RİSK DEĞERLENDİRMESİ VE İÇ KONTROL

RİSK

DEĞERLENDİRMESİ VE

İÇ KONTROL

HAZIRLAYANLAR

Prof. Dr. Nuran CÖMERT

Prof. Dr. Şaban UZAY

Doç. Dr. Süleyman UYAR

1.5. RİSK DEĞERLENDİRMESİ VE İÇ KONTROL

Müşteri işletmenin iç kontrol sisteminin bağımsız denetçi tarafından tanınması ve etkinliğinin değerlendirilmesinin, bağımsız denetimin amacına ulaşmasına, işletmenin risklerinin değerlendirilmesine ve risklere verilecek karşılıkların belirlenmesine yararı vardır.

Konu ile ilgili UDS’ler şunlardır:

UDS 315, “Müşteri İşletmenin ve Ortamının Tanınmasında Önemli Yanlışlık Risklerinin Saptanması ve Değerlendirilmesi”¹

UDS 330, “Değerlenmiş Risklere Denetçinin Karşılık Vermesi”²

UDS 610, (Gözden Geçirilmiş) “İç Denetçilerin Çalışmalarından Yararlanma”³ UDS 260, “Yönetişimden Sorumlu Kişilerle İletişim”⁴

UDS 265, “İç Kontrol Eksikliklerin Üst Yönetime Bildirilmesi”⁵

1.5.1. İç Kontrolün Tanımı ve Amaçları

UDS 315, denetçinin denetimle ilgili iç kontrolü (iç kontrol sistemini) anlaması gerektiğini belirtmektedir. Denetçilerin, tüm denetim görevlerinde iç kontrolü anlamalarını gerekli görülmektedir. Denetçinin odak noktası, önemli yanlış beyanların ortaya çıkma olasılığının yüksek olduğu iç kontrol faaliyetlerinin tanımlanması ve anlaşılmasıdır.

Kontrol kavramı, bağımsız denetimden farklı olarak, olaylara, faaliyetlere ve kişilere etki edebilme gücüne sahip olma anlamında kullanılmaktadır. Kontrol, yönetsel işin bir parçası olup, kontrolü denetim kavramından ayıran başlıca farklılıklar şunlardır:

 Kontrol denetimden önce gelen daha geniş kapsamlı olarak düşünülmesi gereken bir husustur.

 Kontrol devamlı bir faaliyettir, denetim belirlenen periyotta yapılır.

 Kontrol eş anlı olarak yürütülür, denetim geçmişe dönüktür.

 Kontrolde mekanik araçlar kullanılabilir, denetim insan tarafından gerçekleştirilir.

 Kontrolde işletmeden bağımsız olmak gerekmez, denetimde bağımsızlık şarttır.

İç kontrol ile ilgili açıklamalar “İç Kontrol Bütünleşik Çerçeve” COSO⁶ raporunda yer almaktadır. İç kontrol işletmenin yönetim kurulu, yöneticileri ve diğer personeli tarafından

1 ISA 315, Identifying and Assessing The Risks of Materail Misstatement Through Understanding The Entitiy and Its Environment

2 ISA 330, The Auditor’s Responses to Assessed Risks.

3 ISA 610 (Revised), Using The Work of Internal Auditors

4 ISA 260, Communication with Those Charged with Governance

5 ISA 265, Communicating Deficiencies in Internal Control to Those Charged with Governance and Management

6 İç kontrolün bugün evrensel düzeyde kabul gören tanımı ABD de ilk kez 1987 yılından hileli finansal raporlamaya karsı önlem almak amacıyla kurulmuş bir komite olan COSO Komite(Committee Of Sponsoring Organizations) tarafından yapılmıştır. İlk kez 1985 yılında Hileli Finansal Raporlama Ulusal Komisyonuna destek sağlamak amacıyla kurulmuş COSO (Committee Of Sponsoring Organizations) aşağıda belirtilen beş mesleki sivil toplum örgütü (Bu beş mesleki örgüt şunlardır: AICPA: Amerikan Yetki Belgeli Kamu

etkilenen aşağıda sınıflandırılmış olarak belirtilen işletme amaçlarını başarmak üzere makul bir güvence sağlamak için tasarlanan bir süreçtir;

 Faaliyetlerin etkililiği ve verimliliği,

 Finansal raporlamanın güvenilirliği ve

 İlgili yasalara ve düzenlemelere uygunluk

Maliye Bakanlığı 10.12.2003 tarihli ve 5018 sayılı ‘Kamu Malî Yönetimi ve Kontrol Kanunu’na dayalı olarak yayımlamış olduğu “İç Kontrol ve Ön Mali Kontrole İlişkin Usul ve Esaslara İlişkin Yönetmelik’te iç kontrolü aşağıdaki gibi tanımlamıştır:

İç kontrol, ‘İdarenin amaçlarına, belirlenmiş politikalara ve mevzuata uygun olarak faaliyetlerin etkili, ekonomik ve verimli bir şekilde yürütülmesini, varlık ve kaynakların korunmasını, muhasebe kayıtlarının doğru ve tam olarak tutulmasını, malî bilgi ve yönetim bilgisinin zamanında ve güvenilir olarak üretilmesini sağlamak üzere idare tarafından oluşturulan organizasyon, yöntem, süreç ile iç denetimi kapsayan malî ve diğer kontroller bütünüdür’⁷.

İç kontrole ilişkin yukarıda verilen tanımları özetlersek;

 İç kontrol bir süreçtir (Kendi içinde bir sonu bulunmamaktadır)

 İç kontrol insanlardan etkilenir (İç kontrol sadece dokuman veya form olmayıp, örgütte her düzeydeki çalışandan etkilenir)

 İç kontrol, işletmenin yönetimine makul güvence verir.

 İç kontrol ayrı fakat birbirleriyle örtüşen gruplarda hedeflerin başarılmasıyla ilgilenir.

İç kontrol, bağımsız denetimde olduğu gibi makul güvence sunar. Makul güvencenin başlıca nedenleri: a) Karar vermede insan yargısı kullanılması hataya yol açabilir, yanlışlıklar meydana gelebilir. b) İki veya daha çok kişi birleşerek kontrolleri engelleyebilir. c) Yönetim kontrolleri dikkate almayabilir. d) İç kontroller oluşturulurken maliyet-fayda yaklaşımına dikkat edilir.

İç kontrol sistemini oluşturmak ve etkin bir şekilde sürdürmek yönetimin işi gibi gözükmekle birlikte işletmede çalışan herkesi ortak etmek gerekir. Bir işletmenin kontrolsüz Muhasebecileri Örgütü, AAA: Amerikan Muhasebe Derneği, FEI: Finansal Yöneticiler Enstitüsü, IIA:

Uluslararası İç Denetçiler Enstitüsü, IMA: Yönetim Muhasebecileri Enstitüsü) tarafından desteklenmekte olup komite, bu kurumlardan tamamıyla bağımsız endüstriden, kamu muhasebesinden, yatırım firmalarından ve New York Borsasından gelen temsilcilerinden oluşmaktadır. Bugünkü misyonunu işletmelerde kurumsal yönetimi ve örgütsel basariyi geliştirmek ve hileyi azaltmak amacına yönelik olarak işletmelere bu konularda rehberlik edecek kapsamlı çerçeveler sağlayan düşünce lideri olmak şeklinde açıklamıştır. COSO, 1992 yılında İç Kontrol – Bütünleşik Çerçeve Raporu’nu (Internal Control-Integrated Framework, Executive Summarry) yayınlamış, daha sonra 2011 yılında söz konusu raporu gözden geçirerek yayınlamıştır. Fazla bilgi için bakınız; için internet erişimi ; www.coso.org/publications.htm

7 İç Kontrol ve Ön Mali Kontrole İlişkin Usul ve Esaslar Yönetmeliği, Resmi Gazete Tarih / No: 31.12.2005 /

veya zayıf bir İKS’ye sahip olmasının muhtemel sonuçları; müşteri memnuniyetsizliğinden tutun iflas ya da işlerin durma noktasına gelmesine, itibar kaybına kadar farklı sonuçlar doğurabilir.

COSO raporu dışında iç kontrolle ilgili bir başka önemli çerçeve olan Turnbull Raporuna (2006) göre bir işletmenin İKS’si aşağıdaki hususları kapsayacak şekilde politikalar, süreçler ve davranışlar içeriyorsa güçlüdür. Bunlar:

 İşletmenin hedeflerine ulaşması için önemli işletme, faaliyet, finansal, uygunluk ve diğer risklere uygun karşılık vermeye imkan sağlaması,

 Kaliteli iç ve dış raporlamaya yardımcı olması,

 İşletmede yönetimin direktiflerine ve uyulması gereken yasa ve kurallara uygunluğa yardımcı olmasıdır.

İç kontrolün amaçlarından biri, işletmede güvenilir finansal raporların oluşturulmasıdır.

