Etkili Bir İç Kontrol Çerçevesi
Nasıl Oluşturulur?

ETKİLİ İÇ KONTROL ÇERÇEVESİ

Birçok kurumda sorunlar kontrol eksikliğinden değil; kontrollerin parçalı, koordinasyonsuz ve sahipliği belirsiz olmasından kaynaklanır.

Onaylar vardır, ancak hiç kimse neden gerekli olduklarını anlamaz. Raporlar üretilir, ancak karar alma süreçleriyle ilişkilendirilmez. Görevler ayrılığı tanımlanmıştır, ancak sistem erişim yetkileri bunu desteklemez.

Bu nedenle, bir iç kontrol çerçevesinin nasıl oluşturulacağı sorusu yalnızca denetim veya uyum perspektifinden ele alınmamalıdır. Performans yönetimi, süreç yönetimi, risk yönetimi ve dijital altyapıyı bir araya getiren bütünleşik bir yapı içinde değerlendirilmelidir.

Etkili bir iç kontrol çerçevesi, kurumun hiçbir zaman hata yapmamasını sağlamak üzere tasarlanmış bir engel değildir. Temel amacı; hedeflere ulaşılmasını tehdit eden riskleri makul bir düzeyde yönetmek, kritik süreçlerde öngörülebilirliği artırmak ve yönetime karar alma konusunda güvenilir bir dayanak sağlamaktır.

Dolayısıyla iç kontrol bir dokümantasyon çalışması değil, yönetim sisteminin işleyen bir parçasıdır.

Birçok kurum iç kontrol tasarımına kontrol listeleriyle başlar. Oysa başlangıç noktası kontrolün kendisi değil, kurumun hedefleri olmalıdır.

Hangi hedeflerin korunması, hangi risklerin yönetilmesi ve hangi süreçlerde güvence sağlanması gerektiği yanıtlanmadan oluşturulan bir çerçeve kısa sürede biçimsel bir uygulamaya dönüşür.

Kurumun tamamında aynı kontrol yoğunluğunu uygulamak çoğu zaman verimli değildir. Satın alma, ödemeler, stok, üretim planlama, müşteri verileri, sözleşme yönetimi ve erişim yetkilendirme gibi etkisi yüksek alanlara genellikle öncelik verilmelidir.

Ayrıca kritik bir tercih yapılmalıdır: Kurum iç kontrolü yalnızca mevzuata uyum sağlamak için mi kuruyor, yoksa çerçeveyi performansı ve sürdürülebilirliği geliştirecek biçimde mi tasarlıyor?

İlk yaklaşım asgari uyumu sağlar. İkinci yaklaşım ise iç kontrolü daha iyi karar alma ve sürekli süreç iyileştirme mekanizmasına dönüştürür.

İç kontroldeki en yaygın zayıflıklardan biri, organizasyon yapısı ile uçtan uca süreç akışı arasındaki farkın gözetilmemesidir.

Organizasyonel bakış kimin sorumlu olduğunu gösterir. Ancak riskin nerede ortaya çıktığını, hatanın hangi adımda oluştuğunu veya hangi verinin kritik olduğunu ortaya koymaz.

Bu nedenle iç kontrol tasarımı, uçtan uca süreç haritalarına dayanmalıdır.

Bu analiz yapılmadan tanımlanan kontroller çoğu zaman ya aşırıya kaçar ya da gerçek riskle uyumsuz olur.

Örneğin satın alma sürecinde üç ayrı yönetici onayı güçlü bir kontrol gibi görünebilir. Ancak tedarikçi ana verisi kısıtlama olmadan oluşturulabiliyorsa veya mal kabul ile fatura eşleştirmesi sistematik biçimde yapılmıyorsa temel risk açıkta kalır.

Benzer biçimde, finansal kapanış sırasında çok sayıda mutabakat yapılması, dayanak oluşturan veri kaynakları standartlaştırılmamışsa yeterli değildir. Finansal raporlamanın güvenilirliği yine zayıflayacaktır.

