Madde 6 — Önemlilik ve denetim riski

MADDE 6 – (1) Önemlilik, mesleki bilgi ve tecrübeye dayalı bir mütalaa konusu olup; kontrol zayıflıkları sonucu ortaya çıkan ya da çıkabilecek hataların, ihmallerin, prosedürlere aykırılıkların ve hukuka aykırı fiillerin, denetlenen Kurum, Kuruluş ve Ortaklıkların finansal verilerini raporlamalarına, güvenli ve kesintisiz hizmet sağlamalarına olan ya da olabilecek etkisinin değerlendirilmesidir.

(2) Bilgi sistemleri bağımsız denetiminde önemlilik kavramı, denetimin planlanması, gerekli alanlarda yoğunlaştırılması, bulguların değerlendirilmesi ve raporlanması için kullanılabilir. Başta finansal veriler olmak üzere denetlenen açısından hassasiyet arz eden verilerin bütünlüğü, tutarlılığı, güvenilirliği, gereken durumlarda gizliliği ve faaliyetlerin sürekliliği önemlilik kavramı kapsamında dikkate alınması gereken temel unsurlardır.

(3) Finansal raporları etkileyen kontrollerin değerlendirilmesinde, süreç veya sistem tarafından yürütülen finansal işlemin değeri, işlem sıklığı gibi öğeler kullanılırken, finansal işlemlere ilişkin olmayan kontrollerin değerlendirilmesinde ise iş sürecinin kritikliği, sistem ve operasyonların maliyeti, hataların muhtemel sonuçlarının büyüklüğü, bir zaman aralığında gerçekleşen işlem/sorgu sayısı, tutulan dosyaların ve üretilen raporların niteliği, zamanlaması ve kapsamı, hizmet seviyesi anlaşmalarının gerekleri ve ceza maddelerindeki para cezası tutarları gibi öğeler kullanılır.

(4) Denetim riski, bilgi sistemleri denetçisinin aşağıdaki risklere bağlı olarak doğru görüş vermemesi olasılığıdır:

a) Yapısal risk: Kontrolün olmaması nedeniyle, en azından kayda değer olan bir kontrol eksikliğinin var olması riskini ifade eder.

b) Kontrol riski: Kontrolün layıkıyla çalışmaması sebebiyle, en azından kayda değer olan bir kontrol eksikliğini önleyememesi, ortaya çıkaramaması veya zamanında düzeltememesi riskini ifade eder.

c) Tespit riski: Bilgi sistemleri denetçisinin, denetlenen Kurum, Kuruluş ve Ortaklıkların bilgi sistemlerinde yer alan en azından kayda değer olan bir kontrol eksikliğini ortaya çıkaramaması riskini ifade eder.

(5) Önemli veya kayda değer kontrol eksikliği riski: Denetlenen Kurum, Kuruluş ve Ortaklıkların bilgi sistemlerinde en azından kayda değer olan bir kontrol eksikliğinin bulunması riskini ifade eder. Önemli ya da kayda değer kontrol eksikliği riski, yapısal risk ve kontrol riskinden kaynaklanır.

(6) Bilgi sistemleri denetçisi, denetim riskini makul düzeye indirebilmek için, önemli veya kayda değer kontrol eksikliği riskinin yüksek olduğu alanlarda tespit riskini düşürecek şekilde uygun denetim tekniklerini kullanır.

Kriterler