Güvenilir finansal raporlamadan kastedilen; finansal tabloların önemlilik kavramı gözetilerek genel kabul görmüş muhasebe prensiplerine ve dış amaçlar için oluşturulan yasal düzenlemelere uygun hazırlanmasıdır. Doğru sunuşu destekleyen temel finansal tablo iddiaları; a) var olma veya meydana gelme, b) tamlık, c) haklar ve yükümlülükler, d) değerleme ve dağıtım, e) sunuş ve açıklamadır. İşletmenin söz konusu iddialara ilişkin makul bir güvence sağlaması için örgüt düzeyinde ve faaliyet düzeyinde spesifik kontroller oluşturması gerekmektedir (IIA, 2009:6-27).

1.5.2.Yönetimin ve Denetçinin İç Kontrollere İlişkin Sorumluluğu

Bir işletmede iç kontroller çok değişik kesimlerden ve olaylardan etkilenir. Aşağıdaki şekilde bu husus gösterilmektedir. Ancak konumuzla ilgili olarak iç kontrolle yakından ilgili iki kesim bulunmaktadır. Bunlar; müşteri işletme yönetimi ve bağımsız denetçidir.

Şekil: İç Kontrolleri Etkileyen Unsurlar

(Kaynak: Deloitte Academy, 2010:10)

1.5.2.1. İşletme Yönetimi - İç Kontrol İlişkisi

İç kontrol ile işletme yönetiminin başlıca görevlerinden biri olan risk yönetimi arasında yakın bir ilişki bulunmaktadır. İşletmeler, faaliyet alanlarıyla ilgili çok sayıda iç ve dış risklerle karşı karşıyadır. Riskler çeşitli açılardan sınıflandırılabilmektedir. Bunlar: finansal risk, finansal olmayan risk, stratejik risk, operasyonel risk, itibar riski, yasal risk, bilgi riski⁸ gibi. İşletmenin faaliyet alanına, hacmine, uluslararası açıklık derecesine, faaliyetlerinin karmaşıklığı gibi bir çok özellikli duruma göre yeterli bir risk kültürünü ve risklerini etkin şekilde yönetecek düzenlemeleri geliştirmeleri gerekir. Bu konuda asıl sorumluluk yönetim kuruluna aittir. İşletmelerin karşılaşacağı bazı riskler (çevre, insan hakları vb.) toplumu da yakından ilgilendirir. Bu tür riskler için, yetkili otoritelerin gözetimi ve sektöre özgü kurallar bulunmaktadır. İşletmelerin karşılaşacakları risklerin farklılığından dolayı, ortak bir risk yönetim modeli geliştirmek imkansızdır. Ancak yönetim kurulu, risk yönetim süreçlerinin uygun bir şekilde gözetimini yapmalıdır. Yönetim kurulu, işletme risk yönetim düzenlemelerini işletmenin risk profiline uygun ve etkin bir şekilde gerçekleştirmelidir⁹.

Bir işletmenin risk profili yönetim kurulu tarafından tespit edildikten sonra uygulama yönetimin sorumluluğundadır. Yönetimin bu işlevi yerine getirmesinin bir unsuru da süreçlere ilişkin operasyonel riskleri asgaride tutmaktır. İç kontrolün en önemli fonksiyonlarından biri budur. İşletmede dikkat edilmesi gereken konulardan biri “iş yapma” ile “yapılan işin kontrolü” arasında sağlıklı bir dengeyi kurmak olmalıdır¹⁰.

Yönetsel bir işlev olarak bir iş, bir faaliyet ya da bir örgütsel birimde planlama yapılırken, o işi yapacak olan örgütsel unsurlar düzenlenirken, iş yürütülürken ve bütün örgütsel unsurlar arasında eşgüdüm sağlanırken amaca uygun kontroller de tasarlanır ve gerçekleştirilir.

İşletmede öyle bir risk yönetim ve kontrol yapısı oluşturulmalıdır ki; önemsiz riskler gereğinden fazla kaynak ayrılmamalı ve süreçlerde gereğinden fazla kontrol gerçekleştirip maliyetleri artırarak verimliliğin azalmasına yol açılmamalıdır. İşletmede aşırı risk almak kadar, aşırı iç kontrollerin bulunması sakıncalıdır. Aşağıdaki şekilde risk – iç kontrol dengesi açıklanmaya çalışılmaktadır.

8 Bilgi riski; işletmelerin sahip olduğu verilerin, bilginin, istihbaratın iş süreçleriyle ilgili, güvenilir ve zamanlı olup olmaması ile ilişkili risk olarak tanımlanabilir. İşletmenin bilişim sistemlerinin güvenli olmaması da bilgi riskidir.

9 EU, Green Paper, The EU Corporate Governance Framework, Brussels, 5.4.2011, s. 10.

10 Ercan Kumcu, “Bankalarda İç Kontrol İşlevi ve Üst Yönetim”, TİDE Kongresi, www.tide.org.tr.

Şekil : Risk - Kontrol Dengesi

(Kaynak: IIA, 2009:6-20).

Günümüzde geçerli olan risk yönetim anlayışına “Kurumsal Risk Yönetimi” (KRY) adı verilmektedir. KRY; örgütlerin karşı karşıya oldukları risklerin geleneksel risk yönteminde olduğu gibi tek tek değil, bir portföy içerisinde ele alan bütüncül bir risk yönetimi yaklaşımı olup, risk felsefesinin örgütün tüm kademelerinde benimsetilmesini, risklerden tüm çalışanların sorumlu olmasını, risklerin azaltılmasını değil optimize edilmesini içeren bir sistemdir¹¹.

Türkiye’de ilk defa bir kanuna (Yeni TTK -6102 sayılı Kanun) risk yönetimi hakkında bir hüküm girmiştir¹². Yeni TTK’da, sermaye piyasası mevzuatına benzer şekilde; “muhasebe, finans denetimi¹³ ve şirketin yönetiminin gerektirdiği ölçüde, finansal planlama için gerekli düzenin kurulması” yönetim kurulunun görevleri arasında sayılmıştır (Md.375). Yönetim kurulu, işlerin gidişini izlemek, kendisine sunulacak konularda rapor hazırlamak, kararlarını uygulatmak veya iç denetim amacıyla içlerinde yönetim kurulu üyelerinin de bulunabileceği komiteler ve komisyonlar kurabilir (Md. 366/2).

11 Yapılan araştırmaların sonuçlarına göre işletmeleri risk yönetimine iten faktörler arasında öne çıkanlar; yasal düzenlemeler, düzenleyici kurumlar, yönetim kurulu/üst yönetim ve rekabetçi iş çevresi olduğu ortaya çıkmıştır (Çıtak, 2009:12).

12 TÜSİAD, Yönetim Kurulları İçin Kurumsal Yönetim Prensipleri, Seminer Deşifre Metni, 2 Temmuz 2010.

13 Yeni TTK’nın hazırlanmasında ilgili komisyonun başkanlığını yürüten Prof. Dr. Ünal Tekinalp; “finans denetimi” teriminin kaynak İsviçre Borçlar Kanunu’nun gerekçesinde açıkca bir iç kontrol mekanizması olarak adlandırıldığı, söz konusu terimin bir yandan finans yönetimine ilişkin görevlerin ve yetkilerin denetimini ifade ederken diğer taraftan da finans kavramı bağlamında şirketin iç denetimine vurgu yaptığını belirtmiştir (PWC, 2011:39).

1.5.2.2. Bağımsız Denetçi – İç Kontrol İlişkisi

Denetimin planlanması aşamasında müşteri işletmenin etkin bir iç kontrol yapısına sahip bulunması veya bulunmaması planlanan kanıt sayısını etkileyecektir. Denetim risk modelinde yer alan KR düzeyini değerlemek için denetçi, müşteri işletmenin iç kontrollerini tanıma yanında etkinliğini de saptayacaktır. Söz konusu çalışmalar, denetçinin planlayacağı destekleyici testlerin kapsamını belirlerken kullanılacak bilgi kaynağı olacaktır.

Bağımsız denetçi işletmeyi tanırken yapacağı değerlendirmelerde işletmenin aşağıdaki şekilde özetlenen iç kontrollerini tanıması ve uygulanışını değerlendirmesi gerekecektir.

Şekil: Risk Değerlendirmeleri ve İç Kontroller

(Kaynak: Mazars, 2012:IFAC 2011)

Bağımsız denetçi bir işletmenin üst yönetiminin, işletmenin dış finansal raporlama ve diğer hedeflerini başarmasına katkı sağlayabilecek objektif risk yönetim perspektifine sahip olup olmadığını değerleyecektir. Denetçi işletmenin finansal tablolarındaki özellikle hata ve hileden kaynaklanan önemli yanlışlıkların bulunması riskini değerlendirirken işletmenin iç kontrollerinin yapısı ve işleyişi ile ilgili olarak edindiği bilgilerden yararlanır. Denetçi işletmenin finansal bilgilerinin güvenilirlik amacının başarılmasına yönelik bir güvence ve danışmanlık hizmeti yapmakla birlikte sadece finansal kontrollerin etkililiği ile ilgilenmez.

Diğer amaçların başarılmasına yönelik kontroller de finansal raporlamayı önemli ölçüde etkiler. Dolayısıyla denetçi, işletmenin tüm kontrollerinin etkililiğini değerlendirerek kontrollerin etkisizliği ya da eksikliğinden kaynaklanabilecek önemli yanlışlık riskini tespit etmeye çalışır.

