-1: İç denetim yönetmeliği · • bütçeleme ve yönetim muhasebesi, • personel...

Uygulama Önerisi 1000-1: İç Denetim Yönetmeliği

1. Resmî, yazılı bir iç denetim yönetmeliğinin bulunması, iç denetim faaliyetinin (biriminin)

yönetiminde kritik önemdedir. Yönetmelik, yönetimin gözden geçirme ve kabulü ile yönetim

kurulunun -toplantı tutanaklarında yer aldığı üzere- onayı için kabul görmüş bir metin sunar. Ayrıca, iç

denetim faaliyetinin amaç, yetki ve sorumluluklarının yeterliliğinin dönemsel olarak

değerlendirilmesini kolaylaştırır, iç denetim faaliyetinin rolünü belirler. Herhangi bir sorunun ortaya

çıkması hâlinde, yönetmelik, iç denetim faaliyeti hakkında üst yönetim ve yönetim kuruluna resmî ve

yazılı bir anlaşma işlevini de sağlar.

2. İç Denetim Yöneticisi, yönetmelikte açıklanan ve tanımlanan amaç, yetki ve sorumlulukların iç

denetim faaliyetinin hedeflerine ulaşması için yeterli olmaya devam edip etmediğini dönemsel olarak

değerlendirmekten sorumludur. Ayrıca, bu dönemsel değerlendirmenin sonuçlarını üst yönetime ve yönetim kuruluna bildirmekten sorumludur. * * *

Yayın: Ocak 2009

Uygulama Önerisi 1110-1:

Kurum İçi Bağımsızlık

1. Üst yönetim ve yönetim kurulunun desteği, iç denetim faaliyetine (birimine), denetlenenlerin

işbirliğini sağlayabilmeleri ve denetçilerin işlerini her türlü müdahaleden uzak bir şekilde

yapabilmeleri hususlarında yardımcı olur.

2. İç Denetim Yöneticisi, işlevsel (fonksiyonel) olarak yönetim kuruluna, idarî olarak kurumun genel

müdürüne (CEO'ya) raporlama yaparak kurum içi bağımsızlığı kolaylaştırır. İç denetim yöneticisi, en

azından, kurum içinde geniş bir denetim kapsamı ve alanı oluşturmak, görevle ilgili raporlamalara

yeterli ilginin gösterilmesini sağlamak ve görev sonucunda verilen tavsiyelere göre uygun tedbirlerin

alınmasını sağlamak konusunda yeterli yetkiye sahip bir kişiye raporlama yapmalıdır.

3. İşlevsel hiyerarşi (işlevsel raporlama) terimi yönetim kurulunun:

• iç denetim faaliyetinin yönetmeliğini onaylama, • iç denetimin risk değerlendirmelerini ve ilgili denetim planını onaylama,

• İç Denetim Yöneticisi ile yönetimin bulunmadığı özel toplantılar yapmak da dahil, iç denetim

faaliyetlerinin sonuçları hakkında ya da İç Denetim Yöneticisinin gerekli gördüğü başka konularda İç

Denetim Yöneticisinden raporlar alma,

• İç Denetim Yöneticisinin performans değerlemesi, tayini veya azliyle ilgili tüm kararları onaylama,

• İç denetim faaliyetinin sorumluluk ve görevlerini yerine getirmesine engel olan kapsam veya bütçe

kısıtlamaları olup olmadığını tespit etmek amacıyla, İç Denetim Yöneticisi ve yönetim nezdinde

uygun inceleme ve araştırmaları yapma yetkilerini içerir.

4. İdarî Hiyerarşi: İdarî hiyerarşi, kurumun yönetim yapısı içinde kurulan ve iç denetim biriminin

günlük iş ve işlemlerini kolaylaştıran hiyerarşik ilişkidir.

İdarî hiyerarşi normal olarak

* İç Denetim Yöneticisinin yıllık ücretini ve ücret ayarlamalarını onaylama,

• bütçeleme ve yönetim muhasebesi,

• personel değerlendirmeleri ve ücretleri de dahil insan kaynakları yönetimi

• iç haberleşme ve bilgi akışları,

• iç denetim faaliyetinin politikaları ve prosedürlerinin yönetimi

konularını kapsar.

Yayın: Ocak 2009


Yönetim Kurulu ile Etkileşim

1. Bu doğrudan iletişim, İç Denetim Yöneticisinin yönetim kurulunun denetim, mali raporlama,

kurumsal yönetişim ve kontrolle ilgili genel gözetim sorumluluklarına ilişkin toplantılarına düzenli

olarak katıldığı zaman gerçekleşir. İç Denetim Yöneticisinin bu toplantılara katılması, stratejik

planların, faaliyetlere ilişkin gelişmelerin değerlendirilmesini ve yüksek seviyedeki risklerin,

sistemlerin, prosedürlerin veya kontrol gibi meselelerin erken aşamalarda ele alınmasını sağlar.

Toplantılara katılım, ayrıca, iç denetim faaliyetinin (biriminin) planları ve çalışmaları hakkında bilgi

alışverişinde bulunma ve tarafların karşılıklı menfaatini ilgilendiren diğer hususlarda birbirlerini

bilgilendirme fırsatı sağlar.

2. Bu tarz iletişim ve etkileşim, ayrıca, İç Denetim Yöneticisinin yönetim kurulu ile özel olarak en az

yılda bir kez toplandığında da gerçekleşir.

Son Güncelleme: Ocak 2009


Bireysel Objektiflik

1. Bireysel objektiflik, iç denetçilerin görevlerini, iş sonucunda çıkan ürüne gerçekten ve dürüst bir

şekilde inanacakları ve bu ürünün kalitesinden önemli bir taviz vermeyecekleri bir şekilde yapmalarını

ve yürütmelerini gerektirir.

İç denetçiler, objektif hüküm verme kabiliyetlerini olumsuz etkileyebilecek durumlara girmemeli ve

itilmemelidir.

2. Bireysel objektiflik, İç Denetim Yöneticisinin, görevlendirmeleri potansiyel veya fiili menfaat

çatışmalarını ve önyargıları önleyecek şekilde düzenlemesini, iç denetim personelinden, muhtemel

çıkar çatışmaları ve önyargılar hakkında düzenli ve dönemsel olarak bilgi almasını ve -uygulanabilir

olması hâlinde iç denetçiler arasındaki görev dağılımını dönemsel rotasyona bağlamasını içerir.

3. Görev raporları yayınlanmadan önce, sonuçların gözden geçirilmesi, denetim işinin objektif bir

şekilde yapıldığından makul ölçüler içinde emin olmaya yardımcı olur.

4. İç denetçinin sistemler için kontrol standartları tavsiye etmesi ve uygulanmadan önce prosedürleri

gözden geçirmesi, objektifliğini olumsuz etkilemez. Fakat denetçinin sistem tasarlaması, kurması,

işletmesi ve bu sistemlerin prosedürlerini yazmasının objektifliğini bozacağı düşünülür.

5. İç denetçinin zaman zaman denetim dışı işler de yapması ve bunun, raporlama sürecinde tam ve

eksiksiz açıklanması, denetçinin bağımsızlığını zayıflatmaz. Ancak iç denetçinin objektifliğini

etkileyebilecek olumsuzlukları önlemek için, hem iç denetçinin hem de üst yönetimin dikkatli hareket

etmesi gerekir.

Yayın: Ocak 2009

Uygulama Önerisi 1130-1: Bağımsızlık veya

Objektifliğin Bozulması

1. İç denetçilerin, bağımsızlık ve objektifliği fiilî veya potansiyel olarak bozucu bir etkenin varlığına

dair makul gerekçelerin söz konusu olduğu veya bozucu olabilecek etkenlerin varlığına dair

şüphelerinin olduğu durumları, İç Denetim Yöneticisine bildirmeleri gerekir. İç Denetim Yöneticisi,

bozucu bir etkenin var olduğuna veya olabileceğine karar verirse, bu iç denetçilere başka görevler

vermesi gerekir.

2. Kapsam sınırlandırması, iç denetim faaliyetine getirilen ve faaliyetin hedef ve planlarını

gerçekleştirmesine engel olan bir kısıtlama anlamına gelir. Bir kapsam sınırlandırmasıyla birçok şey

yanında,

• İç denetim yönetmeliğinde tanımlanan yetki alanları,

• Görevlerin ifası için gereken kaynaklara, personele, demirbaşlara ve ilgili

mahallere erişim imkânı,

• Onaylanmış görev iş programı,

• Gereken görev prosedürlerinin uygulanması,

• Onaylanmış personel planı ve mali bütçe de kısıtlanabilir.

3. Bir kapsam sınırlandırmasının ve bu sınırlandırmanın muhtemel etkilerinin yönetim kuruluna,

tercihen yazılı olarak bildirilmesi gerekir. İç Denetim Yöneticisinin, daha önce yönetim kuruluna

bildirilmiş ve onun tarafından kabul edilmiş bulunan kapsam (yetki) sınırlandırmaları hakkında, bu

birimlere tekrar bilgi vermenin gerekli olup olmadığını değerlendirmesi gerekir. Bu, özellikle

kurumda, yönetim kurulu veya üst yönetimde değişiklik olduğunda veya başka değişiklikler

olduğunda gerekli olabilir.

4. İç denetçinin, personel, denetlenen, müşteri, tedarikçi veya işle ilgili başka kişilerden

objektifliğinin bozulması görüntüsü yaratabilecek şekilde ücret, hediye ve eğlence kabul etmemesi

gerekir. Aksi halde denetçinin objektifliğinin bozulduğu izlenimi o denetçinin hem yapmakta olduğu

hem de yapacağı görevlere gölge düşürebilir. Üstlenilen görevlerin özel şartları, ücret veya hediye

almayı haklı çıkartan bir etken olarak görülmemelidir. Genel olarak herkese verilen ve çok küçük bir

değere sahip olan (kalemler, ajandalar veya numuneler gibi) tanıtım malzemelerinin alınması da iç

denetçinin meslekî karar ve yargılarına engel olmamalıdır. İç denetçiler, kendilerine teklif edilen

bütün değeri yüksek para veya hediyeleri kendi âmirlerine derhal bildirmelidir.

Yayın: Ocak 2009 Uygulama

Önerisi 1130.A1-1:

Denetçilerin Daha Önceden Sorumlu Oldukları Faaliyetlere İlişlkin Değerlendirmeleri

1. İç denetim faaliyetine katılan ya da geçici olarak iç denetimle görevlendirilenler, an az bir yıl

geçmedikçe, daha önce kendilerinin yürüttüğü veya yönetim sorumluluğu aldıkları faaliyetleri

denetlemekle görevlendirilmemelidir. Aksi halde bu kişilerin objektifliğinin bozulacağı varsayılır; bu

sebeple o görevle ilgili denetimin gözetim ve kontrolünde ve görev

sonuçlarının raporlanmasında ilave özen ve dikkat gösterilmelidir.

* * *


Önerisi 1130.A2-1:

Diğer (Denetim Dışı) İşler Karşısında İç Denetçinin Sorumluluğu

1. İç denetçilerin, dönemsel iç denetim incelemeleri ve değerlendirmelerine tâbi olan denetim dışı

fonksiyon veya görevler için sorumluluk üstlenmeyi kabul etmemeleri gerekir. Bu tür bir sorumluluk

üstlenmişlerse artık iç denetçi olarak görev yapmıyorlar demektir.

2. Bir iç denetim birimi, İç Denetim Yöneticisi veya iç denetçi, iç denetim biriminin

denetleyebileceği bir operasyonel yükümlülükten sorumlu ise ya da kurum yönetimi ona böyle bir

görev vermeyi düşünüyorsa, iç denetçinin bağımsızlık ve objektifliği bozulabilir. İç Denetim

Yöneticisinin, bunun bağımsızlık ve objektiflik üzerindeki muhtemel etkilerini değerlendirirken, en

azından, aşağıdaki etkenleri dikkate alması gerekir:

• HA Uluslararası İç Denetim Standartları (Standartlar) ve Etik Kurallarının gerekleri,

• Hissedarlar, yönetim kurulu, denetim komitesi, kurum yönetimi, idarî merciler, kamu kuruluşları,

yasama organları ve toplumsal çıkar grupları gibi paydaşların beklentileri,

• İç denetim faaliyeti yönetmeliğinde verilen izinler ve/veya öngörülen kısıtlamalar,

• Standartların gerektirdiği açıklamalar,

• İç denetçinin üstlendiği görev veya faaliyetlerin daha sonraki denetim kapsamı.

• İlgili denetim dışı icraî görevin kurum açısından önemi (gelirler, giderler, itibar ve etki açılarından)

• Görevin uzunluğu veya süresi ve üstlenilen sorumluluğun kapsamı

• Görevler ayrılığının yeterliliği

• İç denetçinin objektifliğinin risk altında olabileceğine dair bir delil veya bir sicil kaydı olup olmadığı

3. İç denetim yönetmeliği, iç denetçiye denetim dışı görevlerin verilmesi konusunda belirli özel

kısıtlamalar içeriyor veya sınırlandırıcı bir dil kullanıyorsa, bu kısıtlamaların açıklanması ve üst

yönetimle tartışılması gerekir. Üst yönetim yine de bu görevlendirme üzerinde ısrar ediyorsa, konunun

açıklanması ve Yönetim Kurulu ile tartışılması gerekir. Yönetmelik bu konuda herhangi bir hüküm

içermiyorsa, aşağıdaki bentlerde verilen tavsiyelere uyulmalıdır. Aşağıdaki tavsiyeler, yönetmeliğin

lâfzına bağlı olarak değerlendirilmelidir.

4. İç denetim faaliyeti (birimi) operasyonel (icraî) sorumluluklar üstlendiğinde ve bu operasyonlar

denetim planına dahil edildiğinde, İç Denetim Yöneticisinin aşağıdakileri düşünmesi gerekir:

• İç Denetim Yöneticisine raporlayan alanların denetimlerinin tamamlanması için sözleşmeli olarak

üçüncü şahıs firmalar veya dış denetçiler kullanılarak objektifliğin bozulması tehlikesini asgariye

indirmek.

• İç Denetim Yöneticisine raporlayan alanlarla ilgili icraî sorumluluk üstlenen denetçilerin bu

faaliyetlerin denetimlerine katılmamasını sağlamak.

• İç Denetim Yöneticisine raporlayan alanlarla ilgili güvence hizmeti veren denetçilerin gözetimini

gerçekleştirmek ve değerlendirme sonuçlarını üst yönetim ve Yönetim Kuruluna raporlamak.

• Denetçinin denetim dışı faaliyetle ilgili icraî görev ve sorumluluklarını, söz konusu faaliyetin

kurum açısından önemini (gelirler, giderler veya ilgili diğer bilgiler açısından) ve o faaliyeti

denetleyenlerin ilişkisini açıklamak.

5. İç Denetim Yöneticisine raporlayan alanların denetim raporlarında ve denetçinin Yönetim

Kuruluyla standart iletişiminde, iç denetçinin icraî görev ve sorumluluklarının açıklanması gerekir.

Denetim sonuçları, üst yönetimle ve/veya ilgili uygun taraflarla tartışılabilir de. Bozucu etkenin

açıklanması, İç Denetim Yöneticisinin idari sorumluluk taşıdığı fonksiyonlara dair denetim

çalışmasının iç denetim faaliyeti dışındaki bir tarafça gözden geçirilmesi ihtiyacını ortadan kaldırmaz. • * * Yayın: Ocak 2009

Uygulama Önerisi 1200-1 Yeterlilik ve Azamî Meslekî Özen ve Dikkat

1. Yeterlilik ve azamî meslekî özen ve dikkat, İç Denetim Yöneticisinin ve her iç denetçinin kendi

sorumluluğudur. Öyle ki, İç Denetim Yöneticisi, her görev için görevlendirilen kişilerin hepsinin

görevi gerektiği gibi ve usulünce yapmak için gereken bilgi, beceri ve diğer vasıflara sahip olmasını

sağlamalıdır.

2. Azamî meslekî özen ve dikkat, Etik Kurallarına ve gerektiğinde iç denetçilerin sahip oldukları

diğer meslekî unvanların gerektirdiği davranış kuralları yanında kurumun davranış kurallarına da

uymayı gerektirir. IIA'nın Etik Kuralları, iç denetimin tanımının ötesinde iki önemli unsur daha

içermektedir:

a. İç denetim mesleği ve uygulamasıyla ilgili ilkeler: Dürüstlük, objektiflik, gizlilik ve yetkinlik.

b. İç denetçilerden beklenen davranış normlarını izah eden ve tanımlayan Davranış Kuralları.

Bu kurallar, ilkelerin fiilî uygulamalara dönüştürülmesinde kullanılabilecek bir araçtır ve iç denetçilerin etik davranışlarını yönlendirme amacına yöneliktir. * * * Yayın: Ocak 2009


Yeterlilik 1. Yukarıdaki standartta atfedilen bilgi, beceri ve diğer vasıflar aşağıdaki hususları içerir:

• Görevlerin ifası için, iç denetim standartları, prosedürleri ve tekniklerinin uygulanmasında meslekî

yeterlilik. Yeterlilik, geniş ve kapsamlı teknik araştırma ve yardımlardan istifade imkânı olmasa da,

mevcut bilgiyi karşılaşılması muhtemel durumlara uygulama ve bu tür durumlarla başa çıkabilme

yeteneği anlamına gelir.

• Görevi kapsamında mali kayıt ve raporlarla çok çalışan iç denetçilerin muhasebe ilkeleri ve

teknikleri hakkındaki yeterliliği.

• Suistimal belirtilerini teşhis etme bilgisi

• Teknolojik risk ve kontrollere dair anahtar bilgiler ve mevcut teknoloji tabanlı denetim teknikleri

bilgisi

• Örnek iş uygulamalarından sapmaların önemini ve etkilerini anlamak ve değerlendirmek için,

yönetim ilkelerinin anlaşılması. Yönetim ilkelerini anlamak, sahip olduğu geniş bilgiyi karşılaşılması

muhtemel durumlara uygulama, bunlardan önemli sapmaları fark etme ve makul çözümlere ulaşmak

için gereken araştırmaları yapabilme yeteneği anlamına gelir.

• Muhasebe, ekonomi, ticaret hukuku, vergilendirme, finans, kantitatif yöntemler, bilgi teknolojisi,

risk yönetimi ve suistimal gibi bilim dalları ve iş konularının temellerinin bilinmesi ve idrak edilmesi.

"İdrak", mevcut veya muhtemel sorunları fark etme ve bu konuda yapılması gereken ek araştırmaları

veya yardım alınması gereken konuları tespit etme yeteneği

anlamına gelir.

• İnsanlarla çalışma ve iletişim kurma, insan ilişkilerini anlama ve denetlenenlerle tatmin edici ilişkiler

kurabilme becerileri.

• Görevin hedefleri, değerlendirmeler, sonuçlar ve tavsiyeler gibi konuları açıkça, etkili bir şekilde

açıklayabilmek için gereken sözlü ve yazılı iletişim becerileri

2. İlgili işin kapsamını ve sorumlulukların düzeyini dikkate alarak, iç denetim kadrolarına atama

yapılmasında aranacak olan uygun eğitim ve tecrübe kıstasları, İç Denetim Yöneticisi tarafından tespit

edilir. İç Denetim Yöneticisi, her müstakbel denetçinin meslekî vasıflarının ve yeterliliğine dair makul

bir güvence sağlar.

3. İç denetim faaliyeti (birimi), kurum içinde denetim görevinin yapılması için gerekli olan bilgi,

beceri ve diğer vasıflara birim olarak sahip olmalıdır. İç denetim biriminin bilgi, beceri ve diğer

vasıflarının yıllık bir değerlendirmesi, sürekli meslekî gelişim, işe alma veya aynı zamanda hizmeti

kurum dışından alma yoluyla ele alınabilecek fırsat alanlarının belirlenmesine yardımcı olur.

4. 'Sürekli meslekî gelişim', iç denetim personelinin yeterliliğinin sürdürülmesi için gereklidir.

5. İç Denetim Yöneticisi, iç denetim biriminin tam bir yeterliliğe sahip olmadığı faaliyet sahalarını

desteklemek ve tamamlamak için, iç denetim birimi dışından uzmanların yardımını

sağlayabilir. • * *

Yayın: Ocak 2009Uygulama Önerisi 1210.A1-1:

İç Denetim Faaliyetini Tamamlamak veya Desteklemek Amacıyla Hizmetlerin Dışarıdan

Temini

1. İç denetim elemanlarının her birinin ilgili bütün bilim dallarında uzman olması gerekmez. İç

denetim faaliyetinin, muhasebe, denetim, iktisat, finans, istatistik, bilgi teknolojileri, mühendislik,

vergi, hukuk ve çevre sorunları gibi bilim dallarında ve iç denetim faaliyetinin sorumluluklarını yerine

getirebilmesi için gerek duyulan diğer alanlarda uzman personeli bulunmalı ya da bu konularda uzman

olan dış hizmet sağlayıcılarından istifade etmelidir.

2. Dış hizmet sağlayıcısı (taşeron) terimi, belirli bir bilim dalında veya alanda özel bilgi, beceri ve

deneyim sahibi olan ve kurumdan bağımsız olan bir kişi veya firma anlamına gelir. Dış hizmet

sağlayıcıları arasında, bunlarla sınırlı kalmamak kaydıyla, sigorta aktüerleri, muhasebeciler, kıymet

takdir uzmanları (muhamminler), kültür ve dil uzmanları, çevre uzmanları, suistimal tahkikatı

uzmanları, avukatlar, mühendisler, jeologlar, güvenlik uzmanları, istatistikçiler, bilgi teknoloji

uzmanları, kurumun kendi dış denetçileri veya başka denetim kurumları ve firmaları sayılabilir. Bir

dış hizmet sağlayıcısı, yönetim kurulu, üst yönetim veya İç Denetim Yöneticisi tarafından tutulabilir

ve görevlendirilebilir.

3. İç Denetim faaliyeti, dış hizmet sağlayıcılarını diğer amaç ve konuların yanı sıra aşağıda sayılan

amaçlar için de kullanabilir:

• Görev iş çizelgesinde öngörülen amaçlara ulaşılması.

• Bilgi teknolojisi, istatistik, vergiler ve dil çeviri hizmetleri gibi uzmanlık bilgi ve becerilerine

ihtiyaç olan denetim faaliyetleri,

• Arazi ve binalar, sanat eserleri, değerli taşlar, mücevherler, yatırımlar ve karmaşık mali araçlar gibi

varlıkların kıymet takdiri işleri,

• Maden ve petrol kaynakları gibi belirli varlıkların miktarının veya fiziksel durumunun tespit

edilmesi,

• Devam eden sözleşme ve projelerde tamamlanan ve tamamlanacak işlerin ölçülmesi,

• Suistimal ve güvenlik soruşturmaları

• Personel ücret ve haklarıyla ilgili aktüeryal tespitler gibi, uzmanlık yöntemleri gerektiren tespit ve

hesaplamalar,

• Hukukî, teknik ve idarî gereklerin ve hükümlerin yorumlanması,

• Uluslararası İç Denetim Standartları (Standartlar) ile uyumlu olacak şekilde iç denetim faaliyetinin

(biriminin) kalite güvence ve geliştirme programının değerlendirilmesi,

• Birleşme ve devralmalar,

• Risk yönetimi ve diğer konularla ilgili danışmanlık.

4. İç Denetim Yöneticisi, bir dış hizmet sağlayıcısının hizmetlerinden istifade etmek istediği takdirde,

ilgili dış hizmet sağlayıcısının yapılacak olan görevle ilgili bağımsızlığını, objektifliğini ve bu konuda

gereken vasıflara sahip olup olmadığını değerlendirmelidir. Dış hizmet sağlayıcısının üst yönetim

veya yönetim kurulu tarafından seçildiği ve İç Denetim Yöneticisinin o dış hizmet sağlayıcısının

hizmetlerinden yararlanmak istediği durumlarda da bu değerlendirme yapılmalıdır. Bu seçim başkaları

tarafından yapıldığı ve İç Denetim Yöneticisi, kendi yaptığı değerlendirme sonucunda, o dış hizmet

sağlayıcısının hizmetlerinden istifade etmesine gerek olmadığı sonucuna vardığı takdirde, yapılan bu

değerlendirmenin sonuçları duruma göre üst yönetime ya da yönetim kuruluna rapor edilmelidir.

5. İç Denetim Yöneticisi, dış hizmet sağlayıcısının görevi yapmak ve yürütmek için gereken bilgi,

beceri ve diğer vasıflara sahip olup olmadığını tespit eder. Bu vasıfların değerlendirilmesi ve

tespitinde, İç Denetim Yöneticisi aşağıdakileri dikkate almalıdır.

• Dış hizmet sağlayıcısının ilgili bilim dalında yeterliliğini ve uzmanlığını kanıtlayan meslekî ruhsat,

sertifika veya diğer belgeler,

• Dış hizmet sağlayıcısının uygun bir meslek kuruluşuna üye olup olmadığı ve o kuruluşun etik

kurallarına uyup uymadığı,

• Dış hizmet sağlayıcısının itibarı. Bu amaçla, dış hizmet sağlayıcısının iş ve hizmetlerini tanıyan

başka kişi ve kurumlarla temas kurulabilir,

• Dış hizmet sağlayıcısına yaptırılmak istenilen iş ile ilgili deneyimi

• Dış hizmet sağlayıcısının o belirli görevle ilgili olan bilim dallarında aldığı eğitim ve öğretimin

niteliği ve düzeyi,

• Dış hizmet sağlayıcısının, ilgili kurumun faaliyet gösterdiği sektördeki bilgi ve deneyimi.

6. İç Denetim Yöneticisinin, görev sırasında bağımsızlık ve objektifliğin korunmasını sağlamak

amacıyla, dış hizmet sağlayıcısının kurumla ve iç denetim birimiyle ilişkilerini de değerlendirmesi

gerekir. Bu değerlendirme kapsamında, İç Denetim Yöneticisi, dış hizmet sağlayıcısının görevini ifa

ederken veya sonuçları rapor ederken tarafsız ve önyargısız hüküm ve karar vermesine engel

olabilecek herhangi bir mali, örgütsel veya kişisel ilişkisinin bulunmadığını doğrular.

7. Dış hizmet sağlayıcısının bağımsızlık ve objektifliğini değerlendirirken, İç Denetim Yöneticisi şu

etkenleri dikkate alır:

• Dış hizmet sağlayıcısının kurumda herhangi bir mali çıkar veya pay sahibi olup olmadığı,

• Dış hizmet sağlayıcısının kurum içinde yönetim kurulu, üst yönetim veya başka kişilerle kişisel veya

meslekî ilişkisi,

• Dış hizmet sağlayıcısının denetime konu olan kurumla veya faaliyetlerle geçmiş ilişkileri,

• Dış hizmet sağlayıcısının kurum için yürütmekte olduğu diğer devam eden hizmetlerin niteliği ve

kapsamı,

• Dış hizmet sağlayıcısının ücreti veya başka gelir ve çıkarları.

8. Dış hizmet sağlayıcısı aynı zamanda kurumun dış denetçisi ise ve ilgili görev genişletilmiş denetim

hizmetlerinden oluşuyorsa, İç Denetim Yöneticisinin, yapılan işlerin dış denetçinin bağımsızlığını

zayıflatmadığından emin olması gerekir. Genişletilmiş denetim hizmetleri terimi, dış denetçiler

arasında genel kabul gören denetim standardı gereklerinin ötesindeki hizmetler anlamına gelir.

Kurumun dış denetçileri aynı zamanda kurumun üst yöneticileri, yöneticileri veya çalışanları olarak

görev yapıyorsa veya böyle görünüyorsa, onların bağımsızlığı bozulmuş sayılır. Buna ek olarak, dış

denetçiler kuruma vergi ve benzeri konularda danışmanlık gibi başka hizmetler de verebilir. Ancak,

bağımsızlığın, kuruma verilen hizmetlerin tamamı dikkate alınarak değerlendirilmesi gerekir.

9. İç denetim faaliyetinin amaçları karşısında, denetim işinin kapsamının yeterliliğini belirlemek için

İç Denetim Yöneticisi, dış hizmet sağlayıcısının işlerinin kapsamı hakkında yeterli bilgi edinmelidir.

Bu konuların ve ilgili diğer konuların bir denetim bildirim yazısı (engagement letter) veya

sözleşmeyle kayda geçirilmesi uygun olabilir. İç Denetim Yöneticisi, aşağıda sayılan konuları dış

hizmet sağlayıcısı ile birlikte gözden geçirmelidir:

• İlgili kayıtlara, personele, demirbaşlara ve ilgili mahallere erişim,

• Uygulanacak prosedürler ve kullanılacak varsayımlar,

• Varsa, görevle ilgili çalışma kâğıtlarının mülkiyeti ve zilyetliği,

• Görevin ifası sırasında edinilen bilgilerin gizliliği ve bu konudaki kısıtlamalar,

• Mümkünse, uluslararası iç denetim standartlarına ve iç denetim faaliyetinin çalışma standartlarına

uyum.

10. Bir dış hizmet sağlayıcısının yaptığı işi incelerken, İç Denetim Yöneticisi, yapılan işin

yeterliliğini değerlendirmelidir. Bu değerlendirme, toplanan ve edinilen bilgilerin varılan sonuçlar için

ve önemli istisnaların çözümlenmesi ya da başka olağandışı konular için makul bir temel yaratmak

açısından yeterli olup olmadığı değerlendirmesini de kapsar.

