Sermaye Piyasasında Bağımsız Denetim Standartları Hakkında Tebliğ Seri: X, No: 22 Konu Anlatımı

Sermaye piyasasında bağımsız denetim standartları hakkındaki düzenlemeler, bilgi sistemleri bağımsız denetimi için doğrudan finansal tablo denetimini kopyalayan bir alan oluşturmaz; fakat denetimin planlanması, risklere cevap verilmesi, iç kontrolün anlaşılması, kanıt toplanması, bağımsızlık ve raporlama gibi temel başlıklarda ortak bir denetim mantığı sağlar.

Kaynak, Uluslararası Denetim Standartlarının genel olarak finansal tabloların denetiminde kullanıldığını, buna rağmen işletmenin kontrol ortamına yönelik hususlar içermesi ve bağımsız denetimin planlanması, raporlanması, denetim örneklemesi ve denetim prosedürleri bakımından bilgi sistemleri denetimine benzerlik göstermesi nedeniyle kıyasen uygulanabileceğini belirtir.

Bu kıyasen uygulama yaklaşımı, bilgi sistemleri denetçisinin finansal tablo denetçisiyle aynı şeyi yaptığı anlamına gelmez.

Finansal tablo denetiminde görüş finansal tabloların geçerli raporlama çerçevesine uygunluğu üzerinedir.

Bilgi sistemleri bağımsız denetiminde ise görüş, bilgi sistemleri kontrollerinin ilgili bilgi sistemleri yönetimi düzenlemelerine uygun, etkin ve yeterli şekilde tesis edilip edilmediğiyle ilgilidir.

Ancak her iki alanda da denetçi kanıt toplar, riskleri değerlendirir, kontrolleri anlar, gerektiğinde test eder ve raporunda ulaşabildiği güvence seviyesine uygun görüş verir.

Bu ortak yöntem zemini, Seri X No 22 ve bağlantılı bağımsız denetim standartlarının bilgi sistemleri denetimiyle ilişkilendirilmesini açıklar.

Kaynakta ISA 240 hileye ilişkin sorumluluklar bakımından ele alınır.

Standart, finansal tabloların denetiminde hile kaynaklı önemli yanlışlık riskleri için ISA 315 ve ISA 330’un nasıl uygulanacağını açıklar.

Yanlışlıklar hata veya hile kaynaklı olabilir; hileyi hatadan ayıran temel unsur kasıttır.

Denetçi hileli finansal raporlama ve varlıkların kötüye kullanılması kaynaklı yanlışlıklarla ilgilenmelidir.

Hilenin önlenmesi ve tespit edilmesinin esas sorumluluğu işletme yönetimine aittir; yönetimin dürüstlük ve etik davranış kültürü oluşturması önemlidir.

Denetçinin sorumluluğu ise denetimi standartlara uygun planlayıp yürüterek hata veya hile kaynaklı önemli yanlışlığın bulunmadığına ilişkin makul güvence sağlamaktır.

Teknik bilgi gerektiren adli bilişim ve bilgi sistemleri alanlarında uzman görevlendirme gereği de bu bağlamda ortaya çıkabilir.

ISA 265, denetçinin finansal tabloların denetimi sırasında tespit ettiği iç kontrol eksikliklerini üst yönetimden sorumlu olanlara uygun biçimde bildirmesiyle ilgilidir.

Bu standart, iç kontrol sistemini anlama veya kontrol testleri tasarlama bakımından ISA 315 ve ISA 330’a ek bir denetim prosedürü yüklemek için değil, tespit edilen önemli iç kontrol eksikliklerinin zamanında ve yazılı olarak bildirilmesi için önem taşır.

Bilgi sistemleri denetiminde bu mantık, kontrol zayıflıklarının yalnız teknik bulgu olarak kalmaması, yönetim ve üst yönetim seviyesinde ele alınabilecek raporlanabilir eksikliklere dönüştürülmesi gerektiğini öğretir.

ISA 300 planlama standardıdır.

İlk denetim ve tekrarlanan denetimlerde denetçinin planlama sorumluluklarını ele alır.

Kaynak, bilgi sistemleri bağımsız denetiminde planlama bakımından bu standardın kıyasen uygulanacağının hüküm altına alındığını belirtir.

Planlama, denetime yönelik genel denetim stratejisinin oluşturulması ve denetim planının geliştirilmesini kapsar.

Bilgi sistemleri açısından verilerin erişilebilirliği, bilgisayar destekli denetim tekniklerinin kullanılma imkanı, bilgi sistemlerinin planlanan denetim metodolojisi üzerindeki etkisi ve bilgi teknolojisi ile iş süreçlerindeki değişiklikler planlamada dikkate alınmalıdır.

Bu nedenle planlama yalnız zaman çizelgesi değil, denetim yönteminin sistem ortamına göre kurulmasıdır.

ISA 315, işletme ve çevresini, iç kontrol dahil tanıyarak önemli yanlışlık risklerinin belirlenmesi ve değerlendirilmesi standardıdır.

Kaynak, bu standartta bilgi sistemleri konusunun iç kontroldeki önemi nedeniyle yoğun biçimde ele alındığını belirtir.

Bilgi işleme kontrolleri, bilgi teknolojisi çevresi, uygulamalar, altyapı, bilgi teknolojisi süreçleri, bilgi teknolojisi kullanımından kaynaklanan riskler ve genel bilgi teknolojisi kontrolleri tanımlanır.

