Yanlış organizasyonel yapılanma, yetkin ve yeterli sayıda personel eksikleri, teknolojik araçların ve veri analizi araçlarının yeterince kullanılmaması, yanlış denetim metodolojileri, iç denetimin ne olduğunun yeterince anlaşılmaması vb. çeşitli nedenlerle, maalesef, birçok iç denetim departmanı bulunduğu kuruma yeterince katma değer oluşturan faaliyetlerde bulunamamaktadır. İşletme sahip ve yöneticileri mevcut iç denetim faaliyetlerinin durumundan şikâyet ederek; iç denetim departmanlarının risklerini yönetmelerine, süreçlerini iyileştirmelerine, iç kontrollerini güçlendirmelerine, hatalarını olmadan önleyecek şekilde sistem kurmalarına yardımcı olmasını beklediklerini ifade etmektedir. İç denetim yönetici ve personeli de bulunduğu kuruma daha fazla katkı yapmak istemesine rağmen, yeterli tecrübeye sahip olmamak, etkin denetim metrolojilerini bilmemek vb. nedenlerle bunu nasıl yapacaklarını bilememektedir. Beklentileri yeterince karşılayamayan iç denetim departmanları; işletme yönetiminden yeterince kaynak alamamalarına ve sahiplenilmemelerine, bir maliyet olarak görülmelerine, işletmeye değer katmadan çalışmaların yapılmasına ve bazen de departmanların kapatılmalarına neden olmaktadır.
Bunun yanında; iç denetim ekibine iç denetim standartları, iç kontrol ve risk yönetimi çerçeveleri, iç kontrollerin değerlendirilmesi, kurumsal yönetim ve kurumsallaşma uygulamaları, suistimal, denetim raporu yazım teknikleri, denetim usulleri vb. ihtiyaç duyulan konularda eğitim desteği sağlamaktayız.
İç denetim ekibi yanında; süreç sahibi birimler, üst yönetim ve yönetim kuruluna yönelik; iç denetim, iç kontrol, risk yönetimi ve suistimal konularında dünyada yaygın uygulamalar, uluslar arası iç denetim standartları, iç kontrol standartları (COSO, Bütünleşik İç Kontrol Çerçevesi) kurumsal risk yönetimi standart ve çerçeveleri hakkında farkındalık artırıcı eğitimler yaparak onların da bu konular hakkında farkındalıkları artırarak etkin bir şekilde çalışmaların yürütülmesine katkıda bulunmalarını sağlıyoruz.
İç departmanını oluşturmuş ancak iç denetim süreçleriyle ilgili olarak desteğe ihtiyacı olan işletmelerimize, iç denetim fonksiyonunun işletmeye kattığı değerin maksimize edilmesi amacıyla stratejik destek sağlamaktayız.
BURCA olarak bu amaçla öncelikle, mevcut iç denetim departmanının durumunu; iç denetim yönetmeliği, kullanılan iç denetim yönetim sistemleri, risk değerlendirme yöntemleri, iç denetim planları, iç denetim personelinin sayı ve yetkinlikleri, organizasyonel yapılanma, raporlamalar, aksiyon takipleri, varsa denetim komitesi yönetmeliği, vb tüm yönleriyle analiz ediyoruz. Ayrıca, üst yönetimin, yönetim kurulunun iç denetimden beklentilerini, iç denetim yönetici ve personelinin beklenti ve hedeflerini değerlendiriyoruz. Bunun yanımda işletmenin ihtiyaçları, denetim evreninin büyüklüğü değerlendirerek iç denetim departmanının ihtiyaçlara uygunluğunu belirliyoruz. Mevcut durumla ilgili yapılan analizler ve değerlendirmeler neticesinde, iç denetim süreçleriyle ilgili iyileştirilmesi gereken alanları tespit ediyoruz.
Bundan sonraki aşamada, tespit edilen iyileştirme alanlarına yönelik, alınan aksiyonları belirleyerek bu aksiyonların (iç denetim yönetmeliği, iç denetim rehberinin yazılması/revizesi, aksiyon takip sistematiğinin revizesi vb.) alınması için gerekli desteği sağlıyoruz.
Sorularınız mı var?
