ELEKTRONİK BİLGİ ORTAMLARINDA MUHASEBE DENETİMİ Doç.Dr.Yakup SELVİ Arş.Grv.Ahmet TÜREL Arş.Grv.Bora ŞENYİĞİT İstanbul Üniversitesi, İşletme Fakültesi Giriş Günümüzde birçok işletmede, başta muhasebe bölümünde olmak üzere, bilgisayarlar kullanılmaktadır. Muhasebede bilgisayarların kullanımı bilgi teknolojisindeki gelişmelere paralel olarak gün geçtikçe daha ayrıntılı ve karmaşık hale gelmektedir. Önceleri bilgisayar yardımıyla borçların ve alacakların takibi, maaşların hesaplanması gibi basit işlemler yapılırken, bunu takiben faturalama, stok kayıtları, müşteri kayıtları gibi veri hareketleri eş zamanlı olarak işlenir hale gelmiştir. Günümüzde ise meydana gelen herhangi bir finansal olayın sonuçları, bilgi işlem sistemince, ilgili bütün alanlarda dikkate alınır hale gelmiştir. Örneğin, herhangi bir müşteriden sipariş gelmesi durumunda, işletmenin üretim ve depolama faaliyetleri, sipariş politikası, müşterinin ödeme kabiliyetinin incelenmesi, ilgili defterlere kayıtlar, satış istatistiklerinin çıkarılması vb. işlemlerin hepsi bir arada yerine getirilmeye başlanmıştır. Bilgisayarların işletmelerin günlük faaliyetlerinin yürütülmesinden finansal tabloların üretilmesine kadar birçok alanda kullanılmaya başlanması, bilgilerin elektronik ortamlarda işlenip saklanması ile birlikte bu elektronik ortamların denetimlerinin yapılması kaçınılmaz olmuştur. Burada ortaya çıkan sorun bilgisayarda yürütülen muhasebe işlemlerinin denetiminin nasıl gerçekleştirileceği ve denetçinin nasıl davranacağıdır. Elektronik bilgi ortamının varlığı denetimin genel amacını ve kapsamını değiştirmemiş fakat denetim sürecinde, tekniğinde, kanıtlarında ve en önemlisi denetim anlayışında değişimlerin yaşanmasına neden olmuştur. 1 Bu değişim, denetçinin yeni duruma uyum sağlamasını ve elektronik bilgi ortamlarının denetim sürecini nasıl etkileyebileceğini dikkate almasını gerektirmiştir. Denetçiler de bu duruma uyum sağlamak amacıyla yeni denetim yöntemleri geliştirmişler ve bilgisayarı denetimde vazgeçilmez bir araç olarak kullanmaya başlamışlardır. 2 Bilgi teknolojilerindeki gelişmeler, bu konuda yeterli düzeyde bilgi sahibi olmayan denetçiler için, denetim mesleğini icra ederken çok fazla güçlük çekmelerine neden olacaktır. Bu çalışmada, bilgi teknolojisindeki gelişmelerin denetim mesleğine ve denetime olan etkileri, elektronik bilgi ortamlarındaki denetim yaklaşımları ve bu denetimlere ilişkin uluslararası düzenlemeler incelenmiştir. 1.Elektronik Bilgi Ortamlarının Denetim Mesleğine Etkileri Bilgi teknolojilerinin gelişmesiyle birlikte denetçinin denetim faaliyetlerinin planlamasını, yönetimini ve kontrolünü yapabilmesi için elektronik bilgi ortamlarına ilişkin 1 Uluslararası Denetim Standardı no.401 (Bilgi İşlem Sistemleri Ortamında Denetim), md. 3, IFAC. 2 Alvin A.Arens; James K. Loebbecke, Auditing:An Integrated Approach, 7.Edition, Prentice Hall,1997,s.528. 1
bilgi sahibi olması gerekir ve bunu sağlamak amacıyla aşağıdaki hususların yerine getirilmesi gerekebilir. 3 Elektronik bilgi ortamlarında yürütülen muhasebe ve iç kontrol sistemlerinin yeterli seviyede anlaşılması. Genel denetim risklerinin ve hesap bakiyeleri ile sınıflandırmalara ilişkin risklerin değerlendirilmesi sırasında elektronik bilgi ortamının etkilerinin belirlenmesi. Uygun kontrol testlerinin ve doğrulama prosedürlerinin oluşturulması ve uygulanması. Elektronik bilgi ortamları denetim mesleği için bir fırsat veya tehdit oluşturabilir. Denetçi, bilgi teknolojilerindeki bu hızlı değişime uyum sağlayabilirse piyasa tarafından talep edilme fırsatını yakalar 4 ve denetçinin müşterilerine sunacağı hizmetler genişler. Denetçi finansal tabloların denetiminde, zamanını rutin işler yerine müşterilerine iyi iş planlarının geliştirilmesi, iş risklerinin değerlenmesi ve performans ölçümü gibi hizmetler sunarak değerlendirir. 