Senast granskad 2 november 2026 mot källorna som länkas i det här inlägget.
Genomgången går bra tills kontrollägaren frågar vad revisorn ska testa, och ingen i teamet kan säga hur SOX-kontrollen överensstämmer med ISO 27001-klausulen. Association of Certified Fraud Examiners (ACFE) fann att Internrevisionen upptäckte 15 % av bedrägerierna i sin studie från 2026, näst efter dricks (43 %), och att organisationer förlorar uppskattningsvis 5 % av intäkterna på grund av bedrägerier varje år. Revisorer hittar bara det de vet att leta efter.
De flesta internrevisorsutbildningar handlar om examen för certifierad internrevisor eller ISO-certifikat för huvudrevisorer. Den här listan täcker den andra halvan: de kunskaper om kontroller, säkerhet, bedrägerier och etik som revisorer behöver för att kunna testa väl. Du får 11 färdiga kurser i 3 grupper, vad varje grupp åtgärdar och hur man implementerar dem. Varje grupp avslutas med en Vår pickDe juridiska punkterna beskriver amerikanska federala regler, så använd detta som en kursplan, inte ett beslut.
Alla 11 kurser i överblick
| Kurs | Vad det täcker | Längd | Amerikansk federal regel bakom det? |
|---|---|---|---|
| Arkivering och intern kontroll (SOX) | Lagring av register, viktiga kontroller och varningssignaler för manipulation | 35 min | Ja (amerikansk federal regel) |
| IT-styrnings- och revisionsramverk (COBIT och TOGAF) | COBIT, TOGAF, mognadsmodeller och planering av en IT-revision | 45 min | Nej |
| ISO/IEC 27001 och ISMS | Vad ett ISMS är och hur man pratar med en revisor | 40 min | Nej |
| Säkerhetslagstiftning, kommittéer, ledningssystem och revisioner | Säkerhetsuppgifter, ledningssystem, inspektioner och revisioner | 40 min | Nej |
| AI inom finans, revision och redovisning | Kontrollsteg för AI-assisterad stängning och rapportering | 40 min | Nej |
| Nätfiske och social ingenjörskonst | Upptäcka och rapportera nätfiske och komprometterade företags-e-postmeddelanden | 30 min | Nej |
| Social ingenjörskonst, bedrägerier och djupförfalskningar | Betalnings-, telefon- och identitetsbedrägerier, inklusive deepfakes | 35 min | Nej |
| Uppförandekod | Integritet, gråzoner och att säga ifrån | 35 min | Nej |
| Intressekonflikter | Att avslöja faktiska, potentiella och upplevda konflikter | 25 min | Nej |
| Anti-mutbekämpning och korruption (FCPA) | Bestämmelser mot mutor och redovisning, varningssignaler | 40 min | Ja (amerikansk federal regel) |
| Dataklassificering och hantering | Klassificering, märkning och delning av data efter nivå | 25 min | Nej |
Lagarna anger regler för hur organisationer beter sig. De kräver inga av dessa kurser.
Kontroller och ramverk
Arkivering och intern kontroll (SOX)
Den här kursen behandlar varför Sarbanes-Oxley Act (SOX) existerar och vad avsnitt 302 och 404 kräver, sedan viktiga kontroller, schemat för lagring av register och lagstadgade reservationer, samt varningssignaler för manipulation. SEC:s Sarbanes-Oxley-sida i rampljuset (kopia till archive.org, eftersom SEC-webbplatsen blockerar våra servrar) listar sina regler för interna kontrollbestämmelser och för lagring av register som är relevanta för revisioner och granskningar. Revisorer testar dessa kontroller oftast, så de behöver veta vad en kontrollägare ska kunna visa. Kursen avslutas med en slutkontroll med 12 frågor, och en "Välj svar"-runda om huruvida en post kan raderas under en juridisk spärr är ett bra tillfälle att göra det.
IT-styrning, företagsarkitektur och ramverk för IT-revision: COBIT och TOGAF
COBIT och TOGAF ger IT-revisorer de ramverk de granskar mot. Denna 45-minuterskurs förklarar målen för IT-styrning (värde, risk och resurser), skillnaden mellan styrnings- och ledningsmål, arkitekturutvecklingsmetoden och mognadsmodeller, och avslutas sedan med att planera en IT-revision och rapportera till ledningen. Använd mognadsnivåövningen för att be teamet att betygsätta ett verkligt system och jämför sedan betyg med en betygsskala.
