Uluslararas› ‹ç Denetim Standartlar› Meslekî Uygulama Çerçevesi
TÜRK‹YE ‹Ç DENET‹M ENST‹TÜSÜ
THE INSTITUTE OF INTERNAL AUDITORS
Aç›klama IIA bu kitab› bilgilendirme ve e¤itim amaçlar›yla basm›ﬂt›r. Bu kitap, bilgi sa¤lamak amac›nda olup herhangi bir hukukî veya muhasebeyle ilgili tavsiyeyi ikame etmez. IIA bu tür bir tavsiye vermedi¤i gibi bu yay›n›n bas›m› yoluyla herhangi bir hukukî veya muhasebeyle ilgili sonuca dair garanti de vermez. Hukuk veya muhasebe sorunlar›n›n ortaya ç›kmas› durumunda profesyonel yard›m aranmal› ve al›nmal›d›r. ‹ç Denetim Meslekî Uygulama Çerçevesi, IIA Yönetim Kurulu’nun K›lavuzluk Görev Gücü taraf›ndan mesle¤in mevcut ve geliﬂtirilmekte olan uygulama k›lavuzunun hemen hemen tüm yönlerini düzenleyecek ﬂekilde tasarlanm›ﬂt›r. Etik Kurallar› ve Standartlar ile Uygulama Önerilerinden oluﬂan ‹ç Denetim Meslekî Uygulama Çerçevesi, iç denetimin yeni tarifini esas alarak, dünya standartlar›nda bir iç denetime uzanan yolun taﬂlar›n› döﬂemektedir. Bu kitab›n Türkiye’deki yay›n haklar› Türkiye ‹ç Denetim Enstitüsü Derne¤i’ne aittir. Bütün önemli hususlarda orijinaliyle ayn› olan bu tercümeyi basmak için telif hakk› sahibi olan Uluslararas› ‹ç Denetçiler Enstitüsü’nden (The Institute of Internal Auditors-IIA, 247 Maitland Avenue, Altomonte Springs, Florida 32701-4201) izin al›nm›ﬂt›r. Bütün haklar› sakl›d›r. Telif Haklar› Kanunu gere¤ince Türkiye ‹ç Denetim Enstitüsü Derne¤i’nin yaz›l› izni olmaks›z›n tamam› veya bir bölümü hiç bir ﬂekilde yeniden bas›lamaz, herhangi bir ﬂekilde ço¤alt›lamaz veya disk, kaset, CD hâline getirilemez; özet olarak dahi yay›mlanamaz.
Sunuﬂ
iii
Sunuﬂ Uluslararas› ‹ç Denetçiler Enstitüsü (IIA) taraf›ndan yap›lan gözden geçirme çal›ﬂmalar› sonucunda, Uluslararas› ‹ç Denetim Meslekî Uygulama Standartlar› (Standartlar), çeyrek yüzy›l önceki ilk yay›m›ndan sonra 2003 y›l›nda ikinci büyük de¤iﬂikli¤e u¤ram›ﬂt›r. 1 Ocak 2004 tarihinden itibaren bütün IIA üyeleri ve Uluslararas› ‹ç Denetçiler (CIA) için zorunlu k›lavuz hâline gelen yeni Standartlar, ‘Uygulama Önerileri’ ile birlikte ‘Meslekî Uygulama Çerçevesi’ oluﬂturulmas› aç›s›ndan en önemli kaynak hâline gelmiﬂtir. Türkiye ‹ç Denetim Enstitüsü Derne¤i (T‹DE) olarak, iç denetim mesle¤inin uluslararas› nitelikteki bu çok önemli kayna¤›n› Türkçe’ye kazand›rmak için baﬂlatt›¤›m›z çal›ﬂmalar sonuçlanm›ﬂt›r. T‹DE olarak, iç denetim mesle¤inin ülkemizde de uluslararas› standartlarda uygulanmas›nda rehber olarak meslektaﬂlar›m›za önemli bir katk› sa¤layaca¤›n› düﬂündü¤ümüz bu çal›ﬂmay› sizlere sunmaktan büyük mutluluk duymaktay›z. Bu kapsamda söz konusu çal›ﬂman›n yürütülmesinde yo¤un iﬂleri aras›nda özveriyle çal›ﬂan, ‹stanbul Menkul K›ymetler Borsas›’ndaki meslektaﬂlar›m›z baﬂta olmak üzere, de¤erli T‹DE üyelerine ve bilimsel katk›s› yan›nda projenin maddî aç›dan desteklenmesinde en büyük pay sahibi olan Deloitte & Touche Türkiye yetkililerine gönülden teﬂekkür ederiz. Türkiye ‹ç Denetim Enstitüsü Yönetim Kurulu
‹ç Denetimin Tan›m›
v
‹ç Denetimin Tan›m› ‹ç denetim, bir kurumun faaliyetlerini geliﬂtirmek ve onlara de¤er katmak amac›n› güden ba¤›ms›z ve objektif bir güvence ve dan›ﬂmanl›k faaliyetidir. ‹ç denetim, kurumun risk yönetim, kontrol ve yönetiﬂim süreçlerinin etkinli¤ini de¤erlendirmek ve geliﬂtirmek amac›na yönelik sistemli ve disiplinli bir yaklaﬂ›m getirerek kurumun amaçlar›na ulaﬂmas›na yard›mc› olur.
‹çindekiler
vii
‹çindekiler Uluslararas› ‹ç Denetim Standartlar› . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .1 Giriﬂ
...............................................................................
3
Nitelik Standartlar› 1000 Amaç, Yetki ve Sorumluluklar . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .7 1100 Ba¤›ms›zl›k ve Objektiflik
........................................
1110 Kurum ‹çi Ba¤›ms›zl›k 1120 Bireysel Objektiflik
7
......................................
7
..........................................
7
1130 Ba¤›ms›zl›k ve Objektifli¤i Bozan Etkenler . . . . . . . . . .7 1200 Yeterlilik ve Azamî Meslekî Özen ve Dikkat
................
8
1210 Yeterlilik . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .8 1220 Azamî Meslekî Özen ve Dikkat
..........................
9
1230 Sürekli Meslekî Geliﬂim . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .10 1300 Kalite Güvence ve Geliﬂtirme Program›
.....................
1310 Kalite Program› De¤erlendirmeleri
10
...................
11
1320 Kalite Program› Hakk›nda Raporlama . . . . . . . . . . . . . . . .11 1330 "Standartlara Uygun Yap›lm›ﬂt›r" ‹baresinin Kullan›lmas›
....................................
11
1340 Ayk›r›l›klar›n Aç›klanmas› . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .12 Performans Standartlar› 2000 ‹ç Denetim Faaliyetinin Yönetimi . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .13 2010 Planlama . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .13 2020 Bildirim ve Onay
............................................
13
2030 Kaynak Yönetimi . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .13 2040 Politika ve Prosedürler . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .14 2050 Eﬂgüdüm . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .14 2060 Yönetim Kurulu, Denetim Kurulu ve Üst Yönetime Raporlamalar . . . . . . . . . . . . . . . . . . . . . . . . . . . . .14
viii
Meslekî Uygulama Çerçevesi
2100 ‹ﬂin Niteli¤i
............................................................
2110 Risk Yönetimi 2120 Kontrol
14
................................................
14
..........................................................
15
2130 Yönetiﬂim
......................................................
16
2200 Görev Planlamas› . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .17 2201 Planlamada Dikkate Al›nmas› Gerekenler . . . . . . . . . . .17 2210 Görev Amaçlar›
..............................................
18
2220 Görev Kapsam› . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .18 2230 Görev Kaynaklar›n›n Tahsisi . . . . . . . . . . . . . . . . . . . . . . . . . . . . .19 2240 Görev ‹ﬂ Program› . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .19 2300 Görevin Yap›lmas› . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .20 ...................
20
.................................
20
...................................
20
2310 Bilgilerin Tespiti ve Tan›mlanmas› 2320 Analiz ve De¤erlendirme 2330 Bilgilerin Kaydedilmesi
2340 Görevin Gözetim ve Kontrolü . . . . . . . . . . . . . . . . . . . . . . . . . . .21 2400 Sonuçlar›n Raporlanmas› . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .21 2410 Raporlama K›staslar›
.......................................
2420 Raporlamalar›n Kalitesi
...................................
21 21
2421 Hatâ ve Eksiklikler . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .21 2430 Görevlendirmelerde Standartlara Ayk›r›l›klar›n Aç›klanmas› . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .22 2440 Sonuçlar›n Raporlanmas› 2500 ‹lerlemenin Gözlenmesi
.................................
22
...........................................
23
.........................
23
...........................................................
25
2600 Yönetimin Art›k Riskleri Üstlenmesi Terimler Sözlü¤ü
Etik Kurallar› . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .31
‹çindekiler
ix
UYGULAMA ÖNER‹LER‹ . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .37 N‹TEL‹K STANDARTLARI 1000-1:
‹ç Denetim Yönetmeli¤i
................................
39
1000.C1-1: ‹ç Denetçilerin Dan›ﬂmanl›k Faaliyetlerinin Yürütülmesine ‹liﬂkin ‹lkeler . . . . . . . . . . . . . . . . . . . . . . . . .41 1000.C1-2: Resmî Dan›ﬂmanl›k Görevlerine ‹liﬂkin Ek Hususlar . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .45 1100-1:
Ba¤›ms›zl›k ve Objektiflik . . . . . . . . . . . . . . . . . . . . . . . . . . . . .55
1110-1:
Kurum ‹çi Ba¤›ms›zl›k . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .57
1110-2:
‹ç Denetim Yöneticisi-Hiyerarﬂik ‹liﬂkiler . . . . . . . .59
1110.A1-1: Bilgi Talebinin Sebebinin Aç›klanmas› . . . . . . . . . . . .65 67
1120-1:
Bireysel Objektiflik
1130-1:
Ba¤›ms›zl›k veya Objektifli¤i Bozan Etkenler . .69
......................................
1130.A1-1: ‹ç Denetçilerin Daha Önceden Sorumlu Oldu¤u Faaliyetlere ‹liﬂkin De¤erlendirmeleri . .71 1130.A1-2: Di¤er (Denetim D›ﬂ›) ‹ﬂlevler Karﬂ›s›nda ‹ç Denetçinin Sorumlulu¤u . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .73 1200-1:
Yeterlilik ve Azamî Özen ve Dikkat . . . . . . . . . . . . . . . .77
1210-1:
Yeterlilik
.....................................................
79
1210.A1-1: ‹ç Denetim Faaliyetini Tamamlamak veya Desteklemek Amac›yla Hizmetlerin D›ﬂar›dan Temini . . . . . . . . . . . . . . . . . . . . . . . .81 1210.A2-1: Suiistimalin Tesbiti . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .87 1210.A2-2: Suiistimali Tesbit Sorumlulu¤u
......................
95
1220-1:
Azamî Meslekî Özen ve Dikkat . . . . . . . . . . . . . . . . . . . . . .97
1230-1:
Devaml› Meslekî Geliﬂim . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .99
1300-1:
Kalite Güvence ve Geliﬂtirme Program› . . . . . . . . .101
1310-1:
Kalite Program› De¤erlendirmeleri
...............
105
x
Meslekî Uygulama Çerçevesi
1311-1:
‹ç De¤erlendirmeler
1312-1:
D›ﬂ De¤erlendirmeler
1312-2:
D›ﬂ De¤erlendirmeler-Ba¤›ms›z Onayl› Öz De¤erlendirme . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .119
1320-1:
Kalite Program› Hakk›nda Raporlama
1330-1:
“Standartlara Uygun Yap›lm›ﬂt›r” ‹baresinin Kullan›lmas› . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .125
....................................
109
..................................
...........
113
123
PERFORMANS STANDARTLARI .................
127
...................................................
129
2000-1:
‹ç Denetim Faaliyetinin Yönetimi
2010-1:
Planlama
2010-2:
Denetim Plan›yla Risk ve Risk Maruziyeti Aras›nda Ba¤lant› Kurulmas›
.......
131
2020-1:
Bildirim ve Onay . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .135
2030-1:
Kaynak Yönetimi . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .137
2040-1:
Politika ve Prosedürler
2050-1:
Eﬂgüdüm
2050-2:
D›ﬂ Denetim Hizmetlerinin Sat›n Al›nmas› . . . . .147
2060-1:
Denetim Komitesi, Yönetim Kurulu ve Üst Yönetime Raporlama . . . . . . . . . . . . . . . . . . . . . . . .153
2060-2:
Denetim Komitesiyle ‹liﬂkiler . . . . . . . . . . . . . . . . . . . . . . .155
2100-1:
‹ﬂin Niteli¤i . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .161
2100-2:
Bilgi Güvenli¤i . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .165
2100-3:
‹ç Denetimin Risk Yönetim Sürecindeki Rolü . .167
2100-4:
Risk Yönetim Süreci Bulunmayan Kurumlarda ‹ç Denetimin Rolü . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .171
2100-5:
Mevzuata Uyum Programlar›n›n De¤erlendirilmesinde Hukukî Mülâhazlar . . . . . .175
2100-6:
E-Ticaret Faaliyetlerinin Kontrol ve Denetimi . .185
2100-7:
Çevresel Risklerin Tan›mlanmas› ve Rapor Edilmesinde ‹ç Denetçinin Rolü . . . . . . . . . . . . . . . . . . .195
................................
139
...................................................
141
‹çindekiler
2100-8:
Bir Kurumun Gizlilik Politikas›n›n De¤erlendirilmesinde ‹ç Denetçinin Rolü
......
xi
199
2110-1:
Risk Yönetim Sürecinin Yeterlili¤inin De¤erlendirilmesi . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .203
2110-2:
‹ﬂ Devaml›l›¤› Sürecinde ‹ç Denetçinin Rolü . .209
2120.A1-1: Kontrol Süreçlerinin De¤erlendirilmesi ve Rapor Edilmesi . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .215 2120.A1-2: Kontrol Süreçlerinin Yeterlili¤ini De¤erlendirmede Kontrol Öz De¤erlendirme Yönteminin Kullan›lmas› . . . . . . .221 2120.A1-3: Üç Ayl›k Finansal Raporlama, Özel Durum Aç›klamalar› ve Yönetim Onaylar› Konusunda ‹ç Denetçinin Rolü . . . . . . . . . . . . . . . . . . . . .229 2120.A1-4: Finansal Raporlama Sürecinin Denetlenmesi . .237 2120.A4-1: Kontrol K›staslar›
.......................................
247
2130-1:
‹ç Denetim Faaliyeti ve ‹ç Denetçinin Bir Kurumun Etik Kültüründe Oynad›¤› Rol . . . . . . .249
2200-1:
Görev Planlamas›
2210-1:
Görev Amaçlar› . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .259
.......................................
255
2210.A1-1: Görev Planlamas›nda Risk De¤erlendirmesi . . .261 2230-1:
Görev Kaynaklar›n›n Tahsisi
2240-1:
Görev Program› . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .267
........................
2240.A1-1: ‹ﬂ Programlar›n›n Onaylanmas›
....................
265 269
2300-1:
‹ç Denetçinin Denetiminde Kiﬂisel Bilgiler Kullanmas› . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .271
2310-1:
Bilgilerin Tespiti ve Tan›mlanmas› . . . . . . . . . . . . . . . .273
2320-1:
Analiz ve De¤erlendirme . . . . . . . . . . . . . . . . . . . . . . . . . . . . .275
2330-1:
Bilgilerin Kaydedilmesi . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .279
2330.A1-1: Görev Kay›tlar›n›n Kontrolü
........................
283
xii
Meslekî Uygulama Çerçevesi
2330.A1-2: Görev Kay›tlar›na Eriﬂim Hakk› Verilmesine Dair Hukukî Mülâhazalar . . . . . . . . . . . . . . . . . . . . . . . . . . . .285 2330.A2-1: Kay›tlar›n Saklanmas›
.................................
289
2340-1:
Görevin Gözetim ve Kontrolü
2400-1:
Sonuçlar›n Raporlanmas›na Dair Hukukî Mülâhazalar . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .295
2410-1:
Raporlama K›staslar› . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .299
2420-1:
Raporlamalar›n Kalitesi . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .305
2440-1:
Görev Sonuçlar›n›n Raporlanaca¤› Taraflar . . . .307
2440-2:
Kurum D›ﬂ›na Raporlamalar . . . . . . . . . . . . . . . . . . . . . . . . .309
2440-3:
Hassas Bilgilerin Hiyerarﬂi ‹çinde ve D›ﬂ›nda Raporlanmas› . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .313
2500-1:
‹lerlemenin Gözlenmesi . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .321
......................
291
2500.A1-1: Takip Süreci . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .323 2600-1:
Yönetimin Art›k Riskleri Üstlenmesi . . . . . . . . . . . . .325
ULUSLARARASI ‹Ç DENET‹M STANDARTLARI
Uluslararas› ‹ç Denetim Standartlar›
3
Giriﬂ ‹ç denetim faaliyetleri, çok çeﬂitli hukukî ve kültürel ortamlarda; amac›, boyutu, karmaﬂ›kl›¤› ve yap›s› çok farkl› kurumlarda, kurum içinden ve d›ﬂ›ndan kiﬂiler taraf›ndan gerçekleﬂtirilmektedir. Söz konusu farkl›l›klar›n, her ortamdaki iç denetim uygulamas›n› etkilemesine ra¤men, iç denetçilerin sorumluluklar›n›n yerine getirilmesi söz konusu oldu¤unda Uluslararas› ‹ç Denetim Meslekî Uygulama Standartlar›’na (k›saca Standartlar’a) uyum, hayatî önem arz eder. ‹ç denetçilerin Standartlara uyumunun hukuken k›smen engellenmesi durumunda, iç denetçiler Standartlar›n di¤er k›s›mlar›na uymal› ve uyamad›klar› k›s›mla ilgili olarak özel durum aç›klamas› yapmal›d›r. Güvence hizmetleri, iç denetçinin, bir süreç, sistem veya bir baﬂka konu hakk›nda ba¤›ms›z görüﬂ veya kanaat sunabilmek için, eldeki bulgular› objektif bir ﬂekilde de¤erlendirmesini içerir. Güvence görevlerinin nitelik ve kapsam› iç denetçi taraf›ndan belirlenir. Güvence hizmetlerinin, genellikle, üç taraf› vard›r: (1) Süreç, sistem veya ele al›nan di¤er bir konunun do¤rudan içinde olan kiﬂi veya grup (süreç sahibi), (2) De¤erlendirmeyi yapan kiﬂi veya grup (iç denetçi), (3) de¤erlendirmeyi kullanan kiﬂi veya grup (kullan›c›). Dan›ﬂmanl›k hizmetleri, tabiat› gere¤i tavsiye niteli¤inde olup genellikle görevlendirmeyi talep eden müﬂterinin özel talebi üzerine gerçekleﬂtirilir. Dan›ﬂmanl›k hizmetlerinin nitelik ve kapsam›, de¤erlendirmeyi talep eden müﬂteriyle iç denetçi aras›ndaki sözleﬂmeye tabidir. Dan›ﬂmanl›k hizmetlerinin genellikle iki taraf› vard›r: (1) Tavsiye veren kiﬂi veya grup (iç denetçi), (2) Tavsiye talep eden ve alan kiﬂi veya grup (görevin müﬂterisi). ‹ç denetçi dan›ﬂmanl›k hizmeti verirken, objektifli¤ini muhafaza etmeli ve idarî sorumluluk almamal›d›r. Standartlar›n amaçlar› ﬂunlard›r: 1. ‹ç denetim uygulamas›n› olmas› gerekti¤i gibi temsil eden temel ilkeleri tan›mlamak.
4
Meslekî Uygulama Çerçevesi
2. Katma de¤erli iç denetim faaliyetlerini teﬂvik etmeye ve hayata geçirmeye yönelik bir çerçeve oluﬂturmak. 3. ‹ç denetim performans›n›n de¤erlendirilmesine uygun bir zemin oluﬂturmak. 4. Geliﬂmiﬂ kurumsal süreç ve faaliyetleri canland›rmak. Standartlar, Nitelik Standartlar›, Performans Standartlar› ve Uygulama Standartlar›ndan müteﬂekkildir. Nitelik Standartlar›, iç denetim faaliyetlerini yürüten taraf ve kurumlar›n özelliklerine yöneliktir. Performans Standartlar› iç denetim faaliyetlerinin tabiat›n› aç›klar ve bu hizmetlerin performans›n› de¤erlendirmekte kullan›lan kalite k›staslar›n› sa¤lar. Nitelik ve Performans Standartlar› tüm iç denetim hizmetlerine uygulan›rken, Uygulama Standartlar› belirli görev türlerine tatbik edilir. Sadece bir küme Nitelik ve Performans Standart› varken, Uygulama Standartlar› bir çok kümeden oluﬂur; iç denetim faaliyetinin her ana türü için bir küme Uygulama Standart› söz konusudur. Uygulama Standartlar› güvence ve dan›ﬂmanl›k faaliyetleri için tesis edilmiﬂtir. Standartlar, Meslekî Uygulama Çerçevesinin bir parças›d›r. Meslekî Uygulama Çerçevesi, ‹ç denetimin tan›m›n›, Etik Kurallar›’n›, Standartlar› ve di¤er k›lavuzluk bilgilerini içerir. Standartlar›n nas›l uygulanaca¤›na iliﬂkin k›lavuzluk, IIA Meslekî Konular Komitesi taraf›ndan yay›nlanan Uygulama Önerilerinde ifadesini bulur. Standartlarda, özel anlamlar› Terimler Sözlü¤ünde verilen terimler kullan›lm›ﬂt›r. Standartlar›n geliﬂtirilmesi ve yay›nlanmas› devaml› bir süreçtir. IIA ‹ç Denetim Standartlar› Kurulu, Standartlar› yay›nlamadan önce çok geniﬂ kat›l›ml› bir istiﬂare ve tart›ﬂma faaliyetine giriﬂmektedir. Bu çal›ﬂma, metin tasla¤› sürecinde, dünya çap›nda bir yorum talep etme faaliyetini de içermektedir.
Uluslararas› ‹ç Denetim Standartlar›
5
Bütün metin taslaklar›, hem IIA’nin tüm üye kuruluﬂlar›na gönderilmekte hem de IIA’nin internet sitesinde yay›nlanmaktad›r. Standartlara iliﬂkin tavsiye ve yorumlar, aﬂa¤›daki adreslere gönderilebilir: The Institute of Internal Auditors Global Practices Center, Professional Practices Group 247 Maitland Avenue Altamonte Springs, FL 32701-4201, USA E-posta: email@example.com ‹nternet sitesi: http://www.theiia.org
Uluslararas› ‹ç Denetim Standartlar›
7
N‹TEL‹K STANDARTLARI 1000 Amaç, Yetki ve Sorumluluklar ‹ç denetim faaliyetinin amaç, yetki ve sorumluluklar›, Standartlar la uyumlu olan ve denetim komitesi ve yönetim kurulunca da onaylanan bir yönetmelikte aç›kça tan›mlanmal›d›r. 1000.A1 Kuruma sa¤lanan güvence hizmetlerinin niteli¤i iç denetim yönetmeli¤inde tan›mlanmal›d›r. E¤er kurum d›ﬂ›ndan taraflara güvence hizmeti temin edilecekse, bunlar›n niteli¤i de yönetmelikte tan›mlanmal›d›r. 1000.C1 Dan›ﬂmanl›k hizmetlerinin niteli¤i, iç denetim yönetmeli¤inde tan›mlanmal›d›r. 1100 Ba¤›ms›zl›k ve Objektiflik ‹ç denetim faaliyeti ba¤›ms›z olmal› ve iç denetçiler görevlerini yaparken objektif davranmal›d›r. 1110 Kurum ‹çi Ba¤›ms›zl›k ‹ç Denetim Yöneticisinin, kurum içinde, iç denetim faaliyetinin sorumluluklar›n› yerine getirmesine imkân sa¤layan bir yönetim kademesine ba¤l› olmas› gerekir. 1110.A1 ‹ç denetim faaliyeti, iç denetimin kapsam›n›n tayin edilmesi, iç denetim iﬂlerinin yap›lmas› ve sonuçlar›n raporlanmas› konular›nda her türlü müdahaleden uzak ve serbest olmal›d›r. 1120 Bireysel Objektiflik ‹ç denetçilerin tarafs›z ve önyarg›s›z bir ﬂekilde davranmas› ve her türlü ç›kar çat›ﬂmas›ndan kaç›nmas› gerekir. 1130 Ba¤›ms›zl›k ve Objektifli¤i Bozan Etkenler Denetçilerin ba¤›ms›zl›¤› veya objektifli¤i fiilen bozuldu¤u veya bozuldu¤u izlenimi do¤du¤u takdirde, bozulman›n ayr›nt›lar› ilgili taraflara aç›klanmal›d›r. Bu aç›klaman›n kapsam›, bozucu etkenin niteli¤ine ba¤l›d›r.
8
Meslekî Uygulama Çerçevesi
1130.A1 ‹ç denetçiler, daha önceden kendilerinin sorumlu oldu¤u faaliyetlere iliﬂkin de¤erlendirme yapmaktan kaç›nmal›d›r. Bir iç denetçinin son bir y›l içinde kendisinin sorumlu oldu¤u bir faaliyet hakk›nda güvence hizmeti vermesinin, objektifli¤ini bozaca¤› varsay›l›r. 1130.A2 ‹ç Denetim Yöneticisinin sorumlulu¤undaki iﬂlevlere yönelik güvence görevleri, iç denetim faaliyeti d›ﬂ›ndan biri taraf›ndan gözetlenmeli ve kontrol edilmelidir. 1130.C1 ‹ç denetçiler, daha önce sorumlusu olduklar› faaliyetlere iliﬂkin dan›ﬂmanl›k hizmeti verebilir. 1130.C2 ‹ç denetçiler, önerilen dan›ﬂmanl›k hizmetleriyle ilgili ba¤›ms›zl›klar›na ve objektifliklerine zarar verecek hususlar söz konusu ise, görevi kabul etmeden önce denetlenene özel durum aç›klamas› yapmal›d›r. 1200 Yeterlilik ve Azamî Meslekî Özen ve Dikkat Görevlendirmeler, yeterlilik ve azamî meslekî özen ve dikkat ile yerine getirilmelidir. 1210 Yeterlilik ‹ç denetçiler, kiﬂisel olarak, sorumluluklar›n› yerine getirmek için gereken bilgi, beceri ve di¤er vas›flara sahip olmal›d›r. ‹ç denetim faaliyeti de, toplu olarak, kendi sorumluluklar›n› yerine getirmek için gereken bilgi, beceri ve di¤er vas›flara sahip olmal› veya bunlar› edinmelidir. 1210.A1 ‹ç denetim personeli, görevin tamam›n› veya bir k›sm›n› yapmak için gereken bilgi ve becerilerin veya di¤er vas›flar›n hepsine sahip de¤ilse, ‹ç Denetim Yöneticisi kurum d›ﬂ›ndaki uzmanlardan nitelikli tavsiye ve yard›m temin etmelidir.
Uluslararas› ‹ç Denetim Standartlar›
9
1210.A2 ‹ç denetçi, suiistimal belirtilerini tesbit edebilecek yeterli bilgiye sahip olmal›d›r; fakat esas görevi ve sorumlulu¤u suiistimalleri tespit etmek ve soruﬂturmak olan bir kiﬂinin uzmanl›¤›na sahip olmas› beklenemez. 1210.A3 ‹ç denetçiler, verilen görevi yerine getirebilmek için bilgi teknolojileri ve kontrolleriyle ilgili kilit bilgilere ve mevcut teknoloji tabanl› denetim tekniklerine sahip olmal›d›r. Ancak, bütün iç denetçilerin, as›l sorumlulu¤u bilgi teknolojileri denetimi olan denetçiler kadar uzmanl›¤a sahip olmas› beklenmez. 1210.C1 ‹ç Denetim Yöneticisi, iç denetim personelinin görevin k›smen veya tamamen gerçekleﬂtirilmesi için gereken bilgiye, beceriye ve di¤er vas›flara sahip olmad›¤› durumlarda, dan›ﬂmal›k görevini reddetmeli veya yeterli tavsiye ve yard›m› temin etmelidir. 1220 Azamî Meslekî Özen ve Dikkat ‹ç denetçiler, makul s›n›rlar içinde tedbirli ve ehil bir iç denetçiden beklenen beceriye sahip olmal›, azamî özen ve dikkati göstermelidir. Azamî meslekî özen ve dikkat, hiç hata yap›lmayaca¤› anlam›na gelmez. 1220.A1 ‹ç denetçi, ﬂunlar› göz önüne alarak azamî meslekî özen ve dikkat göstermelidir: • Görevin amaçlar›na ulaﬂmak için gereken çal›ﬂman›n kapsam›, • Güvence prosedürlerinin tatbik edildi¤i konular›n nisbî karmaﬂ›kl›¤›, lüzumu veya önemi • Risk yönetim, kontrol ve yönetiﬂim süreçlerinin etkinli¤i ve yeterlili¤i,
10
Meslekî Uygulama Çerçevesi
• Önemli hatâ, düzensizlik veya ayk›r›l›klar›n olma ihtimali, • Güvence görevinin potansiyel faydalar›n›n maliyeti 1220.A2 Azamî meslekî özen ve dikkati gösterirken, iç denetçi, bilgisayar destekli denetim tekniklerini ve di¤er veri analiz tekniklerini kullanmay› düﬂünmelidir. 1220.A3 ‹ç denetçi, amaçlar›, faaliyetleri veya kaynaklar› etkileyebilecek önemli risklere karﬂ› uyan›k olmal›d›r. Ancak, güvence prosedürleri, azamî meslekî özen ve dikkatle uygulansa bile, bütün önemli risklerin teﬂhis edilebilmesini garantilemez. 1220.C1 ‹ç denetçi bir dan›ﬂmanl›k görevi s›ras›nda, aﬂa¤›dakileri göz önüne alarak azamî meslekî özen ve dikkat göstermelidir: • Görev sonuçlar›n›n niteli¤i, zamanlamas› ve raporlanmas› da dahil denetlenenlerin ihtiyaç ve beklentileri, • Görev amaçlar›na ulaﬂabilmek için gerekli çal›ﬂman›n boyutu ve nisbî karmaﬂ›kl›¤›, • Dan›ﬂmanl›k görevinin potansiyel faydalar›n›n maliyeti. 1230 Sürekli Meslekî Geliﬂim ‹ç denetçiler, mevcut bilgi, beceri ve di¤er vas›flar›n› sürekli meslekî geliﬂimle art›rmal› ve güçlendirmelidir. 1300 Kalite Güvence ve Geliﬂtirme Program› ‹ç denetim yöneticisi, iç denetim faaliyetinin tüm yönlerini kapsayan ve etkinli¤ini sürekli gözleyen bir kalite güvencesi ve geliﬂtirme program› haz›rlamal› ve bunu sürdürmelidir. Bu prog-
Uluslararas› ‹ç Denetim Standartlar›
11
ram, dönemsel iç ve d›ﬂ kalite de¤erlendirmelerini ve devaml› iç gözlem faaliyetini içermelidir. Program›n her parças›, iç denetim faaliyetinin katma de¤er yaratmas›na, kurumun faaliyetlerinin geliﬂtirilmesine yard›mc› olmal› ve iç denetim faaliyetinin Etik Kurallar›na ve Standartlara uymas› konusunda güvence sa¤lamal›d›r. 1310 Kalite Program› De¤erlendirmeleri ‹ç denetim bölümü, kalite program›n›n genel etkinli¤ini gözlemek ve de¤erlendirmek amac›na yönelik bir süreç uygulamal›d›r. Bu süreç, hem iç hem de d›ﬂ de¤erlendirmeleri içermelidir. 1311 ‹ç De¤erlendirmeler ‹ç de¤erlendirmeler: • iç denetim faaliyetinin performans›n›n devaml› gözden geçirilmesini, • öz de¤erlendirme (kendi kendini de¤erlendirme) yoluyla veya kurum içinde, iç denetim uygulamalar› ve standartlar›n› bilen kiﬂilerce yap›lan dönemsel gözden geçirmeleri kapsamal›d›r. 1312 D›ﬂ De¤erlendirmeler Kalite güvencesi gözden geçirmeleri gibi d›ﬂ de¤erlendirme çal›ﬂmalar›, kurum d›ﬂ›ndan vas›fl› ve ba¤›ms›z bir gözden geçirme uzman› veya bir gözden geçirme ekibi taraf›ndan en az›ndan beﬂ y›lda bir kere yap›lmal›d›r. 1320 Kalite Program› Hakk›nda Raporlama ‹ç Denetim Yöneticisi, d›ﬂ de¤erlendirme sonuçlar›n› denetim komitesi ve yönetim kuruluna raporlamal›d›r. 1330 "Standartlara Uygun Yap›lm›ﬂt›r" ‹baresinin Kullan›lmas› ‹ç denetçilerin, faaliyetlerinin “Uluslararas› ‹ç Denetim Meslekî Uygulama Standartlar›na uygun yap›ld›¤›n›"
12
Meslekî Uygulama Çerçevesi
belirtmeleri teﬂvik edilir. Ancak iç denetçilerin bu ibareyi kullanabilmesi için, kurumun kalite geliﬂtirme program› hakk›ndaki de¤erlendirmelerin, iç denetim faaliyetinin Standartlara uydu¤unu göstermesi gerekir. 1340 Ayk›r›l›klar›n Aç›klanmas› ‹ç denetim faaliyetinin Standartlara, iç denetçilerin Etik Kurallar›na tam uyumu gerçekleﬂtirmesi gerekmekle birlikte, tam uyumun sa¤lanamad›¤› durumlar da olabilir. Ayk›r›l›klar, iç denetim faaliyetinin genel kapsam›n› veya faaliyetlerini etkiler hâle geldi¤inde, üst yönetime, denetim komitesine ve yönetim kuruluna özel durum aç›klamas› yap›lmal›d›r.
Uluslararas› ‹ç Denetim Standartlar›
13
PERFORMANS STANDARTLARI 2000 ‹ç Denetim Faaliyetinin Yönetimi ‹ç Denetim Yöneticisi, iç denetim faaliyetini, faaliyetin kuruma de¤er katmas›n› sa¤layacak etkili bir tarzda yönetmelidir. 2010 Planlama ‹ç Denetim Yöneticisi, kurumun hedeflerine uygun olarak, iç denetim faaliyetinin önceliklerini belirleyen risk esasl› planlar yapmal›d›r. 2010.A1 ‹ç denetim faaliyetinin görev plan›, en az y›lda bir kez yap›lan bir risk de¤erlendirmesine dayanmal›d›r. Üst yönetim, denetim komitesi ve yönetim kurulu, bu sürece dahil edilerek göz önüne al›nmal›d›r. 2010.C1 ‹ç denetim yöneticisi, görevin risk yönetimini geliﬂtirme, katma de¤er yaratma ve faaliyetleri geliﬂtirme potansiyelini de¤erlendirerek, öne sürülen dan›ﬂmanl›k görevlerini kabul etmeyi düﬂünmelidir. Kabul edilen bu görevler, plana dahil edilmelidir. 2020 Bildirim ve Onay ‹ç Denetim Yöneticisi, önemli ara de¤iﬂiklikler de dahil, iç denetim faaliyetinin planlar›n› ve kaynak ihtiyaçlar›n›, gözden geçirme ve onay için üst yönetime, denetim komitesine ve yönetim kuruluna bildirmelidir. ‹ç Denetim Yöneticisi, kaynak s›n›rlamalar›n›n etkilerini de bildirmelidir. 2030 Kaynak Yönetimi ‹ç Denetim Yöneticisi, onayl› plan›n uygulanabilmesi için, iç denetim kaynaklar›n›n uygun ve yeterli olmas›n› ve etkin bir ﬂekilde kullan›lmas›n› sa¤lamal›d›r.
14
Meslekî Uygulama Çerçevesi
2040 Politika ve Prosedürler ‹ç Denetim Yöneticisi, iç denetim faaliyetini yönlendirmek amac›na yönelik politika ve prosedürleri belirlemelidir. 2050 Eﬂgüdüm ‹ç Denetim Yöneticisi; ayn› çal›ﬂmalar›n gereksiz yere tekrarlanmas›n› asgarîye indirmek ve iﬂin kapsam›n› en uygun ﬂekilde belirlemek amac›yla, ilgili güvence ve dan›ﬂmanl›k hizmetlerini yerine getiren di¤er iç ve d›ﬂ sa¤lay›c›larla, mevcut bilgileri paylaﬂmal› ve faaliyetleri bunlarla eﬂgüdüm içinde sürdürmelidir. 2060 Yönetim Kurulu, Denetim Kurulu ve Üst Yönetime Raporlamalar ‹ç Denetim Yöneticisi, iç denetim faaliyetinin amac›, yetkileri, görev ve sorumluluklar› ve plana k›yasla performans› konular›nda, denetim komitesi ve yönetim kuruluna ve üst yönetime dönemsel raporlar sunmal›d›r. Bu raporlar, önemli riskleri, kontrol sorunlar›n›, kurumsal yönetiﬂim sorunlar›n› ve denetim komitesinin, yönetim kurulunun ve üst yönetimin ihtiyaç duyabilece¤i veya talep edebilece¤i baﬂka konular› da içermelidir. 2100 ‹ﬂin Niteli¤i ‹ç denetim faaliyeti; sistematik ve disiplinli bir yaklaﬂ›mla, risk yönetimi, kontrol ve yönetiﬂim sistemlerini de¤erlendirmeli ve bu sistemlerin iyileﬂtirilmesine katk›da bulunmal›d›r. 2110 Risk Yönetimi ‹ç denetim faaliyeti; önemli risk maruziyetlerini tespit edip de¤erlendirerek ve risk yönetimi ve kontrol sistemlerinin iyileﬂtirilmesine katk›da bulunarak kuruma yard›mc› olmal›d›r. 2110.A1 ‹ç denetim faaliyeti kurumun risk yönetim sisteminin etkinli¤ini gözlemeli ve de¤erlendirmelidir.
Uluslararas› ‹ç Denetim Standartlar›
15
2110.A2 ‹ç denetim faaliyeti, aﬂa¤›dakileri dikkate alarak, kurumun yönetiﬂim, kontrol, faaliyet ve bilgi sistemlerinin maruz oldu¤u riskleri de¤erlendirmelidir: • Mali ve operasyonel bilgilerin güvenilirli¤i ve bütünlü¤ü, • Faaliyetlerin etkinlik ve verimlili¤i, • Varl›klar›n korunmas›, • Kanun, düzenleme ve sözleﬂmelere uyum. 2110.C1 ‹ç denetçiler, dan›ﬂmanl›k görevleri s›ras›nda, görevin amaçlar›yla uyumlu ﬂekilde riski ele almal› ve di¤er önemli risklere karﬂ› uyan›k olmal›d›r. 2110.C2 ‹ç denetçiler, dan›ﬂmanl›k görevlerinden elde ettikleri risk bilgilerini, kurumun maruz kald›¤› önemli riskleri belirleme ve de¤erlendirme sürecinde kullanmal›d›r. 2120 Kontrol ‹ç denetim faaliyeti, kontrollerin etkinlik ve verimlili¤ini de¤erlendirmek ve sürekli geliﬂimi teﬂvik etmek suretiyle, kurumun etkin kontrollere sahip olmas›na yard›mc› olmal›d›r. 2120.A1 Risk de¤erlendirmesinin sonuçlar›na ba¤l› olarak, iç denetim faaliyeti, kurumun yönetimini, faaliyetlerini ve bilgi sistemlerini kapsayan kontrollerin yeterlili¤ini ve etkinli¤ini de¤erlendirmelidir. Bu de¤erlendirme: • mali ve operasyonel bilgilerin güvenilirli¤ini, • faaliyetlerin etkinlik ve verimlilili¤ini, • varl›klar›n korunmas›n›,
16
Meslekî Uygulama Çerçevesi
• kanunlara, düzenlemelere ve sözleﬂmelere uyum konular›n› kapsamal›d›r. 2120.A2 ‹ç denetçiler, faaliyet ve programlar›n hedef ve amaçlar›n›n kapsam›n› ve bunlar›n kurumun hedef ve amaçlar›na uyumunun derecesini anlay›p de¤erlendirmelidir. 2120.A3 ‹ç denetçiler, faaliyet ve programlar›n niyetlenildi¤i gibi uyguland›¤›n› veya gerçekleﬂtirildi¤ini belirlemek için, faaliyet ve programlar›n tesbit edilen hedef ve amaçlarla ne kadar uyumlu oldu¤unu anlay›p de¤erlendirebilmek için, faaliyet ve programlar› gözden geçirmelidir. 2120.A4 Kontrollerin de¤erlendirilmesi için uygun ve yeterli k›staslara ihtiyaç vard›r. ‹ç denetçiler, yönetimin hedef ve amaçlara ulaﬂ›l›p ulaﬂ›lmad›¤›n› belirlemek için oluﬂturdu¤u k›staslar›n yeterlilik derecesini tespit etmelidir. Bu k›staslar yeterliyse, iç denetçiler de kendi de¤erlendirmelerinde bunlar› kullanabilir. K›staslar yeterli de¤ilse, iç denetçiler uygun de¤erlendirme k›staslar› geliﬂtirmek için yönetimle birlikte çal›ﬂmal›d›r. 2120.C1 Dan›ﬂmanl›k görevleri s›ras›nda, iç denetçiler, görevin amaçlar›yla uyumlu bir ﬂekilde kontrolleri ele almal› ve herhangi bir kontrol zaafiyetine karﬂ› uyan›k olmal›d›r. 2120.C2 ‹ç denetçiler, dan›ﬂmanl›k görevlerinden elde ettikleri kontrol bilgilerini, kurumun maruz kald›¤› önemli riskleri belirleme ve de¤erlendirme sürecinde kullanmal›d›r. 2130 Yönetiﬂim ‹ç denetim faaliyeti, aﬂa¤›daki amaçlar›n gerçekleﬂtirilmesi amac›yla yönetiﬂim sürecinin iyileﬂtirilmesi için gerekli tavsiyelerde bulunmal› ve tavsiyeleri de¤erlendirmelidir:
Uluslararas› ‹ç Denetim Standartlar›
17
• Kurum içinde gerekli etik ve di¤er de¤erlerin geliﬂtirilmesi, • Etkili bir kurumsal performans yönetimi ve hesap verebilirlik, • Risk ve kontrol bilgilerinin kurumun gerekli alanlar›na etkili bir ﬂekilde iletilmesi, • Yönetim kurulunun, denetim kurulunun, iç ve d›ﬂ denetçilerin ve üst yönetimin faaliyetleri aras›nda eﬂgüdüm sa¤lamak ve bunlar aras›nda gerekli bilgilerin etkili bir ﬂekilde iletimini sa¤lamak. 2130.A1 ‹ç denetim faaliyeti, kurumun etikle ilgili amaç, program ve faaliyetlerinin tasar›m›n›, uygulanmas›n› ve etkinli¤ini de¤erlendirmelidir. 2130.C1 Dan›ﬂmanl›k görevinin amaçlar›, kurumun genel de¤erleri ve hedefleriyle uyumlu olmal›d›r. 2200 Görev Planlamas› ‹ç denetçiler, her görev için, kapsam, amaçlar, zamanlama ve kaynak da¤›l›m› hususlar›n› da dikkate alan ayr› bir plan haz›rlamal› ve kaydetmelidir. 2201 Planlamada Dikkate Al›nmas› Gerekenler Bir görevi planlarken, iç denetçiler ﬂu noktalar› dikkate almal›d›r: • Denetlenecek olan faaliyetin hedefleri ve faaliyetin kendi performans›n› kontrol etmesinin araçlar›, • Faaliyet ve hedeflerine, kaynaklar›na ve operasyonlar›na yönelik önemli riskler ve bu potansiyel risklerin etki veya ihtimallerini kabul edilebilir bir seviyede tutman›n yol ve araçlar›, • Bir ilgili kontrol çerçevesi veya modeline k›yasla, ilgili faaliyetin risk yönetimi ve kontrolü sistemlerinin yeterlilik ve etkinli¤i,
18
Meslekî Uygulama Çerçevesi
• Faaliyetin risk yönetimi ve kontrol sistemlerinde önemli geliﬂme sa¤lama imkânlar›. 2201.A1 Kurum d›ﬂ›ndaki taraflar için bir görevlendirme planlarken, iç denetçiler, görevlendirmenin amaçlar›, kapsam›, her iki taraf›n sorumluluklar› ve -görev kay›tlar›na eriﬂime ve sonuçlar›n da¤›t›m›na getirilecek k›s›tlamalar dahil- di¤er karﬂ›l›kl› beklentiler konusunda söz konusu taraflarla yaz›l› bir anlaﬂma yapmal›d›r. 2201.C1 ‹ç denetçiler, görevlendirmenin amaçlar›, kapsam›, yerine getirilecek sorumluluklar ve di¤er müﬂteri beklentileri hakk›nda, dan›ﬂmanl›k hizmeti verecekleri müﬂterileriyle anlaﬂmal›d›r. Çok önemli görevlendirmelerde bu anlaﬂma yaz›l› hâle getirilmelidir. 2210 Görev Amaçlar› Görev amaçlar›, denetlenen faaliyetle ilgili riskleri, kontrolleri ve yönetiﬂim süreçlerini kapsamal›d›r. 2210.A1 ‹ç denetçi, denetlenen faaliyetle ilgili risklerin ön de¤erlendirmesini yapmal›d›r. Görevin amaçlar›, bu risk de¤erlendirmesinin sonuçlar›n› yans›tmal›d›r. 2210.A2 ‹ç denetçiler, görevin amaçlar›n› belirlerken, önemli hatâlar›n, düzensizliklerin, ayk›r›l›klar›n ve di¤er risklerin meydana gelme ihtimalini göz önüne almal›d›r. 2210.C1 Dan›ﬂmanl›k görevlerinin amaçlar›nda, müﬂteriyle mutab›k kal›nd›¤› ölçüde, risk, kontrol ve yönetiﬂim süreçlerine de temas edilmelidir. 2220 Görev Kapsam› Görevin kapsam›, görevin amaçlar›na ulaﬂ›lmas›na yetecek seviyede olmal›d›r.
Uluslararas› ‹ç Denetim Standartlar›
19
2220.A1 Görevin kapsam›, üçüncü taraflar›n sahip olduklar› dahil, ilgili sistemlerin, kay›tlar›n, personel ve maddî varl›klar›n de¤erlendirilmesini de içermelidir. 2220.A2 Bir güvence görevi s›ras›nda önemli dan›ﬂmanl›k f›rsatlar› ç›karsa, görevin amaçlar›, kapsam›, karﬂ›l›kl› sorumluluklar ve di¤er beklentilerle ilgili yaz›l› bir anlaﬂma haz›rlanmal› ve dan›ﬂmanl›k görevinin sonuçlar›, dan›ﬂmanl›k standartlar›na uygun olarak raporlanmal›d›r. 2220.C1 ‹ç denetçiler, dan›ﬂmanl›k görevlerini yaparken, görevin kapsam›n›n, üzerinde mutab›k kal›nan amaçlara yeterince temas etti¤inden emin olmal›d›r. E¤er görev s›ras›nda kapsamla ilgili ihtirazî kay›tlar› olursa, göreve devam edip etmeyece¤ini belirlemek üzere, bunlar› müﬂteri ile tart›ﬂmal›d›r. 2230 Görev Kaynaklar›n›n Tahsisi ‹ç denetçiler, görevin amaçlar›na ulaﬂmak için gereken kaynaklar› tespit etmelidir. Görev kadrosu, görevin niteli¤i, karmaﬂ›kl›¤›, zaman k›s›tlamalar› ve mevcut kaynaklar dikkate al›narak teﬂkil edilmelidir. 2240 Görev ‹ﬂ Program› ‹ç denetçiler, görev amaçlar›na yönelik iﬂ programlar› haz›rlamal›d›r. Bu iﬂ programlar›, kay›tl› hâle getirilmelidir. 2240.A1 ‹ﬂ programlar›, görev s›ras›nda uygulanacak bilgi toplama, analiz, de¤erlendirme ve kay›t prosedürlerini içermeli ve göstermelidir. ‹ﬂ program›, iﬂe baﬂlanmadan önce onaylanmal›d›r; programda yap›lan de¤iﬂiklikler için de derhal onay al›nmal›d›r.
20
Meslekî Uygulama Çerçevesi
2240.C1 Dan›ﬂmanl›k görevleri için haz›rlanan iﬂ programlar›n›n ﬂekli ve içeri¤i, görevin niteli¤ine ba¤l› olarak de¤iﬂir. 2300 Görevin Yap›lmas› ‹ç denetçiler, üstlendikleri görevin hedeflerine ulaﬂmak için yeterli bilgileri belirlemeli, analiz etmeli, de¤erlendirmeli ve kaydetmelidir. 2310 Bilgilerin Tespiti ve Tan›mlanmas› ‹ç denetçiler, görev amaçlar›na ulaﬂmak için yeterli, güvenilir, ilgili ve faydal› olan bilgileri tespit etmeli ve tan›mlamal›d›r. 2320 Analiz ve De¤erlendirme ‹ç denetçiler, vard›klar› sonuçlar› ve görev sonuçlar›n› uygun analiz ve de¤erlendirmelere dayand›rmal›d›r. 2330 Bilgilerin Kaydedilmesi ‹ç denetçiler, vard›klar› kanaatlere ve görev sonuçlar›na dayanak teﬂkil eden bütün bilgileri kaydetmelidir. 2330.A1 ‹ç Denetim Yöneticisi, görev kay›tlar›na eriﬂimi kontrol etmelidir. ‹ç Denetim Yöneticisi, gerekti¤inde, bu kay›tlar› kurum d›ﬂ› taraflara vermeden önce, üst yönetimin ve/veya hukuk dan›ﬂman›n›n onay›n› almal›d›r. 2330.A2 ‹ç Denetim Yöneticisi, görev kay›tlar›n›n saklanmas›na iliﬂkin esaslar› belirlemelidir. Bu esaslar, kurumun temel ilkelerine ve ilgili mevzuata uygun olmal›d›r. 2330.C1 ‹ç denetim yöneticileri, görev kay›tlar›n›n tutulmas›, saklanmas› ve kurum içi ve d›ﬂ› taraflara sunulmas›n› düzenleyen politikalar belirlemelidir. Bu politikalar, kurumun düzenlemelerine, ilgili mevzuata ve di¤er gereklere uygun olmal›d›r.
Uluslararas› ‹ç Denetim Standartlar›
21
2340 Görevin Gözetim ve Kontrolü Görevler; görev amaçlar›na ulaﬂ›lmas›n›, kalitenin güvence alt›na al›nmas›n› ve personelin geliﬂtirilmesini sa¤layacak bir tarzda gözetlenmeli ve kontrol edilmelidir. 2400 Sonuçlar›n Raporlanmas› ‹ç denetçilerin, görev sonuçlar›n› raporlamas› gerekir. 2410 Raporlama K›staslar› Raporlamalar, var›lan sonuçlar, yap›lan tavsiyeler ve önerilen eylem planlar›n›n yan›nda görevin hedeflerini ve kapsam›n› da içermelidir. 2410.A1 Sonuçlar› gösteren nihaî rapor, gerekti¤inde, iç denetçinin görüﬂ ve kanaatlerini de içermelidir. 2410.A2 ‹ç denetçiler, görev raporlamalar›nda tatminkâr bir performans göstermeye teﬂvik edilmelidir. 2410.A3 Görev sonuçlar› kurum d›ﬂ›ndaki taraflara bildirilirken, söz konusu bildirim, sonuçlar›n da¤›t›m› ve kullan›m› konusundaki s›n›rlamalar› da içermelidir. 2410.C1 ‹lerlemenin raporlanmas›n›n ve dan›ﬂmanl›k görevlerinin sonuçlar›, görevlendirmenin niteli¤ine ve müﬂterinin ihtiyaçlar›na ba¤l› olarak, ﬂekil ve içerik de¤iﬂtirir. 2420 Raporlamalar›n Kalitesi Raporlamalar, do¤ru, objektif, aç›k, özlü, yap›c›, tam olmal› ve zaman›nda sunulmal›d›r. 2421 Hatâ ve Eksiklikler E¤er nihaî raporlama önemli bir hatâ veya eksiklik içeriyorsa, ‹ç Denetim Yöneticisi, hatâl› ve eksik raporu alan bütün taraflara düzeltilmiﬂ bilgileri iletmelidir.
22
Meslekî Uygulama Çerçevesi
2430 Görevlendirmelerde Standartlara Ayk›r›l›klar›n Aç›klanmas› Standartlara ayk›r›l›klar belli bir görevi etkiledi¤inde, sonuçlar›n raporlan›rken ﬂu hususlar özel durum olarak aç›klanmal›d›r: • Tam olarak uyulamayan Standart(lar) • Ayk›r›l›k sebepleri • Ayk›r›l›¤›n göreve etkisi 2440 Sonuçlar›n Raporlanmas› ‹ç Denetim Yöneticisi, görev sonuçlar›n› uygun taraflara raporlamal›d›r. 2440.A1 Görev sonuçlar›n›n öngördü¤ü tedbirlerin al›nmas›n› sa¤layabilecek taraflara, nihaî görev sonuçlar›n›n raporlanmas›ndan ‹ç Denetim Yöneticisi sorumludur. 2440.A2 ‹ç Denetim Yöneticisi, aksi kanunî, hukukî düzenlemelerle emredilmedi¤i takdirde, görev sonuçlar›n› kurum d›ﬂ›ndaki taraflara iletmeden önce, kuruma do¤abilecek muhtemel riskleri de¤erlendirmeli, üst yönetim ve/veya hukuk dan›ﬂman› ile istiﬂare etmeli ve sonuçlar›n raporlanmas›n›, kullan›m›n› k›s›tlayarak, kontrol etmelidir. 2440.C1 ‹ç Denetim Yöneticisi, dan›ﬂmanl›k görevlerinin nihaî sonuçlar›n›n müﬂterilere raporlanmas›ndan sorumludur. 2440.C2 Dan›ﬂmanl›k görevleri s›ras›nda, risk yönetimi, kontrol ve yönetiﬂim sorunlar› tesbit edilebilir. Bu sorunlar, kurum için önemli hâle gelir gelmez üst yönetime, denetim komitesine ve yönetim kuruluna bildirilmelidir.
Uluslararas› ‹ç Denetim Standartlar›
23
2500 ‹lerlemenin Gözlenmesi ‹ç Denetim Yöneticisi, yönetime rapor edilen sonuçlar›n ak›betinin gözlenmesi için bir sistem kurmal› ve uygulamal›d›r. 2500.A1 ‹ç Denetim Yöneticisi, yönetimin ald›¤› tedbirlerin etkili bir ﬂekilde uygulanmas›n› veya üst yönetimin, gerekli tedbiri almamas›n›n riskini üstlenmeyi kabul etmesini sa¤lamak ve geliﬂmeleri gözlemek amac›na yönelik bir takip süreci kurmal›d›r. 2500.C1 ‹ç denetim faaliyeti, müﬂterileriyle mutab›k kal›nd›¤› ölçüde, dan›ﬂmanl›k görevlerinin sonuçlar›n›n ak›betini gözlemelidir. 2600 Yönetimin Art›k Riskleri Üstlenmesi ‹ç Denetim Yöneticisi, üst yönetimin kurum için kabul edilemeyebilecek bir art›k (bakiye) risk düzeyini üstlenmeyi kabul etti¤ine inand›¤› takdirde, konuyu üst yönetimle tart›ﬂmal›d›r. Art›k riskle ilgili bir karara var›lamazsa, ‹ç Denetim Yöneticisi ve üst yönetim, konuyu çözümlenmesi için denetim komitesi ve yönetim kuruluna rapor etmelidir.
Uluslararas› ‹ç Denetim Standartlar›
25
Terimler Sözlü¤ü Standartlar ve Uygulama Önerilerinde yer alan baz› terimler aﬂa¤›da aç›kland›¤› anlamlar›yla kullan›lm›ﬂt›r. Art›k Riskler (Residual Risks) Yönetimin, olumsuz bir olay›n etki ve ihtimalini azaltmak amac›yla, riski karﬂ›lamaya yönelik kontrol faaliyetleri de dahil, ald›¤› tedbirlerden sonra kalan risktir. Ba¤›ms›zl›k (Independence) Objektifli¤i veya objektiflik görüntüsünü bozabilecek ﬂartlar›n d›ﬂ›nda olmakt›r. Objektifli¤e yönelik bu tür tehditlerle, kiﬂisel olarak denetçi, görev, iﬂlev ve kurum seviyesinde mücadele edilmelidir. Dan›ﬂmanl›k Hizmetleri (Consulting Services) Her hangi bir idarî sorumluluk üstlenmeden, bir kurumun faaliyetlerini geliﬂtirmek ve onlara de¤er katmak amac›n› güden, niteli¤i ve kapsam› denetlenen ile birlikte kararlaﬂt›r›lan istiﬂarî faaliyetler ve bununla ba¤lant›l› di¤er hizmetlerdir. Usul ve yol göstermek, tavsiyede bulunmak, iﬂleri kolaylaﬂt›rmak ve e¤itim vermek, bu kapsamdaki faaliyet örnekleridir. De¤er Katmak (Add Value) De¤er, güvence ve dan›ﬂmanl›k hizmetleri yoluyla, kurumun amaçlar›n› gerçekleﬂtirme f›rsatlar›n› geliﬂtirerek, faaliyetleri geliﬂtirme imkânlar›n› belirleyerek ve/veya riske maruz kalmas›n› azaltarak sa¤lan›r. Denetim Komitesi (Audit Committe) Denetim Komitesi, Türk Ticaret Kanunu’ndaki ‘Denetim Kurulu’ndan farkl› olup yönetim kurulunun komitelerinden biridir. Aslî iﬂlevi, muhasebe, denetim, iç kontrol sistemi ve mali raporlama uygulamalar› ile ilgili olarak yönetim kuruluna gözetim
26
Meslekî Uygulama Çerçevesi
görevinde yard›mc› olmakt›r. Yönetim kurulunun onay›na ba¤l› olarak, denetim komitesi denetim kurulunun mali konularda bilgili ba¤›ms›z üyelerinden oluﬂur. (Ç.N.) D›ﬂ Hizmet Sa¤lay›c›s› (External Service Provider) Belli bir alanda uzmanl›k seviyesinde bilgi, beceri ve tecrübe sahibi olan kurum d›ﬂ›ndan kiﬂi veya ﬂirketlerdir. Etik Kurallar› (Code of Ethics) Uluslararas› ‹ç Denetçiler Enstitüsü (IIA)’nün Etik Kurallar›, iç denetim mesle¤i ve uygulamas›yla ilgili ‹lkeler ve iç denetçilerden beklenen davran›ﬂ tarz›n› tan›mlayan Davran›ﬂ Kurallar›d›r. Etik Kurallar› iç denetim hizmeti veren tüm kurum ve kiﬂileri ba¤lar. Bu kurallar›n amac›, evrensel anlamda iç denetim mesle¤inin etik kültürünü geliﬂtirmektir. Görev (Engagement) ‹ç denetim, kontrol öz de¤erlendirme incelemesi, suuistimal incelemesi veya dan›ﬂmanl›k gibi belirli iç denetim iﬂi, vazifesi veya gözden geçirme faaliyetidir. Bir görev, çok say›da iﬂten veya belirli amaçlara ulaﬂmay› amaçlayan faaliyetlerden oluﬂabilir. Görev Amaçlar› (Engagement Objectives) ‹ç denetçi taraf›ndan geliﬂtirilen, niyetlenilen görev amaçlar›n› tan›mlayan geniﬂ ifadelerdir. Görev ‹ﬂ Program› (Engagement Work Program) Görev plan›n› gerçekleﬂtirmeye yönelik haz›rlanan ve bir görev s›ras›nda takip edilmesi gereken prosedürleri s›ralayan bir belgedir. Güvence Hizmetleri (Assurance Services) Kurumun risk yönetimi, kontrol ve yönetiﬂim süreçlerine dair ba¤›ms›z bir de¤erlendirme sa¤lamak amac›yla bulgular›n objektif bir ﬂekilde incelenmesidir. Mali yap›ya, performansa, mevzuat ve düzenlemelere uyuma, bilgi sistemleri güvenli¤ine ve ihtimam denetimine (due diligence; ayr›nt›l› durum tespit çal›ﬂmas›) yönelik görevler bu kapsamdaki örneklerdir.
Uluslararas› ‹ç Denetim Standartlar›
27
‹ç Denetim Faaliyeti (Internal Audit Activity) Kurumun faaliyetlerini geliﬂtirmek ve bunlara de¤er katmak için tasarlanan ba¤›ms›z, objektif güvence ve dan›ﬂmanl›k hizmeti sa¤layan birim, bölüm, dan›ﬂman ekibi veya di¤er uygulamac›lard›r. ‹ç denetim faaliyeti, kurumun risk yönetim, kontrol ve yönetiﬂim süreçlerinin etkinli¤ini de¤erlendirmek ve geliﬂtirmek amac›na yönelik sistemli ve disiplinli bir yaklaﬂ›m getirerek kurumun amaçlar›na ulaﬂmas›na yard›mc› olur. ‹ç Denetim Yöneticisi (Chief Audit Executive) ‹ç denetim faaliyetlerinden en üst seviyede sorumlu olan kiﬂidir. Normal ﬂartlar alt›nda, bu iç denetim müdürüdür. ‹ç denetim faaliyetlerinin kurum d›ﬂ›ndaki hizmet sa¤lay›c›lardan temin edildi¤i durumda, iç denetim yöneticisi, hizmet sözleﬂmesini ve söz konusu faaliyetlerin tüm kalite güvence çal›ﬂmalar›n› gözeten, iç denetim faaliyetleriyle ilgili üst yönetime, denetim komitesine ve yönetim kuruluna raporlama yapan ve görev sonuçlar›n›n takibini yürüten kiﬂidir. Terim, ayr›ca, genel denetçi, baﬂ iç denetçi ve genel müfettiﬂ gibi unvanlar› da içine al›r. ‹hlâller/Sakatlamalar (Impairments) Bireysel objektifli¤i ve kurum içi ba¤›ms›zl›¤› bozabilecek ihlâller, ﬂahsî menfaat çat›ﬂmalar›n›, kapsam s›n›rlamalar›n›, kay›tlara, personele ve eﬂyalara eriﬂim k›s›tlamalar›n› ve kaynak (fonlama) k›s›tlamalar›n› içerir. Kontrol (Control) Kontrol, yönetimin, denetim kurulunun, yönetim kurulunun ve di¤er uygun birimlerin riski yönetmek ve belirlenen amaç ve hedeflere ulaﬂma ihtimalini art›rmak amac›yla ald›¤› tedbirlerdir. Yönetim, hedef ve amaçlar›n gerçekleﬂtirilmesine yönelik makul bir güvence sa¤lamak için yeterli tedbirin al›nmas›n› planlar, tertipler ve yönlendirir.
28
Meslekî Uygulama Çerçevesi
Kontrol Ortam› (Control Environment) Yönetim, yönetim kurulu ve denetim kurulunun, kurum içi kontrolün önemine iliﬂkin tutum ve davran›ﬂlar›d›r. Kontrol ortam›, iç kontrol sisteminin ana amaçlar›n›n gerçekleﬂtirilmesi için gerekli olan yap› ve disiplini sa¤lar. Kontrol ortam› aﬂa¤›daki unsurlar› içerir: • Dürüstlük ve etik de¤erler • Yönetimin felsefesi ve çal›ﬂma tarz› • Teﬂkilât yap›s› • Yetki ve sorumluluk da¤›t›m› • ‹nsan kaynaklar› politikas› ve uygulamas› • Çal›ﬂanlar›n yetkinli¤i Kontrol Süreçleri (Control Processes) Riskin, risk yönetim süreçleriyle belirlenen risk toleranslar› içinde kalmas›n› temin gayesiyle tasarlanan kontrol çerçevesinin bir parças› olan faaliyet, politika ve prosedürlerdir. Kurul (Board) Kurul; yönetim kurulu, denetim kurulu, hukuk bölümünün baﬂ›, kâr amaçl› olmayan kurumlar›n mütevelli heyeti veya ‹ç Denetim Yöneticisinin iﬂlevsel olarak ba¤l› bulundu¤u denetim komitesi de dahil kurumun atanan di¤er birimleri gibi kurumun yönetim mercilerini ifade eder. Menfaat/Ç›kar Çat›ﬂmas› (Conflict of Interest) Kurumun ç›kar›na olmayan veya menfaatine görünmeyen herhangi bir iliﬂkidir. Menfaat çat›ﬂmas›, kiﬂinin sorumluluklar›n› ve görevlerini objektif bir ﬂekilde yerine getirmesini olumsuz etkiler. Objektiflik (Objectivity) Objektiflik, iç denetçilerin görevlerini, iﬂ sonucunda ç›kan ürüne gerçekten ve dürüst bir ﬂekilde inanacaklar› ve bu ürünün
Uluslararas› ‹ç Denetim Standartlar›
29
kalitesinden önemli bir taviz vermeyecekleri ﬂekilde yapmalar›n› sa¤layan tarafs›z bir zihinsel tutumdur. Objektiflik, iç denetçilerin, denetim konular›na iliﬂkin karar ve yarg›lar›n›, baﬂkalar›n›nkilere ba¤lamamalar›n› gerektirir. Risk (Risk) Amaçlara ulaﬂ›lmas› üzerinde etkisi olacak bir olay›n meydana gelme ihtimalidir. Risk, söz konusu etki ve olas›l›k cinsinden hesaplan›r. Risk Yönetimi (Risk Management) Kurumun amaçlar›n› gerçekleﬂtirmek üzere makul bir güvence sa¤lamak amac›yla potansiyel olay ve durumlar› belirlemek, de¤erlendirmek, yönetmek ve kontrol etme sürecidir. Standart (Standard) Geniﬂ bir iç denetim faaliyet sahas›n›n gerçekleﬂtirilmesiyle ve iç denetim performans›n›n de¤erlendirilmesiyle ilgili gerekleri tan›mlayan ve IIA ‹ç Denetim Standartlar› Kurulu taraf›ndan yay›nlanan meslekî bir beyand›r. Suiistimal (Fraud) Hile, sahtekârl›k, emniyeti kötüye kullanma ile nitelendirilebilecek hukuk d›ﬂ› fiillerdir. Bu fiiller, sadece ﬂiddet tehdidi veya fizikî güç kullan›m›n›n gerçekleﬂtirilmesine ba¤l› de¤ildir. Suiistimaller para, mal veya hizmet sa¤lamak, hizmet kayb›ndan veya ödeme yapmaktan kaç›nmak veya ﬂahs›yla veya iﬂle ilgili bir avantaj elde etmek amaçlar›yla çeﬂitli taraflar ve kurumlar taraf›ndan gerçekleﬂtirilebilir. Uyum/Uygunluk (Compliance) Plan, prosedür, kanun, düzenleme, sözleﬂme ve di¤er gereklere riayet ve ba¤l›l›kt›r. Yeterli Kontrol (Adequate Control) Yeterli kontrol, yönetimin planlama ve organizasyonu, risklerin etkin bir ﬂekilde yönetilece¤ine ve kurumun hedef ve amaçlar›na
30
Meslekî Uygulama Çerçevesi
verimli ve ekonomik bir ﬂekilde ulaﬂ›laca¤›na dair makul bir güvence sa¤layacak tarzda yapmas›yla var olabilir. Yönetiﬂim/Kurumsal Yönetim (Governance) Üst yönetim, yönetim kurulu ve denetim kurulu taraf›ndan, kurumun amaçlar›na ulaﬂmaya yönelik olarak, kurumun faaliyetlerinin yönlendirilmesi, yönetilmesi ve gözlenmesi gayesiyle uygulanan yap› ve süreçlerin bir birleﬂimidir. Yönetmelik (Charter) ‹ç denetim faaliyetinin yönetmeli¤i, faaliyetin amaç, yetki ve sorumluluklar›n› tan›mlayan resmî nitelikte yaz›l› bir belgedir. Yönetmelik (a) iç denetim faaliyetinin kurum içindeki konumunu belirlemeli, (b) denetim görevlerinin yerine getirilmesi için gereken kay›tlara, personele, demirbaﬂlara ve ilgili mahallere eriﬂim yetkisini düzenlemeli ve (c) iç denetim faaliyetlerinin kapsam›n› tan›mlamal›d›r.
ET‹K KURALLARI
Etik Kurallar›
33
Etik Kurallar› Giriﬂ IIA’nin Etik Kurallar›n›n amac›, iç denetim mesle¤inin etik kültürünü geliﬂtirmektir. ‹ç denetim, bir kurumun faaliyetlerini geliﬂtirmek ve onlara de¤er katmak amac›n› güden ba¤›ms›z ve objektif bir güvence ve dan›ﬂmanl›k faaliyetidir. ‹ç denetim, kurumun risk yönetim, kontrol ve yönetiﬂim süreçlerinin etkinli¤ini de¤erlendirmek ve geliﬂtirmek amac›na yönelik sistemli ve disiplinli bir yaklaﬂ›m getirerek kurumun amaçlar›na ulaﬂmas›na yard›mc› olur. Bir etik kurallar› manzumesi geliﬂtirilmesi, iç denetim mesle¤i için gerekli ve uygundur; ki bu meslek risk yönetimi, kontrol ve yönetiﬂimle ilgili objektif güvence çal›ﬂmas›nda güven üzerine kuruludur. IIA’nin Etik Kurallar› iki önemli hususu içine almak için yukar›daki iç denetim tan›m›n›n ötesine uzan›r: 1. ‹ç denetim mesle¤i ve uygulamas›yla ilgili ‘‹lkeler’, 2. ‹ç denetçilerden beklenen davran›ﬂ tarz›n› tan›mlayan Davran›ﬂ Kurallar›. Bu kurallar›n amac›, ‹lkelerin uygulamaya dökülmesi amac›yla yorumlanmas›na yard›mc› olmak ve iç denetçilerin etik davran›ﬂlar› konusunda rehberlik etmektir. Etik Kurallar›, IIA’nin Meslekî Uygulama Çerçevesi ve ilgili di¤er IIA duyurular›yla birlikte, baﬂkalar›na hizmet veren iç denetçilere bir k›lavuzluk sa¤lar. "‹ç denetçiler", IIA üyelerini, IIA’nin meslekî sertifikalar›na sahip olanlar› (veya adaylar›) ve yukar›daki iç denetim tan›m› çerçevesinde iç denetim hizmeti verenleri ifade etmektedir.
Uygulanabilirlik ve Yürütme Etik Kurallar›, iç denetim hizmeti veren kurum ve kiﬂileri ba¤lar. IIA üyeleri ve IIA’›n sertfikalar›na sahip olanlar (ve adaylar) için bu kurallar›n ihlâli, IIA’›n yönetmelikleri ve idarî düzenlemelerine
34
Meslekî Uygulama Çerçevesi
göre de¤erlendirilir ve ele al›n›r. Belirli bir davran›ﬂa Davran›ﬂ Kurallar›nda at›fta bulunulmamas›, o davran›ﬂ›n kabul edilemez veya yanl›ﬂ olarak de¤erlendirilmesini engellemez ve bu sebeple de söz konusu kiﬂiler disiplin cezas› aç›s›ndan sorumludur.
‹lkeler ‹ç denetçilerin aﬂa¤›daki ilkeleri uygulamalar› ve desteklemeleri beklenir: Dürüstlük ‹ç denetçilerin dürüstlü¤ü, güven oluﬂturur ve böylece verdikleri hükümlere itimat edilmesine yönelik bir zemin sa¤lar. Objektiflik ‹ç denetçiler, inceledikleri süreç veya faaliyet ile ilgili bilgiyi toplarken, de¤erlendirirken ve raporlarken en üst seviyede meslekî objektiflik sergiler. ‹ç denetçiler ilgili tüm ﬂartlar›n de¤erlendirmesini dengeli bir ﬂekilde yapar ve kendilerinin veya di¤erlerinin menfaatlerinden çok etkilenmez. Gizlilik ‹ç denetçiler, elde ettikleri bilginin sahipli¤ine ve de¤erine sayg› gösterir; hukukî ve meslekî bir mecburiyet olmad›¤› sürece de gerekli yetkilendirmeyi almaks›z›n bilgiyi aç›klamaz. Yetkinlik (Ehil Olma) ‹ç denetçiler, iç denetim hizmetlerinin gerçekleﬂtirilmesinde gereken bilgi, beceri ve tecrübeyi ortaya koyar.
Davran›ﬂ Kurallar› 1. Dürüstlük ‹ç denetçiler, 1.1. Çal›ﬂmalar›n› do¤ruluk, dikkat ve sorumluluk duygusuyla yaparlar,
Etik Kurallar›
35
1.2. Hukuku gözetir ve hukukun ve mesle¤in gerektirdi¤i özel durum aç›klamalar›n› yaparlar, 1.3. Kanun d›ﬂ› bir faaliyete bilerek ve isteyerek taraf olmaz veya iç denetim mesle¤i ve kurum aç›s›ndan yüz k›zart›c› eylemlere giriﬂmezler, 1.4. Kurumun meﬂru ve etik amaçlar›na sayg› duyar, katk›da bulunurlar. 2. Objektiflik ‹ç denetçiler, 2.1. De¤erlendirmelerinin tarafs›zl›¤›na zarar verebilecek veya zarar verece¤i varsay›labilecek herhangi bir iliﬂkiye ve faaliyete kat›lmazlar; bu kat›l›m, kurumun ç›karlar›yla çat›ﬂan iliﬂki ve faaliyetleri de içerir, 2.2. Meslekî muhakemelerini zay›flatabilecek veya zay›flataca¤› varsay›labilecek herhangi bir ﬂeyi kabul etmezler, 2.3. Tespit ettikleri ve aç›klanmad›¤› takdirde faaliyetlerinin raporlanmas›n› bozacak tüm önemli bulgular› aç›klarlar. 3. Gizlilik ‹ç denetçiler, 3.1. Görevleri s›ras›nda elde ettikleri bilgilerin korunmas› ve kullan›m› konusunda ihtiyatl› olurlar, 3.2. Sahip olduklar› bilgileri kiﬂisel menfaatleri için veya hukuka ayk›r› olarak veya kurumun meﬂru ve etik amaçlar›na zarar verebilecek tarzda kullanmazlar. 4. Yetkinlik (Ehil Olma) 4.1. Sadece görevin gerektirdi¤i bilgi, beceri ve tecrübeye sahip olduklar› iﬂleri üstlenmelidirler, 4.2. ‹ç denetim hizmetlerini, Uluslararas› ‹ç Denetim Meslekî Uygulama Standartlar›na uygun bir ﬂekilde yerine getirirler, 4.3. Kendi yeterliliklerini ve hizmetlerinin etkinlik ve kalitesini devaml› geliﬂtirirler.
UYGULAMA ÖNER‹LER‹
Uygulama Önerileri
39
Uygulama Önerisi 1000-1: ‹ç Denetim Yönetmeli¤i Uluslararas› ‹ç Denetim Meslekî Uygulama Standartlar›ndan Standart 1000’in Yorumu
‹lgili Standart 1000 Amaç, Yetki ve Sorumluluklar ‹ç denetim faaliyetinin amaç, yetki ve sorumluluklar›, Standartlarla uyumlu olan ve denetim komitesi ve yönetim kurulu taraf›ndan da onaylanan bir yönetmelikte aç›kça tan›mlanmal›d›r. Bu Uygulama Önerisinin Niteli¤i: ‹ç denetçiler bir iç denetim yönetmeli¤i haz›rlarken aﬂa¤›daki önerileri dikkate almal›d›r. Bu k›lavuzun, bir yönetmelik haz›rlan›rken dikkate al›nmas› gereken hususlar›n tümünü kapsamak gibi bir amac› yoktur; k›lavuz, sadece, dikkate al›nmas› gereken bir tavsiyeler demetinden ibarettir. Uygulama Önerilerine uymak, iste¤e ba¤l›d›r.
1. ‹ç denetim faaliyetinin amaç, yetki ve sorumluluklar› bir yönetmelikte tan›mlanmal›d›r. ‹ç Denetim Yöneticisi, yönetmeli¤in üst yönetimin onay›ndan geçirilmesini ve denetim komitesi ve yönetim kurulu taraf›ndan benimsenmesini sa¤lamal›d›r. Yönetmeli¤in onayland›¤›, denetim komitesi ve yönetim kurulunun tutanaklar›na geçirilmelidir. Yönetmelik (a) iç denetim faaliyetinin kurum içindeki konumunu belirlemeli; (b) denetim görevlerinin yerine getirilmesi için gereken kay›tlara, personele, demirbaﬂlara ve ilgili mahallere eriﬂim yetkisini düzenlemeli ve (c) iç denetim faaliyetlerinin kapsam›n› tan›mlamal›d›r. 2. ‹ç denetim faaliyetinin yönetmeli¤i yaz›l› olmal›d›r. Yönetmeli¤in yaz›l› olmas›, yönetimin gözden geçirme ve onay› ve denetim komitesi ve yönetim kurulunun kabulü için resmî bir zemin oluﬂturur. Yönetmelik, iç denetim faaliyetinin amaç, yetki
40
Meslekî Uygulama Çerçevesi
ve sorumluluklar›n›n yeterlili¤inin dönemsel olarak de¤erlendirilmesini de kolaylaﬂt›r›r. ‹ç denetim faaliyetinin yönetmeli¤i de içeren resmî ve yaz›l› bir belgeye sahip olmas›, kurum içinde denetim iﬂlevinin yönetilmesi için hayatî öneme sahiptir. ‹ç denetim faaliyetinin rol, iﬂlev ve görevlerini belirlemek ve üst yönetime, denetim komitesine ve yönetim kuruluna bu iç denetim faaliyetinin çal›ﬂmalar›n› de¤erlendirmek için bir temel oluﬂturmak amac›yla, iç denetim faaliyetinin amaç, yetki ve sorumluluklar› tan›mlanmal› ve aç›klanmal›d›r. Herhangi bir sorunun ortaya ç›kmas› hâlinde, yönetmelik, iç denetim faaliyetinin kurum içindeki görev ve sorumluluklar› hakk›nda üst yönetim, denetim komitesi ve yönetim kuruluyla yap›lm›ﬂ resmî ve yaz›l› bir anlaﬂma iﬂlevini de görür. 3. ‹ç Denetim Yöneticisi, yönetmelikte aç›klanan ve tan›mlanan amaç, yetki ve sorumluluklar›n iç denetim faaliyetinin hedeflerine ulaﬂmas› için yeterli olmaya devam edip etmedi¤ini dönemsel olarak de¤erlendirmeli ve incelemelidir. Bu dönemsel de¤erlendirmenin sonuçlar› da üst yönetime, denetim komitesine ve yönetim kuruluna bildirilmelidir.
Uygulama Önerileri
41
Uygulama Önerisi 1000.C1-1: ‹ç Denetçilerin Dan›ﬂmanl›k Faaliyetlerinin Yürütülmesine ‹liﬂkin ‹lkeler Uluslararas› ‹ç Denetim Meslekî Uygulama Standartlar›ndan Standart 1000.C1’in Yorumu
‹lgili Standart 1000.C1 Dan›ﬂmanl›k hizmetlerinin niteli¤i, iç denetim yönetmeli¤inde tan›mlanmal›d›r. Bu Uygulama Önerisinin Niteli¤i: ‹ç denetimin tan›m› ﬂöyledir: "‹ç denetim, bir kurumun faaliyetlerini geliﬂtirmek ve onlara de¤er katmak amac›n› güden ba¤›ms›z ve objektif bir güvence ve dan›ﬂmanl›k faaliyetidir. ‹ç denetim, kurumun risk yönetim, kontrol ve yönetiﬂim süreçlerinin etkinli¤ini de¤erlendirmek ve geliﬂtirmek amac›na yönelik sistemli ve disiplinli bir yaklaﬂ›m getirerek kurumun amaçlar›na ulaﬂmas›na yard›mc› olur." ‹ç denetçiler, iç denetçilerle ilgili ‘nitelik ve performans standartlar›’n›n hem güvence hem de dan›ﬂmanl›k iﬂlev ve görevlerini kapsad›¤›n› unutmamal›d›r. Bu Uygulama Önerisi, bütün dan›ﬂmanl›k görevlerinde dikkate al›nmas› gereken geniﬂ kapsaml› parametreler üzerinde durmakta ve odaklanmaktad›r. Dan›ﬂmanl›k iﬂlevi; yaz›l› anlaﬂmalarla tan›mlanan resmî görevlerden daimî veya geçici yönetim komitelerinde veya proje ekiplerinde yer almak gibi dan›ﬂmanl›k hizmet ve faaliyetlerine kadar farkl› ve de¤iﬂik kapsamlarda olabilir. ‹ç denetçilerden, bu Uygulama Önerisindeki tavsiyelerin, karﬂ›laﬂt›klar› her farkl› durumda, ne ölçüde uygulanabilece¤ini belirlemek için, meslekî muhakemelerini kullanmalar› beklenir. Zira, bir birleﬂme veya devralma projesine veya felâket sonras› toparlanma (disaster recovery activities) benzeri âcil durum görevlendirmelerine kat›lmak gibi istisnaî dan›ﬂmanl›k görevleri, normal prosedürlerden ayr›lmay› gerekli k›labilir. ‹ç denetçiler, dan›ﬂmanl›k görevlerini yerine getirirken aﬂa¤›daki yol gösterici ilkeleri gözönüne almal›d›r. Bu k›lavuzun, bir dan›ﬂmanl›k görevinin yap›lmas›nda gerekli olabilecek hususlar›n tümünü kapsamak gibi bir amac› yoktur. ‹ç denetçiler, kurum yönetiminin, denetim komitesinin ve yönetim kurulunun, dan›ﬂmanl›k hizmetlerinin yürütülmesi için gereken kavramlar›, iﬂletme ilkelerini ve raporlamalar› anlad›¤›ndan ve kabul etti¤inden emin olmak için ek tedbirler almal›d›r. Uygulama Önerilerine uymak, iste¤e ba¤l›d›r.
