Risk Odaklı İç Denetim Planı Nasıl Hazırlanır?

Risk odaklı iç denetim planı, şirketin denetlenebilir tüm alanlarını tanımlayan bir denetim evreninden yola çıkarak bu alanları risk kriterleriyle derecelendiren, öncelikleri belirleyen ve sınırlı denetim kaynağını en yüksek riskli alanlara yönlendiren yıllık bir çalışma programıdır. İyi bir plan; yönetim kurulunun ve denetim komitesinin beklentileriyle, şirketin stratejik hedefleriyle ve değişen risk ortamıyla bağlantılıdır. Bu yazıda planın hazırlanmasında izlenebilecek adımları, Uluslararası İç Denetçiler Enstitüsü’nün (IIA) yayımladığı Küresel İç Denetim Standartları’nın genel yaklaşımıyla birlikte ele alıyoruz.

Risk odaklı iç denetim ne demektir?

Risk odaklı denetim, denetim faaliyetlerinin takvim ya da gelenek yerine risk önceliğine göre belirlendiği yaklaşımdır. Her birimi her yıl aynı derinlikte denetlemek yerine, şirketin hedeflerine ulaşmasını en çok tehdit eden alanlara yoğunlaşılır. Küresel İç Denetim Standartları da iç denetim işlevinin planını, belgelenmiş bir risk değerlendirmesine dayandırmasını ve bu planı yönetim kurulunun beklentileriyle uyumlu tutmasını bekler.

Denetim evreni nasıl oluşturulur?

Denetim evreni, iç denetimin kapsamına girebilecek tüm süreçlerin, birimlerin, sistemlerin, iştiraklerin ve projelerin listesidir. Başlangıç noktası organizasyon şeması, süreç haritaları, strateji dokümanları ve önceki denetim bulgularıdır. Yönetimle yapılan görüşmeler ve dış faktörler, bu listeyi tamamlar.

Evren; finansal süreçler, operasyonel süreçler, bilgi teknolojileri, mevzuata uyum, yolsuzluk ve etik riskleri gibi başlıkları kapsayabilir. Holdinglerde grup şirketleri ve ortak hizmet merkezleri de evrene dahil edilmelidir. Evren canlı bir belgedir; yeni iş kollarının, satın almaların veya sistem değişikliklerinin ardından güncellenmelidir.

Risk değerlendirmesinde hangi kriterler kullanılır?

Her denetim alanı, önceden belirlenmiş ve yönetim tarafından anlaşılır kriterlerle puanlanır. Kriterler şirketin yapısına göre değişse de çoğu çerçevede aşağıdaki unsurlar yer alır:

• Etki: Riskin gerçekleşmesi halinde finansal, operasyonel, itibar veya hukuki sonuçların büyüklüğü.
• Olasılık: Riskin gerçekleşme ihtimali ve geçmişte yaşanan olaylar.
• Kontrol ortamının gücü: Mevcut kontrollerin tasarım ve işleyiş yeterliliği.
• Karmaşıklık ve değişim: Sürecin karmaşıklığı, yeni sistemler, yeniden yapılanmalar ve personel değişimi.
• Önceki denetim sonuçları: Son denetimden bu yana geçen süre ve açık kalan bulgular.
• Mevzuat ve paydaş hassasiyeti: Düzenleyici ilgi, kamuoyu etkisi ve yatırımcı beklentisi.

Risk değerlendirmesi yalnızca iç denetim ekibinin masa başı çalışması olmamalıdır. Üst yönetim, süreç sahipleri ve varsa kurumsal risk yönetimi işleviyle yapılan görüşmeler, değerlendirmenin güvenilirliğini artırır. İç denetim, yönetimin risk değerlendirmesine yaslanabilir; ancak bu çıktıları kendi bağımsız yargısıyla doğrulamalıdır.

Denetim öncelikleri nasıl belirlenir?

Puanlama sonrasında alanlar, risk seviyelerine göre sıralanır. Yüksek riskli alanlar her yıl veya kısa aralıklarla, orta riskli alanlar belirli döngülerle, düşük riskli alanlar ise daha seyrek ya da talep üzerine ele alınır. Burada mekanik sıralamadan çok yargı önemlidir: Puanı düşük görünen bir alan, yeni bir olay ya da yönetim talebi nedeniyle plana girebilir.

Güvence alanları arasındaki örtüşme ve boşluklar da bu aşamada değerlendirilir. Dış denetçi, uyum işlevi, kalite veya risk yönetimi birimlerinin kapsadığı alanlar bilindiğinde, iç denetim çalışması gereksiz tekrardan kaçınır ve kaynaklarını katma değerli alanlara yönlendirir.

Yıllık plan ve kaynaklar nasıl yapılandırılır?

