Denetimde örnekleme: yöntem seçimi, örnek büyüklüğü ve sonuç değerlendirme

Neden örnekleme yapılır?

Bir denetimde incelenecek işlem sayısı çoğu zaman çok yüksektir: yüzlerce fatura, binlerce harcama, sayısız erişim kaydı. Hepsine bakmak hem maliyetli hem de gereksizdir. Örnekleme, tümün bir kısmını inceleyip bulguları tüm kümeye genelleme yöntemidir. Burada amaç tek bir kalemdeki hatayı yakalamak değil, kontrolün genel olarak çalışıp çalışmadığına ya da kümenin genel olarak doğru olup olmadığına dair makul güvence üretmektir.

Örnekleme her denetim prosedüründe kullanılmaz. Kontrol bir kez ve bir sistem tarafından yapılıyorsa, tek bir deneme yeterli olabilir. Küçük bir ana kümede ya da çok yüksek riskli, istisna niteliğindeki kalemlerde tümünü incelemek daha doğrudur. Örnekleme, çok sayıda benzer işlemin olduğu ve işlemlerin tekrar eden bir kontrolden geçtiği durumlarda anlamlıdır.

Örneklemenin kaçınılmaz bir sınırı vardır: örnek tümü tam olarak temsil etmeyebilir. Bu ihtimale örnek riski denir. Denetçi örneklemeyi tasarlarken bu riski kabul edilebilir düzeyde tutmaya çalışır, ama sıfıra indiremez. Bu nedenle örnekleme sonucu "hata yoktur" değil, "makul güvenle hata kabul edilebilir düzeyin altındadır" şeklinde ifade edilir.

İstatistiksel ve istatistiksel olmayan örnekleme

İstatistiksel örneklemede iki özellik bulunur: örnek rastgele seçilir ve sonuçlar olasılık kuramıyla değerlendirilir. Bu, örnek riskinin ölçülmesini ve sonucun belirli bir güven düzeyiyle ifade edilmesini sağlar. İstatistiksel olmayan örneklemede ise seçim denetçinin yargısına dayanır ve sonucu ölçüye dökmek mümkün değildir; yine de doğru tasarlanırsa makul güvence verebilir.

Her ikisi de geçerli yaklaşımlardır ve seçim, denetimin amacına ve kaynaklara bağlıdır. İstatistiksel yöntem, yüksek güvence gerektiğinde, ana küme büyük ve homojen olduğunda ve sonucun nesnel biçimde savunulması önemli olduğunda tercih edilir. Yargısal yöntem ise küçük kümelerde, belirli riskli kalemlerin bilinçli olarak seçilmesi gerektiğinde ve ek yük istenmediğinde işe yarar.

Önemli nokta şudur: yargısal örnek, "kolay ulaşılan" kalemlerin alınması anlamına gelmemelidir. Denetçi riski bilinçli olarak temsil eden kalemleri seçmeli ve neden seçtiğini yazmalıdır. Gelişigüzel, yani bilinçsiz ve nedensiz örnek, temsil etmediği için kaçınılması gereken bir yoldur.

Örnek büyüklüğünü ne belirler?

Örnek büyüklüğü sabit bir sayı değil, birkaç etkene bağlı bir karardır. Birinci etken istenen güvence düzeyidir. Denetçi sonuçtan ne kadar emin olmak istiyor? Güvence ne kadar yüksek olacaksa örnek o kadar büyür. İkinci etken kabul edilebilir hatadır. Kabul edilebilir hata düzeyi düştükçe, yani denetçi küçük hataları bile yakalamak istedikçe, örnek büyür.

Üçüncü etken beklenen hatadır. Önceki denetimlerden ya da ön incelemeden ana kümede hata olduğu biliniyorsa, hatanın kabul edilebilir düzeyden küçük olduğunu göstermek için daha çok kanıt gerekir. Dördüncü etken ana kümenin büyüklüğüdür; ama büyük kümelerde bu etkenin örnek büyüklüğüne etkisi azalır ve küçük kümelerde belirgindir. Beşinci etken ana kümenin çeşitliliğidir: kalemler birbirinden çok farklıysa, katmanlama ile ayrı gruplar halinde örnekleme gerekir.

Kuruluşlar çoğu zaman bu etkenlere göre hazırlanmış, kurum politikasında ya da denetim kılavuzunda yer alan örnek büyüklüğü tablolarını kullanır. Bu tablolar tutarlılık sağlar. Kendi tablonuzu hazırlıyorsanız yöntemini ve gerekçesini belgeleyin. Burada sabit sayılar verilmez; çünkü uygun büyüklük kurumun risk iştahına, denetim standardına ve kontrolün niteliğine göre değişir.

Örneği seçmek: yöntemler

Rastgele seçimde her kalemin seçilme şansı eşittir; kalemler numaralandırılır ve rastgele sayı üretecinden ya da yazılımdan seçim yapılır. Sistematik seçimde ana küme sıralanır, rastgele bir başlangıç noktası alınır ve belirli aralıkla kalem seçilir. Aralık, ana küme büyüklüğünün örnek büyüklüğüne bölünmesiyle bulunur. Sıralamada bir düzen varsa, örneğin her ayın sonunda yoğun işlem varsa, sistematik seçim yanıltabilir.

Parasal birim örneklemesinde ise tek tek kalemler değil, ana kümedeki her parasal birim seçim birimi sayılır; bu yüzden tutarı büyük kalemlerin seçilme olasılığı yüksektir. Hata tutarlarının büyük olabileceği, örneğin tutarı fazla tahmin etme riskinin bulunduğu denetimlerde yaygındır. Katmanlı örneklemede ise ana küme, tutar ya da risk gibi bir özelliğe göre gruplara bölünür ve her gruptan ayrı örnek alınır; büyük kalemlerin tamamı incelenebilir, küçüklerden örnek alınır.

