MADDE 4 - (1) Hizmet sağlayıcı, işletmenin muhasebe ve iç kontrol sistemlerini etkileyen ve işletmenin organizasyonundan fiziksel ve operasyonel olarak farklı politika ve yöntemler belirlemek suretiyle işletmeye hizmet verebilir. Hizmet sağlayıcı tarafından verilen hizmetler, işlemlerin kaydedilmesi ve işlenmesi ile sınırlıysa ve işlemlerin muhasebeleştirilmesi, onayı ve finansal sorumluluğu işletme tarafından üstleniliyorsa, işletme kendi bünyesinde bu hizmetler ile ilgili güvenilirliğin sağlanmasını teminen etkin politika ve yöntemler geliştirerek uygulayabilir. Buna karşın, işletmenin finansal raporlama işlemleri bir hizmet sağlayıcı tarafından gerçekleştiriliyorsa ve finansal sorumluluk hizmet sağlayıcıya aitse, işletme hizmet sağlayıcısının kullandığı politika ve yöntemlerin güvenilir olduğunu varsayabilir.

(2) Bağımsız denetçi, işletmenin, faaliyet koşullarının ve çevresiyle olan ilişkilerinin kavranabilmesi için, dışardan sağlanan hizmetlerin işletme için önemini ve bağımsız denetim ile ilgisini belirlemek zorundadır. Bu amaçla, bağımsız denetçi aşağıdaki hususları göz önünde bulundurur:

a) Sağlanan hizmetlerin niteliği.

b) Sözleşme koşulları ve işletme ile hizmet sağlayıcı arasındaki ilişki.

c) Dışardan sağlanan hizmetler ile işletmenin iç kontrol sistemi arasındaki etkileşim.

ç) Dışardan sağlanan hizmetlerle ilgili iç kontrolün unsurları:

1) Dışarıdan sağlanan hizmetlerle ilgili olarak iç kontrol sisteminde yapılan işlemler ve

2) İşletmenin dışarıdan sağlanan hizmetlerin kullanımıyla ilgili riskleri nasıl belirlediği ve yönettiği hususu.

d) Hizmet sağlayıcının, söz konusu hizmetlerin işletmeye olan muhtemel olumsuz etkileri de dahil olmak üzere, finansal gücü ve yeterliliği.

e) Hizmet sağlayıcı ile ilgili teknik veya kullanıcı kılavuzlarında yer alan bilgiler.

f) Genel bilişim sistemi kontrolleri ve uygulama kontrolleri gibi, hizmet sağlayıcının bilgi sistemleri ile ilgili kontrollere ilişkin ulaşılabilir bilgiler.

(3) Bağımsız denetçi, hizmet sağlayıcının iç kontrolüne, faaliyetlerine ve etkinliğine ilişkin hususları değerlendirebilmek amacıyla, üçüncü kişiler tarafından verilen hizmet sağlayıcıya ilişkin bağımsız denetim raporları, iç denetim raporları veya düzenleyici otoritelerin raporlarını da göz önünde bulundurur.

(4) Yukarıdaki hususların değerlendirilmesi sonucunda bağımsız denetçi, kontrol riski değerlendirmesinin hizmet sağlayıcının kontrolleri tarafından etkilenmeyeceği sonucuna ulaşırsa, bu Kısım hükümlerini dikkate almaz.

(5) Bağımsız denetçi, hizmet sağlayıcısının faaliyetlerinin işletme için önemli ve bağımsız denetimle ilgili olduğu sonucuna varırsa, önemli yanlışlık riski değerlendirmesinde bulunabilmek ve bununla ilgili alınacak önlemler kapsamında ek bağımsız denetim teknikleri tasarlamak üzere, işletmeyi, faaliyet koşullarını ve hizmet sağlayıcıyla olanlar dahil çevresiyle olan ilişkilerini kavramak zorundadır.

(6) Hizmet sağlayıcı ile ilgili eldeki bilgiler yetersizse, bağımsız denetçi, hizmet sağlayıcının bağımsız denetçisinden ihtiyaç duyulan bilgiyi sağlamak üzere, risk değerleme yöntemlerini uygular veya söz konusu bilgiyi elde etmek için hizmet sağlayıcı ile görüşme yapma ihtiyacı duyacağını göz önünde bulundurur. Hizmet sağlayıcı ile görüşmek isteyen bağımsız denetçi, işletme ile bağlantıya geçerek, gerekli bilgilere ulaşımına izin verilmesi için talepte bulunabilir.

(7) Bağımsız denetçi, hizmet sağlayıcı tarafından etkilenen muhasebe ve iç kontrol sistemleri ile ilgili bilgileri, hizmet sağlayıcı için düzenlenmiş bağımsız denetim raporlarını inceleyerek edinebilir. Bağımsız denetçi, hizmet sağlayıcının bağımsız denetim raporlarını kullanırsa, söz konusu bağımsız denetim kuruluşunun mesleki yeterliliğini de değerlendirmek zorundadır.

(8) Bağımsız denetçi, düşük düzeydeki kontrol riskinin değerlendirilmesini desteklemek için kontrol testlerini kullanarak bağımsız denetim kanıtı elde etmenin yeterli olduğu sonucuna varabilir. Bu kanıtlar aşağıdaki yöntemlerle elde edilebilir:

a) İşletmenin hizmet sağlayıcının faaliyetleri üzerindeki kontrollerinin test edilmesi,

b) Hizmet sağlayıcının bağımsız denetimle ilgili verilerinin değerlendirilmesi için muhasebe ve iç kontrol sisteminin işleyiş etkinliği hakkında görüş bildiren bağımsız denetim raporunun temin edilmesi ve

c) Hizmet sağlayıcı ile görüşme yapılması ve kontrol testlerinin uygulanması.