42
Meslekî Uygulama Çerçevesi
1. ‹ç Denetimin Katma De¤eri: ‹ç denetim, kurumun kültürüne ve kaynaklar›na uygun bir ﬂekilde ve tarzda iç denetçiler çal›ﬂt›ran her kurumda, katma de¤er sa¤lar. ‹ç denetim faaliyetinin tan›m›nda da sakl› olan bu katma de¤er düﬂüncesi, yönetiﬂim, risk ve kontrol alanlar›nda getirdi¤i sistemli ve disiplinli yaklaﬂ›mla kuruma de¤er katacak biçimde tasarlanm›ﬂ güvence ve dan›ﬂmanl›k faaliyetlerini de içine al›r. 2. ‹ç Denetimin Tan›m›na Uygunluk: Disiplinli ve sistemli bir de¤erlendirme yöntemi, her iç denetim faaliyetinin parças›d›r. Hizmetlerin listesi, genel olarak, güvence ve dan›ﬂmanl›¤›n geniﬂ s›n›fland›rmas›na dahil edilebilir. Ancak bu hizmetler, iç denetimin geniﬂ tan›m›yla uyumlu olan katma de¤er sa¤lay›c› hizmetlerin yeni geliﬂen biçimlerini de içerebilir. 3. Güvence ve Dan›ﬂmanl›¤›n Ötesindeki Denetim Faaliyetleri: Çok say›da iç denetim hizmeti vard›r. Güvence ve dan›ﬂmanl›k hizmetleri, birbirlerini tamamlay›c› olduklar› gibi araﬂt›rma ve denetim-d›ﬂ› görevler gibi baﬂka denetim hizmetlerini de engellemez. Pek çok denetim hizmetinin hem güvence hem de dan›ﬂmanl›k rolü vard›r. 4. Güvence ve Dan›ﬂmanl›k Aras›ndaki ‹liﬂki: Dan›ﬂmanl›k hizmetleri, iç denetimin katma de¤er sa¤lay›c› yönünü zenginleﬂtirir. Dan›ﬂmanl›k hizmeti genellikle güvence hizmetlerinin do¤rudan sonucu olmakla birlikte, güvence iﬂlevinin dan›ﬂmanl›k görevlerinden ç›kabilece¤i de kabul edilmelidir. 5. ‹ç Denetim Yönetmeli¤iyle Dan›ﬂmanl›k Yetkisinin Verilmesi: ‹ç denetçiler, geleneksel olarak, geliﬂtirilmekte olan sistemlerdeki kontrolleri ve güvenlik ürünlerini analiz etmek, faaliyetleri analiz etmek ve tavsiyelerde bulunmak amac›yla görev gruplar›nda yer almak ve benzeri görevlere kadar pek çok farkl› türde dan›ﬂmanl›k hizmeti verir. Yönetim kurulu (veya denetim komitesi), denetim komitesine karﬂ› olan yükümlülüklerine ayk›r› olmamas› veya ç›kar çat›ﬂmas› yaratmamas› kayd›yla, iç denetim
Uygulama Önerileri
43
faaliyetine, ek baz› görevler yapma yetkisini de vermelidir. Bu yetkinin de iç denetim yönetmeli¤inde aç›kça gösterilmesi gerekir. 6. Objektiflik: Dan›ﬂmanl›k hizmeti, denetçinin güvence göreviyle ba¤lant›l› iﬂ süreçlerini veya sorunlar›n› daha iyi anlamas›n› sa¤layabilir; bunun, denetçinin veya iç denetim faaliyetinin objektifli¤ini mutlaka bozaca¤› iddia edilemez. ‹ç denetimin, idarî bir karar alma iﬂlevi yoktur; iç denetimin, dan›ﬂmanl›k hizmeti sonucunda önerdi¤i tavsiyeleri uygulama karar›, ancak kurumun yöneticileritaraf›ndan al›nabilir. Bu nedenle, kurum yönetiminin ald›¤› kararlar›n, iç denetimin objektifli¤ini bozmamas› gerekir. 7. ‹ç Denetimin Dan›ﬂmanl›k Hizmetine Sa¤lad›¤› Zemin: Verilen dan›ﬂmanl›k hizmetlerinin ço¤u, güvence ve araﬂt›rma hizmetlerinin do¤al bir uzant›s›d›r ve gayriresmî veya resmî öneri, analiz veya de¤erlendirmeleri içerebilir. ‹ç denetim faaliyeti, (a) en yüksek objektiflik standartlar› ve ilkelerine ba¤l›l›¤›, (b) kurumun süreçleri, riskleri ve stratejileri hakk›nda sahip oldu¤u geniﬂ bilgi temeli sayesinde, bu tür dan›ﬂmanl›k iﬂlerini yapmak hususunda istisnaî bir konuma sahiptir. 8. Temel Bilgilerin ‹letilmesi: ‹ç denetimin kuruma kazand›rd›¤› temel de¤erlerden biri de, üst yönetime ve denetim komitesi üyelerine güvence sa¤lamakt›r. Dan›ﬂmanl›k görevi, ‹ç Denetim Yöneticisinin kanaatiyle, (CAE) görüﬂ ve inanc›na göre kurumun üst düzey yöneticilerine ve yönetim kurulu üyelerine sunulmas› gereken bilgileri gizleyen bir tarzda yürütülmemelidir. Dan›ﬂmanl›k hizmet ve görevlerinin hepsi, bu ilkenin ›ﬂ›¤›nda benimsenmeli ve uygulanmal›d›r. 9. Dan›ﬂmanl›k ‹lkeleri Kurum Çap›nda Anlaﬂ›lmal›d›r: Kurumlar›n dan›ﬂmanl›k iﬂlevlerinin ve hizmetlerinin yürütülmesine zemin oluﬂturan ve kurumun bütün çal›ﬂanlar› taraf›ndan anlaﬂ›lan temel kurallar› bulunmal›d›r. Bu kurallar, iç denetim yönetmeli¤inde belirtilmeli ve tüm kuruma ilân edilmelidir.
44
Meslekî Uygulama Çerçevesi
10.Resmî Dan›ﬂmanl›k Görevleri: Yönetim, önemli ve uzun bir süreyle devam eden resmî dan›ﬂmanl›k görevleri için genellikle d›ﬂ dan›ﬂmanlar tutar. Ancak bir kurum, baz› resmî dan›ﬂmanl›k iﬂleri ve görevleri için kendi iç denetim birimini yetkin ve uygun görebilir. Kurumun kendi iç denetim birimi, resmî bir dan›ﬂmanl›k görevi üstlendi¤i takdirde, bu görevi, sistemli ve disiplinli bir yaklaﬂ›m ile yerine getirmelidir. 11.‹ç Denetim Yöneticisinin Sorumluluklar›: Dan›ﬂmanl›k hizmetleri, ‹ç Denetim Yöneticisinin belirli yönetim sorunlar›n› ele almak ve çözümlemek amac›yla yönetimle diyaloga girmesine olanak sa¤lar. Bu diyalogda, görevin kapsam›, zamanlamas› ve program›, yönetimin ihtiyaç ve isteklerine uygun hâle getirilir. Ancak, elde edilen sonuçlar›n niteli¤i ve ehemmiyeti, kurum aç›s›ndan önemli risklere iﬂaret ediyorsa, denetim tekniklerini belirleme imtiyaz› ve kurumun üst düzey yöneticilerine ve denetim komitesi üyelerine raporlama hakk› ‹ç Denetim Yöneticisine aittir. 12.‹htilâflar›n veya Sorunlar›n Çözüm K›staslar›: Bir iç denetçi, her ﬂeyden önce bir iç denetçidir. Dolay›s›yla, bütün hizmet ve görevlerinin ifas›nda, iç denetçi, IIA Etik Kurallar›n› ve Uluslararas› ‹ç Denetim Meslekî Uygulama Standartlar›ndan Nitelik ve Performans Standartlar›n› kendine rehber edinmelidir. Öngörülemeyen ihtilâf veya faaliyetler, bu Etik Kurallar›na ve Standartlara uygun bir ﬂekilde çözümlenmelidir.
Uygulama Önerileri
45
Uygulama Önerisi 1000.C1-2: Resmî Dan›ﬂmanl›k Görevlerine ‹liﬂkin Ek Hususlar Uluslararas› ‹ç Denetim Meslekî Uygulama Standartlar›ndan Standart 1000.C1’in (Ve ‹lgili Di¤er Dan›ﬂmanl›k Uygulama Standartlar›n›n) Yorumu
‹lgili Standart 1000.C1 Dan›ﬂmanl›k hizmetlerinin niteli¤i, iç denetim yönetmeli¤inde tan›mlanmal›d›r. Bu Uygulama Önerisi ve ilgili Standartlara iliﬂkin özel not: Bu Uygulama Önerisi, birden fazla Dan›ﬂmanl›k Uygulama Standard›na iliﬂkin yol gösterici ilkeleri içermektedir. Bu ilkeler, Standart 1000.C1’in yan› s›ra, 1130.C1 ve C2; 1210. C1; 1220.C1; 2010.C1; 2110.C1 ve C2; 2120.C1 ve C2; 2130.C1; 2201.C1; 2210.C1; 2220.C1; 2240.C1; 2330.C1; 2410.C1; 2440.C1 ve C2 ve 2500.C1 Standartlar›n› da kapsamaktad›r. Say›lan bu standartlara yap›lan at›flar, bu Uygulama Önerisinin baﬂl›klar›nda parantez içinde gösterilmektedir. Bu Uygulama Önerisinin Niteli¤i: Bu Uygulama Önerisi, özü itibariyle, Dan›ﬂmanl›k Hizmetlerinin Yürütülmesine ‹liﬂkin ‹lkeler’in ele al›nd›¤› ve tart›ﬂ›ld›¤› 1000.C1-1 say›l› uygulama önerisine benzemektedir. Dan›ﬂmanl›k faaliyetlerinin yürütülmesinde her ikisi de iç denetçiler için faydal›d›r. ‹ç denetimin tan›m› ﬂöyledir: "‹ç denetim, bir kurumun faaliyetlerini geliﬂtirmek ve onlara de¤er katmak amac›n› güden ba¤›ms›z ve objektif bir güvence ve dan›ﬂmanl›k faaliyetidir. ‹ç denetim, kurumun risk yönetim, kontrol ve yönetiﬂim süreçlerinin etkinli¤ini de¤erlendirmek ve geliﬂtirmek amac›na yönelik sistemli ve disiplinli bir yaklaﬂ›m getirerek kurumun amaçlar›na ulaﬂmas›na yard›mc› olur." ‹ç denetçiler, iç denetçilerle ilgili ‘Nitelik ve Performans Standartlar›’n›n hem güvence hem de dan›ﬂmanl›k iﬂlev ve görevlerini kapsad›¤›n› unutmamal›d›r. Bu uygulama önerisi, bütün dan›ﬂmanl›k görevlerinde dikkate al›nmas› gereken geniﬂ kapsaml› parametreler üzerinde durmakta ve odaklanmaktad›r. Dan›ﬂmanl›k iﬂlevi; yaz›l› anlaﬂmalarla tan›mlanan resmî görevlerden daimî veya geçici yönetim komiteleri veya proje ekiplerinde yer almak gibi dan›ﬂmanl›k hizmet ve etkinliklerine kadar farkl› ve de¤iﬂik kapsamlarda olabilir. ‹ç denetçilerden, bu Uygulama Önerisindeki tavsiyelerin, karﬂ›laﬂt›klar› her farkl› durumda, ne ölçüde uygulanabilece¤ini belirlemek için, meslekî muhakemelerini kullanmalar› beklenir. Zira, bir birleﬂme veya devralma projesine veya felâket sonras›
46
Meslekî Uygulama Çerçevesi
toparlanma benzeri (disaster recovery activities) âcil durum görevlendirmelerine kat›lmak gibi istisnaî dan›ﬂmanl›k görevleri, normal prosedürlerden ayr›lmay› gerekli k›labilir. ‹ç denetçiler, dan›ﬂmanl›k görevlerini yerine getirirken aﬂa¤›daki yol gösterici ilkeleri göz önüne almal›d›r. Bu k›lavuzun, bir dan›ﬂmanl›k görevinin yap›lmas›nda gerekli olabilecek hususlar›n tümünü kapsamak gibi bir amac› yoktur. ‹ç denetçiler, kurum yönetiminin, denetim komitesinin ve yönetim kurulunun dan›ﬂmanl›k hizmetlerinin yürütülmesi için gereken kavramlar›, iﬂletme ilkelerini ve raporlamalar› anlad›¤›ndan ve kabul etti¤inden emin olmak için ek tedbirler almal›d›r. Uygulama Önerilerine uymak, iste¤e ba¤l›d›r.
Dan›ﬂmanl›k Hizmetlerinin Tan›m› 1. Standartlarda bulunan terimler sözlü¤ünde, "dan›ﬂmanl›k hizmetleri" ﬂöyle tan›mlanmaktad›r: "Her hangi bir idarî sorumluluk üstlenmeden, bir kurumun faaliyetlerini geliﬂtirmek ve onlara de¤er katmak amac›n› güden, niteli¤i ve kapsam› denetlenen ile birlikte kararlaﬂt›r›lan istiﬂarî faaliyetler ve bununla ba¤lant›l› di¤er hizmetlerdir. Usul ve yol göstermek, tavsiyede bulunmak, iﬂleri kolaylaﬂt›rmak ve e¤itim vermek, bu kapsamdaki faaliyet örnekleridir." 2. ‹ç Denetim Yöneticisi, kurum içindeki görevlerin s›n›fland›r›lmas›nda kullan›lacak yöntemi belirlemelidir. Baz› durumlarda, dan›ﬂmanl›k ve güvence faaliyetlerinin unsurlar›n› birleﬂtiren bir yaklaﬂ›mla "karma" bir görevlendirme yapmak da uygun olabilir. Bazen ise, görevin güvence ve dan›ﬂmanl›k unsurlar›n› birbirinden ay›rmak, daha uygun olabilir. 3. ‹ç denetçiler, dan›ﬂmanl›k hizmetlerini normal veya rutin çal›ﬂmalar›n›n bir parças› olarak ya da kurum yönetiminin talepleri üzerine yürütebilir. Her kurum, yap›lacak dan›ﬂmanl›k faaliyetlerinin türünü göz önünde bulundurmal› ve her tür için ayr› bir politika veya prosedür gerekip gerekmedi¤inin karar›n› vermelidir. Muhtemel görev s›n›flamalar› aras›nda ﬂunlar say›labilir: • Resmî dan›ﬂmanl›k görevleri: Planlanm›ﬂ ve yaz›l› bir anlaﬂmaya tâbi olan görevler.
Uygulama Önerileri
47
• Gayriresmî dan›ﬂmanl›k görevleri: Daimî komitelere kat›lmak, s›n›rl› süreli projeler, belli bir proje veya amaca yönelik (ad-hoc) toplant›lar ve ola¤an bilgi al›ﬂveriﬂi gibi rutin faaliyetler. • Özel dan›ﬂmanl›k görevleri: Bir birleﬂme ve devralma ekibine ya da sistem dönüﬂtürme ekibine kat›lmak. • Âcil durum dan›ﬂmanl›k görevleri: Bir felâket veya ola¤anüstü nitelikte baﬂkabir olay sonras›nda, faaliyetlerin sürdürülmesi veya toparlanmas› amac›yla kurulan bir ekibe kat›lmak ya da özel bir talebi karﬂ›lamaya veya âcil bir iﬂi yetiﬂtirmeye yard›mc› olmak için, geçici yard›m vermek amac›yla kurulmuﬂ bir ekibe kat›lmak. 4. Denetçilerin, ilke olarak, bir güvence görevi olarak yürütülmesi daha uygun olan bir hizmetin, dan›ﬂmanl›k hizmeti olarak ele al›nmas›n› temin etmek amac›yla, bu hizmetin güvence hizmeti olarak ele al›nmas›n› gerektiren hususlar›n saklanmas›na yard›mc› olmamalar› gerekir. Ancak bu, güvence görevi olarak yap›la gelmekte olan olan hizmetlerin, art›k dan›ﬂmanl›k görevi olarak yap›lmas›n›n daha uygun oldu¤una kanaat getirildi¤i bir durumda, yöntemde gerekli ayarlaman›n yap›lmas›na da mâni de¤ildir.
Dan›ﬂmanl›k Görevlerinde Ba¤›ms›zl›k ve Objektiflik (Standart 1130.C1) 5. ‹ç denetçilerden, bazen, daha önce sorumlu olduklar› ya da güvence hizmeti verdikleri faaliyetlerle ilgili dan›ﬂmanl›k hizmeti talep edilir. Bu tür bir dan›ﬂmanl›k hizmeti vermeden önce, ‹ç Denetim Yöneticisi, denetim komitesinin dan›ﬂmanl›k hizmeti verme kavram›n› anlay›p anlamad›¤›n› ve buna onay verip vermedi¤ini tespit ve teyit etmelidir. Bu onay verildikten sonra, iç denetim yönetmeli¤inde de¤iﬂiklik yap›lmal›, dan›ﬂmanl›k hizmetleri ile ilgili yetki ve sorumluluklar da tüzü¤e dahil edilmeli ve iç denetim faaliyeti sonucunda, bu tür faaliyetlerin yürütülmesi için uygun politika ve prosedürler geliﬂtirilmelidir.
48
Meslekî Uygulama Çerçevesi
6. ‹ç denetçiler, hüküm verirken ve yönetime tavsiyelerde bulunurken objektifliklerini korumal›d›r. Dan›ﬂmanl›k görevine baﬂlamadan önce, bu ba¤›ms›zl›k veya objektifli¤i bozabilecek ﬂartlar mevcutsa veya görev s›ras›nda ortaya ç›karsa, bunlar›n yönetime derhal bildirilmesi gerekir. 7. Bir resmî dan›ﬂmanl›k görevinden sonra bir y›l içinde güvence hizmeti verildi¤i takdirde ba¤›ms›zl›k ve objektiflik bozulabilir. Hizmetlerin her biri için ayr› denetçiler görevlendirilerek, ba¤›ms›z gözetim ve kontrol kanallar› kurularak, projelerin sonuçlar› için ayr› sorumluluklar tespit edilerek ve varsay›lan bozulma aç›klanarak, bu bozulman›n etkilerini asgarî düzeye indirmek amac›na yönelik ad›mlar at›lmal›d›r. ‹lgili tavsiyeleri kabul etmekten ve uygulamaktan, yönetim sorumlu olmal›d›r. 8. ‹ç denetçilerin, ilgili görevin baﬂlang›c›nda belirlenen kapsam ve amaçta yeri olmayan bir yönetim sorumlulu¤unu, uygunsuz veya kas›ts›z olarak üstlenmelerini engellemek amac›yla, özellikle, niteli¤i gere¤i devaml› veya kesintisiz olan dan›ﬂmanl›k görevlerinde çok dikkat edilmelidir.
Dan›ﬂmanl›k Görevlerinde Azamî Meslekî Özen ve Dikkat (1210.C1, 1220.C1, 2130.C1 ve 2201.C1 Say›l› Standartlar) 9. ‹ç denetçiler, bir resmî dan›ﬂmanl›k görevi yaparken, özellikle aﬂa¤›dakileri anlamal› ve azamî meslekî özen ve dikkati göstermelidir: • Görev sonuçlar›n›n niteli¤ine, zamanlamas›na ve raporlanmas›na yönelik yöneticilerin talep ve öncelikleri, • Hizmeti talep edenlerin, taleplerinin ard›ndaki sebep ve saikler, • Amaca ulaﬂmak için gereken iﬂlerin kapsam ve niteli¤i, • Görev için gereken beceri ve kaynaklar, • Denetim komitesinin daha önce onaylad›¤› denetim plan›n›n kapsam›na etkisi,
Uygulama Önerileri
49
• Gelecekteki denetim görevleri ve taahhütleri üzerindeki muhtemel etkileri, • Kurumun bu görevden elde edebilece¤i yararlar. 10. Yukar›da aç›klanan ba¤›ms›zl›k ve objektiflik de¤erlendirmesine ve gereken meslekî özen ve dikkate iliﬂkin düﬂüncelere ek olarak, iç denetçi ﬂu hususlar› da dikkate almal›d›r: • Verilecek hizmetin niteli¤ini ve kapsam›n› tespit etmek ve de¤erlendirmek amac›yla uygun toplant›lar düzenlemek ve gereken bilgileri toplamak. • Hizmeti alanlar›n, iç denetim yönetmeli¤inde aç›klanan ilgili ilkeleri, iç denetim faaliyetlerinin politika ve prosedürlerini ve dan›ﬂmanl›k görevlerinin yerine getirilmesiyle ilgili baﬂka yol gösterici ilkeleri anlay›p anlamad›klar›n› ve bunlar› kabul edip etmediklerini tespit ve teyit etmek. ‹ç denetçi, iç denetim yönetmeli¤inin yasaklad›¤›, iç denetim faaliyetlerinin politika ve prosedürlerine ayk›r› olan ya da ilgili kurumun ç›karlar›na uygun olmayan ve ilgili kuruma de¤er katmayan dan›ﬂmanl›k görevlerini üstlenmeyi ve yapmay› reddetmelidir. • Dan›ﬂmanl›k görevinin iç denetim faaliyetleriyle ilgili genel görev plan›na uygunlu¤unu de¤erlendirmek. ‹ç denetim faaliyetine iliﬂkin risk esasl› görev plan›, kurumun ihtiyaç duydu¤u denetim kapsam›n› sa¤lamak amac›yla, uygun oldu¤u ölçüde, dan›ﬂmanl›k görevlerini de içerebilir ve bunlara da dayanabilir. • Resmî dan›ﬂmanl›k görevinin genel unsurlar›n›, yorum esaslar›n›, sonuçta elde edilebilecekleri ve di¤er temel etkenleri yaz›l› bir anlaﬂma veya plana kaydetmek. Hem iç denetçinin hem de dan›ﬂmanl›k hizmetini alanlar›n ilgili raporlama ve iletiﬂim gereklerini bilmesi, anlamas›, ve kabul etmesi çok önemlidir.
50
Meslekî Uygulama Çerçevesi
Dan›ﬂmanl›k Görevlerinde ‹ﬂin Kapsam› (2010.C1, 2110.C1 ve C2, 2120.C1 ve C2, 2201.C1, 2210.C1, 2220.C1, 2240.C1 ve 2440.C2 Say›l› Standartlar) 11. Yukar›da belirtildi¤i gibi, iç denetçiler, hizmeti alanlarla, dan›ﬂmanl›k görevinin hedefleri ve kapsam› hakk›nda bir anlay›ﬂ birli¤ine varmal›d›r. Dan›ﬂmanl›k görevinin de¤eri, faydalar› veya muhtemel olumsuz etkilerine iliﬂkin çekincelerin hizmeti alanlara bildirilmesi gerekir. ‹ç denetçiler, üstlendikleri iﬂin kapsam›n›, iç denetim faaliyetinin profesyonelli¤ini, dürüstlü¤ünü, itibar›n› ve ismini koruyacak bir ﬂekilde tespit etmeli ve tasarlamal›d›r. 12. Resmî dan›ﬂmanl›k görevlerinin planlanmas› aﬂamas›nda, iç denetçiler, hizmetin hedeflerini, bu hizmetleri alan yönetim yetkililerinin uygun istek ve ihtiyaçlar›na yan›t verecek ﬂekilde belirlemeli ve tasarlamal›d›r. Yönetimin özel taleplerde bulunmas› hâlinde, hedeflenmesi gereken amaçlar›n yönetimin özel taleplerinin ötesinde oldu¤una inand›klar› takdirde, iç denetçilerce, aﬂa¤›daki eylemler düﬂünülebilir: • Yönetimi, dan›ﬂmanl›k görevinin kapsam›na ek hedef ve amaçlar ilâve etmek konusunda ikna etmek, • Hedeflere ulaﬂ›lamamas› hâlinde durumu tespit etmek ve bu gözlemini dan›ﬂmanl›k görevi sonuçlar›na iliﬂkin son raporunda aç›klamak, • Hedefleri ayr› ve daha sonraki bir güvence görevinin kapsam›na almak. 13. Resmî dan›ﬂmanl›k görevlerinin iﬂ programlar›, hem görevin kapsam›n› ve hedeflerini hem de bu hedeflere ulaﬂmak için kullan›lacak yöntemi tan›mlamal› ve içermelidir. Program›n ﬂekli ve içeri¤i, görevin niteli¤ine ba¤l› olarak de¤iﬂebilir. Görev kapsam›n›n belirlenmesinde, iç denetçiler, bu görevin kapsam›n›, yönetimin taleplerine göre geniﬂletebilir ya da s›n›rland›rabilir. Ancak iç denetçi, projelendirilen iﬂ kapsam›n›n
Uygulama Önerileri
51
görevin hedeflerine ulaﬂmak için yeterli ve uygun oldu¤undan emin olmal›d›r. Görevin hedefleri, kapsam› ve koﬂullar› iﬂin devam› s›ras›nda, dönemsel olarak yeniden gözden geçirilmeli ve gerekiyorsa ayarlamaya tâbi tutulmal›d›r. 14. ‹ç denetçiler, resmî dan›ﬂmanl›k görevleri s›ras›nda uygulanan risk yönetimi ve kontrol süreçlerinin verimlili¤ini izlemeli ve bu konuda dikkatli olmal›d›r. Tespit edilen büyük risk ve risk maruziyetleri veya önemli kontrol zay›fl›klar›, yönetimin dikkatine sunulmal› ve rapor edilmelidir. Baz› durumlarda, denetçinin kayg›lar›n›n da üst yönetime, denetim komitesine ve/veya yönetim kuruluna bildirilmesi gerekir. ‹ç denetçiler (a) risklerin, zay›fl›klar›n önem düzeyini ve bunlar› azaltmak veya düzeltmek için al›nan veya al›nmas› öngörülen tedbirleri tespit etmek için ve (b) bu risklerin veya zay›fl›klar›n rapor edilmesi konusunda, üst yönetim, denetim komitesi ve yönetim kurulunun beklentilerini araﬂt›r›p bulmak için meslekî muhakemelerini kullanmal›d›r.
Dan›ﬂmanl›k Görevlerinin Sonuçlar›n›n Rapor Edilmesi (2410.C1 ve 2440.C1 Say›l› Standartlar) 15. Dan›ﬂmanl›k görevlerine iliﬂkin ilerleme ve sonuç raporlar›n›n ﬂekli ve içeri¤i, görevin niteli¤ine ve denetlenenin ihtiyaçlar›na ba¤l› olarak de¤iﬂir. Raporlama gerekleri, genellikle, dan›ﬂmanl›k hizmetini talep eden kiﬂiler taraf›ndan tespit edilir ve bu gereklerin yönetimle birlikte tesbit edilen ve kararlaﬂt›r›lan hedeflere uygun olmas› gerekir. Bununla birlikte, dan›ﬂmanl›k görevi sonuçlar›n›n raporlama format›nda, hem görevin niteli¤ini hem de bu bilgileri kullananlar›n bilmesi gereken s›n›rlamalar, k›s›tlamalar veya di¤er etkenler aç›kça gösterilmeli ve tan›mlanmal›d›r. 16. Baz› durumlarda, iç denetçi, görev sonuçlar›n›n sadece hizmeti alan veya talep edenlere de¤il baﬂka kiﬂilere de rapor edilmesi gerekti¤ine hükmedebilir. Bu durumlarda iç denetçi görev sonuçlar›n›n uygun kiﬂi ve taraflara bildirilmesini
52
Meslekî Uygulama Çerçevesi
sa¤layacak ﬂekilde raporlama kapsam›n› geniﬂletmelidir. Raporlama kapsam›n›n baﬂka taraflar› da kapsayacak ﬂekilde geniﬂletilmesinde, denetçi, sonuçtan ve çözümden tatmin olana kadar aﬂa¤›dakileri yapmal› ve uygulamal›d›r: • ‹lk olarak, dan›ﬂmanl›k görevine iliﬂkin anlaﬂmada ve ilgili bildirimlerde hangi yönün gösterildi¤ini ve nelerin istendi¤ini tespit etmek, • ‹kinci olarak, hizmeti alanlar› veya talep edenleri, raporlama kapsam›n› baﬂka uygun kiﬂi ve taraflar› da kapsayacak ﬂekilde, gönüllü olarak geniﬂletmeye ikna etmek, • Üçüncü olarak, iç denetim yönetmeli¤inde veya denetim faaliyeti politikave prosedürlerinde dan›ﬂmanl›k görevi sonuç raporlar› hakk›nda öngörülen ilkeleri tespit etmek, • Dördüncü olarak, ilgili kurumun Davran›ﬂ Kurallar›, Etik Kurallar› ve ilgili di¤er politikalar›, idarî yönetmelikleri veya prosedürlerinde öngörülen ilke ve kurallar› tespit etmek, • Beﬂinci olarak, IIA Standartlar› ve Etik Kurallar›nda, denetçiyle ilgili di¤er standartlarda, kurallarda, denetim konusuna iliﬂkin kanunlarda ve mevzuatta öngörülen ilke ve kurallar› tespit etmek, 17. ‹ç denetçiler, iç denetim faaliyetlerine iliﬂkin di¤er raporlarla birlikte, resmî dan›ﬂmanl›k görevlerinin niteli¤i, kapsam› ve genel sonuçlar›n› da ilgili kurumun yönetimine, denetim komitesine ve yönetim kuruluna veya baﬂka yönetim birimlerine aç›klamal› ve bildirmelidir. ‹ç denetçiler, üst yönetimi ve denetim kurulunu, denetim kaynaklar›n›n nas›l kullan›ld›¤› hakk›nda sürekli bilgilendirmelidir. Bu dan›ﬂmanl›k görevlerinin ayr›nt›l› raporlar›n›n ya da özel sonuçlar›n ve tavsiyelerin rapor edilmesine gerek yoktur. Fakat bu görev türlerinin uygun bir tan›m›n›n ve önemli tavsiyelerin raporlanmas› gerekir ve iç denetçilerin 2060 say›l› Standarta (Denetim Komitesine, Yönetim Kuruluna ve Üst Yönetime Raporlama) uyma sorumlulu¤unun yerine getirilmesi için bu raporlama ﬂartt›r.
Uygulama Önerileri
53
Dan›ﬂmanl›k Görevleri ‹çin Kayda Geçirme Gerekleri (Standart 2330.C1) 18. ‹ç denetçiler, üstlendikleri resmî dan›ﬂmanl›k görevinin hedeflerine ulaﬂmak ve sonuçlar›na destek olmak amac›yla yapt›klar› iﬂleri kaydetmelidir. Ancak, güvence görevleri için geçerli kay›t zorunluluklar›n, mutlaka dan›ﬂmanl›k görevlerine de uygulanmas› gerekmez. 19. Kay›tlara ulaﬂma talepleri hakk›nda muhtemel yanl›ﬂ anlamalardan kaç›nmak ve ilgili kurumu yeterince korumak amac›yla, denetçilerin uygun kay›t tutma politikalar›na uymalar› ve dan›ﬂmanl›k görevi kay›tlar›n›n sahipli¤i gibi sorunlara dikkat etmeleri teﬂvik edilir. Hukukî davalar, mevzuata uyum sorunlar›, vergi sorunlar› ve muhasebe sorunlar› gibi durumlarda, belirli dan›ﬂmanl›k görevi kay›tlar›na özel dikkat ve özen gösterilmesi gerekebilir.
Dan›ﬂmanl›k Görevlerinin Gözlenmesi (Standart 2500.C1) 20. ‹ç denetim faaliyeti, denetlenenle kararlaﬂt›r›lan s›n›rlar içinde, dan›ﬂmanl›k görevlerinin sonuçlar›n› gözlemi de kapsamal›d›r. Farkl› türlerde dan›ﬂmanl›k görevleri için farkl› gözlem yöntemleri gerekebilir. Bu gözlem çabalar›; yönetimin dan›ﬂmanl›k görevine aç›k ilgisi ya da iç denetçinin projenin riskleri veya kuruma katt›¤› de¤erle ilgili de¤erlendirmesi gibi etkenlere ba¤l› olabilir.
Uygulama Önerileri
55
Uygulama Önerisi 1100-1: Ba¤›ms›zl›k ve Objektiflik Uluslararas› ‹ç Denetim Meslekî Uygulama Standartlar›ndan Standart 1100’ün Yorumu
‹lgili Standart 1100 Ba¤›ms›zl›k ve Objektiflik ‹ç denetim faaliyeti ba¤›ms›z olmal› ve iç denetçiler görevlerini yaparken objektif davranmal›d›r. Bu Uygulama Önerisinin Niteli¤i: ‹ç denetçiler, ba¤›ms›zl›k ve objektifli¤i de¤erlendirirken aﬂa¤›daki önerileri de dikkate almal›d›r. Ancak bu k›lavuzun, bu tür bir de¤erlendirmede gerekli olabilecek hususlar›n tümünü kapsamak gibi bir amac› yoktur; k›lavuz, sadece, dikkate al›nmas› gereken bir tavsiyeler demetinden ibarettir. Uygulama Önerilerine uymak, iste¤e ba¤l›d›r.
1. ‹ç denetçiler, iﬂlerini serbest ve objektif bir ﬂekilde yapabildiklerinde ba¤›ms›z say›l›r. Ba¤›ms›zl›k, iç denetçilerin tarafs›z ve önyarg›s›z bir ﬂekilde hüküm verebilmelerini mümkün k›lar; bu, görevlerin usulüne uygun yap›lmas› için ﬂartt›r. Bu hedefe, kurum içi statü ve objektiflikle ulaﬂ›l›r.
Uygulama Önerileri
57
Uygulama Önerisi 1110-1: Kurum ‹çi Ba¤›ms›zl›k Uluslararas› ‹ç Denetim Meslekî Uygulama Standartlar›ndan Standart 1110’un Yorumu
‹lgili Standart 1110 Kurum içi Ba¤›ms›zl›k ‹ç Denetim Yöneticisinin, kurum içinde, iç denetim faaliyetinin sorumluluklar›n› yerine getirmesine imkân sa¤layan bir yönetim kademesine ba¤l› olmas› gerekir. Bu Uygulama Önerisinin Niteli¤i: ‹ç denetçiler, kurum içi ba¤›ms›zl›¤› de¤erlendirirken aﬂa¤›daki önerileri de dikkate almal›d›r. Ancak bu k›lavuzun, bu tür bir de¤erlendirmede gerekli olabilecek hususlar›n tümünü kapsamak gibi bir amac› yoktur; k›lavuz, sadece, dikkate al›nmas› gereken bir tavsiyeler demetinden ibarettir. Uygulama Önerilerine uymak, iste¤e ba¤l›d›r.
1. ‹ç denetçilerin, denetlenenlerin iﬂbirli¤ini sa¤layabilmek ve iﬂlerini her türlü müdahaleden uzak bir ﬂekilde yapabilmek için, üst yönetim, denetim komitesi ve yönetim kurulu taraf›ndan desteklenmeleri gerekir. 2. ‹ç Denetim Yöneticisi, kurum içinde, geniﬂ bir denetim kapsam› ve alan› oluﬂturmak, görevle ilgili raporlamalara yeterli ilginin gösterilmesini sa¤lamak ve görev sonucunda verilen tavsiyelere göre uygun tedbirlerin al›nmas›n› sa¤lamak konusunda yeterli yetkiye sahip bir kiﬂiye ba¤l› olmal›d›r. 3. ‹deal olan, ‹ç Denetim Yöneticisinin iﬂlevsel olarak denetim komitesi ve yönetim kuruluna, idarî olarak da kurumun baﬂkan›na ba¤l› ve sorumlu olmas›d›r. 4. ‹ç Denetim Yöneticisinin denetim komitesi ve yönetim kuruluyla do¤rudan iletiﬂimi bulunmal›d›r. Denetim komitesi ve yönetim kuruluyla düzenli iletiﬂim kurmak, ba¤›ms›zl›¤›n
58
Meslekî Uygulama Çerçevesi
güvence alt›na al›nmas›na yard›mc› olur ve komite ve kurul ile, ‹ç Denetim Yöneticisinin karﬂ›l›kl› ilgi alanlar›na giren konularda birbirlerini haberdar etmelerine imkân sa¤lar. 5. Bu do¤rudan iletiﬂim, ‹ç Denetim Yöneticisinin denetim komitesinin ve yönetim kurulunun denetim, mali raporlama, kurumsal yönetiﬂim ve kontrolle ilgili genel gözetim sorumluluklar›na iliﬂkin toplant›lar›na düzenli olarak kat›lmas› yoluyla sa¤lan›r. ‹ç Denetim Yöneticisinin bu toplant›lara kat›lmas›, stratejik planlar›n, faaliyetlere iliﬂkin geliﬂmelerin de¤erlendirilmesini ve yüksek seviyedeki risklerin, sistemlerin, prosedürlerin veya kontrol gibi meselelerin erken aﬂamalarda ele al›nmas›n› sa¤lar; ayr›ca iç denetim faaliyet planlar› ve çal›ﬂmalar› hakk›nda bilgi al›ﬂveriﬂinde bulunma f›rsat› yarat›r. ‹ç Denetim Yöneticisi, denetim komitesi ve yönetim kuruluyla, en az›ndan y›lda bir defa özel bir toplant› yapmal›d›r. 6. ‹ç Denetim Yöneticisinin tayin veya azlinde denetim komitesi ve yönetim kurulunun onay›n›n ve mutabakat›n›n al›nmas›, ba¤›ms›zl›¤› güçlendirir.
Uygulama Önerileri
59
Uygulama Önerisi 1110-2: ‹ç Denetim YöneticisiHiyerarﬂik ‹liﬂkiler Uluslararas› ‹ç Denetim Meslekî Uygulama Standartlar›ndan Standart 1110’un Yorumu
‹lgili Standart 1110 Kurum ‹çi Ba¤›ms›zl›k ‹ç denetim yöneticisinin, kurum içinde, iç denetim faaliyetinin sorumluluklar›n› yerine getirmesine imkân sa¤layan bir yönetim kademesine ba¤l› olmas› gerekir. Bu Uygulama Önerisinin Niteli¤i: ‹ç denetçiler, ‹ç Denetim Yöneticisinin ba¤l› oldu¤u görevlilerle iliﬂkilerini ve hiyerarﬂik iliﬂkileri belirlerken veya de¤erlendirirken aﬂa¤›daki ilkeleri göz önüne almal›d›r. Ancak bu k›lavuzun, böyle bir de¤erlendirmede gerekli olabilecek hususlar›n tümünü kapsamak gibi bir amac› yoktur; k›lavuz, sadece, dikkate al›nmas› gereken bir tavsiyeler demetinden ibarettir. Uygulama Önerilerine uymak iste¤e ba¤l›d›r.
(1) IIA’n›n Uluslararas› ‹ç Denetim Meslekî Uygulama Standartlar›na ("Standartlar") göre, ‹ç Denetim Yöneticisi, kurum içinde, iç denetim faaliyetinin sorumluluklar›n› yerine getirmesini mümkün k›lan bir yönetim kademesine sorumlu olmal›d›r. IIA, gerekli kurum içi ba¤›ms›zl›¤›n sa¤lanabilmesi için, ‹ç Denetim Yöneticisinin iﬂlevsel olarak denetim komitesine veya dengi bir yönetim kademesine ba¤l› olmas› gerekti¤ini ﬂiddetle savunmaktad›r. ‹darî amaçlarla, ço¤u durumda, ‹ç Denetim Yöneticisinin do¤rudan do¤ruya ilgili kurumun baﬂkan›na ba¤l› olmas› gerekir. IIA’n›n "iﬂlevsel hiyerarﬂi" ve "idarî hiyerarﬂi" terimleri için yapt›¤› aﬂa¤›daki tan›mlar, bu Uygulama Önerisinin konusunu oluﬂturan tart›ﬂmada yararl› olaca¤› ümidiyle verilmektedir. • ‹ﬂlevsel Hiyerarﬂi: ‹ç denetim fonksiyonu/birimi için iﬂlevsel hiyerarﬂi, onun ba¤›ms›zl›¤› ve yetkisinin nihaî kayna¤›d›r.
60
Meslekî Uygulama Çerçevesi
Bu konuda, IIA, ‹ç Denetim Yöneticisinin iﬂlevsel olarak ve iﬂlevleri konusunda denetim komitesi, yönetim kurulu veya uygun baﬂka bir yönetim birimine ba¤l› olmas›n› tavsiye etmektedir. Bu ba¤lamda geçen "iﬂlevsel hiyerarﬂi" terimi, ilgili yönetim birimi ve yetkilisinin: - iç denetim faaliyetinin yönetmeli¤ini onaylama, - iç denetim risk de¤erlendirmelerini ve ilgili denetim plan›n› onaylama, - ‹ç Denetim Yöneticisi ile yönetimin bulunmad›¤› özel toplant›lar yapmak da dahil, iç denetim faaliyetlerinin sonuçlar› hakk›nda ya da ‹ç Denetim Yöneticisinin gerekli gördü¤ü baﬂka konularda ‹ç Denetim Yöneticisinden raporlar alma, - ‹ç Denetim Yöneticisinin tayini veya azliyle ilgili tüm kararlar› onaylama, - ‹ç Denetim Yöneticisinin y›ll›k ücretini ve ücret ayarlamalar›n› onaylama, - iç denetim faaliyetinin sorumluluk ve görevlerini yerine getirmesine engel olan kapsam veya bütçe k›s›tlamalar› olup olmad›¤›n› tespit etmek amac›yla, ‹ç Denetim Yöneticisi ve yönetim nezdinde uygun inceleme ve araﬂt›rmalar› yapma yetkilerine sahip olmas› anlam›na gelir. • ‹darî Hiyerarﬂi: ‹darî hiyerarﬂi, kurumun yönetim yap›s› içinde kurulan ve iç denetim biriminin günlük iﬂ ve iﬂlemlerini kolaylaﬂt›ran hiyerarﬂik iliﬂkidir. ‹darî hiyerarﬂi normal olarak - bütçeleme ve yönetim muhasebesi, - personel de¤erlendirmeleri ve ücretleri de dahil insan kaynaklar› yönetimi, - iç haberleﬂme ve bilgi ak›ﬂlar›, - kurumun kendi iç politikalar› ve prosedürlerinin yönetimi konular›n› kapsar.
Uygulama Önerileri
61
(2) Bu Uygulama Önerisi, ‹ç Denetim Yöneticisi hiyerarﬂik iliﬂkilerinin kurulmas› veya de¤erlendirilmesine iliﬂkin mülâhaza ve konulara odaklanm›ﬂt›r. Bir iç denetim biriminin görev ve yükümlülüklerini etkin ve amaca uygun bir ﬂekilde yerine getirmesi amac›yla gereken ba¤›ms›zl›k, objektiflik ve kurum içi önem k›staslar›na ulaﬂmak için uygun hiyerarﬂik iliﬂkiler kurmak hayatî öneme sahiptir. ‹ç Denetim Yöneticisinin hiyerarﬂik iliﬂkileri, denetim faaliyetlerinin sonuçlar›n›n rapor edilmesinde ve risk de¤erlendirmesinde temel oluﬂturan uygun bilgi ak›ﬂ›n›n sa¤lanmas› ve önemli anahtar yöneticiler ve müdürlere eriﬂimin sa¤lanmas› için de hayatî öneme sahiptir. Öte yandan, ‹ç Denetim Yöneticisi, iç denetim biriminin ba¤›ms›zl›¤›na ve etkin çal›ﬂmas›na engel oluﬂturan hiyerarﬂik iliﬂkileri ciddî bir kapsam s›n›rlamas› olarak görmeli ve bu durumlar›, denetim komitesinin veya dengi birimlerin dikkatine sunmal›d›r. (3) Bu Uygulama Önerisinde, ayr›ca, ‹ç Denetim Yöneticisinin hiyerarﬂik iliﬂkilerinin ilgili kurumun niteli¤inden (kamu veya özel sektör kurumu ve kurumun nisbî büyüklü¤ü), her ülkenin yayg›n uygulamalar›ndan, kurumlar›n giderek daha da karmaﬂ›k hâle gelen yap›s›ndan (ortak giriﬂimler, iﬂtirakleri bulunan çokuluslu ﬂirketler) ve müﬂterileriyle ilgili öncelikler ve kapsam konusunda giderek artan bir iﬂbirli¤i gerektiren katma de¤erli hizmetler sunan iç denetim gruplar›na yönelik e¤ilimden etkilendi¤i de kabul edilmektedir. Bunun sonucu olarak, IIA, iﬂlevsel hiyerarﬂi konusunda denetim komitesine ve idarî hiyerarﬂi konusunda kurum baﬂkan›na (CEO’ya) ba¤l› olman›n en ideal hiyerarﬂik yap› oldu¤una inanmas›na ra¤men, iﬂlevsel ve idarî hiyerarﬂik iliﬂkiler aras›nda aç›k ve net bir ayr›m›n yap›lmas› hâlinde ve faaliyetlerin kapsam›n›n ve ba¤›ms›zl›¤›n›n sa¤lanabilmesi için uygun tedbirlerin al›nmas› hâlinde, baﬂka türde iliﬂkiler de etkili olabilir. ‹ç denetçilerden, bu Uygulama Önerisinde verilen önerilerin hangilerinin her özel durumda, hangi s›n›rlar içinde uygulanabilece¤ini tespit etmek için mesleki muhakemelerini kullanmalar› beklenmektedir. (4) Standartlar, ‹ç Denetim Yöneticisinin ba¤›ms›zl›¤›n› sa¤layabilmek ve geniﬂ bir denetim kapsam› uygulanmas›n›
62
Meslekî Uygulama Çerçevesi
sa¤lamak için ‹ç Denetim Yöneticisinin uygun ve yeterli yetkiye sahip bir kiﬂiye ba¤l› olmas›n›n önemini vurgulamaktad›r. Ancak Standartlar bu hiyerarﬂik iliﬂkiler konusunda bilerek biraz geniﬂ tutulmuﬂtur; çünkü Standartlar büyüklük veya baﬂka etkenlere bak›lmaks›z›n bütün kurumlara uygulanmak amac›yla tasarlanm›ﬂt›r. "Bir boy hepsine uyar" ilkesini uygulanamaz hâle getiren etkenler aras›nda, kurumun büyüklü¤ü ve tipi (özel, kamu veya ﬂirket) say›labilir. Bundan dolay›, ‹ç Denetim Yöneticisi, idarî hiyerarﬂik yap›n›n uygunlu¤unu de¤erlendirirken aﬂa¤›daki özellikleri göz önüne almal›d›r. • ‹lgili kiﬂi, iç denetim biriminin etkinli¤ini sa¤lamak için kurum içinde yeterli yetkiye ve öneme sahip midir? • ‹lgili kiﬂi, ‹ç Denetim Yöneticisine görevlerinde yard›mc› olmak için uygun kontrol ve yönetiﬂim zihniyetine sahip midir? • ‹lgili kiﬂinin denetim konular›nda ‹ç Denetim Yöneticisine aktif destek olmak için yeterli zaman› var m› ve buna ilgi duyuyor mu? • ‹lgili kiﬂi, iﬂlevsel hiyerarﬂik iliﬂkiyi anl›yor ve destekliyor mu? (5) Ayr›ca, idarî hiyerarﬂik yap›dan sorumlu olan kiﬂinin kurum içinde iç denetime tâbi baﬂka faaliyetlerin de sorumlulu¤unu üstlenmesi hâlinde, ‹ç Denetim Yöneticisi, gereken uygun ba¤›ms›zl›¤›n korunmas›n› da sa¤lamal›d›r. Örne¤in, baz› ‹ç Denetim Yöneticileri, idarî aç›dan kurumun muhasebe fonksiyonlar›ndan da sorumlu olan finans müdürüne ba¤l›d›r. ‹ç denetim birimi, denetim plan› için bu kapsam› uygun gördü¤ü takdirde, kurumun idarî iﬂler yöneticisine de ba¤l› olan faaliyetleri denetlemekte ve denetim sonuçlar›n› rapor etmekte serbest olmal›d›r. Bu faaliyetlerin kapsam›na veya faaliyet sonuçlar›n›n raporlanmas›na getirilen k›s›tlamalar, denetim komitesinin dikkatine sunulmal›d›r. (6) Dünyada mali raporlamayla ilgili konularda daha s›k› bir mevzuata ve düzenlemeye yönelik son e¤ilim ve geliﬂmelerin
Uygulama Önerileri
63
›ﬂ›¤›nda, ‹ç Denetim Yöneticisinin hiyerarﬂik iliﬂkileri, iç denetim biriminin denetim komitesinin veya di¤er önemli birimlerin artan ihtiyaç ve isteklerine cevap verebilmesi için uygun olmal›d›r. ‹ç Denetim Yöneticisinin kurumun yönetiﬂim ve risk yönetim faaliyetlerinde daha önemli rol üstlenmesi giderek artan bir ﬂekilde istenmektedir. ‹ç Denetim Yöneticisinin hiyerarﬂik iliﬂkileri, iç denetim biriminin bu beklentileri karﬂ›lamas›n› kolaylaﬂt›rmal›d›r. (7) Kurumun hangi hiyerarﬂik iliﬂki sistemini seçti¤ine bakmaks›z›n, çeﬂitli temel eylemler, hiyerarﬂik yap› ve iliﬂkilerin iç denetim faaliyetinin etkinli¤ine ve ba¤›ms›zl›¤›na destek olmas›na ve bunu sa¤lamas›na yard›mc› olabilir. • ‹ﬂlevsel Hiyerarﬂi: - ‹ﬂlevsel hiyerarﬂi, uygun ba¤›ms›zl›k ve iletiﬂim seviyesini sa¤layabilmek için do¤rudan do¤ruya denetim komitesine veya onun dengi bir mercie kadar ulaﬂmal›d›r. - ‹ç Denetim Yöneticisi, hiyerarﬂik iliﬂkisinin ba¤›ms›zl›¤›n› ve karakterini güçlendirmek için, denetim komitesi veya onun dengi bir birimle, yönetimden hiç kimsenin kat›lmad›¤› özel toplant›lar yapmal›d›r. - Y›ll›k denetim plan›n› ve bu planda yap›lan bütün önemli de¤iﬂiklikleri inceleme ve onaylama konusunda nihai yetki, denetim komitesinde olmal›d›r. - ‹ç Denetim Yöneticisi, denetim komitesinin baﬂkan›na ve üyelerine veya gerekirse yönetim kurulu baﬂkan›na ve tüm üyelerine her zaman aç›k ve do¤rudan eriﬂim olana¤›na sahip olmal›d›r. - Denetim komitesi, ‹ç Denetim Yöneticisinin performans›n› en az y›lda bir kere incelemeli ve y›ll›k ücretini ve maaﬂ ayarlamas›n› onaylamal›d›r. - ‹ç denetim faaliyetinin yönetmeli¤i, hem bu birimle ilgili iﬂlevsel ve idarî hiyerarﬂik iliﬂkileri, hem de her hiyerarﬂik kademeye kadar temel faaliyetleri aç›kça düzenlemelidir.
64
Meslekî Uygulama Çerçevesi
• ‹darî Hiyerarﬂi: - ‹ç Denetim Yöneticisinin idarî hiyerarﬂik iliﬂkisi, CEO’yla (baﬂ icra sorumlusuyla) ya da ona günlük faaliyetlerini yürütme konusunda destek vermek için yeterli yetkiye sahip baﬂka bir yöneticiyle olmal›d›r. Bu destek, birimin ve ‹ç Denetim Yöneticisinin kurum içi örgütlenme yap›s›nda birime uygun önemin ve de¤erin verilmesini sa¤layacak bir ﬂekilde konumland›r›lmas›n› da kapsamal›d›r. Bir kurum içi örgütlenme yap›s›nda iç denetim birimi ve ‹ç Denetim Yöneticisinin çok düﬂük bir hiyerarﬂik kademeye ba¤lanmas›, iç denetim biriminin önemini ve etkinli¤ini olumsuz etkileyebilir. - ‹ç denetim birimi faaliyetlerinin kapsam› veya faaliyet sonuçlar›n›n raporlanmas› konusunda nihai yetki, bu idarî hiyerarﬂik kademede olmamal›d›r. - ‹darî hiyerarﬂik iliﬂkiler, iç denetim biriminin hem üst yönetimle hem de bölüm yönetimleriyle aç›k ve do¤rudan iletiﬂimini kolaylaﬂt›rmal›d›r. ‹ç Denetim Yöneticisi, CEO da (kurum baﬂkan›) dahil her düzeyden yönetim kademesiyle do¤rudan iletiﬂim kurabilmelidir. - ‹darî hiyerarﬂik iliﬂkiler; kurum faaliyetleri, planlar› ve iﬂ inisiyatifleri hakk›nda ‹ç Denetim Yöneticisine ve iç denetim birimine yeterli ve zaman›nda bilgi ak›ﬂ›n›n olmas› için gerekli ve yeterli bilgi ak›ﬂ›n› ve iletiﬂimi sa¤lamal›d›r. - ‹darî hiyerarﬂik yap› ve iliﬂkilerin getirdi¤i bütçe kontrolleri ve düﬂünceleri, iç denetim biriminin görevlerini yerine getirmesine engel olmamal›d›r. (8) ‹ç Denetim Yöneticileri, baﬂka kontrol ve gözlem fonksiyonlar›yla ve birimleriyle (risk yönetimi, mevzuata uyum, güvenlik, hukuk, etik, çevre, d›ﬂ denetim) iliﬂkilerini de göz önüne almal› ve de¤erlendirmeli, önemli risk ve kontrol sorunlar›n›n denetim komitesine rapor edilmesini kolaylaﬂt›rmal›d›r.
Uygulama Önerileri
65
Uygulama Önerisi 1110.A1-1: Bilgi Talebinin Sebebinin Aç›klanmas› Uluslararas› ‹ç Denetim Meslekî Uygulama Standartlar›ndan Standart 1110.A1’in Yorumu
‹lgili Standart 1110.A1 ‹ç denetim faaliyeti, iç denetimin kapsam›n›n tayin edilmesi, iç denetim iﬂlerinin yap›lmas› ve sonuçlar›n raporlanmas› konular›nda her türlü müdahaleden uzak ve serbest olmal›d›r. Bu Uygulama Önerisinin Niteli¤i: ‹ç denetçiler, bilgi taleplerinin sebeplerini aç›klamalar› istendi¤inde, aﬂa¤›daki önerileri de dikkate almal›d›r. Ancak bu k›lavuzun, bu durumda gerekli olabilecek hususlar›n tümünü kapsamak gibi bir amac› yoktur; k›lavuz, sadece, dikkate al›nmas› gereken bir tavsiyeler demetinden ibarettir. Uygulama Önerilerine uymak, iste¤e ba¤l›d›r.
Denetlenenler veya üçüncü ﬂah›slar, zaman zaman, iç denetçiden, talep etti¤i bir belgenin görevle ne tür bir ilgisi oldu¤una aç›kl›k getirmesini isteyebilir. Belgelerin talep edilmesinin sebeplerinin görev s›ras›nda aç›klanmas› veya aç›klanmamas› karar›, içinde bulunulan duruma ba¤l›d›r. Önemli ve büyük usulsüzlükler, aç›klama yapman›n daha faydal› olaca¤› normal ﬂartlara göre, daha az aç›k bir ortam› mecbur k›lar. Ancak, bu karar›n özel durumlar›n ›ﬂ›¤›nda ‹ç Denetim Yöneticisi taraf›ndan al›nmas› gerekir.
Uygulama Önerileri
67
Uygulama Önerisi 1120-1: Bireysel Objektiflik Uluslararas› ‹ç Denetim Meslekî Uygulama Standartlar›ndan Standart 1120’nin Yorumu
‹lgili Standart 1120 Bireysel Objektiflik ‹ç denetçilerin tarafs›z ve önyarg›s›z bir ﬂekilde davranmas› ve her türlü ç›kar çat›ﬂmas›ndan kaç›nmas› gerekir. Bu Uygulama Önerisinin Niteli¤i: ‹ç denetçiler, bireysel objektifli¤i de¤erlendirirken aﬂa¤›daki önerileri de dikkate almal›d›r. Ancak bu k›lavuzun, bu tür bir de¤erlendirmede gerekli olabilecek hususlar›n tümünü kapsamak gibi bir amac› yoktur; k›lavuz, sadece, dikkate al›nmas› gereken bir tavsiyeler demetinden ibarettir. Uygulama Önerilerine uymak, iste¤e ba¤l›d›r.
1. Objektiflik, iç denetçilerin görevlerini yaparken almalar› ve sürdürmeleri gereken ba¤›ms›z bir zihinsel tav›rd›r. ‹ç denetçiler, denetim konular›na iliﬂkin karar ve yarg›lar›n›, baﬂkalar›n›n fikir ve düﬂüncelerine ba¤lamamal›d›r. Objektiflik, iç denetçilerin görevlerini, iﬂ sonucunda ç›kan ürüne gerçekten ve dürüst bir ﬂekilde inanacaklar› ve bu ürünün kalitesinden önemli bir taviz vermeyecekleri bir ﬂekilde yapmalar›n› ve yürütmelerini gerektirir. ‹ç denetçiler, objektif hüküm veremeyecekleri durumlara girmemeli ve itilmemelidir. 3. Denetim personeli aras›nda görev da¤›l›m›, mevcut ve muhtemel ç›kar çat›ﬂmalar› ve önyarg›lardan kaç›n›lacak bir ﬂekilde yap›lmal›d›r. ‹ç Denetim Yöneticisi, iç denetim personelinden, muhtemel ç›kar çat›ﬂmalar› ve önyarg›lar hakk›nda düzenli ve dönemsel olarak bilgi almal›d›r. ‹ç denetçiler aras›nda görev da¤›l›m›, bunun uygulanabilir olmas› hâlinde, dönemsel rotasyona ba¤lanmal›d›r.
68
Meslekî Uygulama Çerçevesi
4. Denetim iﬂinin objektif bir ﬂekilde yap›ld›¤›ndan makul ölçüler içinde emin olmak için, görev raporlar› yay›nlanmadan önce, sonuçlar›n gözden geçirilmesi gerekir. 5. ‹ç denetçinin personel, denetlenen, müﬂteri, tedarikçi veya iﬂle ilgili baﬂka kiﬂilerden herhangi bir ücret, hediye veya e¤lence kabul etmesi etik de¤ildir. Aksi halde, denetçinin objektifli¤inin bozuldu¤u izlenimi oluﬂabilir; bu ise o denetçinin hem yapmakta oldu¤u hem de yapaca¤› görevlere gölge düﬂürebilir. Üstlenilen görevlerin özel ﬂartlar›, ücret veya hediye almay› hakl› ç›kartan bir etken olarak görülmemelidir. Genel olarak herkese verilen ve çok küçük bir de¤ere sahip olan (kalemler, ajandalar veya numuneler gibi) tan›t›m malzemelerinin al›nmas› da iç denetçinin meslekî karar ve yarg›lar›na engel olmamal›d›r. ‹ç denetçiler, kendilerine teklif edilen bütün de¤eri yüksek para veya hediyeleri kendi âmirlerine derhal bildirmelidir. 6. ‹ç denetim faaliyeti, faaliyetlerini menfaat çat›ﬂmalar›ndan kaç›nacak ﬂekilde yürütme ve muhtemel ç›kar çat›ﬂmalar›na yol açabilecek her hangi bir faaliyetini de aç›klama taahhüdünü yerine getirecek bir politika benimsemelidir.
Uygulama Önerileri
69
Uygulama Önerisi 1130-1: Ba¤›ms›zl›k veya Objektifli¤i Bozan Etkenler Uluslararas› ‹ç Denetim Meslekî Uygulama Standartlar›ndan Standart 1130’un Yorumu
‹lgili Standart 1130 Ba¤›ms›zl›k ve Objektifli¤i Bozan Etkenler Denetçilerin ba¤›ms›zl›¤› veya objektifli¤i fiilen bozuldu¤u veya bozuldu¤u izlenimi do¤du¤u takdirde, bozulman›n ayr›nt›lar› ilgili taraflara aç›klanmal›d›r. Bu aç›klaman›n kapsam›, bozucu etkenin niteli¤ine ba¤l›d›r. Bu Uygulama Önerisinin Niteli¤i: ‹ç denetçiler, ba¤›ms›zl›k veya objektifli¤i bozan unsurlar› de¤erlendirirken aﬂa¤›daki önerileri de dikkate almal›d›r. Ancak bu k›lavuzun, bu tür bir de¤erlendirmede gerekli olabilecek hususlar›n tümünü kapsamak gibi bir amac› yoktur; k›lavuz, sadece, dikkate al›nmas› gereken bir tavsiyeler demetinden ibarettir. Uygulama Önerilerine uymak, iste¤e ba¤l›d›r.
1. ‹ç denetçiler, bir ç›kar çat›ﬂmas›n›n, bir önyarg›n›n mevcut oldu¤u veya muhtemel görüldü¤ü durumlar›, ‹ç Denetim Yöneticisine bildirmelidir. Bu durumda, ‹ç Denetim Yöneticisi, bu iç denetçilere baﬂka görevler vermelidir. 2. Kapsam s›n›rland›rmas›, iç denetim faaliyetine getirilen ve faaliyetin hedef ve planlar›n› gerçekleﬂtirmesine engel olan bir k›s›tlama anlam›na gelir. Bir kapsam s›n›rland›rmas›yla, bir çok ﬂey yan›nda, • iç denetim yönetmeli¤inde tan›mlanan yetki alanlar›, • görevlerin ifas› için gereken kaynaklara, personele, demirbaﬂlara ve ilgili mahallere eriﬂim imkân›, • onaylanm›ﬂ görev iﬂ program›,
70
Meslekî Uygulama Çerçevesi
• gereken görev prosedürlerinin uygulanmas›, • onaylanm›ﬂ personel plan› ve mali bütçe de k›s›tlanabilir. 3. Bir kapsam s›n›rland›rmas› ve bu s›n›rland›rman›n muhtemel etkileri, denetim komitesi ve yönetim kuruluna, tercihan yaz›l› olarak, bildirilmelidir. 4. ‹ç Denetim Yöneticisi, daha önce denetim komitesi ve yönetim kuruluna bildirilmiﬂ ve onlar taraf›ndan kabul edilmiﬂ bulunan yetki s›n›rland›rmalar› hakk›nda, bu birimlere tekrar bilgi vermenin gerekli olup olmad›¤›n› de¤erlendirmelidir. Bu, özellikle kurumda, denetim komitesi, yönetim kurulu veya üst yönetimde de¤iﬂiklik oldu¤unda veya benzer baﬂka de¤iﬂiklikler oldu¤unda gerekli olabilir.
Uygulama Önerileri
71
Uygulama Önerisi 1130.A1-1: ‹ç Denetçilerin Daha Önceden Sorumlu Oldu¤u Faaliyetlere ‹liﬂkin De¤erlendirmeleri Uluslararas› ‹ç Denetim Meslekî Uygulama Standartlar›ndan Standart 1130.A1’in Yorumu
‹lgili Standart 1130.A1 ‹ç denetçiler, daha önceden kendilerinin sorumlu oldu¤u faaliyetlere iliﬂkin de¤erlendirme yapmaktan kaç›nmal›d›r. Bir iç denetçinin son bir y›l içinde kendisinin sorumlu oldu¤u bir faaliyet hakk›nda güvence hizmeti vermesinin, objektifli¤ini bozaca¤› varsay›l›r. Bu Uygulama Önerisinin Niteli¤i: ‹ç denetçiler, daha önceden kendilerinin sorumlu oldu¤u bir faaliyet hakk›nda denetim ve de¤erlendirme yapmakla görevlendirildikleri takdirde aﬂa¤›daki önerileri de dikkate almal›d›r. Ancak bu k›lavuzun, bu tür bir de¤erlendirmede gerekli olabilecek hususlar›n tümünü kapsamak gibi bir amac› yoktur; k›lavuz, sadece, dikkate al›nmas› gereken bir tavsiyeler demetinden ibarettir. Uygulama Önerilerine uymak, iste¤e ba¤l›d›r.
1. ‹ç denetçiler, icraî sorumluluklar üstlenmemelidir. Üst yönetim iç denetçilere denetim d›ﬂ›nda iﬂ ve görevler verdi¤i takdirde, iç denetçiler bu görevlerinde iç denetçi s›fat›yla çal›ﬂamaz. Ayr›ca, iç denetçilerin, son bir y›l içinde kendilerinin yetkili veya sorumlu oldu¤u bir faaliyet hakk›nda güvence amaçl› inceleme veya denetim yapmas› durumunda, objektifliklerinin bozulaca¤› varsay›l›r. Denetim görevi sonuçlar› rapor edilirken bu bozulma da dikkate al›nmal›d›r. • ‹ç denetçilere, banka hesap mutabakatlar›n›n yap›lmas› ve haz›rlanmas› gibi, objektifliklerini bozabilecek denetim d›ﬂ› görevler verildi¤i takdirde, ‹ç Denetim Yöneticisi, üst
72
Meslekî Uygulama Çerçevesi
yönetime, denetim komitesine ve yönetim kuruluna bu faaliyetin bir güvence denetim faaliyeti olmad›¤›n› ve dolay›s›yla, bu faaliyetten denetimle ilgili sonuçlar ç›kart›lmamas› gerekti¤ini bildirmelidir. • Ayr›ca, iç denetim faaliyetine icraî sorumluluklar verildi¤i takdirde, ilgili sorumluluk alan›nda daha sonra bir güvence görevi üstlenildi¤inde, objektifli¤in sa¤lanmas›na özel bir dikkat gösterilmelidir. ‹ç denetçilerin, son bir y›l içinde yetkili veya sorumlu olduklar› bir faaliyeti denetlemeleri durumunda, objektifliklerinin bozulaca¤› varsay›l›r. Böyle bir durum, sonuçlar›n rapor edilmesi s›ras›nda aç›kça beyan edilmelidir. 2. Denetimlerde, icraî bir yetkinin de üstlenilmesi söz konusu olursa, bu yetkiyle ilgili sahada denetim objektifli¤inin bozulaca¤› varsay›l›r. 3. ‹ç denetim faaliyetine kat›lan ya da geçici olarak iç denetimle görevlendirilenler, makul bir süre (en az bir y›l) geçmeden, daha önce kendilerinin yürüttü¤ü faaliyetleri denetlemekle görevlendirilmemelidir. Aksi halde bu kiﬂilerin objektifli¤inin bozulaca¤› varsay›l›r; bu sebeple o görevle ilgili denetimin gözetim ve kontrolünde ve görev sonuçlar›n›n raporlanmas›nda ilâve özen ve dikkat gösterilmelidir. 4. ‹ç denetçinin sistemler için kontrol standartlar› tavsiye etmesi veya uygulanmadan önce prosedürleri gözden geçirmesi, objektifli¤i olumsuz etkilemez. Fakat denetçinin sistem tasarlamas›, kurmas›, iﬂletmesi ve bu sistemlerin prosedürlerini yazmas›n›n objektifli¤i bozaca¤› düﬂünülür. 5. ‹ç denetçinin zaman zaman denetim d›ﬂ› iﬂler de yapmas› ve bunun raporlama sürecinde tam ve eksiksiz aç›klanmas›, denetçinin ba¤›ms›zl›¤›n› zay›flatmaz. Ancak iç denetçinin objektifli¤ini etkileyebilecek olumsuzluklar› önlemek için, hem iç denetçinin hem de yönetimin dikkatli hareket etmesi gerekir.
Uygulama Önerileri
73
Uygulama Önerisi 1130.A1-2: Di¤er (Denetim D›ﬂ›) ‹ﬂlevler Karﬂ›s›nda ‹ç Denetçinin Sorumlulu¤u Uluslararas› ‹ç Denetim Meslekî Uygulama Standartlar›ndan Standart 1130.A1’in Yorumu
‹lgili Standart 1130.A1 ‹ç denetçiler, daha önceden kendilerinin sorumlu oldu¤u faaliyetlere iliﬂkin de¤erlendirme yapmaktan kaç›nmal›d›r. Bir iç denetçinin son bir y›l içinde kendisinin sorumlu oldu¤u bir faaliyet hakk›nda güvence hizmeti vermesinin objektifli¤ini bozaca¤› varsay›l›r. Bu Uygulama Önerisinin Niteli¤i: Denetim d›ﬂ›, icraî iﬂlev ve görevler için sorumluluk üstlenme durumunda olan iç denetçilerin aﬂa¤›daki ilkelere uymalar› önerilir. Bu tür sorumluluklar›n üstlenilmesi, iç denetçinin ba¤›ms›zl›k ve objektifli¤ini bozabilir ve mümkünse bundan kaç›n›lmas› gerekir. Ancak bu k›lavuzun, bu tür görev veya sorumluluklar› de¤erlendirmek amac›yla gerekli olabilecek hususlar›n tümünü kapsamak gibi bir amac› yoktur. Uygulama Önerilerine uymak, iste¤e ba¤l›d›r.
1. Baz› iç denetçiler, kurumun yönetimi aç›s›ndan iﬂlerle ilgili makul sebeplerle denetim d›ﬂ› görevler kabul etmekte ya da bu tür görevlerle görevlendirilmektedir. ‹ç denetçilerden, ba¤›ms›zl›k veya objektifliklerini zay›flatacak görev ve sorumluluklar üstlenmelerinin istenmesi gittikçe daha s›k karﬂ›laﬂ›lan bir durum olmaktad›r. Hem kamu hem de özel kurumlardan daha etkin ve verimli faaliyetler yapmalar› ve bunu daha az kaynakla yapmalar› konusundaki beklentinin artmas› nedeniyle, ilgili kurumun yönetimi, baz› iç denetim birimlerine, dönemsel olarak denetime tâbi faaliyetlerin de sorumlulu¤unu üstlenmeleri talimat›n› vermektedir.
74
Meslekî Uygulama Çerçevesi
2. Bir iç denetim birimi veya iç denetçi, kendisinin denetleyebilece¤i bir faaliyetten sorumlu ise ya da kurum yönetimi ona böyle bir görev vermeyi düﬂünüyorsa, iç denetçinin ba¤›ms›zl›k ve objektifli¤i bozulabilir. ‹ç denetçi, bunun ba¤›ms›zl›k ve objektifli¤i üzerindeki muhtemel etkilerini de¤erlendirirken aﬂa¤›daki etkenleri dikkate almal›d›r: • IIA ‹ç Denetim Meslekî Uygulama Standartlar› (Standartlar) ve Etik Kurallar›n›n gerekleri, • Hissedarlar, yönetim kurulu, denetim komitesi, kurum yönetimi, idarî merciler, kamu kuruluﬂlar›, yasama organlar› ve toplumsal ç›kar gruplar› gibi kiﬂi ve taraflar›n beklentileri, • ‹ç denetim faaliyeti yönetmeli¤inde verilen izinler ve/veya öngörülen k›s›tlamalar, • Standartlar›n gerektirdi¤i aç›klamalar, • ‹ç denetçinin üstlendi¤i görev veya faaliyetlerin daha sonraki denetim kapsam›. 3. ‹ç denetçiler, denetim d›ﬂ› bir görev için sorumluluk üstlenme durumuyla karﬂ› karﬂ›ya oldu¤unda, uygun hareket tarz›n› belirlemek için aﬂa¤›daki etkenleri dikkate almal›d›r: A. IIA Etik Kurallar› ve Standartlar›, iç denetim faaliyetinin ba¤›ms›z olmas›n› ve iç denetçilerin iﬂlerini yaparken objektif davranmalar›n› gerektirir. • Mümkünse, iç denetçiler, dönemsel iç denetim incelemeleri ve de¤erlendirmelerine tâbi olan denetim d›ﬂ› fonksiyon veya görevler için sorumluluk kabul etmekten ve üstlenmekten kaç›nmal›d›r. Bunun mümkün olmamas› hâlinde: • Ba¤›ms›zl›k ve objektifli¤in bozuldu¤unun, ilgili kiﬂi ve taraflara aç›klanmas› gerekir; bu aç›klaman›n niteli¤i ve kapsam›, bozucu etkene ba¤l›d›r. • Bir denetçinin son bir y›l içinde kendisinin sorumlu oldu¤u bir faaliyetle ilgili güvence hizmeti vermesinin, denetçinin objektifli¤ini bozaca¤› varsay›l›r.
Uygulama Önerileri
75
• Yönetim zaman zaman iç denetçilerden denetim d›ﬂ› iﬂ ve görevler istedi¤i takdirde, iç denetçilerin o iﬂ ve görevlerde iç denetçi s›fat›yla çal›ﬂmad›¤› aç›kça belirtilmelidir. B. Hukukî gerekler de dahil, hissedar ve di¤er menfaat sahiplerinin beklentileri, muhtemel objektifli¤i bozucu etkenle iliﬂkili olarak de¤erlendirilmelidir. C. ‹ç denetim faaliyeti yönetmeli¤i, iç denetçiye denetim d›ﬂ› görevlerin verilmesi konusunda belirli özel k›s›tlamalar içeriyor veya s›n›rland›r›c› bir dil kullan›yorsa, bu k›s›tlamalar aç›klanmal›, beyan edilmeli ve yönetimle tart›ﬂ›lmal›d›r. Yönetim yine de bu görevlendirme üzerinde ›srar ediyorsa, denetçi bu konuyu denetim komitesine veya uygun baﬂka bir yönetim birimine bildirmeli ve konuyu onlarla tart›ﬂmal›d›r. Yönetmelik bu konuda herhangi bir hüküm içermiyorsa, aﬂa¤›daki bentlerde verilen tavsiyelere uyulmal›d›r. Aﬂa¤›daki tavsiyeler, yönetmeli¤in lâfz›na ba¤l› olarak de¤erlendirilmelidir. D. De¤erlendirme: De¤erlendirme sonuçlar› yönetimle, denetim komitesiyle ve/veya baﬂka ilgili taraflarla tart›ﬂ›lmal›d›r. Baz›lar› birbirini etkileyen bir dizi konu hakk›nda tespit yap›lmal›d›r: • ‹lgili denetim d›ﬂ› icraî görevin kurum aç›s›ndan önemi (gelirler, giderler, itibar ve etki aç›lar›ndan) de¤erlendirilmelidir. • Görevin uzunlu¤u veya süresi ve üstlenilen sorumlulu¤un kapsam› de¤erlendirilmelidir. • Görev ayr›m›n›n uygunlu¤u de¤erlendirilmelidir. • Denetim sonuçlar› rapor edilirken, objektiflik veya ba¤›ms›zl›¤› bozucu muhtemel etkenler veya böyle bir bozulma izleniminin olup olmad›¤› dikkate al›nmal›d›r.
76
Meslekî Uygulama Çerçevesi
E. Denetim D›ﬂ› Faaliyetin Denetimi ve Aç›klama: ‹ç denetim faaliyetinin icraî görevleri bulundu¤u ve bu denetim d›ﬂ› görevlerin, iﬂletme denetim plan›n›n bir parças› oldu¤u dikkate al›nd›¤›nda, denetçinin düﬂünebilece¤i bir kaç ç›k›ﬂ yolu vard›r: • Denetim iﬂi, sözleﬂmeli olarak üçüncü ﬂah›s firmaya, d›ﬂ denetçilere ya da iç denetim birimine yapt›r›labilir. ‹lk iki durumda, kurumun d›ﬂ›ndan denetçilerin kullan›lmas›yla objektifli¤in bozulmas› tehlikesi asgarîye indirilebilir. Son durumda ise, objektifli¤in bozulmas› söz konusudur. • ‹craî sorumluluklar› bulunan denetçiler, ilgili faaliyetin denetim çal›ﬂmas›na kat›lmamal›d›r. Mümkünse, denetim de¤erlendirme çal›ﬂmas›n› yapan denetçi, ba¤›ms›zl›¤› veya objektifli¤i bozulmam›ﬂ olanlar›n yönetim ve nezaretinde olmal› ve denetim de¤erlendirme sonuçlar›n› onlara rapor etmelidir. • Denetçinin denetim d›ﬂ› faaliyetle ilgili icraî görev ve sorumluluklar›, söz konusu faaliyetin kurum aç›s›ndan önemi (gelirler, giderler veya ilgili di¤er bilgiler aç›lar›ndan) ve o faaliyeti denetleyenlerle iç denetçi aras›ndaki iliﬂki hakk›nda aç›klama yap›lmal›d›r. • Denetçinin icraî görev ve sorumluluklar›, ilgili denetim raporunda ve denetçinin, denetim komitesine veya baﬂka yönetim birimlerine sundu¤u standart raporlarda aç›klanmal›d›r.
Uygulama Önerileri
77
Uygulama Önerisi 1200-1: Yeterlilik ve Azamî Özen ve Dikkat Uluslararas› ‹ç Denetim Meslekî Uygulama Standartlar›ndan Standart 1200’ün Yorumu
‹lgili Standart 1200 Yeterlilik ve Azamî Özen ve Dikkat Denetim görevleri, yeterlilik ve azamî özen ve dikkat gösterilerek yerine getirilmelidir. Bu Uygulama Önerisinin Niteli¤i: ‹ç denetçiler, görevlerini yaparken aﬂa¤›daki önerileri de dikkate almal›d›r. Ancak bu k›lavuzun, bu amaçla gerekli olabilecek hususlar›n tümünü kapsamak gibi bir amac› yoktur; k›lavuz, sadece, dikkate al›nmas› gereken bir tavsiyeler demetinden ibarettir. Uygulama Önerilerine uymak, iste¤e ba¤l›d›r.
1. Meslekî yeterlilik, ‹ç Denetim Yöneticisinin ve her iç denetçinin kendi sorumlulu¤udur. ‹ç Denetim Yöneticisi, her görev için görevlendirilen kiﬂilerin hepsinin görevi gerekti¤i gibi ve usulünce yapmak için gereken bilgi, beceri ve di¤er vas›flara sahip olmas›n› sa¤lamal›d›r. 2. ‹ç denetçiler, meslekî davran›ﬂ standartlar›na uymal›d›r. IIA’n›n Etik Kurallar›, iç denetimin tan›m›n›n ötesinde iki önemli unsur daha içermektedir: • ‹ç denetim mesle¤i ve uygulamas›yla ilgili ilkeler: Dürüstlük, objektiflik, gizlilik ve yetkinlik, • ‹ç denetçilerden beklenen davran›ﬂ normlar›n› izah eden ve tan›mlayan Davran›ﬂ Kurallar›. Bu kurallar, ilkelerin fiilî uygulamalara dönüﬂtürülmesinde kullan›labilecek bir araçt›r ve iç denetçilerin etik davran›ﬂlar›n› yönlendirmek amac›na yöneliktir.
Uygulama Önerileri
79
Uygulama Önerisi 1210-1: Yeterlilik Uluslararas› ‹ç Denetim Meslekî Uygulama Standartlar›ndan Standart 1210’un Yorumu
‹lgili Standart 1210 Yeterlilik ‹ç denetçiler, kiﬂisel olarak, sorumluluklar›n› yerine getirmek için gereken bilgi, beceri ve di¤er vas›flara sahip olmal›d›r. ‹ç denetim faaliyeti de, toplu olarak, kendi sorumluluklar›n› yerine getirmek için gereken bilgi, beceri ve di¤er vas›flara sahip olmal› veya bunlar› edinmelidir. Bu Uygulama Önerisinin Niteli¤i: ‹ç denetçiler, yeterlili¤in de¤erlendirilmesinde aﬂa¤›daki önerileri de dikkate almal›d›r. Ancak bu k›lavuzun, bu tür bir de¤erlendirme s›ras›nda gerekli olabilecek hususlar›n tümünü kapsamak gibi bir amac› yoktur; k›lavuz, sadece, dikkate al›nmas› gereken bir tavsiyeler demetinden ibarettir. Uygulama Önerilerine uymak, iste¤e ba¤l›d›r.