Do ğal R iskle r K on tr o ller

İşletmenin Hedefleri Finansal Tablolar & İddialar

(Beyanlar)

Kur. Yönetim Liderlik/Yönetim

Bilgi Sistemleri

Gelir Süreci

Satınalma Süreci

Bordrolama

Süreci

Diğer Süreçler

SpesifikYaygın Yaygın(İşletme Düzeyi) Spesifik

İşlemler

Bazı kontrol tipleri normalde ilave denetim değerlendirmesinin kapsamının dışında bulunabilir. Bunlar;

- Finansal raporlara temel teşkil etmeyen kontrollerdir ( örneğin, faaliyetlerle ilgili veya düzenlemelere uyum konusuna yönelik kontroller kontroller gibi),

- Finansal tablolarda bir yanlış beyanla sonuçlanma olasılığı az olan kontrollerdir.

Bağımsız denetçinin asıl amacı, finansal raporlamayla ilgili iç kontroller olmakla birlikte diğer süreçlerle ilgili olan ve etkin bir şekilde uygulanan kontrollerin finansal raporlara etkisi olacağı açıktır. Örneğin, işletmede analitik inceleme yaparken çalışan sayısı, üretim miktarları, pazarlama istatistikleri gibi finansal olmayan verilerin kullanılması, iç amaçlar (bütçe, performans verileri gibi) için finansal veriler geliştirilmesi gibi. İşletmede düzenlenen finansal raporlar iş süreçlerinin sonucunda ulaşılan bir çıktıdır. İş süreçleri etkin bir şeklide tasarlanmış, kontroller işleri aksatmayacak şeklide monte edilmiş ve uygulanıyorsa, sonuçta hazırlanan finansal raporlarda gerçeği yansıtacaktır. Varlıkları korumaya yardımcı olacak kontrollerin dışında etkinlik, verimlilik sağlamaya yönelik kontroller, denetçinin finansal tabloların denetimiyle ilgili olmadığı için dikkate alınmaz. Denetçi ayrıca işletmenin kontrol yapısının finansal tablolardaki kalemlere, raporların sunum ve açıklanmasına olan etkisini de öğrenmeye çalışır.

Denetçinin özellikle finansal raporlamaya yönelik hileleri ortaya çıkarma sorumluluğu da bulunmaktadır. Etkin iç kontroller hilelerin engellenmesine ve ortaya çıkartılmasına yardımcı olur. ABD’de finansal skandallara tepki yasası olarak yayınlanan SOA (Sarbanes Oxley Act) ile birlikte Sermaye Piyasası Kuruluna kayıtlı şirketlerde üst yönetimin (özelikle genel müdür ve mali işlerden sorumlu müdür) “Finansal Raporlama ile ilgili İç Kontrolün Güvenilirliği Raporu” (Internal Control Over Financial Reporting – ICFR) düzenlemesi, yıllık faaliyet raporunun ve finansal tabloların eki olarak kamuoyuna açıklanması zorunluluğu getirilmiştir.

Ayrıca söz konusu ICFR raporunun bağımsız denetime tabi olması da şarttır¹⁴.

1.5.3. İç Kontrol Yaklaşımları ve İç Kontrol Bileşenleri

ISA 315’de¹⁵ iç kontrollerin unsurları COSO raporuna paralel olarak sıralanmıştır.

ABD’de en yaygın şekilde kullanılan ve dünyada kullanılan diğer iç kontrol modellerine- örneğin İngiltere de Turn Bull Raporunda öngörülen kontrol modeli, Kanada’da CoCo diye bilinen model, Japonya da JSOX gibi - rehberlik eden iç kontrol modeli COSO kontrol modelidir. Diğer kontrol modelleri ülkelerin kendi koşullarını dikkate alarak geliştirdikleri yaklaşımlar olmakla birlikte büyük ölçüde COSO modeline benzemektedir. Bir işletmenin iç kontrol bileşenleri (yapısı), Aşağıdaki şekilde gösterildiği gibi “COSO Piramidi” olarak

14 ABD’de uygulanan finansal raporlama ile ilgili iç kontrolün güvenilirliği raporu hakkında geniş bilgi için bakınız; Şaban Uzay ve Seçkin Gönen, “Yeni TTK ile Getirilen Yıllık Faaliyet Raporu Denetiminin ICFR (Finansal Raporlama ile İlgili Kontrollerin) Denetimi ile Benzerlikleri”, I. Türk Coğrafyasında Uluslararası Finansal Raporlama Standartları Sempozyumu, 25-26 Ekim 2011, Sinop, Bildiriler Kitabı, ss. 378-401.

15 ISA 315, “Identifying and Assessing The Risks of Materail Misstatement Through Understanding The Entitiy and Its Environment”.

adlandırılır ve bir biriyle ilişkili şu beş bileşenden oluşur:

 Kontrol ortamı

 Müşteri işletmenin risk değerleme süreci (Risk değerlendirme)

 Finansal raporlamayla ilgili işletme süreçlerini içeren bilgi sistemi ve iletişim

 Kontrol faaliyetleri (Eylemleri)

 Kontrolleri izlemek (Gözlemleme) dir.

Şekil: İç Kontrol Piramidi

İç kontrolün beş bileşeni yönetimin işletmeyi çalıştırma/işletme tarzından çıkarılır. Şekil 4’de görüleceği üzere kontrol ortamı diğer unsurlar için temel oluşturur. İşletmenin başarmak istediği üç temel amaç ile bu amaçlara erişmek için gerekli olanları temsil eden beş bileşen arasında doğrudan bir ilişki vardır. Bu ilişki üç boyutlu bir matris (COSO Kontrol Küpü) ile Şekil 5’deki gibi gösterilebilir. Matriste kontrolün beş bileşeni satırlarda, örgütün amaçları ise sütunlarda yer almaktadır. İşletmenin amaçları ile beş bileşen arasında doğrudan bir ilişki vardır. İç kontrolün ilgili olduğu işletme birimleri ve faaliyetler ise matrisin üçüncü boyutunda gösterilmiştir. Aşağıdaki şekilde görüleceği üzere iç kontrolün her bir bileşen satırı bütün amaçlarla kesişmektedir. (A) faaliyet birimini işletmenin satış birimlerinden biri olarak varsayarsak bu satış noktasında işletmenin yürüttüğü faaliyetlerin etkili ve verimli olması, bu birimde işlerin yasalara ve diğer düzenlemelere uygun şekilde yürütülmesi ve bu birimde üretilen bilgilerin güvenilir olması için risk temelli iç kontroller oluşturmak gerekir. Bu kontrollerin etkin bir şekilde işletilmesinde işletmede yukarıdan aşağıya ve aşağıdan yukarıya doğru etkili bir bilgi akışı ve iletişimin olması ve kontrollerin değişen koşullara sürekli uyarlanması gerekir.

Şekil: Kontrol Küpü

Kontrol modelinin bileşenleri aşağıda başlıklar halinde özlü bir şekilde açıklanmıştır.

(1) Kontrol Ortamı: Kontroller işletmenin içinde bulunduğu ortamdan/çevreden etkilenir. İç kontrol ortamı denilince çalışanların faaliyetlerini ve sorumluluklarını yerine getirebilecekleri ortam anlaşılır. Bu ortam kontrolün diğer unsurları için de bir temel teşkil eder. Denetçi kontrol ortamını tanırken, yönetimin kontrollere verdiği önemi, tutumu, bu konudaki farkındalığını öğrenmeye çalışır. Örneğin işletmede etkin bir bütçeleme sistemi bulunması ve uygulanması denetçi açısından önemli bir göstergedir. Kontrol ortamı kendisini belirleyen aşağıdaki unsurlardan oluşur. Denetçinin bu unsurları kavraması gerekir. Bunlar:

a) Dürüstlük ve etik değerler b) Çalışanların yetkinliği

c) Yönetim kurulu ve denetim komitesi d) Yönetimin felsefesi ve çalışma tarzı e) Örgütsel yapı

f) Yetki ve sorumlukların dağılımı

g) İnsan kaynakları politikaları ve yönetimi h) İç denetim

i) Bilgi teknolojisi kullanımı

Dürüstlük ve Etik Değerler: Bir işletmede iç kontrollerin tasarımında, yürütülmesinde ve gözlemlenmesinde dürüstlük ve etik değerler çok önemlidir. Dürüstlük ve etik değerler açıkça tanımlanmış ya da tanımlanmamış olsun her çalışan, her birim ve her faaliyet için geçerlidir.

Pek çok işletme dürüstlük ve etik değerlerle ilgili yazılı davranış kurallarına sahiptir. Ancak yazılı davranış kurallarının varlığı, çalışanların anladığının kanıtı olsa bile uygulanacağını garanti etmez. Bilerek ya da bilmeyerek bazı işletmeler yüksek performansa bağlı ödüllendirme, kardan prim verme, kısa sürede gerçekçi olmayan performans hedefleri gibi uygulamalarla çalışanlarına baskı ortamı yaratarak onları hile yapmaya itmektedir. İşletmede

davranış kurallarını ihlal edenlere verilen cezalar, şüpheli halleri raporlayanları cesaretlendirecek mekanizmalar, ihlalleri raporlamada başarısız olan çalışanların eğitimi gibi konular da kontrol ortamını etkileyen önemli hususlardır.

