CIA Part 1 Deneme Soruları (20 Soru) – Çözümlü ve Açıklamalı Test – Ⅰ

İç denetimin temel amacı, işletmeye değer katmak ve hedeflerine ulaşmasına yardımcı olmaktır. Bunu yaparken iç denetim, işleri bizzat yürütmez, yapılan işleri değerlendirir ve geliştirir.

Bu kapsamda iç denetimin en önemli görevlerinden biri, işletmenin karşı karşıya olduğu riskleri belirlemek ve bu risklerin doğru yönetilip yönetilmediğini incelemektir.

Küresel pazarlara açılmak gibi büyük kararlar, beraberinde birçok risk getirir:
Farklı ülkelerdeki yasal düzenlemeler
Döviz dalgalanmaları
Rekabet koşulları
Operasyonel zorluklar

İç denetimin burada yapması gereken bu sürecin içinde yer almak değil, bu sürece ait riskleri analiz etmektir.

Diğer Seçenekler Neden Yanlış?
Kontrolleri garanti etmek → İç denetim “garanti vermez”, sadece değerlendirir
Projeyi yönetmek / süreci yürütmek → Bu doğrudan yönetim işidir
Kar merkezi olmak → İç denetim gelir elde eden bir birim değildir

İç denetimin temel kuralı: İç denetçi kendi yaptığı işi denetleyemez.

Yani iç denetim, bir süreçte aktif rol alırsa, daha sonra dönüp o süreci tarafsız şekilde değerlendiremez. Bu da bağımsızlığı bozar.

Soruda geçen kritik nokta:
İç denetime “operasyonel sorumluluk verilmesi” ve bu işlerin sonra yine iç denetim tarafından incelenmesi.

İşte bu açıkça yanlış bir durumdur.
İç denetim işi yaparsa → taraf olur
Sonra denetlerse → objektif olamaz

“Bunu açıkça belirtmek (açıklama yapmak)” bu sorunu çözmez. Sorun zaten baştan var.

Diğerleri Neden Doğru?
Yazılı görev tanımının iyi uygulamalarla uyumlu olması → olması gereken
Tüm bilgi ve belgelere sınırsız erişim → iç denetimin temel yetkisi
Üst yönetim / denetim komitesinin onayı → bağımsızlık için şart

Bir çalışan satın alma bölümünde çalışıyor.

Orada işlemleri yapıyor, kararlar alıyor, belki hatalar da yapıyor.

Sonra bu kişi iç denetime geçiyor…

Ve sadece 4 ay sonra dönüp eski çalıştığı bölümü denetliyor.

Burada sorun ne? Kendi yaptığı işleri denetleme riski var.

İnsan ister istemez kendi hatasını görmezden gelebilir.
Eski kararlarını savunabilir.
Tarafsız bakamayabilir.

Bu yüzden kurallar net bir sınır koyar:
En az 1 yıl geçmeden, kişi eski işini denetleyemez.

İç denetçi, yaptığı iş ne olursa olsun, kimden gelirse gelsin değerli bir hediye kabul edemez. Çünkü sorun sadece gerçekten etkilenmek değil, dışarıdan bakıldığında etkilenmiş gibi görünme ihtimalidir.

Soruda yönetim, teşekkür etmek için değerli biletler veriyor. İlk bakışta “iyi niyetli” görünüyor. Ama iç denetim açısından bakınca durum değişir. Bu hediyeyi kabul eden bir denetçi için herkes şunu sorgular: “Bu kişi artık aynı yönetime karşı ne kadar bağımsız olabilir?”

İç denetimde kural: Hem tarafsız olacaksın hem de öyle görüneceksin. Bu yüzden değeri anlamlı olan hediyeler doğrudan reddedilir.

“Üst yönetici onaylarsa alırım” yaklaşımı doğru değildir. Çünkü bazı durumlar onayla meşrulaşmaz. Aynı şekilde “şu an aktif bir denetim yok” demek de bir şey değiştirmez. Etik kurallar sadece denetim sırasında değil, her zaman geçerlidir.

Diğer yandan bu durum yönetim kuruluna taşınacak bir kriz de değildir. Yapılması gereken ölçülü ve doğru hareket, hediyeyi kabul etmemektir.