Bu nedenle süreç haritalama ile risk ve kontrol matrisi birlikte tasarlanmalıdır. Süreç görünürlüğü olmayan bir kurum, yalnızca işlem adımlarını artırdığı hâlde kontrolleri uyguladığını düşünebilir.

Bir iç kontrol çerçevesinin olgunluğu, kurumun tüm riskleri eşit biçimde ele alıp almadığına bakılarak değerlendirilebilir.

Düşük etkili hatalar için ağır onay mekanizmaları operasyonları yavaşlatabilir. Buna karşılık yüksek etkili risklerin zayıf prosedürel kontrollerle yönetilmesi kurumu savunmasız bırakır.

Riskler etki ve olasılığa göre sınıflandırılmalı; ayrıca aşağıdaki boyutlar bakımından değerlendirilmelidir:

Bazı süreçlerde önleyici kontroller öncelikli olabilir. Diğerlerinde tespit edici kontroller yeterli olabilir. Belirli alanlarda ise manuel kontrollerin yerini otomatik sistem kontrolleri almalıdır.

Denge önemlidir. Kontrol sayısını artırmak güvence düzeyini kendiliğinden yükseltmez. Çoğu durumda yalnızca daha fazla bürokrasi yaratır.

Özellikle hız ve esnekliğin kritik olduğu operasyonlarda, kötü tasarlanmış kontroller çalışanları alternatif yollar geliştirmeye teşvik eder. Bu da fiili süreç ile resmî kontrol yapısı arasında bir kopukluk yaratır.

İç kontrol, sorumlulukların yalnızca görev tanımlarına yazılmasıyla işlemez. Her kontrolün açıkça belirlenmiş bir sahibi olduğunda işler.

Kurumlarda sık karşılaşılan sorun, iç kontrolün herkesin sorumluluğu olarak görülmesi ve bunun sonucunda hiç kimsenin etkin sahiplik üstlenmemesidir.

Çerçeve oluşturulurken aşağıdaki roller açıkça tanımlanmalıdır:

Görevler ayrılığı bu aşamada temel bir ilkedir; ancak her kurumda tamamen aynı biçimde uygulanamaz.

Küçük veya orta ölçekli kurumların personel sayısı sınırlı olabilir. Geleneksel görevler ayrılığının tam olarak kurulamadığı durumlarda telafi edici kontroller uygulanmalıdır.

Amaç kâğıt üzerinde ideal bir model değil, uygulamada işleyen bir model oluşturmaktır.

Yetki devri yapılan durumlarda devrin sınırları tanımlanmalı, mali limitler güncel tutulmalı ve sistem erişim yetkileri organizasyonel rollerle uyumlu hâle getirilmelidir.

İnsan kaynakları ve BT erişim yönetimi birbiriyle uyumlu değilse, iç kontrol çerçevesi en zayıf halkasından etkilenecektir.

Politikalar, prosedürler ve iş talimatları kontrol ortamının temel bileşenleridir. Ancak dokümantasyonun varlığı, kontrolün etkili olduğunu kanıtlamaz.

Bir prosedürün değer yaratabilmesi için aşağıdaki özellikleri taşıması gerekir:

Bir diğer yaygın zayıflık, prosedürlerin denetim dönemlerinde güncellenmesi ancak normal operasyonlar sırasında aktif olarak kullanılmamasıdır.

Bu nedenle dokümantasyon, eğitim ve uygulama doğrulamasıyla desteklenmelidir. Çalışanlar yalnızca kendilerinden ne beklendiğini değil, kontrolün neden var olduğunu da anlamalıdır.

Modern kurumlarda iç kontrol yalnızca manuel kontrol noktalarına dayanamaz.

ERP platformları, BPM sistemleri, iş akışı araçları, yetki matrisleri, denetim kayıtları, uyarı mekanizmaları ve raporlama altyapıları kontrol ortamının ayrılmaz parçalarıdır.

