Kimler için?
- Büyümesiyle birlikte kurucunun tek başına gözetemeyeceği ölçeğe ulaşan, yetki devrini kontrole bağlamak isteyen şirketler.
- Çok şubeli, çok depolu veya çok şirketli yapıya sahip; nakit, stok ve tahsilat süreçlerinde kayıp riski taşıyan işletmeler.
- Yeni ortak alan, yatırımcıya açılan veya bir devir görüşmesine hazırlanan ve kontrol ortamını gösterebilir hâle getirmesi gereken şirketler.
- Ana ortağı yurt dışında bulunan ve grup politikalarına uyum ile yerel mevzuat arasındaki farkı yönetmesi gereken bağlı şirketler.
- İç denetim birimini yeni kuran, denetim evrenini ve yıllık planını ilk kez oluşturacak olan kuruluşlar.
Mevzuat dayanağı
- 6102 sayılı Türk Ticaret Kanunu
- Yönetim kurulunun devredilemez görevleri, muhasebe düzeninin ve finansal denetim için gerekli iç sistemlerin kurulmasını da kapsar.
- 213 sayılı Vergi Usul Kanunu
- Belge düzeni, kayıt nizamı ve saklama yükümlülükleri, kontrol tasarımının üzerine oturduğu asgari çerçeveyi belirler.
- 3568 sayılı Serbest Muhasebeci Mali Müşavirlik ve Yeminli Mali Müşavirlik Kanunu
- Meslek mensubunun danışmanlık yetkisinin sınırı ve mesleki sorumluluğu bu Kanun'da düzenlenmiştir.
Hadler, oranlar ve süreler mevzuat değişiklikleriyle güncellenmektedir; güncel değerler için ilgili tebliğin yürürlükteki metni esas alınmalıdır.
Süreç nasıl işler?
Denetim evreninin ve risk haritasının çıkarılması
Şirketin tüm faaliyet alanları denetlenebilir birimlere ayrılır; her birim için mali etki, mevzuata uyum, itibar ve süreklilik riskleri değerlendirilir. Sonuç, denetim kaynağının nereye yöneleceğini gösteren bir risk haritasıdır.
Süreç analizi ve kontrol tasarımının değerlendirilmesi
Satın alma, satış ve tahsilat, stok, nakit, sabit kıymet, personel gideri ve raporlama süreçleri adım adım incelenir. Her adımda mevcut kontrolün riski karşılayıp karşılamadığı, karşılamıyorsa hangi kontrolün gerektiği belirlenir.
Üç savunma hattının netleştirilmesi
İşi yürüten birimin kendi kontrolü, gözetim ve uyum işlevlerinin ikinci hat sorumluluğu ve iç denetimin bağımsız güvence rolü birbirinden ayrılır. Hatların karıştığı yerde denetim, kendi tasarladığı kontrolü değerlendirir duruma düşer.
Risk odaklı denetim planının hazırlanması
Risk haritasına göre denetim konuları önceliklendirilir; her konu için amaç, kapsam, yöntem ve kaynak ihtiyacı yazılır. Plan, yönetim kurulunun veya denetim komitesinin onayına sunulacak biçimde hazırlanır.
Saha çalışması ve bulguların oluşturulması
Örnekleme, yeniden hesaplama, belge incelemesi ve süreç izleme yöntemleriyle kontrollerin işleyişi sınanır. Her bulgu; tespit, ölçüt, sonuç ve neden başlıklarıyla kanıta bağlanır.
Raporlama ve aksiyon takibi
Bulgular önem derecesine göre sıralanır, sorumlu birim ve önerilen aksiyonla birlikte raporlanır. Takip mekanizması kurulmadığında rapor tek seferlik bir belgeye dönüşür; bu nedenle kapanış izlemesi çalışmanın ayrılmaz parçasıdır.
Gerekli belgeler
- Organizasyon şeması, görev tanımları ve imza yetkileri sirküleri
- Yürürlükteki iç yönergeler, satın alma ve harcama politikaları
- Süreç akış şemaları veya süreçlerin yazılı tarifleri
- Kullanılan kurumsal kaynak planlama sisteminin yetki matrisi ve kullanıcı erişim listeleri
- Dönemsel mali tablolar, mizanlar ve yönetim raporlama setleri
- Banka, cari hesap ve stok mutabakatlarına ilişkin kayıtlar ile sayım tutanakları
- Varsa önceki iç denetim, bağımsız denetim veya tam tasdik raporları ve bunlara verilen cevaplar
- Tedarikçi ve müşteri sözleşmelerine ilişkin standart metinler ve onay akışları
Süre ve zamanlama
- Denetim planı yıllık olarak hazırlanır ve dönem içinde risk profili değişirse gözden geçirilir; sabit kalan bir plan, değişen riskleri karşılamaz.
- Saha çalışması, sayım ve mutabakat dönemleriyle uyumlu planlandığında kanıt toplama maliyeti düşer.
- Bulguların kapanış takibi, raporun teslimiyle değil aksiyonun fiilen tamamlanmasıyla sona erer; kapanmayan bulgular sonraki plana taşınır.
- Yeni bir bilgi sistemine geçiş, şube açılışı veya şirket devralınması hâlinde ilgili süreçlerin kontrol değerlendirmesi geçiş öncesinde ele alınır.