11. Görevle ilgili raporların İç Denetim Yöneticisi tarafından düzenlendiği ve bir dış hizmet

sağlayıcısından faydalanıldığı durumlarda, İç Denetim Yöneticisi, gerektiğinde, bu hizmetlere atıfta

bulunabilir. Görevle ilgili raporlarda dış hizmet sağlayıcısının hizmetlerine atıfta bulunulmadan önce,

bunun dış hizmet sağlayıcısına bildirilmesi ve gerekirse, onun onayının

alınması gerekir. • 2 *

Yayın: Ocak 2009

Uygulama Önerisi 1220-1: Azamî

Meslekî Özen ve Dikkat

1. Azamî mesleki özen ve dikkat, aynı veya benzer durum ve koşullarda, makul sınırlar içinde tedbirli

ve ehil bir iç denetçiden beklenen beceri, özen ve dikkatin gösterilmesi anlamına gelir. Bu nedenle,

meslekî özen ve dikkat seviyesi, üstlenilen iş ve görevin karmaşıklık düzeyine uygun olur. Meslekî

özen ve dikkat sergilemek, iç denetçilerin, suistimal, kasdî suç, hatâ, ihmal, verimsizlik, yanlış

kullanım, etkisizlik, yararsızlık ve çıkar çatışmaları olasılığı karşısında olduğu gibi usulsüzlük

olasılığının en yüksek olduğu koşul ve faaliyetler konusunda da uyanık ve tetikte olmalarını gerektirir.

Bu ayrıca, iç denetçilerin, yetersiz kontrolleri tespit etmesini ve kontrol konusunda kabul edilebilir

prosedür ve uygulamalara uymak için geliştirilmesi gereken konularda tavsiyelerde bulunmalarını

gerektirir.

2. Azamî özen ve dikkat standardı, hiç hatâ yapmamayı ya da olağanüstü performans göstermeyi

değil, sadece makul dikkat ve beceriyi gerektirir. Azamî özen ve dikkat standardı, iç denetçinin

inceleme, kontrol ve denetimleri makul sınırlar içinde yapmasını gerektirir. Bundan dolayı, iç

denetçiler, hiçbir aykırılığın veya usulsüzlüğün olmayacağı konusunda mutlak bir garanti veremez.

Bununla birlikte, iç denetçi, bir iç denetim görevini üstlendiğinde,

önemli usulsüzlük veya aykırılık olasılıklarını dikkate almalıdır. * * *

2 Çıktılar ve sürelerle birlikte işin hedefleri ve kapsamı, • Görev raporları ve bildirimlerine dahil edilmesi beklenen özel konular,

Yayın: Ocak 2009


Sürekli Meslekî Gelişim

1. İç denetçiler, meslekî yeterliliklerini sürdürmek ve arttırmak amacıyla eğitimlerini devam

ettirmekten sorumludur. İç denetçilerin, iç denetim standartları, prosedürleri ve tekniklerindeki

gelişmeleri ve IIA'in Uluslararası Meslekî Uygulama Çerçevesini (UMUÇ) güncel olarak takip

etmeleri gerekir. Bu sürekli meslekî eğitim (CPE); IIA gibi meslek örgütlerine üyelikle, katılımla ve

faaliyetlerinde gönüllü olarak çalışarak, konferanslara, seminerlere, üniversite kurslarına, şirket içi

eğitim programlarına katılarak, üniversite eğitimini tamamlayarak ve kendi kendine eğitim

programlarına girerek ve araştırma projelerine katılarak alınabilir.

2. İç denetçilerin, meslekî yeterliliklerini, Uluslararası İç Denetçi® (CIA) unvanı ve Uluslararası İç

Denetçiler Enstitüsü'nün (IIA) verdiği başka unvanlar yanında, iç denetimle ilgili başka meslekî unvan

sertifikalarını alarak göstermeleri beklenir ve teşvik edilir.

3. İç denetçiler, kendi kurumlarının yönetişim, risk ve kontrol süreçleriyle ilgili yeterliliklerini

sürdürebilmek amacıyla, kendi kurumlarının faaliyetleri ve sektörüyle ilgili olarak sürekli meslekî

eğitim (CPE) çabası içinde olmaları için teşvik edilir.

4. Bilgi teknolojileri, vergi, aktüeryal hesaplama veya sistem tasarımı gibi uzmanlık gerektiren

denetim ve danışmanlık işi yapan iç denetçiler, işlerini yetkinlikle icra etmelerini mümkün kılacak

şekilde sürekli meslekî gelişim çerçevesinde uzmanlık eğitimi alabilirler.

5. Meslekî unvan sertifikası bulunan iç denetçiler, bu sertifikanın gereklerini yerine getirebilmek için

yeterli miktarda sürekli meslekî eğitim (CPE) etkinliğine katılmakla yükümlüdür.

6. Hâlen uygun meslekî unvan sertifikası bulunmayan iç denetçiler, unvan sertifikasını almak için bir

eğitim programına katılmaya ve/veya bu amaçla ferdî olarak çalışmaya teşvik

edilirler. * * *

Yayın: Ocak 2009


Kalite Güvence ve Geliştirme Programı

1. İç Denetim Yöneticisi, çalışma kapsamı Standartlardaki ve iç denetimin tanımındaki tüm

faaliyetleri içine alan bir iç denetim faaliyeti (birimi) kurmaktan sorumludur. Bunun sağlanması için,

'Standart 1300' İç Denetim Yöneticisinin bir kalite güvence ve geliştirme programı (KGGP)

hazırlamasını gerekli kılar.

2. İç Denetim yöneticisi, iç denetim faaliyetinden yararlanan çeşitli hak sahiplerine, iç denetim

faaliyetinin,

• İç Denetimin Tanımı, Standartlar ve Etik Kurallarıyla uyumlu olması gereken iç denetim

yönetmeliğine uygun çalıştığı,

• Etkili ve verimli bir şekilde faaliyet gösterdiği,

• Paydaşlar ve diğer hak sahiplerinin gözünde katma değer yaratıcı ve kurumun faaliyetlerini

iyileştirici olarak görüldüğü konusunda makul bir güvence sağlamak için tasarlanan süreçlerin

uygulanmasından sorumludur.

Bu süreçler, gerekli gözetim, dönemsel iç değerlendirmeler, kalite güvencesinin sürekli gözlenmesi ve

dönemsel dış değerlendirmeleri içine alır.

3. KGGP, İç Denetimin Tanımında, Standartlarda ve Etik Kuralları ve mesleğin en iyi

uygulamalarındaki gibi, iç denetim faaliyetinin (biriminin) yönetim ve faaliyetlerinin tüm cephelerini

kapsamalıdır. KGGP, İç Denetim Yöneticisi tarafından veya doğrudan onun gözetimi altında hayata

geçirilir. Küçük iç denetim faaliyetleri (birimleri) hariç tutulursa, İç Denetim Yöneticisi, genellikle

KGGP sorumluluklarının çoğunu astlarına dağıtır. Büyük ve karmaşık ortamlarda (çok sayıda iş

biriminin veya mekânının olması gibi), İç Denetim Yöneticisi denetimden bağımsız ve iç denetim

faaliyetinin çeşitli katmanlarıyla danışma hâlinde olan resmî bir KGGP hazırlar. Bu bağımsız

fonksiyon, bir iç denetim yöneticisi tarafından yönetilmelidir. Bu yönetici (ve sınırlı sayıda personel)

başarılı bir KGGP'nin gerektirdiği faaliyetleri idare eder ve izler.

Uygulama Önerisi 1310-1: Kalite Güvence ve Geliştirme Programının Gereklilikleri

1. Bir Kalite Güvence ve Geliştirme Programı (KGGP), iç denetim faaliyeti tarafından

gerçekleştirilen tüm danışmanlık ve denetim faaliyetlerinin dönemsel olarak ve devamlı suretle

değerlendirilmesi demektir. Bu devamlı ve dönemsel değerlendirmeler, (her ikisi de mutat olan) zor ve

kapsamlı süreçlerden; danışmanlık ve iç denetim işlerinin performansının devamlı izlenip test

edilmesinden ve İç Denetimin Tanımına, Etik Kurallarına ve Standartlara uyumun dönemsel olarak

onaylanmasından meydana gelir. Bu, ayrıca, devamlı ölçümler ve performans ölçümlerinin (yani,

denetim planının başarıyla tamamlanması, çevrim süresi, kabul edilen tavsiyeler ve müşteri

memnuniyeti gibi) analizlerini içine alır. Bu değerlendirmelerin sonuçları, iç denetim faaliyetinin

iyileştirebileceği alanlara işaret ediyorsa, iyileştirmeler, İç Denetim Yöneticisi tarafından, KGGP

kullanılarak uygulanmalıdır.

2. Değerlendirmelerle, iç denetim faaliyetinin kalitesine dair bir değerlendirme yapılır, bir hükme

varılır ve daha iyiye gitmesi için tavsiyeler geliştirilmesi mümkün kılınır. KGGP'ler aşağıdaki

hususların da değerlendirilmesini içine alır:

• Bunlara yönelik önemli aykırılık durumlarının giderilmesi amacıyla, zamanında alınacak düzeltici

tedbirlere uyum da dahil olmak üzere, İç Denetimin Tanımına, Etik Kurallarına ve Standartlara uyum.

• İç denetim faaliyetinin (biriminin) yönetmeliğinin, amaçlarının, hedeflerinin, politikalarının ve

prosedürlerinin yeterliliği.

• Kurumun yönetişim (kurumsal yönetim), risk yönetimi ve kontrol süreçlerine yapılan katkı.

• Yürürlükteki kanunlara, yönetmeliklere, kamusal veya sektörel standartlara uyum.

• Devamlı geliştirme faaliyetlerinin etkililiği ve 'en iyi uygulamaların' benimsenmesi.

• İç denetim faaliyetinin (biriminin) kurumun faaliyetlerine ne ölçüde değer katıp bunları geliştirdiği.

3. Bütün KGGP çabaları, kaynaklarda, teknolojide, süreçlerde ve prosedürlerde gereken

değişikliklerin zamanında ve uygun bir şekilde yapılmasını içeren tavsiyelere yönelik takip

çalışmasını da içine alır.

4. Hesap verebilirlik ve şeffaflığın sağlanması amacıyla, İç Denetim Yöneticisi, kalite programıyla

ilgili dış ve gerekirse iç değerlendirme sonuçlarını (üst yönetim, yönetim kurulu ve dış denetçiler gibi)

taraflarla paylaşır. En az yılda bir kez olmak üzere, İç Denetim Yöneticisi, üst yönetime ve yönetim

kuruluna, kalite programı çalışmalarını ve sonuçlarını

rapor etmelidir. • * *

Yayın: Ocak 2009

Uygulama Önerisi 1311-1: İç Değerlendirmeler

1. Daimî iç değerlendirme çalışmalarında kullanılan süreçler ve araçlar, şunları içine alır:

• Görevin gözetimi,

• Kontrol listeleri ve prosedürler (mesela, bir denetim ve prosedür kılavuzundaki) takip edilir,

• Denetlenenlerden ve diğer menfaat sahiplerinden alınan geri bildirimler,

• İlgili denetimlerde yer almayan denetim personeli tarafından çalışma kâğıtlarının gözden

geçirilmesi,

• Proje bütçeleri, zaman tutma sistemleri, denetim planı tamamlama kıstasları, maliyeti karşılama

kıstasları ve/veya,

• (Çevrim süresi ve kabul edilen tavsiyeler gibi) diğer performans ölçümlerinin analizi.

2. Performans kalitesinin devamlı gözden geçirilmesinin sonuçları tespit edilir ve gerekli

iyileştirmelerin uygulanmasını temin etmek için bir takip çalışması yürütülür.

3. IIA'nın Kalite Değerlendirme Kılavuzu veya bunun muadili kılavuz ve araçlar, dönemsel iç

değerlendirmeler için temel teşkil etmelidir.

4. Dönemsel iç değerlendirmeler:

• Denetim sürecinde yer alan gruplara yönelik daha ayrıntılı ve derin araştırma ve görüşmeleri

içerebilir.

• İç denetim faaliyetinin (biriminin) üyeleri tarafından yapılabilir (öz değerlendirme),

• Hâlen kurum içinde başka konu ve alanlarda görevli olan Uluslararası İç Denetçiler (CIA) veya diğer

ehil denetçiler tarafından yapılabilir,

• Daha sonra kurumun diğer birimlerindeki CIA'lar veya ehil diğer denetçilerin gözden geçirdiği

çalışmalarla, öz değerlendirme çalışmalarını bir araya getirebilir,

• İç denetim faaliyetinin uygulamalarının ve performans ölçümlerinin iç denetim mesleğiyle ilgili en

iyi uygulamalarla karşılaştırılıp değerlendirilmesine dayanan kıyaslama (benchmarking) çalışmasını

içerebilir.

5. Dış değerlendirmenin hemen öncesinde yapılacak dönemsel bir iç değerlendirme, dış

değerlendirmeyi hem kolaylaştırmaya hem de maliyetini azaltmaya yardım edebilir. Eğer dönemsel iç

değerlendirme, ehil ve bağımsız dışarıdan biri veya bir gözden geçirme ekibi tarafından yapılırsa,

değerlendirme sonuçları, dış kalite değerlendirmesinin sonuçlarıyla ilgili bir güvence vermemelidir.

Raporda, iç denetim faaliyetinin (biriminin) uygulamalarının geliştirilmesi için tavsiye ve öneriler

bulunabilir. Eğer dış değerlendirme, "bağımsız onaylı özdeğerlendirme" şeklini alırsa, dönemsel iç

değerlendirme, bu sürecin "özdeğerlendirme" kısmı işlevini görebilir.

6. Performans kalitesi hakkında sonuçlar derlenir, tespit edilir ve gerekirse, Standartlara uygunluğu

sağlamak ve geliştirme çalışmaları yapmak amacıyla uygun tedbirler alınır.

7. İç Denetim Yöneticisi, iç değerlendirmelerin sonuçlarının rapor edilmesi amacıyla, gerekli

güvenilirlik ve nesnelliği sağlayan bir yapı oluşturur. Genel olarak, devamlı ve dönemsel gözden

geçirmeleri yapma sorumluluğunu üstlenen kişiler, gözden geçirme çalışmalarında, İç

Denetim Yöneticisine raporlama yapar ve elde ettikleri sonuçları doğrudan doğruya İç Denetim

Yöneticisine bildirir.

8. İç Denetim Yöneticisi, yılda en az bir kere, iç değerlendirme çalışmalarının sonuçlarını, gerekli

eylem planlarını ve bunların başarılı uygulamalarını yönetim kuruluna ve üst yönetime raporlar. * 3 * Yayın: Ocak 2009

Uygulama Önerisi 1312-1

Dış Değerlendirmeler

1. Dış değerlendirmeler, iç denetim faaliyeti tarafından yürütülen denetim ve danışmanlık görevini

kapsar ve sadece iç denetim biriminin KGGP'sini (Kalite Güvence ve Geliştirme Programı)

değerlendirmekle sınırlı olmamalıdır. Dış değerlendirmeden optimum faydayı sağlamak için, işin

kapsamında, iç denetim faaliyetinin daha verimli ve/veya etkili olmasını sağlayabilecek başlıca

uygulamaların kıyaslaması (benchmarking), teşhisi ve raporlanması da bulunmalıdır. Bu, ya ehil ve

bağımsız bir gözden geçirme uzmanı veya bir gözden geçirme ekibi tarafından tam bir 'dış' gözden

geçirme ile ya da ehil ve bağımsız bir gözden geçirme uzmanı veya bir gözden geçirme ekibinin

bağımsız onayından geçmiş kapsamlı bir 'iç' özdeğerlendirme ile başarılabilir. Ancak, İç Denetim

Yöneticisi, kapsamın, her durumda dış değerlendirmeden beklenen sonuçları ortaya koymasını

sağlamalıdır.

2. Bir iç denetim faaliyetine (birimine) yönelik 'dış' değerlendirmelerde, iç denetim faaliyeti

tarafından gerçekleştirilen (veya iç denetim yönetmeliğine göre gerçekleştirilmiş olması gereken) tüm

danışmanlık ve denetim işlerine yönelik bir görüş yer alır. Bu görüşte, iç denetim biriminin İç Denetim

Tanımına, Etik Kurallarına, Standartlara uygunluğuna dair bir değerlendirme ve gerekirse,

iyileştirme tavsiyeleri de yer alır. Uluslararası Meslekî Uygulama Çerçevesi'nin bu üç unsuruna

uyumdan ayrı olarak, değerlendirmenin 'kapsamı', İç Denetim Yöneticisi, Üst Yönetim veya Yönetim

Kurulunun isteğine göre ayarlanır. Bu değerlendirmeler, İç Denetim Yöneticisi ve iç denetim

biriminin diğer üyeleri için, özellikle kıyaslama ve en iyi uygulamalar paylaşıldığında, çok faydalı

olabilir.

3. Gözden geçirme tamamlandıktan sonra üst yönetime ve yönetim kuruluna resmî bir raporlama

yapılmalıdır.

4. Dış değerlendirmelerle ilgili iki yaklaşım vardır. Birinci yaklaşımda, bir 'dış değerlendirme', ehil,

bağımsız bir gözden geçirme uzmanı veya ekibi tarafından yapılmalıdır. Bu yaklaşım, tecrübeli ve

profesyonel bir proje müdürünün önderliğinde, ehil profesyonellerden oluşan bir dış ekibi içerir. İkinci

yaklaşımda, iç denetim birimi tarafından yapılan iç özdeğerlendirmenin ve hazırlanan raporun

bağımsız onaylanmasını (validation) gerçekleştirmek üzere, gerekli özelliklere sahip, bağımsız bir

gözden geçirme uzmanı veya ekibinin kullanılması söz konusudur. Bağımsız dış gözden geçirmeyi

yapacak olanlar, iç denetim uygulamalarında çok tecrübeli olmalıdır.

5. Dış değerlendirmeyi yapan kişilerin, iç denetim faaliyeti (birimi) dış değerlendirmeye tâbi olan

kuruma veya kurumun personeline karşı, herhangi bir yükümlülüğü -veya onlardan herhangi bir

çıkarı- olmamalıdır. Ehil ve bağımsız dış değerlendirme uzmanını veya dış değerlendirme ekibini

seçerken, İç Denetim Yöneticisi tarafından -yönetim kuruluna da danışılarak- bunların bağımsızlığına

dair dikkate alınması gereken özel hususlar şunları içerir:

3 Standartlar hakkında güncel ve derin bilgi sahibi olması, ehil ve yetkili (sertifikalı) bir denetçi

olması, • Mesleğin en iyi uygulamaları konusunda bilgili ve deneyimli olması,

• Aşağıdakileri sağlayacak şirketlerin gerçek veya görünüşteki çıkar çatışmaları: - Mâli tabloların denetimi

- Yönetişim, risk yönetimi, malî raporlama, iç kontrol ve diğer ilgili alanlardaki önemli danışmanlık

hizmetleri.

- İç denetim faaliyetine (birimine) yardım. Profesyonel hizmet sağlayıcısı tarafından yürütülen işin

önem ve büyüklüğü görüşmelerde dikkate alınmalıdır.

• Değerlendirmeyi yapacak olanların şirket eski çalışanları olması hâlinde bunların gerçekte ve

görünürdeki çıkar çatışmaları. Kişinin kurumdan ayrılmasının üzerinden ne kadar geçmiş olduğu

dikkate alınmalıdır.

• Değerlendirmeyi yapacak olan kişiler, iç denetim faaliyeti değerlendirmeye alınan kurumdan

bağımsızdır ve ne gerçekte ne de görünürde bir çıkar çatışmaları yoktur. "Kurumdan bağımsız olmak",

iç denetim faaliyetinin bağlı olduğu kurumun bir parçası olmamak veya onun kontrolü altın olmamak

anlamına gelir. Ehil ve bağımsız bir dış gözden geçirme uzmanı

veya ekibinin seçiminde, onun iç kalite değerlendirmesine katılımını da içerecek şekilde, uzmanın

kurumla veya onun iç denetim faaliyetiyle olan mevcut veya geçmiş ilişkilerinden dolayı gerçekte

veya görünüşte herhangi bir çıkar çatışması bulunup bulunmadığına özellikle dikkat edilmelidir.

• İç denetim biriminden örgütsel olarak bağımsız olsa bile, o kurumun başka bir bölümünde veya

ilişkili bir kurumunda çalışan kişiler, bir dış değerlendirme çalışması açısından, bağımsız sayılmazlar.

"İlişkili bir kurum", ana kurum, aynı şirketler grubuna bağlı bir ortaklık veya dış değerlendirmeye

konu olan iç denetim faaliyetinin bağlı olduğu kuruma karşı gözetim, izleme veya kalite güvence

sorumlulukları olan bir kurum olabilir.

• Karşılıklı gözden geçirme çalışmalarının da olduğu gerçek veya görünürdeki çatışmalar. Üç veya

daha fazla kurum (aynı sektörde veya diğer yakın bir grupta, bölgesel derneklerde veya diğer kurum

gruplarında - önceki paragrafta yer alan "ilişkili kurum" tanımı haricinde) arasındaki karşılıklı denk

gözden geçirme çalışmaları, bağımsızlık endişelerini azaltacak bir tarzda yapılandırılabilir, ama

bağımsızlık hususunda endişe yaratmamaya azami özen gösterilir. İki kurum arasında karşılıklı denk

gözden geçirme çalışması, bağımsızlık testinin atlanmasına yol açmamalıdır.

• Bu bölümde belirtilen örneklerde olduğu gibi bağımsızlığa görünürde veya gerçekte zarar verme

endişelerini gidermek amacıyla, bir veya daha fazla bağımsız kişi, bu ekibin çalışmalarını bağımsız bir

şekilde onaylamak üzere, dış değerlendirme ekibine katılabilir.

6. Dürüstlük, gözden geçirme uzman(lar)ının gizlilik sınırları içinde güvenilir ve tarafsız olmasını

gerektirir. Kişisel kazanç ve çıkarlar için, hizmet ve kamu güveni ve inancı feda edilmemelidir.

Objektiflik, gözden geçirme uzman(lar)ının hizmetlerine değer katan bir nitelik ve zihnî bir durumdur.

Objektiflik ilkesi, tarafsızlık, fikir haysiyeti ve her türlü çıkar çatışmasından uzak olma yükümlülükleri

getirir.

7. Bir dış değerlendirme çalışması yapılırken ve sonuçları raporlanırken meslekî muhakemenin

kullanılması gerekir. Bu sebeple, bir dış değerlendirme uzmanı olarak görev yapan bir kişinin:

• İç denetim uygulamalarında veya ilgili danışmanlıkta en az üç yıllık yöneticilik tecrübesine sahip

olması gerekir.

Bağımsız gözden geçirme ekiplerinin başları veya özdeğerlendirmenin sonuçlarını bağımsız olarak

onaylayan dış gözden geçirme uzmanları, daha önce dış kalite değerlendirmesinde çalışmış bir takım

üyesi olmaktan, IIA'nın kalite değerlendirme eğitimlerini veya benzeri bir eğitimi başarıyla

tamamlamaktan ve iç denetim yöneticiliğinden veya benzeri bir üst seviye iç denetim yöneticiliği

deneyiminden kazanılmış daha öte bir yetkinlik ve tecrübe birikimine sahip olmalıdırlar.

8. Gözden geçirme uzman(lar)ı, ilgili teknik uzmanlığa ve sektör tecrübesine sahip olmalıdırlar.

Başka uzmanlık alanlarında uzmanlığı bulunan kişiler ekibe yardımcı olabilirler. Örneğin, kurumsal

risk yönetimi, bilgi sistemleri denetimi, istatistiksel örnekleme, operasyon izleme sistemleri veya

kontrol özdeğerlendirme uzmanları, gözden geçirme çalışmasının belirli bölümlerine katılabilirler.

9. İç Denetim Yöneticisi, dış kalite değerlendirme sağlayıcısı seçimine ve seçim sürecine, üst

yönetimi ve yönetim kurulunu dahil eder.

10. Dış değerlendirme çalışması, iç denetim faaliyetinin (biriminin) aşağıdaki unsurlarını içeren

geniş bir kapsamda yapılmalıdır:

• İç Denetimin Tanımına, Etik Kurallarına, Standartlara, iç denetim faaliyetinin (biriminin)

yönetmelik, plan, politika, prosedür ve uygulamalarına ve yürürlülükteki mevzuat ve düzenlemelere

uyum,

• Yönetim kurulu, üst yönetim ve işletme müdürlerinin iç denetim faaliyetinden beklentileri,

• Yönetişim sürecine katılan kilit gruplar arasındaki ilişkiler dahil, iç denetim faaliyetinin, kurumun

yönetişim süreciyle bütünleştirilmesi,

• İç denetim faaliyetinde kullanılan araç ve teknikler,

• Personelin sürecin geliştirilmesine odaklanması dahil, personelin bilgi, tecrübe ve uzmanlık

alanlarının karışımı,

• İç denetim biriminin kurumun faaliyetlerine katma değer ve iyileştirme sağlayıp sağlamadığının

tespit edilmesi.

11. Gözden geçirme çalışmasının ilk sonuçları, değerlendirme süreci sırasında ve sonucunda, İç

Denetim Yöneticisi ile tartışılır. Nihai sonuçlar, İç Denetim Yöneticisine ya da kurum içinde

inceletme yetkisi olan bir yetkiliye, tercihen üst yönetimden uygun kişilere ve yönetim kuruluna

doğrudan iletilen raporlarla bildirilir.

12. Raporlamanın kapsamı şöyledir:

• Planlanmış bir derecelendirme sürecine dayanarak, iç denetim faaliyetinin İç Denetimin Tanımına,

Etik Kurallarına, Standartlara uyumu hakkında bir görüş: Burada kullanılan 11

uyum" terimi, iç

denetim faaliyetinin (biriminin) uygulamalarının, bir bütün olarak ele alındığında, Uluslararası

Meslekî Uygulama Çerçevesinin bahsedilen bu üç unsurunun gereklerini yerine getirdiği anlamına

gelir. Benzer şekilde "aykırılık" terimi de, iç denetim faaliyetinin uygulamalarında tespit edilen

eksikliklerin etkisinin, faaliyetin görev ve sorumluluklarını yerine getirmesini engelleyecek kadar

yüksek olması anlamına gelir. İç Denetimin Tanımına, Etik Kurallarına ve/veya tek tek Standartlara

"kısmî uyum" derecesi, raporun genel kanaatiyle ilgiliyse, bağımsız değerlendirme raporunda da

açıklanmalıdır. Dış

değerlendirme sonuçları hakkında görüş beyan etmek, güçlü bir meslekî muhakeme, dürüstlük, azamî

özen ve dikkatin bir araya getirilmesini gerektirir.

• Hem değerlendirme sırasında gözlemlenen hem de faaliyete uygulanabilecek olan en iyi

uygulamalar yönteminin kullanımı hakkında bir değerlendirme ve tespit,

• Gerekirse, geliştirme amacına yönelik tavsiyeler,

• İç Denetim Yöneticisi'nin bir eylem planını ve uygulama tarihlerini de içeren cevapları.

13. Hesap verebilirlik ve şeffaflığın sağlanması için İç Denetim Yöneticisi, önemli konular için

planlanmış düzeltici tedbirlerin ayrıntılarını ve söz konusu planlanmış tedbirlerin başarıya ulaşıp

ulaşmadığına dair müteakip bilgiyi de içerecek şekilde-, dış kalite değerlendirmelerinin sonuçlarını,

üst yönetim, yönetim kurulu ve dış denetçiler gibi iç denetim birimiyle ilişkili menfaat sahipleriyle

paylaşır.

Yayın: Ocak 2009


Dış Değerlendirmeler: Bağımsız Onaylı Özdeğerlendirme

1. Ehil, bağımsız bir gözden geçirme uzmanı veya ekibinin dış değerlendirmesi, küçük çaplı iç

denetim faaliyetleri (birimleri) için sorun çıkarabilir veya tam bir dış değerlendirmenin uygun veya

gerekli görülmediği diğer kurumlarda bazı özel durumlar oluşabilir. Örneğin, iç denetim faaliyeti

(birimi)

(a) aşırı düzenleme ve/veya gözetimin olduğu bir sektörde olabilir,

(b) yönetişim ve iç kontrol ile ilgili yoğun bir dış gözetim ve yönlendirmenin olduğu bir alanda

olabilir,

(c) en iyi uygulamalarla yoğun kıyaslamaların (benchmarking) dış değerlendirme veya danışmanlık

hizmetleri tarafından henüz yapılmış olduğu bir ortamda olabilir veya

(d) İç Denetim Yöneticisinin, dahili KGGP'nin (Kalite Güvence ve Geliştirme Programı) gücünü ve

çalışanların gelişimini değerlendirmeye yönelik bir özdeğerlendirmenin (self- assessment)

faydalarının, kurum 'dışından' bir ekip tarafından yapılan kalite değerlendirmesinin faydalarından

fazla olduğunu düşündüğü durumlar olabilir.

2. "Bağımsız (dış) onaylı bir özdeğerlendirme" şunları içerir:

• En azından İç Denetimin Tanımına, Etik Kurallarına ve Standartlara uyumun değerlendirilmesi

konusunda, dış değerlendirme sürecinden daha etkili olacak şekilde kapsamlı ve bütünüyle kayıtlı hâle

getirilmiş özdeğerlendirme süreci,

• Vasıflı bir gözden geçirme uzmanı tarafından yerinde gerçekleştirilen bağımsız onay (on- site

validation) çalışması,

• Ekonomik zaman ve kaynak ihtiyaçları -örneğin, Standartlara uyumun öncelikli odak konusu

olması-.

