GDS 3402 Hizmet Kuruluşundaki Kontrollere İlişkin Güvence Raporları

İÇİNDEKİLER

	Paragraf
Giriş
Kapsam	1-6
Yürürlük Tarihi	7
Amaçlar	8
Tanımlar	9
Ana Hükümler
GDS 3000	10
Etik Hükümler	11
Yönetim ve Üst Yönetimden Sorumlu Olanlar	12
Denetim Sözleşmesinin Kabulü ve Devam Ettirilmesi	13-14
Kıstasların Uygunluğuna Karar Verilmesi	15-18
Önemlilik	19
Hizmet Kuruluşunun Sistemi Hakkında Bilgi Elde Edilmesi	20
Tanımla İlgili Kanıt Elde Edilmesi	21-22
Kontrollerin Tasarımıyla İlgili Kanıt Elde Edilmesi	23
Kontrollerin İşleyiş Etkinliğiyle İlgili Kanıt Elde Edilmesi	24-29
İç Denetim Fonksiyonunun Çalışması	30-37
Yazılı Açıklamalar	38-40
Diğer Bilgiler	41-42
Sonraki Olaylar	43-44
Belgelendirme	45-52
Hizmet Kuruluşu Denetçisinin Güvence Raporunu Hazırlaması	53-55
Diğer Bildirim Sorumlulukları	56
Açıklayıcı Hükümler ve Uygulama
Kapsam	A1-A2
Tanımlar	A3–A4
Etik Hükümler	A5
Yönetim ve Üst Yönetimden Sorumlu Olanlar	A6
Denetim Sözleşmesinin Kabulü ve Devam Ettirilmesi	A7-A12
Kıstasların Uygunluğuna Karar Verilmesi	A13-A15
Önemlilik	A16-A18
Hizmet Kuruluşunun Sistemi Hakkında Bilgi Elde Edilmesi	A19-A20
Tanımla İlgili Kanıt Elde Edilmesi	A21-A24
Kontrollerin Tasarımıyla İlgili Kanıt Elde Edilmesi	A25-A27
Kontrollerin İşleyiş Etkinliğiyle İlgili Kanıt Elde Edilmesi	A28-A36
İç Denetim Fonksiyonunun Çalışması	A37-A41
Yazılı Açıklamalar	A42-A43
Diğer Bilgiler	A44-A45
Belgelendirme	A46
Hizmet Kuruluşu Denetçisinin Güvence Raporunu Hazırlaması	A47-A52
Diğer Bildirim Sorumlulukları	A53
Ek 1: Hizmet Kuruluşunun Beyanlarına İlişkin Örnek
Ek 2: Hizmet Kuruluşu Denetçisinin Güvence Raporlarına İlişkin Örnekler
Ek 3: Hizmet Kuruluşu Denetçisinin Olumlu Görüş Dışında Bir Görüş İçeren Güvence Raporu Örnekleri

Giriş

Kapsam
1. Bu Güvence Denetimi Standardı (GDS), finansal raporlamayla ilgili olması sebebiyle hizmet alan işletmenin iç kontrolüyle ilgili olabilecek bir hizmeti sağlayan hizmet kuruluşu bünyesindeki kontroller üzerine, hizmet alan işletmenin ve onun denetçilerinin[1] kullanımına yönelik bir rapor sunmak amacıyla denetçi tarafından yürütülen güvence denetimlerini düzenler. GDS 3402 uyarınca hazırlanan raporlar BDS 402[2] açısından uygun kanıt sağlayabilir olduğundan, bu GDS, BDS 402’yi tamamlayıcı niteliktedir (Bakınız: A1 paragrafı).
2. Güvence Denetimlerine İlişkin Çerçeve’de (Güvence Çerçevesinde) bir güvence denetiminin “makul güvence” denetimi veya “sınırlı güvence” denetimi olabileceği ve bir güvence denetiminin bir doğrulama hizmeti ya da bir doğrudan denetim olabileceği belirtilmektedir.[3]  Bu GDS yalnızca makul güvence veren doğrulama hizmetlerini düzenlemektedir.[4]
3. Bu GDS yalnızca, hizmet kuruluşunun, kontrollerin uygun tasaramından sorumlu olduğu veya buna ilişkin bir beyanda bulunabildiği durumlarda uygulanır. Bu GDS aşağıdakilere yönelik güvence denetimlerini düzenlememektedir:
(a) Yalnızca bir hizmet kuruluşundaki kontrollerin tanımlanan şekilde işleyip işlemediğine yönelik raporlama yapılması veya
(b) Finansal raporlamaya ilişkin olduğu için hizmet alan işletmelerin iç kontrolüyle ilgili olma ihtimali bulunan bir hizmetle ilgili olmayan hizmet kuruluşundaki kontrollerin (örneğin hizmet alan işletmelerin üretimini veya kalite kontrolünü etkileyen kontrollerin) raporlanması.
Bununla birlikte bu GDS, GDS 3000 kapsamında yürütülen bu tür denetimler için rehberlik sağlar (Bakınız: A2 paragrafı).
4. Bir hizmet kuruluşu denetçisi, kontrollere ilişkin bir güvence raporu düzenlemek dışında, bu GDS’ de düzenlenmeyen ve aşağıda örnekleri verilen raporları sunmak üzere de görevlendirilebilir:
(a) Hizmet alan bir işletmenin, hizmet kuruluşu tarafından takibi yapılan işlem veya bakiyelerine ilişkin bir rapor veya
(b) Bir hizmet kuruluşundaki kontrollere yönelik üzerinde mutabık kalınan prosedürler raporu.
GDS 3000 ve Diğer Mesleki Mevzuatla ve Diğer Mesleki Hükümlerle Olan İlişki
5. Hizmet kuruluşu denetçisinin, bir hizmet kuruluşundaki kontrollere yönelik güvence denetimini yürütürken GDS 3000’e ve bu günvence denetimi standardına uygunluk sağlaması gerekir. Bu GDS, GDS 3000’i tamamlayıcı nitelikte olmakla birlikte GDS 3000’in yerine geçmez ve bir hizmet kuruluşundaki kontrollere ilişkin rapor verilmesine yönelik bir makul güvence denetiminde GDS 3000’in nasıl uygulanacağını ayrıntılarıyla açıklar.
6. GDS 3000’e uygunluk, diğer hususların yanı sıra denetçinin Kurum tarafından yayımlanan Bağımsız Denetçiler için Etik Kuralların (Etik Kurallar) güvence denetimleriyle ilgili hükümlerine veya en az Etik Kurallarda öngörülen yükümlülükleri karşılayacak muhtevadaki diğer düzenlemelere uymasını gerektirir.[5] Aynı zamanda denetçinin KKS 1[6]’i veya en az KKS 1’de öngörülen yükümlülükleri karşılayacak muhtevadaki diğer mevzuat hükümlerini uygulayan, denetim şirketinin (Denetim şirketi tanımı tek başına faaliyet gösteren bir bağımsız denetçiyi de içerir.) bir üyesi olmasını

Yürürlük Tarihi
7. Bu GDS, yayımlandığı tarihte yürülüğe girer.

Amaçlar
8. Hizmet kuruluşu denetçisinin amaçları:
(a) Uygun kıstaslara dayanarak, tüm önemli yönleriyle, aşağıdaki hususlara ilişkin makul bir güvence elde etmektir:
(i) Hizmet kuruluşunun sistem tanımının, belirlenen dönem boyunca (veya 1 inci tip raporun söz konusu olması durumunda belirlenen tarihte) tasarlandığı ve uygulandığı şekilde sistemi gerçeğe uygun bir biçimde sunup sunmadığı,
(ii) Hizmet kuruluşunun sistem tanımında belirtilen kontrol amaçlarıyla ilgili kontrollerin, belirlenen dönem boyunca (veya 1 inci tip raporun söz konusu olması durumunda belirlenen tarihte) uygun bir şekilde tasarlanmış olup olmadığı,
(iii) Denetimin kapsamına dâhil edilmiş olması durumunda, belirlenen dönem boyunca hizmet kuruluşunun sistem tanımında belirtilen kontrol amaçlarına ulaşıldığına ilişkin makul bir güvence sağlamak için kontrollerin etkin şekilde işleyip işlemediği.
(b) Hizmet kuruluşu denetçisinin bulguları çerçevesinde (a) maddesindeki hususları raporlamaktır.

Tanımlar
9. Aşağıdaki terimler bu GDS’de, karşılarında belirtilen anlamlarıyla kullanılmıştır:
(a) Alt hizmet kuruluşu: Hizmet alan işletmelere, finansal raporlamaya ilişkin olduğu için hizmet alan işletmelerin iç kontrolüyle ilgili olma ihtimali bulunan hizmetlerden bazılarını sağlamak amacıyla başka bir hizmet kuruluşu tarafından kullanılan hizmet kuruluşudur.
(b) Alt hizmet kuruluşundaki kontroller: Bir kontrol amacına ulaşılmasına ilişkin makul güvence sağlamaya yönelik olan alt hizmet kuruluşundaki kontrollerdir.
(c) Bir hizmet kuruluşundaki kontrollerin tanımına ve tasarımına ilişkin rapor (bu GDS’ de 1 inci tip rapor olarak kullanılır) : Aşağıdakileri içeren bir rapor;
(i) Hizmet kuruluşunun sistem tanımı,
(ii) Uygun kıstaslara dayanarak, tüm önemli yönleriyle, hizmet kuruluşu tarafından sunulan:
a. Tanımın, belirlenen bir tarihte tasarlandığı ve uygulandığı şekilde hizmet kuruluşunun sistemini gerçeğe uygun bir biçimde sunduğuna,
b. Hizmet kuruluşunun sistem tanımında belirtilen kontrol amaçlarıyla ilgili olan kontrollerin, belirlenen tarihte uygun bir şekilde tasarlanmış olduğuna ilişkin yazılı bir beyan,
(iii) Bir hizmet kuruluşu denetçisinin, (ii)a-b’de yer alan hususlarla ilgili bir makul güvence veren güvence raporu.
(ç) Bir hizmet kuruluşundaki kontrollerin tanımı, tasarımı ve işleyiş etkinliğine ilişkin rapor (bu GDS’de 2 nci tip rapor olarak kullanılır): Aşağıdakileri içeren bir rapor;
(i) Hizmet kuruluşunun sistem tanımı,
(ii) Uygun kıstaslara dayanarak, tüm önemli yönleriyle hizmet kuruluşu tarafından sunulan:
a. Tanımın, belirlenen dönem boyunca tasarlandığı ve uygulandığı şekilde hizmet kuruluşunun sistemini gerçeğe uygun bir biçimde sunduğuna,
b. Hizmet kuruluşunun sistem tanımında belirtilen kontrol amaçlarıyla ilgili olan kontrollerin, belirlenen dönem boyunca bir uygun şekilde tasarlanmış olduğuna,
c. Hizmet kuruluşunun sistem tanımında belirtilen kontrol amaçlarıyla ilgili olan kontrollerin belirlenen dönem boyunca etkin şekilde işlemiş olduğuna ilişkin yazılı bir beyan,
(iii) Bir hizmet kuruluşu denetçisinin:
a. (ii)a-c’de yer alan konularla ilgili bir makul güvence veren ve
b. Kontrol testleri ve bunların sonuçlarına ilişkin bir tanımı – açıklamayı- içeren güvence raporu.
(d) Daraltılmış yöntem: Bir alt hizmet kuruluşu tarafından sunulan hizmetlerin ele alınma yöntemidir. Bu yöntemde hizmet kuruluşunun sistem tanımı, alt hizmet kuruluşu tarafından sunulan hizmetlerin niteliğini içerir; ancak alt hizmet kuruluşunun ilgili kontrol amaçları ve ilgili kontrolleri, hizmet kuruluşunun sistem tanımının ve hizmet kuruluşu denetçisince yürütülen denetimin kapsamında yer almaz. Hizmet kuruluşunun sistem tanımı ve hizmet kuruluşu denetçisinin yürüttüğü denetimin kapsamı, alt hizmet kuruluşundaki kontrollerin etkinliğinin izlenmesi amacıyla hizmet kuruluşunda uygulanan kontrolleri (bu kontroller, alt hizmet kuruluşundaki kontrollere ilişkin güvence raporunun, hizmet kuruluşu tarafından gözden geçirilmesini kapsayabilir) içerir.
(e) Hizmet alan işletme denetçisi: Hizmet alan bir işletmenin finansal tablolarını denetleyen ve finansal tablolarına yönelik rapor hazırlayan denetçidir.[7]
(f) Hizmet alan işletme: Bir hizmet kuruluşu kullanan işletmedir.
(g) Hizmet alan işletmenin tamamlayıcı kontrolleri: Hizmet kuruluşunun, hizmetini tasarlarken, hizmet alan işletmeler tarafından uygulanacağını varsaydığı ve hizmet kuruluşunun sistem tanımında belirtilen kontrol amaçlarına ulaşmak için gerekli ise, hizmet kuruluşunun sistem tanımında belirlenmiş kontrollerdir.
(ğ) Hizmet kuruluşu denetçisi: Bir hizmet kuruluşunun talebi üzerine, hizmet kuruluşunun kontrollerine ilişkin güvence raporu veren denetçidir.
(h) Hizmet kuruluşu: Finansal raporlamaya ilişkin olduğu için hizmet alan işletmelerin iç kontrolüyle ilgili olma ihtimali bulunan hizmetleri, bu işletmelere sunan üçüncü taraf kuruluştur (veya üçüncü tarafın bir bölümüdür).
(ı) Hizmet kuruluşundaki kontroller: Hizmet kuruluşu denetçisinin güvence raporu kapsamında yer alan bir kontrol amacına ulaşılmasına yönelik kontrollerdir (Bakınız: A3 paragrafı).
(i) Hizmet kuruluşunun beyanı: 9(ç)(ii) (veya -1 inci tip raporun söz konu olması durumunda- 9(c)(ii)) paragrafında belirtilen hususlarla ilgili yazılı beyandır.;
(j) Hizmet kuruluşunun sistemi: Hizmet kuruluşu denetçisinin güvence raporunda kapsanan hizmetleri, hizmet alan işletmelere sağlamak için hizmet kuruluşunca tasarlanan ve uygulanan politika ve prosedürlerdir. Hizmet kuruluşunun sistem tanımı aşağıdakilerin belirlenmesini içerir
– Kapsadığı hizmetler,
– Tanımın ilgili olduğu dönem veya -1 inci tip raporun söz konusu olması durumunda- tarih,
– Kontrol amaçları ve
– İlgili kontroller.
(k) İç denetçiler: İç denetim fonksiyonunun faaliyetlerini yürüten kişilerdir. İç denetçiler, bir iç denetim birimine veya eşdeğer bir fonksiyona dâhil olabilirler.
(l) İç denetim fonksiyonu: İşletmenin kurumsal yönetim, risk yönetimi ve iç kontrol süreçlerinin etkinliğini değerlendirmek ve iyileştirmek amacıyla tasarlanan güvence ve danışmanlık faaliyetlerini yürüten fonksiyondur.
(m) Kapsamlı yöntem: Bir alt hizmet kuruluşu tarafından sunulan hizmetlerin ele alınma yöntemidir. Bu yöntemde hizmet kuruluşunun sistem tanımı, alt hizmet kuruluşu tarafından sunulan hizmetlerin niteliğini içerir ve alt hizmet kuruluşunun ilgili kontrol amaçları ve ilgili kontrolleri, hizmet kuruluşunun sistem tanımının ve hizmet kuruluşu denetçisinin yürüttüğü denetimin kapsamında yer alır (Bakınız: A4 paragrafı).
(n) Kıstaslar: Dayanak denetim konusunun değerlendirilmesi ve ölçülmesi için kullanılan kıyaslama noktalarıdır. “Geçerli kıstaslar” ilgili denetim için kullanılan kıstaslardır.
(o) Kontrol amacı: Kontrollerin belirli bir yönüne ilişkin bir amaç veya hedeftir. Kontrol amaçları, kontrollerin azaltmaya çalıştığı risklerle ilgilidir.
(ö) Kontrol testi: Hizmet kuruluşunun sistem tanımında belirtilen kontrol amaçlarına ulaşılmasına yönelik kontrollerin işleyiş etkinliğini değerlendirmek üzere tasarlanmış prosedürdür.

Ana Hükümler
GDS 3000
10. Hizmet kuruluşu denetçisi, bu GDS’ de ve GDS 3000’de yer alan hükümlere uymadığı sürece, bu GDS’ ye uygunluk sağlamış olmaz.

Etik Hükümler
11. Hizmet kuruluşu denetçisi, Kurum tarafından yayımlanan Bağımsız Denetçiler için Etik Kuralların (Etik Kurallar) güvence denetimleriyle ilgili hükümlerine veya asgari olarak Etik Kurallarda öngörülen yükümlülükleri karşılayacak muhtevadaki diğer düzenlemelere uyması gerekir (Bakınız: A5 paragrafı).

Yönetim ve Üst Yönetimden Sorumlu Olanlar
12. Bu GDS’nin hizmet kuruluşu denetçisine; hizmet kuruluşundan bilgi edinme – sorgulama-, bu kuruluştan açıklamalar talep etme, bu kuruluşla karşılıklı iletişim kurma veya başka bir şekilde bu kuruluşla iletişime geçme yükümlülüğü getirmesi durumunda hizmet kuruluşu denetçisi, hizmet kuruluşunun yönetiminden veya üst yönetiminden iletişim kurulacak uygun kişiyi (kişileri) belirler. Bu durum, ilgili hususlardan kimlerin sorumlu olduğunun ve kimlerin ele alınan hususlar hakkında bilgi sahibi olduğunun değerlendirilmesini içerir (Bakınız: A6 paragrafı).

