“Riskimiz var” demək nəzarət qurmaq üçün yetərli deyil. Hansı prosesdə hansı hadisə baş verə bilər, bunu kim önləyir və ya aşkar edir, sübut harada qalır? Daxili nəzarət risk matrisi bu sualları bir sətirdə birləşdirir. Aşağıdakı altı sətir öyrənmə nümunəsidir; müəssisənin həqiqi risk qiymətləndirməsi və hüquqi öhdəliyini əvəz etmir.
Risk cümləsini və nəzarət məqsədini ayırın
“Satınalma riski” çox genişdir. “Eyni qaimə iki dəfə ödənə bilər” hadisəsi isə yoxlanıla biləndir. Nəzarət məqsədi təkrar ödənişi önləmək və ya vaxtında aşkar etməkdir. COSO Internal Control Integrated Framework nəzarəti məqsədlər, risk və fəaliyyətlərin əlaqəsi kimi qurmağa kömək edir. Nəzarət aktivdirsə belə risk sıfıra düşmür.
Risk qiymətini verərkən təsir və ehtimal üçün təşkilatın öz şkalasını əvvəlcədən təyin edin. “Yüksək” sözü iki şöbədə fərqli məna daşıyırsa prioritet qərarı çaşır. Məlumat azdırsa bunu yazın; saxta dəqiqliklə faiz verməyin.
Altı prosesli nümunə matrisi
| Proses | Risk hadisəsi | Nəzarət fəaliyyəti | Sahib | Tezlik/sübut |
|---|---|---|---|---|
| Satınalma | Eyni qaimə iki dəfə ödənir | Unikal qaimə nömrəsi yoxlaması və ikinci təsdiq | Kreditorlar qrupu | Hər ödəniş; sistem izi |
| Satış | Təsdiqsiz endirim tətbiq edilir | Limitdən yuxarı endirim üçün səlahiyyət təsdiqi | Satış rəhbəri | Hər istisna; təsdiq qeydi |
| Anbar | Sayım fərqi gec aşkarlanır | Dövri seçmə sayım və fərq araşdırması | Anbar müdiri | Aylıq; sayım aktı |
| HR | Ayrılmış əməkdaşın sistem girişi qalır | Ayrılma siyahısı ilə girişlərin bağlanması | HR və İT | Hər ayrılma; bağlama jurnalı |
| Maliyyə | Bank uzlaşması gecikir | Mühasibatdan ayrı şəxsin uzlaşmanı yoxlaması | Maliyyə rəhbəri | Aylıq; imzalı uzlaşma |
| Layihə | Dəyişiklik büdcəsiz icra olunur | Dəyişiklik tələbi və təsdiq həddi | Layihə sahibi | Hər dəyişiklik; qərar jurnalı |
Matrisi təşkilata köçürməzdən əvvəl vəzifələrin ayrılığını yoxlayın. Kiçik komandada tam ayrılıq mümkün deyilsə alternativ nəzarət — məsələn, rəhbərin müstəqil periodik baxışı — sənədləşdirilməlidir. Nəzarətin adı deyil, necə işlədiyinə dair sübut vacibdir.
Dizaynla işləmə effektivliyini ayırın
Nəzarət kağız üzərində düzgün görünə bilər, amma tətbiq olunmaya bilər. Dizayn sualı: bu addım risk hadisəsini vaxtında önləyə və ya aşkar edə bilərmi? İşləmə sualı: seçilmiş dövrdə həqiqətən edilibmi, sübutu varmı? Məsələn, “aylıq bank uzlaşması” proseduru yazılıb, amma son iki ayın uzlaşması yoxdur. Burada təkcə proseduru təkrar yazmaq yetmir; sahiblik və icra maneəsi araşdırılmalıdır.
IIA-nın Three Lines Model idarəetmə və müstəqil əminlik rollarını ayırmağa kömək edir. Daxili audit nəzarətin sahibi kimi gündəlik əməliyyatı icra etməməlidir; o, müstəqil qiymətləndirmə verir. Konkret təşkilatın idarəetmə modeli və resursu nəzərə alınmalıdır.
İşlənmiş hipotetik nümunə
Fərz edək ki, bir şirkətdə qaimə nömrəsinin dublikat yoxlaması var, lakin təchizatçı eyni sənədi fərqli nömrə ilə göndərə bilir. Üç aylıq 120 ödənişdən seçilmiş 20 nümunədə bir şübhəli təkrar aşkarlanır. Komanda dərhal ümumi səhv faizi elan etmir: seçmə üsulu və nümunə kiçikdir. Risk cümləsi genişləndirilir, təchizatçı, məbləğ, tarix və sənəd uyğunluğu üçün əlavə yoxlama sınaqdan keçirilir. Hadisə araşdırılmadan “fırıldaq” etiketi qoyulmur.
