İç Denetim risk yönetimi çalışma kağıtları bilgi teknolojileri internal auditor cia mba denetçi - Anasayfa

İç Denetim risk yönetimi çalışma kağıtları bilgi teknolojileri internal auditor cia mba denetçi - Anasayfa

Orman Yangınları ve Reaktif Risk Yönetimi Yanılgısı

Yine memleketimizin Ege ve Akdeniz bölgelerinde ormanlarımız yanıyor. Daha doğrusu ciğerlerimiz yanıyor. Mali kayıpların şimdiden yan etkileri ile 1 milyar YTL’yi geçtiği söyleniyor. Manevi kayıpları kelimelere dökmek mümkün bile değil.
En son yangın nihayet hükümetin de dikkatini çekmeyi başardı. Alınacak önlem ve tedbirler ile ilgili acil toplantı gerçekleştirilmesine karar verildi. Acil eylem planı...Zararlar, kayıplar ve acılar sonrası.İşte gerek iç denetim ve risk yönetime ilişkin makalelerde, gerek eğitimlerde, gerekse de mesleki toplantılarda hep söylediğimiz şu: Risk yönetimi şart. Ama nasıl bir risk yönetimi? Elbette ki proaktif bir risk yönetimi. Yani olayları (tehditleri) henüz gerçekleşmeden, bu olayların yaratacağı etki ve gerçekleşme olasılıklarını düşürmek üzere tedbir alan bir anlayış. Bunun birde tersi var. Reaktif risk yönetimi. Olaylar gerçekleşir. Yeni ve benzer tehditleri engellmek için tedbirler alınır. Acil eylem planları gibi...Acil toplantılar gibi. Risk tanımlama ve yönetimi ancak kötü bir sonuçtan sonra başlatılır. Çok kişi de hiç olmamasından iyidir der!
Daha önce deprem riskinden bahsetmiştik. Geçmişte yaşadığımız çok büyük bir acıya rağmen bu konuda “reaktif” de olsa yeterli tedbirlerin alınamadığından bahsetmiştik. Umarım bu “yangın” acısı da benzer şekilde ele alınmaz. Can kaybı, ormanlarımızın kaybı, her seferinde ciğerlerimizi hakikaten yakıyor. Sebebi ne olursa olsun (terör, ihmal, kürsel ısınma, suistimal, yolsuzluk, cahillik) bu kayıplar kabul edilemez. Milli servet kaybının ötesinde, gelecek nesilleri çöl gibi bir ülkede yaşamak zorunda bırkma yolunda ilerleyen bizler, önemli bir itibar riski ile karşı karşıyayız. Önceki nesillerden bize bırakılan ile bizim sonraki nesillere bıraktığımız arasında ciddi bir fark oluşuyor. Sanırım gelecek nesiller bu farkı tarihe not düşecekler...
Proaktif risk yönetimi kolay değildir. Özveri ister. Maliyeti de yüksek olabilir. Örneğin bilinçli veya bilinçsiz yangın çıkartmayı ağırlaştırılmış müebbet hapis ile cezalandırma yoluna giderseniz, bir önlem almış olursunuz. Bu bazı kişilere insani boyutu ile ağır bir risk yönetim stratejisi gibi gelebilir (ağırlaştırılmış cezai müeyyideler) ancak bu tehdidi yaratan kişi ve kurumların bizlere verdikleri zarar da oldukça ağırdır. Düşünsenize, işin ucunda müebbet hapis cezası var; artık insanımız için dikkatli olmak mecburiyeti doğacaktır. Ya da ormanlar ile ilgili gözetim ve takip sistemleri (elektronik) kurmak diğer bir strateji olabilir. Bunun da maddi külfeti çok olur diyen çıkabilir. Ancak bazı durumlar vardır ki milli çıkarlar ve insani değerler söz konusu olduğunda serbest piyasa ekonomisinin maliyet hesapları duvara toslar. İşte bu böyle bir durumdur.
Ciğerlerimiz yanıyor. Hem yangınlardan, hem de reaktif risk yönetimi politikalarından!

KEY Ödemeleri Vakası ve İç Denetim

“KEY ödemeleri ile ilgili olarak, üst üste yaşanan skandallar üzerine bir açıklama yapan, Emlak Gayrimenkul Yatırım Ortaklığı (EGYO) Genel Müdürü, "Bu tür işler sıfır hata ile olmaz" şeklinde açıklama yapıyor. Kamuoyu perspektifinden olay skandal boyutu taşıyor. Skandal veya hata, sonuçların büyüklüğünü zaman gösterecek. Ancak ben bu olayı “sonuçları” (skandal) ile değil, bir risk yönetimi ve iç kontrol vakası olarak “nedenleri ile” ele almak gayretindeyim.
Maalesef ülkemiz kamu ve özel sektörü iç denetçileri hemen her gün yeni bir iç kontrol vakası ile karşı karşıya kalıyor. Bu vakaların gerçekleştiği şirket veya kurumlar, yabancı muadillerinin hayal bile edemeyeceği bir risk evrenine sahipler. Dolayısı ile bu durumlar pek hoş olmasa da iç denetçilerin mesleki gelişimi açısından bulunmaz fırsatlar içeriyor. İşte son örnek ve Key Ödemeleri Süreci. Bu bir süreç çünkü; bir Kurumun sorumluluğu ve koordinasyonu altında, başı ve sonu belli, belirli amaç ve hedeflere sahip olarak ilerleyen ve bilgi teknolojisi, insan kaynağı ve maddi kaynakları kullanan bir aktiviteler zinciri. Bu süreçte söz konusu olan bazı tehditlerin gerçekleşmesi sonucu bazı riskler ortaya çıktı. Bu risklerin bazıları önemli sonuçlar doğururken, bazıları henüz doğurmasa da ileride doğurabilir. Söz konusu tüm bu riskler sonucu yaşanan bazı sıkıntılar var: (Kaynak: www.internethaber.com)
Ø Milyonlarca hak sahibinin, açıklanan listelerde adı yok.
Ø Listede adı yer alanların çoğu, beklediklerinin altında bir ödeme tutarı ile karşılaştılar. 1.000 YTL KEY alacağı beklerken, 1 YTL ya da 50-100 YTL alacağı gözüken yüzbinlerce hak sahibi var.
Ø Birikmiş paralar, EGYO yerine Hazine bonosunda değerlendirilseydi, dağıtılacak para, 2.8 milyar YTL yerine 5.7 milyar YTL olacaktı ve herkes, şimdi aldığının bir kat fazlasını alacaktı.
Ø Boşanan kadınlar mağdur edildiler. Bunlar, KEY ödemelerinin, eski kocalarına verilecek olmasına isyan ediyorlar
Ø KEY ödemesi yapılırken evlenen kadınların, KEY ödemeleri buharlaşmış gözüküyor. Sayısı milyonu aşan kadının, KEY ödemeleri kocasınınki ile birleştirilmemiş. Hiçbir yerde gözükmüyor.
Ø Bir vatandaşın fark ettiği üzere; EGYO sitesinde azami ödeme 1.391,15 YTL çıkıyor ancak dördüncü sütunda temettü olarak 23,25 YTL yazıyor ve toplam ödeme tutarı da 1.414.40 YTL gözüküyor, Resmi Gazete esas alınarak 1.391,15 YTL ödeme yapıldığından, 23,25 YTL buharlaşıyor!...
Ø TC kimlik numaraları deşifre oldu. Vatandaş "Başıma ne gelebilir?" diye endişe içinde...
Ø KEY listelerinin bir bölümü "Nasıl olsa ödenmez" diye, imhası için SEKA’ya gönderilmiş.
Burada bu yorumlar doğru olsun olmasın, gerek adı geçen kurum, gerekse de devlet ciddi bir itibar kaybı ile karşı karşıyadır. Bu sonuçların bir kısmı bile doğru olmasa dahi, vatandaşın kafasında “acaba “ sorusu olduğu sürece itibar kaybı söz konusudur. Bu itibar kaybı belki de bu olayın en önemli sonucu olmasına karşı, biz iç denetçiler ve risk yönetimi profesyonelleri açısından önemli olan esas husus şudur; bu olay büyük oranda süreç kapsamında etkin bir risk yönetimi ve iç kontrol sistemi tesis edilmemesinden kaynaklanmıştır.
Devletin, kamu idarelerinin, şirketlerin ve kamuoyunun bunu öğrenmesi, bu konuda bilinçlenmesi gerekmektedir. Her kurumun kendi sorumluluk alanı içinde mali kayıpların ötesinde kayıplar ile karşı karşıya olabileceği ve bunların mali kayıplara kıyasala telafi edilemez çok daha ağır kayıplar olduğunu tüm idarecilerin öğrenmesi gerekmeketdir. Kanun çıkartmak, düzenleme yapmak, yasal çerçeve çizmek önemldir. Ancak esas önemli olan çizilen çerçeye sahip çıkmaktır. Yasaları, kurumları, insanları ve sistemleri koruyan etkin risk yönetimi ve iç kontrollerdir. Bu unsurların sağlıklı bir şekilde işlev göstermesi çok önemlidir. Bu işlevselliği ise iç denetçiler test ederler. Yani iç denetçiler risk yönetimi ve iç kontrollerin varlığı ve etkin bir şekilde çalıştığına dair güvence verirler. Bu şekilde hem görev yaptıkları kurumları hem de onların idarecilerini korumuş olurlar.
Şimdi yukarıdaki olaylardan sorumlu tutulan Kurum ve onun İdarecisi perspektifinden bakarsak, en büyük hatanın bizce etkin bir iç denetim sistemine sahip olunmaması olduğunu görmekteyiz. Bu kurumda etkin bir iç denetim mekanizması bulunsa idi:
Ø KEY Ödemeleri Süreci veya Projesi taşıdığı riskler nedeni ile denetim konusu olarak iç denetçilerce önceden değerlendirmeye alınırdı.
Ø Risklerin yönetim tarafından tespit edilmesi ve uygun risk yönetimi stratejilerinin- iç kontroller de bunlardan biridir- oluşturulması için iç denetçiler tarafından yönlendirme yapılmış olabilirdi.
Ø Riskler sıfırlanamasa dahi pek çok risk, uygun stratejiler ile yönetilmek kaydı ile etksi ve olasılığı dahilinde azaltılabilirdi.
Ø Bilgi Teknolojisi ve operasyonel risklerin İtibar ve Yasal risklere dönüşmesi engellenmiş olabilirdi.
İşte bu sebeple buradan tüm kamu kurumu idarecileri ve özel sektör yöneticilerine sesleniyorum;
İç denetimi lütfen ciddiye alın. İç denetimden faydalanın. İç denetimi bir maliyet merkezi veya prosedür olarak görmeyin. Adet yerini bulsun diye iç denetim birimleri kurmayın. İç denetçileri muhasebe kaydı takipçisi, bir maliyet kontrol uzmanı veya bütçe takip elemanı olarak görmeyin. Onlar sizin her tür stratejik ve operasyonel süreçte en önemli araçlarınızdır. İç denetime sahip çıkın. İç denetçilerin bir gün kurumunuzu ve sizi kurtarabileceğini asla unutmayın. Risk Yönetimi ve İç Kontrol kavramlarına aşina olun. Unutmayın ki son 30 yıldır yaşanmakta olan tüm şirkat skandalları ve yolsuzluklarda, tüm batış hikayelerinde bir risk yönetimi ve iç kontrol sıkıntısı vardır. Bundan böyle de olmaya devam edecektir. İç denetim, risk yönetimi, iç kontrol gibi kavramlar asla ve asla modern yönetim yazınının ve bilminin bizlere sunduğu geçici, moda olmuş, önemi ortadan kalkacak kavramlar değildir. Esasen, bu kavramların ileride çok daha ön planda olacağını söyleyebiliriz. Bunu zaman gösterecektir.