ISO/IEC 27001 och informationssäkerhetsledningssystemet: vad alla anställda måste veta
Kunskap om ISO 27001 hjälper revisorer att bedöma vad ett ledningssystem bör visa. Kursen är skriven för anställda, så den fungerar bra även för de personer som granskas: vad ett ledningssystem (ISMS) är, din roll och reglerna, gråzoner som undantag och svagheter, och en lektion om att prata med en revisor. Kör den med båda sidor i ett rum och fråga sedan revisorer och granskade personer vilka bevis de förväntar sig för samma kontroll.
Säkerhetslagstiftning, kommittéer, ledningssystem och revisioner
Revisorer av säkerhetsledningssystem behöver de juridiska skyldigheterna och revisionsprocessen. Denna 40-minuterskurs täcker arbetsgivares, chefers och arbetstagares skyldigheter, gemensamma säkerhetskommittéer, ett ledningssystem i fem steg, interna inspektioner och revisioner samt samarbete med tillsynsmyndigheten. Prova inspektionsomgången "Hitta och åtgärda": visa ett foto av en arbetsplats och låt teamet rösta om vad de skulle ta upp som ett fynd.
Vårt val: Arkivering och intern kontroll (SOX). Kontrolltestning och dokumentation står i centrum för de flesta revisionsplaner, så detta är den kortaste vägen till ett gemensamt språk mellan revisorer och kontrollägare.
Risk för AI, nätfiske och bedrägerier
AI inom finans, revision och redovisning: kontroller, noggrannhet och ansvarsskyldighet
Revisorer av AI-assisterad finansiering behöver testa noggrannhet, kontroller och ansvarsskyldighet. Kursen inleds med AI-utformade kommentarer som uppfinner en drivkraft och vilseleder en styrelse, och behandlar sedan var AI hjälper och misslyckas, fyra kontrollsteg för AI-assisterad avslutning och rapportering, arbetsuppdelning och bevis för revision. Den arbetar också igenom gråzoner som duplicerade leverantörer och offentliga uppladdningar. En sorteringsuppgift frågar vilka finansuppgifter som är säkra att lämna över till AI och vilka som inte är det.
Nätfiske och social ingenjörskonst
Granskare är måltavlor på grund av deras tillgång till system och resultat. Den här 30-minuterskursen spårar stegen i en komprometterad affärs-e-post, täcker varningssignaler för e-post, SMS, röst, QR-koder och AI-djupförfalskningar, och lär ut hur man verifierar en begäran via en oberoende kanal. Den avslutas med en slutkontroll med 12 frågor. Kör först ett ordmoln: "Vilken var den senaste misstänkta begäran du fick?" För en lättare veckovis uppföljning, se vår guide till phishing pulse checkar in Slack.
Social ingenjörskonst, bedrägerier och djupförfalskningar: telefon-, betalnings- och personifieringsbedrägerier
Fall av betalningsbedrägerier och identitetsstölder dyker upp i revisionsresultat, så revisorer behöver känna till scenarierna. Den här kursen börjar med en övertygande begäran om nya bankuppgifter och täcker sedan taktiken, hur man verifierar pengarna, förfalskade röster och video, och varför människor följer kraven på senioritet, artighet och sekretess. Scenariot "Vad skulle du göra?" fungerar bra som en röst för att välja svar.
Vårt val: Social manipulation, bedrägerier och djupförfalskningar. Revisorer granskar betalningskontroller, och den här kursen visar hur en kontroll överträffas med ett artigt telefonsamtal, vilket är precis vad en testplan bör täcka.
Etik, oberoende och informationshantering
Uppförandekod
Revisorer är bundna till samma kod som alla andra, med objektivitet och sekretess som högsta prioritet. Kursen ger en tydlig standard: varför integritet är viktig, de viktigaste policyerna bakom koden, ett beslutstest med fyra frågor, gråzoner och hur man säger ifrån. Presentera ett gråzonsfall i rummet som en anonym öppen bild och jämför svaren med policyn.
Intressekonflikter
Oberoende och intressekonflikter är centrala för revisorers trovärdighet. Denna 25-minuterskurs definierar faktiska, potentiella och upplevda konflikter, listar de vanligaste typerna (ekonomiska, familjemässiga, externa, gåvor, företagsmöjligheter), lär ut "rapportera, sedan besluta" och går igenom hur man fyller i en konfliktrapport. Ställ en "Välj svar"-fråga: en revisors kusin arbetar för den granskade personen. Rapportera, ta ett steg tillbaka eller fortsätta?