Yargısal seçimde ise denetçi riskli, olağan dışı ya da tutarlı kalemleri bilinçli seçer. Sonuç tüm kümeye genellenmez; yalnızca seçilen kalemler hakkında kesin bilgi verir. Bu nedenle risk odaklı hedef seçim ile genelleme amaçlı örnekleme çoğu zaman yan yana kullanılır.

Örnekleme prosedürü: uçtan uca akış

Yöntemi seçmek, örneklemenin yalnızca bir adımıdır. Süreç denetim amacının netleşmesiyle başlar: hangi kontrol ya da hangi hesap sınanıyor, hata neyi ifade ediyor? Bunun ardından ana küme tanımlanır ve eksiksizliği kontrol edilir; ana küme eksikse örnek, olmayan kalemlerle ilgili hiçbir şey söylemez.

Sonra yöntem ve örnek büyüklüğü belirlenir, örnek seçilir ve seçilen kalemlere prosedür uygulanır. Hatalar kaydedilir ve değerlendirilir; sonuçta varılan kanaat çalışma kağıdına bağlanır. Her adımın gerekçesi belgelenir.

Hataları değerlendirmek ve sonuca varmak

Örnekte hata bulunduğunda ilk iş, hatanın gerçekten hata olup olmadığını ve nedenini anlamaktır. Her sapma aynı ağırlıkta değildir: bir kez yaşanmış, nedeni açık bir insan hatası ile süreçte sistematik olan bir hata farklı sonuçlara yol açar. Hatanın nedeni araştırılır; tekrarlanan bir neden varsa ana kümede başka kalemleri de etkilemiş olabilir.

İstatistiksel örneklemede örnekteki hata, tümüne projeksiyon yapılarak değerlendirilir ve sonucun kabul edilebilir hata düzeyiyle karşılaştırılması mümkündür. İstatistiksel olmayan örneklemede de mantık benzerdir: örnekteki hata oranı tüm kümeye yansıtılır ve denetçi bunu kabul edilebilir düzeyin altında mı üstünde mi yorumlar. Bu yorumun gerekçesi yazılır.

Sonuç olumsuzsa seçenekler vardır: örneği genişletmek, ek prosedürlerle hatanın boyutunu araştırmak, kontrolün etkin olmadığı sonucuna varıp bulgu yazmak ya da yönetimden ana kümeyi gözden geçirmesini istemek. Bulgu, örneklemenin sonucudur; ama örnek riski nedeniyle "tüm kümede şu kadar hata var" demek yerine, "kontrolün güvenilir olmadığına dair kanıt vardır" gibi ölçülü bir ifade kullanılır.

Örnek senaryo: harcama onaylarının sınanması

İç denetçi, satın alma harcamalarında onay kontrolünün çalışıp çalışmadığını sınamak istiyor. Amaç: yetki sınırını aşan harcamalar, gerekli üst onay olmadan yapılmış mı? Hata: üst onay eksik ya da yetkisiz kişi tarafından verilmiş.

Ana küme, denetim dönemindeki tüm satın alma siparişleridir. Denetçi önce listenin eksiksiz olduğunu sistem kayıtlarıyla karşılaştırır. Çok sayıda benzer sipariş olduğu ve kontrolün her siparişte tekrar ettiği için istatistiksel olmayan ama risk odaklı bir tasarım seçer. Yetki sınırına çok yakın tutarlı siparişleri, olağan dışı satıcıları ve dönem sonu işlemlerini hedef seçer; kalan kümeden de rastgele bir örnek alır.

Örnekte birkaç siparişte onay eksik çıkar. Denetçi nedenini araştırır: eksik onayların hepsi aynı birimde ve belirli bir yönetici izindeyken yapılmış. Hata sistematik bir nedene bağlanır; denetçi o birimdeki siparişlerin tamamını ek olarak inceler ve bulguyu kök nedenle yazar. Çalışma kağıdında yöntem, seçim gerekçesi, hata nedeni ve genişletilen inceleme kayıtlıdır.

Sık hatalar

İlk hata, ana kümenin eksiksizliğini kontrol etmemektir. İkinci hata, örneği kolay ulaşılan kalemlerden seçmektir; örnek temsil etmez. Üçüncü hata, örnek büyüklüğünü gerekçesiz, alışkanlıkla belirlemektir.

Dördüncü hata, bulunan hatayı yalnızca düzelterek geçmektir. Hata, tümü için ne anlama geldiği değerlendirilmeden kapatılırsa, denetim sonucu dayanaksız kalır. Beşinci hata, sonucu fazla kesin ifade etmektir; örnek riski her zaman vardır. Altıncı hata, yargısal seçimi rastgele örnekmiş gibi tümüne genellemektir.

Son olarak, örneklemeyi kontrol türüne uyarlamayı unutmak sık görülür: sürekli tekrarlanan kontroller örnekleme ister, tek seferlik kontroller ise tek bir denemeyle sınanabilir. Sınanan şeye göre yöntem seçin.

Bu beceriyi Mindset programlarında nerede çalışırsınız

İç Denetçilik Sertifika Programı, Kontrol Testleri ve Öz Değerlendirme, Denetim Görevi Planlama ve Saha Çalışması ve Kanıt Toplama, Örnekleme ve Çalışma Kağıtları modüllerini bir arada sunar. İç denetime yeni başlayanlar ve kontrol testi yapan risk ve uyum çalışanları için uygundur.