İç denetimin değerini azaltan, maksimum fayda sağlayan bir fonksiyon olmasını önleyen başlıca hataların şunlardır diyebiliriz:
- Değer katmayan aktivitelere kaynak ayırmak, gereksiz kapsam genişlemeleri yapmak, onu da denetleyim, bunu da denetleyim derken esas büyük risklere odaklanamamak.
- Kurumumuzdaki yeni gelişen, ortaya çıkan, riskleri belirleyememek ve bu riskler hakkında değer katan çalışmalar yapamamak.
- Müşterilerimizi denetim süreçlerimize yeterince dahil edememek, neyi? nasıl? ne zaman denetleyeceğiz? konularında onlarla yeterli iletişim ve iş birliği yapamamak.
- Denetim yapılmasına rağmen süreçlerdeki aynı problemlerin devam etmesi, aksiyon aldıramamak, hataların kök nedenlerini giderememek.
- Üst yönetim ve yönetim kurulu ile yetersiz iletişim, onların beklentilerini anlayamamak, gündemlerini yakalayamamak, onları uykusuz bırakan konulardan habersiz olmak.
- Kendimizi yenileyememek, eski/geleneksel denetim usullerine takılı kalmak, mali ve uyum odaklı kalmak, kontrollere aşırı odaklanmak.
- Denetim süreçlerimizi çevikleştirememek, müşteriye fayda sağlayan ürünleri, zamanında, gecikmeden sağlayamamak.
- Kendimizi statik denetim adımlarıyla bağlamak, iç görü ve öngörü üretememek, etrafımızdaki iyileştirme alanlarını görememek, görsek bile, bir denetim planı çerçevesinde gelip bakmaya çalışmak, hemen tavsiye üretememek.
- Sadece iyileştirilmesi gerekenlere odaklanmak, fırsatlara dikkat etmemek, müşterilerimize ileriye dönük tavsiye ve öngörüler sağlayamamak.
- Bir danışman, vizyoner bir üst düzey yönetici bakış açısına sahip olamamak, etrafımıza bu şekilde bakamamak, bu yönde öneriler geliştirememek.
- Denetim komitesi üyeleri ve üst yönetimi esnek planlama, dinamik risk değerlendirmeleri vb. konularda yeterince bilgilendirememek nedeniyle denetim süreçlerinde gerekli değişimleri yönetememek,
- Kurumumuzdaki diğer izleme ve güvence sağlayan fonksiyonlarla yeterli iş birliği yapamamak, kurumun tüm kaynaklarını etkin kullanamamak, denetim müşterilerinde denetim bıkkınlığına neden olmak.
- Veri analizi vb teknolojik araçlardan yeterince yararlanamamak, sürekli ve tüm popülasyona yönelik denetim sonuçları üretememek, örneklemlerle çalışma yapmak.
- Kurumumuzun iş yapış şekillerini, sektörün gidişatını, dinamiklerini anlayamamak, bu yönde tavsiyeler üretememek.
- Bilgi teknolojisi risklerine yeterince zaman ayırmamak, gereken güvence ve tavsiyeleri sağlayamamak.
İç denetim departmanınız olmasına ve yaptığı denetimlere rağmen;
- İş süreçlerinizde benzer hatalar olmaya devam ediyorsa,
- İç denetiminiz proaktif bir şekilde riskleri tespit ederek bu risklerin etkin bir şekilde yönetilip yönetilmediği konusunda sizlere bir güvence veremiyorsa,
- Süreç sahibi birimleriniz iç denetimden bir fayda gördüklerini söylemiyorlarsa,
- İç denetiminiz, sadece mali işler denetimi ve bazı uyulması gereken mevzuata uyulup uyulmadığı konusunda bir görüş veriyor, ancak diğer IT, satış, üretim vb. önemli iş süreçleriniz hakkında görüş veremiyorsa,
- İç denetiminiz, hataları söylüyor ancak bu hataların giderilmesi için gerekli aksiyonları aldıramıyorsa ve bu aksiyonları takip edecek bir sistem kuramamışsa,
- İç denetimiz, önemsiz küçük risklerle uğraşıyor, sizlerin öncelikli konularına kaynak ayırmıyorsa,
- İç denetiminiz, gündeminizde önemli risklerle ilgili olarak size destek olacak esnekliğe sahip değilse,
Bu vb. işaretler iç denetiminizde bir transformasyon ihtiyacı olduğunun göstergeleridir. Bu işaretler iç denetiminizin etkin çalışmadığını, beklenen seviyede değer katamadığı gösteren kırmızı bayraklardır.