Anti-mutbekämpning och korruption (FCPA)
Revisorer behöver känna till varningssignaler mot mutor för att kunna upptäcka dem i fältarbetet. Det amerikanska justitiedepartementet säger att FCPA:s bestämmelser mot mutor förbjuder korrupta betalningar till utländska tjänstemän, och att dess redovisningsbestämmelser kräver att berörda företag för korrekt bokföring och register och upprätthåller ett adekvat system för intern redovisningskontroll. Denna kurs täcker både gåvor, resor, gästfrihet och varningssignaler från tredje part.
Dataklassificering och hantering
Revisorer hanterar känsliga bevis och måste klassificera och dela dem korrekt. Denna 25-minuterskurs behandlar klassificeringsnivåer, hur man märker, lagrar, delar och kasserar data per nivå, varningssignaler för felaktig hantering och hur man rapporterar en felklassificering. I övningsrundan, be deltagarna att klassificera ett exempel på arbetspapper, ett utkast till ledningsbrev och en personallista.
Vårt val: Intressekonflikter. En revisors resultat är bara så bra som deras oberoende, och detta är den kortaste vägen som skyddar det.
Hur man implementerar planen
Börja med kurserna som baseras på en amerikansk federal regel och gäller alla i teamet (SOX och anti-mutor), plus uppförandekoden och intressekonflikter vid onboarding. De är grunden för allt annat, och ACFE-data visar varför revisorer behöver dem: med internrevision upptäcker 15 % av bedrägerierna, lagets egen kunskap avgör vad som blir fångad.
- Vid onboarding: uppförandekod, intressekonflikter, dataklassificering och nätfiske.
- Inom första kvartalet: SOX, anti-mutskydd och ISO 27001-kursen för revisorer som testar säkerhetskontroller.
- Varje år: ett repetitionsquiz om kurserna i uppförande och bedrägeri och kursen i bedrägerier genom identitetsutövning före årsslutet.
- Rollspecifikt djup: COBIT och TOGAF för IT-revisorer, AI inom finanskursen för de som testar rapportering och säkerhetsrättskursen för operativa revisorer.
Lägg till ditt eget lands regler där dina team arbetar och fråga ditt juridiska team vad som gäller. Om du också leder revisionsteamet, vår guide till ledarskapsutbildning för handledare täcker den sidan av rollen.
Sätt att genomföra dessa kurser AhaSlides
Du kan bygga vilken som helst av dessa som en kurs i egen takt med AhaSlides kursskaparen, kör dem som en live-sessionsuppsättning, eller båda, med en enkät efter kursen och en 30-dagars avstämning för att se vad som har ändrats.
- Välj svar: fråga om en post kan raderas under en juridisk spärr, eller vad man ska göra när en revisors kusin arbetar för den granskade personen.
- Word Cloud: fråga "Vilken var den senaste misstänkta förfrågan du fick?" De största orden visar vilka bedrägerier som ska täckas först.
- Betygsskala: Låt teamet bedöma ett verkligt system mot COBIT-mognadsnivåerna och sedan jämföra.
- Öppet slut: samla in anonyma svar på ett gråzonsfall i ett beteende, så att folk säger vad de skulle göra.
FAQ
Vilken utbildning behöver internrevisorer?
Internrevisorer behöver revisionsmetodik, kontrollramverk som COSO eller COBIT, bedrägerimedvetenhet och etik. Kurserna ovan täcker de tre sista, vilka certifieringskurser ofta förutsätter att du redan känner till.
Vilken certifiering bör en internrevisor ha?
De flesta internrevisorer väljer Certified Internal Auditor (CIA), och IT-revisorer lägger ofta till Certified Information Systems Auditor (CISA). Kontrollera den utfärdande instansen för aktuella krav, eftersom dessa kurser inte räknas mot någon av proven.
Vad gör en IT-revisor?
En IT-revisor testar teknikkontroller, åtkomst, säkerhet och förändringshantering mot erkända ramverk som COBIT och ISO 27001. Kurserna i IT-styrning och ISO 27001 ovan ger kunskap om det ramverket.
Hur ofta bör revisorer utbildas?
Yrkesorganisationer kräver vanligtvis fortbildning varje år, så planera en repetitionsutbildning minst en gång per år. Kontrollera ditt eget certifieringsorgans regler för de timmar som förväntas.
Det här inlägget är av allmän information, inte juridisk rådgivning. För ett beslut som rör din egen arbetsplats, tala med en kvalificerad jurist eller tillsynsmyndigheten.