İç denetim karar almaz, iş yapmaz.
Ama yapılan işleri değerlendirir ve öneri verir.
Sorudaki seçeneklere baktığımızda,
“Planlama sürecini bağımsız şekilde değerlendirip öneri sunmak” tam olarak iç denetimin işidir. Çünkü burada denetçi süreci inceleyip “iyi mi, eksik mi” diye bakıyor.
Ama diğer seçeneklerde denetçi artık işin içine giriyor:
Make-or-buy analizi yapmak → yönetim kararı
Bankalarla görüşmek, pazarlık yapmak → operasyon
Finansman alternatiflerini hazırlayıp sunmak → yine yönetim işi
Bunların hepsi “yapma” tarafı. Yani denetçi rolünü aşar.
İç denetim şu çizgide kalmalı:
“Nasıl yaptınız?” diye sorar
Ama “ne yapalım?” diye karar vermez
Bu yüzden doğru cevap, planlama sürecini değerlendirip öneri sunmaktır.

Satın alma yöneticisi, iç denetimden birinin gelip süreç tasarlamasını istiyor. Yani denetçi artık “inceleyen” değil, “yapan” konumuna geçecek.

Normalde bu risklidir. Çünkü denetçi bir işi kendisi kurarsa, sonra dönüp onu objektif şekilde denetleyemez.

Ama burada önemli bir detay var:
Bu tür katkılar tamamen yasak değil.

İç denetim bazen yönetime destek olabilir. Ancak bu yapılırken iki şart çok kritiktir:
Durum açıkça bilinmeli (gizli olmamalı)
Objektifliğe etkisi düşünülmeli

Yani “gidelim yapalım” değil, kontrollü ve bilinçli bir şekilde yapılmalı.

Diğer seçenekler neden yanlış?

“Tamamen reddet” → fazla katı, her zaman gerekmez
“Bir daha asla o alanı denetleyemez” → aşırı kuralcı, zamanla bu risk ortadan kalkabilir
“Denetçiyi oraya geçir, maaşını oradan al” → bağımsızlığı tamamen bozar

Denetçi doğrudan yönetim kuruluna raporluyor. Bu ne demek?
Organizasyon içinde güçlü bir konumda, yani bağımsızlığı var. Kimse onu kolayca baskılayamaz.

Ama olayın devamına bak:
Denetçi önemli bir nakit açığı buluyor ama durumu yönetime bildirmiyor. Sebep? Kişisel durumu anlayıp sorun çıkarmak istememesi.

İşte burada problem başlıyor.

Objektiflik demek, duygusal davranmamak, kişisel durumlara göre hareket etmemek demektir. Denetçi burada empati yapıp konuyu kapatıyor. Ama bu profesyonel bir yaklaşım değil.

Yani:
Bağımsız → var (çünkü doğrudan üst seviyeye bağlı)
Objektif → yok (çünkü tarafsız davranmıyor)

Bu soruda küçük gibi görünen ama aslında önemli bir ayrım var:
“Program değişti” mi, yoksa “denetim kısıtlandı” mı?

Burada denetim süresi ciddi şekilde kısaltılıyor. Bu ne demek?
Denetçi artık planladığı kadar görüşme yapamayacak, gözlem yapamayacak. Yani denetimin kapsamı daralıyor.

Bu durumun adı: kapsam kısıtı.

İç denetimde kapsam kısıtı hafife alınmaz. Çünkü denetimin kalitesini doğrudan etkiler. Yeterli inceleme yapamazsan, verdiğin güvence de zayıflar.

Burada yapılmaması gereken şeyler:
“Tamam, elimizden geleni yapalım” deyip devam etmek
“Programı değiştirelim, sonra yazarız” demek

Bunlar sorunu gizlemek olur.

Doğru yaklaşım şu:
Bu kısıtı açıkça yukarıya, yani yönetim kuruluna / denetim komitesine bildirmek.

Bu soruda konu “ikili raporlama” (dual reporting) yapısı.

İç denetim başkanı (CAE) iki tarafa bağlı çalışır:
Bir yandan denetim komitesine (fonksiyonel), diğer yandan yönetime (idari).