5 Ancak kendini güncelleyemez ve değişimin gerisinde kalırsa bu durum denetçinin mesleğini kaybetmesine yol açabilecek bir tehdit unsuru olabilir. Denetçi, elektronik bilgi ortamlarında denetim yapabilmek için belli bir düzeyde bilgi ve deneyime sahip olmalıdır. Ancak özel bilgi ve deneyimin gerektiği durumlarda, denetçi ilgili özelliklere sahip bir profesyonelin yardımına ihtiyaç duyabilir. Bu durum, yeni bir meslek olarak bilgi teknolojileri denetçiliğinin doğmasına sebep olmuştur. Bu durumda söz konusu kişi denetim ekibinin bir üyesi olabileceği gibi üçüncü bir şahıs da olabilir. 6 Bilgi teknolojileri denetçisi, karmaşık bilgisayar sistemleri kontrollerini ve süreçlerini test eden ve değerleyen, bilgisayar destekli denetim tekniklerini geliştiren ve uygulayan uzman kişidir. 7 2. Elektronik Bilgi Ortamlarının Denetim Sürecine Etkileri Bilgisayarların, denetim açısından önemli finansal bilgilerin oluşturulmasında kullanılıyor olması durumunda bir elektronik bilgi ortamının var olduğu kabul edilir. 8 İşletmedeki elektronik bilgi ortamının varlığı denetimin genel amacını ve kapsamını değiştirmez fakat bilgisayar kullanımı finansal verilerin oluşturulmasını, saklanmasını, aktarılmasını doğrudan etkileyerek işletmenin muhasebe ve iç kontrol sistemlerinde önemli bir rol oynar ve aşağıdaki hususları etkileyebilir. 9 Muhasebe ve iç kontrol sistemlerinin anlaşılabilmesi için denetçi tarafından uygulanan prosedürler. Denetçinin risk belirleme çalışmaları sonucunda tespit edeceği doğal riskin ve kontrol riskinin değerlendirilmesi. Denetim amaçlarına ulaşmak için denetçi tarafından belirlenecek kontrol testlerinin ve doğrulama prosedürlerinin tasarımı ve uygulanması. 3 Uluslararası Denetim Standardı no.401, md. 4, IFAC. 4 Recep Pekdemir; Yakup Selvi, Teknolojik Gelişmelerin Denetimde Yarattığı Yeni Fırsatlar, 17. Türkiye Muhasebe Kongresi, 10-12 Ekim 2002, s.200. 5 James L. Bierstaker; Priscilla Burnaby; Jay Thibodeau, The impact of information technology on the audit process: an assesment of the state of the art and implications for the future, Managerial Auditing Journal, 16(3) 2001, s.163. 6 Uluslararası Denetim Standardı no.401, (Bilgi İşlem Sistemleri Ortamında Denetim), md. 4, IFAC. 7 Tamer Aksoy, Tüm Yönleriyle Denetim, Yetkin Yayınları, 2002, s.759. 8 Uluslararası Denetim Standardı no.401, (Bilgi İşlem Sistemleri Ortamında Denetim), md. 1, IFAC. 9 Uluslararası Denetim Standardı no.401, (Bilgi İşlem Sistemleri Ortamında Denetim),md. 3, IFAC 2
Denetçi, denetimi planlamak ve etkin bir denetim yaklaşımı geliştirmek için muhasebe ve iç kontrol sistemlerine ilişkin yeterli derecede bilgi sahibi olmalı, müşterinin bilgi işlem aktivitelerinin karmaşıklığını ve önemlilik derecesini anlamalı ayrıca, elektronik bilgi ortamındaki verilerin denetim için kullanılabilirliğini araştırmalıdır. 10 Örneğin, elektronik bilgi ortamında finansal verilerle ilgili karmaşık hesaplamalar yapılıyorsa veya işlemlerin yoğun olması nedeniyle kullanıcılar yapılan hataları bulmada ve düzeltmede zorluk çekiyorsa bu elektronik bilgi ortamı karmaşık olarak nitelendirilebilir. 11 Eğer kaynak belgeler veya kanıt niteliğindeki diğer evraklar sistemde sadece kısa bir süre için varolabiliyorsa denetçi tarafından istendiğinde elde edilemeyebilir. Elektronik bilgi ortamlarının önemlilik arz ettiği durumlarda denetçi, elektronik bilgi ortamını ve bu ortamın neden olduğu risklerin ve kontrollerin denetime olan etkilerini anlamalıdır. 12 Bu kontrollere örnek olarak insan müdahalesinin azalması ve bilgisayar destekli denetim tekniklerini kullanma potansiyeli verilebilir. Risklere örnek olarak ise programdan kaynaklanan hatalar ve görevlerin ayrılığı ilkesine olan zıtlıklar verilebilir. Elektronik bilgi ortamlarında bazı uygulamalar aynı uygulama talimatları için standart bir şekilde işler. Böylece manuel uygulamalardan doğabilecek hataların büyük ölçüde önüne geçilmiş olur. Ancak programdan kaynaklanabilecek hatalar ise tüm işlemlerin hatalı olarak yapılmasına yol açacaktır. Elektronik bilgi ortamlarında, görevlerin ayrılığı ilkesi gereği farklı kişiler tarafından yapılması gereken veri girişi, verilere müdahale gibi bir çok işlemin aynı kişi tarafından yapılması bir risk