Yetkinlik: Kontrol ortamının bir diğer unsuru çalışanların görevlerini yapabilme yetenekleridir. Görev amacına uygun, o işi verimli bir şekilde başaracak olan kişilerin işe alınması kontrol ortamını etkiler. İnsanlar görev tanımları kapsamındaki işlemleri yapabilecek yetkinlikte olmalıdır. Bir işletmede ne gibi görevlerin yapılacağı, kurumun amaçları ve bu amaçları gerçekleştirmek amacıyla yönetim tarafından belirlenen stratejiler, planlar ve yönetsel kararlarla belirlenir.

Yönetim Kurulu ve Denetim Komitesinin Oluşumu: Bir işletmede kontrol ortamı ve üst yönetimin tavrı o işletmenin yönetim kurulu ve denetim komitesi tarafından önemli şekilde etkilenmektedir. Yönetim kurulu ve denetim komitesi üyelerinin icradan bağımsız olması, üyelerin deneyimleri ve kişilikleri kontrol ortamını etkileyen etkenlerdir. Bir işletmenin yönetim kurulunda, yönetimin faaliyetlerini incelemek ve sorgulamaya hazır olmak, alternatif görüşler sunmak, belirgin yanlışlar karşısında hareket etme cesareti gösterebilmek için icra faaliyetlerden bağımsız yöneticiler bulunması gereklidir. İyi yönetişim ilkeleri diye tanımladığımız kurumsal yönetim ilkeleri yönetim kurulu içinde finansal raporlama, iç kontrol, risk yönetimi ve denetim konularında ihtisas sahibi bağımsız yönetim kurulu üyelerinden oluşan denetim komitesi bulunmasını öngörmektedir. Ülkemizde bankalar ve halka açık şirketlerde denetim komitesi bulunması yasa gereğidir.

Yönetimin Felsefesi ve Çalışma Tarzı: Yönetim felsefesi ve çalışma tarzı, işletmenin risk kabulünü ve yönetim şeklini etkiler. Belirli riskler almada başarılı olan bir işletmenin iç kontrole bakış açısı, tehlikeli işlere atılarak ekonomik zorluklarla karşılaşan bir işletmeden farklı olabilir. Özellikle yöneticilerin risk iştahı ve yönetim biçimi, finansal raporlamaya karşı tutumu, mevcut seçenekli muhasebe yöntemlerinden yalnızca kendi lehine olanlarını seçmesi, dürüstlüğü, geliştirilen muhasebe tahminleri konusundaki tutuculuğu, veri işlemeye karşı tutumu, muhasebe ve personel konularındaki tavrı kontrol ortamını önemli ölçüde etkiler.

Yönetimin çalışma tarzı ve felsefesini yansıtan bütün bu uygulamalara denetçinin dikkat etmesi gerekir. Örneğin işletmede konulan başarı hedefleri ne kadar gerçekçidir? İşletmede bir ya da bir kaç kişinin mi sözü geçiyor? Raporlama ilişkisi fazla bürokratik mi? gibi sorulara alacağı yanıtlar, denetçiye işletmenin yöneticilerinin kontrollere karşı tutumları hakkında önemli bilgi sağlayacaktır. Denetçi, ayrıca yönetimin performans incelemeleri (Örneğin;

yönetimin alacakların yaşlandırılması, bütçeler, geçmiş dönemlerle karşılaştırmalar vb.) çalışmalarını da analiz etmelidir.

Örgütsel Yapı: İşletmenin örgütsel yapısı, amaçların başarılması için gerçekleştirilen faaliyetlerin kontrol edilmesini ve gözlemlenmesini sağlar. Uygun bir örgütsel yapı oluşturmanın önemli unsurlarını, amaçlara uygun işlevlerin belirlenmesi, yetki ve sorumluluk ilişkileri ile etkili bir raporlama sisteminin kurulması oluşturur. İşletmenin örgütsel yapısı,

amaçların başarılması için gerçekleştirilen faaliyetlerin (sipariş, satın alma, üretim, pazarlama ve satış, insan kaynakları, teknolojik destek birimlerinin faaliyetleri gibi) kontrol edilmesini ve gözlemlenmesini sağlar (Deloitte Academy, 2010:38).

Yetki ve Sorumlulukların Dağıtılması: İşletme faaliyetlerinin etkili ve verimli bir şekilde yürütülmesinde yetki ve sorumlulukların uygun şekilde dağıtılması, raporlama ilişkilerini de kapsayacak şekilde yetkilendirmeyle ilgili protokollerin yapılması önemli bir rol oynar. Kontrol ortamı insanların hesap verme sorumluluklarını ne derece bildiklerinden büyük ölçüde etkilenir. Özellikle yazılı görev tanımları denetçinin bu konuda fikir sahibi olmasına yarayan en önemli iç kontrol araçlarıdır.

İnsan Kaynakları Politikaları ve Uygulamaları: İşe alma, eğitim, değerlendirme, terfi ettirme ücret ve tazminat gibi insan kaynakları politika ve uygulamaları şirketin dürüst, yetenekli ve güvenilir insanlarla çalışma yaklaşımları konusunda önemli bilgiler verir. En iyi şekilde tasarlanmış kontrollerin, dürüst olmayan ya da yeteneksiz personel tarafından uygulanması bu kontrolleri tamamen etkisiz kılabilir. Dürüst ve yetenekli dahi olsa dikkatsiz, yorgun, ağır koşullarda düşük ücretle çalıştırılan, işinden memnun olmayan, sadakat duygusu düşük bir personelin de kontrolleri etkisiz kılma ihtimali her zaman yüksektir.

İç Denetim: İşletmede iç denetim fonksiyonunun / biriminin oluşturulması iç kontrol ortamını güçlendirir. Ancak iç denetimin etkin olması için iç denetçilerin yeterli niteliklere, görevini bağımsız şekilde yapabilecek dürüstlüğe ve yeterli kaynaklara sahip olması ile yönetim kurulu, denetim komitesi ve bağımsız denetçilere erişiminin engellenmemesi gerekir.

Bilgi Teknolojisi (BT): İşletmede kullanılan bilgi teknolojisi, işletmenin hacmi ve karmaşıklığına uygun olmalıdır. Kontrol eylemlerinde açıklanacağı gibi BT ile ilgili genel kontroller ve uygulama kontrolleri gerçekleştirilmelidir.

Denetçi müşteri işletmenin iç kontrol ortamını tanırken, aşağıdaki tablodaki gibi bu amaçla hazırlanmış anket formlarından yararlanabilir.

Tablo: Kontrol Ortamını Anlamaya Yönelik (Kısmi) Anket (Soru) Formu

İşletmenin Adı: Mars Ltd. Şti.

Hazırlayan: E.K.

Tarih: 12.09.2011

Bilanço Tarihi: 31.12.2011 Kontrol Eden: Ş.U.

Tarih: 29.09.2011

Sorular Evet / Hayır Yorumlar

Dürüstlük ve etik değerler:

1. Yönetim dürüstlük etik konulara hassasiyetini güçlü bir şekilde hem sözleriyle hem de icraatlarıyla gösteriyor mu?

Evet Yönetim örnek teşkil ettiğinin farkında. Ancak işletmenin yazılı etik kodları bulunmamakta.

2. Uygun iletişim, saptanmış yürütme kuralları, çıkar çatışması, kabul edilebilir işletme uygulamaları hakkında uygun politikalar saptanmış mı?

Evet Çalışanların beklentilerini de içeren bir politika el kitabı bütün

çalışanlara dağıtılmıştır.

3. Etik olmayan davranışları yol açacak teşvikler veya baskılar azaltılmış mı?

Evet Kar paylaşım planı denetim komitesi tarafından izlenmektedir.

Yönetim kurulu ve denetim komitesi:

1. Yönetim kurulu düzenli olarak toplanmakta mıdır? Evet Yönetim kurulu 9 kişiden oluşmakta olup, aralarında 3 kişi denetim komitesinde hizmet vermektedir.

Dışarından 3 üyenin daha atanması düşünülmektedir.

2.Kurul üyeleri yeterli bilgi, tecrübe ve etkin tarzda hizmet verecek zamana sahip midir?

Evet 3. Denetim komitesinde dışarıdan (bağımsız) yöneticiler

yer almakta mıdır? Hayır

Yönetim felsefesi ve faaliyet tarzı:

1. İşletme risklerine önem veriliyor mu? Riskler yeterince izleniyor mu?

Evet Yönetim işletme riskleri ile yakından ilgileniyor.

2.Yönetimin muhasebe tahminleri ve muhasebe prensipleri seçimi, objektif ve doğru raporlamaya yönelik mi?

