İç Kontrol Kavramı Üzerine Bir Vaka İncelemesi

Geçtiğimiz hafta gazetede yayınlanan bir haber dikkatimi çekti. Haberin başlığı “Internet Aşkının Uğruna Şirketini Dolandırdı” idi. Şöyle diyordu haberde: “Turizm şirketinin 12 yıllık muhasebecisi, internette tanışıp aşık olduğu erkeğe, şirket kasasından 10 ay boyunca 3 milyon 200 bin YTL gönderdi. Sevgililer 12’şer yıl hapis istemiyle yargılanıyor. Ayrıca kendilerine yardım eden 5 kişi de dolandırıcılık nedeniyle tutuklandı”

Ayrıca haberde muhasebecinin bazı ifadelerine de yer verilmişti. “………şirket kasasından her hafta düzenli olarak para çektim………..Ayrıca şirket hesabından da para çekip gönderdim………….Daha sonraları elden de para verdim…..Çalıştığım şirket yüklü miktarlarda ihale aldığı için yakalanmadım…..Her şeyi….’e aşık olduğum için yaptım!”

İç kontrol kavramı üzerine bir (case study) vaka incelemesi olarak bundan daha iyi! bir örnek düşünemiyorum.

Bir iç denetçi olarak bu vaka ile ilgili gözlemlerimi paylaşmak istiyorum. Yukarıda koyu renkle işaretli kelimeler bu vakanın en kritik noktaları.

Öncelikle gözden kaçması imkansız olan bir kontrol zafiyeti ile başlıyoruz. Temel bir iç kontrol tedbirinin eksikliği gözümüze çarpıyor. Bu iç kontrol uygulaması pek çoğumuzun yakından bildiği “görevler ayrılığı” ilkesi. Bu vakada, bu ilkenin ciddi bir şekilde ihlal edildiği görülmektedir. Ne diyor görevler ayrılığı ilkesi; muhasebeyi tutan veya sorumlu olan kişi (muhasebe kaydı yaratma yetkisi olan kişi) ile nakit varlıklara erişim yetkisi olan kişiler mutlaka ayrı olmalıdır. İşte bu şirkette muhasebecinin, çalışan veya yönetici olup olmadığı bilinmemekle birlikte, şirketin her tür nakit değerine (banka hesapları ve kasa) erişim imkanı olduğu görülmektedir. Özellikle ülkemizdeki küçük ve orta ölçekli pek çok şirkette muhasebe sorumlusu olan, yani muhasebeyi tutan kişilerin bu şekilde çalıştığı düşünüldüğünde olayın ciddiyeti ortaya çıkmaktadır. Ülkemizde genellikle iç kontrol tedbirleri yerine kişisel güven faktörü ön planda olduğundan, “görevler ayrılığı” ilkesine dikkat edilmemektedir. Oysa yukarıdaki haberde koyu renkle işaretlenen diğer bir kelime, suçu işleyen muhasebecinin 12 yıldır bu şirkette çalıştığını ortaya koymaktadır. İç kontrol tedbiri yerine kişisel güven mekanizmasının ne denli anlamsız bir uygulama olduğuna iyi bir örnek teşkil etmektedir. Özellikle aile şirketlerinde aileden biri ya da ailenin en çok güvendiği kişilerin bu tür yetki ve sorumlulukları tek başına üstlendikleri düşünüldüğünde, riskin büyüklüğü ortaya çıkmaktadır. Konu ile ilgili olarak yukarıdaki örnekte dikkat çeken bir diğer husus ise şirket sahipleri tarafından güvenilir olarak görülen ve tam 12 yıldır bu şirkette çalışmakta olan bir kişinin “aşık olma güdüsü” ile çalıştığı şirketi, kariyerini ve hayatını riske atabilmesidir. Bu durum insan olmaktan ve insani zaaflardan kaynaklanmaktadır. Aşık olma motivasyonuna ek olarak daha pek çok motivasyonu daha sayabiliriz. Yıllarca hak ettiğini alamadığını düşünmek, çocuğu için acil paraya ihtiyacı olmak, patronlarından intikam almak ve daha pek çok neden ile şirketlerde, kurumlarda bu tür olaylar yaşanabilmektedir. İşte bu nedenle iç kontrol vazgeçilmez bir kavramdır. Elbette ki güven unsuru da önemlidir ancak iç kontrollerle desteklenmeyen güven bir kumardır.

