KPSS A Muhasebe İç Kontrol Sistemi konu anlatımı

İç kontrol, COSO (Treadway Komisyonu Sponsor Organizasyonlar Komitesi) çerçevesine göre; işletme yönetimi, yönetim kurulu ve diğer personel tarafından yürütülen, faaliyetlerin etkinliği ve verimliliği, finansal raporlamanın güvenilirliği ve yürürlükteki mevzuata uygunluk hedeflerine makul güvence sağlamak amacıyla tasarlanmış bir süreçtir. KPSS A Grubu'nda bu başlık, COSO küpünün beş bileşenini, iç kontrolün amaçlarını ve sınırlılıklarını, denetçi açısından önemini kapsar.

1. İç kontrolün amaçları

• Faaliyetlerin etkinliği ve verimliliği
• Finansal raporlamanın güvenilirliği
• Yürürlükteki mevzuata uygunluk

2. COSO'nun beş bileşeni

1. Kontrol ortamı (control environment): İşletmedeki iç kontrol bilincinin temelini oluşturur; dürüstlük ve etik değerler, yönetimin felsefesi ve çalışma tarzı, organizasyon yapısı, yetki ve sorumluluk dağılımı, insan kaynakları politikaları, yönetim kurulu/denetim komitesinin katılımı bu bileşenin unsurlarıdır. Diğer dört bileşenin üzerine inşa edildiği temel niteliğindedir.

2. Risk değerlendirmesi (risk assessment): İşletme hedeflerinin belirlenmesi, bu hedeflere ulaşmayı engelleyebilecek iç ve dış risklerin tanımlanması, analiz edilmesi ve yönetilme biçiminin belirlenmesi sürecidir. Değişen koşullara (yeni teknoloji, personel değişimi, mevzuat değişikliği) bağlı risklerin de değerlendirilmesini içerir.

3. Kontrol faaliyetleri (control activities): Yönetimin talimatlarının yerine getirilmesini sağlamaya yönelik politika ve prosedürlerdir: onaylar, yetkilendirmeler, doğrulamalar, mutabakatlar, faaliyet sonuçlarının gözden geçirilmesi, varlıkların güvenliğinin sağlanması ve görevler ayrılığı (segregation of duties) — bir işlemin yetkilendirme, kaydetme ve varlığa erişim adımlarının farklı kişilerce yürütülmesi.

4. Bilgi ve iletişim (information & communication): Personelin sorumluluklarını yerine getirebilmesi için gerekli bilginin zamanında ve doğru biçimde belirlenmesi, kaydedilmesi ve iletilmesi; hem işletme içi hem dışarıyla (müşteri, tedarikçi, düzenleyici kurumlar) iletişimi kapsar.

5. İzleme faaliyetleri (monitoring activities): İç kontrol sisteminin performansının zaman içinde değerlendirilmesidir; sürekli izleme faaliyetleri (günlük yönetim ve gözetim faaliyetleri içine gömülü) ve ayrı değerlendirmeler (iç denetim gibi periyodik incelemeler) olmak üzere ikiye ayrılır; tespit edilen eksiklikler ilgili mercilere (yönetim, denetim komitesi) zamanında raporlanmalıdır.

(COSO 2013 güncellemesiyle bu beş bileşen altında 17 prensip tanımlanmıştır; örneğin kontrol ortamı bileşeni altında "kuruluş dürüstlük ve etik değerlere bağlılık gösterir" prensibi yer alır.)

3. İç kontrolün doğal sınırlılıkları

• İnsan hatası ve yargı hataları
• Yönetimin kontrolleri geçersiz kılması (management override)
• İki veya daha fazla kişinin gizli anlaşması (collusion)
• Maliyet-fayda dengesi: bir kontrolün maliyeti, sağladığı faydayı aşmamalıdır

Bu sınırlılıklar nedeniyle en iyi tasarlanmış iç kontrol sistemi bile mutlak değil, makul güvence sağlar.

4. Denetçi açısından iç kontrolün önemi

BDS 315 uyarınca bağımsız denetçi, önemli yanlışlık risklerini belirleyip değerlendirebilmek için işletmeyi ve iç kontrol sistemini yeterince anlamak zorundadır. İç kontrol güçlü değerlendirilirse denetçinin belirlediği kontrol riski düşer, bu da genellikle madde bazlı (substantive) testlerin kapsamının ve zamanının denetçi lehine ayarlanabilmesini sağlar; ancak iç kontrolün güçlü olması madde bazlı testlerin tamamen ortadan kalkmasını gerektirmez.

Örnek 1: Bir işletmede aynı çalışan hem çek imzalama yetkisine hem de banka mutabakatını yapma görevine sahiptir. Çözüm: Bu, kontrol faaliyetleri bileşenindeki görevler ayrılığı ilkesinin ihlalidir.

Örnek 2: Yönetim, yeni bir yasal düzenlemenin işletme faaliyetlerine getirdiği riskleri belirleyip bir eylem planı hazırlıyor. Çözüm: Bu, risk değerlendirmesi bileşenidir.

Örnek 3: İç denetim birimi, yılda bir kez tüm şubelerin kontrol prosedürlerine uyumunu değerlendiren ayrı bir inceleme yürütüyor. Çözüm: Bu, izleme faaliyetleri bileşeninin ayrı değerlendirme türüdür.

Örnek 4: Üst yönetim dürüstlük ve etik davranış kurallarını yazılı hale getirip tüm çalışanlara duyuruyor, buna uyumu ödüllendiriyor. Çözüm: Bu, kontrol ortamı bileşenidir.