İç Denetim: Risk Odaklı Denetimi Adım Adım Yürütmek

İç denetim neyi amaçlar?

İç denetim, kurumun yönetim kuruluna ve üst yönetimine; risk yönetimi, iç kontrol ve yönetişim süreçlerinin ne kadar etkin çalıştığı konusunda bağımsız ve nesnel güvence veren, aynı zamanda iyileştirme önerileri sunan bir faaliyettir. Dış denetimden farkı, yalnızca finansal tablolara odaklanmaması ve kurumun içinden, kurumun hedeflerine hizmet etmek için çalışmasıdır.

Uluslararası mesleki çerçeveyi İç Denetçiler Enstitüsü (The Institute of Internal Auditors, IIA) belirler. IIA'nın Uluslararası Mesleki Uygulama Çerçevesi (IPPF) içinde yer alan Küresel İç Denetim Standartları (Global Internal Audit Standards), iç denetim fonksiyonlarının uyması beklenen zorunlu bileşendir; dürüstlük, nesnellik, yetkinlik, bağımsız konumlanma, görev planlaması ve sonuçların iletilmesi gibi ilkeleri kapsar. Kurumlarda iç denetimin yeri ise çoğunlukla IIA'nın Üç Hat Modeli ile anlatılır: süreç sahipleri riskleri günlük olarak yönetir, risk ve uyum fonksiyonları destek ve gözetim sağlar, iç denetim bağımsız güvence verir.

Risk odaklı denetim planı nasıl hazırlanır?

Hiçbir denetim ekibi her şeyi her yıl denetleyemez. Bu yüzden iç denetim, kurumun denetlenebilir alanlarını (süreçler, birimler, sistemler, projeler) listeleyen bir denetim evreniyle başlar. Ardından her alan risk açısından puanlanır.

Risk puanlamasında yaygın ölçütler şunlardır: • Finansal büyüklük ve işlem hacmi. • Sürecin karmaşıklığı ve elle yapılan işlem yoğunluğu. • Son denetimden bu yana geçen süre ve önceki bulgular. • Organizasyon, sistem ya da mevzuat değişiklikleri. • Suistimal riski ve yönetimin dile getirdiği endişeler.

Yüksek riskli alanlar plana öncelikli alınır. Plan, üst yönetim ve denetim komitesiyle görüşülerek onaylanır; yıl içinde risk görünümü değişirse güncellenir. Planlama kararlarının gerekçesini yazılı tutmak, hem standartlara uyumu hem de denetim kalite değerlendirmelerini kolaylaştırır.

Bir denetim görevinin adımları

Plana alınan her alan için ayrı bir denetim görevi yürütülür. Görev genellikle şu sırayla ilerler:

• Ön araştırma: Süreç akışı, politika ve prosedürler, ilgili mevzuat, önceki denetim raporları ve temel veriler incelenir. Süreç sahibiyle açılış toplantısı yapılır.
• Risk ve kontrol matrisi: Süreçteki her adım için "ne ters gidebilir" sorusu sorulur ve bu riski karşılaması beklenen kontroller eşleştirilir.
• Denetim programı: Her kontrol için hangi testin yapılacağı, hangi örneklemin seçileceği ve hangi kanıtın toplanacağı yazılır.
• Saha çalışması: Kontrollerin tasarımı (doğru kurgulanmış mı) ve işleyişi (gerçekten uygulanıyor mu) test edilir. Görüşme, gözlem, belge incelemesi, yeniden hesaplama ve veri analizi kullanılır.
• Çalışma kâğıtları: Her test, başka bir denetçinin aynı sonuca ulaşabileceği açıklıkta belgelenir.
• Kapanış toplantısı: Bulgular süreç sahibiyle doğrulanır, aksiyon planları ve tarihler konuşulur.

Bulgu nasıl yazılır?