1. Her iç denetçi, belirli bilgi, beceri ve di¤er vas›flara sahip olmal›d›r: • Görevlerin ifas› için, iç denetim standartlar›, prosedürleri ve tekniklerinin uygulanmas›nda meslekî yeterlili¤e ihtiyaç vard›r. Yeterlilik, geniﬂ ve kapsaml› teknik araﬂt›rma ve yard›mlardan istifade imkân› olmasa da, mevcut bilgiyi karﬂ›laﬂ›lmas› muhtemel durumlara uygulama ve bu tür durumlarla baﬂa ç›kabilme yetene¤i anlam›na gelir. • Görevi kapsam›nda mali kay›t ve raporlarla çal›ﬂan denetçilerin muhasebe ilkeleri ve teknikleri hakk›nda yeterli olmas› gerekir. • Örnek iﬂ uygulamalar›ndan sapmalar›n önemini ve etkilerini anlamak ve de¤erlendirmek için, yönetim ilkelerinin anlaﬂ›lmas› gerekir. Yönetim ilkelerini anlamak, sahip oldu¤u geniﬂ bilgiyi karﬂ›laﬂ›lmas› muhtemel durumlara uygulama,
80
Meslekî Uygulama Çerçevesi
bunlardan önemli sapmalar› fark etme ve makul çözümlere ulaﬂmak için gereken araﬂt›rmalar› yapabilme yetene¤i anlam›na gelir. • Muhasebe, ekonomi, ticaret hukuku, vergilendirme, finans, kantitatif yöntemler ve bilgi teknolojisi gibi bilim dallar› ve konular›n›n temellerini bilmek ve idrak etmek gerekir. "‹drak", mevcut veya muhtemel sorunlar› fark etme ve bu konuda yap›lmas› gereken ek araﬂt›rmalar› veya yard›m al›nmas› gereken konular› tespit etme yetene¤i anlam›na gelir. 2. ‹ç denetçiler, insanlarla çal›ﬂma ve etkin iletiﬂim kurma becerilerine sahip olmal›d›r. ‹ç denetçiler, insan iliﬂkilerinden anlamal› ve denetlenenlerle tatmin edici iliﬂkiler kurabilmelidir. 3. ‹ç denetçiler; görevin hedefleri, de¤erlendirmeler, sonuçlar ve tavsiyeler gibi konular› aç›kça, etkili bir ﬂekilde aç›klayabilmek için gereken sözlü ve yaz›l› iletiﬂim yeteneklerine sahip olmal›d›r. 4. ‹ç Denetim Yöneticisi, ilgili iﬂin kapsam›n› ve sorumluluklar›n düzeyini dikkate alarak, iç denetim kadrolar›na atama yap›lmas›nda aranacak olan uygun e¤itim ve tecrübe k›staslar›n› tespit etmelidir. Her müstakbel denetçinin meslekî vas›flar›n› ve yeterlili¤ini tevsik eden makul sertifikalar al›nmal›d›r. 5. ‹ç denetim personeli, kurum içinde denetim görevinin yap›lmas› için gerekli olan bilgi ve becerilere topluca sahip olmal›d›r. ‹ç denetim biriminin bilgi ve becerilerinin y›ll›k bir de¤erlendirmesi, Sürekli Meslekî Geliﬂim, iﬂe alma veya ayn› zamanda hizmeti kurum d›ﬂ›ndan alma yoluyla ele al›nabilecek f›rsat alanlar›n›n belirlenmesine yard›mc› olmak gayesiyle, gerçekleﬂtirilmelidir. 6. ‘Sürekli Meslekî Geliﬂim’, iç denetim personelinin yeterlili¤ini temin için çok gereklidir. Bu konu için Uygulama Önerisi 1230-1’e bak›n›z. 7. Tam bir yeterlili¤e sahip olunmayan faaliyet sahalar›n› desteklemek ve tamamlamak için, iç denetim birimi d›ﬂ›ndan uzmanlar›n yard›m› al›nabilir. Bu konu için Uygulama Önerisi 1210.A1-1’e bak›n›z.
Uygulama Önerileri
81
Uygulama Önerisi 1210.A1-1: ‹ç Denetim Faaliyetini Tamamlamak veya Desteklemek Amac›yla Hizmetlerin D›ﬂar›dan Temini Uluslararas› ‹ç Denetim Meslekî Uygulama Standartlar›ndan Standart 1210.A1’in Yorumu
‹lgili Standart 1210.A1 ‹ç denetim personeli, görevin tamam›n› veya bir k›sm›n› yapmak için gereken bilgi ve becerilerin veya di¤er vas›flar›n hepsine sahip de¤ilse, ‹ç Denetim Yöneticisi kurum d›ﬂ›ndaki uzmanlardan nitelikli tavsiye ve yard›m temin etmelidir. Bu Uygulama Önerisinin Niteli¤i: ‹ç denetçiler, iç denetim faaliyetine destek olmak amac›yla d›ﬂar›dan ek hizmet almay› de¤erlendirirken aﬂa¤›daki önerileri de dikkate almal›d›r. Ancak bu k›lavuzun, bu amaçla gerekli olabilecek hususlar›n tümünü kapsamak gibi bir amac› yoktur; k›lavuz, sadece, dikkate al›nmas› gereken bir tavsiyeler demetinden ibarettir. Uygulama Önerilerine uymak, iste¤e ba¤l›d›r.
1. ‹ç denetim faaliyetinin, muhasebe, denetim, iktisat, finans, istatistik, bilgi teknolojileri, mühendislik, vergi, hukuk ve çevre sorunlar› gibi bilim dallar›nda ve iç denetim faaliyetinin sorumluluklar›n› yerine getirebilmesi için gerek duyulan di¤er alanlarda uzman personeli bulunmal› ya da bu konularda uzman olan d›ﬂ hizmet sa¤lay›c›lar›ndan istifade etmelidir. Ancak iç denetim elemanlar›n›n her birinin ilgili bütün bilim dallar›nda uzman olmas› gerekmez. 2. D›ﬂ hizmet sa¤lay›c›s› terimi, belirli bir bilim dal›nda veya alanda özel bilgi, beceri ve deneyim sahibi olan ve kurumdan
82
Meslekî Uygulama Çerçevesi
ba¤›ms›z olan bir kiﬂi veya firma anlam›na gelir. D›ﬂ hizmet sa¤lay›c›lar› aras›nda, bunlarla s›n›rl› kalmamak kayd›yla, sigorta aktüerleri, muhasebeciler, k›ymet takdir uzmanlar› (muhamminler), çevre uzmanlar›, suiistimal tahkikat› uzmanlar›, avukatlar, mühendisler, jeologlar, güvenlik uzmanlar›, istatistikçiler, bilgi teknolojisi uzmanlar›, kurumun kendi d›ﬂ denetçileri ve baﬂka denetim kurumlar› ve firmalar› say›labilir. Bir d›ﬂ hizmet sa¤lay›c›s›, denetim komitesi ve yönetim kurulu, üst yönetim veya ‹ç Denetim Yöneticisi taraf›ndan tutulabilir ve görevlendirilebilir. 3. ‹ç denetim faaliyeti, d›ﬂ hizmet sa¤lay›c›lar›n› di¤er amaç ve konular›n yan› s›ra aﬂa¤›da say›lan amaçlar için de kullanabilir: • Bilgi teknolojisi, istatistik, vergiler ve dil çeviri hizmetleri gibi uzmanl›k bilgi ve becerilerine ihtiyaç olan ya da görev iﬂ program›nda öngörülen amaçlara ulaﬂmak için uzmanl›k bilgive becerilerine ihtiyaç olan denetim faaliyetleri, • Arazi ve binalar, sanat eserleri, de¤erli taﬂlar, mücevherler, yat›r›mlar ve karmaﬂ›k mali araçlar gibi varl›klar›n k›ymet takdiri iﬂleri, • Maden ve petrol kaynaklar› gibi belirli varl›klar›n miktar›n›n veya fiziksel durumunun tespit edilmesi, • Devam eden sözleﬂme ve projelerde tamamlanan ve tamamlanacak iﬂlerin ölçülmesi, • Suiistimal ve güvenlik soruﬂturmalar›, • Personel ücret ve haklar›yla ilgili aktüeryal tespitler gibi, uzmanl›k yöntemleri gerektiren tespit ve hesaplamalar, • Hukukî, teknik ve idarî koﬂul ve hükümlerin yorumlanmas›, • Standartlar Bölüm 1300’e uygun olarak iç denetim faaliyeti kalite geliﬂtirme program›n›n de¤erlendirilmesi, • Birleﬂme ve devralmalar, • Risk yönetimi ve di¤er konularla ilgili dan›ﬂmanl›k.
Uygulama Önerileri
83
4. ‹ç Denetim Yöneticisi, bir d›ﬂ hizmet sa¤lay›c›s›n›n hizmetlerinden istifade etmek istedi¤i takdirde, ilgili d›ﬂ hizmet sa¤lay›c›s›n›n yap›lacak olan görevle ilgili ba¤›ms›zl›k ve objektifli¤ini ve bu konuda gereken vas›flara sahip olup olmad›¤›n› de¤erlendirmeli ve tespit etmelidir. D›ﬂ hizmet sa¤lay›c›s›n›n üst yönetim, denetim komitesi veya yönetim kurulu taraf›ndan seçildi¤i ve ‹ç Denetim Yöneticisinin o d›ﬂ hizmet sa¤lay›c›s›n›n hizmetlerinden istifade etmek istedi¤i durumlarda da bu de¤erlendirme ve tespit yap›lmal›d›r. Bu seçim baﬂkalar› taraf›ndan yap›ld›¤› ve ‹ç Denetim Yöneticisi, kendi yapt›¤› de¤erlendirme sonucunda, o d›ﬂ hizmet sa¤lay›c›s›n›n hizmetlerinden istifade etmesine gerek olmad›¤› sonucuna vard›¤› takdirde, yap›lan bu de¤erlendirmenin sonuçlar› duruma göre üst yönetime, denetim komitesine ya da yönetim kuruluna rapor edilmelidir. 5. ‹ç Denetim Yöneticisi, d›ﬂ hizmet sa¤lay›c›s›n›n görevi yapmak ve yürütmek için gereken bilgi ve becerilere ve di¤er vas›flara sahip olup olmad›¤›n› tespit etmelidir. Bu vas›flar›n de¤erlendirilmesi ve tespitinde, ‹ç Denetim Yöneticisi aﬂa¤›dakileri dikkate almal›d›r: • D›ﬂ hizmet sa¤lay›c›s›n›n ilgili bilim dal›nda yeterlili¤ini ve uzmanl›¤›n› kan›tlayan meslekî ruhsat, sertifika veya di¤er belgeler, • D›ﬂ hizmet sa¤lay›c›s›n›n uygun bir meslek kuruluﬂuna üye olup olmad›¤› ve ‘o kuruluﬂun etik kurallar›na’ uyup uymad›¤›, • D›ﬂ hizmet sa¤lay›c›s›n›n itibar›. Bu amaçla, d›ﬂ hizmet sa¤lay›c›s›n›n iﬂ ve hizmetlerini tan›yan baﬂka kiﬂi ve kurumlarla temas kurulabilir, • D›ﬂ hizmet sa¤lay›c›s›n›n düﬂünülen iﬂ tipi hakk›nda deneyimi, • D›ﬂ hizmet sa¤lay›c›s›n›n o belirli görevle ilgili olan bilim dallar›nda ald›¤› e¤itim ve ö¤retimin niteli¤i ve düzeyi, • D›ﬂ hizmet sa¤lay›c›s›n›n, ilgili kurumun faaliyet gösterdi¤i sektördeki bilgi ve deneyimi.
84
Meslekî Uygulama Çerçevesi
6. ‹ç Denetim Yöneticisi, görev s›ras›nda ba¤›ms›zl›k ve objektifli¤in korunmas›n› sa¤lamak amac›yla, d›ﬂ hizmet sa¤lay›c›s›n›n kurumla ve iç denetim birimiyle iliﬂkilerini de dikkate almal› ve de¤erlendirmelidir. Bu de¤erlendirme kapsam›nda, ‹ç Denetim Yöneticisi, d›ﬂ hizmet sa¤lay›c›s›n›n görevini ifa ederken veya sonuçlar› rapor ederken tarafs›z ve önyarg›s›z hüküm ve karar vermesine engel olabilecek herhangi bir mali, örgütsel veya kiﬂisel iliﬂkisinin bulunmad›¤›ndan emin olmal›d›r. 7. D›ﬂ hizmet sa¤lay›c›s›n›n ba¤›ms›zl›k ve objektifli¤ini de¤erlendirirken, ‹ç Denetim Yöneticisi ﬂu etkenleri dikkate almal›d›r: • D›ﬂ hizmet sa¤lay›c›s›n›n kurumda herhangi bir mali ç›kar veya pay sahibi olup olmad›¤›, • D›ﬂ hizmet sa¤lay›c›s›n›n kurum içinde denetim komitesi, yönetim kurulu, üst yönetim veya baﬂka kiﬂilerle kiﬂisel veya meslekî iliﬂkisi, • D›ﬂ hizmet sa¤lay›c›s›n›n denetime konu olan kurumla veya faaliyetlerle geçmiﬂ iliﬂkileri, • D›ﬂ hizmet sa¤lay›c›s›n›n kurum için yürütmekte oldu¤u di¤er devam eden hizmetlerin niteli¤i ve kapsam›, • D›ﬂ hizmet sa¤lay›c›s›n›n ücreti veya baﬂka gelir ve ç›karlar›. 8. D›ﬂ hizmet sa¤lay›c›s› ayn› zamanda kurumun d›ﬂ denetçisi ise ve ilgili görev geniﬂletilmiﬂ denetim hizmetlerinden oluﬂuyorsa, ‹ç Denetim Yöneticisi, yap›lan iﬂlerin d›ﬂ denetçinin ba¤›ms›zl›¤›n› zay›flatmad›¤›ndan emin olmal›d›r. Geniﬂletilmiﬂ denetim hizmetleri terimi, d›ﬂ denetçiler aras›nda genel kabul gören denetim standart›gereklerinin ötesindeki hizmetler anlam›na gelir. Kurumun d›ﬂ denetçileri ayn› zamanda kurumun üst yöneticileri, yöneticileri veya çal›ﬂanlar› olarak görev yap›yorsa veya böyle görünüyorsa, onlar›n ba¤›ms›zl›¤› bozulmuﬂ say›l›r. Buna ek olarak, d›ﬂ denetçiler kuruma vergi ve benzeri konularda dan›ﬂmanl›k gibi baﬂka hizmetler de verebilir.
Uygulama Önerileri
85
Ancak, ba¤›ms›zl›k, kuruma verilen hizmetlerin tamam› dikkate al›narak de¤erlendirilmelidir. 9. ‹ç Denetim Yöneticisi, d›ﬂ hizmet sa¤lay›c›s›n›n iﬂlerinin kapsam› hakk›nda yeterli bilgi edinmelidir. Bu, iç denetim faaliyetinin amaçlar› karﬂ›s›nda, iﬂ kapsam›n›n yeterlili¤ini belirlemek için gereklidir. Bu konular›n ve ilgili di¤er konular›n bir denetim bildirim yaz›s› (engagement letter) veya sözleﬂmeyle kayda geçirilmesi uygun olabilir. ‹ç Denetim Yöneticisi, aﬂa¤›da say›lan konular› d›ﬂ hizmet sa¤lay›c›s› ile birlikte gözden geçirmelidir: • ‹ﬂin hedefleri ve kapsam›, • Görev raporlar› ve bildirimlerine dahil edilmesi beklenen özel konular, • ‹lgili kay›tlara, personele, demirbaﬂlara ve ilgili mahallere eriﬂim, • Uygulanacak prosedürler ve kullan›lacak varsay›mlar, • Varsa, görevle ilgili çal›ﬂma k⤛tlar›n›n mülkiyeti ve zilyetli¤i, • Görevin ifas› s›ras›nda edinilen bilgilerin gizlili¤i ve bu konudaki k›s›tlamalar, • Mümkünse, uluslararas› iç denetim standartlar›na ve iç denetim faaliyetinin çal›ﬂma standartlar›na uyuma denetim bildirim yaz›s›nda at›fta bulunulmas›. 10.D›ﬂ hizmet sa¤lay›c›s›n›n iç denetim faaliyetleri de yapt›¤› durumlarda, ‹ç Denetim Yöneticisi, bu iﬂin Uluslararas› ‹ç Denetim Meslekî Uygulama Standartlar›na uygun olmas› gerekti¤ini belirtmeli ve uygun olmas›n› sa¤lamal›d›r. Bir d›ﬂ hizmet sa¤lay›c›s›n›n yapt›¤› iﬂi incelerken, ‹ç Denetim Yöneticisi, yap›lan iﬂin yeterlili¤ini de¤erlendirmelidir. Bu de¤erlendirme, toplanan ve edinilen bilgilerin var›lan sonuçlar için ve önemli anlaﬂmazl›klar›n ve itirazlar›n çözümlenmesi ya da baﬂka ola¤and›ﬂ› konular için makul bir temel yaratmak aç›s›ndan yeterli olup olmad›¤› de¤erlendirmesini de kapsamal›d›r.
86
Meslekî Uygulama Çerçevesi
11.Görevle ilgili raporlar›n ‹ç Denetim Yöneticisi taraf›ndan düzenlendi¤i ve bir d›ﬂ hizmet sa¤lay›c›s›ndan istifade edilen durumlarda, ‹ç Denetim Yöneticisi, gerekti¤inde, bu hizmetlere at›fta bulunabilir. Görevle ilgili raporlarda d›ﬂ hizmet sa¤lay›c›s›n›n hizmetlerine at›fta bulunulmadan önce, bunun d›ﬂ hizmet sa¤lay›c›s›na bildirilmesi ve gerekirse, onun onay›n›n al›nmas› gerekir.
Uygulama Önerileri
87
Uygulama Önerisi 1210.A2-1: Suiistimalin Tesbiti Uluslararas› ‹ç Denetim Meslekî Uygulama Standartlar›ndan Standart 1210.A2’nin Yorumu
‹lgili Standart 1210.A2 ‹ç denetçi, suiistimal belirtilerini tesbit edebilecek yeterli bilgiye sahip olmal›d›r; fakat esas görevi ve sorumlulu¤u suiistimalleri tespit etmek ve soruﬂturmak olan bir kiﬂinin uzmanl›¤›na sahip olmas› beklenemez. Bu Uygulama Önerisinin Niteli¤i: ‹ç denetçiler, suiistimal eylemlerinin saptanmas› konusunda aﬂa¤›daki önerileri de dikkate almal›d›r. Ancak bu k›lavuzun, bu amaçla gerekli olabilecek hususlar›n tümünü kapsamak gibi bir amac› yoktur; k›lavuz, sadece, dikkate al›nmas› gereken bir tavsiyeler demetinden ibarettir. Uygulama Önerilerine uymak, iste¤e ba¤l›d›r.
1. Suiistimal terimi, kasdî aldatma boyutu da olan bir dizi usulsüzlük ve yasa d›ﬂ› eylem anlam›na gelir. Suiistimal eylemi, kurumun yarar›na veya zarar›na yap›labilir ve kurum içinden ya da d›ﬂ›ndan kiﬂiler taraf›ndan gerçekleﬂtirilebilir. 2. Kurumun yarar›na tasarlanan suiistimal, bu fayday›, genellikle, d›ﬂar›dan kiﬂileri de aldatabilecek bir haks›z veya sahtekârca avantaj› kullanarak sa¤lar. Bu tür suiistimalleri iﬂleyenler, genellikle, dolayl› yollardan kiﬂisel ç›kar sa¤lar. Kurumun yarar›na tasarlanan suiistimallere örnek olarak ﬂunlar gösterilebilir: • Gerçekte var olmayan veya özellikleri hakk›nda yan›lt›c› bilgi verilen varl›klar›n, mallar›n sat›ﬂ› veya devri, • Devlet memurlar›na, devlet memurlar›n›n arac›lar›na, müﬂterilere veya tedarikçilere ödenen rüﬂvetler, benzer yasa d›ﬂ› ödemeler ve yasa d›ﬂ› siyasî ba¤›ﬂlar gibi usulsüz ödemeler,
88
Meslekî Uygulama Çerçevesi
• ‹ﬂlemler, aktifler, pasifler veya gelirlerin kasten yanl›ﬂ beyan edilmesi veya kasten yanl›ﬂ k›ymet takdiri yap›lmas›, • Mal sat›ﬂ/devir fiyatlar›n›n kasten yanl›ﬂ beyan edilmesi (yani, ilgili kuruluﬂlar aras›nda yap›lan mal al›m sat›m›nda yanl›ﬂ k›ymet takdiri yap›lmas›). Fiyatland›rma tekniklerini cari muhasebe usullerine göre kasten yanl›ﬂ bir ﬂekilde uygulayarak, yönetim, iﬂleme taraf olan bir kurumun faaliyet sonuçlar›n›, iﬂleme taraf olan di¤er kurumun zarar›na, oldu¤undan daha iyi gösterebilir, • Bir taraf›n ola¤an ticarî koﬂullara tâbi olan bir iﬂlemde elde edilemeyecek faydalar sa¤lad›¤›, kastî ve usulsüz iﬂlemler, • Kurumun mali tablosunu d›ﬂar›dan kiﬂilere oldu¤undan daha iyi gösterebilmek amac›yla önemli bilgilerin kasden kaydedilmemesi veya aç›klanmamas›, • Kanunlar, kurallar, yönetmelikler veya sözleﬂmelere ayk›r›, yasaklanm›ﬂ ticarî faaliyetler, • Vergi kaç›rma. 3. Kurumun zarar›na gerçekleﬂtirilen suiistimaller, genellikle, do¤rudan do¤ruya veya dolayl› olarak bir personelin, d›ﬂar›dan bir kiﬂinin veya baﬂka bir kurumun yarar›na yap›l›r. Bir kaç örnek verilirse: • Rüﬂvet veya benzeri yasa d›ﬂ› ödemelerin kabul edilmesi, • Normal olarak kuruma kâr getirme olas›l›¤› bulunan kârl› bir iﬂlemin bir personele veya d›ﬂar›dan bir kiﬂiye kayd›r›lmas›, • Para veya mallar›n zimmete geçirilmesiyle ve suç eylemini gizlemek, suçun a盤a ç›kmas›n› güçleﬂtirmek gayesiyle, mali kay›tlarda suiistimal yap›lmas›yla belirginleﬂen ihtilâs eylemi, • Olay veya verilerin kasten gizlenmesi veya yanl›ﬂ beyan edilmesi, • Asl›nda kuruma teslim edilmeyen mallar veya hizmetler için ödeme talep edilmesi.
Uygulama Önerileri
89
4. Suiistimalin önlenmesi, cayd›r›lmas› ve yap›ld›¤› takdirde do¤acak zararlar› azaltmak ve s›n›rland›rmak amac›na yönelik tedbirlerden oluﬂur. Suiistimalin önlenmesi için kullan›labilecek as›l mekanizma kontroldür. Söz konusu kontrol tedbirlerini almak ve uygulamak esas olarak yönetimin sorumlulu¤undad›r. 5. ‹ç denetçiler, kurumun faaliyetlerinin çeﬂitli katmanlar›ndaki potansiyel risk ve risk maruziyetlerinin seviyesine uygun bir ﬂekilde, iç kontrol sisteminin yeterlili¤ini ve etkinli¤ini inceleyip de¤erlendirerek, suiistimalin önlenmesine yard›mc› olmaktan sorumludur. Bu sorumluluklar›n› yerine getirirken, iç denetçiler, örne¤in: • kurumda mevcut ortam›n kontrol bilincini güçlendirip güçlendirmedi¤ini, • kurumun hedef ve amaçlar›n›n gerçekçi olup olmad›¤›n›, • yasaklanm›ﬂ faaliyetleri ve herhangi bir ihlâl tespit edildi¤inde al›nmas› gereken tedbirleri tan›mlayan yaz›l› politikalar›n (örne¤in, davran›ﬂ kurallar›) mevcut olup olmad›¤›n›, • iﬂlemler için uygun yetkilendirme politikalar›n›n belirlenip belirlenmedi¤ini ve bu politikalar›n uygulan›p uygulanmad›¤›n›, • özellikle yüksek risk taﬂ›yan alanlardaki faaliyetleri gözlemek ve varl›klar› korumak için gerekli olan politikalar, uygulamalar, prosedürler, raporlar ve di¤er mekanizmalar›n mevcut olup olmad›¤›n›, • iletiﬂim kanallar›n›n yönetime yeterli ve güvenilir bilgi iletip iletmedi¤ini ve suiistimalin cayd›r›lmas›na yard›mc› olan maliyet-etkin kontrollerin geliﬂtirilmesi için herhangi bir tavsiyeye ihtiyaç olup olmad›¤›n› belirlemelidirler. 6. Bir iç denetçi herhangi bir usulsüzlükten veya yasa d›ﬂ› hareketten ﬂüphelendi¤i takdirde, bu ﬂüphesini kurum içinde
90
Meslekî Uygulama Çerçevesi
uygun kiﬂi ve birimlere bildirmelidir. ‹ç denetçi, mevcut koﬂullarda nas›l bir soruﬂturmaya gerek oldu¤u konusunda tavsiyelerde bulunabilir. Daha sonra, denetçi, iç denetim faaliyetinin sorumluluklar›n›n yerine getirilip getirilmedi¤ini takip etmelidir. 7. Suiistimal soruﬂturmas›; belirtilerin gösterdi¤i gibi bir suiistimal fiilinin yap›l›p yap›lmad›¤›n› tespit etmek için gereken geniﬂletilmiﬂ prosedürlerden oluﬂur. Bu soruﬂturma süreci, tespit edilen bir suiistimal fiilinin özel ayr›nt›lar› hakk›nda yeterli bilgi ve verinin toplanmas›n› da içerir. Genellikle, suiistimal soruﬂturmalar›n› yapan veya bu soruﬂturmalara kat›lan kiﬂiler iç denetçiler, avukatlar, tahkikat uzmanlar› ve güvenlik personeli ve kurum içinden veya d›ﬂ›ndan di¤er uzmanlard›r. 8. Suiistimal soruﬂturmalar› yaparken, iç denetçiler: • suiistimalin kurum içinde ulaﬂm›ﬂ olabilece¤i düzeyi ve suç ortakl›¤› düzeyini belirlemeli ve de¤erlendirmelidir. Bu, iç denetçinin bu suiistimale kat›lm›ﬂ olabilecek kiﬂilere bilgi vermesini ya da onlardan yan›lt›c› bilgiler almas›n› önlemek aç›s›ndan çok önemli olabilir, • soruﬂturman›n sonuç alacak bir ﬂekilde yürütülmesi için gereken bilgi, beceri ve di¤er gerekleri belirlemelidir. Soruﬂturmaya kat›lmaya haz›r olan uzmanlar›n ve iç denetçilerin nitelik ve becerilerinin de¤erlendirilmesi iﬂlemi, ilgili görevlerin uygun tür ve seviyelerde teknik uzmanl›¤a sahip kiﬂiler taraf›ndan üstlenilmesini ve yerine getirilmesini sa¤lamak aç›s›ndan önemlidir. Bu, ilgili kiﬂilerin meslekî ruhsat ve sertifikalar› ve meslekî itibar› gibi konularda ve bu kiﬂilerin soruﬂturmaya tâbi tutulan kiﬂilerle ya da kurumun herhangi bir personeli veya yöneticisiyle herhangi bir iliﬂkisinin bulunmad›¤›ndan emin olmak için gereken bilgilerin toplanmas›n› kapsamal›d›r, • suiistimali yapan kiﬂileri, suiistimalin kapsam›n› ve s›n›rlar›n›, kullan›lan teknikleri ve sebeplerini tespit etmek için uygulanabilecek prosedürleri belirlemeli ve tasarlamal›d›r,
Uygulama Önerileri
91
• soruﬂturma süresince faaliyetlerini yönetim personeli, hukuk dan›ﬂman› ve baﬂka ilgili uzmanlar›n çal›ﬂma ve faaliyetleriyle eﬂgüdümlü bir ﬂekilde yürütmelidirler, • soruﬂturma kapsam›nda suiistimali yapmakla suçlanan kiﬂilerin ve di¤er personelin haklar›n› bilmeli ve kurumun kendisinin ismini ve itibar›n› korumal›d›rlar. 9. Bir suiistimal soruﬂturmas› bitti¤inde, iç denetçiler elde ettikleri bilgi ve bulgular› de¤erlendirerek: • gelecekte bu tür olaylar› azaltmak için kontrol önlemlerinin uygulanmas› veya güçlendirilmesi gerekip gerekmedi¤ini tespit etmeli, • gelecekte benzer suiistimallerin a盤a ç›kmas›na yard›mc› olabilecek görev testleri tasarlamal›, • iç denetçinin suiistimaller hakk›nda yeterli bilgiye sahip olmas›na ve böylece, gelecekte suiistimal fiillerinin belirtilerini teﬂhisine yard›mc› olmal›d›r. 10. Suiistimalin rapor edilmesi; suiistimal soruﬂturmalar› hakk›nda durum ve sonuç bilgilerinin yönetime yaz›l› veya sözlü olarak, ara veya nihaî raporlar hâlinde sunulmas› iﬂleminden oluﬂur. ‹ç Denetim Yöneticisi, önemli suiistimalleri, üst yönetime, denetim komitesine ve yönetim kuruluna derhal bildirmekten sorumludur. Bir suiistimal fiili rapor edilmeden önce suiistimalin yap›ld›¤›ndan tam emin olmak için yeterli soruﬂturma yap›lmal›d›r. Fiilin saptanmas› safhas›ndan sonra bir ara veya nihaî rapor düzenlemek istenebilir. Bu rapor, iç denetçinin tam bir soruﬂturma yapmak için yeterli bilginin mevcut olup olmad›¤› konusundaki görüﬂünü içermelidir. Rapor, iç denetçinin bu karara varmas›na esas teﬂkil eden gözlem ve tavsiyeleri de özetlemelidir. Bulgular hakk›nda yönetime, denetim komitesine, yönetim kuruluna verilen sözlü sunuﬂun ard›ndan bir yaz›l› rapor düzenlenebilir. 11. Standartlar Bölüm 2400, suiistimal soruﬂturmalar›n›n ard›ndan düzenlenen görev raporlar›na uygulanacak yorum ilkelerini
92
Meslekî Uygulama Çerçevesi
içermektedir. Suiistimallerin rapor edilmesi konusunda kullan›labilecek ek yorum ilkeleri aﬂa¤›daki gibidir: • Önemli bir suiistimal, makul bir kesinlikle tespit edildi¤inde, durumun üst yönetime, denetim komitesine ve yönetim kuruluna derhal bildirilmesi gerekir. • Bir suiistimal soruﬂturmas›n›n sonuçlar›, ilgili suiistimalin, kurumun mali tablolar›n› ç›kartm›ﬂ ve yay›nlam›ﬂ bulundu¤u bir veya birden fazla y›ldaki mali durumu ve faaliyet sonuçlar› üzerinde önceden bilinmeyen önemli olumsuz etkiler yapt›¤›n› gösterebilir. ‹ç denetçiler bu bulguyu üst yönetime, denetim komitesine ve yönetim kuruluna bildirmelidir. • Soruﬂturma safhas› bitti¤inde yaz›l› bir rapor ya da baﬂka resmî bir aç›klama düzenlenmelidir. Bu rapor veya aç›klama, ilgili bütün tespit, sonuç, tavsiye ve al›nmas› gereken düzeltici tedbirleri içermelidir. • Suiistimal eylemi hakk›nda düzenlenmesi önerilen nihaî raporlar›n bir tasla¤›, incelemesi için hukuk dan›ﬂman›na sunulmal›d›r. ‹ç denetçinin müﬂteri bilgilerinin gizlili¤i ilkesini uygulamak istedi¤i durumlarda, bu rapor hukuk dan›ﬂman›na gönderilmeden önce dikkat edilmelidir. 12. Suiistimalin tesbiti, bir soruﬂturma aç›lmas›n› önermek için yeterli say›da suiistimal belirtisinin tesbiti anlam›na gelir. Bu belirtiler, yönetimin yapt›¤› kontroller, denetçilerin yapt›¤› denetim ve testler sonucunda ya da kurum içinden ve d›ﬂ›ndan baﬂka kaynaklar arac›l›¤›yla tespit edilebilir. 13. Görevlerinin yerine getirilmesi s›ras›nda, iç denetçinin suiistimalin tesbitiyle ilgili sorumluluklar› aﬂa¤›da say›lmaktad›r: • Bir suiistimalin yap›lm›ﬂ olabilece¤ini gösteren bulgu ve belirtileri tesbit için suiistimal hakk›nda yeterli bilgi sahibi olmak. Bu bilgi, suiistimalin özelliklerini, suiistimal yapmak için kullan›lan teknikleri ve incelenen faaliyet ve iﬂlemlerde görülebilen suiistimal türleri hakk›nda bilgileri de kapsar.
Uygulama Önerileri
93
• Suiistimale yol açabilecek ve zemin haz›rlayabilecek kontrol zay›fl›klar› gibi konulara karﬂ› uyan›k olmak. Önemli ve ciddî kontrol zay›fl›klar› tespit edildi¤i takdirde, iç denetçiler taraf›ndan ek testler yap›lmal› ve bu ek testler, baﬂka suiistimal belirtilerinin tesbitine yönelik testleri de içermelidir. Baz› belirti örnekleri: Yetkisiz iﬂlemler, kontrollerin aﬂ›lmas›, aç›klanamayan fiyat sapmalar› ve ola¤and›ﬂ› fazla ürün kay›plar›. ‹ç denetçiler, herhangi bir zamanda birden fazla belirtinin bir arada mevcut olmas›n›n, suiistimal eyleminin yap›lmas› olas›l›¤›n› art›rd›¤›n› bilmelidir. • Suiistimal yap›ld›¤›n› gösteren belirtileri de¤erlendirmek ve ek bir tedbire gerek olup olmad›¤›na ya da bir soruﬂturma aç›lmas›n›n önerilmesine gerek olup olmad›¤›na karar vermek. • Bir soruﬂturma aç›lmas›n› önermek için suiistimal hakk›nda yeterli belirtinin ve bulgunun mevcut oldu¤u tespiti yap›ld›¤› takdirde, durumu kurum içinde uygun yetkili kiﬂi ve birimlere bildirmek. 14. ‹ç denetçilerin, aslî sorumlulu¤u suiistimalleri tesbit etmek ve soruﬂturmak olan bir kiﬂi kadar uzman olmalar› beklenmemektedir. Azamî özen ve dikkat gösterilerek yerine getirilmiﬂ olsalar bile tek baﬂ›na denetim prosedürleri, suiistimalin tesbitini garanti etmez.
Uygulama Önerileri
95
Uygulama Önerisi 1210.A2-2: Suiistimali Tesbit Sorumlulu¤u Uluslararas› ‹ç Denetim Meslekî Uygulama Standartlar›ndan Standart 1210.A2’nin Yorumu
‹lgili Standart 1210.A2 ‹ç denetçi, suiistimal belirtilerini tesbit edebilecek yeterli bilgiye sahip olmal›d›r; fakat esas görevi ve sorumlulu¤u suiistimalleri tespit etmek ve soruﬂturmak olan bir kiﬂinin uzmanl›¤›na sahip olmas› beklenemez. Bu Uygulama Önerisinin Niteli¤i: ‹ç denetçiler, suiistimalleri tesbit etme sorumlulu¤u konusunda aﬂa¤›daki önerileri de dikkate almal›d›r. Ancak bu k›lavuzun, bu amaçla gerekli olabilecek hususlar›n tümünü kapsamak gibi bir amac› yoktur; k›lavuz, sadece, dikkate al›nmas› gereken bir tavsiyeler demetinden ibarettir. Uygulama Önerilerine uymak, iste¤e ba¤l›d›r.
1. Yönetimin ve iç denetim faaliyetinin suiistimalleri tesbit konusunda farkl› rolleri vard›r. ‹ç denetim faaliyetinin bu konuyla ilgili ola¤an görevi, kuruma bir hizmet olarak, kurumun faaliyetleri hakk›nda ba¤›ms›z de¤erlendirme, inceleme ve tespit yapmaktan ibarettir. Suiistimallerin saptanmas› konusunda, iç denetimin hedefi, kurumun üyelerine, izledi¤i ve denetledi¤i faaliyetlerle ilgili analiz, de¤erlendirme ve tavsiyeler, dan›ﬂmanl›k hizmeti ve bilgiler vererek onlara kendi görev ve sorumluluklar›n› etkin bir ﬂekilde yerine getirmeleri konusunda yard›mc› olmakt›r. Görevlendirme amac›, makul bir maliyetle etkin bir kontrol geliﬂtirilmesini de kapsar. 2. Yönetimin sorumlulu¤u ise, makul bir maliyetle etkin bir kontrol sistemi kurmak ve uygulamakt›r. Suiistimal, yukar›da aç›kland›¤› gibi ola¤an görev ve iﬂlerin kapsam›ndaki faaliyetlerde de söz konusu olabilece¤inden dolay›, iç denetçiler, suiistimalleri tesbit konusunda, Standart 1220’de özel olarak tan›mlanan "azamî meslekî özen ve dikkati"
96
Meslekî Uygulama Çerçevesi
göstermekten sorumludur. ‹ç denetçiler, bir suiistimal yap›ld›¤›n›n belirtilerini tespit edebilmek için suiistimal hakk›nda yeterli bilgiye sahip olmal›, suiistimale yol açabilecek f›rsatlar konusunda uyan›k olmal›, ek araﬂt›rmaya gerek olup olmad›¤›n› de¤erlendirmeli ve yetkililere bildirmelidir. 3. ‹yi düzenlenmiﬂ bir iç kontrol sistemi suiistimali önleyebilmelidir. Yönetimin yapt›¤› makul kontrollerle birlikte, denetçilerin yapt›¤› testler, mevcut suiistimal belirtilerinin tespit edilmesi ve ayr›nt›l› ek araﬂt›rmalar›n yap›lmas› olas›l›¤›n› art›r›r.
Uygulama Önerileri
97
Uygulama Önerisi 1220-1: Azamî Meslekî Özen ve Dikkat Uluslararas› ‹ç Denetim Meslekî Uygulama Standartlar›ndan Standart 1220’nin Yorumu
‹lgili Standart 1220 Azamî Meslekî Özen ve Dikkat ‹ç denetçiler, makul s›n›rlar içinde tedbirli ve ehil bir iç denetçiden beklenen beceriye sahip olmal›, azamî özen ve dikkati göstermelidir. Azamî meslekî özen ve dikkat, hiç hata yap›lmayaca¤› anlam›na gelmez. Bu Uygulama Önerisinin Niteli¤i: ‹ç denetçiler, azamî meslekî özen ve dikkati de¤erlendirirken aﬂa¤›daki önerileri de dikkate almal›d›r. Ancak bu k›lavuzun bu de¤erlendirmede gerekli olabilecek hususlar›n tümünü kapsamak gibi bir amac› yoktur; k›lavuz, sadece, dikkate al›nmas› gereken bir tavsiyeler demetinden ibarettir. Uygulama Önerilerine uymak, iste¤e ba¤l›d›r.
1. Azamî meslekî özen ve dikkat, ayn› veya benzer durum ve koﬂullarda, makul s›n›rlar içinde tedbirli ve ehil bir iç denetçiden beklenen beceri, özen ve dikkatin gösterilmesi anlam›na gelir. Bu nedenle, meslekî özen ve dikkat seviyesi, üstlenilen iﬂ ve görevin karmaﬂ›kl›k düzeyine uygun olmal›d›r. Gereken meslekî özen ve dikkati gösterirken, iç denetçiler, kasdî suç, hata, ihmal, verimsizlik, yanl›ﬂ kullan›m, etkisizlik, yarars›zl›k ve ç›kar çat›ﬂmalar› olas›l›¤› konusunda uyan›k olmal›d›r. ‹ç denetçiler, usulsüzlük olas›l›¤›n›n en yüksek oldu¤u koﬂul ve faaliyetler konusunda da tetikte olmal›d›r. Ayr›ca, iç denetçiler, yetersiz kontrolleri tespit etmeli ve kontrol konusunda kabul edilebilir prosedür ve uygulamalara uymak için geliﬂtirilmesi gereken konularda tavsiyelerde bulunmal›d›r. 2. Azamî özen ve dikkat standard›, hiç hata yapmamay› ya da ola¤anüstü performans göstermeyi de¤il, sadece makul dikkat ve beceriyi gerektirir. Azamî özen ve dikkat standard›, iç
98
Meslekî Uygulama Çerçevesi
denetçinin inceleme, kontrol ve denetimleri makul s›n›rlar içinde yapmas›n› gerektirir, fakat bütün iﬂlemlerin ayr›nt›l› bir ﬂekilde incelenmesini ve kontrol edilmesini gerektirmez. Bundan dolay›, iç denetçiler, hiç bir ayk›r›l›¤›n veya usulsüzlü¤ün olmayaca¤› konusunda kesin ve mutlak bir garanti veremez. Bununla birlikte, iç denetçi, bir iç denetim görevini üstlendi¤inde, önemli usulsüzlük veya ayk›r›l›k olas›l›klar› dikkate al›nmal›d›r.
Uygulama Önerileri
99
Uygulama Önerisi 1230-1: Sürekli Meslekî Geliﬂim Uluslararas› ‹ç Denetim Meslekî Uygulama Standartlar›ndan Standart 1230’un Yorumu
‹lgili Standart 1230 Sürekli Meslekî Geliﬂim ‹ç denetçiler, mevcut bilgi, beceri ve di¤er vas›flar›n› sürekli meslekî geliﬂimle art›rmal› ve güçlendirmelidir. Bu Uygulama Önerisinin Niteli¤i: ‹ç denetçiler, sürekli meslekî geliﬂim konusunda aﬂa¤›daki önerileri de dikkate almal›d›r. Ancak bu k›lavuzun, bu konuda gerekli olabilecek hususlar›n tümünü kapsamak gibi bir amac› yoktur; k›lavuz, sadece, dikkate al›nmas› gereken bir tavsiyeler demetinden ibarettir. Uygulama Önerilerine uymak, iste¤e ba¤l›d›r.
1. ‹ç denetçiler, meslekî yeterliliklerini sürdürmek ve art›rmak amac›yla e¤itimlerini devam ettirmekten sorumludur. ‹ç denetçiler, iç denetim standartlar›, prosedürleri ve teknikleriyle ilgili güncel geliﬂmeleri takip etmelidir. Bu sürekli e¤itim; meslek derneklerine üye olmak, konferanslara, seminerlere, üniversite kurslar›na, ﬂirket içi e¤itim programlar›na ve araﬂt›rma projelerine kat›lmak yoluyla al›nabilir. 2 ‹ç denetçilerin, meslekî yeterliliklerini, Uluslararas› ‹ç Denetçi(R) (CIA) unvan› ve ‹ç Denetçiler Enstitüsü’nün (IIA) verdi¤i baﬂka unvanlar gibi uygun meslekî sertifikalar› alarak göstermeleri beklenir ve istenir. 3. Meslek sertifikas› bulunan iç denetçiler, bu sertifikan›n gereklerini yerine getirebilmek için yeterli say›da sürekli meslekî e¤itim kursuna kat›lmal›d›r. 4. Halen uygun meslek sertifikas› bulunmayan iç denetçiler, meslekî sertifika almak için gereken bir e¤itim program› ve kursuna kat›lmal›d›r.
Uygulama Önerileri
101
Uygulama Önerisi 1300-1: Kalite Güvence ve Geliﬂtirme Program› Uluslararas› ‹ç Denetim Meslekî Uygulama Standartlar›ndan Standart 1300’ün Yorumu
‹lgili Standart 1300 Kalite Güvence ve Geliﬂtirme Program› ‹ç denetim yöneticisi, iç denetim faaliyetinin tüm yönlerini kapsayan ve etkinli¤ini sürekli gözleyen bir kalite güvencesi ve geliﬂtirme program› haz›rlamal› ve bunu sürdürmelidir. Bu program, dönemsel iç ve d›ﬂ kalite de¤erlendirmelerini ve devaml› iç gözlem faaliyetini içermelidir. Program›n her parças›, iç denetim faaliyetinin katma de¤er yaratmas›na, kurumun faaliyetlerinin geliﬂtirilmesine yard›mc› olmal› ve iç denetim faaliyetinin Etik Kurallar›na ve Standartlara uymas› konusunda güvence sa¤lamal›d›r. Bu Uygulama Önerisinin Niteli¤i: ‹ç denetçiler, kalite programlar›n› oluﬂturur ve de¤erledirirken aﬂa¤›daki önerileri dikkate almal›d›r. Ancak bu k›lavuzun kapsaml› kalite programlar›na veya de¤erlendirilmelerine dair gerekli tüm prosedürleri sunmak gibi bir amac› yoktur; bu k›lavuz sadece kalite de¤erlendirme uygulamalar›na iliﬂkin bir tavsiyeler demetinden ibarettir. Uygulama Önerilerine uymak iste¤e ba¤l›d›r.
1. Bir Kalite Güvence ve Geliﬂtirme Program›n›n Üzerinden Geçme (QA&IP) ‹ç denetim yöneticisi, çal›ﬂma kapsam› Standartlardaki ve IIA’nin iç denetim tan›m›ndaki tüm faaliyetleri içine alan bir iç denetim faaliyeti kurmaktan sorumludur. Bunun sa¤lanmas› için, Standart 1300 ‹ç Denetim Yöneticisinin bir kalite güvence ve geliﬂtirme program› haz›rlamas›n› gerekli k›lar.
102
Meslekî Uygulama Çerçevesi
2. QA&IP’nin Uygulanmas› ‹ç denetim yöneticisi, iç denetim faaliyetinden yararlanan çeﬂitli taraflara, iç denetim faaliyetinin, Standartlar ve Etik Kurallarla uyumlu olmas› gereken iç denetim yönetmeli¤ine uygun çal›ﬂt›¤›, etkin ve verimli bir ﬂekilde faaliyet gösterdi¤i ve hissedarlar ve di¤er hak sahiplerinin gözünde katma de¤er yarat›c› ve kurumun faaliyetlerini iyileﬂtirici olarak görüldü¤ü konusunda makul bir güvence sa¤lamak için tasarlanan süreçlerin uygulanmas›ndan sorumlu olmal›d›r. Bu süreçler, gerekli gözetim, dönemsel iç de¤erlendirmeler, kalite güvencesinin sürekli gözlenmesi ve dönemsel d›ﬂ de¤erlendirmeleri içine almal›d›r. 3. QA&IP’nin Niteli¤i ve Kapsam› QA&IP, Standartlardaki ve mesle¤in en iyi uygulamalar›ndaki gibi, iç denetim faaliyetinin yönetim ve faaliyetlerinin tüm cephelerini kapsamal›d›r. QA&IP süreçleri, ‹ç Denetim Yöneticisi taraf›ndan veya do¤rudan onun gözetimi alt›nda hayata geçirilmelidir. Küçük iç denetim faaliyetleri hariç tutulursa, ‹ç Denetim Yöneticisi, genellikle QA&IP sorumluluklar›n›n ço¤unu astlar›na da¤›t›r. Büyük ve karmaﬂ›k ortamlarda (çok say›da iﬂ biriminin veya mekân›n›n olmas› gibi), ‹ç Denetim Yöneticisi denetimden ba¤›ms›z ve iç denetim faaliyetinin çeﬂitli katmanlar›yla dan›ﬂma hâlinde olan resmî bir QA&IP haz›rlayabilir. Bu ba¤›ms›z fonksiyon, bir denetim yöneticisi taraf›ndan yönetilmelidir. Bu yönetici (ve s›n›rl› say›da personel) normalde, QA&IP’nin tüm sorumluluklar›n› yerine getirmez; fakat bu faaliyetleri gözler ve idare eder. 4. QA&IP’nin Kilit Unsurlar› QA&IP optimum seviyede meslekî yetkinli¤i baﬂarmak üzere yap›land›r›l›r ve gözden geçirmeler, mümkün oldu¤u ölçüde, denetlenen faaliyet ve fonksiyonlardan ba¤›ms›z olarak gerçekleﬂtirilir. ‹ç denetim yöneticisinin emrindeki bir kiﬂi veya birim taraf›ndan çal›ﬂt›r›lan iç denetim faaliyetinin aﬂa¤›daki kilit unusurlar›, QA&IP fonksiyonu aç›s›ndan dikkate al›nmal›d›r:
Uygulama Önerileri
103
• ‹ç denetim politika ve prosedürlerinin uygulanmas› ve geliﬂtirilmesini gözetmek; iç denetim faaliyetinin politika ve prosedür kitap盤›n› sa¤lamak ve korumak, • ‹ç denetim yöneticisine ve di¤er denetim yöneticilerine iç denetim faaliyetinin mali yönetimi ve bütçelemesiyle yard›mc› olmak, • Denetim riski evrenini etkileyecek yeni bilgileri derleyerek, kullanarak; iç denetim, d›ﬂ denetim ve di¤er de¤erlendirme ve denetim iﬂlevleri aras›nda görev da¤›l›m›n› gözeterek, denetim riski evrenini kapsaml› bir ﬂekilde kollamak ve güncellemek, • ‹ç denetim yöneticisi ve di¤er denetim yönetimine bu alanda yard›m›n kapsaml› ﬂekilde planlanmas› ve denetim riskini de¤erlendirme sisteminin genel iﬂleyiﬂini yönetmek, • Denetim ve dan›ﬂmanl›k görevlerine dair kapsaml› çizelgelendirme süreçleriyle ve ilgili zaman takip kay›tlar›yla yard›mc› olmak, • ‹ç denetim yönetimine, denetim araçlar›n›n elde edilmesi, bak›m› ve çal›ﬂmalarda kullan›lmas› konular›nda ve di¤er teknolojilerin kullan›m›nda yard›mc› olmak, • Kurum d›ﬂ›ndan personel alma ve iç denetim faaliyetinin, kurum içi rotasyona ve yönetim geliﬂtirme programlar›na kat›lmas›n› yönetmek, • Personelin kiﬂiler itibariyle, meslekî geliﬂim düzenlerinin takibi dahil, performans de¤erlendirme ve kariyer planlamalar›n›n yap›lmas›, girecekleri e¤itim programlar›n›n haz›rlanmas› veya seçilmesi gibi personel e¤itim ve geliﬂim faaliyetlerinin izlenmesi, • ‹ç denetime ait istatistik ve ölçüm elde etme sistemlerini ve denetim sonras› ve di¤er araﬂt›rma sistemlerini (meselâ, iç denetim faaliyetinin müﬂterileri ve di¤er hak sahipleriyle ilgili araﬂt›rma sistemlerini) izlemek,
104
Meslekî Uygulama Çerçevesi
• ‹ç ve d›ﬂ resmî kalite de¤erlendirmeleri dahil, kalite güvence ve süreç geliﬂtirme faaliyetlerini yönetmek ve izlemek, • ‹ç denetim faaliyeti taraf›ndan, üst yönetime ve denetim komitesine sunulmak üzere bilgi toplanmas› ve dönemsel özet raporlar haz›rlanmas› (iç ve d›ﬂ kalite de¤erlendirme raporlar› dahil) çal›ﬂmalar›n› yönetmek ve izlemek, • ‹ç denetim görevlerinden, d›ﬂ denetçilerin çal›ﬂmalar›ndan ve di¤er iç de¤erlendirme ve soruﬂturma görevlerinden kaynaklanan eylem planlar›, tavsiyeler için kapsaml› bir takip veri taban› oluﬂturmak ve yönetmek, • ‹ç denetim yöneticisinin, denetim yönetiminin ve iç denetim personelinin, iç denetim yönetiminin yönlendirmesi alt›nda, Standartlar›, di¤er geliﬂmeleri, yeni yeni ortaya ç›kan en iyi iç denetim uygulamalar›, düzenlemeleri ve di¤er ortaya ç›kan sorun ve f›rsatlar› güncel olarak takip etmelerine yard›mc› olmak, "Yard›mc› olmak, yönetmek, izlemek, gözlemek ve sürdürmek" kelimeleri, QA&IP program›nda çal›ﬂan kiﬂilerin mutlaka bu görevin ço¤unu yapmak zorunda olmad›¤› anlam›na gelir. Görev, özel bir amaçla geçici olarak verilebilir veya di¤er iç denetim yöneticilerine ve personeline uzun vadeli olarak verilebilir; fakat izlenmesi, idare edilmesi vs, QA&IP vas›tas›yla yap›l›r.
Uygulama Önerileri
105
Uygulama Önerisi 1310-1: Kalite Program› De¤erlendirmeleri Uluslararas› ‹ç Denetim Meslekî Uygulama Standartlar›ndan Standart 1310’un Yorumu
‹lgili Standart 1310 Kalite Program› De¤erlendirmeleri ‹ç denetim bölümü, kalite program›n›n genel etkinli¤ini gözlemek ve de¤erlendirmek amac›na yönelik bir süreç uygulamal›d›r. Bu süreç, hem iç hem de d›ﬂ de¤erlendirmeleri içermelidir. Bu Uygulama Önerisinin Niteli¤i: ‹ç denetçiler, iç denetim faaliyetindeki kalite programlar›n› uygularken ve de¤erlendirirken aﬂa¤›daki önerileri dikkate almal›d›r. Ancak bu k›lavuzun, bu iﬂ için gerekli olabilecek hususlar›n tümünü kapsamak gibi bir amac› yoktur; k›lavuz, sadece, kalite de¤erlendirme uygulamalar› konusunda bir tavsiyeler demeti sunmaktad›r. Uygulama Önerilerine uymak, iste¤e ba¤l›d›r.
1. Kalite Programlar›n›n Gözlenmesi: ‹ç denetim faaliyeti taraf›ndan gerçekleﬂtirilen bütün dan›ﬂmanl›k ve denetim faaliyetlerinin dönemsel olarak ve devaml› de¤erlendirilmesi demektir ve Kalite Güvence ve Geliﬂtirme Program› (QA&IP) ile s›n›rl› de¤ildir (bkz. 1300-1 say›l› Uygulama Önerisi). Bu devaml› ve dönemsel de¤erlendirmeler, zor ve kapsaml› süreçlerden, her ikisi de rutin olan dan›ﬂmanl›k ve denetim performans›n›n test ve gözetiminden ve Standartlara uyumun onaylanmas›ndan meydana gelir. Gözlem faaliyeti ayr›ca, devaml› ölçümler ve performans ölçümlerinin (denetim plan›n›n baﬂar›yla tamamlanmas›, çevrim süresi, kabul edilen tavsiyeler ve müﬂteri tatmini gibi) analizini içine al›r. Bu de¤erlendirme sonuçlar›, iç denetim faaliyetinin iyileﬂtirebilece¤i alanlara
106
Meslekî Uygulama Çerçevesi
iﬂaret ediyorsa, iyileﬂtirmeler, ‹ç Denetim Yöneticisi taraf›ndan, QA&IP kullan›larak uygulanmal›d›r. 2. De¤erlendirmelerin Tan›mlanmas› ve Zamanlamas›: • "Devaml› iç de¤erlendirmeler", Uygulama Önerisi 1311-1’in 2 ve 3. paragraflar›nda da ifade edildi¤i üzere, günlük gözetim, gözden geçirme ve iç denetim ölçümlerinin bir parças›d›r ("iç de¤erlendirmeler" terimi, Uygulama Önerilerindeki baﬂka yerlerde kullan›lan "iç gözden geçirme" ve "öz de¤erlendirme" kavramlar› ile eﬂ anlaml›d›r). • Dönemsel iç de¤erlendirmeler, 1311-1 say›l› Uygulama Önerisi’nin 4 ve 5. paragraflar›na uygun olarak tamamlanmal›d›r. • ‹ç denetim faaliyetinin dönemsel d›ﬂ de¤erlendirmeleri, 13121 ve 1312-2 say›l› Uygulama Önerileri ile uyumlu bir ﬂekilde, yüksek seviyede iç denetim bilgisi ve tecrübesi olan bir kiﬂi veya ekip taraf›ndan tamamlanmald›r. • ‹ç denetim faaliyetinin devaml› ve dönemsel iç de¤erlendirmeler yapma mecburiyeti 1 Ocak 2002’den itibaren yürülükte olacakt›r. Ayr›ca, bu tarihten itibaren baﬂlamak üzere 5 y›l içinde an az bir ve -ilk d›ﬂ de¤erlendirmeyi yapt›rd›ktansonraki her 5 y›lda da en az bir d›ﬂ de¤erlendirme yapt›rmas› gerekecektir. Dönemsel iç de¤erlendirme mecburiyetinden, d›ﬂ de¤erlendirmenin yapt›r›ld›¤› y›l muaf kal›nabilir. 3. Kalite Programlar›n›n De¤erlendirilmesi: De¤erlendirmelerle, iç denetim faaliyetinin kalitesine dair bir de¤erlendirme yap›lmal›, bir hükme var›lmal› ve daha iyiye gitmesi için tavsiyeler geliﬂtirilmesi mümkün k›l›nmal›d›r. Kalite programlar› de¤erlendirilirken ﬂunlar da de¤erlendirilmelidir: • Standartlara ve Etik Kurallar›na uyum (bunlara yönelik önemli ayk›r›l›k durumlar›n›n giderilmesi amac›yla zaman›nda al›nacak düzeltici tedbirlere uyum da dahil), • iç denetim faaliyetinin yönetmeli¤i, amaçlar›, hedefleri, politikalar› ve prosedürlerinin yeterlili¤i,
Uygulama Önerileri
107
• kurumun yönetiﬂim, risk yönetimi ve kontrol süreçlerine yap›lan katk›, • yürürlükteki kanunlara, yönetmeliklere ve kamusal veya sektörel standartlara uyum, • devaml› geliﬂtirme faaliyetlerinin etkinli¤i ve “en iyi uygulamalar yönteminin” benimsenmesi, • iç denetim faaliyetinin kurumun faaliyetlerine de¤er kat›p katmad›¤› ve bu faaliyetleri geliﬂtirip geliﬂtirmedi¤i. 4. Devaml› Geliﬂtirme: Bütün kalite geliﬂtirme çabalar›, gözlem ve de¤erlendirme faaliyetlerinin sonuçlar›na göre, kaynaklar, teknoloji, süreçler ve prosedürlerde gereken de¤iﬂikliklerin zaman›nda yap›lmas›n› da içermelidir. 5. Sonuçlar›n Raporlanmas›: Sorumlulu¤unun ve ﬂeffafl›¤›n bir gere¤i olarak, ‹ç Denetim Yöneticisi, kalite program›yla ilgili d›ﬂ ve -gerekirse- iç de¤erlendirme sonuçlar›n›, üst yönetim, denetim komitesi, yönetim kurulu ve d›ﬂ denetçiler gibi denetim faaliyetinin iliﬂkili oldu¤u çeﬂitli taraflarla paylaﬂmal›d›r.
Uygulama Önerileri
109
Uygulama Önerisi 1311-1: ‹ç De¤erlendirmeler Uluslararas› ‹ç Denetim Meslekî Uygulama Standartlar›ndan Standart 1311’in Yorumu
‹lgili Standart 1311 ‹ç De¤erlendirmeler ‹ç de¤erlendirmeler, iç denetim faaliyetinin performans›n›n devaml› gözden geçirilmesini ve öz de¤erlendirme (kendi kendini de¤erlendirme) yoluyla veya kurum içinde, iç denetim uygulamalar› ve standartlar›n› bilen kiﬂilerce yap›lan dönemsel gözden geçirmeleri kapsamal›d›r. Bu Uygulama Önerisinin Niteli¤i: ‹ç denetçiler, iç denetim faaliyeti kapsam›nda iç de¤erlendirmeler yaparken aﬂa¤›daki önerileri dikkate almal›d›r. Ancak bu k›lavuzun, kapsaml› iç de¤erlendirmeler için gerekli olabilecek hususlar›n tümünü kapsamak gibi bir amac› yoktur; k›lavuz, sadece, iç de¤erlendirme uygulamalar› konusunda bir tavsiyeler demeti sunmaktad›r. Uygulama Önerilerine uymak, iste¤e ba¤l›d›r.
1. Kalite Güvence ve Geliﬂtirme Program›n›n (QA&IP) Gözden Geçirilmesi: ‹ç Denetim Yöneticisi, iﬂ sahas› Standartlar ve IIA’n›n iç denetim tan›m›nda (Standartlar, Giriﬂ, ilk paragraf) say›lan bütün faaliyetleri kapsayacak ﬂekilde, iç denetim faaliyetini kurmaktan sorumludur. Bunu sa¤lamak için, Standart 1300, ‹ç Denetim Yöneticisinin bir Kalite Güvence ve Geliﬂtirme Program› geliﬂtirmesini ve sürdürmesini gerektirmektedir. QA&IP hem devaml› hem de dönemsel iç de¤erlendirmeleri içermelidir ("iç de¤erlendirmeler" terimi, Uygulama Önerilerindeki baﬂka yerlerde kullan›lan "iç gözden geçirme" ve "öz de¤erlendirme" kavramlar› ile eﬂ anlaml›d›r). Bu devaml› ve dönemsel iç de¤erlendirmeler, sadece kurumun QA&IP’si ile s›n›rl› olmamal›, iç denetim faaliyeti taraf›ndan yap›lan tüm denetim ve dan›ﬂmanl›k alanlar›n› kapsamal›d›r (bkz. 1300-1 Say›l› Uygulama Önerisi).
110
Meslekî Uygulama Çerçevesi
2. Devaml› Gözden Geçirmeler: Devaml› gözden geçirme çal›ﬂmalar›, iç denetim faaliyetini yönetmekte kullan›lan rutin uygulama ve politikalarla birleﬂtirilir ve aﬂa¤›daki süreç ve araçlar vas›tas›yla gerçekleﬂtirilir: • "Görevin Gözetim ve Kontrolü" baﬂl›kl› Uygulama Önerisinde (2340-1) tan›mland›¤› ﬂekliyle görevin gözetim ve kontrolü, • ‹ç denetim faaliyetinin kulland›¤› -meselâ, bir denetim ve prosedürler k›lavuzundaki- süreçlerin takip edildi¤inden emin olmak amac›na yönelik kontrol listeleri ve di¤er araçlar, • denetlenenlerden ve iç denetim sürecinde yer alan di¤er kat›l›mc›lardan sa¤lanan sürekli geri besleme, • proje bütçeleri, zaman tutma sistemleri, denetim plan› tamamlama k›staslar›, maliyeti karﬂ›lama k›staslar›, • örne¤in, çevrim süresi ve kabul edilen tavsiyeler gibi performans ölçümlerinin analizi. 3. Performans kalitesinin devaml› gözden geçirilmesinin sonuçlar› tespit edilmeli ve gerekli iyileﬂtirmelerin uygulanmas›n› teminen bir takip çal›ﬂmas› yürütülmelidir. 4. Dönemsel ‹ç De¤erlendirmeler: Dönemsel iç de¤erlendirmeler, rutin d›ﬂ›, amaca özel gözden geçirmeleri ve uyum testlerini ifade eder. Bunlar, (a) iç denetim faaliyeti yönetmeli¤ine, Uluslararas› ‹ç Denetim Meslekî Uygulama Standartlar›na ve Etik Kurallar›na uyulup uyulmad›¤›n› ve (b) iç denetim faaliyetinin iç denetim sürecinde yer alan çeﬂitli taraflar›n ihtiyaçlar›na cevap verme konusundaki etkinli¤ini ve verimlili¤ini de¤erlendirebilecek ﬂekilde tasarlanmal›d›r. IIA’n›n Kalite De¤erlendirme K›lavuzu, veya bunun muadili k›lavuz ve araçlar, iç de¤erlendirme çal›ﬂmalar›nda kullan›labilecek ilke ve araçlar› aç›klamaktad›r. 5. Dönemsel de¤erlendirmeler: • ‹ç denetim sürecinde yer alan gruplara yönelik daha ayr›nt›l› ve derin araﬂt›rma ve görüﬂmeleri içerebilir,
Uygulama Önerileri
111
• iç denetim faaliyetinin üyeleri taraf›ndan yap›labilir (öz de¤erlendirme), • hâlen kurum içinde baﬂka konu ve alanlarda görevli olan Uluslararas› ‹ç Denetçiler (Certified Internal Auditors, CIA’lar) taraf›ndan veya di¤er ehil denetçiler taraf›ndan yap›labilir, • daha sonra kurumun di¤er birimlerindeki CIA’lar veya ehil di¤er denetçilerin gözden geçirdi¤i çal›ﬂmalarla, öz de¤erlendirme çal›ﬂmalar›n› bir araya getirebilir, • iç denetim faaliyetinin uygulamalar›n›n ve performans ölçümlerinin iç denetim mesle¤iyle ilgili en iyi uygulamalarla karﬂ›laﬂt›r›l›p de¤erlendirilmesine dayanan k›yaslama (benchmarking) çal›ﬂmas›n› içerebilir. 6. D›ﬂ de¤erlendirmenin hemen öncesinde yap›lacak dönemsel bir iç de¤erlendirme, d›ﬂ de¤erlendirmeyi hem kolaylaﬂt›racak hem de maliyetini azaltacakt›r. E¤er d›ﬂ de¤erlendirme, "ba¤›ms›z onayl› öz de¤erlendirme" ﬂeklini al›rsa, dönemsel iç de¤erlendirme bu sürecin "öz de¤erlendirme"si iﬂlevi görür. 7. Performans kalitesi hakk›nda sonuçlar derlenmeli, tespit edilmeli ve gerekirse, Standartlara uygunlu¤u sa¤lamak ve geliﬂtirme çal›ﬂmalar› yapmak amac›yla uygun tedbirler al›nmal›d›r. 8. ‹ç Denetim Yöneticisi, dönemsel gözden geçirmelerin sonuçlar›n›n rapor edilmesi amac›yla, gerekli itibar ve objektifli¤i sa¤layan bir yap› oluﬂturmal›d›r. Genel olarak, devaml› ve dönemsel gözden geçirmeleri yapma sorumlulu¤unu üstlenen kiﬂiler, gözden geçirme çal›ﬂmalar›nda ‹ç Denetim Yöneticisine ba¤l› olmal› ve elde ettikleri sonuçlar› do¤rudan do¤ruya ‹ç Denetim Yöneticisine bildirmelidir. 9. Sonuçlar›n Raporlamas›: ‹ç Denetim Yöneticisi, iç de¤erlendirme çal›ﬂmalar›n›n sonuçlar›n› ve gerekli buldu¤u eylem planlar›n›, üst yönetim, denetim komitesi, yönetim kurulu ve d›ﬂ denetçiler gibi iç denetim biriminin d›ﬂ›ndaki uygun kiﬂilerle paylaﬂmal›d›r.
Uygulama Önerileri
113
Uygulama Önerisi 1312-1: D›ﬂ De¤erlendirmeler Uluslararas› ‹ç Denetim Meslekî Uygulama Standartlar›ndan Standart 1312’nin Yorumu
‹lgili Standart 1312 D›ﬂ De¤erlendirmeler Kalite güvencesi gözden geçirmeleri gibi d›ﬂ de¤erlendirme çal›ﬂmalar›, kurum d›ﬂ›ndan vas›fl› ve ba¤›ms›z bir gözden geçirme uzman› veya bir gözden geçirme ekibi taraf›ndan en az›ndan beﬂ y›lda bir kere yap›lmal›d›r. Bu Uygulama Önerisinin Niteli¤i: ‹ç denetçiler, iç denetim faaliyeti için bir d›ﬂ de¤erlendirme hizmeti planlarken ve al›rken aﬂa¤›daki önerileri dikkate almal›d›r. Ancak bu k›lavuzun, bir d›ﬂ de¤erlendirme için gerekli olabilecek hususlar›n tümünü kapsamak gibi bir amac› yoktur; k›lavuz, sadece, d›ﬂ de¤erlendirme uygulamalar› konusunda bir tavsiyeler demeti sunmaktad›r. Uygulama Önerilerine uymak, iste¤e ba¤l›d›r.
1. Kalite Güvence ve Geliﬂtirme Program›n›n (QA&IP) Gözden Geçirilmesi: ‹ç Denetim Yöneticisi, iﬂ sahas› Standartlar ve IIA’n›n iç denetim tan›m›nda say›lan bütün faaliyetleri kapsayacak ﬂekilde, iç denetim faaliyetini kurmaktan sorumludur. Bunu sa¤lamak için, Standart 1300, ‹ç Denetim Yöneticisinin bir Kalite Güvence ve Geliﬂtirme Program› geliﬂtirmesini ve sürdürmesini gerektirmektedir. QA&IP’ye, nitelikli ve ba¤›ms›z bir gözden geçirmeci veya gözden geçirme ekibi taraf›ndan her beﬂ y›lda bir dönemsel d›ﬂ de¤erlendirme yap›lmas› dahil edilmelidir. Bu d›ﬂ de¤erlendirmeler, sadece kurumun QA&IP’si ile s›n›rl› olmamal›, iç denetim faaliyeti taraf›ndan yap›lan tüm denetim ve dan›ﬂmanl›k alanlar›n› kapsamal›d›r (bkz. Uygulama Önerisi 1300-1). 2. Genel Hususlar: Bir iç denetim faaliyetine yönelik d›ﬂ de¤erlendirmelerde, iç denetim faaliyetinin Uluslararas› ‹ç
114
Meslekî Uygulama Çerçevesi
Denetim Meslekî Uygulama Standartlar›na uygunlu¤u de¤erlendirilmeli ve bu konuda bir görüﬂ beyan edilmeli ve gerekirse, geliﬂtirme amac›na yönelik tavsiyeler verilmelidir. Bu gözden geçirmeler, ‹ç Denetim Yöneticisi ve iç denetim faaliyetinin di¤er üyeleri için çok faydal› olabilir. Bu gözden geçirmeler, sadece ehil ve nitelikli kiﬂiler (aﬂa¤›daki 5.paragrafa bak›n›z) taraf›ndan yap›lmal›d›r. 3. 1 Ocak 2002 tarihinden itibaren beﬂ y›l içinde bir d›ﬂ de¤erlendirme çal›ﬂmas› yap›lmal›d›r. D›ﬂ de¤erlendirme çal›ﬂmas› öngören yeni standard›n daha erkenden benimsenmesi tavsiye edilir. D›ﬂ de¤erlendirme yapt›rm›ﬂ bulunan kurumlar›n, bir sonraki d›ﬂ de¤erlendirme çal›ﬂmas›n›, sonuncusundan itibaren beﬂ y›l içinde yapt›rmalar› önerilir. 4. Gözden geçirme çal›ﬂmas› bittikten sonra, yönetim kuruluna, denetim komitesine, üst yönetime ve d›ﬂ denetçilere resmî bir raporlama yap›lmal›d›r. 5. D›ﬂ De¤erlendirme Uzmanlar›n›n Vas›flar›: Öz de¤erlendirmelere (Uygulama Önerisi 1312-2) onay verenler de dahil, d›ﬂ de¤erlendirme uzmanlar› (gözden geçirmeciler), kurumdan ve iç denetim faaliyetinden ba¤›ms›z olmal›d›r. Gözden geçirme ekibi, iç denetim uygulamalar› ve d›ﬂ denetim süreci konusunda uzman kiﬂilerden oluﬂmal›d›r. D›ﬂ de¤erlendirmeye aday olabilecek vas›fta kiﬂiler, IIA kalite güvencesi de¤erlendirme uzmanlar›, mevzuata uyum denetçileri, dan›ﬂmanlar, d›ﬂ denetçiler, di¤er profesyonel hizmet sa¤lay›c›lar ve iç denetim faaliyeti d›ﬂ de¤erlendirmeye tâbi tutulan kurumun d›ﬂ›ndaki kurumlar›n iç denetçileridir. 6. Ba¤›ms›zl›k: D›ﬂ de¤erlendirmeyi yapan kuruluﬂun, gözden geçirme ekibinin ve de¤erlendirmeye kat›lan di¤er kiﬂilerin, de¤erlendirme ve incelemeye tâbi olan kuruma veya kurumun personeline karﬂ› herhangi bir yükümlülü¤ü bulunmamal› ve onlarda herhangi bir ç›kar› olmamal›d›r. D›ﬂ de¤erlendirme uzmanlar›n›n ba¤›ms›zl›¤›na dair di¤er hususlar da ﬂunlard›r:
Uygulama Önerileri
115
• D›ﬂ de¤erlendirmeler, hem kurumdan ba¤›ms›z olan hem de kurumla gerçek veya görünür bir ç›kar çat›ﬂmas› olmayan vas›fl› kiﬂiler taraf›ndan yap›lmal›d›r. "Kurumdan ba¤›ms›z olmak", iç denetim faaliyetinin ba¤l› oldu¤u kurumun bir parças› olmamak veya onun kontrolü alt›nda olmamak anlam›na gelir. Bir d›ﬂ de¤erlendirme uzman›n›n seçiminde, uzman›n kurumla veya onun iç denetim faaliyetiyle olan mevcut veya geçmiﬂ iliﬂkilerinden dolay› gerçek veya görünür bir ç›kar çat›ﬂmas› bulunup bulunmad›¤›na özellikle dikkat edilmelidir. • ‹ç denetim biriminden örgütsel olarak ba¤›ms›z olsa bile, o kurumun baﬂka bir bölümünde çal›ﬂan kiﬂiler, bir d›ﬂ de¤erlendirme çal›ﬂmas› aç›s›ndan, ba¤›ms›z say›lmaz. ‘Söz konusu kurum’ ana kurum, ayn› ﬂirketler grubunun ba¤l› ortakl›¤› veya d›ﬂ de¤erlendirmeye konu olan iç denetim faaliyetinin ba¤l› oldu¤u kuruma karﬂ› gözetim veya kalite güvence sorumluluklar› olan bir kurum olabilir. • Üç veya daha fazla kurum (ayn› sektörde veya di¤er yak›n bir grupta, bölgesel derneklerde veya di¤er kurum gruplar›nda) aras›ndaki karﬂ›l›kl› denk gözden geçirme çal›ﬂmalar›, ba¤›ms›zl›k endiﬂelerini azaltacak bir tarzda yap›land›r›labilir; ancak ba¤›ms›zl›k hususunda endiﬂe yaratmamaya azami özen gösterilmelidir. ‹lke olarak, iki kurum aras›nda karﬂ›l›kl› denk gözden geçirme çal›ﬂmas› yap›lmamal›d›r. • Ba¤›ms›zl›¤a, görünürde veya gerçekte zarar verebilecek -bu paragrafta tart›ﬂ›lanlar gibi- durumlarda vuku bulabilecek endiﬂeleri gidermek amac›yla, bir veya daha fazla ba¤›ms›z kiﬂi, bu ekibin çal›ﬂmalar›n› ba¤›ms›z bir ﬂekilde onaylamak üzere d›ﬂ de¤erlendirme ekibine kat›labilir veya daha sonra ekibe kat›lmas› planlanabilir. 7. Dürüstlük ve Objektiflik: Dürüstlük, gözden geçirme ekibinin gizlilik s›n›rlamalar› içinde güvenilir ve tarafs›z olmas›n›
116
Meslekî Uygulama Çerçevesi
gerektirir. Kiﬂisel kazanç ve ç›karlar için, hizmet ve kamu güveni ve inanc› feda edilmemelidir. Objektiflik, gözden geçirme ekibinin hizmetlerine de¤er katan bir nitelik ve zihnî bir durumdur. Objektiflik ilkesi, tarafs›zl›k, fikir haysiyeti ve her türlü ç›kar çat›ﬂmas›ndan uzak olma yükümlülüklerini getirir. 8. Yetkinlik (Ehil Olma): Bir d›ﬂ de¤erlendirme çal›ﬂmas› yap›l›rken ve sonuçlar› raporlan›rken meslekî muhakemenin kullan›lmas› gerekir. Bu sebeple, bir d›ﬂ de¤erlendirme uzman› olarak görev yapan bir kiﬂinin: • Standartlar hakk›nda güncel bilgi sahibi olan, ehil ve yetkili bir denetçi olmas› (örne¤in, bir CIA, CPA, CA veya CISA olmas›), • mesle¤in en iyi uygulamalar› konusunda bilgili ve deneyimli olmas›, • iç denetim uygulamalar›nda en az üç y›ll›k yöneticilik tecrübesine sahip olmas› gerekir. • D›ﬂ de¤erlendirme ekibinin baﬂ› veya ba¤›ms›z onaylay›c›lar (1312-2 say›l› Uygulama Önerisi), daha önceleri d›ﬂ kalite de¤erlendirme ekibinde çal›ﬂmaktan, IIA’nin veya benzer bir kurumun d›ﬂ kalite de¤erlendirme e¤itimlerini baﬂar›yla tamamlamaktan, iç denetim yöneticili¤inden veya benzeri bir üst seviye iç denetim yöneticili¤i deneyiminden gelen daha öte bir yetkinlik ve tecrübe birikimine sahip olmal›d›r. 9. Gözden geçirme ekibinde, bilgi teknolojilerinde uzmanl›¤› ve ilgili sektörde deneyimi bulunan kiﬂiler bulunmal›d›r. Baﬂka uzmanl›k alanlar›nda uzmanl›¤› bulunan kiﬂiler de d›ﬂ de¤erlendirme ekibine yard›mc› olabilir. Örne¤in, istatistiksel örnekleme uzmanlar› veya kontrol öz de¤erlendirme uzmanlar› gözden geçirme çal›ﬂmas›n›n belirli bölümlerine kat›labilir. 10. Üst Yönetimin, Denetim Komitesinin ve Yönetim Kurulunun Onay›: ‹ç Denetim Yöneticisi, d›ﬂ de¤erlendirme uzman›
Uygulama Önerileri
117
seçiminde üst yönetime, denetim komitesine ve yönetim kuruluna dan›ﬂmal› ve onaylar›n› almal›d›r. 11. D›ﬂ De¤erlendirmelerin Kapsam›: D›ﬂ de¤erlendirme çal›ﬂmas›, iç denetim faaliyetinin aﬂa¤›daki unsurlar›n› içeren geniﬂ bir kapsamda yap›lmal›d›r: • IIA’n›n Standartlar›na, Etik Kurallar›na, iç denetim faaliyetinin yönetmelik, plan, politika, prosedür ve uygulamalar›na ve yürürlükteki mevzuat ve düzenlemelere uyum, • Yönetim kurulu, denetim komitesi, icra kurulu ve iﬂletme müdürlerinin iç denetim faaliyetinden beklentileri, • Yönetiﬂim sürecine kat›lan kilit gruplar aras›ndaki ba¤lant›l› iliﬂkiler de dahil, iç denetim faaliyetinin, kurumun yönetiﬂim süreciyle bütünleﬂtirilmesi, • ‹ç denetim faaliyetinde kullan›lan araç ve teknikler, • Personelin sürecin geliﬂtirilmesine odaklanmas› da dahil, personelin bilgi, tecrübe ve uzmanl›k alanlar›n›n kar›ﬂ›m›, • ‹ç denetim faaliyetinin kurumun faaliyetlerine katma de¤er ve iyileﬂtirme sa¤lay›p sa¤lamad›¤›n›n tespit edilmesi. 12. Sonuçlar›n Raporlanmas›: Gözden geçirme çal›ﬂmas›n›n ilk sonuçlar›, de¤erlendirme süreci s›ras›nda ve sonucunda, ‹ç Denetim Yöneticisiyle tart›ﬂ›lmal›d›r. Kesin sonuçlar, ‹ç Denetim Yöneticisine ya da kurum içinde incelemeye izin ve yetki veren baﬂka bir yetkiliye, tercihan üst yönetimden uygun kiﬂilere, denetim komitesine ve yönetim kuruluna do¤rudan iletilen nüshalarla, bildirilmelidir. 13. Bu raporlaman›n kapsam› aﬂa¤›dakilerden oluﬂmal›d›r: • Planlanm›ﬂ bir derecelendirme sürecine dayanarak, iç denetim faaliyetinin Standartlara uyumu hakk›nda bir görüﬂ: Burada kullan›lan "uyum" kelimesi, iç denetim faaliyetinin uygulamalar›n›n, bir bütün olarak ele
118
Meslekî Uygulama Çerçevesi
al›nd›¤›nda, Standartlar›n gereklerine uygun oldu¤u anlam›na gelir. Benzer ﬂekilde, "ayk›r›l›k" kelimesi ise, iç denetim faaliyetinin uygulamalar›nda tespit edilen eksikliklerin etkisinin, faaliyetin görev ve sorumluluklar›n› yerine getirmesini engelleyecek kadar yüksek olmas› anlam›na gelir. Standartlara "k›smî uyum" derecesi, raporun genel kanaatiyle ilgiliyse, ba¤›ms›z d›ﬂ de¤erlendirme raporunda da aç›klanmal›d›r. D›ﬂ de¤erlendirme sonuçlar› hakk›nda görüﬂ beyan etmek, güçlü bir meslekî muhakeme, dürüstlük, azamî özen ve dikkatin biraraya getirilmesini gerektirir. • Hem de¤erlendirme s›ras›nda gözlemlenen hem de faaliyete uygulanabilecek olan en iyi uygulamalar yönteminin kullan›m› hakk›nda bir de¤erlendirme ve tespit, • Gerekirse, geliﬂtirme amac›na yönelik tavsiyeler, • ‹ç Denetim Yöneticisinin bir eylem plan›n› ve uygulama tarihlerini de içeren cevaplar›. 14. ‹ç Denetim Yöneticisi, yap›lan gözden geçirme sonuçlar›n›n yan›s›ra önemli bulgularla ilgili olarak al›nmas› planlanan tedbirlerin ayr›nt›lar› ve bu tedbirlerin uygulanmas› ile ilgili bilgileri -e¤er hâlihaz›rda do¤rudan rapor edilmiyorsa- ilgili yöneticilerle, denetim komitesiyle ve yönetim kuruluyla görüﬂmelidir.