Şirketler Ekonomik Krize Karşı Ne Yapmalı? (1)

Bilindiği üzere dünya ekonomik gündemi birkaç aydır oldukça karışık durumda. Özellikle Amerikan ekonomisindeki olumsuz gelişmelerin sıkı bir şekilde takip altına alındığı bir dönemdeyiz. Benzer şekilde gözler sürekli Avrupa Merkez bankası ve Çin’in ekonomi otoritelerinin alacakları kararlara kilitlenmiş durumda. Bunun sebebi bu dış gelişmelerin bazı iç siyasi şoklar ile birleşerek ülkemizde bir kriz ortamına zemin hazırlaması. Ekonomik kriz denilen olgu finansal piyasalar veya reel sektör kaynaklı olabiliyor, birinde başlayan bir sıkıntı, diğerini de kolaylıkla etkileyebiliyor.

Hatırlanacağı üzere, ülkemizde 2000 ve 2001 senelerinde yaşanan finansal tabanlı bir kriz kısa süre içinde bir reel krize dönüşmüş, ülkemiz hizmet, sanayi ve inşaat sektörlerini önemli boyutta etkilemişti. Bilindiği üzere ekonomik krizler bir ülkede politik ve/veya ekonomik nedenlerle ortaya çıkan ve ülkenin temel ekonomik yapısını temelden sarsan olaylardır. Global ekonomik kriz ise uluslararası ekonomide aniden ve beklenmedik bir şekilde ortaya çıkan olayların makro açıdan ülke ekonomisini, mikro açıdan ise firmaları ciddi anlamda sarsacak sonuçlar ortaya çıkarmasıdır. Yani bu açıdan bakıldığında ülkemizde bazı kişilerce dile getirilen olası bir ekonomik krizin “global” ve “siyasi” faktörler yani kısaca çevresel riskler sonucu gerçekleşmesi muhtemel görülmektedir.

Ekonomi teorisi birkaç dönem boyunca ardı ardına ciddi büyüme oranları sergileyen gelişmekte olan ülkelerin bu dış (çevresel) (external) riskler nedeni ile, bir veya birkaç dönem ekonomik bir gerileme (resesyon) ile karşı karşıya olabileceğine işaret etmektedir. Bu bağlamda kriz beklentileri ne kadar temelsiz veya ne denli kötümser olursa olsun, ekonomi teorisinin teorik açıklama ve ampirik bulguları bizi her zaman bu tür risklerin yoğunlaştığı dönemlerde kuşku duymaya itmeli, ekonomik kriz konusu ciddiye alınmalıdır. İçinde bulunduğumuz dönem işte böyle bir dönemdir.

Finansal sektörün ekonominin motoru olan reel sektör şirketleri için önemi tartışılamaz. Bu iki kesim de birbirlerini destekleyen, besleyen oluşumlardır. Bu nedenle krize karşı alınacak tedbirlerin koordineli ve danışıklı olmasında büyük önem vardır. 2000 ve 2001 krizlerinden sonra finansal kesimde bazı yapısal ve ciddi boyutlu dönüşümler gerçekleştirilmiştir. BDDK’nın kurulması, Bankacılık operasyonları, sermaye yapılarının güçlendirilmesi, açık pozisyonların takibi, Banka Bilgi Sistemlerinin ve Finansal İşlemlerinin bağımsız denetim ve risk odaklı denetimler ile tanışması, kurumsal yönetim yaklaşımının yaygınlaştırılması finansal kesimi ve özellikle de bankacılık sektörünü kuvvetlendirmiş, bankaların ve diğer finansal kurumların benzeri krizlere karşı dayanıklılığını ve taşıdıkları risklere ilişkin farkındalıklarını önemli oranda artırmıştır.

Buna karşı özel sektörde bu tür krizlere karşı bazı tedbirler almaya çalışmış, çevresel risklerin önemi anlaşılmış, “verimlilik” kavramı şirketlerin adeta can simidi gibi sarıldıkları bir unsur haline gelmiştir. Yaşanan bazı krizler sebebi ile, çeşitli dış risklerin ki buna makro ekonomik riskler de dahil, şirketlerin üretim kararlarından tutun, stok politikaları, pazarlama ve ihracat imkanları ile finansal yapıları üzerinde oynadığı rol açık bir şekilde ortaya çıkmıştır. Verimlilik kavramına ek olarak “inovasyon” ve “kurumsal yönetim” kavramları de ciddi boyutta tartışılır olmuştur. İnovasyon, yeni fikirlerin ticari bir yarara dönüştürülmesi sürecidir. Yani yaratıcılığın, ticari ustalıkla birleştirilmesidir. İnovasyon geleceği yaratmakla ve sürdürülebilir kârlı büyüme sağlamakla ilgilidir. Türkiye Kurumsal Yönetim Derneği, kurumsal yönetim (yönetişim) kavramını şu şekilde tanımlanmaktadır: “Kurumsal Yönetim, bir şirketin, hak sahipleri ve kamuoyunun menfaatlerine zarar vermeyecek şekilde, mali kaynakları ve insan kaynaklarını kendine çekmesini, verimli çalışmasını ve bu sayede de hissedarları için uzun dönemde ekonomik kazanç yaratarak istikrar sağlamasını mümkün kılan kanun, yönetmelik ve gönüllü özel sektör uygulamaları bileşimidir”. Yani son dönemde karlılık üzerinde önemli bir vurgu yapılmaktadır. Karın basit ekonomik formülünün “gelirler – giderler” olduğunu biliyoruz. Bu halde 2001 krizi sonrası ortaya çıkan, sıklıkla tartışılan ve şirketlerimiz açısından hayatta kalmanın çözümleri olarak genel kabul gören inovasyon, verimlilik ve yönetişim kavramları, genel olarak, karı sağlama ve bunu istikrarlı hale getirme, yani sürdürülebilir, paydaşlara faydalı karlılık üzerine odaklanmaktadır. Bu amaç ile, topluma ve yasalara duyarlı, gelirlerini farklı, kaliteli ürün ve hizmetler ile maksimize eden, giderlerini yine en düşük olacak şekilde çeşitli yol ve yöntemler ile minimize eden şirketlerin hayatta kalması söz konusudur.

Ülkemizde şirketler kesiminin yani özel sektörün bu kavramların önemini anlamaya başladığı aşikardır. Bu üç kavramın bir önemi daha vardır. Bu kavramlar kriz öncesi olduğu kadar kriz sırasında ve sonrasında da şirketlerin sürdürülebilir karlılığına önemli katkı yapmaktadır. Bu halde bu kavramların şirket yönetiminde belki de en temel varsayımlar olarak kabul edilmesi gerekmektedir. Bu halde şirketler kriz öncesi, sırasında ve sonrası;

1) Mutlaka verimlilik ilkesine uygun faaliyet göstermeli

2) İnovasyon kavramını anlamalı, bu kavrama yönelik olarak ürün ve hizmetlerini farklılaştırma yoluna gitmeli

3)Kurumsal Yönetim anlayışı ve bunun gereği olan KY ilkelerini kabul ederek, bunları eksiksiz uygulamalıdırlar.

Şimdi bu üç koşulun nasıl sağlanabileceği, yani şirketlerde nasıl tesis edilebileceğine geçmeden, bu koşulların sağlanması halinde ne tür faydalar sağlayabileceğine göz atalım:

Ülkemizde şirketlerin ekonomik krizler sırasında şu 4 alanda ciddi sıkıntı çektikleri görülmektedir. Bu alanlar finansman, pazarlama, stok yönetimi ve stratejik yönetimdir. Tüm bu alanların da birbirleri ile ilişkili olduğunu söylemek hatalı olmayacaktır. Şöyle ki, kriz dönemlerinde yapılan stratejik planlama hataları şirketin kısa vadede krizi atlatsa bile orta vadede bünyesine zarar verebilmektedir. Kriz dönemlerinde likit kalınması gereken durumlarda yatırım yapmak, yatırım yapılması gereken durumlarda da likit kalmak şirketin finansman politikalarını da olumsuz yönde etkilemektedir. Finansal risklerin iyi yönetilememesi, piyasa risklerinin şirket bilançoları üzerine etkileri gerçekten ölümcül sonuçlar doğurabilmektedir. Örneğin dolarla ihracat yapan bir şirket, dolarla borçlandığı takdirde açık pozisyon riski taşımadığını düşünebilir, ancak farklı piyasa riskleri ile karşı karşıya olabilir. Şirket döviz kurlarındaki bir yükseliş ile ihracat hacmini arttırken, kurlardaki artış ile borçlanma maliyetleri de artmaktadır. Bu ikisi arasında dengeli bir durum olduğu varsayılsa bile, özellikle hammadde ve ara malı ithal eden, dışa bağımlı bir üretim yapısına sahip ise, ki ülkemiz genelde bu türde işletmeler ile doludur, kurlardaki artışın ithal maliyetlerini artırma ve şirketin bu fiyat artışlarını nihai ürün fiyatına yansıtma zorunluluğundan dolayı iç ve dış pazarda kayıplar yaşaması ihtimali yüksektir. Pazarlama alanında yaşanan tüm sıkıntılar ise şirketin nakit yapısına ve dolayısı ile de finansman politikasına etki edecektir. Kriz dönemlerinde biriken stoklar ve hatalı stok yönetim politikaları pek çok şirketin önemli zararlar etmelerine veya gereksiz düzeyde stoklar ile çalışmak durumunda kalmaları ve olması gerekenden daha az kar etmelerine yol açmaktadır.

Bu bağlamda inovasyon, verimlilik ve iyi kurumsal yönetim ürün ve hizmetlerin piyasa koşullarından veya çevresel risklerden (piyasa, rekabet, yasal düzenlemeler) “mümkün olduğunca” bağımsız hale getirilmesine imkan vermektedir. Bu ne demektir?

Verimlik bilindiği üzere, en genel anlatımıyla, üretim sürecine sokulan çeşitli faktörlerle (girdiler) bu sürecin sonunda elde edilen ürünler (çıktılar) arasındaki ilişkiyi ifade eder. Savurganlıktan uzak, kaynakları en iyi biçimde değerlendirerek üretmek demektir. Verimli işletmelerde;

- Stok yönetimleri sağlıklıdır. Krizlere asla gereğinden çok fazla stok ile yakalanmazlar. Yani stok maliyetleri optimaldir.

- Aynı üretimi daha az girdi ile yapar veya aynı girdi ile daha çok ürün elde ederler.

- İnsan kaynağı, teknoloji altyapısı ve üretim süreçleri maliyetleri düşürmek üzere optimize edilmiştir. Operasyonel giderler olabilecek en düşük düzeydedir.

- Özellikle kriz zamanlarında önemli maliyet avantajları sağlamaya ve bunların ürün veya hizmet fiyatına yansıması ile pazarı koruyup geliştirmeye imkan verir.