Evet

3. Finansal tablolarda önemli yanlışlıklara rastlanması durumunda, yönetim bunları düzeltmeye istekli mi?

Evet Yönetim önceki denetimlerde teklif edilen her türlü düzeltme kaydını gerçekleştirmiştir.

İnsan kaynakları politikalar ve uygulamalar:

1.Mevcut insan kaynakları politika ve prosedürleri, etkin iç kontrol sistemine de destek olacak güvenilir ve yeterli istihdama yardımcı oluyor mu?

Evet Bütün iş konumları için resmi iş tanımları yapılmıştır.

2.Personel işi ile ilgili olarak yapacağı görevleri ve prosedürleri biliyor mu?

Evet 3. Anahtar konumdaki personel devir hızı yeterli

düzeyde mi?

Evet Personel devir hızı normal düzeyde.

Kaynak: Cosserat ve Rodda, 2009:235.

(2) Risk Değerlendirme: Denetçi ne kadar kanıt toplayacağına karar vermek için işletmenin risklerini değerlendirir. Eğer denetçi işletme yönetiminin, riskleri etkili bir şekilde değerlendirerek bu riskleri karşılayan etkili kontroller oluşturduğu kanaatine varırsa daha az kanıt toplayacaktır. Denetçi işletmenin risk değerlendirme süreci hakkında yöneticilerle görüşerek ve iç kontrol soru formları kullanarak bilgi sahibi olabilir. COSO kontrol modeline göre yönetimin risk değerlendirme süreci; amaçların belirlenmesi bu amaçların başarılmasının önünde ne gibi tehlikeler var, bu tehlikelerin tanılanması ve tanısı konulan tehlikelerin (risklerin) çözümlenerek etkisinin olabilecek en düşük seviyeye indirilmesini sağlayacak kontrollerin belirlenmesinden oluşan üç aşamalı bir süreçtir. Bu süreç Şekil 6’da gösterilmiştir.

Yönetim tanımlanmış riskleri çözümlerken riskin önemini, gerçekleşme olasılığını ve etkisini tespit eder ve bu etkiyi (şiddetini) dikkate alarak riski kabul edilebilir bir seviyede tutabilecek kontrol eylemleri oluşturur. Riskleri değerlendirmede Aşağıdaki şekilde gösterildiği gibi riskin meydana gelme olasılığı ve etkisi birlikte dikkate alınarak anlamlı riskler saptanır ve yönetim anlamlı risklere karşı kontrol geliştirmelidir.

Şekil: İç Kontrol Modelinde Risk Değerlendirme Süreci

Açık hedeflerin saptanması, riskleri tanımak, değerlendirmek ve riske karşılık vermek için şarttır. Hedefler setini oluşturmak oldukça biçimsel yapılabildiği gibi informel de olabilir.

Hedefler, şirketin güçlü ve zayıf yönleri, riskleri ve fırsatları birlikte değerlendirerek, bir örgüt stratejisi bağlamında oluşturulmalıdır. Bir değerlendirme sürecinde her bir ticari faaliyet hedefi, en üst düzeyde (örneğin; “kar eden bir işletme yönetmek”) en alt düzeye kadar (örneğin; “nakdi muhafaza etmek”) belgelenir ve daha sonra hedefe ulaşmayı tehlikeye düşüren ya da engelleyene her bir risk tanımlanarak, önem sırasına göre düzenlenir (Alpman, 2007).

Şekil: Anlamlı Risklerin Saptanması (Risklerin Önceliklendirilmesi)

(Kaynak: TÜSİAD, 2008:58)

İç kontroller işletmede belirlenen hedeflere ulaşmada riskleri azaltmaya yardımcı olur, ancak risklerin tamamını ortadan kaldırmaz (kalıntı risk). Bağımsız denetçi, yönetimin özellikle finansal raporlamaya yönelik riskleri nasıl değerlediğine ilişkin olarak, anket yöntemi ve görüşmeler yoluyla bilgi toplar. Güvenilir finansal tablolar hem yatırımcıları çekmek ve kredi bulabilmek için hem de belli sözleşmeler yapılması veya belli tedarikçilerle çalışılması

Riskin Hasar Derecesi

Riskin Meydana Gelme Olasılığı

Ta

Yüksek Etki

Yüksek Olasılık

Düşük Etki

Düşük Olasılık Yüksek Etki Düşük Olasılık

Düşük Etki

Yüksek Olasılık

açısından çok önemlidir. İşletmenin pay ve menfaat sahipleri genelde yönetimin başarısını değerlendirmek ve diğer firmalar ve diğer yatırımlarla karşılaştırmak için güvenilir finansal tablolar isterler. Güvenilir finansal tablo ise ilgili finansal çerçeveye uygun düzenlenmiş ve sunulmuş finansal raporlama anlamına gelir. Uygun sunum şu şekilde tanımlanır:

 Seçilen ve uygulanan muhasebe ilkeleri genel kabul görmüş olmalı,

 Koşullara uygun muhasebe ilkeleri olmalı,

 Finansal tablolar bunların kullanılmasını, anlaşılmasını ve yorumlanmasını etkileyebilecek konular hakkında bilgilendirici olmalı,

 Sunulan bilgiler mantıklı biçimde sınıflandırılmalı ve özetlenmeli,

 Ayrıntılı ve karmaşık olmamalı,

 Finansal tablolar ilgili işlem ve olayları, finansal durumu, faaliyet sonuçlarını ve kabul edilebilir sınırlar dahilindeki—finansal tablolara koyacak kadar önemli ve sınırlar içindeki—nakit akımlarını yansıtmalıdır.

(3) Kontrol Eylemleri (Faaliyetleri): Kontrol eylemleri alınan riskleri tanımlayan, yönetim kararlarının uygulandığını garanti eden politikalar ve bu politikaları uygulayanlar tarafından geliştirilen prosedürlerden oluşur. Kontroller esasen örgütsel amaçların başarılmasına yönelik olarak bir işin bir kerede ve her defasında en doğru şekilde yapılmasını tarif eder. Kontroller, işletmede risk azaltım (riske karşılık verme) stratejilerinin yürütülmesini sağlar. Bazı kontroller sadece tek alanla ilgili olsa da genelde birbiriyle çakışır¹⁶. COSO yaklaşımı işletmenin kontrol eylemlerini işletmenin üç temel amacına göre sınıflandırır.

 Faaliyetlerle ilgili kontroller,

 Finansal raporlamayla ilgili kontroller,

 Uygunlukla ilgili kontroller.

Kontrolleri çeşitli açılardan sınıflandırmak mümkündür. Örnek olarak; telafi edici kontroller, önleyici kontroller vb. Standartların öne çıkardığı kontrol türleri ise;

 Yaygın kontroller,

 Yaygın olmayan kontrollerdir.

Şayet bir kontrol, işletme düzeyinde yani genel nitelikte ise yaygın, işlem ya da süreç düzeyinde ise yaygın olmayan kontroller olarak nitelendirilmektedir. Yaygın kontrollerin ve işlem düzeyindeki kontrollerin özellikleri ve denetçinin bunları tanımasına yönelik dikkate edeceği hususlar aşağıdaki tabloda özetlenmiştir.

16 “Örneğin; Yedek parça dağıtımından sorumlu bir satış müdürü bazı ürünlerin satışını ve coğrafik dağılımını aynı seviyede tutmak için her bölge sorumlusundan günlük rapor alır. Satış müdür bu bilgiyi muhasebe sisteminden aldığı satış kayıtları ve satış personelinin komisyonları ile karşılaştırdığı için bu kontrol eylemi, hem

Tablo: Yaygın ve Yaygın Olmayan Kontroller

Tanım Yaygın (İşletme

düzeyinde) kontroller

Yaygın kontroller üst yönetimi (kurumsal ve genel yönetimi) gösterir ve genel kontrol ortamı veya üst düzeye hizmet eder. Tipik kontrol süreci; insan kaynakları, hile, risk değerlendirme, genel BT (bilgi teknolojileri) yönetimi, finansal bilginin hazırlanması (finansal tabloları ve altta yatan tahminler vb. içeren) ve sürekli izleme faaliyetlerini içerir. Küçük işletmelerde bu kontroller yönetimin bütünlük ve kontrole karşı tutumuna atıf yapar.

Özel

(işlem düzeyinde) kontroller

İşlemsel (iş süreci) kontrolleri, aşağıdakileri sağlamak için tasarlanan özel süreçler/kontrollerdir:

• İşlemler finansal tabloların hazırlanması için uygun olarak kaydedilmiştir.

• Muhasebe kayıtları varlıkların tüm işlemleri ve elden çıkarılmaları doğru ve gerçeğe uygun olarak yansıtmak için detaylı bir şekilde korunur.

• Tahsilatlar ve harcamalar yönetimin izni ile uyumlu yapılır; ve

• Yetkilendirilmemiş satın alma, varlık kullanımı ya da varlıkların elden çıkarılması önlenmiş ya da bir zamanlama esasına bağlanmıştır (Örneğin hurdaya ayırma prosedürü gibi).

İşlemlere ilişkin kontrol süreçleri rutin işlemleri (gelirler, satınalmalar ve bordrolama gibi) ve alışılmadık işlemleri (ekipman alınması ya da yeni bir iş koluna girmeyle ilgili maliyetler) içerir.