• Kıyaslama (benchmarking), en iyi uygulamalar yönteminin kullanılmasıyla ilgili danışmanlık ve

gözden geçirme çalışması, üst yönetim ve operasyonel birimlerin yönetimleri ile yapılan görüşmeler

gibi- diğer konulara verilen sınırlı dikkat azaltılabilir. Ancak değerlendirmenin bu parçalarından elde

edilen bilgiler, bir dış değerlendirme için çok yararlı bilgilerden biridir.

3. Bağımsız onaylı bir özdeğerlendirme için Uygulama Önerisi 1312-1'de belirtilen kılavuzluk

esasları ve kıstaslar da uygulanabilir.

4. Bir İç Denetim Yöneticisinin yönetimi altındaki bir ekip, özdeğerlendirme sürecinin tamamını

yürütür ve süreci tam olarak belgelendirir. Dış değerlendirme sonucunda hazırlanana benzer taslak bir

rapor, İç Denetim Yöneticisi'nin Standartlara uyulduğuna dair görüşünü de içericek şekilde

hazırlanmalıdır.

5. Vasıflı ve bağımsız bir gözden geçirme uzmanı veya ekibi, özdeğerlendirme sonuçlarını

onaylamak ve iç denetim faaliyetinin (birimin) İç Denetimin Tanımına, Etik Kurallarına ve

Standartlara uygunluk seviyesini açıklamak amacıyla yeteri kadar özdeğerlendirme (self- assessment)

testleri uygular. Bağımsız onay çalışması, IIA' nın Kalite Değerlendirme Kılavuzu'nda belirtilen

süreçteki veya benzer kapsamlı başka bir süreçteki aşamaları izler.

6. Bağımsız onayın bir parçası olarak, -özdeğerlendirme ekibine ait İç Denetimin Tanımına, Etik

Kurallarına ve Standartlara uyuma ilişkin değerlendirmeleri de dikkatli bir şekilde gözden geçirerek-

bağımsız onay sürecini tamamladıktan sonra, bağımsız dış gözden geçirmeci:

• taslak raporu gözden geçirir ve -varsa- çözüme kavuşmamış hususlar konusunda uzlaşma sağlamaya

çalışır.

• Eğer, İç Denetimin Tanımına, Etik Kurallarına ve Standartlara uygunluk konusundaki

özdeğerlendirme ekibine ait değerlendirmelerle mutabıksa, gerektiğinde ve uygun gördüğü ölçüde, bu

mutabakatı, rapordaki tespitler, sonuçlar ve öneriler kısmına ekler.

• Özdeğerlendirme ekibine ait değerlendirmeler ile mutabık değilse, rapora, uygun gördüğü ölçüde,

önemli bulguları, sonuçları ve önerileri ile birlikte mutabık olmadığı noktaları da belirten bir kısım

ekler.

• Alternatif olarak, özdeğerlendirme raporuna ek olarak, yukarıdaki kapsamda, mutabakat veya

mutabakatsızları belirten ayrı bir bağımsız onay raporu hazırlayabilir.

7. Bağımsız onayı haiz nihaî özdeğerlendirme raporları özdeğerlendirme ekibi ve vasıflı, bağımsız

dış gözden geçirme uzmanları tarafından imzalanır ve İç Denetim Yöneticisi tarafından üst yönetime

ve yönetim kuruluna sunulur.

8. Güvenilirlik ve şeffaflığın sağlanması için İç Denetim Yöneticisi, önemli konular için alınmış

planlı düzeltici faaliyetlerin özelliklerini ve bu planlı düzeltici faaliyetlerin gerçekleştirilmesine dair

takip eden bilgileri içerecek şekilde, dış kalite değerlendirmelerinin

sonuçlarını, üst yönetim, yönetim kurulu ve dış denetçiler gibi değişik taraflarla paylaşır. • * *

Yayın: Ocak 2009


Özel Sektörde Dış Değerlendirme Ekibinin Bağımsızlığı

İlgili Ana Standart

1312 - Dış Değerlendirmeler Dış değerlendirmeler, kurum dışından vasıflı ve bağımsız bir gözden geçirme uzmanı veya ekibi

tarafından en azından beş yılda bir yapılmak zorundadır. Dış değerlendirme sıklığının

arttırılmasına yönelik ihtiyaç, dış gözden geçirme uzmanı veya ekibinin sahip olması gereken

vasıflar ve bunların bağımsızlığı meseleleri, menfaat çatışması ihtimali de dikkate alınarak, İç

Denetim Yöneticisi ile Yönetim Kurulu ve Denetim Kurulu arasında tartışılıp değerlendirmek

zorundadır.

Yorum: Vasıflı bir gözden geçirme ekibi, iç denetim uygulamaları ve dış değerlendirme süreçleri

konularında yetkin fertlerden oluşmalıdır. Gözden geçirme uzmanının ve ekibinin yetkinliğinin

değerlendirilmesi, incelemeyi yapmak için seçilen bireylerin mesleki iç denetim tecrübesini ve

mesleki ehliyetlerini dikkate alan bir kanaate dayanır. Yeterliliklerin değerlendirilmesi, ayrıca, iç

denetim faaliyeti değerlendirilen kuruluş ile ilişkili olan gözden geçirmeyi yapan kurumların

büyüklük ve karmaşıklığını ve aynı zamanda belirli bir sektör, sanayi ya da teknik bilgiye dair

ihtiyacı göz önünde bulundurur.

Bağımsız bir gözden geçirme uzmanı ve ekibi demek, gerçek ya da belirgin bir çıkar çatışması

olmayan ya da iç denetim faaliyetinin bağlı olduğu kuruluşun bir parçası olmayan ya da bu

kuruluşun kontrolü altında olmayan manasına gelir.

1. Dış değerlendirmeyi yürüten değerlendirme ekibinin bütün üyeleri kurumdan ve onun iç

denetim faaliyetlerini yürüten personelinden bağımsız olmalıdır. Özellikle değerlendirme ekibinin

üyelerinin kurumla ve/veya kurum çalışanlarıyla gerçek veya öyle algılanan çıkar çatışmaları

olmamalıdır. Değerlendirme ekibinin bağımsızlığının değerlendirilmesinde göz önünde bulundurulması gereken alanlar aşağıda verilmiştir:

• Kurumdan bağımsız olmak, iç denetim faaliyeti değerlendirilen kurumun etkisi altında olmamak

anlamına gelir. Dış değerlendiricinin seçim sürecinde, değerlendiricinin gerçek, potansiyel ya da

algısal çıkar çatışmalarının göz önünde bulundurulması gerekir. Çıkar çatışmaları kurum, kurum

çalışanları veya iç denetim faaliyeti ile geçmişteki, şimdiki veya gelecekteki muhtemel

ilişkilerden doğabilir. Dikkate alınması gereken ilişkiler kişisel veya ticari nitelikte olabilir ya da

her ikisini birden kapsayabilir.

• Özel sektörde (yani kamuyla ilgili olmayan), aynı kurum içinden fakat bir başka

departmandan-veya ilişkili kurumdan olan bireyler, her ne kadar organizasyonel olarak iç denetim

faaliyetinden ayrı olsalar da, bir dış değerlendirme faaliyetinin yürütülmesi amaçları bakımından

bağımsız olarak dikkate alınmaz. İlişkili kurum; iç denetim faaliyeti dış değerlendirmeye tabi olan

şirketin bağlı olduğu ana ortaklık veya grup şirketler içindeki iştiraki veya düzenli gözetim ve

denetimini yapan veya kalite güvence sorumluluklarını üslenen bir kuruluş olabilir.

• Üç veya daha fazla kurum arasında (bir endüstrideki veya diğer bağlantılı gruptaki veya bölgesel

kurumdaki ya da organizasyonun başka bir grubundaki) karşılıklı dış değerlendirme ekibi kurma

düzenlemeleri, bağımsızlık amacını başaracak şekilde yapılandırılabilir. Bağımsızlık konusunda

sorun doğmayacak şekilde ve bütün ekip üyelerinin gizlilik gibi meselelere bağlı kısıtlama

olmaksızın sorumluluklarını yerine getirebilmelerini sağlayacak özenin gösterilmesi gerekir. İki

kurum arasında karşılıklı dış değerlendirme faaliyetinin dış değerlendirme amaçları bakımından

yapılması kabul edilemez.

3. Değerlendirme ekibinin bağımsızlığı ve muhtemel çıkar çatışmaları Yönetim Kurulu‟yla

müzakere edilmelidir.


Kamu Sektöründe Dış değerlendirme Ekibinin Bağımsızlığı


1312 - Dış Değerlendirmeler Dış değerlendirmeler, kurum dışından vasıflı ve bağımsız bir gözden geçirme uzmanı veya ekibi

tarafından en azından beş yılda bir yapılmak zorundadır. Dış değerlendirme sıklığının

arttırılmasına yönelik ihtiyaç, dış gözden geçirme uzmanı veya ekibinin sahip olması gereken

vasıflar ve bunların bağımsızlığı meseleleri, menfaat çatışması ihtimali de dikkate alınarak, İç

Denetim Yöneticisi ile Yönetim Kurulu ve Denetim Kurulu arasında tartışılıp değerlendirmek

zorundadır.

Yorum: Vasıflı bir gözden geçirme ekibi, iç denetim uygulamaları ve dış değerlendirme süreçleri

konularında yetkin fertlerden oluşmalıdır. Gözden geçirme uzmanının ve ekibinin yetkinliğinin

değerlendirilmesi, incelemeyi yapmak için seçilen bireylerin mesleki iç denetim tecrübesini ve

mesleki ehliyetlerini dikkate alan bir kanaate dayanır. Yeterliliklerin değerlendirilmesi, ayrıca, iç

denetim faaliyeti değerlendirilen kuruluş ile ilişkili olan gözden geçirmeyi yapan kurumların

büyüklük ve karmaşıklığını ve aynı zamanda belirli bir sektör, sanayi ya da teknik bilgiye dair

ihtiyacı göz önünde bulundurur.

Bağımsız bir gözden geçirme uzmanı ve ekibi demek, gerçek ya da belirgin bir çıkar çatışması

olmayan ya da iç denetim faaliyetinin bağlı olduğu kuruluşun bir parçası olmayan ya da bu

kuruluşun kontrolü altında olmayan manasına gelir.

1. “Kamu sektörü” terimi devletin bütün kademeleri ile devletin sahip olduğu veya kontrolü

altında bulunan otorite veya işletmeleri (kuruluşları) kapsar. Kamu sektöründe, kamunun farklı

kademelerindeki iç denetim faaliyetleri dış değerlendirme amaçları için bağımsız olabilir.

2. Birleşmiş Milletler, Avrupa Komisyonu gibi özerk kuruluşlar, birçok hükümet tarafından

kontrol edilen veya birçok hükümete ait olan organizasyon, kurum ve şirketleri kapsar. Böyle

organizasyonların çok taraflı yapılarından ötürü özel sektör için olan rehberi izlemeleri gerekir.

3. Dış değerlendirmeyi yürütecek olan ekibin bütün üyelerinin organizasyondan ve onun denetim

faaliyetini yapan personelinden bağımsız olması gerekir. Özellikle değerlendirme ekibinin

üyelerinin kurumla ve/veya kurum çalışanlarıyla gerçek veya öyle algılanan çıkar çatışmaları

olmamalıdır. Değerlendirme ekibinin bağımsızlığının değerlendirilmesinde göz önünde

bulundurulması gereken alanlar aşağıda verilmiştir:

• Kurumdan bağımsız olmak, iç denetim faaliyeti değerlendirilen kurumun etkisi altında olmamak

anlamına gelir. Dış değerlendiricinin seçim sürecinde gerçek, potansiyel ya da algısal çıkar

çatışmalarının göz önünde bulundurulması gerekir. Çıkar çatışmaları kurumla veya iç denetim

faaliyeti ile geçmişteki, şimdiki veya gelecekte ortaya çıkabilecek muhtemel ilişkilerden

doğabilir. Dikkate alınması gereken ilişkiler kişisel veya ticari nitelikte olabilir ya da her ikisini

birden kapsayabilir.

• Kamu sektöründe, aynı devlet kademesinde (ulusal eyalet/vilayet, ilçe veya şehrin idaresindeki)

farklı kuruluşlarda ayrı iç denetim faaliyeti yürüten bireyler dış değerlendirmelerin yürütülmesi

amaçları bakımından bağımsız kabul edilebilir.

• Aynı hükümet kademesi içinde bir ya da daha fazla iç denetim faaliyetinin aynı İç Denetim

Yöneticisi‟ne raporlanması durumunda, bu kişiler ayrı kuruluşlarda çalışıyor olsalar bile dış

değerlendirmelerin yürütülmesi amaçları bakımından bağımsız kabul edilmez. Sadece bu

kuruluşların her birinden bağımsız olan denetçiler dış değerlendirmeleri yürütebilirler.


"Uluslararası İç Denetim Meslekî Uygulama Standartlarına Uygundur" ibaresinin

Kullanılması

1. İç denetim faaliyetinin sürekli gözlemi ve dış ve iç değerlendirmeleri, iç denetim faaliyetinin İç

Denetimin Tanımı, Etik Kuralları ve Standartlara uygun olduğuna ilişkin değerlendirme yapmak ve

bir görüş belirtmek için yürütülür ve uygun görülür ise geliştirme amaçlı tavsiyeler içermelidir.

2. Kullanılacak ibare, "Standartlara uygun" ya da "Standartlarla uyumlu" olabilir. Bu ibarelerden

birini kullanmak için, sürekli gözlem ve periyodik iç değerlendirmelerle birlikte, her beş yıl süresince

en az bir kez yapılan bir dış değerlendirme gerekir. Ayrıca bu değerlendirmelerde, iç denetim

faaliyetinin İç Denetimin Tanımı, Etik Kuralları ve Standartlara uygun olduğu sonucuna varılmış

olması gereklidir. Bir dış değerlendirme iç denetim faaliyetinin İç Denetimin Tanımı, Etik Kuralları ve

Standartlara uygun olduğunu açıkça ortaya koyana kadar, uygunluk ibaresinin kullanılması uygun

değildir.

3. İç Denetim Yöneticisi (İDY), beş yıllık bir dönem içerisinde bir dış değerlendirme alamama

hususu da dahil olmak üzere, iç denetim faaliyetinin genel kapsamı ve işleyişini etkileyen

uygunsuzluk örneklerini üst yönetime ve yönetim kuruluna açıklamaktan sorumludur.

4. İç denetim faaliyetinin uygunluk ibaresini kullanmasından önce, iç denetim faaliyetinin kendi

sorumluluklarından kurtulmasına yönelik kapasitesini zayıflatan ve bir kalite değerlendirmesi (iç ya

da dış) tarafından belirtilmiş herhangi bir uygunsuzluk örneğinin gerektiği şekilde iyileştirilmesi

gerekir.

Buna ilâveten, aşağıda yer alan hususlar gereklidir:

• Uygunsuzluğun gerektiği şekilde çözüldüğü yönünde fikir birliği sağlamak için iyileştirici

faaliyetlerin, ilgili değerlendirmeyi yapan kişiye (kişilere) belgelenmesi ve raporlanması.

• İyileştirici faaliyetlerin ve ilgili değerlendirmeyi yapan kişinin (kişilerin) bununla ilgili fikir

birliğinin üst yönetime ve yönetim kuruluna raporlanması.

• * *

Yayın: Ocak 2009


Denetim Planıyla Risk ve Risk Maruziyetinin İlişkileııdirilıııesi

1. İç denetim faaliyetinin (biriminin) denetim planının geliştirilmesinde, birçok İç Denetim Yöneticisi

(İDY), öncelikle denetim evreninin geliştirilmesi ya da güncellenmesini faydalı bulmaktadır. Denetim

evreni, gerçekleştirilebilecek bütün denetimlerin bir listesidir. İç Denetim Yöneticisi, üst yönetim ve

yönetim kurulundan denetim evrenine girdi elde edebilir.

2. Denetim evreni, kurumun stratejik planından unsurlar içerebilir. Bu hâliyle denetim evreni,

kurumun genel iş hedeflerini de hesaba katmakta ve yansıtmaktadır. Stratejik planlar, muhtemelen,

kurumun risk karşısındaki davranışı ve planlanan hedeflere ulaşma zorluğu hakkında da fikir verir.

Denetim evreni, normal şartlar altında, risk yönetim sürecinin sonuçlarından da etkilenir. Kurumun

stratejik planı, kurumun içinde faaliyet gösterdiği ortam dikkate alınarak hazırlanır. Bu çevre

etkenleri, denetim evrenini ve göreli risk değerlendirmesini muhtemelen etkileyecektir.

3. İç Denetim Yöneticisi, iç denetim faaliyetinin denetim planını; denetim evrenine, üst yönetim ve

yönetim kurulunun görüşlerine ve kurumu etkileyen riske ve risk maruziyetlerine dair

değerlendirmeye dayalı olarak hazırlar. Anahtar denetim hedefleri, genellikle üst yönetim ve yönetim

kuruluna kurumun hedeflerini gerçekleştirmelerine yardım etmek için, güvence ve bilgi sağlar. Bu

sağladıklarına, risk yönetimi faaliyetlerinin etkililiğinin değerlendirilmesi de dahildir.

yılda bir kere değerlendirilmesi tavsiye edilir. Bazı şartlar altında, denetim planlarının kurumun işi,

faaliyetleri, sistemleri ve kontrollerindeki değişiklikleri yansıtmak için daha sık (örneğin üç ayda bir)

güncellenmesi gerekebilir.

5. Görev iş çizelgeleri, diğer etkenlerin yanı sıra, risk ve risk maruziyetlerinin bir değerlendirmesine

dayandırılır. Önceliklendirme, kaynakların kullanılmasına dair kararların verilmesi için gereklidir. İç

Denetim Yöneticisinin söz konusu öncelikleri tespit etmesine yardımcı olabilecek çeşitli risk

modelleri mevcuttur. Risk modellerinin çoğunda; etki, olasılık, önemlilik, varlıkların likiditesi,

yönetimin yetkinliği, iç kontrollerin kalitesi ve iç kontrollere bağlılık, değişim veya istikrar derecesi,

son denetim görevinin zamanlaması ve sonuçları, karmaşıklık ve personel ve kamuyla ilişkiler gibi etkenler kullanılır. * * *

Yayın: Ocak 2009

Uygulama Önerisi 2010-2

İç Denetim Planlamasında Risk Yönetim Süreçlerinin Kullanılması

1. Risk yönetimi, kurumun bütün faaliyetlerini ilgilendiren güçlü yönetişimin önemli bir parçasıdır.

Birçok kurum, kurumun yönetimiyle tam olarak bütünleşmesi gereken tutarlı ve kapsamlı risk

yönetim yaklaşımlarını uygulamaya koyma yönünde adımlar atmaktadır. Bu yaklaşımlar şirket, işlev

ve iş birimi olmak üzere, kuruluşların tüm seviyelerinde uygulanmaktadır. Yönetim, genel olarak, bir

risk yönetim çerçevesini, değerlendirmenin yürütülmesi ve değerlendirme sonuçlarının

dokümantasyonunda kullanır.

2. Etkili bir risk yönetim süreci, önemli dahili risklerle ilgili anahtar kontrollerin teşhis edilmesinde

yardımcı olabilir. Kurumsal Risk Yönetimi (KRY) yaygın kullanılan bir terimdir. Treadway

Komisyonunun Sponsor Kurumlar Komitesi (COSO), KRY'yi şöyle tanımlar: "Bir kurumun yönetim

kurulunun, yönetiminin ve diğer personelinin üzerinde etkili olduğu, strateji tespitinde ve kurumun

tümüne uygulanan, kurumu etkileyecek muhtemel olayları teşhis etmek ve risk iştahı içindeki riski

yönetmek ve de kurumun hedeflerine ulaşma konusunda makul bir güvence sağlamak için tasarlanmış

bir süreç". Kontrollerin hayata geçirilmesi, yönetimin, risk iştahı içinde kalacak biçimde, riski

yönetmek için kullanabileceği yaygın bir yöntemdir. İç denetçiler, anahtar kontrolleri denetlerler ve

önemli risklerin yönetimi konusunda güvence sağlarlar.

3. IIA'nın Uluslararası İç Denetim Meslekî Uygulama Standartları, kontrolü şöyle tanımlamaktadır:

"Yönetim, yönetim kurulu ve diğer taraflarca, riski yönetmek ve hedeflenen amaçlara ulaşma

ihtimalini arttırmak için alınan önlem. Yönetim, hedef ve amaçlara ulaşılacağına dair makul güvence

sağlamak için yeterli önlemlerin uygulanışını planlar, organize eder ve yönetir."

5. Anahtar kontroller, aksi halde kabul edilemeyecek bir riski, kabul edilebilir bir seviyeye indirmeye

yardımcı olan kontroller veya kontrol grubu olarak tanımlanabilir. Kontroller, riskleri yönetmek için

var olan kurumsal süreçler olarak kabul edilebilir. Etkili bir risk yönetimi sürecinde (uygun

dokümantasyon ile), anahtar kontroller, önemli risklerin derecelendirilmesini azaltmada itibar edilen

bütün riskten etkilenen sistemlerdeki dahili ve artık riskler arasındaki farkı ayırt etmede kolaylıkla

kullanılabilir. Eğer, dahilî risk için bir derecelendirme yapılmamışsa, iç denetçi dahili risk

derecelendirmesi için bir tahmin yapar. Anahtar kontrolleri teşhis ederken (ve iç denetçinin, risk

yönetim sürecinin olgunlaştığı ve güvenilir olduğu sonucuna vardığını varsayarak), iç denetçi şunlara

bakacaktır:

- Dahilî riskten artık riske önemli bir azalmanın olduğu münferit risk faktörleri (özellikle dahili risk

çok yüksek ise). Bu, kurum için önemli olan kontrolleri ortaya koyar.

- Çok sayıdaki riski azaltmaya yarayan kontroller.

6. İç denetim planlaması, kurumsal risk yönetim sürecinden yararlanmaya ihtiyaç duyar. Bir görevin

planlanmasında iç denetçi, faaliyetin önemli risklerini ve yönetimin riski kabul edilir bir seviyeye

indirmek için kullandığı araçları dikkate alır. İç denetçi, iç denetim faaliyetinin planını geliştirirken ve

iç denetim kaynaklarını tahsis etmede öncelikleri belirlerken, risk değerlendirme tekniklerini kullanır.

Risk değerlendirme, denetlenebilir birimleri araştırmada ve gözden geçirme için iç denetim

faaliyetinin planları içine alınacak en büyük riske sahip alanları seçmede kullanılır.

7. İç denetçiler, her risk kategorisini ve kurumdaki KRY sürecini (iş yeri sağlık ve güvenliğinin iç

denetimi, çevresel denetim veya karmaşık finansal araçların denetimi gibi) gözden geçirme ehliyetine

sahip olmayabilirler. İç denetim yöneticisi (İDY), özel uzmanlık vasfına sahip iç denetçilerin veya dış

hizmet sağlayıcılarının uygun şekilde kullanılmasını temin eder.

Bunun yanında iç denetçi, diğer güvence sağlayıcılar ile koordinasyonu sağlar ve bunların işlerini

dayanak almayı bir plan dahilinde dikkate alır. Bkz: Uygulama Önerisi 2050-2: Güvence Haritaları.

10. İç denetim yönetmeliği normal şartlarda, iç denetim faaliyetinin, dahili ve artık risk dahil olmak

üzere, yüksek risk alanlarına yoğunlaşmasını gerektirir. İç denetim faaliyetinin, yüksek dahilî risk ve

yüksek artık risk alanları ile kurumun en önem verdiği anahtar kontrol sistemlerini teşhis etmesi

gerekir. Eğer iç denetim faaliyeti kabul edilemez artık risk alanlarını teşhis ederse, yönetimin, riske

müdahale edilebilmesi için bilgilendirilmesi gerekir. İç denetçi, stratejik denetim planlama sürecini

yönetiyor olmanın bir sonucu olarak, iç denetim faaliyet planına dahil edilmek üzere, farklı faaliyet

türlerini teşhis edebilecektir. Bu faaliyetler şunlardır:

• Kontrollerin gözden geçirilmesi/ güvence faaliyetleri - bu faaliyetlerde, iç denetçi, kontrol

sistemlerinin yeterliliğini ve verimliliğini gözden geçirir, kontrollerin işlediği ve risklerin etkili

şekilde yönetildiği konusunda güvence sağlar.

• Araştırma faaliyetleri - bu faaliyetlerde kurum yönetimi, bir iş faaliyetiyle ilgili kontroller veya

teşhis edilen risk alanında kabul edilemeyecek seviyede bir belirsizlik yaşamaktadır ve iç denetçi, artık

riskin daha iyi anlaşılması için gerekli prosedürleri uygular.

• Danışmanlık faaliyetleri - bu faaliyetlerde, iç denetçi kurumsal yönetime, kabul edilemez mevcut

riskleri en aza indirmek amacıyla kontrol sistemlerinin geliştirilmesi konusunda tavsiyelerde bulunur.

İç denetçiler ayrıca, riski verimsiz şekilde azaltan, gereksiz, fazla, ilgisiz, aşırı veya karmaşık

kontrolleri teşhis etmeye de çalışır. Bu gibi durumlarda, kontrolün maliyeti, elde edilecek faydadan

daha fazla olabilir ve bu yüzden kontrolün tasarımında verimliliği arttırma fırsatları mevcuttur.

11. İlgili risklerin teşhis edilmesini güvence altına almak için, risk teşhisine yönelik kullanılan

yaklaşım, sistematiktir ve çok açık bir şekilde kayıtlı hâle getirilmiştir. Yaklaşımın kayıtlı hâle

getirilmesi (dokümantasyonu), küçük kurumlarda hesap tablosu kullanımından, büyük kurumlarda

özel yazılım kullanmaya kadar değişik şekillerde yapılabilir. Burada dikkat edilmesi gereken husus,

risk yönetim çerçevesinin eksiksiz bir şekilde dokümantasyonudur.

12. Bir kurumda, risk yönetiminin dokümantasyonu, risk yönetim sürecinin stratejik seviyesinin

altında farklı seviyelerde olabilir. Birçok kurum, stratejik seviyenin altındaki riskleri belgelendiren

risk kütükleri geliştirmiştir ve belli bir konudaki önemli risklerin, ilgili dahili ve artık risklerin, anahtar

kontrollerin ve riski azaltıcı unsurların dökümantasyonunu sağlamaktadır. Böylece, risk kütüklerinde

belirtilen "risk sınıfları" ve "riskli tarafları" arasındaki doğrudan bağlantıları ve, uygulanabilen

yerlerde, iç denetim faaliyeti marifetiyle kayıtlı hâle getirilmiş denetim evreninde halihazırda mevcut

olan konuları teşhis etmek için bir hizalama çalışması yapılabilir.

13. Bazı kurumlar, birçok yüksek (veya daha yüksek) dahili risk alanları teşhis edebilir. Bu riskler, iç

denetim faaliyetinin dikkatini çekebilse de, hepsinin gözden geçirilmesi her zaman mümkün değildir.

Risk kütüğünde belli alanda dahili risk için yüksek (veya daha fazlası) bir sıralama (ranking) olduğu

gözüküyorsa, artık risk büyük oranda olduğu gibi kalırsa ve yönetim hiçbir önlem almazsa veya iç

denetim faaliyeti planlaması yapılmazsa, İç Denetim Yöneticisi (İDY), yönetim kuruluna bu alanları

ayrı bir şekilde, risk analizinin ayrıntılarıyla ve iç kontrolün eksik veya etkisiz olma sebepleriyle rapor

eder.

14. Düşük risk seviyeli iş birimi veya şube denetimleri, onları da denetim kapsamına almak ve

risklerinin değişmediğini teyit etmek için, iç denetim faaliyeti planına periyodik olarak alınmalıdır. İç

denetim faaliyeti aynı zamanda henüz denetlenmemiş açık riskleri önceliklendirmek için bir yöntem

de belirler.

15. İç denetim faaliyet planı normal şartlarda şu hususlar üzerine yoğunlaşacaktır:

• Yönetimin önlem almasını gerektiren kabul edilmeyen mevcut riskler. Bunlar, üst yönetiminin

âcilen denetlenmesini istediği, asgarî seviyedeki anahtar kontrollerinin veya riski azaltıcı unsurların

olduğu alanlar olacaktır.

• Kurumun en fazla bel bağladığı kontrol sistemleri.

• Dahili ve artık risk arasındaki farkın büyük olduğu alanlar.

• Dahili riskin çok yüksek olduğu alanlar.

16. Münferit iç denetimler planlanırken, iç denetçi, gözden geçirilen alanla ilgili riskleri

belirler ve değerlendirmesini yapar.

• * *

Yayın: Temmuz 2009


Bildirim ve Onay

1. İç Denetim Yöneticisi, iç denetim faaliyetinin yıllık denetim planının, iş çizelgesinin, personel

kadro planının ve mali bütçesinin bir özetini yılda bir kere, gözden geçirme ve onay için, üst yönetime

ve yönetim kuruluna sunar. Bu özet, üst yönetimi ve yönetim kurulunu, iç denetim çalışmasının

kapsamı ve bu kapsam üzerindeki sınırlandırmalar hakkında bilgilendirir. İç Denetim Yöneticisi,

bütün önemli ara değişiklikleri de onay ve bilgi için sunar.

2. Onaylanmış görev iş çizelgelerinin, personel kadro planlarının, mali bütçenin ve bunlardaki bütün

önemli ara değişikliklerin, iç denetim faaliyetinin (biriminin) amaç ve planlarının kurumun ve yönetim

kurulunun amaç ve planlarını destekleyip desteklemediğine ve tüm bunların iç denetim yönetmeliği ile

uyumlu olup olmadığına dair üst yönetim ve yönetim

kurulunun kanaat sahibi olmasını mümkün kılacak seviyede bilgi içermesi gerekir.

