İç Kontrol Sistemi ve Değerlendirilmesi Konu Anlatımı

BDS 315’te iç kontrol sistemi, denetçinin işletmeyi tanıma çalışmasının ayrı ve teknik bir parçasıdır.

Standart iç kontrolü yalnız onay imzası, görev ayrılığı veya kasa sayımı gibi tekil kontrollerden ibaret görmez.

Finansal raporlamanın güvenilirliği, faaliyetlerin etkinliği ve mevzuata uygunluk amaçlarına hizmet eden, yönetim ve üst yönetimden sorumlu olanlar tarafından kurulan bir sistem olarak ele alır.

Denetim açısından bu sistemin önemi, finansal tablolardaki önemli yanlışlık risklerinin nerede ve neden doğabileceğini anlamaya yardım etmesidir.

BDS 315’e göre iç kontrol sistemi beş bileşenden oluşur.

Kontrol çevresi, işletmenin dürüstlük, etik değerler, yetki ve sorumluluk dağılımı, yetkin personel politikası ve hesap verebilirlik anlayışını kapsayan zeminidir.

İşletmenin risk değerlendirme süreci, finansal raporlama amaçlarıyla ilgili iş risklerinin nasıl belirlendiğini, bu risklerin olasılık ve ciddiyetinin nasıl değerlendirildiğini ve risklere nasıl karşılık verildiğini gösterir.

İç kontrol sistemini izleme süreci, kontrollerin zaman içinde etkili kalıp kalmadığını ve eksikliklerin nasıl belirlenip giderildiğini açıklar.

Bilgi sistemi ve iletişim, işlemlerin başlatılmasından finansal tablolara aktarılmasına kadar veri akışını ve sorumlulukların nasıl duyurulduğunu kapsar.

Kontrol faaliyetleri ise belirli yönetim beyanı düzeyindeki riskleri ele alan somut politika ve prosedürlerdir.

Denetçinin amacı işletmenin iç kontrol sistemi hakkında kanaat edinmektir; bu, işletmeye iç kontrol güvence raporu vermek anlamına gelmez.

Denetçi, finansal tabloların bağımsız denetimi için gerekli ölçüde anlayış edinir.

Bu anlayış, risk değerlendirme prosedürleriyle elde edilir ve sorgulama tek başına yeterli sayılmaz.

Denetçi yöneticileri ve personeli sorgulayabilir, süreçleri gözlemleyebilir, belgeleri ve kayıtları inceleyebilir, işlem akışlarını takip edebilir ve kontrolün uygulandığına ilişkin kanıt arayabilir.

Buradaki temel tuzak, “kontrol hakkında kanaat edinme” ile “kontrolün işleyiş etkinliğini test etme”yi aynı görmekten kaynaklanır.

Tasarımı değerlendirmek ve uygulanıp uygulanmadığını anlamak, her durumda kontrol testine güvenileceği anlamına gelmez.

Kontrol çevresi denetim yaklaşımını yaygın biçimde etkileyebilir.

Yönetim etik kültür kurmuyor, üst yönetim gözetimi zayıf kalıyor veya yetki sorumluluklar belirsiz bırakılıyorsa, bu durum yalnız bir hesap kalemini değil bütün finansal raporlama sürecini etkileyebilir.

Buna karşılık güçlü bir kontrol çevresi tek başına önemli yanlışlık riskini ortadan kaldırmaz.

Denetçi, kontrol çevresinin diğer iç kontrol bileşenleri için uygun bir temel oluşturup oluşturmadığını ve belirlenen eksikliklerin diğer bileşenleri zayıflatıp zayıflatmadığını değerlendirir.

Bu nedenle kontrol çevresi olumluysa denetim bitmiş sayılmaz; olumsuzsa da hangi risklere nasıl karşılık verileceği ayrıca planlanır.

İşletmenin risk değerlendirme süreci, yönetimin finansal raporlama risklerini fark edip etmediğini gösterir.

Denetçi işletmenin iş risklerini nasıl tanımladığını, bu risklerin gerçekleşme ihtimalini ve etkisini nasıl değerlendirdiğini, bu riskleri ele almak için hangi adımları attığını öğrenir.

Denetçi yönetimin belirlemediği bir önemli yanlışlık riski bulursa, bu riskin işletmenin kendi süreci tarafından beklenir biçimde yakalanması gerekip gerekmediğini düşünür.

Eğer yakalanması beklenirken yakalanmamışsa, bu durum risk değerlendirme sürecinin uygunluğu hakkında olumsuz bir gösterge olabilir ve denetçinin risk değerlendirmesini etkiler.

