Uluslararası Mesleki Uygulama Çerçevesi
Başlarken
Bu standartta belirtildiği gibi, iç denetim yöneticisi (İDY), iç denetim faaliyetinin kurum dışından bağımsız bir değerlendirme uzmanına veya değerlendirme ekibine en azından beş yılda bir kez bir dış değerlendirme yaptırmasını sağlamakla yükümlüdür. İç denetim faaliyetinin kalite ve güvence iyileştirme programının (KGİP) gereklerinden biri, dış değerlendirmeyle iç denetim faaliyetinin Uluslararası İç Denetim Mesleki Uygulama Standartlarına (Standartlar) uyduğunu ve iç denetçilerin IIA’nın Etik Kurallarını uyguladığını teyit etmektir. Dolayısıyla, İDY’nin Uluslararası Mesleki Uygulama Çerçevesini (UMUÇ) düzenli olarak gözden geçirmesi ve iç denetim faaliyetinin tamamına iletilmesi gerekebilecek her türlü değişiklikten haberdar olması önemlidir.
İDY, farklı dış değerlendirme tipleri ve bu hizmetleri sunmak için mevcut olan çeşitli kaynaklar hakkında genellikle bilgi sahibidir. İDY, bağlı olduğu kurumda bir dış hizmet sağlayıcısı tutmakla ilgili bulunabilecek her türlü tedarik politikasından da genellikle haberdardır. İDY, ayrıca, dış değerlendirme uzmanı veya değerlendirme ekibiyle ilgili bağımsızlık şartlarını bilmeli ve bağımsızlığa ve tarafsızlığa zarar verebilecek ya da bir çıkar çatışması yaratabilecek durumları anlamalıdır.
Uygulamaya İlişkin Hususlar
İDY, genellikle, yapılacak dış değerlendirmenin sıklığı ve türü konusunda üst düzey yönetimle ve yönetim kuruluyla görüşmeler yapar. Bu görüşmeler, İDY’nin paydaşları eğitmesine ve kurumun beklentilerini anlamasına ve değerlendirmesine imkan sağlar.
Standartlar, iç denetim biriminin en azından beş yılda bir kez bir dış değerlendirmeden geçmesini şart koşar. Ancak üst düzey yönetimle ve yönetim kuruluyla bu şartları görüştükten sonra, İDY daha sık dış değerlendirme yapmanın gerekli olduğuna karar verebilir. Daha sık gözden geçirmeler yapmayı düşünmenin birkaç sebebi vardır. Bunlar arasında lider pozisyonlarındaki (örneğin üst düzey yönetim veya İDY) değişiklikler, iç denetim politikaları ve prosedürlerindeki önemli değişiklikler, iki ya da daha fazla denetim biriminin birleştirilerek tek bir iç denetim faaliyeti haline getirilmesi veya önemli personel devir oranları bulunur.
Ayrıca, sektöre özgü veya çevresel sorunlar da daha sık gözden geçirme yapılmasını gerektirebilir.
Dış değerlendirmeler, iç denetim faali Standartlara uyup uymadığını değerlendirir ve iç denetçilerin Etik Kurallarını uygulayıp uygulamadığı konusunda bir değerlendirme sunar.
Standart 1320 – Kalite Güvence ve İyileştirme Programı Hakkında Raporlama dokümanında belirtildiği gibi, dış değerlendirme uzmanının veya dış değerlendirme ekibinin uyum konusunda vardığı kararı da içeren dış değerlendirme sonuçları, tamamlandıktan sonra üst düzey yönetime veya yönetim kuruluna raporlanmalıdır.
İki Yaklaşım
Dış değerlendirmeler şu iki yaklaşımdan biri kullanılarak yapılabilir: tam kapsamlı bir dış değerlendirme ya da bağımsız dış onayın alındığı bir öz-değerlendirme. Tam kapsamlı bir dış değerlendirme, vasıflı ve bağımsız bir dış değerlendirme uzmanı veya değerlendirme ekibi tarafından yapılacaktır. Ekip yetkin uzmanlardan oluşmalıdır ve deneyimli ve uzman bir proje ekip lideri ekibe önderlik etmelidir. Tam kapsamlı bir dış değerlendirme genellikle üç temel unsurdan oluşur:
Standartlara ve Etik Kurallarına uyumun düzeyi. Bu unsur, iç denetim yönetmeliği, planlar, politikalar, prosedürler ve uygulamalar gözden geçirilerek değerlendirilebilir.