* * *

Yayın: Ocak 2009


Kaynak Yönetimi

1. İç Denetim Yöneticisi, öncelikle, iç denetim yönetmeliğinde ayrıntılarıyla anlatılan iç denetimin

sorumluluklarının yerine getirilmesini sağlayan iç denetim kaynaklarının yönetiminden ve

yeterliliğinden sorumludur. Bu sorumluluk, üst yönetim ve yönetim kuruluna kaynak ihtiyacının etkili

bir şekilde bildirilmesini ve konumunun rapor edilmesini içerir. İç denetim kaynakları içinde,

çalışanlar, dış hizmet sağlayıcıları, finansal destek ve teknoloji tabanlı denetim teknikleri olabilir. İç

denetim kaynaklarının yeterliliğinin güvencesi tamamen üst yönetimin ve yönetim kurulunun

sorumluluğundadır. İç Denetim Yöneticisi, bu sorumluluğun yerine getirilmesinde onlara yardım

etmelidir.

2. İç denetim personelinin becerileri, kabiliyetleri ve teknik bilgileri, planlanan faaliyetlere uygun

olmalıdır. İç Denetim Yöneticisi, iç denetim faaliyetlerini gerçekleştirmek için gerekli olan özel

becerileri belirlemek üzere, dönemsel olarak kadrosunun becerilerinin bireysel ve toplu bir

değerlendirmesini yapar. Beceri değerlendirmesi, risk değerlendirme ve denetim planında tanımlanan

değişik ihtiyaçları dikkate alır ve bunlar üzerine kurulur. Bu değerlendirme, teknik bilginin, dil

becerilerinin, iş anlayışının, suistimalin tespit ve engelleme becerisinin, yeterliliğinin, muhasebe ve

denetim uzmanlığının değerlendirilmesini içerebilir.

3. İç denetim kaynakları, denetim faaliyetlerinin, iç denetim yönetmeliğinde belirtildiği şekilde,

yönetim kurulunun beklediği genişlik, derinlik ve zamanlamayla yerine getirilmesi için yeterli

olmalıdır. Kaynak planlama düşünceleri, denetim evrenini, ilgili risk seviyelerini, yıllık denetim

planını, kapsam beklentilerini, beklenmeyen faaliyetlerin tahminini içerir.

4. İç Denetim Yöneticisi ayrıca kaynakların etkili kullanımını da güvence altına alır. Bunun içinde,

özel görevler için vasıflı ve ehil denetçilerin görevlendirilmesi de vardır. Bu ayrıca, kurumun iş

yapısına, risk profiline ve coğrafi dağılımına uygun bir kaynak yaklaşımının ve organizasyonel

yapının geliştirilmesini içerir.

5. Genel bir kaynak yönetimi açısından İç Denetim Yöneticisi, haleflik planlaması (succession

planning), personel değerlendirmesi ve gelişim programları ve diğer insan kaynakları disiplinlerini

dikkate alır. İç Denetim Yöneticisi ayrıca, bu beceriler iç denetim faaliyetinin kendisinde olsun

olmasın, iç denetimin faaliyetinin kaynak ihtiyaçlarım tespit eder. Kaynak ihtiyaçlarının tespit

edilmesinde diğer yaklaşımlar, dış hizmet sağlayıcılarını, şirketin diğer bölümlerindeki çalışanları

veya uzman danışmanları içerir.

6. Kaynakların yapısının hassas olması sebebiyle, İç Denetim Yöneticisi, iç denetim faaliyeti için

gerekli olan kaynakların yeterliği konusunda üst yönetim ve yönetim kurulu ile devamlı iletişim ve

diyalog hâlinde olur. İç Denetim Yöneticisi, üst yönetime ve yönetim kuruluna kaynakların yeterliği

ve durumu hakkında düzenli olarak bir durum raporu sunmalıdır. Bu amaçla, İç Denetim Yöneticisi,

kaynakların genel yeterliğini gözlemlemek için uygun ölçümler, amaçlar ve hedefler geliştirir.

Bunların içinde, yıllık denetim planı ile kaynakların kıyaslanması, geçici boşluk veya eksikliklerin

etkisi, eğitim faaliyetleri, kurumun işinde, operasyonlarında, programlarında, sistemlerinde ve

kontrollerindeki değişikliklere dayanan özel beceri ihtiyaçlarındaki değişiklikler de yer alır. * * * Yayın: Ocak 2009


Politika ve Prosedürler

1. İç Denetim Yöneticisi, politika ve prosedürler geliştirir. Bütün iç denetim faaliyetleri tarafından

(birimlerinin) resmî nitelikte idarî ve teknik denetim el kitapçıklarına ihtiyaç duyulmayabilir. Küçük

bir iç denetim faaliyeti resmî nitelikteki bu düzenlemeler olmadan da yönetilebilir. Bunların personeli,

günlük yakın bir gözetimle ve izlenmesi gereken politika ve prosedürleri belirten basit müzekkerelerle

(memoranda) kontrol edilip yönlendirilebilir.

Büyük iç denetim faaliyetlerinde ise iç denetim planını uygularken iç denetçilere yol gösterecek daha

resmî ve kapsamlı politika ve prosedürler gereklidir.

* * *

Yayın: Ocak 2009


Eşgüdüm (Koordinasyon)

1. Dış denetçilerin çalışmalarının gözetimi, iç denetim faaliyetiyle eşgüdümün sağlanması dahil,

yönetim kurulunun sorumluluğundadır. İç ve dış denetim çalışmalarının eşgüdümü İç Denetim

Yöneticisinin (İDY) sorumluluğudur. İDY, denetim işlerinin etkin eşgüdümünü sağlamak için

yönetim kurulunun desteğini alır.

2. Kurumlar iç denetim kapsamındaki faaliyetlerle ilgili güvence sağlamak için dış denetçilerin

çalışmalarını kullanabilirler. Bu durumlarda, İç Denetim Yöneticisi dış denetçiler tarafından

gerçekleştirilen işleri anlamak için aşağıda belirtilenler dahil gerekli adımları yerine getirir:

• Dış denetçilerin planladıkları çalışmaların niteliği, kapsamı ve zamanlaması, kendi çalışmaları ile

birlikte iç denetçilerin planlanan çalışmalarını ve 2100 numaralı standardın gerekliliklerini karşılar.

• Dış denetçinin risk ve önemlilik değerlendirmesi

• İç denetim yöneticisinin (1) iç ve dış denetim çalışmalarının koordinasyonunu gerçekleştirmesi; (2)

emniyet amacıyla dış denetçilerin çalışmalarını değerlendirmesi ve (3) dış denetçilerle etkin iletişim

sağlaması amacıyla dış denetçilerin teknikleri, metodları ve terminolojisi.

• İç denetim amaçları için dış denetçilerin çalışmalarına güvenebilmesini sağlamak için dış

denetçilerin program ve çalışma kâğıtlarına erişim. İç denetçiler bu programların ve çalışma

kâğıtlarının gizliliğinin sağlanmasından sorumludur.

3. Dış denetçi, çalışmasını yerine getirirken iç denetim faaliyetinin çalışmalarını dayanak alabilir. Bu

durumda, iç denetim yöneticisi, dış denetçilerin iç denetim tarafından yapılan çalışmalara

güvenilebilmesini sağlamak için iç denetçilerin tekniklerinin, metodlarının ve terminolojisinin

analaşılabilmesi için yeterli bilgiyi sağlamak zorundadır. Dış denetim amaçları için iç denetçilerin

çalışmalarına güvenebilmesini sağlamak için dış denetçilerin iç denetçilerin program ve çalışma

kâğıtlarına erişimine imkân sağlanması.

4. İç ve dış denetçilerin çalışmalarının koordinasyonunun etkili bir biçimde sağlanması ve

birbirlerinin çalışmalarına güvenebilmeleri için benzer teknikleri, metodları ve terminolojiyi

kullanması verimli olabilir.

5. Denetim kapsamı konusunda eşgüdümü sağlamak ve aynı çalışmaların gereksiz yere

tekrarlanmasını asgarîye indirmek için, iç ve dış denetçilerin planladığı denetim faaliyetlerinin

görüşülmesi gerekir. Denetim süreci sırasında, denetim çalışmalarının eşgüdümünü ve denetim

faaliyetlerinin verimli ve zamanında tamamlanmasını sağlamak ve o güne kadar yapılan işlerle ilgili

gözlem ve tavsiyelerin planlanan işlerin kapsamında bir ayarlama yapılmasını gerektirip

gerektirmediğine karar vermek amacıyla, yeterli sayıda toplantı düzenlenmelidir.

6. İç denetim biriminin nihaî rapor ve yazıları, yönetimin bu rapor ve yazılara verdiği yanıtlar ve daha

sonraki takip çalışmaları, dış denetçilere de açık olmalıdır. Bu rapor ve yazılar, dış denetçilerin

denetim işlerinin kapsam ve zamanlamasını tespit etmesine ve gerekli ayarlamaları yapmasına

yardımcı olur. Ayrıca, iç denetçilerin de dış denetçilerin sunumlarına, raporlarına ve bunlarla ilgili

idari yazılara erişebilmesi gerekir. Bunlarda ele alınan ve tartışılan sorun ve konular, İDY tarafından

anlaşılmalı ve iç denetçilerin gelecekteki iç denetim çalışmalarında öne çıkartılması gereken alan ve

konuların planlanmasında kullanılmalıdır. İdarî yazışmaların incelenmesinden ve ilgili yöneticilerin

ve yönetim kurulunun gereken düzeltici tedbirleri başlatmasından sonra, İDY gerekli takip ve

düzeltme çalışmasının yapılmasını sağlamalıdır.

7. İç Denetim Yöneticisi, iç ve dış denetçiler arasındaki eşgüdümü düzenli olarak değerlendirmelidir.

Bu değerlendirmeler, toplam denetim maliyeti de dahil, iç ve dış denetim işlevlerinin genel etkililik ve

verimliliğini de içerebilir. İDY, bu değerlendirmelerin sonuçlarını, dış denetçilerin performansına

yönelik yorumuyla birlikte, üst yönetime ve yönetim kuruluna iletir.

* 4 *

Yayın: Ocak 2009


Güvence Haritaları

1. Yönetim kurulunun en önemli sorumluluklarından birisi, süreçlerin belirtilen hedeflere ulaşmak

için koyulan parametreler doğrultusunda işlediği konusunda güvence elde etmektir. Risk yönetim

4 Yönetime rapor veren ve/veya yönetimin bir parçası olanlar (yönetim güvencesi), kontrol

özdeğerlendirmelerini yapan kişiler dahil, kalite denetçileri, çevre denetçileri ve yönetimin belirlediği

diğer güvence personeli.

• İç denetim dahil, yönetim kuruluna rapor verenler.

süreçlerinin etkili bir şekilde yürüdüğünün ve anahtar veya kritik iş risklerinin, kabul edilir bir

seviyede yönetilip yönetilmediğinin tespit edilmesi gerekmektedir.

2. Üst yönetimin ve yönetim kurullarının rollerine ve sorumluluklarına gösterilen dikkatin artması,

birçok kurumun, güvence faaliyetlerine daha büyük bir önem vermesine sebep olmuştur. Standartların

Terimler Sözlüğü'nde 'güvence' şöyle tanımlanmaktadır: "Kurumun yönetişim, risk yönetimi ve

kontrol süreçlerine ilişkin bağımsız değerlendirmenin sağlanması amacıyla kanıtların tarafsız olarak

incelenmesi". Yönetim kurulu, sağlam bir güvence elde etmek için birçok kaynak kullanacaktır.

Yönetimden alınan güvence, esas teşkil eder ve bu güvence, iç denetimden ve üçüncü partilerden

gelecek objektif güvence ile tamamlanmalıdır. Risk yöneticileri, iç denetçiler ve uyum görevlileri

(compliance practitioners) şu soruyu sorarlar: "Kim, neyi niçin yapar?" Özellikle yönetim kurulları,

güvencenin kim tarafından verildiğini, işlevler arasındaki sınırın nerede bitip nerede başladığını ve bir

çakışma olup olmadığını sorgulamaya başladılar.

3. Temel olarak üç sınıf güvence sağlayıcısı vardır. Aralarındaki fark, hizmet ettikleri paydaşlardan,

güvence sağladıkları faaliyetlerdeki bağımsızlık seviyelerinden ve bu güvencenin sağlamlığından

kaynaklanır.

• Dış hissedarlara rapor verenler (dış denetim güvencesi), ki bunların işleri tamamen bağımsız/yasal

denetçi tarafından yerine getirilir. İstenen güvencenin seviyesi ve bu güvenceyi kimin sağlayacağı,

riske göre değişir.

4. Bir kurum için birçok güvence sağlayıcısı vardır.

• Alt yönetim ve çalışanlar (yönetim, sorumlu olduğu riskler ve kontroller için

birinci seviyeden koruma sağlar.)

• Üst yönetim.

• İç ve dış denetçiler.

• Uyum.

• Kalite güvencesi.

• Risk yönetimi.

• Çevresel denetçiler.

• İş yeri sağlık ve güvenlik denetçileri.

• Kamu performans denetçileri.

• Finansal raporlama denetim ekipleri.

• Yönetim kurulunun alt komiteleri (denetim, sigorta, kredi, yönetişim komiteleri gibi).

• Araştırmalar, uzman incelemeleri (sağlık ve güvenlik), v.b. dahil, dış güvence sağlayıcıları.

5. İç denetim faaliyeti normal şartlarda, tüm kuruma güvence sağlayacaktır. Buna, (hem tasarım hem

de etkili işleyişleri konusunda) risk yönetim süreçleri, "anahtar" olarak sınıflandırılan bu risklerin

yönetimi (kontrollerin etkililiği ve bunlara karşı alınan diğer tedbirler dahil), risk değerlendirmesinin

güvenilirliğinin ve uygunluğunun doğrulanması ve risk ve kontrol durumlarının raporlandırılması da

dahildir.

6. Güvence faaliyetlerinin sorumluluğu geleneksel olarak yönetim, iç denetim, risk yönetimi ve uyum

arasında paylaşıldığından, güvence faaliyetlerinin, kaynakların en verimli ve etkili şekilde

kullanılmak üzere koordine edilmesi çok önemlidir. Birçok kurum, geleneksel (ve müstakil) iç

denetim, risk ve uyum faaliyetleri ile çalışır. Kurumlarda, farklı risk yönetimi, uyum grupları vardır ve

güvence işlevleri birbirinden bağımsız iş yaparlar. Etkili bir koordinasyon ve raporlama olmazsa, çifte

iş yükü oluşabilir veya anahtar riskler gözden kaçırılabilir ya da yanlış değerlendirilebilir.

7. Birçok kurum, iç denetim, risk yönetimi ve uyum faaliyetlerini izlerken, çoğu bu faaliyetleri

bütünsel bir bakış açısıyla gözlemlemez. Bir güvence haritası çalışmasında, bir kurumun anahtar

risklerini kapsayacak güvence haritası çıkartılır. Bu süreçte, kurumun risk yönetim sürecinde bütün

eksikliklerinin teşhis edilmesi ve ele alınması sağlanır ve hissedarlara, risklerin yönetildiği ve rapor

edildiği, ayrıca düzenleme ve yasal yükümlülüklerin de yerine getirildiği garantisi verilir. Kurumlar,

karşılaştıkları riskler ve bu risklere nasıl karşılık verildiği konusunda yönetime bilgi verildiği için,

böylesine düzenli bir yaklaşımdan oldukça kârlı çıkacaklardır. Haritalandırma, tüm kurum dikkate

alınarak yapılır ve böylece, tüm risk ve güvence rolleri ve sorumluluklar yerli yerine oturur. Buradaki

amaç, ortada kapsamlı bir risk

ve güvence sürecinin olduğunu ve bu süreçte harcanan iş yükünün artmadığını ve muhtemel açıklar

olmadığını garanti altına almaktır.

8. Çoğu zaman bir kurum, risk yönetim çerçevesini oluşturan önemli risk sınıflarını tanımlamış

olacaktır. Bu gibi durumlarda, güvence haritası bu çerçevenin yapısını temel alacaktır. Örneğin, bir

güvence haritasında şu sütunlar olabilir:

• Önemli risk sınıfı

• Riskten sorumlu yönetimin rolü (riskin sahibi)

• Dahili risk derecelendirmesi

• Artık risk derecelendirmesi

• Dış denetimin kapsamı

• İç denetimin kapsamı

• Diğer güvence sağlayıcısının kapsamı

Bu örnekte, iç denetim yöneticisi (İDY), iç denetimin kapsamı sütununu henüz tamamlanmış bir

kapsamla doldurabilir. Genellikle önemli her bir riskin bir sahibi veya bu riskle ilgili güvence

faaliyetinin koordine edilmesinden sorumlu biri vardır ve bu kişi, diğer güvence sağlayıcısının kapsam

sütununu dolduracaktır. Kurum içindeki her bir önemli birimin kendi güvence haritası olabilir. Ya da

bunun yerine, iç denetim faaliyeti, kurumun güvence haritasının geliştirilmesi ve tamamlanmasında

bir koordinasyon rolü üstlenebilir.

9. Kurumun güvence haritası tamamlandığında, yetersiz güvence kapsamlı önemli riskler veya

fazladan gayret harcanmış güvence kapsamlı alanlar teşhis edilebilir. Üst yönetim ve yönetim

kurulunun, bu riskler için güvence kapsamıyla ilgili değişiklikler yapması gerekecektir. İç denetim

faaliyetinde, yetersiz kapsamlı alanları, iç denetim planı geliştirilirken dikkate alınmalıdır.

10. İç denetim faaliyetinin rolünü ve sağladığı güvence seviyesini netleştirmek, yönetim kurulunun

ve kurumun ihtiyaç duyduğu bağımsız güvence gereksinimlerini anlamak iç denetim yöneticisinin

sorumluluğundadır. Yönetim kurulu, bütün güvence sürecinin olması gerektiği gibi işlediğinden ve

kurumun risklerinin etkili bir şekilde yönetildiğinden ve raporlandığından emin olmalıdır.

11. Yönetim kurulu, her bir risk sınıfında hem uygulanan hem de planlanan güvence faaliyetleri

konusunda bilgi almalıdır. İç denetim faaliyeti ve diğer güvence sağlayıcılar, yönetim kuruluna

kurumun belli kategorilerinde var olan riskin seviyeleri ve niteliği için uygun seviyede güvenceyi

sunar.

12. İç denetim yöneticisinin genel bir fikir sunmasını isteyen kurumlarda, iç denetim yöneticisi,

kurumun yönetişimi, risk yönetimi ve kontrol süreçleriyle ilgili genel bir fikir sunmadan önce, diğer

güvence sağlayıcılarının yaptıklarını dikkate almak için (uygun olduğunda dayanak almak için),

entegre güvence haritasının yapısını, kapsamını ve büyüklüğünü anlamalıdır. IIA'nın 'Practice Guide

Formulating and Expressing Internal Audit Opinions' (İç Denetim Düşüncelerinin Hazırlanması ve

Sunulmasına Dair Uygulama Rehberi)

isimli yayınında ilâve yönlendirmeler bulunabilir.

13. Kurumun genel bir fikir istemediği durumlarda, iç denetim yöneticisi, güvencede bilinen ve kabul

edilen hiçbir açıklık veya boşluğun olmadığını temin etmek için, güvence sağlayıcılarının

koordinasyonunu sağlayabilir. İç denetim yöneticisi, diğer güvence sağlayıcılardaki herhangi bir

girdi/ilgi/gözetim/güvence eksikliğini rapor eder. Eğer iç denetim yöneticisi, güvence kapsamının

uygun veya yeterli olmadığına hükmederse, üst yönetim ve yönetim kuruluna bu yönde tavsiyede

bulunulması gerekir.

14. İç denetim yöneticisi, Standart 2050'ye göre, diğer güvence sağlayıcılarla olan faaliyetleri

eşgüdümlü hâle getirir; bunun için güvence haritasından yararlanılabilir. Güvence haritaları

her geçen gün, bu eşgüdümün daha etkili bir şekilde yapılmasını sağlamaktadır. * * *

Yayın: Temmuz 2009


Diğer Güvence Sağlayıcıların Çalışmalarına Güvenme (Ekim 2010)


2050 – Eşgüdüm (Koordinasyon) İç Denetim Yöneticisi; aynı çalışmaların gereksiz yere tekrarlanmasını asgarîye indirmek ve işin

kapsamını en uygun şekilde belirlemek amacıyla, güvence ve danışmanlık hizmetlerini yerine

getiren diğer iç ve dış sağlayıcılarla, mevcut bilgileri paylaşmalı ve faaliyetleri bunlarla eşgüdüm

içinde sürdürmelidir.

1. İç denetçi, Yönetim Kurulu‟na kurumsal yönetişim, risk yönetimi ve kontrol güvencesi

sağlamada diğer iç ve dış sağlayıcıların çalışmalarından yararlanabilir veya bu çalışmalara

güvenebilir. İç güvence sağlayıcılar; yönetimin gözlemleme faaliyetleri yanında, (Mevzuata)

Uygunluk, Bilgi Güvenliği, Kalite, İş Sağlığı ve Güvenliği gibi işletme fonksiyonlarını içerebilir.

Dış güvence sağlayıcılar; bağımsız denetçileri, ortak teşebbüs paydaşlarını, uzman görüşlerini

veya Uluslararası Güvence Hizmetleri (bağımsız denetim) Standardı 3402: Bir Hizmet

Örgütündeki Kontrollere İlişkin Güvence Raporları Standardına göre raporlama yapanlar da dahil

olmak üzere üçüncü taraf denetim şirketlerini içerebilir.

2. Diğer güvence sağlayıcıların çalışmalarına güvenme kararı; iç denetim faaliyetinin

yetkinliklerinin dışında kalan alanlar dahil olmak üzere, diğer güvence sağlayıcılarından bilgi

almak veya iç denetim planının dışında kalan riskin karşılanma düzeyini verimli bir şekilde

arttırmak gibi çok çeşitli nedenlerle olabilir.

3. İç denetim yönetmeliği ve/veya denetim sözleşmesi, iç denetim faaliyetinin diğer iç ve dış

güvence sağlayıcıların çalışmalarına erişebileceğini belirtmelidir.

4. Güvence sağlayıcısı tutması durumunda, iç denetçi görev beklentilerini bir kontrat ya da

anlaşma olarak yazılı hale getirmelidir. Çıktıların niteliği ve aidiyeti, metot/teknikler, kullanılacak

bilgi ve prosedürlerin doğası gereği, yapılan işin uygunluğundan emin olmak için kullanılacak

ilerleme raporları/gözetimi ve raporlama gereksinimleri için olası en küçük beklentiler

karşılanmalıdır.

5. Eğer kurum yönetimi üçüncü taraf bir güvence sağlayıcıyla sözleşme imzalarsa veya o yönde

bir talimat verirse iç denetçinin talimatın uygun olduğu, anlaşıldığı ve yerine getirildiği konusunda

ikna olması gereklidir.

6. İç denetçi diğer güvence sağlayıcının çalışmasının doğruluğuna güvenip güvenmeyeceğine

veya onun çalışmasını kullanıp kullanmayacağına karar verirken, güvence sağlayıcının

bağımsızlık ve tarafsızlığını göz önünde bulundurması gereklidir. Eğer bir güvence sağlayıcı iç

denetim yerine yönetim tarafından tutulduysa ve/veya yönetiliyorsa, bu düzenlemenin güvence

sağlayıcının bağımsızlık ve tarafsızlığına etkisinin değerlendirilmesi gereklidir.

7. İç denetçi güvence sağlayıcının yetkinliğini ve niteliğini değerlendirmelidir. Yeterliliğe dair

örnekler; güvence sağlayıcının uygun mesleki deneyime ve niteliğe sahip olduğunun

doğrulanması, ilgili mesleki kurum veya enstitülerde güncel kaydının olması ve sektörde

yetkinliği ve dürüstlüğü ile tanınmasını kapsar.

8. İç denetçinin, Standart 2310: Bilgilerin tespiti ve Tanımlanması gereği güvence sağlayıcının

uygulamalarının makul bir güvenceye sahip olduğu, bulguların yeterli, güvenilir, ilgili ve yararlı

bilgiye dayandırılmış olduğu kanaatinde olmalıdır. Diğer güvence sağlayıcının çalışmasının hangi

ölçüde kullanıldığına bakılmaksızın, Standart 2310‟un gereğinin İç Denetim Yöneticisi tarafından

yerine getirilmesi zorunludur.

9. İç denetçi güvence sağlayıcının çalışmasının uygun bir şekilde planlandığından,

yönetildiğinden, dokümante edildiğinden ve değerlendirildiğinden emin olmalıdır. İç denetçi

güvence sağlayıcısının çalışmasının kullanılabilirlik ve güvenilebilirlik oranını saptayabilmek için

denetim bulgularının uygun ve yeterli olup olmadığını değerlendirmelidir. Diğer güvence

sağlayıcı tarafından yapılan çalışmanın değerlendirmesine bağlı olarak uygun ve yeterli denetim

bulgusuna ulaşabilmek için ek çalışmalara ya da test prosedürlerine ihtiyaç duyulabilir. İç denetçi

güvence


Yönetişim: Değerlendirmeler (Nisan 2010)


2110 – Yönetişim/Kurumsal Yönetim İç denetim faaliyeti, aşağıdaki amaçların gerçekleştirilmesi amacıyla yönetişim sürecini

değerlendirmek ve iyileştirilmesi için gerekli tavsiyelerde bulunmak zorundadır:

• Kurum içinde gerekli etik ve diğer değerlerin geliştirilmesi,

• Etkili bir kurumsal performans yönetiminin ve hesap verebilirliğin temini,

• Risk ve kontrol bilgilerinin kurumun gerekli alanlarına iletilmesi,

• Yönetim kurulunun, denetim kurulunun, iç ve dış denetçilerin ve üst yönetimin faaliyetleri

arasında eşgüdüm sağlamak ve bunlar arasında gerekli bilgilerin iletimini sağlamak.

1. İç denetçiler yönetişim uygulamalarının gelişimini değerlendirmede ve katkıda bulunmada bazı

farklı yetkilerle hareket edebilirler. Bilindiği üzere, iç denetçiler kurumun yönetişim süreçlerinin

tasarım ve işleyiş etkinliğinin bağımsız, tarafsız değerlendirmesini sağlar. Ayrıca, bu süreçleri

geliştirme yöntemleri hakkında danışmanlık hizmetleri ve tavsiyeler de sunabilirler. Bazı

durumlarda iç denetçilerden, yönetişim uygulamalarının öz değerlendirmeleri konusunda

Yönetim Kurulu‟na yardımcı olmaları istenebilir.

2. Uygulama Önerisi 2110-1 Yönetişim: Tanım‟da belirtildiği üzere, denetim amaçlı yönetişimin

tanımı üzerinde, uygun olduğu ölçüde Yönetim Kurulu ve üst düzey yöneticilerin anlaşması

gereklidir. Buna ek olarak, iç denetçinin kurumun yönetişim süreçlerini ve yönetişim, risk ve

kontrol arasındaki ilişkileri anlaması gereklidir. (Uygulama Önerisi 2110-2 Yönetişim: Risk ve

Kontrolle İlişki‟ye bakınız.)

3. Denetim planının, kuruma yönelik risklerin değerlendirilmesine dayandırılarak oluşturulması

gereklidir. Risk değerlendirmesinde tüm yönetişim süreçlerinin göz önünde bulundurulması

gereklidir. Bu Planın, süreçlerin değerlendirilmesi veya yönetimin yapılmasını talep ettiği işlerde

dikkate alınması gereken riskli alanlar da dahil olmak üzere daha yüksek risk içeren yönetişim

süreçlerini kapsaması gereklidir. Planın yürütülmesi gereken işin niteliğini, uyulması gereken

yönetişim süreçlerini ve yapılacak değerlendirmelerin yapısını (örneğin makro olarak - tüm

yönetişim çerçevesini dikkate almak veya mikro olarak- belirli riskleri, süreçleri, faaliyetleri veya

bunların her ikisinin bazı bileşimlerini dikkate almak) tarif etmesi gereklidir.

4. Bilinen kontrol sorunları varsa veya yönetişim süreci olgunlaşmamışsa, İç Denetim Yöneticisi

biçimsel değerlendirmelere ek olarak veya bunların yerine danışmanlık hizmetlerini kullanarak

kontrol ve yönetişim süreçlerini geliştirmede farklı metotları değerlendirebilir.

5. Yönetişim süreçleriyle ilgili iç denetim değerlendirmelerinin zaman içinde yürütülen sayısız

denetim görevinden elde edilen bilgiye dayanıyor olması muhtemeldir. İç denetçinin aşağıdaki

hususları dikkate alması gereklidir:

• Özellikli yönetişim süreçlerinin denetim sonuçları (örneğin ihbar süreci, strateji yönetim süreci).

• Özellikle yönetişime odaklanmayan denetimlerde ortaya çıkan yönetişim sorunları (örneğin risk

yönetimi süreci denetimleri, finansal raporlama üzerindeki kontroller, hile riski)

• Diğer iç ve dış güvence sağlayıcıların çalışmalarının sonuçları (örneğin baş hukuk danışmanı

tarafından soruşturma sürecini incelemek üzere görevlendirilen bir şirket). (Uygulama Önerisi 2050 - Eşgüdüm‟e bakınız.)

• Yönetişim süreçlerinin geliştirilmesi için bir fırsata işaret eden olumsuz olaylar gibi yönetişim sorunları hakkındaki diğer bilgiler.