Nəzarəti riskin vaxtına görə seçin
Bəzi nəzarətlər səhvi əməliyyat baş verməzdən əvvəl saxlayır, bəziləri isə sonradan aşkarlayır. Təsdiqsiz endirimi sistem limitinin bloklaması önləyici nəzarətdir; aylıq istisna hesabatının yoxlanması aşkarlayıcıdır. Hər ikisinin məqsədi eyni risk ola bilər, amma vaxtı və sübutu fərqlidir. Yüksək təsirli, geri qaytarılması çətin ödəniş üçün yalnız ay sonu aşkarlama yetərli olmaya bilər.
Nəzarət həddindən artıq ağırdırsa işçilər onu dolaşmağa çalışa bilər. Hər 10 AZN xərc üçün üç imza tələb etmək proses yükü yaradır; məbləğ və riskə görə hədd qoymaq daha uyğun ola bilər. Həddi səlahiyyət sahibi təsdiqləməli və dövri yeniləməlidir. “İstisna” yolunu ayrıca qeyd edin ki, fövqəladə əməliyyat nəzarətsiz qapı yaratmasın.
Test nümunəsini düzgün təsvir edin
Bir nəzarətin işlədiyini yoxlamaq üçün dövr, əməliyyat sayı, seçmə üsulu və gözlənən sübut əvvəlcədən yazılır. “Beş sənədə baxdıq, problem olmadı” cümləsi bütün ilin qüsursuzluğunu sübut etmir. Təsadüfi seçmə ilə risk əsaslı seçmə fərqli məqsəd daşıyır. Yüksək məbləğli istisnaları ayrıca seçmək faydalıdır, lakin nəticəni bütün əməliyyatlara statistik yaymaq olmaz.
Fərz edək ki, 200 ödənişdən 15-i risk əsaslı seçilib və ikisində ikinci təsdiq yoxdur. Düzgün qeyd “yoxlanan 15 riskli əməliyyatın ikisində təsdiq sübutu tapılmadı”dır. “Ödənişlərin 13,3 faizi nəzarətsizdir” hökmü seçmə üsuluna görə yanlış ola bilər. İstisnanın səbəbini və faktiki riski ayrıca araşdırın; sənədin itməsi ilə təsdiqin heç verilməməsi fərqli hallardır.
Matrisin yenilənmə ritmi
Yeni sistem, səlahiyyət dəyişikliyi, yeni məhsul və ya hadisə baş verəndə müvafiq sətirləri yeniləyin. Bütün matrisi ildə bir dəfə formal təsdiqləyib arada işlətməmək faydanı azaldır. Hər sətirdə son baxış tarixi, nəzarət sahibi və sübutun saxlanma yeri olsun. Mövcud nəzarət artıq riskə təsir etmirsə adını saxlamaq əvəzinə dəyişiklik qərarı verin.
Daxili audit tapıntını verdikdən sonra tədbirin icra sahibi olmamalıdır; idarəetmə düzəlişi planlayır, audit lazım gələrsə sonradan yoxlayır. Bu ayrım müstəqilliyi qoruyur. Kiçik təşkilatda rollar üst-üstə düşürsə həmin məhdudiyyət açıq yazılmalı və alternativ baxış mexanizmi qurulmalıdır.
Hadisədən əvvəl və sonra nəzarət
Bəzi nəzarətlər səhvi əməliyyat baş verməzdən əvvəl saxlayır, bəziləri isə sonradan aşkarlayır. Təsdiqsiz endirimi sistem limitinin bloklaması önləyici nəzarətdir; aylıq istisna hesabatının yoxlanması aşkarlayıcıdır. Hər ikisinin məqsədi eyni risk ola bilər, amma vaxtı və sübutu fərqlidir. Yüksək təsirli, geri qaytarılması çətin ödəniş üçün yalnız ay sonu aşkarlama yetərli olmaya bilər.
Nəzarət həddindən artıq ağırdırsa işçilər onu dolaşmağa çalışa bilər. Hər kiçik xərc üçün üç imza tələb etmək proses yükü yaradır; məbləğ və riskə görə hədd qoymaq daha uyğun ola bilər. Həddi səlahiyyət sahibi təsdiqləməli və dövri yeniləməlidir. “İstisna” yolunu ayrıca qeyd edin ki, fövqəladə əməliyyat nəzarətsiz qapı yaratmasın.
