Bilindiği üzere tüm dünyada Mayıs ayı iç denetçiler tarafından “iç denetim farkındalık ayı” olarak iç denetimi tanıtıcı çeşitli etkinliklerle kutlanıyor. Bu faaliyetlerin iç denetimin tanınması ve katkılarının anlaşılması açısından çok faydalı olduğunu düşünüyorum. Kişisel web sayfamın (nazifburca.com) açılışı da bu aya denk geldi. Bu sayfada iç denetim başta olmak üzere; iç kontrol, kurumsal yönetim, risk yönetimi, kalite, süreç iyileştirme, suistimal vb konulardaki görüşlerimi paylaşmayı amaçlıyorum. Sitenin tüm ilgilenenlere faydalı olmasını diliyorum.
İç denetim birimleri tarafından denetim planları hazırlanırken, bulunduğu kurumun en riskli alanlarını belirlemek amacıyla, süreç sahipleri, üst yönetim ve denetim komitesinin de görüşleri alınarak, genellikle yıllık olarak risk değerlendirmeleri yapılır. İç denetimin paydaşlarının beklentileriyle, iç denetimin yaptıkları arasında bir beklenti boşluğu/farklılığı olup olmadığını görmek açısından, iç denetim birimlerinin periyodik olarak kendi risk değerlendirmelerini de yapmalarının faydalı olacağını kanaatindeyim.
Kamu ve özel sektör uygulamaları dikkate alındığında genel olarak iç denetim birimlerinin bazı risklerini; teknolojinin ve veri analizi araçlarının yeterince kullanılamaması, sürekli ve uzaktan denetim metodolojilerinin oluşturulamaması, doğru raporlama yapısının oluşturulamaması, paydaşlarla iletişimde başarısızlık, hızla değişen teknoloji ve yeni risk alanları (siber güvenlik, yeni teknolojiler vb) konusunda müşterilerine yeterli katkıda bulunamamak, sadece uyum denetimleriyle sınırlı kalmak, problemlerin kök nedenlerinin net olarak ortaya konamaması nedeniyle bulguların tekrar etmesi, yetkin personelin temin edilememesi, etkin olmayan iç denetim performans değerlendirmeleri, denetim kapsamında hangi kontrol noktalarının ve nasıl test edileceğinin net bir şekilde tespit edilmemesi nedeniyle etkin bir denetim ve zaman yönetiminin yapılamaması, etkin olmayan gözden geçirme, raporlama ve aksiyon takip süreçleri, bulunduğu kurumun iş süreçlerinde yer alan önemli kontrol zaafiyetlerinin zamanında ortaya çıkarılamaması, kurumun ceza alması vb nedenlerle itibar kaybı, katma değer oluşturan faaliyetlerde bulunamama ve güvenilen bir danışman (trusted advisor) olamama, olarak belirtebiliriz.
Elbette bu riskleri artırmak ve başka şekillerde ifade etmek de mümkün. Kısaca ifade edilen bu risklerin içerisinde en önemli olanının; iç denetimin paydaşları için katma değer oluşturan faaliyetlerde bulunamaması ve onların güvenilir bir danışmanı haline gelememesi olduğu kanaatindeyim. Risk olarak belirttiğim diğer hususların çoğunu bu önemli riskin kök sebebi olarak da görebiliriz.
PwC tarafından yapılan “2017 State of the Internal Audit Profession Study” araştırması sonuçlarına göre, 2016 yılında iç denetimin paydaşlarının %54’ü iç denetimin önemli katma değer oluşturduğunu belirtirken, 2017’de bu oran % 10 azalarak % 44’e düşmüştür ve bu değer ölçüm yapılan son beş yılın en düşük değeridir (2013: %58, 2014: %54, 2015: %48). Aynı çalışmaya göre, araştırmaya katılanların ancak % 9’unun iç denetimi güvenilen danışman (PwC tarafından, denetim planının etkili ve verimli bir şekilde yürütülmesinin ötesinde, yönetime; katma değerli hizmetler ve proaktif stratejik danışmanlık hizmetleri sağlayan iç denetimi güvenilen danışman olarak tanımlanmaktadır) rolünde gördüğü belirtilmektedir. Diğer taraftan yönetim kurulu üyelerinin % 68’i, üst yönetimin ise % 77’si iç denetimin yıkıcı olaylara (disruptive events) (siber güvenlik, teknojik ilerlemeler, digital innovasyon vb) mevcut katılımını yeterli olarak görmemektedir.
Daha net bir kanaate ulaşabilmek için bu araştırma sonuçlarını başka araştırma sonuçları ve etkili olabilecek diğer faktörlerle birlikte değerlendirmek daha uygun olur. Ancak bu sonuçlara göre, iç denetimin katma değer oluşturma algısında önemli bir azalış görülmekte, güvenilir bir danışman olarak görülme ve yıkıcı olaylara katılımı yeterli görülmemektedir. Bu durumun kök nedenleri üzerinde dikkatlice değerlendirmeler yapılarak, bu kök nedenleri giderecek aksiyon planlarının belirlenmesinin uygun olacağı düşüncesindeyim.
Siz de değerli görüş ve yorumlarınızı paylaşırsanız memnun olurum.