Ancak unutulmaması gereklidir ki iç kontroller yine insanlar tarafından tasarlanır. İç kontrolleri en iyi atlatabilecek kişiler onları tasarlayan, onlar üzerinde hüküm sahibi olan veya onları atlatabilmek amacı ile işbirliği yapan çalışanlar olmaktadır. Bu bağlamda yukarıda bahsi geçen vakada suçu işleyen iki kişiye destek veren ve bu sebeple gözaltına alınmış beş kişilik bir grubun varlığı bu duruma işaret etmektedir. Burada iç kontrol eksikliklerine ek olarak, birde var olduğu düşünülen iç kontrollerin (olduğundan şüphe etmekle birlikte) bir grup çalışanın ortak çabası ile atlatıldığı gerçeği dikkat çekmektedir. Belli ki suçu işleyen iki kişi, bu operasyonu oldukça uzun bir süre tek başlarına götürmemişlerdir. 10 ay boyunca kelimesi üzerine bu nedenle durulması gerekmektedir. Bu kadar uzun süre yüklü miktarlarda nakitin kasa ve banka hesaplarından çekilmek suretiyle şirket dışına çıkartılması ve hiç kimsenin bu durumu fark etmemiş olması bu iç kontrol faciasına ayrı bir boyut katmaktadır. Şirket ile ilgili ayrıntılı bilgiye sahip olmamakla birlikte yukarıdaki haberden tahmin ettiğimiz kadarı ile muhasebe sorumlusu bu olayı diğer bazı çalışanlardan habersiz gerçekleştirmemiştir. Elbette ki bahsi geçen 5 kişinin de suçlu olup olmadıkları kesin değildir, ancak en azından durumun ortak bir çaba sonucu gerçekleştiği ihtimali, suç sonucu kaçırılan nakit miktarı düşünüldüğünde, pek olasıdır. Buradan çıkartılması gereken sonuç iç kontrollerin etkin olsun olmasın, bir grup çalışan tarafından atlatılabilmesinin de mümkün olduğu ve bunun gözden asla kaçırılmaması gerektiğidir. Yine bu bağlamda dikkatimizi çeken diğer bir husus da 10 ay boyunca şirket hesaplarından önemli miktarda nakit çekilişinin şirketin üst düzey yönetici veya sahipleri tarafından takip edilmemiş olmasıdır. Burada açıkça diğer bir iç kontrol zafiyeti göze çarpmaktadır. İzleme veya diğer bir deyişle gözetim mekanizmalarının tahsis edilmemiş olduğu görülmektedir. Şirket büyüklüğü ne olursa olsun, yönetsel gözetim ve süpervizyon mekanizmalarının mutlaka bulunması gerekmektedir.

Yukarıdaki tespitlere ek olarak gözümüze çarpan diğer bir nokta ise yüklü miktarlarda ihale alan ve ciddi bir mali kazanç elde eden şirketin, muhtemelen büyümüş olan örgütsel yapısını, değişimin gerektirdiği şekilde yeniden yapılandırmamış olmasıdır. Genellikle ülkemizde görülen diğer bir sorun da şirketlerin veya kurumların büyümelerini takiben, örgütsel bir yeniden yapılanma sürecine gitmemeleridir. Bu yeniden yapılanmanın en önemli unsuru ise elbette ki iç kontroller olmalıdır. Ancak genellikle uygulama bu yönde olmamaktadır. Eski yapı ve sistemler korunmakta, sadece çalışan sayısı artırılmak suretiyle işler devam ettirilmeye çalışılmaktadır. Yetki ve sorumluluk dağılımı, örgütsel iletişim dizaynı ve kurumsal kademelere ise hiç dokunulmamaktadır. Bu durum şirket sahiplerinin kurum üzerindeki kontrolünün azalmasına ve kurum içinde önceden yetki kazanmış ve önemli sorumluluk alanlarının merkezinde bulunan kişilerin güç kazanmasına yol açmaktadır.