İnovasyon ise özellikle gelir tarafında önemli katkılar sağlayacak bir kavramdır. İnovasyon çeşitli şekil ve türlerde yapılabilmektedir. Piyasada bulunmayan yeni bir ürün veya hizmet geliştirmek, eski bir ürüne farklı bir kullanım ile yeni bir pazar yaratmak, yeni bir ürünü farklı bir kullanım ile eski bir pazarda satmak veya şirket içi operasyon ve süreçleri değiştirmek suretiyle verimlilik sağlamak gibi çeşitli şekillerde fayda sağlamaktadır. Pazar geliştirmekten çok, kurum çapında sergilenmesi gereken bir çabaya işaret eder. Gelir yaratmak kadar, giderleri düşürmeye yönelik adımları da içerir. Ekonomik krizler sırasında verimlilik sağlamak kadar hatta daha çok fayda sağlar. İnovasyon mevcut ürün ve hizmetlerin, şirket içi süreçlerin, örgütsel yapıların ve her zamanki klasik yaklaşımların farklılaştırılması ve bu farklılaştırmanın kar yaratması temeline dayanan bir kavramdır. İnovatif şirketler krizleri birer fırsat olarak görür ve bu krizlerde normal dönemlerin üzerinde büyüme sağlayabilir. İnovasyon, şirketlerin Pazar payları, ciroları, giderleri, nakit akışları ve bilançoları üzerinde olumlu katkılar yapar.

Kurumsal Yönetim ise en iyi şirket yönetimini ifade etmektedir. Etkileri verimlilik veya inovasyon kadar somut veya anlaşılır olmamasına rağmen, sağladığı faydalar onlardan daha az değildir. Sadece ekonomik kriz dönemlerinde değil hemen her dönemde şirketlerin ekonomik ve sosyal yönden kar sağlamalarına yardımcı olur. İyi kurumsal yönetim, tesis ettiği pek çok mekanizma kanalı ile kurum içi ve dışında pek çok alanda gelişme sağlanmasına imkan verir. Kurumsal yönetimin 4 önemli ilkesi olan “Adillik, Şeffaflık, Hesap verebilirlik ve Sorumluluk” kurumun tüm paydaşları ile olan ilişkileri ve kurumun faaliyetlerinde önemli bir rehberlik ve düzenleme getirmekte, bu sayede pek çok önemli yönetsel aracın kullanılması için dayanak oluşturmaktadır. Etkin risk yönetimi ve iç denetim mekanizmaları da bu bağlamda düşünülebilecek araçlar olarak karşımıza çıkmaktadır. Kurumsal yönetim ilkeleri, yatırımcıların güveninin artırılması, sermaye maliyetinin düşürülmesi ve daha istikrarlı finansman kaynaklarının sağlanmasına yardımcı olmakta ve bu yönüyle finansman olanakları ve yatırım kararlarını etkilemektedir. Özellikle kriz dönemlerinde yukarıda bahsi geçen finansman sıkıntılarının giderilmesinde, yatırımcılar tarafından bir şirkete yatırım yapmaya karar verilmesi esnasında, önemli bir kriter olarak katkı sağlamaktadır. Yani, özellikle ekonomik krizler ile nakit döngüsü bozulan, önemli yatırım fırsatlarını sermaye eksikliği ile kaçırmak durumunda kalan şirketler, etkin bir kurumsal yönetim tesis ederek, stratejik yönetim ve finansman problemlerini çok daha kolay şekilde halledebilme imkanına sahiptirler. Gerek yurt dışı yatırımcılar, gerekse de yurt içi ve dışı kreditörler nazarında, büyüklüğü ve ölçeği ne olursa olsun, etkin kurumsal yönetim uygulamaları sergileyen şirketlerin avantaj sağlayacakları kesindir. Yukarıdaki 4 kurumsal yönetim ilkesinin soyut kavramlar olmakla birlikte, belirli yönetsel araçlar yardımı ile somut şekilde uygulamaya alınması, şirketlerin sermaye maliyetlerine doğrudan etki edebilecek bir unsur olacaktır. Etkin kurumsal yönetimin karlılık üzerine etkileri daha çok verimliliği artırması ve etkin risk yönetimi ile kayıpları azaltması, itibar artışları ve etkin kurumsal iletişimi ön plana çıkarması paralelinde ortaya çıkan dolaylı katkılar şeklinde olmaktadır.

Gelelim bu 3 kavramın nasıl gerçekleştirilebileceğine? Yani bir şirket ne yaparsa verimlilik artışı sağlar? Nasıl inovasyon yapar? Kurumsal Yönetimi ne şekilde tesis eder?

Devamı 2. bölümde…

Deprem Riskini Nasıl Yönetiyoruz?

Japonya’da önceki gün yaşanan ve 6 kişinin ölümü ile sonuçlanan 7.2 şiddetindeki deprem dikkatlerin olası bir İstanbul depremine çevrilmesine neden oldu. Japonya'da 1995 yılında 6400 insanın hayatını kaybettiği Kobe depreminden sonra özel bir yasa çıkartıldığı ve depreme karşı önlem almak amacı ile 90 milyar dolar harcandığı biliniyor. Yani olası diğer bir deprem riskine karşı gerekli tedbirlerin alındığı görülüyor.
Bu önlemlerin en başında gelen tüm halkın ciddi bir eğitimden geçirilerek yıkılan şehirlerin yeniden inşası sürecine doğrudan katılmaları oldu. Halk kente sahip çıkma bilinci ile depreme dayanıklı bir şehir inşasında devlet ile kol kola önemli bir çaba gösterdi. Buna ek olarak konutların teknik anlamda sınanması, gerekli takviyelerin yapılması, denetimlerin sıklaştırılması, gayrimenkullerin ve kişilerin sigortalanmasında önemli mesafe kat edilmesi ve depreme yönelik Ar-Ge çalışmaları yapılarak depreme yönelik bir erken uyarı sisteminin devreye alınması ile geçtiğimiz hafta yaşanan 7.2 şiddetindeki depremde can kaybı oldukça düşük oldu. Üstelik depremin şiddeti Kobe depremi ile aynı olmasına rağmen. Otoyolları, dağları, ovaları adeta kağıt gibi yırtan bu denli ciddi bir felakette 6 kişilik can kaybı gerçekten önemli bir başarı (ölenlere Allahtan rahmet diliyoruz).
Medya kuruluşlarında uzmanlarca yapılan bazı değerlendirmelerde benzer bir depremin İstanbul’da olması halinde bu depremin 55 bin ila 150 bin arası can kaybı ve ortalama 1 milyon kişinin evsiz kalmasına yol açacağı belirtildi. Buna ek olarak zararın ekonomik boyutunun 100 milyar dolar olacağı
Öte yandan 1999 yılında gerçekleşen 7.4 lük Marmara depremi 17 bine yakın vatandaşımızın kaybı ile sonuçlanmış, bu acı depremin akabinde uzmanlarca Marmara’da yeni bir deprem riskinin yüksek olasılığa sahip olduğu pek çok platformda defalarca gündeme getirilmişti. Japonya’nın Kobe den sonra olası diğer bir deprem riskine karşı aldığı bunca tedbire rağmen bizde Marmara depreminden sonra olası diğer bir deprem riskine karşı ancak 2006 yılında harekete geçildi. Bugüne kadar 144 okul binasının yeniden yapıldığı, 188 okul binasına takviyede bulunulduğu ifade edildi. Depreme ilişkin hükümet tarafından ortaya koyulacak bir "master plan" olduğu söyleniyor. Yapılaşmayı mercek altına alacak olan Deprem Yasası ise 2 yıldır TBMM’de beklemekte. Bu yasa taslağının beklentileri karşılamaktan uzak olduğu da uzmanlarca dile getirilmekte.
Şimdi bazı ramlara göz atalım:
- İstanbul’da bulunan yaklaşık 20 bin kamu binasından 3 bin 600 tanesinin acil olarak depreme karşı güçlendirilmesi gerektiği söyleniyor
- İstanbul’daki binaların en az p’inin henüz bu riske yönelik bir mühendislik hizmeti almadığı tahmin ediliyor.
- Türkiye genelindeki 17 milyon yapıdan sadece 2.5 milyonunun depreme karşı sigortalı olduğu bilinmekte.
- İstanbul’da yapıların sadece %2 si A sınıfı, yani depreme uygun koşullarda olan yapı. ˜ ise mimar veya mühendislerce el atılıp, deprem düşünülerek planlanmamış yapılar.
- Bu ˜'in de % 75’inin kaçak olduğu tahmin edilmekte.
Genel olarak deprem riskini yönetmede üç temel stratejiden bahsedilmekte:
1) Yapının belirli kural ve standartlara uygun olarak, sağlam yapılması
2) Sağlam olmayanın yıkılması
3) Riskin transfer edilmesi; yani sigorta hizmetlerinden faydalanılması
Bunlara ek olarak bizce ve belki de en öncelikle toplumda bir deprem bilincinin oluşturulması gerekmekte. Bu medya, eğitimler ve yasal zorunluluklar ile söz konusu olabilir.
Ülkemizin bu konuda maalesef etkin bir politika izleyemediğine şahit olmaktayız. Bunun elbette ki mali, sosyal veya siyasal nedenleri vardır. Ülkemizde olası bir depreme karşı Japonya’nın ayırdığı kaynağı ayırmak acıdır ki mümkün gözükmüyor. Siyasi iradenin yasayı en iyi haline getirmek için değil, çok farklı kesimlerin, muhatapların, çıkar gruplarının isteklerini gözetmek adına beklettiği de aşikar. Yine buna ek olarak söz konusu yasalar ile halka yüklenecek ciddi bir maddi fatura söz konusu olacak. Hiç bir hükümetin de bu yükü yaklaşan seçimler öncesi halka yüklemesi kolay gözükmüyor. Tüm bunlara ek olarak İstanbul, ekonomik büyüme ve yabancı yatırımı teşvik amacı ile bir cazibe merkezi haline getirilmek isteniyor. Bu iyi niyetli bir çaba olmasına rağmen elbette ki riskli bir karar. Bu faktörlerin bileşimi sonucu ortaya şu şekilde bir tablo çıkıyor:
1) Gündelik bazı siyasi çekişmeler ve kavgalar deprem riskinden daha fazla dikkat çekiyor. Deprem riski, ülkeyi bir kurum olarak düşünürsek, kurum risklerinin en tepesinde görülmüyor.
2) Ülkemizin sahip olduğu kaynaklar ve mali tablo göz önüne alındığında depreme yönelik kaynak ayırma noktasında imkanların yeterli olmadığı görülüyor.
3) Konuya ilişkin yasal düzenlemeler gecikmiş durumda. Bu düzenlemeler pek çok sivil toplum örgütünce kapsam, teknik boyut ve yaptırım gücü açısından yeterli bulunmuyor.
4) İstanbul bir cazibe merkezi haline getirilmek suretiyle göç ve nüfus artışı teşvik ediliyor.
5) Deprem riski ve bu riske bağlı etkiler, panik ve olumsuz ekonomik sonuçlara yol açmamak adına kamuoyu ve medyada gerektiği şekilde gündeme getirilmiyor, getirilmesine anlaşılmaz bir şekilde engel olunuyor.
6) Riske dair toplum genelinde de bir farkındalık söz konusu değil. Riskin olası etkisi, yani can ve mal kayıpları ile riskin gerçekleşme olasılığına dair net bir çalışma da ortaya koyulmuş değil.
7) Deprem riskinin yönetilmesine yönelik çabaların koordinasyonunda da problemler olduğu görülüyor.
Tüm bu tespitler ışığında, ülkemizin belki de en önemli riski olan deprem riskine karşı gerekli farkındalığın oluşmadığı, risklerin yönetimine ilişkin kurumsal bir çerçevenin bulunmadığı, risk yönetim stratejilerinin farklı senaryolar dahilinde ortaya koyulmadığı, koyulduysa bile bunun etkin bir iletişim faaliyeti ile duyurulmadığı, deprem sonrası acil eylem planlarının tam ve eksiksiz hazır hale getirilemediği görülmektedir. Kısaca deprem riskini iyi yönetemiyoruz! Unutulmamalıdır ki hiçbir maddi, siyasi veya sosyal kayıp, insan hayatı kadar önemli değildir.
Kamu ve özel sektör kurumlarında görev yapan meslektaşlarımızın, risk yönetiminin teşviki ve denetlenmesi ile ilgili görevleri paralelinde, görev yaptıkları kurumların bahse konu deprem riskine olan maruziyetleri ve alınması gereken tedbirlerle ilgili değerlendirmelerini amir ve yöneticileri ile paylaşmalarının faydalı olacağını düşünmekteyim. İç denetçiler olarak bu hususta bizler de kurumlarımıza ve genel olarak topluma elimizden gelen katkıyı yapmak durumundayız.

