Part III- İç Denetim Fonksiyonu

Bölüm A. İç Denetim Faaliyetleri (%25)

1. İç denetim faaliyetlerinin planlanması, organize edilmesi, yönlendirilmesi ve izlenmesine yönelik yöntemleri açıklamak

Aşağıdakileri içerebilir ancak bunlarla sınırlı değildir:

a. İç denetim hizmeti sunan dış hizmet sağlayıcıların yönetilmesine ilişkin yöntemleri açıklamak

b. İç denetim faaliyetlerinin ve operasyonlarının izlenmesine yönelik yöntemleri açıklamak

c. Güvence ve danışmanlık görevleri arasında uygun bir denge kurulmasına yönelik yöntemleri açıklamak

d. İç denetim metodolojilerinin gözden geçirilmesini ve gerektiğinde değiştirilmesini gerektirebilecek koşulları belirlemek

2. İç denetim fonksiyonundaki finansal kaynakların, insan kaynaklarının ve bilgi teknolojileri kaynaklarının yönetilmesine ilişkin temel faaliyetleri açıklamak

Aşağıdakileri içerebilir ancak bunlarla sınırlı değildir:

a. Bütçeleme sürecinin temel aşamalarını ve bu süreçte dikkate alınması gereken unsurları açıklamak

b. İç denetim fonksiyonuna kaynak ve personel alınması sürecinde izlenecek aşamaları ve dikkate alınması gereken hususları tanımak

c. İç denetim ekibindeki farklı üyelerin görev ve sorumluluklarını belirlemek

d. İç denetçilerin eğitilmesi, geliştirilmesi ve kurumda tutulmasına yönelik stratejileri açıklamak

e. İç denetim fonksiyonunda kullanılabilecek performans yönetimi yöntemlerini açıklamak

f. İç denetim görevlerinin yürütülmesinde kullanılacak teknolojik kaynaklara ilişkin temel hususları açıklamak

g. İş tasarımı, ödüllendirme, çalışma programları, mentorluk, koçluk ve yapıcı geri bildirim dâhil olmak üzere iç denetim fonksiyonunun performansını geliştirebilecek davranışsal ve yönetsel yöntemleri tanımak

3. İç denetim stratejisinin paydaş beklentileriyle uyumlu hâle getirilmesi için gerekli temel unsurları açıklamak

Aşağıdakileri içerebilir ancak bunlarla sınırlı değildir:

a. İç denetim stratejisinin kurumun iş stratejisini ve risk yönetimi uygulamalarını nasıl desteklediğini açıklamak

b. İç denetim fonksiyonunun misyon ve vizyon ifadelerinin amacını açıklamak

c. İç denetim kaynak planlamasının iç denetim stratejisiyle nasıl uyumlu hâle getirileceğini açıklamak

d. İç denetim stratejisinin gözden geçirilmesini ve değiştirilmesini gerektirebilecek koşulları belirlemek

4. İç denetim yöneticisinin üst yönetim ve yönetim kuruluyla ilişki kurma ve çeşitli konularda iletişim sağlama sorumluluklarını tanımak

Aşağıdakileri içerebilir ancak bunlarla sınırlı değildir:

a. Paydaşlarla kurulan resmî ve gayriresmî iletişimin önemini açıklamak

b. İç denetim planının ve planda daha sonra yapılan değişikliklerin üst yönetim ve yönetim kuruluna iletilmesine ilişkin süreci açıklamak

c. İç denetim planının kurumun genel stratejisiyle olan bağlantısının nasıl iletileceğini açıklamak

d. İç denetim fonksiyonunun bağımsızlığına ilişkin kaygıların iletilmesinde izlenecek süreci açıklamak

e. Kurumun önemli risklere maruz kalmasına ilişkin konuların iletilmesinde izlenecek süreci açıklamak

f. İç denetim yöneticisinin kurumun risk yönetimi ve kontrol süreçlerinin genel etkinliğini zamanında raporlama sorumluluğunu açıklamak

g. İç denetim yöneticisinin birden fazla görevden elde edilen sonuçları değerlendirerek ortak konuları ve eğilimleri belirleme sorumluluğunu açıklamak

h. İç denetim yöneticisinin kalite değerlendirmesi sonuçlarını, performans ölçütlerini ve gerekli iyileştirme planlarını üst yönetime ve yönetim kuruluna iletme sorumluluğunu açıklamak