Sık yapılan hatalar ve dikkat edilecekler
- İç denetimi muhasebe kontrolünden ibaret saymak
- Denetim yalnızca kayıtların doğruluğuna odaklandığında, satın almada tedarikçi seçimi veya stok hareketlerinde yetkilendirme gibi asıl riskli alanlar kapsam dışında kalır. Denetim evreni faaliyetin tamamını kapsamalıdır.
- Bağımsızlığı zedeleyen görevlendirme yapmak
- Denetimi yürüten kişinin aynı zamanda süreci yöneten veya kontrolü uygulayan konumda olması, sonucun güvence değerini ortadan kaldırır. Raporlama hattı, denetlenen birimin üzerinden geçmemelidir.
- Riske bakmadan tüm süreçleri eşit sıklıkla denetlemek
- Kaynağın eşit dağıtılması, düşük riskli alanlarda gereksiz emek harcanmasına ve yüksek riskli alanların yüzeysel incelenmesine yol açar. Plan, risk haritasından türetilmelidir.
- Bulguyu nedenine inmeden yazmak
- Yalnızca hatalı işlemi gösteren bir bulgu, aynı hatanın tekrarını engellemez. Kök nedeni yazılmayan bulgunun önerisi de yüzeysel kalır ve aksiyon kalıcı olmaz.
- Kontrolü belgeye bağlamadan uygulamak
- Fiilen yapılan ancak izi bırakılmayan bir kontrol, sonradan doğrulanamaz. Onayın kim tarafından, ne zaman ve neye dayanarak verildiği sistem üzerinde veya belgede görünmelidir.
- Takip mekanizmasını kurmamak
- Bulguların kapanışı izlenmediğinde bir sonraki denetimde aynı tespitler tekrarlanır. Sorumlu, çıktı ve kapanış ölçütü belirlenmeyen aksiyon, uygulanmış sayılamaz.
İlgili hizmetler
- Kamu İç Kontrol Standartları DanışmanlığıKurumsal Danışmanlık
- Revizyon Hizmetleri (Kayıt ve Belge Revizyonu)Mali Danışmanlık
- Maliyet Kontrol Sistemleri DanışmanlığıKurumsal Danışmanlık
- Tam Tasdik — Yıllık Beyanname ve Mali Tabloların TasdikiVergi ve Tasdik Hizmetleri
İlgili rehber yazıları: Tam tasdik nedir, hangi kurumlar için zorunlu ve hangileri için avantajlıdır?
Her hizmetin kapsamı ayrı bir sözleşmeyle belirlenir. Aynı mükellefe tasdik ve danışmanlık hizmetlerinin birlikte verilebilmesi, mesleki bağımsızlık ve tasdik mevzuatındaki sınırlar çerçevesinde ayrıca değerlendirilir.
Sık sorulan sorular
İç kontrol ile iç denetim arasındaki fark nedir?
İç kontrol, işin yapılış biçiminin içine yerleştirilmiş ve süreklilik gösteren bir düzendir; sorumlusu süreci yürüten yönetimdir. İç denetim ise bu düzenin tasarımını ve işleyişini bağımsız olarak değerlendirir, güvence ve öneri üretir. Biri diğerinin yerine geçmez.
Bağımsız denetimden geçen bir şirketin ayrıca iç denetime ihtiyacı var mıdır?
Bağımsız denetim, mali tabloların bütünü hakkında görüş oluşturmaya yöneliktir ve kapsamı bu amaçla sınırlıdır. İç denetim ise operasyonel süreçleri, yetkilendirmeyi ve uyum riskini de ele alır. İki işlev farklı sorulara cevap verir.
Şirketimizde ayrı bir iç denetim birimi kurmak zorunda mıyız?
Ayrı birim kurmak her şirket için uygulanabilir olmayabilir. Önemli olan işlevin bağımsız biçimde yerine getirilmesi, raporlama hattının denetlenen birime bağlı olmaması ve planın yönetim kurulunca sahiplenilmesidir. Ölçek küçükse işlev dışarıdan destekle de yürütülebilir.
CRMA sertifikası çalışmaya nasıl yansıyor?
Meslek mensubunun sahip olduğu CRMA sertifikası, risk yönetimi güvencesi alanında uluslararası bir mesleki yeterlilik belgesidir. Çalışmada, riskin tanımlanması ve kontrol tasarımıyla ilişkilendirilmesi bu alanın kabul görmüş yöntemleri çerçevesinde ele alınır.
Çalışma, muhasebe kayıtlarımızın tutulmasını kapsar mı?
Kapsamaz. 3568 sayılı Kanun gereği yeminli mali müşavirler defter tutamaz; büromuz muhasebe ve bordro hizmeti vermez. Çalışma, kayıtların oluştuğu süreçlerin kontrol yapısını değerlendirmeye yöneliktir ve şirketin kendi muhasebe birimiyle eşgüdüm içinde yürütülür.
Kapsam ve süreç hakkında görüşmek için
Somut durumunuzun değerlendirilmesi ve çalışma kapsamının belirlenmesi için iletişim sayfasındaki formu kullanabilir veya doğrudan arayabilirsiniz.
İletişim