İyi bir denetim bulgusu okuyanı ikna eder ve harekete geçirir. Yaygın kullanılan yapı beş öğeden oluşur:

• Durum: Ne tespit edildi? Somut ve kanıta dayalı.
• Ölçüt: Olması gereken neydi? Politika, prosedür, mevzuat ya da iyi uygulama.
• Neden: Fark neden oluştu? Kök neden bulunmadan yazılan öneri, belirtiyi tedavi eder.
• Etki: Bu durum kuruma hangi riski ya da maliyeti yaratıyor?
• Öneri: Kök nedeni gideren, uygulanabilir ve sahibi belli bir aksiyon.

Bulgular risk düzeyine göre derecelendirilir ve rapor, yönetimin en önemli konuları ilk sayfada görebileceği şekilde düzenlenir. Raporda suçlayıcı değil, süreç odaklı bir dil kullanmak, yönetimin bulguyu sahiplenmesini kolaylaştırır.

Somut örnek: Satın alma sürecinin denetimi

Bir üretim şirketinin iç denetim ekibi, risk puanı yüksek çıkan satın alma sürecini denetliyor. Risk ve kontrol matrisinde öne çıkan riskler şunlar: onaysız tedarikçiye ödeme yapılması, siparişin bölünerek onay limitinin aşılması ve teslim alınmamış mal için fatura ödenmesi.

Ekip, satın alma ve ödeme verilerini dışa aktararak veri analizi yapıyor. Aynı tedarikçiye kısa aralıklarla verilen ve her biri onay limitinin hemen altında kalan siparişleri, tedarikçi ana verisinde çalışanlarla aynı banka hesabını paylaşan kayıtları ve sipariş, teslim alma ve fatura belgesi eşleşmeyen ödemeleri listeliyor. Ardından bu listelerden örneklem seçip belgeleri tek tek inceliyor.

İnceleme, sipariş bölme vakalarının belirli bir kategoride yoğunlaştığını ve sistemin aynı tedarikçiye yapılan toplam harcamayı izlemediğini gösteriyor. Bulgu, kök neden olarak sistem kontrol eksikliğini işaret ediyor; öneri ise kümülatif harcama uyarısının sisteme eklenmesi ve ilgili kategori için onay akışının gözden geçirilmesi oluyor. Aksiyonun sahibi ve tarihi kapanış toplantısında netleşiyor.

Sık yapılan hatalar

İç denetimin etkisini zayıflatan hatalar çoğunlukla planlama ve iletişim tarafındadır:

• Her yıl aynı alanları alışkanlıkla denetlemek: Plan risk değişimini yansıtmalıdır.
• Yalnız kontrol tasarımına bakmak: Kâğıt üzerinde iyi görünen kontrol uygulamada çalışmıyor olabilir.
• Kök nedeni bulmadan öneri yazmak.
• Bulguları ilk kez raporda paylaşmak: Süreç sahibi sürprizle karşılaşınca savunmaya geçer.
• Aksiyon takibini ihmal etmek: Kapanmayan bulgular, denetimin değerini düşürür.
• Veri analizini kullanmamak: Yalnızca küçük örneklemle çalışmak, tüm popülasyondaki anormallikleri gözden kaçırır.

Öğrenme yolu ve Mindset programındaki karşılığı

Başlangıçta iç kontrol kavramları, süreç okuma ve çalışma kâğıdı disiplini kazanılır. Orta düzeyde risk ve kontrol matrisi kurmak, test tasarlamak ve bulgu yazmak beklenir. İleri düzeyde risk odaklı yıllık plan, veri analitiğiyle denetim, bilgi teknolojileri denetimi ve suistimal incelemeleri öne çıkar. Excel ve veri analizi becerisi her aşamada belirgin bir avantajdır.

Mindset'in İç Denetçilik Sertifika Programı; IIA standartları, etik kurallar ve denetim yönetmeliği, iç kontrol sistemi ve COSO çerçevesi, risk temelli denetim planlaması, kanıt toplama, örnekleme ve çalışma kâğıtları, denetim bulguları ve raporlama, aksiyon takibi, suistimal denetimi ve bilgi teknolojileri denetimi ile veri analitiği modüllerini içerir.