Bölüm B. İç Denetim Planı (%15)

1. Potansiyel iç denetim görevlerinin belirlenmesinde kullanılabilecek kaynakları tanımlamak

Aşağıdakileri içerebilir ancak bunlarla sınırlı değildir:

a. Denetim evreninin tanımlanması sürecini açıklamak

b. Denetim evreninin temel bileşenlerini belirlemek

c. Konu Bazlı Gerekliliklerin uygulanabilirliğini tanımak

d. Yönetim kurulu ve üst yönetim tarafından iletilen iç denetim görevi taleplerinin değerlendirilmesi sürecini açıklamak

e. Kuruma uygulanabilecek yasa ve düzenleme yükümlülüklerinin belirlenmesi sürecini açıklamak

f. İlgili piyasa ve sektör eğilimlerinin belirlenmesi sürecini açıklamak

g. Kurumsal değişikliklerin, ortaya çıkan sorunların ve gelişmekte olan risklerin belirlenmesi sürecini açıklamak

h. Nesnelerin interneti, yapay zekâ, blok zinciri, dijital para ve dijital varlıklar ile robotik süreç otomasyonu gibi gelişmekte olan teknolojilerin iç denetim planına etkisini değerlendirmek

ı. Belirli faaliyetlerin belli aralıklarla denetlenmesini gerektiren denetim döngülerinin nedenlerini açıklamak

2. Risk bazlı iç denetim planının geliştirilmesine ilişkin süreçleri açıklamak

Aşağıdakileri içerebilir ancak bunlarla sınırlı değildir:

a. İç denetim planının hazırlanmasında kullanılacak risk değerlendirme metodolojisini açıklamak

b. Belirlenen risklerin önceliklendirilmesine ilişkin yöntemleri açıklamak

c. İç denetim planının kurumun stratejisiyle uyumlu tutulması sürecini açıklamak

d. İç denetim planının iç denetim stratejisiyle uyumlu tutulması sürecini açıklamak

e. İç denetim planının paydaş beklentileriyle uyumlu tutulması sürecini açıklamak

f. Dinamik bir iç denetim planının sürdürülebilmesi amacıyla planın zamanında güncellenmesini gerektirebilecek koşulları tanımak

g. Kurumun risk profilinde, stratejisinde, faaliyetlerinde veya dış çevresinde ortaya çıkan değişikliklerin iç denetim planına etkisini değerlendirmek

3. İç denetçilerin diğer güvence sağlayıcılarla koordinasyon kurmasının ve bu güvence sağlayıcıların çalışmalarından yararlanmasının önemini tanımak

Aşağıdakileri içerebilir ancak bunlarla sınırlı değildir:

a. Kurum içindeki güvence sağlayıcıları belirlemek

b. Kurum dışındaki güvence sağlayıcıları belirlemek

c. Güvence kapsamının koordinasyonuna yönelik örnekleri ve kullanılabilecek yöntemleri tanımlamak

d. Güvence faaliyetlerindeki gereksiz tekrarların ve kapsam boşluklarının belirlenmesine yönelik yöntemleri açıklamak

e. Diğer güvence sağlayıcıların çalışmalarından yararlanılıp yararlanılamayacağını belirlemek için kullanılacak değerlendirme kıstaslarını tanımlamak

f. Güvence sağlayıcıların yetkinliğini, tarafsızlığını, metodolojisini ve çalışmalarının kalitesini değerlendirmek

Bölüm C. İç Denetim Fonksiyonunun Kalitesi (%15)

1. Kalite Güvence ve Geliştirme Programı’nın gerekli unsurlarını açıklamak

Aşağıdakileri içerebilir ancak bunlarla sınırlı değildir:

a. Kalite güvencesinin temel bileşenlerini tanımak

b. Konu Bazlı Gerekliliklerin Kalite Güvence ve Geliştirme Programı bakımından uygulanabilirliğini tanımak

c. Kalite Güvence ve Geliştirme Programı’nın amacını açıklamak

d. İç denetim yöneticisinin Kalite Güvence ve Geliştirme Programı sonuçlarını yönetim kuruluna iletme sorumluluğunu tanımak

e. İç kalite değerlendirmelerinin temel unsurlarını açıklamak

f. Dış kalite değerlendirmelerinin temel unsurlarını açıklamak

g. İç ve dış kalite değerlendirmelerinin unsurlarını karşılaştırmak

h. Kalite değerlendirmesini gerçekleştirecek kişilerin sahip olması gereken kabul edilebilir nitelikleri tanımak

