Bilgi Sistemleri Bağımsız Denetim Tebliği III-62.2 Konu Anlatımı

III-62.2, bilgi sistemleri bağımsız denetiminin düzenleyici çerçevesidir.

Bu çerçevede denetim, bilgi sistemleri yönetimi ve işletimi kapsamındaki faaliyetlerin, yazılımların, donanımların ve bu sistemler içinde tesis edilen kontrollerin bilgi sistemleri yönetim ilkeleri doğrultusunda değerlendirilmesiyle başlar.

Değerlendirme yalnız teknik bulgu toplamaya indirgenmez; sonunda bir görüş oluşturulur ve bu görüş rapora bağlanır.

Amaç, denetlenenin bilgi sistemleri ile bu sistemlere ilişkin iç kontrollerinin uyumluluk, etkinlik ve yeterlilik bakımından değerlendirilmesidir.

Sınavda III-62.2 sorusu geldiğinde, bunun kontrol ortamını kuran yönetim düzenlemesi değil, bağımsız denetimin yürütülmesi ve raporlanması düzeni olduğu ayırt edilmelidir.

Tebliğin dayandığı mantık, sermaye piyasası kurumları, halka açık şirketler, borsalar ve öz düzenleyici kuruluşlar gibi yapılar için bilgi sistemlerinin işletimi ve denetimine ilişkin usul ve esasların belirlenmesidir.

Kapsama halka açık ortaklıklar, sermaye piyasası kurumları ve öz düzenleyici kuruluşlar girer; ancak periyodik bilgi sistemleri bağımsız denetim yükümlülüğü her işletme için aynı biçimde kurulmamıştır.

Bazı kurumlar her yıl, bazıları iki veya üç yılda bir denetime tabi olabilir; bazıları için periyodik yükümlülük bulunmayabilir.

Kurulun yükümlülük ve muafiyetleri işletmeler bazında değiştirme yetkisi de bu sistemin parçasıdır.

III-62.2 ile VII-128.10 arasındaki fark, rapor sorumluluklarında açık biçimde görülür.

Bilgi sistemleri kontrollerinin denetlenen nezdinde VII-128.10'da belirtilen usul ve esaslara uygun oluşturulması, etkin olarak işletilmesi ve yeterli bir kontrol ortamı tesis edilmesi denetlenen yönetimin sorumluluğundadır.

Buna karşılık yetkili denetim kuruluşunun sorumluluğu, yaptığı denetim çalışmasına dayanarak görüş bildirmektir.

Bu ayrım pratikte şunu anlatır: yönetim kontrol ortamını kurar, işletir ve sürdürür; denetçi bu ortamın etkinliği, yeterliliği ve uyumluluğu hakkında makul dayanak oluşturacak kanıtları toplar.

Denetimin planlanması makul güvence kavramı üzerine kurulur.

Denetim, denetlenenin bilgi sistemleri üzerinde var olan önemli kontrol eksikliklerinin tespit edilmesine dair makul güvence sağlayacak şekilde planlanmalı ve III-62.2'de belirtilen usul ve esaslara uygun yürütülmelidir.

Bu çalışma bilgi sistemleri kontrollerinin uyumluluğunu, tasarım etkinliğini ve işletim etkinliğini önemlilik ilkesi çerçevesinde test etmeyi içerir.

Denetçi yalnız görüş belirtmek için değil, görüşün makul ve yeterli bir dayanağı olduğunu göstermek için de yeterli ve uygun kanıt elde etmelidir.

Test kapsamı belirlenirken denetim riski ve kontrol eksikliği riski birlikte düşünülür.

Denetçi, bilgi sistemleri kontrollerinin bütünü için verilecek görüşe makul güvence sunacak ölçüde kanıt toplamalıdır.

Önemli veya kayda değer kontrol eksikliği riskinin yüksek olduğu alanlarda tespit riskini düşürecek biçimde testleri detaylandırmak, örneklem hacmini genişletmek ve kanıtların yeterlilik ile güvenilirlik seviyesini artırmak gerekir.

Bir kontrolün uygulanma sıklığı, faal olduğu süre, sapma beklentisi ve denetim döneminin tamamına ilişkin görüş oluşturma ihtiyacı test kapsamını etkiler.

Yalnız bilgi toplama tekniğiyle elde edilen kanıt, tek başına kontrolün etkinlik, yeterlilik ve uyumluluğu hakkında görüş oluşturmak için yeterli değildir.