6. İç denetçinin, planlama, değerlendirme ve raporlama aşamalarında, sonuçların niteliği ve

detaylandırılma potansiyeline karşı duyarlı olması ve Yönetim Kurulu ve üst yöneticilerle uygun

iletişimi sağlaması gereklidir. İç denetçinin denetime başlamadan ve raporu sonuçlandırmadan

önce hukuk danışmanına danışmayı düşünmesi gereklidir.

7. İç denetim faaliyeti yönetişim sürecinin asli bir parçasıdır. Yönetim Kurulu ve üst yöneticilerin,

iç denetimin etkililiğinin güvencesi olarak, Uluslararası İç Denetim Mesleki Uygulama

Standartları‟na uygun olarak yürütülen dış kalite değerlendirmeleri ile bağlantılı bir şekilde iç

denetim faaliyetinin kalite güvence ve geliştirme programının doğruluğuna güvenebilmesi

gereklidir.


Üst Yönetime ve Yönetim Kuruluna Raporlamalar

1. İç Denetim Yöneticisinin, üst yönetime ve yönetim kuruluna yıl boyunca dönemsel olarak faaliyet

raporları sunması gerekir. Bu faaliyet raporları, görevle ilgili önemli tespit ve tavsiyeleri içermeli ve

onaylanmış görev iş programları, personel (kadro) planları, mali bütçelerden önemli sapmalar ile

bunların sebeplerini ve alınan veya alınması gereken tedbirleri üst yönetime ve yönetim kuruluna

bildirmelidir.

2. Görev esnasında elde edilen önemli tespitler, İç Denetim Yöneticisinin görüş ve kanaatine göre,

kurumu olumsuz etkileyebilecek durumlardır. Bu önemli tespitler; suistimaller, usulsüzlükler, yasa

dışı fiil ve işlemler, hatâlar, verimsizlik, israf, etkisizlik, çıkar çatışmaları ve kontrol zayıflıkları gibi

durumları kapsayabilir.

3. Üst yönetim ve yönetim kurulu, önemli tesbit ve tavsiyelerle ilgili alınması gereken tedbirler

hakkında kararlar alır. Üst yönetim ve yönetim kurulu, maliyetinden veya başka hususlardan dolayı,

rapor edilen bir sorunu düzeltmeme ve çözmeme riskini üstlenmeye karar verebilir. Üst yönetimin

önemli tespit ve tavsiyelere ilişkin bütün kararlarının, yönetim kuruluna bildirilmesi gerekir.

4. Üst yönetimin ve yönetim kurulunun rapor edilen sorunu düzeltmeme ve çözmeme riskini

üstlendiği durumlarda, İç Denetim Yönetici, görevle ilgili olarak daha önce rapor edilen önemli tespit

ve tavsiyeler hakkında yönetim kuruluna bilgi vermenin uygunluğunu değerlendirir. Bu, risk profilini etkileyen önemli değişiklikler olduğu zaman, gerekli olabilir. * * *

Yayın: Ocak 2009


Üst Yönetim ve Yönetim Kuruluna Raporlama (Mayıs 2010)


2060 - Üst Yönetim ve Yönetim Kuruluna Raporlama İç Denetim Yöneticisi, iç denetim faaliyetinin amacı, yetkileri, görev ve sorumlulukları ve plana

kıyasla performansı konularında, üst yönetime ve Yönetim Kurulu‟na dönemsel raporlar sunmak

zorundadır. Bu raporlar, suiistimal risklerini, yönetişim sorunlarını ve üst yönetimin ve denetim

komitesinin, Yönetim Kurulu‟nun ihtiyaç duyabileceği veya talep edebileceği başka konuların da

dahil olduğu önemli riskleri ve kontrol sorunlarını içermek zorundadır.

Yorum: Raporlamanın sıklığı ve içeriği, üst yönetim, denetim komitesi ve yönetim kurulu ile tartışılarak

belirlenir ve iletilecek bilginin önemine ve üst yönetim, denetim komitesi ve yönetim kurulu

tarafından alınacak tedbirlerin aciliyetine bağlıdır.

1. Raporlamanın amacı üst yönetime ve Yönetim Kurulu‟na; yönetişim süreci (Standart 2110),

risk yönetimi (Standart 2120) ve kontrol (Standart 2130) hakkında güvence sağlamaktır. İç

Denetim Yöneticisi, Yönetim Kurulu ile doğrudan iletişim kurmak ve karşılıklı etkileşimde

bulunmak zorundadır. Standart 1111‟e göre “İç Denetim Yöneticisi Yönetim Kurulu ile doğrudan iletişim ve etkileşimde olmak zorundadır.”

2. İç Denetim Yöneticisi (İDY), iç denetim biriminin yönetmeliği (örneğin amacı, yetkisi,

sorumlulukları) ve performansı konusunda üst yönetime yapılacak olan raporlamanın sıklığı ve

niteliğini Yönetim Kurulu ile kararlaştırmalıdır. Performans raporlaması, üst yönetim ve Yönetim

Kurulu‟nu onaylanmış denetim planı, personel atama planları ve finansal bütçelerden önemli

sapmalar ile bu sapmaların nedenleri ve alınması gereken tedbirler hakkında bilgilendirmesi

gereken en son onaylı denetim planı ile ilintili olmalıdır. Standart 1320‟e göre “İç Denetim

Yöneticisi‟nin, uygulanan kalite güvence ve geliştirme programının sonuçlarını üst yönetime ve Yönetim Kurulu‟na iletmek zorundadır.”

3. Maruz kalınabilecek önemli riskler ve kontrol sorunları, İDY‟nin görüşüne göre; kurumu ve

onun stratejik, finansal raporlama, faaliyet ve uygunluk amaçlarına erişme yeteneğini olumsuz

etkileyebilecek koşullardır. Önemli sorunlar; kontrol zafiyeti, yolsuzluk (hile), düzensizlik, yasa

dışı faaliyet, hata, verimsizlik, israf, etkin olamama, çıkar çatışması ve finansal sürdürülebilirlik

dahil, kabul edilemez iç ve dış risklere maruz bırakabilir.

4. Üst yönetim ve Yönetim Kurulu önemli sorunlara karşı alınması uygun olan tedbirler hakkında

kararlar alır. Bu yöneticiler, maliyet veya diğer etkenlerle, raporlanan koşulun düzeltilmemesi

riskini üstlenme kararı alabilirler. Üst yönetim, iç denetim tarafından ortaya konulan bütün önemli

sorunlar hakkında Yönetim Kurulunu bilgilendirmelidir.

5. İDY, kurumun kabul edilemez olarak değerlendireceği bir riskin üst yönetim tarafından

üstlenildiğine inandığında, İDY bu konuyu üst yönetimle Standart 2600‟de belirtildiği şekilde

tartışmak zorundadır. İDY yönetimin kararının dayanağını anlamalı, uyuşmazlığın sebebini

belirlemeli ve yönetimin bu riski üstlenme yetkisi olup olmadığını saptamalıdır. Uyuşmazlıklar;

riskin olasılığı ve potansiyel etkisi, risk iştahı konusundaki anlayış, maliyet ve kontrolün düzeyine

ilişkin olabilir, İDY, uyuşmazlığı, tercihen üst yönetimle çözmelidir.

6. Şayet İDY ile üst yönetim bir uzlaşıya varamazsa, Standart 2600 İDY‟nin Yönetim Kurulunu

bilgilendirmesini öngörür. Mümkünse, İDY ve yönetim, çatışan durumlar hakkında ortak bir

sunum yapmalıdır. Finansal raporlama sorunları için, İDY‟lerinin bu sorunları uygun bir

zamanlama ile dış denetçilerle tartışmayı göz önünde bulundurması gereklidir.


Yönetişim: Tanım (Nisan 2010)


2110 – Yönetişim/Kurumsal Yönetim İç denetim faaliyeti, aşağıdaki amaçların gerçekleştirilmesi amacıyla yönetişim sürecini

değerlendirmek ve iyileştirilmesi için gerekli tavsiyelerde bulunmak zorundadır: • Kurum içinde gerekli etik ve diğer değerlerin geliştirilmesi,

• Etkili bir kurumsal performans yönetiminin ve hesap verebilirliğin temini,

• Risk ve kontrol bilgilerinin kurumun gerekli alanlarına iletilmesi,

• Yönetim kurulunun, denetim kurulunun, iç ve dış denetçilerin ve üst yönetimin faaliyetleri

arasında eşgüdüm sağlamak ve bunlar arasında gerekli bilgilerin iletimini sağlamak.

1. İç denetimin tanımında da belirtildiği üzere iç denetim rolü güvence işlevinin bir parçası olarak

yönetişim süreçlerini değerlendirme ve geliştirme sorumluluğunu içerir.

2. Yönetişim kavramının yasal çerçevelerin yanı sıra çeşitli çevresel, yapısal ve kültürel koşullara

dayanan bir dizi tanımı bulunmaktadır. Uluslararası İç Denetim Mesleki Uygulama Standartları,

yönetişimi; “Kurumun amaçlarının başarılmasına yönelik olarak Yönetim Kurulu tarafından

faaliyetlerin bildirilmesi, yönlendirilmesi, yönetilmesi ve izlenmesi için uygulanan yapı ve

süreçlerin bir birleşimi” olarak tanımlamaktadır. İç Denetim Yöneticisi (İDY) kurumun farklı

yönetişim çerçeveleri veya modelleri benimsemesi halinde, denetim amaçları doğrultusunda farklı

bir tanım kullanabilir.

3. Dünya genelinde, diğer kuruluşlar ve yasal ve düzenleyici kurumlar tarafından yayımlanmış

çok sayıda yönetişim modeli bulunmaktadır. Örneğin Ekonomik İşbirliği ve Kalkınma Örgütü

(OECD) yönetişimi; “…şirketin yönetimi, Yönetim Kurulu, hissedarları ve diğer paydaşları

arasındaki ilişkiler bütünü” olarak tanımlamaktadır. OECD‟ye göre “Kurumsal yönetişim, şirketin

amaçlarının oluşturulduğu ve bu amaçlara ulaşma ve performansı izleme araçlarının belirlendiği

bir yapı sağlar.” Avustralya Menkul Kıymetler Borsası Kurumsal Yönetim Konseyi yönetişimi;

“…şirketlerin yönlendirildiği ve yönetildiği bir sistem” olarak tanımlar ve “Böyle bir sistem

şirketin amaçlarının nasıl oluşturulacağını ve başarılacağını, riskin nasıl izleneceği ve

değerlendirileceğini, performansın nasıl en iyi düzeye çıkarılacağını etkiler.” diye belirtir. Çoğu

durumda, yönetişimin durağan olmayan bir süreç veya sistem olduğu kabul edilir. Standartlardaki

yaklaşımın ayırt edici özelliği; Yönetim Kurulu‟na ve onun yönetişim faaliyetlerine özel önem

vermesidir.

4. Yönetişim için gerekli çerçeveler ve gereksinimler kuruluşun türüne ve düzenleyici yasal

kuruma göre değişkenlik gösterir. Örnek vermek gerekirse halka açık ticari şirketler, kar amacı

gütmeyen organizasyonlar, birlikler, kamu kuruluşları veya kamu özel teşebbüsleri, akademik

enstitüler, özel şirketler, komisyonlar ve menkul kıymetler borsaları gibi şirketler bu kapsamdadır.

5. Bir kurumun etkili yönetişimin ilkelerini nasıl tasarlayacağı ve uygulayacağı o kuruluşun

büyüklüğüne, karmaşıklığına, yaşam süresindeki olgunluğuna, paydaşlarının yapısına, yasal ve

kültürel gereksinimlerine vs. bağlı olarak da değişiklik gösterir.

6. Yönetişimin tasarım ve yapısındaki değişkenliklerin bir sonucu olarak, İç Denetim

Yöneticisi‟nin, denetim amaçları açısından yönetişimin en uygun şekilde nasıl tanımlanacağına

karar verebilmek için, Yönetim Kurulu ve üst yönetim ekibiyle birlikte çalışması gereklidir.


Risk Yönetim Süreçlerinin Yeterliliğinin Değerlendirilmesi

1. Risk yönetimi, kurum yönetiminin, yönetim kurulunun temel sorumluluklarından biridir. İş

hedeflerine ulaşabilmek için, yönetimin, kurumiçinde sağlam risk yönetimi süreçlerinin bulunmasını

ve kullanılmasını sağlaması gerekir. Yönetim kurulu, uygun risk yönetimi süreçlerinin bulunup

bulunmadığını ve bu süreçlerin yeterli ve etkin olup olmadığını tespit etmek konusunda gözetim

görevini üstlenmiştir. Bu görev kapsamında yönetim kurulu, iç denetim faaliyetini, yönetimin

uyguladığı risk süreçlerinin yeterliliği ve etkililiğini incelemesi, değerlendirmesi, rapor etmesi ve bu

konuda iyileştirici önlemler önermesi için yönlendirerek kendilerine destek olmasını sağlayabilir.

2. Kurumun risk yönetimi ve kontrol süreçlerinden üst yönetim, ve yönetim kurulu sorumludur.

Ancak, danışmanlık rolünü üstlenen iç denetçiler de, bu risklerin tanımlanması, değerlendirilmesi ile

risk yönetimi yöntemlerinin uygulanması, bu risklerle ilgili kontrol önlemlerinin alınması ve

uygulanması konularında kuruma yardımcı olabilirler.

3. Kurumun resmî risk yönetim süreçlerine sahip olmadığı durumlarda, iç denetim yöneticisi; üst

yönetim ve yönetim kurulu ile kurum içinde riski anlamalarına, yönetmelerine ve izlemelerine yönelik

yükümlülükleri hakkında görüşür ve üst yönetimin ve yönetim kurulunun, resmî olmasa bile,

kendilerini tatmin edecek, kurum içinde anahtar risklerin görülebildiği uygun bir seviyede bir bilgi

sağlayan ve risklerin nasıl yönetilebileceğini ve izlenebileceğini belirten süreçlerin varlığının gerekli

olduğu konusunu tartışır.

4. İç Denetim Yöneticisi, kurumun risk yönetimi sürecinde, üst yönetim ve yönetim kurulunun iç

denetim faaliyetinden beklentilerini öğrenmeli ve kavramalıdır. Bu bilgiler, iç denetim yönetmeliğine

ve yönetim kurulunun yönetmeliklerine de yazılmalıdır. İç denetimin sorumluluklarının, kurumun

• hiç rolü olmamaktan,

• iç denetim planının bir parçası olarak risk yönetimi sürecini denetlemeye,

• gözetim komitelerine, izleme faaliyetlerine ve durum raporlama

çalışmalarına katılmak gibi, risk yönetim sürecinde faal ve kesintisiz destek ve katılıma,

• risk yönetim sürecinin yönetimi ve koordinasyonuna kadar uzanan bir aralıkta olabilir.

5. Son olarak, iç denetimin risk yönetimi sürecindeki rolünü tespit etmek, üst yönetimin ve yönetim

kurulunun görevidir. Yönetimin iç denetimin rolü konusundaki görüşü de, muhtemelen, kurumsal

kültür, iç denetim personelinin kabiliyeti, ülkenin mahallî koşulları ve gelenekleri gibi etkenler dikkate

alınarak belirlenir. Ancak, risk yönetim sürecine ilişkin yönetim sorumluluğunun üstlenilmesi ve iç

denetim faaliyetinin bağımsızlığına ilişkin olası tehditlerin olması bu konunun detaylı olarak

tartışılmasını ve yönetim kurulunun onayını gerekli kılar.

6. Muhtelif kurumların kendi risk yönetimi uygulamalarında kullandığı teknikler arasında önemli

farklar olabilir. Kurumun işle ilgili faaliyetlerinin büyüklüğüne ve karmaşıklık düzeyine bağlı olarak,

risk yönetimi süreçleri:

• resmî veya gayriresmî olabilir,

• kantitatif (nicel kıstaslara bağlı) veya sübjektif olabilir,

• ilgili iş birimlerinin içine yerleştirilebilir veya kurumsal düzeyde merkezîleştirilebilir.

7. Bir kurum süreçlerini kendi kültürüne, yönetim tarzına ve iş hedeflerine bağlı bir şekilde tasarlar.

Örneğin, kurumun türev araçlar kullanması veya sermaye piyasalarının başka gelişmiş ürünlerini

kullanması hâlinde, kantitatif risk yönetimi araçlarının kullanılması gerekir. Daha küçük ve daha az

karmaşık olan kurumlar, kurumun risk profilini tartışmak ve dönemsel eylemlere girişmek için bir

gayriresmî risk kurulundan yararlanabilir.Denetçi, seçilen yöntemin kurumun faaliyetleri açısından

uygun ve yeteri kadar kapsayıcı olup olmadığını belirler.

8. İç denetçiler, risk yönetimi süreçlerinin yeterliliği yönünde bir görüş belirtebilmek için, risk

yönetimi süreçlerinin temel hedeflerine uygunluğundan emin olmalı ve bu konuda yeterli kanıt

toplamalıdır. Bu kanıtların toplanmasında, iç denetçi, aşağıda sayılan tiplerde denetim prosedürlerini

dikkate almalıdır:

• Bu riskleri önlemek, izlemek ve tekrar değerlendirmek için kullanılan kontrol prosedürlerini

incelemek ve kurumu etkileyebilecek riskleri ve risk maruziyetlerini tespit etmek amacıyla, kurumun

yaptığı işle ilgili mevcut sektör gelişmeleri, eğilimleri, bilgileri ve başka uygun bilgi kaynaklarını

araştırmak ve gözden geçirmek,

• Kurumun iş stratejilerini, risk yönetimi felsefesini ve yöntemini, risk iştahını ve riskleri kabulünü

tespit etmek amacıyla, kurumsal politikaları, yönetim kurulunun tutanaklarını gözden geçirmek,

• Yönetimin, iç denetçilerin, dış denetçilerin ve bu raporları çıkartabilecek başka kaynakların daha

önce düzenlediği risk değerlendirme raporlarını gözden geçirmek,

• İş birimlerinin hedeflerini, ilgili riskleri ve kurum yönetiminin riskleri azaltma ve kontrol izleme

çalışmaları ile faaliyetlerini tespit etmek amacıyla, üst yönetimle ve birim yönetimleriyle görüşmeler

yapmak,

• Risklerin azaltılmasının, gözlenmesinin, raporlanmasının ve ilgili kontrol faaliyetlerinin etkililiğini

bağımsız bir gözle değerlendirmek amacıyla bilgileri özümsemek,

• Hiyerarşik örgütlenmenin risk gözleme faaliyetleri için uygunluğunu değerlendirmek,

• Risk yönetimi sonuçlarıyla ilgili raporlamanın yeterliliğini ve zamanında yapılıp yapılmadığını

gözden geçirmek,

• Yönetimin risk analizlerinin tam olup olmadığını ve risk yönetimi süreçleriyle anlaşılan sorunları

gidermek için alınan tedbirlerin uygunluğunu gözden geçirmek ve iyileştirici eylemler önermek,

• Yönetimin uyguladığı iç değerlendirme süreçlerinin etkililiğini, gözlemlerle, doğrudan kontrol

testleriyle ve gözlem prosedürleriyle, gözlem faaliyetlerinde kullanılan bilgilerin doğruluğuna ilişkin

testlerle ve başka uygun tekniklerle tespit etmek,

• Risk yönetimi uygulamalarındaki zayıflıkları gösteren riskle ilgili sorunları incelemek ve gerekirse,

bu konuyu üst yönetimle ve yönetim kuruluyla tartışmak. Denetçi, yönetimin kurumun risk yönetimi

stratejisi veya politikalarına uygun olmayan ya da kurumun kabul edemeyeceği bir risk düzeyi kabul

ettiğine inandığı takdirde, ek tavsiyeler için, "Yönetimin Artık Riskleri Üstlenme Kararı" başlıklı

Standart 2600'e ve ilgili diğer standartlara

bakmalıdır.

• 5 *

5 Kalite Güvence ve Geliştirme Programı: Etkili bir kalite güvence ve geliştirme programını

uygulamaya sokabilmek, her iç denetim faaliyeti için hayatî önem taşır.

• Denetim Evreninin Dönemsel Değerlendirilmesi: Kuruluşun dinamik risk profilini mutad olarak

değerlendirerek, denetim evreninin tam olduğunu temin amacıyla metodolojinin gözden geçirilmesi.

• Denetim Planının Dönemsel Değerlendirilmesi: Hangi görevlerin daha riskli olduğunun

değerlendirmesini yapmak için, uygulanmakta olan denetim planının gözden geçirilmesi. "Daha riskli

görevleri "dikkat çekici hâle getirerek" (flagging) iç denetim faaliyetinin yönetimi daha görünür hâle

gelir ve kritik görevlere yaklaşımı anlamak için daha fazla zaman harcanabilir.

• Etkili Planlama: Etkili bir denetim planlamasının yerini hiçbir şey tutamaz. Denetlenen ile ilgili

gerçekleri güncellemeyi ve etkili bir risk değerlendirme çalışmasını kapsayan mükemmel bir planlama

süreci, denetim hata risklerini önemli ölçüde azaltabilir. Bunun yanında, görev kapsamının ve

Yayın: Ocak 2009

Uygulama Önerisi 2120-2: İç Denetim Faaliyetinin Riskinin Yönetilmesi

1. İç denetimin rolü ve önemi çok büyümüştür ve önemli paydaşların (yönetim kurulu, üst yönetim

gibi) beklentileri de artmaya devam etmektedir. İç denetim faaliyetlerinin, finansal, operasyonel, bilgi

teknolojisi, yasal düzelme ve stratejik riskleri kapsayan geniş yetkileri vardır. Aynı zamanda, birçok iç

denetim faaliyeti, küresel iş piyasalarında kalifiye personel bulunabilirliğiyle, artan ücret

maliyetleriyle ve (bilgi sistemleri, suistimal, türev ürünler, vergiler

gibi) özel kaynaklara yönelik yüksek taleplerle ilgili zorluklarla karşılaşmaktadır. Bu etkenlerin bir

araya gelmesi, bir iç denetim faaliyetinde yüksek risk seviyesinin ortaya çıkmasına sebep olmaktadır.

Bunun sonucu olarak, iç denetim yöneticileri, iç denetim faaliyetlerine ve hedeflerine ulaşmaya

yönelik riskleri göz önünde bulundurmalıdırlar.

2. İç denetim faaliyeti, risklerden muaf değildir. Kendi risklerini yönettiğinden emin olmak için

gerekli önlemleri almalıdır.

3. İç denetim faaliyetlerindeki riskler üç büyük gruba ayrılır: denetim hatâları, yanlış güvence ve

itibar riskleri. Aşağıdaki tartışma, bu risklerle ilgili anahtar hususların ve bunların yönetimi için iç

denetim ekibinin dikkate alması gereken önlemlerin altını çizmektedir.

4. Her kuruluşta kontrol sorunları yaşanacaktır. Genellikle kontroller başarısız olduğunda veya

suistimal meydana geldiğinde, birisi şu soruyu sorar: "İç denetçiler neredeydi?" İç denetim faaliyeti şu

sebeplerden dolayı bu başarısızlıklara katkıda bulunmuş olabilir:

• Uluslararası İç Denetim Meslekî Uygulama Standartlarına uymadığı için.

• İç denetçinin bağımsızlığını ve objektifliğini izlemek için gerekli prosedürler dahil olmak üzere,

uygun olmayan bir kalite güvence ve geliştirme programı (Standart 1300).

• Stratejik risk değerlendirmesi sırasında, kilit öneme sahip denetim alanlarının yanı sıra, münferit

denetimin planlanmasında yüksek risk alanların teşhis edilmesinde gerekli olan etkili bir risk

değerlendirme sürecinin yokluğu ve bunun bir sonucu olarak doğru denetimlerin yapılamaması

ve/veya yanlış denetimlerle zaman kaybedilmesi.

• "Gerçek" riskleri ve doğru kontrolleri test etmede gerekli etkili iç denetim prosedürlerinin

tasarımındaki başarısızlık.

• İç denetim prosedürlerinin parçası olarak, hem tasarım yeterliliği hem de kontrol etkililiğinin

değerlendirilmesindeki başarısızlık.

• Yüksek risk alanları konusunda bilgi ve tecrübe açısından uygun niteliklere sahip olmayan denetim

ekiplerinin kullanılması.

• Bulgular veya kontrol zafiyetleriyle ilgili meslekî şüphecilik ve genişletilmiş iç denetim

prosedürlerinin kullanılmaması.

• Uygun iç denetim gözetim ve kontrolünün kullanılmaması.

• Ortada bir suistimal delili bulunmasına rağmen - örneğin "Muhtemelen çok önemli değil" veya "Bu

konuyla ilgilenmek için zaman ya da kaynağımız yok" gibi yanlış kararlar almak.

• Şüphelerle ilgili doğru kişilerle iletişime geçmemek.

• Yeterli raporlamanın eksik olması.

uygulanacak iç denetim prosedürlerinin anlaşılması da denetim hatâsı risklerini azaltacak olan önemli

denetim planlaması unsurlarıdır. Sürecin içine, iç

5. İç denetim hatâları, iç denetim faaliyetlerini zor durumda bırakmakla kalmaz, kuruluşun önemli bir

riske maruz kalmasına da sebep olabilir. Denetim hatâlarının olmayacağına dair kesin bir güvence söz

konusu olmadığından, bir iç denetim faaliyeti riski en aza indirmek için şu uygulamaları hayata

geçirebilir: denetim faaliyetinin yönetimi ile ilgili kontrol noktalarının konulması ve üzerinde

uzlaşmaya varılan plandan herhangi bir sapma olması durumda, onay alınması da önemlidir.

• Etkili Denetim Tasarımı: Birçok durumda, ne kadar etkili olduğunun test edilmesine başlamadan

önce, uygun kontrollerin sağlanıp sağlanmadığını temin etmek amacıyla, iç kontrol sistemlerinin

anlaşılması ve analiz edilmesi için oldukça zaman harcanır. Bu, bazen kontrol zayıflığının sebebine

işaret etmek yerine söz konusu tasarım zayıflığının bir sonucu olarak iç denetim yorumları için sağlam

bir zemin teşkil eder. Bu, ayrıca gözden kaçan kontrollerin teşhis edilmesini sağlayarak denetim hatâsı

ihtimalini de azaltır.

• Etkili Yönetim Gözden Geçirmesi ve Eskalasyon Prosedürleri: İç denetim yönetiminin, iç denetim

sürecine (yani rapor taslağından önce) katılımı, denetim hatâsı riskinin en aza indirilmesinde önemli

bir rol oynar. Bu katılım, çalışma kâğıtlarının gözden geçirilmesini, bir kapanış toplantısını veya

bulgularla ilgili 'gerçek-zaman" tartışmalarını kapsayabilir. İç denetim sürecine, iç denetim

faaliyetinin yönetimini dahil ederek, muhtemel sorunlar, görev esnasında daha erken teşhis edilebilir

ve değerlendirilebilir. Bunun yanında, iç denetim faaliyetinin, hangi konuların ve ne zaman iç denetim

biriminin hangi yönetim kademesine yönlendirileceğini düzenleyen rehberleri olabilir.

• Uygun Kaynak Tahsisatı: Her bir iç denetim görevinde doğru kişilerin görevlendirilmesi çok

önemlidir. Bu, özellikle yüksek riskli veya çok teknik bir görevin planlamasında önemlidir. Ekipte

gerekli niteliklerin olduğundan emin olmak, denetim hata riskini azaltmada hayatî öneme sahiptir.

Doğru niteliklerin yanı sıra, ekibin gerekli tecrübeye ve bunun yanında, bir iç denetim görevinin

yönetilmesinden sorumlu olanların da proje yönetiminde güçlü becerilere sahip olması önemlidir.

6. Bir iç denetim faaliyeti, farkında olmadan, belli bir seviyede yanlış güvence sunabilir. "Yanlış

güvence", olgulardan çok, sezgi veya tahminlere dayalı bir güven veya güvence seviyesidir. Birçok

durumda, iç denetimin bir meseleye müdahil olması, bir seviyeye kadar yanlış güvence oluşturabilir.

7. Maruz kalınacak önemli risklerin belirlenmesi ve değerlendirilmesi projelerinde kuruluşa yardımcı

olurken iç denetim faaliyetlerinin bir parçası olmaksızın iç denetim kaynakları kullanılacaksa bu husus

açıkça belirlenmelidir. Örneğin, bir iş birimi tarafından iç denetim faaliyetinden, yeni bilgisayar

sisteminin uygulanmasında yardımcı olması için bazı "kaynaklar" tedarik etmesi istemiştir. İş birimi,

bu kaynakları, yeni sistemin bazı test aşamalarını desteklemek için kullanmıştır. Bu kullanımın sonucu

olarak, sistemin tasarımındaki bir hata, finansal raporların yeniden düzenlenmesi şeklinde

sonuçlanmıştır. Bunun nasıl olduğu sorulduğunda, iş birimini buna, iç denetim faaliyetinin, süreçte yer

aldığı ve konuyu teşhis etmediği şeklinde cevap vermiştir. İç denetçinin katılımı, bir seviyede yanlış

güvence oluşturmuştur ve bu durum da, projedeki gerçek rolüyle tutarlı değildir.

8. Yanlış güvence riskini tamamını yok etmenin bir yolu olmasa da, iç denetim faaliyeti, bu alandaki

riski daha önceden tedbir alarak yönetebilir. Açık ve sürekli iletişim, yanlış güvence yönetiminde

anahtar stratejidir. Önde gelen diğer uygulamalar şunlardır: bulundurulabilir: Projenin kapsamı, iç

denetim faaliyetinin rolü, raporlama beklentileri,

gerekli nitelikler ve iç denetçilerin

bağımsızlığı.

