CIA Part 1 Deneme Soruları (20 Soru) – Çözümlü ve Açıklamalı Test – ⅠⅠ

Kontrolün amacı, telefonda verilen bağış sözlerinin gerçekten kaydedildiğinden ve paranın doğru yere yönlendirildiğinden emin olmak.
Çağrıları kaydetmek, rastgele dinlemek, yöneticilerin aramaları izlemesi gibi kontroller sürecin içini kontrol ediyor. Yani “telefon görüşmesinde ne konuşuldu, gerçekten bağış alındı mı” kısmına giriyor. Bunlar doğrudan riski hedef alıyor.
Ama bağış yapan kişilere sonradan ulaşıp “siz şu kadar bağış yapmış mıydınız” diye sormak yüzeyde mantıklı görünse de kritik bir boşluk bırakıyor. Çünkü bu yöntem sadece gerçekten ödeme yapan kişiler üzerinden çalışır. Bağış yapmayan ama telefonda söz verip sonra vazgeçen ya da bağışı başka yere yönlendiren kişiler hiç yakalanmaz. Yani sistemin kaçırdığı kayıt dışı durumları tespit edemez.
Dolayısıyla en zayıf kontrol bu oluyor. Çünkü kontrol, olması gereken evrenin tamamını değil sadece gerçekleşmiş işlemleri kapsıyor. Bu da ciddi bir güvence açığı yaratıyor.

“sert kontrol” dediğimiz şey somut, ölçülebilir ve prosedüre bağlanmış kontrollerdir. Yani bir şey yapılır, kaydı tutulur, denetlenebilir. “Yumuşak kontrol” ise daha çok insan davranışına, kültüre, liderliğe dayanır.
Şıklara bakınca liderlik, iletişim kanalları ve teşvikler aslında hep davranış yönlendirmeye yönelik. Bunlar önemli ama ölçmesi zor, daha çok kültürle ilgili şeyler. Yani yumuşak kontrol.
Ama etik kuralların düzenli olarak gözden geçirilmesi farklı bir şey. Burada belirli bir süreç var, belirli aralıklarla yapılan somut bir faaliyet var ve bunun çıktısı denetlenebilir. Yani “yaptık mı, neyi değiştirdik” diye bakılabilir. Bu yüzden bu tarz bir kontrol daha sistematik ve ölçülebilir.
O yüzden doğru cevap, etik kuralların düzenli olarak gözden geçirilmesidir. aynı şekilde bundan sonra tüm sorular

Senaryoda görevli kişi oturup beklemiyor. Eksik belge geldiğinde karşı tarafı arıyor, belgeyi istiyor, sonra gelen mallarla karşılaştırıyor ve tutarsızlık varsa araştırıyor. Yani bir hareket var, bir işlem yapılıyor. Bu yüzden bu kontrol pasif değil, aktif.
İkinci kısımda yapılan şey hatayı baştan engellemiyor. Mal zaten gelmiş, sorun oluşmuş bile. Yapılan kontrol bu hatayı sonradan fark etmeye ve ortaya çıkarmaya yönelik. Yani önleyici değil, tespit edici.

“kontrol” dediğimiz şey somut bir mekanizma olmalı. Yani bir şeyi doğrulayan, kayda alan, denetleyen veya hatayı yakalayan bir uygulama olmalı.
Maaş sürecini düşün. Vergi beyannamelerinin üst yönetim tarafından gözden geçirilmesi gerçek bir kontroldür çünkü hata varsa yakalama ihtimali vardır. Çalışma saatlerinin detaylı şekilde kaydedilmesi yine kontroldür çünkü fazla mesai ya da yanlış ödeme riskini azaltır. İzin ve tatil politikalarının yazılı olması da kontroldür çünkü keyfi uygulamayı engeller.
Ama “karşılıklı güven ortamı oluşturmak” kontrol değildir. Bu iyi bir kültür olabilir ama tek başına hatayı önlemez, suistimali yakalamaz, yanlış ödemeyi durdurmaz. İç kontrolde “güven ama doğrula” mantığı vardır. Sadece güvene dayalı bir yapı kontrol sayılmaz.