Uygulama Önerileri
119
Uygulama Önerisi 1312-2: D›ﬂ De¤erlendirmeler-Ba¤›ms›z Onayl› Öz De¤erlendirme Uluslararas› ‹ç Denetim Meslekî Uygulama Standartlar›ndan Standart 1312’nin Yorumu
‹lgili Standart 1312 D›ﬂ De¤erlendirmeler Kalite güvencesi gözden geçirmeleri gibi d›ﬂ de¤erlendirme çal›ﬂmalar›, kurum d›ﬂ›ndan vas›fl› ve ba¤›ms›z bir gözden geçirme uzman› veya bir gözden geçirme ekibi taraf›ndan en az›ndan beﬂ y›lda bir kere yap›lmal›d›r. Bu Uygulama Önerisinin Niteli¤i: ‹ç denetçiler, iç denetim faaliyeti için bir d›ﬂ de¤erlendirme hizmeti planlarken ve al›rken aﬂa¤›daki önerileri dikkate almal›d›r. Ancak bu k›lavuzun, bir d›ﬂ de¤erlendirme için gerekli olabilecek hususlar›n tümünü kapsamak gibi bir amac› yoktur; k›lavuz, sadece, d›ﬂ de¤erlendirme uygulamalar› konusunda bir tavsiyeler demeti sunmaktad›r. Uygulama Önerilerine uymak, iste¤e ba¤l›d›r.
1
Kalite Güvence ve Geliﬂtirme Program›n›n (QA&IP) Gözden Geçirilmesi: ‹ç Denetim Yöneticisi, iﬂ sahas› Standartlar ve IIA’n›n iç denetim tan›m›nda say›lan bütün faaliyetleri kapsayacak ﬂekilde, iç denetim faaliyetini kurmaktan sorumludur. Bunu sa¤lamak için, Standart 1300, ‹ç Denetim Yöneticisinin bir Kalite Güvence ve Geliﬂtirme Program› geliﬂtirmesini ve sürdürmesini gerektirmektedir. QA&IP’ye, nitelikli ve ba¤›ms›z bir gözden geçirmeci veya gözden geçirme ekibi taraf›ndan her beﬂ y›lda bir dönemsel d›ﬂ de¤erlendirme yap›lmas› dahil edilmelidir. Bu d›ﬂ de¤erlendirmeler, sadece kurumun QA&IP’si ile s›n›rl› olmamal›, iç denetim faaliyeti taraf›ndan yap›lan tüm denetim ve dan›ﬂmanl›k alanlar›n› kapsamal›d›r (bkz. Uygulama Önerisi 1300-1).
120
Meslekî Uygulama Çerçevesi
2. Ba¤›ms›z Onayl› Öz De¤erlendirme: Ba¤›ms›z bir d›ﬂ denetçi veya d›ﬂ denetim ekibi taraf›ndan yap›lacak d›ﬂ de¤erlendirme çal›ﬂmas›n›n küçük çapl› iç denetim birimleri/faaliyetleri için külfetli olabilece¤i düﬂüncesiyle, IIA, alternatif olarak, aﬂa¤›daki unusurlara sahip bir "ba¤›ms›z (d›ﬂ) onayl› öz de¤erlendirme" süreci geliﬂtirmiﬂtir: • En az›ndan Standartlara uyumun de¤erlendirilmesi konusunda, d›ﬂ de¤erlendirme sürecinden daha etkili olacak ﬂekilde kapsaml› ve bütünüyle kay›tl› hâle getirilmiﬂ öz de¤erlendirme süreci, • Vas›fl› bir gözden geçirmeci taraf›ndan gerçekleﬂtirilen ba¤›ms›z onay çal›ﬂmas›,
yerinde
• Ekonomik zaman ve kaynak ihtiyaçlar›. As›l odaklanma, meselâ, Standartlara uyum üzerine olmal›d›r. ‘K›yaslama (benchmarking), en iyi uygulamalar yönteminin kullan›lmas›yla ilgili dan›ﬂmanl›k ve gözden geçirme çal›ﬂmas›, görüﬂ ve endiﬂeleri hâlihaz›rda iç denetim faaliyetinin yöneticisi ve di¤er çal›ﬂanlar›nca bilinen üst seviye yöneticiler ve faaliyet müdürleriyle yap›lan mülâkatlar’ gibi di¤er alanlara ayr›lan emek ve zaman azalt›labilir veya s›f›rlanabilir. • Aksi takdirde, 1312-1 say›l› Uygulama Önerisinde de belirtildi¤i gibi, ayn› ﬂart ve k›staslar ﬂunlara da uygulan›r: • Genel hususlar, • Ba¤›ms›z onaylay›c›n›n (d›ﬂ de¤erlendirmecinin) vas›flar›, • Ba¤›ms›zl›k, dürüstlük, tarafs›zl›k, yetkinlik; üst yönetimin, denetim komitesi ve yönetim kurulunun onay›; kapsam (araçlar›n, tekniklerin, di¤er en iyi uygulamalar›n kullan›lmas›, kariyer geliﬂimi ve katma de¤er yarat›c› faaliyetler hariç), • Sonuçlar›n raporlanmas› (iyileﬂtirici tedbirlerin belirlenmesi ve uygulanmas› dahil)
Uygulama Önerileri
121
3. ‹ç Denetim Yöneticisinin baﬂ›nda bulundu¤u bir ekip, öz de¤erlendirme sürecini yürütmeli ve tamamen kay›tl› bir hâle getirmelidir. IIA’nin Kalite De¤erlendirme K›lavuzu’nda (Quality Assessment Manual) öz de¤erlendirme rehberi ve araçlar›n› da içine alacak ﬂekilde sürecin ana hatlar›n› içerir. D›ﬂ de¤erlendirmedekine benzer bir rapor tasla¤› haz›rlanmal›d›r. 4. Gerekli niteliklere sahip ba¤›ms›z bir onay mercii, ulaﬂ›lan sonuçlar›n onaylanmas› için öz de¤erleme ile ilgili s›n›rl› testler yapmal› ve iç denetim faaliyetinin Standartlara uygunlu¤unun seviyesi konusunda görüﬂ belirtmelidir. Bu ba¤›ms›z onay çal›ﬂmas›, IIA’in Kalite De¤erleme K›lavuzu’nda belirtilen süreçteki veya benzer kapsaml› baﬂka bir süreçteki aﬂamalar› izlemelidir. 5. Öz de¤erlendirme ekibinin Standartlar ve Etik Kurallar›na uyuma iliﬂkin de¤erlendirmelerinin dikkatli bir ﬂekilde gözden geçirilmesini de içeren ba¤›ms›z onay sürecinin tamamlanmas› üzerine: • Ba¤›ms›z onaylay›c›, yukar›da 3. paragrafta belirtilen taslak raporu gözden geçirmeli ve varsa çözüme kavuﬂmam›ﬂ hususlar konusunda uzlaﬂma sa¤lamaya çal›ﬂmal›d›r. • E¤er Standartlar ve Etik Kurallar›na uygunluk konusundaki de¤erlendirmelerle mutab›ksa, ba¤›ms›z onaylay›c›, bunu rapora eklemelidir; ayr›ca, rapordaki tespitler, sonuçlar ve önerilere iliﬂkin mutabakat›n› da, uygun gördü¤ü ölçüde, raporda ifade etmelidir. • E¤er bu de¤erlendirmeler ile mutab›k de¤ilse ba¤›ms›z onaylay›c›, rapora mutab›k olmad›¤› noktalar›, uygun gördü¤ü ölçüde de önemli tespitler, sonuçlar ve öneriler ile ilgili kat›lmad›¤› noktalar› belirten bir k›s›m eklemelidir. • Alternatif olarak ba¤›ms›z onaylay›c› öz de¤erlendirme raporuna ek olarak, yukar›da belirtilen kapsamdaki mutabakat veya mutabakats›zl›klar› belirten ayr› bir ba¤›ms›z onay raporu haz›rlayabilir.
122
Meslekî Uygulama Çerçevesi
• Ba¤›ms›z onay› haiz nihaî öz de¤erlendirme raporu (veya raporlar›) öz de¤erlendirme ekibi ve ba¤›ms›z onaylay›c› taraf›ndan imzalanmal› ve ‹ç Denetim Yöneticisi taraf›ndan üst yönetime, denetim ve yönetim kurulu üyelerine sunulmal›d›r. 6. Her ne kadar iç denetim faaliyeti ile ilgili olarak yap›lacak eksiksiz bir d›ﬂsal gözden geçirme, iç denetim faaliyetine azamî fayday› sa¤lasa da ve faaliyetin kalite program›nda yer al›yor olmas› gerekse de, ba¤›ms›z onay› haiz öz de¤erlendirme çal›ﬂmas› da 1312 numaral› Standarta uyum imkân› sa¤layan alternatif bir araçt›r. Bununla birlikte, optimum kalite güvencesini sa¤lamak ve süreç geliﬂtirmeden fayda elde edebilmek için, iç denetim faaliyeti, ba¤›ms›z onay› haiz öz de¤erlendirmeyi ara bir çözüm olarak görmeli ve, mümkün oldu¤unca, takip eden dönemlerde eksiksiz bir d›ﬂsal de¤erlendirmenin yap›lmas›n› sa¤lamaya çal›ﬂmal›d›r.
Uygulama Önerileri
123
Uygulama Önerisi 1320-1: Kalite Program› Hakk›nda Raporlama Uluslararas› ‹ç Denetim Meslekî Uygulama Standartlar›ndan Standart 1320’nin Yorumu
‹lgili Standart 1320 Kalite Program› Hakk›nda Raporlama ‹ç Denetim Yöneticisi, d›ﬂ de¤erlendirme sonuçlar›n› denetim komitesine ve yönetim kuruluna raporlamal›d›r. Bu Uygulama Önerisinin Niteli¤i: ‹ç denetçiler, kalite program› hakk›nda raporlama yaparken aﬂa¤›daki önerileri dikkate almal›d›r. Ancak bu k›lavuzun, gerekli olabilecek hususlar›n tümünü kapsamak gibi bir amac› yoktur; k›lavuz, sadece, dikkate al›nmas› gereken bir tavsiyeler demeti sunmaktad›r. Uygulama Önerilerine uymak, iste¤e ba¤l›d›r.
1. D›ﬂ de¤erlendirme çal›ﬂmas› bitti¤inde, gözden geçirme ekibi iç denetim faaliyetinin, Standartlara, faaliyet yönetmeli¤ine ve di¤er standartlara ne kadar uydu¤u hakk›nda görüﬂ içeren resmî bir rapor düzenlemelidir. Raporda mevcut durumu geliﬂtirme amac›na yönelik tavsiyeler de yer almal›d›r. Rapor, de¤erlendirme çal›ﬂmas›n› talep eden kiﬂiye veya kuruma hitaben düzenlenmelidir. ‹ç Denetim Yöneticisi, d›ﬂ de¤erlendirme raporunda aç›klanan önemli yorum ve tavsiyelere cevaben yaz›l› bir eylem plan› haz›rlamal›d›r. Bu eylem plan›n›n takibi de ‹ç Denetim Yöneticisinin sorumlulu¤undad›r. 2. Standartlara uyum hakk›ndaki de¤erlendirme, d›ﬂ de¤erlendirme çal›ﬂmas›n›n hayatî bir unsurudur. Gözden geçirme ekibinin, iç denetim faaliyetinin Standartlara uyumu hakk›nda de¤erlendirme yapabilmesi ve fikir beyan edebilmesi için Standartlar› iyi bilmesi gerekir. Ancak, 1310-1 say›l› Uygulama Önerisinde belirtildi¤i gibi, iç denetim faaliyetinin performans de¤erlendirmesinde dikkate al›nmas› gereken baﬂka k›staslar da vard›r.
Uygulama Önerileri
125
Uygulama Önerisi 1330-1: “Standartlara Uygun Yap›lm›ﬂt›r” ‹baresinin Kullan›lmas› Uluslararas› ‹ç Denetim Meslekî Uygulama Standartlar›ndan Standart 1330’un Yorumu
‹lgili Standart 1330 "Standartlara Uygun Yap›lm›ﬂt›r" ‹baresinin Kullan›lmas› ‹ç denetçilerin, faaliyetlerinin "Uluslararas› ‹ç Denetim Meslekî Uygulama Standartlar›na uygun yap›ld›¤›n›" belirtmeleri teﬂvik edilir. Ancak iç denetçilerin bu ibareyi kullanabilmesi için, kurumun kalite geliﬂtirme program› hakk›ndaki de¤erlendirmelerin, iç denetim faaliyetinin Standartlara uydu¤unu göstermesi gerekir. Bu Uygulama Önerisinin Niteli¤i: ‹ç denetçiler, "Uluslararas› ‹ç Denetim Meslekî Uygulama Standartlar›na uygun yap›lm›ﬂt›r" ibaresini kullan›rken aﬂa¤›daki önerileri dikkate almal›d›r. Ancak bu k›lavuzun her ﬂeyi kapsamak gibi bir amac› yoktur; bu k›lavuz, sadece, Standartlar› tamamlay›c› mahiyettedir. Uygulama Önerilerine uymak, iste¤e ba¤l›d›r.
1. Genel Hususlar: ‹ç denetim faaliyeti hakk›nda d›ﬂ ve iç de¤erlendirmeler, faaliyetin Standartlara uygunlu¤unu de¤erlendirecek ve bu konuda bir fikir beyan edecek ﬂekilde yap›lmal› ve gerekirse, faaliyeti geliﬂtirme amac›na yönelik tavsiyeleri de içermelidir. Sadece vas›fl› kiﬂiler taraf›ndan yap›lmas› gereken bu kapsamdaki gözden geçirmeler, hem ‹ç Denetim Yöneticisine hem de iç denetim faaliyetinin di¤er üyelerine çok faydal› olabilir. 2. 1 Ocak 2002 tarihinden itibaren beﬂ y›l içinde bir d›ﬂ de¤erlendirme çal›ﬂmas› yap›lmal›d›r. D›ﬂ de¤erlendirme çal›ﬂmas› öngören ve gerektiren yeni Standard›n daha erken
126
Meslekî Uygulama Çerçevesi
benimsenmesi tavsiye edilir. D›ﬂ gözden geçirme yapt›rm›ﬂ bulunan kurumlar›n, bir sonraki d›ﬂ gözden geçirme çal›ﬂmas›n› son gözden geçirmeden itibaren beﬂ y›l içinde yapt›rmalar› önerilir. 3. Standartlara Uygunluk ‹baresinin Kullan›lmas›: Bu amaçla kullan›labilecek ibare "Standartlara uygundur" veya "Standartlarla uyumludur" ﬂeklinde olabilir. Standartlara uygunluk ibaresinin kullan›labilmesi, dönemsel iç de¤erlendirmelerle birlikte her beﬂ y›lda en az bir d›ﬂ de¤erlendirmenin yap›lmas›n› ve iç denetim faaliyetinin Standartlara ve Etik Kurallar›na uygun oldu¤u kanaatine ulaﬂ›lmas› gerekir. Her beﬂ y›lda bir yap›lacak d›ﬂ de¤erlendirme, iç denetim faaliyetinin Standartlara ve Etik Kurallar›na uyumunu teyid edene kadar bu ibarelerin kullan›lmas› uygun de¤ildir. ‹ç denetim faaliyetinin genel kapsam ve faaliyetlerini etkileyebilecek "ayk›r›l›k sebepleri" (1 Ocak 2007’ye kadar d›ﬂ de¤erlendirme yapt›ramamak dahil), üst yönetime, denetim komitesine ve yönetim kuruluna özel durum olarak aç›klanmal›d›r. 4. Standartlara uygunluk ibaresi kullan›lmadan önce, kalite geliﬂtirme program›na yönelik iç veya d›ﬂ bir de¤erlendirme sonucu ortaya ç›kan ve iç denetim faaliyetinin sorumluluklar›n› yerine getirmesini etkileyen ayk›r›l›klar, • tatmin edici bir ﬂekilde giderilmelidir, • ayk›r›l›¤› giderici tedbirler, -ayk›r›l›¤› tesbit eden- ilgili de¤erlendirmecilere, ayk›r›l›¤›n tatmin edici ﬂekilde giderildi¤ine dair mutabakatlar›n› sa¤lamak üzere, tevsik edilmeli ve raporlanmal›d›r, • ayk›r›l›¤› giderici tedbirler ve -ayk›r›l›¤› tesbit eden- ilgili de¤erlendirmecilerle olan mutabakat, üst yönetime, denetim komitesine ve yönetim kuruluna raporlanmal›d›r.
Uygulama Önerileri
127
Uygulama Önerisi 2000-1: ‹ç Denetim Faaliyetinin Yönetimi Uluslararas› ‹ç Denetim Meslekî Uygulama Standartlar›ndan Standart 2000’in Yorumu
‹lgili Standart 2000 ‹ç Denetim Faaliyetinin Yönetimi ‹ç Denetim Yöneticisi, iç denetim faaliyetini, faaliyetin kuruma de¤er katmas›n› sa¤layacak etkili bir tarzda yönetmelidir. Bu Uygulama Önerisinin Niteli¤i: ‹ç denetçiler, iç denetim faaliyetinin yönetilmesi konusunda aﬂa¤›daki önerileri dikkate almal›d›r. Ancak bu k›lavuzun gerekli olabilecek her ﬂeyi kapsamak gibi bir amac› yoktur; k›lavuz, sadece, dikkate al›nmas› gereken bir tavsiyeler demeti sunmaktad›r. Uygulama önerilerine uymak, iste¤e ba¤l›d›r.
1. ‹ç Denetim Yöneticisi, iç denetim faaliyetini, • denetim çal›ﬂmas›n›n, denetim komitesi ve yönetim kurulunun (gerekti¤inde üst yönetimin) onaylad›¤› yönetmelikte tan›mlanan genel amaç ve sorumluluklar› yerine getirmesini, • iç denetim faaliyetinin kaynaklar›n›n verimli ve etkin bir ﬂekilde kullan›lmas›n›, • denetim çal›ﬂmas›n›n Uluslararas› ‹ç Denetim Meslekî Uygulama Standartlar›na (Standartlara) uygun yap›lmas›n› sa¤layacak ﬂekilde yönetmekten sorumludur.
Uygulama Önerileri
129
Uygulama Önerisi 2010-1: Planlama Uluslararas› ‹ç Denetim Meslekî Uygulama Standartlar›ndan Standart 2010’un Yorumu
‹lgili Standart 2010 Planlama ‹ç Denetim Yöneticisi, kurumun hedeflerine uygun olarak, iç denetim faaliyetinin önceliklerini belirleyen risk esasl› planlar yapmal›d›r. Bu Uygulama Önerisinin Niteli¤i: ‹ç denetçiler, iç denetim faaliyetini planlarken aﬂa¤›daki önerileri dikkate almal›d›r. Ancak bu k›lavuzun gerekli olabilecek her ﬂeyi kapsamak gibi bir amac› yoktur; k›lavuz, sadece, dikkate al›nmas› gereken bir tavsiyeler demeti sunmaktad›r. Uygulama Önerilerine uymak, iste¤e ba¤l›d›r.
1. ‹ç denetim faaliyetinin planlamas›, iç denetim faaliyetinin yönetmeli¤iyle ve kurumun amaçlar›yla tutarl› olmal›d›r. Bu planlama süreci, • Hedeflerin, • Göreve ait iﬂ çizelgelerinin, • Personel kadrosu planlar›n›n ve mali bütçelerin, • Faaliyet raporlar›n›n belirlenmesini ve haz›rlanmas›n› kapsar. 2. ‹ç denetim faaliyetinin hedefleri, belirli faaliyet plan ve bütçeleri kapsam›nda ulaﬂ›labilir, gerçekçi ve mümkün oldu¤u kadar da ölçülebilir olmal›d›r. Ayr›ca, ölçme k›staslar› ve hedeflenen bitiﬂ tarihleri de aç›klanmal›d›r. 3. Göreve ait iﬂ çizelgeleri aﬂa¤›daki bilgi ve unsurlar› içermelidir: • Yap›lacak faaliyetler, • Faaliyetlerin ne zaman yap›laca¤›,
130
Meslekî Uygulama Çerçevesi
• Planlanan görevlendirme iﬂinin ve baﬂkalar›n›n sorumlulu¤undaki ba¤lant›l› iﬂlerin nitelik ve kapsam› dikkate al›narak hesaplanan tahminî iﬂ tamamlama süresi. 4. Görevlendirme iﬂ çizelgesi önceliklerinin belirlenmesinde dikkate al›nmas› gereken hususlar ﬂunlard›r: • Son görevlendirme tarihleri ve sonuçlar›, • Güncellenmiﬂ risk de¤erlendirmeleri, risk yönetim ve kontrol süreçlerinin etkinli¤i, • Denetim komitesinin, yönetim kurulunun ve di¤er üst yönetimin talepleri, • Kurumsal yönetiﬂimle ilgili mevcut sorunlar, • Kurumun iﬂleri, faaliyetleri, programlar›, sistemleri ve kontrollerinde önemli de¤iﬂiklikler, • Faaliyetlerden elde edilebilecek faydalar› artt›rma f›rsatlar›, • Denetim personelinin yetenekleri ve kadro de¤iﬂiklikleri. ‹ﬂ çizelgeleri, iç denetim faaliyetindeki beklenmedik talepleri karﬂ›layacak ﬂekilde esnek olmal›d›r.
Uygulama Önerileri
131
Uygulama Önerisi 2010-2: Denetim Plan›yla Risk ve Risk Maruziyeti Aras›nda Ba¤lant› Kurulmas› Uluslararas› ‹ç Denetim Meslekî Uygulama Standartlar›ndan Standart 2010’un Yorumu
‹lgili Standart 2010 Planlama ‹ç Denetim Yöneticisi, kurumun hedeflerine uygun olarak, iç denetim faaliyetinin önceliklerini belirleyen risk esasl› planlar yapmal›d›r. Bu Uygulama Önerisinin Niteli¤i: Kurumun risk stratejisi de, iç denetim faaliyeti plan›na yans›t›lmal›d›r. Kurumun risk yönetimi ile iç denetim süreçleri aras›nda sinerji yaratmak ve uygulamak amac›yla eﬂgüdümlü bir yaklaﬂ›m izlenmelidir. Bu Uygulama Önerisinde verilenlerin d›ﬂ›nda ek hususlar da gerekli olabilir. Uygulama Önerilerine uymak, iste¤e ba¤l›d›r.
1. Her kurum, kendisini olumlu veya olumsuz etkileyebilecek risk ve belirsizliklerle karﬂ› karﬂ›yad›r. Risk çeﬂitli ﬂekillerde yönetilebilir: Üstlenilerek, kaç›n›larak, baﬂkas›na transfer edilerek veya kontrol edilerek. Kurum içi kontroller, risk ve belirsizli¤in muhtemel olumsuz tesirlerinin azalt›lmas› için kullan›lan yayg›n yöntemlerdir. 2. ‹ç denetim faaliyetinin denetim plan›, kurumu etkileyen ve etkileyebilecek risk ve risk maruziyetleri hakk›nda yap›lan bir de¤erlendirmeye dayanmal›d›r. Risk yönetiminin etkinli¤inin de¤erlendirilmesi yan›nda, denetimin nihaî hedefi, yönetime, kurumun amaçlar›na ulaﬂmas›yla ilgili olumsuz sonuçlar› ve etkileri azaltmak için gereken bilgileri vermektir. Riske maruziyetin önemi ve derecesi, çeﬂitli kontrollerle azalt›labilen bir risk olarak görülebilir.
132
Meslekî Uygulama Çerçevesi
3. Denetim evreni, kurumun stratejik plan›ndan unsurlar içerebilir. Bu hâliyle denetim evreni, kurumun genel iﬂ hedeflerini de hesaba katmakta ve yans›tmaktad›r. Stratejik planlar, muhtemelen, kurumun risk karﬂ›s›ndaki davran›ﬂ› ve planlanan hedeflere ulaﬂma zorlu¤u hakk›nda da fikir verir. Denetim evreni, normal ﬂartlar alt›nda, risk yönetim sürecinin sonuçlar›ndan da etkilenir. Kurumun stratejik plan›, kurumun içinde faaliyet gösterdi¤i ortam dikkate al›narak haz›rlanmal›d›r. Bu çevre etkenleri, denetim evrenini ve göreli risk de¤erlendirmesini muhtemelen etkileyecektir. 4. Denetim plan› ve evrenindeki güncellemelerde, yönetimin yönelimlerindeki, amaçlar›ndaki, önceliklerindeki ve odakland›¤› hususlardaki de¤iﬂmeler, göz önünde bulundurulmal›d›r. Denetim evreninin kurumun en yeni ve güncel stratejilerini ve yönelimlerini yans›tmas›n› sa¤lamak amac›yla, en az›ndan y›lda bir defa gözden geçirilmesi tavsiye edilir. Baz› ﬂartlar alt›nda, kurumun idarî faaliyetlerinin cereyan etti¤i ortamda meydana gelen de¤iﬂmeler, denetim planlar›n›n daha s›k (meselâ, 3 ayda bir) güncellenmesini gerekli k›labilir. 5. Görev iﬂ çizelgeleri, di¤er etkenlerin yan› s›ra, risk öncelikleri ve risk maruziyetine iliﬂkin de¤erlendirmeye de dayanmal›d›r. Risk ve riske maruziyetin önemine ba¤l› olarak, mevcut kaynaklar›n, ne ﬂekilde tahsis edilece¤ine karar verebilmek için önceliklerin belirlenmesi gerekir. Muhtemel denetim alanlar› aras›nda ‹ç Denetim Yöneticisinin söz konusu öncelikleri tespit etmesine yard›mc› olabilecek çeﬂitli risk modelleri mevcuttur. Risk modellerinin ço¤unda, öncelik tespiti için aﬂa¤›dakiler gibi risk etkenleri kullan›lmaktad›r: Mali etkiler, varl›klar›n likiditesi, yönetimin yetkinli¤i (ehil olmas›), iç kontrollerin kalitesi, de¤iﬂim veya istikrar derecesi, son denetim görevinin tarihi, karmaﬂ›kl›k düzeyi, personel ve kamuyla iliﬂkiler, vs. Denetim yaparken, risk maruziyetinin onay ve s›nanmas› için kullan›lan yöntem ve teknikler, riskin önem seviyesi ve gerçekleﬂme ihtimalini dikkate almal›d›r.
Uygulama Önerileri
133
6. Yönetime yönelik rapor ve bildirimlerde, risk yönetimi sonucu var›lan kanaatler aç›klanmal› ve riske maruziyeti azaltmaya yönelik tavsiyelerde bulunulmal›d›r. Yönetimin riske maruziyet derecesini tam anlayabilmesi için, denetim raporunun, amaçlara ulaﬂ›lmas›na engel olabilecek risk maruziyetinin sonucunu ve taﬂ›d›¤› hayatiyeti aç›kl›kla belirtiyor olmas› çok önem taﬂ›r.
Uygulama Önerileri
135
Uygulama Önerisi 2020-1: Bildirim ve Onay Uluslararas› ‹ç Denetim Meslekî Uygulama Standartlar›ndan Standart 2020’nin Yorumu
‹lgili Standart 2020 Bildirim ve Onay ‹ç Denetim Yöneticisi, önemli ara de¤iﬂiklikler de dahil, iç denetim faaliyetinin planlar›n› ve kaynak ihtiyaçlar›n›, gözden geçirme ve onay için üst yönetime, denetim komitesine ve yönetim kuruluna bildirmelidir. ‹ç Denetim Yöneticisi, kaynak s›n›rlamalar›n›n etkilerini de bildirmelidir. Bu Uygulama Önerisinin Niteli¤i: ‹ç denetçiler, iç denetim faaliyetinin planlar›n› ve kaynaklar›n› bildirir ve bu konuda onay talep ederken aﬂa¤›daki önerileri dikkate almal›d›r. Ancak bu k›lavuzun gerekli olabilecek her ﬂeyi kapsamak gibi bir amac› yoktur; k›lavuz, sadece, dikkate al›nmas› gereken bir tavsiyeler demeti sunmaktad›r. Uygulama Önerilerine uymak, iste¤e ba¤l›d›r.
1. ‹ç Denetim Yöneticisi, iç denetim faaliyetinin iﬂ program›, personel kadro plan› ve mali bütçesinin bir özetini y›lda bir kere onay için denetim komitesine ve yönetim kuruluna (gerekirse üst yönetime) sunmal›d›r. ‹ç Denetim Yöneticisi, bütün önemli ara de¤iﬂiklikleri de onay ve bilgi için sunmal›d›r. Görevlendirme iﬂ programlar›, personel kadro planlar› ve mali bütçeler; üst yönetimi, denetim komitesini ve yönetim kurulunu, iç denetim çal›ﬂmas›n›n kapsam› ve bu kapsam üzerindeki s›n›rlamalar hakk›nda bilgilendirmelidir. 2. Onaylanm›ﬂ görev iﬂ programlar›, personel kadro plan›, mali bütçe ve bunlardaki bütün önemli ara de¤iﬂiklikler; denetim komitesinin, yönetim kurulunun, iç denetim faaliyetinin amaç ve planlar›n›n kurumun, denetim komitesinin ve yönetim kurulunun amaç ve planlar›n› destekleyip desteklemedi¤ini belirlemesine yetecek kadar bilgi içermelidir.
Uygulama Önerileri
137
Uygulama Önerisi 2030-1: Kaynak Yönetimi Uluslararas› ‹ç Denetim Meslekî Uygulama Standartlar›ndan Standart 2030’un Yorumu
‹lgili Standart 2030 Kaynak Yönetimi ‹ç Denetim Yöneticisi, onayl› plan›n uygulanabilmesi için, iç denetim kaynaklar›n›n uygun ve yeterli olmas›n› ve etkin bir ﬂekilde kullan›lmas›n› sa¤lamal›d›r. Bu Uygulama Önerisinin Niteli¤i: ‹ç denetçiler, iç denetim kaynaklar›n› de¤erlendirirken aﬂa¤›daki önerileri dikkate almal›d›r. Ancak bu k›lavuzun bu de¤erlendirmede gerekli olabilecek her ﬂeyi kapsamak gibi bir amac› yoktur; k›lavuz, sadece, dikkate al›nmas› gereken bir tavsiyeler demeti sunmaktad›r. Uygulama Önerilerine uymak, iste¤e ba¤l›d›r.
1. Denetim iﬂlerini yapmak için gereken bilgi, beceri ve di¤er vas›flar ve denetçilerin say›s› da dahil, personel (kadro) planlar› ve mali bütçeler; görevlendirme iﬂ programlar›, idarî faaliyetler, e¤itim ve ö¤retim ihtiyaçlar›na göre ve denetim araﬂt›rma ve geliﬂtirme çabalar›na göre belirlenmeli ve haz›rlanmal›d›r. 2. ‹ç Denetim Yöneticisi, iç denetim faaliyetinin insan kaynaklar›n›n seçilmesi ve geliﬂtirilmesi amac›na yönelik bir program haz›rlamal›d›r. Bu program: • denetim kadrosunun her seviyesi için yaz›l› iﬂ tan›mlar›n›n haz›rlanmas›, • vas›fl› ve ehil kiﬂilerin seçilmesi, • her iç denetçinin e¤itilmesi ve iç denetçilerin hepsine devaml› ve kesintisiz ö¤retim f›rsatlar›n›n sunulmas›, • her iç denetçinin performans›n›n en az›ndan y›lda bir kere de¤erlendirilmesi,
138
Meslekî Uygulama Çerçevesi
• iç denetçilere meslekî performans ve geliﬂimleri konusunda dan›ﬂmanl›k hizmeti verilmesi ilkelerine dayanmal›d›r.
Uygulama Önerileri
139
Uygulama Önerisi 2040-1: Politika ve Prosedürler Uluslararas› ‹ç Denetim Meslekî Uygulama Standartlar›ndan Standart 2040’›n Yorumu
‹lgili Standart 2040 Politika ve Prosedürler ‹ç Denetim Yöneticisi, iç denetim faaliyetini yönlendirmek amac›na yönelik politika ve prosedürleri belirlemelidir. Bu Uygulama Önerisinin Niteli¤i: ‹ç denetçiler, politika ve prosedürleri tespit ederken aﬂa¤›daki önerileri dikkate almal›d›r. Ancak bu k›lavuzun bu de¤erlendirmede gerekli olabilecek her ﬂeyi kapsamak gibi bir amac› yoktur; k›lavuz, sadece, dikkate al›nmas› gereken bir tavsiyeler demeti sunmaktad›r. Uygulama Önerilerine uymak, iste¤e ba¤l›d›r.
1. Yaz›l› politika ve prosedürlerin biçim ve içeri¤i, iç denetim faaliyetlerinin yap›s›na, büyüklü¤üne ve iﬂin karmaﬂ›kl›k düzeyine uygun olmal›d›r. Bütün iç denetim kurumlar›n›n yaz›l› idarî ve teknik denetim el kitaplar›na ihtiyac› olmayabilir. Küçük çapl› iç denetim faaliyetleri, yaz›l› ve resmî olmayan yollarla yönetilebilir. Küçük bir iç denetim faaliyetinin personeli, günlük yak›n kontrol ve gözetimle ve yaz›l› not ve tutanaklarla yönlendirilebilir ve kontrol edilebilir. Ancak büyük iç denetim faaliyetlerinde, denetim personelinin iç denetim faaliyetlerine iliﬂkin uygulama standartlar›na sürekli uymas›n› sa¤lamak ve onlar› bu yönde yönlendirmek için, daha kapsaml›, resmî ve yaz›l› politika ve prosedürlere sahip olmak ﬂartt›r.
Uygulama Önerileri
141
Uygulama Önerisi 2050-1: Eﬂgüdüm Uluslararas› ‹ç Denetim Meslekî Uygulama Standartlar›ndan Standart 2050’nin Yorumu
‹lgili Standart 2050 Eﬂgüdüm ‹ç Denetim Yöneticisi; ayn› çal›ﬂmalar›n gereksiz yere tekrarlanmas›n› asgarîye indirmek ve iﬂin kapsam›n› en uygun ﬂekilde belirlemek amac›yla, ilgili güvence ve dan›ﬂmanl›k hizmetlerini yerine getiren di¤er iç ve d›ﬂ sa¤lay›c›larla, mevcut bilgileri paylaﬂmal› ve faaliyetleri bunlarla eﬂgüdüm içinde sürdürmelidir. Bu Uygulama Önerisinin Niteli¤i: ‹ç denetçiler, ilgili güvence ve dan›ﬂmanl›k hizmetlerini yerine getiren di¤er sa¤lay›c›larla çal›ﬂmalar›n eﬂgüdümünü sa¤larken aﬂa¤›daki önerileri dikkate almal›d›r. Ancak bu k›lavuzun bu konuda gerekli olabilecek her ﬂeyi kapsamak gibi bir amac› yoktur; k›lavuz, sadece, dikkate al›nmas› gereken bir tavsiyeler demeti sunmaktad›r. Uygulama Önerilerine uymak, iste¤e ba¤l›d›r.
1. Ayn› çal›ﬂmalar›n gereksiz yere tekrarlanmas›n›n asgarîye indirilmesi ve iﬂin kapsam›n›n en uygun ﬂekilde belirlenmesi amac›yla, iç ve d›ﬂ denetim iﬂlerinin eﬂgüdümünün sa¤lanmas› gerekir. ‹ç denetim iﬂlerinin kapsam›, risk yönetimi, kontrol ve yönetiﬂim süreçlerinin etkinli¤ini de¤erlendirmek ve iyileﬂtirmek amac›na yönelik, sistemli ve disiplinli bir yaklaﬂ›m› içerir. ‹ç denetim iﬂlerinin kapsam›, Standartlar Bölüm 2100’de aç›klanmaktad›r. Öte yandan, d›ﬂ denetçilerin ola¤an inceleme çal›ﬂmalar›, y›ll›k mali tablolar›n genel olarak âdil olup olmad›¤› ve gerçe¤i yans›t›p yans›tmad›¤› hakk›ndaki görüﬂü desteklemek için yeterli delilin elde edilmesini sa¤layacak ﬂekilde tasarlan›r. D›ﬂ denetim iﬂinin kapsam›, ilgili meslekî standartlara göre belirlenir ve d›ﬂ denetçiler, y›ll›k mali
142
Meslekî Uygulama Çerçevesi
tablolar hakk›nda görüﬂ beyan etmek amac›yla uygulad›klar› prosedürlerin ve elde ettikleri delillerin yeterlili¤ine karar vermekten sorumludur. 2. ‹ç denetim faaliyetiyle eﬂgüdüm de dahil, d›ﬂ denetçilerin çal›ﬂmalar›n›n gözetimi, denetim komitesinin, yönetim kurulunun tam sorumlulu¤undad›r. Fiilî eﬂgüdümü sa¤lamaktan ‹ç Denetim Yöneticisi sorumlu olmal›d›r. ‹ç Denetim Yöneticisi, denetim iﬂlerinin etkin eﬂgüdümünü sa¤lamak için denetim komitesi ve yönetim kurulundan destek talep edecektir. 3. ‹ç denetçilerin iﬂleriyle d›ﬂ denetçilerin iﬂleri aras›nda eﬂgüdümün sa¤lanmas› için, ‹ç Denetim Yöneticisi, iç denetçilerin Standartlar Bölüm 2100’deki kurallara göre yapacaklar› iﬂlerin, iç denetimin kapsam› aç›s›ndan güvenilir nitelikte olan d›ﬂ denetim iﬂlerinin bir tekrar› olmamas›n› sa¤lamal›d›r. Meslekî ve örgütsel raporlama sorumluluklar› ve görevlerinin izin verdi¤i s›n›rlar içinde, iç denetçiler, görevlerini, azamî denetim eﬂgüdümü, etkinli¤i ve verimlili¤ini sa¤layacak bir tarzda yapmal› ve yürütmelidir. 4. ‹ç Denetim Yöneticisi, d›ﬂ denetçilerin y›ll›k mali tablolar›n denetlenmesiyle ilgili iﬂ ve görevlerini yapmay› kabul edebilir. ‹ç denetçilerin, d›ﬂ denetçilere görevlerini ve sorumluluklar›n› yerine getirmelerinde yard›mc› olmak amac›yla yapacaklar› iﬂler, Uluslararas› ‹ç Denetim Meslekî Uygulama Standartlar›n›n ilgili bütün hükümlerine tâbidir. 5. ‹ç Denetim Yöneticisi, iç ve d›ﬂ denetçiler aras›ndaki eﬂgüdüm konusunda düzenli de¤erlendirmeler yapmal›d›r. Bu de¤erlendirmeler, toplam denetim maliyeti de dahil, iç ve d›ﬂ denetim iﬂlevlerinin genel etkinli¤i ve verimlili¤iyle ilgili de¤erlendirmeleri de içerebilir. 6. Denetim komitesi ve yönetim kurulu, genel kontrol ve izleme görevini yerine getirirken, ‹ç Denetim Yöneticisinden, d›ﬂ denetçilerin performans›n› de¤erlendirmesini isteyebilir. Bu de¤erlendirmeler, normal olarak, ‹ç Denetim Yöneticisinin iç
Uygulama Önerileri
143
ve d›ﬂ denetim çal›ﬂma ve faaliyetlerini eﬂgüdümünü sa¤lama görevinin bir parças› olarak yap›lmal› ve baﬂka performans konular›n›, ancak denetim komitesi ve yönetim kurulunun veya üst yönetimin özel talebi hâlinde kapsamal›d›r. D›ﬂ denetçilerin performans› hakk›ndaki de¤erlendirmeler, var›lan sonuçlar› destekleyen yeterli veri ve bilgilere dayand›r›lmal›d›r. ‹ç ve d›ﬂ denetim faaliyetlerinin eﬂgüdümü konusunda d›ﬂ denetçilerin performans de¤erlendirmeleri, bu Uygulama Önerisinde aç›klanan k›staslara dayanmal› ve bunlar› yans›tmal›d›r. 7. ‹ç denetçilerin çal›ﬂmalar›yla eﬂgüdüme iliﬂkin konular›n d›ﬂ›nda, d›ﬂ denetçilerin performans› hakk›ndaki de¤erlendirmeler, aﬂa¤›dakiler gibi baz› ek etkenleri de kapsayabilir: • Meslekî bilgi ve deneyim, • Kurumun faaliyet gösterdi¤i sektör hakk›nda bilgi, • Ba¤›ms›zl›k, • Özel uzmanl›k hizmetlerinin mevcudiyeti, • Kurumun ihtiyaçlar›n›n önceden tahmin edilmesi ve bu ihtiyaçlara cevap verilmesi, • Kilit nitelikteki görev personelinin devaml›l›¤›n›n makul ölçüler içinde sa¤lanmas›, • Gerekli iﬂ iliﬂkilerinin sürdürülmesi, • Sözleﬂmeden kaynaklanan taahhütlerin yerine getirilmesi, • Kuruma genel de¤er kazand›r›lmas›. 8. ‹ç Denetim Yöneticisi, iç ve d›ﬂ denetçiler aras›ndaki eﬂgüdüm hakk›nda yapt›¤› de¤erlendirmelerin sonuçlar›n›, gerekti¤inde, d›ﬂ denetçilerin performans›na iliﬂkin görüﬂleriyle birlikte, üst yönetime, denetim komitesine ve yönetim kuruluna rapor etmelidir. 9. Meslekî standartlar uyar›nca, d›ﬂ denetçilerin belirli konular› denetim komitesi ve yönetim kuruluna rapor etmeleri
144
Meslekî Uygulama Çerçevesi
gerekebilir. ‹ç Denetim Yöneticisi, sorunlar hakk›nda bir anlay›ﬂ birli¤ine varmak amac›yla, bu konularda d›ﬂ denetçilerle iletiﬂim kurmal› ve bilgi al›ﬂveriﬂi yapmal›d›r. Bu konular ﬂunlar› da içerebilir: • D›ﬂ denetçilerin ba¤›ms›zl›¤›n› etkileyebilecek konu ve sorunlar, • Önemli kontrol zay›fl›klar›, • Hatalar ve usulsüzlükler, • Yasa d›ﬂ› fiil ve iﬂlemler, • Yönetim kararlar› ve muhasebe tahminleri, • Önemli denetim ayarlamalar›, • Yönetimle olan anlaﬂmazl›klar ve • Denetimin yap›lmas›nda karﬂ›laﬂ›lan güçlükler. 10. Denetim çal›ﬂmalar›n›n eﬂgüdümü; karﬂ›l›kl› ç›karlar› ilgilendiren konular› tart›ﬂmak amac›na yönelik dönemsel toplant›lar› da kapsar: • Denetim kapsam›: Denetim kapsam› konusunda eﬂgüdümü sa¤lamak ve ayn› çal›ﬂmalar›n gereksiz yere tekrarlanmas›n› asgarîye indirmek için, iç ve d›ﬂ denetçilerin planlad›¤› denetim faaliyetleri tart›ﬂ›lmal› ve görüﬂülmelidir. Denetim süreci s›ras›nda, denetim çal›ﬂmalar›n›n eﬂgüdümünü ve denetim faaliyetlerinin etkinli¤ini ve zaman›nda tamamlanmas›n› sa¤lamak ve o güne kadar yap›lan iﬂlerle ilgili gözlem ve tavsiyelerin planlanan iﬂlerin kapsam›nda bir ayarlama yap›lmas›n› gerektirip gerektirmedi¤ine karar vermek amac›yla, yeterli say›da toplant› düzenlemelidir. • Birbirlerinin denetim programlar›na ve çal›ﬂma k⤛tlar›na eriﬂim: ‹ç denetçilerin d›ﬂ denetim çal›ﬂmas›n›n sonuçlar›n› iç denetim amaçlar›yla kullanman›n kabul edilebilirli¤i konusunda tatmin olabilmeleri için, d›ﬂ denetçilerin programlar›na ve çal›ﬂma k⤛tlar›na eriﬂmeleri
Uygulama Önerileri
145
önemli olabilir. Bu eriﬂim yetkisi, iç denetçilerin bu programlar›n ve çal›ﬂma k⤛tlar›n›n gizlili¤ini koruma sorumlulu¤una da beraberinde getirir. Ayn› ﬂekilde, d›ﬂ denetçilerin iç denetim çal›ﬂmas›n›n sonuçlar›n› d›ﬂ denetim amac›yla kullanman›n uygun oldu¤unu konusunda tatmin olabilmesi için, iç denetçilerin programlar›na ve çal›ﬂma k⤛tlar›na eriﬂmeleri de önemli olabilir. • Denetim raporlar› ve idarî yaz›ﬂmalar›n de¤iﬂimi: ‹ç denetimin nihaî rapor ve yaz›lar›, yönetimin bu rapor ve yaz›lara verdi¤i yan›tlar ve daha sonraki iç denetim faaliyet takibi incelemeleri, d›ﬂ denetçilere de aç›k olmal›d›r. Bu rapor ve yaz›lar, d›ﬂ denetçilerin denetim iﬂlerinin kapsam›n› tespit etmesine ve gerekli ayarlamalar› yapmas›na yard›mc› olur. Ayr›ca, iç denetçilerin de d›ﬂ denetçilerle ilgili idarî yaz›ﬂmalara eriﬂebilmesi gerekir. ‹darî yaz›ﬂmalarda ele al›nan ve tart›ﬂ›lan sorun ve konular, iç denetçilerin gelecek iç denetim çal›ﬂmas›nda vurgulanmas› gereken alan ve konular› planlamas›na yard›mc› olur. ‹darî yaz›ﬂmalar›n incelenmesinden ve ilgili yöneticilerin, denetim komitesinin ve yönetim kurulunun gereken düzeltici tedbirleri baﬂlatmas›ndan sonra, ‹ç Denetim Yöneticisi, gerekli takip ve düzeltme çal›ﬂmas›n›n yap›lmas›n› sa¤lamal›d›r. • Denetim teknikleri, yöntemleri ve terminoloji konusunda anlay›ﬂ birli¤i: ‹lk olarak, ‹ç Denetim Yöneticisi, d›ﬂ denetçilerin planlad›¤› iﬂlerin kapsam›n› tam olarak anlamal› ve d›ﬂ denetçilerin planlad›¤› iﬂlerin planlanan iç denetim iﬂleriyle birlikte Standartlar Bölüm 2100’deki gereklere uygun oldu¤u konusunda tatmin olmal›d›r. ‹ç Denetim Yöneticisinin, bu konuda tatmin olmas› için, d›ﬂ denetçilerin planlamada kulland›¤› önem düzeylerini ve d›ﬂ denetçilerin planlad›¤› prosedür ve çal›ﬂmalar›n niteli¤i ve kapsam›n› anlamas› gerekir. ‹kinci olarak, ‹ç Denetim Yöneticisi, (1) iç ve d›ﬂ denetim iﬂleri ve çal›ﬂmalar›n› eﬂgüdümünü sa¤lamak; (2) d›ﬂ denetçilerin
146
Meslekî Uygulama Çerçevesi
iﬂlerini güvenilirlik aç›s›ndan incelemek ve de¤erlendirmek ve (3) d›ﬂ denetçilerin hedeflerine ulaﬂmalar› için gereken baz› iﬂleri yapacak olan iç denetçilerin d›ﬂ denetçilerle etkin iletiﬂim kurmas›n› sa¤lamak için, d›ﬂ denetçilerin teknikleri, yöntemleri ve terminolojisinin iç denetçiler taraf›ndan da yeterince anlaﬂ›ld›¤›ndan emin olmal›d›r. Son olarak, ‹ç Denetim Yöneticisi, d›ﬂ denetçilerin bu teknikler, yöntemler ve terminoloji kullan›larak yap›lan iﬂlere güvenebilmelerini sa¤lamak için, d›ﬂ denetçilerin iç denetçilerin teknikleri, yöntemleri ve terminolojisini anlamas›n› sa¤lamak amac›yla yeterli bilgiyi d›ﬂ denetçilere vermelidir. ‹ç ve d›ﬂ denetçilerin iﬂlerinin etkin ve verimli bir ﬂekilde eﬂgüdümünü sa¤lamak ve birbirlerinin çal›ﬂmalar›na güvenebilmek için benzer teknikler, yöntemler ve terminoloji kullanmalar› daha etkin ve verimli olabilir.
Uygulama Önerileri
147
Uygulama Önerisi 2050-2: D›ﬂ Denetim Hizmetlerinin Sat›n Al›nmas› Uluslararas› ‹ç Denetim Meslekî Uygulama Standartlar›ndan Standart 2050’nin Yorumu
‹lgili Standart 2050 Eﬂgüdüm ‹ç Denetim Yöneticisi; ayn› çal›ﬂmalar›n gereksiz yere tekrarlanmas›n› asgarîye indirmek ve iﬂin kapsam›n› en uygun ﬂekilde belirlemek amac›yla, ilgili güvence ve dan›ﬂmanl›k hizmetlerini yerine getiren di¤er iç ve d›ﬂ sa¤lay›c›larla, mevcut bilgileri paylaﬂmal› ve faaliyetleri bunlarla eﬂgüdüm içinde sürdürmelidir. Bu Uygulama Önerisinin Niteli¤i: ‹ç Denetim Yöneticisi, d›ﬂ denetim hizmetleri sat›n almalar› istendi¤i takdirde veya bu konuda görevlendirildikleri takdirde aﬂa¤›daki önerileri dikkate almal›d›r. Bu öneriler; d›ﬂ denetim hizmetlerini temin etmekle görevlendirildikleri takdirde denetim komitesi ve finans yönetimine de faydal› olabilir. Ancak bu k›lavuzun her durumda ve her koﬂulda dikkate al›nmas› gerekli olabilecek her ﬂeyi kapsamak gibi bir amac› yoktur. ‹ç Denetim Yöneticileri, bu k›lavuzdaki önerileri, özel koﬂullara ve durumlara uyarlamak için gereken de¤iﬂiklikleri yapmal›d›r. Bu uygulama önerisi, özellikle, mali tablolar›n denetimi için d›ﬂ denetim hizmetlerinin sat›n al›nmas›nda uygun olabilir, fakat baﬂka görev türleri için d›ﬂ denetim hizmetlerinin temin edilmesinde de faydal› olabilir. ‹ç ve d›ﬂ denetim çal›ﬂmalar› ve faaliyetlerinin "eﬂgüdümü"yle ilgili öneriler için "Eﬂgüdüm" standart›yla ilgi PA 2050-1 say›l› Uygulama Önerisine bak›n›z. Uygulama Önerilerine uymak, iste¤e ba¤l›d›r.
1. ‹ç denetçilerin kurum için d›ﬂ denetçilerin seçilmesi, seçeneklerin de¤erlendirilmesi veya d›ﬂ denetçilerin tutulmas› sürecine kat›l›m› ve katk›s›; bu süreçte hiçbir rolü olmamaktan, yönetime veya denetim komitesine tavsiyelerde bulunmaya ve sürece, sürecin yönetimine veya sürecin denetimine kat›lmaya veya yard›ma kadar farkl›l›k gösterebilir. IIA Standartlar› iç
148
Meslekî Uygulama Çerçevesi
denetçilerin "ilgili güvence ve dan›ﬂmanl›k hizmetlerinin di¤er iç ve d›ﬂ sa¤lay›c›lar›yla mevcut bilgileri paylaﬂmalar›n› ve faaliyetlerin eﬂgüdümünü" gerektirdi¤i için, iç denetçilerin d›ﬂ denetçilerin seçilmesi veya tutulmas›nda ve iﬂ kapsamlar›n›n belirlenmesinde belirli bir rol oynamas› veya katk›da bulunmas› uygun olabilir. 2. Denetim komitesinin ve yönetim kurulunun onaylad›¤› bir politika; mevcut hizmet sa¤lay›c›lar›n›n bir teklif isteme karar›n› ilgili kurumun mevcut hizmetlerden memnun olmad›¤›n›n bir iﬂareti veya göstergesi olarak alg›lamamas› için, dönemsel d›ﬂ denetim hizmeti taleplerini kolaylaﬂt›rabilir ve bu talepleri normal iﬂ faaliyetlerinin bir parças› yapabilir. Bu konuda belirli somut bir politika yoksa, iç denetçi bu hizmetlerin, kurumun baﬂka mevcut hizmet tedarik politikalar›na tâbi olup olmad›¤›n› belirlemelidir. Uygun politikalar›n bulunmamas› hâlinde, iç denetçi, bu konuda uygun kural ve politikalar›n belirlenmesini sa¤lamay› düﬂünmelidir. 3. D›ﬂ denetim hizmetlerinin seçilmesi veya d›ﬂ denetçilerin tutulmas›yla ilgili uygun politikalar, aﬂa¤›da say›lan konular› kapsamal›d›r: • Politikan›n yönetim kurulu veya denetim kurulu taraf›ndan onaylanmas›, • Politika kapsam›ndaki hizmetlerin niteli¤i ve türü, • Sözleﬂmenin süresi, resmî hizmet taleplerinin s›kl›¤› ve/veya mevcut hizmet sa¤lay›c›lar›yla çal›ﬂmaya devam etme karar›, • D›ﬂ denetçi seçim ve de¤erlendirme ekibinin üyeleri veya kat›l›mc›lar›, • De¤erlendirmede dikkate al›nmas› gereken kritik veya temel k›staslar, • Hizmet ücretleriyle ilgili s›n›rlamalar ve politika istisnalar› onay prosedürleri,
Uygulama Önerileri
149
• Belirli sektörler veya ülkelere özgü idarî veya hukukî koﬂullar veya benzeri kurallar. 4. Denetim veya yönetim kurulunun onaylad›¤› bir politika, sadece mali tablolar›n denetlenmesi d›ﬂ›nda, d›ﬂ denetim firmalar›n›n sundu¤u baﬂka hizmetlerin al›nmas› konusunu da kapsayabilir. Bu politika ﬂu konular› içerebilir: • Vergi hizmetleri, • Dan›ﬂmanl›k hizmetleri ve di¤er denetim-d›ﬂ› hizmetler • ‹ç denetim için d›ﬂ kaynak kullan›m› ve/veya müﬂterek kaynak kullan›m› hizmetleri, • D›ﬂ kaynak kullan›m› veya müﬂterek kaynak kullan›m› yoluyla temin edilen di¤er hizmetler, • Kararlaﬂt›r›lan hizmet görevlendirmeleri gibi özel hizmetler, • De¤erleme, k›ymet takdiri ve aktüerya hizmetleri, • Personel al›m›, defter tutma ve teknoloji hizmetleri gibi geçici hizmetler, • D›ﬂ denetim firmalar›n›n verdi¤i hukukî hizmetler. 5. Mevcut hizmet sa¤lay›c›lar›n›n göreve devam etmesine ve baﬂka potansiyel hizmet sa¤lay›c›lar›ndan teklif istenmemesine veya teklif isteminin ertelenmesine iliﬂkin dönemsel ve resmî kararlar› destekleyen uygun belge ve kay›tlar saklanmal›d›r. 6. Seçim kurulunun kat›l›mc›lar›n›, sürecin her safhas› için temel sonuç materyalleri ve hedef tarihlerini, teklif istenecek adaylar›, talep edilecek hizmetlerin niteli¤i ve kapsam›n› ve bilgilerin potansiyel adaylara nas›l verilece¤ini aç›klayan bir seçme süreci plan› yap›lmal› ve haz›rlanmal›d›r. Seçme sürecinin baﬂlang›c›nda, bir kurum, s›kl›kla, bütün potansiyel adaylar›n kat›ld›¤› kapsaml› bir toplant› düzenleyebilir. Bu toplant›da, yönetim, hizmet talebiyle ilgili bilgileri içeren bir sunum yapar ve adaylara, talep edilen hizmetleri tan›mlayan ve aç›klayan bir bilgi paketi veya rapor verir ve da¤›t›r. Bu genel toplant›dan
150
Meslekî Uygulama Çerçevesi
sonra, her adayla ayr› saha toplant›lar› yap›labilir ve bu toplant›lara ilgili yönetim temsilcileri kat›labilir. Özel durumlarda, baﬂka toplant› ve bilgilendirme paketleri kombinasyonlar› da pratik veya uygun olabilir. 7. Potansiyel hizmet sa¤lay›c›lar›n›n say›s›n› azaltarak, makul say›da nihaî aday tespit etmek amac›na yönelik bir eleme sürecini kolaylaﬂt›rmak için iki aﬂamal› bir hizmet talebi sistemi uygulanabilir. ‹lk olarak, bilgi talepleri, potansiyel adaylar hakk›nda temel bilgiler ve baﬂka genel bilgiler de dahil, adaylar›n vas›flar› hakk›nda gerekli bilgilerin temin edilmesine odaklanmal›d›r. ‹lgili firman›n tarihçesi, firman›n büyüklü¤ü, mevcut kaynak ve imkânlar›, kurum felsefesi ve denetim yaklaﬂ›m›, özel uzmanl›k alan›, görevi üstlenecek olan yerel veya hizmet ofisi, ilgili sektördeki uzmanl›¤› ve göreve tahsis edilecek olan temel ekip üyelerinin biyografileri gibi bilgiler toplanmal›d›r. 8. ‹lk eleme sürecinden sonra, bir sonraki safhaya geçmek için seçilen adaylara, talep edilen hizmetler hakk›nda daha ayr›nt›l› ve özel bilgiler almak için ikinci bir talep gönderilmelidir. Beklenen hizmetleri ve temel hedef tarihleri gösteren ayr›nt›l› bir hizmet talep formu haz›rlanmal›d›r. Adaylardan, hizmetlerin ücretleri de dahil, belirli özel ayr›nt›lar› bildirmeleri istenmelidir. Sürecin kalan k›sm› için, talep edilen ek bilgilerin teslim tarihlerini, adaylar›n seçim kuruluna yapaca¤› sunumlar› içeren toplant›lar›n tarihlerini ve son seçim tarihini gösteren bir zaman çizelgesi haz›rlanabilir ve adaylara verilebilir. Ayr›nt›l› hizmet talep formu, talep edilen hizmetlerin her birini tan›mlamal› ve hizmetlerin bir hizmet sa¤lay›c›s›ndan tek bir paket olarak m› al›naca¤›n›, yoksa birden fazla hizmet sa¤lay›c›s› aras›nda bölüﬂtürülece¤ini mi aç›klamal›d›r. 9. Adaylar›n vas›flar›n› baz› temel k›staslara göre karﬂ›laﬂt›rmak ve özetlemek ve bunu, bütün hizmet sa¤lay›c›lar›n›n tutarl› ve objektif bir ﬂekilde de¤erlendirilmesine imkân veren bir formatta yapmak uygun olabilir. Düﬂünme süreçlerini teﬂvik
Uygulama Önerileri
151
eden ve temel k›staslara göre de¤erlendirmeye odaklanan sorular yöneltilebilir. Bir de¤erlendirme formu, seçim kurulunun her üyesinin adaylar›n her biri hakk›nda yapt›¤› analizlerin ve vard›¤› sonuçlar›n toplanmas›n› kolaylaﬂt›rabilir. Kurumun çeﬂitli adaylarla geçmiﬂ iliﬂkileri, daha önce al›nan hizmetlerin tipleri ve geçmiﬂte uygulanan ücretler gibi temel bilgiler, seçim kuruluna, de¤erlendirmeye baﬂlamak için uygun bir bak›ﬂ aç›s› verebilir. 10. D›ﬂ denetim görevleriyle ilgili hizmet düzenlemeleri, yaz›l› bir anlaﬂmaya geçirilmeli ve hem ilgili hizmet sa¤lay›c›s› hem de denetlenen taraf›ndan imzalanmal›d›r. 11. Seçme süreci sonucunda hizmet sa¤lay›c›s›n›n de¤iﬂtirilmesi hâlinde, düzgün ve düzenli bir de¤iﬂiklik için uygun geçiﬂ dönemi planlar› yap›lmal›d›r. Gerekirse, resmî kurum ve yetkililer de dahil ilgili taraflara gönderilmesi gereken bildirim ve aç›klamalar da zaman›nda iletilmelidir. 12. ‹ç denetçiler, kurumun d›ﬂ denetçilerin devam eden hizmet faaliyetleri ve çal›ﬂmalar›n› nas›l izledi¤ini ve takip etti¤ini belirlemelidir. Hizmet sözleﬂmelerinin ve di¤er anlaﬂmalar›n koﬂullar›na uyulup uyulmad›¤› dönemsel olarak incelenmelidir. D›ﬂ denetçilerin ba¤›ms›z olup olmad›¤› de¤erlendirmesine iç denetçiler de kat›lmal› ve bu de¤erlendirme en az›ndan y›lda bir kere yap›lmal› ve sonuçlar› denetim komitesine bildirilmelidir.
Uygulama Önerileri
153
Uygulama Önerisi 2060-1: Denetim Komitesi, Yönetim Kurulu ve Üst Yönetime Raporlama Uluslararas› ‹ç Denetim Meslekî Uygulama Standartlar›ndan Standart 2060’›n Yorumu
‹lgili Standart 2060 Yönetim Kurulu, Denetim Komitesi ve Üst Yönetime Raporlamalar ‹ç Denetim Yöneticisi, iç denetim faaliyetinin amac›, yetkileri, görev ve sorumluluklar› ve plana k›yasla performans› konular›nda, denetim komitesi, yönetim kurulu ve üst yönetime dönemsel raporlar sunmal›d›r. Bu raporlar, önemli riskleri, kontrol sorunlar›n›, kurumsal yönetiﬂim sorunlar›n› ve denetim komitesi, yönetim kurulu ve üst yönetimin ihtiyaç duyabilece¤i veya talep edebilece¤i baﬂka konular› da içermelidir. Bu Uygulama Önerisinin Niteli¤i: ‹ç denetçiler, denetim komitesi, yönetim kurulu ve üst yönetime raporlama yaparken aﬂa¤›daki önerileri dikkate almal›d›r. Ancak bu k›lavuzun bu konuda gerekli olabilecek her ﬂeyi kapsamak gibi bir amac› yoktur; k›lavuz, sadece, dikkate al›nmas› gereken bir tavsiyeler demeti sunmaktad›r. Uygulama Önerilerine uymak, iste¤e ba¤l›d›r.
1. ‹ç Denetim Yöneticisi, üst yönetime, denetim komitesine ve yönetim kuruluna y›l boyunca dönemsel olarak faaliyet raporlar› sunmal›d›r. Bu faaliyet raporlar›, görevle ilgili önemli tespit ve tavsiyeleri içermeli ve onaylanm›ﬂ görev iﬂ programlar›, personel (kadro) planlar› ve mali bütçelerden önemli sapmalar› ve bunlar›n sebeplerini üst yönetime, denetim komitesine ve yönetim kuruluna bildirmelidir.
154
Meslekî Uygulama Çerçevesi
2. Görevle ilgili önemli tespitler, ‹ç Denetim Yöneticisinin görüﬂ ve kanaatine göre, kurumu olumsuz etkileyebilecek durumlard›r. Görevle ilgili önemli tespitler; usulsüzlük ve yolsuzluklar, yasa d›ﬂ› fiil ve iﬂlemler, hatalar, verimsizlik, israf, etkisizlik, ç›kar çat›ﬂmalar› ve kontrol zay›fl›klar› gibi durumlar› kapsayabilir. Bu durumlar› üst yönetimle birlikte inceledikten sonra, ‹ç Denetim Yöneticisi, bu sorunlar tatmin edici bir ﬂekilde çözümlenmiﬂ olsun ya da olmas›n, önemli tespit ve tavsiyeleri denetim komitesi ve yönetim kuruluna da bildirmelidir. 3. Yönetimin görevi ve sorumlulu¤u, görevle ilgili önemli tespit ve tavsiyeler dikkate al›narak al›nmas› gereken tedbirler hakk›nda kararlar almakt›r. Üst yönetim, maliyetinden veya baﬂka hususlardan dolay›, rapor edilen bir sorunu düzeltmeme ve çözmeme riskini üstlenmeye karar verebilir. Üst yönetimin önemli tespit ve tavsiyelere iliﬂkin bütün kararlar›, denetim komitesi ve yönetim kuruluna bildirilmelidir. 4. Üst yönetimin, denetim komitesinin ve yönetim kurulunun rapor edilen sorunu düzeltmeme ve çözmeme riskini üstlendi¤i durumlarda, ‹ç Denetim Yöneticisi, görevle ilgili olarak daha önce rapor edilen önemli tespit ve tavsiyeler hakk›nda denetim komitesi ve yönetim kuruluna bilgi vermenin uygunlu¤unu de¤erlendirmelidir. Bu, özellikle kurumda, denetim komitesi, yönetim kurulu veya üst yönetimde meydana gelen de¤iﬂikliklerde -veya benzeri baﬂka de¤iﬂikliklerin oldu¤u durumlarda- gerekli olabilir. 5. Faaliyet raporlar›, yukar›da bahsi geçen konulara ek olarak, (a) fiilî performans› iç denetim faaliyetinin hedefleri ve görev iﬂ programlar›yla ve (b) harcamalar› mali bütçelerle karﬂ›laﬂt›rmal›d›r. Bu raporlar, önemli sapmalar›n sebebini aç›klamal› ve al›nan veya al›nmas› gereken tedbirleri göstermelidir.
Uygulama Önerileri
155
Uygulama Önerisi 2060-2: Denetim Komitesiyle ‹liﬂkiler Uluslararas› ‹ç Denetim Meslekî Uygulama Standartlar›ndan Standart 2060’›n Yorumu
‹lgili Standart 2060 Yönetim Kurulu, Denetim Komitesi ve Üst Yönetime Raporlamalar ‹ç Denetim Yöneticisi, iç denetim faaliyetinin amac›, yetkileri, görev ve sorumluluklar› ve plana k›yasla performans› konular›nda, denetim komitesi, yönetim kurulu ve üst yönetime dönemsel raporlar sunmal›d›r. Bu raporlar, önemli riskleri, kontrol sorunlar›n›, kurumsal yönetiﬂim sorunlar›n› ve denetim komitesi, yönetim kurulu ve üst yönetimin ihtiyaç duyabilece¤i veya talep edebilece¤i baﬂka konular› da içermelidir. Bu Uygulama Önerisinin Niteli¤i: ‹ç denetçiler, iç denetim faaliyeti ile denetim komitesi aras›ndaki iliﬂkiler konusunda aﬂa¤›da verilen önerileri dikkate almal›d›r. Ancak bu ilkeler, dikkate al›nmas› gereken bütün hususlar› kapsamak gibi bir amaç gütmemekte, sadece denetim komiteleri ile iç denetim aras›nda uygun iliﬂkilerin kurulmas› için gerekli temel bilgileri özetlemektedir. Uygulama Önerilerine uymak iste¤e ba¤l›d›r.
1. Bu metinde kullan›lan "denetim komitesi" terimiyle, kurumun denetim ve kontrol iﬂlevlerinin gözetim ve denetiminden sorumlu yönetim kademesine at›fta bulunulmaktad›r. Bu güvene dayanan görevler genellikle bir denetim komitesine verilmesine ra¤men, bu Uygulama Önerisinde verilen bilgiler, yeddieminler, politika ve strateji tayin eden birimler, bir ﬂah›s ﬂirketinin sahipleri, iç kontrol komiteleri veya yönetim kurullar› gibi denk yetki ve sorumluluklara sahip baﬂka gözetim ve denetim gruplar› için de geçerlidir ve onlara da uygulanabilir. 2. Uluslararas› ‹ç Denetçiler Enstitüsü (IIA), denetim komiteleri ve iç denetçilerin amaçlar›n›n birbirine ba¤l› oldu¤unu kabul
156
Meslekî Uygulama Çerçevesi
eder. Bunlar›n her birinin üst yönetim, yönetim kurulu, hissedarlar ve kurum d›ﬂ› taraflara karﬂ› sorumluluklar›n› yerine getirebilmesi için, denetim komitesiyle güçlü bir iﬂ iliﬂkisinin kurulmas› ﬂartt›r. Bu Uygulama Önerisi, denetim komitesi ile iç denetim faaliyeti aras›nda uygun bir iliﬂkinin özellik ve nitelikleri hakk›nda IIA’n›n görüﬂlerini özetlemektedir. IIA, denetim komitesinin sorumluluklar›n›n bu Uygulama Önerisinin kapsam› d›ﬂ›ndaki faaliyetleri de kapsad›¤›n› bilir; dolay›s›yla bu Uygulama Önerisi, denetim komitesinin sorumluluklar›n›n kapsaml› ve tam bir tan›m›n› vermek iddias›yla haz›rlanmam›ﬂt›r. 3. Denetim komitesi ile iç denetim faaliyeti aras›nda, esas olarak ‹ç Denetim Yöneticisi arac›l›¤›yla, etkin bir iliﬂki kurmak için önem taﬂ›yan üç faaliyet alan› vard›r: • Denetim komitesine, sorumluluklar›n› yerine getirebilmesi için, yönetmelik, faaliyet ve süreçlerinin uygun olmas›n› sa¤lamaya yard›mc› olmak, • ‹ç denetimin yönetmeli¤i, rolü ve faaliyetlerinin net ve aç›k bir ﬂekilde anlaﬂ›lmas›n› ve bunlar›n denetim komitesinin ve yönetim kurulunun ihtiyaçlar›na cevap verecek ﬂekilde olmas›n› sa¤lamak, • Denetim komitesi ve baﬂkan›yla aç›k ve etkin bir iletiﬂim sürdürmek.
Denetim Komitesinin Sorumluluklar›: 4. ‹ç Denetim Yöneticisi, denetim komitesi yönetmeli¤i, rolü ve faaliyetlerinin onun sorumluluklar›n› yerine getirmesi için uygun olmas›n› sa¤lamak konusunda kurula yard›mc› olmal›d›r. ‹ç Denetim Yöneticisi, faaliyetlerinin dönemsel gözden geçirilmesi ve bu konuda iyileﬂtirme tedbirleri tavsiye edilmesi konular›nda kurula yard›mc› olarak önemli bir rol oynayabilir. Bu yolla, ‹ç Denetim Yöneticisi, denetim komitesi çal›ﬂmalar› ve düzenleyici uygulamalar konusunda denetim komitesi için de¤erli bir dan›ﬂman olabilir. ‹ç Denetim Yöneticisinin yapabilece¤i faaliyet ve iﬂlerin örnekleri ﬂunlard›r:
Uygulama Önerileri
157
• Denetim komitesinin yönetmeli¤ini en az y›lda bir kere gözden geçirmek ve bu yönetmeli¤in, yönetim kurulunun verdi¤i emir veya iﬂaretler ›ﬂ›¤›nda, denetim komitesinin üstlendi¤i bütün sorumluluklara temas edip etmedi¤i konusunda denetim komitesine bilgi vermek, • Denetim komitesinin toplant›lar› için, gereken tüm faaliyetlerin ay›nt›lar›n› içeren ve bunlar›n tamamlan›p tamamlanmad›¤›n› aç›klayan ve kendisine verilen bütün görevleri yerine getirdi¤ini yönetim kuruluna y›lda bir defa rapor etmesinde denetim komitesine yard›mc› olan bir planlama gündemi haz›rlamak, • Denetim komitesinin toplant› gündemini haz›rlamak ve kurul baﬂkan›n›n incelemesine sunmak; toplant› malzemelerinin denetim komitesinin bütün üyelerine da¤›t›m›n› sa¤lamak ve denetim komitesi toplant› tutanaklar›n› yazmak, • Denetim komitesini, faaliyet ve uygulamalar›n›n genel kabul gören uygulamalara uygun ve tutarl› olmas›n› sa¤lamak amac›yla, kurulun faaliyet ve uygulamalar›n›n mevcut en iyi uygulamalarla karﬂ›laﬂt›r›ld›¤› dönemsel gözden geçirmeler yapmaya teﬂvik etmek, • Denetim komitesi üyelerine verilen malzemelerin ve bilgilerin onlar›n ihtiyaçlar›n› karﬂ›lay›p karﬂ›lamad›¤›n› de¤erlendirmek için kurul baﬂkan›yla dönemsel toplant›lar yapmak, • Yeni kurul üyelerinin risk ve kontroller konusunda e¤itilmesi gibi, e¤itim veya bilgilendirme kurslar› veya sunumlar›n›n yararl› olup olmayaca¤›n›n denetim komitesine sorulmas›, • Kurula ay›rd›¤› zaman›n ve görüﬂme s›kl›¤›n›n yeterli olup olmad›¤›n›n denetim komitesine sorulmas›.
‹ç Denetim Faaliyetinin Rolü: 5. ‹ç Denetim Yöneticisinin denetim komitesiyle iliﬂkisi, denetim komitesinin iç denetim iﬂlevini anlamas›n› ve desteklemesini ve iç denetim faaliyetinden gereken her konuda yard›m almas›n›
158
Meslekî Uygulama Çerçevesi
sa¤lamak konusunda ‹ç Denetim Yöneticisinin üstlendi¤i temel rol etraf›nda ﬂekillenmelidir. IIA, sa¤lam bir yönetiﬂimin, etkin kurumsal yönetiﬂim sistemlerinin dört temel unsuru aras›nda yarat›lan sinerjiye ba¤l› oldu¤una inan›r ve bu tezi destekler: Yönetim kurulu, yönetim, iç denetçiler ve d›ﬂ denetçiler. Bu yap› içinde, iç denetçiler ve denetim komitesi birbirlerini karﬂ›l›kl› olarak destekler. Denetim komitesinin bir kurumun faaliyetlerini tam olarak anlayabilmesi için, iç denetçilerin iﬂlerinin de¤erlendirilmesi ﬂartt›r. ‹ç Denetim Yöneticisinin kurula karﬂ› üstlendi¤i rolün aslî bir unsuru da, bu hedefe ulaﬂ›lmas›n› ve kurulun ‹ç Denetim Yöneticisini güvenilir bir dan›ﬂman› olarak görmesini temin etmektir. ‹ç Denetim Yöneticisi, bu rolün gere¤ini yerine getirmek için çeﬂitli faaliyetler yapabilir: • Denetim komitesinin iç denetim yönetmeli¤ini y›lda bir kere gözden geçirmesini ve onaylamas›n› talep etmek. (Bir iç denetim birimi yönetmeli¤i örne¤i, IIA’n›n web sitesinde bulunmaktad›r: http://www.theiia.org/ecm/guide-ia.cfm?doc_id=383).
• Mevcut örgütlenme yap›s›n›n iç denetçilere uygun ve yeterli ba¤›ms›zl›k verdi¤inden emin olmak amac›yla, iç denetimin iﬂlevsel ve idarî hiyerarﬂik iliﬂkilerini denetim komitesiyle birlikte incelemek ve gözden geçirmek (Uygulama Önerisi 1110-2 "‹ç Denetim Yöneticisi - Hiyerarﬂik ‹liﬂkiler), • ‹ç Denetim Yöneticisinin tayini, ücreti, performans de¤erlendirmesi, görevde kalmas› ve görevden azledilmesi de dahil olmak üzere ‹ç Denetim Yöneticisi ile ilgili istihdam kararlar›n›n denetim komitesi taraf›ndan incelenmesini öngören bir hükmü denetim komitesi yönetmeli¤ine koymak, • ‹ç denetim hizmetlerinin d›ﬂar›dan al›nmas›na iliﬂkin tekliflerin denetim komitesi taraf›ndan incelenmesi ve onaylanmas›n› öngören bir hükmü denetim komitesi yönetmeli¤ine koymak, • ‹ç denetim faaliyetinin sorumluluklar›n› yerine getirmesine engel olan bütçe veya kapsam s›n›rlamalar› bulunmamas›n› temin etmek amac›yla, personelin ve bütçenin yeterlili¤i ve
Uygulama Önerileri
159
iç denetim faaliyetlerinin kapsam› ve sonuçlar› konular›n›n de¤erlendirilmesinde denetim komitesine yard›mc› olmak, • Di¤er kontrol ve gözlem iﬂlevlerinin (örne¤in, risk yönetimi, mevzuata uyum, güvenlik, iﬂ devaml›l›¤›, hukuk, etik, çevre ve d›ﬂ denetim) gözetimi ve eﬂgüdümü hakk›nda bilgi vermek, • Kurumun ve ba¤l› ﬂirketlerinin faaliyetlerinin kontrolü süreçleriyle ilgili önemli sorunlar› ve bu süreçlerde iyileﬂtirme ve geliﬂtirme yapmaya yönelik önerileri rapor etmek ve bu konularda bir karar al›nana kadar gerekli tüm bilgileri vermek, • Y›ll›k denetim plan›n›n durumu ve sonuçlar› hakk›nda ve birim kaynaklar›n›n yeterlili¤i konusunda üst yönetim ve denetim komitesine bilgi vermek, • Yönetimin belirledi¤i risk veya kontrol endiﬂeleri de dahil, risk esasl› uygun bir yöntem uygulayarak esnek bir y›ll›k denetim plan› haz›rlamak ve dönemsel güncellemeler yan›nda, bu plan› gözden geçirme ve onaylamas› için denetim komitesine sunmak, • Gerekti¤inde yönetimin ve denetim komitesinin talep etti¤i özel görev veya projeler de dahil, onaylanm›ﬂ y›ll›k denetim plan›n›n uygulamalar› hakk›nda rapor sunmak, • ﬁirketin iç kontrollerinde önemli görevleri bulunan çal›ﬂanlar›n veya yönetimin dahil oldu¤u suiistimal ﬂüphelerinin denetim komitesine zaman›nda bildirilmesi konusunda, iç denetim biriminin sorumlulu¤unu iç denetim yönetmeli¤ine koymak. Kurum içinde önem arz eden ﬂüpheli suiistimal fiilleri hakk›nda araﬂt›rma yap›lmas›na yard›mc› olmak ve sonuçlar› yönetime ve denetim komitesine bildirmek, • Denetim komiteleri, iç denetim faaliyetinin IIA’n›n "Uluslararas› ‹ç Denetim Meslekî Uygulama Standartlar›’na" (Standartlar) uydu¤unu ilân edebilmesi için iç denetim faaliyetinin her beﬂ y›lda bir kalite de¤erlendirmesine tâbi tutulmas› gerekti¤ini bilmelidir. Düzenli kalite de¤erlendirmeleri, iç denetim faaliyetlerinin bu Standartlara
160
Meslekî Uygulama Çerçevesi
uygun oldu¤u konusunda denetim komitesine ve yönetime yeterli güvence verecektir,
Denetim Komitesiyle ‹letiﬂim: 6. Yukar›da say›lan faaliyetler sakl› kalmak kayd›yla, ‹ç Denetim Yöneticisi ile denetim komitesi aras›ndaki iliﬂkinin genel etkinli¤i, büyük ölçüde, taraflar aras›ndaki iletiﬂime ba¤l›d›r. Günümüzde denetim komiteleri aç›k ve samimî iletiﬂim konusunda yüksek bir seviye beklentisi içindedir. ‹ç Denetim Yöneticisinin denetim komitesi taraf›ndan güvenilir bir dan›ﬂman olarak görülebilmesi için, iletiﬂim temel unsurdur. ‹ç denetim, tan›m› gere¤i, denetim faaliyetlerine sistemli ve disiplinli bir yaklaﬂ›m getirerek denetim komitesine hedeflerine ulaﬂmas› konusunda yard›mc› olabilir; fakat uygun bir iletiﬂim kurulamazsa, denetim komitesinin bunu gerçekleﬂtirmesi mümkün de¤ildir. ‹ç Denetim Yöneticisi, aﬂa¤›daki konularda denetim komitesiyle iletiﬂim kurmay› düﬂünmelidir: • Denetim komiteleri, hassas konular› tart›ﬂmak için ‹ç Denetim Yöneticisi ile düzenli olarak özel toplant›lar yapmal›d›r, • Denetim iﬂinin tan›mlanan görevi ve kapsam›na göre denetim faaliyetlerinin sonuçlar› hakk›nda bir y›ll›k özet rapor veya de¤erlendirme sunmak, • Denetim komitesine ve yönetime, denetim çal›ﬂmalar›n›n sonuçlar›n› özetleyen dönemsel raporlar sunmak, • ‹ç denetim konusunda en son e¤ilimler ve baﬂar›l› uygulamalar hakk›nda denetim komitesini sürekli bilgilendirmek, • Denetim komitesini bilgilendirme ihtiyaçlar›n›n karﬂ›lan›p karﬂ›lanmad›¤›n› d›ﬂ denetçilerle tart›ﬂmak, • Denetim komitesine verilen bilgilerin taml›¤›n› ve do¤rulu¤unu gözden geçirmek, • ‹ç ve d›ﬂ denetçiler aras›nda etkin ve verimli bir faaliyet eﬂgüdümü olup olmad›¤›n› teyid etmek. ‹ç ve d›ﬂ denetçilerin iﬂleri aras›nda tekrarlama olup olmad›¤›n› tespit etmek ve bunun sebeplerini aç›klamak.
Uygulama Önerileri
161
Uygulama Önerisi 2100-1: ‹ﬂin Niteli¤i Uluslararas› ‹ç Denetim Meslekî Uygulama Standartlar›ndan Standart 2100’ün Yorumu
‹lgili Standart 2100 ‹ﬂin Niteli¤i ‹ç denetim faaliyeti, sistematik ve disiplinli bir yaklaﬂ›mla, risk yönetimi, kontrol ve yönetiﬂim sistemlerini de¤erlendirmeli ve bu sistemlerin iyileﬂtirilmesine katk›da bulunmal›d›r. Bu Uygulama Önerisinin Niteli¤i: ‹ç denetçiler, iç denetim faaliyetinin çal›ﬂmalar›n›n niteli¤ini de¤erlendirirken aﬂa¤›daki önerileri dikkate almal›d›r. Ancak bu k›lavuzun bu de¤erlendirmede gerekli olabilecek her ﬂeyi kapsamak gibi bir amac› yoktur; k›lavuz, sadece, dikkate al›nmas› gereken bir tavsiyeler demeti sunmaktad›r. Uygulama Önerilerine uymak, iste¤e ba¤l›d›r.