unsurudur. Elektronik bilgi ortamlarının özellikleri sonucunda ortaya çıkan riskler ve kontroller, denetçi tarafından risklerin belirlenmesinde ve denetim prosedürlerinin niteliğinin, zamanlamasının ve kapsamının oluşturulmasında önemli ölçüde etkili olmaktadır. Önemli finansal tablo kalemleri için riskleri belirleyen denetçi yeterli denetim kanıtı toplayabilmek için manuel denetim tekniklerini, bilgisayar destekli denetim tekniklerini veya her ikisini birlikte kullanabilir. Ancak, belirli uygulamalar için bilgisayar kullanılan bazı muhasebe sistemlerinde denetçinin bilgisayar yardımı olmaksızın kanıt toplaması, araştırma ya da mutabakat yapması oldukça zor ya da imkansız olabilir. 13 Denetimin elektronik ortamlarda yapılması ile birlikte elektronik kanıt kavramı ortaya çıkmıştır. Elektronik kanıt ile geleneksel kanıtın toplanma amacı aynı olup, aşağıdaki Tablo 1 de yer alan bazı özellikler bakımından farklılıklar göstermektedir. Denetimde bilgi teknolojilerinin yaygın ve etkin olarak kullanılabilmesi elektronik bilgilerin hukuki delil olabilme özelliğine bağlıdır. 14 10 Uluslararası Denetim Standardı no.401, (Bilgi İşlem Sistemleri Ortamında Denetim), md. 5-6, IFAC. 11 Uluslararası Denetim Standardı no.401, (Bilgi İşlem Sistemleri Ortamında Denetim), md. 6, IFAC. 12 Uluslararası Denetim Standardı no.401, (Bilgi İşlem Sistemleri Ortamında Denetim), md. 7 IFAC. 13 Uluslararası Denetim Standardı no.401, (Bilgi İşlem Sistemleri Ortamında Denetim), md. 11, IFAC. 14 Mevlüt Özer, Teknolojik Gelişmelerin Denetimde Yarattığı Yeni Fırsatlar, 17. Türkiye Muhasebe Kongresi, İstanbul,10-12 Ekim 2002, s.206. 3
Tablo 1: Geleneksel Kanıt ile Elektronik Kanıtın Karşılaştırılması 15 Özellik Geleneksel Kanıt Elektronik Kanıt Tahrif Edilebilme Güçlüğü Tahrif edilebilmesi oldukça zordur. Tahrif edilebilmesi çok kolay, bunu belirleyebilmek çok zordur. Güvenilirliği Güvenilirliği çok yüksektir. İç kontrol yapısının etkinliğine bağlıdır. Belgenin Tamlığı İşlemin tüm süreçlerini içerir. Elektronik süreç, elektronik kanıtları kodlar ve diğer veri alanlarına yapılan çapraz referanslarla kanıtı kullanıcılardan gizleyebilir. Onayların Kanıtlanması Kullanım Kolaylığı Anlaşılırlık Belge üzerindeki tüm onaylar görülür. Değerlendirilmesi ve anlaşılabilmesi için ayrıca bir araç kullanılmasına gerek yoktur. Genellikle anlaşılırdır ve farklı denetçiler tarafından aynı sonuca ulaşılır. Tüm onaylar görülemeyebilir. Değerlendirilmesi ve anlaşılabilmesi için bir uzmandan yardım alınması gerekebilir. Açık değildir ve denetçilerin kullandıkları prosedürlere göre, değerlendirilmelerinin farklı olmasına neden olabilir. Denetlenecek işletmelerin bilgilerinin elektronik ortamlarda yer alması ve denetçilerin birçok denetim prosedürünü elektronik ortamda yapmasını sağlamak için geliştirilen denetim yazılımları ile birlikte, gelecek yıllarda tamamen kağıtsız denetime (paperless audit) geçilmesi beklenmektedir. 16 3. Elektronik Bilgi Ortamlarında Denetim Yaklaşımları İşletmedeki elektronik bilgi ortamlarının denetiminde temel iki yaklaşım mevcuttur. Bunlar; bilgisayar çevresinden denetim (auditing around the computer) ve bilgisayar içinden denetim (auditing through the computer) yaklaşımlarıdır. Bu yaklaşımlar ile ilgili örnekler aşağıdaki Tablo 2 de görülmektedir. 15 Thomas A. Ratcliffe; Paul Munter, Information technology, internal control, and financial statement audits, The CPA Journal, 72(4), April, 2002, s. 42. 16 James L. Bierstaker; Priscilla Burnaby; Jay Thibodeau, a.g.e., s.159. 4