Öncelikli alanlar, mevcut kaynaklarla gerçekçi bir takvime dönüştürülür. Denetçilerin sayısı, uzmanlık alanları, bilgi teknolojileri veya veri analitiği gibi özel yetkinlik ihtiyacı ve planlanan eğitimler hesaba katılır. Planın tümünün kaynakla karşılanamadığı durumda, kapsam dışı kalan alanlar ve bunun risk etkisi denetim komitesine açıkça bildirilmelidir.

Yıl içinde ortaya çıkabilecek özel inceleme talepleri, yeni riskler ve plan değişiklikleri için esneklik payı bırakılmalıdır. Plan değişiklikleri gerekçeleriyle belgelenmeli ve komiteye bildirilmelidir. Gerektiğinde dış kaynak veya ortak kaynak kullanımı (co-sourcing) özellikle teknik konularda tamamlayıcı bir seçenektir.

Denetim komitesine nasıl raporlanır?

Yıllık denetim planı, denetim komitesi veya yönetim kurulu tarafından onaylanır. Onay süreci, iç denetimin bağımsızlığını pekiştirir ve planın üst düzey beklentilerle örtüştüğünü gösterir. Yıl boyunca düzenli aralıklarla yapılan raporlamada plan gerçekleşme durumu, önemli bulgular, yönetimin aldığı aksiyonlar ve kaynak yeterliliği yer almalıdır.

İyi bir rapor, bulguları listelemekle kalmaz; riskin ne olduğunu, kök nedeni, iş etkisini ve önerilen aksiyonu sade bir dille anlatır. Komite üyeleri, her bulgunun arkasındaki ayrıntıyı değil, kararlarına yön verecek özeti görmek ister.

Bulguların takibi neden planın parçasıdır?

Denetim, bulgunun yazılmasıyla değil, bulgunun kapanmasıyla değer üretir. Her bulgu için sorumlu, hedef tarih ve aksiyon planı belirlenmeli; iç denetim, bu aksiyonların uygulanıp uygulanmadığını izlemelidir. Süresi geçen veya tekrar eden bulgular, komiteye görünür kılınmalıdır.

Takip çalışmasının sonuçları bir sonraki yılın risk değerlendirmesine de girdi olur: Aksiyonların etkisiz kaldığı alanlar daha yüksek riskli sayılır. Böylece plan, bir yıllık bir takvimden çok sürekli bir döngüye dönüşür.

Küresel İç Denetim Standartları plan açısından ne söyler?

IIA’nın yayımladığı Küresel İç Denetim Standartları, iç denetim mesleğinin amacını, etik ve profesyonelliğini, işlevin yönetişimini ve yönetimini ve denetim hizmetlerinin yürütülmesini kapsayan alanlar altında toplanmıştır. Plan açısından öne çıkan ilkeler şunlardır: Planın belgelenmiş bir risk değerlendirmesine dayanması, kurumun strateji ve hedefleriyle uyumlu olması, yönetim kurulu tarafından gözden geçirilip onaylanması ve kaynak yetersizliğinin açıkça iletilmesi.

Standartlar, uygulama biçimini kural koyarak değil ilkeler yoluyla yönlendirir. Dolayısıyla planın detay düzeyi, risk kriterlerinin ağırlıkları ve denetim yöntemleri şirketin büyüklüğüne ve karmaşıklığına göre şekillenir. Önemli olan, tercihlerin gerekçelendirilmesi ve belgelenmesidir.

Veri analitiği ve sürekli izleme planı nasıl güçlendirir?

Veri analitiği, denetçilerin örneklem yerine tüm işlem popülasyonunu inceleyebilmesini ve riskin yoğunlaştığı noktaları erken fark etmesini sağlar. Sürekli izleme göstergeleri, yıl içinde risk profilindeki değişimleri yansıtarak planın güncellenmesine girdi sunar. Bu araçlar planın yerine geçmez; planı daha dinamik ve kanıta dayalı hale getirir. Yatırım düzeyi şirketin olgunluğuna göre kademelendirilebilir.

Planlamada sık yapılan hatalar nelerdir?

• Planı her yıl bir önceki yılın kopyası olarak hazırlamak ve risk değerlendirmesini güncellememek.
• Yalnızca finansal süreçlere odaklanıp teknoloji, uyum ve etik riskleri dışarıda bırakmak.
• Planı yıl boyunca değiştirilemez saymak ve ortaya çıkan yeni risklere esneklik tanımamak.
• Kaynak yetersizliğini komiteye bildirmeden kapsamı sessizce daraltmak.

Sonuç olarak iyi bir plan, yalnızca denetçilerin ne yapacağını değil, yönetim kurulunun hangi alanlarda güvence aldığını ve hangi alanlarda almadığını da gösterir. Bu şeffaflık, planın en değerli çıktılarından biridir ve komitenin gözetim işlevini güçlendirir.

Bu yazı genel bilgilendirme amacıyla hazırlanmıştır ve mesleki tavsiye niteliği taşımaz; iç denetim planınızı birlikte gözden geçirmek isterseniz Hector Kurumsal ile görüşebilirsiniz.