Bazı durumlarda, gözden geçirme uygulamadaki mevzuat ve düzenleyici koşul ve gereklilikler de içerebilir.
İç denetim faaliyetinin etkinliği ve verimliliği. Bu unsur, kalite güvence ve iyileştirme programı da dâhil iç denetim faaliyetinin süreçleri ve altyapısı ve iç denetim personelinin bilgi, deneyim ve uzmanlığı değerlendirilerek ölçülebilir.
İç denetim faaliyetinin yönetim kurulu, üst düzey yönetim ve faaliyet yönetiminin beklentilerini ne derece karşıladığı ve kuruma ne düzeyde değer kattığı.
Bir dış değerlendirme koşulunu yerine getirmeye yönelik ikinci yaklaşım, dışardan bir uzmanın onayının da alındığı öz-değerlendirmedir. Bu tür bir dış değerlendirme, genellikle iç denetim faaliyeti tarafından yapılır ve daha sonra vasıflı ve bağımsız bir dış değerlendirme uzmanı tarafından onaylanır. Dışardan bir uzmanın onayının alındığı öz-değerlendirme kapsamında genellikle şunlar bulunur:
En azından iç denetim faaliyetinin Standartlara ve Etik Kurallarına uyumunu değerlendirmek konusunda, tam kapsamlı dış değerlendirme sürecine denk olan ayrıntılı ve belgelerle tam desteklenmiş bir öz-değerlendirme süreci.
Vasıflı ve bağımsız bir dış değerlendirme uzmanı tarafından yerinde verilen onay.
Kıyaslama gibi başka alanlara ilişkin sınırlı bir değerlendirme; belli başlı uygulamaların gözden geçirilmesi, danışılması ve uygulamaya alınması; üst düzey yönetim ve faaliyetlerden sorumlu yöneticilerle görüşmeler yapılması.
Dış Değerlendirme Uzmanının Vasıfları
Dış değerlendirme için hangi yaklaşım seçilirse seçilsin, değerlendirmeyi tamamlamak için vasıflı ve bağımsız bir dış değerlendirme uzmanı veya değerlendirme ekibinin tutulması gerekir. İDY, değerlendirme uzmanını veya değerlendirme ekibini seçerken genellikle üst yönetime veya yönetim kuruluna danışır. Değerlendirme uzmanları ya da değerlendirme ekipleri iki ana alanda yetkin olmalıdırlar: iç denetim mesleği uygulaması (UMUÇ hakkında güncel ayrıntılı bilgiler dâhil) ve dış kalite değerlendirme süreci. Tercih edilen vasıflar ve yetkinlikler arasında genellikle aşağıda sayılanlar bulunur:
Bir iç denetim uzmanlık sertifikası (örneğin Sertifikalı İç Denetçi –CIA–);
Başlıca iç denetim uygulamaları hakkında bilgi ve
Yönetim kademesinde, UMUÇ hakkında temel bir bilgiye sahip olunduğunu ve onun uygulandığını gösteren, iç denetim konusunda yeterli ve güncel mesleki deneyim.
Kurumlar, değerlendirme ekip liderlerinde ve bağımsız onaylayıcılarda başka ek vasıflar ve yetkinlikler arayabilirler. Bunlar arasında:
Önceki dış değerlendirme çalışmalarından elde edilen ek yetkinlik ve deneyimler;
IIA’nın kalite değerlendirme eğitim kursunu ya da benzer bir eğitimi tamamlama;
İDY (ya da benzer bir kıdemde iç denetim yönetimi) deneyimi ve
İlgili konuda teknik uzmanlık ve sektör deneyimi bulunur.
Başka alanlarda uzman kişiler gerektiğinde yardımcı olabilirler. Bu kişilere örnek olarak kurumsal risk yönetimi, BT denetimi, istatistiksel örnekleme, izleme sistemleri ve kontrol öz-değerlendirme uzmanları verilebilir.
İDY, dış değerlendirme için istenen becerileri tespit etmeli ve değerlendirme uzmanını ya da değerlendirme ekibini seçerken mesleki muhakemesini kullanmalıdır. İç denetim faaliyetinin gereksinimlerine göre, İDY, örneğin benzer büyüklükte, karmaşık yapıda ve sektörde olan bir kurumda iç denetim deneyimi olan kişileri tercih edebilir, çünkü bu uzmanlar daha fazla değer katabilir. Ekipteki her kişinin tercih edilen yetkinliklerin hepsine birden sahip olmasına gerek yoktur; bunun yerine, bir bütün olarak ekip en iyi sonuçları vermek için gereken vasıflara topluca sahip olmalıdır.