(Kaynak: Mazars 2012; IFAC 2011)

Söz konusu kontroller ayrı kontroller şeklinde olabileceği gibi birbiriyle ilişkili kontroller de olabilir. Kontroller çoğunlukla birden fazla faaliyeti ilgilendiren çoklu riskleri azalatmak için tasarlanabilir. Elle ya da otomatize sekilde tasarlanarak isletilen başlıca kontrol eylemleri aşağıda sıralanmıştır. İki işletmenin işletme stratejileri benzer olsa bile iç kontrolleri kesinlikle aynı olmaz. Ancak ortak kontroller şunlardır:

 Görevlerin uygun şekilde ayrılması

 Faaliyetler ve işlemlerle ilgili uygun yetkilendirmeler

 Yeterli biçimde belgelendirme ve kaydetme

 Varlıklar ve kayıtların fiziksel olarak kontrol edilmesi

 Bilgi teknolojisi uygulama (girdi, süreç, çıktı) kontrol faaliyetleri

 Yapılan işlerin bağımsız kişiler tarafından kontrol edilmesi (bağımsız mutabakat)

Görevlerin Uygun Şekilde Ayrılması: İşletme görevlerinin uygun şekilde ayrılmış olması hata ve hileleri önleyici en önemli kontrol araçlarından biridir. Özellikle parasal tutar ve işlemlerle ilgili olarak fiziki sorumluluklarla, kaydi sorumlukların uygun şekilde ayrılması gerekir. Örneğin veznedara hem kasaya giren-çıkan nakdin sorumluluğu hem de kasa hesabına kayıt yapma sorumluluğu verilmemelidir. Ayrıca işlemlere ilişkin yetkilendirmelerde varlığı korumakla yükümlü olan kişiye ayni zamanda o varlıkla ilgili tasarruf yetkisi de verilmemelidir. Örneğin bir alış faturasını onaylayan kişi ile satıcıya ödenecek çeki imzalayan kişi aynı kişi olmamalıdır. Görevlerin ayrılığı ilkesinin uygulanmasında diğer önemli nokta kayıt tutma sorumluluğu ile raporlama sorumluluğunu birbirinden ayırmaktır. Özellikle performans raporlamasında satış bölümüne hem satış

kayıtlarının sorumluluğunu vermek hem de satış raporlaması yaptırmak kendini daha başarılı göstermek isteyen satış yöneticilerini hileli raporlamaya itebilir.

Faaliyetler ve işlemlerle ilgili uygun yetkilendirmeler: İşletmede etkili iç kontroller sağlamak açısından her bir işlem için uygun yetkilendirmelerin yapılmış olması gereklidir.

Örneğin işletmede bir varlığın hem edinimi hem de o varlığın kullanımı ya da harcama yetkisi aynı kişiye verilirse varlığın o kişi tarafından suiistimal edilmesi ihtimali yüksektir.

Yetkilendirmeler genel ve özel yetkilendirmeler şeklinde olabilir. Genel yetkilendirmede işletme yönetimi politikaları belirler. Bu politikalarla oluşturulan sınırlar dahilinde genel yetkilendirmeleri yürütmek üzere bütün işlemleri onaylayacak alt talimatlar oluşturulur.

Örneğin ürün satışlarına ilişkin sabit fiyat listelerinin yayınlanması, müşteri kredi limitlerinin belirlenmesi, yeni siparişler için sabit satış noktalarının belirlenmesi genel yetkilendirmelere örnek verilebilir. Özel yetkilendirmeler ise belli işlemler için yönetim tarafından yapılan yetkilendirmelerdir. Bu yetkilendirmeler her bir işlem için yapılır. Örneğin gayrimenkul ticareti yapan bir işletmede her daire satışı için satış müdürünün yetkilendirilmiş olması özel bir yetkilendirmedir. Yetkilendirmeyle onaylama arasındaki ayırım da önemlidir.

Yetkilendirme genel ya da özel sınıfa giren bir işlem için bir politika kararıdır. Onaylama ise yönetimin genel yetkilendirme kararının yürütülmesidir. Örneğin; stokta bulunan malların bir aylık ihtiyacı karşılayacak bir seviyeye düşmesini takiben yeni siparişinin verilmesi konusunda yetkilendirme yönetimin oluşturduğu genel yetkilendirme kararıdır. Bu politika gereği sürekli envantere göre malların kaydını tutan bir personelin bu siparişi onaylaması ise kararın yetkilendirme dâhilinde yürütülmesidir. Kayıtlara göre 1 aylık ihtiyaçtan daha fazla stok bulunması halinde bu personel yeni siparişi onaylayamaz.

Yeterli Biçimde Belgelendirme ve Kaydetme: İşlemleri doğru kaydetmek ve varlıklar üzerinde kontroller oluşturabilmek için belgelendirmenin yeterli olması hayati önem taşır.

Belge ve kayıt denilince alış ve satış faturaları, makbuzlar, dekontlar, bordrolar, satın alma emirleri, isçilik zaman kartları gibi belgelerle muhasebe fişleri, yardımcı defterler ve resmi defter kayıtları anlaşılır. Ülkemiz uygulamasında işletmeyle iş yaptığı tarafların karşılıklı finansal işlemlerine ilişkin belgelerin önemli kısmi Vergi Usul Kanunu ve diğer vergi kanunları ile Ticaret Kanunu ve Sermaye Piyasası Kanunu gibi kanunlarla düzenlenmiştir.

İşletme içinde gerçekleştirilen işlemlere ilişkin belgeler ise işletmeden işletmeye farklılık gösterir ve bu belgeler iç kontrollerin etkililiğini gösteren çok önemli kanıtlardır. Belgeler elektronik ortamda düzenlenebildiği gibi elle de düzenlenebilir. İster yasal gereklerle ister işletme içi ihtiyaçlar için olsun belge ve kayıtların iç kontroller açısından taşıması gereken genel niteliksel özellikler şunlardır:

 Seri ve sıra numarası taşıması ve belgelerin bu numaralarla izlenmesi,

 İşlem gerçekleştiği anda ya da en kısa sürede düzenlenmesi,

 Çok sayıda farklı belge yerine mümkün olduğu yerde çoklu kullanıma imkan veren belge oluşturulması,

 Belgenin en doğru düzenlemeye imkan verecek şekilde tasarlaması. Özellikle belgenin

gönderileceğinin belge üzerinde işaretlenmesi, imzaya yetkili olanları belirten kutucuklar, sayısal bilgi ve açıklama sütunları gibi tasarımsal özellikler bu belgelerin kontrollerini kolaylaştırır. İşlemle ilgili veri çevrimiçi olarak bilgisayara girildiğinde girdi ekranının veri girişini kolaylaştıran ve hatayı minimize eden nitelikte olması önemlidir.

Varlıkların ve Kayıtların Fiziki Kontrolleri: Varlıklar ve kayıtlar uygun şekilde korunmadıkları takdirde çalınabilirler, işletme amaçları dışında kullanılabilirler, zarar görebilirler veya kaybolabilirler. İster elle tutulsun ister elektronik ortamda bütün kayıt ve belgelerin kopyaları dahil uygun şekilde korunması ve korumayla ilgili azami önlemlerin alınması gerekir.

Yapılan İşlerin Bağımsız Kişiler Tarafından Kontrol Edilmesi: Yukarıda açıkladığımız kontrol eylemleri çalışanlar tarafından yerine getirilir ve çalışanların unutkanlıkları, dalgınlıkları ya da yorgunlukları vb. gibi durumların kontrolleri etkisiz kılma ihtimali her zaman vardır. Bazen kontroller zaman içinde etkililiklerini de kaybedebilirler ya da ihtiyaca uygun olmayabilirler. Bu nedenle işletme yönetiminin kontrolleri tasarlarken bunları doğrulayacak ya da bağımsız kişilerce kontrol edecek içsel mekanizmaları da oluşturması gerekir. Örneğin banka hesaplarının banka ile mutabakatının kayıtlardan ve nakittin fiziki takibinden sorumlu kişiler dışında biri tarafından yapılması önemli bir kontrol aracıdır.

Bilgi Teknolojisine Özgü iç Kontroller: İşletmelerin BT kaynaklı risklerine karşı, bunlara özel BT kontrolleri geliştirmeleri gerekmektedir. BT ile ilgili kontroller iki grupta toplanmaktadır. Bunlar: Genel kontroller ve uygulama kontrolleridir.

Genel kontroller: BT fonksiyonunu bütün yönleriyle (BT yönetimi, BT fonksiyonunda görevlerin ayrımı, sistem geliştirme, donanım, yazılım ve ilgili veri dosyasına erişime yönelik fiziksel ve online güvenlik, yedekleme ve acil eylem planı gibi) ilgilidir. Genel kontrol, işletme düzeyine yöneliktir. Uygulama kontrolleri süreçlerde yer alan kontrollerdir. Genel kontrollerin etkin olması, uygulama kontrollerinin de etkin olmasına olanak sağlar.

