Остання перевірка 2 листопада 2026 року на відповідність джерелам, посилання на які наведено в цій публікації.
Покрокове керівництво йде добре, доки власник контролю не запитує, що перевірятиме аудитор, і ніхто в команді не може сказати, як контроль SOX відповідає пункту ISO 27001. Асоціація сертифікованих експертів з розслідування шахрайства (ACFE) виявила, що внутрішній аудит виявив 15% шахрайств у своєму дослідженні 2026 року поступається лише чайовим (43%), і що організації щороку втрачають приблизно 5% доходу через шахрайство. Аудитори знаходять лише те, що знають, що потрібно шукати.
Більшість навчання внутрішніх аудиторів стосується іспиту на сертифікацію внутрішнього аудитора або сертифікатів провідного аудитора ISO. Цей список охоплює іншу половину: знання з контролю, безпеки, шахрайства та етики, які аудитори повинні добре перевірити. Ви отримуєте 11 готових курсів, розділених на 3 групи, що виправляє кожен з них і як їх впроваджувати. Кожна група завершується... Наш вибірЮридичні питання описують федеральні правила США, тому використовуйте це як навчальну програму, а не як постанову.
Усі 11 курсів одним поглядом
| Курс | Що воно охоплює | довжина | Чи стоїть за цим федеральне правило США? |
|---|---|---|---|
| Зберігання записів та внутрішній контроль (SOX) | Зберігання записів, ключові засоби контролю та тривожні сигнали маніпуляції | 35 хв | Так (федеральне правило США) |
| Структури управління та аудиту ІТ (COBIT та TOGAF) | COBIT, TOGAF, моделі зрілості та планування ІТ-аудиту | 45 хв | Немає |
| ISO/IEC 27001 та СУІБ | Що таке СУІБ і як спілкуватися з аудитором | 40 хв | Немає |
| Законодавство про безпеку, комітети, системи управління та аудити | Обов'язки з безпеки, системи управління, інспекції та аудити | 40 хв | Немає |
| Штучний інтелект у фінансах, аудиті та бухгалтерському обліку | Кроки контролю для закриття та звітності за допомогою штучного інтелекту | 40 хв | Немає |
| Фішинг та соціальна інженерія | Виявлення та повідомлення про фішинг та компрометацію ділової електронної пошти | 30 хв | Немає |
| Соціальна інженерія, шахрайство та діпфейки | Платіжні, телефонні шахрайства та шахрайство під іншим ім'ям, включаючи діпфейки | 35 хв | Немає |
| Норми поведінки | Чесність, сірі зони та відкритість | 35 хв | Немає |
| Конфлікти інтересів | Розкриття фактичних, потенційних та уявних конфліктів | 25 хв | Немає |
| Боротьба з хабарництвом та корупцією (FCPA) | Положення про боротьбу з хабарництвом та бухгалтерський облік, тривожні сигнали | 40 хв | Так (федеральне правило США) |
| Класифікація та обробка даних | Класифікація, маркування та обмін даними за рівнями | 25 хв | Немає |
Закони встановлюють правила поведінки організацій. Вони не вимагають жодного з цих курсів.
Контролі та фреймворки
Зберігання записів та внутрішній контроль (SOX)
Цей курс охоплює причини існування Закону Сарбейнса-Окслі (SOX) та вимоги розділів 302 та 404, а також ключові засоби контролю, графік зберігання записів та юридичні заборони, а також тривожні сигнали маніпуляцій. Комісія з цінних паперів та бірж США Сторінка з ідеями Сарбейнса-Окслі (копія archive.org, оскільки сайт SEC блокує наші сервери) містить перелік своїх правил щодо положень внутрішнього контролю та зберігання записів, що стосуються аудитів та перевірок. Аудитори найчастіше перевіряють ці засоби контролю, тому їм потрібно знати, що повинен мати змогу продемонструвати власник контролю. Курс завершується фінальною перевіркою з 12 запитань, а раунд «Вибери відповідь» щодо того, чи можна видалити запис під час юридичного зберігання, є гарним моментом для живої презентації.
Управління ІТ, архітектура підприємства та структури ІТ-аудиту: COBIT та TOGAF
COBIT та TOGAF надають ІТ-аудиторам рамки, за якими вони проводять аудит. Цей 45-хвилинний курс пояснює цілі управління ІТ (цінність, ризик та ресурси), різницю між цілями управління та управління, метод розробки архітектури та моделі зрілості, а потім завершується плануванням ІТ-аудиту та звітуванням перед керівництвом. Використовуйте вправу на рівні зрілості, щоб попросити команду оцінити реальну систему, а потім порівняйте оцінки за шкалою оцінювання.