Bilgi işleme kontrolleri işlemlerin ve diğer bilgilerin tamlığı, doğruluğu ve geçerliliğiyle ilgili riskleri ele alır.

Bilgi teknolojisi çevresi uygulamaları, altyapıyı, süreçleri ve personeli kapsar.

Genel bilgi teknolojisi kontrolleri ise bilgi işleme kontrollerinin etkin biçimde işlemeye devam etmesini ve bilginin bütünlüğü dahil teknoloji çevresinin doğru çalışmasını destekler.

ISA 315’in risk değerlendirme süreci yinelenen ve dinamik bir süreçtir.

Risk değerlendirme prosedürleri tek başına denetim görüşüne dayanak oluşturacak yeterli ve uygun kanıt sağlamaz; fakat hangi risklere hangi prosedürlerle cevap verileceğini belirlemenin temelini oluşturur.

Denetçi yönetimi, varsa iç denetim fonksiyonundaki uygun kişileri ve gerekli gördüğü diğer kişileri sorgular; analitik prosedürler, gözlem ve tetkik kullanır.

İç kontrol sistemi, finansal raporlamanın güvenilirliği, faaliyetlerin etkinliği ve verimliliği ile mevzuata uygunluk açısından işletmenin amaçlarına ulaştığına dair makul güvence sağlamak amacıyla tasarlanır, uygulanır ve sürdürülür.

Bilgi sistemleri denetimi açısından bu çerçeve, denetçinin teknoloji risklerini işletme süreçlerinden kopuk değil, kontrol sistemi içinde anlaması gerektiğini gösterir.

ISA 330, değerlendirilen önemli yanlışlık risklerine karşı yapılacak işleri ele alır.

Denetçinin amacı, önemli yanlışlık risklerine uygun denetim prosedürleri tasarlayıp uygulayarak yeterli ve uygun denetim kanıtı elde etmektir.

Denetim prosedürleri kontrol testleri ve maddi doğrulama prosedürleri olarak ayrılır.

Kontrol testinin amacı, ilgili kontrolün önemli yanlışlığı engelleme ya da ortaya çıktığında yakalayıp düzelttirme kapasitesinin fiilen çalışıp çalışmadığını sınamaktır.

Kaynak, önceki denetimlerden elde edilen kanıtların kullanılmasının uygun olup olmadığını değerlendirirken genel bilgi sistemleri kontrollerinin halen etkin olup olmadığına bakılması gerektiğini de aktarır.

Bilgisayar destekli teknikler elektronik işlemleri daha kapsamlı test etmek, ana dosyalardan örnek seçmek, belirli özellikteki işlemleri sınıflandırmak veya ana kitlenin tamamını test etmek için kullanılabilir.

ISA 402, hizmet kuruluşu kullanan işletmelerde denetçinin dış hizmet sağlayıcılar hakkında yeterli ve uygun kanıt elde etme sorumluluğunu düzenler.

Finansal raporlamaya ilişkin bilgi sistemleri faaliyetleri dışarıdan sağlanıyorsa, bu hizmetlerin niteliği ve önemi ile hizmetlerin işletmenin iç kontrol sistemi üzerindeki etkisi anlaşılmalıdır.

Bilgi sistemleri denetiminde bu konu bulut hizmetleri, dış kaynaklı işlem altyapıları veya hizmet sağlayıcı kontrolleri bakımından önemlidir.

Denetçi yalnız işletme içindeki kontrolleri görmekle yetinemez; dış hizmetin denetlenenin kontrol ortamı üzerindeki etkisini de değerlendirme kapsamına alır.

Bağımsızlık ve etik kurallar bilgi sistemleri bağımsız denetiminde de belirleyicidir.

Kaynak, BSBD Tebliği’nin ilgili hükmü uyarınca sermaye piyasasında bilgi sistemleri denetimi yapmak üzere yetkilendirilen bağımsız denetim kuruluşları ve bunların bünyesindeki bilgi sistemleri denetçileri için KGK tarafından yayımlanan Bağımsız Denetçiler İçin Etik Kuralların kıyasen uygulandığını belirtir.

Denetçilik mesleğinin ayırt edici yönlerinden biri kamu yararına hareket etme sorumluluğudur.

Denetçinin sorumluluğu yalnız müşterinin veya işverenin ihtiyacını karşılamak değildir.

Etik kurallar ve bağımsızlık, bilgi sistemleri denetçi görüşünün güvenilirliği için teknik uzmanlık kadar zorunludur.

Raporlama örnekleri, denetim sonucunun nasıl yapılandırıldığını gösterir.

Bilgi sistemleri bağımsız denetim görüşünde yönetim kuruluna hitap edilir; denetlenenin bilgi sistemleri üzerinde ilgili tebliğ kapsamında denetim yapıldığı belirtilir.

Yönetim kurulunun sorumluluğu, bilgi sistemleri kontrollerinin ilgili bilgi sistemleri yönetimi düzenlemesinde belirtilen usul ve esaslara uygun kurulması, etkin işletilmesi ve yeterli kontrol ortamının tesis edilmesidir.

Yetkili denetim kuruluşunun sorumluluğu, yaptığı çalışmaya dayanarak görüş bildirmektir.

Denetim, önemli kontrol eksikliklerinin tespitine dair makul güvence sağlayacak şekilde planlanır ve yürütülür; uyumluluk ile tasarım ve işletim etkinliği önemlilik ilkesi çerçevesinde test edilir.