Uygulama kontrolleri denetim hedefleri gözetilerek oluşturulur. Uygulama kontrolleri, süreç uygulamalarını kontrol etmek için tasarlanan; işleme tabi tutma, yetkilendirme ve geçerlilik işlemlerinin doğruluğu ve tamlığını sağlamaya yöneliktir. Uygulama kontrolleri elle ya da otomatik olarak uygulanabilir. BT kontrollerinin etkin olması denetçinin KR değerlemesini dolayısıyla denetimde uygulayacağı destekleyici testlerin kapsamını belirlerken yardımcı olacaktır.

(4)Bilgi ve İletişim: İKS’nin merkezi sinir sistemidir. Kontroller ne kadar iyi tasarlanırsa tasarlansın eğer işletmede yukarıdan aşağı ve aşağıdan yukarı bilgi akışının sağlandığı sağlam bir bilgi ve iletişim sistemi yok ise o işletmede iç kontrollerin etkili olması beklenemez. Her işletme, finansal veya finansal olmayan işletme içi ve dışı olay ve eylemleri ilgilendiren geçerli bilgiyi elde edecek sistemler kurmalı ve işletmelidir. Bilgi, işin idaresi ile bağlantılı olarak yönetim tarafından belirlenmelidir. Bu bilgi, kontrol sorumluluklarının ve diğer

sorumlulukların yürütülmesinin sağlanması için belli bir düzende ve zaman diliminde ihtiyaç duyan kesimlere sunulmalıdır. Sadece faaliyetleri gerçekleştirmek değil, beklenti içinde olanlar, sorumlu olanlar da bilgilendirilmelidir.

Örgüt kültürü ve paylaşılan bilginin özelliği en iyi iletişim yolunun belirlenmesine yardımcı olur. Etkin bir İKS için şirket içi raporlama çok önemlidir. Yönetimin eylemleri, sözlerinden daha etkilidir. Şeffaflığı ve dürüstlüğü kültürlerine yerleştiren işletmeler, örgütsel iletişimde zorluk çekmezler.

İşletme içinde biçimsel anlamda oluşturulan tek bilgi sistemi muhasebe bilgi sistemidir.

Muhasebe bilgi sistemi finansal işlemleri kaydeden sınıflayan ve raporlayan bir süreç olup aynı zamanda varlıklar üzerinde koruyuculuk ve hesap verebilirlik görevi üstlenmiştir.

Etkin bir bilgi sistemi şunları sağlamalıdır:

 Bütün geçerli işlemler tanımlanmalı ve kaydedilmeli,

 İşlemleri finansal raporlama için uygun sınıflandırmaya izin verecek ayrıntıda ve zamanlılık esasına göre tanımlamalı,

 İşlemlerin finansal tabloda uygun parasal değerde kaydedilmesini sağlamalı,

 İşlemlerin meydana geldiği zaman dilimini saptamalı ve ilgili döneme kaydedilmesini sağlamalı,

 Finansal tablolarla ilgili açıklamalar ve işlemlerin doğru sunulmasını sağlamalıdır.

(5) Gözlemleme (İzleme): İç kontrol sistemleri ve kontrollerin uygulanma yöntemleri zaman içinde değişir. Bir zamanlar etkili olan yöntemler daha az etkili ya da tamamen geçersiz hale gelebilir. Yeni çalışanların işe alınması, eğitimi ve denetimin etkililiğinin değişmesi, zaman ve kaynak sınırlamaları veya diğer baskılar nedeniyle de bu olabilir. Ayrıca, iç kontrol sistemlerinin ilk olarak tasarlandığı durumlar değişebilir. Bütün bunlara bağlı olarak yönetimin iç kontrollerin uygun olup olmadığını ve yeni riskleri belirlemeye devam edip etmediğini izlemesi gerekir. Gözlemleme olarak ifade edeceğimiz bu sürekli izleme işlevi iç kontrollerin sürekli bir şekilde iyileştirilmesini sağlar. Bu süreç iç kontrollerin uygun personel tarafından tasarımını, kontrol eylemlerinin zamanındalığını ve gerekli önlemlerin alınmasının değerlendirilmesini içerir.

Gözlem sürekli izleme ve ayrı değerlendirmeler olarak iki şekilde yapılabilir. İç kontrol sistemleri genellikle kendilerini sürekli olarak belli bir dereceye kadar izlemek üzere yapılandırılmışlardır. Sürekli izlemenin derecesi ve etkililiği ne kadar büyükse ayrı değerlendirmeye o kadar az gereksinim duyulur. Sürekli ve ayrı değerlendirmeler; kontrol öz değerlendirmeleri, iç denetim, istisna raporları, çeşitli otoritelerin yapmış olduğu dış denetimlere ilişkin raporlar, müşteriler ve satıcılardan gelen şikâyetler vb. yöntemlerle yapılır.

İzleme faaliyetleri iç kontrolün her bir kısmı için söz konusudur. İç denetim birimi ya da fonksiyonu önemli bir izleme aracıdır. Üst düzey tarafından gerçekleştirilen kontroller yine üst düzeyce izlenmelidir. İşletme yönetiminin atladığı riskler, yönetim kurulunca izlenmelidir.

Kısaca güvenilirliği sağlamak için İKS izlenmek zorundadır.

İzlemede katmerli (çok katlı) yaklaşımın gerçekleştirilmesi önerilir. Buna göre;

 İlk katta, belirli bir alanda yönetimin gerçekleştirdiği günlük faaliyetler yer alır.

 İkinci katta, önceden belirlenmiş eksikliklerin olup olmadığını saptamak için düzenli olarak yönetim tarafından gerçekleştirilen söz konusu alandaki iç kontrollerin değerlendirilmesidir.

 Üçüncü katta ise bir fonksiyon veya alanda yönetimin kendi değerlemesinin sonuçlarının geçerliliği denetlenir.

1.5.4. Küçük ve Orta Ölçekli İşletmelerde İç Kontrol

Küçük işletmelerde kontrol ortamının (yönetimin etik değerler, ehliyet konusundaki görevi, kontrole yönelik tavrı ve günlük eylemleri) değerlendirilmesi önemli olacaktır. Bu, yönetimin davranışının, tavırlarının ve eylemlerinin değerlendirilmesini içerecektir.

Büyük ölçekli işletmelerin iç kontrol çerçevelerine başarı ile uyum sağlamaları beklenmekle birlikte, küçük ölçekli işletmelerin gerek katlanılması gereken maliyetler gerekse küçük ve orta ölçekli işletme (KOBİ)¹⁷ olmalarından kaynaklanan aşağıda özelliklerinden dolayı bir takım zorluklarla mücadele etmeleri beklenir. Bunlar (IIA, 2009:6-5):

- Görevlerin ayrımını başarılı bir şekilde yapma konusunda kaynak yetersizliği, - Yönetimin kontrolü veya iş sürecini atlaması,

- Finansal raporlama konusunda uzman kişileri işe almada ve bunları işletmede tutmada yaşanan eksiklikler,

- Muhasebe ve finansal raporlama üzerinde yeterince yoğunlaşmaktan ziyade günlük işlerle meşgul olunması,

- Sınırlı teknik kaynaklara sahip olunması ve bilgi teknolojileriyle kontrolde yaşanan sıkıntılar.

Şayet işletmede, etik değerlere, dürüstlük ve yeterliliğe dayalı bir kültür geliştirilmişse söz konusu eksiklikler giderilebilir. Çalışanların birbirini tanıması, yöneticilerin daha kısa iletişim kanallarına sahip olması, yöneticilerin kritik süreçlere anında müdahale edebilmesi KOBİ’lerin avantajları olarak sayılabilir.

17 COSO raporunda belirtilen küçük ölçekli şirketlerin ortak özellikleri şunlardır:

- Az sayıda işletme hattı ve bu hatlarda az sayıda mamul üretimi.

- Pazarlama faaliyetlerine yoğunlaşma - Patronun aynı zamanda yönetici olması

- Az sayıda yönetim seviyesi, dolayısıyla kontrollerin daha geniş bir alana yayılması - Az sayıda karmaşık işlem süreçleri ve protokolleri

- Az sayıda personel, dolayısıyla görev alanlarının daha geniş olması

- Destekleyici personel pozisyonlarını (hukuk, insan kaynakları, muhasebe, iç denetim gibi) sağlamanın ve korumanın güç olması.

KOBİ niteliğindeki halka açık şirketlerde yaşanan zorluklar nedeniyle COSO, orijinal COSO çerçevesine ek olarak 2006 yılı Temmuz ayında “Küçük Halka Açık Şirketler için Rehber” (Internal Control Over Financial Reporting – Guidance for Smaller Public Companies) yayınlamıştır¹⁸. Rehberde COSO ile getirilen çerçeve gözetilerek 20 temel prensip oluşturulmuş olup, bunlar Tablo 2’de özetlenmiştir:

Tablo 2: Küçük Ölçekli İşletmelerde Finansal Raporlama Üzerinde Etkin İç Kontrolü Başarmak İçin 20 Temel Prensip

Kontrol Ortamı

1. Dürüstlük ve Etik Değerler – Özellikle üst yönetimce finansal raporlama standardı olarak güçlü dürüstlük ve etik değerler oluşturmalı, geliştirmeli ve uygulamalıdır.