Evet ülkemizdeki acı bir gerçeği doğrular nitelikteki bu olaydan çıkartılması gereken pek çok ders var. Nedir bu acı gerçek? İç kontrol kavramı ülkemizde genellikle iç ve/veya dış denetçilerin işi gibi görülüyor. Kamu veya Özel sektör olması fark etmiyor. İç kontroller ile ilgili olarak Yöneticilerin topu sıklıkla denetim elemanlarına attıkları görülüyor. Bu olayın bir yönü. Diğer yandan, iç kontrol kavramı özellikle ülkemiz iş dünyasında önemi henüz anlaşılabilmiş bir kavram değil. İç kontrollerin genellikle işleri yavaşlatıcı, zaman alıcı ve gereksiz olduğu gibi bir düşünce hakim. Bunu hem kişisel kamu ve özel sektör tecrübe ve gözlemlerim, hem de pek çok farklı kurum ve yapıda görev yapan meslektaşım ile yaptığım sohbetlerden anlıyorum. İşte bu iki konu, yani iç kontrollere gereken önemin verilmemesi ve iç kontrollerin sorumluluğunun yönetimler tarafından alınmak istenmemesi (eksik bilgi sahibi olmaktan da kaynaklanıyor olabilir) ülkemizdeki acı gerçeği doğruluyor. Şirketlerimiz ve kurumlarımızın yumuşak karnı iç kontroller ve iç kontrol sistemleri. Ülkemizde hemen her gün bu tespiti doğrulayan, yukarıdaki olaya benzeyen pek çok vaka yaşanıyor. Bir kısmı basına yansıyor, bir kısmı yansımıyor. Oysa aynı sorunlar sıklıkla gelişmiş yabancı ülkelerde de yaşanmış ve hala yaşanmakta. Aklımıza en son gelen örnek Enron skandalı. Ama yabancı ülke otoriteleri duruma el atarak kısa süre içinde SOX ve benzeri düzenlemeler ile duruma müdahale ediyorlar. İç kontrol kavramını yasa ile önemli hale getiriyorlar. Batı iş dünyası ise bu kavramın önemini çoktan kavramış. İç kontrolle ilgili pek çok model (COSO, CoCo) ve pek çok yasal düzenleme şu an uygulamada. Ülkemiz kamu ve özel sektörü ise bırakın iç kontrol kavramını, henüz iç denetim kavramı ile bile yeni tanıştığından alınması gereken mesafenin büyüklüğü ortaya çıkıyor. Ancak son dönemlerde ülkemiz kamu, sermaye piyasası ve bankacılık sektöründe hayata geçirilen bazı düzenlemeler konuya ilişkin farkındalığın artmasını sağlamıştır. Temennimiz bu farkındalığın diğer tüm sektör ve iş kollarındaki küçüklü büyüklü firmalar ile sosyal ve sivil toplum kuruluşlarında da artırılmasına yönelik inisiyatiflerin oluşması.

Tekrarlamakta fayda duyuyoruz ki iç kontroller işleri yavaşlatan, engelleyen veya gereksiz mekanizmalar değildir. Aksine iç kontroller hayat memat meselesidir ve konuya bu şekilde yaklaşılması gerekmektedir. Buna ek olarak ifade etmek gerekiyor ki iç kontroller, iç veya dış denetçilerin değil, doğrudan şirket yöneticilerinin sorumluluğudur. Bunun bu şekilde görülmesi ve bu sorumluluğun gereğinin yerine getirilmesi gerekmektedir. İç kontrol kavramı ile ilgili olarak gerek kamu gerekse de özel sektörde önemli bir farkındalık oluşturma politikasının hayata geçirilmesi yerinde olacaktır. Ülkemizde mükemmel bir iç kontrol vakası olarak incelediğimiz bu tür olayların engellenmesi adına atılması gereken ilk adım budur. Bu farkındalığı yaratmakta en büyük görev ise özellikle kurumsal yönetim, iç denetim ve risk yönetimi alanlarında faaliyet gösteren mesleki sivil toplum örgütleri ile kanun koyucuya düşmektedir.

