11門課程，每位內部稽核師和IT稽核師都應該掌握，才能自信地進行稽核。

上次審核日期為 2026 年 11 月 2 日，依據本文連結的來源。

演練過程進展順利，直到控制負責人詢問審計人員將測試哪些內容，而團隊中沒有人能夠解釋SOX控制如何與ISO 27001條款對應。註冊舞弊審查師協會（ACFE）發現： 內部審計發現了15%的詐欺行為。 在2026年的一項研究中，詐欺行為僅次於小費（43%），企業每年因詐欺損失的收入估計高達5%。審計人員只能發現他們知道該尋找的內容。

大多數內部稽核師培訓都圍繞著註冊內部稽核師 (CIA) 考試或 ISO 主任審核員證書。這份清單涵蓋了另一半內容：審計師需要掌握的控制、安全、詐欺和道德知識，以便順利通過測試。您將獲得 11 門現成的課程，分為 3 個組，每門課程都針對特定問題進行了改進，並說明瞭如何實施。每個組都以一個…結尾。 我們的選擇這些法律要點描述的是美國聯邦法規，因此請將其作為教學大綱，而不是判決書。

全部11門課程概覽

法律規定了組織的行為準則，但並不要求參加這些課程。

控制和框架

記錄保存和內部控制（SOX）

本課程涵蓋《薩班斯-奧克斯利法案》(SOX) 的立法緣由、第 302 條和第 404 條的具體要求、關鍵控制措施、記錄保存期限和法律保留規定，以及操縱行為的預警信號。美國證券交易委員會 (SEC) 薩班斯-奧克斯利法案專題頁面 （由於美國證券交易委員會網站封鎖了我們的伺服器，此處提供的是archive.org的副本）列出了其關於內部控制條款以及與審計和審查相關的記錄保存的規定。審計人員最常測試這些控制措施，因此他們需要了解控制所有者應該能夠證明哪些內容。課程最後以12題的最終檢查結束，其中關於在法律保留期間是否可以刪除記錄的選擇題環節是一個很好的實戰環節。

使用此模板

IT治理、企業架構與IT稽核架構：COBIT與TOGAF

COBIT 和 TOGAF 為 IT 審計人員提供了審計框架。這門 45 分鐘的課程解釋了 IT 治理的目標（價值、風險和資源）、治理目標與管理目標的區別、架構開發方法和成熟度模型，最後講解了 IT 審計的規劃以及如何向領導層匯報。使用成熟度等級練習，讓團隊對一個實際系統進行評級，然後將評級結果與評級標準進行比較。

使用此模板

ISO/IEC 27001 與資訊安全管理系統：每位員工都必須了解的內容

ISO 27001知識有助於審核員判斷管理系統應反映哪些內容。本課程針對員工，因此也適用於被審核人員：內容涵蓋資訊安全管理系統（ISMS）的定義、您的角色和規則、例外情況和薄弱環節等灰色地帶，以及如何與審核員溝通。建議將審核員和被審核人員安排在同一間教室進行培訓，然後詢問他們對於相同控制措施期望看到哪些證據。

使用此模板

安全法律、委員會、管理系統和審核

安全管理體系審核員需要了解法律職責和審核流程。這門40分鐘的課程涵蓋雇主、經理和員工的職責、聯合安全委員會、五步驟管理系統、內部檢查和審核，以及與監管機構的合作。不妨試試「發現並解決」檢查環節：展示一張工作場所的照片，讓團隊投票選出他們認為應該發現的問題。

使用此模板

我們的選擇：記錄保存和內部控制（SOX）。 控制測試和記錄保存是大多數審計計劃的核心，因此這是審計人員和控制所有者之間達成共識的最短途徑。

人工智慧、網路釣魚和詐欺風險

人工智慧在金融、審計和會計領域的應用：控制、準確性和問責制

人工智慧輔助財務審計人員需要測試準確性、控制措施和問責機制。本課程首先展示人工智慧產生的評論，該評論虛構了一個驅動因素並誤導了董事會，然後講解人工智慧的優勢和不足之處、人工智慧輔助結算和報告的四個控制步驟、職責分離以及審計證據。課程還探討了諸如重複供應商和公開上傳等灰色地帶。最後，課程會佈置一項分類任務，要求學員判斷哪些財務任務可以安全地交給人工智慧處理，哪些則不宜。

使用此模板

網路釣魚與社會工程

審計人員由於能夠接觸系統和審計結果而成為攻擊目標。這門30分鐘的課程將追溯商業電子郵件入侵的步驟，涵蓋電子郵件、簡訊、語音、二維碼和人工智慧深度偽造等方面的危險信號，並教授如何透過獨立管道驗證請求。課程最後包含一個12題的最終檢查。首先執行一個詞雲：「你最近收到的可疑請求是什麼？」 如需更輕鬆的每週後續跟進，請參閱我們的指南。 網路釣魚脈衝檢查 Slack.