İç Denetimin Önemi

Gazetede yeni bir haber vardı dün. TBMM de bu dönem, daha önceki hiçbir dönemde görülmediği ölçüde yasaların hatalı yasalaştığı, bu hatalar fark edilmeden Cumhurbaşkanı tarafından onaylanıp, Resmi Gazete’de de yayınlanarak yürürlüğe girdiği ifade ediliyordu. En son hata olarak, Resmi Gazete’de yayımlanarak yürürlüğe giren ve Çalışma ve Sosyal Güvenlik Bakanlığına ait bir atamanın, yürütme yetkisinin bir başka bakanlık olan Tarım ve Köyişleri Bakanlığına verilmesi dikkat çekmişti. Maddi hata niteliğindeki bu yanlışın, ilgili Bakanlık, Başbakanlık ve Cumhurbaşkanlığı aşamalarında fark edilmemesi ve düzeltilememiş olması medya tarafından“özensizlik” olarak nitelenmekte.
Bundan önce de benzer şekilde önemli hatalar yapıldığı görülmekte. Örneğin yine yakın zamanda gündeme alınan Odalar ve Borsalar Yasasında genel sekreter seçilmeye engel suçların “seçilebilecekler” arasında yer alması hatası gerçekleşmiş. Yine geçtiğimiz haftalar içinde TBMM Genel Kurulunda devletin, vergi borçları ve alacaklarına ilişkin bazı düzenlemeler içeren Amme Alacakları Yasası görüşülüp kabul edilmiş, ardından Yasa Çankaya Köşküne onay için gönderilmiş ve gönderilen bu yasa Cumhurbaşkanı tarafından bekletilmeden kabul edilmişti. Ancak Köşk’e onay için gönderilen Yasada yer alan cetvelin hatalı olduğu ortaya çıktı. Köşk’e gönderilen metnin en sonunda yer alan cetvelde, otomobillerin silindir hacimleri ile uygulanacak vergi miktarları birçok yerde hatalı yazılmıştı. Ek olarak ÖTV’ den muaf tutulacak bazı kalemler de unutulmuştu. Yasanın Resmi Gazete’de yayınlanmasını takiben yapılan hatanın fark edilmesi sonucu TBMM Genel Sekreterliği, 13 Haziranda Resmi Gazeteye ilan vererek, hatalı cetvelleri düzeltti.
Bu hatalar ile ilgili olarak TBMM bürokratları, Çankaya Köşkü’ne Genel Kurulda kabul edilen metin yerine, yanlış metin gönderildiğini kabul ettiler.
“Mecliste doğru metin kabul edildiği için yasa değişikliğine gerek olmadığını iddia eden yetkililer, benzer hataların daha önceki yıllarda da aynı yolla düzeltildiğini söylediler”
Muhalefet ise bu durumu şiddetle eleştirerek bu tür bir düzeltmenin geçerli olmayacağı, Meclisten çıkan metin ile Cumhurbaşkanınca onaylanan metnin farklı olması nedeni ile Yasanın onaylanmamış ve yürürlüğe girmemiş olduğunu iddia etmekte.
Yukarıda hatayı kabul eden yetkililerce yapılan açıklamayı satır araları ile tekrar okumak gerektiğini düşünüyorum.
“Mecliste doğru metin kabul edildiği için yasa değişikliğine gerek olmadığını iddia eden yetkililer, benzer hataların daha önceki yıllarda da aynı yolla düzeltildiğini söylediler”
Bu açıklamanın satır aralarından çıkacak sonuçlar şunlar:
1) Hata oldukça ciddi bir hatadır. Ancak yetkililerce önemli bir hata olarak görülmemektedir. Sonradan düzeltilmiş olması yeterli görülmektedir.
2) Operasyonel bazı risklerden ve zayıf iç kontrol sistemlerinden kaynaklanan bu hatalar sürecin hiçbir aşamasında fark edilememiştir.
3) Operasyonel riskler net bir şekilde itibar ve yasal risklere dönüşmüştür.
4) Oldukça önemli bir etkiye sahip olduğunu düşündüğüm bu operasyonel riskler, uzun bir süredir gerçekleşmektedir. Yani benzer hataların da aynı şekilde gözden kaçmış olması riskin yüksek bir olasılığa sahip olduğunu göstermektedir.
5) Yüksek etki ve olasılığa sahip bu operasyonel riskleri yönetmekte yetersiz iç kontrollerin olduğu gerçeği uzun süre tespit edilmemiş, hatalar ancak gerçekleştikten sonra fark edilebilmiştir.
6) Yöneticilerin hata olduğunu kabul etmekle birlikte bu hataları hafife alan ve bu tür bunları normal karşılayan üslupları da dikkate şayandır. Yapılan açıklamalar ilgili kurumların yetkililerinin iyi niyetli olmakla birlikte, risk ve risk yönetimi farkındalıklarının olmadığı gerçeğini işaret etmektedir.
7) İç denetim ve iç denetim hizmetlerinin bu vaka ile birlikte ne denli önem taşıdığı ortaya çıkmıştır. Kamuda neden iç denetim? Farklılığı nedir? İç denetime ihtiyaç var mı? gibi bazı soruların cevabını bu ve benzeri vakalar en iyi şekilde vermektedir. Etkin bir iç denetim sisteminin risk yönetimi ve iç kontrol sistemlerinin tesisi yönündeki çabaları ve bu sistemlerin sağlıklılığına dair güvence sağlama fonksiyonlarının önemi net bir şekilde ortaya çıkmaktadır.
8) Ülkemizde özellikle de Kamu sektöründe görev yapan iç denetçilerin işlerinin ne kadar zor olduğu ortaya çıkmaktadır. Faaliyetleri esnasında iç denetçilerin kurumlarında bir risk farkındalığı bulunmadığı gerçeği ile yüzleşmeleri ve buna dönük tedbirleri almaları gerekmektedir. Devletin zirvesindeki bu bakış açısının tüm kamu’ya sirayet etmiş olması muhtemeldir. Ancak durumun bilgi eksikliğinden kaynaklandığını ve kamudaki yönetici ve yetkililerin son derece iyi niyetli olduklarını düşünmekteyim. İç denetçilerin farkındalık yaratmaktaki etkin çabalarının yöneticileri tarafından anlaşılacağına ve yönetimlerin iç denetçileri sonuna kadar destekleyeceğine inanıyorum. Ancak burada anlaşılabilir olmak ve derdi iyi anlatmak ön koşuldur. Aynı dili konuşmadan, meseleleri somutlaştırmadan anlaşılabilmek ve destek alabilmek imkansız hale gelecektir.
9) İç denetçilerin bu ve benzeri durumları engellemeye yönelik bir araç olarak iç denetimi ve bu mesleğin önemini kabul ettirmek adına atacakları adımların çok iyi koordine edilmesi, faaliyetlerde yeknesaklık sağlanması, mesleğe sivil toplum örgütleri ve mümkünse yasal, bağımsız bir mercii tarafından sahip çıkılması önem taşımaktadır.

İtibar Riski Nasıl Yönetilmeli?

Son günlerde kamuoyu ve medyada sıklıkla tartışılan bazı konular dikkatimi çekiyor. Ankara’nın orta ve uzun vadeli su ihtiyacının karşılanmasına yönelik olarak 2007 de başlatılan ve bu sene içinde tamamlanan Kızılırmak içme suyu temin projesinin, Kızılırmak suyunun yüksek oranda zehirli madde içerdiği iddiası ile sivil toplum örgütlerince gündeme taşınması bunlardan bir tanesi. Diğer bir konu ise ülkemizde üretilen domateslerin yüksek oranda nitrat içerdiği iddiası ile Rusya tarafından yapılan önemli miktarda domates ithalatının Rus yetkili makamlarınca durdurulması. Son olarak dikkat çeken diğer konu ise bazı iç siyasi gelişmeler nedeni ile ülkemizin finansal piyasalarda ve yabancı yatırımcı nezdinde güven kaybına uğraması nedeni ile yatırım portföylerinin ve risk algılamalarının olumsuz yönde etkilenmesi.

Bu üç olayda da dikkati çeken ortak bir nokta var. “İtibar” kavramı… İlkinde bir kamu kurumunun, ikincisinde tarımsal üretim yapan kişi ve şirketlerin, en son olayda da genel olarak bir ülkenin bazı olaylar (tehditler) nedeni ile nasıl itibar riski ile karşı karşıya kalabildiğini görmekteyiz. Bu olayların, yani tehditlerin belirli bir olasılık dahilinde gerçekleşmesi, diğer bir ifade ile riskin realize olması sonucu sistemsel, stratejik, finansal, yasal, itibar veya operasyonel bazı kayıpların olabileceği aşikar. Yani itibar riskinin bir tehdit senaryosuna bağlı olarak gerçekleşmesi sonucu bazı kayıplar yaşanması muhtemel.

Üzerinde durmak istediğim konu ne suyun zehirli madde içermesi, ne domatesin nitrat oranının yüksekliği ne de iç siyasi olumsuzluklar. Bunların gerçekliği veya nedenlerine ilişkin bir çerçeveden değil, mesleki bir perspektiften itibar riski ve itibar riskinin nasıl yönetilmesi gerektiği konularına göz atmak istiyorum. Gerçekten de suyun veya domateslerin insan sağlığına etkilerinden veya iç siyasi tartışmaların yerinde olup olmamasından çok bunların yaratabileceği sonuçlar ve bu sonuçların önceden öngörülüp engellenebileceği gerçeği üzerine odaklanmak gerektiği düşüncesindeyim.

Peki nedir itibar riski? İtibar riski, kamuoyu olumsuz görüşlerinin, kişi, kurum, ülke ve sistemler üzerinde mevcut ve olası etkilerini ifade etmektedir. Kısaca kurumların imaj ve itibarını zarara uğratan risklerdir. Örneğin güven esasına dayalı olarak faaliyet gösteren bankalar için dürüstlük konusundaki kamuoyu görüşü veya kurumun bu yönde sağladığı imaj sahip olunan en değerli aktiflerden biridir. Yine benzer şekilde bir ülkenin dış yatırımcı, borç veren ve ilişkide bulunduğu uluslararası kurumlar nezdindeki itibarı o ülkenin dünya ekonomisi, siyaseti ve sosyal düzeni içindeki konumunu etkilemektedir.