Denetim Sözleşmesinin Kabulü ve Devam Ettirilmesi
13. Hizmet kuruluşu denetçisi, denetim sözleşmesini kabul etmeye veya devam ettirmeye karar vermeden önce;
(a) Aşağıdaki hususları belirler:
(i) Hizmet kuruluşu denetçisinin denetimi yürütecek kabiliyet ve yeterliliğe sahip olup olmadığını (Bakınız: A7 paragrafı),
(ii) Denetçinin, sistem tanımını hazırlamak için hizmet kuruluşunun uygulamasını beklediği kıstasların, hizmet alan işletmeler ve bunların denetçileri için uygun olup olmadığını ve erişilebilir olup olmayacağını,
(iii) Denetim kapsamının ve hizmet kuruluşunun sistem tanımının, hizmet alan işletmeler ve bunların denetçileri için faydasız olabilecek şekilde sınırlı olup olmadığı.
(b) Aşağıdaki sorumluluklarını anladığına ve üstlendiğine dair hizmet kuruluşunun mutabakatını alır:
(i) Sistem tanımının ve beyanın tamlığı, doğruluğu ve hazırlanma yöntemi dâhil sistem tanımını ve buna ilişkin hizmet kuruluşunun beyanını hazırlama sorumluluğu (Bakınız: A8 paragrafı),
(ii) Hizmet kuruluşunun sistem tanımına ilişkin bu kuruluş beyanının makul bir dayanağa sahip olduğuna ilişkin sorumluluğu (Bakınız: A9 paragrafı) ile sistem tanımını hazırlamak için kullandığı kıstasları hizmet kuruluşunun beyanında açıklama sorumluluğu,
(iii) Sistem tanımında aşağıdaki hususların belirtilmesi sorumluluğu:
a. Kontrol amaçları ve
b. Kontrol amaçlarının mevzuat veya bir başka tarafça (bir kullanıcı grubu veya meslek kuruluşu gibi) belirlenmesi durumunda, bu kontrol amaçlarını belirleyen taraflar.
(iv) Hizmet kuruluşunun sistem tanımında belirtilen kontrol amaçlarına ulaşılmasını tehdit eden risklerin belirlenmesi sorumluluğu ve bu risklerin sistem tanımında belirtilen kontrol amaçlarına ulaşılmasını engellemeyeceğine ve dolayısıyla belirtilen kontrol amaçlarına ulaşılacağına ilişkin makul bir güvence sağlayan kontrollerin tasarlaması ve uygulanması sorumluluğu (Bakınız: A10 paragrafı),
(v) Hizmet kuruluşu denetçisine:
a. Hizmet kuruluşunun sistem tanımıyla ve bu tanıma ilişkin hizmet kuruluşunun beyanıyla ilgili -hizmet seviyesi anlaşmaları da dâhil, kayıtlar, dokümantasyon ve diğer hususlar gibi- tüm bilgilere erişim imkânı sağlama sorumluluğu,
b. Yürütülen güvence denetimiyle ilgili olarak hizmet kuruluşu denetçisinin, hizmet kuruluşundan talep edebileceği ilâve bilgileri sağlama sorumluluğu,
c. Kanıtların elde edilmesi için hizmet kuruluşu içinde gerekli görülen kişilerle kısıtlama olmaksızın görüşme imkânı sağlama sorumluluğu.
Denetim Sözleşmesinin Şartlarındaki Bir Değişikliğin Kabulü
14. Hizmet kuruluşunun, denetim tamamlanmadan önce denetimin kapsamında bir değişiklik talep etmesi durumunda, hizmet kuruluşu denetçisi değişiklikle ilgili makul bir gerekçenin bulunduğundan emin olur (Bakınız: A11-A12 paragrafları).

Kıstasların Uygunluğuna Karar Verilmesi
15. Hizmet kuruluşu denetçisi, kontrollerin uygun şekilde tasarlanıp tasarlanmadığı ile -2 nci tip rapor söz konusu olduğunda- kontrollerin etkin şekilde işleyip işlemediğini değerlendirirken ve hizmet kuruluşunun sistem tanımını hazırlarken uygun kıstaslar kullanıp kullanmadığına karar verir.
16. Hizmet kuruluşu denetçisi, hizmet kuruluşunun sistem tanımını değerlendirmek için kıstasların uygunluğuna karar verirken, kıstasların asgari olarak aşağıdaki unsurları içerip içermediğini tespit eder:
(a) Tanımın, -uygun hâllerde- aşağıdaki hususlar da dâhil, hizmet kuruluşunun sisteminin ne şekilde tasarlandığını ve uygulandığını açıklayıp açıklamadığı;
(i) Uygun hâllerde yürütülen işlemlerin sınıfları –işlem sınıfları- da dâhil sunulan hizmet türleri,
(ii) Uygun hâllerde işlemlerin başlatılmasında, kaydedilmesinde, yürütülmesinde, gerektiğinde düzeltilmesinde ve raporlara ve hizmet alan işletmeler için hazırlanan diğer bilgilere aktarılmasında kullanılan prosedürler dâhil, hizmetlerin sağlanmasında kullanılan bilgi teknolojileri ve manuel sistemlerdeki prosedürler,
(iii) Uygun hâllerde işlemlerin başlatılmasında, kaydedilmesinde, yürütülmesinde ve raporlanmasında kullanılan belirli/özel hesaplar, muhasebe kayıtları, destekleyici bilgiler dâhil ilgili kayıtlar ve destekleyici bilgiler. Bu husus, yanlış bilgilerin düzeltilmesini ve bilginin raporlara ve hizmet alan işletmeler için hazırlanan diğer bilgilere nasıl aktarıldığını da içerir.
(iv) Hizmet kuruluşunun sisteminin, işlemlerin dışındaki önemli olayları ve durumları ne şekilde ele aldığı,
(v) Raporların ve hizmet alan işletmeler için hazırlanan diğer bilgilerin hazırlanması için kullanılan süreç,
(vi) Belirlenen kontrol amaçları ve bu amaçlara ulaşmak için tasarlanan kontroller,
(vii) Kontrollerin tasarlanmasında öngörülen, hizmet alan işletmenin tamamlayıcı kontrolleri ve
(viii) Sağlanan hizmetlerle ilgili olan; hizmet kuruluşunun kontrol çevresinin, risk değerlendirme sürecinin, bilgi sistemi (ilgili iş süreçleri dâhil) ve iletişiminin, kontrol faaliyetlerinin ve izleme kontrollerinin diğer yönleri.
(b) 2 nci tip raporun söz konusu olması durumunda tanımın, kapsadığı dönem boyunca hizmet kuruluşunun sisteminde meydana gelen değişikliklerin ilgili detaylarını içerip içermediği.
(c) Tanımın -çok sayıda hizmet alan işletmenin ve onların denetçilerinin ortak ihtiyaçlarını karşılamak üzere hazırlandığı ve dolayısıyla her bir hizmet alan işletme ve onun denetçisinin kendi özel çevresi açısından önemli olabileceğini düşündüğü hizmet kuruluşu sisteminin her yönünü kapsamayabileceği kabul etmekle birlikte- tanımlanan hizmet kuruluşu sisteminin kapsamıyla ilgili olan bilgileri içerip içermediği –eksik gösterip göstermediği- veya bu bilgileri çarpıtıp çarpıtmadığı.
17. Hizmet kuruluşu denetçisi, kontrollerin tasarımını değerlendirmek üzere kıstasların uygunluğuna karar verirken, kıstasların asgari olarak aşağıdaki hususları kapsayıp kapsamadığına karar verir:
(a) Hizmet kuruluşunun, sistem tanımında belirtilen kontrol amaçlarına ulaşılmasını tehdit eden riskleri belirleyip belirlemediği ve
(b) Tanımda belirlenen kontrollerin -tanımlandıkları şekilde işlerler ise- bu risklerin belirtilen kontrol amaçlarına ulaşılmasını engellemeyeceğine ilişkin makul güvence sağlayıp sağlayamayacağı.
18. Tanımda belirtilen kontrol amaçlarına ulaşılacağına ilişkin makul bir güvence sağlamasında kontrollerin işleyiş etkinliğini değerlendirmek üzere kıstasların uygunluğuna karar verirken hizmet kuruluşu denetçisi, kıstasların asgari olarak, kontrollerin belirlenen dönem boyunca tasarlanan şekilde tutarlı bir şekilde uygulanıp uygulanmadığına karar verir. Bu karar, manuel kontrollerin uygun yeterlik ve yetkiye sahip kişiler tarafından uygulanıp uygulanmadığı hususunu içerir (Bakınız: A13–A15 paragrafları).

Önemlilik
19. Hizmet kuruluşu denetçisi denetimi planlarken ve yürütürken; tanımın gerçeğe uygun sunumu, kontrollerin tasarımının uygunluğu ve -2 nci tip raporun söz konusu olması durumunda- kontrollerin işleyiş etkinliği açısından önemliliği mütalaa eder (Bakınız: A16-A18 paragrafları).

Hizmet Kuruluşunun Sistemi Hakkında Bilgi Elde Edilmesi
20. Hizmet kuruluşu denetçisi, denetim kapsamında yer alan kontroller de dâhil olmak üzere hizmet kuruluşunun sistemi hakkında bilgi -anlayış- edinir (Bakınız: A19-A20 paragrafı).

Tanımla İlgili Kanıt Elde Edilmesi
21. Hizmet kuruluşu denetçisi, hizmet kuruluşunun sistem tanımını temin eder; bu tanımı inceler ve aşağıdaki hususlar da dâhil, tanımın denetimin kapsamında yer alan yönlerinin gerçeğe uygun bir biçimde sunulup sunulmadığını değerlendirir (Bakınız: A21-A22 paragrafı):
(a) Hizmet kuruluşunun sistem tanımında belirtilen kontrol amaçlarının, içinde bulunulan şartlar altında makul olup olmadığı (Bakınız: A23 paragrafı),
(b) Bu tanımda belirtilen kontrollerin uygulanmış olup olmadığı,
(c) -Varsa- hizmet alan işletmenin tamamlayıcı kontrollerinin yeterli bir şekilde tanımlanıp tanımlanmadığı ve
(ç) -Varsa- bir alt hizmet kuruluşu tarafından sağlanan hizmetlerin yeterli şekilde tanımlanıp tanımlanmadığı (bunlarla ilgili olarak kapsamlı yöntemin veya daraltılmış yöntemin kullanılıp kullanılmadığı da dâhil).
22. Hizmet kuruluşu denetçisi, sorgulama ile birlikte diğer prosedürleri uygulayarak, hizmet kuruluşu sisteminin uygulanıp uygulanmadığına karar verir. Hizmet kuruluşunun sistemin nasıl işlediği ve kontrollerinin nasıl uygulandığıyla ilgili olarak söz konusu diğer prosedürler, gözlem ile kayıtların ve diğer belgelerin tetkik edilmesini de içerir (Bakınız: A24 paragrafı).

Kontrollerin Tasarımıyla İlgili Kanıt Elde Edilmesi
23. Hizmet kuruluşu denetçisi, hizmet kuruluşundaki hangi kontrollerin hizmet kuruluşunun hizmet tanımında belirtilen kontrol amaçlarına ulaşılması için gerekli olduğuna karar verir ve bu kontrollerin uygun şekilde tasarlanıp tasarlanmadığını değerlendirir. Bu karar aşağıdaki hususları içerir (Bakınız: A25-A27 paragrafı):
(a) Hizmet kuruluşunun sistem tanımında belirtilen kontrol amaçlarına ulaşılmasını tehdit eden risklerin belirlenmesi ve
(b) Hizmet kuruluşunun sistem tanımında belirlenen kontrollerin bu risklerle olan bağlantısının değerlendirilmesi.

Kontrollerin İşleyiş Etkinliğiyle İlgili Kanıt Elde Edilmesi
24. 2 nci tip rapor sunulurken hizmet kuruluşu denetçisi, hizmet kuruluşunun sistem tanımında belirtilen kontrol amaçlarına ulaşmak için gerekli olduğuna karar verdiği kontrolleri test eder ve bunların dönem boyunca işleyiş etkinliğini değerlendirir. Kontrollerin önceki dönemlerde tatmin edici şekilde işlediğine ilişkin önceki denetimlerde elde edilen kanıtlar, cari dönemde elde edilen kanıtlarla desteklenseler dahi, bu durum testin kapsamının daraltılması için bir dayanak oluşturmaz (Bakınız: A28–A32 paragrafları).
25. Hizmet kuruluşu denetçisi kontrol testlerini tasarlarken ve uygularken:
(a) Aşağıdakiler hakkında kanıt elde etmek için sorgulamayla birlikte diğer prosedürleri uygular:
(i) Kontrolün nasıl uygulandığı,
(ii) Kontrolün uygulanmasındaki tutarlılık ve
(iii) Kontrolün kim tarafından veya hangi vasıtalar kullanılarak uygulandığı,
(b) Test edilecek kontrollerin diğer kontrollere (dolaylı kontrollere) bağlı olup olmadığına, diğer kontrollere bağlı olması durumunda ise, söz konusu dolaylı kontrollerin etkin şekilde işlediklerini destekleyen kanıt elde etmenin gerekip gerekmediğine karar verir (Bakınız: A33-A34 paragrafları) ve
(c) İlgili prosedürün amaçlarına ulaşmasında etkili olan, test edilecek kalemleri seçme yöntemlerine karar verir (Bakınız: A35-A36 paragrafları).
26. Hizmet kuruluşu denetçisi, kontrol testlerinin kapsamını belirlerken, kontrollerin niteliği, uygulanma sıklığı (aylık, günlük, günde birkaç kez gibi) ve beklenen sapma oranı da dâhil olmak üzere, test edilecek anakitlenin özelliklerine ilişkin hususları mütalaa eder.
Örnekleme
27. Hizmet kuruluşu denetçisi, örnekleme kullanırken (Bakınız: A35-A36 paragrafları):
(a) Örneklemi tasarlarken, ilgili prosedürün amacını ve örneklemin seçileceği anakitlenin özelliklerini mütalaa eder,
(b) Örnekleme riskini kabul edilebilir düşük bir seviyeye indirmeye yetecek bir örneklem büyüklüğüne karar verir,
(c) Örneklemde yer alacak kalemleri, anakitledeki her bir örnekleme biriminin seçilme ihtimali olacak şekilde seçer,
(ç) Tasarlanan bir prosedürün seçilen kaleme uygulanamaması durumunda, prosedürü bu kalemin yerini alan başka bir kalem üzerinde uygular; ve
(d) Tasarlanmış prosedürlerin veya uygun olan alternatif prosedürlerin seçilen bir kalem üzerinde uygulanamaması durumunda, söz konusu kalemi bir sapma olarak kabul eder.
Sapmaların Niteliği ve Sebebi
28. Hizmet kuruluşu denetçisi belirlenen herhangi bir sapmanın niteliğini ve sebebini araştırır ve aşağıdakilere tespit eder:
(a) Belirlenen sapmaların beklenen sapma oranı içerisinde bulunup bulunmadığı ve bu sapmaların kabul edilebilir olup olmadığı; dolayısıyla uygulanan testin, belirlenen dönem boyunca kontrolün etkin şekilde işlediği sonucuna varmak için uygun bir dayanak sağlayıp sağlamadığı,
(b) Belli bir kontrol amacına yönelik kontrollerin, belirlenen dönem boyunca etkin şekilde işleyip işlemediğine dair bir sonuca ulaşmak için kontrolün veya diğer kontrollerin ilâve olarak test edilmesinin gerekli olup olmadığı (Bakınız: A25 paragrafı) veya
(c) Uygulanan testin, kontrolün belirlenen süre boyunca etkin şekilde işlemediği sonucuna varmak için uygun bir dayanak sağlayıp sağlamadığı.
29. Hizmet kuruluşu denetçisinin, örneklemde tespit edilen bir sapmayı anomali (aykırılık) olarak değerlendirdiği ve ilgili kontrol amacının belirlenen dönem boyunca etkin şekilde işlediğine dair denetçinin bir sonuca ulaşmasını sağlayacak diğer kontrollerin belirlenmediği çok ender durumlarda, söz konusu sapmanın anakitleyi temsil etmediğine dair kesinlik derecesi yüksek bir kanaate sahip olması gerekir. Hizmet kuruluşu denetçisi, söz konusu sapmanın anakitlenin geriye kalan kısmını etkilemediği konusunda yeterli ve uygun kanıt elde etmek için ilâve prosedürler uygulayarak bu tür bir kanaate sahip olur.