Ürünler merkezde kaydediliyor ama mağazaya ulaştığında kimse “gerçekten geldi mi, doğru miktar mı, eksik var mı” diye bağımsız bir kontrol yapmıyor. Yani gönderen var ama teslim alıp doğrulayan yok. Bu durumda ürün yolda kaybolsa, eksik gitse ya da başka yere yönlendirilse sistem bunu fark edemez. İşte bu doğrudan bir iç kontrol boşluğudur.
Diğer durumlar ilk bakışta şüpheli görünebilir ama aslında işin doğasına uygun. Ürün yöneticisinin hem satın alma hem fiyat belirleme işini yapması, bu rolün ticari sorumluluğunun bir parçası. Performansın satış ve kâra göre ölçülmesi de normal bir yönetim tercihi. Mağaza yöneticisinin sezonluk ürünleri kaldırması ise operasyonel bir ihtiyaç.
Ama teslim alma kontrolünün olmaması, sistemin “gözünün kör olduğu” noktadır. İç kontrolde en değerli şey ikinci göz, yani bağımsız doğrulamadır. O yoksa risk vardır ve bu soruda aranan tam olarak budur.

Kontrol dediğimiz şey, hatayı önleyen ya da ortaya çıkaran bir mekanizmadır. Organizasyon yapısının doğru kurulması, yetki ve sorumluluğun dengeli dağıtılması ya da insan kaynakları süreçlerinin düzgün olması gerçekten kontrol ortamını güçlendirir. Bunlar doğrudan hataları azaltır ve düzen getirir.
Ama iç denetim ile dış denetimi birbirinden ayırmak böyle bir etki yaratmaz. Hatta tam tersine, bu iki fonksiyonun birbirinden kopuk çalışması verimsizlik yaratır. Normalde bu iki tarafın bilgi paylaşması beklenir ki tekrar eden işler azalsın. Yani burada yapılan şey bir kontrol kurmak değil, sadece işleri ayırmaktır.

Dış değerlendirme yapacak kişi hem bağımsız olmalı hem de iç denetimi gerçekten anlayacak bilgi ve deneyime sahip olmalı.
Merkezden gelen bir denetçi, eğer değerlendirilen birimin parçası değilse ve bağımsızlığı sağlanıyorsa uygun kabul edilebilir. Aynı şekilde başka bir kurumdan gelen bir iç denetçi de bu işi bilen biri olduğu için uygun sayılır. Hatta dışarıdan gelen, iç denetim tecrübesi olan bir uzman da genelde kabul edilir.
Ama sadece teknik bir alanda uzman olup iç denetim deneyimi olmayan biri burada problem yaratır. Çünkü dış değerlendirme sadece teknik bir konuyu incelemek değildir; denetim metodolojisini, süreçleri, standartlara uyumu ve genel yapıyı anlamayı gerektirir. Bu bakış açısı yoksa yapılan değerlendirme eksik kalır.
Bu yüzden uygun olmayan kişi, iç denetim deneyimi olmayan uzmandır.

Eğitim almak faydalıdır, ekibi geliştirir ama sana “şu işi iyi yapıyorsun, şu eksik” diye bir değerlendirme sunmaz. Aynı şekilde karşılaştırma yapmak da (başkalarıyla kıyaslama) fikir verir ama doğrudan kendi sürecinin etkinliğini ölçen bir geri bildirim mekanizması değildir.
Gerçek geri bildirim, yapılan işin bizzat incelenmesiyle gelir. İç denetimin kendi kendini değerlendirmesi bu yüzden çok değerlidir; süreçlerini açar, hataları ve eksikleri ortaya koyar. Bunun bir de dışarıdan yapılan versiyonu vardır. Dış göz daha tarafsızdır ve kör noktaları yakalama ihtimali yüksektir.
Bu yüzden burada asıl geri bildirim kaynağı, iç değerlendirme ve dış değerlendirmedir. Diğerleri destekleyici olabilir ama doğrudan ölçüm yapmaz.