• Eğer iç denetçiler, bir projenin veya inisiyatifin personel kadrosunu arttırmak için kullanılırsa, iç

denetçileri, yanlış güvenceye sebep olabilecek "geçici" kaynak olarak kullanmak yerine, bu projedeki

rollerinin ve katılımlarının kapsamı yanında gelecekteki objektiflik ve bağımsızlıkları da yazılı hâle

getirilmelidir.

9. Bir iç denetim faaliyetinin güven telkin eden itibarı, etkililiğinin önemli bir parçasını teşkil eder.

Saygın görülen iç denetim birimleri yetenekli meslek insanlarını çekebilirler ve kurumları için çok

değerlidirler. Güçlü bir "marka" olmak, iç denetim faaliyetlerinin başarısını ve becerisini kuruluş

içinde en üst noktaya çıkartır. Çoğu zaman, iç denetim faaliyetinin markası gücünü, uzun yıllar

boyunca aksamadan çıkartılan yüksek nitelikli işlerden almaktadır. Maalesef bu marka, güçlü ve ters

bir olayda birden yok olabilir.

10. Örneğin, bir iç denetim faaliyeti, çeşitli rotasyonlar sonrası üst düzey finansalyönetici görevlerine

gelmiş iç denetçilerden dolayı, gelecek yöneticiler için eğitim platformu olarak da algılanıp önemli

görülebilir. Ancak, bir dizi önemli mali tablo düzeltmesi ve yasal inceleme, iç denetim faaliyetinin

itibarını etkileyebilir. Yönetim kurulu, iç denetim ekibinin doğru yetenek ve 'kalite güvence ve

geliştirme programına' sahip olup olmadığını sorgulayabilir.

11. Başka bir örnekte, insan kaynaklarının denetimi sırasında, iç denetçiler, çalışanların meslekî

geçmişlerinin gerektiği şekilde incelenmediğini tespit edebilirler. Yeni işe alınmış bazı iç denetçilerin

eğitim geçmişlerinin yeterli olmadığının, diğer bir kısmının, daha önce suç teşkil eden bir faaliyete

katılmış olduğunun tespit edilmesi iç denetim faaliyetinin güvenilirliğini ciddi şekilde sarsabilir.

12. Bu gibi durumlar, durumu zorlaştırmakla kalmaz, aynı zamanda, iç denetim faaliyetinin

yararlılığını da zedeler. İç denetim faaliyetinin itibar ve "markası"nın korunması, sadece iç denetim

faaliyeti için değil, tüm kuruluş için önemlidir. İç denetim faaliyeti, hangi tür risklerin, itibarını

zedeleyebileceğini göz önünde bulundurmalı ve bu risklere karşı stratejiler geliştirmelidir.

13. Uygulamalardan bazıları şunlardır:

• İç denetim faaliyetinin, insan kaynakları ve işe alım dahil bütün süreçlerinde, güçlü bir kalite

güvence ve geliştirme programı uygulanır.

• "Markasını" olumsuz etkileyebilecek muhtemel riskleri teşhis etmek için, iç denetim faaliyeti,

dönemsel olarak risk değerlendirmesi yapar.

• IIA'nın iç denetçilere yönelik Etik Kuralları dahil olmak üzere, davranış kuralları ve etik davranış

standartları güçlendirilir.

• İç denetim faaliyetinin, şirketin bütün politika ve uygulamalarıyla uyum içinde olması temin edilir.

14. Bir iç denetim faaliyeti, yukarıda belirtilenlere benzer bir olayla karşılaştığında, İç Denetim

Yöneticisi, olayın içeriğini gözden geçirmeli ve sorunun ana sebeplerini anlamalıdır. Bu analiz,

oluşabilecek olumsuzlukları azaltmak için, iç denetim süreci ve kontrol sisteminde dikkate alınması gereken potansiyel değişikliklere karşı derinlikli bir bakış açısı getirir. • 6 *

Yayın: Nisan 2009 Uygulama Önerisi 2130-1: Kontrol Süreçlerinin Yeterliliğinin Değerlendirilmesi

1. Bir kurum, etkili risk yönetimi ve kontrol süreçleri oluşturur ve devamlılığını sağlar. Kontrol

süreçlerinin amacı, risklerin yönetilmesinde ve daha önce oluşturulmuş ve kurumun içindeki insanlara

açıklanmış olan hedeflere ulaşılmasında kurumu desteklemektir. Diğer şeylerin yanı sıra, kontrol

süreçlerinin aşağıdaki koşulları sağlaması beklenir:

6 İç denetim faaliyetinin rolü ve yetkisi üst yönetime ve diğer paydaşlara önceden iletilir.

• Risk yönetiminin, iç denetim planının ve iç denetim işinin neleri kapsadığı açıkça anlatılır. Ayrıca,

risk değerlendirme ve iç denetim planının kapsamında nelerin olmadığı da açıkça anlatılır.

• Her bir projeyle ilgili risk seviyesinin ve iç denetimin projedeki rolünün değerlendirilmesinde

"proje kabulü" süreci olmalıdır. Değerlendirmede şunlar göz önünde

• Mali ve operasyonel bilgilerin güvenilir ve doğru ve eksiksiz olması,

• Faaliyetlerin verimli bir biçimde yürütülmesi ve kurumun önceden belirlenmiş amaçlarına

ulaşılması,

• Varlıkların korunması,

• Kurumun eylem ve kararlarının kanunlara, mevzuata ve sözleşmelere uygun olması.

2. Üst yönetimin rolü, risk yönetim sistemi ve kontrol süreçlerinin oluşturulması, idaresi ve

değerlendirilmesi çalışmalarını gözetmektir. Bölüm müdürlerinin görev ve sorumluluklarından biri

de, kendi alan ve bölümlerinde kontrol süreçlerini incelemek ve değerlendirmektir. İç denetçiler,

kurumun belirli seçilmiş faaliyet ve işlev alanlarında risk yönetimi ve kontrolü süreçlerinin etkililiği

konusunda değişen derecelerde güvence sağlarlar.

3. İç Denetim Yöneticisi, kontrol süreçlerinin yeterliliği ve etkililiği konusunda genel bir kanaat

oluşturur. İç Denetim Yöneticisinin bu kanaati, denetimlerin tamamlanması suretiyle elde edilen

yeterli sayıda denetim kanıtına ve uygun olan durumlarda diğer güvence sağlayıcıların yaptıkları

çalışmalara dayanır. İç Denetim Yöneticisi, bu kanaatini üst yönetime ve yönetim kuruluna bildirir.

4. İç Denetim Yöneticisi, kontrol süreçlerinin etkililiğini değerlendirmek için yeterli kanıt ve bilgi

toplanmasına imkân veren bir yıllık denetim planı önerisi hazırlar. Bu plan, değerlendirilecek bütün

önemli faaliyet birimleri ile iş fonksiyonları hakkında gereken bilgileri toplamak amacına yönelik

denetim görevleri veya benzeri başka prosedürler ile kurum genelindeki tüm temel kontrol

süreçlerinin gözden geçirilmesini de içerir. Önerilen plan, yıl içinde yönetim stratejilerinde, dış

koşullarda veya önemli risk alanlarında meydana gelen değişiklikler ya da kurumun hedefleri ve

amaçlarına ulaşma konusundaki beklentilerde yapılan revizyonlara göre ayarlamaların yapılmasına

imkân verecek şekilde esnek olmalıdır.

5. Denetim planı, yakın zamanlı ya da beklenmeyen gelişmelerden en fazla etkilenen faaliyetlere

özel bir önem verir. Şartlardaki değişiklikler örneğin, piyasadan ya da yatırım koşullarından, şirket

satın almadan ve elden çıkartmadan, yeniden yapılanmadan, yeni sistemlerden ve yeni girişimlerden

kaynaklanabilir.

6. Denetim planı çerçevesinde beklenen denetim kapsamının belirlenmesinde, İç Denetim Yöneticisi

Üst Yönetime güvence hizmeti veren diğer taraflarca gerçekleştirilen ilgili çalışmaları (örneğin

kurumsal uyum yöneticileri tarafından gerçekleştirilen çalışmalar) dikkate alır. İç Denetim

Yöneticisinin denetim planı, aynı zamanda dış denetçiler tarafından gerçekleştirilen çalışmalar ile

Yönetimin risk yönetim süreçleri, kontrolleri ve kalite geliştirme süreçleri ile kendi kendine yaptığı

değerlendirmeleri de dikkate alır.

7. İç denetim yöneticisi, kurumun risk yönetim ve kontrol süreçleri hakkında bir kanaat

belirtilebilmesi için yeterli kapsamda olup olmadığını belirlemek amacıyla önerilen denetim planının

kapsamının genişliğini değerlendirmelidir. İç denetim yöneticisi, bu süreçlerin tamamı üzerinde bir

kanaat belirtilmesini engelleyebilecek, denetim kapsamındaki eksiklikler hakkında üst yönetimi ve

yönetim kurulunu bilgilendirmelidir.

8. İç denetim faaliyeti açısından çözülmesi gereken anahtar bir konu, kurumun kontrol süreçlerinin

etkililiğinin çok sayıda bireysel değerlendirmenin toplamına dayandırılarak değerlendirilmesidir. Bu

değerlendirmeler büyük ölçüde iç denetim görevlerinden, yönetimin kendi yaptığı değerlendirmelerin

gözden geçirilmesi ile ve diğer güvence sağlayıcılardan elde edilmektedir. Görev ilerledikçe, iç

denetçiler, tespit edilen kontrol eksikleri veya zayıflıklarının

etki ve sonuçlarını azaltmak veya düzeltmek amacıyla gereken tedbirlerin derhal alınmasını sağlamak

amacıyla, bulgularını uygun yönetim kademelerine zamanında iletirler.

9. Kurumun kontrol süreçlerinin genel etkililiğini değerlendirirken İç Denetim Yöneticisi, şu

hususları dikkate alır:

• Önemli eksiklik veya zayıflıklar tespit edilmiş midir? • Bu tespit üzerine düzeltici veya iyileştirici tedbirler alınmış mıdır?

• Bu tespitler ve onların muhtemel olumsuz sonuçları, kabul edilemez düzeyde iş risklerine yol

açabilecek yaygın bir sorunun bulunduğu sonucuna varılmasını gerektiriyor mu?

10. Önemli bir kontrol eksikliği veya zayıflık, her zaman sorunun yaygın olduğu ve kabul edilemez

bir iş riski taşıdığı anlamına gelmez. İç denetçi, kontrol süreçlerinin etkililiğinin tehlikeye girip

girmediği ve kabul edilemez bir riskin var olup olmadığını belirlemek için muhtemel olumsuz

sonuçların seviyesi kadar karşı karşıya kalınan riskin niteliğini ve boyutunu da dikkate alır.

11. İç Denetim Yöneticisinin kurumun kontrol süreçleri ile ilgili raporu, üst yönetime ve yönetim

kuruluna, genellikle yılda bir kere sunulur. Bu rapor, kontrol süreçlerinin kurumun hedeflerine

ulaşılmasındaki kritik rolüne yer verir. Rapor, aynı zamanda iç denetim faaliyeti tarafından

gerçekleştirilen çalışmanın niteliği ve boyutu ile kanaatin biçimlendirilmesinde

diğer güvence sağlayacılara olan güvenin boyutunu ve niteliğini de tanımlar.

• * *

Yayın: Ocak 2009

Uygulama Önerisi 2130.A1-1:

Bilgilerin Güvenilirliği ve Doğruluğu

1. İç denetçiler, üst yönetimin ve yönetim kurulunun bilgi güvenilirliği ve doğruluğunun idarî bir

sorumluluk olduğu konusunda açık bir anlayışa sahip olup olmadıklarını belirler. Bu sorumluluk,

bilgilerin nasıl saklandığına bakılmaksızın kurum için hayatî öneme sahip bütün veri ve bilgileri

kapsar.

2. İç Denetim Yöneticisi (İDY), iç denetim biriminin, bilgi güvenilirliği ve doğruluğunu ve bunlara

dair riskleri değerlendirmek için, yeterli ve uygun denetim kaynaklarına veya bu kaynaklara erişim

olanağına sahip olup olmadığını tesbit eder. Bu, kurumun dış kurumlarla ilişkilerinden kaynaklananlar

dahil hem iç hem dış risklerini kapsar.

3. İDY, bilgi güvenilirliği ve doğruluğu ihlâllerinin ve kurum açısından tehlike oluşturabilecek

durumların, üst yönetim, yönetim kurulu ve iç denetim birimine derhal bildirilip bildirilmediğini tesbit

eder.

4. İç denetçiler, gerektiğinde, geçmiş ve gelecekteki muhtemel saldırılara veya saldırı girişimlerine

karşı, önleyici, tespit edici ve azaltıcı tedbirlerin etkililiğini değerlendirir. İç denetçiler; yönetim

kurulunun, mevcut tehditler, olaylar, karşılaşılan zayıflıklar ve uygulanan düzeltici tedbirler hakkında

yeterince bilgilendirilip bilgilendirilmediğini tesbit eder.

5. İç denetçiler, kurumun bilgi güvenilirliği ve doğruluğu uygulamalarını dönemsel olarak

değerlendirir; mevcut koruma ve kontrol iyileştirmeleri ya da yeni koruma ve kontrol uygulamaları

(hangisi uygunsa) tavsiye eder. Bu değerlendirmeler, bağımsız bir denetim veya yıllık denetim

planının bir parçası olan başka denetim veya görevlerle bütünlük arz edecek şekilde yapılabilir. Üst

yönetim ve yönetim kuruluna en uygun raporlama sürecini,

görevin niteliği belirler. * * *


Önerisi 2130.A1-2:

Bir Kurumun Gizlilik Çerçevesinin Değerlendirilmesi

1. Kişisel bilgilerin uygun kontrollerle korunmasındaki başarısızlık, kurumlar açısından kayda değer

seviyede olumsuz sonuçlara sebebiyet verebilir. Bu başarısızlık kişilerin ve/veya kurumların itibarını

zedeleyebilir ve kurumları yasal sorumluluk ve müşteri ve/veya çalışan güveninde azalma gibi risklere

maruz bırakabilir.

2. Gizlilik tanımları kurumun faaliyet gösterdiği ülkenin kültürüne, siyaset ortamına ve hukuk

sistemine bağlı olarak büyük oranda farklılık göstermektedir. Bilginin gizliliği ile ilgili riskler, kişisel

gizliliği (fiziksel ve fizyolojik); yer gizliliğini (gözetimden uzak olmak); iletişim gizliliğini (izleme ve

gözlemden uzak olmak) ve bilgi gizliliğini (kişisel bilgilerin başkalarınca toplanması, kullanılması ve

ifşa edilmesi) kapsar. Kişisel bilgiler, genel olarak, belirli bir

bireyle ilgili olan bilgiler ya da başka bilgilerle birleştirildiğinde belirli bir kişiyle ilişkilendirilebilecek

ayırt edici nitelikteki bilgiler anlamına gelir. Kişisel bilgiler, kayıtlı olsun veya olmasın, herhangi bir

ortam veya formatta maddi olgularla ilgili veya subjektif bilgileri içerebilir. Kişisel bilgilere örnek

olarak, şunlar sayılabilir:

• İsim, adres, kimlik numaraları, aile ilişkileri,

• Çalışanların kayıtları, değerlendirmeler, görüşler, sosyal statü veya sabıka kayıtları veya disiplin

cezaları,

• Kredi geçmişi bilgileri, gelir, mali durum bilgileri,

• Tıbbî durum bilgileri.

3. Kişisel bilgilerin korunmasına ilişkin etkili bir kontrolün sağlanması, kurumun yönetişim, risk

yönetimi ve kontrol süreçlerinin önemli bir bileşenidir. Kurumun temel ve büyük risklerinin

belirlenmesinden ve belirlenen bu riskleri azaltmak için uygun kontrol süreçlerinin uygulanmasından,

nihai olarak yönetim kurulu sorumludur. Bu sorumluluk, kurum için gereken gizlilik politikasının

oluşturulmasını ve uygulanmasının izlenmesini de kapsar.

4. İç denetim faaliyeti, üst yönetimin gizliliğin (mahremiyetin) korunması amacına yönelik riskleri

belirlemesinin yeterliliği ile bu risklerin kabul edilebilir seviyeye indirilmesi amacıyla oluşturduğu

kontrollerin yeterliliğini değerlendirmek suretiyle kurumun iyi yöneti(şi)m ve risk yönetimine katkıda

bulunabilir. İç denetçi, kendi kurumundaki gizlilik politikasının değerlendirilmesi, önemli risklerin

belirlenmesi ve bu riskleri azaltıcı uygun tavsiyelerin yapılması konusunda da, benzersiz bir

konumdadır.

5. İç denetim faaliyeti, kendi kurumunun topladığı kişisel veya özel sayılan bilgilerin türlerini ve

uygunluğunu, kullanılan bilgi toplama yöntemini, kurumun bu bilgileri asıl kullanım amacına ve

geçerli mevzuata uygun kullanıp kullanmadığını belirler.

6. Konunun son derece teknik ve hukukî bir nitelik taşıdığı dikkate alınarak, iç denetim faaliyeti,

kurumun gizlilik politikasına ilişkin kontrollerin ve risklerin değerlendirmesini yapmak için yeterli

bilgi ve yetkinliğe ihtiyaç duyar.

7. Kurumun gizlilik politikalarının yönetimine ilişkin böyle bir değerlendirme yapılırken, iç denetçi:

• Kurumun içinde faaliyetini sürdürdüğü yargı sistemindeki gizlilikle ilgili kanun, düzenleme ve

politikaları dikkate alır.

• Kurumun faaliyet yürüttüğü ülke/ülkelerde geçerli olan ve kurumun tâbi olduğu kanunlar,

düzenlemeler ile diğer standartların ve uygulamaların niteliğinin tam olarak belirlenmesi amacıyla

kurumun hukuk danışmanıyla irtibat hâlinde olur.

• Bilgi güvenliği ve veri koruma kontrollerinin var olduğunun ve uygunluğunun düzenli olarak

gözden geçirildiğinin ve değerlendirildiğinin belirlenmesi amacıyla bilgi teknolojisi uzmanlarıyla

irtibat hâlinde olur.

• Kurumun gizlilik uygulamalarının seviyesi veya gelişmişliğini dikkate alır. Bu seviyeye bağlı

olarak, iç denetçi, farklı ve değişen roller üstlenebilir.

Denetçi; gizlilik programının geliştirilmesini ve uygulanmasını kolaylaştırabilir, kurumun ihtiyaçlarını

ve maruz kaldığı riskleri tespit etmek amacıyla yönetimin gizliliğe ilişkin risk değerlendirme

çalışmasını değerlendirebilir ya da kurum genelindeki gizlilik politikaları, uygulamaları ve

kontrollerinin etkililiğini inceleyebilir ve bu konuda güvence verebilir. İç denetçi, bir gizlilik

programının geliştirilmesi ve uygulanmasına ilişkin herhangi bir

sorumluluk üstlenirse, bağımsızlığı zedelenebilir. • 7 *

Yayın: Ocak 2009


Görev Planlaması

1. İç denetçi, üstlerinin gözetimi ve onayına tâbi olarak, görevi planlar ve yürütür. Göreve başlamadan

önce iç denetçi;

2. İç Denetim Yöneticisi, kurum için uygun olan bir resmiyet ve dokümantasyon seviyesi (örneğin

planlanan toplantıların sonuçları, risk değerleme prosedürleri, çalışma programındaki ayrıntı seviyesi

gibi) talep etmelidir. Dikkate alınacak etkenler şunları içerebilir:

• Yapılan işe ve/veya görevin sonuçlarına diğer taraflarca (örneğin dış denetçiler, düzenleyiciler

veya yönetim) itibar edilip edilmeyeceği.

• Yapılan işin muhtemel ya da mevcut bir hukukî ihtilâfa karışmış hususlarla ilgili olup olmayacağı.

• İç denetim ekibinin tecrübe seviyesi ve gereken doğrudan gözetim seviyesi.

• Projeye personel atamasının içeriden, ziyaretçi denetçilerden (guest auditors) ya da dış hizmet

sağlayıcılarından mı yapılacağı.

• Projenin karmaşıklığı ve kapsamı.

• İç denetim biriminin boyutu.

• Belgelendirmenin değeri (örneğin sonraki yıllarda kullanılıp kullanılmayacağı).

3. İç denetçi kapsanan dönem ve tahminî tamamlanma tarihi gibi, görevle ilgili diğer gerekleri tespit

eder. İç denetçi ayrıca nihaî rapor formatını da dikkate alır. Bu safhada düzgün bir planlama

yapılması, görevin tamamlanması sırasındaki iletişim sürecine de katkı sağlar.

4. İç denetçi görev hakkında bilgilendirilmesi gereken bütün yöneticilere bilgi verir, denetlenmekte

olan faaliyetlerden sorumlu yöneticilerle toplantılar düzenler, toplantılarda konuşulan konuları özetler

7 görevin amaçlarını açıklayan,

• incelenmesi gereken teknik ihtiyaçları, hedefleri, riskleri, süreçleri ve işlemleri tanımlayan,

• gereken testlerin niteliğini ve kapsamını gösteren,

• iç denetçinin görev sırasında veri toplama, analiz etme, yorumlama ve belgeleme süreçlerini yazılı

hâle getiren,

• gerekli görülen durumlarda denetim sırasında İç Denetim Yöneticisi ya da görevlendirdiği bir

temsilcinin onayıyla değiştirilen bir denetim programı hazırlar.

ve tartışılan hususları ve varılan sonuçları ilgililerine dağıtır ve belgeleri görev çalışma kâğıtları

içerisinde muhafaza eder. Tartışma konuları şunlar olabilir:

• Planlanan görev amaçları ve yapılan işin kapsamı.

• Göreve konu olan işlerin zamanlaması ve kaynakları.

• İç ve dış çevrede meydana gelen yakın tarihli değişiklikler dahil olmak üzere denetlenmekte olan

birimin çalışma şartları ve faaliyetlerini etkileyen anahtar unsurları.

• Yönetimin endişeleri ve talepleri.

5. İç Denetim Yöneticisi, görev sonuçlarının nasıl, ne zaman ve kime bildirileceğini belirler. İç

denetçi bunu yazılı hâle getirir ve planlama safhasında uygun görülen yönetim kademesine kadar

iletir. İç denetçi, sonradan ortaya çıkan ve görev sonuçlarının zamanlama ve

raporlamasını etkileyen değişiklikleri yönetime bildirir. • * *

Yayın: Ocak 2009


İç Denetim Görevinde Değerlendirilmesi Gereken Kontrolleri Belirlemek Üzere

Yukarıdan-Aşağıya, Risk Esaslı Bir Yaklaşımın Kullanılması (Nisan 2010)


2200 - Görev Planlaması İç denetçiler, her görev için, amaçları, kapsamı, zamanlama ve kaynak dağılımı hususlarını da

dikkate alan ayrı bir plan hazırlamak ve yazılı hâle getirmek zorundadır.

1. Bu uygulama önerisini; 2010-2: İç Denetim Planlamasında Risk Yönetimi Süreçlerinin

Kullanılması, 2210-1: Görevin Amaçları ve 2210.A1-1: Görev Planlamasında Risk

Değerlendirmesi başlıklı uygulama önerileri ve İş ve BT Riskleri İçin Uygulama Rehberi

(GAIT-R) ile bağlantılı okuyunuz.

2. Bu uygulama önerisi, iç denetim planlama sürecinde, iç denetim görevinin amaçlarının

belirlenmiş ve ele alınacak risklerin tanımlanmış olduğunu varsayar. Bu öneri riskleri yönetmede

kullanılan anahtar kontrolleri (Standart 2220 ye göre) belirlemek ve iç denetim kapsamı içine

almak için yukarıdan aşağıya, risk temelli bir yaklaşımın kullanılması konusunda rehberlik eder.

3. “Yukarıdan-aşağıya” ibaresi kapsam belirlemede, kuruma yönelik daha önemli risklerin esas

alınması anlamına gelir. Bu, kurumun bütünü için önemli olmayabilecek spesifik bir lokasyondaki

risklere dayalı kapsam oluşturmanın tersidir. Yukarıdan-aşağıya yaklaşımı Uygulama Önerisi

2010-2‟de belirtildiği üzere, iç denetimin “önemli risklerin yönetiminde güvence sağlamak”

konusuna odaklanmasını sağlar.

4. Bir iç kontrol sistemi genellikle manüel ve otomatik kontrollerin her ikisini birden kapsar. (Bu,

her seviyedeki kontroller –kurum, iş süreci, bilgi teknolojisi (BT) genel kontrolleri- ve kontrol

çerçevesinin bütün katmanları için geçerlidir. Örneğin kontrol ortamı, izleme ya da risk

değerlendirme katmanlarındaki faaliyetler de otomatik olabilir.) İş risklerinin etkin şekilde

yönetilip yönetilmediğini tespit etmek amacıyla, her iki tip kontrolün de değerlendirilmesine

gerek vardır. İç denetçi, özellikle iş risklerinin kurumun toleransları içinde kalmasını sağlamak

için; BT ile ilgili kontroller de dahil olmak üzere kontrollerin uygun bir bileşimi olup olmadığını

değerlendirmeye ihtiyaç duyar. İç denetçi risk toleranslarının güncel ve uygun olduğunu

değerlendirmeyi ve doğrulamayı da kapsama almayı göz önünde bulundurmalıdır.

5. İç denetim faaliyetinin kapsamı, risklerin (aşağıda paragraf 9‟daki yorumlara bağlı olarak) etkili

bir şekilde yönetildiğine dair makul güvence sağlamada gerekli olan bütün kontrolleri içermelidir.

Kritik bir iş hedefi ile bağlantılı riskleri yönetmek için gerekli olan bu kontroller anahtar kontroller

olarak adlandırılır. Yalnızca anahtar kontrollerin değerlendirilmesine ihtiyaç duyulmakla birlikte,

güvence sağlamak işletmeye değer katacak ise iç denetçi anahtar olmayan diğer kontrolleri de

(örneğin aşırı, mükerrer kontroller vb.) değerlendirmeyi tercih edebilir. İç denetçi ayrıca anahtar

olmayan kontrollerin gerekli olup olmadığını yönetimle de tartışabilir.

6. Kurumun iyi hazırlanmış ve etkin bir risk yönetim programı varsa, her bir riskin yönetilmesinde

güvenilecek olan anahtar kontroller tanımlanmış olacaktır. Böyle durumlarda iç denetçinin,

yönetimin anahtar kontrolleri belirlemesinin ve değerlendirmesinin yeterli olup olmadığını

değerlendirmesi gerekir.

7. Anahtar kontroller aşağıdaki şekillerde olabilir:

• Kurum seviyesindeki kontroller (örneğin işletmenin davranış kurallarını anlamaları için

çalışanların eğitilmesi ve sınava tabi tutulması). Kurum seviyesindeki kontroller manüel, otomatik ya da kısmen otomatik olabilir.

• Bir iş sürecindeki manüel kontroller (örneğin fiziksel envanterin sayılması).

• Bir iş sürecinde tamamen otomatik olan kontroller (örneğin defteri kebirdeki hesapların eşleşmesi ya da güncellenmesi).

• Bir iş sürecinde kısmen otomatik olan kontroller (aynı zamanda “hibrit/melez” ya da “BT

bağımlı kontroller” olarak da adlandırılır), bir istisna raporunda olduğu gibi manüel bir kontrol

uygulamanın işlerliğine dayanır. Bu işlerliğe ilişkin bir hata tespit edilemezse tüm kontrol etkisini

kaybetmiş olabilir. Örneğin mükerrer ödemeleri tespit edici bir anahtar kontrol, sistemde

oluşturulan bir raporun gözden geçirilmesini kapsayabilir. Kontrolün manüel kısmı raporun

eksiksiz olduğunu garanti etmeyecektir. Bu yüzden, raporun oluşturulduğu uygulamanın

işlerliğinin denetim kapsamında olması gereklidir.

Risklerin yönetilmesinde kullanılan ve manüel, otomatik ve BT genel kontrol süreçlerinde yer

alan kontrolleri içeren tüm anahtar kontrollerin belirlenmesi ve değerlendirilmesi koşuluyla, iç

denetçi başka yöntemler veya çerçeveler kullanabilir.

8. Tamamen ya da kısmen otomatik kontroller –kurum seviyesinde ya da bir iş sürecinin içinde

olsun- genellikle BT genel kontrollerinin uygun şekilde tasarlanmasına ve etkili bir şekilde

işletilmesine dayanır. İş ve BT Riskleri İçin Uygulama Rehberi‟nde (GAIT-R) anahtar BT genel

kontrollerinin belirlenmesinde önerilen süreç ele alınmıştır.

9. Anahtar kontrollerin değerlendirilmesi tek bir entegre denetim görevinde yapılabilir ya da iç

denetim görevlerinin bileşimi ile yapılabilir. Örneğin bir iç denetim görevi, iş süreçlerindeki

kullanıcıların gerçekleştirdiği anahtar kontrollere yönelik olabilirken bir başkası anahtar BT

kontrollerini kapsar ve bir üçüncüsü ise kurum seviyesindeki kontrolleri değerlendirir. Bu, aynı

kontrollere (özellikle kurum seviyesindeki kontroller ya da BT genel kontrolleri) birden fazla risk

alanında dayanıldığı durumlarda yaygındır.

10. Paragraf 5‟te belirtildiği üzere, iç denetim kapsamında ele alınan risklerin etkili yönetimi

hakkında bir görüş sağlamadan önce, bütün anahtar kontrollerin bileşiminin değerlendirilmesi

gerekir. Her birinde bazı anahtar kontrollerin ele alındığı birden fazla iç denetim görevi yerine

getirilmiş olsa bile, iç denetçi anahtar kontrollerin tasarımının bir bütün halinde (ilgili tüm iç

denetim görevlerini kapsayacak şekilde) değerlendirilmesini ve bu kontrollerin risklerin kurum

toleransları içinde yönetilmesi bakımından yeterli olup olmadığının değerlendirilmesini denetim

görevlerinin en azından birinin kapsamına dahil etmeye ihtiyaç duyar.