Tablo 2: Bilgisayar Çevresinden Denetim ve Bilgisayar İçinden Denetim İle İlgili Örnekler 17 İç kontrol Vadeli satışlarda kredi onayının verilmesi. Bilgisayar çevresinden Bilgisayar içinden denetim denetim Satışlar içinden ilgili bir Müşterinin kullandığı örnek grubu seçilmesi. Kredi yazılımın bir kopyasının ve müdürünün satışları kredi limitleri ile ilgili ana onayladığını gösteren parafı dosyanın elde edilmesi. Veri görmek için örnek grubundaki testi yaklaşımını uygulayarak her müşteriye ait satış emrinin satış işlemlerinden bir örnek elde edilmesi. grubu seçilmesi ve müşterinin kredi limiti üzerindeki vadeli satış işlemlerinin red edildiğini, kredi limiti altındaki işlemlerin kabul edildiğinin doğrulanması. Maaş ödemelerinin sadece mevcut çalışanlara yapılması. Tediye yevmiyesinde yer alan sütun toplamlarının bilgisayar tarafından otomatik olarak yapılması. Maaş ödemeleri yevmiyesinden ödemelerle ilgili örnekler seçilmesi ve seçilen örneklerde ödeme yapılan kişilerin şu anda çalıştıklarının insan kaynakları departmanından doğrulanması. Nakit ödemeleri yevmiyesinin çıktısının alınması ve bilgisayar tarafından yapılan toplamları doğrulamak için her kolonun toplamının alınması. Geçmişte çalışanların ve şu anda çalışanların kimlik numaralarından oluşan test verisi dosyasının oluşturulması. Bu dosyayı müşterinin yazılımında işleme tabi tutarak sadece şu anda çalışanlara ödeme yapıldığının doğrulanması. Nakit ödemeleri yevmiyesinin elektronik bir kopyasının elde edilmesi ve genelleştirilmiş denetim yazılımı kullanılarak toplamların kontrol edilmesi. 3.1. Bilgisayar Çevresinden Denetim Yaklaşımı Bilgisayar sistemleri temel anlamda veri girişi, veri işleme ve çıktı süreçlerinden oluşur. Bilgisayar çevresinden denetim yaklaşımında sadece alış ve satış faturası gibi kaynak belgelerden bilgisayara yapılan girişler ve yevmiye defteri veya büyük defter gibi bilgisayardan olan çıkışlar incelenmektedir. Bilgisayarın veri işleme süreci göz ardı edilmektedir. Bu nedenle, bu yaklaşıma kara kutu yaklaşımı, bilgisayarın yanından geçen denetim yaklaşımı da denmektedir. 17 Alvin A.Arens; Randal J.Elder; Mark S.Beasley, Auditing and Assurance Services: An Integrated Approach, 10 th edition, Prentice Hall, 2005, s.352. 5
Bu yaklaşımda denetçi, girdileri ve çıktıları inceler fakat bu girdilere ilişkin işlemlerin bilgisayarda nasıl yürütüldüğünü ve neye göre çıktı verdiğini incelemez. 18 Günümüzde bilgi teknolojilerindeki gelişmeler ve işlem sayılarının çokluğu nedeniyle bu yaklaşımın kullanım alanı oldukça azalmıştır. Denetçi bazı ender durumlarda bilgisayar çevresinden denetim yaklaşımını benimseyebilir. Bunun için, denetçinin yeterli kaynak belgeye ve çıktıların okunabilir formdaki detaylı listesine ulaşabilmesi gerekir. 19 3.2. Bilgisayar İçinden Denetim Yaklaşımı Bilgisayar içinden denetim yaklaşımında, bilgisayar çevresinden denetim yaklaşımının aksine sadece bilgisayara girişler ve bilgisayardan çıkışlar değil bilgisayar sistemi bir bütün olarak incelenir. Dolayısıyla, bilgisayarın içerisinde bulunan ve işlemlerin yürütülmesini sağlayan yazılımlarda denetim sürecinin içine dahil edilmiş olur. Bu yaklaşım denetçinin bilgisayar destekli denetim tekniklerinden (computer-assisted audit techniques) yararlanmasını gerektirmektedir. 20 Bu yaklaşımda denetçi, öncelikle bilgisayar sistemindeki iç kontrollerin yapısını tanımaya ve anlamaya çalışacaktır. Bilgisayar sistemlerinde iç kontrol iki ana bölüme ayrılır. Bunlar genel kontroller ve uygulama kontrolleridir. İşletme içerisinde kullanılan bilgisayar sistemlerinde meydana gelebilecek hata ve yolsuzlukları önlemeyi ve ortaya çıkarmayı hedefleyen politikalar, uygulamalar ve süreçler genel kontroller olarak adlandırılır 21. Uygulama kontrolleri ise; bilgilerin sistemlere ya da programlara tam olarak, zamanında ve sadece bir kere girilmesini, bilgi-işlem ortamında tüm işlem ve süreçlerin istenilen sıra ve düzen içinde gerçekleşmesini ve raporların tam ve güvenilir olarak üretilmesini, yetkili kişilere ulaşmasını ve uygun şekilde arşivlenmesini sağlayan kontrollerdir. 22 Genel kontroller ve uygulama kontrollerinin türleri ve bunlara ilişkin örnekler Tablo 3 de görülmektedir. Denetçiler işletmenin elektronik bilgi ortamı ile ilgili iç kontrol yapısını incelemeye, genel kontrolleri değerleyerek başlarlar. Eğer genel kontroller etkili değilse bilgisayarla ilgili uygulama kontrollerinde önemli maddi hataların varlığı olasıdır. 