使用此模板

社會工程、詐欺和深度偽造：電話詐騙、支付詐騙和身分冒用詐騙

支付詐欺和身分冒用案件經常出現在審計結果中，因此審計人員需要了解相關情境。本課程首先講解如何以令人信服的方式索取新的銀行帳戶信息，然後介紹各種詐騙手法、如何核實資金來源、偽造的聲音和視頻，以及人們為何會出於資歷、禮貌和保密而配合。 「你會怎麼做？」這個情景非常適合作為選擇答案的投票練習。

使用此模板

我們的選擇：社交工程、詐欺和深度偽造。 審計人員會審查支付控制措施，而本課程將展示如何透過禮貌的電話繞過控制措施，而這正是測試計劃應該涵蓋的內容。

倫理、獨立性與資訊處理

行為守則

審計人員與其他人員一樣，都必須遵守相同的行為準則，其中客觀性和保密性尤其重要。本課程明確闡述了一項標準：誠信的重要性、準則背後的關鍵政策、四題的決策測驗、灰色地帶以及如何表達異議。課程中將以匿名開放式投影片的形式，向學員展示一個灰色地帶案例，並將答案與相關政策進行比較。

使用此模板

利益衝突

獨立性和利益衝突是審計師信譽的核心。這門25分鐘的課程定義了實際利益衝突、潛在利益衝突和感知到的利益衝突，列舉了常見的利益衝突類型（財務利益衝突、家庭利益衝突、外部工作利益衝突、禮品利益衝突、公司利益衝突），講解了「先揭露後決策」的原則，並示範如何完成利益衝突揭露。提出一個選擇題：審計師的表親在被審計單位工作。應該揭露利益衝突、退出審計還是繼續審計？

使用此模板

反賄賂和反腐敗法 (FCPA)

審計人員需要了解反賄賂的預警訊號，以便在實地工作中發現它們。美國司法部表示， 《反海外腐敗法》的反賄賂條款 禁止向外國官員支付賄賂，其會計條款要求相關公司保存準確的帳簿和記錄，並維持完善的內部會計控制體系。本課程涵蓋以上兩點，以及禮品、差旅、招待及第三方交易風險提示。

使用此模板

資料分類與處理

審計人員處理敏感證據，必須對其進行正確分類和分享。這門25分鐘的課程涵蓋分類等級、如何按等級標記、儲存、共享和處置資料、處理不當的警告訊號以及如何報告錯誤分類。在案例練習環節，請學員將一份工作底稿範本、一份管理建議書草稿和一份員工名單進行分類。

使用此模板

我們的選擇：利益衝突。 審計師的調查結果只有與其獨立性成正比，而這是保護其獨立性的最快路徑。

如何實施該計劃

首先要學習那些依據美國聯邦法規制定、適用於團隊所有成員的課程（例如薩班斯-奧克斯利法案和反賄賂法案），以及入職培訓中的行為準則和利益衝突相關內容。這些課程是其他一切的基礎，ACFE 的數據也說明了審計師為何需要這些課程： 內部審計發現了15%的詐欺行為團隊本身的知識決定了哪些問題會被解決。

1. 入職培訓時： 行為準則、利益衝突、資料分類和網路釣魚。
2. 第一季內： SOX、反賄賂和 ISO 27001 課程，針對測試安全控制的審計員。
3. 每年： 在年末結算前，對行為規範和詐欺課程以及冒充詐騙課程進行複習測驗。
4. 角色特定深度： 面向 IT 審計人員的 COBIT 和 TOGAF 課程、測試報告人員的金融人工智慧課程以及營運審計人員的安全法律課程。

新增您所在國家/地區的法規，並諮詢您的法務團隊哪些法規適用。如果您同時領導審計團隊，請參閱我們的指南。 主管領導力培訓 涵蓋了該角色的這一方面。

開展這些課程的方法 AhaSlides

你可以利用以下任何一項功能，將這些內容建構成自訂進度的課程： AhaSlides 課程創建者可以將其作為直播課程簡報運行，或者兩者兼而有之，並在課程結束後進行調查，並在 30 天後進行回訪，以了解發生了哪些變化。

1. 選擇答案： 詢問在法律保留期間是否可以刪除記錄，或者當審計員的表親在被審計單位工作時該怎麼辦。
2. 詞云： 詢問「你收到的最後一個可疑請求是什麼？」字號最大的字詞表示應該先防範哪些騙局。
3. 評分標準： 讓團隊根據 COBIT 成熟度等級對實際系統進行評級，然後進行比較。
4. 開放式： 收集關於行為灰色地帶案件的匿名答案，讓人們說說他們會怎麼做。

常見問題

內部稽核人員需要接受哪些訓練？

內部稽核人員需要掌握稽核方法論、控制框架（例如 COSO 或 COBIT）、反詐欺意識和專業道德。以上課程涵蓋了後三點，而認證課程通常假定學員已經掌握這些內容。

內部稽核員應該獲得什麼認證？

大多數內部稽核師會選擇註冊內部稽核師 (CIA) 認證，而 IT 稽核師通常也會考取註冊資訊系統稽核師 (CISA) 認證。請務必向頒布證機構查詢最新要求，因為這些課程不計入任何一項考試的學分。

IT審計員是做什麼的？

IT審計員會根據COBIT和ISO 27001等公認的框架，對技術控制、存取、安全和變更管理進行測試。上述IT治理和ISO 27001課程提供了這些框架的知識。

審計人員應該多久接受一次訓練？

專業機構通常要求每年進行繼續教育，因此至少每年安排一次複習課程。請查看您所在認證機構的規定，以了解其要求的學時。

本文僅提供一般信息，不構成法律建議。如需就您所在工作場所的相關事宜做出決定，請諮詢合格律師或監管機構。