11. İç denetimin kapsamı (Paragraf 9‟da tartışılan diğer iç denetim görevlerini dikkate alarak)

hedeflenen riskleri yönetmek için gereken anahtar kontrollerin tümünü değil de bazılarını

içeriyorsa, kapsam sınırlaması göz önüne alınmalı ve iç denetim bildiriminde ve nihai raporda

açıkça belirtilmelidir.


Görevin Amaçları

1. İç denetçiler, görevin amaçlarını, denetlenen faaliyetle ilgili risklere göre belirler. Planlı

görevlerde, bu amaçlar, iç denetim planının oluşturulduğu risk değerlendirme süreci sırasında

belirlenen amaçlarla uyumlu bir seyir izler.Plansız görevlerde ise amaçlar, görevden önce belirlenir ve

görevlendirmeye yol açan belirli bir konuya yönelik tasarlanır.

2. Görevin planlama safhasındaki risk değerlendirmesi, daha sonra,başlangıç amaçlarını tanımlamak

ve diğer ele alınacak önemli alanları belirlemek için kullanılır.

3. Riskleri tanımladıktan sonra, iç denetçi, uygulanacak prosedürleri ve bu prosedürlerin kapsamını

(niteliğini, zamanlamasını ve büyüklüğünü) belirler. Belirlenen kapsamda

uygulanan görev prosedürleri, görevin amaçlarıyla ilgili sonuçlara ulaşmanın araçlarıdır. * 8 *

Yayın: Ocak 2009


Görev Planlamasında Risk Değerlendirmesi

1. İç denetçiler, yönetimin denetlenen faaliyetle ilgili risk değerlendirmesini göz önüne alır. İç

denetçiler ayrıca şunları da dikkate alır:

• Yönetimin risk değerlendirmesinin güvenilirliği,

• Yönetimin, risk ve kontrol meselelerini izlemesine, raporlamasına ve çözüme kavuşturmasına

ilişkin süreçleri,

• Kurumun risk iştahı sınırlarını aşan durumlara dair yönetime raporlamalar ve bu raporlara yönetimin

cevapları,

• Denetlenen faaliyetle ilişkili diğer faaliyetlerdeki riskler,

2. İç denetçiler incelenecek olan faaliyetler hakkındaki temel (arkaplan) bilgileri, görevin amaçları ve

kapsamı üzerindeki muhtemel etkilerini tespit etmek amacıyla temin eder ve bunları günceller.

3. İç denetçiler, gerekirse, faaliyetlere, risklere ve kontrollere aşina olabilmek, görev için önemli olan

alan ve konuları tespit etmek ve denetlenenlerin yorum ve tavsiyelerini almak amacıyla bir anket

çalışması yapar.

4. İç denetçiler, yönetimin risk değerlendirmelerinden, temel (arkaplan) bilgilerden ve anket

bulgularından elde edilen sonuçların bir özetini hazırlar. Bu özet şu hususları içerir:

• Önemli sorunlar ve bunların daha derinlemesine incelenmesinin sebepleri,

8 İhtiyaç duyulan iç denetim personelinin sayısı ve tecrübe seviyesi.

• Görev için iç denetçi seçimi yaparken, iç denetim personelinin bilgi, beceri ve diğer yetkinlikleri.

• Görevin amaçları ve prosedürleri,

• Bilgisayar destekli denetim ve örnekleme teknikleri gibi, kullanılacak metodolojiler,

• Potansiyel kilit kontrol noktaları, kontrol zafiyetleri ve/veya aşırı kontroller, • Gerekirse, göreve

devam edilmemesinin veya görev amaçlarında yapılan önemli değişikliklerin

sebepleri. • * *

Yayın: Ocak 2009


Görev Kaynaklarının Tahsisi

1. İç denetçiler kaynakların uygunluğunu ve yeterliliğini belirlerken aşağıdaki hususları göz önüne

alır:

• Ek bilgi, beceri ve diğer kabiliyetlerin gerektiği durumlarda, kurum dışı kaynakların mevcudiyeti.

• Her görevlendirme, iç denetim faaliyetinin (biriminin) gelişme ihtiyaçlarının karşılanmasına

da hizmet ettiğinden, iç denetçilerin eğitim ihtiyaçları. • * *

Yayın: Ocak 2009


Denetim Görevinin Yürütülmesinde Kişisel Bilginin Kullanılması (Mayıs 2010)


2300-Görevin Yapılması İç denetçiler, üstlendikleri görevin hedeflerine ulaşmak için yeterli bilgiyi belirlemek, analiz

etmek, değerlendirmek ve kayıtlı hale getirmek zorundadır.

1. Bilgi teknolojileri ve iletişimdeki ilerlemeler, gizlilikle ilgili riskler ve tehditler oluşturmaya

devam ettikçe, iç denetçilerin denetim görevleri süresince topladıkları kişisel nitelikteki bilgilerin

korunmasıyla ilgili konuları göz önünde bulundurmaları gerekmektedir. Gizlilik kontrolleri

birçok hukuk sisteminde yasal bir gerekliliktir.

2. Kişisel bilgi genellikle belirli bir kişiyle veya başka bilgilerle de birleştirilebilen belirleyici

niteliksel özelliklere sahip bir veriyle ilgili bilgiyi ifade eder. Bu; herhangi bir biçim ve ortamda,

kayıtlı olan veya olmayan, somut ya da öznel (sübjektif) bilgiyi kapsar. Kişisel bilgi şunları içerir;

• Ad, adres, kimlik numaraları, gelir, kan grubu

• Değerlendirmeler, sosyal durum, disiplinle ilgili olaylar

• Çalışan dosyaları, alacak ve borç kayıtları

• Çalışan sağlığı ve tıbbi veriler

3. Birçok hukuk sisteminde, yasalar kurumların toplama aşamasında ya da öncesinde hangi kişisel

bilgiyi toplayacaklarına ilişkin amaç belirlemelerini öngörür. Bu yasalar aynı kişinin kendi rızası

ya da yasanın gerektirdiği haller dışında kişisel bilgilerin toplanma amacı dışında kullanılmasını

ve açıklanmasını yasaklar.

4. İç denetçilerin, kişisel bilgilerin kullanımıyla ilgili kendi hukuk sistemlerindeki veya işletmenin

faaliyetlerini yürüttüğü hukuk sistemlerindeki bütün yasaları anlaması ve bunlara uyması

önemlidir.

5. Belirli iç denetim görevlerinin yerine getirilmesi sırasında, kişisel bilgilere erişilmesi, alınması,

gözden geçirilmesi, üzerinde oynanması veya kullanılması uygunsuz ve hatta bazı durumlarda

yasaya aykırı olabilir. Eğer iç denetçi kişisel bilgilere erişirse, bu bilgilerin güvenliğini temin

edecek prosedürler geliştirmek gerekebilir. Örneğin iç denetçi bazı hallerde kişisel bilgiyi çalışma

kâğıtlarına kaydetmemeye karar verebilir.

6. Kişisel bilgilere erişimle alakalı sorunlar veya endişeler varsa, iç denetçi denetim çalışmasına

başlamadan önce hukuk danışmanının tavsiyelerini alabilir.


Analitik Prosedürler (Mayıs 2010)


2320 - Analiz ve Değerlendirme İç denetçiler, vardıkları kanaatleri ve görev sonuçlarını uygun analiz ve değerlendirmelere

dayandırmak zorundadır.

1. İç denetçiler denetim kanıtı elde etmek için analitik yöntemler kullanabilir. Analitik yöntemler

finansal olan ve olmayan bilgiler arasındaki ilişkilerin karşılaştırılmasını kapsar. Analitik

yöntemlerin uygulanması; bilinenin aksine koşulların bulunmaması halinde, bilgiler arasındaki

ilişkilerin makul bir şekilde var olma ve sürdürülme beklentisi temeline dayanır. Alışılmamış ya

da tekrar etmeyen işlemler veya olaylar; muhasebe, organizasyon, faaliyetler, çevre ve teknoloji

ile ilgili değişiklikler, verimsizlikler; etkisizlikler; hatalar; yolsuzluk veya yasa dışı eylemler,

bilinen aksine koşullara örnek olarak verilebilir.

2. Analitik yöntemler çoğunlukla iç denetçiye etkin ve verimli şekilde kanıt elde etme imkânı

sağlar. Değerlendirme, bilginin iç denetçi tarafından tanımlanan veya belirlenen beklentiler ile

karşılaştırılmasından doğar. Analitik yöntemler aşağıdakilerin saptanmasında yararlı olur.

• Tahmin edilemeyen farklılıklar.

• Tahmin edilen farklılıkların yokluğu.

• Potansiyel hatalar.

• Potansiyel yolsuzluk veya yasa dışı faaliyetler.

• Diğer olağan dışı veya tekrar etmeyen işlem veya olaylar.

3. Analitik denetim prosedürleri şunları içerir:

• Bütçe ve tahminler dahil geçmiş dönemlerin benzer bilgilerine dayanarak belirlenen beklenti ile

cari dönem bilgilerinin karşılaştırılması.

• Finansal bilgi ile uygun finansal olmayan bilgi arasındaki ilişkilerin incelenmesi (örneğin

kayıtlarda yer alan bordro-ücret gideri ile ortalama çalışan sayısındaki değişikliklerin

karşılaştırılması).

• Bilginin unsurları arasındaki ilişkilerin incelenmesi (örneğin kayıtlarda yer alan faiz giderindeki

dalgalanma ile ilişkili borç bakiyesindeki değişimlerinin karşılaştırılması).

• Bilgilerin, kurumun faaliyet gösterdiği sektör de dâhil olmak üzere diğer organizasyonel

birimlere ait benzer bilgilere dayanan beklentiler ile karşılaştırılması.

4. İç denetçiler, parasal tutarları, fiziksel miktarları, oranları veya yüzdeleri kullanarak analitik

yöntemler uygulayabilirler. Bilinen analitik yöntemler; oran, eğilim ve ilişki (regresyon) analizi,

nedensellik testleri, dönemsel karşılaştırmalar, bütçe karşılaştırmaları, tahminler ve dış ekonomik

bilgilerle karşılaştırmaları kapsar. Analitik yöntemler iç denetçilere, ilave denetim yöntemleri

gerektiren koşulların tespitinde yardımcı olur. Bir iç denetçi analitik yöntemleri Standart 2200

kapsamındaki kılavuzlara uygun şekilde denetim görevinin planlanmasında kullanır.

5. İç denetçiler analitik yöntemleri denetim görevi süresince kanıt oluşturmak için kullanabilirler.

Analitik yöntemlerin kapsamını belirlerken, iç denetçiler aşağıdaki hususları göz önünde

bulundurur:

• Denetlenen alanın önemi.

• Denetlenen alandaki risk yönetiminin değerlendirmesi.

• İç kontrol sisteminin yeterliliği.

• Finansal ve finansal olmayan bilginin hazır ve güvenilir olması.

• Analitik denetim yöntemlerle öngörülebilen sonuçların doğruluğu.

• Kurumun faaliyet gösterdiği sektörle ilgili bilginin hazır ve karşılaştırılabilir olması.

• Diğer yöntemlerin kanıt sağlama derecesi.

6. Analitik denetim yöntemleri beklenmeyen sonuçlar verdiğinde, iç denetçi bu sonuçları ve

ilişkileri değerlendirir. Bu değerlendirmede, beklenene göre ortaya çıkan farkın; yolsuzluk (hile),

hata veya koşulların değişmesi nedenlerine bağlı olup olmadığı belirlenir. Denetçi yönetime,

farkın nedenlerini sorabilir ve yönetimin açıklamasını; beklentiyi düzelterek ve farkı yeniden

hesaplayarak veya başka denetim yöntemleri uygulayarak doğrulayabilir. İç denetçinin

açıklamada özellikle; hem değişimin yönünün (örneğin azalan satışlar) ve hem de farkın

miktarının (örneğin %10 azalan satışlar) dikkate alındığından emin olması gerekir. Analitik

yöntemlerin uygulanmasıyla ortaya çıkan açıklanmamış sonuçlar veya ilişkiler, önemli sorunların

(örneğin hata, yolsuzluk veya yasa dışı faaliyet gibi) göstergesi olabilir. Yeterli şekilde

açıklanmamış sonuçlar veya ilişkiler, Standart 2060‟a göre üst yönetim ve Yönetim Kurulu‟na

bildirilmesi gereken bir durumun varlığına işaret ediyor olabilir. Koşullara bağlı olarak iç denetçi

uygun bir önlem tavsiye edebilir.

Uygulama Önerisi 2330.A1-1 Görev Kayıtlarının Kontrolü

1. İç denetim görev kayıtları, kaydedildiği yere bakılmaksızın, raporları, destekleyici belgeleri,

gözden geçirme notlarını ve yazışmaları içerir. Görev kayıtları veya çalışma kâğıtları, kurumun

mülkiyetindedir. İç denetim faaliyeti çalışma kâğıtlarını kontrolünde tutar ve sadece yetkili kişilerin

erişimine izin verir.

2. İç denetçiler, görev kayıtlarına kurum dışı taraflarca erişim hakkında yönetimi ve yönetim

kurulunu eğitebilirler. Görev kayıtlarına erişim ile ilgili politikalar, erişim taleplerinin

değerlendirilmesi ve görevin soruşturmayı gerektirmesi hâlinde izlenecek prosedürlerin yönetim

kurulu tarafından gözden geçirilmesi gerekir.

3. İç denetim politikaları, faaliyet kayıtlarının kontrol ve güvenliğinden kurum içinde kimin sorumlu

olduğunu, görev kayıtlarına hangi kurum içi veya dışı taraflar için erişim yetkisi verilebileceğini ve

bu kayıtlara erişim taleplerinin nasıl değerlendirilmesi gerektiğini açıklar. Bu politikalar, şirketin

niteliğine, sektörde takip edilen uygulamalara ve kanunlar tarafından getirilen erişim önceliklerine

göre değişir.

4. Kurumun yönetimi ve diğer elemanları da bütün veya bazı özel çalışma kâğıtlarına erişim hakkı

talep edebilir. Bu erişim, tespit ve tavsiyeleri kanıtlamak veya açıklamak için ya da işle ilgili başka

amaçlarla gerekli olabilir. Bu talepleri, İç Denetim Yöneticisi onaylar. 5. Dış denetçilerin görev

çalışma kâğıtlarına erişimini İç Denetim Yöneticisi onaylar.

6. Dış denetçilerden başka, kurum dışından tarafların da görev çalışma kâğıtlarına ve raporlara

erişim talebinde bulunması mümkündür. Bu durumda, belgeler dışarı verilmeden önce, İç Denetim

Yöneticisi, üst yönetimin ve/veya hukuk danışmanının onayını alır.

7. Özel olarak korunmayan iç denetim kayıtlarına kanuni kovuşturmalarda erişilebilir. Hukuki

gerekler, farklı yargı sistemlerinde önemli değişiklikler gösterir. Kanuni bir kovuşturma ile ilgili

görev kayıtlarına erişime yönelik özel bir talep geldiğinde, İç Denetim Yöneticisi, hangi

belgelerin verileceğine karar verirken hukuk müşaviriyle müşterek çalışır. * * *

Yayın: Ocak 2009


Denetim Kayıtlarına Erişim Yetkisinin Verilmesi (Mayıs 2010)


2330 – Bilgilerin Kayıtlı Hale Getirilmesi 2330.A1 - İç Denetim Yöneticisi, görev kayıtlarına erişimi kontrol etmek zorundadır. İç Denetim

Yöneticisi, gerektiğinde, bu kayıtları kurum dışı taraflara vermeden önce, üst yönetimin ve/veya

hukuk danışmanının onayını almak zorundadır.

Uyarı: Farklı yargısal yetkiler (düzenlemeler) çerçevesinde gereksinimler önemli ölçüde

değişebildiğinden iç denetçilerin yasal sorunları kapsayan konularda hukuk danışmanlarının

görüşlerini almaları teşvik edilir. Bu uygulama önerisi kapsamında yer alan rehber temel olarak,

ABD’deki yasal sitemde olduğu gibi, bilgiyi ve yapılan çalışmayı veya iletişimi korumak üzere

anlaşmalı bir avukatın (örneğin müşteri- avukat hakkı) bulunduğu hukuk sistemlerini esas alır.

Uygulama Önerisi 2400-1’de müşteri-avukat hakkı ele alınmıştır.

1. İç denetim görev kayıtları; raporları, destekleyici belgeleri, gözden geçirme notlarını ve hangi

ortamda saklandığından bağımsız olarak kapsar. Görev kayıtları genellikle gizli oldukları ve

olgular ile düşüncelerin bir karışımını içerebilecekleri varsayımıyla üretilir. Ancak kurumu veya

iç denetim sürecini tam olarak bilmeyenler bu olgu ve düşünceleri yanlış anlayabilirler. Üçüncü

taraflar; cezai takibatlar ve hukuki ihtilaflar, vergi denetimleri, yasal incelemeler, kamu ihale

incelemeleri ve öz düzenleyici kurumların incelemelerini kapsayan farklı adli soruşturmalar

çerçevesinde görev kayıtlarına erişmek isteyebilirler. Adli takibatlarda, müşteri-avukat-hakkı

çerçevesinde korunmayan kurum kayıtlarının çoğuna erişilebilir. Cezai olmayan takibatlarda

erişim konusu çok açık değildir ve kurumun tabi olduğu yargısal düzenlemeye göre değişebilir.

2. İç denetim faaliyetinin açık olarak bilinen uygulamaları, görev kayıtlarına erişimin kontrolünü

artırabilir.

3. İç denetim faaliyeti, saklandığı ortam ne olursa olsun iç denetim kayıtlarına erişim ve kontrolü

işaret edebilir.

4. İç denetim faaliyetine ilişkin politikaların; görev kayıtlarında neler bulunacağını, bunların

içerik ve şekillerini, iç denetçilerin çözümlenen yeniden inceleme notlarını nasıl ele alacağını

içermesi gereklidir. Bu politikaların ayrıca iç denetim kayıtlarının ne kadar süre ile saklanacağını

da belirlemesi gereklidir. İç Denetim Yöneticisi (İDY) görev kayıtlarının saklama süresini

belirlerken, yasal gerekliliklerin yanı sıra kurumun ihtiyaçlarını da dikkate almalıdır.

5. İç denetim faaliyeti politikaları, iç denetim kayıtlarının kontrol ve güvenliğinden kimin sorumlu

olduğunu, kimlerin görev kayıtlarına erişim hakkı bulunduğunu ve bu kayıtlara erişim taleplerinin

nasıl yönetileceğini yazılı hale getirebilir. Bu politikalar kurumun içinde bulunduğu sektörde veya

tabi olduğu yasal hükümler çerçevesinde izlediği uygulamalara bağlıdır. İDY sektördeki

uygulamalarda meydana gelen değişikliklerin veya yasal içtihatlardaki değişiklerin farkında

olması gereklidir. Politikaları geliştirirken, İç Denetim Yöneticisi‟nin iç denetim kayıtlarına

kimlerin erişmeyi talep edebileceğini göz önüne alması gereklidir.

6. Görev kayıtlarına erişim izni veren politika, aynı zamanda aşağıdaki süreçleri tarif edebilir:

• Erişim sorunlarının çözümlenmesi.

• Çalışma sonuçlarına erişime ilişkin risk ve sorunlarla ilgili olan personelin eğitimi.

• Gelecekte kimlerin iş çalışma sonuçlarına erişim talep edebileceğinin belirlenmesi.

7. İDY, ayrıca üst yönetimi ve Yönetim Kurulu‟nu görev kayıtlarına erişimin riskleri hakkında

eğitebilir. Yönetim Kurulu kimlere görev kayıtlarına erişim izni verilebileceği ve bu taleplerin

nasıl yönetileceği ile ilgili politikaları gözden geçirebilir. Belirlenen politikalar, kurumun yapısı

ve yasalarla tesis edilen erişim haklarına bağlı olarak değişecektir.

8. Görev kayıtları sunulurken, İDY genellikle;

• Yalnızca hukuk danışmanının ya da politikaların yönlendirdiği belirli belgeleri verir. Bunlar

genellikle avukat-müvekkil hakkı dışında kalan belgelerdir. Avukatın düşünceleri süreç ve

stratejileri gösteren belgeler genellikle ayrıcalıklıdır ve zorla açıklamaya tabi değildir.

• Belgeleri değiştirilemeyecek bir şekilde (örneğin Word dosyası yerine imaj/resim formatında)

sunar. İDY kâğıt ortamdaki belgelerin asıllarını saklayarak kopyalarını paylaşır.

• Her bir belgeye gizlidir damgası basar ve izin alınmaksızın ikincil dağıtımının yapılamayacağına

dair bir not koyar.

Uygulama Önerisi 2330.A2-1 Kayıtların Saklanması

1. Görev kayıtlarının saklanma gerekleri, farklı yargı sistemleri ve hukuk ortamlarına göre değişir.

2. İç Denetim Yöneticisi, kurumun ihtiyaçlarını ve kurumun faaliyet gösterdiği yargı sistemlerinin

hukuki gereklerini karşılayan, yazılı bir kayıt saklama politikası geliştirir. 3. Kayıt saklama politikası, dış hizmet sağlayıcılarının yerine getirdiği görevlerle ilgili kayıtların saklanmasına yönelik uygun düzenlemeleri de içermelidir.

* * * Yayın: Ocak 2009

Uygulama Önerisi 2240-1: Görev İş Programı

1. İç denetçiler, bir iç denetim görevine başlamadan önce iş programlarının yazılı bir onayını alırlar. İş

programı teknoloji destekli denetim ve örnekleme teknikleri gibi kullanılacak metodolojileri içerir.

2. Görev amaçlarına ulaşılması ve denetçinin objektifliğinin korunması için makul bir güvence

sağlamak amacıyla, bilgi toplama, analiz, yorumlama ve belgelendirme süreçleri kontrol edilmelidir.

Uygulama Önerisi 2330-1: Bilgilerin

Kayıtlı Hâle Getirilmesi

1. İç denetçiler, çalışma kâğıtları hazırlar. Çalışma kâğıtları, toplanan bilgileri, yapılan analizleri,

hükümlerin dayanaklarını ve görevin sonuçlarını belgelendirir. İç denetim yönetimi hazırlanan

çalışma kâğıtlarını gözden geçirir.

2. Görevle ilgili çalışma kâğıtları, genel olarak;

• görevlerin planlanması, uygulanması ve gözden geçirilmesine yardımcı olur,

• görev sonuçlarına en büyük desteği sağlar,

• görev amaçlarına ulaşılıp ulaşılmadığını gösterir,

• yapılan işin tam ve kesin olmasına destek olur,

• iç denetim faaliyetinin kalite güvence ve geliştirme programı için temel oluşturur,

• üçüncü şahısların incelemelerini kolaylaştırır.

3. Görev çalışma kâğıtlarının düzeni, tasarımı ve içeriği, görevin niteliğine, amaçlara ve kurumun

ihtiyaçlarına bağlıdır. Görev çalışma kâğıtları, görev sürecinin -planlamadan raporlamaya kadar- tüm

aşamalarını belgelendirir. İç denetim birimi çalışma kâğıtlarının hangi ortamda hazırlanacağına ve

saklanacağına karar verir.

4. İç Denetim Yöneticisi, yapılan çeşitli görev türlerine göre çalışma kâğıdı politikaları belirler. Soru

formları ve denetim programları gibi standart görev çalışma kâğıtları, bir görevin verimliliğini

artırabilir ve görevle ilgili işlerin paylaşımını kolaylaştırabilir. Çalışma kâğıtları, önemini her zaman

koruyan bilgileri içeren, 'sabit' veya 'ileride de kullanılacak görev dosyaları olarak sınıflandırılabilir. • * *

Yayın: Ocak 2009

Uygulama Önerisi 2330.A2-1: Kayıtların Saklanması

1. Görev kayıtlarının saklanma gerekleri, farklı yargı sistemleri ve hukuk ortamlarına göre değişir.

2. İç Denetim Yöneticisi, kurumun ihtiyaçlarını ve kurumun faaliyet gösterdiği yargı sistemlerinin

hukuki gereklerini karşılayan, yazılı bir kayıt saklama politikası geliştirir.

3. Kayıt saklama politikası, dış hizmet sağlayıcılarının yerine getirdiği görevlerle ilgili kayıtların saklanmasına yönelik uygun düzenlemeleri de içermelidir. * 9 * Yayın: Ocak 2009


Görevin Gözetim ve Kontrolü

1. İç Denetim Yöneticisi veya atadığı kişi, uygun bir şekilde görevin gözetim ve kontrolünü sağlar.

Gözetim ve kontrol, planlama ile başlayan ve görev boyunca devam eden bir süreçtir. Bu süreç şunları

içine alır:

• Görevlendirilen iç denetçilerin toplu olarak, görevi yapmaları için gerekli bilgi, beceri ve diğer

kabiliyetlere sahip olmasının sağlanması,

• Planlama safhasında gerekli talimatların verilmesi ve görev programının onaylanması,

• Gerekli ve onaylı değişiklikler söz konusu olmadıkça, onaylanmış olan görev programının

tamamlanmasının sağlanması,

9 İç denetçilerin veya iç denetim birimi adına çalışan başka kişilerin, İç Denetim Yöneticisinin

meslekî kararlarına -görevi olumsuz etkiyebilecek kadar- aykırı şekilde karar almaları riskini asgarîye

indirmek,

• Görevle ilgili önemli konularda, İç Denetim Yöneticisi ile iç denetim personelinin meslekî kararları

arasındaki farkları gidermek. Bu yol ve araçlardan bazıları, tesbit ve bulguların

• Görev çalışma kâğıtlarının; tespitleri, sonuçları ve tavsiyeleri yeterince destekleyip

desteklemediğinin değerlendirilmesi,

• Raporlamaların açık, doğru, objektif, özlü ve yapıcı olmasını ve zamanında yapılmasının

sağlanması,

• Görev amaçlarına ulaşılmasının sağlanması

• İç denetçilerin bilgi, beceri ve diğer kabiliyetlerini geliştirmeleri için uygun imkânların yaratılması.

2. İç Denetim Yöneticisi, iç denetim birimi tarafından veya iç denetim birimi adına yapıldığına

bakılmaksızın, bütün iç denetim görevlerinden ve tüm görev aşamalarında alınan bütün önemli

meslekî kararlardan sorumludur. İç Denetim Yöneticisi, ayrıca, bu sorumluluğunun gereğini yerine

getirmek için uygun araç ve yollar geliştirir. Uygun araç ve yollar terimi, aşağıdaki amaçlarla

hazırlanmış politika ve prosedürleri kapsar: tartışılması, ek araştırma ve/veya inceleme yapılması,

çalışma kâğıtlarındaki farklı görüşlerin kaydedilmesi ve farklılıkların giderilmesidir. Etik bir meselede

fikir ayrılığı olması hâlinde, konunun kurumdaki etik görevlilerine götürülmesi de 'uygun araç ve

yollar' terimi içinde değerlendirilebilir.

3. Tüm görev çalışma kâğıtları, yapılan raporlamaları gerektiği şekilde desteklediklerinden ve gerekli

tüm denetim prosedürlerinin yerine getirildiğinden emin olunacak şekilde gözden geçirilir. Gözden

geçirmenin yapıldığına dair kanıtlar, gözden geçirenin her gözden geçirmeden sonra attığı parafı ve

tarihi de içerir. Bu yönde kanıt sağlayacak diğer teknikler arasında, görev çalışma kâğıdı 'gözden

geçirme kontrol listesi'nin kullanılması, gözden geçirmenin nitelik, kapsam ve sonuçlarını gösteren bir

tutanak düzenlenmesi veya yapılan gözden geçirmeleri elektronik çalışma kâğıdı yazılımı içinde

değerlendirme ve kabul yöntemi de sayılabilir.

4. Gözden geçirme yapanlar, gözden geçirme sürecinde ortaya çıkan sorular hakkında yazılı bir kayıt

(mesela gözden geçirme notları) oluşturabilir. Gözden geçirme notları düzenlenirken, çalışma

kâğıtlarında gözden geçirme sırasında ortaya çıkan soruların cevaplandığını tevsik eden yeterli kanıt

olduğundan emin olmak gerekir. Gözden geçirme notlarının kullanılmasıyla ilgili kabul edilebilir

seçenekler şunlardır:

• Gözden geçirme notlarının, gözden geçirmeyi yapanların ortaya koyduğu sorunların, bu sorunlarla

ilgili yapılanların ve yapılanların sonuçlarının bir kaydı olarak saklanması.

• Ortaya konulan sorunlar çözüldükten ve ilgili çalışma kâğıtları istenen ek bilgileri de içerecek

şekilde değiştirildikten sonra, gözden geçirme notlarının atılması.

5. Görevin gözetim ve kontrolü, personelin eğitim ve gelişimini ve performans değerlendirmesini de hesaba katar. • * * Yayın: Ocak 2009


Sonuçların İletilmesinde Hukuki Mülahazalar (Mayıs 2010)


2400 - Sonuçların Raporlanması İç denetçiler, görev sonuçlarını raporlamak zorundadır.

İç denetçilerin görev sonuçlarını raporlaması gerekir.