23 Örneğin, bilgisayara veri giren operatör aynı zamanda programcı ise ve dosyalara rahatlıkla ulaşabiliyorsa denetçi satışlar, alışlar veya maaşlar gibi hesaplarda gerçek olmayan işlemlerin yapılabileceğini göz ardı etmemelidir. Bilgisayar sistemindeki genel kontrolleri ve uygulama kontrollerini tanıyan denetçi bu kontrolleri test etmek amacıyla bilgisayar destekli denetim tekniklerinden yararlanmaktadır. 24 18 Melih Erdoğan, Bilgisayar Ortamında Muhasebe Denetimindeki Gelişmeler, 4. Muhasebe Denetimi Sempozyumu, Mayıs 1999, s.246. 19 Alvin A. Arens, James K. Loebbecke, a.g.e., s.537. 20 Donald H. Taylor; G. William Glezen, Auditing, 6 th edition, John Wiley&Sons Inc, 1994, s.504. 21 J.L. Boockholdt, Accounting Information Systems, Times Mirror Books, 4 th edition, 1996, s.290. 22 Ümit Türkkan, Bilgi-İşlem Sistem Denetimleri, İç Denetim Dergisi, Sonbahar 2002,s.33-34. 23 Yavuz Çiftçi, Elektronik Bilgi İşlem Teknolojisindeki Gelişmeler ve Muhasebe Denetimi,Mali Çözüm,Sayı:62,2003,s.8 24 25 Mart 2005 tarihinde sermaye piyasasında bağımsız denetimle yetkili 83 adet bağımsız denetim kuruluşunun internet sitelerinde yapılan bir araştırmada sadece Deloitte & Touche Danışmanlık Hizmetleri A.Ş. AuditSystem/2 isimli denetim yazılımını kullandığını açıklamıştır. 6
Çok sayıda bilgisayar destekli denetim tekniği mevcuttur. Bunlar farklı yaklaşımlar sergilerler ve farklı derecede bilgisayar bilgisi gerektirirler. Bu tekniklerden bazıları daha çok bilgisayar sistemlerinde yer alan kontrolleri test etmek amacıyla kullanılırken bazıları elektronik bilgi ortamlarındaki maddi doğruluk testleri uygulamaları için kullanılırlar. Bilgisayar içinden denetim yaklaşımında temel olarak üç tür test yapma stratejisi bulunmaktadır. Bunlar veri testi (test data), paralel simülasyon (parallel simulation), sisteme entegre denetim modülü (embedded audit module) yaklaşımlarıdır. 25 Tablo 3: Genel Kontrollerin ve Uygulama Kontrollerinin Sınıflandırılması 26 Genel Kontroller Kontrol Türleri Bilgi işlemle ilgili yönetsel kontroller Kontrol Örnekleri Bilgi işlem müdürünün raporlamayı üst yönetime veya yönetim kuruluna yapması. Bilgi işlem görevlerinin birbirinden ayrılması Sistem geliştirme Fiziksel ve çevrimiçi güvenlik Yedekleme ve acil durum planlaması Donanım kontrolleri Bilgisayar programcısı ile bilgisayar operatörü görevlerinin ayırımı. Kullanıcıların, sistem analistlerinin ve programcıların yazılımı geliştirmesi ve test etmesi. Bilgisayar sisteminin çalışması, bilgilerin ve programların korunması için yetkili şifre gerekliliği. Yazılı yedekleme planları hazırlanır ve yıl içinde düzenli olarak test edilir. Monitörde hata mesajı çıkmasına neden olan bellek veya sürücü hataları. Uygulama Kontrolleri Girdi Kontrolleri Veri işleme süreci öncesi satış işlemi yetkisi. Süreç (işleme) Kontrolleri Çıktı Kontrolleri Satış işlemindeki birim satış fiyatının uygunluk testi. Satış departmanı tarafından satış işlemlerinin veri işleme süreci sonrası incelenmesi. 25 Alvin A.Arens; Randal J.Elder; Mark S.Beasley, a.g.e., s.351. 26 A.e., s.345. 7
Veri testi yaklaşımında, denetçi işletmede gerçekleşen finansal olaylarla ilgili iki farklı muhasebe işlem grubu seçer. Bu gruplardan biri doğru muhasebe işlemlerinden, ikincisi ise hatalı muhasebe işlemlerinden oluşur. Daha sonra bu iki farklı muhasebe işlem grubunu müşterinin bilgisayar sistemi içinde izler. 27 Buradaki amaç, müşterinin bilgisayar sisteminin meydana gelen finansal olaylardan geçerli olanları işleyip, geçerli olmayanları hata olarak listelediği konusunda bilgi sahibi olmaktır. Paralel simülasyon yaklaşımında, denetçi müşterinin yazılımı ile paralel faaliyet gösteren kendine ait bir yazılım kullanır. Bu yazılımdan elde edilen çıktılar ile müşterinin orijinal yazılımından elde edilen çıktılar karşılaştırılarak hem bilgisayar sistemindeki kontroller hem de bakiyelerle ilgili doğruluk testleri yapılabilir. 