 для аудиторов, проверяющих средства контроля безопасности.
- Каждый год: Перед окончанием года будет проведен повторный тест по курсам «Правоведение и мошенничество», а также по курсу «Мошенничество с использованием чужих данных».
- Глубина специализации: Курсы COBIT и TOGAF для ИТ-аудиторов, курс по искусственному интеллекту в финансах для тех, кто тестирует отчетность, и курс по законодательству в области безопасности для операционных аудиторов.
Добавьте правила вашей страны, где работают ваши команды, и уточните у юристов, какие правила применяются. Если вы также возглавляете аудиторскую группу, воспользуйтесь нашим руководством. Тренинг по лидерству для руководителей охватывает эту сторону роли.
Способы проведения этих курсов на AhaSlides
Любой из этих курсов можно создать в удобном для вас темпе. AhaSlides С помощью конструктора курсов их можно проводить в формате интерактивных сессий или и то, и другое, с последующим опросом и проверкой результатов через 30 дней, чтобы увидеть, что изменилось.
- Выберите ответ: Спросите, можно ли удалить запись во время действия юридического запрета на доступ к данным, или что делать, если двоюродный брат аудитора работает в проверяемой организации.
- Облако слов: Спросите: «Какой последний подозрительный запрос вы получили?» Самые длинные слова указывают на то, какие мошеннические схемы следует рассматривать в первую очередь.
- Шкала оценок: Предложите команде оценить реальную систему по уровням зрелости COBIT, а затем сравнить результаты.
- Вопрос открытого типа: собрать анонимные ответы по делу, находящемуся в «серой зоне» в плане поведения, чтобы люди рассказали, как бы они поступили в подобной ситуации.
FAQ
Какая подготовка необходима внутренним аудиторам?
Внутренним аудиторам необходимы знания методологии аудита, систем контроля, таких как COSO или COBIT, осведомленность о мошенничестве и этические нормы. Курсы, упомянутые выше, охватывают последние три аспекта, которые, как часто предполагается, вы уже знаете на сертификационных курсах.
Какую сертификацию должен получить внутренний аудитор?
Большинство внутренних аудиторов выбирают сертификат Certified Internal Auditor (CIA), а ИТ-аудиторы часто добавляют к нему сертификат Certified Information Systems Auditor (CISA). Уточните текущие требования у организации, выдавшей сертификат, поскольку эти курсы не засчитываются ни при сдаче одного из этих экзаменов.
Что делает ИТ-аудитор?
ИТ-аудитор проверяет средства контроля технологий, доступ, безопасность и управление изменениями на соответствие признанным стандартам, таким как COBIT и ISO 27001. Курсы по управлению ИТ и ISO 27001, упомянутые выше, предоставляют знания в этой области.
Как часто аудиторам следует проходить обучение?
Как правило, профессиональные организации требуют ежегодного повышения квалификации, поэтому планируйте проходить курсы повышения квалификации хотя бы раз в год. Уточните требования вашей сертификационной организации относительно количества часов обучения.
Данная публикация содержит общую информацию, а не юридическую консультацию. Для принятия решения относительно вашего рабочего места обратитесь к квалифицированному юристу или в регулирующий орган.