ISO/IEC 27001 та система управління інформаційною безпекою: що повинен знати кожен співробітник
Знання ISO 27001 допомагає аудиторам оцінити, що має показувати система управління. Курс розроблено для співробітників, тому він також добре підходить для людей, яких перевіряють: що таке СУІБ, ваша роль і правила, сірі зони, такі як винятки та слабкі місця, а також урок про спілкування з аудитором. Проведіть його з обома сторонами в одній кімнаті, а потім запитайте аудиторів та об'єктів аудиту, яких доказів вони очікують для того самого контролю.
Законодавство про безпеку, комітети, системи управління та аудити
Аудитори систем управління безпекою повинні мати юридичні обов'язки та пройти процес аудиту. Цей 40-хвилинний курс охоплює обов'язки роботодавця, керівника та працівника, спільні комітети з безпеки, систему управління у п'ять кроків, внутрішні перевірки та аудити, а також роботу з регулятором. Спробуйте раунд перевірки «Знайти та виправити»: покажіть фотографію робочого місця та дозвольте команді проголосувати за те, що вони б назвали висновком.
Наш вибір: Зберігання записів та внутрішній контроль (SOX). Тестування контролю та ведення обліку знаходяться в центрі більшості планів аудиту, тому це найкоротший шлях до спільної мови між аудиторами та відповідальними за контроль.
Штучний інтелект, фішинг та ризик шахрайства
Штучний інтелект у фінансах, аудиті та бухгалтерському обліку: контроль, точність та підзвітність
Аудитори фінансів за допомогою штучного інтелекту повинні перевіряти точність, засоби контролю та підзвітність. Цей курс починається з коментарів, розроблених штучним інтелектом, які вигадують рушійну силу та вводять раду директорів в оману, потім розглядає, де штучний інтелект допомагає, а де ні, чотири етапи контролю для закриття та звітності за допомогою штучного інтелекту, розподіл обов'язків та докази для аудиту. Він також охоплює сірі зони, такі як дублікати постачальників та публічні завантаження. Завдання сортування запитує, які фінансові завдання безпечно передавати штучному інтелекту, а які ні.
Фішинг та соціальна інженерія
Аудитори стають мішенями через їхній доступ до систем та висновків. Цей 30-хвилинний курс відстежує кроки компрометації ділової електронної пошти, охоплює тривожні сигнали в електронній пошті, SMS, голосовому зв'язку, QR-кодах та діпфейках зі штучним інтелектом, а також навчає перевіряти запит через незалежний канал. Він завершується остаточною перевіркою з 12 запитань. Спочатку пройдіть Хмару слів: «Який був останній підозрілий запит, який ви отримали?» Для легшого щотижневого контролю дивіться наш посібник перевірка фішингового імпульсу Slack.
Соціальна інженерія, шахрайство та діпфейки: телефонні, платіжні та імперсонаційні шахрайства
Випадки шахрайства з платежами та видавання себе за іншу особу фігурують у висновках аудиту, тому аудиторам потрібно знати ці сценарії. Цей курс починається з переконливого запиту на нові банківські реквізити, потім розглядає тактику, як перевірити гроші, підроблені голоси та відео, а також чому люди дотримуються старшинства, ввічливості та секретності. Сценарій «Що б ви зробили?» добре працює як голосування за принципом «Вибери відповідь».
Наш вибір: соціальна інженерія, шахрайство та діпфейки. Аудитори перевіряють засоби контролю платежів, і цей курс показує, як ввічливий телефонний дзвінок може допомогти уникнути перевірки, що саме має охоплювати план тестування.
Етика, незалежність та обробка інформації
Норми поведінки
Аудитори дотримуються того ж кодексу, що й усі інші, з об’єктивністю та конфіденційністю на першому місці. Курс дає один чіткий стандарт: чому важлива доброчесність, ключові політики, що лежать в основі кодексу, тест із чотирьох запитань, сірі зони та як висловлюватися. Помістіть кейс із сірих зон у аудиторію як анонімний слайд відкритого типу та порівняйте відповіді з політикою.
Конфлікти інтересів
Незалежність та конфлікт інтересів є ключовими факторами довіри до аудитора. Цей 25-хвилинний курс визначає фактичні, потенційні та уявні конфлікти інтересів, перелічує поширені типи (фінансові, сімейні, поза роботою, подарунки, корпоративні можливості), навчає принципу «спочатку розкрити, а потім прийняти рішення» та покроково пояснює, як заповнити розкриття конфлікту інтересів. Задайте питання з можливістю вибору відповіді: двоюрідний брат аудитора працює на об’єкт аудиту. Розкрити, відступити чи продовжити?