28 Ortaya çıkan farklılıklar müşterinin yazılımındaki muhtemel eksiklikleri gösterir. Denetçiler, paralel simülasyon yaklaşımını benimseyerek uyguladıkları testlerde araç olarak çoğunlukla genelleştirilmiş denetim yazılımlarını (generalized audit software-gas) kullanırlar. Bu programlar özellikle denetçilerin kullanımı için dizayn edilmiştir. Denetim firmaları eğer isterlerse kendi denetim yazılımlarını da oluşturabilirler. Bu yazılımların en büyük avantajı kullanacak personelin eğitiminin kolay olması ve her firmaya uygulanabilmesidir. 29 Genelleştirilmiş denetim yazılımlarının kullanım alanlarından biri, bilgisayar sistemlerindeki kontrolleri test etmektir. Örneğin, denetçi müşterinin kredi limitleri ile ilgili ana dosyasını ve alınan sipariş emirleri dosyasını elde ederek bunları kendi yazılımına kopyalar ve öngörülen kredi limiti altında yer alan sipariş emirlerini listeler. Denetçi daha sonra denetim yazılımından alınan çıktı ile müşterinin kayıtlı işlemlerinin mutabakatını yaparak müşteriden alınan dosyaların gerçek ve tam olduğu konusunda bilgi sahibi olur. Genelleştirilmiş denetim yazılımlarının başka bir kullanım alanı da hesap bakiyelerinin doğrulanmasıdır. Örneğin, denetçi müşterinin alacak hesapları ile ilgili dosyayı elde ederek bu dosyadaki alacaklar toplamının büyük defter hesabının bakiyesi ile mutabakatını yapabilir. Genelleştirilmiş denetim yazılımlarını kullanmanın en önemli yararı denetim testlerinin yapılmasını oldukça hızlı ve daha detaylı hale getirmesidir. Genelleştirilmiş denetim yazılımlarının diğer kullanım alanları Tablo 4 de gösterilmiştir. Sistemin içindeki denetim modülü yaklaşımında, denetçi kendisi için önemli olan işlemleri tespit etmek amacıyla müşterinin bilgisayar yazılımına denetim modülü ekler. Bu yaklaşımda denetçi müşterinin gerçekleştirdiği işlemleri sürekli olarak denetleme olanağına sahiptir. Bu yaklaşımın veri testi ve paralel simülasyon yaklaşımlarına göre en önemli avantajı testlerin belli bir anda değil sürekli olarak yapılabilmesidir. 30 27 Melih Erdoğan, a.g.e, s.269. 28 Marshall B. Romney; Paul John SteinBart, Accounting Information Systems, 8 th edition, Prentice Hall, 2000,s.387. 29 Alvin A.Arens; Randal J.Elder; Mark S.Beasley, a.g.e., s.351. 30 A.e., s.354. 8
Tablo 4: Genelleştirilmiş Denetim Yazılımlarının Kullanım Alanları 31 Kullanım alanı Açıklama Örnek Hesaplamaların doğrulanması Hesaplamaların yeniden yapılarak müşterinin hesaplamaları ile karşılaştırılması. Kayıtların tamlığının, tutarlılığının, doğruluğunun incelenmesi. Farklı dosyalardaki verilerin karşılaştırılması. Denetim örnekleminin seçilmesi. Doğrulama mektuplarının basılması. Tüm kayıtların önceden belirlenmiş kriterlere göre taranması. İki veya daha fazla sayıdaki dosyada yer alan bilgilerin mutabık olduğunun belirlenmesi. Örneklerin seçilmesi. Doğrulama testlerinin yapılması için seçilen örneklerin basılması. Alacak hesapları toplamının alınması. İşten ayrılmış çalışanların maaş ödeme kayıtlarının incelenmesi. Satış ve tahsilat bilgilerinden yararlanarak, alacak hesaplarının bakiyesinde iki tarih arasında meydana gelen değişimin karşılaştırılması. Doğrulama için tesadüfi olarak alacak hesaplarının seçilmesi. Doğrulama yapılacak müşterinin isminin, adresinin ve hesap bakiyesinin basılması. 4. Elektronik Bilgi Ortamlarında Denetim İle İlgili Uluslararası Düzenlemeler Denetim mesleği ve denetim uygulamaları yaşanan teknolojik gelişmelere paralel olarak birçok değişikliklere uğramıştır. Özellikle, yirminci yüzyılda yatırımcıların bilgilendirilmesi ve kamu çıkarlarının korunması açısından denetim mesleği ve uygulamaları ile ilgili olarak standartlar oluşturulmuştur. 32 Uluslararası düzeyde, elektronik bilgi ortamında denetim ile ilgili temel olarak dört kuruluşun çalışmaları ön plana çıkmaktadır. Bunlar; IFAC Uluslararası Muhasebeciler Federasyonu (International Federation of Accountants) AICPA Amerikan Sertifikalı Muhasebeciler Enstitüsü (American Institute of Certified Public Accountant) ISACA Bilgi Sistemleri Denetimi ve Kontrolü Derneği (Information System Auditing Control Association) IIA Amerikan İç Denetçiler Enstitüsü (Institute of Internal Auditor) dır. Günümüzde muhasebecilik alanında en büyük mesleki birlik olan IFAC Uluslararası Muhasebeciler Federasyonu (International Federation of Accountants) denetim üzerine getirdiği standartlar (ISA-International Standarts on Auditing) ile ve bunların sürekli olarak geliştirilmesiyle ilgili olarak faaliyet gösteren en büyük kuruluştur. IFAC tarafından elektronik bilgi ortamlarında denetim ile ilgili 401 no.lu Bilgi İşlem Sistemleri Ortamında 31 A.e., s.355. 32 İzzet Gökhan Özbilgin, Bilgi Teknolojileri Denetimi ve Uluslararası Standartlar, Sermaye Piyasası Kurulu Meslek Personeli Derneği Dergisi, Sayı:10,Kasım-Aralık 2003, s.1 9
