Risk reyestrində “məsul: audit” yazılıbsa, çox vaxt cavabdehlik səhv yerdədir. Daxili audit müstəqil təminat verir; gündəlik risk qərarını biznes rəhbərinin əvəzinə qəbul etməməlidir. Üç Xətt modeli ilə RACI matrisini birlikdə işlətmək konkret prosesdə qərar, icra, məsləhət və məlumatlandırma sərhədini görünən edir.
Modelin əsas məsuliyyətini düzgün oxuyun
IIA-nın 2026-da yenilənmiş Üç Xətt mövqeyi idarəetmə orqanı, rəhbərlik və daxili audit arasında əlaqəni təsvir edir. Birinci xətt məhsul və xidmətin çatdırılması ilə bağlı riskin gündəlik idarəsidir. İkinci xətt risk, uyğunluq və nəzarətə xüsusi dəstək və monitorinq verir. Üçüncü xətt müstəqil daxili audit təminatıdır. Xətlər təşkilat sxemində mütləq üç ayrıca şöbə demək deyil; funksiyanın roluna baxın.
RACI-ni qərar nöqtəsində qurun
Məsələn, yeni təchizatçının təsdiqində RACI belə ola bilər. Bu, yalnız nümunədir; şirkətin səlahiyyət matrisi üstün tutulmalıdır.
| İş | Satınalma | Risk/uyğunluq | Maliyyə rəhbəri | Daxili audit |
|---|---|---|---|---|
| Təchizatçı sənədini toplamaq | R | C | I | I |
| Risk həddini qiymətləndirmək | R | C | A | I |
| Müqaviləni təsdiqləmək | R | C | A | I |
| Prosesə müstəqil təminat vermək | I | I | I | R/A |
Burada R işi icra edir, A nəticəyə cavabdehdir, C məsləhət verir, I məlumatlandırılır. Eyni qərarda iki A varsa yekun səlahiyyət aydın deyil; heç A yoxdursa qərar sahibsizdir. Daxili audit əməliyyatın təsdiqinə A yazılsa, sonra həmin əməliyyata müstəqil təminat verməsi çətinləşə bilər.
Risk sahibi ilə nəzarət sahibini ayırın
Risk sahibi nəticəyə görə qərar verir; nəzarət sahibi konkret yoxlamanı icra edir. Məsələn, debitor borcunun yığılmaması riskinin sahibi kommersiya rəhbəri ola bilər; gecikmiş hesabların həftəlik yoxlanmasını maliyyə analitiki icra edə bilər. Nəzarətin işlədiyini sübut edən tarixli hesabat, istisna siyahısı və düzəliş qərarı saxlanmalıdır. COSO-nun daxili nəzarət çərçivəsi nəzarəti ayrıca yoxlama ilə yanaşı mühit, risk qiymətləndirilməsi, informasiya və monitorinqin bütöv sistemi kimi qurur.
Bir proses üzrə sınaq keçirin
Hamı üçün ümumi matris yazmaq əvəzinə bir qərar seçin: təchizatçı onboarding-i, endirim icazəsi və ya yeni ödəniş hesabı. Faktiki son beş qərarı izləyin. Qərarı kim verdi? Sübut haradadır? İstisnanı kim təsdiqlədi? Audit həmin qərarı sonradan hansı müstəqil meyarla yoxlaya bilər? Bu suallar şemadakı rolu real işə bağlayır.
Eskalasiya və müstəqillik qaydası
İkinci xətt yüksək risk gördükdə kimə və neçə iş günü ərzində məlumat verəcəyini göstərin. Daxili audit rəhbəri ikinci xətt rolunu da müvəqqəti götürürsə, IIA müstəqilliyi qorumaq üçün əlavə tədbirləri vurğulayır. Belə vəziyyətin idarəetmə orqanında necə nəzərdən keçirildiyini sənədləşdirin. Risk sahibi tapılmayana qədər “hamı məsuliyyətlidir” yazmaq problemi həll etmir.
Tez-tez verilən suallar
RACI-də A kimdir? Konkret qərarın nəticəsinə yekun cavabdeh olan səlahiyyətli şəxsdir.
Daxili audit risk sahibi ola bilər? Gündəlik əməliyyat riskinin sahibi olması onun müstəqil təminat roluna ziddiyyət yarada bilər.
İkinci xətt həmişə ayrıca departamentdir? Xeyr. Əsas məsələ funksiyanın rolu və səlahiyyətidir.
Matris neçə prosesdən başlamalıdır? Əvvəl bir yüksək riskli prosesdə faktiki qərarları sınaqdan keçirmək daha faydalıdır.
Nəzarət matrisi üzərində praktiki iş üçün AİTM-in daxili audit və nəzarət təliminə baxın.