11门课程，每位内部审计师和IT审计师都应该掌握，才能自信地进行审计。

上次审核日期为 2026 年 11 月 2 日，依据本文链接的来源。

流程演练进行得很顺利，直到控制负责人询问审计人员将测试哪些内容，而团队中无人能解释SOX控制与ISO 27001条款之间的对应关系。注册舞弊审查师协会（ACFE）在其2026年的研究中发现，内部审计发现了15%的舞弊行为，仅次于举报（43%），并且估计企业每年因舞弊损失约5%的收入。审计人员只能发现他们知道该寻找的东西。

大多数内部审计师培训都围绕注册内部审计师 (CIA) 考试或 ISO 主任审核员认证展开。这份清单涵盖了另一半内容：审计师需要掌握的控制、安全、欺诈和道德知识。您将获得 11 门现成的课程，分为 3 个组别，每门课程都针对特定问题进行了讲解，并说明了如何实施。每组课程最后都附有我们的推荐。法律要点描述的是美国联邦法规，因此请将其作为课程大纲，而非法律判例。

全部11门课程概览

法律规定了组织的行为准则，但并不要求参加这些课程。

控制和框架

记录保存和内部控制（SOX）

本课程涵盖《萨班斯-奥克斯利法案》(SOX) 的由来及其第 302 条和第 404 条的具体要求，以及关键控制措施、记录保存期限和法律保留，并指出操纵行为的危险信号。美国证券交易委员会 (SEC) 的萨班斯-奥克斯利法案专题页面（由于 SEC 网站屏蔽了我们的服务器，此处提供的是 archive.org 的副本）列出了其关于内部控制条款以及与审计和审查相关的记录保存的规定。审计人员最常测试这些控制措施，因此他们需要了解控制所有者应该能够证明哪些内容。课程最后包含 12 道题的最终检查，其中关于“在法律保留期间是否可以删除记录”的“选择答案”环节是一个很好的实战演练环节。

使用此模板

IT治理、企业架构和IT审计框架：COBIT和TOGAF

COBIT 和 TOGAF 为 IT 审计人员提供了审计框架。这门 45 分钟的课程解释了 IT 治理的目标（价值、风险和资源）、治理目标与管理目标的区别、架构开发方法和成熟度模型，最后讲解了 IT 审计的规划以及如何向领导层汇报。使用成熟度等级练习，让团队对一个实际系统进行评级，然后将评级结果与评级标准进行比较。

使用此模板

ISO/IEC 27001 和信息安全管理体系：每位员工都必须了解的内容

ISO 27001知识有助于审核员判断管理体系应体现哪些内容。本课程面向员工，因此也适用于被审核人员：内容涵盖信息安全管理体系（ISMS）的定义、您的角色和规则、例外情况和薄弱环节等灰色地带，以及如何与审核员沟通。建议将审核员和被审核人员安排在同一间教室进行培训，然后询问他们对于同一控制措施期望看到哪些证据。

使用此模板

安全法律、委员会、管理体系和审核

安全管理体系审核员需要了解法律职责和审核流程。这门40分钟的课程涵盖雇主、经理和员工的职责、联合安全委员会、五步管理体系、内部检查和审核，以及与监管机构的合作。不妨试试“发现并解决”检查环节：展示一张工作场所的照片，让团队投票选出他们认为应该发现的问题。

使用此模板

我们的推荐：记录保存和内部控制（SOX）。控制测试和记录保存是大多数审计计划的核心，因此这是审计人员和控制负责人之间达成共识的最快捷径。

人工智能、网络钓鱼和欺诈风险

人工智能在金融、审计和会计领域的应用：控制、准确性和问责制

人工智能辅助财务审计人员需要测试准确性、控制措施和问责机制。本课程首先展示人工智能生成的评论，该评论虚构了一个驱动因素并误导了董事会，然后讲解人工智能的优势和不足之处、人工智能辅助结算和报告的四个控制步骤、职责分离以及审计证据。课程还探讨了诸如重复供应商和公开上传等灰色地带。最后，课程会布置一项分类任务，要求学员判断哪些财务任务可以安全地交给人工智能处理，哪些则不宜。

使用此模板

网络钓鱼和社会工程

审计人员由于能够访问系统和获取审计结果而成为攻击目标。这门 30 分钟的课程将追溯商业电子邮件入侵的步骤，涵盖电子邮件、短信、语音、二维码和人工智能深度伪造等方面的危险信号，并教授如何通过独立渠道验证请求。课程最后包含 12 道题的最终检查。首先运行一个词云：“你最近收到的可疑请求是什么？” 如需更轻松的每周后续跟进，请参阅我们关于在 Slack 中进行网络钓鱼脉冲检查的指南。

使用此模板

社会工程、欺诈和深度伪造：电话诈骗、支付诈骗和身份冒用诈骗

支付欺诈和身份冒用案件经常出现在审计结果中，因此审计人员需要了解相关场景。本课程首先讲解如何以令人信服的方式索取新的银行账户信息，然后介绍各种诈骗手法、如何核实资金来源、伪造的声音和视频，以及人们为何会出于资历、礼貌和保密而配合。“你会怎么做？”这个情景非常适合作为选择答案的投票练习。