Denetim (Auditing in a Computer Information System Environment) denetim standardı yayımlanmıştır ve bu standart elektronik bilgi ortamında denetimin asli ilkelerini ve önemli prosedürlerini belirtmektedir. Bu standart Aralık 2004 tarihinde yürürlükten kaldırılmış ve yerine 315 no.lu İşletmeyi ve çevresini tanıyarak maddi hata risklerinin değerlenmesi (Understanding the entity and its environment and assesing the risks of material misstatements), 330 no.lu Değerlenen riskler karşısında denetçinin uygulayacağı prosedürler (The auditors procedures in response to assessed risks) ve 500 no.lu Denetim kanıtları (Audit evidence) standartları gelmiştir. Elektronik bilgi ortamlarında denetim ile ilgili düzenlemeleri olan diğer bir kuruluşta AICPA Amerikan Sertifikalı Muhasebeciler Enstitüsü (American Institute of Certified Accountants) dir. Resmi bir meslek kuruluşu olan AICPA denetim faaliyetlerinin yürütülmesinde önemli rol oynamaktadır. AICPA içerisinde yer alan Denetim Standartları Kurulu (Auditing Standards Board) ilgili standartları yayınlamaktadır. AICPA nın Aralık 1996 da yayımladığı 80 no.lu Kanıt Niteliği Taşıma (Evidential Matter) standardı elektronik kanıtların geçerliliği, tamlığı ve dürüstlüğü ile ilgili sorulara cevap verir. 33 Ayrıca AICPA nın bu konu ile ilgili olarak yayımlamış olduğu 94 no.lu Finansal tabloların denetiminde bilgi teknolojisinin denetçinin iç kontrol sistemini değerlendirmesine olan etkisi (The effect of ınformation tecnology on the Auditor s consideration of internal control in a financial statement audit) standardı denetçilere elektronik bilgi işlem sisteminin işletmenin iç kontrol sistemini nasıl etkilediğini anlatmakta ve bu ortamlardaki iç kontrol sisteminin anlaşılması ve kontrol riskinin değerlenmesini konusunda yol göstermektedir. 94 no lu bu standart finansal tabloların denetiminde 1 Haziran 2001 tarihinden itibaren geçerli olmuştur. 34 Elektronik bilgi ortamlarında denetim ile ilgili düzenlemeleri olan diğer bir başka kuruluşta ISACA Bilgi Sistemleri Denetimi ve Kontrolü Derneği (Information Systems Audit and Control Association) dir. Bu kuruluşun hem elektronik bilgi ortamlarının denetimi ile ilgili standartları hem de bu konu ile ilgili mesleki standartları bulunmaktadır. Ayrıca bu kuruluşun bağlı kuruluşu olan Bilgi Teknolojileri Yönetimi Enstitüsü (IT Governance Institute) nün elektronik bilgi ortamlarındaki denetimin uygulanmasına yönelik rehber niteliğinde COBIT 35 isimli bir yayını bulunmaktadır. 36 Ayrıca IIA Amerikan İç Denetçiler Enstitüsü (Institute of Internal Auditors) nün de bu konu ile ilgili rehber niteliğinde çalışmaları bulunmaktadır. Amerikan İç Denetçiler Enstitüsü, iç denetim mesleği uygulamaları ile ilgili uluslararası standartlar yayımlamaktadır. İç denetçinin niteliği ile ilgili standartlarda iç denetçilerin verilen görevi yerine getirebilmek için bilgi teknolojileri ve kontrolleriyle ilgili kilit bilgilere ve mevcut teknoloji tabanlı denetim tekniklerine sahip olmaları gerektiği ancak, bütün iç denetçilerin, asıl sorumluluğu bilgi teknolojileri denetimi olan denetçiler kadar uzmanlığa sahip olması beklenmediği belirtilmektedir. 37 33 Jagdish Pathak;Mary R. Lind, Integrated Information Systems, SAS 94 & Auditors, University of Windsor Working Paper No. 2003-01, s.10. 34 Jagdish Pathak;Mary R. Lind, a.g.e., s.1. 35 Control Objectives for Information and related Technology. 36 Ayrıntılı bilgi için bkz.http://www.isaca.org 37 Uluslar arası İç Denetim Standardı, md. 1210.A3, IIA. 10
