Denetim çalışma kağıdı nedir?
Çalışma kağıdı; denetim planlamasını, uygulanan prosedürleri, incelenen kanıtları, yapılan analizleri ve ulaşılan sonuçları belgeleyen kayıtların bütünüdür.
Adında “kağıt” geçse de modern çalışma kağıdı bir elektronik form, veri analizi dosyası, sistem kaydı, süreç haritası veya bunları birbirine bağlayan dijital bir dosya olabilir. Belirleyici olan format değil; denetim amacına ve sonuca sağladığı izlenebilirliktir.
IIA Standardı 14.6, denetim sonuçlarını destekleyecek bilgilerin ve analizlerin belgelenmesini ister. Dokümantasyon, yetkin ve bilgili bir iç denetçinin aynı çalışmayı tekrar edebilmesine ve benzer sonuca ulaşabilmesine yetecek açıklıkta olmalıdır.
Çalışma kağıdı neden hazırlanır?
- Denetim programındaki prosedürün gerçekten uygulandığını göstermek
- Bulgu ve sonuçların yeterli kanıta dayandığını kanıtlamak
- Yönetici incelemesini ve kalite güvence çalışmalarını mümkün kılmak
- Bir sonraki denetimde kurumsal hafıza oluşturmak
- Ekip üyeleri arasında iş bölümü ve ilerleme takibi sağlamak
- İtiraz, soruşturma veya dış kalite değerlendirmesinde denetim izini korumak
Çalışma kağıdı raporu destekler; raporun yerine geçmez. Rapor karar verici için seçilmiş mesajı sunarken çalışma kağıdı, bu mesajın arkasındaki ayrıntılı kanıt ve muhakemeyi saklar.
İyi bir çalışma kağıdının temel bölümleri
- Başlık ve referans: Görev, süreç, kontrol, test numarası ve hazırlayan kişi.
- Amaç: Bu çalışma kağıdının hangi soruya cevap verdiği.
- Kapsam: Dönem, sistem, lokasyon, popülasyon ve varsa kapsam sınırlaması.
- Kriter: Beklenen durumun dayandığı politika, mevzuat, sözleşme veya kontrol tanımı.
- Yöntem: Veri kaynağı, örnek seçimi ve adım adım uygulanan prosedür.
- Sonuçlar: Test edilen öğeler, istisnalar ve yapılan ek analizler.
- Sonuç cümlesi: Test amacına doğrudan cevap veren profesyonel değerlendirme.
- Kanıt referansları: Kullanılan dosya, ekran, kayıt veya analizlere kalıcı bağlantılar.
- Hazırlama ve inceleme izi: Tarih, hazırlayan, inceleyen, notlar ve kapanış durumu.
Kısa çalışma kağıdı örneği
Amaç
Yüksek tutarlı satın alma siparişlerinin yetki matrisine uygun biçimde, sipariş oluşturulmadan önce onaylandığını değerlendirmek.
Popülasyon ve yöntem
1 Ocak–30 Haziran dönemindeki 2.418 sipariş, ERP’den denetçi tarafından alınmıştır. Toplam kayıt ve tutar, satın alma aylık raporuyla mutabık hale getirilmiştir. Belirlenen tutar eşiğinin üzerindeki tüm 18 işlem ve kalan popülasyondan rastgele 22 işlem test edilmiştir.
Uygulanan prosedür
Her işlem için talep sahibi, onaylayan kişi, onay zamanı, sipariş zamanı ve tutar yetkisi karşılaştırılmış; sistem logları ile satın alma kaydı çapraz doğrulanmıştır.
Sonuç
Test edilen 40 işlemin 38’i kriterle uyumludur. İki işlemde onay siparişten sonra verilmiştir. Her iki istisna aynı vekalet kuralındaki yapılandırma boşluğuyla ilişkilidir ve bulgu değerlendirmesine aktarılmıştır. Bu nedenle kontrol dönem boyunca kısmen etkili çalışmıştır.
Kanıt dosyaları nasıl referanslanır?
“Ekli dosyaya bakınız” ifadesi yeterli değildir. Dosya adı, sürüm, kaynak, elde edilme tarihi ve ilgili satır veya kayıt belirtilmelidir. Dinamik bir rapor kullanılıyorsa sorgu parametreleri ve çıkarım zamanı kaydedilmelidir.
Kanıtın kendisini kopyalamak yerine kontrollü bir depodaki değişmez sürüme bağlantı verin. Hassas veriler için erişimi görev ekibiyle sınırlayın ve saklama politikasına uyun. Bir kanıt güncellenirse eski sürümü sessizce değiştirmeyin; yeni sürüm ve değişiklik nedeni izlenebilir olmalıdır.
Yaygın çalışma kağıdı hataları
- Amacı yazmadan uzun süreç anlatısı eklemek
- Popülasyonun kaynağını ve tamlık kontrolünü göstermemek
- Örnek seçimini “rastgele seçildi” diyerek yöntemsiz bırakmak
- İstisnaları açıklayıp kontrol hakkında sonuç vermemek
- Sonuç cümlesini test edilen kanıttan daha geniş yazmak
- İnceleme notlarını çözmeden çalışma kağıdını tamamlanmış işaretlemek
- Gereksiz kişisel veri veya hassas belge kopyaları saklamak
Göndermeden önce çalışma kağıdı kontrol listesi
- Başlık ve amaç programdaki testle eşleşiyor mu?
- Popülasyon, dönem ve seçim yöntemi tekrar uygulanabilir mi?
- Kanıtlar güncel, güvenilir ve doğrudan ilgili mi?
- İstisnalar ile sonuç cümlesi birbiriyle tutarlı mı?
- Her önemli iddianın kanıt referansı var mı?
- Kullanılan kısaltmalar ve işaretler açıklanmış mı?
- Gizli bilgi ve erişim seviyesi doğru mu?
- Hazırlayan ve inceleyen tarihleri kayıtlı mı?
IIA’nın yeni denetçiler için kanıt ve dokümantasyon içerikleri, çalışma kağıdını ilgili, güvenilir ve yeterli bilgi dengesiyle kurmayı önerir. Temel soru şudur: Yetkin bir kişi bu dosyayı kullanarak ne yaptığınızı ve neden bu sonuca ulaştığınızı anlayabilir mi?