Bu denli önemli olan bir kavram ve bununla ilişkili itibar riskine dair ülkemiz kamu ve özel sektöründe ne denli bir farkındalık var? Bu risk iyi yönetilebiliyor mu? Bu sorulara verilecek cevaplar son günlerde tartışılan ve yukarıda bahsettiğimiz üç olayında açıkça desteklediği gibi olumsuz.

İtibar riskini yönetmek için önce “itibarın” risk altında olduğunun farkında olunması gerekiyor. Yani itibar kaybını önemli bir kayıp gerçekleşmeden fark etmek gerekiyor. Yani kendimiz, kurumumuz ve ülkemiz için söz konusu olan diğer riskler ile birlikte itibar riski ve verebileceği zararları da iyi kavramamız şart. Esasen itibar riskinin yönetimi de diğer risklerin yönetiminden farklılık arz etmiyor. En azından yaklaşım olarak. Elbette ki farklı riskler için farklı risk yönetim stratejileri söz konusu. Ancak ana yaklaşım değişmiyor.

Etkin bir risk yönetimi her zaman risk farkındalığı ve risk yönetimi ihtiyacının en iyi şekilde anlaşılması ile başlıyor. Bu bir kültür ve iletişim meselesi. Burada ülkemiz gerçekleri göz önüne alındığında en önemli görev biz iç denetçilere düşüyor. Farkındalığın oluşturulması ve bu ihtiyacın karşılanmasına yönelik adımların atılmasının teşvik edilmesi bizim görevimiz. Özellikle ülkemizdeki gibi risk ve risk yönetimine aşina olmayan kurumsal yapılarda, farkındalık oluşmasının orta vadeli bir iş olduğu gerçeğinden hareketle, bu çaba zamana bırakılarak diğer aşamaya geçiliyor. Bu aşama risklerin kurum çapında tanımlanması. Yani söz konusu risklerin tespit edilmesi. Yani bir kurumun, proje veya genel olarak ülkenin itibarını tehdit eden veya edebilecek durumların ortaya konması. İşte bu tanımlama farkındalık sürecinin oluşumunu da tetikliyor. Tanımlama aşamasından hemen sonra bu tanımlanmış risklerin ölçülmesi aşaması geliyor. Ölçümleme şu demek. Bu risklerin yaratabileceği etki, yani olası kayıplar ile bu riskin gerçekleşme olasılığının veya bir başka değişle sıklığının tespit edilmesi. Bu ölçüm işlemi nitel veya nicel yöntemler kullanılmak sureti ile belirlenebiliyor. En son aşama ise bu risklerin en ciddi yani yaratabileceği etki ve gerçekleşme olasılığı en yüksek olanından başlayarak en düşük olana dek sıralanması. Bu sıralama bize görece önemli veya çok kritik olan bazı riskleri açıkça görebilme ve bu risklere yönetimde öncelik verme şansı veriyor.

En yüksek riskten en düşüğe göre yapılan sıralama sonucu, bu riskler uygun risk yönetim stratejileri ile yönetilebilir hale geliyor. İşte burada çok geniş bir yelpazede risk yönetim stratejileri mevcut. Risklerin sigorta edilmek sureti ile 3. şahıslara transferi, iş ortaklıkları kurulmak suretiyle paylaşılması, operasyonlara son verilmek suretiyle risklerden kaçınılması veya genelde en yaygın yöntem olarak iç kontroller ve genel bir iç kontrol sistemi tesis edilmek sureti ile kontrol edilmesi bunlardan birkaç tanesi. Bunların her biri belirli bir maliyeti olan ve farklı risk düzeylerinde işe yarayabilecek alternatifler.

En son aşamada ise bu risklerin yönetilmesi sürecinde ve sonrasında bunların ilgili mercilere yani kurumların üst yönetimlerine raporlanması ve bu faaliyetlerin bir bütün olarak bu yönetimlerce izlenmesi gerekiyor. İşte iç denetim birimleri ve iç denetçiler kurum yönetimleri adına bu izleme görevi kapsamında gerçekleştirdikleri sürekli ve periyodik denetimler ile yönetimlere yardımcı oluyorlar. Bu izleme ve raporlama faaliyetleri sonrası geri bildirim mekanizması işleyerek risk yönetim sürecinde bir hata veya eksiklik mevcut ise en başa dönülerek bu hatanın düzeltilmesine imkan sağlıyor.

Bahse konu itibar riskleri de bu şekilde tespit edilmek ve yönetilmek suretiyle yaşanabilecek önemli kayıplar engellenebiliyor. İtibar riskleri özellikle bazı sektörlerde çok önemli. Hızla mali, stratejik ve hatta sistemsel risklere dönüşebilmesi gözden kaçmamalı. Yani medyada çıkan bir haber veya sürdürülen bir tartışma gerçekte oldukça başarılı işler yaptığı bilinen bir kurumu kamuoyu önünde işini iyi yapmama imajı ile veya halkın kafasında bazı şüpheler ile baş başa bırakabiliyor. Çoğu kere bu tür tartışmalar kurumların lehine de sonuçlanabiliyor. Ancak unutulmamalıdır ki bazen itibarınız iade edilse de aynı düzeyde bir güvenin sağlanması mümkün olmuyor. Haklı olsanız da olmasanız da bu böyle. Örneğin, Kızılırmak suyunun tartışılması başta ben olmak üzere pek çok kişinin evinde musluk suyu kullanmamasına yol açtı. Dışarıdan su temin etmek oldukça ciddi bir maliyet teşkil ediyor. Bunun yanı sıra toplum genelinde sağlığa ilişkin yaşanabilecek olumsuzlukların itibar riskinin şiddetini arttırabileceği ve bununla beraber yasal bazı riskleri de ortaya çıkarabileceği ortada. Çevremizde, Rusya tarafından sağlığa zararlı nitrat maddesi taşıdığı iddiası ile ithali durdurulan ve bu nedenle çoğu yerli pazara verilen domatesleri asla çocuklarına yedirmeyeceğini söyleyen insanlar görüyor, duyuyoruz. Bu domateslerin yerli pazarda da talep sıkıntısı yaşayabileceğini, dolayısı ile üreticimiz açısından mali bir riske dönüşerek mali bir kaybı beraberinde getirdiğini söylemek mümkün. Tabi sağlıkla ilgili durum burada da geçerli olacaktır. Öte yandan belki de en önemli itibar riski bir ülke için söz konusu olan itibar riskidir. En önemli itibar kaybı bir ülkenin yaşayabileceği kayıptır. Çünkü toplumun tamamına sirayet eder. Daha da kötüsü gelişmekte olan ülkelerde olduğu gibi sistemsel bir boyut kazanabilir. Yani sistemsel (sistemik) riske dönüşebilir. Musluk suyu içmek veya domates yemekten kaçınmak mümkün olabilir ancak o ülkede yaşıyorsanız ve yaşamaya devam edecekseniz o ülkeye dair sistemsel risklerden kaçınmanız maalesef mümkün değildir. İşte son iç siyasi tartışma ve gelişmeler de itibar riskinin ve dönüşmesi halinde sistemsel bir riskin gerçekleşmesine yönelik tehditler olarak görülebilir. Bu riskin gerçekleşmesi halinde ülkenin tüm makro dengeleri yıkılabilecek, sadece ekonomik değil, sosyal ve siyasi tüm yapılar da bundan etkilenecektir. Böylesi bir riskin 2001 yılında gerçekleştiğine ve yarattığı etkiye milletçe şahit olmuştuk.

İtibar riskini ve diğer tüm riskleri ciddiye almak ve yukarıda bahsedilen tanımla-yönet-izle döngüsü dahilinde etkin bir şekilde ele almak hayati önem taşımaktadır.

Su ile ilgili tartışmalara muhatap olan kurumumuz ve diğer tüm özel ve kamu kurumları, üreticilerimiz ve genel olarak ülkemiz bu ve benzeri itibar riskleri ile bundan sonra da sürekli karşılaşacaktır. Bu ne ilk ne de son riske maruz kalmadır. Bu nedenle ülkemiz genelinde risk farkındalığının artırılması ve sağlıklı risk yönetim yapılarının kurulması elzemdir.

Bu gereğin yerine getirilmesi amacı ile kamuda atılmakta olan adım, yani iç denetim faaliyeti oluşturulması ve kamuda iç denetim sistemine geçilmesi çok büyük bir devrim niteliğindedir. Bunu iç denetçilerin teşvik ve rehberlik edeceği bir risk yönetim faaliyetinin kurulması aşaması izleyecektir. İşte bu aşamalar risklerin daha etkin yönetilmesi ve kayıpların azaltılması açısından hayati önem taşımaktadır.

Not: Genel olarak yukarıda bahsi geçen olayları göz önüne alarak; ilgili kurumun gerekli önlemleri almış olduğu ve alacağına, domateslerimizin büyük bölümünün sağlığı ciddi boyutlarda tehdit edecek kimyasal madde içermediğine ve içerenlerin de ivedilikle imha edileceğine inanmak istiyor ve ülkemizin pek çok kere uluslararası arenada haksız ve dayanaksız biçimde itibar kaybına uğratılmakta olduğunu düşünüyorum.

Ancak bu inanış, itibar riskinin etkin bir biçimde ve “reaktif değil” proaktif biçimde yönetilmesi gerektiği gerçeğini değiştirmemektedir.

İç Kontrol Kavramı Üzerine Bir Vaka İncelemesi

Geçtiğimiz hafta gazetede yayınlanan bir haber dikkatimi çekti. Haberin başlığı “Internet Aşkının Uğruna Şirketini Dolandırdı” idi. Şöyle diyordu haberde: “Turizm şirketinin 12 yıllık muhasebecisi, internette tanışıp aşık olduğu erkeğe, şirket kasasından 10 ay boyunca 3 milyon 200 bin YTL gönderdi. Sevgililer 12’şer yıl hapis istemiyle yargılanıyor. Ayrıca kendilerine yardım eden 5 kişi de dolandırıcılık nedeniyle tutuklandı”

Ayrıca haberde muhasebecinin bazı ifadelerine de yer verilmişti. “………şirket kasasından her hafta düzenli olarak para çektim………..Ayrıca şirket hesabından da para çekip gönderdim………….Daha sonraları elden de para verdim…..Çalıştığım şirket yüklü miktarlarda ihale aldığı için yakalanmadım…..Her şeyi….’e aşık olduğum için yaptım!”

İç kontrol kavramı üzerine bir (case study) vaka incelemesi olarak bundan daha iyi! bir örnek düşünemiyorum.

Bir iç denetçi olarak bu vaka ile ilgili gözlemlerimi paylaşmak istiyorum. Yukarıda koyu renkle işaretli kelimeler bu vakanın en kritik noktaları.