Uyarı: Farklı yargısal yetkiler (düzenlemeler) çerçevesinde gereksinimler önemli ölçüde

değişebildiğinden iç denetçilerin yasal sorunları kapsayan konularda hukuk danışmanlarının

görüşlerini almaları teşvik edilir. Bu uygulama önerisi kapsamında yer alan rehber temel olarak,

ABD’deki yasal sitemde olduğu gibi, bilgiyi ve yapılan çalışmayı veya iletişimi korumak üzere

anlaşmalı bir avukatın (örneğin müşteri- avukat hakkı) bulunduğu hukuk sistemlerini esas alır.

Uygulama Önerisi 2400-1’de müşteri-avukat hakkı ele alınmıştır.

1. İç denetçi, yasalara, düzenlemelere aykırılığı ve başka hukukî sorunları iletirken dikkatli

olmalıdır. Bu tip durumların yönetilmesine ilişkin politika ve prosedürlerin geliştirilmesi ve diğer

alanlarla (örneğin hukuk danışmanı, mevzuata uyum) yakın bir çalışma ilişkisi kurulması şiddetle

tavsiye edilir.

2. İç denetçi delilleri toplar, analitik değerlendirmeler yapar, sonuçları raporlar ve yönetimin

gereken düzeltici tedbirleri alıp almadığını belirler. İç denetçinin çalışma kayıtlarını oluşturma

ihtiyacı, hukuk danışmanının hukuki sorunlarda kurumun pozisyonunu zarara uğratabilecek

keşfedilebilir kanıt bırakmama arzusuyla çelişebilir. Örneğin bir iç denetçi bilgiyi gerektiği

şekilde toplasa ve değerlendirse bile, açıklanan gerçekler ve analizler, kurumu yasal açıdan

olumsuz olarak etkileyebilir. Aniden yapılan bir açıklamada hukuk danışmanıyla iç denetçinin

birbiriyle çelişen konumda olmaması için - rol tanımlarını ve iletişim biçimlerini de içerecek

şekilde- uygun planlama yapılması ve politikaların oluşturulması şarttır. Her iki tarafın da,

oluşturulan politikalar konusunda yönetimi eğiterek ve duyarlı hale getirerek, kurum içinde etik ve

önleyici bir bakış açısını teşvik etmesi gerekir.

3. Avukat-müşteri hakkının korunabilmesi için, hak sahibi kişiler arasında -müşteri için hukuki

yardım istemek, almak ve vermek amacına yönelik güvene dayalı- bir iletişime ihtiyaç vardır.

Esas olarak avukatlarla yapılan iletişimin gizliliğini korumak amacıyla kullanılan bu hak, bir

avukatla birlikte çalışan üçüncü kişilerle yapılan iletişimlere de uygulanabilir.

4. Bazı mahkemeler, öz eleştiri niteliği taşıyan (örneğin denetim çalışması ürünleri) malzemeleri

ifşa edilmekten koruyan, bir kritik öz değerlendirme hakkı tanımıştır. Genellikle, bu ayrıcalığın

tanınmasının altında yatan mantık, böyle davalarda öz analizin gizliliğinin korunmasının

sağlayacağı faydanın, beklenen kamu yararından daha fazla olmasıdır.

5. Ayrıcalık (hak) genellikle şu durumlarda uygulanır:

• Bilgiler, ayrıcalık talep eden tarafın kendisinin yaptığı (öz)eleştirel bir analiz sonucunda elde

edilmiş ise.

• Eleştirel analize konu bilgilerin serbest akışının korunmasında kamunun güçlü bir menfaati

bulunuyorsa.

• Bilgiler, açıklanmasına izin verildiği takdirde, bilgi akışı kesilecek türde bilgiler ise.

6. Belgelerin bir özel hukuki meseleye dahil olan kişi tarafından değil de bir kamu kuruluşu

tarafından talep edildiği durumlarda, öz değerlendirme ayrıcalığının sağlanma olasılığı daha

düşüktür. Bunun nedeni, muhtemelen, kanunların uygulanması konusunda kamu çıkarının daha

güçlü olmasıdır.

7. „Çalışma ürünleri doktrini‟ kapsamında korunması istenen belgelerin genellikle;

• herhangi bir çalışma sonucu tipine uyması (örneğin tutanak, bilgisayar programı),

• bir dava açılabileceği düşüncesiyle hazırlanmış olması,

• bir avukatın yönlendirmesiyle çalışan birisi tarafından hazırlanmış olması

gereklidir.

8. Avukat-müvekkil ilişkisi kurulmadan önce hazırlanarak avukata teslim edilen belgeler

genellikle avukat-müvekkil ayrıcalığı tarafından korunmaz.


Raporlama Kıstasları

1. Nihaî görevle ilgili raporların formatı ve içeriği kurumdan kuruma veya görevin türüne göre

değişmesine rağmen, her raporda, en azından, görevin amacı, kapsamı ve sonuçları ifade edilir.

2. Nihaî görevle ilgili raporlarda, temel (arkaplan) bilgiler ve özetler de yer alabilir. Temel bilgiler,

denetlenen birimlerin ve faaliyetlerinin anlaşılmasını sağlar ve gerekli bilgi ile verileri sunar. Bu temel

bilgiler, daha önceki raporlarda bulunan tespitlere, sonuçlara ve tavsiyelere de yer verebilir; raporun

önceden programlanmış bir görevin sonucu mu, yoksa talep üzerine yapılan bir denetimin sonucu mu

olduğunu bildirir. Özetler, raporun esasını verecek nitelikteki ifadelerden ibarettir.

3. Raporun "Amaçlar" başlığı altında, görevin hedefleri açıklanır. Okuyucu bu kısımda, görevin

neden yapıldığı ve görevden ne beklendiği konusunda bilgilendirilebilir.

4. Raporun "Kapsam" başlığı altında, denetlenen faaliyetler belirtilir ayrıca denetimin kapsadığı süre

dilimi gibi destekleyici bilgiler ve görevin sınırlarını açıkça çizmek amacıyla, denetlemeye konu

olmayan ilgili faaliyetler de bu kısımda yer alabilir. Yapılan görevin niteliği ve kapsamı bu kısımda

tanımlanabilir.

5. Görev sonuçları; tespitleri, kanaatleri, düşünceleri, tavsiyeleri ve eylem planlarını içerir.

6. Tespitler, maddî olay ve olgularla ilgili açıklamalardır. İç denetçi vardığı sonuçları ve yaptığı

tavsiyeleri desteklemek veya bunların yanlış anlaşılmasını önlemek için gerekli görülen tespitlerini

açıklar. İç denetçi daha az önemli görülen tespitlerini veya tavsiyelerini gayri resmî yollarla

bildirebilir.


Raporlamaların Kalitesi

1. Veri ve delilleri, dikkat ve hassasiyetle toplayın, değerlendirin ve özetleyin.

2. Tespit, sonuç ve tavsiyeleri, önyargısız ve tarafsız bir şekilde, kişisel çıkarları göz önüne almadan

ve başkalarının etkisi altında kalmadan ortaya çıkartın ve ifade edin.

3. Gereksiz teknik terimler kullanmaktan kaçınarak ve konuyla ilgili ve önemli bütün bilgileri vererek,

raporların anlaşılabilirliğini artırın.

4. Sunulan her düşüncenin anlamlı fakat özlü ve kısa olması amacıyla raporlarınızı hazırlayın.

5. Kurumun amaçlarına odaklanan, faydalı, olumlu, anlamlı bir rapor içeriği ve tarzı benimseyin.

6. Raporlamanın kurumun tarzı ve kültürü ile uyumlu olmasını temin edin.

7. Gecikmelerden kaçınmak için, görev sonuçlarıyla ilgili raporun zamanlamasını planlayın. * * *

Yayın: Ocak 2009


Sonuçların Dağıtımı

1. İç Denetim Yöneticisi, nihaî görev raporlarını hazırlamadan önce, iç denetçiler, görev sonuçları ve

tavsiyelerini uygun yönetim kademeleriyle tartışır. Sonuçların ve tavsiyelerin tartışılması, genellikle,

görev sırasında ve/veya görev sonrası toplantılarda (yani kapanış toplantılarında) yapılır.

2. Başka bir usul de, denetlenen faaliyet ve birimin yönetiminin taslak raporları, tespitleri ve

tavsiyeleri gözden geçirmesidir. Bu tartışma ve gözden geçirmeler, denetlenenlerin özel konuları

açıklığa kavuşturmasına fırsat vererek yanlış anlaşılma ve yorumlamalardan kaçınılmasına ve

denetlenenlerin tespit, sonuç ve tavsiyeler hakkında görüşlerini ifade etmesine yardımcı olur.

3. Tartışma ve gözden geçirmelere katılanların düzeyi kurumdan kuruma ve raporun niteliğine göre

farklılık gösterir; katılanlar, genellikle, faaliyetlerin ayrıntılarına vâkıf veya gerekli tedbirlerin

alınmasına izin ve yetki verebilecek kişilerdir.

4. İç Denetim Yöneticisi, nihai görev raporunu denetlenen birimin yönetimine ve görev sonuçlarının

uygulanmasını sağlayabilecek olan ve düzeltici eylemleri yerine getirebilecek veya bunu temin

edebilecek kurum çalışanlarına dağıtır. Gerekli hallerde, İç Denetim Yöneticisi, kurum içindeki daha

üst düzey yetkililere özet bir rapor sunabilir. İç denetim yönetmeliği veya kurum politikası

gerektirdiğinde, İç Denetim Yöneticisi, dış denetçiler ve

yönetim kurulu gibi diğer ilgili veya etkilenen taraflara da raporu dağıtır. * * *

Yayın: Ocak 2009


Hassas Bilgilerin Hiyerarşi İçindeki ve Dışındaki Kişilere İletilmesi (Mayıs 2010)


2440 – Sonuçların Dağıtımı İç Denetim Yöneticisi, görev sonuçlarını uygun taraflara dağıtmak zorundadır.

Yorum: İç Denetim Yöneticisi veya görevlendirdiği denetçi, nihai görev raporunu yayımlanmadan önce

gözden geçirerek onaylar ve kime ve nasıl dağıtılacağına karar verir.

1. İç denetçiler, sıklıkla kurum için önemli olan veya önemli potansiyel sonuçlar doğurabileceği

öngörülen son derece hassas bilgiler elde edebilir. Bu bilgiler, kamu sağlığını veya güvenliğini

tehlikeye atan teşhir, tehditler, belirsizlikler, hileler, kayıplar ve kötü yönetim, yasadışı faaliyetler,

gücün kötüye kullanımı, suiistimaller veya başka hatalarla ilgili olabilir. Ayrıca, bu konular

kurumun itibarını, imajını, rekabet gücünü, başarısını, sürekliliğini, piyasa değerlerini,

yatırımlarını, maddi olmayan duran varlıklarını veya kazançlarını olumsuz olarak etkileyebilir.

2. Yeni bilgilerin önemli ve güvenilir olduğunu düşündüğünde, iç denetçinin bu bilgileri Standart

2060 ve Uygulama Önerisi 2060-1‟a uygun olarak - zamanında- üst yönetime ve Yönetim

Kurulu‟na iletmesi gerekir. Bu iletişim, iç denetçi için genellikle normal hiyerarşik ilişki dahilinde

gerçekleşir.

3. Bu görüşmelerden sonra, eğer İç Denetim Yöneticisi, üst yönetimin kurumu kabul edilemez bir

riske maruz bıraktığı ve uygun önlemleri almadığı sonucuna varırsa, bu bilgileri ve görüş

farklılıklarını Standart 2600‟a uygun olarak Yönetim Kurulu‟na sunması gerekir.

4. Tipik hiyerarşik iletişim senaryosu belirli tipteki hassas olaylar için yasalar, yönetmelikler veya

müşterek uygulamalar nedeniyle hızlandırılabilir. Örneğin halka açık menkul kıymetleri bulunan

bir kurumun hileli finansal raporlama yaptığının kanıtlanması durumunda, üst yönetim ve İç

Denetim Yöneticisi alınması gereken önlemler konusunda mutabık olsa dahi, yerel düzenlemeler,

yanıltıcı finansal raporlara yol açabilecek şartlar hakkında Yönetim Kurulu‟nun acilen

bilgilendirilmesini öngörebilir. Bazı yargısal sistemlerde yasa ve düzenlemeler menkul kıymetler,

gıda, ilaç veya çevre yasalarının ihlalinin yanı sıra kamu görevlilerine, tedarikçilere veya

müşterilere rüşvet verilmesi veya uygunsuz ödemeler yapılması gibi diğer yasadışı eylemlerin

tespitinde Yönetim Kurulu‟nun bilgilendirilmesi gerektiğini belirtir.

5. Bazı durumlarda, bir iç denetçi, bilginin normal hiyerarşi dışındaki kişilere veya kurum dışına

iletilmesine karar vermekte ikilemle karşılaşabilir. Bu iletişim genellikle “ihbar” olarak

nitelendirilir. Olumsuz bilgileri kurum içinde ancak iç denetçinin normal hiyerarşi dışındaki birine

açıklama eylemi iç ihbar olarak nitelendirilirken, olumsuz bilginin bir kamu kurumuna veya

kurum dışında başka bir otoriteye açıklanması dış ihbar olarak nitelendirilir.

6. İhbarda bulunanların çoğu, yasa dışı veya diğer uygunsuz faaliyet iddialarının araştırılması ve

uygun önlemlerin alınması açısından kurumun politika ve mekanizmalarına güveniyorlarsa

normal hiyerarşi dışında olsa bile, hassas bilgileri kurum içinde ifşa ederler. Ancak, hassas

bilgilere sahip bazı kişiler işverenlerinin veya iş arkadaşlarının misilleme yapacağından

korkarlarsa, konunun uygun bir şekilde araştırılacağı konusunda şüpheleri varsa, konunun örtbas

edileceğine inanıyorlarsa veya kurum ya da toplum içindeki insanların sağlığını, güvenliğini veya

refahını tehlikeye atacak yasadışı veya uygunsuz bir faaliyete ilişkin kanıta sahiplerse bu bilgileri

kurum dışına taşımaya karar verebilirler.

7. İç ihbar seçeneğinin tercih edildiği bir durumda, iç denetçi, gördüğü riski normal hiyerarşi

dışındaki kişi veya gruplara iletmenin alternatif yollarını değerlendirmek zorundadır. Bu

yaklaşımlarda ortaya çıkabilecek riskler ve sonuçlar nedeniyle iç denetçinin her muhtemel

eylemin avantaj ve dezavantajlarını da değerlendirmesi ve verdiği sonuçların kanıtını ve makul

olup olmadığını anlama konusunda dikkatle hareket etmesi gerekir. Bu hareketin benimsenmesi

üst düzey yönetim veya Yönetim Kurulu‟ndaki kişiler tarafından sorumlu eylemle

sonuçlandırılabilecekse uygun olabilir.

8. Birçok yargısal sistem, bir müfettişi, diğer bir kamu görevlisini veya ombudsmanı

bilgilendirmek üzere, yasadışı veya etik olmayan eylemler hakkında bilgi sahibi kamu görevlileri

gerektiren yasalara veya düzenlemelere sahiptir. İhbar eylemleriyle ilgili bazı yasalar, belirli

türdeki uygunsuz faaliyetlerin açığa çıkarılması konusunda vatandaşlarını korur. Bu yasa ve

düzenlemelerin kapsadığı faaliyetler aşağıda listelenmiştir;

• Yasal yükümlülüklere uyumla ilgili suçlar veya başka itaatsizlikler

• Adli hata olarak nitelendirebilecek hareketler

• Bireylerin sağlığını, güvenliğini veya refahını tehlikeye sokacak hareketler

• Çevreye zarar veren hareketler

• Yukarıdaki faaliyetlerden her hangi birini gizlemeye veya üstünü örtmeye yönelik faaliyetler

Bazı yargısal sistemler çalışanlara hiçbir rehberlik veya koruma sunmaz ya da sadece kamu

(örneğin hükümet) çalışanlarına sunar.

9. İç denetçinin kurumun faaliyet gösterdiği çeşitli yargısal sistemlerdeki yasa ve

düzenlemelerden haberdar olması gerekir. İhbarın hukuki yönleri hakkında bilgi sahibi olan

hukuk danışmanı bu sorunla karşılaşan iç denetçilere yardım edebilir. İç veya dış ihbarlarla

uğraşmanın yasal gerekleri veya sonuçları hakkında şüphesi bulunan iç denetçinin her zaman

yasal tavsiye alması gerekir.

10. Birçok meslek kuruluşu, üyelerini yasadışı ya da etik olmayan faaliyetleri açıklamaktan

sorumlu tutar. Bir mesleğin ayırt edici işaretlerinden birisi de kamuya karşı geniş sorumluluklar

benimsemesi ve genel refahı korumasıdır. IIA üyeleri ve tüm sertifikalı iç denetçiler, yasal

gerekliliklerin incelenmesine ek olarak, IIA‟in Etik Kurallarında belirtilen gereklilikleri takip

etmek zorundadır.

11. İç denetçinin, tüm kanıtları ve ulaştığı sonuçların uygunluğunu dikkatli bir şekilde

değerlendirmek ve kurumun çıkarlarını, paydaşlarını, toplumu ve toplumsal kuruluşları korumak

için ilave önlemlere ihtiyaç olup olmadığına karar vermek gibi profesyonel bir görevi ve etik bir

sorumluluğu vardır. Ayrıca iç denetçinin, bilginin değerine ve sahipliğine saygı göstermek ve

yasal ve mesleki bir zorunluluk olmadıkça, uygun yetkisi olmaksızın açıklamaktan kaçınması için

IIA‟in Etik Kuralları‟nda düzenlenen gizlilik görevini göz önünde bulundurması gerekir. İç

denetçi, bu değerlendirme sürecinde, hukuk danışmanının ve eğer mümkünse diğer uzmanların

tavsiyelerini arayabilir. Bu görüşmeler hem koşullar üzerinde farklı bakış açıları geliştirmek hem

de olası eylemlerin muhtemel etki ve sonuçları hakkında görüş sunmak açısından faydalı olabilir.

İç denetçinin, bu karmaşık ve hassas durumu çözmek için aradığı yöntem misillemelere ve

potansiyel sorumluluk doğmasına yol açabilir.

12. İç denetçi, işverene karşı yükümlülükleri hakkında mesleki bir karar verir. Normal hiyerarşi

dışındaki kişilerle iletişime geçme kararının, yapılan yanlışlıkların önemli, inandırıcı delillerle

desteklendiği ve yasa ya da düzenlemenin emredici hükmü veya mesleki ya da etik yükümlülük

gereği başka önlemlerin alınması gerektiği gibi sağlam düşüncelere dayanması gerekir.


Kurum Dışı İletişim


2440 - Sonuçların Dağıtımı 2440.A2 - İç Denetim Yöneticisi, aksi kanunî, hukukî düzenlemelerle emredilmediği takdirde,

görev sonuçlarını kurum dışındaki taraflara iletmeden önce, kuruma doğabilecek muhtemel

riskleri değerlendirmek, uygun olduğu şekilde üst yönetim ve/veya hukuk danışmanı ile istişare

etmek ve sonuçların raporlanmasını, kullanımını kısıtlayarak, kontrol etmek zorundadır.

1. İç denetim yönetmeliği, Yönetim Kurulu‟nun çalışma usul ve esasları belirleyen yönetmelik,

kurum politikaları veya denetim sözleşmesi bilginin kurum dışına raporlanmasına ilişkin rehberlik

içerebilir. İç Denetim Yöneticisi, böyle bir rehberliğin bulunmadığı durumlarda aşağıda

belirtilenleri kapsayabilen politikaların benimsenmesine yardımcı olabilir;

• Kurum dışına bilgi raporlanması için gerekli yetkilendirme.

• Bilginin kurum dışına raporlanmasında onay alınması süreci.

• Raporlanmasına izin verilebilecek veya verilemeyecek bilgiye ilişkin kurallar.

• Bilgi almaya yetkili kurum dışı şahıslar ve alabilecekleri bilgi türleri.

• Kurum dışına bilgi raporlanması ile ilgili gizlilik düzenlemeleri, düzenleyici kurumların

gereksinimleri ve hukuki mütalaalar.

• Kurum dışına iletilecek bilgiler kapsamında yer alabilecek tavsiyelerin, önerilerin, görüşlerin,

rehberlik ve diğer bilgilerin niteliği.

2. Talepler mevcut bilgilerle (örneğin daha önce yayımlanan bir iç denetim raporu) ilgili

olabileceği gibi yeni bir iç denetim görevi veya raporu sonucunda hazırlanabilecek veya

belirlenebilecek bilgilerle de ilgili olabilir. Talep mevcut bir bilgiyle veya raporla ilgiliyse iç

denetçinin bunun kurum dışına dağıtılmasının uygun olup olmayacağına karar vermesi gerekir.

3. Belirli durumlarda, raporu kurum dışına dağıtmaya uygun hale getirmek için hâlihazırda

mevcut olan bir rapor veya bilgiye dayanan özel amaçlı bir rapor hazırlanması mümkün olabilir.

4. Kurum dışına bilgi raporlanması sırasında dikkate alınması gereken bir takım hususlar

şunlardır:

• Alıcıyla, raporlanacak bilgi ve iç denetçinin sorumlulukları ile ilgili yazılı bir anlaşma

yapılmasının faydası.

• Dağıtılan rapor veya bilginin, bilgi sağlayıcılarının, kaynaklarının, raporu imzalayanların,

alıcıların ve ilgili kişilerin tanımlanması.

• Geçerli bilginin elde edilmesinde gerçekleştirilmesi gereken amaç, kapsam ve prosedürlerin

tanımlanması.

• Görüşler, tavsiyelere yer verilmesi ya da verilmemesi, itirazlar, sınırlamalar ile sağlanması

gereken güvence veya iddiaların türünü kapsayacak şekilde raporun veya başka tür bir iletişimin

niteliği.

• Telif hakkı sorunları, bilginin kullanım amacı ve bilginin ilave dağıtımı veya paylaşılması

üzerindeki kısıtlamalar.

5. İç denetçinin, bilginin kurum dışına dağıtılmasını gerektiren denetim görevlerini yürütürken üst

yönetime veya Yönetim Kurulu‟na raporlanabilecek bir bilgi keşfetmesi durumunda, İç Denetim

Yöneticisi‟nin Yönetim Kurulu‟yla uygun iletişimi sağlaması gerekir.


İlerlemenin Gözlenmesi

1. Sonuçların akıbetinin etkili bir şekilde gözlenebilmesi için, İç Denetim Yöneticisi aşağıdakileri

içerecek şekilde prosedürler oluşturur:

• Yönetimin rapordaki sonuçlara, tespitlere ve tavsiyelere cevap vermesi için tanınan süre,

• Yönetimin verdiği cevabın değerlendirilmesi,

• Cevabın doğrulanması (gerekiyorsa),

• Bir takip görevinin yapılması (gerekiyorsa),

• Risklerin üstlenilmesi de dahil, tatmin edici olmayan cevapların/eylemlerin uygun üst yönetim

kademelerine veya yönetim kuruluna iletilmesine yönelik bir raporlama süreci.

2. Rapordaki bazı tespitler ve tavsiyeler, yönetimin veya yönetim kurulunun derhal tedbir almasını

gerektirecek kadar önemli ise, iç denetim faaliyeti (birimi) bunlar düzeltilene veya tavsiyeler

uygulanana kadar, alınan tedbirleri izler.

3. İç denetim birimi, şunları yaparak ilerlemeyi etkili bir şekilde gözler:

• Tespit ve tavsiyelerin, tedbirleri almaktan sorumlu olan uygun yönetim kademelerine iletilmesi.

• Yönetimin tespit ve tavsiyelerle ilgili cevaplarının ve önerilen eylem planının, görev süresinde veya

görev sonuçlarının rapor edilmesinden sonra, makul bir süre içinde, alınması ve değerlendirilmesi.

Yönetimin cevapları, İç Denetim Yöneticisinin önerilen tedbirlerin zamanlamasını ve uygunluğunu

değerlendirmesi için yeterli bilgi içeriyorsa, daha faydalı olur.

• Yönetimin, raporlanan durumları düzeltmeye veya önerileri uygulamaya yönelik çabalarını

değerlendirmek için yönetimden düzenli olarak güncel bilgi alınması.

• İzleme veya düzeltme eylemlerinden sorumlu diğer birimlerden bilgi alınması ve bu bilgilerin

değerlendirilmesi.

• Tespit ve tavsiyelere alınan cevapların durumu hakkında üst yönetime ve/veya yönetim

kuruluna rapor verilmesi. • * *

Yayın: Ocak 2009

Uygulama Önerisi 2500.A1-1: Takip Süreci

1. İç denetçiler, düzeltici tedbirlerin alınıp alınmadığını veya tavsiyelerin uygulanıp

uygulanmadığını tesbit eder. İç denetçi, istenen sonuçlara ulaşılıp ulaşılmadığını ya da üst yönetimin

veya yönetim kurulunun, gerekli tedbirleri almamanın veya tavsiyeleri uygulamamanın riskini

üstlenip üstlenmediğini belirler.

2. Takip, dış denetçilerin ve diğerlerininkiler de dahil, rapor edilen tespit ve tavsiyeler üzerine

yönetimin aldığı tedbirlerin yeterliliği, etkililiği ve zamanlamasını iç denetçilerin değerlendirdiği bir

süreçtir. Bu süreç, ayrıca, üst yönetimin veya yönetim kurulunun, raporlanan tespitlere yönelik gerekli

tedbirleri almamasının veya tavsiyeleri uygulamamasının riskini üstlenip üstlenmediğini belirler.

3. İç denetim faaliyetinin (biriminin) yönetmeliğinde, takip sorumluluğu tanımlanmalıdır. İç Denetim

Yöneticisi, takibin niteliğini, zamanlamasını ve kapsamını, aşağıdaki hususları dikkate alarak, tespit

eder:

• Rapor edilen tespit veya tavsiyenin önemi,

• Rapor edilen sorunun düzeltilmesi için gereken çaba miktarı ve maliyet,

• Düzeltici tedbirin yetersiz kalmasının muhtemel etkileri,

• Düzeltici tedbirin karmaşıklığı,

• Gereken süre.

4. İç Denetim Yöneticisi, görev iş programlarının bir parçası olarak, takip görev ve faaliyetlerini

programlamaktan sorumludur. Takip programı, düzeltici tedbirlerin uygulanma zorluğu ve

zamanlamasının önemi yanında, risk ve riske maruz kalma seviyesine dayanarak yapılır.

5. İç Denetim Yöneticisi, yönetimin sözlü veya yazılı cevabının -tesbit ve tavsiyenin göreli önemi de

tartılarak- alınan tedbirin yeterli olduğuna işaret ettiğine kanaat getirdiğinde, iç denetçiler, bir sonraki

görevin bir parçası olarak bir takip çalışması yapabilir.

6. İç denetçiler, tesbitlerle ve tavsiyelerle ilgili tedbirlerin altta yatan temel şartları düzeltip düzeltmediğini saptar. Takip faaliyetleri, usulüne uygun olarak kayıtlı hâle getirilir. • * * Yayın: Ocak 2009

4. Denetim evreni ve ilgili denetim planı, yönetimin yönelimlerindeki, hedeflerindeki,

önceliklerindeki ve odaklandığı hususlardaki değişiklikleri yansıtacak şekilde güncellenir. Denetim

evreninin, kurumun en güncel stratejilerini ve yönelimlerini yansıtması için en az

4. Dahilî (doğal) risk ve artık risk (bakiye risk olarak da bilinir) iki temel risk kavramıdır.

Finansal/dış denetçiler, ilgili azaltıcı kontroller olmadığı varsayımı ile, bilgi veya verilerin

önemli bir hatâlı gösterime (mali tablolarda) hassasiyeti olarak özetlenebilecek dahili risk

kavramını uzun zamandır kullanmaktadırlar. Artık risk, Standartlarda şöyle

tanımlanmaktadır: 11

Yönetimin, olumsuz bir olayın etki ve ihtimalini azaltmak amacıyla, riski

karşılamaya yönelik kontrol faaliyetleri de dahil, aldığı tedbirlerden sonra kalan risktir."

Artık risk genellikle, "mevcut kontroller ve kontrol sistemleriyle yönetilen risk" olarak da

tanımlanır.

8. Risk yönetim süreci ve sistemleri, dünyada farklı şekillerde kurulmuştur. Kurumun risk

yönetimiyle ilgili olgunluk seviyeleri, kurumdan kuruma farklılık gösterir. Kurumların merkezî bir

risk yönetimi faaliyetinin olduğu durumlarda, bu faaliyetin rolleri arasında, iç kontrol yapısının devam

eden gözden geçirmesini de dikkate alarak yönetim ile koordinasyonu sağlamak ve yapıyı, değişen

risk iştahına göre güncellemek bulunmaktadır. Dünyanın değişik yerlerinde kullanılmakta olan risk

yönetim süreçleri farklı mantık, farklı yapı ve terminolojiye sahip olabilir. Bu yüzden, iç denetçiler,

kurumun risk yönetimi sürecinin bir değerlendirmesini yapar ve iç denetim faaliyet planının

gelişmesinde ve münferit iç denetim görevlerinin planlanmasında hangi kısımların kullanılabileceğini

belirler. 9. İç denetim planının geliştirilmesinde iç denetçilerin dikkate aldığı unsurlar şunlardır:

• Dahilî riskler - Belirlenip değerlendirildiler mi?

• Artık riskler - Belirlenip değerlendirildiler mi?

• Azaltıcı kontroller, âcil durum planları ve izleme faaliyetleri - Münferit olaylar ve/veya risklerle

bağlantıları kurulmuş mu?

• Risk kayıtları (risk registers) - Sistematik mi, tam mı ve doğru mu?

• Dokümantasyon - Riskler ve faaliyetler belgelenmiş mi?

-1: İç denetim yönetmeliği · • bütçeleme ve yönetim muhasebesi, • personel...

Documents