İç Denetim Fonksiyonunun Çalışması[8]
İç Denetim Fonksiyonu Hakkında Bilgi Elde Edilmesi
30. Hizmet kuruluşunun bir iç denetim fonksiyonuna sahip olması durumunda hizmet kuruluşu denetçisi, iç denetim fonksiyonunun denetimle ilgili olma ihtimalinin bulunup bulunmadığına karar vermek amacıyla, iç denetim fonksiyonunun sorumluluklarının ve yürüttüğü faaliyetlerin niteliği hakkında bilgi -anlayış- edinir (Bakınız: A37 paragrafı).
İç Denetçilerin Çalışmasının Kullanılıp Kullanılamayacağına ve Ne Düzeyde Kullanılabileceğine Karar Verilmesi
31. Hizmet kuruluşu denetçisi:
(a) İç denetçilerin çalışmasının, denetimin amaçları açısından yeterli olup olmadığına ve
(b) Yeterli olarak değerlendirmesi halinde, iç denetçilerin çalışmasının, hizmet kuruluşu denetçisinin uyguladığı prosedürlerin niteliği, zamanlaması ve kapsamı üzerindeki planlanan etkisine karar verir.
32. Hizmet kuruluşu denetçisi, iç denetçilerin çalışmasının, denetimin amaçları açısından yeterli olup olmadığına karar verirken aşağıdakileri değerlendirir:
(a) İç denetim fonksiyonunun tarafsızlığı,
(b) İç denetçilerin teknik yeterliği,
(c) İç denetçilerin çalışmasının mesleki özen çerçevesinde yerine getirilip getirilmediği ve
(ç) İç denetçiler ile hizmet kuruluşu denetçisi arasında etkili bir iletişim sağlanıp sağlanmadığı.
33. Hizmet kuruluşu denetçisi, iç denetçilerin çalışmalarının, uyguladığı prosedürlerin niteliği, zamanlaması ve kapsamı üzerindeki planlanan etkisine karar verirken aşağıdakileri mütalaa eder (Bakınız: A38 paragrafı):
(a) İç denetçiler tarafından yürütülen veya yürütülecek çalışmanın niteliği ve kapsamı,
(b) Hizmet kuruluşu denetçisinin ulaşacağı sonuçlar açısından bu çalışmanın önemi ve
(c) Bu sonuçların desteklenmesi için elde edilen kanıtlara ilişkin değerlendirmede yer alan subjektiflik derecesi.
İç Denetim Fonksiyonu Çalışmasının Kullanılması
34. İç denetçilerin belirli bir çalışmasından faydalanabilmesi için, hizmet kuruluşu denetçisinin bu çalışmanın kendi amaçları açısından yeterliliğini söz konusu çalışmaya prosedürler uygulayarak değerlendirmesi gerekir (Bakınız: A39 paragrafı).
35. Hizmet kuruluşu denetçisi, iç denetçiler tarafından yapılan belirli bir çalışmanın kendi amaçları açısından yeterli olup olmadığına karar vermek için aşağıdakileri değerlendirir:
(a) İç denetçi çalışmasının yeterli teknik eğitime ve uzmanlığa sahip iç denetçiler tarafından yapılıp yapılmadığı,
(b) Çalışmanın doğru bir şekilde yönlendirilmiş/gözetilmiş, gözden geçirilmiş ve belgelendirilmiş olup olmadığı,
(c) İç denetçilerin makul sonuçlara ulaşmasına imkân veren yeterli kanıtın elde edilip edilmediği,
(ç) İçinde bulunulan şartlar altında ulaşılan sonuçların uygun olup olmadığı ve iç denetçiler tarafından hazırlanan raporların, yapılan çalışmanın sonuçları ile tutarlı olup olmadığı ve
(d) Denetimle ilgili istisnaların veya iç denetçiler tarafından açıklanan beklenmedik durumların uygun şekilde çözülüp çözülmediği.
Hizmet Kuruluşu Denetçisi Tarafından Sunulan Güvence Raporu Üzerindeki Etkisi
36. İç denetim fonksiyonunun çalışmasından faydalanılması durumunda hizmet kuruluşu denetçisi, güvence raporunun görüşünü içeren bölümünde bu çalışmaya atıfta bulunmaz (Bakınız: A40 paragrafı).
37. 2 nci tip rapor söz konusu olduğunda, kontrol testleri uygulanırken iç denetim fonksiyonunun çalışmasından faydalanılmış ise, hizmet kuruluşu denetçisine ait güvence raporunun, kontrol testlerini ve bunların sonuçlarını açıklayan bölümünde, iç denetçinin çalışmasına ve hizmet kuruluşu denetçisinin bu çalışmaya yönelik uyguladığı prosedürlere ilişkin bir tanım yer alır (Bakınız: A41 paragrafı).

Yazılı Açıklamalar
38. Hizmet kuruluşu denetçisi, hizmet kuruluşundan aşağıdakilere ilişkin yazılı açıklamalar talep eder (Bakınız: A42 paragrafı):
(a) Sistem tanımına ilişkin beyanı tekrar teyit etmesi,
(b) Hizmet kuruluşunun, hizmet kuruluşu denetçisine tüm ilgili bilgiler ile üzerinde mutabakat sağlanan erişimleri[9] sağlaması ve
(c) Hizmet kuruluşunun haberdar olduğu aşağıdaki hususların hizmet kuruluşu denetçisine açıklandığı:
(i) Bir veya daha fazla hizmet alan işletmeyi etkileyebilecek olan ve hizmet kuruluşuyla ilişkilendirilebilen düzeltilmemiş sapmalar, hile veya mevzuata aykırılıklar,
(ii) Kontrollerin tasarımındaki eksiklikler,
(iii) Kontrollerin tanımlanan şekilde işlemediği durumlar; ve
(iv) Hizmet kuruluşu denetçisinin güvence raporunda önemli bir etkiye sahip olabilecek, hizmet kuruluşunun sistem tanımının kapsadığı dönemden sonra meydana gelen ve hizmet kuruluşu denetçisinin güvence raporu tarihine kadar gerçekleşmiş olan olaylar.
39. Yazılı açıklamalar, denetçiye hitaben yazılmış bir açıklama mektubu şeklindedir. Yazılı açıklamaların tarihi, hizmet kuruluşu denetçisinin güvence raporu tarihinden sonra olmamakla birlikte bu tarihe mümkün olan en yakın tarihtir.
40. Hizmet kuruluşunun, konuyu hizmet kuruluşu denetçisiyle müzakere ettikten sonra bu GDS’nin 38(a) ve (b) paragrafları uyarınca talep edilen yazılı açıklamalardan bir veya daha fazlasını sunmaması durumunda hizmet kuruluşu denetçisi görüş vermekten kaçınır (Bakınız: A43 paragrafı).

Diğer Bilgiler
41. Hizmet kuruluşu denetçisi, hizmet kuruluşunun sistem tanımı ve hizmet kuruluşu denetçisinin güvence raporunu içeren bir dokümanda yer alan -varsa- diğer bilgileri, tanımla arasındaki -varsa- önemli tutarsızlıkları belirlemek amacıyla inceler. Hizmet kuruluşu denetçisi, önemli tutarsızlıkları belirlemek amacıyla diğer bilgileri incelerken açıkça yanlış olan bir izahı fark edebilir.
42. Hizmet kuruluşu denetçisi, diğer bilgilerde yer alan önemli bir tutarsızlığı belirlemesi veya açıkça yanlış olan bir izahtan haberdar olması durumunda, bu konuyu hizmet kuruluşuyla müzakere eder. Hizmet kuruluşu denetçisi, diğer bilgilerde hizmet kuruluşunun düzeltmeyi kabul etmediği (reddettiği) önemli bir tutarsızlığın veya yanlış bir izahın bulunduğu sonucuna varması durumunda, uygun ilâve adımları atar (Bakınız: A44-A45 paragrafı).

Sonraki Olaylar
43. Hizmet kuruluşu denetçisi, güvence raporunu değiştirmesine yol açabilecek, hizmet kuruluşunun sistem tanımının kapsadığı dönemden sonra meydana gelen ve hizmet kuruluşu denetçisinin güvence raporu tarihine kadar gerçekleşmiş olan herhangi bir olaydan haberdar olup olmadığı konusunda hizmet kuruluşunu sorgular. Hizmet kuruluşu denetçisinin bu tür bir olaydan haberdar olması ve olayla ilgili bilgilerin hizmet kuruluşu tarafından açıklanmaması durumunda, hizmet kuruluşu denetçisi bu durumu güvence raporunda açıklar.
44. Hizmet kuruluşu denetçisinin, güvence raporu tarihinden sonra, hizmet kuruluşunun sistem tanımı veya kontrollerin tasarımının uygunluğu ya da işleyiş etkinliğiyle ilgili herhangi bir prosedürü uygulama yükümlülüğü bulunmamaktadır.

Belgelendirme
45. Hizmet kuruluşu denetçisi, söz konusu denetimle daha önceden hiçbir bağlantısı bulunmayan tecrübeli bir hizmet kuruluşu denetçisinin aşağıda belirtilen hususları anlayabilmesini sağlayacak şekilde, güvence raporunun dayanağına ilişkin kayıtları gösteren çalışma kâğıtlarını, yeterli ve uygun bir şekilde, zamanında hazırlar:
(a) Bu GDS’ye ve yürürlükteki mevzuat hükümlerine uygunluk sağlamak amacıyla uygulanan prosedürlerin niteliği, zamanlaması ve kapsamı,
(b) Uygulanan prosedürlerin sonuçları ve elde edilen kanıtlar ve
(c) Denetim sırasında ortaya çıkan önemli hususlar, bunlarla ilgili varılan sonuçlar ve bu sonuçlara ulaşırken varılan önemli mesleki yargılar.
46. Hizmet kuruluşu denetçisi, uygulanan denetim prosedürlerinin niteliğini, zamanlamasını ve kapsamını belgelendirirken aşağıdakileri kayıt altına alır:
(a) Test edilen kalemlerin ve hususların belirleyici özellikleri,
(b) Denetim çalışmasını kimin yürüttüğü ve ilgili çalışmanın tamamlandığı tarih; ve
(c) Yürütülen çalışmayı kimin gözden geçirdiği, ilgili gözden geçirmenin tarihi ve kapsamı.
47. Hizmet kuruluşu denetçisi, iç denetçilerin belirli bir çalışmasını kullanması durumunda, iç denetçilerin çalışmasının yeterliliğinin değerlendirilmesiyle ilgili varılan sonuçları ve bu çalışmaya kendisinin uyguladığı prosedürleri belgelendirir.
48. Hizmet kuruluşu denetçisi, önemli hususlara ilişkin olarak hizmet kuruluşu ve diğer taraflarla yapılan müzakereleri; bu hususların niteliğini, müzakerelerin ne zaman ve kiminle yapıldığını belirtmek suretiyle belgelendirir.
49. Önemli bir hususla ilgili olarak vardığı nihai sonuçla tutarlı olmayan bir bilgi tespit etmesi hâlinde hizmet kuruluşu denetçisi, bu tutarsızlığı nasıl ele aldığını belgelendirir.
50. Hizmet kuruluşu denetçisi, çalışma kâğıtlarını bir denetim dosyasında birleştirir ve hizmet kuruluşu denetçisinin güvence raporu tarihinden sonra nihai denetim dosyasının oluşturulmasına ilişkin idari süreci zamanında tamamlar.[10]
51. Çalışma kâğıtlarının nihai denetim dosyasında birleştirilmesi işlemi tamamlandıktan sonra hizmet kuruluşu denetçisi, ne şekilde olursa olsun çalışma kâğıtlarını saklama süresi sona ermeden silemez, atamaz veya yok edemez (Bakınız: A46 paragrafı).
52. Hizmet kuruluşu denetçisi, çalışma kâğıtlarının nihai denetim dosyasında birleştirilmesi işlemi tamamlandıktan sonra mevcut çalışma kâğıtlarında değişiklik yapmayı veya yeni çalışma kâğıtları eklemeyi gerekli görürse ve bu belgelendirme hizmet kuruluşu denetçisinin güvence raporunu etkilemezse, hizmet kuruluşu denetçisi, yapılan değişikliklerin veya eklemelerin niteliğine bakılmaksızın aşağıdaki hususları belgelendirir:
(a) Değişiklik veya ekleme yapılmasının özel sebepleri ve
(b) Değişiklik veya eklemelerin ne zaman ve kim tarafından yapıldığı ve gözden geçirildiği.

Hizmet Kuruluşu Denetçisinin Güvence Raporunu Hazırlaması
Hizmet Kuruluşu Denetçisinin Güvence Raporunun İçeriği
53. Hizmet kuruluşu denetçisinin güvence raporu, asgari olarak aşağıdaki temel unsurları içerir (Bakınız: A47 paragrafı):
(a) Raporun, bağımsız bir hizmet denetçisinin güvence raporu olduğunu açıkça gösteren bir başlık.
(b) Muhatap.
(c) Aşağıdakilere ilişkin açıklama:
(i) Hizmet kuruluşunun sistem tanımı ve 2 nci tip rapor için 9(ç)(ii) paragrafında, 1 inci tip rapor için 9(c)(ii) paragrafında açıklanan hususları içeren hizmet kuruluşunun beyanı.
(ii) -Varsa- hizmet kuruluşunun sistem tanımının, hizmet kuruluşu denetçisinin görüşünün kapsamına girmeyen bölümleri.
(iii) Tanımın, hizmet alan işletmenin tamamlayıcı kontrollerine ihtiyaç duyulduğuna atıfta bulunması durumunda, hizmet kuruluşu denetçisinin hizmet alan işletmenin tamamlayıcı kontrollerinin tasarımının uygunluğunu veya bu kontrollerinin işleyiş etkinliğini değerlendirmediğine ve hizmet kuruluşunun sistem tanımında belirtilen kontrol amaçlarına, hizmet kuruluşundaki diğer kontrollerle birlikte, yalnızca hizmet alan işletmenin tamamlayıcı kontrollerinin uygun şekilde tasarlanması veya etkin işlemesi durumunda ulaşılabileceğine ilişkin bir açıklama.
(iv) Hizmetlerin bir alt hizmet kuruluşu tarafından sağlanması durumunda, hizmet kuruluşunun sistem tanımında açıklandığı üzere alt hizmet kuruluşu tarafından yürütülen faaliyetlerin niteliği ve bunlarla ilgili olarak kapsamlı yöntem veya daraltılmış yöntemden hangisinin kullanıldığı. Daraltılmış yöntemin kullanılması durumunda, hizmet kuruluşunun sistem tanımının, ilgili alt hizmet kuruluşlarındaki kontrol amaçlarını ve ilgili kontrolleri kapsamadığına ve alt hizmet kuruluşundaki kontrollerin, hizmet kuruluşu denetçisinin uyguladığı prosedürlerin kapsamında yer almadığına ilişkin bir açıklama. Kapsamlı yöntemin kullanılması durumunda ise, hizmet kuruluşunun sistem tanımının, ilgili alt hizmet kuruluşlarındaki kontrol amaçlarını ve ilgili kontrolleri kapsadığına ve alt hizmet kuruluşundaki kontrollerin, hizmet kuruluşu denetçisinin uyguladığı prosedürlerin kapsamında yer aldığına ilişkin bir açıklama.
(ç) Geçerli kıstasların tanımlanması ve kontrol amaçlarını belirleyen taraf.
(d) Raporun ve -2 nci tip raporun söz konusu olması durumunda- kontrol testlerine ilişkin tanımın, hizmet alan işletmelerin finansal tablolarına ilişkin önemli yanlışlık risklerinin değerlendirilmesi sırasında diğer bilgilerle (hizmet alan işletmelerin kendileri tarafından uygulanan kontrollerle ilgili bilgiler de dâhil) birlikte bunları değerlendirmek için yeterli bilgiye sahip hizmet alan işletmeler ile bunların denetçileri için hazırlandığını belirten bir açıklama (Bakınız: A48 paragrafı).
(e) Hizmet kuruluşunun aşağıdaki hususlardan sorumluluğu olduğuna dair açıklama:
(i) Hizmet kuruluşunun sistem tanımının ve buna ilişkin beyanın (bu tanım ve beyanın tamlığı, doğruluğu ve hazırlanma yöntemi dâhil) hazırlanması,
(ii) Hizmet kuruluşunun sistem tanımının kapsamına giren hizmetlerin sağlanması,
(iii) Kontrol amaçlarının belirtilmesi (mevzuatın veya bir kullanıcı grubu veya meslek kuruluşu gibi bir başka tarafın kontrol amaçlarını belirlemediği durumlarda); ve
(iv) Hizmet kuruluşunun sistem tanımında belirtilen kontrol amaçlarına ulaşmak için kontrollerin tasarlanması ve uygulanması.
(f) Hizmet kuruluşu denetçisinin sorumluluğunun, uyguladığı prosedürlere dayanarak; hizmet kuruluşunun yaptığı tanım, bu tanımda belirtilen kontrol amaçlarıyla ilgili olan kontrollerin tasarımı ve 2 nci tip raporun söz konusu olması durumunda bu kontrollerin işleyiş etkinliği hakkında görüş vermek olduğunu ifade eden bir açıklama.
(g) Denetçinin şirketinin, KKS 1’i veya en az KKS 1’de öngörülen yükümlülükleri karşılayacak muhtevadaki diğer mevzuat hükümlerini uyguladığına ilişkin bir açıklama.
(ğ) Denetçinin, Kurum tarafından yayımlanan Bağımsız Denetçiler için Etik Kurallar’ın (Etik Kurallar) bağımsızlık ve diğer etik hükümlerine veya asgari olarak Etik Kurallar’da öngörülen yükümlülükleri karşılayacak muhtevadaki diğer mevzuat hükümlerine uyduğuna -uygunluk sağladığına- ilişkin bir açıklama.
(h) Denetimin; hizmet kuruluşu denetçisinin, hizmet kuruluşunun sistem tanımının tüm önemli yönleriyle gerçeğe uygun bir biçimde sunulduğu ve kontrollerin uygun bir şekilde tasarlandığı ve -2 nci tip raporun söz konusu olması durumunda- bu kontrollerin etkin şekilde işlediği konusunda makul bir güvence elde etmek amacıyla prosedürleri planlamasını ve uygulamasını gerekli kılan GDS 3402 “Hizmet Kuruluşundaki Kontrollere İlişkin Güvence Raporları” na uygun olarak yürütüldüğüne ilişkin bir açıklama.
(ı) Makul bir güvence elde edilmesine yönelik hizmet kuruluşu denetçisinin uyguladığı prosedürlerin bir özeti ve elde edilen kanıtların hizmet kuruluşu denetçisinin görüşüne temel oluşturacak şekilde yeterli ve uygun olduğuna ilişkin kanaatini ifade eden bir açıklama ve 1 inci tip raporun söz konusu olması durumunda hizmet kuruluşu denetçisinin kontrollerin işleyiş etkinliğine ilişkin herhangi bir prosedürü uygulamadığını ve dolayısıyla bununla ilgili bir görüş vermediğini ifade eden bir açıklama.
(i) Kontrollerin kısıtlarına ve 2 nci tip raporun söz konusu olması durumunda kontrollerin işleyiş etkinliğiyle ilgili bir değerlendirmenin gelecek dönemlere yansıtılmasının -projeksiyonunun- taşıyacağı riske ilişkin bir açıklama.
(j) Pozitif bir biçimde bildirilen hizmet kuruluşu denetçisinin görüşünün, tüm önemli yönleriyle, uygun kıstaslara dayanarak:
(i) 2 nci tip raporun söz konusu olması durumunda:
a. Tanımın, belirlenen dönem boyunca tasarlandığı ve uygulandığı şekilde hizmet kuruluşunun sistemini, gerçeğe uygun bir biçimde sunup sunmadığı,
b. Hizmet kuruluşunun sistem tanımında belirtilen kontrol amaçlarıyla ilgili kontrollerin belirlenen dönem boyunca uygun şekilde tasarlanmış olup olmadığı ve
c. Tanımda belirtilen kontrol amaçlarına ulaşıldığına ilişkin bir makul bir güvence sağlamak için gerekli olan test edilmiş kontrollerin, belirlenen dönem boyunca etkin şekilde işleyip işlemediği.
(ii) 1 inci tip raporun söz konusu olması durumunda:
a. Tanımın, belirlenen tarihte tasarlandığı ve uygulandığı şekilde hizmet kuruluşunun sistemini gerçeğe uygun bir biçimde sunup sunmadığı ve
b. Hizmet kuruluşunun sistem tanımında belirtilen kontrol amaçlarıyla ilgili kontrollerin belirlenen tarihte uygun bir şekilde tasarlanmış olup olmadığı.
(k) Hizmet kuruluşu denetçisinin görüşünü dayandıracağı yeterli ve uygun kanıtı elde ettiği tarihten daha erken olmamak kaydıyla, denetçinin güvence raporunun tarihi.
(l) Hizmet kuruluşu denetçisinin adı, imzası ve hizmet kuruluşu denetçisinin adresi.
54. 2 nci tip raporun söz konusu olması durumunda, hizmet kuruluşu denetçisinin güvence raporu, görüş bölümünden sonra yer alan ve uygulanan kontrol testlerini ve bu testlerin sonuçlarını açıklayan ayrı bir bölümü veya eki içerir. Hizmet alan işletme denetçilerinin kontrollere ilişkin testlerin kendi risk değerlendirmeleri üzerindeki etkisini tespit edebilmelerini sağlamak amacıyla; hizmet kuruluşu denetçisi kontrol testlerini tanımlarken detaylı olarak hangi kontrollerin test edilmiş olduğunu belirtir, test edilen kalemlerin anakitlede yer alan kalemlerin hepsini mi yoksa seçilen bir kısmını mı temsil ettiğini açıklar ve testlerin niteliğini belirtir. Sapmaların belirlenmiş olması durumunda hizmet kuruluşu denetçisi, sapmaların belirlenmesini sağlayan uyguladığı testlerin kapsamını (örneklemenin kullanılması durumunda örneklem büyüklüğü de dâhil), belirlenen sapmaların sayısını ve niteliğini de raporuna dahil eder. Hizmet kuruluşu denetçisi, uygulanan testlere dayanarak ilgili kontrol amacına ulaşıldığı sonucuna varsa bile sapmaları raporlar (Bakınız: A18 ve A49 paragrafları).
Olumlu Görüş Dışındaki Görüşler
55. Hizmet kuruluşu denetçisinin (Bakınız: A50-A52 paragrafları);
(a) Hizmet kuruluşunun yaptığı tanımın, tasarlandığı ve uygulandığı şekilde sistemi, tüm önemli yönleriyle, gerçeğe uygun bir biçimde sunmadığı,
(b) Tanımda belirtilen kontrol amaçlarıyla ilgili olan kontrollerin, tüm önemli yönleriyle, uygun bir şekilde tasarlanmadığı,
(c) 2 nci tip raporun söz konusu olması durumunda, tanımda belirtilen kontrol amaçlarına ulaşıldığına ilişkin bir makul bir güvence sağlamak için gerekli olan test edilmiş kontrollerin, tüm önemli yönleriyle, etkin şekilde işlemediği; veya
(ç) Hizmet kuruluşu denetçisinin yeterli ve uygun kanıt elde edemediği
sonucuna varması durumunda, hizmet kuruluşu denetçisinin güvence raporu olumlu görüş dışında bir görüş içerir ve hizmet kuruluşu denetçisinin güvence raporunda olumlu görüş dışında görüş verilmesinin tüm nedenlerinin açıkça belirtildiği bir bölüm yer alır.