İzleme süreci, kontrollerin kurulduğu günkü haliyle kalmadığını kabul eder.

İşletmeler büyür, sistemler değişir, personel değişir ve yeni işlem türleri ortaya çıkar.

Bu nedenle yönetimin kontrolleri sürekli veya ayrı değerlendirmelerle izleyip izlemediği, kontrol eksikliklerini nasıl belirlediği ve nasıl giderdiği önemlidir.

İç denetim fonksiyonu varsa, denetçi bu fonksiyonun niteliği, sorumlulukları ve faaliyetleri hakkında da kanaat edinir.

Ancak iç denetimin varlığı, bağımsız denetçinin sorumluluğunu ortadan kaldırmaz; sadece risk değerlendirmesinde ve kanıt stratejisinde dikkate alınabilecek bir bilgi kaynağıdır.

Bilgi sistemi ve iletişim bileşeni, muhasebe kayıtlarının nereden doğduğunu ve finansal tablolara nasıl dönüştüğünü anlamayı sağlar.

Denetçi kritik işlem sınıfları, hesap bakiyeleri ve açıklamalar bakımından işlemlerin nasıl başlatıldığını, kaydedildiğini, işlendiğini, düzeltildiğini, defteri kebire aktarıldığını ve finansal tablolarda raporlandığını öğrenir.

İşlemler dışındaki olay ve şartların nasıl kayda alındığı da önemlidir; değer düşüklüğü, karşılık veya açıklama gerektiren olaylar buna örnektir.

İletişim yönü ise finansal raporlama sorumluluklarının işletme içinde, yönetim ile üst yönetimden sorumlu olanlar arasında ve gerektiğinde düzenleyici kurumlar gibi dış taraflarla nasıl paylaşıldığını kapsar.

Kontrol faaliyetleri bileşeninde denetçi bütün kontrolleri tek tek kataloglamaz.

BDS 315 özellikle belirli kontrol gruplarına odaklanır.

Ciddi riskleri ele alan kontroller, standart olmayan yevmiye kayıtları ve olağan dışı düzeltmeler üzerindeki kontroller, denetçinin işleyiş etkinliğini test etmeyi planladığı kontroller ve mesleki muhakemeyle ilgili görülen diğer kontroller belirlenir.

Her belirlenen kontrol için tasarım değerlendirilir ve kontrolün uygulanıp uygulanmadığına karar verilir.

Bu değerlendirme yalnız “personel böyle yapıyoruz dedi” cevabına bırakılamaz; sorgulamaya ek prosedürlerle desteklenmelidir.

BT kullanımı iç kontrol değerlendirmesinde ayrı bir dikkat alanıdır.

Bilgi işleme kontrolleri, işlem bilgilerinin bütünlüğü, doğruluğu ve geçerliliğiyle ilgili riskleri ele alan otomatik veya manuel kontroller olabilir.

Genel BT kontrolleri ise uygulamaların ve bilgi işleme kontrollerinin etkin biçimde çalışmasını destekleyen erişim, değişiklik, işletim ve veri bütünlüğü kontrollerini ifade eder.

Denetçi, belirlenen kontrollerden hareketle BT kullanımından kaynaklanan risklere maruz kalan uygulamaları ve BT çevresi yönlerini belirler; ardından bu riskleri ele alan genel BT kontrollerini değerlendirir.

Sınav açısından otomatik kontrolün varlığı her zaman güvenilirlik anlamına gelmez; ilgili genel BT kontrolleri zayıfsa otomatik kontrolün sürekliliği de sorgulanır.

İç kontrol değerlendirmesinin sonucu, kontrol eksikliği bulunup bulunmadığına ve önemli yanlışlık risklerinin nasıl değerlendirileceğine bağlanır.

Kontrol riski, bir yönetim beyanındaki yanlışlığın işletmenin iç kontrol sistemi tarafından zamanında önlenmemesi, tespit edilmemesi veya düzeltilmemesi riskidir.

Denetçi kontrollerin işleyiş etkinliğini test etmeyi planlıyorsa kontrol riskini bu plana göre değerlendirir.

Kontrolleri test etmeyi planlamıyorsa kontrol riski değerlendirmesi, önemli yanlışlık riski değerlendirmesini azaltacak bir güvence olarak kullanılamaz.

Bu ayrım, “iç kontrol var, o halde daha az denetim yapılır” şeklindeki hatalı genellemeyi önler.