Öncelikle gözden kaçması imkansız olan bir kontrol zafiyeti ile başlıyoruz. Temel bir iç kontrol tedbirinin eksikliği gözümüze çarpıyor. Bu iç kontrol uygulaması pek çoğumuzun yakından bildiği “görevler ayrılığı” ilkesi. Bu vakada, bu ilkenin ciddi bir şekilde ihlal edildiği görülmektedir. Ne diyor görevler ayrılığı ilkesi; muhasebeyi tutan veya sorumlu olan kişi (muhasebe kaydı yaratma yetkisi olan kişi) ile nakit varlıklara erişim yetkisi olan kişiler mutlaka ayrı olmalıdır. İşte bu şirkette muhasebecinin, çalışan veya yönetici olup olmadığı bilinmemekle birlikte, şirketin her tür nakit değerine (banka hesapları ve kasa) erişim imkanı olduğu görülmektedir. Özellikle ülkemizdeki küçük ve orta ölçekli pek çok şirkette muhasebe sorumlusu olan, yani muhasebeyi tutan kişilerin bu şekilde çalıştığı düşünüldüğünde olayın ciddiyeti ortaya çıkmaktadır. Ülkemizde genellikle iç kontrol tedbirleri yerine kişisel güven faktörü ön planda olduğundan, “görevler ayrılığı” ilkesine dikkat edilmemektedir. Oysa yukarıdaki haberde koyu renkle işaretlenen diğer bir kelime, suçu işleyen muhasebecinin 12 yıldır bu şirkette çalıştığını ortaya koymaktadır. İç kontrol tedbiri yerine kişisel güven mekanizmasının ne denli anlamsız bir uygulama olduğuna iyi bir örnek teşkil etmektedir. Özellikle aile şirketlerinde aileden biri ya da ailenin en çok güvendiği kişilerin bu tür yetki ve sorumlulukları tek başına üstlendikleri düşünüldüğünde, riskin büyüklüğü ortaya çıkmaktadır. Konu ile ilgili olarak yukarıdaki örnekte dikkat çeken bir diğer husus ise şirket sahipleri tarafından güvenilir olarak görülen ve tam 12 yıldır bu şirkette çalışmakta olan bir kişinin “aşık olma güdüsü” ile çalıştığı şirketi, kariyerini ve hayatını riske atabilmesidir. Bu durum insan olmaktan ve insani zaaflardan kaynaklanmaktadır. Aşık olma motivasyonuna ek olarak daha pek çok motivasyonu daha sayabiliriz. Yıllarca hak ettiğini alamadığını düşünmek, çocuğu için acil paraya ihtiyacı olmak, patronlarından intikam almak ve daha pek çok neden ile şirketlerde, kurumlarda bu tür olaylar yaşanabilmektedir. İşte bu nedenle iç kontrol vazgeçilmez bir kavramdır. Elbette ki güven unsuru da önemlidir ancak iç kontrollerle desteklenmeyen güven bir kumardır.

Ancak unutulmaması gereklidir ki iç kontroller yine insanlar tarafından tasarlanır. İç kontrolleri en iyi atlatabilecek kişiler onları tasarlayan, onlar üzerinde hüküm sahibi olan veya onları atlatabilmek amacı ile işbirliği yapan çalışanlar olmaktadır. Bu bağlamda yukarıda bahsi geçen vakada suçu işleyen iki kişiye destek veren ve bu sebeple gözaltına alınmış beş kişilik bir grubun varlığı bu duruma işaret etmektedir. Burada iç kontrol eksikliklerine ek olarak, birde var olduğu düşünülen iç kontrollerin (olduğundan şüphe etmekle birlikte) bir grup çalışanın ortak çabası ile atlatıldığı gerçeği dikkat çekmektedir. Belli ki suçu işleyen iki kişi, bu operasyonu oldukça uzun bir süre tek başlarına götürmemişlerdir. 10 ay boyunca kelimesi üzerine bu nedenle durulması gerekmektedir. Bu kadar uzun süre yüklü miktarlarda nakitin kasa ve banka hesaplarından çekilmek suretiyle şirket dışına çıkartılması ve hiç kimsenin bu durumu fark etmemiş olması bu iç kontrol faciasına ayrı bir boyut katmaktadır. Şirket ile ilgili ayrıntılı bilgiye sahip olmamakla birlikte yukarıdaki haberden tahmin ettiğimiz kadarı ile muhasebe sorumlusu bu olayı diğer bazı çalışanlardan habersiz gerçekleştirmemiştir. Elbette ki bahsi geçen 5 kişinin de suçlu olup olmadıkları kesin değildir, ancak en azından durumun ortak bir çaba sonucu gerçekleştiği ihtimali, suç sonucu kaçırılan nakit miktarı düşünüldüğünde, pek olasıdır. Buradan çıkartılması gereken sonuç iç kontrollerin etkin olsun olmasın, bir grup çalışan tarafından atlatılabilmesinin de mümkün olduğu ve bunun gözden asla kaçırılmaması gerektiğidir. Yine bu bağlamda dikkatimizi çeken diğer bir husus da 10 ay boyunca şirket hesaplarından önemli miktarda nakit çekilişinin şirketin üst düzey yönetici veya sahipleri tarafından takip edilmemiş olmasıdır. Burada açıkça diğer bir iç kontrol zafiyeti göze çarpmaktadır. İzleme veya diğer bir deyişle gözetim mekanizmalarının tahsis edilmemiş olduğu görülmektedir. Şirket büyüklüğü ne olursa olsun, yönetsel gözetim ve süpervizyon mekanizmalarının mutlaka bulunması gerekmektedir.

Yukarıdaki tespitlere ek olarak gözümüze çarpan diğer bir nokta ise yüklü miktarlarda ihale alan ve ciddi bir mali kazanç elde eden şirketin, muhtemelen büyümüş olan örgütsel yapısını, değişimin gerektirdiği şekilde yeniden yapılandırmamış olmasıdır. Genellikle ülkemizde görülen diğer bir sorun da şirketlerin veya kurumların büyümelerini takiben, örgütsel bir yeniden yapılanma sürecine gitmemeleridir. Bu yeniden yapılanmanın en önemli unsuru ise elbette ki iç kontroller olmalıdır. Ancak genellikle uygulama bu yönde olmamaktadır. Eski yapı ve sistemler korunmakta, sadece çalışan sayısı artırılmak suretiyle işler devam ettirilmeye çalışılmaktadır. Yetki ve sorumluluk dağılımı, örgütsel iletişim dizaynı ve kurumsal kademelere ise hiç dokunulmamaktadır. Bu durum şirket sahiplerinin kurum üzerindeki kontrolünün azalmasına ve kurum içinde önceden yetki kazanmış ve önemli sorumluluk alanlarının merkezinde bulunan kişilerin güç kazanmasına yol açmaktadır.

Evet ülkemizdeki acı bir gerçeği doğrular nitelikteki bu olaydan çıkartılması gereken pek çok ders var. Nedir bu acı gerçek? İç kontrol kavramı ülkemizde genellikle iç ve/veya dış denetçilerin işi gibi görülüyor. Kamu veya Özel sektör olması fark etmiyor. İç kontroller ile ilgili olarak Yöneticilerin topu sıklıkla denetim elemanlarına attıkları görülüyor. Bu olayın bir yönü. Diğer yandan, iç kontrol kavramı özellikle ülkemiz iş dünyasında önemi henüz anlaşılabilmiş bir kavram değil. İç kontrollerin genellikle işleri yavaşlatıcı, zaman alıcı ve gereksiz olduğu gibi bir düşünce hakim. Bunu hem kişisel kamu ve özel sektör tecrübe ve gözlemlerim, hem de pek çok farklı kurum ve yapıda görev yapan meslektaşım ile yaptığım sohbetlerden anlıyorum. İşte bu iki konu, yani iç kontrollere gereken önemin verilmemesi ve iç kontrollerin sorumluluğunun yönetimler tarafından alınmak istenmemesi (eksik bilgi sahibi olmaktan da kaynaklanıyor olabilir) ülkemizdeki acı gerçeği doğruluyor. Şirketlerimiz ve kurumlarımızın yumuşak karnı iç kontroller ve iç kontrol sistemleri. Ülkemizde hemen her gün bu tespiti doğrulayan, yukarıdaki olaya benzeyen pek çok vaka yaşanıyor. Bir kısmı basına yansıyor, bir kısmı yansımıyor. Oysa aynı sorunlar sıklıkla gelişmiş yabancı ülkelerde de yaşanmış ve hala yaşanmakta. Aklımıza en son gelen örnek Enron skandalı. Ama yabancı ülke otoriteleri duruma el atarak kısa süre içinde SOX ve benzeri düzenlemeler ile duruma müdahale ediyorlar. İç kontrol kavramını yasa ile önemli hale getiriyorlar. Batı iş dünyası ise bu kavramın önemini çoktan kavramış. İç kontrolle ilgili pek çok model (COSO, CoCo) ve pek çok yasal düzenleme şu an uygulamada. Ülkemiz kamu ve özel sektörü ise bırakın iç kontrol kavramını, henüz iç denetim kavramı ile bile yeni tanıştığından alınması gereken mesafenin büyüklüğü ortaya çıkıyor. Ancak son dönemlerde ülkemiz kamu, sermaye piyasası ve bankacılık sektöründe hayata geçirilen bazı düzenlemeler konuya ilişkin farkındalığın artmasını sağlamıştır. Temennimiz bu farkındalığın diğer tüm sektör ve iş kollarındaki küçüklü büyüklü firmalar ile sosyal ve sivil toplum kuruluşlarında da artırılmasına yönelik inisiyatiflerin oluşması.

Tekrarlamakta fayda duyuyoruz ki iç kontroller işleri yavaşlatan, engelleyen veya gereksiz mekanizmalar değildir. Aksine iç kontroller hayat memat meselesidir ve konuya bu şekilde yaklaşılması gerekmektedir. Buna ek olarak ifade etmek gerekiyor ki iç kontroller, iç veya dış denetçilerin değil, doğrudan şirket yöneticilerinin sorumluluğudur. Bunun bu şekilde görülmesi ve bu sorumluluğun gereğinin yerine getirilmesi gerekmektedir. İç kontrol kavramı ile ilgili olarak gerek kamu gerekse de özel sektörde önemli bir farkındalık oluşturma politikasının hayata geçirilmesi yerinde olacaktır. Ülkemizde mükemmel bir iç kontrol vakası olarak incelediğimiz bu tür olayların engellenmesi adına atılması gereken ilk adım budur. Bu farkındalığı yaratmakta en büyük görev ise özellikle kurumsal yönetim, iç denetim ve risk yönetimi alanlarında faaliyet gösteren mesleki sivil toplum örgütleri ile kanun koyucuya düşmektedir.