Standartlara uyum dediğimiz şey, dışarıdan alınan görüşlerle ya da performans rakamlarına bakarak tam olarak ölçülemez. Çünkü bunlar daha çok sonuçları ve algıyı gösterir. Oysa burada aranan şey, denetim faaliyetinin kendi süreçlerinin gerçekten kurallara uygun yürüyüp yürütülmediğidir.
Bunu en doğru şekilde sağlayan yöntem, birimin kendi işini sistematik biçimde gözden geçirmesidir. Yani yaptığı denetimleri, kullandığı yöntemleri ve süreçleri kendi içinde değerlendirip eksikleri ortaya çıkarmasıdır. Bu yüzden düzenli olarak yapılan öz değerlendirme bu işin temel aracıdır.
Kısaca, başkalarının ne düşündüğünden ziyade, denetimin kendi kendini disiplinli şekilde incelemesi esas alınır.

Kalite güvence ve geliştirme süreci, iç denetimin kendi kendini değerlendirmesidir. Ama bu değerlendirme sadece “kurallara uyuyor muyuz” düzeyinde kalmaz; aynı zamanda yapılan işin kuruma gerçekten katkı sağlayıp sağlamadığına bakar.
Bu süreç her iç denetim birimi için geçerlidir. Küçük ya da büyük olması fark etmez, hepsi bu kapsamda değerlendirilir ve gelişim hedeflenir. Aynı şekilde yapılan faaliyetlerin türüne göre bir ayrım yapılmaz; ister güvence çalışması olsun ister danışmanlık, hepsi kalite açısından birlikte ele alınır.
Bu değerlendirme mutlaka iç denetimin kuruma değer katıp katmadığını ve süreçleri iyileştirip iyileştirmediğini ölçmek zorundadır. Yani sadece teknik doğruluk yetmez, katkı da aranır.
Buna karşılık müşteri odaklılık veya etkili iletişim gibi unsurlar önemli olsa da bu standartların ana odağı değildir. Bu yüzden bu tür ifadeler burada belirleyici kriter olarak kabul edilmez.

İletişim becerisi “okuyarak” ya da “dinleyerek” gelişmez, yaparak gelişir.
Sunum dinlemek, kitap okumak ya da bilgisayar üzerinden eğitim almak sana bilgi verir ama davranışı değiştirmez. İletişim dediğin şey pratik ister; konuşacaksın, geri bildirim alacaksın, hatanı göreceksin, düzelteceksin. Yani canlı bir süreç.
Bu yüzden birebir koçluk en güçlü yöntem oluyor. Çünkü sana özel ilerler. Sen konuşursun, karşındaki seni gözlemler, anında geri bildirim verir. Nerede hata yaptığını, nasıl daha iyi ifade edebileceğini görürsün. Bu da gerçek gelişimi sağlar.
Diğer yöntemler daha pasif kalıyor. Dinliyorsun ama uygulamıyorsun. Halbuki burada aranan şey davranış değişimi.

İç denetçi bir sertifika aldıktan sonra “tamam bitti” diyemiyor. Kendini sürekli geliştirmek zorunda. Çünkü iş sürekli değişiyor, riskler değişiyor. O yüzden mesleki gelişim devam etmek zorunda.
Standartlar “kendini geliştir” der ama bunu saat saat, yıl yıl detaylı bir şekilde saymaz. Yani “her yıl şu kadar saat yapmak zorundasın” gibi katı bir sayı vermez. Ama yine de bu işi ciddiye almanı ve düzenli yapmanı ister.
“Şu kadar saat zorunlu” diyen ifade yanlış çünkü standart böyle bir sayı dayatmıyor. “Önceden onay alınmalı” gibi şeyler de gereksiz katı, o da yanlış. “Toplantıya katılmak sayılmaz” diyen ifade de yanlış çünkü bu tür aktiviteler de gelişim sayılır.

Burada aslında çok basit ama sık karıştırılan bir çizgi var. Denetçi raporu yazdıktan sonra işi bitmiş sayılmaz, gidip bakar: “Bu kurum bir şey yaptı mı, yaptığı şey gerçekten işe yarar mı?” Ama gidip “ben ne dediysem aynısını yapmak zorundasın” diyemez.
Yani denetçi bir öğretmen gibi değil, daha çok kontrol eden bir göz gibi düşün. Tavsiye verir ama uygulamayı yönetmez. Yönetim kendi şartlarına göre karar verir; bütçesi, öncelikleri, imkanları vardır. Denetçi de buna bakar: “Tamam, benim dediğimin aynısı yapılmamış olabilir ama yapılan şey mantıklı mı, sorunu gerçekten azaltıyor mu?”
Sorudaki yanlış yaklaşımlar hep şu hataya düşüyor: ya “tüm öneriler uygulanmalı” diyor ya da “hedef birebir tutmalı” diyor. Bunlar denetçinin rolünü abartmak olur.