Bir kurumun tepe yöneticisinin bakış açısından iç denetim: Bölüm 4

Yönetim Kurulu Başkanı Bay T’nin benden istediği iç denetim sunumunu iç denetim birimindeki 3 arkadaşımız ile birlikte hazırladık. Eski bir iç denetçi olmam dolayısı ile bu konuda hatırı sayılır bilgiye sahip olmama rağmen sunumu üç denetçi arkadaşımdan en tecrübeli olanı olan Bay E nin yapmasını istemiştim. Bay E ye çok teknik bir sunum yapmamasını, konuyu basit bir dille anlatması gerektiğini söyledim. Yönetim Kurulu Üyelerinin iç denetim ile ilgili sağdan soldan duydukları dışında bilgisi yoktu. İç denetimin ne olduğunu ve ne fayda sağlayacağını herkesin anlayacağı şekilde anlatmalıydık. Ancak elbette bu kolay bir iş değildi. Meslek dışından gelen, meslek tecrübesi olmayan veya daha önce iç denetçiler ile çalışmamış kişilere iç denetimi anlatmak ciddi zorlukları olan bir işti. Ancak bir o kadar da önemliydi. Denetim birimlerinde çalışırken iç denetim ve iç denetim kavramları üzerinde önce denetim birimi içinde, sonra çalıştığımız kurum içinde ve nihayetinde de iç denetim camiası ile hemfikir olmamız gerektiğini savunurdum. Bir kavramdan tüm ilgili taraflar aynı şeyi anlamalı, aynı anlamı çıkarmalıydı. Bu nedenle de teknik ifadelerden ziyade somut örnekler ile iç denetimi anlatmak, kafalarda yer edinmesini sağlamak gerekecekti. İç denetim ekibimiz ve ben sıkı bir hazırlık dönemi sonucu yönetim kurulunun karşısına çıkmaya hazırlanmıştık. Benim önerimle yönetim kuruluna ek olarak üst düzey diğer yönetici arkadaşlarımızın da brifinge katılımları sağlanarak herkes için uygun bir zamanda iç denetim tanıtım sunumumuzu gerçekleştirdik.
Sunuma iç denetimin genel kabul görmüş tanımı ile başlamıştık:
“İç denetim, bir kurumun faaliyetlerini geliştirmek ve onlara değer katmak amacını güden bağımsız ve objektif bir güvence ve danışmanlık faaliyetidir. İç denetim, kurumun risk yönetim, kontrol ve yönetişim süreçlerinin etkinliğini değerlendirmek ve geliştirmek amacına yönelik sistemli ve disiplinli bir yaklaşım getirerek kurumun amaçlarına ulaşmasına yardımcı olur”
Bu tanımı paylaştıktan sonra bu tanımın üzerinde durmaya karar vermiştik. Zaten sunum sırasında Yönetim Kurulu Üyelerinden peşi sıra sorular gelmeye başlamıştı. Sorularda risk yönetimi, iç kontrol, yönetişim, sistemli, disiplinli, süreç gibi kavramların ne anlama geldiği sorulmuştu. Bu sorular ve sunum sırasında verdiğimiz cevaplar şu şekildeydi:
Soru: Risk Nedir? Risk Yönetimi Nedir?
Risk bir kurum, birim veya faaliyetin hedeflerine ulaşmasını engellemeye yönelik bir tehdit içeren potansiyel sonuçlardır. Yani riskler hedefleri ulaşmayı engeller. Risk Yönetimi ise, bir kurumun karşı karşıya olduğu risklerin tanımlanması, ölçümlendirilmesi ve önceliklendirilmesi (yani risk değerlendirmesi) sonrası başlayan, bu risklere yönelik tedbirlerin alınması ile devam eden ve nihayetinde de bu risklerin sürekli olarak takibi ve mevcut tedbirlerin etkinliğinin değerlendirilmesi ile sona eren bir süreçtir.