Diğer Bildirim Sorumlulukları
56. Önemsiz olmadığı açıkça görülen ve bir veya daha fazla hizmet alan işletmeyi etkileyebilecek düzeltilmemiş hataların veya mevzuata aykırılığın, hizmet kuruluşundan kaynaklanan hilenin farkına varması durumunda hizmet kuruluşu denetçisi, söz konusu durumun, bu durumdan etkilenen hizmet alan işletmelere uygun şekilde bildirilip bildirilmediğini tespit eder. Konunun uygun bir şekilde bildirilmemesi ve hizmet kuruluşunun bu bildirimi yapmak istememesi durumunda, hizmet kuruluşu denetçisi uygun adımları atar (Bakınız: A53 paragrafı).

Açıklayıcı Hükümler ve Uygulama

Kapsam (Bakınız: 1, 3 üncü paragraflar)
A1. İç kontrol, finansal raporlamanın güvenilirliği, faaliyetlerin etkinliği ve verimliliği ile ilgili mevzuata uygunluk açısından işletmenin amaçlarına ulaştığına dair makul güvence sağlamak amacıyla tasarlanan bir süreçtir. Bir hizmet kuruluşunun faaliyetleriyle ve uygunluk hedefleriyle ilgili kontroller -finansal raporlamaya ilişkin olduğundan- hizmet alan bir işletmenin iç kontrolüyle ilgili olabilir. Bu tür kontroller; hesap bakiyeleri, işlem sınıfları veya açıklamalarla ilgili sunum ve açıklamaya ilişkin beyanlarla veya hizmet alan işletme denetçisinin denetim prosedürlerini uygularken değerlendirdiği veya kullandığı kanıtlarla ilgili olabilir. Örneğin, bordro işleme hizmeti veren bir hizmet kuruluşunun, ücretlerden yapılan kesintilerin kamu kurumlarına zamanında ödenmesiyle ilgili kontrolleri hizmet alan işletmeyle ilgili olabilir çünkü geç yapılan ödemeler hizmet alan işletme için faiz ödemesine veya para cezasına neden olabilir. Benzer şekilde, yatırım işlemlerinin kabul edilebilirliğine ilişkin bir hizmet kuruluşunun kontrollerinin düzenleyici bir kurum bakış açısıyla, hizmet alan işletmenin finansal tablolarındaki işlemlere ve hesap bakiyelerine ilişkin sunum ve açıklamalarla ilgili olduğu kabul edilebilir. Bir hizmet kuruluşundaki faaliyetlere ve uygunluğa ilişkin kontrollerin -finansal raporlamaya ilişkin olduğu için- hizmet alan bir işletmenin iç kontrolüyle ilgili olabileceğine karar verilmesi, hizmet kuruluşu tarafından oluşturulan kontrol amaçları ve kıstasların uygunluğu dikkate alınarak varılan mesleki muhakemenin -yargının- konusudur.
A2. Hizmet kuruluşunun, hizmet alan bir işletme tarafından tasarlanan veya hizmet alan bir işletme ile hizmet kuruluşu arasında yapılan bir sözleşmede taahhüt edilen bir sistemi uygulaması gibi bir durumda, hizmet kuruluşu sistemin uygun şekilde tasarlandığını beyan edemeyebilir. Kontrollerin uygun şekilde tasarlanması ile bunların işleyiş etkinliği arasındaki kaçınılmaz ilişkiden dolayı, tasarımın uygunluğu konusunda bir beyanın bulunmaması, hizmet kuruluşu denetçisinin, kontrol amaçlarına ulaşıldığına ilişkin makul güvencenin sağlandığına yönelik bir karara varmasına ve böylece kontrollerin işleyiş etkinliğine ilişkin bir görüş vermesine engel olabilir. Alternatif olarak denetçi, kontrol testlerinin uygulanmasına yönelik üzerinde mutabık kalınan prosedürler sözleşmesini kabul etmeyi veya kontrol testlerine dayanarak kontrollerin tanımlanan şekilde işleyip işlemediğine ilişkin bir sonuca varmayı içeren GDS 3000 kapsamında bir güvence denetimini tercih edebilir.

Tanımlar (Bakınız: 9(ı), 9(m) paragrafları)
A3. “Hizmet kuruluşundaki kontroller” tanımı, hizmet alan işletmelerin hizmet kuruluşu tarafından yürütülen bilgi sistemlerinin farklı yönlerini ve bir hizmet kuruluşundaki iç kontrolün bir veya daha fazla bileşeninin farklı yönlerini içerebilir. Örneğin bu tanım; sunulan hizmetlerle ilgili olması durumunda hizmet kuruluşunun kontrol çevresini, izleme ve kontrol faaliyetlerinin ilgili yönlerini de içerebilir. Ancak bu tanım, hizmet kuruluşunun sistem tanımında belirtilen kontrol amaçlarına ulaşılmasıyla ilgili olmayan hizmet kuruluşundaki kontrolleri (örneğin hizmet kuruluşunun kendi finansal tablolarının hazırlanmasıyla ilgili olan kontrolleri) içermez.
A4. Kapsamlı yöntemin kullanılması durumunda, bu GDS’de yer alan hükümler (hizmet kuruluşu yerine alt hizmet kuruluşuna uygulanan, 13(b)(i)-(v) paragraflarındaki hususlarla ilgili mutabakata varılması da dâhil olmak üzere) alt hizmet kuruluşu tarafından sağlanan hizmetlere de uygulanır. Prosedürlerin alt hizmet kuruluşunda uygulanması, hizmet kuruluşu, alt hizmet kuruluşu ve hizmet kuruluşu denetçisi arasında bir koordinasyonu ve iletişimi gerektirir. Kapsamlı yöntem, genellikle, yalnızca hizmet kuruluşu ve alt hizmet kuruluşunun birbiriyle ilişkili olması veya hizmet kuruluşu ile alt hizmet kuruluşu arasındaki sözleşmenin bu yöntemin kullanımını öngörmesi durumunda mümkündür.

Etik Hükümler (Bakınız: 11 inci paragraf)
A5. Hizmet kuruluşu denetçisi Kurum tarafından yayımlanan Etik Kuralların ilgili bağımsızlık hükümlerine ve mevzuatta yer alan daha kısıtlayıcı diğer hükümlere tabidir. Etik Kurallar, bu GDS uyarınca bir denetim yürütülürken hizmet kuruluşu denetçisinin, her bir hizmet alan işletmeden bağımsız olmasını gerektirmez.

Yönetim ve Üst Yönetimden Sorumlu Olanlar (Bakınız: 12 nci paragraf)
A6. Yönetim ve üst yönetim yapıları, farklı kültürel ve hukuki alt yapılar ile işletmenin büyüklüğü ve ortaklık yapısı gibi faktörlere bağlı olarak, ülkelere ve işletmelere göre farklılık gösterir. Bu farklılık, tüm denetimler için hizmet kuruluşu denetçisinin özel konularla ilgili etkileşim içinde bulunacağı kişilerin bu GDS tarafından belirlenmesinin mümkün olmadığı anlamına gelir. Örneğin, hizmet kuruluşunun ayrı bir tüzel kişilik değil de üçüncü tarafın bir bölümü olması gibi durumlarda, yazılı açıklama talep edilecek uygun yönetim personelinin veya üst yönetimden sorumlu olanların belirlenmesi mesleki muhakeme kullanılmasını gerektirebilir.

Denetim Sözleşmesinin Kabulü ve Devam Ettirilmesi
Denetimin Yürütülmesine Yönelik Kabiliyet ve Yeterlik (Bakınız: 13(a)(i) paragrafı)
A7. Denetimin yürütülmesine yönelik ilgili kabiliyet ve yeterliliğe ilişkin hususlar örnek olarak aşağıdakileri içerir:
• İlgili sektöre ilişkin bilgi,
• Bilgi teknolojisi ve sistemlerinin anlaşılması,
• Kontrollerin uygun şekilde tasarlanmasıyla ilgili olduğu için risk değerlendirmeye ilişkin deneyim ve
• Kontrol testlerinin tasarlanması ve uygulanması ile sonuçların değerlendirilmesine ilişkin deneyim.
Hizmet Kuruluşunun Beyanı (Bakınız: 13(b)(i) paragrafı)
A8. Hizmet kuruluşu denetçisinin bir denetimi kabul etmesi veya devam ettirmesi sonrasında hizmet kuruluşunun yazılı beyan sunmayı reddetmesi, hizmet kuruluşu denetçisinin denetimden çekilmesine neden olacak bir kapsam kısıtlaması olduğu anlamına gelir. Mevzuatın hizmet kuruluşu denetçisinin denetimden çekilmesine izin vermemesi durumunda, hizmet kuruluşu denetçisi görüş vermekten kaçınır.
Hizmet Kuruluşunun Beyanına İlişkin Makul Dayanak (Bakınız: 13(b)(ii) paragrafı)
A9. 2 nci tip raporun söz konusu olması durumunda, hizmet kuruluşunun beyanı, hizmet kuruluşunun sistem tanımında belirtilen kontrol amaçlarıyla ilgili olan kontrollerin belirlenen dönem boyunca etkin şekilde işlediğine dair bir beyanı içerir. Bu beyan hizmet kuruluşunun izleme faaliyetlerine dayandırılabilir. Kontrollerin izlenmesi, kontrollerin zaman içindeki etkinliğinin değerlendirilmesi sürecidir. Bu süreç, kontrollerin etkinliğinin zamanında değerlendirilmesini, eksikliklerin belirlenmesi ile bu eksikliklerin hizmet kuruluşundaki uygun kişilere raporlanmasını ve gerekli düzeltici önlemlerin alınmasını içerir. Hizmet kuruluşu; sürekli faaliyetler, ayrı değerlendirmeler veya her ikisinin bileşimi yoluyla kontrolleri izleme faaliyetini gerçekleştirir. Sürekli izleme faaliyetlerinin yoğunluğu ve etkinliği arttıkça, ayrı değerlendirmelere olan ihtiyaç azalır. Sürekli izleme faaliyetleri genellikle bir hizmet kuruluşunun tekrarlanan normal faaliyetleri üzerine inşa edilir ve düzenli yönetim, yönlendirme ve gözetim faaliyetlerini içerir. İç denetçiler veya benzeri görevleri yerine getiren personel, hizmet kuruluşunun faaliyetlerinin izlenmesine katkıda bulunabilir. İzleme faaliyetleri, sorunlara veya iyileştirilmesi gereken alanlara işaret eden müşteri şikâyetleri ve düzenleyici kurum yorumları gibi dış taraflarca iletilen hususlardan elde edilen bilgilerin kullanılmasını da içerebilir. Hizmet kuruluşu denetçisinin kontrollerin işleyiş etkinliğine ilişkin yapacağı raporlama, hizmet kuruluşunun beyanına ilişkin makul bir dayanak sağlamak amacıyla uyguladığı süreçlerin yerine geçmez.
Risklerin Belirlenmesi (Bakınız: 13(b)(iv) paragrafı)
A10. 9(o) paragrafında belirtildiği üzere kontrol amaçları, kontrollerin azaltmaya çalıştığı risklerle ilgilidir. Örneğin, bir işlemin yanlış miktarda veya yanlış döneme kaydedilmesi riski; kontrol amacı olarak işlemlerin doğru miktarda ve doğru döneme kaydedilmesi biçiminde ifade edilebilir. Hizmet kuruluşu, sistem tanımında belirtilen kontrol amaçlarına ulaşılmasını tehdit eden risklerin belirlenmesinden sorumludur. Hizmet kuruluşunun ilgili riskleri belirlemeye yönelik resmi veya gayri resmi süreçleri bulunabilir. Resmi süreç; belirlenmiş risklerin öneminin tahmin edilmesini, bu risklerin gerçekleşme ihtimalinin değerlendirilmesini ve bu risklere karşı atılacak adımlara karar verilmesini içerebilir. Ancak kontrol amaçları, kontrollerin azaltmaya çalıştığı risklerle ilgili olduğu için kontrol amaçlarının hizmet kuruluşunun sistemini tasarlarken ve uygularken dikkatli bir şekilde belirlenmesi, kendi başına ilgili risklerin belirlenmesine yönelik gayri resmi bir süreci kapsayabilir.
Denetim Sözleşmesinin Şartlarındaki Bir Değişikliğin Kabulü (Bakınız: 14 üncü paragraf)
A11. Denetimin kapsamının değiştirilmesi talebinin makul bir gerekçesi olmayabilir. Örneğin; hizmet kuruluşu denetçisinin olumlu görüş dışında bir görüş verme ihtimalinin bulunması nedeniyle söz konusu talebin belirli kontrol amaçlarını denetim kapsamından çıkarmak için yapılması veya hizmet kuruluşunun, hizmet kuruluşu denetçisine yazılı bir beyan sunmaması ve bu talebin denetimin GDS 3000 kapsamında yürütülmesini içermesi durumu.
A12. Denetimin kapsamının değiştirilmesi talebinin makul bir gerekçesi olabilir. Örneğin; hizmet kuruluşunun denetçiye bir alt hizmet kuruluşuna erişim imkânı sağlayamaması – erişimi ayarlayamaması- halinde talebin söz konusu alt hizmet kuruluşunun denetim kapsamından çıkarılması amacıyla yapılması ve alt hizmet kuruluşunun sağladığı hizmetleri ele almak için kullanılan yöntemin kapsamlı yöntemden daraltılmış yönteme dönüştürülmesi durumu.

Kıstasların Uygunluğuna Karar Verilmesi (Bakınız: 15-18 inci paragraflar)
A13. Kıstasların; hedef kullanıcıların, hizmet kuruluşunun sistem tanımının gerçeğe uygun sunumu, kontrollerin tasarımının uygunluğu ve -2 nci tip raporun söz konusu olması durumunda- kontrol amaçlarıyla ilgili kontrollerin işleyiş etkinliği hakkındaki hizmet kuruluşunun beyanının gerekçesini anlamalarını sağlayacak şekilde erişilebilir olması gerekmektedir.
A14. GDS 3000, hizmet kuruluşu denetçisinin, diğer hususların yanı sıra dayanak denetim konusunun uygunluğuna ve kıstasların uygun olup olmadığına karar vermesini zorunlu kılar.[11]  Dayanak denetim konusu, bir güvence raporunun hedef kullanıcıları için olmazsa olmaz bir husustur. Aşağıdaki tablo 1 inci ve 2 nci tip raporlardaki görüşlerden her biri için denetimin konusunu ve asgari kıstasları belirlemektedir.