Değer Katan Denetim

Bundan birkaç ay öncesinde bir kredi işi nedeni ile yaklaşık 7 yıldır müşterisi olduğum bankanın evime en yakın şubesine gittim. İşlemlerim halledilirken, benim işim ile ilgilenen bayana üst üste tam 2 telefon gelmiş, her biri de en az 6-7 dakika sürmüştü. Her zmaanki gibi vakit geçirmek amacı ile etrafı izlemeye başladım.
Malum meslek iç denetim olunca elbette ki daha bir iştahlı oluyor yapılan gözlemler. Şubenin işleyişi, yerleşim ve düzeni, çalışanlar, bekleyen diğer müşterilere dikkatle baktım. Ticari ve bireysel hizmetler sunan Şubenin oldukça önemli bir iş hacmine sahip olduğu içerideki koşuşturma ve kalabalıktan açıkça belli oluyordu. Yanında oturduğum müşteri temsilcisine 2 telefonun üzerine diğer arkadaşlarından 1-2 soru gelmiş, en az bir 10 dakika da bu sorulara yanıt aranırken geçmişti. Gözlem yapmaktan tam sıkılmıştım ki, işlerime yardımcı olan bayanın yanına koyu renk takım elbiseli ve karizmatik görünüşlü iki genç yaklaştı. Kendisinden bir takım dosyalar istediler. Kendilerinin meslektaşlarımız olduğunu anlamamak mümkün değildi. Belli ki Bankanın Teftiş Kuruluna bağlı çalışan bu iki müfettiş arkadaş Şubeyi teftiş etmek üzere buradaydılar. Bayandan dosyaları alıp biraz ileride çalışmakta oldukları masaya ilerlerlerken çalan yeni bir telefon ile isyanın eşiğine geldim. Tam 30 dk dır basit bir işlem için beklemekteydim ve arkamdaki sıra da gittikçe artmaktaydı. Müşteri temsilcisi bayan kan ter içinde her seferinde tekrar tekrar özür diliyor ve benim işlemime geri dönüyordu. Kıpkırmızı bir yüz ile bana dönerek " İşler yetmiyormuş gibi birde teftiş çıktı başımıza" diyerek derin bir of çekti. Artık merakıma daha fazla dayanamayarak bende söze girdim: "pardon hanımefendi, burada sizden başka bu işlere bakan yok herhalde" dedim. Bayan beni doğrularcasına kafa salladı ve açtı ağızını yumdu gözünü "Koskoca bireysel krediler bölümüne tek ben bakıyorum. İnanabiliyor musunuz. Günde ortalama 500 kredi başvurusu oluyor. Her birinin başvurusunu alıyorum, formları kontrol ediyorum, sisteme giriyorum, istihbarata yolluyorum, oradan gelen cevaba göre de müşteriyi arıyor ve kredi başvurusunu sonuçlandırması için belgelerini istiyorum. Elbette o gün başvuranların ancak belirli bir yüzdesi aynı gün işleme tabi. Diğerleri ertesi güne kalıyor. Bir yandan da kredi ödemeleri yapıyorum. Nakit ise vezneye yönlendiriyorum, online ise hesaba geçiyorum. Sigorta, kesinti, masraf, vs hesaplamaları sistem yapıyor ben kontrol ediyorum. Bu sadece işin kredi boyutu. Birde günlük raporlamalar ve diğer Şube görevlerim var. Onlara hiç girmeyeyim. Birde bu Teftiş çıktı başımıza...."
Bayanının sıkıntısı gözlerinden açıkça okunuyordu. İşimin daha da uzamaması için sessiz kalmam gerekirken yine dayanamayarak sordum: "Peki neden iş yükünüzün ağırlığını Müdürünüz ile görüşmediniz? Bu kadar iş yükü içinde ciddi hatalar olmuyor mu?"
"Oluyor" dedi heyecanla bayan, hem de ne hatalar yapıyorum. Ama ne yapalım durum bu. Belki 10 kere söyledim Müdire Hanıma, beni buradan alın diye. Almadı. Almayacaksanız takviye yapın dedim. Müdire hanım takviye de yapmıyor. Neymiş efendim Banka genelinde verimlilik politikası gereği az kişi maksimum iş bekleniyormuş. Benden genel olarak memnunmuş, hata herkes yaparmış… Şu koca şubede bireysel kredilere tek ben bakıyorum inanabiliyor musunuz? Üstelik teftiş de var. Zaten 15 gündür bir sürü hatamı buldular. Sanırım daha da çok bulacaklar bu gidişle. Geçen sefer de epey hata çıkmıştı benim işlerde. Ama ne yapayım tek kişi, haksız mıyım beyefendi?"
"Haklısınız" dedim. Aklımda bayanın iş yükünden çok müfettişlerin yaptığı denetim vardı şimdi. Bireysel Müşteri Temsilcisi bayan işlerimi tamamlamak üzereydi.
"Ne tür hatalar buldular geçen sene. Bu sene?" diye sordum tekrar. Belli ki sıkıntıları ile samimi bir şekilde ilgilenmem memnun etmişti kendisini.
"Genellikle kredi dosyalarında bir iki eksik belge, birkaç imza ve paraf eksiği, damga pulu, kredi masraf tahsilatları ile ilgili bazı ufak farklar, dosya düzeni, vs." dedi Bayan. Ama çoğu da bir yerlerden çıkıyor müfettişler gidince. Sanki onların gitmesini bekliyor mübarek matbuat ortaya çıkmak için. Ama bunların dışında ciddi hiçbir tenkit gelmedi. Soruşturmam da yok çok şükür. Daha 14 aylık bankacıyım zaten"
Gülümseyerek "anlıyorum" dedim. "İşiniz hakikaten zor. Anlamadığım burada sizin üzerinizdeki baskının çok daha ciddi sorunlara da yol açabilme ihtimali olması. Bunu müfettişler de fark etmedi mi? Eleştiri konusu yapmadılar mı? Sizin burada yürüttüğünüz iş oldukça riskli. Tek başınıza çalışıyorsunuz. İşleriniz çok yoğun. Peki bu işleri kim kontrol ediyor? Bir şefiniz falan vardır muhakkak" diyerek bana imza için uzattığı belgeleri aldım. Belgeleri imzalarken merakla vereceği cevabı bekliyordum.
" Şefimiz vardı ama 6 ay önce tayini çıktı. Yerine gelecek birisi yakında diyorlar. 6 aydır doğrudan Müdire Hanıma onaylatıyorum. Gerçi o da çok yoğun. Şöyle bir bakıp imzalıyor zaten. İstesem senet bile imzalatırım o yoğunlukta" Bayan yaşadığı tüm bu gerginliğin içinde bir kahkaha atarak imzaladığım evrakları aldı.
"İşleminiz tamam beyefendi. Ne olur yoğunluktan ötürü kusura bakmayın".
Sohbet için teşekkür edip kalkarken bayan gülümseyerek masumane bir bakışla ekledi: "Hata diyordum ya, aramızda kalsın geçen sene sisteme bir yanlış giriş yaptım, hem de 6 ay önceki teftiş sırasında! Şube tam 50 bin YTL zarardaydı. Neyse ki müşteri anlayışlı çıktı da tazmin ettik sonradan. Hem de bir iki ay sonra çıktı ortaya. Bende atlamışım, teftiş de atlamış, Müdire Hanım da... Oluyor işte insanlık hali! E birde acemiydik tabi o günlerde!" Gülümsedi.
Bende samimi sohbet için tekrar teşekkür edip, arkamda bekleyen sıranın sitem dolu bakışları altında şubeden uzaklaştım.
Eve doğru giderken kendi kendime düşünmeden edemedim;
Oldukça ciddi operasyonel riskler taşıyan bir bölümde tek bir bayan. Sadece 14 aylık bir bankacılık tecrübesi var. Onay mekanizması yok. İç kontroller zayıf. Yoğun iş baskısı ile önemli hatalar yapılıyor. Hem finansal, hem de imaj kayıplarına yol açabilecek durumlar yaşanmış. Her 6 ayda bir Teftiş edilen bir Şube.
Müfettişlerin tenkitleri: birkaç eksik evrak, evrak düzeni, paraf eksiklikleri, vs..
Bu bankada görevli meslektaşlarımızın yetkinliklerine, teftiş sistemin önemine ve bu güne kadar verdiği hizmetlere dair asla şüphemiz yok. Ama bu ve benzeri durumları her tecrübe edişimizde emin oluyoruz ki ülkemizde risk odaklı iç denetim kültürü ve uygulamalarının yaygınlaşmasına da şiddetle ihtiyaç var. Odağın uygunluk ve hatalar değil, risk olduğu bir denetim kültürüne şiddetle ihtiyacımız var. Yapılan hataların tespiti kadar, bu hataların ortaya çıkmasına neden olan risklerin de göz önüne alınmasına yönelik denetim çabalarına ihtiyacımız var. Tenkit etmek kadar, teşekkür etmeyi de bilen meslektaşlara ihtiyacımız var. Hepsinden önemlisi çalıştığı kuruma değer katmayı başarabilen meslektaşlara ihtiyacımız var.
Geçen hafta özel işlerim nedeni ile tekrar Şubeye uğradım. Müşteri Temsilcisi Bayan orada yoktu. Yerine başka bir bayan gelmiş. Daha yaşlı ve tecrübeli gözüküyordu. Kendisine diğer bayanı sordum, “Benden önceki arkadaş teftiş geçirdi. Başka bir şubeye gönderildi” dedi. Baktım yeni gelen bayanın önünde de dosya yığınları vardı. O da kan ter içindeydi. Telefonu sürekli çalıyordu. O da “of” luyordu. Kendisine teşekkür edip giderken, Bayan sıradaki müşterisine kusura bakmayın diyordu…Bekletiyorum sizi....

Bir kurumun tepe yöneticisinin bakış açısından iç denetim: Bölüm 5

Şirketimizin Yönetim Kurulu üyeleri ve yöneticileri ile gerçekleştirdiğimiz iç denetim tanıtım toplantımızın ilk bölümü istediğimiz gibi verimli geçmiş, ana hedefimiz olan dikkati çekmeyi başarmıştık. İlk bölüm sonrası verdiğimiz çay kahve arasında, katılımcılardan çok farklı, ilginç, daha önce üzerinde düşünmediğimiz konularla ilgili sorular geliyordu. Cevaplayabildiklerimizi cevaplıyor, cevap veremediklerimizi ise konu ile ilgili araştırma yapıp geri döneceğimizi nezaket içinde ifade ederek geçiyorduk.
Bir iç denetçi açısından her şeyi biliyor gözükmek veya bilmediğimiz hususlar üzerinde fikir beyan etmenin hatalı olacağını düşünerek iç denetim meslek hayatım boyunca hep temkinli davranmıştım. Ne de olsa bir iç denetçi açısından en önemli hususlar itibar ve güvenilirlik idi. Toplantının ikinci bölümüne iç denetçiler ve sunacağı hizmetler ile ilgili bilgi vererek devam ettik. İç denetçilerin görevleri süresince pek çok farklı rolü üstlendikleri hususuna dikkat çektik. İç denetçilerin temel odağının hata bulmak değil; değer katmak olduğuna sürekli vurgu yapıyorduk. Bu bağlamda iç denetçilerin denetim elemanları olmakla birlikte, yeri geldiğinde birer finansal analist, yeri geldiğinde danışman, gerektiğinde risk değerlendirmecisi gibi farklı roller üstlenebileceği, bunların temelde kuruma değer katmak amaçlı roller olduğuna dikkat çekmiştik.
“ İç denetim, hem genel hedef ve amaçlara ulaşma konusunda, hem de iç kontrol ve yönetişimi güçlendirme konusunda üst yönetim ve yönetim kurulu için değerli bir kaynaktır” dediğimizde Yönetim Kurulu Başkanımız Bay T bize bir soru yöneltti:

“ İyi güzelde bu değer katma işine nereden başlayacaksınız. Risk Yönetimi, İç Kontrol ve Yönetişimden bahsettiniz. Bizim şirkete bakarsak Risk Yönetimi ve Yönetişim süreçlerinin hali hazırda mevcut olmadığını, iç kontrollerin ise dağınık şekilde operasyonlar içinde yer aldığını görüyoruz. Ana amacınız bu üç konuda değer katmak ve bu üç alandaki süreçleri iyileştirmek ise, siz işe nereden başlayacaksınız, nasıl değer katacaksınız?”