ı. Devamlı izlemenin temel bileşenlerini açıklamak

i. Dönemsel öz değerlendirmelerin temel bileşenlerini açıklamak

j. İç denetim fonksiyonunun Küresel İç Denetim Standartları’na uygunluğunun değerlendirilmesine yönelik yöntemleri açıklamak

k. İç denetim fonksiyonunun performansını ve sürekli gelişimini destekleyecek kalite uygulamalarını tanımlamak

2. Küresel İç Denetim Standartları’na uyumsuzluğun uygun şekilde açıklanmasını belirlemek

Aşağıdakileri içerebilir ancak bunlarla sınırlı değildir:

a. Uyumsuzluğa neden olan koşullar, gerçekleştirilen işlemler, uyumsuzluğun etkisi ve gerekçesi gibi iletilmesi gereken bilgileri belirlemek

b. Uyumsuzluğun iç denetim fonksiyonunun genel kapsamını veya faaliyetlerini nasıl etkilediğini değerlendirmek

c. Uyumsuzluğun belirli bir iç denetim görevinin sonuçlarını nasıl etkilediğini değerlendirmek

d. Uyumsuzluğun üst yönetime iletilmesinde izlenecek temel aşamaları açıklamak

e. Uyumsuzluğun yönetim kuruluna iletilmesinde izlenecek temel aşamaları açıklamak

f. Uyumsuzluğu gidermek veya etkilerini azaltmak amacıyla hazırlanacak iyileştirme planlarını değerlendirmek

3. İç denetim yöneticisinin üst yönetime ve yönetim kuruluna ileteceği anahtar performans göstergelerinin veya skorkart ölçütlerinin oluşturulmasına yönelik uygulama yöntemlerini tanımak

Aşağıdakileri içerebilir ancak bunlarla sınırlı değildir:

a. Anahtar performans göstergelerinin amaçlarını belirlemek

b. Performans göstergeleri oluşturulurken dikkate alınması gereken temel hususları belirlemek

c. Performans göstergeleri için uygun hedefler belirlenmesinin gerekliliğini açıklamak

d. Nitel performans göstergelerinin değerini tanımak

e. Nicel performans göstergelerinin değerini tanımak

f. Nitel ve nicel performans göstergelerinin birlikte kullanılmasının faydalarını değerlendirmek

g. İç denetim fonksiyonunun finansal performans ölçütlerini analiz etmek

h. İç denetim fonksiyonunun operasyonel performans ölçütlerini analiz etmek

ı. İç denetim fonksiyonunun kalite ölçütlerini analiz etmek

i. İç denetim fonksiyonunun üretkenlik ölçütlerini analiz etmek

j. İç denetim fonksiyonunun verimlilik ölçütlerini analiz etmek

k. İç denetim fonksiyonunun etkinlik ölçütlerini analiz etmek

Bölüm D. Görev Sonuçları ve İzleme (%45)

1. Etkili görev sonuçları iletişiminin özelliklerini tanımak

Aşağıdakileri içerebilir ancak bunlarla sınırlı değildir:

a. Nihai görev sonuçlarının iletişimi bağlamında doğruluk kavramını tanımlamak

b. Nihai görev sonuçlarının iletişimi bağlamında tarafsızlık kavramını tanımlamak

c. Nihai görev sonuçlarının iletişimi bağlamında açıklık kavramını tanımlamak

d. Nihai görev sonuçlarının iletişimi bağlamında özlülük kavramını tanımlamak

e. Nihai görev sonuçlarının iletişimi bağlamında yapıcılık kavramını tanımlamak

f. Nihai görev sonuçlarının iletişimi bağlamında eksiksizlik kavramını tanımlamak

g. Nihai görev sonuçlarının iletişimi bağlamında zamanlılık kavramını tanımlamak

h. Bu özelliklerin görev sonuçlarının iletilmesinde nasıl uygulanacağını tanımak

ı. Görev sonuçlarının farklı paydaşlara iletilmesinde kullanılabilecek etkili iletişim yöntemlerini belirlemek