	Denetimin konusu	Kıstaslar	Yorum
Hizmet kuruluşunun sistem   tanımının gerçeğe uygun sunumu hakkındaki görüş (1 inci ve 2 nci tip raporlar)	Finansal raporlamaya ilişkin olduğu için hizmet alan işletmelerin iç kontrolüyle ilgili olma ihtimali bulunan ve hizmet kuruluşu denetçisinin güvence raporu kapsamına giren hizmet kuruluşu sistemi.	Tanım, aşağıdaki durumlarda gerçeğe uygun biçimde sunulmuştur: (a) Tanım, uygun hâllerde 16(a)(i)- (viii) paragraflarında belirtilen hususlar dâhil olmak üzere, hizmet kuruluşunun sisteminin ne şekilde tasarlandığını ve uygulandığını açıklıyorsa, (b) 2 nci tip raporun söz konusu olması durumunda tanım, kapsadığı dönem boyunca hizmet kuruluşunun sisteminde meydana gelen değişikliklerin ilgili detaylarını içeriyorsa ve (c) Tanımın -çok sayıda hizmet alan işletmenin ortak ihtiyaçlarını karşılamak üzere hazırlandığı ve dolayısıyla her bir hizmet alan işletmenin kendi özel çevresi açısından önemli olabileceğini düşündüğü hizmet kuruluşu sisteminin her yönünü kapsamayabileceği kabul edilmekle birlikte- tanımlanan hizmet kuruluşu sisteminin kapsamıyla ilgili olan bilgileri eksik göstermiyor veya çarpıtmıyorsa.	Görüş için kıstaslara ilişkin belirli ifadelerin mevzuat, bir kullanıcı grubu veya bir meslek kuruluşu gibi taraflarca oluşturulmuş kıstaslarla uyumlu hale getirilmesi gerekebilir. Bu görüşe yönelik kıstaslara ilişkin örnekler, Ek 1’deki hizmet kuruluşu beyanı örneğinde sunulmaktadır. A21-A24 paragrafları bu kıstasların karşılanıp karşılanmadığının belirlenmesine ilişkin daha fazla rehberlik sağlamaktadır. (GDS3000’de yer alan hükümler açısından, bu görüşe yönelik denetimin konusunu oluşturan bilgi[12], hizmet kuruluşunun sistem tanımı ve hizmet kuruluşunun bu tanımın gerçeğe uygun biçimde sunulduğu yönündeki beyanıdır.)
Tasarımın uygunluğu ve işleyiş etkinliği hakkında görüş (2 nci tip raporlar)	Hizmet kuruluşunun sistem tanımında belirtilen kontrol amaçlarına ulaşmak için gereken kontrollerin tasarımının uygunluğu ve işleyiş etkinliği.	Aşağıdaki durumlarda kontroller uygun şekilde tasarlanmıştır ve etkin şekilde işlemektedir: (a) Hizmet kuruluşunun, sistem tanımında belirtilen kontrol amaçlarına ulaşılmasını tehdit eden riskleri belirlemesi (b) Tanımda belirtilen kontrollerin; -bu kontroller belirtildiği gibi işlerse- risklerin, kontrol amaçlarına ulaşılmasını engellemeyeceğine ilişkin makul bir güvence sağlaması ve (c) Kontrollerin belirlenen dönem boyunca tasarlandığı gibi tutarlı bir şekilde uygulanmış olması. Bu durum, manuel kontrollerin, uygun yeterlik ve yetkiye sahip kişiler tarafından uygulanıp uygulanmadığını da içerir.	Bu görüşe ilişkin kıstasların karşılanması durumunda, kontroller, belirlenen dönem boyunca ilgili kontrol amaçlarına ulaşılmış olduğuna ilişkin makul güvence sağlamış olacaktır. (GDS 3000’de yer alan hükümler açısından, bu görüşe yönelik denetimin konusunu oluşturan bilgi, hizmet kuruluşunun kontrollerin uygun biçimde tasarlandığı ve etkin şekilde işlediği yönündeki beyanıdır.)	Hizmet kuruluşunun sistem tanımında belirtilen kontrol amaçları, bu görüşlere ilişkin kıstasların bir parçasıdır. Belirtilen kontrol amaçları denetimden denetime farklılık gösterecektir. Tanıma ilişkin görüş oluşturmanın bir parçası olarak, hizmet kuruluşu denetçisinin belirtilen kontrol amaçlarının gerçeğe uygun biçimde sunulmadığı sonucuna varması durumunda, bu kontrol amaçları- kıstaslar çerçevesinde- kontrollerin tasarımı veya işleyiş etkinliğine ilişkin bir görüş oluşturulması için uygun olmayacaktır.
Tasarımın uygunluğu hakkında görüş (1 inci tip raporlar)	Hizmet kuruluşunun sistem tanımında belirtilen kontrol amaçlarına ulaşmak için gereken kontrollerin tasarımının uygunluğu.	Aşağıdaki durumlarda kontrollerin uygun şekilde tasarlandığı kabul edilir: (a) Hizmet kuruluşu, sistem tanımında belirtilen kontrol amaçlarına ulaşılmasını tehdit eden riskleri belirlemişse; ve (b) Tanımda belirtilen kontrollerin; -bu kontroller belirtildiği gibi işlerse- risklerin, kontrol amaçlarına ulaşılmasını engellemeyeceğine ilişkin makul bir güvence sağlaması.	Kontrollerin işleyişi hakkında herhangi bir güvence elde edilmediğinden, bu kıstasların karşılanması, ilgili kontrol amaçlarına ulaşıldığı  yönünde tek başına herhangi bir güvence sağlamaz. (GDS 3000’de  yer alan hükümler açısından, bu görüşe yönelik denetimin konusunu oluşturan bilgi, hizmet kuruluşunun kontrollerin uygun bir şekilde tasarlandığı yönündeki beyanıdır.)

A15. 16(a) paragrafında, hizmet kuruluşunun sistem tanımında, uygun hallerde, yer alan birkaç unsur belirtilmiştir. Tanımlanan sistem, işlemlerin yürütülmediği bir sistem ise bu unsurlar uygun olmayabilir (örneğin sistemin, bir BT uygulamasının barındırılmasına yönelik genel kontrollerle ilgili olması ancak söz konusu uygulamanın kendi içine yerleştirilen kontrollerle ilgili olmaması durumunda).

Önemlilik (Bakınız: 19, 54 üncü paragraflar)
A16. Bir hizmet kuruluşundaki kontroller üzerine raporlama yapılmasına yönelik bir denetimde, önemlilik kavramı hizmet alan işletmelerin finansal tablolarıyla ilgili olmaktan ziyade raporlanmakta olan sistemle ilgilidir. Hizmet kuruluşu denetçisi; hizmet kuruluşunun sistem tanımının tüm önemli yönleriyle gerçeğe uygun bir biçimde sunulup sunulmadığına, hizmet kuruluşundaki kontrollerin tüm önemli yönleriyle uygun şekilde tasarlanıp tasarlanmadığına ve -2 nci tip raporun söz konusu olması durumunda
– hizmet kuruluşundaki kontrollerin tüm önemli yönleriyle etkin bir şekilde işleyip işlemediğine karar vermek amacıyla, prosedürler planlar ve uygular. Önemlilik kavramında hizmet kuruluşu denetçisi; raporunun, sistemin kullanım biçimi hakkında bilgi sahibi olan hizmet alan işletmelerin ve bunların denetçilerinin çoğunluğunun ortak bilgi ihtiyaçlarını karşıladığını dikkate alır.
A17. Hizmet kuruluşunun sistem tanımının gerçeğe uygun sunumu ve kontrollerin tasarımı bakımından önemlilik; tanımın önemli işlemlerin yürütülmesine dair önemli yönleri içerip içermediği, tanımda ilgili bilgilerin eksik gösterilip gösterilmediği veya çarpıtılıp çarpıtılmadığı ve tasarlandığı şekliyle kontrollerin kontrol amaçlarına ulaşılacağı konusunda makul bir güvence sağlamaya ilişkin kabiliyeti gibi nitel faktörlerin öncelikle değerlendirilmesini içerir. Hizmet kuruluşu denetçisinin kontrollerin işleyiş etkinliğine ilişkin görüşü bakımından önemlilik ise (örneğin; kabul edilebilir ve gözlemlenen sapma oranı (nicel bir husus) ve gözlemlenen herhangi bir sapmanın niteliği ve sebebi (nitel bir husus) gibi) nicel ve nitel faktörlerin her ikisinin birden değerlendirilmesini içerir.
A18. Sapmaların belirlendiği durumlarda söz konusu testlerin sonuçları kontrol testlerinin tanımında açıklanırken önemlilik kavramı uygulanmaz. Bunun sebebi, hizmet alan işletmenin ve onun denetçisinin içinde bulunduğu şartlar altında bu sapmanın, hizmet kuruluşu denetçisinin görüşü açısından, bir kontrolün etkin şekilde işlemesini engelleyip engellemediğinin ötesinde bir öneme sahip olabilmesidir. Örneğin, sapmayla ilgili kontrol, hizmet alan işletmenin finansal tabloları açısından önemli olabilecek belirli bir tür hatanın engellenmesinde özel bir öneme sahip olabilir.

Hizmet Kuruluşunun Sistemi Hakkında Bilgi Elde Edilmesi (Bakınız: 20 nci paragraf)
A19. Denetim kapsamında yer alan, kontroller dâhil, hizmet kuruluşunun sistemi hakkında bilgi edinilmesi –sistemin anlaşılması- aşağıdaki konularda hizmet denetçisine yardımcı olur:
• Bu sistemin sınırlarının ve diğer sistemlerle arayüzler aracılığıyla nasıl bağlandığının belirlenmesi,
• Hizmet kuruluşunun yaptığı tanımın, tasarlandığı ve uygulandığı şekilde sistemi gerçeğe uygun bir biçimde sunup sunmadığının değerlendirilmesi,• Hizmet kuruluşunun beyanının hazırlanmasına yönelik iç kontrolün anlaşılması,
• Hizmet kuruluşunun sistem tanımında belirtilen kontrol amaçlarına ulaşmak için hangi kontrollerin gerekli olduğunun belirlenmesi,
• Kontrollerin uygun şekilde tasarlanıp tasarlanmadığının değerlendirilmesi,
• 2 nci tip raporun söz konusu olması durumunda, kontrollerin etkin şekilde işleyip işlemediğinin değerlendirilmesi.
A20. Hizmet kuruluşu denetçisinin hizmet kuruluşunun sistemi hakkında bilgi edinmesine yönelik prosedürler aşağıdakileri içerebilir:
• Hizmet kuruluşu denetçisinin muhakemesine göre ilgili bilgilere sahip olabileceği düşünülen, hizmet kuruluşu bünyesindeki, kişilerin sorgulanması.
• Faaliyetlerin gözlemlenmesi ve işlemlerin yürütülmesine ilişkin belgelerin, raporların ve fiziki (basılı) ve elektronik kayıtların tetkik edilmesi.
• Ortak şartlarını belirlemek üzere – hizmet kuruluşu ile hizmet alan işletmeler arasındaki- seçilen anlaşmaların tetkik edilmesi.
• Kontrol prosedürlerinin yeniden uygulanması.

Tanımla İlgili Kanıt Elde Edilmesi (Bakınız: 21–22 nci paragraflar)
A21. Tanımın denetim kapsamında yer alan yönlerinin (kısımlarının) tüm önemli yönleriyle gerçeğe uygun biçimde sunulup sunulmadığına karar verirken, aşağıdaki soruların değerlendirilmesi hizmet kuruluşu denetçisine yardımcı olur:
• Tanım; hizmet alan işletmelerin finansal tablo denetimlerinin planlanmasında, bu işletmelerin denetçilerinin çoğunluğunun ortak ihtiyaçlarıyla ilgili olması makul ölçüde beklenen, sağlanan hizmetin temel yönlerini (denetimin kapsamındaki) ele almakta mıdır?
• Tanım, hizmet alan işletmelerin denetçilerinin çoğunluğuna, BDS 315[13] çerçevesinde, iç kontrolün anlaşılmasına ilişkin yeterli bilgi sağlaması için makul ölçüde olması beklenen detay seviyesinde hazırlanmış mıdır? Tanımın, hizmet kuruluşunun işleyişinin (işleme sürecinin) veya hizmet alan işletmelere sunulan hizmetlerin her yönünü ele alması gerekmemekle birlikte, her hangi bir okuyucunun hizmet kuruluşundaki güvenliğe veya diğer kontrollere zarar vermesine yol açabilecek kadar detaylı olması da gerekmez.
• Tanım, hizmet alan işletme denetçilerinin çoğunluğunun kararlarına ilişkin ortak ihtiyaçları etkileyebilecek bilgileri içerecek -eksik göstermeyecek- veya çarpıtmayacak şekilde hazırlanmış mıdır? Örneğin tanım; hizmet kuruluşu denetçisinin haberdar olduğu, işleyişteki herhangi bir önemli eksik gösterme veya hata/yanlış içermekte midir?
• Hizmet kuruluşunun sistem tanımında belirtilen kontrol amaçlarından bazılarının denetimin kapsamından çıkarılması durumunda tanım, kapsam dışı bırakılan hedefleri açık bir şekilde belirtmekte midir?
• Tanımda belirtilen kontroller uygulanmış mıdır?
• -Varsa- hizmet alan işletmenin tamamlayıcı kontrolleri, yeterince tanımlanmış mıdır? Birçok durumda kontrol amaçlarının tanımı, hizmet kuruluşunun tek başına uyguladığı kontrollerin etkin şekilde işlemesi suretiyle kontrol amaçlarına ulaşılabileceği şeklinde kaleme alınır. Ancak bazı durumlarda, hizmet kuruluşunun sistem tanımında belirtilen kontrol amaçlarına hizmet kuruluşu tarafından tek başına ulaşılamaz çünkü bu amaçlara ulaşılması için hizmet alan işletmeler tarafından belli kontrollerin uygulanması gerekir. Örneğin böyle bir durum, kontrol amaçlarının düzenleyici bir otorite tarafından belirlenmesi halinde ortaya çıkabilir. Tanımın hizmet alan işletmenin tamamlayıcı kontrollerini içermesi durumunda, hizmet kuruluşu tarafından tek başına ulaşılamayan belirli kontrol amaçlarının yanı sıra hizmet alan işletmenin tamamlayıcı kontrolleri tanımda ayrıca belirtilir.
• Kapsamlı yöntemin kullanılması durumunda tanım, hizmet kuruluşundaki kontroller ile alt hizmet kuruluşundaki kontrolleri ayrı ayrı belirtmekte midir? Daraltılmış yönteminin kullanılması durumunda ise tanım, alt hizmet kuruluşu tarafından yürütülen fonksiyonları/faaliyetleri belirtmekte midir? Daraltılmış yöntemin kullanılması durumunda tanımın, alt hizmet kuruluşundaki detaylı işleyişi (detaylı işleme sürecini) ve kontrolleri tanımlaması gerekmez.
A22. Hizmet kuruluşu denetçisinin, tanımın gerçeğe uygun biçimde sunumuyla ilgili olarak uygulayacağı/değerlendireceği prosedürler aşağıdakileri içerebilir:
• Hizmet alan işletmelerin niteliğinin ve hizmet kuruluşu tarafından sunulan hizmetlerin bu işletmeleri nasıl etkileyebileceğinin değerlendirilmesi, örneğin; hizmet alan işletmelerin belli bir -aynı- sektörden olup olmadığı ve bu işletmelerin düzenleyici otoritelere tabi olup olmadığı,
• Hizmet kuruluşunun sözleşmeden doğan yükümlülüklerine ilişkin bilgi elde etmek için -varsa- hizmet alan işletmelerle yapılan standart sözleşmelerin veya standart sözleşme şartlarının okunması,
• Hizmet kuruluşu personeli tarafından uygulanan prosedürlerin gözlemlenmesi,
• Hizmet kuruluşunun politikalarının ve prosedür kılavuzlarının ve diğer sistem dokümanlarının (örneğin, iş akış şemaları ve metinsel açıklamaların) gözden geçirilmesi.
A23. 21(a) paragrafı hizmet kuruluşu denetçisinin, hizmet kuruluşunun sistem tanımında belirtilen kontrol amaçlarının, içinde bulunulan şartlar altında makul olup olmadığını değerlendirmesini zorunlu kılar. Aşağıdaki hususların dikkate alınması, bu değerlendirmeyi yaparken hizmet kuruluşu denetçisine yardımcı olur:
• Belirtilen kontrol amaçları; hizmet kuruluşu veya düzenleyici bir otorite, bir kullanıcı grubu gibi bir dış paydaş veya şeffaf bir süreç izleyen meslek kuruluşu tarafından mı belirlenmiştir?
• Belirtilen kontrol amaçlarının hizmet kuruluşu tarafından belirlenmesi durumunda; kontrol amaçları, hizmet kuruluşundaki kontrollerle makul ölçüde ilgili olması beklenen hizmet alan işletmelerin çoğunluğunun finansal tablolarında yaygın olarak yer alan beyan türleriyle örtüşmekte midir? Normal olarak, hizmet kuruluşundaki kontrollerin, hizmet alan işletmelerden her birinin finansal tablolarında yer alan beyanlarla bire bir nasıl ilişkili olduğunu hizmet kuruluşu denetçisi tespit edemeyecek olsa da, hizmet kuruluşu denetçisinin, hizmet kuruluşunun sisteminin (kontroller dâhil) niteliğine ve sağlanan hizmetlere ilişkin elde ettiği bilgiler, bu kontrollerin ilgili olduğu beyan türlerinin belirlenmesi amacıyla kullanılır.
• Belirtilen kontrol amaçlarının hizmet kuruluşu tarafından belirlenmesi durumunda, bu amaçlar tam mıdır? Kontrol amaçlarının tam bir seti, hizmet alan işletmelerin denetçilerinin çoğunluğuna, hizmet kuruluşundaki kontrollerin, hizmet alan işletmelerin finansal tablolarında yaygın olarak kullanılan beyanlar üzerindeki etkisini değerlendirmeleri için bir çerçeve sunabilir.
A24. Hizmet kuruluşu denetçisinin, hizmet kuruluşu sisteminin uygulanıp uygulanmadığının tespit edilmesine yönelik uyguladığı prosedürler, bu sistem hakkında bilgi edinilmesine yönelik uygulanan prosedürlerle benzerlik gösterebilir ve bu prosedürlerle bağlantılı olabilir. Bu prosedürler aynı zamanda, hizmet kuruluşunun sistemi boyunca kalemlerin izlenmesini ve -2 nci tip raporun söz konusu olması durumunda- kapsanan dönem boyunca uygulanmış olan kontrollerdeki değişikliklere ilişkin özel sorgulamaları da içerebilir. Hizmet alan işletmeler veya denetçileri açısından önemli olan değişiklikler, hizmet kuruluşunun sistem tanımında yer alır.