1. ‹ç denetim çal›ﬂmas›, risk yönetimi, kontrol ve yönetiﬂim süreçlerinin yeterlili¤inin ve etkinli¤inin ve verilen görevlerin yerine getirilmesinde gösterilen performans kalitesinin de¤erlendirilmesi ve iyileﬂtirilmesi amac›na yönelik sistemli ve disiplinli bir yaklaﬂ›m› içine al›r. Kurumun mevcut risk yönetimi, kontrol ve yönetiﬂim süreçlerinin yeterlili¤ini de¤erlendirmenin gayesi; (1) bu süreçlerin niyetlenildi¤i gibi çal›ﬂt›¤›ndan ve kurumun hedef ve amaçlar›na ulaﬂmas›n› sa¤layaca¤›ndan emin olmak ve (2) kurumun faaliyetlerinin performans etkinli¤i ve verimlili¤i aç›s›ndan geliﬂtirilmesine yönelik tavsiyelerde bulunmakt›r. Üst yönetim, denetim komitesi ve yönetim kurulu, denetlenecek faaliyetler ve denetim iﬂinin kapsam› hakk›nda genel talimatlar verebilir. 2. Kurum yönetimi, risk yönetimi, kontrol ve yönetiﬂim süreçlerini, kurumun hedef ve amaçlar›n›n verimli ve ekonomik bir ﬂekilde gerçekleﬂtirilmesi için makul bir güvence sa¤layacak ﬂekilde,
162
Meslekî Uygulama Çerçevesi
planlad›¤› ve tasarlad›¤› takdirde, bu risk yönetimi, kontrol ve yönetiﬂim süreçleri uygun ve yeterli say›l›r. Verimli performans, hedef ve amaçlar›n do¤ru, zamanl› ve ekonomik ﬂekilde gerçekleﬂtirilmesi anlam›na gelir. Ekonomik performans, hedef ve amaçlar›n mevcut risk maruziyetine uygun asgarî kaynak kullan›m›yla (yani, asgarî maliyetle) gerçekleﬂtirilmesi anlam›na gelir. Riskleri azaltmak ve beklenen sapmalar› kabul edilebilir bir düzeyde s›n›rland›rmak için tasar›m ve uygulama safhalar›nda maliyet aç›s›ndan en etkin önlemler al›nd›¤› takdirde, makul güvence sa¤lanm›ﬂ kabul edilir. Böylece, tasar›m süreci, hedef ve amaçlar›n belirlenmesiyle baﬂlar. Bu safhan›n ard›ndan; ilgili kavram, bölüm, faaliyet ve insanlar›n, belirlenen hedef ve amaçlara ulaﬂmak için birlikte çal›ﬂabilecek bir ﬂekilde örgütlenmesi veya toplanmas› aﬂamas› gelir. 3. Yönetim, ilgili süreçleri kurumun hedef ve amaçlar›na ulaﬂ›lmas› için makul güvence sa¤layacak bir ﬂekilde yönlendirdi¤i takdirde, bu risk yönetimi, kontrol ve yönetiﬂim süreçleri etkin say›l›r. Hedeflere ulaﬂ›lmas› ve planlanan faaliyetlerin yürütülmesine ek olarak, kurum yönetimi, ilgili iﬂlem ve faaliyetler için yetki vererek, performans sonuçlar›n› izleyerek ve kurumun belirledi¤i süreçlerin tasarland›¤› gibi devam edip etmedi¤ini kontrol ederek yönlendirme yapar. 4. Genel olarak, tüm kurumun sürdürülebilir olmas›ndan ve kurumun çal›ﬂmalar›, davran›ﬂlar› ve performans›ndan dolay› hissedarlara, di¤er menfaat sahiplerine, resmî yetkililere ve genel kamuya karﬂ› kurum yönetimi sorumludur. Özel olarak, genel yönetim sürecinin temel ve aslî hedefleri: • ilgili, güvenilir ve inan›l›r finans ve iﬂletme bilgilerine ulaﬂmak, • kurum kaynaklar›n›n etkin ve verimli kullan›lmas›n› sa¤lamak, • kurumun varl›klar›n› korumak, • kanunlara, mevzuata, etik ve iﬂ standartlar›na ve sözleﬂmelere uyulmas›n› sa¤lamak,
Uygulama Önerileri
163
• risk maruziyetlerini belirlemek ve tan›mlamak ve bunlar› kontrol alt›na almak için etkin stratejiler uygulamak, • faaliyetler veya programlar için hedef ve amaçlar koymak. 5. Kurum yönetimi, hedef ve amaçlara ulaﬂ›lmas› konusunda makul güvence sa¤lamak için yeterli tedbirlerin al›nmas› ve uygulanmas›n› planlar, örgütler ve yönlendirir. Yönetim, hedef ve amaçlar›n› dönemsel olarak gözden geçirir ve süreçlerini iç ve d›ﬂ koﬂullardaki de¤iﬂikliklere göre uyarlar. Yönetim, riskleri anlamas›n› ve etkin risk stratejileriyle yönetmesini mümkün k›lacak etik iklimini de içine alan bir kurum kültürü oluﬂturur ve uygular. 6. Kontrol, yönetimin belirlenen hedef ve amaçlara ulaﬂma ihtimalini art›rmak amac›yla ald›¤› tedbirlerdir. Kontrol, önleyici (istenmeyen olaylar› cayd›r›c›), tespit edici (meydana gelen istenmeyen olaylar› tespit edici ve düzeltici) ya da yönlendirici (istenen olaylar› teﬂvik edici veya bunlar›n olmas›n› sa¤lay›c›) nitelikte olabilir. Kontrol sistemi kavram›, bir kurumun hedef ve amaçlar›na varmak için kulland›¤› kontrol unsurlar› ve faaliyetlerinin bütünlüklü bir toplam›n› kapsar. 7. ‹ç denetçiler, hedef ve amaçlara ulaﬂ›laca¤› konusunda makul güvencenin bulunup bulunmad›¤›n› tespit etmek amac›yla, planlama, örgütleme ve yönlendirmeden oluﬂan yönetim sürecinin tamam›n› de¤erlendirir. ‹ç denetçiler, ileriye yönelik bir bak›ﬂ aç›s›yla güvence sa¤lama kabiliyetini etkileyen iç veya d›ﬂ koﬂullardaki fiilî veya potansiyel de¤iﬂiklikler konusunda uyan›k olmal›d›r. Bu durumlarda, iç denetçiler, performans›n düﬂmesi riskine dikkat etmelidir. 8. Bu iç denetim de¤erlendirmeleri, bir bütün olarak, genel yönetim sürecinin de¤erlendirilmesi için gereken veri ve bilgileri verir. Kurum içindeki bütün iﬂ sistemleri, süreçler, operasyonlar, bölümler ve faaliyetler iç denetçilerin bu de¤erlendirmelerine tâbidir. ‹ç denetim iﬂinin genel kapsam›;
164
Meslekî Uygulama Çerçevesi
• yönetimin uygulad›¤› risk yönetimi sisteminin etkin oldu¤u, • yönetimin iç kontrol sisteminin yeterli, etkin ve verimli oldu¤u, • yönetiﬂim sürecinin gerekli de¤erleri belirlemek ve korumak, hedefleri tespit etmek, faaliyetleri ve iﬂ performans›n› izlemek ve sorumluluklarla ilgili tedbirleri tan›mlamak aç›s›ndan etkin oldu¤u konusunda makul güvence sa¤lamal›d›r.
Uygulama Önerileri
165
Uygulama Önerisi 2100-2: Bilgi Güvenli¤i Uluslararas› ‹ç Denetim Meslekî Uygulama Standartlar›ndan Standart 2100’ün Yorumu
‹lgili Standart 2100 ‹ﬂin Niteli¤i ‹ç denetim faaliyeti, sistematik ve disiplinli bir yaklaﬂ›mla, risk yönetimi, kontrol ve yönetiﬂim sistemlerini de¤erlendirmeli ve bu sistemlerin iyileﬂtirilmesine katk›da bulunmal›d›r. Bu Uygulama Önerisinin Niteli¤i: ‹ç denetçiler, bir kurumun bilgi güvenli¤iyle ilgili yönetiﬂim faaliyetlerini inceler ve de¤erlendirirken aﬂa¤›daki önerileri dikkate almal›d›r. Ancak bu k›lavuzun bilgi güvenli¤ine iliﬂkin kapsaml› bir güvence veya dan›ﬂmanl›k görevi için gerekli olabilecek her ﬂeyi kapsamak gibi bir amac› yoktur; k›lavuz, sadece, denetim komitesi, yönetim kurulu ve üst yönetimle ilgili görevlerini tamamlay›c› nitelikte üst düzey denetçi sorumluluklar› hakk›nda bir tavsiyeler demeti sunmaktad›r. Uygulama Önerilerine uymak, iste¤e ba¤l›d›r.
1. ‹ç denetçiler, üst yönetimin, denetim komitesinin ve yönetim kurulunun bilgi güvenli¤inin idarî bir sorumluluk oldu¤u konusunda aç›k bir anlay›ﬂa sahip olup olmad›klar›n› belirlemelidir. Bu sorumluluk, bilgilerin hangi ortamda sakland›¤›na bak›lmaks›z›n kurum için hayatî öneme sahip bütün veri ve bilgileri kapsar. 2. ‹ç Denetim Yöneticisi, iç denetim faaliyetinin bilgi güvenli¤ini ve ba¤lant›l› risk ve risk maruziyetlerini de¤erlendirmek için yeterli ve uygun denetim kaynaklar›na veya bu kaynaklara eriﬂim olana¤›na sahip olup olmad›¤›n› tespit etmelidir. Bu, kurumun d›ﬂ kurumlarla iliﬂkilerinden kaynaklananlar dahil hem iç hem d›ﬂ risk ve risk maruziyetlerini kapsar. 3. ‹ç denetçiler, bilgi güvenli¤i ihlâllerinin ve kurum aç›s›ndan tehlike oluﬂturabilecek durumlar›n iç denetim faaliyetlerini
166
Meslekî Uygulama Çerçevesi
yürüten kiﬂilere derhal bildirilece¤i konusunda, denetim komitesinin ve yönetim kurulunun di¤er yönetim birimlerinden güvence al›p almad›¤›n› da tespit etmelidir. 4. ‹ç denetçiler, gerekti¤inde, geçmiﬂ ve gelecekteki muhtemel sald›r›lara veya sald›r› giriﬂimlerine karﬂ›, önleyici, tespit edici ve azalt›c› tedbirlerin etkinli¤ini de¤erlendirmelidir. ‹ç denetçiler; denetim komitesinin ve yönetim kurulunun, mevcut tehditler, olaylar, karﬂ›laﬂ›lan zay›fl›klar ve uygulanan düzeltici tedbirler hakk›nda yeterince bilgilendirildi¤ini teyit etmelidir. 5. ‹ç denetçiler, kurumun bilgi güvenli¤i uygulamalar›n› dönemsel olarak de¤erlendirmeli; mevcut koruma ve kontrol iyileﬂtirmeleri ya da yeni koruma ve kontrol uygulamalar› (hangisi uygunsa) tavsiye etmelidir. Bu de¤erlendirmeden sonra, denetim komitesi ve yönetim kuruluna, bir güvence raporu sunulmal›d›r. Bu de¤erlendirmeler, ba¤›ms›z ve ayr› görevler olarak ya da onaylanm›ﬂ denetim plan›n›n bir parças› olan baﬂka denetim veya görevlerle bütünlük arz edecek ﬂekilde yap›labilir.
Uygulama Önerileri
167
Uygulama Önerisi 2100-3: ‹ç Denetimin Risk Yönetim Sürecindeki Rolü Uluslararas› ‹ç Denetim Meslekî Uygulama Standartlar›ndan Standart 2100’ün Yorumu
‹lgili Standart 2100 ‹ﬂin Niteli¤i ‹ç denetim faaliyeti, sistematik ve disiplinli bir yaklaﬂ›mla, risk yönetimi, kontrol ve yönetiﬂim sistemlerini de¤erlendirmeli ve bu sistemlerin iyileﬂtirilmesine katk›da bulunmal›d›r. Bu Uygulama Önerisinin Niteli¤i: ‹ç denetimin tan›m› ﬂöyledir: "... risk yönetimi, kontrol ve yönetiﬂim süreçlerinin etkinli¤ini de¤erlendirmek ve geliﬂtirmek ve iyileﬂtirmek amac›na yönelik disiplinli bir yaklaﬂ›md›r." ‹ç denetçiler, iç denetimi Standartlara uygun bir ﬂekilde gerçekleﬂtirmek için, kurumun risk yönetimi sürecinde önemli ve temel bir rol oynar. Bu uygulama önerisi, iç denetçilere, bir kurumun risk yönetim sürecindeki rollerinin tespit edilmesi için ve Standartlara uymalar› için bir k›lavuz görevini yapmaktad›r. Bu uygulama önerisinde ele al›nan konular›n d›ﬂ›nda baﬂka konular›n da ele al›nmas› gerekebilir. Uygulama Önerilerine uymak, iste¤e ba¤l›d›r.
1. Risk yönetimi, kurum yönetiminin temel sorumluluklar›ndan biridir. ‹ﬂ hedeflerine ulaﬂabilmek için, yönetimin, kurum içinde sa¤lam risk yönetimi süreçlerinin bulunmas›n› ve kullan›lmas›n› sa¤lamas› gerekir. Denetim komitesi ve yönetim kurulu, uygun risk yönetimi süreçlerinin bulunup bulunmad›¤›n› ve bu süreçlerin yeterli ve etkin olup olmad›¤›n› tespit etmek konusunda denetleyici bir rol oynar. ‹ç denetçiler, yönetimin uygulad›¤› risk süreçlerinin yeterlili¤i ve etkinli¤ini inceleyerek, de¤erlendirerek, rapor ederek ve bu konuda iyileﬂtirici önlemler önererek hem yönetime hem de denetim komitesine yard›mc› olmal›d›r. Kurumun risk yönetimi ve kontrol süreçlerinden kurum yönetimi, denetim komitesi ve yönetim kurulu sorumludur. Ancak, dan›ﬂmanl›k rolünü
168
Meslekî Uygulama Çerçevesi
üstlenen iç denetçiler de, bu risklerin tan›mlanmas›, de¤erlendirilmesi, risk yönetimi yöntemlerinin uygulanmas› ve bu risklerle ilgili kontrol önlemlerinin al›nmas› ve uygulanmas› konular›nda yard›mc› olabilir. 2. Kurumun risk yönetimi süreçleri hakk›nda de¤erlendirme ve incelemeler yapmak ve raporlar yazmak, normal olarak, yüksek denetim önceli¤ine sahip bir görevdir. Yönetimin uygulad›¤› risk süreçlerini de¤erlendirme görevi; denetçilerin denetim çal›ﬂmalar›n› planlamak için risk analizlerini kullanmas› gere¤inden farkl›d›r. Bununla birlikte, üst yönetimin, denetim komitesi ve yönetim kurulunun endiﬂe duydu¤u konular›n tespiti de dahil, kapsaml› bir risk yönetim sürecinden elde edilen bilgiler, iç denetçilerin denetim faaliyetlerini planlamas›na yard›mc› olabilir. 3. ‹ç Denetim Yöneticisi, kurumun risk yönetimi sürecinde, üst yönetimin, yönetim kurulunun ve denetim komitesinin iç denetim faaliyetinden beklentilerini ö¤renmeli ve kavramal›d›r. Bu bilgiler, iç denetim faaliyetinin ve denetim kurulunun yönetmeliklerine de yaz›lmal›d›r. 4. Kurumun risk yönetimi sürecinde rol oynayan bütün kiﬂi ve gruplar aras›nda faaliyetlerin ve sorumluluklar›n eﬂgüdümü gerekir. Bu sorumluluk ve faaliyetler, kurumun stratejik planlar›nda, denetim komitesi ve yönetim kurulunun politikalar›nda, yönetmeliklerde, genelgelerde, faaliyet prosedürlerinde ve baﬂka idarî belgelerde de aç›kça ifade edilmelidir. Kay›tlara geçirilmesi gereken faaliyet ve sorumluluklara örnek olarak ﬂunlar› gösterebiliriz: • Stratejik yönün tayini görevi denetim komitesine, yönetim kuruluna veya bir baﬂka komiteye verilebilir, • Risklerin sorumlulu¤u üst yönetim kademelerine verilebilir, • Ek risklerin kabulü sorumlulu¤u icra kurulu düzeyinde olabilir, • Kesintisiz risk tespit, tan›mlama, de¤erlendirme, azaltma ve izleme faaliyetleri, faaliyetler düzeyinde yürütülebilir,
Uygulama Önerileri
169
• Dönemsel de¤erlendirme ve güvence sa¤lama görevleri, iç denetim faaliyetine verilmelidir. 5. ‹ç denetçilerin iﬂlerinin ola¤an ak›ﬂ› içinde önemli risk ve risk maruziyetlerini tespit etmeleri ve de¤erlendirmeleri beklenir. 6. ‹ç denetim faaliyetinin bir kurumun risk yönetim sürecinde oynad›¤› rol, zamanla de¤iﬂebilir ve • hiç rolü olmamaktan, • iç denetim plan›n›n bir parças› olarak risk yönetimi sürecini denetlemeye, • izleme komitelerine, izleme faaliyetlerine ve durum raporlama çal›ﬂmalar›na kat›lmak gibi, risk yönetim sürecinde faal ve kesintisiz destek ve kat›l›ma, • risk yönetim sürecinin yönetimi ve eﬂgüdümüne kadar uzanan bir aral›kta olabilir. 7. Son olarak, iç denetimin risk yönetimi sürecindeki rolünü tespit etmek, üst yönetimin ve denetim komitesinin görevidir. Yönetimin iç denetimin rolü konusundaki görüﬂü de, muhtemelen, kurumsal kültür, iç denetim personelinin kabiliyeti, ülkenin mahallî koﬂullar› ve gelenekleri gibi etkenler dikkate al›narak belirlenir. 8. Bu konuda, aﬂa¤›da say›lan uygulama önerilerinde ek öneri ve tavsiyeler bulunabilir: • PA 2100-4 Risk Yönetim Süreci Bulunmayan Kurumlarda ‹ç Denetimin Rolü • PA 1130.A1-2 ‹ç Denetimin Di¤er (Denetim-D›ﬂ›) Görev ve Fonksiyonlarla ‹lgili Sorumluluklar› • PA 2110-1 Risk Yönetim Süreçlerinin Yeterlili¤inin De¤erlendirilmesi • PA 2010-2 Denetim Plan›yla Risk ve Risk Maruziyeti Aras›nda Ba¤lant› Kurmak
Uygulama Önerileri
171
Uygulama Önerisi 2100-4: Risk Yönetim Süreci Bulunmayan Kurumlarda ‹ç Denetimin Rolü Uluslararas› ‹ç Denetim Meslekî Uygulama Standartlar›ndan Standart 2100’ün Yorumu
‹lgili Standart 2100 ‹ﬂin Niteli¤i ‹ç denetim faaliyeti, sistematik ve disiplinli bir yaklaﬂ›mla, risk yönetimi, kontrol ve yönetiﬂim sistemlerini de¤erlendirmeli ve bu sistemlerin iyileﬂtirilmesine katk›da bulunmal›d›r. Bu Uygulama Önerisinin Niteli¤i: ‹ç denetimin tan›m› ﬂöyledir: "... risk yönetimi, kontrol ve yönetiﬂim süreçlerinin etkinli¤ini de¤erlendirmek ve geliﬂtirmek ve iyileﬂtirmek amac›na yönelik disiplinli bir yaklaﬂ›md›r." ‹ç denetçiler, iç denetimi Standartlara uygun bir ﬂekilde gerçekleﬂtirmek için, kurumun risk yönetimi sürecinde önemli ve temel bir rol oynar. Ancak baz› kurumlarda yerleﬂik bir risk yönetimi süreci bulunmayabilir. Bu uygulama önerisi, iç denetçilere, yerleﬂik bir risk yönetimi süreci bulunmayan bir kurumdaki rollerinin tespit edilmesi için bir k›lavuz görevini yapmaktad›r. Bu uygulama önerisinde ele al›nan konular›n d›ﬂ›nda baﬂka konular›n da ele al›nmas› gerekebilir. Uygulama Önerilerine uymak, iste¤e ba¤l›d›r.
1. Risk yönetimi, yönetimin temel sorumluluklar›ndan biridir. ‹ﬂ hedeflerine ulaﬂabilmek için, yönetimin, kurum içinde sa¤lam risk yönetimi süreçlerinin bulunmas›n› ve kullan›lmas›n› sa¤lamas› gerekir. Denetim komitesi ve yönetim kurulu, uygun risk yönetimi süreçlerinin bulunup bulunmad›¤›n› ve bu süreçlerin yeterli ve etkin olup olmad›¤›n› tespit etmek konusunda denetleyici bir rol oynar. ‹ç denetçiler, yönetimin uygulad›¤› risk süreçlerinin yeterlili¤i ve etkinli¤ini inceleyerek, de¤erlendirerek, rapor ederek ve bu konuda iyileﬂtirici önlemler önererek hem yönetime hem de denetim
172
Meslekî Uygulama Çerçevesi
komitesine yard›mc› olmal›d›r. Kurumun risk yönetimi ve kontrol süreçlerinden yönetim, denetim komitesi ve yönetim kurulu sorumludur. Ancak, dan›ﬂmanl›k rolünü üstlenen iç denetçiler de, bu risklerin tan›mlanmas›, de¤erlendirilmesi ve risk yönetimi metodolojilerinin uygulanmas› ve bu risklerle ilgili kontrol önlemlerinin al›nmas› ve uygulanmas› konular›nda yard›mc› olabilir. 2. Kurumun risk yönetimi süreçleri hakk›nda de¤erlendirme ve incelemeler yapmak ve raporlar yazmak, normal olarak, yüksek denetim önceli¤ine sahip bir görevdir. Yönetimin uygulad›¤› risk süreçlerini de¤erlendirme görevi, denetçilerin denetim çal›ﬂmalar›n› planlamak için risk analizlerini kullanmas› gere¤inden farkl›d›r. Bununla birlikte, yönetimin, denetim komitesi ve yönetim kurulunun kayg› duydu¤u konular›n tespiti de dahil, kapsaml› bir risk yönetim sürecinden elde edilen bilgiler, iç denetçilerin denetim faaliyetlerini planlamas›na yard›mc› olabilir. 3. ‹ç Denetim Yöneticisi, kurumun risk yönetimi sürecinde, üst yönetim, denetim komitesi ve yönetim kurulunun iç denetim faaliyetinden beklentilerini ö¤renmeli ve kavramal›d›r. Bu bilgiler, iç denetim faaliyetinin ve denetim kurulunun yönetmeliklerine de yaz›lmal›d›r. 4. Bir kurum bir risk yönetimi süreci oluﬂturmam›ﬂsa, iç denetçi, böyle bir sürecin oluﬂturulmas›na iliﬂkin tavsiyeleriyle birlikte bu konuyu yönetimin dikkatine sunmal›d›r. ‹ç denetçi, denetim faaliyetinin risk yönetimi sürecindeki rolü konusunda yönetimin, denetim komitesi, yönetim ve yönetim kurulun›n görüﬂ ve talimatlar›n› almal›d›r. ‹ç denetim faaliyetinin ve denetim kurulunun yönetmelikleri, her birinin risk yönetimi sürecindeki rolünü aç›klamal› ve göstermelidir. 5. Talep hâlinde, iç denetçiler, kurumun risk yönetim sürecinin ilk kuruluﬂuna yard›mc› olacak faal bir rol oynayabilir. Daha faal bir rol ise, geleneksel güvence faaliyetlerine ek olarak, temel
Uygulama Önerileri
173
süreçlerin geliﬂtirilmesinde dan›ﬂmanl›k görevinin üstlenilmesini kapsar. Bu yard›m›n kapsam› iç denetçilerin normal güvence ve dan›ﬂmanl›k faaliyetlerinin kapsam›n› aﬂt›¤› takdirde, iç denetçilerin ba¤›ms›zl›¤› bozulabilir. Bu durumlarda, iç denetçiler, Standartlar›n aç›klama ve raporlamayla ilgili gereklerine uymal›d›r. Bu konuda, ‹ç Denetimin Di¤er (Denetim-D›ﬂ›) Görev ve Fonksiyonlarla ‹lgili Sorumlulu¤u baﬂl›kl› Uygulama Önerisi 1130.A1-2’de ek bilgiler bulunabilir. 6. Bir risk yönetim sürecinin geliﬂtirilmesi ve yönetiminde faal bir rol oynamak "risklerin sorumlulu¤unu üstlenmek" rolüyle ayn› de¤ildir. "Risklerin sorumlulu¤unu üstlenmek" rolünden kaç›nmak için, iç denetçiler, mevcut risklerin tespit edilmesi, tan›mlanmas›, azalt›lmas›, izlenmesi ve "sorumlulu¤un üstlenilmesi" konular›ndaki rolleri konusunda yönetimden teyit istemelidir. 7. Özet olarak, iç denetçiler, risk yönetimi süreçlerini oluﬂturabilir veya kolaylaﬂt›rabilir; fakat tespit edilen ve tan›mlanan risklerin yönetimini "üstlenmemeli" veya bu konuda sorumluluk almamal›d›r.
Uygulama Önerileri
175
Uygulama Önerisi 2100-5: Mevzuata Uyum Programlar›n›n De¤erlendirilmesinde Hukukî Mülâhazlar Uluslararas› ‹ç Denetim Meslekî Uygulama Standartlar›ndan Standart 2100’ün Yorumu
‹lgili Standart 2100 ‹ﬂin Niteli¤i ‹ç denetim faaliyeti, sistematik ve disiplinli bir yaklaﬂ›mla, risk yönetimi, kontrol ve yönetiﬂim sistemlerini de¤erlendirmeli ve bu sistemlerin iyileﬂtirilmesine katk›da bulunmal›d›r. Bu Uygulama Önerisinin Niteli¤i: ‹ç denetçiler bir kurumun mevzuata uyum programlar›n› de¤erlendirirken aﬂa¤›daki önerileri dikkate almal›d›r. Bu k›lavuzun, mevzuata uyumla ilgili kapsaml› bir güvence veya dan›ﬂmanl›k görevi için gerekli olabilecek bütün prosedürleri temsil etmek veya kapsamak gibi bir amac› yoktur. Uygulama Önerilerine uymak, iste¤e ba¤l›d›r. Dikkat: ‹ç denetçilerin hukukî sorunlarla ilgili tüm konularda hukuk dan›ﬂman›na baﬂvurmas› tavsiye edilir, çünkü farkl› ülkelerdeki kanunlar aras›nda çok büyük farklar olabilir. Bu uygulama önerisindeki öneriler esas olarak Amerika Birleﬂik Devletleri hukuk sistemine dayanmaktad›r.
1. Mevzuata uyum programlar›, kurumlara, personelin kastî olmayan kanun ihlâllerini önlemek, yasa d›ﬂ› faaliyet ve iﬂlemleri tespit etmek ve personelin kastî kanun ihlâllerini cayd›rmak konusunda yard›mc› olur. Bu mevzuata uyum programlar›, sigorta tazminat taleplerinin kan›tlanmas›nda, yönetici ve memurlar›n sorumlulu¤unun tespit edilmesinde, kurumsal kimli¤in yarat›lmas› veya geliﬂtirilmesinde ve kas›t sebebiyle art›r›lm›ﬂ cezai tazminatlar›n uygunlu¤una karar verilmesinde de yard›mc› olabilir. ‹ç denetçiler, bir kurumun mevzuata uyum programlar›n›, etkin ve verimli programlar için aﬂa¤›da önerilen sistem ›ﬂ›¤›nda de¤erlendirmelidir.
176
Meslekî Uygulama Çerçevesi
2. Kurum, hem kendi çal›ﬂanlar› hem de temsilci ve acentelerinin uymas› gereken ve suç teﬂkil eden eylemleri azaltabilecek nitelikte olan mevzuata uyum standartlar› ve usulleri tespit etmeli ve uygulamal›d›r. • Kurum, yasaklanm›ﬂ iﬂlem ve faaliyetleri aç›kça gösteren ve tan›mlayan bir yaz›l› iﬂ davran›ﬂ kurallar› politikas› belirlemelidir. Bu politika, bütün çal›ﬂanlar›n kolayl›kla anlayabilece¤i bir dilde kaleme al›nmal› ve hukuk dilini kullanmaktan kaç›nmal›d›r. • ‹yi haz›rlanm›ﬂ bir politika, çal›ﬂanlara ilgili tüm konularda k›lavuzluk eder. Kontrol listeleri, soru yan›t bölümü ve daha fazla bilgi için ek kaynaklara referanslar, politikan›n kullan›c›lar için uygun ve kullan›ﬂl› olmas›na yard›mc› olur. • Kurum, mevzuata uyum programlar›n›n uygulanmas›ndan sorumlu olan yönetim kurulu üyeleri, üst seviye memurlar, üst düzey mevzuata uyum görevlisi ve birim personelini tan›mlayan bir örgütlenme ﬂemas› yapmal›d›r. • Çal›ﬂanlar›n çok hukukî ve "tek tarafl›" gördü¤ü iﬂ davran›ﬂ kurallar› politikalar›, çal›ﬂanlar›n etik veya yasalara ayk›r› davran›ﬂlara girme riskini art›r›r. Aç›k, basit ve âdil görülen iﬂ davran›ﬂ kurallar› politikalar› ise, çal›ﬂanlar›n bu tür iﬂlem ve davran›ﬂlara girme riskini azalt›r. • Eti¤e veya yasalara aç›kça ayk›r› olan davran›ﬂlara da mali teﬂvikler getiren ödüllendirme sistemleri uygulayan ﬂirketlerde, mevzuata uyum sorunlar› do¤mas› beklenebilir. • Uluslararas› faaliyetleri olan ﬂirketlerin, sadece belirli seçilmiﬂ co¤rafî bölgeler için de¤il, evrensel anlamda haz›rlanm›ﬂ bir mevzuata uyum program› yapmas› gerekir. Bu programlar, ilgili mahallî koﬂullar›, kanunlar› ve düzenlemeleri yans›tmal›d›r. 3. Standartlara ve prosedürlere uyumu denetleme konusundaki genel sorumlulu¤un, kurumun üst düzey personelinden seçilmiﬂ belirli kiﬂi veya kiﬂilere verilmesi gerekir.
Uygulama Önerileri
177
• Kurumun üst düzey personeli terimi, kurum üzerinde önemli kontrole sahip olan veya kurum içinde politika belirleme ve yapma konusunda önemli rol oynayan kiﬂiler anlam›na gelir. • Kurumun üst düzey personeli terimi ﬂu kiﬂileri kapsar: Yönetim kurulu üyeleri; icraî görevleri olan yöneticiler; sat›ﬂ, idare veya finans gibi, kurumun önemli bir iﬂ veya fonksiyon biriminden sorumlu olan kiﬂiler ve kurumda önemli bir sermaye pay›na sahip kiﬂiler. • Program›n gerçekten etkili olabilmesi için, icraî anlamda kurumun en üst seviye yöneticisinin (Yönetim Kurulu Baﬂkan›, Genel Müdür, ‹cra Kurulu Baﬂkan› ve di¤er üst düzey yöneticilerin de programa kat›lmas› ve katk›da bulunmas› gerekir. • Baz› kurumlarda, mevzuata uyumla ilgili aslî sorumluluklar›n ﬂirketin genel hukuk dan›ﬂman›na verilmesi, çal›ﬂanlar›n, yönetimin programa çok ba¤l› olmad›¤›n› ve program›n bir bütün olarak firma için de¤il, sadece hukuk birimi için önemli oldu¤unu düﬂünmelerine yol açabilir. Baﬂka kurumlarda ise, bunun tam tersi de do¤ru olabilir. • Birden fazla iﬂ biriminden oluﬂan büyük bir ﬂirkette, mevzuata uyum sorumluluklar›n›n her birimdeki üst düzey personele verilmesi gerekir. • ﬁirketin mevzuata uyum birimi kurmas› ve mevzuata uyum biriminin di¤er personelini seçmesi yeterli de¤ildir. ﬁirket, seçilen bu personele uygun yetkilerin verilmesini ve bu personelin görevlerini yapabilmek için ihtiyaç duyduklar› kaynaklarla donat›lmas›n› da sa¤lamal›d›r. Mevzuata uyum personeli, üst yönetime ulaﬂma imkân›na sahip olmal›d›r. Mevzuata uyum biriminin yöneticisi, do¤rudan CEO’ya ba¤l› olmal›d›r. 4. Kurumun, yasa d›ﬂ› faaliyet ve iﬂlemlere girme e¤ilimi oldu¤unu bildi¤i ya da bilmesi gerekti¤i kiﬂilere önemli takdir ve karar yetkileri vermemeye dikkat etmelidir.
178
Meslekî Uygulama Çerçevesi
• ﬁirketler, her düzey ve kademede iﬂ için müracaat eden kiﬂilerin geçmiﬂte suç iﬂleyip iﬂlemedi¤ini ve yasa d›ﬂ› bir hareketi olup olmad›¤›n›, özellikle de ﬂirketin faaliyet gösterdi¤i sektör içinde bir yasa d›ﬂ› hareketi olup olmad›¤›n› araﬂt›rmal›d›r. • ‹ﬂ için yap›lan müracaatlarda, kiﬂinin sab›ka kayd› da araﬂt›r›lmal›d›r. Meslek sahibi kiﬂilerin geçmiﬂte herhangi bir disiplin suçu iﬂleyip iﬂlemedikleri, ilgili ruhsatland›rma komitelerinden araﬂt›r›lmal›d›r. • ﬁirketin, çal›ﬂanlar›n ve iﬂ için müracaat edenlerin özel hayat›n gizlili¤ine iliﬂkin cari kanunlardan do¤an haklar›na tecavüz etmemesine dikkat edilmelidir. Pek çok ülkede, bir ﬂirketin çal›ﬂanlar›n›n geçmiﬂi hakk›nda araﬂt›rmalar› s›ras›nda alabilece¤i bilgileri s›n›rland›ran kanunlar vard›r. 5. Kurum, belirledi¤i standart ve prosedürleri bütün çal›ﬂanlar›na, temsilcilerine ve acentelerine etkin ve eksiksiz duyurmak amac›na yönelik tedbirler almal›d›r; bu amaçla, söz konusu kiﬂilerin e¤itim programlar›na kat›lmas›n› isteyebilir ya da gerekenleri kolay anlaﬂ›l›r bir tarzda aç›klayan yay›nlar ç›kartabilir. • Bir mevzuata uyum program›n›n etkinli¤i, bu program›n çal›ﬂanlara duyuruldu¤u ve bildirildi¤i yollara ba¤l›d›r. Genel olarak, etkileﬂimli bir bilgilendirme format› bir konferans veya seminerden daha çok iﬂe yarar. ﬁahsen duyurulan programlar, sadece ve tamamen video veya oyun formatlar›nda duyurulan programlardan daha iyi iletilir. Dönemsel olarak tekrarlanan programlar bir sefer sunulanlardan daha etkili iletilir. • En iyi programlar, çal›ﬂanlar›n yeni tekniklerin prati¤ini yapmas›na ve yeni bilgileri kullanmas›na imkân veren personel e¤itimlerini de içerir. Bu tür faaliyetler, özellikle yönetim e¤itiminde gereklidir, fakat bütün düzeyde çal›ﬂanlar›n e¤itimi aç›s›ndan da etkilidir.
Uygulama Önerileri
179
• Bir kurumun iﬂ davran›ﬂ kurallar› politikas›nda ve personel el kitab›nda kulland›¤› dil, kolay anlaﬂ›l›r olmal›d›r. Politikan›n ve personel el kitab›n›n temel e¤itim aç›s›ndan eksi¤i olan çal›ﬂanlara duyurulmas› için alternatif yöntemler bulunmal› ve uygulanmal›d›r. • Haber bültenleri, posterler, e-posta, soru formlar› ve sunumlar gibi çeﬂitli araç ve ortamlar arac›l›¤›yla, personele, mevzuata uyum hakk›nda uyar›lar, aç›klamalar ve notlar iletilmelidir. • Kurumlar, bu program› farkl› personel gruplar›na farkl› ﬂekillerde ve ortamlarda sunmal› ve her personel grubu veya birim için önem taﬂ›yan konularla ilgili tüm bilgilerin o grup veya birime özellikle verilmesini hedeflemelidir. Bilgilerin ilgili grubun iﬂle ilgili ihtiyaçlar›na uyarlanmas› gerekir. Örne¤in, çevre mevzuat›na uyumla ilgili bilgilerin, bu kanunlar› ve yönetmelikleri ihlâl etme veya bu kanunlar›n ve yönetmeliklerin ihlâlini tespit etme olas›l›¤› daha fazla olan imalat veya emlak yönetimi gibi birimlere iletilmesi ve verilmesi gerekir. Öte yandan, bu e¤itimin bu konuda hiçbir sorumlulu¤u bulunmayan bir birime verilmesi zararl› bile olabilir, çünkü çal›ﬂanlarda ilgisizli¤e yol açabilir ya da program›n iyi oluﬂturulmad›¤› inanc›n›n do¤mas›na neden olabilir. • Yeni iﬂe al›nanlar, intibak (oryantasyon) e¤itiminin bir parças› olarak mevzuata uyum konusunda da temel e¤itime tâbi tutulmal›d›r. Daha sonra, bu kiﬂiler de kendi birimleri içinde devam eden mevzuata uyum çaba ve çal›ﬂmalar›na dahil edilebilir. • Kurumun acentelerinin de, özellikle onlara yönelik olarak haz›rlanm›ﬂ bir sunum toplant›s›na kat›lmalar› istenmelidir. Kurumun temel de¤erlerini acentelerine de bildirmesi ve acentelerin ﬂirkete atfedilebilecek olan eylem ve davran›ﬂlar›n›n mevzuata uyum program›na uygun olarak
180
Meslekî Uygulama Çerçevesi
izlenece¤ini aç›klamas› önemlidir. Kurum, kurumun mevzuata uyum standartlar›na uymayan acenteler ile iﬂ iliﬂkisini kesmekte kararl› olmal›d›r. • Kurum, çal›ﬂanlar›ndan, ﬂirketin iﬂ davran›ﬂ kurallar› politikas›n› okuduklar›n›, anlad›klar›n› ve bu politikan›n gereklerine uyduklar›n› dönemsel olarak teyit ve tasdik etmelerini istemelidir. Bu bilgiler üst yönetime ve yönetim kuruluna y›ll›k dönemler halinde sunulmal›d›r. • ‹ﬂ eti¤iyle ilgili bütün belgeler (iﬂ davran›ﬂ kurallar›, insan kaynaklar› politikalar›/kitapç›klar›, vb.) bütün çal›ﬂanlar›n kullan›m›na aç›k olmal›d›r. Kurumun intraneti gibi kesintisiz eriﬂim olana¤› sa¤layan araçlar›n kullan›lmas› da tavsiye edilir. 6
Kurum, çal›ﬂanlar›n›n, temsilci ve acentelerinin cezay› gerektiren eylemlerini tespit amac›yla tasarlanm›ﬂ makul izleme ve denetim sistemleri kullanarak ve söz konusu kiﬂilerin kurum içinden baﬂka kiﬂilerin suç eylemlerini ceza korkusu olmadan ihbar edebilece¤i bir ihbar sistemi kurarak ve bunu herkese duyurarak, standartlar›na uyumu sa¤lamak amac›yla makul tedbirler almal›d›r. • Kurum, iç denetim plan›na, ﬂirketin büyüklü¤üne ve denetim görevinin güçlü¤üne göre uygun miktarda kaynak tahsis etmelidir. Denetim plan›, kurumun faaliyet sahalar›n›n her birindeki faaliyetleri üzerinde odaklanmal› ve yo¤unlaﬂmal›d›r. • Denetim plan›, yaz›l› malzemelerin etkin ve verimli olup olmad›¤›n›, çal›ﬂanlar›n duyuru ve bildirimleri al›p almad›¤›n›, tespit edilen ihlâller için gereken iﬂlemlerin yap›l›p yap›lmad›¤›n›, disiplinin âdil ve tarafs›z uygulan›p uygulanmad›¤›n›, ihbarc›lara karﬂ› misilleme yap›l›p yap›lmad›¤›n› ve mevzuata uyum biriminin sorumluluklar›n› yerine getirip getirmedi¤ini tespit etmek amac›na yönelik incelemeler de dahil, kurumun mevzuata uyum program› ve prosedürlerinin incelenmesi ve gözden geçirilmesini de
Uygulama Önerileri
181
içermelidir. Denetçiler, mevzuata uyum program›n›n geliﬂtirilip geliﬂtirilemeyece¤ini tespit etmek amac›yla program› incelemeli ve bu konuda çal›ﬂanlar›n görüﬂ ve önerilerini almal›d›r. • Her program›n, çal›ﬂanlar›n eti¤e ayk›r›, yasa d›ﬂ› ya da ﬂirketin iﬂ davran›ﬂ kurallar›na ayk›r› oldu¤una inand›klar› iﬂlem ve faaliyetleri bildirebilece¤i bir "telefon hatt›" ya da baﬂka bir ihbar sistemi mevcut olmal›d›r. Çal›ﬂanlar, bu tür davran›ﬂlar› misilleme veya ceza korkusu olmadan ihbar etmekte serbest olmal›d›r. • Telefon hatt›n› yöneten bir avukat, avukat-müvekkil ve iﬂürün gizlili¤i imtiyazlar›n› daha iyi koruyabilir. Ancak yap›lan bir araﬂt›rmada, çal›ﬂanlar›n hukuk birimi taraf›ndan veya ﬂirket d›ﬂ›ndan bir birim taraf›ndan cevaplanan telefon hatlar›na daha az güven duydu¤u sonucuna var›lm›ﬂt›r. Ayn› araﬂt›rmada, çal›ﬂanlar›n yaz›l› raporlara veya d›ﬂar›dan bir ombudsmana duydu¤u güvenin daha da az oldu¤u ve misilleme yap›lmayaca¤› güvencesini veren bir politikayla desteklenen ve ﬂirket içinden bir temsilci taraf›ndan yan›tlanan telefon hatlar›na duyulan güvenin daha çok oldu¤u sonucuna da var›lm›ﬂt›r. • Ombudsman’›n do¤rudan do¤ruya mevzuata uyum müdürüne veya yönetim kuruluna ba¤l› olmas›, ihbarc›lar›n isimlerini gizli tutabilmesi, ihbarc›lara yol göstermesi, misilleme yap›lmamas›n› sa¤lamak amac›yla izleme ve takip görevlerini üstlenmesi durumunda ﬂirket içinden bir ombudsman›n kullan›lmas› daha etkili olmaktad›r. Ayr›ca, baz› ülkelerde, ombudsman›n ihbarc›lardan ald›¤› gizli bilgi ve ihbarlar› aç›klamama yetkisiyle donat›ld›¤› s›n›rl› bir ombudsman gizlili¤i kabul edilmiﬂ ve benimsenmiﬂtir. • Etik veya yasalara ayk›r› iﬂlem ve faaliyetleri a盤a ç›kartman›n etkili bir arac› da, iﬂ eti¤i soru formlar›d›r. Kurumun her personeline, personelin rüﬂvet, yasa d›ﬂ› ödemeler veya baﬂka suç eylemlerinden haberdar olup
182
Meslekî Uygulama Çerçevesi
olmad›¤› sorusunu yönelten bir soru formu verilmelidir. Gizlili¤i korumak için, bu soru formu kurumun hukuk dan›ﬂman› taraf›ndan gönderilmeli; soru formunun gizlilik korumas› alt›nda oldu¤unu belirten bir aç›klama içermeli; personelin soru formunu doldurmas›n›, imzalamas›n› ve iade etmesini ve kopyas›n› almamas›n› istemeli ve kurumun bu yolla ald›¤› ve toplad›¤› bilgileri resmî makamlara veya ilgili davalarda mahkemelere aç›klama hakk›n› sakl› tuttu¤unu belirten bir aç›klama içermelidir. Soru formu d›ﬂar›dan kiﬂilere aç›kland›¤› ve verildi¤i takdirde, gizlili¤in kaybolaca¤› aç›kt›r. 7. Standartlar, bir suç eylemini tespit edememekten dolay› sorumlu tutulan kiﬂilere uygulanacak disiplin kurallar› da dahil, uygun disiplin mekanizmalar›yla istikrarl› ve tutarl› bir ﬂekilde uygulanmal›d›r. Bir suçtan sorumlu tutulan kiﬂilerin yeterli ve uygun disiplin cezalar›yla cezaland›r›lmas›, standartlar›n uygulanmas›n›n gerekli bir unsurudur; ancak uygun ve yeterli disiplin cezas› her durumun kendine özgü ﬂartlar›na göre tespit edilecektir. • Mevzuata uyum program›, kurumun iﬂ davran›ﬂ kurallar›n› ihlâl edenlerin suça ba¤l› ve orant›l› olarak uyar›, ücret kayb›, geçici uzaklaﬂt›rma, nakil veya iﬂ akdinin feshi gibi cezalarla cezaland›r›ld›¤› bir disiplin sistemini içermelidir. Fakat bir çal›ﬂan›n yasa d›ﬂ› bir eylemde bulunmas› hâlinde, kurumun "yasa d›ﬂ› faaliyet ve iﬂlemlere girme e¤ilimi oldu¤unu bildi¤i ya da bilmesi gerekti¤i kiﬂilere önemli takdir ve karar yetkileri vermeme" yükümlülü¤ünün bir parças› olarak o çal›ﬂan› iﬂten ç›kartmas› ve onun hizmet akdini feshetmesi gerekebilir. • Program kapsam›nda uygulanan disiplinin âdil olmas› gerekir. Özellikle kurumun üst yönetiminin veya önemli elemanlar›n›n faaliyetleri ba¤lam›nda etik veya yasalara ayk›r› iﬂlem ve eylemler cezaland›r›lmazsa, program›n baﬂar› ﬂans› çok az olur. Bu tür kiﬂilerin haks›z eylemlerinin cezaland›r›lmamas›, di¤er çal›ﬂan ve iﬂçilerde de bu tür davran›ﬂlar› özendirir.
Uygulama Önerileri
183
• Çal›ﬂanlar›n hizmet akdinin feshedilmesi veya baﬂka disiplin cezalar›; ihbarlara iliﬂkin kanunlarla, zorla çal›ﬂt›rmama doktrininin istisnalar›yla, çal›ﬂanlar›n hizmet sözleﬂmeleriyle veya sendikalarla imzalanan sözleﬂmelerle ve ayr›mc›l›k ve haks›z iﬂten ç›kartmaya iliﬂkin iﬂveren sorumluluklar›yla ve iﬂverenin kötü niyetli eylemlerine iliﬂkin kanunlarla/doktrinlerle s›n›rland›r›labilir. • Program, suiistimal ve yasa d›ﬂ› eylemleri bilen veya bilmesi gereken ve bunlar› rapor etmeyen müdürlere ve baﬂka sorumlu kiﬂilere uygulanacak disiplin cezalar›n› da düzenlemelidir. Program›n bunu yapmamas›, bir mahkemenin program›n etkin ve verimli olmad›¤› sonucuna varmas›na yol açabilir; bu durumda, program›n cezaland›rma üzerinde faydal› bir etkisi olmayacakt›r. • Kurumlar, personelin disipliniyle ilgili kay›tlarda titiz ve dikkatli davranmal›d›r. Kurum, disiplin olaylar› hakk›nda gerekli bilgileri toplamak için elinden gelen her türlü çabay› gösterdi¤ini ve mevcut bilgiler esas›nda uygun tedbirleri ald›¤›n› ve gereken iﬂlemleri yapt›¤›n› kan›tlayabilmelidir. 8. Bir suç eylemi tespit edildi¤inde, kurum, bu suç eylemine uygun cevab› vermek ve gelecekte benzer suçlar› önlemek için gereken bütün makul önlemleri almal› ve bu ba¤lamda, kanunun ihlâllerini önlemek ve tespit etmek amac›yla programda gereken de¤iﬂiklik ve uyarlamalar› yapmal›d›r. • Kurum, mevzuata uyum program›yla tespit edilen her suç eylemine uygun tepkiyi göstermeli ve uygun cevab› vermelidir. Uygun tepki ve cevaplar; yasa d›ﬂ› eyleme kat›lanlarla ilgili disiplin cezalar›n› da kapsar. • Baz› durumlarda uygun cevap, ihlâlin resmî makam ve yetkililere bildirilmesini, resmî makamlar›n yapt›¤› soruﬂturmalara kat›lmay› ve ihlâlle ilgili sorumlulu¤un kabul edilmesini de gerektirebilir. Etkin ve verimli bir mevzuata uyum program›n›n varl›¤› gibi, bu tür uygun cevaplar›
184
Meslekî Uygulama Çerçevesi
vermek de bir mahkemenin kuruma verece¤i para cezas› tutar›n› indirmesini sa¤layabilir. • Ciddî bir ihlâlin önlenememesi veya tespit edilememesi mevzuata uyum program›nda büyük bir de¤iﬂiklik gerekti¤ini gösterebilir. En az›ndan, bir ihlâl tespit edildi¤inde, mevzuata uyum personelinin herhangi bir de¤iﬂikli¤e gerek olup olmad›¤›n› anlamak amac›yla program› incelemesi gerekir. • Bir ihlâlin ›ﬂ›¤›nda gerekli olabilecek de¤iﬂikliklerden biri de, mevzuata uyum personelinin de¤iﬂtirilmesi veya görev tan›mlar›n›n birbirleri aras›nda de¤iﬂtirilmesi olabilir. Kurumun, kendi denetim ve kontrol alanlar› içinde yap›lan ihlâlleri ve yasa d›ﬂ› eylemleri önlemekte veya tespit etmekte baﬂar›s›z olan bir müdürü, özellikle ihlâlin, o müdürün tespit etmesi gereken bir ihlâl oldu¤u durumlarda, de¤iﬂtirmesi veya ona disiplin cezas› uygulamas› gerekebilir.
Uygulama Önerileri
185
Uygulama Önerisi 2100-6: E-Ticaret Faaliyetlerinin Kontrol ve Denetimi Uluslararas› ‹ç Denetim Meslekî Uygulama Standartlar›ndan Standart 2100’ün Yorumu
‹lgili Standart 2100 ‹ﬂin Niteli¤i ‹ç denetim faaliyeti, sistematik ve disiplinli bir yaklaﬂ›mla, risk yönetimi, kontrol ve yönetiﬂim sistemlerini de¤erlendirmeli ve bu sistemlerin iyileﬂtirilmesine katk›da bulunmal›d›r. Bu Uygulama Önerisinin Niteli¤i: Hem iﬂten iﬂe uygulamalar hem de iﬂten tüketiciye uygulamalarda e-ticaret h›zla büyümeye ve geliﬂmeye devam etmektedir. Bir e-ticaret stratejisinin baﬂar›yla geliﬂtirilmesi ve uygulanmas›nda, etkin ve amaca uygun kontrol ve süreçler hayatî öneme sahiptir. Böylece, pek çok ﬂirkette, etkin e-ticaret de¤erlendirme çabalar› y›ll›k denetim plan›n›n aslî bir unsuru olabilir. Bu Uygulama Önerisi, kontrol ve denetim konular›nda bir genel de¤erlendirme sunmaktad›r. Meslek sahiplerinin baﬂvurabilece¤i ek kaynaklar ﬂunlard›r: IIA’n›n Sistem Güvence ve Kontrolü (SAC) ürünü ve di¤er teknoloji raporlar› ve ISACA’n›n yay›nlar›. Her iki yay›n da elektronik sistem ve modellerin de¤erlendirilmesi için ilke ve k›staslar önermektedir. Uygulama Önerilerine uymak iste¤e ba¤l›d›r.
1. Elektronik ticaret (e-ticaret), genel olarak, "ticarî faaliyet ve iﬂlerin internet üzerinden yürütülmesi" ﬂeklinde tan›mlan›r. Bu ticarî faaliyetler; ‘iﬂten iﬂe’ (B2B), ‘iﬂten tüketiciye’ (B2C) ve ‘iﬂten personele’ (B2E) ﬂeklinde olabilir. E-ticaret h›zla geliﬂmiﬂ ve büyümüﬂtür ve önümüzdeki y›llarda daha da h›zl› büyümesi beklenmektedir. IIA Araﬂt›rma Vakf›’n›n son yay›n› olan "Sistem Güvence ve Kontrolü" (SAC) ve ayr›ca, webtemelli www.ITAudit.org’un kazand›¤› baﬂar› ve çeﬂitli e-posta IIA haber bültenleri, teknolojinin sadece e-ticaret stratejilerini desteklemekle kalmad›¤›n›, ayn› zamanda onun tamamlay›c› bir parças› da oldu¤unu teyit etmektedir. Web-temelli ve di¤er
186
Meslekî Uygulama Çerçevesi
teknolojilerdeki de¤iﬂikliklerin toplum, yönetiﬂim, ekonomi, rekabet, pazarlar, örgütsel yap› ve ulusal savunma üzerinde çok önemli bir etkisi vard›r. E-ticaretin h›zl› büyümesinin ve bu teknoloji de¤iﬂikliklerinin, denetim planlar›n›n haz›rlanmas› ve uygulanmas›nda iç denetçilerin dikkate almas› gereken önemli kontrol ve yönetim sorunlar› yaratt›¤› aç›kt›r.
Bir E-Ticaret Görevinin Anlaﬂ›lmas› ve Planlanmas›: 2. Teknolojideki devaml› ve kesintisiz de¤iﬂiklikler, iç denetim mesle¤i için hem büyük f›rsatlar hem de büyük riskler yaratmaktad›r. Sistemler ve süreçler hakk›nda bir güvence vermeden önce, bir iç denetçi, iﬂteki ve bilgi sistemlerindeki de¤iﬂiklikleri, bunlarla ilgili ve ba¤lant›l› riskleri ve ayr›ca stratejilerin kurumun tasar›m›na ve pazar koﬂullar›na uygun olup olmad›¤›n› anlamal›d›r. ‹ç denetçi, yönetimin stratejik planlama ve risk de¤erlendirme süreçlerini ve aﬂa¤›daki sorulara iliﬂkin kararlar›n› incelemelidir: • Hangi riskler ciddî ve önemlidir? • Hangi riskler sigortalanabilir? • Mevcut kontrollerin hangileri riskleri azaltabilir? • Hangi ilâve dengeleyici kontroller gereklidir? • Ne tür bir gözleme ihtiyaç vard›r? 3. E-ticaret faaliyetlerinin denetiminin temel unsurlar› ﬂunlard›r: • Üst yönetimin belirledi¤i tarz da dahil iç kontrol yap›s›n› de¤erlendirmek, • Hedef ve amaçlara ulaﬂ›labilece¤i konusunda makul güvence sa¤lamak, • Risklerin kabul edilebilir olup olmad›¤›n› tespit etmek, • Bilgi ak›ﬂ›n› anlamak, • Arayüz sorunlar›n› (donan›mdan donan›ma, yaz›l›mdan yaz›l›ma ve donan›mdan yaz›l›ma gibi) incelemek,
Uygulama Önerileri
187
• ‹ﬂ devaml›l›¤› ve felâket sonras› toparlanma planlar›n› de¤erlendirmek. 4. ‹ç denetim yöneticisinin bir e-ticaret görevinin yürütülmesinde ilgilenmesi gereken konular, iç denetim faaliyetinin yetkinli¤i ve kapasitesiyle ilgilidir. ‹ç denetim faaliyetini s›n›rland›rabilecek muhtemel etkenler aras›nda ﬂunlar say›labilir: • ‹ç denetim birimi yeterli becerilere sahip midir? Sahip de¤ilse, bu beceriler edinilebilir mi? • E¤itim veya baﬂka kaynaklara ihtiyaç var m›d›r? • ‹ﬂgücü/kadro düzeyi k›sa vade ve uzun vadede yeterli midir? • Beklenen denetim plan› verilebilir mi? 5. ‹ç denetçinin risk de¤erlendirmesinde sormas› gereken sorular: IIA’n›n SAC yay›n›, denetim planlamas›nda ve risk de¤erlendirmesinde iç denetçiye faydal› olabilir. Bu yay›n, bir görev üstlenen ve risk de¤erlendirmesi yapan bir iç denetçinin ilgilenmesi ve dikkate almas› gereken e-ticaret konular›n›n bir listesini vermekte ve içermektedir. ‹ç denetçinin sormas› gereken sorular ﬂunlard›r: • E-ticaret projesi veya program› için bir iﬂ plan› var m›? • Bu plan, e-ticaret sisteminin planlama, tasar›m ve uygulamas›n›n kurumun stratejileriyle bütünleﬂtirilmesi konusunu da kaps›yor mu? • Sistemin performans›, güvenli¤i, güvenilirli¤i ve kullan›ma haz›rl›¤› üzerindeki etkileri neler olacakt›r? • Sistemin iﬂlevselli¤i son kullan›c›lar›n (yani, çal›ﬂanlar, müﬂteriler ve iﬂ ortaklar›) istek ve ihtiyaçlar›n› ve yönetimin hedeflerini karﬂ›layacak m›? • ‹darî ve hukukî koﬂullar analiz edildi ve dikkate al›nd› m›? • Donan›m ve yaz›l›m ne kadar güvenlidir ve bu güvenlik yetkisiz eriﬂimi, uygun olmayan kullan›m› ve baﬂka zararlar› etkileri ve kay›plar› önleyecek veya tespit edecek mi?
188
Meslekî Uygulama Çerçevesi
• ‹ﬂlem süreçleri güncel, do¤ru, tam ve itiraz edilemez olacak m›? • Kontrol ortam›, kurumun kavramlardan sonuçlara e-ticaret hedeflerine ulaﬂmas›na olanak sa¤l›yor mu? • Risk de¤erlendirmesi hem iç hem de d›ﬂ kuvvetleri kaps›yor mu? • ‹nternet ve internet servis sa¤lay›c›ya ba¤l› içsel riskler (temel iletiﬂimin güvenilirli¤i, kullan›c› kimlik kontrolü ve kimlerin eriﬂim yetkisine sahip oldu¤u gibi) dikkate al›nd› m›? • Di¤er sorunlar dikkate al›nd› m› (örne¤in, iﬂle ilgili gizli bilgilerin ifﬂa edilmesi, fikrî mülkiyet haklar›n›n kötüye kullan›lmas›, telif hakk› ihlâlleri, ticarî marka tecavüzleri, Web sitelerinde onur k›r›c› ifadeler, suiistimaller, elektronik imza suiistimalleri, özel hayat›n ve bilgilerin gizlili¤inin ihlâl edilmesi ve isme ve üne verilen zararlar gibi)? • D›ﬂ sat›c›lar kullan›lm›ﬂsa, bu sat›c›y› kontrol ve tasdik etme yetkisine sahip bir güvenilir üçüncü ﬂah›s taraf›ndan bir "yürüyen iﬂ" de¤erlendirmesi yap›ld› m›? • Sat›c›lar hosting (anabilgisayar) hizmetleri veriyorlarsa, test edilmiﬂ bir iﬂ riskleri planlar› var m›? Son SAS-70 raporlar›n› sundular m›? (SAS 70 raporlar›, kullan›c› kurumlara iç kontroller hakk›nda de¤erli bilgiler verebilir.) Ayr›ca, özel hayat›n ve bilgilerin gizlili¤i sorunlar› çözüldü mü? • Sözleﬂme, denetim haklar›n› içeriyor mu?
E-Ticaret Riskleri ve Kontrol Sorunlar›: 6. E-ticaret risk ve kontrol ortam› oldukça karmaﬂ›kt›r ve geliﬂmektedir. Risk, hedeflere ulaﬂ›lmas› üzerinde olumsuz etki yapabilecek bir olay›n meydana gelme belirsizli¤i olarak tan›mlanabilir. Her ﬂirketin ve her kamu tüzel kiﬂisinin kendi içsel riskleri vard›r. Örgütsel faaliyetlerin itici etkenleri,
Uygulama Önerileri
189
genellikle, yönetimin varsayd›¤› iﬂ f›rsat› riskleridir. Bu f›rsatlar›n alt›nda, aç›kça anlaﬂ›lmayan ve tam olarak de¤erlendirilmeyen ve iﬂ yapman›n bir parças› olarak kolayca benimsenebilen tehditler ve baﬂka tehlikeler de bulunabilir. Riski yönetme çabas›nda, öncelikle, risk unsurlar›n›n anlaﬂ›lmas› ve kavranmas› ﬂartt›r. Bilgi güvenli¤i konusunda yeni zay›f ve savunmas›z noktalar açan teknoloji de¤iﬂikliklerinin ve yeni tehditlerin bilinmesi ve anlaﬂ›lmas› da önemlidir. Yönetim amaçlar›yla, örgütsel risklerin tan›mlanmas› ve bu risklerin kontrol alt›na al›n›p azalt›labilece¤i potansiyel yollar›n belirlenmesi ve hedeflenmesi için aﬂa¤›daki yedi temel soru kullan›labilir. (Risk yöneticileri çeﬂitli farkl› risk yönetim yaklaﬂ›mlar› kullan›r; bu sorular bir yaklaﬂ›m› göstermektedir.) Bu sorularla ba¤lant›l› risk unsurlar› parantez içinde gösterilmektedir. (a) Riskin Tan›mlanmas› ve Miktar Tayini: • Kurumun hedeflerine ulaﬂma ve stratejilerini uygulama kabiliyetini olumsuz etkileyebilecek neler olabilir? [Tehditler] • Bu tehditler gerçekleﬂirse, bunlar›n muhtemel mali etkisi nedir? [Tek Zarar Risk De¤eri] • Bu olaylar ne s›kl›kta olabilir? [S›kl›k] • ‹lk üç sorudakilerin gerçekleﬂme olas›l›¤› nedir? [Belirsizlik] (b) Riskin Yönetilmesi ve Azalt›lmas›: • Riskleri önlemek, kaç›nmak, azaltmak ve tespit etmek ve gerekli bildirimde bulunmak için neler yap›labilir? [Güvence ve Kontroller] • Bunun maliyeti nedir? [Güvence ve Kontrol Maliyeti] • Bu ne kadar etkin olacakt›r? [Maliyet/Fayda veya ROI (Yat›r›m Geri Dönüﬂü) Analizi] 7. ‹ç denetçinin ele almas› gereken daha hayatî risk ve kontrol sorunlar›n›n baz›lar› ﬂunlard›r:
190
Meslekî Uygulama Çerçevesi
• Genel proje yönetim riskleri, • Hizmetin reddi, fiziksel sald›r›lar, virüsler, kimlik h›rs›zl›¤› ve verilere yetkisiz eriﬂim veya verilerin ifﬂas› gibi özel güvenlik tehditleri, • Legacy sistemleri ve veri depolar›na ba¤lant›lar›n karmaﬂ›k a¤›nda iﬂlem bütünlü¤ünün korunmas›, • 24 saat (bütün gün) hizmet sunan karmaﬂ›k ve geliﬂmiﬂ müﬂteri özellikleri ve yeteneklerinin ve s›k de¤iﬂikliklerin bulundu¤u durumlarda web sitesi içerik incelemesi ve onay›, • H›zl› teknoloji de¤iﬂiklikleri, • Dünya çap›nda bireylerin özel hayat ve bilgilerinin korunmas› amac›na yönelik düzenlemelerin artmas›; kurumun kendi ülkesi d›ﬂ›nda sözleﬂmelerin ifa edilebilirli¤i ve vergi ve muhasebe sorunlar› gibi hukukî konu ve sorunlar, • Çevresel iﬂ süreçlerinde ve örgütsel yap›lardaki de¤iﬂiklikler.
E-ticaret Faaliyetlerinin Denetlenmesi: 8. Genel denetim hedefi, bütün e-ticaret süreçlerinde etkili iç kontrollerin bulunmas›n› sa¤lamak olmal›d›r. E-ticaret inisiyatiflerinin yönetimi, çok iyi geliﬂtirilmiﬂ ve onaylanm›ﬂ bir stratejik planla belgelendirilmelidir. E-ticarete kat›lmama karar›n›n al›nmas› hâlinde, bu karar dikkatle analiz edilmeli, yaz›l› hâle getirilmeli ve yönetim mercii taraf›ndan onaylanmal›d›r. 9. Bir e-ticaret görevinde denetim hedefleri ﬂunlar› içerebilir: • E-ticaret iﬂlemlerinin delilleri, • Güvenlik sisteminin kullan›lmaya haz›rl›k durumu ve güvenilirli¤i, • E-ticaret ve finans sistemleri aras›nda etkin arayüz, • Parasal iﬂlemlerin güvenli¤i, • Müﬂteri kimlik kontrolü sürecinin etkinli¤i,
Uygulama Önerileri
191
• Operasyonlar›n tekrar baﬂlat›lmas› da dahil, iﬂ devaml›l›¤› süreçlerinin yeterlili¤i, • Genel ortak güvenlik standartlar›na uyum, • Dijital imzalar›n etkin kullan›m› ve kontrolü, • (Genel anahtar ﬂifreleme tekniklerini kullanan) genel anahtar sertifikalar›n› kontrol etmek için uygulanan sistemler, politikalar ve prosedürlerin yeterlili¤i, • ‹ﬂletme verileri ve bilgilerinin yeterlili¤i ve zaman›nda elde edilmesi, • Etkin bir iç kontrol sistemini gösteren deliller. 10. Belirli kurumlarda e-ticaret faaliyetlerini denetlemek için kullan›lan denetim program›n›n ayr›nt›lar›, ilgili sektöre, ülkeye ve hukuk ve iﬂ modellerine göre de¤iﬂir. Temel alanlarda kullan›labilecek e-ticaret denetim protokolünün ana unsurlar› ﬂunlard›r: (a) E-ticaret örgütlenmesi: ‹ç denetçi ﬂunlar› yapmal›d›r: • iﬂlemlerin de¤erini tespit etmeli, • hissedar ve di¤er hak sahiplerini (iç ve d›ﬂ) tan›mlamal›, • de¤iﬂim yönetim sürecini gözden geçirmeli, • onay sürecini incelemeli, • e-ticaret faaliyetleri iﬂ plan›n› gözden geçirmeli, • genel anahtar de¤erlendirmeli,
sertifikalar›na
iliﬂkin
politikalar›
• dijital imza prosedürlerini gözden geçirmeli, • al›c›, tedarikçi ve sertifikaland›rma yetkilisiyle yap›lan hizmet düzeyi anlaﬂmalar›n› incelemeli, • kalite güvencesi politikas›n› araﬂt›rmal›, • e-ticaret faaliyetlerinde özel hayat ve bilgiler politikas›n› ve bu politikaya uyumu de¤erlendirmeli,
192
Meslekî Uygulama Çerçevesi
• ar›zalara müdahale (cevap) yetene¤ini incelemeli ve de¤erlendirmelidir. (b) Suiistimal: ‹ç denetçi ﬂu konularda uyan›k olmal›d›r: • Yetkisiz para hareketleri (yani, fonlar›n geri al›nmas› ve kurtar›lmas›n›n güç olaca¤› ülkelere para transferleri), • Ödemelerin tekrarlanmas› (çifte ödemeler), • Verilen veya al›nan sipariﬂlerin, teslim al›nan mallar›n veya yap›lan ödemelerin reddedilmesi, • Kural d›ﬂ› durum raporlar› ve prosedürleri ve takip etkinli¤i, • Dijital imzalar: Bütün iﬂlemlerde dijital imza kullan›l›yor mu? Bunlara kim yetki veriyor? Bunlara kimler eriﬂim hakk›na sahip? • Virüslere ve korsanl›k faaliyetlerine karﬂ› koruma tedbirleri (geçmiﬂ iﬂlemler kütü¤ü, araç kullan›m›), • Eriﬂim haklar›: Eriﬂim hakk› düzenli olarak gözden geçiriliyor mu? Personel de¤iﬂikli¤i oldu¤unda eriﬂim haklar› da derhal de¤iﬂtiriliyor mu? • ‹ﬂlemlerin yetkisiz kiﬂiler taraf›ndan engellenmesi ve durdurulmas›yla ilgili geçmiﬂ kay›tlar. (c) Do¤ruluk Kontrolü (Authentication): ‹ç denetçi, yap›lan iﬂlemlerde do¤ruluk kontrolüyle ve uygulanan kontrollerin de¤erlendirilmesiyle ilgili politikalar› gözden geçirmelidir. • Düzenli inceleme ve gözden geçirme delilleri, • Yönetimin kulland›¤› kontrol özde¤erlendirme (CSA) araçlar›, • Düzenli ba¤›ms›z kontroller, • Görev ayr›m›, • Yönetimin sahip olmas› gereken araçlar: güvenlik protokolleri (çoklu seviyeden dilimlemeye e-ticaret ve di¤er faaliyetler), ﬂifre yönetimi, ba¤›ms›z mutabakat ve denetim izleri.
Uygulama Önerileri
193
(d) Verilerin Bozulmas›: ‹ç denetçi, veri bütünlü¤ü üzerindeki kontrolleri de¤erlendirmelidir. • Kataloglarda ve fiyatlar veya ücretlerde kimler de¤iﬂiklik yapabilir? Onay mekanizmas› nedir? • Hiç kimse denetim izlerini imha edebilir mi? • Elektronik bülten panosu de¤iﬂikliklerine kim onay verme yetkisine sahiptir? • Sipariﬂ ve kay›t prosedürleri nelerdir? • Çevrimiçi ihale sürecinde yeterli dokümantasyon veriliyor mu? • Yönetimin sahip olmas› gereken araçlar: Sald›r›ya karﬂ› savunma yönetimi [gözlem yaz›l›m›, otomatik zaman aﬂ›m› (time out) ve e¤ilim analizi], e-ticaret sunucular› için fiziksel güvenlik, de¤iﬂim kontrolü ve mutabakat. (e) ‹ﬂ kesintisi: ‹ç denetçi, iﬂ devaml›l›¤› plan›n› incelemeli ve plan›n test edilip edilmedi¤ini tespit etmelidir. Yönetim, bir kesinti hâlinde iﬂlem ve hareketlerin süreci için alternatif bir yol geliﬂtirmiﬂ olmal›d›r. Yönetimin aﬂa¤›da say›lan potansiyel durumlar› çözümlemeye yönelik bir süreci bulunmal›d›r: • Disk ya da manyetik bant alan› sald›r›lar›, • Servisin reddi sald›r›lar›, • E-ticaret ile finans yönetimi sistemleri aras›ndaki arayüzde yetersizlik, • Yedekleme imkânlar›, • Korsanl›k, sald›r›lar, güvenlik engellerini k›rma, virüsler, solucanlar (worms), Truva atlar› (Trojan horses) ve arka kap›lar (back doors) gibi sorunlarla mücadele stratejileri. (a) Yönetim Sorunlar›: ‹ç denetçi, iﬂ birimlerinin e-ticaret sürecini iyi yönetip yönetmedi¤ini de¤erlendirmelidir. ‹lgili baz› konular aﬂa¤›da sunulmaktad›r:
194
Meslekî Uygulama Çerçevesi
• Bireysel inisiyatifler ve geliﬂtirme projeleri hakk›nda proje yönetim incelemeleri, • Sistem Geliﬂtirme Yaﬂam Çevrimi incelemeleri, • Sat›c› seçimi, sat›c›lar›n yetenekleri, personel gizlili¤i ve ba¤l›l›k, • Uygulama sonras› ekonomik incelemeler: Beklenen faydalar elde ediliyor mu? Baﬂar›y› ölçmek için hangi k›staslar kullan›l›yor? • Uygulama sonras› süreç incelemesi: Yeni süreçler var m› ve etkin çal›ﬂ›yor mu?
Uygulama Önerileri
195
Uygulama Önerisi 2100-7: Çevresel Risklerin Tan›mlanmas› ve Rapor Edilmesinde ‹ç Denetçinin Rolü Uluslararas› ‹ç Denetim Meslekî Uygulama Standartlar›ndan Standart 2100’ün Yorumu
‹lgili Standart 2100 ‹ﬂin Niteli¤i ‹ç denetim faaliyeti, sistematik ve disiplinli bir yaklaﬂ›mla, risk yönetimi, kontrol ve yönetiﬂim sistemlerini de¤erlendirmeli ve bu sistemlerin iyileﬂtirilmesine katk›da bulunmal›d›r. Bu Uygulama Önerisinin Niteli¤i: Bu Uygulama Önerisinin amac›, çevresel denetim faaliyetleriyle ilgili risk ve ba¤›ms›zl›k konular› hakk›nda iç denetim birimlerine yol göstermektir. ‹ç denetçiler, çevreyle ilgili denetçilerin kurum içindeki yeri ve hiyerarﬂik iliﬂkilerinden kaynaklanabilecek potansiyel riskler konusunda uyan›k olmal›d›r. Bu Uygulama Önerisi, önemli çevre sorunlar›n›n uygun kademeye zaman›nda rapor edilmesini sa¤lamak amac›na yönelik asgarî güvence araçlar› konusunda önerilerde bulunmaktad›r. Çevre mevzuat›na uymama riskleri, para cezalar› ve cezalar ve di¤er kötü yönetim riskleri kurum için önemli zararlara yol açabilir. Uygulama Önerilerine uymak iste¤e ba¤l›d›r.
1. ‹ç denetim yöneticisi, kurum çap›nda risk yönetim de¤erlendirmesine çevre, sa¤l›k ve emniyet (EH&S) risklerini de dahil etmeli ve faaliyetleri kurumun iﬂleriyle ba¤lant›l› di¤er risk tiplerine k›yasla dengeli bir ﬂekilde de¤erlendirmelidir. De¤erlendirilmesi gereken risk tehditleri aras›nda ﬂunlar say›labilir: Kurum içi raporlama yap›lar›; çevresel zarar, para cezalar› ve di¤er cezalara neden olma olas›l›¤›; Çevre Koruma Dairesi’nin (EPA) veya di¤er kamu kurumlar›n›n öngördü¤ü harcamalar; yaralanma ve ölüm kay›tlar›; müﬂteri kay›plar› kayd›, kurum hakk›nda olumsuz yay›nlar, kurumun toplumsal imaj ve itibar kayb›.
196
Meslekî Uygulama Çerçevesi
2. ‹ç Denetim Yöneticisi, EH&S riskleri yönetiminin büyük ölçüde bir çevre denetim fonksiyonuna ba¤l› oldu¤unu tespit etti¤i takdirde, ‹ç Denetim Yöneticisinin bu örgütsel yap›n›n sonuçlar› yan›nda, faaliyetlerine ve raporlama mekanizmalar›na etkilerini de¤erlendirmesi gerekir. ‹ç Denetim Yöneticisi, risk yönetiminin yeterli olmad›¤›n› ve bakiye (art›k) bir riskin var oldu¤unu tespit ederse, bu sonuç, tabiat›yla, iç denetim faaliyetinin görev plan›nda bir de¤iﬂikli¤i ve daha ileri incelemeleri gerektirecektir. 3. Çevre denetim fonksiyonlar›n›n ço¤u, ‹ç Denetim Yöneticisine de¤il, kendi kurumunun çevre yöneticisine veya genel dan›ﬂmana ba¤l›d›r. Çevre denetimi için tipik örgütsel modeller, aﬂa¤›daki senaryolardan birinin kapsam›na girer: • ‹ç denetim yöneticisi ve çevre denetim yöneticisi, birbirleriyle çok az temas› bulunan ayr› fonksiyonel birimlerdir. • ‹ç denetim yöneticisi ve çevre denetim yöneticisi, ayr› fonksiyonel birimlerdir ve faaliyetlerinin eﬂgüdümünü sa¤larlar. • ‹ç Denetim Yöneticisinin çevre sorunlar›n› denetleme sorumlulu¤u vard›r. 4. Çevre denetim sorunlar›na iliﬂkin IIA’nin haz›rlad›¤› bir geçici durum raporuna göre: • Çevre denetçilerinin yaklaﬂ›k yar›s›, nadiren, yönetim birimine ba¤l› bir kurulla toplan›r ve sadece %40’n›n ‹ç Denetim Yöneticisi ile bir temas› vard›r. • Kurumlar›n %70’i, çevreyle ilgili sorunlar›n yönetim birimi toplant›lar›n›n gündemine düzenli olarak konuldu¤unu bildirmiﬂtir. • Kurumlar›n yaklaﬂ›k %40’›, son üç y›l içinde çevre mevzuat› ihlâlleri sebebiyle para cezalar›na veya di¤er cezalara çarpt›r›ld›klar›n› bildirmiﬂtir. Ankete kat›lanlar›n üçte ikisi, çevresel risklerini önemli olarak tan›mlam›ﬂt›r.
Uygulama Önerileri
197
5. Çevre, Sa¤l›k ve Emniyet Denetimi Yuvarlak Masas› (yeni ad› "Denetim Yuvarlak Masas›"), Utah Eyalet Üniversitesi’nden Richard L. Ratliff ve bir grup araﬂt›rmac›dan, bir çevre, sa¤l›k ve emniyet denetimi araﬂt›rmas› yapmalar›n› talep etmiﬂtir. Bu araﬂt›rma sonucunda, araﬂt›rmac›lar›n risk ve ba¤›ms›zl›k sorunlar›na iliﬂkin bulgular› aﬂa¤›daki gibidir: • EH&S denetim iﬂlevi, di¤er kurum içi denetim faaliyetlerinden biraz tecrit edilmiﬂtir. EH&S denetim fonksiyonu, iç denetimden ayr› teﬂkilâtlanm›ﬂt›r; mali tablolar›n d›ﬂ denetimiyle ba¤lant›s› çok güçlü de¤ildir ve yönetim mercii veya üst yönetime de¤il bir EH&S yöneticisine ba¤l›d›r. Bu yap›, yönetimin EH&S denetimini, sadece kurumun EH&S iﬂlevi içinde yeri olan teknik bir alan olarak gördü¤ünü göstermektedir. • Bu örgütsel konumda, EH&S denetçileri, etkin bir denetim fonksiyonunun temel ﬂartlar›ndan biri olarak görülen ba¤›ms›zl›klar›n› koruyamaz. EH&S denetim müdürleri, normalde, idarî yap› içinde, denetlenen fiziksel tesislerden sorumlu olan yöneticilere ba¤l›d›r. Bundan ötürü, zay›f EH&S performans›, ilgili tesislerin yönetiminden sorumlu ekibi kötü etkileyecektir. Bu nedenle, tesis yönetim ekibi, denetim bulgular› olarak neyin rapor edilece¤i, denetimin nas›l yap›laca¤› ya da denetim plan›na nelerin al›naca¤› gibi konularda etki ve nüfuzunu kullanmay› deneyecektir. Denetçilerin meslekî kararlar›n›n bu etki ve nüfuz alt›nda kalma potansiyeli, sadece görünürde olsa bile, denetçi ba¤›ms›zl›¤›n› ve objektifli¤ini ihlâl eder. • Yaz›l› denetim raporlar›n›n, kurum içinde, en fazla üst seviye çevre yöneticileri kademesine kadar da¤›t›lmas› da yayg›n bir uygulamad›r. Ancak bu yöneticiler, potansiyel bir menfaat çat›ﬂmas› içinde olabilecekleri için, EH&S denetim bulgular›n›n daha üst yönetime, denetim komitesine ve yönetim kuruluna iletilmesine engel olabilirler. • Denetim bilgileri genellikle (a) avukat-müvekkil iliﬂkilerinin gizlili¤i kapsam›ndaki bilgiler veya avukat›n meslekî çal›ﬂmalar› kapsam›ndakiler, (b) gizli ve özel, (c) gizli
198
Meslekî Uygulama Çerçevesi
de¤ilse de, s›k› kontrol alt›nda tutulan bilgiler olarak s›n›fland›r›l›r. Bu da, EH&S denetim bilgilerine eriﬂimin, son derece k›s›tl› olmas›yla sonuçlan›r. ‹Ç DENET‹M YÖNET‹C‹S‹NE ÖNER‹LER: 6. ‹ç denetim yöneticisi, çevre koruma yöneticisiyle yak›n bir iﬂ iliﬂkisi kurmal› ve faaliyetlerini çevre denetim plan›yla uyumlu yürütmelidir. Çevre denetim biriminin ‹ç Denetim Yöneticisi d›ﬂ›nda bir kiﬂiye ba¤l› oldu¤u durumlarda, ‹ç Denetim Yöneticisi, görevin ifas›n› ve denetim plan›n› gözden geçirmeyi teklif etmelidir. Çevre denetim birimi, örgütsel olarak iç denetim biriminden ba¤›ms›z ise, ‹ç Denetim Yöneticisi, dönemsel olarak çevre denetim biriminin kalite güvencesi kontrolünü planlamal› ve uygulamal›d›r. Bu kontrol sonucunda, çevre risklerine karﬂ› yeterli tedbirin al›n›p al›nmad›¤› tespit edilmelidir. Bir EH&S denetim program› (a) uyum odakl› (yani, kanunlara, mevzuata ve kurumun kendi EH&S politikalar›, prosedürleri ve performans hedeflerine uyulup uyulmad›¤›n›n kontrolü), (b) yönetim sistemleri odakl› (yani, risklerin azalt›lmas› ve hukukî ve iç gereklere uymak amac›na yönelik olarak, yönetim sistemlerinin de¤erlendirilmesi) veya (c) bu iki yaklaﬂ›m›n bir kar›ﬂ›m› olabilir. 7. ‹ç Denetim Yöneticisi, kendisinin yönetti¤i birimin bir parças› olmayan çevre denetçilerinin genel kabul gören meslekî denetim standartlar›na ve genel kabul gören etik kurallar›na uyup uymad›klar›n› de¤erlendirmelidir. Hem Çevre, Sa¤l›k & Emniyet Denetçisi Sertifikaland›rma Kurulu (BEAC) hem de IIA, uygulama standartlar›n› ve etik kurallar›n› yay›nlamaktad›r. 8. ‹ç denetim yöneticisi, kurumun karﬂ›laﬂt›¤› ciddî risklerden kaynaklanan önemli sorunlar›n hiyerarﬂi içinde yönetim kurulunun denetim komitesine veya ba¤l› baﬂka bir komitesine rapor edilmesini sa¤lamak amac›yla, çevre denetim biriminin kurum örgütlenmesi içindeki konumunu ve ba¤›ms›zl›¤›n› de¤erlendirmelidir. ‹ç Denetim Yöneticisi, önemli EH&S riskleri ve kontrol sorunlar›n›n denetim komitesine (veya yönetim kurulunun baﬂka bir komitesine) rapor edilmesini de mümkün k›lmal›d›r.