İşlem hacminin yüksek olduğu kurumlarda manuel izleme hem maliyetlidir hem de hataya açıktır.

Bu nedenle iç kontrol tasarımı aşağıdaki sorulara yanıt vermelidir:

Örneğin aşağıdaki olaylar kurumsal sistemler üzerinden gerçek zamanlı izlenebiliyorsa kontrol çerçevesi daha hızlı ve izlenebilir hâle gelir:

Bu nedenle IRONMAN Consulting yaklaşımında da vurgulandığı üzere iç kontrol; süreç yönetimi, performans yönetimi ve dijital altyapıyla bütünleştirilmelidir.

Manuel ve parçalı kontrol yapıları görünürlüğü hızla kaybeder. Bütünleşik yapılar ise yönetime karar almayı doğrudan destekleyen bilgiler sağlar.

İç kontrol çerçevesi oluşturulduğunda çalışma sona ermez.

Çerçevenin gerçek değeri, kurumun kontrollerin etkili biçimde işleyip işlemediğini düzenli olarak test etmesiyle ortaya çıkar.

Bir kontrol iyi tasarlanmış ancak kötü uygulanmış olabilir. Bunun tersi de mümkündür: Kontrol tasarımı temel riski yeterince ele almasa bile çalışanlar kontrolü özenle uygulayabilir.

Bu nedenle izleme modeli iki düzeyli olmalıdır.

Birinci düzeyde süreç sahipleri günlük ve periyodik kontrol performansını izler.

İkinci düzeyde bağımsız inceleme mekanizmaları kontrol ortamının etkinliğini değerlendirir.

Bu mekanizmalar iç denetim, risk yönetimi, uyum veya kurumsal yönetişim fonksiyonları tarafından desteklenebilir.

Kontrol testleri yalnızca varlığı değil, etkinliği değerlendirmelidir.

Bir onay kaydının bulunması yeterli değildir. Kurum, onayın aşağıdaki koşulları sağlayıp sağlamadığını belirlemelidir:

Bulgular tek tek kapatılmak yerine kök neden analiziyle ele alınmalıdır. Aksi hâlde aynı zayıflık farklı süreçlerde yeniden ortaya çıkacaktır.

Yönetim davranışları desteklemiyorsa en güçlü tasarım bile sürdürülebilir olmaz.

Üst yönetim istisnaları keyfî biçimde genişletirse, performans baskısı nedeniyle kontroller atlanırsa veya hata bildiren çalışanlar cezalandırılırsa insanlar sistemi korumak yerine onun etrafından dolaşmayı öğrenir.

Bu nedenle güçlü bir kontrol kültürü disiplin, şeffaflık ve hesap verebilirlik üzerine kurulmalıdır.

Bir hatayı görünür kılmak zayıflık olarak değil, kurumsal öğrenme fırsatı olarak değerlendirilmelidir.

Son olarak iç kontrol, işleri yavaşlatan gereksiz bir engel olarak konumlandırılmamalıdır. Hedefleri koruyan ve sürdürülebilir performansı destekleyen bir yönetim uygulaması olarak anlaşılmalıdır.

Başarılı kurumlar iç kontrolü ayrı bir proje olarak kurmaz; yönetim modellerinin doğal bir parçası hâline getirir.

Süreçler açık, roller tanımlı, sistemler etkin destek sağlıyor ve izleme mekanizmaları düzgün işliyorsa iç kontrol yalnızca riski azaltmakla kalmaz; karar kalitesini, operasyonel disiplini ve kurumsal dayanıklılığı da geliştirir.

Artık doğru soru yalnızca bir iç kontrol çerçevesinin nasıl oluşturulacağı değildir. Daha önemli soru, çerçevenin kurumun stratejik hedeflerini ne ölçüde desteklediği ve değişen risk ortamına ne kadar hızlı uyum sağlayabildiğidir.