Kurum içi ve dışında kurumu ilgilendiren riskler belirlendikten sonra, bu riskler bir önem ve öncelik sırasına sokulmak üzere ölçülür, yani puanlanır. Tüm bu işlemlere de “risk değerlendirmesi” işlemi denir. Ardından belirlenen bu riskler tek tek veya gruplar halinde ele alınmak sureti ile bunları etkisiz hale getirmeye yönelik “risk yönetim” stratejileri geliştirilir. Kısaca risk yönetimini kurum çapında “risk avcılığı” olarak tanımlamak mümkündür. Avlanacak olan hedefler tespit edilir. Öncelik sırasına konur. Nişan alınır ve hedefler bu sıraya göre vurulur. İşte hedeflerin belirlenip öncelik sırasına koyulması “risk değerlendirmesi” vurulması esnasında kullandığımız tüm teknik ve araçlar “risk yönetimi” olarak ifade edilebilir.
Soru: Riske birkaç örnek verebilir misiniz?
Örneğin, şirketimiz boya üretiyor. Ürettiğimiz boyaların içinde sağlığa zarar veren bir madde bulunması nedeni ile insanların zarar görmesi hukuki sonuçlar ile itibar sorunlara yol açabilir.
Burada ürettiğimiz boyaların içinde sağlığa zararlı madde bulunması bir “tehdit” olarak nitelendirilir. Bu tehditin gerçekleşmesi, yani bu maddelerin üretimde kullanılması ise bir “sonuç” a yol açabilir. Bu sonuç insanların zarar görmesi nedeni ile hakkımızda dava açılması ve kamuoyundaki imajımızın zedelenmesidir. İşte bu iki sonuç sırasıyla yasal risk ve itibar riskleridir.
Risk etki ve olasılık kavramları ile ölçülür. Olasılık riskin gerçekleşme sıklığı veya ihtimali, etki ise yol açacağı zararın boyutudur. Örneğimize dönersek, var olan bir tehdit gerçekleşmesi halinde, iki sonuca yol açmaktadır. Dolayısı ile iki risk söz konusudur. Hukuki riskin gerçekleşmesi sonucu maddi kayıplarımız riskin etki boyutunu, bu tip bir tehdit nedeni ile riskin gerçekleşme ihtimali de olasılık boyutuna işaret eder. Benzer şekilde itibar kaybı nedeniyle satışlardaki ve hisse değerlerindeki düşüş de söz konusu itibar riskin maddi bir etkisidir.
Bir riskin gerçekleşmesi için mutlaka bir hedefe ulaşmayı engelleyecek bir tehditin belirli bir olasılık dahilinde gerçekleşmesi ve belirli bir etki yaratması gerekmektedir. Yani örneğe dönersek zararlı maddelerin tedarikçilerde satılıyor olması bir tehdit değildir. Bizim bu maddeleri alarak üretimde kullanmamız bir “tehdit” oluşturmaktadır.
Etkiyi ölçmek olasılığı ölçmekten kolaydır. Olasılığı sağlıklı bir şekilde ölçmek çoğu zaman mümkün değildir. Bu nedenle olasılıklar belirli ölçüde subjektif değerlendirmelere tabidir.
Risk Yönetim Stratejileri Neler Olabilir?
Risk yönetiminde farklı risklere farklı stratejiler geliştirmek mümkündür. Riskin yapısı ve yaratacağı etki kadar kurumun bu riski yönetmek için ayırabileceği kaynaklar, kurumun risk iştahı, risk kültürü gibi pek çok faktör strateji seçmini yakından etkilemektedir. Riskle ilgili stratejilere bakıldığında genel anlamda riskten kaçınma, riskin transferi, riskin paylaşılması, riskin kabul edilmesi ve riskin kontrol edilmesi gibi alternatifler söz konusudur. Bazı riskler sigorta bedeli karşılığı 3. şahıslara transfer edilirken, bazı riskler olduğu gibi kabul edilebilmektedir. Bazı risklerden kurtulmanın tek yolu o riski almamak yani riski doğuran faaliyete son vermektir. Riskten kaçınma stratejisi budur. Riskin pek çok kere paylaşılması yani doğurabileceği sonucun diğer şahıslarla birlikte karşılanması yolu seçilebilir. Riskin kontrol edilmesi ise genellikle en geçerli ve uygun maliyetli çözüm olup iç kontroller ve iç kontrol sistemi yoluyla risklerin azaltılıp, makul seviyelere indirilmesi anlamı taşır.
Risk Yönetiminden Kim Sorumludur?