Kontrollerin Tasarımıyla İlgili Kanıt Elde Edilmesi (Bakınız: 23, 28(b) paragrafları)
A25. Hizmet alan işletme veya hizmet alan işletmenin denetçisinin bakış açısına göre; bir kontrol, yeterince uygunluk sağlandığında tek başına veya diğer kontrollerle birlikte önemli yanlışlıkların önleneceği veya tespit edilerek düzeltileceğine yönelik makul güvence sağlıyorsa, uygun şekilde tasarlanmış demektir. Ancak hizmet kuruluşu veya hizmet kuruluşu denetçisi, bir kontrol sapmasından kaynaklanan yanlışlıkların hizmet alan münferit işletmeler için önemli olup olmadığını belirleyecek kadar söz konusu hizmet alan işletmelerin koşullarından haberdar değildir. Dolayısıyla, bir hizmet kuruluşu denetçisinin bakış açısına göre bir kontrol, yeterince uygunluk sağlandığında tek başına veya diğer kontrollerle birlikte hizmet kuruluşunun sistem tanımında belirtilen kontrol amaçlarına ulaşılacağına yönelik makul güvence sağlıyorsa uygun şekilde tasarlanmış demektir.
A26. Bir hizmet kuruluşu denetçisi, kontrollerin tasarımı hakkında bilgi -anlayış- edinmek için iş akış şemaları, soru formları veya karar tablolarını kullanma seçeneği üzerinde durabilir.
A27. Kontroller bir kontrol amacının gerçekleştirilmesine yönelik çok sayıda faaliyetten oluşabilir. Sonuç olarak, hizmet kuruluşu denetçisinin belli faaliyetleri, belli bir kontrol amacını gerçekleştirme konusunda etkisiz olarak değerlendirmesi durumunda, başka faaliyetlerin varlığı hizmet kuruluşu denetçisinin kontrol amacıyla ilgili kontrollerin uygun şekilde tasarlandığı sonucuna varmasına olanak sağlayabilir.

Kontrollerin İşleyiş Etkinliğiyle İlgili Kanıt Elde Edilmesi
İşleyiş Etkinliğinin Değerlendirilmesi (Bakınız: 24 üncü paragraf)
A28. Hizmet alan işletme veya hizmet alan işletme denetçisinin bakış açısına göre bir kontrol; tek başına veya diğer kontrollerle birlikte hata veya hile kaynaklı önemli yanlışlıkların önleneceğine veya tespit edilerek düzeltileceğine yönelik makul güvence sağlıyorsa etkin şekilde işliyor demektir. Ancak, hizmet kuruluşu veya hizmet kuruluşu denetçisi kontrol sapmasından kaynaklanan bir yanlışlığın meydana gelip gelmediğini ve geldiyse önemli olup olmadığını belirleyecek kadar hizmet alan münferit işletmelerin koşullarından haberdar değildir. Dolayısıyla, bir hizmet kuruluşu denetçisinin bakış açısına göre, bir kontrol tek başına veya diğer kontrollerle birlikte hizmet kuruluşunun sistem tanımında belirtilen kontrol amaçlarına ulaşılacağına yönelik makul güvence sağlıyorsa etkin şekilde işliyor demektir. Aynı şekilde bir hizmet kuruluşu veya hizmet kuruluşu denetçisi, gözlemlenmiş herhangi bir kontrol sapmasının hizmet alan münferit bir işletmenin bakış açısına göre önemli yanlışlığa sebep olup olmadığını belirleyecek bir konumda değildir.
A29. Kontrollerin tasarlandığı ve uygulandığı haliyle tutarlı bir şekilde işlemesini sağlayan bir otomasyon bulunmadığı sürece, kontrollerin tasarımının uygunluğuna ilişkin kontrollerin görüş bildirmeye yetecek düzeyde anlaşılması, işleyiş etkinliğiyle ilgili yeterli kanıt oluşturmaz. Örneğin, manuel bir kontrolün belli bir anda uygulanmasına ilişkin bilginin elde edilmesi, o kontrolün diğer zamanlardaki işleyişine ilişkin kanıt sağlamaz. Ancak, BT’nin işleyişinin yapısal tutarlılığı sebebiyle otomatik bir kontrolün tasarımını ve uygulanıp uygulanmadığını belirlemek için prosedürlerin uygulanması, hizmet kuruluşu denetçisinin değerlendirmesine ve program değişiklikleri üzerindeki kontroller gibi diğer kontrollerin test edilmesine bağlı olarak kontrolün işleyiş etkinliğine ilişkin kanıt olabilir.
A30. Hizmet alan işletmelerin denetçilerine faydalı olabilmesi için 2 nci tip bir rapor en az altı aylık bir süreyi kapsar. Sürenin altı aydan az olması durumunda, hizmet kuruluşu denetçisi güvence raporunda sürenin daha kısa olmasının sebeplerini açıklamanın uygun olacağını düşünebilir. Altı aydan daha kısa süreyi kapsayan bir rapora sebebiyet veren koşullara örnek olarak (a) hizmet kuruluşu denetçisinin kontrollere ilişkin raporun yayımlanacağı tarihe yakın bir tarihte atanması/görevlendirilmesi, (b) hizmet kuruluşunun (veya belli bir sistem ya da uygulamanın) altı aydan daha kısa bir süredir faaliyet gösteriyor (veya işliyor) olması veya (c) kontrollerde önemli değişiklikler yapılmış olması ve raporu yayımlamadan önce alt ay beklemenin ya da sistemin değişikliklerden önceki ve sonraki halini kapsayan bir rapor yayımlamanın uygulanabilir olmaması gösterilebilir.
A31. Belli kontrol prosedürleri, işleyişinin daha sonraki bir tarihte test edilebilmesine imkân verecek şekilde kanıt bırakmayabilir ve bu nedenle hizmet kuruluşu denetçisi raporlama süresi boyunca farklı zamanlarda bu kontrol prosedürlerinin işleyiş etkinliğini test etmeyi gerekli görebilir.
A32. Hizmet kuruluşu denetçisi her bir dönem boyunca kontrollerin işleyiş etkinliğine ilişkin görüş sunar, dolayısıyla hizmet kuruluşu denetçisinin bu görüşü bildirmesi için cari dönem boyunca kontrollerin işleyişiyle ilgili yeterli ve uygun kanıtı elde etmesi gerekir. Ancak, önceki denetimlerde gözlemlenen sapmalara ilişkin bilgi, hizmet kuruluşu denetçisinin cari dönemdeki testin kapsamını arttırmasına yol açabilir.
Dolaylı Kontrollerin Test Edilmesi (Bakınız: 25(b) paragrafı)
A33. Bazı durumlarda, dolaylı kontrollerin etkin şekilde işlediğini destekleyen kanıtların elde edilmesi gerekebilir. Örneğin, hizmet kuruluşu denetçisinin, belirlenen kredi limitlerini aşan satışların detaylarını veren istisna raporlarına ilişkin gözden geçirmenin etkinliğini test etmeye karar vermesi durumunda, söz konusu gözden geçirme ve ilgili takip, hizmet kuruluşu denetçisi için doğrudan ilgili bir kontroldür. Raporlarda yer alan bilgilerin doğruluğuna ilişkin kontroller (örneğin, genel BT kontrolleri) “dolaylı” kontroller olarak tanımlanır.
A34. BT işleyişindeki yapısal tutarlılık sebebiyle, bir otomatik uygulama kontrolünün uygulanmasına ilişkin kanıt, hizmet kuruluşunun genel kontrollerinin (özellikle, değişiklik kontrollerinin) işleyiş etkinliği hakkındaki kanıtlarla birlikte dikkate alındığında, bu kontrolün işleyiş etkinliğine ilişkin önemli kanıtlar sunabilir.
Test Edilecek Kalemleri Seçme Yöntemleri (Bakınız: 25(c), 27 nci paragraflar)
A35. Aşağıdakiler hizmet kuruluşu denetçisinin test edilecek kalemleri seçerken kullanabileceği yöntemlerdir:
(a) Tüm kalemlerin seçilmesi (%100 inceleme). Bu yöntem, sık uygulanmayan kontrollerin test edilmesi (örneğin 3 aylık dönemler itibarıyla) için veya ilgili kontrolün uygulanmasına ilişkin kanıtın %100 incelemeyi etkili kılması durumunda uygun olabilir,
(b) Belirli kalemlerin seçilmesi. Örneklemenin ve %100 incelemenin etkin olmayabileceği durumlarda uygun olabilir, örneğin aylık veya haftalık uygulanan kontroller gibi örnekleme için büyük bir anakitle oluşturmak için yeterince sık uygulanmayan kontrollerin test edilmesi ve
(c) Örnekleme. Tekdüze olarak sıklıkla uygulanan ve uygulanmasıyla ilgili belgelendirilmiş kanıt sunan kontrollerin test edilmesi için uygun olabilir.
A36. Belirli kalemlerin seçilerek incelenmesi, çoğunlukla kanıt elde etmek için etkin bir yöntem olmakla birlikte, örnekleme oluşturmamaktadır. Bu yöntemle seçilen kalemlere uygulanan prosedürlerin sonuçları anakitlenin tamamına yansıtılamaz; bu nedenle belirli kalemlerin seçilerek incelenmesi anakitlede yer alan seçilmeyen diğer kalemlere ilişkin kanıt sağlamaz. Öte yandan, örnekleme, anakitlenin içinden seçilen örneklemin test edilmesine dayanarak anakitlenin tamamı hakkında sonuçlara varılabilmesini sağlamak üzere tasarlanmıştır.

İç Denetim Fonksiyonunun Çalışması
İç Denetim Fonksiyonu Hakkında Bilgi – Anlayış- Elde Edilmesi (Bakınız: 30 uncu paragraf) A37. İç denetim fonksiyonu; yönetime ve üst yönetimden sorumlu olanlara karşı analiz,
değerlendirme, güvence, öneri ve diğer bilgilerin sağlanmasından sorumlu olabilir. Bir hizmet kuruluşunda iç denetim fonksiyonu, hizmet kuruluşunun kendi iç kontrol sistemiyle ilgili faaliyetleri veya hizmet kuruluşunun -kontroller dâhil- hizmet alan işletmelere sunduğu hizmet ve sistemlerle ilgili faaliyetleri yürütülebilir.
İç Denetçilerin Çalışmasının Kullanılıp Kullanılmayacağına ve Ne Düzeyde Kullanılabileceğine Karar Verilmesi (Bakınız: 33 üncü paragraf)
A38. İç denetçilerin çalışmasının, hizmet kuruluşu denetçisinin prosedürlerinin niteliği, zamanlaması veya kapsamı üzerindeki planlanan etkisine karar verilirken, aksi bir durum söz konusu olmadıkça, aşağıdaki faktörler farklı veya daha dar kapsamlı prosedürlere ihtiyaç olduğunu gösterebilir:
• İç denetçiler tarafından uygulanan veya uygulanacak belirli bir çalışmanın niteliğinin ve kapsamının çok kısıtlı olması.
• İç denetçilerin çalışmasının, hizmet kuruluşu denetçisinin ulaştığı sonuçlar açısından daha az önemli olan kontrollerle ilgili olması.
• İç denetçiler tarafından uygulanan veya uygulanacak çalışmaların subjektif veya karmaşık muhakemeler gerektirmemesi.
İç Denetim Fonksiyonu Çalışmasının Kullanılması (Bakınız: 34 üncü paragraf)
A39. Hizmet kuruluşu denetçisinin, iç denetçilerin belirli bir çalışmasına ilişkin uygulayacağı prosedürlerinin niteliği, zamanlaması ve kapsamı; hizmet kuruluşu denetçisinin vardığı sonuçlar açısından bu çalışmanın önemine ilişkin yaptığı değerlendirmesine (örneğin, test edilen kontrollerin azaltmaya çalıştığı risklerin önemi), iç denetim fonksiyonuna ilişkin değerlendirmesine ve iç denetçilerin söz konusu çalışmasına ilişkin değerlendirmesine bağlı olacaktır. Bu tip prosedürler aşağıdakileri içerebilir:
• İç denetçiler tarafından incelenmiş kalemlerin yeniden incelenmesi,
• Diğer benzer kalemlerin incelenmesi; ve
• İç denetçiler tarafından uygulanan prosedürlerin gözlemlenmesi.
Hizmet Kuruluşu Denetçisi Tarafından Sunulan Güvence Raporu Üzerindeki Etkisi (Bakınız: 36–37 nci paragraflar)
A40. İç denetim fonksiyonunun kurumsal statüsü ve tarafsızlığı ne olursa olsun, bu fonksiyon hizmet kuruluşundan; hizmet kuruluşu denetçisi için denetimi yürütürken zorunlu tutulan bağımsızlığa sahip değildir. Hizmet kuruluşu denetçisi güvence raporunda bildirilen görüşten tek başına sorumludur ve bu sorumluluk hizmet kuruluşu denetçisinin iç denetçilerin çalışmasını kullanması sebebiyle azalmaz.
A41. İç denetim fonksiyonu tarafından yapılan-uygulanan çalışmaya ilişkin hizmet kuruluşu denetçisinin yaptığı tanım, aşağıda örnekleri verilen birçok farklı biçimde sunulabilir:
• Kontrol testlerine ilişkin tanıma, kontrol testleri uygulanırken iç denetim fonksiyonunun belirli bir çalışmasının kullanıldığını belirten bir giriş bölümü ekleyerek.
• Söz konusu münferit testleri iç denetimle ilişkilendirerek.

Yazılı Açıklamalar (Bakınız: 38, 40 ıncı paragraflar)
A42. 38 inci paragraf tarafından zorunlu kılınan yazılı açıklamalar 9(i) paragrafında tanımlanan hizmet kuruluşunun beyanından ayrıdır ve bu beyana ilave olarak sunulmaktadır.
A43. Hizmet kuruluşunun bu GDS’nin 38(c) paragrafı uyarınca talep edilen yazılı açıklamaları sağlamaması durumunda, hizmet kuruluşu denetçisinin görüşünün bu GDS’nin 55(ç) paragrafı uyarınca olumlu görüş dışında bir görüş olması uygun olabilir.

Diğer Bilgiler (Bakınız: 42 nci paragraf)
A44. Etik Kurallar, bir hizmet kuruluşu denetçisinin;
(a) Önemli düzeyde yanlış veya yanıltıcı beyan içerdiğini,
(b) Dikkatsizce ve gerekli özen gösterilmeden sunulmuş beyan veya bilgi içerdiğini, veya
(c) İçermesi gereken bilgileri göz ardı eden veya gizleyen, dolayısıyla yanıltıcı mahiyette olduğunu[14]
düşündüğü bilgilerle ilişkilendirilmemesini gerektirir:
Hizmet kuruluşunun sistem tanımını ve hizmet kuruluşu denetçisinin güvence raporunu içeren bir belgede yer alan diğer bilgilerin, kurtarma planları veya acil durum planları gibi geleceğe yönelik bilgileri veya hizmet kuruluşu denetçisinin güvence raporunda belirlenen sapmaları ele alacak sistemde değişiklik planları ya da makul şekilde doğrulanamayan tanıtıcı mahiyetteki iddiaları içermesi durumunda, hizmet kuruluşu denetçisi bu bilgilerin çıkarılmasını veya yeniden beyan edilmesini talep edebilir.
A45. Hizmet kuruluşunun diğer bilgileri çıkarmayı veya yeniden beyan etmeyi reddetmesi durumunda, atılabilecek ilâve uygun adımlar aşağıdaki gibidir:
• Hizmet kuruluşundan, atılacak uygun adımlara ilişkin hukuk müşavirine danışmasının talep edilmesi.
• Güvence raporunda söz konusu önemli tutarsızlıkların veya önemli yanlışlıkların tanımlanması.
• Sorun çözülene kadar güvence raporunun sunulmaması.
• Denetimden çekilme.