Test nəticəsini nə qədər ümumiləşdirmək olar?
Bir nəzarətin işlədiyini yoxlamaq üçün dövr, əməliyyat sayı, seçmə üsulu və gözlənən sübut əvvəlcədən yazılır. “Beş sənədə baxdıq, problem olmadı” cümləsi bütün ilin qüsursuzluğunu sübut etmir. Təsadüfi seçmə ilə risk əsaslı seçmə fərqli məqsəd daşıyır. Yüksək məbləğli istisnaları ayrıca seçmək faydalıdır, lakin nəticəni bütün əməliyyatlara statistik yaymaq olmaz.
Fərz edək ki, 200 ödənişdən 15-i risk əsaslı seçilib və ikisində ikinci təsdiq yoxdur. Düzgün qeyd “yoxlanan 15 riskli əməliyyatın ikisində təsdiq sübutu tapılmadı”dır. “Ödənişlərin 13,3 faizi nəzarətsizdir” hökmü seçmə üsuluna görə yanlış ola bilər. İstisnanın səbəbini və faktiki riski ayrıca araşdırın; sənədin itməsi ilə təsdiqin heç verilməməsi fərqli hallardır.
Altı sətiri öz şirkətinizə köçürməzdən əvvəl
Matrisdəki nəzarət adları nümunədir. Sizin sistemdə unikal qaimə nömrəsi eyni sənədin başqa formatla təkrar gəlməsini tutmursa əlavə uyğunluq yoxlaması lazım ola bilər. Anbar sayımı fiziki məhsul üçün mənalıdır, rəqəmsal xidmətə eyni formada tətbiq edilmir. Hər sətri öz proses xəritənizdə real əməliyyatla sınaqdan keçirin. Məqsəd cədvəldə altı sətir doldurmaq deyil, riskin harada yarandığını görməkdir.
Nəzarət sahibi işdən ayrılıbsa “sahib: maliyyə” kimi ümumi qeyd yetməz. Konkret rol, əvəzləyici və yoxlama vaxtı müəyyən olmalıdır. Hadisə baş verəndə sübut tapılmırsa nəzarətin işləmə iddiası zəifləyir. Nəzarət matrisi audit günü üçün hazırlanmış dekor deyil; prosesin gündəlik qərar xəritəsidir.
Matris üçün sübut yığarkən yalnız sənədin mövcudluğunu yox, vaxtını da yoxlayın. Ödənişdən üç gün sonra verilmiş təsdiq “ödənişdən əvvəl ikinci təsdiq” nəzarətinin işlədiyini göstərmir. Sistem izi və təsdiq tarixi risk hadisəsinin baş vermə vaxtı ilə müqayisə olunmalıdır. Bu, dizaynla real icranı ayırır.
Sübut saxlanma yerini də matrisdə qeyd edin. Audit zamanı e-poçt qutusunda təsdiq axtarmaq əvəzinə razılaşdırılmış sistem izi olmalıdır. Giriş hüququ məhdud olmalı, amma yoxlama üçün lazım olan şəxslərə əlçatan qalmalıdır. Nəzarətin işləmə sübutu yoxdursa bunu “yoxdur” kimi açıq qeyd edib düzəliş tarixi təyin edin.
Tez-tez verilən suallar
Matrisi kim yeniləyir? Proses və risk sahibləri; daxili audit müstəqil rəy verə bilər.
Hər riskə avtomatik nəzarət lazımdır? Xeyr. Riskə, xərcə və prosesin xüsusiyyətinə görə uyğun nəzarət seçin.
Nəzarət sübutu nədir? İcra vaxtını, sahibini və nəticəsini göstərən etibarlı qeyd.
Risk balını necə verək? Təşkilatın əvvəlcədən müəyyən edilmiş təsir/ehtimal şkalası ilə, qeyri-müəyyənliyi ayrıca yazaraq.
Daxili audit nəzarəti işlədə bilər? Gündəlik əməliyyat sahibi olmaq müstəqilliyə xələl gətirə bilər; rolları ayırın.
Risk və nəzarəti real prosesdə qurmaq üçün Daxili Audit proqramına baxın. Pul axını nümunəsi maliyyə siqnalını, 90 günlük icra planı tədbirin izlənməsini tamamlayır.