使用此模板

我们的推荐：社交工程、欺诈和深度伪造。审计人员会审查支付控制措施，本课程将展示如何通过礼貌的电话绕过控制措施，而这正是测试计划应该涵盖的内容。

伦理、独立性和信息处理

行为尊则

审计人员与其他人员一样，都必须遵守相同的行为准则，其中客观性和保密性尤为重要。本课程明确阐述了一项标准：诚信的重要性、准则背后的关键政策、四道题的决策测试、灰色地带以及如何表达异议。课程中会以匿名开放式幻灯片的形式，向学员展示一个灰色地带案例，并将答案与相关政策进行对比。

使用此模板

利益冲突

独立性和利益冲突是审计师信誉的核心。这门25分钟的课程定义了实际利益冲突、潜在利益冲突和感知到的利益冲突，列举了常见的利益冲突类型（财务利益冲突、家庭利益冲突、外部工作利益冲突、礼品利益冲突、公司利益冲突），讲解了“先披露后决策”的原则，并演示了如何完成利益冲突披露。提出一个选择题：审计师的表亲在被审计单位工作。应该披露利益冲突、退出审计还是继续审计？

使用此模板

反贿赂和反腐败法 (FCPA)

审计人员需要了解反贿赂风险信号，以便在实地工作中识别它们。美国司法部表示，《反海外腐败法》（FCPA）的反贿赂条款禁止向外国官员支付贿赂，其会计条款要求受该法管辖的公司保存准确的账簿和记录，并维持完善的内部会计控制体系。本课程涵盖以上两方面内容，以及礼品、差旅、招待和第三方交易等方面的风险信号。

使用此模板

数据分类与处理

审计人员处理敏感证据，必须对其进行正确分类和共享。这门25分钟的课程涵盖分类级别、如何按级别标记、存储、共享和处置数据、处理不当的警示信号以及如何报告错误分类。在案例练习环节，请学员对一份工作底稿样本、一份管理建议书草稿和一份员工名单进行分类。

使用此模板

我们的推荐：利益冲突。审计师的调查结果的可靠性取决于其独立性，而这是保护其独立性的最快捷径。

如何实施该计划

首先要学习那些依据美国联邦法规制定、适用于团队所有成员的课程（例如萨班斯-奥克斯利法案和反贿赂法规），以及入职培训中的行为准则和利益冲突相关内容。这些课程是其他一切的基础，ACFE 的数据也说明了审计人员为何需要这些课程：内部审计只能发现 15% 的欺诈行为，而团队自身的知识水平决定了哪些欺诈行为能够被发现。

1. 入职培训时： 行为准则、利益冲突、数据分类和网络钓鱼。
2. 第一季度内： SOX、反贿赂和 ISO 27001 课程，面向测试安全控制的审计员。
3. 每年： 在年末结算前，对行为规范和欺诈课程以及冒充诈骗课程进行复习测验。
4. 角色特定深度： 面向 IT 审计人员的 COBIT 和 TOGAF 课程、面向测试报告人员的金融人工智能课程以及面向运营审计人员的安全法律课程。

添加您所在国家/地区的法规，并咨询您的法务团队哪些法规适用。如果您同时领导审计团队，我们的主管领导力培训指南涵盖了这方面的内容。

在 AhaSlides 上运行这些课程的方法

你可以使用 AhaSlides 课程创建器将这些内容构建成自定进度的课程，也可以将其作为现场课程演示文稿运行，或者两者兼而有之，并在课程结束后进行调查，并在 30 天后进行回访，以了解发生了哪些变化。

1. 选择答案： 询问在法律保留期间是否可以删除记录，或者当审计员的表亲在被审计单位工作时该怎么办。
2. 词云： 询问“你收到的最后一个可疑请求是什么？” 字号最大的词语表明应该首先防范哪些骗局。
3. 评级量表： 让团队根据 COBIT 成熟度等级对实际系统进行评级，然后进行比较。
4. 开放式： 收集关于行为灰色地带案件的匿名答案，让人们说说他们会怎么做。

常见问题解答

内部审计人员需要接受哪些培训？

内部审计人员需要掌握审计方法论、控制框架（例如 COSO 或 COBIT）、反欺诈意识和职业道德。以上课程涵盖了后三点，而认证课程通常假定学员已经掌握这些内容。

内部审计员应该获得什么认证？

大多数内部审计师会选择注册内部审计师 (CIA) 认证，而 IT 审计师通常还会考取注册信息系统审计师 (CISA) 认证。请务必向颁证机构查询最新要求，因为这些课程不计入任何一项考试的学分。

IT审计师做什么的？

IT审计员会根据COBIT和ISO 27001等公认的框架，对技术控制、访问、安全和变更管理进行测试。上述IT治理和ISO 27001课程提供了这些框架的知识。

审计人员应该多久接受一次培训？

专业机构通常要求每年进行继续教育，因此至少每年安排一次复习课程。请查看您所在认证机构的规定，了解其要求的学时。

本文仅提供一般信息，不构成法律建议。如需就您所在工作场所的相关事宜做出决定，请咨询合格律师或监管机构。