Belgelendirme (Bakınız: 51 inci paragraf)
A46. KKS 1 (veya en az KKS 1’de öngörülen yükümlülükleri karşılayacak muhtevadaki diğer mevzuat hükümleri) denetim şirketlerinin, çalışma kâğıtlarının nihai denetim dosyasında birleştirme işlemini zamanında tamamlamalarına yönelik politika ve prosedürler oluşturmalarını gerektirir.[15] Çalışma kâğıtlarının nihai denetim dosyasında birleştirilmesi işleminin tamamlanması için uygun süre hizmet kuruluşu denetçisi raporu tarihinden itibaren en fazla altmış gündür.[16]

Hizmet Kuruluşu Denetçisinin Güvence Raporunu Hazırlaması
Hizmet Kuruluşu Denetçisinin Güvence Raporunun İçeriği (Bakınız: 53 üncü paragraf)
A47. Hizmet kuruluşu denetçilerinin güvence raporlarına ve ilgili hizmet kuruluşlarının beyanlarına ilişkin örneklere Ek 1 ve Ek 2’de yer verilmiştir.
Hizmet Kuruluşu Denetçisinin Güvence Raporunun Amaçları ve Hedef Kullanıcıları (Bakınız: 53(d) paragrafı)
A48. Bir hizmet kuruluşundaki kontrollerle ilgili rapor vermek üzere yapılan denetimlerde kullanılan kıstaslar, sistemin hizmet alan işletmelerce finansal raporlama için nasıl kullanıldığını bilen kişilere, yalnızca, kontroller de dâhil, hizmet kuruluşunun sistemi hakkında bilgi vermek amacıyla ilgilidir. Bu nedenle söz konusu durum hizmet kuruluşu denetçisinin güvence raporunda belirtilir. Ayrıca, hizmet kuruluşu denetçisi güvence raporunun hedef kullanıcılar dışındaki kişilere dağıtımını, başkaları tarafından veya başka amaçlarla kullanımını özel olarak kısıtlayan ifadelere yer vermenin uygun olacağını düşünebilir.
Kontrol Testlerinin Tanımı (Bakınız: 54 üncü paragraf)
A49. 2 nci tip bir rapor için kontrol testlerinin niteliğini tanımlarken, hizmet kuruluşu denetçisinin aşağıdaki hususlara yer vermesi, güvence raporunun kullanıcılarına yardımcı olur:
• Sapmaların tespit edildiği tüm testlerin sonuçları (Hizmet kuruluşu denetçisinin ilgili kontrol amacına ulaşıldığı sonucuna varmasını sağlayan başka kontroller belirlenmiş olsa bile veya test edilen kontrol daha sonra hizmet kuruluşunun sistem tanımından çıkarılmış olsa dahi).
• Hizmet kuruluşu denetçisinin ilgili faktörleri tespit ettiği ölçüde, belirlenen sapmalara ait nedensel faktörlerle ilgili bilgiler.
Olumlu Görüş Dışındaki Görüşler (Bakınız: 55 inci paragraf)
A50. Olumlu görüş dışında bir görüş içeren hizmet kuruluşu denetçisi güvence raporlarının unsurlarına ilişkin örneklere Ek 3’de yer verilmiştir.
A51. Hizmet kuruluşu denetçisi, olumsuz bir görüş vermiş veya görüş vermekten kaçınmış olsa dahi, kendisinin haberdar olduğu ve olumlu görüş dışında bir görüş verilmesini gerektirecek diğer hususların sebeplerinin ve etkilerinin olumlu görüş dışında bir görüş verilmesinin dayanağı paragrafında açıklanması uygun olabilir.
A52. Kapsam sınırlaması sebebiyle görüş vermekten kaçınma durumunda, uygulanan prosedürlerin belirtilmesi ya da hizmet kuruluşu denetçisinin denetiminin özelliklerini belirten açıklamalar eklenmesi genellikle uygun olmaz; böyle yapılması görüş vermekten kaçınmaya gölge düşürebilir.

Diğer Bildirim Sorumlulukları (Bakınız: 56 ncı paragraf)
A53. 56 ncı paragrafta belirtilen durumlara karşılık vermek için atılacak uygun adımlar aşağıdakileri içerebilir:
• Atılabilecek farklı adımların sonuçlarına ilişkin hukuki danışmanlık almak.
• Hizmet kuruluşundaki üst yönetimden sorumlu olanlarla iletişim kurmak.
• Gerektiğinde üçüncü taraflarla (örneğin düzenleyici bir kurumla) iletişim kurmak.
• Olumlu görüş dışında bir görüş vermek veya Diğer Hususlar paragrafı eklemek.
• Denetimden çekilmek.

Ek 1
(Bakınız: A47 paragrafı)

Hizmet Kuruluşunun Beyanlarına İlişkin Örnek
Hizmet kuruluşunun beyanlarına ilişkin aşağıda verilen örnekler yalnızca rehberlik etme amacı taşımakta olup tüm durumları kapsaması ve her durumda uygulanabilir olması amaçlanmamıştır.

Örnek 1: 2 nci Tip Hizmet Kuruluşunun Beyanı
Hizmet Kuruluşunun Beyanı
Ekli tanım; [sistem tipi veya adı] sistemini kullanan müşteriler ve -müşterilerin finansal tablolarına ilişkin önemli yanlışlık risklerini değerlendirirken- müşterilerin kendisi tarafından yürütülen kontrollerle ilgili bilgileri de içeren diğer bilgiler ile birlikte tanımı değerlendirmek için yeterli bilgiye sahip denetçileri için hazırlanmıştır. [İşletmenin adı] aşağıdaki hususları teyit eder:
(a) [tarih] ve [tarih] tarihleri arasındaki döneme ait müşteri işlemlerinin yürütüldüğü [sistem tipi veya adı] sistemi, [bb–cc] sayfalarında yer alan ekli tanımda gerçeğe uygun bir biçimde sunulmuştur. Bu beyanda bulunurken kullanılan kıstaslar şunlardır:
Ekli tanım;
(i) Aşağıdaki hususları da içermek üzere, sistemin nasıl tasarlandığını ve uygulandığını sunmaktadır:
• Uygun hâllerde yürütülen işlem sınıfları da dâhil sunulan hizmet türleri,
• İşlemlerin başlatılmasında, kaydedilmesinde, yürütülmesinde, gerektiğinde düzeltilmesinde ve hizmet alan işletme için hazırlanan raporlara aktarılmasında kullanılan prosedürler dâhil, bilgi teknolojileri ve manuel sistemlerdeki prosedürler,
• Yanlış bilgilerin düzeltilmesini ve bilginin müşteriler için hazırlanan raporlara nasıl aktarıldığını da içerecek şekilde; işlemlerin başlatılmasında, kaydedilmesinde, yürütülmesinde ve raporlanmasında kullanılan ilgili özel hesaplar, destekleyici bilgiler ve muhasebe kayıtları,
• Sistemin, işlemler dışındaki önemli olayları ve durumları ne şekilde ele aldığı,
• Müşteriler için raporların hazırlanmasında kullanılan süreç,
• İlgili kontrol amaçları ve bu amaçlara ulaşmak için tasarlanan kontroller,
• Sistem tasarımında, hizmet alan işletmeler tarafından uygulanacağını varsaydığımız ve -ekli tanımda belirtilen kontrol amaçlarına ulaşmak için gerekli ise- tek başımıza ulaşamayacağımız söz konusu kontrol amaçlarıyla birlikte tanımda belirtilen kontroller.
• Müşteri işlemlerinin yürütülmesi ve raporlanmasıyla ilgili olan kontrol çevremizin, risk değerlendirme sürecinin, bilgi sistemi (ilgili iş süreçleri dâhil) ve iletişiminin, kontrol faaliyetlerinin ve izleme kontrollerinin diğer yönleri.
(ii) [Tarih] ve [tarih] tarihleri arasındaki dönemde hizmet kuruluşunun sistemindeki değişikliklere ilişkin detayları içermektedir.
(iii) Tanımın çok sayıda müşterinin ve onların denetçilerinin ortak ihtiyaçlarını karşılamak üzere hazırlandığı ve dolayısıyla her bir müşterinin kendi özel çevresi açısından önemli olabileceğini düşündüğü sistemin her yönünü kapsamayabileceği kabul edilmekle birlikte; tanımlanan sistemin kapsamıyla ilgili bilgileri içermektedir -eksik göstermemektedir – veya bu bilgileri çarpıtmamaktadır.
(b) Ekli tanımda belirtilen kontrol amaçlarıyla ilgili kontroller [tarih] ve [tarih] tarihleri arasındaki dönemde uygun şekilde tasarlanmış ve etkin şekilde işlemiştir. Bu beyanda bulunurken kullanılan kıstaslar şunlardır:
(i) Tanımda belirtilen kontrol amaçlarına ulaşılmasını tehdit eden riskler belirlenmiştir.
(ii) Belirlenen kontroller, tanımlandıkları şekilde işlemeleri halinde, bu risklerin kontrol amaçlarına ulaşılmasını engellemediğine ilişkin makul bir güvence sağlamaktadır ve
(iii) Uygun yeterlik ve yetkiye sahip kişiler tarafından uygulanan manuel kontroller de dâhil olmak üzere kontroller [tarih] ve [tarih] tarihleri arasındaki dönemde tasarlanan şekilde tutarlı olarak uygulanmıştır.

Örnek 2: 1 inci Tip Hizmet Kuruluşu Beyanı
Ekli tanım [sistem tipi veya adı] sistemini kullanan müşteriler ve -müşterilerin finansal raporlamayla ilgili bilgi sistemlerin hakkında bilgi edinirken- müşterilerin kendisi tarafından yürütülen kontrollerle ilgili bilgileri de içeren diğer bilgiler ile birlikte tanımı değerlendirmek için yeterli bilgiye sahip denetçileri için hazırlanmıştır. [İşletmenin adı] aşağıdaki hususları teyit eder:
(a) Müşteri işlemlerinin yürütüldüğü [tarih] tarihindeki [sistem tipi veya adı] sistemi, [bb–cc] sayfalarında yer alan ekli tanımda gerçeğe uygun bir biçimde sunulmuştur. Bu beyanda bulunurken kullanılan kıstaslar şunlardır:
Ekli tanım;
(i) Aşağıdaki hususları da içermek üzere, sistemin nasıl tasarlandığını ve uygulandığını sunmaktadır:
• Uygun hâllerde yürütülen işlem sınıfları da dâhil sunulan hizmet türleri,
• İşlemlerin başlatılmasında, kaydedilmesinde, yürütülmesinde, gerektiğinde düzeltilmesinde ve hizmet alan işletme için hazırlanan raporlara aktarılmasında kullanılan prosedürler dâhil, bilgi teknolojileri ve manuel sistemlerdeki prosedürler,
• Yanlış bilgilerin düzeltilmesini ve bilginin müşteriler için hazırlanan raporlara nasıl aktarıldığını da içerecek şekilde; işlemlerin başlatılmasında, kaydedilmesinde, yürütülmesinde ve raporlanmasında kullanılan ilgili özel hesaplar, destekleyici bilgiler ve muhasebe kayıtları,
• Sistemin, işlemler dışındaki önemli olayları ve durumları ne şekilde ele aldığı,
• Müşteriler için raporların hazırlanmasında kullanılan süreç,
• İlgili kontrol amaçları ve bu amaçlara ulaşmak için tasarlanan kontroller,
• Sistem tasarımında, hizmet alan işletmeler tarafından uygulanacağını varsaydığımız ve ekli tanımda belirtilen kontrol amaçlarına ulaşmak için gerekli ise- tek başımıza ulaşamayacağımız söz konusu kontrol amaçlarıyla birlikte tanımda belirtilen kontroller.
• Müşteri işlemlerinin yürütülmesi ve raporlanmasıyla ilgili olan kontrol çevremizin, risk değerlendirme sürecinin, bilgi sistemi (ilgili iş süreçleri dâhil) ve iletişiminin, kontrol faaliyetlerinin ve izleme kontrollerinin diğer yönleri.

(ii) Tanımın çok sayıda müşterinin ve onların denetçilerinin ortak ihtiyaçlarını karşılamak üzere hazırlandığı ve dolayısıyla her bir müşterinin kendi özel çevresi açısından önemli olabileceğini düşündüğü sistemin tüm yönlerini kapsamayabileceği kabul edilmekle birlikte; tanımlanan sistemin kapsamıyla ilgili bilgileri içermektedir -eksik göstermemektedir – veya bu bilgileri çarpıtmamaktadır.
(b) Ekli tanımda belirtilen kontrol amaçlarıyla ilgili kontroller [tarih] tarihinde uygun şekilde tasarlanmıştır. Bu beyanda bulunurken kullanılan kıstaslar şunlardır:
(i) Tanımda belirtilen kontrol amaçlarına ulaşılmasını tehdit eden riskler belirlenmiştir; ve
(ii) Belirlenen kontroller, tanımlandıkları şekilde işlemeleri halinde, bu risklerin kontrol amaçlarına ulaşılmasını engellemediğine ilişkin makul güvence sağlamaktadır.

Ek 2
(Bakınız: A47 paragrafı)

Hizmet Kuruluşu Denetçisinin Güvence Raporlarına İlişkin Örnekler
Aşağıda verilen örnekler yalnızca rehberlik etme amacı taşımakta olup tüm durumları kapsaması ve her durumda uygulanabilir olması amaçlanmamıştır.

Örnek 1: 2 nci Tip Hizmet Kuruluşu Denetçisinin Güvence Raporu
Bağımsız Hizmet Kuruluşu Denetçisinin Kontrollerin Tanımı, Tasarımı ve İşleyiş Etkinliğine İlişkin Güvence Raporu
XYZ Hizmet Kuruluşuna
Kapsam
XYZ Hizmet Kuruluşunun, [tarih] ve [tarih] tarihleri arasındaki döneme ait müşteri işlemlerinin yürütüldüğü [sistem tipi veya adı] sistemine ilişkin [bb–cc] sayfalarında yer alan tanıma [tanım] ve tanımda belirtilen kontrol amaçlarıyla ilgili kontrollerin tasarımına ve işleyişine ilişkin raporlama yapmak üzere görevlendirilmiş bulunuyoruz.[17]
XYZ Hizmet Kuruluşunun Sorumlulukları
XYZ Hizmet Kuruluşu: tanımın ve beyanın tamlığı, doğruluğu ve sunum yöntemi de dâhil olmak üzere [aa] sayfasında yer alan tanım ve ekli beyanın hazırlanmasından; tanım kapsamına giren hizmetlerin sağlanmasından; kontrol amaçlarının belirlenmesinden ve belirlenen kontrol amaçlarına ulaşmak için kontrollerin tasarlanmasından, uygulanmasından ve etkin şekilde işleyişinden sorumludur.
Bağımsızlığımız ve Kalite Kontrol
Kamu Gözetimi, Muhasebe ve Denetim Standartları Kurumu tarafından yayımlanan, dürüstlük, tarafsızlık, mesleki yeterlik ve özen, sır saklama ve mesleğe uygun davranıştan oluşan temel ilkelere dayanan, Bağımsız Denetçiler için Etik Kuralların bağımsızlık ve diğer etik hükümlerine uygunluk sağlamaktayız.
Denetim şirketimiz; Kalite Kontrol Standardı 1[18]’i uygulamakta ve dolayısıyla etik hükümlere, mesleki standartlara ve yürürlükteki mevzuat hükümlerine uygunluk sağlandığına dair belgelendirilmiş politika ve prosedürleri içeren kapsamlı bir kalite kontrol sisteminin devamlılığını sağlamaktadır.
Hizmet Kuruluşu Denetçisinin Sorumlulukları
Bizim sorumluluğumuz, uyguladığımız prosedürlere dayanarak, XYZ Hizmet Kuruluşunun tanımı ve bu tanımda belirtilen kontrol amaçlarıyla ilgili kontrollerin tasarımı ve işleyişi hakkında görüş vermektir. Yaptığımız denetim, Kamu Gözetimi, Muhasebe ve Denetim Standartları Kurumu tarafından yayımlanan Güvence Denetimi Standardı 3402 Hizmet Kuruluşundaki Kontrollere İlişkin Güvence Raporları’na uygun olarak yürütülmüştür. Bu Standart; tanımın, tüm önemli yönleriyle, gerçeğe uygun bir biçimde sunulup sunulmadığına ve kontrollerin uygun şekilde tasarlanıp tasarlanmadığına ve etkin şekilde işleyip işlemediğine dair makul güvence elde etmek üzere prosedürlerimizi planlamamızı ve uygulamamızı gerektirmektedir.
Bir hizmet kuruluşunda tanım, kontrollerin tasarımı ve işleyiş etkinliğinin raporlanmasına yönelik güvence denetimi, hizmet kuruluşunun sistem tanımında yer alan açıklamalara ve kontrollerin tasarımına ve işleyiş etkinliğine dair kanıt elde etmek amacıyla prosedürlerin uygulanmasını içerir. Seçilen prosedürler; tanımın gerçeğe uygun bir biçimde sunulmama ve kontrollerin uygun bir şekilde tasarlanmama veya etkin şekilde işlememe risklerinin değerlendirilmesi de dâhil, hizmet kuruluşu denetçisinin mesleki muhakemesine dayanmaktadır. Prosedürlerimiz, tanımda belirtilen kontrol amaçlarına ulaşıldığına dair makul güvence sağlamak için gerekli gördüğümüz söz konusu kontrollerin işleyiş etkinliğinin test edilmesini de içermektedir. Bu tip bir güvence denetimi; tanımın genel sunumunun, tanımda belirtilen amaçların uygunluğunun ve hizmet kuruluşu tarafından öngörülen ve [aa] sayfada tanımlanan kıstasların uygunluğunun değerlendirilmesini de kapsamaktadır.
Denetim sırasında elde ettiğimiz kanıtların, görüşümüzün oluşturulması için yeterli ve uygun bir dayanak oluşturduğuna inanıyoruz.
Hizmet Kuruluşundaki Kontrol Kısıtları
XYZ Hizmet Kuruluşunun tanımı, çok sayıda müşterinin ve onların denetçilerinin ortak ihtiyaçlarını karşılamak üzere hazırlanmıştır ve dolayısıyla, tanımı her bir müşterinin kendi özel çevresi açısından önemli olabileceğini düşündüğü sistemin her yönünü kapsamayabilir. Ayrıca bir hizmet kuruluşundaki kontroller, niteliklerinden dolayı, işlemlerin yürütülmesi – işlenmesi- veya raporlanması sırasında oluşan tüm ihmal veya hataları önleyemeyebilir veya tespit edemeyebilir. Ayrıca, işleyiş etkinliğiyle ilgili bir değerlendirmenin gelecek dönemlere yansıtılması –projeksiyonu-, hizmet kuruluşundaki kontrollerin yetersiz veya başarısız olma riskiyle karşı karşıya kalabilir.
Görüş
Görüşümüz, bu raporda genel olarak belirtilen hususlara dayanarak oluşturulmuştur. Görüşümüzü oluştururken kullandığımız kıstaslar [aa] sayfada açıklanmıştır. Görüşümüze göre, tüm önemli yönleriyle:
(a) Tanım [sistem tipi veya adı] [tarih] ve [tarih] tarihleri arasındaki dönem boyunca tasarlandığı ve uygulandığı şekilde sistemi gerçeğe uygun bir biçimde sunmaktadır,
(b) Tanımda belirtilen kontrol amaçlarıyla ilgili kontroller [tarih] ve [tarih] tarihleri arasındaki dönemde uygun bir şekilde tasarlanmıştır ve
(c) Tanımda belirtilen kontrol amaçlarına ulaşıldığına dair makul güvence sağlamak için gerekli olan test edilmiş kontroller [tarih] ve [tarih] tarihleri arasındaki dönem boyunca etkin şekilde işlemiştir.
Kontrol Testlerine İlişkin Tanım
Test edilen kontroller ile bu testlerin niteliği, zamanlaması ve sonuçları [yy–zz] sayfalarında yer almaktadır.
Hedef Kullanıcılar ve Amaç
Bu rapor ve [yy–zz] sayfalarında verilen kontrol testlerinin tanımı; yalnızca XYZ Hizmet Kuruluşunun [sistem tipi veya adı] sistemini kullanan müşteriler ve -müşterilerin finansal tablolarına ilişkin önemli yanlışlık risklerini değerlendirirken- müşterilerin kendisi tarafından yürütülen kontrollerle ilgili bilgileri de içeren diğer bilgiler ile birlikte söz konusu sistemi değerlendirmek için yeterli bilgiye sahip denetçilerin kullanımı için hazırlanmıştır.
[Hizmet kuruluşu denetçisinin imzası] [Hizmet kuruluşu denetçisinin güvence raporunun tarihi] [Hizmet kuruluşu denetçisinin adresi]