2. Yönetim Kurulu – Kurul üyeleri, iç kontrol ve finansal raporlamaya ilişkin gözetim sorumluluğunu bilmeli ve uygulamalıdır.

3. Yönetim Felsefesi ve Faaliyet Tarzı – Yönetim felsefesi ve faaliyet tarzı, finansal raporlama üzerindeki etkin iç kontrolün başarılmasını desteklemelidir.

4. Örgütsel Yapı – Şirketin örgütsel yapısı, finansal raporlama üzerindeki etkin iç kontrolü desteklemelidir.

5. Finansal Raporlama Yetkinlikleri – Şirkette finansal raporlama ve gözetim rolünü üstlenen çalışanlar olmalıdır.

6. Yetki ve Sorumluluk – Finansal raporlama üzerindeki etkin iç kontrolü kolaylaştırmak için uygun düzeyde yetki ve sorumluluğa yönetim ve çalışanlar olmalıdır.

7. İnsan Kaynakları – Finansal raporlama üzerindeki etkin iç kontrolü kolaylaştırmak için insan kaynakları politikaları tasarlanmalı ve uygulanmalıdır.

Risk Değerleme

8. Finansal Raporlama Hedefleri – Yönetim güvenilir finansal raporlama için riskleri tanımayı mümkün kılacak kriter ve yeterli açıklık için finansal raporlama hedeflerini belirlemelidir.

9. Finansal Raporlama Riskleri – Şirket, risklerin nasıl yönetilebileceğini belirlemeyi esas alan finansla raporlamanın başarılması için riskleri tanımlamalı ve değerlendirmelidir.

10. Hile Riski – Finansal raporlama hedeflerine ulaşmak için risklerin değerlendirilmesinde, hile dolayısıyla önemli yanlışlık olasılığı açıkça dikkate alınmalıdır.

Kontrol Faaliyetleri

11. Risk Değerlemesiyle Bütünleşme – Finansal raporlama hedeflerine ulaşmak için risklere yönelik eylemler gerçekleştirme.

12. Kontrol Faaliyetleri Seçimi ve Geliştirilmesi – Finansal raporlama hedeflerine ulaşmak için risklerin azaltılmasında, maliyet ve olası etkenleri dikkate alarak kontrol faaliyetleri seçilmeli ve geliştirilmelidir.

13. Politikalar ve Prosedürler – Güvenilir finansal raporlama politikaları ile üst yönetimin direktiflerinin yerine getirilmesine yönelik prosedürler oluşturulmalı ve tüm işletmeye

18 COSO, ayrıca küçük ölçekli halka açık şirketlerin iç kontrol süreçlerini nasıl ayrıntılı olarak izleyeceklerine ilişkin bir rehberi de (Guidance on Monitoring Internal Control Systems) 2009 yılında yayınlamıştır.

duyurulmalıdır.

14. Bilgi Teknolojisi – Şayet uygunsa, finansal raporlama hedeflerine ulaşılmasını destekleyecek bilgi teknolojisi kontrolleri tasarlanmalı ve gerçekleştirilmelidir.

Bilgi ve İletişim

15. Finansal Raporlama Bilgisi – Şirkette her seviyede kullanılan ilgili bilgi tanımlanmalı ve finansal raporlama hedeflerine ulaşılmasını destekleyecek şekil ve zaman diliminde dağıtımı yapılmalıdır.

16. İç Kontrol Bilgisi – Diğer kontrol unsurlarının gerçekleştirilmesinde kullanılan bilgi tanımlanmalı, diğer kontrol sorumlularının işine yarayacak şekilde bir form ve zaman dahilinde dağıtılmalıdır.

17. İç Haberleşme – Örgüt içindeki iletişim, örgütün bütün düzeylerde bireysel sorumluluklar dahil, iç kontrol hedefleri, süreçlerin icrasını ve anlaşılmasını etkinleştirmeli ve desteklemelidir.

18. Dış Haberleşme – Finansal raporlama hedeflerine ulaşılmasını etkileyecek durumlar üçüncü kişilere bildirilmelidir.

İzleme

19. Sürekli ve Müstakil (Ayrı) Değerlendirmeler – Finansal raporlamaya ilgili iç kontrolün mevcut ve fonksiyonel olup olmadığının belirlemek için sürekli ve ayrı değerlendirmeler yapılmalıdır.

20. Eksiklikleri Raporlama – İç kontrole ilişkin eksiklikler tanımlanmalı ve zamanında düzeltici önlemi almaktan sorumlu kişiler ile ayrıca uygun düzeydeki yönetim ve kurul üyelerine bildirilmelidir.

Kaynak: IIA, 2009:6-6.

Türkiye’de etkin iç kontrol sistemine ve onun gözetimini yapan iç denetim birimine sahip işletme sayısı, kurumsallaşma anlayışının yaygınlaşmasıyla birlikte gün geçtikçe artmaktadır.

Banka, aracı kurum gibi finans kesimindeki işletmeler yasal zorunluluklar nedeniyle etkin bir İKS ve iç denetim birimi oluşturmak durumundadır. Reel kesimde ise; yabancı ortaklı şirketlerde, halka açık şirketlerde ve belirli büyüklüğe ulaşmış holding şirketlerinde söz konusu yapılara rastlanmaktadır. Özellikle kurumsal yönetimi ön plana çıkaran Yeni TTK (6102 sayılı Kanun) ile birlikte risk yönetimi, iç kontrol gibi konuların daha da önem kazanması beklenmektedir.

Türkiye’de özellikle KOBİ’lerde gelişmiş bir iç kontrol sistemi henüz hayata geçirilebilmiş değildir. İç kontrol konusunda karşılaşılan başlıca eksiklikler şunlardır (Öksüz, 2009:320):

- Kurumsallaşma - Risk yönetimi

- Yazılı politika ve prosedürler (İş süreçleri) - Performans ölçümü (Ağırlıklı finansal kriterler) - Görevlerin ayrılığı ilkesi ve yetkilendirme - UFRS yetkinliği

- Periyodik kontrol faaliyetleri (düzenli stok sayımı gibi) - Bilgi güvenliği

- İç denetim fonksiyonu / birimi

- Raporlama ve bütçeleme sistemindeki bazı eksiklikler, - Bilgi işlem sistemlerindeki yetersizliklerdir.

1.5.5. İç Kontrol İşleyişinin Anlaşılması ve Belgelendirilmesi

İç kontrolün anlaşılmasının amacı, etkin kontroller tesis ederek, işletmenin iş ve hile risklerine uygun şekilde cevap verip vermediğini değerlendirmektir. Bu, aşağıdaki kalemleri içerecektir:

 Önemli hesapların ve açıklamaların ve finansal tablolarda bulunan ilgili iddiaların başlatılması, yetkilendirilmesi, işlenmesi ve rapor edilmesine ilişkin kontroller,

 Muhasebe politikalarının seçilmesi ve uygulanmasına ilişkin kontroller,

 Hileyi önleme programları ve kontrolleri,

 Bilişim teknolojisi genel iç kontrolleri de dahil olmak üzere diğer kontrollerin bağımlı olduğu kontroller,

 Yargıları ve tahminleri içeren hesaplar gibi rutin olmayan ve sistematik olmayan önemli işlemler üzerindeki kontroller,

 Yıl sonu finansal raporlama prosesi üzerindeki kontroller,

 İşlem toplamlarının defteri kebire girilmesi için kullanılan prosedürler üzerindeki kontroller,

 Defteri kebirdeki yevmiye defterlerinin başlatılması, yetkilendirilmesi, kaydedilmesi ve işlenmesi üzerindeki kontroller,

 Finansal tablolardaki mükerrer ve mükerrer olmayan ayarlamaları kaydetmeye yönelik kontrollerdir.

Gerekli denetim kanıtı elde etme konusunda alternatif bir yol olmadığı sürece (örneğin son derece otomatik ve kağıtsız bir sistemde) UDS’lerde kontrollerin faaliyet etkinliğini test etme şartı bulunmamaktadır. Bu yüzden, kontrollerin faaliyet etkinliğini test etme kararı, bir profesyonel yargı konusu olup, ileriki bölümlerde açıklanacaktır.

İç kontrolün anlaşılması, tasarım ve uygulama ile sınırlıdır. Bu, işletme personelinin sorgulamaları, spesifik kontrollerin uygulanışını gözlenmesi, belgelerin ve raporların denetlenmesi, ve bilgi sisteminde sadece bir veya iki işlemin izlenmesi gibi risk değerlendirme prosedürleri yoluyla tesis edilir.

UDS 315’e göre denetçinin, finansal tablolarda hata ve hilelerden kaynaklanan önemli yanlışlık riskini değerlenmesi ve bu çerçevede yeterli ek denetim tekniklerini tasarlayarak uygulayabilmesi için iç kontrol sistemi de dahil olmak üzere işletmeyi, faaliyet koşullarını ve çevresiyle olan ilişkilerini kavraması gereklidir. İşletmenin finansal raporlama ile ilgili iç