Uygulama Önerileri
199
Uygulama Önerisi 2100-8: Bir Kurumun Gizlilik Politikas›n›n De¤erlendirilmesinde ‹ç Denetçinin Rolü Uluslararas› ‹ç Denetim Meslekî Uygulama Standartlar›ndan Standart 2110’un Yorumu
‹lgili Standart 2100 ‹ﬂin Niteli¤i ‹ç denetim faaliyeti, sistematik ve disiplinli bir yaklaﬂ›mla, risk yönetimi, kontrol ve yönetiﬂim sistemlerini de¤erlendirmeli ve bu sistemlerin iyileﬂtirilmesine katk›da bulunmal›d›r. Bu Uygulama Önerisinin Niteli¤i: ‹ç denetçiler, bir kurumun gizlilik politikas›yla ilgili faaliyetlerinin kontrolü ve de¤erlendirilmesinde aﬂa¤›daki önerileri dikkate almal›d›r. Bu Uygulama Önerisinin, gizlilik politikas›yla ba¤lant›l› kapsaml› bir güvence sa¤lama veya dan›ﬂmanl›k görevi için gereken bütün prosedürleri kapsamak gibi bir amac› yoktur; k›lavuz sadece denetim komitesinin, yönetim kurulunun ve yönetimin ilgili sorumluluklar›n› tamamlay›c› nitelikte üst düzey denetçinin sorumluluklar› konusundaki bir öneriler demetinden ibarettir. Uygulama Önerilerine uymak iste¤e ba¤l›d›r.
1. Bilgi teknolojisi ve iletiﬂimdeki geliﬂmeler, özel hayata ve gizlili¤e yönelik yeni riskler ve tehditler yaratmaya devam ettikçe, kiﬂisel mahremiyet ve gizlili¤in korunmas›yla ilgili kayg›lar giderek daha belirgin, merkezî ve evrensel bir duruma gelmektedir. Dünyan›n büyük bir k›sm›nda, gizlilik kontrolleri, iﬂ hayat›yla ilgili hukukî düzenlemelerin bir parças›d›r. 2. Gizlilik tan›mlar› ülkeye, kültüre, siyaset ortam›na ve hukuk sistemine göre büyük farkl›l›k göstermektedir. Gizlilik kavram› kiﬂisel gizlili¤i (fiziksel ve fizyolojik); yer gizlili¤ini (gözetimden uzak olmak); iletiﬂim gizlili¤ini (izleme ve gözlemden uzak olmak) ve bilgi gizlili¤ini (kiﬂisel bilgilerin
200
Meslekî Uygulama Çerçevesi
baﬂkalar›nca toplanmas›, kullan›lmas› ve ifﬂa edilmesi) kapsar. Kiﬂisel bilgiler, genel olarak, belirli bir bireyle ilgili olan bilgiler ya da baﬂka bilgilerle ba¤lant› kurulabilecek ay›rt edici nitelikteki bilgiler anlam›na gelir. Kiﬂisel bilgiler, herhangi bir ortam veya formatda kaydedilmiﬂ olsun ya da olmas›n maddî olgularla ilgili veya subjektif bilgileri içerebilir. Kiﬂisel bilgilere örnek olarak, ﬂunlar say›labilir: • ‹sim, adres, kimlik numaralar›, gelir seviyesi veya kan grubu, • De¤erlendirmeler, görüﬂler, sosyal statü veya sab›ka kay›tlar› veya disiplin cezalar›, • Personel özlük dosyalar›, kredi ve borç kay›tlar›. 3. Gizlilik, bir risk yönetim sorunudur. Gizlili¤in ve kiﬂisel bilgilerin uygun kontrollerle korunamamas›, bir kurum için ciddî ve önemli sonuçlar yaratabilir. Örne¤in, kiﬂilerin ve kurumun itibar›na zarar verebilir, hukukî sorumluluklara neden olabilir, tüketicilerde ve personelde güven kayb›na yol açabilir. 4. Kiﬂisel bilgilerin korunmas› konusunda dünya çap›nda geliﬂtirilmekte olan çeﬂitli kanun ve düzenlemeler vard›r. Ayr›ca, gizlilik konusunda uygulanabilecek genel kabul gören politika ve uygulamalar da vard›r. 5. Baﬂar›l› gizlilik uygulamalar›n›n iyi yönetiﬂime ve yönetim sorumlulu¤una katk›da bulundu¤u aç›kt›r. Kurumun temel ve büyük risklerinin belirlenmesinden ve belirlenen bu riskleri azaltmak için uygun sistemlerin uygulanmas›ndan, nihaî olarak yönetim mercii (yani, yönetim kurulu, bir kurumun veya tüzel kiﬂinin baﬂkan› veya yöneticisi) sorumludur. Bu sorumluluk, kurum için gereken gizlilik politikas›n›n oluﬂturulmas›n› ve uygulamas›n›n gözlenmesini de kapsar. 6. ‹ç denetçi, kuruma, gizlilik hedeflerine uymas›nda yard›mc› olarak, iyi bir yönetiﬂime ve yönetim sorumlulu¤unun sa¤lanmas›na katk›da bulunabilir. ‹ç denetçi, kendi
Uygulama Önerileri
201
kurumundaki gizlilik politikas›n›n de¤erlendirilmesi, önemli risklerin belirlenmesi ve bu riskleri azalt›c› tavsiyelerin yap›lmas› konusunda, benzersiz bir konumdad›r. 7. Gizlilik politikas›n›n de¤erlendirilmesinde, iç denetçi ﬂunlar› dikkate almal›d›r: • Kendi ülkelerindeki (kurumun faaliyet yürüttü¤ü di¤er ülkelerdekiler de dahil) gizlilikle ilgili çeﬂitli kanun, düzenleme ve politikalar, • Kurumun faaliyet yürüttü¤ü ülke/ülkelerde geçerli olan ve kurumun tâbi oldu¤u kanun, düzenleme ve di¤er standartlar›n ve uygulamalar›n niteli¤inin tam olarak belirlenmesi konusunda kurumun hukuk dan›ﬂman›yla irtibat, • Bilgi güvenli¤i ve veri koruma kontrollerinin bulunmas›n› sa¤lamak; bunlar› düzenli olarak gözden geçirmek ve uygunluklar›n› tespit etmek ve de¤erlendirmek için bilgi teknolojisi uzmanlar›yla irtibat, • Kurumun gizlilik uygulamalar›n›n seviyesi veya geliﬂmiﬂli¤i. Bu seviyeye ba¤l› olarak, iç denetçi, farkl› ve de¤iﬂen roller üstlenebilir. Denetçi; gizlilik program›n›n geliﬂtirilmesini ve uygulanmas›n› kolaylaﬂt›rabilir; kurumun ihtiyaç ve risklerini tespit etmek amac›na yönelik bir gizlilik risk de¤erlendirmesi yapabilir ya da kurumun gizlilik politikalar›, uygulamalar› ve kontrollerinin kurum yap›s› içindeki etkinli¤ini inceleyebilir ve bu konuda güvence verebilir. ‹ç denetçi, bir gizlilik program›n›n geliﬂtirilmesi ve uygulanmas› sorumlulu¤unun bir k›sm›n› üstlenirse, bu durum iç denetçinin ba¤›ms›zl›¤›na halel getirebilir. 8. Normal olarak, bir iç denetçiden beklenebilecekler, kendi kurumunun toplad›¤›, kiﬂisel veya özel say›lan bilgilerin türlerini tan›mlamas›, uygunluklar›n› belirlemesi; kullan›lan bilgi toplama yöntemini tan›mlamas›, kurumun toplad›¤› bu
202
Meslekî Uygulama Çerçevesi
bilgileri as›l kullan›m amac›na ve kanunlara uygun kullan›p kullanmad›¤›n› ve bu bilgilerin topland›¤›, tutuldu¤u ve kullan›ld›¤› alanlar› belirlemesidir. 9. Bu konunun son derece teknik ve hukukî niteli¤inden dolay›, iç denetçi, gizlilik politikas›n› de¤erlendirme çal›ﬂmas› yapabilmesi için yeterli bilgiye ve niteliklere sahip olmal› ve bu amaçla, gerekirse, üçüncü ﬂah›s uzmanlardan yararlanmal›d›r.
Uygulama Önerileri
203
Uygulama Önerisi 2110-1: Risk Yönetim Sürecinin Yeterlili¤inin De¤erlendirilmesi Uluslararas› ‹ç Denetim Meslekî Uygulama Standartlar›ndan Standart 2110’un Yorumu
‹lgili Standart 2110 Risk Yönetimi ‹ç denetim faaliyeti; önemli risk maruziyetlerini tespit edip de¤erlendirerek ve risk yönetimi ve kontrol sistemlerinin iyileﬂtirilmesine katk›da bulunarak kuruma yard›mc› olmal›d›r. Bu Uygulama Önerisinin Niteli¤i: ‹ç denetçilere, kurumun risk yönetim süreçlerinin yeterlili¤i konusunda yönetime ve denetim komitesine güvence verme sorumlulu¤u verilebilir. Bu sorumluluk, denetçinin, kurumun risk yönetimi sürecinin kurumun varl›klar›n›, itibar›n› ve devam etmekte olan faaliyet ve iﬂlemlerini korumak için yeterli olup olmad›¤› konusunda bir inceleme yap›p görüﬂ belirtmesini gerektirir. Bu uygulama önerisi, denetçinin kurumun risk yönetimi sürecinin yeterlili¤i hakk›nda bir görüﬂ belirtirken dikkate almas› gereken önemli risk yönetimi hedef ve amaçlar› hakk›nda bilgiler vermektedir. Bu uygulama önerisi, sadece kurumun risk yönetimi sürecinin etkinli¤inin de¤erlendirilmesi ve rapor edilmesi konular›n› kapsar. Kontroller ve dan›ﬂmanl›k görevleri, di¤er uygulama önerilerinde daha derinlemesine ele al›nacakt›r. Bu uygulama önerisi, bir kurumun risk yönetimi sürecinin stratejik aç›dan önemli olan di¤er süreçlere benzer bir tarzda ve ﬂekilde de¤erlendirilebilece¤ini ve de¤erlendirilmesi gerekti¤ini savunmaktad›r. Uygulama Önerilerine uymak, iste¤e ba¤l›d›r.
1. Risk yönetimi, kurum yönetiminin temel sorumluluklar›ndan biridir. ‹ﬂ hedeflerine ulaﬂabilmek için, yönetimin, kurum içinde sa¤lam risk yönetimi süreçlerinin bulunmas›n› ve kullan›lmas›n› sa¤lamas› gerekir. Denetim komitesi ve yönetim kurulu, uygun risk yönetimi süreçlerinin bulunup bulunmad›¤›n› ve bu süreçlerin yeterli ve etkin olup olmad›¤›n› tespit etmek konusunda denetleyici bir rol oynar. ‹ç denetçiler, yönetimin uygulad›¤› risk süreçlerinin yeterlili¤i ve etkinli¤ini
204
Meslekî Uygulama Çerçevesi
inceleyerek, de¤erlendirerek, rapor ederek ve bu konuda iyileﬂtirici önlemler önererek hem yönetime hem de denetim komitesine yard›mc› olmal›d›r. Kurumun risk yönetimi ve kontrol süreçlerinden yönetim, denetim komitesi ve yönetim kurulu sorumludur. Ancak, dan›ﬂmanl›k rolünü üstlenen iç denetçiler de, bu risklerin tan›mlanmas›, de¤erlendirilmesi ve risk yönetimi yöntemlerinin uygulanmas› ve bu risklerle ilgili kontrol önlemlerinin al›nmas› ve uygulanmas› konular›nda yard›mc› olabilir. 2. Kurumun risk yönetimi süreçleri hakk›nda de¤erlendirme ve incelemeler yapmak ve raporlar yazmak, normal olarak, yüksek denetim önceli¤ine sahip bir görevdir. Yönetimin uygulad›¤› risk süreçlerini de¤erlendirme görevi, denetçilerin denetim çal›ﬂmalar›n› planlamak için risk analizlerini kullanmas› gere¤inden farkl›d›r. Bununla birlikte, yönetimin, denetim komitesinin ve yönetim kurulunun endiﬂe duydu¤u konular›n tespiti de dahil, kapsaml› bir risk yönetim sürecinden elde edilen bilgiler, iç denetçilerin denetim faaliyetlerini planlamas›na yard›mc› olabilir. 3. Her kurum, risk yönetimi sürecini uygulamak için kendisine özgü bir yöntem seçebilir. ‹ç denetçi, bu yöntemin denetim komitesi ve yönetim kurulu da dahil, kurum yönetimine kat›lan bütün önemli grup veya kiﬂiler taraf›ndan anlaﬂ›l›p anlaﬂ›lmad›¤›n› tespit etmelidir. ‹ç denetçiler, kurumun risk yönetimi süreçlerinin genel yeterlili¤i hakk›nda bir görüﬂ belirtebilmek için, kurumun risk yönetimi süreçlerinin beﬂ temel hedefe uygun oldu¤undan emin olmal›d›r. Bir risk yönetimi sürecinin beﬂ temel hedefi ﬂunlard›r: • ‹ﬂ stratejileri ve faaliyetlerinden kaynaklanan risklerin belirlenmesi, tan›mlanmas› ve öncelik s›ras›n›n tespit edilmesi, • Yönetimin, denetim komitesinin ve yönetim kurulunun, kurumun stratejik planlar›n›n gerçekleﬂtirilmesi amac›na
Uygulama Önerileri
205
yönelik risk kabulü de dahil, kurumun kabul edebilece¤i risklerin düzeyini tespit etmesi, • Riskleri yönetimin ve yönetim kurulunun kabul edilebilir buldu¤u seviyelere düﬂürmek veya baﬂka yollarla yönetmek amac›na yönelik risk azaltma faaliyetleri ve çal›ﬂmalar›n›n düzenlenmesi, yap›lmas› ve uygulanmas›, • Riskleri ve risk yönetimi amac›na yönelik kontrollerin etkinli¤ini dönemsel olarak yeniden de¤erlendirmek için, devaml› izleme faaliyetlerinin yürütülmesi, • Risk yönetimi süreçlerinin sonuçlar› hakk›nda, yönetime ve yönetim kuruluna dönemsel rapor verilmesi. Kurumun kurumsal yönetim süreçleri kapsam›nda; riskler, risk stratejileri ve kontroller hakk›nda hissedarlara ve di¤er hak sahiplerine dönemsel bilgi verilmelidir, 4. ‹ç denetçiler, muhtelif kurumlar›n kendi risk yönetimi uygulamalar›nda kulland›¤› teknikler aras›nda önemli farklar›n olabilece¤ini bilmelidir. Risk yönetimi süreçleri, bir kurumun faaliyetlerinin niteli¤ine uygun tasarlanmal› ve uygulanmal›d›r. Kurumun iﬂle ilgili faaliyetlerinin büyüklü¤üne ve karmaﬂ›kl›k düzeyine ba¤l› olarak, risk yönetimi süreçleri: • resmî veya gayriresmî olabilir, • kantitatif veya sübjektif olabilir, • ilgili iﬂ birimlerine tahsis edilebilir veya kurumsal düzeyde merkezîleﬂtirilebilir. Bir kurumun kulland›¤› sürecin, o kurumun kültürüne, yönetim tarz›na ve iﬂ hedeflerine uygun olmas› gerekir. Örne¤in, kurumun türev araçlar kullanmas› veya sermaye piyasalar›n›n baﬂka geliﬂmiﬂ ürünlerini kullanmas› hâlinde, kantitatif (nicel k›staslara ba¤l›) risk yönetimi araçlar›n›n kullan›lmas› gerekir. Daha küçük ve daha az karmaﬂ›k olan kurumlar, kurumun risk profilini tart›ﬂmak ve dönemsel eylemlere giriﬂmek için bir gayriresmî risk kurulundan yararlanabilir. Denetçi, seçilen
206
Meslekî Uygulama Çerçevesi
yöntemin kurumun faaliyetlerinin niteli¤ine uygunlu¤unu ve kapsay›c›l›¤›n› belirlemelidir. 5. ‹ç denetçiler, risk yönetimi süreçlerinin yeterlili¤i yönünde bir görüﬂ belirtebilmek için, risk yönetimi süreçlerinin beﬂ temel hedefine uygunlu¤undan emin olmal› ve bu konuda yeterli kan›t toplamal›d›r. Bu kan›tlar›n toplanmas›nda, iç denetçi, aﬂa¤›da say›lan tiplerde denetim prosedürlerini dikkate almal›d›r: • Kurumun kulland›¤› sürecin uygunlu¤unu ve endüstrinin en iyi uygulamalar›n› temsil edip etmedi¤ini tespit etmek ve de¤erlendirmek için, risk yönetimi yöntemlerine iliﬂkin referans malzemeleri ve temel bilgileri araﬂt›rmak ve gözden geçirmek, • Bu riskleri önlemek, izlemek ve tekrar de¤erlendirmek için kullan›lan kontrol prosedürlerini incelemek ve kurumu etkileyebilecek riskleri ve risk maruziyetlerini tespit etmek amac›yla, kurumun yapt›¤› iﬂle ilgili mevcut sektör geliﬂmeleri, e¤ilimleri, bilgileri ve baﬂka uygun bilgi kaynaklar›n› araﬂt›rmak ve gözden geçirmek, • Kurumun iﬂ stratejilerini, risk yönetimi felsefesini ve yöntemini, risk alma isteklili¤ini ve riskleri kabulünü tespit etmek amac›yla, kurumsal politikalar›, denetim komitesinin ve yönetim kurulunun tutanaklar›n› gözden geçirmek, • Yönetimin, iç denetçilerin ve d›ﬂ denetçilerin ve bu raporlar› ç›kartabilecek baﬂka kaynaklar›n daha önce düzenledi¤i risk de¤erlendirme raporlar›n› gözden geçirmek, • ‹ﬂ birimlerinin hedeflerini, ilgili riskleri ve kurum yönetiminin riskleri azaltma ve kontrol izleme çal›ﬂmalar› ve faaliyetlerini tespit etmek amac›yla, üst yönetimle ve birim yönetimleriyle görüﬂmeler yapmak, • Risklerin azalt›lmas›n›n, gözlenmesinin, raporlanmas›n›n ve ilgili kontrol faaliyetlerinin etkinli¤ini ba¤›ms›z bir gözle de¤erlendirmek amac›yla bilgileri özümsemek,
Uygulama Önerileri
207
• Hiyerarﬂik örgütlenmenin risk gözleme faaliyetleri için uygunlu¤unu de¤erlendirmek, • Risk yönetimi sonuçlar›yla ilgili raporlaman›n yeterlili¤ini ve zaman›nda yap›l›p yap›lmad›¤›n› gözden geçirmek, • Yönetimin risk analizlerinin tam olup olmad›¤›n› ve risk yönetimi süreçleriyle anlaﬂ›lan sorunlar› gidermek için al›nan tedbirlerin uygunlu¤unu gözden geçirmek ve iyileﬂtirici eylemler önermek, • Yönetimin uygulad›¤› iç de¤erlendirme süreçlerinin etkinli¤ini, gözlemlerle, do¤rudan kontrol testleriyle ve gözlem prosedürleriyle, gözlem faaliyetlerinde kullan›lan bilgilerin do¤rulu¤una iliﬂkin testlerle ve baﬂka uygun tekniklerle tespit etmek, • Risk yönetimi uygulamalar›ndaki zay›fl›klar› gösteren riskle ilgili sorunlar› incelemek ve gerekirse, bu konuyu yönetimle, denetim komitesi ve yönetim kuruluyla tart›ﬂmak. Denetçi, yönetimin kurumun risk yönetimi stratejisi veya politikalar›na uygun olmayan ya da kurumun kabul edemeyece¤i bir risk düzeyi kabul etti¤ine inand›¤› takdirde, ek tavsiyeler için, "Yönetimin Art›k Riskleri Üstlenmesinin Çözümü" baﬂl›kl› Standart 2600’e ve ilgili di¤er standartlara bakmal›d›r.
Uygulama Önerileri
209
Uygulama Önerisi 2110-2: ‹ﬂ Devaml›l›¤› Sürecinde ‹ç Denetçinin Rolü Uluslararas› ‹ç Denetim Meslekî Uygulama Standartlar›ndan Standart 2110’un Yorumu
‹lgili Standart 2110 Risk Yönetimi ‹ç denetim faaliyeti, önemli risk maruziyetlerini tespit edip de¤erlendirerek ve risk yönetimi ve kontrol sistemlerinin iyileﬂtirilmesine katk›da bulunarak kuruma yard›mc› olmal›d›r. Bu Uygulama Önerisinin Niteli¤i: ‹ç denetçiler, bir kurumun iﬂ devaml›l›¤›yla ilgili faaliyetlerini de¤erlendirirken aﬂa¤›daki önerileri dikkate almal›d›r. Bir felâketin meydana gelmesinden sonra kurumun iﬂine devam edebilmesi için uygulanmas› gereken pek çok süreç vard›r. Kapsaml› bir plan›n geliﬂtirilmesi; felâketin potansiyel etkisinin ve sonuçlar›n›n de¤erlendirilmesi ve risklerin anlaﬂ›lmas›yla baﬂlar. (‹ﬂ devaml›l›¤›n› sa¤lama süreci, di¤er unsurlar›n yan› s›ra, iﬂ devaml›l›¤› ve felâket sonras› toparlanma planlar›n› da kapsar.) Bu planlar, kurumun ihtiyaçlar›na uygun olmalar›n› sa¤layacak bir ﬂekilde yap›lmal›, sürdürülmeli, s›nanmal› ve denetlenmelidir. Uygulama Önerilerine uymak iste¤e ba¤l›d›r.
1. Do¤al âfetler, kazalar veya kasdî suç eylemleri iﬂte kesintilere neden olabilir. Bu kesintilerin önemli mali ve fiilî sonuçlar› olabilir. Denetçiler, kurumun iﬂ kesintilerine karﬂ› haz›r olup olmad›¤›n› de¤erlendirmelidir. Kapsaml› bir plan; âcil durum tedbir prosedürlerini, alternatif iletiﬂim sistemleri ve tesislerini, bilgi sistemleri yedeklemesini, felâket sonras› toparlanma planlar›n›, iﬂe etki de¤erlendirmesini ve iﬂi eski hâline getirme planlar›n›, elektrik, su gibi kamu hizmetlerini tekrar devreye alma prosedürlerini ve kurumun âcil bir duruma veya felâkete karﬂ› haz›r olmas›n› sa¤lamak için gereken idame prosedürlerini içerir.
210
Meslekî Uygulama Çerçevesi
2. ‹ç denetim faaliyeti, kurumun bir felâkete haz›r olup olmad›¤› konusunda üst yönetime sürekli bilgi vermek amac›yla, kurumun iﬂ devaml›l›¤› planlama sürecini düzenli olarak de¤erlendirmelidir. 3. Kurumlar›n ço¤u, bir felâketin veya öngörülmeyen baﬂka bir olay›n vukuu hâlinde normal iﬂ süreçleri ve faaliyetlerinde bir kesinti veya uzun süreli bir gecikme beklemez. Pek çok iﬂ uzman›, sorunun bir felâketin olup olmayaca¤› de¤il, ne zaman olaca¤› oldu¤unu söyler. Zaman içinde, bir kurum, bilgi kayb›na, mallar›na (maddi veya maddi olmayan) eriﬂim kayb›na veya personelin hizmet edememesine yol açan bir olayla karﬂ›laﬂacakt›r. Bu nedenle, bu tür potansiyel risklerin tan›mlanmas› ve iﬂ devaml›l›¤› planlamas›n›n yap›lmas› bir kurumun risk yönetim sürecinin tamamlay›c› bir parças›d›r. Bu kay›p ve zararlar› asgarîye indirmek ve kurumun hayatî iﬂ fonksiyonlar›n›n devaml›l›¤›n› sa¤lamak için önceden planlama yapmak gerekir. Bu planlama, kurumun felâket hâlinde kurumla menfaat iliﬂkisi olan herkese kabul edilebilir düzeyde hizmet vermeyi sürdürmesine olanak sa¤layacakt›r. 4. ‹ﬂ kurtarman›n yaﬂamsal unsurlar›ndan biri de, güncel ve kapsaml› bir felâket sonras› toparlanma plan›n›n mevcut olmas›d›r. ‹ç denetçiler, kurumun felâket kurtarma planlamas›nda bir rol oynayabilir. Bu konuda, iç denetim birimi (a) risk analizine yard›mc› olabilir, (b) haz›rland›ktan sonra plan›n yeterli kapsama sahip olup olmad›¤›n› ve tasar›m›n› de¤erlendirebilir, (c) plan›n güncel tutulmas›n› sa¤lamak amac›yla dönemsel olarak güvence görevleri yerine getirebilir.
Planlama: 5. Kurumlar, risk yönetim ve kontrol süreçlerinin de¤erlendirilmesi ve operasyonlar›n analizi konusunda iç denetçilere güvenir. ‹ç denetçiler, kurumun genel iﬂ operasyonlar›n› ve bireylerin fonksiyonlar›n› ve bunlar›n birbirleriyle iliﬂki ve ba¤lant›lar›n› ö¤renir ve kavrar. Bu durum, iç denetim faaliyetini, haz›rlama
Uygulama Önerileri
211
süreci s›ras›nda felâket sonras› toparlanma plan›n›n de¤erlendirilmesi için çok de¤erli bir kaynak hâline getirir. 6. ‹ç denetim birimi, kurumun iç ve d›ﬂ ortam›n›n ve çevresinin de¤erlendirilmesine de yard›mc› olabilir. Göz önüne al›nabilecek iç faktörler aras›nda yönetimde de¤iﬂim/devir h›z› ve bilgi sistemleri ve kontrollerinde de¤iﬂiklikler ve önemli projeler ve programlar say›labilir. D›ﬂ faktörler aras›nda ise, d›ﬂ mevzuatta ve iﬂ ortam›nda de¤iﬂiklikler ve pazarlar ve rekabet koﬂullar›, uluslararas› mali ve ekonomik koﬂullar ve teknolojilerdeki de¤iﬂiklikler say›labilir. ‹ç denetçiler, kilit iﬂ faaliyetleriyle ilgili risklerin belirlenmesi ve tan›mlanmas›nda ve kurtarma amaçlar›na yönelik fonksiyon ve görevlerin öncelik s›ras›n›n tespitinde yard›mc› olabilir.
De¤erlendirme: 7. ‹ç denetçiler, önerilen iﬂ devaml›l›¤› ve felâket sonras› toparlanma planlar›n›n tasar›m›n›, tam olup olmad›klar›n› ve genel yeterlili¤ini gözden geçirdiklerinde, objektif kat›l›mc›lar olarak katk›da bulunabilir. Denetçi, plan›n risk de¤erlendirme sürecine dahil edilmiﬂ ve bu süreç kapsam›nda de¤erlendirilmiﬂ bulunan operasyonlar› yans›t›p yans›tmad›¤›n› ve iç kontrol meselesine ve bununla ilgili tavsiyelere yeteri kadar yer verip vermedi¤ini tespit etmek amac›yla plan› inceleyebilir. ‹ç denetçinin kurumun iﬂ operasyonlar› ve uygulamalar› hakk›nda kapsaml› bilgi sahibi olmas›, iﬂ devaml›l›¤› plan›n›n geliﬂtirilmesi safhas›nda plan›n yap›s›n› ve kapsam›n› de¤erlendirmesi suretiyle; felaket sonras› toparlanma sürecinde ise riskleri yönetmek ve etkin kontroller sa¤lamak için tavsiye edilenleri de¤erlendirmek suretiyle, kuruma yard›mc› olmas›n› mümkün k›lar.
Dönemsel Güvence Denetimi Görevleri 8. ‹ç denetçiler, kurumun iﬂ devaml›l›¤› ve felâket sonras› toparlanma planlar›n› dönemsel olarak denetlemelidir. Bu
212
Meslekî Uygulama Çerçevesi
denetimin amac›, planlar›n olumsuz olaylardan sonra operasyon ve süreçlerin en k›sa zamanda tekrar baﬂlat›lmas›n› sa¤lamak için yeterli olup olmad›¤›n› ve planlar›n mevcut iﬂfaaliyet ortam›n› yans›t›p yans›tmad›¤›n› tespit etmektir. 9. ‹ﬂ devaml›l›¤› ve felâket sonras› toparlanma planlar› çok k›sa zamanda güncelli¤ini kaybedebilir. De¤iﬂikliklerin gere¤ini yerine getirmek ve gereken tedbirleri almak, yönetimin görevinin olmazsa olmaz bir parças›d›r. Müdürler ve yöneticilerin de¤iﬂmesinin ve sistem konfigürasyonlar›, arayüzler ve yaz›l›mlardaki de¤iﬂikliklerin bu planlar üzerinde büyük bir etkisi olabilir. ‹ç denetim faaliyeti, (a) toparlanma plan›n›n zaman içinde meydana gelebilecek önemli de¤iﬂikliklere cevap verebilecek bir yap›ya sahip olup olmad›¤›n› tespit etmek ve (b) revize edilen plan›n kurum içinden ve d›ﬂ›ndan uygun kiﬂilere bildirilmesini sa¤lamak amac›yla, toparlanma plan›n› incelemelidir. 10. Denetim s›ras›nda, iç denetçiler ﬂunlar› göz önüne almal›d›r: • Bütün planlar güncel midir? Planlar›n güncellenmesi için prosedürler mevcut mudur? • Planlar, bütün hayatî iﬂ fonksiyonlar› ve sistemlerini kaps›yor mu? Kapsam›yorsa, kapsamama gerekçeleri belirtilmiﬂ mi? • Planlarda, iﬂ kesintisi riskleri ve bunun muhtemel sonuçlar› dikkate al›nm›ﬂ m›? • Planlar tam olarak yaz›l› hâle getirilmiﬂ mi ve kurum politika ve prosedürlerine uygun mu? Fonksiyonel sorumluluklar belirlenmiﬂ mi? • Kurum, planlar› uygulama kapasitesine sahip mi ve uygulamaya haz›r m›? • Planlar, sonuçlar esas al›narak test ediliyor ve gözden geçiriliyor mu?
Uygulama Önerileri
213
• Planlar uygun ve emniyetli bir ﬂekilde saklan›yor mu? Planlar›n yeri ve planlara eriﬂim yetkileri yönetim taraf›ndan biliniyor mu? • Personel, alternatif tesislerin (yedekleme tesisleri) yerini biliyor mu? • Planlar, mahallî âcil durum servisleriyle eﬂgüdümü öngörüyor mu?
Bir Felâket Durumunda ‹ç Denetçinin Rolü: 11. Bir felâket hâlinde iç denetçilerin derhal yerine getirmeleri gereken önemli görevleri vard›r. Bir kurum, felâket durumunda daha k›r›lgan ve sald›r›ya daha aç›k hâle gelir ve bu durumdan kurtulmaya çal›ﬂ›r. Bu toparlanma s›ras›nda, iç denetçiler, operasyonlar›n kontrolünü ve toparlanma faaliyetinin etkinli¤ini gözlemeli ve izlemelidir. ‹ç denetim faaliyeti, iç kontrollerinin ve zarar azalt›c› tedbirlerinin iyileﬂtirilmesi gereken alanlar› tespit etmeli ve kurumun iﬂ devaml›l›¤› plan›n› geliﬂtirici tavsiyelerde bulunmal›d›r. ‹ç denetim birimi, toparlanma faaliyetleri s›ras›nda da destek hizmeti verebilir. 12. Felâketten sonra, genellikle birkaç ay süreyle, iç denetçiler, felâketten ve toparlanma faaliyetlerinden ö¤renilen derslerin tan›mlanmas›nda yard›mc› olabilir. Bu tespit ve tavsiyeler, kaynaklar›n kurtar›lmas› amac›na yönelik faaliyetleri geliﬂtirebilir ve iﬂ devaml›l›¤› plan›n›n bir sonraki versiyonunun güncel olmas›n› sa¤layabilir. 13. Son tahlilde, iç denetçilerin iﬂ devaml›l›¤› ve felâket sonras› toparlanma süreçlerine kat›l›m ve katk› düzeyini, onlar›n bilgileri, becerileri, ba¤›ms›zl›¤› ve objektifli¤i gibi etkenleri dikkate alarak tespit edecek olan kurumun üst yönetimidir.
Uygulama Önerileri
215
Uygulama Önerisi 2120.A1-1: Kontrol Süreçlerinin De¤erlendirilmesi ve Rapor Edilmesi Uluslararas› ‹ç Denetim Meslekî Uygulama Standartlar›ndan Standart 2120.A1’in Yorumu
‹lgili Standart 2120.A1 Risk de¤erlendirmesinin sonuçlar›na ba¤l› olarak, iç denetim faaliyeti, kurumun yönetimini, faaliyetlerini ve bilgi sistemlerini kapsayan kontrollerin yeterlili¤ini ve etkinli¤ini de¤erlendirmelidir. Bu de¤erlendirme: • mali ve operasyonel bilgilerin güvenilirli¤ini, • faaliyetlerin etkinlik ve verimlilili¤ini, • varl›klar›n korunmas›n›, • kanunlara, düzenlemelere ve sözleﬂmelere uyum konular›n› kapsamal›d›r. Bu Uygulama Önerisinin Niteli¤i: ‹ç denetçiler, bir kurumun iç kontrol sisteminin etkin olup olmad›¤›n› inceler ve de¤erlendirirken, bu konuda bir görüﬂ belirtirken ve bu görüﬂ ve sonuçlar› üst yönetime ve yönetim kuruluna rapor ederken aﬂa¤›daki önerileri dikkate almal›d›r. Y›l içinde yap›lan denetim çal›ﬂmas› sonucunda, kontrol sistemini de¤erlendirmek ve bu konuda bir görüﬂ belirtmek için yeterli bilgi toplanmal› ve elde edilmelidir. Uygulama Önerilerine uymak, iste¤e ba¤l›d›r.
1. Yönetim kurulunun görevlerinden biri de, kurumun yönetiﬂim süreçlerini kurmak ve uygulamak ve risk yönetimi ve kontrolü süreçlerinin etkin oldu¤una dair güvenceler elde etmektir. Üst yönetimin rolü, bu risk yönetimi ve kontrolü süreçleri
216
Meslekî Uygulama Çerçevesi
sisteminin kurulmas›n›, yönetilmesini ve de¤erlendirilmesini sa¤lamak ve denetlemektir. Kontrol süreçlerini kapsayan bu çok yönlü sistemin amac›, kurum içindeki insanlara, risklerin yönetilmesinde ve kurumun belirlenen ve aç›klanan hedeflere ulaﬂ›lmas›nda yard›mc› olmak ve destek vermektir. Daha somut olarak, bu kontrol süreçlerinin, di¤er ﬂeylerin yan› s›ra, aﬂa¤›daki koﬂullar›n mevcut olmas›n› sa¤lamalar› beklenir: • mali ve operasyonel bilgilerin güvenilir ve do¤ru ve eksiksiz olmas›, • faaliyetlerin verimli bir biçimde yürütülmesi ve etkin sonuçlara ulaﬂ›lmas›, • varl›klar›n korunmas›, • kurumun eylem ve kararlar›n›n kanunlara, mevzuata ve sözleﬂmelere uygun olmas›. 2. Kurum müdürlerinin görev ve sorumluluklar›ndan biri de, kendi alan ve bölümlerinde kontrol süreçlerini incelemek ve de¤erlendirmektir. ‹ç ve d›ﬂ denetçiler, kurumun sadece belirli seçilmiﬂ faaliyet ve iﬂlev alanlar›nda risk yönetimi ve kontrolü süreçlerinin etkinli¤i konusunda de¤iﬂen derecelerde güvence verir ve sa¤larlar. 3. Üst yönetim ve denetim komitesi, normal olarak, ‹ç Denetim Yöneticisinin kontrol süreçlerinin yeterli, uygun ve etkin olup olmad›¤› hakk›nda bir sonuca varabilmek için y›l içinde yeterli denetim çal›ﬂmas› yapmas›n› ve mevcut bilgileri toplamas›n› bekler. ‹ç Denetim Yöneticisi, kurumun kontrol sistemi hakk›ndaki genel sonucu ve görüﬂünü üst yönetime ve denetim komitesine bildirmelidir. Giderek artan say›da kurum, kurum d›ﬂ›ndaki hak sahiplerine sunduklar› y›ll›k veya dönemsel raporlara iç kontrol sistemine iliﬂkin bir yönetim raporunu da dahil etmektedir. 4. ‹ç Denetim Yöneticisi, gelecek y›l için, kontrol süreçlerinin etkinli¤ini de¤erlendirmek için yeterli kan›t ve bilgi
Uygulama Önerileri
217
toplanmas›na imkân veren bir denetim plan› önerisi haz›rlamal›d›r. Bu plan, bütün önemli faaliyet birimleri ve iﬂ fonksiyonlar› hakk›nda gereken bilgileri toplamak amac›na yönelik denetim görevlerini veya benzeri baﬂka prosedürleri içermelidir. Denetim plan›, ayn› zamanda, son de¤iﬂikliklerden veya beklenen de¤iﬂikliklerden en çok etkilenen faaliyetlere ve birimlere de özel önem vermelidir. Koﬂullarda meydana gelen de¤iﬂiklikler, piyasa veya yat›r›m ﬂartlar›ndan, devralma ve tasfiye iﬂlemlerinden veya yeniden yap›lanma ve yeni giriﬂimlerden kaynaklanabilir. Önerilen plan, y›l içinde yönetim stratejilerinde veya d›ﬂ koﬂullarda meydana gelen de¤iﬂikliklere göre ya da kurumun hedefleri ve amaçlar›na ulaﬂma konusundaki beklentilerde yap›lan revizyonlara göre ayarlamalar›n yap›lmas›na imkân verecek ﬂekilde esnek olmal›d›r. 5. Önerilen denetim plan›n› haz›rlarken, ‹ç Denetim Yöneticisi, baﬂka kiﬂilerin yapaca¤› ilgili iﬂleri de dikkate almal›d›r. Tekrarlar› ve verimsizli¤i asgarîye indirmek için, gelecek y›la iliﬂkin denetim plan›n›n kapsam›n›n tespitinde, yönetimin ilgili kontrolleri ve kalite geliﬂtirme ve art›rma süreçlerini incelerken ve de¤erlendirirken planlad›¤› veya yapt›¤› iﬂlerin ve d›ﬂ denetçilerin planlad›¤› iﬂlerin de dikkate al›nmas› gerekir. 6. Son olarak, ‹ç Denetim Yöneticisi, önerilen denetim plan›n›n kapsam›n› iki aç›dan de¤erlendirmelidir: çeﬂitli birimler aç›s›ndan yeterlilik ve çeﬂitli iﬂlem ve iﬂ-süreçleri tiplerinin plana dahil edilmesi. Önerilen denetim plan›n›n kapsam› kurumun kontrol süreçleri hakk›nda bir güvence vermek için yeterli de¤ilse, ‹ç Denetim Yöneticisi, beklenen eksiklikleri, bunlar›n sebeplerini ve muhtemel sonuçlar›n› üst yönetime ve denetim komitesine bildirmeli ve aç›klamal›d›r. 7. ‹ç denetimin görevi, pek çok ayr› ve bireysel inceleme ve de¤erlendirme esas›nda, kurumun kontrol sisteminin etkin ve verimli olup olmad›¤›n› de¤erlendirmektir. Bu inceleme ve
218
Meslekî Uygulama Çerçevesi
de¤erlendirmeler, ço¤unlukla, iç denetim görevleri, yönetimin kendi öz de¤erlendirmeleri ve d›ﬂ denetçinin çal›ﬂmalar›ndan elde edilir ve toplan›r. Görev ilerledikçe, iç denetçiler, tespit edilen kontrol eksikleri veya zay›fl›klar›n›n etki ve sonuçlar›n› azaltmak veya düzeltmek amac›yla gereken tedbirlerin derhal al›nmas›n› sa¤lamak amac›yla, bulgular›n› uygun yönetim kademelerine zaman›nda bildirmeli ve rapor etmelidir. 8. Kurumun kontrol süreçlerinin genel etkinli¤i hakk›nda bir de¤erlendirmede dikkate al›nmas› gereken üç temel husus ﬂunlard›r: • Yap›lan denetim çal›ﬂmas›yla ve toplanan baﬂka inceleme ve de¤erlendirme bilgileriyle önemli eksiklik veya zay›fl›klar tespit edilmiﬂ midir? • Bu eksiklik veya zay›fl›klar tespit edilmiﬂse, bu tespit üzerine düzeltici veya iyileﬂtirici tedbirler al›nm›ﬂ m›d›r? • Bu tespitler ve sonuçlar›, kabul edilemez düzeyde iﬂ risklerine yol açan yayg›n bir sorunun bulundu¤u sonucuna var›lmas›n› gerektiriyor mu? Önemli bir kontrol eksikli¤i veya zay›fl›¤›n›n geçici bir süreyle oluﬂmas›, mutlaka, sorunun yayg›n oldu¤u ve kabul edilemez bir iﬂ riski taﬂ›d›¤› anlam›na gelmez. Tüm kontrol sisteminin etkinli¤inin tehlike alt›nda olup olmad›¤›n› ve kabul edilemez risklerin var olup olmad›¤›n› tespit ederken dikkate al›nmas› gereken etkenler; tespit yolu ve ﬂekli, etki düzeyi, sonuçlar›n ve risk maruziyetinin seviyesidir. 9. ‹ç Denetim Yöneticisinin kurumun kontrol süreçlerinin durumuna iliﬂkin raporu, üst yönetime ve denetim komitesine, genellikle y›lda bir kere sunulmal›d›r. Bu rapor, kontrol süreçlerinin kurumun hedeflerine iliﬂkin araﬂt›rmalarda oynad›¤› kilit rolü vurgulamal› ve iç denetimin yapt›¤› önemli iﬂlere ve genel güvencenin verilmesinde kullan›lan baﬂka önemli bilgi kaynaklar›na at›f yapmal›d›r. Raporun görüﬂ
Uygulama Önerileri
219
k›sm›nda, normalde, olumsuz cümlelerle güvence verilir; örne¤in, ilgili dönem için yap›lan denetim çal›ﬂmas› ve toplanan di¤er bilgiler, kontrol süreçleri ve sisteminde yayg›n etkiye sahip herhangi bir önemli zay›fl›k oldu¤unu göstermemiﬂtir. Kontrol eksiklikleri ve zay›fl›klar› önemli ve yayg›nsa, raporun güvence ile ilgili bölümü, tespit edilen net risk düzeyinde beklenen art›ﬂa ve riskin kurumun hedefleri üzerindeki etkisine ba¤l› olarak, ﬂartl› veya olumsuz bir görüﬂ içerebilir. 10. Y›ll›k raporun hedef kitlesi, üst düzey yöneticiler ve denetim komitesi üyeleridir. Bu okuyucular›n denetim ve iﬂle ilgili bilgileri farkl› düzeylerde oldu¤u için, ‹ç Denetim Yöneticisinin y›ll›k raporu aç›k, özlü ve bilgilendirici olmal›d›r. Bu rapor, tüm okuyucular taraf›ndan kolayl›kla anlaﬂ›labilecek bir ﬂekilde haz›rlanmal› ve kaleme al›nmal› ve onlar›n bilgi ihtiyaçlar›n› karﬂ›lamay› amaçlamal›d›r. Raporun okuyucular aç›s›ndan de¤erini art›rmak için, teknoloji ve bilgi güvenli¤i riskleri, farkl› iﬂ birimleri ve bölümleri aras›nda kontrol eksiklik veya zay›fl›klar›n›n da¤›l›m› ve geçerli kanunlara veya mevzuata uyma konusundaki potansiyel güçlükler gibi, güncel kontrol sorunlar› ve trendleri hakk›nda bilgiler verilmeli ve iyileﬂtirme amac›na yönelik önemli öneriler aç›klanmal›d›r. 11. ‹ç denetim faaliyetinin kontrol süreçlerinin durumunu de¤erlendirmek ve bu konuda güvence vermek amac›na yönelik çal›ﬂmalar›na yönelik "beklentiler aras›nda büyük farklar" oldu¤unu gösteren çok say›da kan›t mevcuttur. Bu farklardan biri de, yönetimin ve denetim komitesinin iç denetim hizmetlerinin de¤erine iliﬂkin normalde hayli yüksek olan beklentileri ile iç denetçinin denetimin kapsam› üzerindeki pratik s›n›rlamalara iliﬂkin bilgisine dayanan ve objektif ve sa¤lam temelleri olan bir sonuca varabilmek için gereken yeterli kan›t›n toplan›p toplanamayaca¤›na iliﬂkin kuﬂkular›ndan kaynaklanan daha mütevaz› beklentileri aras›nda mevcuttur. ‹ç Denetim Yöneticisi, rapor okuyucusunun beklentileri ile y›l
220
Meslekî Uygulama Çerçevesi
içinde fiilen gerçekleﬂenler aras›ndaki muhtemel fark› dikkate almal›d›r. ‹ç Denetim Yöneticisi, raporu, farkl› düﬂünüﬂ tarzlar› ve modellerine hitap etmek ve kontrol süreçlerinin etkinli¤inin incelenmesi ve denetlenmesi konusundaki s›n›rlama ve k›s›tlamalar› azaltmak veya bu fonksiyonun kapasitesini art›rmak amac›na yönelik önerilerde bulunmak için bir araç olarak kullanmal›d›r.
Uygulama Önerileri
221
Uygulama Önerisi 2120.A1-2: Kontrol Süreçlerinin Yeterlili¤ini De¤erlendirmede Kontrol Öz De¤erlendirme Yönteminin Kullan›lmas› Uluslararas› ‹ç Denetim Meslekî Uygulama Standartlar›ndan Standart 2120.A1’in Yorumu
‹lgili Standart 2120.A1 Risk de¤erlendirmesinin sonuçlar›na ba¤l› olarak, iç denetim faaliyeti, kurumun yönetimini, faaliyetlerini ve bilgi sistemlerini kapsayan kontrollerin yeterlili¤ini ve etkinli¤ini de¤erlendirmelidir. Bu de¤erlendirme: • mali ve operasyonel bilgilerin güvenilirli¤ini, • faaliyetlerin etkinlik ve verimlilili¤ini, • varl›klar›n korunmas›n›, • kanunlara, düzenlemelere ve sözleﬂmelere uyum konular›n› kapsamal›d›r. Bu Uygulama Önerisinin Niteli¤i: ‹ç denetçiler ve müdürler, kurumun risk yönetimi ve kontrolü süreçlerinin yeterlili¤ini de¤erlendirmek için Kontrol Öz De¤erlendirme (CSA) yöntemini kullanabilir. ‹ç denetçiler, CSA programlar›n›, riskler ve kontroller hakk›nda bilgi toplamak, denetim plan›n› yüksek riskler ve ola¤and›ﬂ› alanlar üzerinde odaklamak ve iﬂletme müdürleri ve çal›ﬂma ekipleriyle daha kapsaml› bir iﬂbirli¤i kurmak amac›yla kullanabilir. Uygulama Önerilerine uymak, iste¤e ba¤l›d›r.
1. Risk yönetimi ve kontrolü süreçlerinin kurulmas›, yönetilmesi ve de¤erlendirilmesini sa¤lamak ve denetlemek üst yönetimin
222
Meslekî Uygulama Çerçevesi
görevidir. ‹ﬂletme müdürlerinin sorumluluklar›; kendi birimlerindeki risk ve kontrollerin incelenmesi ve de¤erlendirilmesini de kapsar. ‹ç ve d›ﬂ denetçiler, kurumun risk yönetimi ve kontrolü süreçlerinin etkinli¤i hakk›nda farkl› derecelerde güvence verir. Hem müdürler hem de denetçiler, uygulanan risk yönetimi ve kontrolü süreçlerini de¤erlendirmek ve bunlar›n etkinli¤ini art›racak yollar bulmak amac›na yönelik çabalar› geniﬂleten ve odak noktas›n› vurgulayan teknikler ve araçlar kullanmal›d›r. 2. Öz de¤erlendirme anketleri ve çal›ﬂma grubu faaliyetlerinden oluﬂan ve "Kontrol Öz De¤erlendirmeleri" (CSA) olarak an›lan yöntem, müdürlerin ve iç denetçilerin kontrol prosedürlerini de¤erlendirmek ve incelemek konusunda iﬂbirli¤i yapmalar› için faydal› ve etkin bir yaklaﬂ›m ve araçt›r. Özü itibariyle, CSA, iﬂ hedefleri ve risklerini kontrol süreçleriyle bütünleﬂtirir ve birleﬂtirir. Kontrol Öz De¤erlendirmeleri, ayn› zamanda, "Kontrol/Risk Öz De¤erlendirmeleri" (CRSA) olarak da adland›r›lmaktad›r. CSA yöntemini kullananlar genellikle farkl› teknikler ve formatlar kullanmas›na ra¤men, uygulanan programlar›n ço¤unlu¤u baz› temel özellikleri ve hedefleri paylaﬂmaktad›r. Öz de¤erlendirme yöntemini uygulayan bir kurum, bir iﬂ birimi, fonksiyonu veya sürecine do¤rudan do¤ruya kat›lan çal›ﬂma ekiplerinin ve yöneticilerin: • riskleri ve risk maruziyetlerini tan›mlamak ve tespit etmek, • bu riskleri azaltan veya yöneten kontrol süreçleri ve sistemlerini de¤erlendirmek, • riskleri kabul edilebilir düzeylere indirme amac›na yönelik eylem planlar› yapmak, • iﬂ hedeflerine ulaﬂma olas›l›¤›n› tespit etmek amac›yla özel olarak haz›rlanm›ﬂ bir tarzda iﬂbirli¤i yapmalar›na imkân veren resmî ve kay›tl› bir sürece sahip olur. 3. Öz de¤erlendirme yöntemlerinden al›nabilecek sonuçlar ﬂunlard›r:
Uygulama Önerileri
223
• ‹lgili birimlerdeki insanlar, risklerin de¤erlendirilmesi, bu riskleri yönetmek için kontrol süreçlerini kullanma ve iﬂ hedeflerine ulaﬂma ﬂans›n› art›rma konusunda e¤itimli ve deneyimli hale gelir. • Gayriresmî, "soft" kontroller (yönetim tarz›, liderlik, tak›m çal›ﬂmas›, davran›ﬂ kurallar›, personelin dürüstlü¤ü, vb.Ç.N.) daha kolay belirlenir ve de¤erlendirilir. • ‹nsanlar kendi birimlerindeki kontrol süreçlerine "sahip ç›kmaya" teﬂvik edilir ve çal›ﬂma ekipleri ve gruplar›n›n ald›¤› düzeltici tedbirler genellikle daha etkili olur ve zaman›nda al›n›r. • Bir kurumun hedef-risk-kontrol altyap›s›n›n tamam›, daha yo¤un bir izlemeye ve kesintisiz iyileﬂtirme ve düzeltmeye tâbi olmuﬂ olur. • ‹ç denetçiler, çal›ﬂma ekipleri için kolaylaﬂt›r›c›, yaz›c› ve raportör iﬂlevini görerek ve CSA program›n› destekleyen risk ve kontrol kavramlar› hakk›nda e¤itmenlik yaparak öz de¤erlendirme sürecine kat›l›r ve öz de¤erlendirme süreci hakk›nda bilgi sahibi olur. • ‹ç denetim bölümü, kurum içindeki kontrol süreçleri hakk›nda daha fazla bilgi edinir ve bu ek bilgileri, k›t olan kaynaklar›n›, önemli kontrol zay›fl›klar› olan veya yüksek risklerle karﬂ› karﬂ›ya olan iﬂ birimleri veya fonksiyonlar›n›n araﬂt›r›lmas›na ve bu konuda gereken testlerin yap›lmas›na tahsis etmek amac›yla kullanabilir. • Kurum yönetiminin kurumun risk yönetimi ve kontrolü süreçlerine iliﬂkin sorumluluklar› güçlendirilmiﬂ olur ve yöneticilerin bu faaliyetleri denetçiler gibi uzmanlara b›rakma e¤ilimi azal›r. • ‹ç denetim faaliyetinin aslî görevi, tüm risk yönetimi ve kontrolü sistemlerinin yeterlili¤i ve etkinli¤i hakk›nda testler yapmak ve bu konuda profesyonel görüﬂ ve kanaatlerini
224
Meslekî Uygulama Çerçevesi
aç›klamak suretiyle de¤erlendirme sürecinin do¤rulanmas›n› da kapsar ve bu do¤rulamayla devam eder. 4. Kurumlarda CSA süreçleri konusunda uygulanan yaklaﬂ›mlar›n çok çeﬂitli olmas›; sektör, co¤rafya, yap›, kurumsal kültür, personele yetki devrinin düzeyi, bask›n yönetim tarz› ve strateji ve politikalar› oluﬂturma tarz› konular›nda kurumlar aras›ndaki farklar› yans›t›r. Bu gözlem, belirli bir CSA program› tipinin belirli bir kurumda baﬂar›l› olmas›n›n o program türünün baﬂka bir kurumda da baﬂar›l› olaca¤›n›n bir garantisi olmad›¤›n› gösterir. CSA süreci, her kurumun kendine özgü niteliklerine uyarlanmal›d›r. Ayr›ca, bir CSA yaklaﬂ›m›n›n, dinamik olmas› ve kurumun geliﬂmesine ba¤l› ve paralel bir ﬂekilde de¤iﬂtirilmesi gerekti¤i anlam›na da gelir. 5. CSA programlar›nda uygulanan üç temel form; çal›ﬂma grubu faaliyetleri, anketler ve yönetimin üretti¤i analizlerdir. Kurumlar genellikle birden fazla yaklaﬂ›m› bir arada kullanmaktad›r. 6. Çal›ﬂma grubu faaliyetleri, birim veya fonksiyonlardaki farkl› düzeyleri temsil eden çal›ﬂma ekiplerinden bilgi toplar. Çal›ﬂman›n format› hedeflere, risklere, kontrollere veya süreçlere ba¤l›d›r: • Hedef-esasl› format, bir iﬂ hedefini gerçekleﬂtirmek için kullan›labilecek en iyi yol üzerinde odaklan›r. Çal›ﬂma grubu etkinli¤i, hedefi desteklemek için halen mevcut olan kontrollerin tan›mlanmas›yla baﬂlar ve bakiye (art›k) risklerin tespit edilmesiyle devam eder. Çal›ﬂma grubunun hedefi, kontrol prosedürlerinin etkin ve verimli olup olmad›¤›na ve kabul edilebilir bir düzey içinde art›k risklere neden olup olmad›¤›na karar vermektir. • Risk-esasl› format, bir hedefe ulaﬂman›n önündeki risklerin listelenmesi üzerinde odaklan›r. Çal›ﬂma grubu, kurumun belirli bir hedefe ulaﬂmas›n› engelleyebilecek bütün muhtemel engel, tehlike ve tehdit unsurlar›n›n
Uygulama Önerileri
225
listelenmesiyle baﬂlar ve kontrol prosedürlerinin bu temel riskleri yönetmek için yeterli olup olmad›¤›n› tespit etmek için incelenmesiyle devam eder. Çal›ﬂma grubunun hedefi, önemli bakiye riskleri tespit etmektir. Bu format, çal›ﬂma ekibinin hedefler-riskler-kontroller formülünün tamam›n› incelemesine imkân verir. • Kontrol-esasl› format, mevcut kontrollerin iyi çal›ﬂ›p çal›ﬂmad›¤› üzerinde odaklan›r. Bu format, yukar›da tan›mlanan iki formattan farkl›d›r; çünkü bu formatta kolaylaﬂt›r›c›, çal›ﬂma grubu etkinli¤i baﬂlamadan önce temel riskleri ve kontrolleri belirler ve tan›mlar. Çal›ﬂma grubundaki, çal›ﬂma ekibi, kontrollerin riskleri ne ölçüde azaltt›¤›n› ve kurumsal hedeflere ulaﬂmay› ne ölçüde kolaylaﬂt›rd›¤›n› inceler ve de¤erlendirir. Çal›ﬂma grubunun hedefi, mevcut kontrollerin iﬂlerli¤i ile yönetimin bu kontrollerden bekledi¤i iﬂlerlik aras›ndaki a盤› ve fark› analiz etmektir. • Süreç-esasl› format, bir süreç zincirinin halkalar› olan seçilmiﬂ faaliyetler üzerinde odaklan›r. Bu süreçler, genellikle, sat›n alma, ürün geliﬂtirme veya gelir yaratman›n çeﬂitli kademeleri gibi, belli bir baﬂlang›ç noktas›ndan bitiﬂ noktas›na kadar giden birbirine ba¤lant›l› bir faaliyetler dizisinden oluﬂur. Bu çal›ﬂma grubu tipi, genellikle, tüm sürecin ve farkl› ara kademelerin hedeflerinin tespit edilmesi ve tan›mlanmas›n› kapsar. Çal›ﬂma grubunun hedefi, tüm süreci ve onu oluﬂturan faaliyetleri de¤erlendirmek, güncellemek, do¤rulamak, geliﬂtirmek ve düzenlemektir. Bu çal›ﬂma grubu format›, kontrol esasl› yaklaﬂ›mdan daha geniﬂ bir analiz yapma olana¤› verir, çünkü süreç içinde birden fazla hedefi ve amac› kapsar ve yeniden yap›land›rma, kalite iyileﬂtirme ve sürekli iyileﬂtirme insiyatifleri gibi eﬂzamanl› yönetim çabalar›na destek olur. 7. CSA’n›n anket formunda, hedef kitlenin rahatl›kla anlayabilece¤i dikkatli bir dille kaleme al›nm›ﬂ, basit
226
Meslekî Uygulama Çerçevesi
"Evet/Hay›r" veya "Var/Yok" sorular›ndan oluﬂan bir soru formu kullan›l›r. Hedef kiﬂiler bir çal›ﬂma grubuna kat›lamayacak kadar çok say›da veya çok farkl› alanlardan ise, genellikle bu anket formu kullan›l›r. Kurumun kültürü çal›ﬂma grubunda aç›k ve samimi tart›ﬂmalar› engelleyecek nitelikte ise ya da yönetim bilgi toplamak için harcanan zaman› ve masraf› asgarî düzeye indirmek istedi¤inde de bu format tercih edilir. 8. "Yönetimin üretti¤i analizler" olarak adland›r›lan öz de¤erlendirme formu, yönetim gruplar›n›n seçilmiﬂ iﬂ süreçleri, risk yönetimi faaliyetleri ve kontrol prosedürleri hakk›nda bilgi toplamak amac›yla kulland›¤› di¤er yaklaﬂ›mlar› kapsar. Analizin amac›, genellikle, kontrol prosedürlerinin özel nitelikleri ve özellikleri hakk›nda somut bilgiye dayanan bir kanaati zaman›nda oluﬂturmakt›r ve bu analiz genellikle mevcut kadrodan seçilmiﬂ veya destekleyici rol oynayan bir ekip taraf›ndan haz›rlan›r. ‹ç denetçi, kontrollerle ilgili bilgiyi art›rmak ve bu bilgileri kurumun CSA program›n›n bir parças› olan iﬂ birimleri veya fonksiyonlar›n›n müdürleriyle paylaﬂmak için bu bilgileri mevcut di¤er bilgilerle sentezleyebilir. 9. Bütün öz de¤erlendirme programlar›, riskler ve kontroller ile ilgili kavramlar hakk›nda bilgi sahibi olan ve bu kavramlar› iletiﬂim ve haberleﬂmede kullanan çal›ﬂma ekibi üyelerine ve yöneticilerine dayan›r. E¤itim programlar› için, çal›ﬂma grubu tart›ﬂmalar›n›n düzenli yap›lmas›n› sa¤lamak için ve tüm sürecin tam olup olmad›¤›n› kontrol etmek amac›yla, kurumlar genellikle COSO (Committee of Sponsoring Organizations of the Treadway Commission- Treadway Komisyonu Sponsor Organizasyonlar Kurulu) ve COCO (Guidance on Criteria of Control- Kontrol K›staslar› Rehberi) modelleri gibi bir kontrol çerçevesi kullan›r. 10. Tipik bir CSA çal›ﬂma grubu faaliyetinde, çal›ﬂma raporunun büyük k›sm› tart›ﬂmalar s›ras›nda oluﬂur. Tart›ﬂmalar›n çeﬂitli bölüm ve k›s›mlar› için var›lan grup konsensüsü kaydedilir ve grup, önerilen nihaî raporu son toplant› bitmeden önce gözden geçirir. Baz› program çal›ﬂmalar›nda, çal›ﬂma grubu s›ras›nda
Uygulama Önerileri
227
bilgilerin ve görüﬂlerin serbest ifade edilmesini sa¤lamak ve ç›kar gruplar› ve farkl› görüﬂler aras›ndaki farkl›l›klar› gidermek amac›yla anonim oylama teknikleri kullan›l›r. 11. ‹ç denetimin baz› CSA programlar›na yapt›¤› yat›r›m oldukça fazlad›r. ‹ç denetim, gerekli e¤itimi vererek, kolaylaﬂt›r›c›, yaz›c› ve raportörleri temin ederek ve yönetimin ve çal›ﬂma ekiplerinin kat›l›m›n› sa¤layarak sürecin sponsorlu¤unu yapabilir, süreci tasarlayabilir, uygulayabilir ve fiilen sürece sahip ç›kabilir. ‹ç denetimin di¤er CSA programlar›na kat›l›m› en az düzeydedir. ‹ç denetim, bu programlarda tüm süreçle ilgilenen ve dan›ﬂmanl›k yapan bir taraf iﬂlevini görür ve ekiplerin yapt›¤› de¤erlendirmelerin nihaî do¤rulama merciidir. Programlar›n ço¤unda, iç denetimin kurumun CSA çal›ﬂmalar›na kat›l›m düzeyi, yukar›da bahsi geçen iki uç noktan›n ortas›nda bir yerlerdedir. ‹ç denetimin CSA programlar›na ve münferit çal›ﬂma grubu faaliyetlerine kat›l›m düzeyi artt›kça, ‹ç Denetim Yöneticisi, iç denetim personelinin objektif davran›p davranmad›¤›n› izlemeli, (gerekirse) bu objektifli¤i sa¤lamak için tedbirler almal› ve personelin nihaî karar ve yarg›lar›nda tarafl› davranmamas›n› temin etmek amac›yla iç denetim testini geniﬂletmelidir. Standart 1120’ye göre: "‹ç denetçiler tarafs›z ve objektif bir tav›r almal› ve ç›kar çat›ﬂmalar›ndan kaç›nmal›d›r." 12. Bir CSA program›, yönetimin risk yönetimi ve kontrolü süreçlerini kurma ve uygulama ve bu sistemin yeterlili¤ini de¤erlendirme konular›ndaki sorumluluk ve görevlerini yerine getirmesinde yönetime yard›mc› olarak iç denetim faaliyetinin geleneksel rolünü art›r›r ve büyütür. Bir CSA program›yla, iç denetim faaliyeti ve ilgili iﬂ birimleri kontrol süreçlerinin iyi çal›ﬂ›p çal›ﬂmad›¤› ve art›k risklerin önem düzeyi konular›nda daha iyi bilgiler üretme konusunda iﬂbirli¤i yapar. 13. CSA program›na kolaylaﬂtr›c› ve uzman gibi personel deste¤i vermesine ra¤men, iç denetim faaliyeti, bu yolla, genellikle, kontrol prosedürleri hakk›nda bilgi toplamak için gereken
228
Meslekî Uygulama Çerçevesi
çabalar› azaltabilir ve baz› testleri eleyebilir. Bir CSA program›, kurum içinde kontrol süreçlerinin de¤erlendirme kapsam›n› art›rmal›, süreç sahiplerinin ald›¤› düzeltici tedbirlerin kalitesini geliﬂtirmeli ve iç denetim çal›ﬂmalar›n›n yüksek risk taﬂ›yan süreçler ve ola¤and›ﬂ› durumlar›n incelenmesi üzerinde odaklanmas›na imkân vermelidir. Böylece, iç denetim faaliyeti, CSA süreciyle var›lan de¤erlendirme sonuçlar›n›n do¤rulanmas›, kurumun çeﬂitli bölümleri ve unsurlar›ndan toplanan bilgilerin sentezinin yap›lmas› ve sonuçta, kontrollerin etkinli¤i hakk›nda üst yönetime ve denetim komitesine bir genel görüﬂ sunulmas› konular›nda odaklanabilir.
Uygulama Önerileri
229
Uygulama Önerisi 2120.A1-3: Üç Ayl›k Finansal Raporlama, Özel Durum Aç›klamalar› ve Yönetim Onaylar› Konusunda ‹ç Denetçinin Rolü Uluslararas› ‹ç Denetim Meslekî Uygulama Standartlar›ndan Standart 2120.A1’in Yorumu
‹lgili Standart 2120.A1 Risk de¤erlendirmesinin sonuçlar›na ba¤l› olarak, iç denetim faaliyeti, kurumun yönetimini, faaliyetlerini ve bilgi sistemlerini kapsayan kontrollerin yeterlili¤ini ve etkinli¤ini de¤erlendirmelidir. Bu de¤erlendirme: • mali ve operasyonel bilgilerin güvenilirli¤ini, • faaliyetlerin etkinlik ve verimlilili¤ini, • varl›klar›n korunmas›n›, • kanunlara, düzenlemelere ve sözleﬂmelere uyum konular›n› kapsamal›d›r. Bu Uygulama Önerisinin Niteli¤i: ‹ç denetçiler, A.B.D. Sermaye Piyasas› Kurulu’nun (SEC) (SEC) kurallar› ›ﬂ›¤›nda, üç ayl›k mali raporlar, özel durum aç›klamalar› ve yönetim onaylar› konusunda aﬂa¤›daki ilke ve önerileri dikkate almal›d›r. Bu kurallar özellikle SEC'de kay›tl› olan ABD'li kurumlara yönelik olmas›na ra¤men, ayn› zamanda hisseleri SEC'de kote edilmiﬂ 1.300'ün üzerinde yabanc› kuruma da uygulan›r. Ortaklar›na ve di¤er hak sahiplerine daha üst düzeyde bir güvence vermek amac›yla, hisseleri halka aç›k olmayan ve say›lar› giderek artan kurum da, üç ayl›k raporlama kontrolleri ve özel durum aç›klamalar›nda ‘en iyi uygulamalar’ yöntemine sahip olduklar›n› göstermek için seçilmiﬂ belirli SEC kurallar›n› kendi istekleriyle benimsemektedir. ‹ç denetçilerin bu konuda ek tavsiyeler için "Kontrol Süreçlerinin De¤erlendirilmesi ve Rapor Edilmesi" baﬂl›kl› ve 2120.A2 say›l› Uygulama Önerisine de bakmalar› önerilir. Uygulama Önerilerine uymak iste¤e ba¤l›d›r.
230
Meslekî Uygulama Çerçevesi
1. Bütün mali piyasalar›n gücü, yat›r›mc›lar›n piyasaya duydu¤u güvene ba¤l›d›r. ﬁirket yöneticileri, ba¤›ms›z denetçiler ve baﬂka piyasa kat›l›mc›lar›n›n suç iﬂledi¤inin iddia edildi¤i baz› olaylar bu güveni azaltm›ﬂ ve zay›flatm›ﬂt›r. Bu tehlike karﬂ›s›nda, ABD Kongresi ve baﬂka ülkelerdeki giderek artan say›da yasama mercii ve düzenleyici merci, ﬂirketlerin özel durum aç›klamalar› ve mali raporlama yükümlülüklerini düzenleyen yeni mevzuat ve kanunlar ç›kartm›ﬂt›r. Özellikle, ABD’de, 2002 tarihli Sarbanes-Oxley Kanunu, üst seviye yöneticilerin ve finans sorumlular›n›n mali tablolar› onaylamas›n› ve ek özel durum aç›klamalar› yapmas›n› öngören kapsaml› bir reform yapm›ﬂt›r. 2. Bu yeni kanun, ﬂirketlere, üst düzey yöneticilerin kiﬂisel onaylar›n› dayand›rabilecekleri gerekli güvenceleri elde etmelerini sa¤layacak süreçleri geliﬂtirme ve uygulama görevi yüklemiﬂtir. Bu onay sürecinin anahtar unsurlar›ndan biri de, mali bilgilerin kaydedilmesi ve özetlenmesiyle ilgili iç kontrollerin ve risklerin yönetilmesidir.
Yeni Kanunî Gerekler: 3. Sarbanes-Oxley Kanunu’nun 302. maddesi, mali raporlardan ﬂirketin sorumlu oldu¤unu öngörmektedir ve SEC bu kanunun uygulanmas› için bir yönetmelik ç›kartm›ﬂt›r. Yeni ç›kart›lan SEC Kurallar›’n›n 13a-14 ve 15d-14 maddelerine göre, bir ihraçç›n›n yönetiminden sorumlu olan baﬂkan›n, yöneticilerin, mali iﬂler müdürünün, mali iﬂler çal›ﬂanlar›n›n veya benzer fonksiyonlar› üstlenen kiﬂilerin, ihraçç›n›n Borsa Kanunu Madde 13(a) veya 15(d) uyar›nca ibraz edece¤i, ara raporlar da dahil, üç ayl›k ve y›ll›k raporlar›n her birinde, • Raporu inceledi¤ini, • Bilgisi dahilinde, raporda, önemli bir durum veya olay hakk›nda gerçe¤e ayk›r› bir beyan›n bulunmad›¤›n› veya raporun kapsad›¤› döneme iliﬂkin olarak, bu dönemdeki ﬂartlar alt›nda beyan›n yan›lt›c› olmamas› için lüzumlu olan önemli herhangi bir hususun ihmal edilmemiﬂ oldu¤unu,
Uygulama Önerileri
231
• Bilgisi dahilinde, raporda yer alan mali tablolar›n ve di¤er mali bilgilerin, ihraçç›n›n rapora konu olan dönemler için ve bu dönemlerin sonu itibariyle mali durumunu, faaliyet sonuçlar›n› ve nakit ak›ﬂ durumunu her aç›dan do¤ru bir ﬂekilde yans›tt›¤›n›, • Kendisi ve onay veren di¤er yetkililerin, - ihraçç›n›n "özel durum aç›klama kontrol ve prosedürlerini" (Kanun Madde 302(a)(4) kapsam›nda yer alan özel durum aç›klamalar›yla ilgili kontrol ve prosedürler kavram›n› yans›tan ve yeni tan›mlanm›ﬂ bir terim) oluﬂturmaktan ve uygulamaktan sorumlu oldu¤unu, - bu özel durum aç›klama kontrol ve prosedürlerini, özellikle dönemsel raporun haz›rland›¤› süre içinde, bütün önemli veri ve bilgilerin kendilerine verilmesini sa¤layacak ﬂekilde düzenlediklerini, - ihraçç›n›n özel durum aç›klama kontrol ve prosedürlerinin etkinli¤ini, raporun ibraz tarihinden önceki 90 gün içindeki bir tarih itibariyle de¤erlendirdiklerini, - bu tarih itibariyle yapt›klar› de¤erlendirmeye göre özel durum aç›klama kontrol ve prosedürlerinin etkinli¤i hakk›nda vard›klar› sonuçlar› raporda ifade ettiklerini, • Kendisi ve onay veren di¤er yetkililerin, aﬂa¤›da say›lan durumlar›, ihraçç›n›n denetçilerine ve yönetim kurulunun denetim komitesine (veya denk iﬂlevleri yerine getiren kiﬂilere): - iç kontrollerin tasar›m› veya uygulamas›nda tespit edilen ve ihraçç›n›n mali veri ve bilgileri kaydetme, iﬂleme, özetleme ve rapor etme kabiliyetini olumsuz etkileyebilecek olan bütün önemli eksiklikleri aç›klad›klar›n› ve iç kontrollerdeki önemli zay›fl›klar› tespit edip ihraçç›n›n denetçilerine bildirdiklerini, - ihraçç›n›n iç kontrol sisteminde önemli rol üstlenen personelin ya da yöneticilerin kar›ﬂt›¤›, önemli olsun olmas›n, bütün suiistimalleri aç›klad›klar›n›,
232
Meslekî Uygulama Çerçevesi
- iç kontrollerde veya di¤er hususlarda, yap›lan de¤erlendirme tarihinden sonra iç kontrolleri önemli oranda etkileyebilecek nitelikte, önemli bir de¤iﬂiklik olup olmad›¤›n›; ayr›ca, bu önemli eksiklikler ve hayatî zay›fl›klar için önerilen düzeltici tedbirleri bildirip aç›klad›¤›n›, onaylamas› gerekir.
‹ç Denetçiler ‹çin Tavsiye Edilen Eylemler: 4. SEC kurallar›n›n ve Sarbanes-Oxley Kanunu'nun hükme ba¤lad›¤› gereklerle ilgili üç ayl›k mali raporlar, özel durum aç›klamalar› ve yönetim onaylar› konusunda, iç denetçilerin verebilece¤i katma de¤erli hizmetlerle ilgili olarak, iç denetçilere aﬂa¤›daki eylem ve düﬂünceler önerilmektedir. Bu önerilen eylemler, üç ayl›k mali raporlama konusunda benzer süreçleri benimsemek ve uygulamak isteyen, hisseleri halka aç›k olmayan ﬂirketler ve baﬂka kurumlara da en iyi uygulamalar olarak önerilmektedir. (a) ‹ç denetçinin bu süreçlerdeki rolü, sürecin ilk tasar›mc›s›, bir özel durum aç›klama komitesinin üyesi, kurum yönetimi ile denetçiler aras›nda koordinatör veya irtibatç› ya da sürecin ba¤›ms›z de¤erlendirmecisi gibi farkl› roller olabilir. (b) Üç ayl›k raporlama ve özel durum aç›klama süreçlerinde görev alan bütün iç denetçilerin aç›kça tan›mlanm›ﬂ bir rolü olmal› ve bu iç denetçiler, üstlendikleri sorumluluklar›, ilgili IIA Dan›ﬂmanl›k ve Güvence Standartlar›na ve ilgili Uygulama Önerilerindeki ilke ve tavsiyelere göre de¤erlendirmelidir. (c) ‹ç denetçiler, kurumlar›n, üç ayl›k mali raporlar, özel durum aç›klamalar› ve hukukî raporlama koﬂullar›na iliﬂkin süreçleri düzenleyen bir resmî politikaya ve yaz›l› prosedüre sahip olmas›n› sa¤lamal›d›r. Bu politika ve prosedürlerin avukatlar, d›ﬂ denetçiler ve baﬂka uzmanlar
Uygulama Önerileri
233
taraf›ndan incelenmesi, bunlar›n yeterince kapsaml› oldu¤undan ve olmas› gerekenleri tam yans›tt›¤›ndan emin olunmas›n› sa¤lar. (d) ‹ç denetçiler, kurumlar›n, süreci eﬂgüdümlemek ve kat›l›mc›lar› izlemek amac›yla "özel durum aç›klama kurulu" kurmalar›n› teﬂvik etmelidir. Bu kurulda, önemli finans müdürleri, hukuk dan›ﬂman›, risk yönetimi, iç denetim ve kanunî tablolara ve özel durum aç›klamalar›na veri veya girdi sa¤layan di¤er birimler de dahil, kurumun belli baﬂl› temel birimlerinin temsil edilmesi gerekir. Normal olarak, ‹ç Denetim Yöneticisi de bu özel durum aç›klama komitesinin üyesi olmal›d›r. Kurulda ‹ç Denetim Yöneticisinin statüsüne dikkat edilmelidir. Kurul baﬂkan› veya kurulda düzenli üye veya "oy hakk›na sahip" üye olan ‹ç Denetim Yöneticilerinin, ba¤›ms›zl›klar› konusunda dikkatli olmalar› ve bu konudaki ilkeler ve yapmalar› gereken aç›klamalar için IIA Standartlar›'na ve ilgili Uygulama Önerilerine bakmalar› tavsiye edilir. ‹ç Denetim Yöneticisinin görevi gere¤i, re'sen (ex-officio) kurula üye olmas› onun ba¤›ms›zl›¤›yla ilgili bir sorun yaratmaz. (e) ‹ç denetçiler üç ayl›k raporlama ve özel durum aç›klamalar›na iliﬂkin süreçleri, özel durum aç›klama komitesinin faaliyetlerini ve ilgili belgeleri dönemsel olarak gözden geçirip de¤erlendirmeli ve süreç hakk›nda yapt›klar› de¤erlendirmeyi ve politika ve prosedürlere uyum hakk›nda ve genel faaliyetler hakk›nda verdikleri güvenceyi yönetime ve denetim komitesine sunmal›d›r. Bu süreçte ald›klar› rol nedeniyle ba¤›ms›zl›klar›na halel gelebilecek olan iç denetçiler, yönetimin ve denetim komitesinin süreç hakk›nda baﬂka kaynaklardan da uygun güvenceler alabilmesini sa¤lamal›d›r. Bu baﬂka kaynaklar aras›nda, kurum içi öz de¤erlendirmeler yan›nda, d›ﬂ denetçiler ve dan›ﬂmanlar gibi üçüncü ﬂah›slar say›labilir. (f) ‹ç denetçiler, faaliyetlerle ilgili yapt›klar› de¤erlendirmenin sonuçlar›na göre, üç ayl›k raporlara ve özel durum
234
Meslekî Uygulama Çerçevesi
aç›klamalar›na iliﬂkin politika, prosedür ve süreçlerle ilgili uygun gördükleri iyileﬂtirmeleri tavsiye etmelidir. Bu faaliyetler için tavsiye edilen en iyi uygulamalar, aﬂa¤›da say›lan araç ve prosedürleri, her kurumun kulland›¤› özel sürece ba¤l› olarak, tamamen veya k›smen içerebilir: - Düzgün bir ﬂekilde yaz›l› hâle getirilmiﬂ politika, prosedür, kontrol ve gözlem raporlar›, - Prosedürler ve anahtar nitelikteki kontrol unsurlar›n› içeren üç ayl›k kontrol listesi, - Anahatar nitelikteki özel durum aç›klama kontrollerine dair standart kontrol raporlar›, - Yönetimin öz de¤erlendirmeleri De¤erlendirme" (CSA) gibi), - Anahtar nitelikteki aç›klamalar›,
müdürlerin
("Kontrol
onay
veya
Öz teyit
- Kanunî mali tablo taslaklar›n›n ibraz edilmeden önce incelenmesi; - Kanunî mali tablolar›n veri unsurlar›n›n kayna¤›n›, anahtar kontrolleri ve her unsurdan sorumlu olan taraflar› tevsik eden süreç haritalar›, - Daha önceden rapor edilen kapat›lmam›ﬂ konular›n takibi, - Dönem içinde ç›kart›lan iç denetim raporlar›n›n de¤erlendirilmesi, - Önemli muhasebe tahminleri, karﬂ›l›klar için yap›lan de¤erlemeler, bilanço d›ﬂ› faaliyetler, önemli iﬂtirakler, ortak giriﬂimler ve özel amaçl› tüzel kiﬂiler de dahil yüksek risk taﬂ›yan, karmaﬂ›k ve sorunlu alanlar için özel veya belirli hedeflere yönelik gözden geçirmeler, - Vazgeçilen ayarlamalar da dahil ilgili ayarlama kay›tlar› ve mali tablolar için "kapan›ﬂ sürecinin" gözlemlenmesi,
Uygulama Önerileri
235
- Kurumun bütün önemli unsurlar›n›n kat›lmas›n› ve görüﬂlerinin al›nmas›n› sa¤lamak amac›yla, uzak yerlerdeki anahtar üst yöneticilerle telekonferans görüﬂmeleri yoluyla toplant›larda ba¤lant› kurmak, - Derdest ve muhtemel davalar›n ve ﬂarta ba¤l› yükümlülüklerin incelenmesi, - ‹ç kontrol konusunda en az›ndan y›lda bir kere ve mümkünse her üç ayda bir ç›kart›lan ‹ç Denetim Yöneticisi raporu, - Düzenli özel durum aç›klama kurulu ve denetim komitesi toplant›lar›. (g) ‹ç denetçiler, Sarbanes-Oxley Kanunu Madde 303'e uymak için uygulanan süreçleri (üç ayl›k mali raporlama ve özel durum aç›klamalar›), yönetimin iç kontrollerle ilgili y›ll›k de¤erlendirmesine ve kamuya aç›klanan raporuna iliﬂkin Madde 404'e uymak için uygulanan prosedürlerle k›yaslamal› ve karﬂ›laﬂt›rmal›d›r. Benzer veya uyumlu bir ﬂekilde tasarlan›p haz›rlanan süreçler, faaliyetlerin verimlili¤ine katk›da bulunur; sorun ve hatalar›n olmas› veya fark edilmemesi risklerini veya olas›l›¤›n› azalt›r. Süreçler ve prosedürler benzer olabilir ve iç denetçinin rolünün de¤iﬂmesi de mümkündür. Baz› kurumlarda, iç denetçilerin yapt›¤› iﬂlerin sonuçlar› yönetimin iç kontrolle ilgili iddia ve görüﬂlerinin temelini oluﬂtururken, di¤er baz› kurumlarda, iç denetçilerden, yönetimin yapt›¤› de¤erlendirmeyi de¤erlendirmesi beklenebilir. - ‹ç denetçilerin yapt›¤› iﬂin niteli¤i ve bu iﬂin sonuçlar›n›n kullan›m ﬂekli, d›ﬂ denetçinin iç denetçinin iﬂine duydu¤u güvenin derecesi ve seviyesi üzerinde çok etkili olabilir. ‹ç denetçiler, her kat›l›mc›n›n rolünün aç›kça tan›mlanmas›n› ve faaliyetlerin kurum yönetimi ve d›ﬂ denetçilerle eﬂgüdümlenmesini ve kararlaﬂt›r›lmas›n› sa¤lamal›d›r.