Burada kritik ayrım şu:
Fonksiyonel konular ≠ İdari konular

Fonksiyonel olanlar: Denetimin kapsamı, planı, sonuçları → denetim komitesi
İdari olanlar: Bütçe, personel, işe alım, maaş → yönetim

Soru sana özellikle “personel kararları”nı soruyor. Bu doğrudan idari bir konudur. Yani operasyonel bir iştir, günlük yönetimle ilgilidir.

Bu yüzden CAE bu tür kararlar için denetim komitesine değil, üst yönetime gider. Genelde bu kişi CEO veya benzeri bir üst düzey yöneticidir.

Denetçi, denetlediği sistemle ilgili önemli bir kişiyi tanıyor. Üstelik bu kişi onun geçmişinde etkili olmuş. Yani aralarında doğrudan bir çıkar ilişkisi olmasa bile, tarafsızlığı etkileyebilecek bir bağ var.

İç denetimde önemli olan sadece tarafsız olmak değil, tarafsızlığın sorgulanmayacak olmasıdır. Bu yüzden böyle durumlar “önemsiz” diye geçiştirilmez.

Burada yapılması gereken şey, durumu üst yönetime, yani iç denetim başkanına bildirmektir. Denetçi kendi başına “ben objektifim, devam ederim” diyemez. Bu değerlendirme onun değil, üstünün sorumluluğundadır.

Sonrasında ne olacağına iç denetim başkanı karar verir. Gerekirse başka bir denetçi atanır, gerekmezse mevcut denetçi devam eder. Ama bu karar mutlaka üst seviyede alınır.

Diğer seçenekler neden uygun değil?

Doğrudan yönetim kuruluna gitmek → gereksiz seviyede yukarı çıkmak
Hiç söylemeyip mesafe koymak → sorunu gizlemek
Denetlenen tarafa söylemek → yanlış yere bildirim

Denetçi işini yaparken bazı alanlara erişemiyor, bazı bilgileri inceleyemiyor ya da sınırlandırılıyor. Bu durumda denetim aslında eksik kalır. Yani denetçi, yapmak istediği şeyi tam yapamaz.

Burada önemli nokta şu:
Bu bir teknik sorun değil, ciddi bir problemdir.

Dolayısıyla çözüm de “daha çok denetleyeyim”, “daha deneyimli kişi koyayım” gibi şeyler değildir. Çünkü sorun denetçinin kapasitesi değil, önüne konulan engeldir.

Aynı şekilde “bekleyelim, sonra yaparız” demek de doğru değil. Çünkü bu tür kısıtlar görmezden gelinemez.

Doğru yaklaşım bu durumu üst yönetime, özellikle denetim komitesine açıkça bildirmektir. Çünkü denetimin sağlıklı yapılamadığını bilmesi gereken yer orasıdır. Bu kısıtın yaratacağı riskleri de onların görmesi gerekir.

İç denetçi böyle bir durumla karşılaştığında tek başına karar vermez. Çünkü bu tür durumlar yorum gerektirir ve yanlış bir karar, tarafsızlık konusunda şüphe yaratabilir.

Doğru yaklaşım, durumu iç denetim yönetimine bildirmektir. Yani “ben ne yapayım” diye kendi kendine karar vermek yerine, yetkili kişiye konuyu aktarır ve yönlendirme ister.

Buradaki mantık şu:
Bu tür hassas konular kişisel değil, kurumsal olarak yönetilmelidir.

Diğer seçenekler bu yüzden uygun değil.

“Alırım çünkü iş bitti” demek yanlış, çünkü etik kurallar süreçle sınırlı değildir.
“Bağış yaparım” demek iyi niyetli ama yine de hediyeyi kabul etmiş oluyorsun.
“Reddeder ve üstüne şikayet ederim” ise gereğinden fazla bir tepki olur.

İç denetim yönetimi denetlediği için, tamamen yönetimin kontrolünde olursa bağımsızlığı zedelenir. Bu yüzden araya “denetim komitesi” girer. Yani iç denetimin üstünde, yönetimden daha bağımsız bir yapı olur.

Burada kritik konu şu:
Denetim komitesi nerede devreye girerse, orada bağımsızlık artar.

Şıklara bakınca:
Denetim planı, raporlar, maaş gibi konular daha operasyonel şeylerdir. Bunlar yönetimle ilgili günlük işlerdir. Denetim komitesi bunlara tek tek girmez.