Sonuç Yirminci yüzyılın en önemli icatlarından sayılan bilgisayar, muhasebeyi ve denetimi önemli ölçüde etkilemiştir. Muhasebede bilgisayarların kullanılması ile birlikte bilgiler elektronik ortamlara taşınmıştır. Muhasebe bilgilerinin elektronik ortamlarda yer alması, söz konusu elektronik bilgi ortamlarının denetiminin yapılmasını kaçınılmaz hale getirmiştir. Burada önemli olan bu elektronik ortamların nasıl denetleneceği ve buna bağlı olarak denetçinin hangi yeni özelliklere sahip olması gerektiğidir. Elektronik bilgi ortamlarının denetiminde, bilgisayarın içinden denetim yaklaşımı benimsenmelidir. Bu yaklaşımın bir gereği olarak, bilgisayar destekli denetim teknikleri kullanılmalıdır. Çünkü bu teknikler denetim işlemlerinin etkinliğini ve verimliliğini arttırabilmektedir. Özellikle, denetlenecek ana kütle ve örnek hacminin çok büyük olduğu durumlarda bu tekniklerden yararlanmak bazen bir zorunluluk olarak ortaya çıkmaktadır. Teknolojik değişmelerin çok hızlı yaşandığı günümüz dünyasında, denetçilerin bu değişiklikleri izleyerek, kendi denetim süreçlerini bu değişikliklere göre yenilemesi gerekmektedir. İşte bu noktada, denetim mesleğinin gelecekte nasıl olacağı, bu meslekte yer alacakların sahip olacağı özellikler ve eğitiminin nasıl gerçekleştirileceği tartışılmalıdır. Ülkemizde son dönemlerde elektronik imza, elektronik beyanname ve benzeri düzenlemelerle işlemleri tamamen elektronik ortama taşıyan yasal altyapı oluşturulmaktadır. Muhasebenin elektronik ortamda olması, denetimin de aynı ortamda yapılmasını zorunlu kılmaktadır. Denetim ilke ve kuralları, tam ve doğru bir şekilde uygulansalar bile, son teknolojik gelişmelerin yarattığı karmaşıklıklar karşısında yetersiz kalmaktadırlar. Bu durumun nedeni teknolojik gelişmelerde yaşanan hızın, bu teknolojik gelişmeleri denetleyecek yöntemlerin geliştirilmesinden daha yüksek olmasıdır. Kaynakça Aksoy, Tamer : Tüm Yönleriyle Denetim, Yetkin Yayınları, 2002. Arens, Alvin A.; James K. Loebbecke Arens,Alvin A.; Randal J. Elder; Mark S.Beasley Bierstaker, James L.; Priscilla Burnaby; Jay Thibodeau, Boockholdt, J.L. Çiftçi, Yavuz : Auditing:An Integrated Approach, 7 th Edition, Prentice Hall 1997. : Auditing and Assurance Services: An Integrated Approach, 10 th Edition, Prentice Hall, 2005. : The impact of information technology on the audit process: an assesment of the state of the art and implications for the future, Managerial Auditing Journal, 16(3) 2001. : Accounting Information Systems, Times Mirror Books, 4th edition, 1996. : Elektronik Bilgi İşlem Teknolojisindeki Gelişmeler ve Muhasebe Denetimi, Mali Çözüm,Sayı:62,2003,s.8 11
Erdoğan, Melih : Bilgisayar Ortamında Muhasebe Denetimindeki Gelişmeler, 4. Muhasebe Denetimi Sempozyumu, Mayıs 1999. Jagdish Pathak; Mary R. Lind : Integrated Information Systems, SAS 94 & Auditors, University of Windsor Working Paper No. 2003-01, January, 2003. Özbilgin,İzzet Gökhan : Bilgi Teknolojileri Denetimi ve Uluslararası Standartlar, Sermaye Piyasası Kurulu Meslek Personeli Derneği Dergisi, Sayı:10, Kasım-Aralık 2003. Özer, Mevlüt : Teknolojik Gelişmelerin Denetimde Yarattığı Yeni Fırsatlar, 17. Türkiye Muhasebe Kongresi, İstanbul,10-12 Ekim 2002. Pekdemir, Recep; Yakup Selvi Ratcliffe, Thomas A.; Paul Munter Romney, Marshall B.; Paul John Steinbart Taylor, Donald H.; G. William Glezen Türkkan, Ümit IFAC IIA ISACA Teknolojik Gelişmelerin Denetimde Yarattığı Yeni Fırsatlar, 17. Türkiye Muhasebe Kongresi, 10-12 Ekim 2002. : Information technology, internal control, and financial statement audits, The CPA Journal, 72(4), April, 2002. : Accounting Information Systems, 8 th edition, Prentice Hall, 2000. : Auditing, 6 th edition, John Wiley&Sons Inc, 1994. : Bilgi-İşlem Sistem Denetimleri, İç Denetim Dergisi, Sonbahar 2002. : International Auditing Practices Committee, Auditing in a Computer Systems Environment, (International Auditing Standards, No.401). : Uluslararası İç Denetim Standardı md.1210_a3 : http://www.isaca.org 12