The IIA-nın 16 sentyabr 2026 tarixli Risk in Focus nəticələrinin şərhi 130-dan çox ölkədə 3 000-dən artıq daxili audit rəhbərinin baxışını əhatə edir. Mənbədə respondentlərin 80 faizi kiberriski ilk beş risk arasında qeyd edir. Bu 80 faiz kibertəhlükə hadisəsinin baş vermə ehtimalı deyil; sorğudakı prioritet seçiminin payıdır.
Prioritet ilə risk ölçüsü eyni deyil
Respondentlərin çoxu bir riski önə çəkirsə rəhbərlik bunu diqqət siqnalı kimi istifadə edə bilər. Amma təşkilatın real ehtimal və təsir qiyməti öz aktivləri, təhdid səthi, nəzarəti və hadisə tarixçəsi ilə müəyyən olunur. Kiberriski “ilk beşlikdədir” deyə hər prosesin yeganə riski etmək maliyyə, uyğunluq və əməliyyat risklərini gözdən qaçıra bilər.
Hesabat daxili auditin risk əhatəsi və idarəetmə yetkinliyi barədə də suallar açır. Rəhbər prioritet siyahısını nəzarət planına çevirmək istəyirsə üç sual verməlidir: hansı kritik proses təsirlənir, hansı nəzarət mövcuddur, onun işləmə sübutu haradadır? Cavab yoxdursa nəzarət adı olan sənəd təsəlli yaratmamalıdır.
AİTM oxucusu üçün tətbiq
Hipotetik orta müəssisədə ilk beş risk siyahısına kiberinsident daxil edilir. Audit komandası altı sistemi birdən yoxlamaq əvəzinə müştəri məlumatına çıxışı olan iki kritik sistemdən başlayır. Giriş hüququ, ayrılan işçilərin hesabının bağlanması və ehtiyat bərpanın sınağı üçün sübut istəyir. Nəticə risk sorğusundan yox, həmin təşkilatın nəzarət testindən çıxır.
Bu yanaşmada daxili audit gündəlik nəzarətin sahibi olmur. Proses və İT sahibləri nəzarəti işlədər, audit isə müstəqil qiymətləndirmə verər. Sorğunun beynəlxalq əhatəsi yerli tənzimləmə və təşkilatın risk iştahını əvəz etmir.
Mənbə, tarix, məhdudiyyət
Şərh 16 sentyabr 2026 tarixində yayımlanıb; 2027 risk üfüqünə baxan sorğu nəticələrini izah edir. 80 faiz göstəricisi yalnız “ilk beş risk” cavabının payıdır. Faktiki hadisə tezliyi və ya Azərbaycan təşkilatlarının risk səviyyəsi kimi işlədilməməlidir.
Audit planına tərcümə
Sorğu nəticəsini audit planına bir sətir kimi köçürməkdənsə kritik sistem və prosesləri xəritələyin. Məsələn, müştəri məlumatı saxlayan sistemdə çıxış hüququ son dəfə nə vaxt yoxlanıb, ehtiyat bərpa həqiqətən sınaqdan keçirilibmi, insident barədə qərar sahibi kimdir? Bu sualların cavabı kiberriskin şirkətdə hansı formada mövcud olduğunu açır. 80 faiz sorğu payı prioritet siqnalıdır; konkret nəzarətin effektivliyini ölçmür.
Risk siyahısını yeniləyən rəhbər “ilk beşlik” payını daxili təsir/ehtimal balına çevirməməlidir. Sorğu respondentlərin fikrini göstərir, sizin şirkətdə riskin maliyyə və əməliyyat təsirini yox. Öz risk reyestrinizdə sistem, məlumat, proses sahibi, mövcud nəzarət və son test tarixini göstərin. Kiberrisk yüksəkdirsə belə idarəetmə qərarı konkret nəzarət boşluğuna bağlanmalıdır. Rəqəmlərin mahiyyəti düzgün yazılanda beynəlxalq hesabat yerli iş üçün faydalı sual yaradır, yanlış alarm yox.
Audit komitəsinə təqdim olunan qısa xülasədə 80 faiz rəqəminin altında “ilk beş risk seçimi” yazın. Bu kiçik izah faizdən yanlış hadisə ehtimalı çıxarılmasının qarşısını alır. Sonrakı sətirdə isə şirkətin öz risk qiymətləndirməsinə keçin.
Risk-nəzarət əlaqəsini qurmaq üçün Daxili Audit proqramına baxın. IASB-nin IFRS 18 qərarı və Microsoft-un idarəetmə hesabatı də qərar üçün mənbə statusunu ayırmağın vacibliyini göstərir.