Ama iç denetimin başındaki kişi, yani CAE, çok kritik bir pozisyondur. Bu kişi kim tarafından seçilirse, ona karşı daha bağlı olur.

Eğer CAE’yi yönetim seçerse → yönetimin etkisi artar
Eğer denetim komitesi seçerse → bağımsızlık artar

Bu yüzden doğru cevap, CAE’nin atanmasıdır.

Denetçi, denetleyeceği tarafla doğrudan bağlantılı. Kardeşi o firmada önemli bir pozisyonda. Bu durumda denetçi tarafsız kalsa bile, dışarıdan bakıldığında tarafsız görünmesi zor.

İç denetimde kural şu:
Şüphe varsa bile bunu görmezden gelmezsin, yukarı bildirirsin.

Yani denetçi “ben objektifim, sorun yok” diyemez. Bu kararı kendi başına veremez. Çünkü bu sadece onun değerlendireceği bir konu değil. Kurumun bunu bilmesi gerekir.

Doğru yaklaşım şu olur:
Durumu üstüne, yani iç denetim başkanına bildirirsin. Ondan sonra görev değişir mi, başka biri mi atanır, buna o karar verir.

Diğer seçenekler neden yanlış?
Tedarikçiye söylemek → yanlış yere bildirim, bu kurum içi bir konu
Görevi yapıp sonra açıklamak → geç kalmış bir hareket, baştan engellenmeli
“Temas etmem” demek → çözüm değil, ilişki zaten var

İç denetim biriminin görevleri, yetkileri ve sorumlulukları yazılı hale getirilir ve üst düzeyde onaylanır. Bu neden önemli? Çünkü bu belge, iç denetimin yönetimden bağımsız hareket edebilmesini güvence altına alır.

Yani denetçi bir şey incelemek istediğinde kimse “sen buna bakamazsın” diyemez. Ya da yönetim baskı kurmaya çalıştığında, denetçi arkasına bu resmi yetkiyi alır. Bu da doğrudan bağımsızlığı güçlendirir.

“Mesleki özen” ise farklı bir konudur. O, denetçinin işi nasıl yaptığıyla ilgilidir. Yani dikkatli mi, yeterince incelemiş mi, doğru yöntem kullanmış mı… Bunlar denetim sürecine aittir, yönergeyle ilgili değildir.

Diğer seçenekler de ana noktayı ıskalıyor. Yönetimle ilişki zaten vardır ama bu belgenin asıl amacı ilişkiyi güçlendirmek değil, sınırları netleştirmektir. Kurum içindeki statüye katkısı olabilir ama bu dolaylı bir sonuçtur.

İç denetim risk yönetiminin içinde yer alır ama yönetmez. Yani sistemi kuran, işleten, sorumluluğunu alan taraf yönetimdir. İç denetim ise bu sistemin doğru çalışıp çalışmadığını inceler ve öneri verir.

Şıklara bu gözle bakınca ayrım netleşiyor.

“Riskleri belirlemek” ve “risk sahipliğini sağlamak” doğrudan işin içinde olmak demektir. Yani “hangi risk var” demek ve “kim sorumlu olacak” demek yönetim işidir. İç denetim bu noktada aktif rol alırsa tarafsızlığını kaybeder.

Buna karşılık “sistemin ne kadar iyi çalıştığını değerlendirmek” iç denetimin tam işidir. Çünkü bu bir inceleme ve analiz faaliyetidir. Aynı şekilde yönetime öneri sunmak da uygundur. Burada karar vermez, sadece yol gösterir.

Bu yüzden doğru yaklaşım şu ayrımı yapmaktır:
Yapan mı, değerlendiren mi?
İç denetim: Yapmaz, sahiplenmez → bu yüzden I ve II yanlış
Değerlendirir, önerir → bu yüzden III ve IV doğru

Denetim yapabilmek için denetçinin gerekli yerlere erişebilmesi gerekir. Eğer denetçi incelemesi gereken bir yere giremiyorsa, o denetim zaten sağlıklı yapılamaz.

