İç Kontrol Sistemi ve COSO Modeli Konu Anlatımı

İç kontrol sistemi ve COSO modeli başlığı, BDS 315’in risk değerlendirme mantığıyla birlikte anlaşılmalıdır.

Standart iç kontrol sistemini; finansal raporlamanın güvenilirliği, faaliyetlerin etkinliği ve verimliliği ile mevzuata uygunluk bakımından işletmenin amaçlarına ulaştığına dair makul güvence sağlamak için üst yönetimden sorumlu olanlar, yönetim ve diğer personel tarafından tasarlanan, uygulanan ve sürekliliği sağlanan sistem olarak tanımlar.

Bu tanımda iki sınır vardır.

Sistem yalnız muhasebe departmanının işi değildir; yönetim yapısından personele kadar işletme içine yayılır.

Ayrıca sağlanan güvence mutlak değil makuldür, bu yüzden denetçi iç kontrolü kusursuzluk varsayımıyla değil risk değerlendirme amacıyla inceler.

BDS 315’e göre denetçinin amacı, finansal tablo ve yönetim beyanı düzeylerinde hata veya hile kaynaklı önemli yanlışlık risklerini belirlemek ve değerlendirmektir.

İç kontrol sistemi bu amaca hizmet eden bilgi kaynaklarından biridir.

Denetçi kontrol bileşenlerini anlamaya çalışırken işletmenin tüm kontrollerini tek tek onaylamaz; hangi risklerin finansal tabloları etkileyebileceğini, bu risklerin hangi beyanlarda ortaya çıkabileceğini ve müteakip denetim prosedürlerinin hangi dayanakla tasarlanacağını belirler.

Bu nedenle iç kontrol bilgisi, denetim planının ve kanıt toplama stratejisinin risk tarafını besler.

Standart iç kontrol sistemini birbiriyle ilişkili beş bileşen halinde açıklar.

Kontrol çevresi, işletmenin risk değerlendirme süreci, işletmenin iç kontrol sistemini izleme süreci, bilgi sistemi ve iletişim ile kontrol faaliyetleri birlikte düşünülür.

Bu bileşenleri sırayla ezberlemek yeterli değildir; her biri farklı soruya cevap verir.

Kontrol çevresi sistemin üstteki davranış ve gözetim zeminini, risk değerlendirme süreci riskleri nasıl fark ettiğini, izleme süreci kontrollerin devam eden işlerliğini nasıl izlediğini, bilgi sistemi ve iletişim finansal bilginin nasıl aktığını, kontrol faaliyetleri ise belirli riskleri ele alan somut kontrol noktalarını gösterir.

Kontrol çevresi, denetçinin finansal tabloların hazırlanmasıyla ilgili olarak anlaması gereken ilk zeminlerden biridir.

BDS 315 burada işletme kültürü ile yönetimin dürüstlük ve etik değerlere bağlılığını, üst yönetimden sorumlu olanların yönetimden farklı olduğu durumlarda iç kontrol sisteminin bağımsız gözetimini, yetki ve sorumlulukların belirlenmesini, yetkin kişilerin işletmeye çekilmesini, geliştirilmesini ve işletmede tutulmasını, kişilerin iç kontrol amaçları doğrultusunda hesap verebilir tutulmasını dikkate alır.

Denetçi ayrıca yönetimin dürüstlük ve etik davranış kültürü oluşturup sürdürüp sürdürmediğini, kontrol çevresinin diğer bileşenler için uygun zemin oluşturup oluşturmadığını ve belirlenen eksikliklerin diğer bileşenleri zayıflatıp zayıflatmadığını değerlendirir.

İşletmenin risk değerlendirme süreci, finansal raporlama amaçlarıyla ilgili iş hayatına ilişkin riskleri belirlemeye yöneliktir.

Bu süreç risklerin gerçekleşme ihtimali dahil ciddiyetini değerlendirir ve risklerin nasıl ele alınacağını kapsar.

Denetçi bu sürecin işletmenin niteliği ve karmaşıklığına uygun olup olmadığını değerlendirir.

Ayrıca denetçi, yönetimin belirleyemediği önemli yanlışlık risklerini kendisi belirlerse, bu risklerin işletmenin risk değerlendirme süreci tarafından belirlenmesi beklenen türden olup olmadığına bakar.

Eğer öyleyse, sürecin bu riskleri neden belirleyemediğini anlaması gerekir.

Bu nokta, risk değerlendirme sürecini kağıt üzerinde var olan bir politika olmaktan çıkarıp işleyen bir kontrol bileşeni olarak sınar.