Боротьба з хабарництвом та корупцією (FCPA)
Аудитори повинні знати тривожні сигнали боротьби з хабарництвом, щоб розпізнавати їх у польових умовах. Міністерство юстиції США стверджує, що Положення FCPA щодо боротьби з хабарництвом забороняє корупційні платежі іноземним посадовцям, а також що положення про бухгалтерський облік вимагають від компаній, що охоплюються цим положенням, вести точний бухгалтерський облік і підтримувати належну систему внутрішнього бухгалтерського контролю. Цей курс охоплює обидва види діяльності, а також подарунки, подорожі, гостинність та тривожні сигнали третіх осіб.
Класифікація та обробка даних
Аудитори мають справу з конфіденційними доказами та повинні правильно їх класифікувати та поширювати. Цей 25-хвилинний курс охоплює рівні класифікації, як маркувати, зберігати, поширювати та утилізувати дані за рівнями, тривожні сигнали неправильного поводження та як повідомляти про неправильну класифікацію. У раунді практичних прикладів попросіть учнів класифікувати зразок робочого документа, чернетку листа керівництву та штатний розпис.
Наш вибір: Конфлікт інтересів. Висновки аудитора настільки ж достовірні, наскільки й його незалежність, і це найкоротший шлях для її захисту.
Як розгорнути план
Почніть з курсів, що базуються на федеральному правилі США та застосовуються до всіх членів команди (SOX та боротьба з хабарництвом), а також кодексу поведінки та конфлікту інтересів під час адаптації. Вони є основою для всього іншого, і дані ACFE показують, чому аудиторам вони потрібні: з внутрішній аудит виявляє 15% шахрайства, власні знання команди вирішують, що буде спіймано.
- Під час адаптації: кодекс поведінки, конфлікт інтересів, класифікація даних та фішинг.
- Протягом першого кварталу: SOX, боротьба з хабарництвом та курс ISO 27001 для аудиторів, які тестують засоби контролю безпеки.
- Щороку: повторний тест з курсів з поведінки та шахрайства, а також курс з шахрайства під чужим ім'ям до закриття року.
- Глибина, що відповідає ролі: COBIT та TOGAF для ІТ-аудиторів, курс зі штучного інтелекту у фінансах для тих, хто тестує звітність, та курс із законодавства про безпеку для операційних аудиторів.
Додайте правила вашої країни, де працюють ваші команди, і запитайте у своєї юридичної команди, що з них застосовується. Якщо ви також очолюєте аудиторську групу, наш посібник тренінги з лідерства для керівників охоплює цю сторону ролі.
Способи проведення цих курсів AhaSlides
Ви можете створити будь-який з них як курс у власному темпі за допомогою AhaSlides творець курсу, запускайте їх як презентацію сесій у реальному часі або і те, й інше, з опитуванням після курсу та 30-денною перевіркою, щоб побачити, що змінилося.
- Виберіть відповідь: запитайте, чи можна видалити запис під час юридичного зберігання, або що робити, коли двоюрідний брат аудитора працює на об'єкт аудиту.
- Хмара слів: запитайте: «Який був останній підозрілий запит, який ви отримали?» Найбільші слова показують, які шахрайства слід висвітлювати в першу чергу.
- Шкала рейтингу: Нехай команда оцінить реальну систему за рівнями зрілості COBIT, а потім порівняє.
- Відкритий кінець: збирати анонімні відповіді на питання щодо поведінки у «сірій зоні», щоб люди говорили, що б вони зробили.
FAQ
Яке навчання потрібне внутрішнім аудиторам?
Внутрішнім аудиторам потрібна методологія аудиту, системи контролю, такі як COSO або COBIT, знання про шахрайство та етика. Вищезазначені курси охоплюють останні три пункти, які, як правило, ви вже знаєте на сертифікаційних курсах.
Яку сертифікацію повинен отримати внутрішній аудитор?
Більшість внутрішніх аудиторів обирають курс сертифікованого внутрішнього аудитора (CIA), а ІТ-аудитори часто додають курс сертифікованого аудитора інформаційних систем (CISA). Перевірте актуальні вимоги в органі, що присуджує кваліфікацію, оскільки ці курси не враховуються для жодного з іспитів.
Чим займається ІТ-аудитор?
ІТ-аудитор тестує технологічні засоби контролю, доступ, безпеку та управління змінами відповідно до визнаних стандартів, таких як COBIT та ISO 27001. Вищезазначені курси з управління ІТ та ISO 27001 надають знання з цих стандартів.
Як часто аудитори повинні проходити навчання?
Професійні організації зазвичай вимагають підвищення кваліфікації щороку, тому плануйте підвищення кваліфікації принаймні щорічно. Перевірте правила вашого сертифікаційного органу щодо очікуваної кількості годин.
Ця публікація є загальною інформацією, а не юридичною порадою. Щоб прийняти рішення щодо вашого власного робочого місця, зверніться до кваліфікованого юриста або до регулятора.