Dış Değerlendirme Uzmanının Bağımsızlığı ve Tarafsızlığı
İDY, üst düzey yönetim ve yönetim kurulu, bir dış değerlendirme uzmanı ya da değerlendirme ekibi seçerken bağımsızlık ve tarafsızlıkla ilgili birkaç faktörü dikkate almalıdırlar. Dış değerlendirme uzmanları, değerlendirme ekipleri ve onların kurumları, tarafsızlıklarına zarar verebilecek mevcut, olası veya öngörülen çıkar çatışmalarından uzak durmalıdırlar. Olası zararlar arasında kurumla, kurumun personeliyle ya da iç denetim faaliyetiyle geçmişteki, şu andaki ya da gelecekteki ilişkiler bulunabilir. (örneğin: dış denetimin iç denetim faaliyetinin çalışmasına dayanarak mali tabloların dış denetimini gerçekleştirmesi; iç denetim faaliyetine destek olunması; şahsi ilişkiler; iç kalite değerlendirmelerine önceden katılmış veya gelecekte katılacak olma ya da yönetişim, risk yönetimi, mali raporlama, iç kontrol veya ilgili başka alanlarda verilen danışmanlık hizmetleri.)
Potansiyel değerlendirme uzmanlarının iç denetim faaliyetinin bağlı olduğu kurumda önceden çalışmış olması durumlarında, değerlendirme uzmanının bağımsız olduğu sürenin uzunluğu dikkate alınmalıdır. (Bu bağlamda bağımsız sözcüğü, iç denetim faaliyetinin bağlı bulunduğu kurumla hiçbir çıkar çatışması içinde olmaması ve bu kurumun bir parçası ya da etkisi altında olmaması anlamına gelir.)
Kurumun başka bir departmanında çalışan kişiler kurumsal açıdan iç denetim faaliyetinden ayrı olsalar da, bir dış değerlendirme yapmak amacı söz konusu olduğunda bağımsız sayılmazlar.
Kamu sektöründe, devletin aynı kademesinde farklı şirketlerdeki iç denetim faaliyetleri aynı İDY’ye raporlama yapıyorlarsa bağımsız sayılmazlar. Benzer şekilde, bağlı bir kurumda çalışan bireyler (örneğin bir ana şirket; aynı şirketler grubunun altındaki bir bağlı şirket ya da söz konusu kurumla ilgili düzenli gözetim, denetim veya kalite güvence sorumlulukları olan bir kurum) bağımsız sayılmazlar.
İki kurum arasındaki karşılıklı akran değerlendirmeleri bağımsız sayılmayacaktır. Ancak üç ya da daha fazla akran kurum – aynı sektör, bölgesel birlik veya başka ortak amaçlı gruplardaki kurumlar – arasındaki karşılıklı akran değerlendirmeleri bağımsız sayılabilir. Yine de, bağımsızlık ve tarafsızlığa zarar gelmemesini ve tüm ekip üyelerinin sorumluluklarını tamamen yerine getirebilmelerini sağlamak için dikkat edilmelidir.
Uyumun Kanıtlanmasına İlişkin Düşünceler
Dış değerlendirme uzmanının raporu, iç denetim faaliyetinin Standart 1312’ye uygun bir şekilde yapıldığını kanıtlamak için kullanılan başlıca dokümandır. Bu rapor, sıklıkla, iç denetimin kalitesini, etkinliğini ve verimliliğini artırmak amacıyla dış değerlendirme uzmanından önerileri ve yönetimin eylem planlarını kapsar. Böylece, iç denetim faaliyetinin kurumun paydaşlarına daha iyi hizmet vermesi ve kuruma değer katması için yeni fikirler ve yollar sunulabilir.
Uyumu kanıtlamaya yardımcı olabilecek diğer dokümanlar arasında, dış değerlendirme planlarının ve sonuçlarının görüşüldüğü yönetim kurulu toplantılarının tutanakları bulunur.
Kıyaslama raporu ve hizmet talepleri, kurumun dış değerlendirme uzmanlarını değerlendirirken gösterdiği azami özen ve dikkati gösterebilir.