2. Görev sonuçlarının etkili biçimde iletilmesini sağlamak

Aşağıdakileri içerebilir ancak bunlarla sınırlı değildir:

a. Görev raporunda yer alması gereken görev hedeflerini açıklamak

b. Görev raporunda yer alması gereken görev kapsamını açıklamak

c. Görev raporunda yer alması gereken sonuçları açıklamak

d. Görev raporunda yer alması gereken önerileri açıklamak

e. Görev raporunda yer alması gereken yönetim eylem planlarını açıklamak

f. Nihai görev sonuçları iletişiminde “Küresel İç Denetim Standartları’na uygun olarak yürütülmüştür” ifadesinin kullanılabileceği koşulları tanımak

g. Bir kapsam sınırlamasının nihai görev iletişiminde ne zaman belgelenmesi gerektiğini belirlemek

h. Görev sonuçlarının hedeflenen kullanıcıların ihtiyaçlarına uygun biçimde sunulmasını sağlamak

3. Öneri geliştirilmesi, yönetimden eylem planı istenmesi veya uygulanacak eylemler üzerinde yönetimle uzlaşılması seçeneklerinden hangisinin uygun olduğunu belirlemek

Aşağıdakileri içerebilir ancak bunlarla sınırlı değildir:

a. İç denetçiler ile yönetim arasında görev bulgularına ilişkin anlaşmazlık bulunması durumunda izlenecek uygun süreci tanımak

b. İç denetçiler ile yönetim arasında eylem planlarına ilişkin anlaşmazlık bulunması durumunda izlenecek uygun süreci tanımak

c. İç denetim önerilerinin amacını açıklamak

d. Yönetim eylem planlarının amacını açıklamak

e. Öneriler ve eylem planları geliştirilirken maliyet-fayda ilişkisinin nasıl değerlendirileceğini açıklamak

f. Yönetim tarafından hazırlanan eylem planının bulgunun kök nedenini yeterli biçimde ele alıp almadığını belirlemek

g. Önerilerin uygulanabilirliğini ve kurumun amaçlarıyla uyumluluğunu değerlendirmek

h. Öneri ve eylem planlarının belirlenen risk seviyesini kabul edilebilir düzeye indirip indirmeyeceğini değerlendirmek

4. Görev kapanış iletişimini ve raporlama sürecini açıklamak

Aşağıdakileri içerebilir ancak bunlarla sınırlı değildir:

a. Kapanış iletişiminin veya kapanış toplantısının amacını açıklamak

b. Kapanış toplantısına katılması gereken tarafları belirlemek

c. Kapanış toplantısında bulguların, sonuçların, önerilerin ve yönetim eylem planlarının nasıl görüşüleceğini açıklamak

d. İç denetim yöneticisinin nihai görev iletişimini dağıtma sorumluluğunu tanımak

e. İç denetim yöneticisinin görev sonuçlarını ilgili paydaşlara raporlama sorumluluğunu tanımak

f. İncelenen faaliyetin yönetimiyle iletişim kurulmasının amaçlarını tanımak

g. Üst yönetimle iletişim kurulmasının amaçlarını tanımak

h. Yönetim kuruluyla iletişim kurulmasının amaçlarını tanımak

ı. Risk yönetimi fonksiyonuyla iletişim kurulmasının amaçlarını tanımak

i. Dış denetçilerle iletişim kurulmasının amaçlarını tanımak

j. Düzenleyici kurumlarla iletişim kurulmasının amaçlarını tanımak

k. Gerekli durumlarda kamuoyuyla iletişim kurulmasının amaçlarını tanımak

l. Yönetimin görev tamamlanmadan önce giderdiği bir bulgunun raporlanmasında izlenecek uygun süreci tanımak

m. Nihai görev iletişiminde önemli hata veya eksiklik bulunması durumunda iç denetim yöneticisinin sorumluluğunu açıklamak

n. Nihai görev iletişimindeki önemli hata ve eksikliklerin düzeltilmesi için izlenecek süreci açıklamak

5. İç denetim yöneticisinin göreve ilişkin artık riski değerlendirme sorumluluğunu açıklamak