İç denetimde önemli bir nokta var: “due professional care” yani mesleki özen. Bu, hatasız olmak demek değil. Yani bir riski kaçırmış olman otomatik olarak hatalı olduğun anlamına gelmez. Önemli olan şu: O anda makul, dikkatli ve yetkin bir denetçi gibi davranıp davranmadığın.
Sorudaki diğer şıklar daha çok “keşke şunu da yapsaydım” tarzı. Mesela tüm kontrolleri test etmek ya da herkesle toplantı yapmak kulağa güçlü geliyor ama bunlar mutlak bir zorunluluk değil. Hatta pratikte hepsini yapmak her zaman mümkün de değil.
Ama standart şunu arıyor: Sen o koşullarda, elindeki bilgi ve imkanlarla, ortalama yetkin bir denetçinin yapacağı şekilde mi hareket ettin?
Eğer cevabın evetse, yani makul bir profesyonel gibi davrandıysan, kaçırdığın risk yüzünden sana yüklenen kusur azalır. Çünkü standart zaten “kusursuzluk beklemiyoruz, makul özen bekliyoruz” diyor.

İç denetim ekibi bazı alanlarda yetersiz kalıyorsa, dışarıdan destek almak gayet normal ve hatta çoğu zaman doğru bir tercih. Ama bu tercihin neyi kazandırdığı ve neyi götürdüğünü iyi bilmek gerekiyor.
Dışarıdan uzman aldığında genelde üç şey kazanırsın. Birincisi hız; işi bilen insanlar geldiği için süreç daha hızlı ilerler. İkincisi uzmanlık; içeride olmayan teknik bilgi dışarıdan gelir. Üçüncüsü de verimlilik; doğru işi doğru kişi yaptığı için kalite artar.
Ama bunun bir bedeli var. Sürecin kontrolü bir miktar elinden çıkar. Çünkü işi artık tamamen kendi ekibin yapmıyor. Dış tarafın metodolojisi, yaklaşımı ve çalışma tarzı devreye giriyor. Sen hâlâ sorumlusun ama operasyonel kontrol eskisi kadar sende değil.

Özellikle varlıkların kötüye kullanımı gibi hassas bir konuda “yarım bilgiyle” denetim yapmak ciddi risk yaratır. Bu durumda yapılması gereken şey, işi zorla yürütmek değil; doğru şekilde yönetmek.
Eğer ekip yetersizse, denetimi aynı şekilde devam ettirmek doğru olmaz. Bu yüzden denetimi ertelemek veya yeniden planlamak gayet mantıklı bir adımdır. Çünkü kaliteyi düşürerek denetim yapmak, hiç yapmamaktan daha tehlikeli olabilir.
Aynı şekilde dışarıdan destek istemek ya da gerçekten gerekiyorsa o işi hiç almamak da doğru bir yaklaşımdır. Çünkü burada önemli olan “denetim yapılmış olması” değil, doğru ve yeterli şekilde yapılmış olmasıdır.
Bir diğer önemli nokta da üst yönetimi ve özellikle board’u bilgilendirmek. Eğer denetim kapsamı daralacaksa ya da bazı alanlar denetlenemeyecekse, bunun etkisi yukarıya açıkça anlatılmalı. Bu, şeffaflık ve yönetişim açısından zorunlu.
Ama “fraud checklist yapalım, eksikleri oradan kapatalım” yaklaşımı yanlış. Çünkü bu, gerçek bir uzmanlığın yerini tutmaz. Yani teknik eksikliği basit bir kontrol listesiyle telafi edemezsin. Bu seçenek o yüzden eleniyor.
Sonuçta doğru kombinasyon şuna geliyor: denetimi gerektiğinde ertele, destek al ya da işi bırak, ve bu durumun etkilerini yönetime bildir.

