İç Denetim ve Risk Yönetimi Ekipleri İçin Kurumsal Eğitim

Bu ekiplerde yetkinlik ihtiyacı nereden doğar?

İç denetim ve risk yönetimi aynı çatı altında anılsa da iki ayrı bakışı temsil eder. İç denetim bağımsız güvence verir; risk yönetimi ve iç kontrol ise riskleri tanımlayıp ölçer, kontrolleri tasarlamaya yardım eder. Yetkinlik ihtiyacı da bu farktan doğar: denetçi kanıt, örnekleme ve raporlama becerisine, risk uzmanı ise ölçüm, gösterge ve kontrol tasarımı becerisine ağırlık verir.

Son dönemde iki ekibi birden zorlayan üç baskı öne çıkıyor: verinin denetim ve izlemeye dahil edilmesi beklentisi, bilgi teknolojileri kontrollerinin denetlenmesi gereği ve suistimal olaylarına hazırlık. Bu üç alan geleneksel denetim eğitiminin dışında kalabiliyor.

Rol bazlı gelişim alanları

• Yeni iç denetçi: denetimin temelleri, standartlar ve etik kurallar, iç kontrol çerçeveleri, çalışma kâğıdı hazırlama, kanıt toplama ve örnekleme.
• Kıdemli denetçi ve denetim yöneticisi: risk temelli denetim planlaması, görev planlama, bulgu yazımı ve raporlama, aksiyon takibi, kalite güvencesi.
• Veri ve analitik odaklı denetçi: veri elde etme ve hazırlama, anomali tespiti, denetim araçlarıyla analiz, sürekli denetim ve izleme.
• BT denetçisi: değişiklik yönetimi, mantıksal erişim, operasyon kontrolleri, bulut ve üçüncü taraf BT denetimi, bulgu raporlama.
• Operasyonel risk uzmanı: risk ve kontrol öz değerlendirmesi, kayıp olayı veri tabanı, temel risk göstergeleri, kontrol tasarımı.
• Suistimal ve uyum sorumlusu: suistimal türleri, soruşturma planlaması, delil toplama, mülakat teknikleri, rapor yazımı.
• Denetim komitesiyle çalışan yönetici: iç denetimin yönetişimle bütünleşmesi, kriz ve iş sürekliliği hazırlığı.

Hangi yetkinlik alanında hangi tür program uygun?

Denetimin temel yetkinlikleri (planlama, kanıt, bulgu yazımı) bir mesleğin zanaatıdır; sınıf anlatımı kadar çalışma kâğıdı örnekleri ve bulgu yazma pratiği gerekir. Burada çerçeveyi sertifika düzeyinde, baştan sona sunan programlar yeni ekip üyeleri için uygundur.

Veri analitiği ve BT denetimi ise araç ve uygulama ağırlıklıdır. Bu programlarda ekibin kendi verisine yakın bir senaryo üzerinde çalışılması, öğrenilenin denetim işine dönüşmesini hızlandırır. Analitik araç kararı da (örneğin hangi denetim aracının kullanılacağı) eğitimden önce belirlenmiş olmalıdır.

Operasyonel risk ve suistimal alanında ise vaka çalışması ve simülasyon belirleyicidir. Risk göstergesi tasarlamak ya da soruşturma mülakatı yürütmek, teoriden çok pratikle gelişir. Bu konularda küçük gruplar ve gerçekçi senaryolar tercih edilmelidir.

İç denetim ve risk ekibine özgü ihtiyaç analizi soruları

• Denetim planı risk değerlendirmesine mi dayanıyor, yoksa önceki yıl planının uzantısı mı?
• Bulgular iş birimi tarafından anlaşılır ve eyleme dönüştürülebilir biçimde yazılıyor mu?
• Örneklem seçimi yerine tüm veriyi tarayan analitik testler kullanılıyor mu?
• BT kontrollerini denetleyecek yetkinlik ekipte var mı, yoksa dışarıdan mı destekleniyor?
• Risk ve kontrol öz değerlendirmeleri iş birimlerinde sahipleniliyor mu, yoksa form doldurma işi mi?
• Risk göstergeleri eşik aşıldığında harekete geçen bir sürece bağlı mı?
• Suistimal şüphesi ilk kimin masasına düşüyor ve bu kişi soruşturma yöntemini biliyor mu?
• Denetim ve risk ekipleri aynı risk dilini kullanıyor mu?
• Aksiyon takibi kapanışa kadar sürüyor mu?

Bu soruların cevapları eğitim ihtiyacını beceri, araç ve yönetişim eksenlerine ayırır. Özellikle son iki madde, çoğunlukla bilgi eksikliği değil iş akışı eksikliğidir.

İlgili Mindset programları

Temel çerçeve için İç Denetçilik Sertifika Programı; iç denetimin temelleri, standartlar ve etik, iç kontrol ve COSO, risk temelli denetim planlaması, kanıt toplama ve çalışma kâğıtları, bulgu ve raporlama modüllerini içerir. İç Denetim ve Yönetişim programı ise veri analitiği ve dijital denetim, bulgu yönetimi ve yönetişim entegrasyonu üzerinde durur. Veri tarafı için Data Analytics for Audit programında IDEA, ACL ve Power BI gibi araçlar ve sürekli denetim programı kurma başlığı bulunur.

BT denetçileri için BT İç Denetim (ITGC) programı değişiklik yönetimi, mantıksal erişim ve operasyon kontrollerini; operasyonel risk için Operasyonel Risk Yönetimi programı RCSA, kayıp olayı veri tabanı ve risk göstergelerini ele alır. Suistimal Soruşturma Teknikleri, Etik, Uyum ve Suistimal Önleme ve Kriz Yönetimi ve İş Sürekliliği programları da katalogda yer alır.

Sık yapılan hatalar

Birincisi, denetim ve risk ekiplerini aynı eğitim paketine koymaktır. Güvence veren fonksiyon ile risk sahibi tarafı ortak bir dil kullanmalı, ancak aynı beceri setine sahip olmak zorunda değildir. İkincisi, veri analitiğini araç kurulumuyla eşitlemektir. Araç olsa bile veri alma yetkisi, veri kalitesi ve test tasarımı çözülmezse analitik denetime girmez.

Üçüncüsü, BT denetimi yetkinliğini yalnızca BT ekibinden devralmaktır. İç denetçilerin bilgi sistemleri kontrollerini denetim bakışıyla okuyabilmesi, BT ekibinden ayrı bir yetkinliktir ve bunun için ayrı bir öğrenme planı gerekir.

Talep hazırlığı

Eğitim talebinde ekibin denetim ve risk işlevlerinin ayrı mı birleşik mi olduğunu, öncelikli konunun veri analitiği mi, BT mi, operasyonel risk mi yoksa suistimal mi olduğunu belirtmeniz, program seçimini hızlandırır. Hâlihazırda kullanılan denetim yazılımını da not edin.