236
Meslekî Uygulama Çerçevesi
- Yönetimin bir fikir oluﬂturabilmek için kontrollerle ilgili de¤erlendirmeyi kendisinin yapt›¤› kurumlarda, iç denetçiler yönetimin yapt›¤› de¤erlendirmeyi ve bu de¤erlendirmeyi destekleyen belgeleri de¤erlendirmelidir. - ‹ç denetçiler, iç denetim raporundaki görüﬂlerin nas›l s›n›fland›r›ld›¤›n› de¤erlendirmeli ve iç kontrollere iliﬂkin y›ll›k raporda veya üç ayl›k mali tablo onaylar›nda aç›klanmas› gerekebilecek görüﬂlerin yönetime ve denetim komitesine uygun bir ﬂekilde bildirilmesini sa¤lamal›d›r. Bu görüﬂlerin zaman›nda ve uygun bir ﬂekilde çözümlenmesini sa¤lamak için epey dikkat ve özen gösterilmelidir.
Uygulama Önerileri
237
Uygulama Önerisi 2120.A1-4: Finansal Raporlama Sürecinin Denetlenmesi Uluslararas› ‹ç Denetim Meslekî Uygulama Standartlar›ndan Standart 2120.A1’in Yorumu
‹lgili Standart 2120.A1 Risk de¤erlendirmesinin sonuçlar›na ba¤l› olarak, iç denetim faaliyeti, kurumun yönetimini, faaliyetlerini ve bilgi sistemlerini kapsayan kontrollerin yeterlili¤ini ve etkinli¤ini de¤erlendirmelidir. Bu de¤erlendirme: • mali ve operasyonel bilgilerin güvenilirli¤ini, • faaliyetlerin etkinlik ve verimlilili¤ini, • varl›klar›n korunmas›n›, • kanunlara, düzenlemelere ve sözleﬂmelere uyum konular›n› kapsamal›d›r. Bu Uygulama Önerisinin Niteli¤i: Bu Uygulama Önerisi, bir kurumun mali raporlama sürecinde iç denetimin rolünü ve sorumluluklar›n› irdelemektedir. Üst yönetim, d›ﬂ denetçiler ve iç denetçilerin rolleri ﬂöyledir: • Mali tablolarla birlikte verilen aç›klay›c› notlar ve mali raporla birlikte verilen özel durum aç›klamalar› da dahil mali bilgilerin ve kontrol ortam›n›n sahibi üst düzey yönetimdir. • D›ﬂ denetçi, mali raporu kullanan kiﬂiye, raporda verilen bilgilerin genel kabul gören muhasebe ilkelerine uygun olarak, kurumun mali durumunu ve faaliyet sonuçlar›n› âdil ve do¤ru bir ﬂekilde yans›tt›¤› konusunda güvence verir. • ‹ç denetçi, üst yönetime ve yönetim kurulunun denetim komitesine veya ba¤l› baﬂka bir komitesine, mali raporun haz›rlanmas›nda kullan›lan süreçlere iliﬂkin kontrollerin etkin oldu¤u konusunda güvence vermek için gerekli prosedürleri uygular. "Denetim Komitesiyle ‹liﬂkiler" baﬂl›kl› Uygulama Önerisi 2060-2, iç denetçinin denetim komitesiyle olan iliﬂkilerini düzenler. "Kontrol Süreçlerinin
238
Meslekî Uygulama Çerçevesi
De¤erlendirilmesi ve Rapor Edilmesi" baﬂl›kl› Uygulama Önerisi 2120.A1-1, bir iç kontrol sistemini de¤erlendirmek ve bir fikir oluﬂturmak için gereken delil ve bulgular› tart›ﬂ›r. "Üç Ayl›k Finansal Raporlama, Özel Durum Aç›klamalar› ve Yönetim Onaylar› Konusunda ‹ç Denetçinin Rolü" baﬂl›kl› Uygulama Önerisi 2120.A1-3, A.B.D. Sarbanes-Oxley Kanunu'nun hükümleri ve A.B.D. Sermaye Piyasas› Kurulu’nun (SEC) ilgili kurallar› hakk›nda bilgi verir. Bu Uygulama Önerisi ise, mali raporlama süreci konusunda iç denetçilerin üst yönetimle ve d›ﬂ denetçilerle olan iliﬂkisi üzerinde durmaktad›r. Uygulama Önerilerine uymak iste¤e ba¤l›d›r.
1. Amerika Birleﬂik Devletleri'nde ve baﬂka ülkelerde ﬂirket yönetimindeki sorunlar hakk›nda yay›nlanan raporlar, kâr amac› güden, kâr amac› gütmeyen veya kamu sektöründeki bütün kurum ve ﬂirketlerde daha iyi bir sorumluluk da¤›l›m› ve daha fazla saydaml›k sa¤lamak amac›na yönelik bir de¤iﬂime ihtiyaç duyuldu¤unu göstermektedir. Etkin bir kurumsal yönetiﬂimin, üzerinde inﬂa edilebilece¤i zeminin köﬂe taﬂlar› üst yönetim, yönetim kurulu, iç denetçiler ve d›ﬂ denetçilerdir. ‹ç denetim faaliyeti, iyi bir kurumsal yönetiﬂimin desteklenmesinde önemli rol oynar ve risk yönetimi, kontrol ve yönetiﬂim süreçlerinin etkinli¤ini de¤erlendirerek, geliﬂtirerek kurum faaliyetlerinin iyileﬂtirilmesinde yard›mc› olabilecek özel bir konuma sahiptir. Yak›n zamanda yap›lan çal›ﬂmalar, üst yönetimin kurumun mali raporlar›nda verilen bilgilerin do¤rulu¤u konusunda daha fazla sorumluluk üstlenmesi gerekti¤ini göstermiﬂtir. Pek çok kurumda üst yönetim ve denetim komitesi, bu yönetiﬂim ve mali raporlama süreçlerini geliﬂtirmek amac›yla iç denetim faaliyetinden baz› ek hizmetler talep etmektedir. Bu talepler aras›nda, kurumun mali raporlama üzerindeki iç kontrolleri ve mali raporlar›n›n güvenilirli¤i, do¤rulu¤u hakk›nda de¤erlendirme yap›lmas› da vard›r.
‹ç Kontrol Hakk›nda Raporlama: 2. Bir kurumun denetim komitesinin, yönetim kurulunun di¤er komitelerinin ve iç denetim faaliyetinin birbiriyle örtüﬂen hedefleri vard›r. ‹ç denetim yöneticisinin temel hedefi, denetim komitesinin ihtiyaç duydu¤u, talep etti¤i destek ve güvence hizmetlerini almas›n› sa¤lamakt›r. Denetim komitesinin temel
Uygulama Önerileri
239
hedeflerinden biri, kurumun mali raporlama süreçlerinin güvenilir, âdil ve do¤ru olmas›n› sa¤lamak ve bu amaçla bu süreçleri gözlemektir. Denetim komitesi ve üst yönetim, normal olarak, iç denetim biriminin iç kontrol süreçlerinin yeterlili¤i ve etkinli¤i hakk›nda bir fikir oluﬂturabilmek için y›l içinde yeterli denetim yapmas›n› ve mevcut bütün bilgileri toplamas›n› ister. ‹ç Denetim Yöneticisi, normalde, bu genel de¤erlendirmesini denetim komitesine zaman›nda sunar. Denetim komitesi, ‹ç Denetim Yöneticisinin raporunun kapsam›n›, yeterlili¤ini de¤erlendirir ve denetim komitesinin yönetim kuruluna sundu¤u rapora, ‹ç denetim Yöneticisinin görüﬂ ve fikirlerini de ekleyebilir. 3. ‹ç denetim faaliyetinin iﬂ planlar› ve özel güvence verme görevleri, kurumun karﬂ› karﬂ›ya oldu¤u tehlike ve riskler hakk›nda dikkatli bir tan›mlama çal›ﬂmas›yla baﬂlar ve iç denetim biriminin iﬂ plan› hem risklere hem de bu riskleri azaltmak için yönetimin uygulad›¤› risk yönetim ve kontrol süreçlerine dayan›r. Bu risklerin tan›mlanmas› kapsam›na giren olay ve iﬂlemler aras›nda ﬂunlar say›labilir: • Birleﬂme ve devralmalar da dahil yeni iﬂletmeler, • Yeni ürün ve sistemler, • Ortak giriﬂim ve ortakl›klar, • Yeniden yap›lanma, • Yönetim tahminleri, bütçeleri ve öngörüleri, • Çevre konular›, • Mevzuata uyum.
Bir ‹ç Kontrol Çerçevesi: 4. Bir kurumun iç kontrol sisteminin de¤erlendirmesinde, geniﬂ bir kontrol tan›m› esas al›nmal›d›r. IIA, bugün mevcut en etkili iç kontrol kayna¤›n›n Treadway Komisyonu'nun Sponsor Kurumlar Kurulu’nun (COSO) 1992 ve 1994 y›llar›nda
240
Meslekî Uygulama Çerçevesi
yay›nlad›¤› "‹ç Kontrol - Bütünleﬂik Çerçeve" isimli rapor oldu¤una inanmaktad›r. COSO modelinin kullan›lmas› yayg›n bir kabul görmesine ra¤men, baz› baﬂka tan›nm›ﬂ ve güvenilir modellerin de kullan›lmas› uygun olabilir. Bazen, kanunlar veya idarî kurallar, bir ülkede belirli bir kurum veya sektörde belirli bir modelin veya kontrol tasar›m›n›n kullan›lmas›n› öngörebilir. 5. ‹ç Kontrol - Bütünleﬂik Çerçeve raporunda var›lan çeﬂitli sonuçlar bu tart›ﬂmayla ilgili ve ba¤lant›l›d›r. • ‹ç kontrol geniﬂ bir ﬂekilde tan›mlan›r; iç kontrol sadece muhasebe kontrolleriyle s›n›rl› de¤ildir ve dar bir bak›ﬂ aç›s›yla sadece mali raporlamayla s›n›rland›r›lamaz. • Muhasebe ve mali raporlar önemli konular olmakla birlikte, kaynak koruma, faaliyet verimlili¤i ve etkinli¤i, kurallara, mevzuata ve kurum içi politikalara uyum gibi iﬂ aç›s›ndan önem taﬂ›yan baﬂka konular da vard›r. Bu etkenlerin de mali raporlama üzerinde etkisi vard›r. • ‹ç kontrol, yönetimin sorumlulu¤undad›r ve etkili olabilmesi için kurum içindeki bütün kiﬂilerin kat›l›m›n› gerektirir. • ‹ç kontrol çerçevesi, iﬂ hedeflerine ba¤l›d›r ve benimsenip uygulanabilecek kadar esnek olmal›d›r.
‹ç Kontrolün Etkinli¤ine Dair Raporlama: 6. ‹ç denetim faaliyetinin kontrol sisteminin etkinli¤iyle ilgili de¤erlendirmesi ve kontrol modeli veya sisteminin yeterlili¤i hakk›ndaki görüﬂü, ‹ç Denetim Yöneticisi taraf›ndan denetim komitesine sunulmal›d›r. Denetim komitesi ve yönetim kurulu, etkin ve yeterli bir iç kontrol sistemini sürdürebilmek için yönetime güvenmelidir. Ancak bu güveni, ba¤›ms›z bir gözetim ile pekiﬂtirir. Yönetim kurulu veya denetim komitesi (veya kurula ba¤l› baﬂka bir komite) aﬂa¤›daki sorular› sormal› ve ‹ç Denetim Yöneticisi de bu sorular›n cevaplanmas›nda ona yard›mc› olabilmelidir.
Uygulama Önerileri
241
(a) Güçlü ve sa¤lam bir iﬂ etik ortam› ve kültürü var m›? - Denetim komitesi ve yönetim kurulunun üyeleri ve üst düzey yöneticiler dürüstlük konusunda iyi örnek oluyor mu? - Performans ve teﬂvik hedefleri gerçekçi mi, yoksa bunlar k›sa vadeli sonuçlar üzerinde aﬂ›r› bir bask› m› yarat›yor? - Kurumun davran›ﬂ kurallar› e¤itimle ve yukar›dan aﬂa¤› iletiﬂimle takviye ediliyor mu? Mesaj, sahadaki personele kadar ulaﬂ›yor mu? - Kurumun iletiﬂim kanallar› aç›k m›? Her düzeyde yöneticiler ihtiyaç duyduklar› bütün bilgileri alabiliyorlar m›? - Herhangi bir düzeyde mali raporlama usulsüzlüklerine s›f›r tolerans uygulan›yor mu? (b) Kurum riskleri nas›l belirliyor ve yönetiyor? - Bir risk yönetim süreci var m› ve bu süreç etkin mi? - Riskler tüm kurum çap›nda yönetiliyor mu? - Önemli riskler denetim komitesi ve yönetim kuruluyla samimî ve aç›k bir ﬂekilde tart›ﬂ›l›yor mu? (c) Kontrol sistemi etkin mi? - Kurumun mali raporlama süreci üzerindeki kontrolleri kapsaml› m› ve mali raporlar›n tamamlay›c› bir parças›n› oluﬂturan mali tablolar›n, dip notlar›n, ve di¤er mecburî ve iste¤e ba¤l› özel durum aç›klamalar›n›n haz›rlanmas›n› da kaps›yor mu? - Üst yönetim ve birim yönetimleri kontrolle ilgili sorumlulu¤u kabul ettiklerini gösteriyorlar m›? - Kurumun rapor edilen mali sonuçlar›nda veya bunlar›n ekindeki mali aç›klamalarda, üst yönetimi, denetim komitesini, yönetim kurulunu veya kamuyu ﬂaﬂ›rtan "sürprizlerin" s›kl›¤› art›yor mu?
242
Meslekî Uygulama Çerçevesi
- Kurum çap›nda iyi bir iletiﬂim ve raporlama sistemi var m›? - Kontroller, hedeflere ulaﬂman›n bir arac› olarak m› yoksa "zorunlu bir belâ" olarak m› görülüyor? - Nitelikli kiﬂiler zaman›nda iﬂe al›n›yor ve bunlara yeterli e¤itim veriliyor mu? - Sorunlu alanlar h›zl› ve eksiksiz bir ﬂekilde tespit edilebiliyor mu? (d) Güçlü bir gözlem sistemi var m›? - Denetim komitesi ve yönetim kurulu kurum yönetiminden ba¤›ms›z m›, her türlü muhtemel menfaat çat›ﬂmas›ndan uzak m›, iyi bilgilendiriliyor mu ve konular›n ayr›nt›lar›na iniyor mu? - Üst yönetim ve denetim komitesi iç denetim birimine destek veriyor mu? - ‹ç ve d›ﬂ denetçilerin üst yönetimin ve denetim komitesinin bütün üyelerine aç›k iletiﬂim hatlar› ve özel eriﬂim imkânlar› var m› ve bunlar› kullan›yorlar m›? - Birim yönetimi kontrol sürecini gözlüyor mu? - Kurum d›ﬂ›ndan temin edilen süreçleri gözlemek için kullan›lan bir program var m›? 7. ‹ç kontroller baﬂar›y› garanti edemez. Kötü kararlar, zay›f yöneticiler veya çevresel etkenler kontrollerin etkisini ortadan kald›rabilir. Ayr›ca, dürüst olmayan yöneticiler bu kontrolleri aﬂabilir ve astlar›ndan gelen mesajlar› göz ard› edebilir, engelleyebilir veya üstünü örtebilir. Ancak bütün yönetim unsurlar›ndan aç›k ve güvenilir mesajlar alan ve yetkin finans, hukuk ve iç denetim birimlerinin deste¤ini alan faal ve ba¤›ms›z bir yönetim birimi, muhtemel sorunlar› tespit edebilir ve etkin bir gözetim yapabilir.
Uygulama Önerileri
243
‹ç Denetçinin Rolleri: 8. Gelecek y›l›n mali raporlama rejimine iliﬂkin görev ve sorumluluklar› için üst yönetime, denetim komitesine ve d›ﬂ denetçiye yard›mc› olmak amac›yla yeterli kaynak ayr›lmam›ﬂsa, ‹ç Denetim Yöneticisinin iç denetim biriminin o y›la iliﬂkin risk de¤erlendirme ve denetim planlar›n› gözden geçirmesi gerekir. Mali raporlama süreci, gerekli bilgilerin oluﬂturulmas› ve mali tablolar›n ve aç›klay›c› dip notlar›n›n ve kurumun mali raporlar›n›n ekinde sunulan di¤er özel durum aç›klamalar›n›n haz›rlanmas› için gerekli iﬂlemleri kapsar. 9.
‹ç Denetim Yöneticisi, kurumun risk de¤erlendirmesine uygun olarak iç denetim biriminin kaynaklar›n› mali raporlama, yönetiﬂim ve kontrol süreçlerine tahsis etmelidir. ‹ç Denetim Yöneticisi, üst yönetime ve denetim komitesine, mali raporlar›n haz›rlanmas›nda kullan›lan destekleyici süreçlere iliﬂkin kontrollerin yeterli bir ﬂekilde tasarland›¤› ve etkin bir ﬂekilde uyguland›¤› konusunda bir güvence verebilmek için gereken prosedürleri uygulamal›d›r. Uygulanan kontroller, önemli hatalar, usulsüzlükler, yanl›ﬂ varsay›mlar ve tahminlerin ve yanl›ﬂ veya yan›lt›c› mali tablolara, aç›klay›c› notlara veya baﬂka aç›klamalara neden olabilecek baﬂka olaylar›n önlenmesi ve tespiti için yeterli olmal›d›r.
10. ‹ç Denetim Yöneticisinin mali raporlar›n güvenilirli¤ini ve do¤rulu¤unu sa¤lamak amac›yla yönetim kurulunun veya denetim komitesinin (veya yönetim kurulunun baﬂka bir komitesinin) gözetim sorumluluklar›na ve kurumun genel yönetiﬂim sürecine destek olmak için dikkate almas› önerilen konular›n bir listesi aﬂa¤›da sunulmaktad›r. (a) Mali Raporlama - Ba¤›ms›z muhasebecilerin tayini için gereken bilgileri vermek, - Denetim planlar›n›n, kapsam›n›n ve iﬂ çizelgesinin d›ﬂ denetçilerle eﬂgüdümlü olarak belirlenmesi,
244
Meslekî Uygulama Çerçevesi
- Denetim sonuçlar›n› d›ﬂ denetçilerle paylaﬂmak, - Muhasebe politikalar› ve politika kararlar› (bilanço d›ﬂ› iﬂlemlere ve takdirî konulara iliﬂkin muhasebe kararlar› da dahil), mali raporlama sürecinin özel unsurlar› ve ola¤and›ﬂ› veya karmaﬂ›k mali iﬂlem ve olaylar (örne¤in, ilgili taraflarla iﬂlemler, birleﬂme ve devralmalar, ortak giriﬂimler ve ortakl›k iﬂlemleri) hakk›ndaki tespitlerini d›ﬂ denetçilere ve denetim komitesine bildirmek, - Denetim komitesi, d›ﬂ denetçiler ve üst yönetimle birlikte, mali raporlar› ve özel durum aç›klamalar›n› de¤erlendirme sürecine kat›lmak ve düzenleyici kurumlara sunulanlar da dahil mali raporlar›n kalitesini de¤erlendirmek, - Baﬂta mali raporlama süreci üzerindeki kontrol uygulamalar› olmak üzere kurumun iç kontrollerinin yeterlili¤ini ve etkinli¤ini de¤erlendirmek. Bu de¤erlendirmede, kurumun suiistimallere karﬂ› duyarl›l›¤› ve bu tehlikeleri önlemek veya azaltmak için kullan›lan program ve kontrollerin etkinli¤i de¤erlendirilmelidir. - Kurum yönetiminin kurumun davran›ﬂ kurallar›na uyup uymad›¤›n› gözlemek ve etik davran›ﬂ› teﬂvik eden etik politikalar›n›n ve benzeri baﬂka prosedürlerin uygulanmas›n› sa¤lamak. Kurum içinde etkili bir etik kültürü oluﬂturman›n önemli etkenlerinden biri de, üst yöneticilerin etik davran›ﬂlar konusunda iyi bir örnek teﬂkil etmesi ve çal›ﬂanlarla, denetim komitesiyle, yönetim kuruluyla ve kurum d›ﬂ›ndaki hak sahipleriyle aç›k ve güvenilir iletiﬂim kurmas›d›r. (b) Kurumsal Yönetiﬂim: - Kurumun kanunlara ve düzenlemelere uyumuna, etik ve menfaat çat›ﬂmalar›na iliﬂkin politikalar›n› ve suiistimal iddialar›n›n zaman›nda ve derinlemesine araﬂt›r›lmas› ve takibiyle ilgili politikalar›n› gözden geçirmek,
Uygulama Önerileri
245
- Kurumsal risk ve yönetiﬂim riski taﬂ›yan derdest davalar› veya idarî soruﬂturma ve takipleri gözden geçirmek, - Personelin menfaat çat›ﬂmalar›, usulsüzlük ve suiistimalleri hakk›nda ve kurumun ilgili etik prosedür ve raporlama mekanizmalar›n›n di¤er sonuçlar› hakk›nda bilgi vermek. (c) Kurumsal Kontrol: -
Kurumun derledi¤i ve rapor etti¤i iﬂletme ve mali bilgilerinin güvenilirli¤ini ve do¤rulu¤unu gözden geçirmek,
- Önemli muhasebe politikalar› hakk›nda bir kontrol analizi yapmak ve bunlar› tercih edilen uygulamalarla karﬂ›laﬂt›rmak (örne¤in, gelir kay›tlar› veya bilanço d›ﬂ› muhasebe uygulamalar› hakk›nda sorular›n soruldu¤u iﬂlemlerin genel kabul gören muhasebe standartlar›na uygunlu¤u incelenmelidir), - ‹ﬂ raporlar› ve mali raporlar›n haz›rlanmas›nda kullan›lan tahmin ve varsay›mlar›n akla yatk›nl›¤› ve uygunlu¤unu de¤erlendirmek, - Özel durum aç›klamalar›nda veya yorumlarda kullan›lan tahmin ve varsay›mlar›n ilgili kurumsal bilgi ve uygulamalara ve –uygunsa- baﬂka ﬂirketlerin rapor etti¤i benzer kalemlerle tutarl› olmas›n› sa¤lamak, - Yevmiye kay›tlar›n›n haz›rlanmas›, incelenmesi, onaylanmas› ve muhasebeleﬂtirilmesi sürecini de¤erlendirmek, - Muhasebe fonksiyonunda kullan›lan kontrollerin yeterli olup olmad›¤›n› de¤erlendirmek.
Uygulama Önerileri
247
Uygulama Önerisi 2120.A4-1: Kontrol K›staslar› Uluslararas› ‹ç Denetim Meslekî Uygulama Standartlar›ndan Standart 2120.A4’ün Yorumu
‹lgili Standart 2120.A4 Kontrollerin de¤erlendirilmesi için uygun ve yeterli k›staslara ihtiyaç vard›r. ‹ç denetçiler, yönetimin hedef ve amaçlara ulaﬂ›l›p ulaﬂ›lmad›¤›n› belirlemek için oluﬂturdu¤u k›staslar›n yeterlilik derecesini tespit etmelidir. Bu k›staslar yeterliyse, iç denetçiler de kendi de¤erlendirmelerinde bunlar› kullanabilir. K›staslar yeterli de¤ilse, iç denetçiler uygun de¤erlendirme k›staslar› geliﬂtirmek için yönetimle birlikte çal›ﬂmal›d›r. Bu Uygulama Önerisinin Niteli¤i: ‹ç denetçiler, kontrol k›staslar›n› de¤erlendirirken aﬂa¤›daki önerileri dikkate almal›d›r. Bu k›lavuzun, bir de¤erlendirmede dikkate al›nmas› gereken hususlar›n tümünü kapsamak gibi bir amac› yoktur; k›lavuz, sadece, dikkate al›nmas› gereken bir tavsiyeler demetinden ibarettir. Uygulama Önerilerine uymak, iste¤e ba¤l›d›r.
1. Kontrolleri de¤erlendirmeden önce, yönetim gözden geçirilecek sahayla ilgili almak istedi¤i risk seviyesini tesbit etmelidir. ‹ç denetçiler, risk seviyesinin ne oldu¤unu belirlemelidir. Bu, gözden geçirilen alanla ilgili ana hedeflerin gerçekleﬂtirilmesine tehdit teﬂkil eden anahtar unsurlar›n potansiyel etkisinin azalmas›na bak›larak belirlenebilir. 2. E¤er yönetim, ana riskleri ve üstlenmek istedi¤i art›k risk seviyesini belirlememiﬂse, iç denetim faaliyeti, risk belirleme çal›ﬂtaylar›yla veya kurumun kulland›¤› di¤er tekniklerle, riskin belirlenmesine yard›m edebilir. 3. Ancak risk seviyesi belirlendi¤inde, uygulanmakta olan kontrollerin, riskin arzulanan seviyeye indirilmesinde ne kadar baﬂar›l› oldu¤u de¤erlendirilebilir.
Uygulama Önerileri
249
Uygulama Önerisi 2130-1: ‹ç Denetim Faaliyeti ve ‹ç Denetçinin Bir Kurumun Etik Kültüründe Oynad›¤› Rol Uluslararas› ‹ç Denetim Meslekî Uygulama Standartlar›ndan Standart 2130’un Yorumu
‹lgili Standart 2130 Yönetiﬂim ‹ç denetim faaliyeti, aﬂa¤›daki amaçlar›n gerçekleﬂtirilmesi amac›yla yönetiﬂim sürecinin iyileﬂtirilmesi için gerekli tavsiyelerde bulunmal› ve tavsiyeleri de¤erlendirmelidir: • Kurum içinde gerekli etik ve di¤er de¤erlerin geliﬂtirilmesi, • Etkili bir kurumsal performans yönetimi ve hesap verebilirlik, • Risk ve kontrol bilgilerinin kurumun gerekli alanlar›na etkili bir ﬂekilde iletilmesi, • Yönetim kurulunun, denetim komitesinin, iç ve d›ﬂ denetçilerin ve üst yönetimin faaliyetleri aras›nda eﬂgüdüm sa¤lamak ve bunlar aras›nda gerekli bilgilerin etkili bir ﬂekilde iletimini sa¤lamak.
‹lgili Standart 2130.A1 ‹ç denetim faaliyeti, kurumun etikle ilgili amaç, program ve faaliyetlerinin tasar›m›n›, uygulanmas›n› ve etkinli¤ini de¤erlendirmelidir. Bu Uygulama Önerisinin Niteli¤i: ‹ç denetçiler, bir kurumun etik kültüründe oynayabilecekleri rolü tayin ederken aﬂa¤›daki önerileri dikkate almal›d›r. Bu rol, kurumun etik kültürünün yerleﬂikli¤ine veya geliﬂmiﬂlik düzeyine ba¤l› olarak
250
Meslekî Uygulama Çerçevesi
farkl›l›k gösterebilir. Bu k›lavuzun, bir kurumun etik kültürüyle ilgili kapsaml› bir güvence veya dan›ﬂmanl›k görevi için gerekli olabilecek bütün prosedürleri kapsamak gibi bir amac› yoktur. Uygulama Önerilerine uymak iste¤e ba¤l›d›r.
1. Bu Uygulama Önerisi, bir kurumda etik ortam›n›n yarat›lmas›nda kurumsal kültürün önemini vurgulamakta ve bu ortam›n geliﬂtirilmesinde iç denetçilerin oynayabilece¤i bir rolün de oldu¤unu ileri sürmektedir. Daha somut olarak, bu Uygulama Önerisi: • yönetiﬂim sürecinin niteli¤ini tan›mlar, • bu sürecin kurumun etik kültürüyle ba¤lant›s›n› kurar, • baﬂta iç denetçiler olmak üzere, kurumla iliﬂkisi bulunan herkesin etik savunuculu¤u rolünü üstlenmesi (di¤er bir deyiﬂle, etik konusuna sahip ç›kmas›) gerekti¤ini belirtir, • geliﬂmiﬂ bir etik kültürünün unsurlar›n›, özelliklerini sayar.
Yönetiﬂim & Kurum Kültürü 2. Bir kurum: (a) içinde yaﬂad›¤› toplumun hukukuna ve di¤er düzenleyici kurallar›na uymak, (b) toplumda genel kabul gören iﬂ hayat›na dair kurallar›, etik hükümleri ve sosyal beklentileri karﬂ›lamak, (c) hem topluma faydal› olmak hem de uzun ve k›sa vadede ‘hissedarlar›n›n ve di¤er menfaat sahiplerinin’ ç›karlar›n› korumak, (d) kararlar›, faaliyetleri, yönetimi ve performans›yla ilgili hesap verme sorumlulu¤unu yerine getirmek üzere, büyük ortaklar›na, di¤er hissedarlar›na, düzenleyici makamlara ve kamuya tam ve do¤ru bilgi vermek amac›yla çeﬂitli hukukî formlar, yap›lar, stratejiler ve prosedürler kullan›r.
Uygulama Önerileri
251
Bir kurumun bu dört sorumlulu¤un gere¤ini yerine getirmek üzere seçti¤i iﬂ yapma usullerinin bütünü, yayg›n bir ﬂekilde, yönetiﬂim süreci olarak tâbir edilir. Yönetiﬂim sürecinin amac›na hizmet edecek ﬂekilde çal›ﬂmas›ndan, kurumun bir yönetim mercii (yönetim kurulu, mütevelli heyeti veya icra kurulu gibi) ve üst seviye yöneticileri sorumludur. 3. Bir kurumun yönetiﬂim uygulamalar›, kurumdaki rolleri ve davran›ﬂlar› belirleyen, sorumluluklar› tan›mlayan, hedefler ve stratejiler geliﬂtiren ve performans› ölçen, kuruma özgü ve sürekli de¤iﬂen bir kültürün tezahürüdür. Bu kültür, kurumun benimseyip dile getirdi¤i, cevaz verdi¤i de¤erleri, davran›ﬂlar› ve rolleri ﬂekillendirir; kurumun topluma karﬂ› sorumluluklar›n› yerine getirmek konusundaki hassasiyetini (bir baﬂka deyiﬂle, özenli veya kay›ts›z olma e¤ilimini) ortaya koyar. Bu nedenle, kurumun genel yönetiﬂim sürecinin kendisinden beklenen amaca ne kadar hizmet edebilece¤i, büyük ölçüde kurumun kültürüne ba¤l›d›r.
Kurumun Kültürünün Sorumlulu¤unun Paylaﬂ›lmas› 4. Kurumla ba¤lant›s› bulunan herkes, kurumun etik kültürünün durumundan bir ölçüde sorumludur ve bu sorumlulu¤u paylaﬂ›r. Kurumlar›n ço¤unda karar alma süreçlerinin çok karmaﬂ›k ve da¤›n›k olmas›ndan dolay›, bu rol ister ona resmen verilmiﬂ olsun ister gayriresmî yollarla üstlenilmiﬂ olsun, her bireyin bir etik savunucusu olmaya özendirilmesi ve teﬂvik edilmesi gerekir. Davran›ﬂ kurallar› ve vizyon aç›klamalar› ve kurum politikalar›; kurumun de¤er ve hedeflerini, kurum çal›ﬂanlar›ndan beklenen davran›ﬂlar› ve kurumun etik, hukukî ve toplumsal sorumluluklar›na uygun bir kültürü sürdürmek amac›na yönelik stratejilerini gösteren aç›k ve önemli beyanlard›r. Giderek artan say›da kurum, yöneticilere ve di¤er kiﬂilere kurum içinde dan›ﬂmanl›k yapmas› ve ‘do¤rular› göstermesi’ için bir ‘etik görevlisi’ tayin etmektedir.
252
Meslekî Uygulama Çerçevesi
Etik Savunucusu Olarak ‹ç Denetim Faaliyeti 5. ‹ç denetçiler ve iç denetim faaliyeti, kurumun etik kültürünün desteklenmesi konusunda faal bir rol oynamal›d›r. ‹ç denetçiler, kurum içinde dürüst ve güvenilir kiﬂiler olarak tan›n›r ve tesirli bir etik savunuculu¤unun gerektirdi¤i becerilere ve vas›flara sahiptir. ‹ç denetçiler, kurumun yöneticileri ve di¤er çal›ﬂanlar›ndan kurumun hukukî, etik ve toplumsal sorumluluklar›na uymalar›n› talep etmeye ehil ve yetkilidir. 6. ‹ç denetim faaliyeti, etik savunuculu¤u yaparken birbirinden farkl› rollerden birini üstlenebilir. Bunlar, etik görevlisi olma (ombudsman, uyum görevlisi, etik dan›ﬂman› veya etik uzman›), kurum içi etik konseyi üyeli¤i veya etik ortam› uzmanl›¤› olabilir. Baz› durumlarda, etik görevlisinin rolü, iç denetim faaliyetinin ‘ba¤›ms›zl›k’ özelli¤iyle çeliﬂebilir. Baz› durumlarda, etik görevlisi rolü, iç denetim faaliyetinin ba¤›ms›zl›k özelli¤iyle çeliﬂebilir.
Kurumun Etik Ortam›n›n De¤erlendirilmesi 7. ‹ç denetim faaliyeti, en az›ndan, kurumun etik iklimini ve kurumun istenen hukukî ve etik uygunluk seviyesine ulaﬂmak amac›yla uygulad›¤› stratejilerin, taktiklerin, raporlamalar›n ve di¤er süreçlerin etkinli¤ini dönemsel olarak incelemelidir. ‹ç denetçiler, yüksek etkinli¤e sahip geliﬂmiﬂ bir etik kültürde bulunmas› beklenen ﬂu unsurlara, kurumun ne ölçüde sahip oldu¤unun muhasebesini yapmal›d›r: (a) Aç›k ve anlaﬂ›l›r nitelikte resmî Davran›ﬂ Kurallar›, ilgili manifestolar, -suiistimal ve yolsuzlu¤a karﬂ› prosedürler de dahil- politikalar ve gerçekleﬂtirmek istediklerine dair kurumun di¤er aç›klamalar›, (b) Yöneticilerin çal›ﬂanlardan beklenen etik davran›ﬂ ve vas›flar› s›kl›kla belirtmeleri ve kendilerinin de bunlar› bizzat yaﬂayarak göstermeleri,
Uygulama Önerileri
253
(c) Kurumun, etik kültürüne ba¤l›l›¤›n› tazelemek amac›yla, düzenli programlarla desteklenen ve geliﬂtirilen aç›k stratejilere sahip olmas›, (d) Davran›ﬂ Kurallar›na, politikalara ve di¤er düzenlemelere ayk›r›l›klar›n gizlilik içinde rapor veya ihbar edilebilmesi için kolayl›kla uygulanabilir birden çok usulün mevcut olmas›, (e) Çal›ﬂanlar, tedarikçiler ve müﬂterilerin kurum iﬂlerini yürütürken, etik davran›ﬂ gereklerine tâbi olduklar›n› bildiklerine dair düzenli beyanlarda bulunmas›, (f) Etik davran›ﬂ sonuçlar›n›n de¤erlendirilmesini, ayk›r›l›k iddialar›n›n araﬂt›r›lmas›n›, hukuk dan›ﬂman›yla yürütülen iﬂlemlerde gizlili¤e riayet edilmesini ve araﬂt›rma bulgular›n›n düzenli olarak rapor edilmesini sa¤lamak amac›yla sorumluluklar›n aç›kça belirlenmiﬂ ve da¤›t›lm›ﬂ olmas›, (g) Bütün çal›ﬂanlar›n etik savunucusu olmas›na yönelik e¤itim imkânlar›ndan herkesin kolayl›kla istifade edebilmesinin sa¤lanmas›, (h) Her çal›ﬂan›n kurumun etik ortam›na katk›da bulunmas›n› teﬂvik eden, personele yönelik olumlu uygulamalar, (i) Kurumun etik kültürünün durumunu tespit etmek amac›yla, tedarikçiler, çal›ﬂanlar ve müﬂterileri kapsayan düzenli anketler, (j) Etik kültürünü zay›flat›c› nitelikte bask› ve sapmalar yaratabilecek kurum içi resmî ve gayriresmî süreçlerin düzenli ﬂekilde incelenmesi ve gözden geçirilmesi, (k) Dürüstlük testleri, uyuﬂturucu taramalar› ve benzeri tedbirler de dahil, iﬂe alma prosedürlerinin bir parças› olarak uygulanan düzenli referans ve özgeçmiﬂ kontrolleri.
Uygulama Önerileri
255
Uygulama Önerisi 2200-1: Görev Planlamas› Uluslararas› ‹ç Denetim Meslekî Uygulama Standartlar›ndan Standart 2200’ün Yorumu
‹lgili Standart 2200 Görev Planlamas› ‹ç denetçiler, her görev için, kapsam, amaçlar, zamanlama ve kaynak da¤›l›m› hususlar›n› da dikkate alan ayr› bir plan haz›rlamal› ve kaydetmelidir. ‹lgili Standart 2201 Planlamada Dikkate Al›nmas› Gerekenler Bir görevi planlarken, iç denetçiler ﬂu noktalar› dikkate almal›d›r: • Denetlenecek olan faaliyetin hedefleri ve faaliyetin kendi performans›n› kontrol etmesinin araçlar›, • Faaliyet ve hedeflerine, kaynaklar›na ve operasyonlar›na yönelik önemli riskler ve bu potansiyel risklerin etki veya ihtimallerini kabul edilebilir bir seviyede tutman›n yol ve araçlar›, • Bir ilgili kontrol çerçevesi veya modeline k›yasla, ilgili faaliyetin risk yönetimi ve kontrolü sistemlerinin yeterlilik ve etkinli¤i, • Faaliyetin risk yönetimi ve kontrol sistemlerinde önemli geliﬂme sa¤lama imkânlar›. Bu Uygulama Önerisinin Niteli¤i: ‹ç denetçiler, görevlerini planlarken aﬂa¤›daki önerileri dikkate almal›d›r. Bu k›lavuzun planlama yaparken gerekli olabilecek bütün hususlar› kapsamak gibi bir amac› yoktur; k›lavuz, sadece, dikkate al›nmas› gereken konular› içeren bir öneriler demetinden oluﬂmaktad›r. Uygulama Önerilerine uymak, iste¤e ba¤l›d›r.
256
Meslekî Uygulama Çerçevesi
1. ‹ç denetçi, üstlerinin inceleme ve onay›na tâbi olarak, görevlerini planlamaktan ve yürütmekten kendisi sorumludur. Bir görev program›: • iç denetçinin görevi s›ras›nda ilgili bilgileri toplamak, analiz etmek, yorumlamak ve kaydetmek için uygulayaca¤› prosedürleri göstermeli, • görevin amaçlar›n› aç›klamal›, • görevin her safhas›nda görevin amaçlar›na ulaﬂmak için gereken testlerin derecesi ve kapsam›n› belirtmeli, • incelenmesi gereken teknik özellikleri, riskleri, süreçleri ve iﬂlemleri tan›mlamal›, • gereken testlerin niteli¤ini ve kapsam›n› göstermeli, • göreve baﬂlanmadan önce haz›r olmal› ve gerekirse, görev s›ras›nda de¤iﬂtirilmelidir. 2. Görevle ilgili sonuçlar›n nas›l, ne zaman ve kime rapor edilece¤inin tesbiti, ‹ç Denetim Yöneticisinin sorumlulu¤undad›r. Bu tespitler, görev planlama aﬂamas›nda mümkün oldu¤u oranda aç›kça kaydedilmeli ve yönetime raporlanmal›d›r. Görev sonuçlar›n›n zamanlamas›n› veya raporlamas›n› etkileyen daha sonraki de¤iﬂiklikler de, gerekiyorsa, yönetime bildirilmelidir. 3. Görevin süresi ve tahminî tamamlanma tarihi gibi, görevle ilgili di¤er gerekler de tespit edilmelidir. Nihaî rapor format› da düﬂünülmeli ve belirlenmelidir; çünkü bu safhada düzgün bir planlama, nihaî raporun haz›rlanmas›nda kolayl›k sa¤lar. 4. Görev hakk›nda bilgilendirilmesi gereken bütün yöneticilere bilgi verilmelidir. Denetlenmekte olan faaliyetin yöneticileriyle toplant›lar yap›lmal›d›r. Toplant›larda konuﬂulan konular›n özetini ve var›lan sonuçlar› gösteren tutanaklar haz›rlan›p uygun kiﬂilere da¤›t›lmal› ve çal›ﬂma dosyalar›nda muhafaza edilmelidir. Tart›ﬂma konular› ﬂunlar olabilir: • Planlanan amaçlar ve iﬂin kapsam›, • Göreve konu olan iﬂlerin zamanlamas›,
Uygulama Önerileri
257
• Görevlendirilen iç denetçiler, • Yöntemler, zaman k›s›tlar› ve sorumlu kiﬂiler de dahil, görev boyunca raporlama süreci, • Yönetimde veya önemli sistemlerde meydana gelen son de¤iﬂiklikler de dahil, denetlenmekte olan birimin çal›ﬂma ﬂartlar› ve faaliyetleri, • Yönetimin öncelikli meseleleri, endiﬂeleri ve talepleri, • ‹ç denetçi için özel önem arz eden konular, • ‹ç denetim faaliyetinin raporlama prosedürleri ve takip sürecinin tan›m›.
Uygulama Önerileri
259
Uygulama Önerisi 2210-1: Görev Amaçlar› Uluslararas› ‹ç Denetim Meslekî Uygulama Standartlar›ndan Standart 2210’un Yorumu
‹lgili Standart 2210 Görev Amaçlar› Görev amaçlar›, denetlenen faaliyetle ilgili riskleri, kontrolleri ve yönetiﬂim süreçlerini kapsamal›d›r. Bu Uygulama Önerisinin Niteli¤i: ‹ç denetçiler, belirli bir görevin amaçlar›n› belirlerken aﬂa¤›daki önerileri dikkate almal›d›r. Bu k›lavuzun bu tespitte gerekli olabilecek bütün hususlar› kapsamak gibi bir amac› yoktur; k›lavuz, sadece dikkate al›nmas› tavsiye edilen baz› konular› aç›klamaktad›r. Uygulama Önerilerine uymak, iste¤e ba¤l›d›r.
1. Planlama yaz›l› hâle getirilmelidir. Görevin amaçlar› ve iﬂin kapsam› belirlenmelidir. Amaçlar, iç denetçilerin geliﬂtirdi¤i kapsaml› ifadeler olup, baﬂarmak istenilen hususlar› tan›mlar. Görev prosedürleri, amaçlara ulaﬂmak için kullan›lacak araç ve yollard›r. Amaç ve prosedürler, birlikte, iç denetçinin iﬂinin kapsam›n› tayin eder. 2. Görev amaç ve prosedürleri, denetlenen faaliyetin riskleriyle ilgili olmal›d›r. Burada kullan›lan "risk" terimi, hedeflere ulaﬂ›lmas›n› etkileyebilecek bir olay›n meydana gelme belirsizli¤ini ifade eder. Risk, sonuçlar ve olas›l›k cinsinden hesaplan›r. Planlama safhas›ndaki risk de¤erlendirmesinin gayesi, görev amac› hâline getirilip incelenmesi gereken önemli faaliyet alanlar›n› teﬂhis edebilmektir.
Uygulama Önerileri
261
Uygulama Önerisi 2210.A1-1: Görev Planlamas›nda Risk De¤erlendirmesi Uluslararas› ‹ç Denetim Meslekî Uygulama Standartlar›ndan Standart 2210.A1’in Yorumu
‹lgili Standart 2210.A1 ‹ç denetçi, denetlenen faaliyetle ilgili risklerin ön de¤erlendirmesini yapmal›d›r. Görevin amaçlar›, bu risk de¤erlendirmesinin sonuçlar›n› yans›tmal›d›r. Bu Uygulama Önerisinin Niteli¤i: ‹ç denetçiler, görev planlama safhas›nda riskleri de¤erlendirirken aﬂa¤›daki önerileri dikkate almal›d›r. Bu k›lavuzun böyle bir de¤erlendirmede gerekli olabilecek bütün hususlar› kapsamak gibi bir amac› yoktur; k›lavuz, sadece, dikkate al›nmas› gereken bir tavsiyeler demetinden ibarettir. Uygulama Önerilerine uymak, iste¤e ba¤l›d›r.
1. ‹ç denetçi, yönetimin denetlenen faaliyetle ilgili risk de¤erlendirmesini gözönüne almal›d›r. ‹ç denetçinin bu ba¤lamda düﬂünece¤i hususlar ﬂunlard›r: • Yönetimin risk de¤erlendirmesinin güvenilirli¤i, • Yönetimin risk meselelerinin raporlanmas› ve gözlenmesine yaklaﬂ›m›, • Kabul edilebilir risk seviyelerini aﬂan durumlara dair yönetim raporlar›, • Denetlenen faaliyetle iliﬂkili olabilecek destek sistemlerinde ve kurumun di¤er faaliyetlerinde, yönetimce teﬂhis edilen baﬂka risklerin olup olmad›¤›, • Yönetimin risklerle ilgili kendi kontrol de¤erlendirmesi. 2. ‹ncelenecek olan faaliyetler hakk›nda temel bilgiler toplanmal›d›r. Görev üzerindeki muhtemel etkilerini tespit etmek amac›yla, ayr›nt›s› aﬂa¤›da say›lan bu bilgiler gözden geçirilmelidir.
262
Meslekî Uygulama Çerçevesi
• Amaçlar ve hedefler, • Faaliyetler ve raporlar üzerinde önemli bir etkisi olabilecek politika, plan, prosedür, kanun, yönetmelik ve sözleﬂmeler, • Çal›ﬂanlar›n, anahtar personelin say›s›, isimleri, iﬂ tan›mlar› ve -önemli sistem de¤iﬂiklikleri de dahil- kurum içindeki son de¤iﬂiklikler hakk›nda ayr›nt›l› bilgiler gibi kuruma ait bilgiler, • ‹ncelenecek olan faaliyetle ilgili bütçe bilgileri, faaliyet sonuçlar› ve mali veriler, • Daha önceki görevin çal›ﬂma k⤛tlar›, • D›ﬂ denetçilerin tamamlanm›ﬂ veya devam eden iﬂleri de dahil di¤er görevlerin sonuçlar›, • Görev üzerinde önemli potansiyel etki yapabilecek sorunlar› tespit etmek amac›na yönelik yaz›ﬂma dosyalar› ve • Faaliyet için uygun ve yetkin teknik literatür. 3. Gerekirse ve uygun görülürse, faaliyetler, riskler ve kontrollere aﬂina olabilmek, görev için önemli olan alan ve konular› tespit etmek ve denetlenenlerin yorum ve tavsiyelerini almak amac›yla bir anket çal›ﬂmas› yap›lmal›d›r. Anket, inceleme konusu olan faaliyet hakk›nda, ayr›nt›l› bir do¤rulama olmaks›z›n, bir bilgi toplama sürecidir. Anketin temel amaçlar› ﬂunlard›r: • Denetlenecek faaliyeti anlamak, • Özel dikkat gösterilmesi gereken önemli alanlar› tespit etmek, • Denetim s›ras›nda kullanmak üzere bilgi toplamak, • Ek bir denetime gerek olup olmad›¤›na karar vermek. 4. Bir anket, görev çal›ﬂmalar›n›n planlanmas›nda ve uygulanmas›nda somut bilgiye dayanan bir yaklaﬂ›m› mümkün k›lar ve iç denetim faaliyetinin sahip oldu¤u kaynaklar›n amaca
Uygulama Önerileri
263
en uygun alanlarda kullan›lmas› için etkili bir araçt›r. Bir anketin odak noktas›, görevin niteli¤ine ba¤l› olarak de¤iﬂir. Bir anketin kapsam› ve zamanlamas› da de¤iﬂkenlik arz eder. ‹ç denetçinin e¤itimi, tecrübesi, bilgi seviyesi, denetimin türü ve anketin rutin olarak yap›lan dönemsel bir görevin veya göreve özel denetim sonras› yap›lan bir takip çal›ﬂmas›n›n parças› olup olmamas›, anketin kalitesini ve iﬂlevselli¤ini belirleyen unsurlardand›r. Zaman planlamas›yla ilgili gerekler ise, denetlenen faaliyetin büyüklü¤ü, karmaﬂ›kl›¤› ve faaliyetin co¤rafî da¤›l›m›ndan etkilenir. 5. Bir anket, aﬂa¤›da say›lan prosedürlerin uygulanmas›n› gerektirebilir: • Denetlenenlerle yap›lan görüﬂmeler, • Faaliyetten etkilenen kiﬂilerle, örne¤in, faaliyetin ç›kt›lar›n› kullananlarla yap›lan görüﬂmeler, • Saha gözlemleri, • Yönetim raporlar› ve araﬂt›rmalar›n›n incelenmesi, • Analitik denetim prosedürleri, • Ak›ﬂ ﬂemalar›, • ‹ﬂlevsel "gözden geçirmeler" (baﬂlang›çtan sonuna kadar belirli iﬂ ve faaliyetlerin testleri), • Temel kontrol faaliyetlerinin yaz›l› hâle getirilmesi. 6. ‹ç denetçi, yönetimin risk de¤erlendirmelerinden, temel (arkaplan) bilgilerden ve anket bulgular›ndan elde edilen sonuçlar›n bir özetini haz›rlamal›d›r. Bu özet ﬂu hususlara temas etmelidir: • Önemli sorunlar ve bunlar›n daha derinli¤ine incelenmesinin sebepleri, • Anket s›ras›nda elde edilen ilgili bilgiler, • Görevin amaçlar›, prosedürleri ve bilgisayar destekli denetim teknikleri gibi özel yaklaﬂ›mlar,
264
Meslekî Uygulama Çerçevesi
• Potansiyel kilit kontrol noktalar›, kontrol zaafiyetleri ve/veya aﬂ›r› kontroller, • Zaman ve kaynak ihtiyaçlar› hakk›nda ön tahminler, • Raporlama safhalar› ve görevin tamamlanmas› için gözden geçirilen tarihler, • Gerekirse, göreve devam edilmemesinin sebepleri.
Uygulama Önerileri
265
Uygulama Önerisi 2230-1: Görev Kaynaklar›n›n Tahsisi Uluslararas› ‹ç Denetim Meslekî Uygulama Standartlar›ndan Standart 2230’un Yorumu
‹lgili Standart 2230 Görev Kaynaklar›n›n Tahsisi ‹ç denetçiler, görevin amaçlar›na ulaﬂmak için gereken kaynaklar› tespit etmelidir. Görev kadrosu, görevin niteli¤i, karmaﬂ›kl›¤›, zaman k›s›tlamalar› ve mevcut kaynaklar dikkate al›narak teﬂkil edilmelidir. Bu Uygulama Önerisinin Niteli¤i: ‹ç denetçiler, görev kaynaklar›n›n nas›l tahsis edilece¤ini belirlerken aﬂa¤›daki önerileri dikkate almal›d›r. Bu k›lavuzun bu tespitte gerekli olabilecek bütün hususlar› kapsamak gibi bir amac› yoktur; k›lavuz, sadece, dikkate al›nmas› gereken bir tavsiyeler demetinden ibarettir. Uygulama Önerilerine uymak, iste¤e ba¤l›d›r.
1. Görevi yerine getirmek için gerek duyulan kaynaklar›n tespitinde, aﬂa¤›dakilerin de¤erlendirilmesi önem taﬂ›r: • ‹htiyaç duyulan iç denetim personelinin say›s› ve deneyim düzeyi belirlenirken; görevin niteli¤i, karmaﬂ›kl›¤›, zaman k›s›tlamalar› ve mevcut kaynaklar›n durumu dikkate al›nmal›d›r. • Görev için uygun iç denetçilerin seçilmesinde, iç denetim personelinin bilgi, beceri ve di¤er kabiliyetleri dikkate al›nmal›d›r. • ‹ç denetçilerin e¤itim ihtiyaçlar› da dikkate al›nmal›d›r, çünkü her görevlendirme, iç denetim faaliyetinin geliﬂme ihtiyaçlar›n›n karﬂ›lanmas›na hizmet eder ve buna yard›mc› olur. • Ek bilgi, beceri ve di¤er kabiliyetlerin gerekti¤i durumlarda, kurum d›ﬂ› kaynaklar›n kullan›lmas› da düﬂünülmeli ve dikkate al›nmal›d›r.
Uygulama Önerileri
267
Uygulama Önerisi 2240-1: Görev Program› Uluslararas› ‹ç Denetim Meslekî Uygulama Standartlar›ndan Standart 2240’›n Yorumu
‹lgili Standart 2240 Görev ‹ﬂ Program› ‹ç denetçiler, görev amaçlar›na yönelik iﬂ programlar› haz›rlamal›d›r. Bu iﬂ programlar›, kay›tl› hâle getirilmelidir. Bu Uygulama Önerisinin Niteli¤i: ‹ç denetçiler, belirli bir görev için iﬂ program› haz›rlarken aﬂa¤›daki önerileri dikkate almal›d›r. Bu k›lavuzun bu program›n haz›rlanmas›nda gerekli olabilecek bütün hususlar› kapsamak gibi bir amac› yoktur; k›lavuz, sadece, dikkate al›nmas› gereken bir tavsiyeler demetinden ibarettir. Uygulama Önerilerine uymak, iste¤e ba¤l›d›r.
1. Kullan›lan test ve örnekleme teknikleri de dahil görev prosedürleri, mümkünse önceden seçilmeli ve geliﬂen koﬂullara göre geniﬂletilmeli veya de¤iﬂtirilmelidir. Bu konuda, 2210.A11 say›l› Uygulama Önerisinde daha ayr›nt›l› bilgi ve tavsiyeler verilmektedir. 2. Denetçinin objektifli¤inin korunmas› ve görev amaçlar›na ulaﬂ›lmas› için makul bir güvence sa¤lamak amac›yla, bilgi toplama, analiz, yorumlama ve belgelendirme süreçleri incelenmeli ve kontrol edilmelidir.
Uygulama Önerileri
269
Uygulama Önerisi 2240.A1-1: ‹ﬂ Programlar›n›n Onaylanmas› Uluslararas› ‹ç Denetim Meslekî Uygulama Standartlar›ndan Standart 2240.A1’in Yorumu
‹lgili Standart 2240.A1 ‹ﬂ programlar›, görev s›ras›nda uygulanacak bilgi toplama, analiz, de¤erlendirme ve kaydetme prosedürlerini içermeli ve göstermelidir. ‹ﬂ program›, iﬂe baﬂlanmadan önce onaylanmal›d›r; programda yap›lan de¤iﬂiklikler için de derhal onay al›nmal›d›r. Bu Uygulama Önerisinin Niteli¤i: ‹ç denetçiler, iﬂ program›n› onaylarken aﬂa¤›daki önerileri dikkate almal›d›r. Bu k›lavuzun bu onay için gerekli olabilecek bütün hususlar› kapsamak gibi bir amac› yoktur; k›lavuz, sadece, dikkate al›nmas› gereken bir tavsiyeler demetinden ibarettir. Uygulama Önerilerine uymak, iste¤e ba¤l›d›r.
1. Çal›ﬂma plan›n›n onaylanmas› sürecinde, bu planlar, görevle ilgili iﬂlere baﬂlanmadan önce, ‹ç Denetim Yöneticisi veya onun tayin etti¤i kiﬂi taraf›ndan yaz›l› olarak onaylanmal›d›r. Çal›ﬂma planlar›nda yap›lan de¤iﬂiklikler de vakit kaybetmeden onaydan geçirilmelidir. Görevle ilgili iﬂlere baﬂlamadan önce yaz›l› onay al›nmas›n› engelleyen etkenler var ise, bu onay, baﬂlang›çta, sözlü olarak da al›nabilir.
Uygulama Önerileri
271
Uygulama Önerisi 2300-1: ‹ç Denetçinin Denetiminde Kiﬂisel Bilgiler Kullanmas› Uluslararas› ‹ç Denetim Meslekî Uygulama Standartlar›ndan Standart 2300’ün Yorumu
‹lgili Standart 2300 Görevin Yap›lmas›: ‹ç denetçiler, üstlendikleri görevin hedeflerine ulaﬂmak için yeterli bilgileri belirlemeli, analiz etmeli, de¤erlendirmeli ve kaydetmelidir. Bu Uygulama Önerisinin Niteli¤i: ‹ç denetçiler, bir güvence veya dan›ﬂmanl›k görevinde kiﬂisel veri ve bilgileri kullanmay› düﬂündüklerinde aﬂa¤›daki önerileri de dikkate almal›d›r. Bu Uygulama Önerisinin, kiﬂisel bilgilerin kullan›lmas› hakk›nda tam kapsaml› bir k›lavuz olmak gibi bir amac› yoktur; sadece kiﬂisel bilgilerin ilgili denetimin yap›ld›¤› ve kurumun faaliyet yürüttü¤ü ülkede geçerli olan kanunlara ve politikalara uygun bir ﬂekilde kullan›lmas›n›n önemini hat›rlatmay› amaçlamaktad›r. Uygulama Önerilerine uymak iste¤e ba¤l›d›r.
1. Bilgi teknolojisi ve iletiﬂimdeki geliﬂmeler, mahremiyet ve gizlilik konusunda yeni risk ve tehditler yaratmaya devam ettikçe, kiﬂisel mahremiyetin ve bilgilerin korunmas›yla ilgili kayg›lar daha da belirgin, merkezî ve evrensel bir hâle gelmektedir. Mahremiyetle ilgili kontroller, dünya ülkelerinin ço¤unda iﬂ yapmak için uyulmas› gereken kanunî gerekler aras›ndad›r. 2. Kiﬂisel bilgiler, genellikle, belirli bir bireyle ilgili olan bilgiler ya da baﬂka bilgilerle ba¤lant› kurulabilecek ay›rt edici özellikleri bulunan bilgiler anlam›na gelir. Kiﬂisel bilgiler, herhangi bir ortam veya ﬂekilde kaydedilmiﬂ olsun ya da olmas›n, maddî olgularla ilgili veya öznel bilgileri içerebilir. Örne¤in, ﬂunlar kiﬂisel bilgi kapsam›nda de¤erlendirilebilir:
272
Meslekî Uygulama Çerçevesi
• ‹sim, adres, kimlik numaralar›, gelir seviyesi veya kan grubu, • De¤erlendirmeler, yorumlar, sosyal mevki, sab›ka kay›tlar› veya disiplin cezalar›, • Personel özlük dosyalar›, kredi ve borç kay›tlar›. 3. Ço¤unlukla kanunlar kurumlar›n, kiﬂisel bilgileri toplamadan önce veya toplarken kiﬂisel bilgileri hangi amaçlarla toplad›klar›n› bildirmelerini ve bu kiﬂisel bilgileri ilgili bireyin r›zas›n›n oldu¤u veya kanunlar›n emretti¤i durumlar d›ﬂ›nda, toplama amac› d›ﬂ›nda herhangi bir amaçla kullanmamalar›n› veya aç›klamamalar›n› gerektirir. 4.
‹ç denetçinin hem kendi ülkesinde hem de kurumun faaliyet yürüttü¤ü baﬂka ülkelerde kiﬂisel bilgilerin kullan›m›na iliﬂkin yürülükteki bütün kanunlar› anlamas› ve bunlara uymas› önemlidir.
5. ‹ç denetçi, belirli iç denetim görevlerinin yürütülmesinde, kiﬂisel bilgilere eriﬂmenin, onlar› alman›n, incelemenin, tahrif etmenin veya kullanman›n usulsüz ve baz› durumlarda yasa d›ﬂ› bir hareket olabilece¤ini bilmelidir. 6. ‹ç denetçinin denetim çal›ﬂmas›na baﬂlamadan önce bu konular› araﬂt›rmas› ve bu konuda herhangi bir sorusu veya endiﬂesi varsa, kurumun hukuk dan›ﬂman›ndan bilgi ve tavsiye istemesi gerekir.
Uygulama Önerileri
273
Uygulama Önerisi 2310-1: Bilgilerin Tespiti ve Tan›mlanmas› Uluslararas› ‹ç Denetim Meslekî Uygulama Standartlar›ndan Standart 2310’un Yorumu
‹lgili Standart 2310 Bilgilerin Tespiti ve Tan›mlanmas› ‹ç denetçiler, görev amaçlar›na ulaﬂmak için yeterli, güvenilir, ilgili ve faydal› olan bilgileri tespit etmeli ve tan›mlamal›d›r. Bu Uygulama Önerisinin Niteli¤i: ‹ç denetçiler, gereken bilgileri tespit ederken ve tan›mlarken aﬂa¤›daki önerileri dikkate almal›d›r. Bu k›lavuzun bu tespitte gerekli olabilecek bütün hususlar› kapsamak gibi bir amac› yoktur; k›lavuz, sadece, dikkate al›nmas› gereken bir tavsiyeler demetinden ibarettir. Uygulama Önerilerine uymak, iste¤e ba¤l›d›r.
1. Görevin amaç ve kapsam›yla ilgili bütün konularda bilgi toplanmal›d›r. ‹ç denetçiler, bilgilerin tespit, tan›mlama ve incelenmesinde analitik denetim prosedürlerini uygular. Bu prosedürler, mali ve mali olmayan bilgiler aras›ndaki iliﬂkilerin incelenmesi ve karﬂ›laﬂt›r›lmas› suretiyle uygulan›r. ‹ncelenecek olan bilgilerin niteli¤inin belirlenmesi amac›yla analitik denetim prosedürlerinin uygulanmas›; normal ﬂartlar alt›nda, bu bilgiler aras›nda süreklilik arz eden ba¤lant›lar olabilece¤i varsay›m›na dayan›r. Normal d›ﬂ› ﬂartlara örnek olarak, ola¤and›ﬂ›, tekrarlamayan iﬂlem ve olaylar; muhasebe, örgütlenme, operasyon, çevre ve teknoloji yap›s›ndaki de¤iﬂiklikler; verimsizlikler, etkinsizlikler, hatalar, usulsüzlükler, yolsuzluklar ve yasalara ayk›r› eylemler say›labilir. 2. Bilgiler, tespit ve tavsiyelere sa¤lam ve güvenilir bir dayanak oluﬂturacak seviyede yeterli, tatminkâr (güvenilir), ilgili ve faydal› olmal›d›r. Yeterli bilgi, konuya vâk›f ve tedbirli bir
274
Meslekî Uygulama Çerçevesi
insan›n da denetçiyle ayn› kanaatlere varmas›n› sa¤layacak kadar somut tesbitlere dayanan, ikna edici nitelikte bilgi anlam›na gelir. Tatminkâr (güvenilir) bilgi, uygun görev teknikleri kullan›larak elde edilebilecek en iyi ve güvenilir bilgidir. ‹lgili bilgi, tespit ve tavsiyeleri destekleyen ve amaçlarla uyumlu bilgidir. Faydal› bilgi ise, kuruma, hedeflerine ulaﬂmas›nda yard›mc› olan bilgidir.
Uygulama Önerileri
275
Uygulama Önerisi 2320-1: Analiz ve De¤erlendirme Uluslararas› ‹ç Denetim Meslekî Uygulama Standartlar›ndan Standart 2320’nin Yorumu
‹lgili Standart 2320 Analiz ve De¤erlendirme ‹ç denetçiler, vard›klar› sonuçlar› ve görev sonuçlar›n› uygun analiz ve de¤erlendirmelere dayand›rmal›d›r. Bu Uygulama Önerisinin Niteli¤i: ‹ç denetçiler, belirli bir görevle ilgili sonuçlara varmak amac›yla analiz ve de¤erlendirmeleri kullan›rken aﬂa¤›daki önerileri dikkate almal›d›r. Bu k›lavuzun söz konusu de¤erlendirme için gerekli olabilecek bütün hususlar› kapsamak gibi bir amac› yoktur; k›lavuz, sadece, dikkate al›nmas› gereken bir tavsiyeler demetinden ibarettir. Uygulama Önerilerine uymak, iste¤e ba¤l›d›r.
1. Analitik denetim prosedürleri, iç denetçilere, görev s›ras›nda toplad›klar› bilgileri verimli ve etkin bir ﬂekilde de¤erlendirme olana¤› sa¤lar. Bu de¤erlendirme, iç denetçinin belirledi¤i veya tan›mlad›¤› beklentilerle mevcut bilgilerin karﬂ›laﬂt›r›lmas› yoluyla yap›l›r. Analitik denetim prosedürleri, di¤er hususlar›n yan› s›ra aﬂa¤›dakilerin tespitinde de faydal› olur: • Beklenmedik farklar, • Beklenen farklar›n bulunmamas›, • Potansiyel hatalar, • Potansiyel usulsüzlük veya yolsuzluklar veya mevzuata ayk›r› eylemler, • Baﬂka ola¤and›ﬂ› veya tekrarlamayan iﬂlem veya olaylar. 2. Analitik denetim prosedürleri ﬂu iﬂlemleri içerebilir: • Mevcut döneme ait bilgilerin, geçmiﬂ dönemlere iliﬂkin benzer bilgilerle karﬂ›laﬂt›r›lmas›,
276
Meslekî Uygulama Çerçevesi
• Mevcut döneme iliﬂkin bilgilerin bütçelerle veya tahminlerle karﬂ›laﬂt›r›lmas›, • Mali bilgiler ile mali olmayan bilgiler aras›ndaki iliﬂkilerin incelenmesi (örne¤in, ortalama personel say›s›ndaki de¤iﬂikliklerin, personel giderleriyle k›yaslanmas›), • Bilginin unsurlar› aras›ndaki iliﬂkilerin incelenmesi (örne¤in, faiz giderlerindeki dalgalanmalar›n ilgili borç bakiyelerindeki de¤iﬂikliklerle mukayesesi), • Bilgilerin kurumun di¤er birimlerindeki benzer bilgilerle karﬂ›laﬂt›r›lmas›, • Bilgilerin kurumun faaliyet gösterdi¤i sektörle ilgili benzer bilgilerle karﬂ›laﬂt›r›lmas›. 3. Analitik denetim prosedürleri; parasal tutarlar, fiziksel miktarlar, orant›lar veya yüzdeler kullan›larak uygulanabilir. Belirli analitik denetim prosedürleri, bunlarla s›n›rl› kalmamak kayd›yla, oran, e¤ilim (trend) ve regresyon analizleri, uygunluk testleri, dönemler aras› k›yaslamalar ve bütçelerle, tahminlerle ve d›ﬂ ekonomik verilerle k›yaslamalar gibi yöntemleri içerir. Analitik denetim prosedürleri, iç denetçilere, ek görev prosedürlerini gerekli k›labilecek koﬂullar›n belirlenmesinde yard›mc› olur. Standartlar Bölüm 2200’de (Uygulama Önerisi 2210-1) aç›klanan ilkelere uygun olarak, iç denetçiler, görevi planlarken analitik denetim prosedürlerini uygulamal› ve kullanmal›d›r. 4. Analitik denetim prosedürleri, görev sonuçlar›n› destekleyen bilgilerin incelenmesi ve de¤erlendirilmesi amac›yla görev s›ras›nda da kullan›lmal›d›r. ‹ç denetçiler, analitik denetim prosedürlerinin ne oranda kullan›lmas› gerekti¤ini tespit etmek için, aﬂa¤›da say›lan etkenleri dikkate almal›d›r. Bunlar› inceleyip de¤erlendirdikten sonra, iç denetçiler, görev amaçlar›na ulaﬂmak için gereken ek denetim prosedürlerini de düﬂünmeli ve kullanmal›d›r.
Uygulama Önerileri
277
• ‹ncelenen alan›n önem derecesi, • Denetlenen alandaki risk yönetiminin etkinli¤inin ve riskin de¤erlendirilmesi • ‹ç kontrol sisteminin yeterlili¤i, • Mali ve mali olmayan bilgilerin varl›¤› ve güvenilirli¤i, • Analitik denetim prosedürlerinin sonuçlar›n›n tahmin edilebilirlik derecesi, • Kurumun faaliyet gösterdi¤i sektörle ilgili bilgilerin varl›¤› ve karﬂ›laﬂt›r›labilirli¤i, • Baﬂka görev prosedürlerin görev sonuçlar›na ne nisbette katk›da bulunabilece¤i. 5. Analitik denetim prosedürleri beklenmedik sonuçlar veya iliﬂkiler gösterdi¤i takdirde, iç denetçiler bunlar› incelemeli ve de¤erlendirmelidir. Bu inceleme ve de¤erlendirme sürecinde, iç denetçiler, sonuçlar›n ve iliﬂkilerin yeterince aç›kland›¤›na kanaat getirene kadar, yönetimle mülâkatlara ve baﬂka prosedürlerin uygulanmas›na devam etmelidir. Aç›klanamayan sonuç veya iliﬂkiler, bir potansiyel hata, usulsüzlük, yolsuzluk veya mevzuata ayk›r›l›k gibi önemli bir durumun iﬂareti olabilir. Yeterince aç›klanamayan sonuç veya iliﬂkiler, uygun yönetim kademelerine rapor edilmelidir. ‹ç denetçiler, bu durumlarda, mevcut koﬂullara uygun eylem ve önlemler tavsiye edebilir.
Uygulama Önerileri
279
Uygulama Önerisi 2330-1: Bilgilerin Kaydedilmesi Uluslararas› ‹ç Denetim Meslekî Uygulama Standartlar›ndan Standart 2330’un Yorumu
‹lgili Standart 2330 Bilgilerin Kaydedilmesi ‹ç denetçiler, vard›klar› kanaatlere ve görev sonuçlar›na dayanak teﬂkil eden bütün bilgileri kaydetmelidir. Bu Uygulama Önerisinin Niteli¤i: ‹ç denetçiler, belirli bir görevle ilgili bilgileri kaydederken aﬂa¤›daki önerileri dikkate almal›d›r. Bu k›lavuzun buna yönelik bütün hususlar› kapsamak gibi bir amac› yoktur; k›lavuz, sadece, dikkate al›nmas› gereken bir tavsiyeler demetinden ibarettir. Uygulama Önerilerine uymak, iste¤e ba¤l›d›r.
1. Görevle ilgili kay›tlar› içeren çal›ﬂma k⤛tlar›, iç denetçi taraf›ndan haz›rlanmal› ve iç denetim faaliyetinin yönetimi taraf›ndan gözden geçirilmelidir. Çal›ﬂma k⤛tlar›nda toplanan bilgiler ve yap›lan analizler kaydedilmeli ve rapor edilecek tespit ve tavsiyelerin dayand›¤› temellere destek olmal›d›r. Görevle ilgili çal›ﬂma k⤛tlar›, genel olarak; • göreve iliﬂkin raporlamalar›n temel deste¤ini oluﬂturur, • görevlerin planlanmas›, uygulanmas› ve gözden geçirilmesine yard›mc› olur, • görev amaçlar›na ulaﬂ›l›p ulaﬂ›lmad›¤›n› gösterir, • üçüncü ﬂah›slar›n incelemelerini kolaylaﬂt›r›r, • iç denetim faaliyetinin kalite program›n›n incelenmesi ve de¤erlendirilmesine temel oluﬂturur, • sigorta tazminat talepleri, suiistimal iddialar› ve davalar gibi durumlarda destek olur,
280
Meslekî Uygulama Çerçevesi
• iç denetim personelinin meslekî geliﬂimine yard›mc› olur, • iç denetim faaliyetinin Uluslararas› ‹ç Denetim Meslekî Uygulama Standartlar›na uyup uymad›¤›n› gösterir. 2. Görev çal›ﬂma k⤛tlar›n›n düzeni, tasar›m› ve içeri¤i, görevin niteli¤ine ba¤l›d›r. Denetimle ilgili çal›ﬂma k⤛tlar›nda, görev sürecinin aﬂa¤›daki safhalar› yer almal›d›r: • Planlama, • ‹ç kontrol sisteminin uygunlu¤u, yeterlili¤i ve verimlili¤inin incelenmesi ve de¤erlendirilmesi, • Uygulanan prosedürler, toplanan bilgiler ve var›lan sonuçlar, • Gözden geçirme, • Raporlama, • Takip. 3. Çal›ﬂma k⤛tlar› tam ve eksiksiz olmal› ve var›lan sonuçlar› destekler mahiyette olmal›d›r. Çal›ﬂma k⤛tlar›, di¤er ﬂeylerin yan› s›ra, ﬂu bilgi ve belgeleri içermelidir: • Planlama belgeleri ve görev programlar›, • Kontrol soru formlar›, ak›ﬂ ﬂemalar›, kontrol listeleri ve rapor formlar›, • Görüﬂmelerde tutulan notlar ve tutanaklar, • Örgütlenme ﬂemalar› ve iﬂ tan›mlar› gibi kuruma ait veriler, • Önemli sözleﬂme ve anlaﬂmalar›n suretleri, • Operasyonel ve mali politikalar hakk›nda bilgiler, • Kontrol de¤erlendirmelerinin sonuçlar›, • Teyit ve temsil mektuplar›, • ‹ﬂlemler, süreçler ve hesap bakiyeleri hakk›nda test ve analizler, • Analitik denetim prosedürlerinin sonuçlar›,
Uygulama Önerileri
281
• Görev hakk›nda nihaî raporlamalar ve yönetimin bunlar karﬂ›s›ndaki kararlar›, • Var›lan sonuçlar› tevsik eden görevle ilgili yaz›ﬂmalar. 4. Çal›ﬂma k⤛tlar› k⤛t, bant, disk, disket, film veya baﬂka ortamlarda olabilir. Çal›ﬂma k⤛tlar› k⤛t d›ﬂ›ndaki bir ortamda kay›tl›ysa, bunlar›n yedek kopyalar›n›n al›nmas›na dikkat edilmelidir. 5. ‹ç denetçiler mali bilgiler hakk›nda raporlama yap›yorsa, çal›ﬂma k⤛tlar› muhasebe kay›tlar›n›n bu mali bilgilerle uyumlu olup olmad›¤›n› ve gerekli hesap mutabakat›n›n yap›l›p yap›lmad›¤›n› göstermelidir. 6. Uygulanan çeﬂitli görev türlerine göre çal›ﬂma k⤛d› politikalar›, ‹ç Denetim Yöneticisi taraf›ndan belirlenmelidir. Soru formlar› ve denetim programlar› gibi standart görev çal›ﬂma k⤛tlar›, bir görevin etkinli¤ini art›rabilir ve görevle ilgili iﬂlerin baﬂkalar›na havale edilmesini kolaylaﬂt›rabilir. Baz› çal›ﬂma k⤛tlar›, ‘sürekli’ veya ‘ileride de kullan›lacak’ görev dosyalar› olarak s›n›fland›r›labilir. Bu dosyalar, genellikle, önemini her zaman koruyan bilgileri içerir. 7. Tipik çal›ﬂma aç›klanmaktad›r:
k⤛d›
haz›rlama
teknikleri
aﬂa¤›da
• Her çal›ﬂma k⤛d›nda görevin ad› belirtilmeli ve çal›ﬂma k⤛d›n›n içeri¤i veya amac› aç›klanmal›d›r. • Her çal›ﬂma k⤛d›, iﬂi yapan iç denetçi taraf›ndan imzalanmal› (veya paraflanmal›) ve üzerine tarih at›lmal›d›r. • Her çal›ﬂma k⤛d›, bir dizin veya referans numaras› içermelidir. • Denetim do¤rulama sembolleri (iﬂaretler) aç›klanmal›d›r. • Veri kaynaklar› aç›kça beliritilmelidir.
Uygulama Önerileri
283
Uygulama Önerisi 2330.A1-1: Görev Kay›tlar›n›n Kontrolü Uluslararas› ‹ç Denetim Meslekî Uygulama Standartlar›ndan Standart 2330.A1’in Yorumu
‹lgili Standart 2330.A1 ‹ç Denetim Yöneticisi, görev kay›tlar›na eriﬂimi kontrol etmelidir. ‹ç Denetim Yöneticisi, gerekti¤inde, bu kay›tlar› kurum d›ﬂ› taraflara vermeden önce, üst yönetimin ve/veya hukuk dan›ﬂman›n›n onay›n› almal›d›r. Bu Uygulama Önerisinin Niteli¤i: ‹ç denetçiler, görev kay›tlar›n›n kontrolüyle ilgili olarak aﬂa¤›daki önerileri dikkate almal›d›r. Bu k›lavuzun bu kontrol için gerekli olabilecek bütün hususlar› kapsamak gibi bir amac› yoktur; k›lavuz, sadece, dikkate al›nmas› gereken bir tavsiyeler demetinden ibarettir. Uygulama Önerilerine uymak, iste¤e ba¤l›d›r.
1. Görev çal›ﬂma k⤛tlar›, kurumun mülkiyetindedir. Çal›ﬂma k⤛tlar›n› içeren dosyalar, genellikle, iç denetim faaliyetinin kontrolünde kalmal› ve sadece yetkili kiﬂilerin eriﬂimine aç›k olmal›d›r. 2. Kurumun yönetimi ve di¤er elemanlar› da çal›ﬂma k⤛tlar›na eriﬂim hakk› talep edebilir. Bu eriﬂim, tespit ve tavsiyeleri kan›tlamak veya aç›klamak için ya da görev evrak›n› iﬂle ilgili baﬂka amaçlarla kullanmak için gerekli olabilir. Bu eriﬂim talepleri, ‹ç Denetim Yöneticisinin onay›na tâbi olmal›d›r. 3. ‹ç ve d›ﬂ denetçiler, genellikle ve yayg›n olarak, birbirlerine, denetim çal›ﬂma k⤛tlar›na eriﬂim imkân› tan›r. D›ﬂ denetçilerin çal›ﬂma k⤛tlar›na eriﬂimi ‹ç Denetim Yöneticisinin onay›na tâbi olmal›d›r. 4. D›ﬂ denetçilerden baﬂka, kurum d›ﬂ›ndan taraflar›n da denetim çal›ﬂma k⤛tlar›na ve raporlara eriﬂim talebinde bulunmas› mümkündür. Bu durumda, belgeler d›ﬂar› verilmeden önce, ‹ç Denetim Yöneticisi, üst yönetimin ve/veya hukuk dan›ﬂman›n›n onay›n› almal›d›r.
Uygulama Önerileri
285
Uygulama Önerisi 2330.A1-2: Görev Kay›tlar›na Eriﬂim Hakk› Verilmesine Dair Hukukî Mülâhazalar Uluslararas› ‹ç Denetim Meslekî Uygulama Standartlar›ndan Standart 2330.A1’in Yorumu
‹lgili Standart 2330.A1 ‹ç Denetim Yöneticisi, görev kay›tlar›na eriﬂimi kontrol etmelidir. ‹ç Denetim Yöneticisi, gerekti¤inde, bu kay›tlar› kurum d›ﬂ› taraflara vermeden önce, üst yönetimin ve/veya hukuk dan›ﬂman›n›n onay›n› almal›d›r. Bu Uygulama Önerisinin Niteli¤i: ‹ç denetçiler, iç denetim faaliyeti d›ﬂ›ndan kiﬂilerin görev kay›tlar›na eriﬂmesine izin verirken aﬂa¤›daki önerileri dikkate almal›d›r. Bu k›lavuzun bu ba¤lamda ifade edilebilecek bütün hususlar› kapsamak gibi bir amac› yoktur. Uygulama Önerilerine uymak iste¤e ba¤l›d›r. Dikkat: ‹ç denetçilerin hukukî sorunlarla ilgili tüm konularda hukuk dan›ﬂman›na dan›ﬂmas› tavsiye edilir; çünkü eriﬂim koﬂullar›, farkl› ülkelerde önemli farkl›l›klar arz edebilir. Bu Uygulama Önerisindeki tavsiyeler, temel olarak Amerika Birleﬂik Devletleri’nin hukuk sistemine dayanmaktad›r.