Aşağıdakileri içerebilir ancak bunlarla sınırlı değildir:

a. Mevcut kontrollerin tasarım yeterliliğini değerlendirmeye yönelik yöntemleri tanımak

b. Mevcut kontrollerin işleyiş etkinliğini değerlendirmeye yönelik yöntemleri tanımak

c. Kontroller değerlendirildikten sonra geriye kalan artık risk düzeyini belirlemek

d. Görev kapsamında belirlenen bulguların birleştirilmesinin amacını açıklamak

e. Görev kapsamında belirlenen bulguların önceliklendirilmesinin amacını açıklamak

f. Bulgular arasındaki ilişkileri ve ortak nedenleri değerlendirmek

g. Göreve ilişkin kontrollerin genel değerlendirmesini göstermek amacıyla derecelendirme ölçeği kullanılmasının amacını açıklamak

h. Derecelendirme ölçeklerinin tutarlı ve anlaşılır biçimde uygulanmasını sağlamak

6. Yönetimin kurum açısından kabul edilemez olabilecek bir risk seviyesini kabul etmesi durumunda risk kabulünün iletilmesi sürecini açıklamak

Aşağıdakileri içerebilir ancak bunlarla sınırlı değildir:

a. Bir riskin kurum açısından kabul edilemez olup olmadığının belirlenmesinde kullanılacak yöntemi tanımak

b. Kurumun risk iştahı ve risk toleransının risk kabulü değerlendirmesindeki rolünü açıklamak

c. Risk kabulünün iletilmesi sürecine dâhil edilmesi gereken uygun tarafları belirlemek

d. İç denetim yöneticisinin risk kabulüne ilişkin endişelerini öncelikle ilgili yönetim kademesiyle görüşmesi gerektiğini tanımak

e. Risk kabulüne ilişkin konu çözüme kavuşturulamazsa üst yönetimle görüşülmesi gerektiğini tanımak

f. Üst yönetimle yapılan görüşmeler sonucunda konu çözüme kavuşturulamazsa yönetim kuruluna iletilmesi gerektiğini tanımak

g. Risk kabulünün iletilmesinde izlenecek aşamaların doğru sırasını belirlemek

h. İç denetim yöneticisinin risk kararını üstlenmek yerine konunun uygun taraflarca değerlendirilmesini sağlama sorumluluğunu açıklamak

7. Yönetim eylem planlarının uygulanmasının izlenmesi ve doğrulanması sürecini açıklamak

Aşağıdakileri içerebilir ancak bunlarla sınırlı değildir:

a. İç denetim fonksiyonunun yönetim eylemlerinin takibine ilişkin sorumluluğunu tanımak

b. Yönetim eylem planlarının uygulanma durumunun izlenmesine ilişkin yöntemleri açıklamak

c. Yönetim tarafından bildirilen tamamlanma bilgilerinin doğrulanmasına ilişkin yöntemleri açıklamak

d. Yönetim eylem planlarının izlenmesi için sorumluların ve hedef tamamlanma tarihlerinin belirlenmesinin önemini açıklamak

e. İzleme faaliyetlerinin bulgunun önemine ve risk seviyesine göre farklılaştırılmasını açıklamak

f. Yönetim eylemlerinin belirlenen kök nedeni ve riski yeterli biçimde ele alıp almadığını değerlendirmek

g. Eylem planlarının tamamlandığını destekleyen yeterli ve güvenilir kanıtları değerlendirmek

h. Tamamlanan eylemler sonrasında kalan artık risk düzeyini değerlendirmek

8. Yönetimin bir eylem planını yeterli biçimde uygulamaması durumunda izlenecek eskalasyon sürecini açıklamak

Aşağıdakileri içerebilir ancak bunlarla sınırlı değildir:

a. Eskalasyon sürecine dâhil edilmesi gereken uygun tarafları belirlemek

b. Yönetim eylem planının uygulanmamasının nedenlerini değerlendirmek

c. Eylem planının gecikmesinden veya uygulanmamasından kaynaklanan risk seviyesini değerlendirmek

d. Konunun öncelikle eylem planından sorumlu yönetim kademesiyle görüşülmesi gerektiğini tanımak

e. Konunun çözüme kavuşturulamaması durumunda üst yönetim seviyesine taşınması gerektiğini tanımak

f. Riskin kabul edilemez düzeyde kalması ve konunun çözüme kavuşturulamaması durumunda yönetim kuruluna iletilmesi gerektiğini tanımak

g. Eskalasyon sürecinde izlenecek aşamaların doğru sırasını belirlemek

h. Eskalasyon sürecinde gerçekleştirilen iletişimlerin ve alınan kararların uygun biçimde belgelenmesini sağlamak