Raporun merkezinde bilgi sistemleri ve bu sistemler üzerindeki kontrollerin bütününün etkin, yeterli ve uyumlu olup olmadığı açıkça yer alır.

Olumlu görüş, önemli kontrol eksikliği bulunmadığında ve denetim kapsamında kısıtlama ya da engelleme yaşanmadığında verilir.

Şartlı görüş, en az bir önemli kontrol eksikliğine rağmen bu eksikliklerin bilgi sistemlerinin bütününü veya büyük kısmını etkilemediği durumda ya da denetim faaliyetini sınırlayan ama görüşten kaçınmayı gerektirecek ağırlıkta olmayan bir husus bulunduğunda gündeme gelir.

Yeterli ve uygun kanıt elde edilememesi de şartlı görüşe yol açabilir.

Olumsuz görüş daha ağır bir sonuçtur.

Denetim sonucunda rastlanan önemli kontrol eksiklikleri tek başına ya da birlikte değerlendirildiğinde işletmenin bilgi sistemlerinin bütününü veya büyük kısmını etkiliyorsa olumsuz görüş verilir.

Yönetim beyanı ile denetçinin işletme bünyesinde yaptığı çalışma arasında, önemli kontrol eksikliğinin bütün önemli taraflarıyla eksik veya yanlış aktarılmasından kaynaklanan fark bulunması da olumsuz görüş nedenidir.

Görüş bildirmekten kaçınma ise belirsizlik ve sınırlamaların görüş belirtmeyi engelleyecek derecede önemli olduğu durumlarda kullanılır; bu raporda kaçınmaya yol açan nedenlerin açıklanması gerekir.

Rapor örneklerinde doğal kısıtlar ayrıca vurgulanır.

Kontrollerin doğasında bulunan sınırlamalar nedeniyle bazı bilgi sistemleri kontrol zayıflıkları bulunabilir ve denetimde tespit edilemeyebilir.

Ayrıca denetim bulgularına dayanılarak elde edilen sonuçlar gelecek dönemlere otomatik taşınamaz.

Mevcut şartların değişmesi, sistemlerde veya kontrollerde değişiklik yapılması ya da kontrollerin etkinlik derecesinin bozulması sonuçların zaman içinde değişmesine neden olabilir.

Bu nedenle III-62.2 kapsamında rapor tarihi, denetim dönemi, kapsam, kanıt yeterliliği ve görüş türü birlikte okunmalıdır.

Olumlu görüş dışındaki görüşlerde rapor dili ayrıca önem kazanır.

Denetçi, şartlı görüş, olumsuz görüş veya görüşten kaçınma nedenlerini açık biçimde belirtmelidir.

Kapsam sınırlaması varsa yönetimden sınırlamanın kaldırılmasını istemesi, yeterli ve uygun kanıt elde etmek için alternatif prosedürlerin mümkün olup olmadığını değerlendirmesi gerekir.

Kanıt yetersizliği şartlı görüşe yol açıyorsa, görüş bölümünde ilgili hususun muhtemel etkileri hariç olmak üzere ifade edilen bir sonuç kullanılır.

Görüşten kaçınmada ise bilgi sistemlerine yönelik görüş bildirilemediği belirtilir.

Böylece rapor, yalnız sonucu değil sonuca ulaşmayı engelleyen veya sonucu değiştiren koşulları da taşır.

III-62.2 kapsamında raporu yorumlarken denetlenen yönetimin beyanı, denetçinin kanıtı ve kontrol eksikliğinin yaygınlığı birlikte değerlendirilir.

Önemli bir kontrol eksikliği sınırlı alanda kalıyorsa şartlı görüş gündeme gelebilir; bilgi sistemlerinin bütününü veya büyük kısmını etkiliyorsa olumsuz görüş doğar.

Denetçi gerekli kanıtı elde edemiyorsa sorun kontrolün gerçekten etkin olup olmamasından farklıdır; burada görüşün dayanağı eksiktir.

Bu ayrım, sınavda olumlu, şartlı, olumsuz ve görüşten kaçınma seçeneklerini ayırmayı sağlar.

III-62.2'nin öğretici özü, denetim metodolojisini, kanıt yeterliliğini ve raporlama sonucunu aynı zincirde düşünmektir.

Denetim yükümlülüğünün dönemsel yapısı da III-62.2 anlatımının parçasıdır.

Bilgi sistemleri bağımsız denetimi Ocak-Aralık dönemini kapsayan bir yıllık dönem için yaptırılır ve yükümlülük, kurum türüne göre her yıl, iki yılda bir veya üç yılda bir doğabilir.