1. ‹ç denetim görev kay›tlar›; bunlar›n hangi ortamda tutuldu¤una ve sakland›¤›na bak›lmaks›z›n, raporlar›, rapor eklerini, inceleme notlar›n› ve yaz›ﬂmalar› içerir. Görev kay›tlar›, denetim hizmetlerinin verildi¤i yönetim ve yönetiﬂim birimlerinin de deste¤iyle, iç denetçiler taraf›ndan tutulur ve haz›rlan›r. Görev kay›tlar›, genellikle, içeriklerinin gizli oldu¤u ve bu kay›tlar›n hem tesbitleri hem de kanaatleri içerebilece¤i varsay›m›yla haz›rlan›r. Ancak, kuruma veya iç denetim sürecine âﬂinâ olmayan kiﬂiler, bu tesbit ve kanaatleri yanl›ﬂ anlayabilir. Kurum d›ﬂ›ndan kiﬂilerin görev kay›tlar›na eriﬂimi; ceza kovuﬂturmalar›, hukuk davalar›, vergi denetimleri, idarî
286
Meslekî Uygulama Çerçevesi
inceleme ve soruﬂturmalar, devletin sözleﬂme incelemeleri ve özerk kuruluﬂlar›n yapt›¤› incelemeler gibi çeﬂitli farkl› iﬂlemlerde de istenmektedir. Avukat-müvekkil iliﬂkisinin gizlili¤i ilkesi ihlâl edilmedi¤i müddetçe bütün kurum kay›tlar›na, ceza kovuﬂturmalar› ve davalar›nda eriﬂilebilir. Ceza kovuﬂturmalar› ve davalar› d›ﬂ›ndaki iﬂlemlerde bu eriﬂim konusu o kadar aç›k olmay›p kurumun tâbi oldu¤u mevzuata göre de¤iﬂir. 2. ‹ç denetim faaliyetinin aﬂa¤›daki düzenlemelerine iliﬂkin ﬂeffaf ve kolay anlaﬂ›l›r uygulamalar, kay›tlara eriﬂim kontrolünü kuvvetlendirebilir. Bu öneriler, aﬂa¤›daki paragraflarda tart›ﬂ›lmaktad›r: • Yönetmelik • ‹ﬂ tan›mlar› • Kurum içi birimlere iliﬂkin politikalar • Hukuk dan›ﬂman›yla birlikte yürütülen soruﬂturmalara iliﬂkin prosedürler 3. Kuruma ait tüm kay›tlar›n, bilgilerin eriﬂimi ve kontrolü meselesi, kay›tlar›n hangi ortamda sakland›¤›na bak›lmaks›z›n, iç denetim yönetmeli¤inde düzenlenmelidir. 4. ‹ç denetim faaliyetinde, iﬂler, çeﬂitli ve karmaﬂ›k görevlere de aç›kl›k getirecek ﬂekilde, yaz›l› olarak tan›mlanmal›d›r. Bu tan›mlar, iç denetçilerin görev kay›tlar›na eriﬂimini kolaylaﬂt›rabilir; ayr›ca iç denetçilerin yapt›klar› iﬂin kapsam›n› anlamalar›na; kurum d›ﬂ› kiﬂilerin ise iç denetçilerin vazifelerini kavramalar›na yard›mc› olur. 5. ‹ç denetim biriminin çal›ﬂmalar›n› düzenleyen birim içi politikalar haz›rlanmal›d›r. Bu yaz›l› uygulamalar, di¤er konular›n yan› s›ra, görev kay›tlar›na nelerin dahil edilece¤i, kay›tlar›n saklanma süresini, kurum d›ﬂ›ndan gelen kay›tlara eriﬂim taleplerinin de¤erlendirme usulünü, ve hukuk dan›ﬂman› ile yürütülen soruﬂturmalarda takip edilecek yöntemleri kapsamal›d›r. Bunlar aﬂa¤›da tart›ﬂ›lmaktad›r.
Uygulama Önerileri
287
6. Politikalarda görev kay›tlar›n›n içeri¤i, format› ve iç denetçilerin kendi inceleme notlar›n›n ak›beti (di¤er bir deyiﬂle, notlar›n, ortaya ç›km›ﬂ ve halledilmiﬂ bir meselenin kayd› olarak saklanmas›n›n m›, yoksa üçüncü ﬂah›slar›n kay›tlara eriﬂiminin engellenmesini teminen imhas›n›n m› uygun olaca¤›) aç›kça ifade edilmelidir. Politikalarda, ayr›ca, görev kay›tlar›n›n ne kadar süreyle tutulaca¤› ve saklanaca¤› da gösterilmelidir. Bu süre s›n›rlamalar›, hem kurumun ihtiyaçlar›na hem de kanun hükümlerine göre tespit edilir. (Bu konuda da hukuk dan›ﬂman›yla istiﬂare edilmesi önemlidir.) 7. Birim politikalar›nda, birim kay›tlar›n›n kontrol ve güvenli¤inden kurum içinde kimin sorumlu oldu¤u, kime görev kay›tlar›na eriﬂim izni verilebilece¤i ve eriﬂim taleplerinde izlenmesi gereken usul aç›klanmal›d›r. Bu politikalar, kurumun faaliyet gösterdi¤i sektör veya ülkedeki genel uygulamalara ve kurumun tâbi oldu¤u mevzuata ba¤l› olabilir. ‹ç Denetim Yöneticisi ve iç denetimde görevli di¤er kiﬂiler, sektördeki uygulama de¤iﬂikliklerine ve hukukî emsal teﬂkil eden yeni geliﬂmelere karﬂ› müteyakk›z olmal›d›r. Bu kiﬂiler, bir gün çal›ﬂma kay›tlar›na kimin eriﬂim talebinde bulunabilece¤ini tahmin edebilmelidir. 8. Görev kay›tlar›na eriﬂim hakk›n›n verilmesine iliﬂkin bir politika, aﬂa¤›da say›lan konulara da temas etmelidir: • Eriﬂim sorunlar› ve ihtilâflar›n›n çözümlenme süreci, • her türlü çal›ﬂma belgelerinin saklanma süreleri, • ‹ç denetim personelinin çal›ﬂma belgelerine eriﬂim riskleri ve sorunlar› konusunda meslekî aç›dan yetiﬂtirilmesi ve sürekli bir e¤itime tâbi tutulmas› süreci • Gelecekte kimlerin çal›ﬂma belgelerine eriﬂim talebinde bulunabilece¤ini belirlemek amac›yla sektörde dönemsel incelemeler yapmak gerekti¤i. 9. Bir politika, iç denetçiye, bir denetimin ne zaman bir soruﬂturmay› gerektirdi¤ini, yani bir denetimin ne zaman bir
288
Meslekî Uygulama Çerçevesi
avukatla yürütülmesi gereken bir soruﬂturma haline geldi¤ini ve hukuk dan›ﬂman›yla iletiﬂimlerde hangi özel prosedürlerin uygulanmas› gerekti¤ini tespit etmesinde yol göstermelidir. Politika, avukat görevlendirme mektubunun, avukata verilecek bilgilerin gizlili¤inin korunmas›n› temin edecek ﬂekilde düzenlenmesini de kapsamal›d›r. 10. ‹ç denetçiler, ayr›ca, denetim ve yönetim kurulu üyelerini ve yönetimi, görev kay›tlar›na eriﬂimin riskleri hakk›nda e¤itmeli ve bilgilendirmelidir. Kimlerin görev kay›tlar›na eriﬂimine izin verilebilece¤ine, bu taleplerin nas›l iﬂleme konulaca¤›na ve denetimin soruﬂturma aç›lmas›n› gerektirdi¤inde hangi prosedürlerin uygulanmas› gerekti¤ine iliﬂkin politikalar, yönetim kurulunun denetim komitesi (veya dengi bir yönetim birimi) taraf›ndan incelenmelidir. Bu konuya özel politikalar, kurumun niteli¤ine ve kanunlarla belirlenmiﬂ eriﬂim imtiyazlar›na ve haklar›na ba¤l› olarak, farkl›l›k gösterir. 11. Kurum d›ﬂ›na bir aç›klama yapmak gerekti¤inde, görev kay›tlar›n›n dikkatle haz›rlanmas› önemlidir. Bu yap›l›rken, ﬂu kurallara uyulmal›d›r: • Sadece istenen belgeler aç›klanmal› veya verilmelidir. ‹çinde kanaat ve tavsiyeler bulunan görev kay›tlar› genellikle yay›nlanmaz ve verilmez. Avukatlar›n düﬂündü¤ü süreçleri veya stratejileri aç›klayan belgeler genellikle gizlidir ve zorunlu aç›klamaya tâbi tutulamaz. • Tüm belgelerin, özellikle kurﬂun kalemle yaz›lm›ﬂlar›n, orijinalleri saklanmal› ve sadece suretleri verilmelidir. Mahkeme bu belgelerin orijinalini isterse, iç denetim birimi belgenin bir suretini elinde tutmal›d›r. • Her belgeye gizli damgas› bas›lmal› ve baﬂka kiﬂilere izinsiz verilmesinin ve da¤›t›lmas›n›n yasak oldu¤unu belirten bir not eklenmelidir.
Uygulama Önerileri
289
Uygulama Önerisi 2330.A2-1: Kay›tlar›n Saklanmas› Uluslararas› ‹ç Denetim Meslekî Uygulama Standartlar›ndan Standart 2330.A2’nin Yorumu
‹lgili Standart 2330.A2 ‹ç Denetim Yöneticisi, görev kay›tlar›n›n saklanmas›na iliﬂkin esaslar› belirlemelidir. Bu esaslar, kurumun temel ilkelerine ve ilgili mevzuata uygun olmal›d›r. Bu Uygulama Önerisinin Niteli¤i: ‹ç denetçiler, kay›t saklama esaslar›n› belirlerken aﬂa¤›daki önerileri dikkate almal›d›r. Bu k›lavuzun bu esaslar belirlenirken dikkate al›nmas› gereken bütün hususlar› kapsamak gibi bir amac› yoktur; k›lavuz, sadece, dikkate al›nmas› gereken bir tavsiyeler demetinden ibarettir. Uygulama Önerilerine uymak iste¤e ba¤l›d›r.
1. Kay›t saklama esaslar›, kay›tlar›n hangi formatta tutuldu¤una ve sakland›¤›na bak›lmaks›z›n, bütün görev kay›tlar›n› kapsayacak ﬂekilde düzenlenmelidir.
Uygulama Önerileri
291
Uygulama Önerisi 2340-1: Görevin Gözetim ve Kontrolü Uluslararas› ‹ç Denetim Meslekî Uygulama Standartlar›ndan Standart 2340’›n Yorumu
‹lgili Standart 2340 Görevin Gözetim ve Kontrolü Görevler; görev amaçlar›na ulaﬂ›lmas›n›, kalitenin güvence alt›na al›nmas›n› ve personelin geliﬂtirilmesini sa¤layacak bir tarzda gözetlenmeli ve kontrol edilmelidir. Bu Uygulama Önerisinin Niteli¤i: ‹ç denetçiler, iç denetim görevinin gözetim ve kontrolünü yaparken aﬂa¤›daki önerileri dikkate almal›d›r. Bu k›lavuzun bu yönde dikkate al›nmas› gereken bütün hususlar› kapsamak gibi bir amac› yoktur; k›lavuz, sadece, dikkate al›nmas› gereken bir tavsiyeler demetinden ibarettir. Uygulama Önerilerine uymak iste¤e ba¤l›d›r.
1. ‹ç denetim görevlerinin uygun ve yeterli bir ﬂekilde gözetim ve kontrolünün yap›lmas›ndan ‹ç Denetim Yöneticisi sorumludur. Planlama ile baﬂlayan bu süreç, inceleme, de¤erlendirme, raporlama ve takip safhalar›yla devam eder. Gözetim ve kontrol ﬂunlar› içine al›r: • ‹ç denetçilerin gerekli bilgilere, becerilere ve di¤er kabiliyetlere sahip olmas›n› sa¤lamak, • Planlama safhas›nda gerekli talimatlar› vermek ve görev program›n› onaylamak, • Gereklili¤i kan›tlanm›ﬂ ve izni al›nm›ﬂ de¤iﬂiklikler söz konusu olmad›kça, görev program›n›n onayland›¤› hâliyle uygulan›p uygulanmad›¤›n› gözetlemek ve kontrol etmek, • Görev çal›ﬂma k⤛tlar›n›n tespitleri, sonuçlar› ve tavsiyeleri yeterince destekleyip desteklemedi¤ini de¤erlendirmek, • Raporlamalar›n aç›k, do¤ru, objektif, özlü ve yap›c› olmas›n› ve zaman›nda yap›lmas›n› sa¤lamak,
292
Meslekî Uygulama Çerçevesi
• Görev amaçlar›na ulaﬂ›lmas›n› sa¤lamak • ‹ç denetçilerin bilgi, beceri ve di¤er kabiliyetlerini geliﬂtirmeleri için uygun imkânlar yaratmak. 2. Gözetim ve kontrole iliﬂkin uygun belge ve bulgular yaz›l› hâle getirilmeli ve saklanmal›d›r. Gereken denetim kapsam›, iç denetçilerin yeterlili¤ine, deneyimine ve görevin karmaﬂ›kl›kl›¤›na ba¤l›d›r. Gözetim ve kontrolün tüm sorumlulu¤u, ‹ç Denetim Yöneticisine aittir; fakat ‹ç Denetim Yöneticisi bu iﬂ için, iç denetim bölümünden yeterli tecrübeye sahip kiﬂileri de görevlendirebilir. Daha az deneyimli iç denetçilerin iﬂlerinin gözden geçirmek için, yeterli tecrübeye sahip iç denetçiler kullan›labilir. 3. ‹ç denetim birimi taraf›ndan veya iç denetim birimi ad›na yap›ld›¤›na bak›lmaks›z›n bütün iç denetim görevlerinden ‹ç Denetim Yöneticisi sorumludur. ‹ç Denetim Yöneticisi, görevin planlama, inceleme, de¤erlendirme, raporlama ve takip aﬂamalar›nda al›nan bütün önemli kararlardan sorumludur. ‹ç Denetim Yöneticisi, bu sorumlulu¤unun gere¤ini yerine getirmek için uygun araç ve yollar geliﬂtirmelidir. Araç ve yollar terimi, aﬂa¤›daki amaçlarla haz›rlanm›ﬂ politika ve prosedürleri kapsar: • ‹ç denetçilerin veya iç denetim birimi ad›na çal›ﬂan baﬂka kiﬂilerin ald›¤› kararlar›n, ‹ç Denetim Yöneticisinin kararlar›na, görevi olumsuz etkiyebilecek kadar, ayk›r› olmas› riskini asgarî düzeye indirmek • Görevle ilgili önemli konularda, ‹ç Denetim Yöneticisi ile iç denetim personelinin kararlar› aras›ndaki farklar› gidermek. Bu yol ve araçlardan baz›lar› ﬂunlar olabilir: (a) tesbit ve bulgular›n tart›ﬂ›lmas›, (b) ek araﬂt›rma ve/veya inceleme yap›lmas›, (c) çal›ﬂma k⤛tlar›ndaki farkl› görüﬂlerin kaydedilmesi ve farkl›l›klar›n uzlaﬂt›r›lmas›. Etik bir meselede fikir ayr›l›¤› olmas› hâlinde, konunun kurumdaki etik görevlilerine götürülmesi de ‘uygun araç ve yollar’ terimi içinde de¤erlendirilebilir.
Uygulama Önerileri
293
4. Gözetim ve kontrol sürecine, personelin e¤itim ve geliﬂim çal›ﬂmalar›, personel performans de¤erlendirmeleri, zaman ve maliyet kontrolleri ve benzeri baﬂka idarî iﬂler de dahildir. Bütün görev çal›ﬂma k⤛tlar›, raporlamalar› destekleyip desteklemediklerini ve gereken bütün denetim prosedürlerinin uygulan›p uygulanmad›¤›n› tespit etmek amac›yla, gözden geçirilmelidir. Bu iﬂlemin yap›ld›¤›n›n teyidi için, k⤛tlar›n inceleyen kiﬂi taraf›ndan paraflanmas› ve üzerlerine tarih at›lmas› da gereklidir. Gözetim ve kontrolün yap›ld›¤›n› teyide yarayan di¤er teknikler aras›nda, gözden geçirme kontrol listesi kullan›lmas›; gözden geçirmenin niteli¤i, kapsam› ve sonuçlar›n› gösteren bir not haz›rlanmas›, ve/veya elektronik çal›ﬂma ka¤›d› yaz›l›mlar›nda, de¤erlendirme ve onaya yer verilmesi say›labilir. 5. Tüm görev çal›ﬂma k⤛tlar›, yap›lan raporlamalar› gerekti¤i ﬂekilde desteklediklerinden ve gerekli tüm denetim prosedürlerinin yerine getirildi¤inden emin olunacak ﬂekilde gözden geçirilmelidir. Gözden geçirmenin yap›ld›¤›na dair kan›tlar, gözden geçirenin her gözden geçirmeden sonra att›¤› paraf› ve tarihi de içermelidir. Bu yönde kan›t sa¤layacak di¤er teknikler aras›nda, görev çal›ﬂma k⤛d› gözden geçirme kontrol listesinin kullan›lmas›, gözden geçirmenin nitelik, kapsam ve sonuçlar›n› gösteren bir tutanak düzenlenmesi ve/veya elektronik çal›ﬂma k⤛d› yaz›l›m› içinde bir de¤erlendirme ve kabul yöntemi de say›labilir. 6. Gözden geçirme yapanlar, gözden geçirme sürecinde ortaya ç›kan sorular hakk›nda yaz›l› bir kay›t gözden geçirme notlar›) oluﬂturabilir. Gözden geçirme notlar› düzenlenirken, çal›ﬂma k⤛tlar›nda gözden geçirme s›ras›nda ortaya ç›kan sorular›n cevapland›¤›n› tevsikeden yeterli kan›t oldu¤undan emin olmak gerekir. Gözden geçirme notlar›n›n kullan›lmas›yla ilgili kabul edilebilir seçenekler ﬂunlard›r:
294
Meslekî Uygulama Çerçevesi
• Gözden geçirme notlar›n›n, gözden geçirmeyi yapan kiﬂinin sordu¤u sorular›n ve ald›¤› yan›tlar›n bir kayd› olarak saklanmas› • Sorulan soru yan›tland›ktan ve ilgili çal›ﬂma k⤛tlar› istenen ek bilgileri de içerecek ﬂekilde de¤iﬂtirildikten sonra, gözden geçirme notlar›n›n at›lmas›.
Uygulama Önerileri
295
Uygulama Önerisi 2400-1: Sonuçlar›n Raporlanmas›na Dair Hukukî Mülâhazalar Uluslararas› ‹ç Denetim Meslekî Uygulama Standartlar›ndan Standart 2400’ün Yorumu
‹lgili Standart 2400 Sonuçlar›n Raporlanmas› ‹ç denetçilerin görev sonuçlar›n› raporlamas› gerekir. Bu Uygulama Önerisinin Niteli¤i: ‹ç denetçiler, denetim sonuçlar›n› raporlarkenr aﬂa¤›daki önerileri dikkate almal›d›r. Bu k›lavuzun sonuçlar›n raporlanmas›nda dikkate al›nmas› gereken bütün hususlar› kapsamak gibi bir amac› yoktur. Uygulama Önerilerine uymak iste¤e ba¤l›d›r. Dikkat: ‹ç denetçilerin hukukî sorunlarla ilgili tüm konularda hukuk dan›ﬂman›na dan›ﬂmas› tavsiye edilir; çünkü konuyla ilgili koﬂullar ülkeler aras›nda önemli farkl›l›klar arz edebilir. Bu Uygulama Önerisindeki tavsiyeler, temel olarak Amerika Birleﬂik Devletleri’nin hukuk sistemine dayanmaktad›r.
1. ‹ç denetçiler, mevzuat ihlâlleriyle ve baﬂka hukukî sorunlarla ilgili denetim raporlar›nda ve çal›ﬂma k⤛tlar›nda sonuçlar› aç›klarken ve fikir beyan ederken dikkatli olmal›d›r. Bu konular› düzenleyen yerleﬂik politika ve prosedürlerin bulunmas› ve ilgili baﬂka bölümlerle (hukuk dan›ﬂman›, mevzuata uyum, vb.) yak›n bir çal›ﬂma iliﬂkisinin kurulmas› ﬂiddetle tavsiye ve teﬂvik edilir. 2. ‹ç denetçilerin delil toplamalar›, analitik kararlar almalar›, sonuçlar› rapor etmeleri ve gereken düzeltici tedbirlerin al›nmas›n› sa¤lamalar› gerekir. ‹ç denetçinin görev kay›tlar›n› kaydetmesi ve belgelendirmesi koﬂulu, hukuk dan›ﬂman›n›n savunmaya zarar verebilecek kan›t b›rakmama iste¤iyle çeliﬂebilir. Örne¤in, bir iç denetçi bir inceleme ve soruﬂturmay› gerekti¤i gibi yapsa bile, ortaya ç›kan olaylar, kurumun hukuk
296
Meslekî Uygulama Çerçevesi
dan›ﬂman›n›n iddialar› ve savunmalar›na zarar verebilir. Aniden yap›lan bir aç›klaman›n hukuk dan›ﬂman›n›n ve iç denetçinin birbirleriyle çeliﬂmesine yol açmas›n› önlemek için uygun planlama ve politikalar ﬂartt›r. Bu politikalar, rol tan›mlar›n› ve raporlama yöntemlerini içermelidir. ‹ç denetçi ve kurumun hukuk dan›ﬂman›, kurum yönetimini, belirlenmiﬂ politikalar konusunda e¤iterek ve bu konuda hassas davranmalar›n› sa¤layarak, tüm kurum içinde etik ve önleyici bir bak›ﬂ aç›s›n› da teﬂvik etmelidir. ‹ç denetçiler, özellikle görev sonuçlar›n›n kurum d›ﬂ›ndan kiﬂilere aç›klanmas› veya raporlanmas›n› gerektirebilecek görevlerde aﬂa¤›dakileri dikkate almal›d›r: 3. Avukat-müvekkil iliﬂkisinin gizlili¤inin korunabilmesi için gerekli dört unsur vard›r. Bunun için, • Müvekkil için hukukî yard›m istemek, almak veya vermek amac›yla • "bu imtiyaza sahip kiﬂiler" aras›nda, • gizlilik içinde yap›lan • bir iletiﬂim söz konusu olmal›d›r. Esas olarak avukatlarla yap›lan iletiﬂim ve görüﬂmelerin gizlili¤ini korumak amac›n› güden bu imtiyaz, avukatla birlikte çal›ﬂan üçüncü kiﬂilerle yap›lan iletiﬂim ve görüﬂmelere de uygulanabilir. 4. Baz› mahkemeler, denetim çal›ﬂmalar› s›ras›nda oluﬂan belgeler gibi özeleﬂtiri (kurum içine özel kendini de¤erlendirme) malzemelerini, d›ﬂar›ya aç›klanmaya karﬂ›, koruyan bir ‘özeleﬂtiri imtiyaz›’ tan›maktad›r. Genellikle, bu imtiyaz›n alt›nda yatan mant›k, dava konusu örneklerde, yap›lan denetimin gizlili¤inin korunmas›n›n sa¤layaca¤› faydan›n, söz konusu bilgilerin aç›klanmas›yla temin edilecek kamu yarar›ndan daha fazla oldu¤udur. Bir mahkemenin bu konuda yapt›¤› aç›klama ﬂöyledir:
Uygulama Önerileri
297
"Özeleﬂtiriye yönelik analizlere tan›nan gizlilik imtiyaz›, bu nitelikteki de¤erlendirmelerin d›ﬂar›ya aç›klanmas›n› engelleyen bir ‘ﬂartl› imtiyaz’ olarak kabul edilmiﬂtir. Bu imtiyaz, kiﬂilerin veya iﬂletmelerin, ileride aç›labilecek davalarda has›mlar›nca aleyhlerine kullanabilecek bir delili kendi elleriyle yaratma korkusu olmadan, mevzuata uyup uymad›klar›n› samimi bir ﬂekilde de¤erlendirmesini mümkün k›lmaktad›r. Bu doktrinin gerekçesi, bu tür özeleﬂtiri niteli¤indeki de¤erlendirmelerin, kurumlar›n hukuku gözetme e¤ilimini güçlendirmesi ve bunun da son tahlilde kamu menfaatine bir durum oldu¤u düﬂüncesidir." 5. Genel olarak, bu ﬂartl› gizlilik imtiyaz›ndan istifade edebilmek için üç hususun yerine getirilmiﬂ olmas› gerekir: • Bilgiler, imtiyaz talep eden taraf›n yapt›¤› bir özeleﬂtiri sonucunda elde edilmiﬂ olmal›d›r • Bu eleﬂtirel analize konu bilgilerin serbest ak›ﬂ›n›n korunmas›nda kamunun güçlü bir menfaati bulunmal›d›r • Bilgilerin, aç›klanmas›na izin verildi¤i takdirde, serbest ak›ﬂ› kesilecek türde bilgiler olmas› gerekir. Baz› durumlarda, mahkemeler, bu eleﬂtirel analizin ilgili davac›n›n zarara maruz kalmas›ndan önce olup olmad›¤›na veya davac›n›n zarar›na neden olup olmad›¤›na da bakmaktad›r. Analizin davaya yol açan olaylardan sonra olmas› hâlinde, bu imtiyaz›n gerekçesinin en güçlü seviyede oldu¤u söylenir. 6. Belgelerin bir özel kiﬂi taraf›ndan de¤il de bir devlet kuruluﬂu taraf›ndan talep edildi¤i durumlarda, mahkemeler bu özeleﬂtiri niteli¤indeki de¤erlendirmelere gizlilik imtiyaz› tan›makta, genellikle daha isteksiz davranmaktad›r; bu isteksizli¤in nedeni, muhtemelen, kanunlar›n uygulanmas› konusunda devletin nispeten daha güçlü bir ç›kar› oldu¤u fikridir. Özeleﬂtirel de¤erlendirme imtiyaz›, özellikle, yerleﬂik özdenetim ve düzenleme prosedürlerine sahip bulunan iﬂlevler ve birimlerle ba¤lant›l›d›r. Bu tür prosedürlere sahip olanlar
298
Meslekî Uygulama Çerçevesi
aras›nda hastahaneler, arac› kurumlar ve muhasebe ve mali müﬂavirlik firmalar› say›labilir. Bu prosedürlerin ço¤u, bir iﬂletme faaliyetine eklenmiﬂ bulunan, mali denetim gibi kalite güvencesi prosedürleriyle ilgilidir. 7. ‘Çal›ﬂma sonuçlar› doktrini’ kapsam›nda, belgeleri aç›klama zorunlulu¤undan korunmak için üç hususun yerine getirilmesi gerekir: Belgeler: • herhangi bir çal›ﬂma sonucu türüne uymal›d›r (örne¤in, tutanaklar, bilgisayar programlar›), • bir dava aç›labilece¤i düﬂüncesiyle haz›rlanm›ﬂ olmal›d›r, • belgeleri haz›rlayan kiﬂi, avukat›n bir temsilcisi olmal›d›r. 8. Avukat-müvekkil iliﬂkisi kurulmadan önce haz›rlanm›ﬂ bulunan belgeler, çal›ﬂma sonuçlar› doktrini korumas›ndan istifade edemez. Belgelerin avukat-müvekkil iliﬂkisi kurulmadan önce avukata teslim edilmiﬂ olmas›, çal›ﬂma sonuçlar› doktrini kapsam›nda korunma için yeterli de¤ildir. Ayr›ca söz konusu doktrin, s›n›rl› bir ﬂekilde uygulanabilir. Önemli bir bilgi ihtiyac› varsa ve bu bilgiler aﬂ›r› bir güçlük olmadan baﬂka kaynaklardan temin edilemiyorsa, belgeler bu doktrinin korumas›ndan istifade edemez. Grand Jury davas›nda, ﬂirketin denetim komitesi, yabanc› ülkelere kuﬂkulu bir ödeme yap›l›p yap›lmad›¤›n› tespit etmek amac›yla kiﬂilerle görüﬂmeler yapt›. Denetim komitesinin raporu, ölmüﬂ kiﬂilerle yap›lan görüﬂmelerin sonuçlar›n› içeren k›s›mlar› hariç, çal›ﬂma sonuçlar› doktrini kapsam›nda aç›klama zorunlulu¤una karﬂ› korundu.
Uygulama Önerileri
299
Uygulama Önerisi 2410-1: Raporlama K›staslar› Uluslararas› ‹ç Denetim Meslekî Uygulama Standartlar›ndan Standart 2410’un Yorumu
‹lgili Standart 2410 Raporlama K›staslar› Raporlamalar, var›lan sonuçlar, yap›lan tavsiyeler ve önerilen eylem planlar›n›n yan›nda görevin hedeflerini ve kapsam›n› da içermelidir.
‹lgili Standart 2410.A1 Sonuçlar› gösteren nihaî rapor, gerekti¤inde, iç denetçinin görüﬂ ve kanaatlerini de içermelidir. Bu Uygulama Önerisinin Niteli¤i: ‹ç denetçiler, görevlerin sonuçlar›n› rapor ederken aﬂa¤›daki önerileri dikkate almal›d›r. Bu k›lavuzun bu konuda dikkate al›nmas› gereken bütün hususlar› kapsamak gibi bir amac› yoktur; k›lavuz, sadece, dikkate al›nmas› gereken bir tavsiyeler demetinden ibarettir. Uygulama Önerilerine uymak iste¤e ba¤l›d›r.
1. Görevle ilgili nihaî raporlar›n format› ve içeri¤i kurumdan kuruma veya görevin türüne göre de¤iﬂmesine ra¤men, her raporda, en az›ndan, görevin amac›, kapsam› ve sonuçlar› ifade edilmelidir. 2. Görevle ilgili nihaî raporlarda, temel (arkaplan) bilgiler ve özetler de yer alabilir. Temel bilgiler, denetlenen birimlerin ve faaliyetlerinin anlaﬂ›lmas›n› sa¤lar ve gerekli bilgi ve verileri sunar. Bu temel bilgiler, daha önceki raporlarda bulunan tespitlere, sonuçlara ve tavsiyelere de yer verebilir; raporun önceden programlanm›ﬂ bir görevin sonucu mu, yoksa talep üzerine yap›lan bir denetimin sonucu mu oldu¤unu bildirir.
300
Meslekî Uygulama Çerçevesi
Raporda yer verilmiﬂse, özetler, raporun esas›n› verecek nitelikteki ifadelerden ibaret olmal›d›r. 3. Raporun "Amaçlar" baﬂl›¤› alt›nda, görevin hedefleri aç›klanmal›d›r. Gerekti¤inde, okuyucu bu k›s›mda, görevin neden yap›ld›¤› ve görevden ne beklendi¤i konusunda bilgilendirilebilir. 4. Raporun "Kapsam" baﬂl›¤› alt›nda, denetlenen faaliyetler belirtilmeli ve denetimin kapsad›¤› süre dilimi gibi destekleyici bilgiler (gerekti¤inde) verilmelidir. Görevin s›n›rlar›n› aç›kça çizmek amac›yla, gerekirse, denetlemeye konu olmayan ilgili faaliyetler de belirtilmelidir. Yap›lan görev konusu iﬂlerin niteli¤i ve kapsam› da tan›mlanmal›d›r. 5. Görev sonuçlar›; tespitleri, kanaatleri, tavsiyeleri ve eylem planlar›n› içermelidir. 6. Tespitler, maddî olay ve olgularla ilgili aç›klamalard›r. ‹ç denetçinin vard›¤› sonuçlar› ve yapt›¤› tavsiyeleri desteklemek veya bunlar›n yanl›ﬂ anlaﬂ›lmas›n› önlemek için gerekli görülen tespitler, nihaî görev raporlar›na dahil edilmelidir. Daha az önemli görülen tespitler veya tavsiyeler de gayriresmî yollarla bildirilebilir. 7. Görevle ilgili tespit ve tavsiyeler, ‘olanlar’ ile ‘olmas› gerekenlerin’ karﬂ›laﬂt›r›lmas› sonucu ortaya ç›kar. Bu karﬂ›laﬂt›rmada bir fark bulunsa da bulunmasa da, iç denetçi, raporunu üzerinde bina edebilece¤i bir temel kurmuﬂ olur. Mevcut durum k›staslara uygunsa, raporda, tatmin edici performans teyidi vermek uygun olabilir. Gözlem ve tavsiyeler, aﬂa¤›daki özelliklere dayanmal›d›r: • K›stas: Bir de¤erlendirme ve/veya do¤rulama yapmak için kullan›lan standartlar, ölçüler veya beklentilerdir (ne olmal›d›r?). • Tesbit: ‹ç denetçinin denetleme s›ras›nda elde etti¤i belge ve bulgulard›r (olan nedir?). • Sebep: Beklenen koﬂullar ile mevcut koﬂullar aras›nda tespit edilen fark›n sebebidir (neden böyle bir fark mevcuttur?).
Uygulama Önerileri
301
• Etki (Sonuç): Tesbitlerin k›staslara uygun olmamas›ndan dolay› kurumun ve/veya baﬂkalar›n›n karﬂ› karﬂ›ya oldu¤u risk veya risk maruziyetidir (fark›n etkisi nedir?). Bu riskin veya riske maruz kalma derecesinin belirlenmesinde, iç denetçi, görevle ilgili gözlem ve tavsiyelerinin, kurumun faaliyetleri ve mali tablolar› üzerinde yapabilece¤i etkiyi düﬂünmelidir. • Tesbit ve tavsiyeler, baﬂka bir yerde söz konusu edilmemiﬂse, denetlenenin baﬂar›lar›n›, ilgili konular› ve destekleyici bilgileri de içerebilir. 8. Sonuç ve kanaatler, iç denetçinin denetleme konusu faaliyetlere iliﬂkin tespit ve tavsiyelerinin nelere yol açabilece¤i hakk›ndaki de¤erlendirmesini yans›t›r. Bu bölümde, genellikle, tespit ve tavsiyeler, bunlar›n genel etkilerine dayanan bir bak›ﬂ aç›s›yla yans›t›l›r. Görev raporuna dahil edilmiﬂse, görevle ilgili sonuçlar›n aç›kça tan›mlanmas› ve belirtilmesi gerekir. Sonuçlar, bir görevin kapsam›n›n tamam›n› ya da sadece belirli yönlerini kapsayabilir. Sonuçlar; bunlarla s›n›rl› kalmamak kayd›yla, faaliyet veya program hedeflerinin ve amaçlar›n›n kurumun hedef ve amaçlar›na uyup uymad›¤›n›, kurumun hedef ve amaçlar›na ulaﬂ›l›p ulaﬂ›lmad›¤›n› ve inceleme konusu olan faaliyetin amaçland›¤› gibi çal›ﬂ›p çal›ﬂmad›¤›n› da kapsayabilir. ‹ç denetçinin görüﬂü, gözden geçirilen alan veya kontrollerin genel bir de¤erlendirmesini içine alabilece¤i gibi, gözden geçirmenin belli cepheleriyle veya belirli kontrollerle s›n›rl› da olabilir. 9. Görevle ilgili raporlamalar, potansiyel iyileﬂmeler hakk›nda tavsiyeleri, tatmin edici performans baﬂar›lar›n› ve düzeltici tedbirleri de içermelidir. Öneriler, iç denetçinin kendi tespit ve kanaatlerine dayan›r. Öneriler k›sm›nda, mevcut durumun düzeltilmesi veya faaliyetlerin iyileﬂtirilmesine yönelik eylem ça¤r›s› yap›l›r; bu k›s›mda yönetime, istenen sonuçlara ulaﬂmas› konusunda yol göstermek için, performans›n düzeltilmesi veya iyileﬂtirilmesine yönelik yaklaﬂ›mlar da
302
Meslekî Uygulama Çerçevesi
önerilebilir. Öneriler genel veya özel nitelikte olabilir. Örne¤in, baz› durumlarda, hem genel bir eylem tarz› hem de uygulama için baz› özel öneriler sunmak uygun olabilir. Baz› durumlarda ise, sadece daha ayr›nt›l› bir araﬂt›rma veya inceleme önermek uygun olabilir. 10. Nihaî rapora, denetlenenlerin son denetlemeden bu yana sa¤lad›¤› geliﬂmeler veya sürdürdü¤ü faaliyetlerin üzerinde iyi bir kontrol sistemi kurmas› gibi baﬂar›lar› da yaz›labilir. Bu bilgiler, mevcut durumu âdil bir ﬂekilde yans›tmak ve görevle ilgili nihaî rapora daha uygun bir bak›ﬂ aç›s› ve denge kazand›rmak amac›yla gerekli olabilir. 11. Raporlamalarda, iç denetçinin vard›¤› sonuç, kanaat ve tavsiyeleri hakk›nda denetlenenlerin ne düﬂündü¤üne de yer verilebilir. 12. ‹ç denetçi, denetlenenlerle yapt›¤› müzakere ve görüﬂmelerde, gerekirse, görev sonuçlar› hakk›nda ve faaliyetleri iyileﬂtirmek amac›na yönelik bir eylem plan› hakk›nda mutabakat sa¤lamaya çal›ﬂmal›d›r. ‹ç denetçi ve denetlenen, sonuçlar konusunda anlaﬂamad›klar› takdirde, görevle ilgili raporlamalarda her iki taraf›n görüﬂleri ve anlaﬂmazl›k sebepleri de aç›klanabilir. Denetlenenin yaz›l› görüﬂleri, görev raporuna bir ek olarak da ilâve edilebilir. Buna alternatif olarak, denetlenenin görüﬂleri, raporun içinde ya da bir kapak mektubunda da aç›klanabilir. 13. Belirli bilgiler, gizlilik imtiyazl›, özel veya yasa d›ﬂ› eylemlerle ilgili olduklar› için, bütün rapor al›c›lar›na aç›klanmas› uygun olmayabilir; ancak bu tür bilgiler, ayr› bir raporda aç›klanabilir. Rapor edilen olay veya durumlar sadece üst yönetimi ilgilendiriyorsa, raporun sadece kurumun denetim komitesi ve yönetim kuruluna verilmesi gerekir. 14. Ara raporlar yaz›l› veya sözlü olabilir ve resmî veya gayriresmî olarak raporlanabilir. Derhal ilgilenilmesi ve iﬂlem yap›lmas› gereken bilgileri raporlamak için denetlenen faaliyetle ilgili bir de¤iﬂikli¤i bildirmek için veya görevin uzun bir süre devam
Uygulama Önerileri
303
etmesi hâlinde görevin seyri hakk›nda yönetimi bilgilendirmek için ara raporlar yaz›labilir. Ancak ara raporlar›n yaz›lmas›, bir nihaî rapor yazma ihtiyac›n› ortadan kald›rmaz. 15. Görev bittikten sonra imzal› bir rapor haz›rlanmal›d›r. Denetlenenin üzerindeki yöneticiler için, görev sonuçlar›n› aç›klayan özet raporlar uygun olabilir. Bu raporlar, nihaî rapordan ayr› olarak ya da nihaî raporla ba¤lant›l› olarak haz›rlanabilir. "‹mzal› rapor" terimi, rapora yetkili iç denetçi taraf›ndan manuel olarak isminin yaz›lmas› (imzalanmas›) anlam›na gelir. Alternatif olarak, sadece bir kapak mektubu da imzalanabilir. Raporu imzalamaya yetkili olan iç denetçi, ‹ç Denetim Yöneticisi taraf›ndan tayin edilmelidir. Görev raporlar› elektronik yollarla da¤›t›ld›¤› takdirde, iç denetim faaliyeti, raporun imzal› bir versiyonunu arﬂivinde saklamal›d›r.
Uygulama Önerileri
305
Uygulama Önerisi 2420-1: Raporlamalar›n Kalitesi Uluslararas› ‹ç Denetim Meslekî Uygulama Standartlar›ndan Standart 2420’nin Yorumu
‹lgili Standart 2420 Raporlamalar›n Kalitesi Raporlamalar, do¤ru, objektif, aç›k, özlü, yap›c›, tam olmal› ve zaman›nda sunulmal›d›r. Bu Uygulama Önerisinin Niteli¤i: ‹ç denetçiler, görevlerin sonuçlar›n› raporlarken aﬂa¤›daki önerileri dikkate almal›d›r. Bu k›lavuzun bu konuda dikkate al›nmas› gereken bütün hususlar› kapsamak gibi bir amac› yoktur; k›lavuz, sadece, dikkate al›nmas› gereken bir tavsiyeler demetinden ibarettir. Uygulama Önerilerine uymak iste¤e ba¤l›d›r.
1. Do¤ru raporlamalarda hata ve sapt›rma bulunmaz ve bu tür raporlamalar, ilgili maddî olay ve gerçeklere sâd›k kal›r. ‹lgili veri ve delillerin dikkatle ve hassasiyetle toplanmas›, de¤erlendirilmesi ve raporda özetlenmesi gerekir. 2. Objektif raporlamalar, âdil, tarafs›z, belge ve bulgular karﬂ›s›nda dürüst ve dengeli bir de¤erlendirmenin ürünüdür. Tespit, sonuç ve tavsiyeler, önyarg›s›z ve tarafs›z bir ﬂekilde, kiﬂisel ç›karlar göz önüne al›nmadan ve baﬂkalar›n›n etkisi alt›nda kal›nmadan tespit ve ifade edilmelidir. 3. Aç›k raporlamalar, kolay anlaﬂ›l›r ve mant›kl›d›r. Raporda aç›kl›k, gereksiz teknik terimler kullanmaktan kaç›narak ve ilgili bütün önemli bilgiler verilerek sa¤lanabilir. 4. Özlü raporlamalar, konunun özüne inen, gereksiz ve fazla ayr›nt›lardan kaç›nan ve lâf kalabal›¤› yapmayan raporlard›r. Bu tür raporlar, raporun dikkatle gözden geçirilmesi ve derlenmesi yoluyla haz›rlan›r. Amaç, sunulan her düﬂüncenin anlaml›, fakat özlü ve k›sa olmas›d›r.
306
Meslekî Uygulama Çerçevesi
5. Yap›c› raporlamalar, denetlenenlere ve kuruma faydal› olan, gereken iyileﬂtirme ve geliﬂtirmeleri yapmalar›na yard›mc› olan raporlard›r. Raporun içeri¤i ve tonu, faydal›, olumlu, anlaml› olmal› ve kurumun hedeflerine ulaﬂmas›na katk›da bulunmal›d›r. 6. Tam raporlamalar, hedef okuyucu kitlesi için önemli olan hiçbir bilgiyi atlamaz; tavsiye ve sonuçlar› desteklemek için gereken bütün bilgi ve tespitleri içerir. 7. Zaman›nda sunulan raporlamalar, tavsiyelere dayanarak tasarrufta bulunabilecek kiﬂilerin dikkatle de¤erlendirebilmesi için tam zaman›nda ve uygun zamanda verilen raporlard›r. Görev sonuçlar›yla ilgili raporun zamanlamas›, gereken eylemlerin derhal ve etkin bir ﬂekilde uygulanabilmesini sa¤layacak âcil raporlama düzeyinde ve gecikmeden belirlenmelidir.
Uygulama Önerileri
307
Uygulama Önerisi 2440-1: Görev Sonuçlar›n›n Raporlanaca¤› Taraflar Uluslararas› ‹ç Denetim Meslekî Uygulama Standartlar›ndan Standart 2440’›n Yorumu
‹lgili Standart 2440 Sonuçlar›n Raporlanmas› ‹ç Denetim Yöneticisi, görev sonuçlar›n› uygun taraflara raporlamal›d›r. ‹lgili Standart 2440.A1 Görev sonuçlar›n›n öngördü¤ü tedbirlerin al›nmas›n› sa¤layabilecek taraflara, nihaî görev sonuçlar›n›n raporlanmas›ndan ‹ç Denetim Yöneticisi sorumludur. Bu Uygulama Önerisinin Niteli¤i: ‹ç denetçiler, görev sonuçlar›n›n raporlamas›n› yaparken aﬂa¤›daki önerileri dikkate almal›d›r. Bu k›lavuzun bu konuda dikkate al›nmas› gereken bütün hususlar› kapsamak gibi bir amac› yoktur; k›lavuz, sadece, dikkate al›nmas› gereken bir tavsiyeler demetinden ibarettir. Uygulama Önerilerine uymak iste¤e ba¤l›d›r.
1. ‹ç denetçiler, nihaî görev raporlar›n› haz›rlamadan önce, görev sonuçlar› ve tavsiyelerini uygun yönetim kademeleriyle tart›ﬂmal›d›r. 2. Sonuçlar›n ve tavsiyelerin tart›ﬂ›lmas›, genellikle, görev s›ras›nda ve/veya görev sonras› toplant›larda (son görüﬂmeler) yap›l›r. Baﬂka bir usul de, taslak raporlar›n, tespitlerin ve tavsiyelerin denetlenen faaliyet ve birimin yönetimi taraf›ndan gözden geçirilmesidir. Bu tart›ﬂma ve gözden geçirmelerin amac›, denetlenenler için özel konular› aç›kl›¤a kavuﬂturma ve tespit, sonuç ve tavsiyeler hakk›nda görüﬂlerini ifade etme
308
Meslekî Uygulama Çerçevesi
f›rsat› vererek, belge ve bulgular›n yanl›ﬂ anlaﬂ›lmamas›n› veya yanl›ﬂ yorumlanmamas›n› sa¤lamakt›r. 3. Tart›ﬂma ve gözden geçirmelere kat›lanlar›n düzeyi kurumdan kuruma ve raporun niteli¤ine göre farkl›l›k göstermekle birlikte, kat›lanlar, genellikle, faaliyetlerin ayr›nt›lar›na vâk›f veya gerekli tedbirlerin al›nmas›na izin ve yetki verebilecek kiﬂilerdir. 4. ‹ç Denetim Yöneticisi veya onun tayin etti¤i kiﬂi, nihaî görev raporu haz›rlanmadan önce, raporu gözden geçirmeli, onaylamal› ve raporun kimlere da¤›t›laca¤›na karar vermelidir. ‹ç Denetim Yöneticisi veya tayin etti¤i kiﬂi, bütün nihaî raporlar› onaylamal›d›r; baz› durumlarda ise raporlara imza da atabilir. Özel durumlar gerektirdi¤i takdirde, raporun ‹ç Denetim Yöneticisini temsilen görevli bir denetçi veya baﬂdenetçi taraf›ndan imzalanmas› da düﬂünülebilir. 5. Nihaî raporlamalar, görev sonuçlar›n›n uygulanmas›n› sa¤layabilecek olan kurum çal›ﬂanlar›na da¤›t›lmal›d›r. Bunun anlam› ﬂudur: Rapor, gerekli tedbirleri alabilecek veya al›nmas›n› sa¤layabilecek pozisyonda olan kiﬂilere ulaﬂmal›d›r. Nihaî raporlar, denetlenen faaliyetin yönetimine de verilmelidir. Kurum içindeki daha üst düzey yetkililere ise sadece özet bir rapor sunulabilir. Raporlar, d›ﬂ denetçiler, denetim komitesi ve yönetim kurulu gibi di¤er ilgili veya etkilenen taraflara da da¤›t›labilir.
Uygulama Önerileri
309
Uygulama Önerisi 2440-2: Kurum D›ﬂ›na Raporlamalar Uluslararas› ‹ç Denetim Meslekî Uygulama Standartlar›ndan Standart 2440’›n Yorumu
‹lgili Standart 2440 Sonuçlar›n Raporlanmas› ‹ç Denetim Yöneticisi, görev sonuçlar›n› uygun taraflara raporlamal›d›r. ‹lgili Standart 2440.A2 ‹ç Denetim Yöneticisi, aksi kanunî, hukukî düzenlemelerle emredilmedi¤i takdirde, görev sonuçlar›n› kurum d›ﬂ›ndaki taraflara iletmeden önce, kuruma do¤abilecek muhtemel riskleri de¤erlendirmeli, üst yönetim ve/veya hukuk dan›ﬂman› ile istiﬂare etmeli ve sonuçlar›n raporlanmas›n›, kullan›m›n› k›s›tlayarak, kontrol etmelidir. Bu Uygulama Önerisinin Niteli¤i: ‹ç denetçiler, bilgileri kurum d›ﬂ›ndan kiﬂilere raporlamalar› istendi¤i takdirde aﬂa¤›daki önerileri dikkate almal›d›r. ‹ç denetçilerin iç denetim hizmetini alan kurumun d›ﬂ›ndan kiﬂilere rapor sunmalar› veya baﬂka bilgiler vermeleri istendi¤i takdirde böyle bir durum söz konusu olur. Bu k›lavuzun bu konuda dikkate al›nmas› gereken bütün hususlar› kapsamak gibi bir amac› yoktur; k›lavuz, sadece, dikkate al›nmas› gereken bir tavsiyeler demetinden ibarettir. Uygulama önerilerine uymak iste¤e ba¤l›d›r.
1. ‹ç denetçiler, görev sözleﬂmesindeki veya kurumsal politika ve prosedürlerdeki, bilgilerin kurum d›ﬂ›na verilmesiyle ilgili hükümleri gözden geçirmelidir. ‹ç denetim yönetmeli¤inde ve denetim komitesi yönetmeli¤inde de, bilgilerin kurum d›ﬂ›na ç›kart›lmas›yla ilgili hükümler bulunabilir. Bu tür hükümler yoksa, iç denetçi, kurumun uygun politikalar benimsemesini ve uygulamas›n› önermelidir. Bu tür politikalara dahil edilebilecek bilgilerin örnekleri aﬂa¤›dad›r:
310
Meslekî Uygulama Çerçevesi
• Bilgilerin kurum d›ﬂ›na raporlanma izni ve yetkisi, • Bilgilerin kurum d›ﬂ›na raporlanmas›n›n onay süreci, • Kurum d›ﬂ›na raporlamaya izin verilebilecek ve izin verilemeyecek bilgi türlerinin çerçevesi, • Bilgileri alma yetkisine sahip kurum d›ﬂ› kiﬂiler ve bu kiﬂilerin alabilece¤i bilgi türleri, • Bilgilerin kurum d›ﬂ›na raporlanmas›na dair gizlilik düzenlemeleri, mevzuat gerekleri ve hukukî mülâhazalar, • Bilgilerin kurum d›ﬂ›na ç›kart›lmas› sonucunu veren raporlamalara konulabilecek güvence, öneri, görüﬂ ve di¤er bilgilerin niteli¤i. 2. Bilgi talepleri, mevcut bilgilere (örne¤in, daha önce haz›rlanm›ﬂ bir iç denetim raporuna) yönelik olabilir. Bilgi talebi, mevcut olmayan bir bilgiye de yönelik olabilir; bu durumda , bilginin oluﬂturulmas›na yönelik yeni bir iç denetim görevi gerekebilir. Talep, mevcut bir bilgi veya rapora yönelik ise, iç denetçi, talebin uygunlu¤u aç›s›ndan raporu veya bilgiyi gözden geçirmelidir. 3. Baz› durumlarda, mevcut bir rapor veya bilginin kurum d›ﬂ›na ç›kart›lmaya müsait hâle getirilmesi amac›yla, k›smen tâdil edilmesi mümkündür. Baz› durumlarda ise, daha önce yap›lm›ﬂ bir çal›ﬂmaya dayanarak yeni bir rapor düzenlenebilir. Bu iﬂlemlerin tümü, dikkat ve özenle yap›lmal›d›r. 4. Bilgiler kurum d›ﬂ›na raporlan›rken, aﬂa¤›daki hususlara dikkat edilmelidir: • Kurum d›ﬂ›na ç›kart›lacak bilgiler hakk›nda yaz›l› bir anlaﬂma yapmak gere¤i, • Bilgiyi verenlerin, bilgi kaynaklar›n›n, raporu imzalayanlar›n, bilgiyi alanlar›n ve bilgi veya raporun raporlanaca¤› kiﬂilerin kimliklerinin belirlenmesi, • Uygun bilgilerin ne amaçla, hangi kapsamda ve hangi prosedürler takip edilerek oluﬂturulaca¤›,
Uygulama Önerileri
311
• Raporun veya kanaatler dahil di¤er bildirimlerin niteli¤i, tavsiyelerin ç›kart›lmas› veya dahil edilmesi meselesi; sorumlulu¤un reddi beyanlar›, k›s›tlamalar ve verilecek güvence veya teyidin türü, • Telif hakk› meseleleri ve bilgilerin daha öte da¤›t›m› veya paylaﬂ›m› üzerindeki k›s›tlamalar. 5. Kurum d›ﬂ›na raporlanacak iç denetim raporlar›n› veya bildirimlerini haz›rlamak amac›yla yap›lan görevler, ilgili Uluslararas› ‹ç Denetim Meslekî Uygulama Standartlar›na uygun yürütülmeli ve raporda veya bildirimde bu standartlara at›fta bulunulmal›d›r. 6. Kurum d›ﬂ›na ç›kart›lacak bilgileri haz›rlamak amac›na yönelik görevler s›ras›nda, iç denetçi, yönetime veya denetim komitesine bildirilmesi gereken bir bilgi tespit ederse, ilgili kiﬂilere bu bildirimleri ugun bir ﬂekilde yapmal›d›r.
Uygulama Önerileri
Uygulama Önerisi 2440-3: Hassas Bilgilerin Hiyerarﬂi ‹çinde ve D›ﬂ›nda Raporlanmas› Uluslararas› ‹ç Denetim Meslekî Uygulama Standartlar›ndan Standart 2440 ve Standart 2600’ün ve Etik Kurallar›n›n Dürüstlük ve Gizlilikle ‹lgili Davran›ﬂ Kurallar›n›n Yorumu
‹lgili Standart 2440 Sonuçlar›n Raporlanmas› ‹ç Denetim Yöneticisi, görev sonuçlar›n› uygun taraflara raporlamal›d›r. ‹lgili Standart 2600 Yönetimin Art›k Riskleri Üstlenmesinin Çözümü ‹ç Denetim Yöneticisi, üst yönetimin kurum için kabul edilemeyebilecek bir art›k (bakiye) risk düzeyini üstlenmeyi kabul etti¤ine inand›¤› takdirde, konuyu üst yönetimle tart›ﬂmal›d›r. Art›k riskle ilgili bir karara var›lamazsa, ‹ç Denetim Yöneticisi ve üst yönetim, konuyu çözümlenmesi için denetim komitesi ve yönetim kuruluna rapor etmelidir. Etik Kurallar›n›n Dürüstlükle ‹lgili Davran›ﬂ Kurallar›: ‹ç denetçiler, 1.1. ‹ﬂlerini dürüstlük, özen ve sorumluluk duygusuyla yapar, 1.2. Hukuku gözetir ve kanunlar›n ve mesle¤in emretti¤i aç›klamalar› yapar, 1.3. Herhangi bir yasa d›ﬂ› faaliyete bilerek girmez ya da iç denetim mesle¤i veya kurum için onur k›r›c› herhangi bir fiilde bulunmaz,
313
314
Meslekî Uygulama Çerçevesi
1.4. Kurumun meﬂru ve etik hedeflerine sayg› gösterir ve katk›da bulunur. Etik Kurallar›n›n Gizlilikle ‹lgili Davran›ﬂ Kurallar›: ‹ç denetçiler: 3.1. Görevleri s›ras›nda edindikleri bilgileri, dikkatli ve ihtiyatl› bir ﬂekilde kullan›r ve korur, 3.2. Bu bilgileri kiﬂisel menfaatleri için ya da ilgili kanunlara ayk›r› bir ﬂekilde veya kurumun meﬂru ve etik hedeflerine zarar verecek bir ﬂekilde kullanmaz. Bu Uygulama Önerisinin Niteli¤i: Bir iç denetçi, riskler, tehditler, belirsizlikler, suiistimaller, israf ve kötü yönetim, yasa d›ﬂ› faaliyetler, yetkinin kötüye kullan›lmas›, halk sa¤l›¤› veya emniyetini tehlikeye sokan suçlar veya baﬂka haks›z fiiller hakk›nda bilgi sahibi olabilir. Baz› durumlarda, bu yeni bilgilerin önemli sonuçlar› olur ve destekleyici deliller önemli ve güvenilirdir. ‹ç denetçinin bu tür durumlarda karﬂ› karﬂ›ya oldu¤u ikilem oldukça karmaﬂ›kt›r ve genellikle kültürel ve iﬂ uygulamalar› farkl›l›klar›, hukukî yap›lar, mahallî ve ulusal kanunlar ve meslekî standartlar, etik kurallar› ve kiﬂisel de¤erler gibi etkenleri kapsar. ‹ç denetçinin bu tür durumlarda benimsedi¤i davran›ﬂ tarz› misillemelere ve potansiyel sorumluluklara yol açabilir. Bu riskler ve sonuçlardan dolay›, dikkatle, iç denetçi, mevcut delilleri ve vard›¤› sonuçlar›n makul olup olmad›¤›n› de¤erlendirmeli ve bu hassas bilgilerin sorunu çözümleme yetkisi bulunan kiﬂilere bildirilmesi için yapabileceklerini incelemeli ve bu usulsüzlü¤ü durdurmak için gerekenleri yapmal›d›r. Baz› ülkelerde, mahallî kanunlar veya mevzuat belirli eylemlerin yap›lmas›n› gerektirebilir. Bu Uygulama Önerisi, iç denetçinin bu tür durumlarda karﬂ›laﬂabilece¤i pek çok sorun ve konu hakk›nda düﬂünmesini sa¤lamak amac›na yöneliktir. Bir iç denetçinin göz önüne alabilece¤i etkenleri aç›klamas›na ve bilgi vermesine ra¤men, bu Uygulama Önerisi, konunun tam kapsaml› bir incelemesini içermemekte ve denetçi için bir uzman tavsiyesi veya hukukî tavsiye sunmamaktad›r. ‹ç denetçiler, konunun hassas oldu¤u ve önemli sonuçlar›n›n olabilece¤i durumlarda hukuk dan›ﬂman›na baﬂvurmal›d›r. Bu Uygulama Önerisi, azamî dikkatle ve uzun görüﬂme ve istiﬂarelerden sonra haz›rlanm›ﬂt›r. Bununla birlikte, IIA, bu Uygulama Önerisi metninde verilen bilgilerin kullan›lmas›n›n ya da bunlar›n fiiliyatta belirli durumlara uygulanmas›n›n sonuçlar›ndan sorumluluk kabul etmez ve önerilen eylemlerin baﬂar›l› olaca¤›na dair bir güvence vermez. Uygulama Önerilerine uymak iste¤e ba¤l›d›r.
Uygulama Önerileri
315
1. ‹ç denetçilerin eline, s›k s›k, kurum için hayatî önemi ve hassasiyeti olan ve önemli potansiyel sonuçlar do¤urabilecek bilgiler geçer. Bu bilgiler; riskler, tehditler, belirsizlikler, suiistimaller, israf ve kötü yönetim, yasa d›ﬂ› faaliyetler, yetkinin kötüye kullan›lmas›, halk sa¤l›¤› veya emniyetini tehlikeye sokan suçlar veya baﬂka haks›z fiillerle ilgili olabilir. Bu tür konular, kurumun itibar›, imaj›, rekabet gücü, baﬂar›s›, yaﬂam›n› sürdürme kabiliyeti, pazar de¤eri, yat›r›mlar› ve maddî olmayan varl›klar› veya kâr› üzerinde olumsuz etkiler yapabilir. Bunlar›n, bir kurumun riske maruziyetini art›rma ihtimali de vard›r.
Hassas Bilgilerin Hiyerarﬂi ‹çindeki Kiﬂilere Verilmesi: 2. ‹ç denetçi, yeni edindi¤i bilgilerin önemli ve güvenilir oldu¤una karar verdikten sonra, normal olarak bu bilgileri, bunlara dayanarak karar alabilecek olan yöneticilere zaman›nda bildirir. Ço¤u durumda, üst yönetim bunlarla ba¤lant›l› risklerin yönetimi için gerekli tedbiri ald›¤› sürece, bu raporlamalar, sorunu iç denetim aç›s›ndan çözümler. Raporlamalar kurum yönetiminin tedbir almamas›n›n veya yeterli tedbirleri almamas›n›n kurumu kabul edilemez düzeyde bir riskle karﬂ› karﬂ›ya b›rakt›¤› tespitiyle sonuçland›¤› takdirde, ‹ç Denetim Yöneticisi, tatmin edici bir çözüm bulmak amac›yla mevcut baﬂka seçenekleri de¤erlendirmelidir. 3. Bu muhtemel eylem ve tedbirlerin bir parças› olarak, ‹ç Denetim Yöneticisi, risk ve tehlikelere iliﬂkin endiﬂelerini, kendi normal hiyerarﬂisi içinde üst yönetimle tart›ﬂabilir. Yönetim kurulunun denetim komitesi ve di¤er komitelerin de ‹ç Denetim Yöneticisinin içinde bulundu¤u hiyerarﬂiye tâbi olmas› beklenebilece¤i için, bu komite üyeleri de, normal olarak, ‹ç Denetim Yöneticisinin kayg›lar›ndan haberdar olur. Üst yönetimle yapt›¤› bu görüﬂmelere ra¤men ‹ç Denetim Yöneticisi, sonuçtan tatmin olmaz ve üst yönetimin kurumu
316
Meslekî Uygulama Çerçevesi
kabul edilemez bir riske soktu¤una, sorunu ortadan kald›rmak veya çözmek için gerekli tedbirleri almad›¤›na inan›rsa, üst yönetim ve ‹ç Denetim Yöneticisi, sorunla ilgili önemli bilgileri ve görüﬂ farkl›l›klar›n› yönetim kurulu üyelerine veya yönetim kurulunun bir komitesine iletir. 4. Bu basit hiyerarﬂi içindeki iletiﬂim senaryosu, ulusal mevzuat, düzenlemeler veya yayg›n kabul gören uygulamalar uyar›nca belirli hassas olay ve durumlar için h›zland›r›labilir. Örne¤in, Amerika Birleﬂik Devletleri'nde hisseleri halka aç›k olan ve borsada iﬂlem gören bir ﬂirketin mali raporlamas›nda usulsüzlük yapt›¤›na dair delil bulunmas› hâlinde, ilgili mevzuata göre, üst yönetim ve ‹ç Denetim Yöneticisi bu durumda al›nmas› gereken tedbirler konusunda tam bir mutabakat içinde olsalar bile, bu yan›lt›c› mali raporlarla ilgili bilgilerin yönetim kurulunun denetim komitesine derhal bildirilmesi ﬂartt›r. Çeﬂitli ülkelerde geçerli olan kanun ve düzenlemelere göre, ceza kanunlar›, menkul k›ymetlerle ilgili kanunlar, g›da maddeleri, ilâç veya kirlenmeye iliﬂkin kanunlar›n ihlâlleri ve devlet memurlar›na veya tedarikçilerin veya müﬂterilerin temsilcilerine rüﬂvet verilmesi veya baﬂka usulsüz ödemeler yap›lmas› gibi benzeri baﬂka yasa d›ﬂ› eylemlerin yönetim kurulu üyelerine veya yönetim kurulunun denetim komitesine bildirilmesi gerekir.
Bilgilerin Hiyerarﬂi D›ﬂ›ndaki Kiﬂilere Verilmesi: 5. Baz› durumlarda, bir iç denetçi, ö¤rendi¤i bilgileri normal hiyerarﬂi d›ﬂ›ndaki, hattâ kurumun d›ﬂ›ndaki kiﬂilere bildirip bildirmeme konusunda bir ikilemle karﬂ› karﬂ›ya kalabilir. Olumsuz bilgilerin kurum içinde fakat normal hiyerarﬂi d›ﬂ›ndaki kiﬂilere ya da tamamen kurumun d›ﬂ›nda olan resmî makam ve mercilere veya baﬂka yetkililere aç›klanmas› eylemi, genellikle "d›ﬂar› bilgi s›zd›rma" tâbir edilir. 6. D›ﬂar› bilgi s›zd›rma hakk›nda yap›lan araﬂt›rmalarda, bu karekette bulunanlar›n ço¤unun, özellikle kurumun yasa d›ﬂ›
Uygulama Önerileri
317
faaliyetlere veya usulsüzlüklere iliﬂkin iddialar› soruﬂturmak ve tedbir almak için uygulad›¤› politikalara ve oluﬂturdu¤u mekanizmalara güvendikleri durumlarda, hassas bilgileri, normal hiyerarﬂinin d›ﬂ›nda bile olsa, içeriden kiﬂilere s›zd›rd›klar› bildirilmiﬂtir. Ancak, elinde hassas bilgiler bulunan kiﬂilerin baz›lar›, özellikle kendi iﬂ arkadaﬂlar›n›n veya iﬂverenlerinin misilleme yapmas›ndan korktuklar›, konunun yeterince araﬂt›r›l›p soruﬂturulaca¤› konusunda ﬂüphelerinin bulundu¤u, konunun has›r alt› edilece¤ine inand›klar› veya kurumdaki ya da toplumdaki insanlar›n sa¤l›¤›n›, emniyetini veya huzurunu bozucu yasa d›ﬂ› faaliyetler veya usulsüzlükler hakk›nda deliller elde ettikleri durumlarda, bu bilgileri kurum d›ﬂ›na s›zd›rmay› tercih edebilirler. ‹yi niyetli olarak d›ﬂar› bilgi s›zd›ran bu kiﬂilerin ço¤unun temel dürtüsü, yasa d›ﬂ›, zararl› veya usulsüz faaliyeti durdurmakt›r. 7. Benzer bir ikilemle karﬂ› karﬂ›ya olan ve imkân dahilindeki tüm seçenekleri de¤erlendirmesi gereken bir iç denetçinin bu riski kendi hiyerarﬂisi d›ﬂ›ndaki kiﬂi veya gruplara da bildirmek için alternatif yollar› düﬂünmesi gerekecektir. Bu yaklaﬂ›mlar›n taﬂ›d›¤› risklerden ve muhtemel sonuçlar›ndan dolay›, iç denetçi, elindeki delillerin ve vard›¤› sonuçlar›n makul ve do¤ru olup olmad›¤›n› dikkatle de¤erlendirmeli ve her potansiyel hareketinin avantaj ve dezavantajlar›n› dikkatle hesaplamal›d›r. Bir iç denetçinin bu tür bir harekette bulunmas›, e¤er üst düzey yöneticilerin veya yönetim kurulunun üyeleri ya da yönetim kurulunun komitelerinin üyeleri gibi idarî mevkilerdeki kiﬂilerin sorumluluklar›n› yerine getirmelerini sa¤layacaksa uygun olabilir. Bir iç denetçi, bu tür bilgileri kurumun yönetim yap›s› d›ﬂ›ndaki kiﬂilere bildirmeyi son çare olarak görmelidir. Bir iç denetçi, bu hareketi, sadece mevcut riskin ve muhtemel sonuçlar›n›n ciddî oldu¤una ve kurumun mevcut yönetiminin ve yönetim mekanizmalar›n›n bu riskle etkin bir ﬂekilde mücadele edemeyece¤ine veya etmeyece¤ine inand›¤› ender durumlarda tercih etmelidir.
318
Meslekî Uygulama Çerçevesi
8. OECD (Ekonomik ‹ﬂbirli¤i ve Kalk›nma Teﬂkilât›) üyesi olan ülkelerin ço¤unda, yasa d›ﬂ› veya etik d›ﬂ› fiil ve eylemlerden haberdar olan kamu görevlilerinin durumu bir genel müfettiﬂe, baﬂka bir kamu görevlisine veya ombudsmana bildirmekle yükümlü oldu¤unu öngören kanunlar veya idarî yönetmelikler mevcuttur. D›ﬂar› bilgi s›zd›rma tipinde eylemlere iliﬂkin baz› ulusal kanunlar, belirli yasa d›ﬂ› faaliyet ve eylemleri ihbar eden kiﬂileri koruyucu hükümler içermektedir. Bu ülkelerin kanun ve yönetmeliklerinde say›lan faaliyet tipleri ﬂunlard›r: • Suç teﬂkil eden eylemler ve kanunî yükümlülüklere uymamalar, • Adlî hatâ olarak görülen eylemler, • Bireylerin sa¤l›¤›, emniyeti veya refah›n› tehlikeye sokan eylemler, • Çevreye zarar veren eylemler, • Yukar›da say›lan eylemleri gizleyen veya saklayan faaliyetler. Di¤er baz› ülkelerde ise bu konuda herhangi bir koruyucu hüküm veya düzenleme yoktur. ‹ç denetçi, kurumun faaliyet gösterdi¤i çeﬂitli ülkelerin ilgili kanunlar› ve mevzuat›n› bilmeli ve bu mevzuata uygun kararlar almal›d›r. ‹ç denetçi, yürülükteki kanunlardan emin de¤ilse, hukukî tavsiye almay› düﬂünmelidir. 9. Pek çok meslekî örgüt, üyelerini, yasa d›ﬂ› veya etik d›ﬂ› faaliyetleri bildirmekten sorumlu tutar. Bir "mesle¤in" ay›rt edici iﬂareti, onun kamuya ve halka karﬂ› geniﬂ sorumluluklar›n› kabul etmesi ve kamunun ç›karlar›n› korumas›d›r. Mevzuat› incelemeye ve ö¤renmeye ek olarak, IIA üyeleri ve bütün Uluslararas› ‹ç Denetçiler (CIA’lar), IIA'n›n Etik Kurallar›nda yasa d›ﬂ› veya etik d›ﬂ› eylem ve fiiller hakk›nda öngördü¤ü koﬂul ve kurallara uymal›d›r.
Uygulama Önerileri
319
‹ç Denetçinin Karar›: 10. Bir iç denetçinin mevcut bütün delilleri ve vard›¤› sonuçlar›n makul ve do¤ru olup olmad›¤›n› dikkatle de¤erlendirmesi ve kurumun, kurumla menfaat iliﬂkisi içinde olanlar›n, d›ﬂ toplumun veya toplumsal kuruluﬂlar›n ç›karlar›n› korumak için hangi tedbirleri almak gerekti¤ine karar vermesi, onun hem meslekî görevi hem de etik sorumlulu¤udur. Ayr›ca, denetçinin, bu konuda hukukî veya meslekî bir sorumluluk ve zorunluluk alt›nda olmad›kça, bilgilerin de¤erine ve sahiplerine sayg› göstermek ve bilgileri uygun izin ve yetkiyi almadan baﬂka kiﬂilere aç›klamamak konusunda IIA'n›n Etik Kurallar›nda öngörülen gizlilik görevini de dikkate almas› gerekir. Bu de¤erlendirme sürecinde, denetçi hukuk dan›ﬂman›ndan ve gerekti¤inde baﬂka uzmanlardan görüﬂ ve tavsiye almal›d›r. Bu tart›ﬂmalar, mevcut koﬂullar hakk›nda farkl› bir bak›ﬂ aç›s› edinmesinde ve çeﬂitli muhtemel eylemlerin potansiyel etki ve sonuçlar› hakk›nda farkl› görüﬂlerin al›nmas›nda faydal› olabilir. ‹ç denetçinin bu tür karmaﬂ›k ve hassas durumlar› çözmek için uygulad›¤› yöntem, misillemelere ve potansiyel sorumluluklara yol açabilir. 11. Son olarak, iç denetçi kiﬂisel bir karar almal›d›r. Bilgilerin normal hiyerarﬂi d›ﬂ›ndaki kiﬂilere bildirilmesi karar›, ilgili yasa d›ﬂ› hareket veya suç hakk›nda önemli ve güvenilir delillerin bulundu¤u ve hukukî veya düzenleyici âmir hükümlerin veya meslekî veya etik yükümlülüklerin tedbir almay› gerektirdi¤i konusunda sa¤lam bilgilere dayanmal›d›r. Denetçinin bu konudaki eylem dürtüsü, her türlü yasa d›ﬂ›, usulsüz veya zararl› faaliyeti durdurma iste¤i olmal›d›r.
Uygulama Önerileri
321
Uygulama Önerisi 2500-1: ‹lerlemenin Gözlenmesi Uluslararas› ‹ç Denetim Meslekî Uygulama Standartlar›ndan Standart 2500’in Yorumu
‹lgili Standart 2500 ‹lerlemenin Gözlenmesi ‹ç Denetim Yöneticisi, yönetime rapor edilen sonuçlar›n ak›betinin gözlenmesi için bir sistem kurmal› ve uygulamal›d›r. Bu Uygulama Önerisinin Niteli¤i: ‹ç denetçiler, yönetime rapor edilen sonuçlar› izlerken aﬂa¤›daki önerileri dikkate almal›d›r. Bu k›lavuzun bu konuda dikkate al›nmas› gereken bütün hususlar› kapsamak gibi bir amac› yoktur; k›lavuz, sadece, dikkate al›nmas› gereken bir tavsiyeler demetinden ibarettir. Uygulama Önerilerine uymak iste¤e ba¤l›d›r.
1. ‹ç Denetim Yöneticisi, aﬂa¤›dakileri içerecek ﬂekilde prosedürler oluﬂturmal›d›r: • Yönetimin rapordaki sonuçlara, tespitlere ve tavsiyelere cevap vermesi için tan›nan süre, • Yönetimin verdi¤i cevab›n de¤erlendirilmesi, • Cevab›n do¤rulanmas› (gerekiyorsa), • Bir takip görevlendirmesi (gerekiyorsa) • Risklerin üstlenilmesi de dahil, tatmin edici olmayan cevaplar›n/eylemlerin uygun seviyedeki yöneticilere iletilmesine yönelik bir raporlama prosedürü. 2. Rapordaki baz› tespitler ve tavsiyeler, yönetimin derhal tedbir almas›n› gerektirecek kadar önemli olabilir. Ortadan kalkana kadar, bu durum, kurum üzerindeki muhtemel etkileri dikkate al›narak, iç denetim faaliyeti taraf›ndan gözlenmelidir. 3. ‹lerlemenin etkili bir ﬂekilde gözlenmesi için kullan›lan teknikler ﬂunlard›r:
322
Meslekî Uygulama Çerçevesi
• Tespit ve tavsiyelerin, düzeltici tedbirleri almaktan sorumlu olan yönetim kademelerine iletilmesi. • Yönetimin tespit ve tavsiyelerle ilgili cevaplar›n›n, görev süresinde veya görev sonuçlar›n›n rapor edilmesinden sonra, makul bir süre içinde, al›nmas› ve de¤erlendirilmesi. Yönetimin cevaplar›, ‹ç Denetim Yöneticisinin düzeltici tedbirlerin zamanlamas›n› ve uygunlu¤unu de¤erlendirmesi için yeterli bilgi içeriyorsa, daha faydal› olur. • Yönetimin, raporlanan durumlar› düzeltmeye yönelik çabalar›n› de¤erlendirmek için yönetimden düzenli olarak güncel bilgi al›nmas›. • ‹zleme veya düzeltme prosedürlerinden sorumlu di¤er birimlerden bilgi al›nmas› ve bu bilgilerin de¤erlendirilmesi. • Tespit ve tavsiyelerine al›nan cevaplar›n durumu hakk›nda üst yönetime veya denetim veya yönetim kuruluna rapor verilmesi.
Uygulama Önerileri
323
Uygulama Önerisi 2500.A1-1: Takip Süreci Uluslararas› ‹ç Denetim Meslekî Uygulama Standartlar›ndan Standart 2500’ün Yorumu
‹lgili Standart 2500.A1 ‹ç Denetim Yöneticisi, yönetimin ald›¤› tedbirlerin etkili bir ﬂekilde uygulanmas›n› veya üst yönetimin, gerekli tedbiri almamas›n›n riskini üstlenmeyi kabul etmesini sa¤lamak ve geliﬂmeleri gözlemek amac›na yönelik bir takip süreci kurmal›d›r. Bu Uygulama Önerisinin Niteli¤i: ‹ç denetçiler, takip süreci kurar ve uygularken aﬂa¤›daki önerileri dikkate almal›d›r. Bu k›lavuzun bu konuda dikkate al›nmas› gereken bütün hususlar› kapsamak gibi bir amac› yoktur; k›lavuz, sadece, dikkate al›nmas› gereken bir tavsiyeler demetinden ibarettir. Uygulama Önerilerine uymak iste¤e ba¤l›d›r.
1. ‹ç denetçiler, düzeltici tedbirlerin uygulanmas›n› ve istenen sonuçlar› vermesini sa¤lamal› ya da üst yönetim, denetim komitesi veya yönetim kurulunun, rapor edilen tespitlerin gerekli k›ld›¤› tedbirleri almamas›n›n riskini üstlenmesini sa¤lamal›d›r. 2. Takip, d›ﬂ denetçilerin ve di¤erlerininkiler de dahil, rapor edilen görev tespit ve tavsiyeler üzerine yönetimin ald›¤› tedbirlerin yeterlili¤i, etkinli¤i ve zamanlamas›n›n iç denetçiler taraf›ndan belirlendi¤i bir süreç olarak tan›mlan›r. 3. Takip sorumlulu¤u iç denetim faaliyetinin yaz›l› yönetmeli¤inde tan›mlanmal›d›r. Takibin niteli¤i, zamanlamas› ve kapsam› ‹ç Denetim Yöneticisi taraf›ndan tespit edilmelidir. Uygun takip prosedürlerinin tespitinde dikkate al›nmas› gereken hususlar ﬂunlard›r: • Rapor edilen tespit veya tavsiyenin önemi,
324
Meslekî Uygulama Çerçevesi
• Rapor edilen sorunun düzeltilmesi için gereken çaba ve maliyet miktar›, • Düzeltici tedbirin yetersiz kalmas›n›n muhtemel etkileri, • Düzeltici tedbirin karmaﬂ›kl›kl›¤›, • Gereken süre. 4. ‹ç Denetim Yöneticisinin, yönetimin yaz›l› veya sözlü cevab›n›n -kendi gözlem veya tavsiyesinin nisbî önemiyle karﬂ›laﬂt›r›ld›¤›nda- al›nan tedbirin yeterli oldu¤unu gösterdi¤i hükmüne vard›¤› durumlar da olabilir. Bu durumlarda, takip görevi, bir sonraki denetim görevinin bir parças› olarak da yap›labilir. 5. ‹ç denetçiler, görev gözlemleri ve tavsiyeleri üzerine al›nan tedbirlerin, ilgili sorunlar› çözüp çözmedi¤ini araﬂt›rmal›d›r. 6. Görev iﬂ programlar›n›n bir parças› olarak, takip görev ve faaliyetlerini programlamaktan da ‹ç Denetim Yöneticisi sorumludur. Takip program›, düzeltici tedbirlerin uygulanma zorlu¤u ve zamanlamas› yan›nda risk ve riske maruz kalma seviyesi dikkate al›narak yap›lmal›d›r.
Uygulama Önerileri
325
Uygulama Önerisi 2600-1: Yönetimin Art›k Riskleri Üstlenmesi Uluslararas› ‹ç Denetim Meslekî Uygulama Standartlar›ndan Standart 2600’ün Yorumu
‹lgili Standart 2600 Yönetimin Art›k Riskleri Üstlenmesinin Çözümü ‹ç Denetim Yöneticisi, üst yönetimin kurum için kabul edilemeyebilecek bir art›k (bakiye) risk düzeyini üstlenmeyi kabul etti¤ine inand›¤› takdirde, konuyu üst yönetimle tart›ﬂmal›d›r. Art›k riskle ilgili bir karara var›lamazsa, ‹ç Denetim Yöneticisi ve üst yönetim, konuyu çözümlenmesi için denetim komitesi ve yönetim kuruluna rapor etmelidir. Bu Uygulama Önerisinin Niteli¤i: ‹ç denetçiler, yönetimin riskleri üstlenmeyi kabul etmesi konusunda aﬂa¤›daki önerileri dikkate almal›d›r. Bu k›lavuzun bu konuda dikkate al›nmas› gereken bütün hususlar› kapsamak gibi bir amac› yoktur; k›lavuz, sadece, dikkate al›nmas› gereken bir tavsiyeler demetinden ibarettir. Uygulama Önerilerine uymak iste¤e ba¤l›d›r.
1. Rapor edilen tesbit ve tavsiyelere cevap olarak al›nmas› gereken uygun tedbirlere karar vermekten yönetim sorumludur. Tespit ve tavsiyeler ﬂeklinde rapor edilen sorunlar›n zaman›nda çözümlenmesi için yönetimin ald›¤› tedbirlerin de¤erlendirilmesi, ‹ç Denetim Yöneticisinin sorumlulu¤undad›r. Takipin kapsam›na karar verirken, iç denetçiler, kurum içinde baﬂka kiﬂilerin yapmas› gereken takip görevlerinin niteli¤ini ve prosedürlerini de dikkate almal›d›r. 2. Standartlar Bölüm 2060’da, 2060-1 say›l› Uygulama Önerisinin 3. paragraf›nda belirtildi¤i gibi, üst yönetim, maliyet veya baﬂka düﬂüncelerle, rapor edilen bir sorunu düzeltmeme riskini üstlenmeye karar verebilir. Bütün önemli tespit ve tavsiyeler
326
Meslekî Uygulama Çerçevesi
hakk›nda üst yönetimin ald›¤› kararlar hakk›nda, denetim komitesi ve yönetim kurulu bilgilendirilmelidir.
Lebib Yalk›n Yay›mlar› ve Bas›m ‹ﬂleri A.ﬁ. Oto Sanayii, Barbaros Cad. No.78 4. Levent /‹STANBUL 0212 282 39 00
CIA İç Denetim Tide Kırmızı Kitap