Soruda denetçi veri merkezine giremiyor. İlk bakışta “başka şeylere bakayım” ya da “durumu not edeyim” gibi çözümler mantıklı gelebilir. Ama bunlar geçici ve eksik çözümler. Asıl problem, denetçinin erişim hakkının baştan net şekilde tanımlanmamış olmasıdır.

İç denetimde bu tür durumlar tek tek olay bazında çözülmez. Bu bir sistem meselesidir. Denetçinin nerelere, hangi şartlarda erişebileceği en baştan yazılı olarak belirlenmiş olmalıdır. Bu da iç denetim yönergesinde yer alır. Eğer bu net değilse, denetçi her seferinde aynı engelle karşılaşabilir.

Bu yüzden doğru yaklaşım, “bu denetimi nasıl tamamlarım” değil, “bu sorun bir daha yaşanmasın diye neyi düzeltmeliyim” olmalıdır. Çözüm, denetçilerin tüm gerekli alanlara erişimini açıkça düzenleyen bir yapının kurulmasıdır.

İç denetçi bir etik ikilemle karşılaştığında, “kimin kuralına uyayım?” diye düşünmez. Öncelik bellidir.

Mesleğin kendi etik kuralları, yani iç denetimin temel ilkeleri her zaman en üsttedir.

Sorudaki tuzak şu:
“Kurumun etik kuralları” ifadesi kulağa doğru geliyor. Ama eğer kurumun yaklaşımı ile mesleğin etik ilkeleri çelişirse, denetçi kurumu değil, mesleğin ilkelerini esas alır.

Çünkü iç denetim sadece o kuruma ait bir rol değildir. Daha geniş bir mesleki sorumluluğu vardır. Bu yüzden karar verirken dayanağı kurum değil, mesleğin etik anlayışı olmalıdır.

“Gidip birine danışayım” seçenekleri de bu yüzden doğru değil. Bu tür durumlarda ilk yapılması gereken şey başkasına sormak değil, doğru ilkeye göre hareket etmektir.

Her etik durum kitapta yazmaz. Ama bu, denetçinin ne yapacağını bilmediği anlamına gelmez.

İç denetçi bir ikilemle karşılaştığında “birine sorayım, o karar versin” yaklaşımı doğru değildir. Çünkü etik, sadece kural takip etmek değil, aynı zamanda doğruyu kendi mesleki yargınla bulmaktır.

Burada denetçiden beklenen şey şudur:
Durumu bütün yönleriyle düşünmek. Kimler etkilenir, ne sonuç doğurur, alınacak karar iç denetimin amacına ve etik ilkelerine uygun mu… Bunları tartıp ona göre hareket etmek.

“Kuruma göre hareket edeyim” demek de yeterli değildir. Çünkü kurumun kuralları her zaman meslek ilkeleriyle birebir örtüşmeyebilir. Böyle bir durumda esas alınması gereken, iç denetimin etik anlayışıdır.

Aynı şekilde her durumda avukata ya da denetim komitesine gitmek de gerçekçi değildir. Bu tür destekler istisnai durumlar içindir, her kararda başvurulacak bir yol değildir.

Bir işletme, bazı işleri dışarıdan hizmet alarak yaptırmayı düşündüğünde, asıl önemli soru şudur:
“Bu yöntem, bizim hedeflerimize gerçekten katkı sağlıyor mu?”

İç denetimin bu noktadaki rolü, bu kararın ne kadar doğru ve faydalı olduğunu değerlendirmektir. Yani iç denetim, yapılan işin sonuçlarına bakar ve şu tür sorulara cevap arar:

Dışarıdan hizmet almak kaliteyi artırdı mı?
Hedeflere ulaşmayı kolaylaştırdı mı?
Beklenen fayda gerçekten sağlandı mı?

Ancak iç denetimin görevi her şeyi yapmak değildir. Bazı işler doğrudan yönetimin sorumluluğundadır:

Sözleşme hazırlamak hukuk biriminin işidir.
Ücret belirlemek yönetimin karar alanına girer.

İç denetim bu tür kararları almaz. Onun görevi, yapılan uygulamayı incelemek, eksikleri görmek ve yönetime yol göstermektir.

Bu nedenle iç denetimin en doğru katkısı,
“dışarıdan hizmet almanın, işletmenin kalite hedeflerine ulaşmasına gerçekten yardımcı olup olmadığını değerlendirmektir.”