Örnek 2: 1 inci Tip Hizmet Kuruluşu Denetçisinin Güvence Raporu
Bağımsız Hizmet Kuruluşu Denetçisinin Kontrollerin Tanımı ve Tanımına İlişkin Güvence Raporu
XYZ Hizmet Kuruluşuna
Kapsam
XYZ Hizmet Kuruluşunun [tarih] tarihine ait müşteri işlemlerinin işlendiği [sistem tipi veya adı] sistemine ilişkin [bb–cc] sayfalarında yer alan tanıma (tanım) ve tanımda belirtilen kontrol amaçlarıyla ilgili kontrollerin tasarımına ilişkin raporlama yapmak üzere görevlendirilmiş bulunuyoruz.[19]
Tanımda yer alan kontrollerin işleyiş etkinliğine ilişkin herhangi bir prosedür uygulamadığımızdan bu konuya ilişkin görüş bildirmiyoruz.
XYZ Hizmet Kuruluşunun Sorumlulukları
XYZ Hizmet Kuruluşu: tanım ve beyanın tamlığı, doğruluğu ve sunum yöntemi de dâhil olmak üzere [aa] sayfasında yer alan tanım ve ekli beyanın hazırlanmasından; tanım kapsamına giren hizmetlerin sağlanmasından; kontrol amaçlarının belirlenmesinden ve belirlenen kontrol amaçlarına ulaşmak için kontrollerin tasarımı, uygulanması ve etkin şekilde işleyişinden sorumludur.
Bağımsızlığımız ve Kalite Kontrol
Kamu Gözetimi, Muhasebe ve Denetim Standartları Kurumu tarafından yayımlanan, dürüstlük, tarafsızlık, mesleki yeterlik ve özen, sır saklama ve mesleğe uygun davranıştan oluşan temel ilkelere dayanan, Bağımsız Denetçiler için Etik Kuralların bağımsızlık ve diğer etik hükümlerine uygunluk sağlamaktayız.
Denetim şirketi; Kalite Kontrol Standardı Standardı 1[20]’i uygulamakta ve dolayısıyla etik hükümlere, mesleki standartlara ve yürürlükteki mevzuat hükümlerine uygunluk sağlandığına dair belgelendirilmiş politika ve prosedürleri içeren kapsamlı bir kalite kontrol sisteminin devamlılığını sağlamaktadır.
Hizmet Kuruluşu Denetçisinin Sorumlulukları
Bizim sorumluluğumuz, uyguladığımız prosedürlere dayanarak, XYZ Hizmet Kuruluşunun tanımı ve bu tanımda belirtilen kontrol amaçlarıyla ilgili kontrollerin tasarımı hakkında görüş vermektir. Yaptığımız denetim, Kamu Gözetimi, Muhasebe ve Denetim Standartları Kurumu tarafından yayımlanan Güvence Denetimi Standardı 3402 Hizmet Kuruluşundaki Kontrollere İlişkin Güvence Raporları’na uygun olarak yürütülmüştür. Bu Standart, tanımın tüm önemli yönleriyle gerçeğe uygun bir biçimde sunulup sunulmadığı ve kontrollerin tüm önemli yönleriyle uygun bir şekilde tasarlanıp tasarlanmadığına dair makul güvence elde etmek üzere prosedürlerimizi planlamamızı ve uygulamamızı gerektirmektedir.
Bir hizmet kuruluşunda, tanımın ve kontrollerin tasarımının raporlanmasına yönelik güvence denetimi, hizmet kuruluşunun sistem tanımında yer alan açıklamalara ve kontrollerin tasarımına dair kanıt elde etmek amacıyla prosedürlerin uygulanmasını içerir. Seçilen prosedürler; tanımın gerçeğe uygun bir biçimde sunulmama ve kontrollerin uygun bir şekilde tasarlanmama risklerinin değerlendirilmesi de dâhil, hizmet kuruluşu denetçisinin mesleki muhakemesine dayanmaktadır. Bu tip bir güvence denetimi; tanımın genel sunumunun, tanımda belirtilen amaçların uygunluğunun ve hizmet kuruluşu tarafından öngörülen ve [aa] sayfada tanımlanan kıstasların uygunluğunun değerlendirilmesini de kapsamaktadır.
Yukarıda belirtildiği üzere, tanımda yer alan kontrollerin işleyiş etkinliğine ilişkin herhangi bir prosedür uygulamadığımızdan bu konuya ilişkin görüş bildirmiyoruz.
Denetim sırasında elde ettiğimiz kanıtların, görüşümüzün oluşturulması için yeterli ve uygun bir dayanak oluşturduğuna inanıyoruz.
Hizmet Kuruluşundaki Kontrol Kısıtları
XYZ Hizmet Kuruluşunun tanımı, çok sayıda müşterinin ve onların denetçilerinin ortak ihtiyaçlarını karşılamak üzere hazırlanmıştır ve dolayısıyla tanım, her bir müşterinin kendi özel çevresi açısından önemli olabileceğini düşündüğü sistemin her yönünü kapsamayabilir. Ayrıca bir hizmet kuruluşundaki kontroller, niteliklerinden dolayı, işlemlerin yürütülmesi -işlenmesi- veya raporlanması sırasında oluşan tüm ihmal veya hataları önleyemeyebilir veya tespit edemeyebilir.
Görüş
Görüşümüz, bu raporda genel olarak belirtilen hususlara dayanarak oluşturulmuştur. Görüşümüzü oluştururken kullandığımız kıstaslar [aa] sayfada açıklanmıştır. Görüşümüze göre, tüm önemli yönleriyle:
(a) Tanım [sistem tipi veya adı] [tarih] tarihinde tasarlandığı ve uygulandığı haliyle şekilde sistemi uygun bir biçimde sunmaktadır,
(b) Tanımda belirtilen kontrol amaçlarıyla ilgili kontroller [tarih] tarihinde uygun bir şekilde tasarlanmıştır.
Hedef Kullanıcılar ve Amaç
Bu rapor; yalnızca XYZ Hizmet Kuruluşunun [sistem tipi veya adı] sistemini kullanan müşteriler ve diğer bilgilerle birlikte (müşterilerin finansal raporlamayla ilgili bilgi sistemlerini tanırken müşterilerin kendisi tarafından yürütülen kontrollerle ilgili bilgiler de dâhil) söz konusu sistemi değerlendirebilecek düzeyde bilgiye sahip denetçilere yöneliktir.
[Hizmet kuruluşu denetçisinin imzası] [Hizmet kuruluşu denetçisinin güvence raporunun tarihi] [Hizmet kuruluşu denetçisinin adresi]

Ek 3
(Bakınız: A50 paragrafı)

Hizmet Kuruluşu Denetçisinin Olumlu Görüş Dışında Görüş İçeren Güvence Raporu Örnekleri
Aşağıda verilen örnekler yalnızca rehberlik etme amacı taşımakta olup tüm durumları kapsaması ve her durumda uygulanabilir olması amaçlanmamıştır. Örnekler, Ek 2’de verilen rapor örneklerine dayanmaktadır.

Örnek 1: Sınırlı olumlu görüş – hizmet kuruluşunun sistem tanımı, tüm önemli yönleriyle gerçeğe uygun bir biçimde sunulmamıştır.
…
Hizmet Kuruluşu Denetçisinin Sorumlulukları
…
Denetim sırasında elde ettiğimiz kanıtların, görüşümüzün oluşturulması için yeterli ve uygun bir dayanak oluşturduğuna inanıyoruz.
Sınırlı Olumlu Görüşün Dayanağı
[mn] sayfada yer alan ekli tanım, XYZ Hizmet Kuruluşunun, sisteme yetkisiz erişimi önlemek amacıyla operatör kimlik numaralarını ve şifrelerini kullandığını belirtmektedir. Personelin sorgulanması ve faaliyetlerin gözlenmesini de içeren prosedürlerimize dayanarak, operatör kimlik numaralarının ve şifrelerin A ve B Uygulamalarında kullanıldığını ancak C ve D uygulamalarında kullanılmadığını tespit etmiş bulunuyoruz.
Sınırlı Olumlu Görüş
Görüşümüz, bu raporda genel olarak belirtilen hususlara dayanarak oluşturulmuştur. Görüşümüzü oluştururken kullandığımız kıstaslar XYZ Hizmet Kuruluşunun [aa] sayfada yer alan beyanında tanımlanan kıstaslardır. Görüşümüze göre, Sınırlı Olumlu Görüşün Dayanağı paragrafında belirtilen husus dışında:
(a) …

Örnek 2: Sınırlı olumlu görüş – kontroller, etkin bir şekilde işlemeleri halinde, hizmet kuruluşunun tanımında belirtilen kontrol amaçlarına ulaşılmasına yönelik makul güvence sağlamak için uygun bir şekilde tasarlanmamıştır
…
Hizmet Kuruluşu Denetçisinin Sorumlulukları
…
Denetim sırasında elde ettiğimiz kanıtların, görüşümüzün oluşturulması için yeterli ve uygun bir dayanak oluşturduğuna inanıyoruz.
Sınırlı Olumlu Görüşün Dayanağı
Ekli tanımın [mn] sayfasında belirtildiği üzere XYZ Hizmet Kuruluşu, eksiklikleri düzeltmek veya kapasiteyi arttırmak amacıyla zaman zaman uygulama programlarında değişiklikler yapmaktadır. Değişikliklerin tasarlanmasında ve uygulanmasında değişikliklerin yapılıp yapılmayacağı belirlenirken izlenen prosedürler, söz konusu değişiklikleri yapan kişilerden bağımsız olarak yetkilendirilmiş kişilerce yapılan bir gözden geçirme ve onay sürecini içermemektedir. Ayrıca, bu değişikliklerin uygulanmadan önce test edilmesi veya test sonuçlarının gözden geçirmeye yetkili bir kişiye sunulması için belirlenmiş herhangi bir özel hüküm de bulunmamaktadır.
Sınırlı Olumlu Görüş
Görüşümüz, bu raporda genel olarak belirtilen hususlara dayanarak oluşturulmuştur. Görüşümüzü oluştururken kullandığımız kıstaslar XYZ Hizmet Kuruluşunun [aa] sayfada yer alan beyanında tanımlanan kıstaslardır. Görüşümüze göre, Sınırlı Olumlu Görüşün Dayanağı paragrafında belirtilen husus dışında:
(a) …

Örnek 3: Sınırlı olumlu görüş – kontroller, belirlenen dönem boyunca etkin bir şekilde işlememiştir (yalnızca 2 nci tip rapor için)
…
Hizmet Kuruluşu Denetçisinin Sorumlulukları
…
Denetim sırasında elde ettiğimiz kanıtların, görüşümüzün oluşturulması için yeterli ve uygun bir dayanak oluşturduğuna inanıyoruz.
Sınırlı Olumlu Görüşün Dayanağı
XYZ Hizmet Kuruluşu, tanımda, alınan kredi ödemelerinin elde edilen çıktılarla mutabakatını sağlamak üzere otomatik kontrollere sahip olduğunu belirtmiştir. Ancak, tanımın [mn] sayfasında belirtildiği üzere, söz konusu kontrol, bir programlama hatasından dolayı gg/aa/yyyy ile gg/aa/yyyy tarihleri arasındaki dönemde etkin şekilde işlememiştir. Bu durum, gg/aa/yyyy ile gg/aa/yyyy tarihleri arasındaki dönemde “Kontroller, alınan kredi ödemelerinin uygun şekilde kaydedildiğine dair makul güvence sağlar” şeklinde ifade edilen kontrol amacına ulaşılamamasına sebep olmuştur. XYZ, [tarih] tarihi itibariyle hesaplamayı yapan programda bir değişiklik uygulamıştır ve bizim testlerimiz gg/aa/yyyy ile gg/aa/yyyy tarihleri arasındaki dönemde kontrolün etkin şekilde işlediğini göstermektedir.
Sınırlı Olumlu Görüş
Görüşümüz, bu raporda genel olarak belirtilen hususlara dayanarak oluşturulmuştur. Görüşümüzü oluştururken kullandığımız kıstaslar XYZ Hizmet Kuruluşunun [aa] sayfada yer alan beyanında tanımlanan kıstaslardır. Görüşümüze göre, Sınırlı Olumlu Görüşün Dayanağı paragrafında belirtilen husus dışında:
…

Örnek 4: Sınırlı olumlu görüş – hizmet kuruluşu denetçisi yeterli ve uygun kanıt elde edememiştir
…
Hizmet Kuruluşu Denetçisinin Sorumlulukları
…
Denetim sırasında elde ettiğimiz kanıtların, görüşümüzün oluşturulması için yeterli ve uygun bir dayanak oluşturduğuna inanıyoruz.
Sınırlı Olumlu Görüşün Dayanağı
XYZ Hizmet Kuruluşu, tanımda, alınan kredi ödemelerinin elde edilen çıktılarla mutabakatını sağlamak üzere otomatik kontrollere sahip olduğunu belirtmiştir. Ancak, söz konusu mutabakatın sağlanmasına ilişkin gg/aa/yyyy ile gg/aa/yyyy tarihleri arasındaki döneme ait elektronik kayıtlar bir bilgisayar işlemi hatası sonucu silinmiştir ve dolayısıyla bizim bu kontrolün söz konusu döneme ait işleyişini test etmemiz olanaksızdır. Sonuç olarak, gg/aa/yyyy ile gg/aa/yyyy tarihleri arasındaki dönemde “Kontroller, alınan kredi ödemelerinin uygun şekilde kaydedildiğine dair makul güvence sağlar” şeklinde ifade edilen kontrol amacının etkin şekilde işleyip işlemediğini tespit edememekteyiz.
Sınırlı Olumlu Görüş
Görüşümüz, bu raporda genel olarak belirtilen hususlara dayanarak oluşturulmuştur. Görüşümüzü oluştururken kullandığımız kıstaslar XYZ Hizmet Kuruluşunun [aa] sayfada yer alan beyanında tanımlanan kıstaslardır. Görüşümüze göre, Sınırlı Olumlu Görüşün Dayanağı paragrafında belirtilen husus dışında:
(a) …

Dipnotlar

[1]  GDS 3000, “Tarihi Finansal Bilgilerin Bağımsız Denetimi veya Sınırlı Bağımsız Denetimi Dışındaki Güvence Denetimleri”, 12 inci paragraf

[2]  BDS 402, “Hizmet Kuruluşu Kullanan Bir İşletmenin Bağımsız Denetiminde Dikkate Alınacak Hususlar”

[3] GDS 3000, 12 inci paragraf

[4] Bu GDS’nin 13 ve 53 üncü paragrafları

[5] GDS 3000, 3(a), 20 ve 34 üncü paragraflar

[6]  GDS 3000, 3(b) ve 31(a) paragrafları. KKS1, Finansal Tabloların Bağımsız Denetim ve Sınırlı Bağımsız Denetimleri ile Diğer Güvence Denetimleri ve İlgili Hizmetleri Yürüten Bağımsız Denetim Kuruluşları ve Bağımsız Denetçiler için Kalite Kontrol

[7] Bir alt hizmet kuruluşu olması durumunda, bu kuruluşun hizmetlerinden faydalanan hizmet kuruluşunun hizmet kuruluşu denetçisi de bir kullanıcı denetçi -hizmet alan işletme denetçisi- konumundadır.

[8] Bu GDS’de iç denetçilerin, hizmet kuruluşu denetçisine denetim prosedürlerini yerine getirme konusunda doğrudan yardım sağladığı örnekler ele alınmamıştır.

[9] Bu GDS’nin 13(b)(v) paragrafı

[10]  KKS 1, A54–A55 paragrafları daha fazla rehberlik sağlamaktadır.

[11] GDS 3000, 24(b) ve 41 inci paragraflar

[12] “Denetim konusunu oluşturan bilgi” dayanak denetim konusunun kıstaslar karşısında ölçümünün veya değerlendirilmesinin bir çıktısıdır (yani; kıstasların dayanak denetim konusuna uygulanması sonucu ortaya çıkan bilgidir).

[13] BDS 315, İşletme ve Çevresini Tanımak Suretiyle “Önemli Yanlışlık” Risklerinin Belirlenmesi ve Değerlendirilmesi

[14] Etik Kurallar, 110.2 paragrafı

[15]  KKS 1, 45 inci paragraf

[16] KKS 1, A54 paragrafı

[17] Bu tanımın bazı unsurları sözleşme kapsamına alınmamışsa, bu durum güvence raporunda açıkça belirtilir.

[18] KKS1, Finansal Tabloların Bağımsız Denetim ve Sınırlı Bağımsız Denetimleri ile Diğer Güvence Denetimleri ve İlgili Hizmetleri Yürüten Bağımsız Denetim Kuruluşları ve Bağımsız Denetçiler için Kalite Kontrol

[19] Bu tanımın bazı unsurları sözleşme kapsamına alınmamışsa, bu durum güvence raporunda açıkça belirtilir.

[20] KKS 1, Finansal Tabloların Bağımsız Denetim ve Sınırlı Bağımsız Denetimleri ile Diğer Güvence Denetimleri ve İlgili Hizmetleri Yürüten Bağımsız Denetim Kuruluşları ve Bağımsız Denetçiler için Kalite Kontrol

Kaynak: https://www.kgk.gov.tr/