Bu bayraklar varsa iç denetim süreçlerinizin gözden geçirilmesi için, iç denetim alanında uzman bir kişi veya kurumdan destek almak suretiyle, iyileştirme için gerekli aksiyonları almanız uygun olacaktır.
İç denetim departmanınızın etkin olduğunu veya kurumunuza değer kattığının bazı göstergeleri olarak şunları belirtebiliriz:
- İç denetiminiz sizlere risklerinizin nasıl yönetildiği konusunda objektif ve bağımsız bir şekilde zamanında ve düzenli olarak güvence sağlıyorsa,
- Risklerinizin giderilmesi için gerekli aksiyonların alınmasında öneriler yaparak aksiyonlar aldırabiliyorsa,
- Tespit edilen hatalar tekrar etmeyecek şekilde giderecek nitelikte aksiyonlar aldırabiliyorsa,
- Değişen riskler karşısında denetim planını hemen değiştirerek gerekli güvence veya danışmanlık faaliyetlerini yürütebiliyorsa,
- Denetim müşterilerini denetçilerden bir şey saklamıyor onlarla risklerini şeffaf bir şekilde paylaşıyorlar ve denetçilerinizden yardım isteyebiliyorsa,
- Denetim yöneticinizi veya denetçilerinizi yönetim toplantılarınıza çağırarak onların da görüşünü alıyorsanız veya buna değer görüyorsanız,
Bunlar sizin iç denetim biriminizin etkin olduğunun bazı işaretleridir diyebiliriz. Etkin çalışan bir departmanınız olduğu için şanlısınız ve iç denetçilerinize size kattığı değer için sizden bir teşekkürü hak ediyor demektir.
Süreç sahipleri ve üst yöneticilerin iç denetimle ilgili bazı kaygı veya yanlış anlamaları olduğu görülmektedir. Bunlardan en dikkat çekenleri şunlar:
- “Denetçiler hata bulmak için çalışırlar”,
- “Denetim işlerimizi yavaşlatır”,
- “Denetçiler önemsiz işlerle uğraşıyorlar”,
- “Denetim uzmanlık alanımıza giriyor” ve
- “Prosedürlerin olmadığı yerde denetim yapılmaz”.
Bu kaygı veya yanlış anlaşılmalar; iç denetim ekipleri ve süreç sahipleri arasında iletişim ve iş birliği ortamının zayıflamasına, iç denetimin, yönetim birimlerinden istenilen seviyede destek görememesine ve bu da iç denetimden istenilen düzeyde fayda sağlanamamasına neden olmaktadır.
Bu kaygılar veya yanlış anlaşılmalar genellikle; yanlış iç denetim metodolojileri, iletişim eksikleri ve iç denetimle ilgili eksik ve yanlış bilgilerden kaynaklandığı görülmektedir.
Bu problemleri giderebilmemiz için yapılması gereken bazı hususlar şunlardır diyebiliriz:
- Öncelikle gerek denetçi gerekse süreç sahipleri olarak; iç denetim nedir? ne değildir? iyi bilmemiz gerekiyor.
- Denetçiler olarak doğru denetim metodolojileri uygulamamamız gerekiyor. Yanlış denetim metodolojilerini bırakarak, müşterilerine değer katan aktivitelere odaklanmamız gerekiyor.
- Denetim müşterilerimizi denetim süreçlere dahil eden, onlarla iletişim ve iş birliğini artıran, müşteriye sağlanan değere odaklanan, çevik denetim yöntemlerini uygulamamız gerekiyor.
- İç denetimin gizlice, haber vermeden yapılan faaliyetler olmadığını, şeffaf bir şekilde ve onlarla iş birliği ve iletişim içerisinde yapılan faaliyetler olduğunu göstermemiz gerekiyor.
- İç denetim ve süreç sahiplerinin rollerinin iyi anlaşılması, taraflarca uzlaşmacı yaklaşımların uygulanması ve ortak amaçlar için hareket ettiğimizi bilmemiz gerekiyor.
- Raporlamalarımızın dengeli olması yani sadece olumsuz tarafları değil olumlu tarafların da raporlanması,
- Bulgularımızın kanıtlara dayalı olması ve objektiflik.