Soruda CAE diyor ki herkes muhasebe eğitimi almış olsun, üstüne bir de CIA/CA gibi sertifika şartı koyayım. İlk bakışta kulağa çok iyi geliyor; çünkü kalite artar gibi duruyor. Ama denetim sadece finans denetimi değil. Özellikle üretim yapan bir şirkette süreçler, operasyonlar, IT sistemleri, mühendislik tarafı gibi çok farklı alanlar var.
Eğer ekipteki herkes aynı geçmişten gelirse (örneğin hepsi muhasebeci olursa), bu ekip finansal konularda çok güçlü olur ama diğer alanlarda zayıf kalır. Yani üretim hattını, teknik süreçleri veya IT kontrollerini denetlerken derinlik kaybı yaşar. Bu da doğrudan denetimin kapsamını daraltır.
Doğru cevap bu yüzden şunu söylüyor: Böyle bir politika, denetim faaliyetlerinin kapsayabileceği alanları sınırlar. Çünkü ekipte çeşitlilik yoksa, farklı risk alanlarını değerlendirme kapasitesi de düşer.

Yetkinlik: Kişi konuyu gerçekten biliyor ve tek başına, tereddüt etmeden doğru değerlendirme yapabiliyor. Sürekli araştırma yapmasına ya da başkasına sormasına gerek yok.
Sorudaki doğru seçenekte denetçi, deneyim ve eğitimine dayanarak bir tesisin mevzuata uygun olup olmadığını net şekilde değerlendiriyor ve bunu belgeleyebiliyor. Yani sadece fikir yürütmüyor, kesin bir sonuca varıyor.
Diğer seçeneklerde ise hep bir eksiklik var:
Birinde “daha fazla araştırma öneriyor” → demek ki tam hakim değil
Birinde eğitim sonrası analiz yapıyor ama derinlik sınırlı → hâlâ gelişim aşaması
Birinde yine ek araştırmaya dayanıyor → tek başına yeterli değil

İç denetim bir plan yapar. Bu plan, hangi alanların denetleneceğini ve nasıl yapılacağını belirler. Ama bu planın bir anlamı olması için, onu gerçekten uygulayabilecek kapasiteye sahip olmak gerekir.
Yani mesele “iyi plan yapmak” değil, o planı gerçekten yapabilmek.
Eğer yeterli ve uygun kaynak yoksa ne olur?
Plan kağıt üzerinde kalır. Denetimler eksik yapılır, bazı alanlara hiç gidilemez, kalite düşer.
Bu yüzden iç denetim başkanının asıl amacı, ekibin planı yerine getirebilecek güçte olmasını sağlamaktır.
Diğer seçenekler daha dolaylı konular:
Yedekleme planı önemli ama ana amaç değil
Kurum içi itibar sonuçtur, amaç değil
Dış kaynak kullanımı konusu tamamen farklı bir mesele

Bu soruda konu çalışan bağlılığı. İnsanlar neden bir yerde kalır ya da neden ayrılır?
Genelde insanlar gelişebildikleri, kendilerini değerli hissettikleri ve dengeli bir hayat kurabildikleri yerlerde kalır. Yani öğrenme fırsatı, kariyer gelişimi ve iş-özel hayat dengesi çalışanı tutar.
“Yatay görev değişimi” ise ilk bakışta olumlu gibi görünür ama çoğu zaman kişiye yeni bir şey katmaz. Aynı seviyede, benzer işler arasında dolaşmak bir süre sonra monotonluk yaratır. İnsan kendini ilerlemiyor gibi hisseder. Bu da motivasyonu düşürür ve ayrılma ihtimalini artırır.
Diğer seçenekler çalışanı elde tutmaya daha çok katkı sağlar. Sürekli öğrenme imkânı sunmak kişiyi geliştirir. Kariyer gelişimine odaklanmak geleceğe dair umut verir. Seyahatin azaltılması ise hayat kalitesini artırır.
Burada en zayıf kalan şey, çalışanı zorlamayan ve geliştirmeyen yatay görevlendirmelerdir. İnsan bir noktadan sonra “aynı şeyleri yapıyorum” hissine girer ve kopar.