Aslında bu soruyu bekliyorduk ve hazırlıklıydık. Sözü arkadaşlarımdan isteyerek bu soruyu ben cevaplamak istedim. “Kurumlarda risk yönetimi, iç kontrol ve yönetişim süreçlerinin bir sisteme dayanmaması veya açıkça sınırları çizilir vaziyette bulunmaması iç denetim açısından elbette ki arzu edilen bir durum değildir. Yani etkinliğini arttırmaya çalıştığımız bir şeyin önce tanımlanabilir olması gereklidir. Bu bağlamda iç denetim faaliyetinin temel önceliği içinde bulunduğu kurumu ve faaliyetlerini tanımak, amaç ve hedefleri bilmek ve bu öncelikler paralelinde gerçekleştireceği denetimler ve danışmanlık hizmetleri sonucu elde edeceği bilgi ile kurumun risk yönetim, iç kontrol ve yönetişim süreçlerinin daha tanımlanabilir, sistemsel ve en iyi uygulamaları gözeten bir çerçevede ele alınmasını ve değerlendirilmesini sağlamaktır. Yani bu süreçlerin adının konmamış ve sistemli halde uygulanmıyor olması bunların kurumda bulunmadığı anlamına gelmez. Önemli olan iç denetçilerin mevcut durumu tespit edip, olayın sistemsel boyuta taşınmasına yardımcı olmalarıdır. İç denetçiler Kurumlarının risk yönetimi, iç kontrol ve yönetişim alanlarında bulundukları konumun fotoğrafını çeken, eksiklikleri tespit eden, bunları Yönetim Kurulları ve Üst Yöneticiler ile paylaşan ve sorumluları (Yönetim Kurulları Ve Üst Yöneticiler) yukarıdaki üç süreci genel kabul görmüş sistemler dahilinde daha iyi yönetmeye teşvik eden profesyonellerdir.
Yani özetlemek gerekirse; kurumumuzun iç kontrol, risk yönetimi ve yönetişim süreçlerinin etkinliğini değerlendirmek ve geliştirmek amacı ile önce kurumumuzun iş süreçlerini denetleyeceğiz. Bu denetimlerin öncelikli amacı kurumun karşı karşıya olduğu riskler ve bu risklere yönelik kontrollerin sağlıklı olup olmadığı. Sonra bu denetimler sırasında elde ettiğimiz bilgi ve deneyimi, risk yönetimi, iç kontrol ve yönetişim alanlarındaki güncel en iyi uygulamalar ile karşılaştırmak suretiyle kurumumuzun mevcut durumunu ortaya koyacağız.
Bir sonraki aşamada ise bu en iyi uygulamaları kurumuza adapte etmek ve uygulanmalarını sağlamaya yönelik olarak Üst Yöneticilere danışmanlık hizmetleri sağlayacağız. Yani denetim hizmetlerini danışmanlık hizmetlerini daha etkin ve sağlıklı sunabilmek için bir basamak olarak kullanacağız. Ancak tüm bu danışmanlık hizmetlerini sunarken de denetim hizmetlerini asla aksatmadan, kurumda işlerin amaç ve hedefleri gerçekleştirmeye yönelik olarak etkin ve verimli bir şekilde yürütüldüğüne ve iç kontrollerin kurumu doğru rotada tuttuğuna dair güvence vermeye devam edeceğiz”

Cevabımı bitirir bitirmez, mali işlerden sorumlu yönetim kurulu üyesi olan ve göreve başladıklarından bu yana iç denetçiler ve iç denetim faaliyetlerine temkinli yaklaşan Prof M. Günün başından beri beklediğimiz o can alıcı soruyu sormuştu:
“Sizi ve iç denetçi arkadaşları büyük bir keyifle dinledik. Anlattıklarınız hakikaten de ilgi çekici. Ancak bizim kurumun bahsettiğiniz diğer iç denetim hizmetlerine neden ihtiyaç duyduğu konusu benim için yeterince net değil. Yani şirketimiz için iç denetim birimi veya faaliyeti kurulması konusunda yasal bir zorunluluk yok. Evet teftişe, yani iş ve işlemlerin geçmişe dönük olarak sorgulanmasına bende sıcak bakıyorum. Ama risk yönetimi, iç kontroller, yönetişim alanlarında denetim ve danışmanlık yolu ile kuruma değer katmak hem maliyetli hem de uzun sürecek bir süreç gibi geliyor bana. Bu maliyeti neden göze alalım, veya daha doğru ifadeyle mevcut ölçeğimizde neden bu tür bir hizmete ihtiyaç duyalım. Şirket Yöneticilerimiz risklerin yönetilmesinde veya operasyonların verimliliği hususunda neden iç denetçi desteğine ihtiyaç duysun ki?”
Prof M. nin kendi düşüncelerini bir soru ile özetlediği yorumu, salondaki tüm bakışları iç denetçilerin hamisi konumundaki bana yöneltmişti. Aslında kafalardaki şüpheleri yok etmek açısından iyi bir fırsat olmuştu bu soru. Cevabı verirken iç denetçi arkadaşların notlar aldıklarını görüyordum:

“Bu gün çok çeşitli sektörlerde birçok orta ve büyük ölçekli firma bir iç denetim sistemine sahiptir. İtibara dayalı sorumlulukları olan borsaya kote firmalar, bankalar ve diğer finansal kurumlarda ise bildiğiniz üzere bu bir gerekliliktir. Diğer şirketlerde iç denetim sistemine sahiptirler çünkü iç denetim sistemi Denetim Komitesi ve üst yönetime güvence sağlayan yönetimsel kontrolün değerli bir parçası olarak algılanır ve yatırımcılar ile kreditörler için işletmenin kredibilitesine değer katar. Yani iç denetim klasik yönetim fonksiyonlarından biri olan kontrol etme fonksiyonunun önemli bir aracıdır. Kabul etmek gerekir ki daha küçük organizasyonlarda yöneticiler günlük faaliyetleri etkin bir şekilde yönetebilecek ve çalışanların işlevlerini takip edebilecek yeterlilikte yakındırlar. Ancak işletme büyüdükçe ya da faaliyetler karmaşıklaştıkça yönetim çalışanların faaliyetlerini kontrol etmekte zorlanacak ve birebir takipler yerini iç kontroller ve iç kontrol sistemlerine bırakacaktır. Bizim şirketimiz sektörde önemli bir oyuncu olup, yıllar itibariyle gerek mali durum, gerekse de operasyonlar itibariyle belirli bir büyüklüğe ulaşmış durumdadır. Büyük üretim hatları, karmaşık dağıtım kanalları, yurt dışı irtibatları ve önemli büyüklükte kabul edebileceğimiz bir örgütsel yapısı vardır. Bu nedenle, iç denetim hizmetlerinin değer katabileceği ve maliyetinin üzerinde fayda sağlayabileceği bir iş ve örgütsel büyüklüğe sahiptir. Böylesi bir ölçek yukarıda bahsi geçen üst yönetimin kontrol fonksiyonun icrasını güçleştirmekte, bu kontrol faaliyetlerinin desteklenmesini zorunlu kılmaktadır. İşte bu nedenle iç denetim sistemi bulunmayan organizasyonlar, eğer boyutları ve faaliyetlerinin türü, sermaye kaynakları ve risk faktörleri gerektiriyor ise, bir sistem kurmaya mutlak önem vermelidirler. Tüm bu koşulların bir iç denetim birimine sahip olmak adına firmamız açısından geçerli olduğunu düşünmekteyim. Tüm bu görüşlere ek olarak bir kurumun yönetsel ve operasyonel faaliyetlerinin, Yöneticilerden bağımsız ve objektif olan, yetkin kişilerce sistematik olarak değerlendirilmesinin iş ve işlemlerin çok daha etkin ve amaçları destekler şekilde yürütülmesine katkı sağlayacağını da düşünmekteyim. İç denetim tanıtım toplantımız sonrası size yapacağımız ve denetçi arkadaşlarımız tarafından dört aydır yürütülen denetim faaliyetlerinin sonuçlarına ilişkin sunumun, iç denetimin kurumumuz açısından önemini ortaya koyacağını göreceksiniz”

Bay T tekrar bir soru sormak üzere söz almıştı. “Diyelim ki şirketimizin gerçekten de bu hizmetlere ihtiyacı var, ki ben kişisel olarak olduğunu düşünüyorum. Denetçi arkadaşlarımız bu yükü nasıl kaldıracaklar? Pek çok farklı ve yoğun faaliyet söz konusu. Denetimler, danışmanlıklar, vs. Ekibi takviye etmek gerekecek mi sizce?

Soruyu oldukça beğenmiştim. Gerçekten de bir iç denetim Birimi açısından en önemli unsurlardan bir tanesi de tahsis edilecek iç denetim kaynakları idi. Soruya cevap verirken salonda konuya ilginin arttığını da gözlemlemekteydim;
“İç denetim fonksiyonları, denetledikleri alan ve riskler açısından uygun tecrübe ve yetenekte birbirini tamamlayan yeterli personele ihtiyaç duyar. Personelin kendi uzmanlık alanlarında süregelen bir eğitim almaları icap ettiği gibi kurum içindeki teknolojik ilerlemeleri ve organizasyonel değişiklikleri birebir takip etmeleri zorunludur. Aynı zamanda, İç denetim fonksiyonu koordineli uygulamalarla dış denetçilere destek olmalıdır. Bu nedenle risk, iç kontrol ve yönetişim alanları ile ilgili mesleki bilgi dışında muhasebe, finans ve mali raporlamalar ile ilgili bilgi sahibi olmak da önem taşır. Bu nedenle etkin bir iç denetim fonksiyonu oluşturmak için önce yetkin iç denetçilerin istihdam edilmesi gerekir. Kesinleşmiş bir kural olmamakla birlikte, kurumun personel sayısının %1-2’si oranında yetkin iç denetçi istihdam edilmesi genel kabul görmektedir. Elbette ki bu sayı sektör, şirket organizasyonu ve faaliyet yapısı ile işin niteliğine göre önemli ölçüde değişiklik gösterebilir. Organizasyon denetim faaliyetleri için kurum içinde ayrı bir İç Denetim Departmanı oluşturabileceği gibi süregelen görevlerde bir kısım denetim uygulamalarını görev tanımına ekleyebilir. İç Denetim Departmanı diğer bölümlerde çalışan personeli de denetim ekiplerinin bir parçası olarak geçici veya kalıcı olarak bünyesinde bulundurabilir. Örneğin bizim iç denetçi arkadaşlar şirket içi farklı bir departmanda çalışırlarken tarafımca görevlendirildiler. Yine tarafımca önemli bir eğitime tabi tutuldular. İç denetçilerin dışarından temin edilmesi de diğer bir yöntemdir. Eğer uygun görülür ve resmi bir iç denetim departmanı kurmak konusunda sizlerle fikir birliği sağlar isek, iç denetim ekibinin geri kalan kısmını dışarıdan istihdam edeceğimiz tecrübeli iç denetçilerden oluşturacağız. İç denetim muhtelif bilgi, beceri ve deneyimi gerektirmektedir. Bu becerileri bünyemize katmamız gerekecek. Bu nedenle Sayın Bay T’ nin yorumuna katılıyorum. Kurumumuzun yapısı ve gereksinimleri göz önüne alındığında çağdaş ve etkin bir iç denetim fonksiyonu kurmak adına iç denetim ekibimizi güçlendirmemiz gerekecek. Bu sayede daha önce bahsettiğimiz değer katma misyonu paralelinde, çok farklı alanlarda iç denetim fonksiyonundan faydalanmak mümkün olacaktır.
Söze devam ederken çay ve kahve servisinin açılması ile ikinci arayı vermiş oluyorduk. Arada Prof. M. yanıma gelerek kurumun iç denetçi ihtiyacına yönelik olarak kafasındaki diğer bazı şüpheleri paylaştı. Kendisini ikna etmek oldukça zor olacağa benziyordu.