İç kontrol sistemini izleme süreci, kontrollerin etkinliğinin işletme tarafından nasıl takip edildiğini gösterir.

Denetçi sürekli ve ayrı değerlendirmeler, belirlenen kontrol eksikliklerinin tanımlanması ve giderilmesi, varsa iç denetim fonksiyonunun niteliği, sorumlulukları ve faaliyetleri hakkında kanaat edinir.

İzleme sürecinde kullanılan bilgi kaynakları ve yönetimin bu bilgilerin yeterince güvenilir olduğunu düşünmesinin dayanağı da önemlidir.

Bir kontrolün tasarlanmış olması tek başına yeterli değildir; işletmenin zaman içinde kontrollerin çalışıp çalışmadığını nasıl gördüğü, eksiklikleri nasıl fark ettiği ve nasıl giderdiği risk değerlendirmesini etkiler.

Bilgi sistemi ve iletişim bileşeni, finansal raporlamanın teknik akışını görünür kılar.

Denetçi kritik işlem sınıfları, hesap bakiyeleri ve açıklamalar için işlemlerin nasıl başlatıldığını, işlemlere ilişkin bilgilerin nasıl kaydedildiğini, işlendiğini, gerektiğinde düzeltildiğini, defteri kebire nasıl aktarıldığını ve finansal tablolarda nasıl raporlandığını anlar.

İşlemler dışındaki olay ve şartların nasıl kayıt altına alındığı, işlendiği ve finansal tablolarda açıklandığı da bu kapsamda değerlendirilir.

Muhasebe kayıtları, finansal tablolardaki belirli hesaplar, destekleyici kayıtlar, finansal raporlama süreci ve BT çevresi dahil kaynaklar birlikte ele alınır.

İletişim, bilgi sisteminin sadece veri üretmesi değil, görev ve sorumlulukları işletme içinde ve dışında doğru yerlere aktarmasıdır.

BDS 315 denetçinin, finansal raporlamaya ilişkin görev ve sorumlulukların işletmedeki kişiler arasında nasıl iletildiğini, yönetim ile üst yönetimden sorumlu olanlar arasında nasıl iletişim kurulduğunu ve düzenleyici kurumlar gibi işletme dışındaki taraflarla finansal tabloların hazırlanmasını destekleyen önemli hususlar hakkında nasıl iletişim sağlandığını anlamasını ister.

Bilgi sistemi ve iletişim, geçerli finansal raporlama çerçevesine uygun finansal tablo hazırlanmasını desteklemelidir; denetçi bu uygunluğu değerlendirir.

Kontrol faaliyetleri bileşeni, belirli yönetim beyanı düzeyindeki önemli yanlışlık risklerini ele alan kontrollerle ilgilidir.

Denetçi ciddi risk olduğuna karar verilen riskleri ele alan kontrolleri, tekrar etmeyen ve olağan dışı işlem veya düzeltmeleri kaydetmek için kullanılan standart olmayan yevmiye kayıtları dahil yevmiye kayıtları üzerindeki kontrolleri, işleyiş etkinliğini test etmeyi planladığı kontrolleri ve mesleki muhakemesine göre belirlenen diğer kontrolleri dikkate alır.

Her belirlenen kontrol için kontrolün ilgili riski ele almak veya diğer kontrollerin işleyişini desteklemek üzere etkin tasarlanıp tasarlanmadığını değerlendirir ve yalnız sorgulamayla yetinmeyip ek prosedürlerle uygulanıp uygulanmadığına karar verir.

BDS 315’in teknolojiyle ilgili tanımları, modern iç kontrol sorularını keskinleştirir.

Bilgi işleme kontrolleri, BT uygulamalarında veya manuel süreçlerde bilginin tamlığı, doğruluğu ve geçerliliğiyle ilgili riskleri ele alan kontrollerdir.

Genel BT kontrolleri ise bilgi işleme kontrollerinin etkin biçimde işlemeye devam etmesini ve BT çevresinin sürekli doğru çalışmasını destekleyen BT süreçleri üzerindeki kontrollerdir.

BT çevresi uygulamaları, altyapıyı, veri tabanlarını, işletim sistemlerini, ağları, değişiklik yönetimini, erişim yönetimini ve operasyon süreçlerini kapsar.

Böylece iç kontrol sorusu yalnız belge imzasına değil, bilginin işlendiği sistemin güvenilirliğine de uzanır.

Son olarak iç kontrol sisteminin denetimdeki yeri, önemli yanlışlık riski kavramıyla kapanır.

Yönetim beyanı düzeyindeki riskler yapısal risk ve kontrol riski bileşenlerinden oluşur.