Risk yönetimi diğer pek çok yönetim faaliyeti gibi kurumun üst yönetiminin sorumluluğudur. İç denetçiler riskleri bizzat yönetmez. Risk yönetimi ile ilgili kararlar almaz, risk yönetim fonksiyonunu işletmez. İç denetçilerin risk yönetimi ile ilgili sorumluluğu risklerin Yönetim Kurulu adına izlenmesi ve risk yönetim faaliyetinin etkinliğinin değerlendirilmesidir. İç denetçiler kurum için mevcut risklerin kurumun kabul edilebileceği düzeylerde yönetildiğine dair Yönetim Kuruluna makul güvence sağlar.
İç Kontrol Nedir? İç Denetimin İç Kontroller ile ilgili sorumluluğu nedir?
İç kontrol kurumun üst yönetimi ve çalışanlarınca yürütülen, kurumun genel olarak amacına ulaşmasına engel olabilecek riskleri hem stratejik düzeyde hem de iş süreçlerinde azaltmak, makul düzeylere indirmek üzere alınan tedbirlerdir. İç kontrol sistemi veya süreci dediğimizde kurumda var olan tüm iç kontrol faaliyetleri ve tedbirleri akla gelir. Bir kurumun iç kontrol sistemi genel olarak aşağıdaki alanlardaki hedefleri gerçekleştirmek amacıyla tesis edilir:
Operasyonel ve finansal raporlamaların güvenilirliği
Operasyonların etkinlik ve verimliliği
Mevzuat ve düzenlemelere uygunluk
İç denetçilerin iç kontroller ile ilgili yönetsel bir sorumluluğu yoktur. Yani iç kontrol sisteminin kurulması ve yönetilmesi kurum yönetiminin sorumluluğudur. İç denetçiler iç kontrol sisteminin ve sistemi oluşturan iç kontrollerin varlığı ve etkinliğinin değerlendirilmesi ve iç kontrol sisteminin riskleri yönetmede yeterli olduğu noktasında Yönetim Kuruluna makul güvence vermek amacını güder. İç kontroller üretimden pazarlamaya, insan kaynaklarından muhasebeye kadar kurumun tüm birimlerinde var olup, bunların etkinliği bir kurumun amaç ve hedeflerine giden yolda sağlıklı bir şekilde ilerlemesine imkan sağlar. Örneğin, şirketimizin üretim hattında yaşanan bazı operasyonel problemler üretim maliyetlerini, dolayısıyla da ürünün maliyetini ve doğrudan satış fiyatını da etkiler. Satış fiyatı da ürünün pazar payında önemli bir değişkendir. Görüldüğü üzere problemlerin daha kaynağında tespit edilmesi ve bunlara çözümler geliştirilmesi bir şirketin pazar payını etkilemektedir. İç denetimin rolü, Yönetim Kuruluna iç kontrollerin kurumu doğru bir istikamette tuttuğuna dair makul güvence vermektir.
Yönetişim Nedir? İç Denetimin Yönetişim ile ilgili görevleri nelerdir?
Yönetişim veya diğer bir deyişle Kurumsal Yönetim özünde şirketlerin hissedar ve diğer menfaat sahiplerine, yani paydaşlarına en yüksek yararı sağlayacak biçimde yönetilmelerini amaçlayan bir yönetim tarzı ve felsefesidir. Son birkaç yıl içinde yaşanan ve büyük yankılar uyandıran şirket skandallarının ana sebebi şirket yönetimlerinin şirketleri asıl hak sahibi olan hissedarların yararına değil, kendi bireysel çıkarları doğrultusunda yönetmeleriydi. İşte bizim şirketimizde de benzer bir durumun yaşanmaması amacıyla yöneticilerin performansları ve faaliyetlerinin denetlenmesi, yöneticileri bu tür davranmaktan alıkoymaya yönelik gözetim mekanizmalarının kurulması önem taşımaktadır. İşte iç denetimin kurumsal yönetim ile ilgili görev ve sorumlulukları burada devreye girmektedir. İç denetim operasyonel faaliyetler ile yönetsel faaliyetleri risk odaklı bir yaklaşım ile denetleyerek, yönetimin şirketi belirlenmiş amaç ve hedefler doğrultusunda yönettiğine dair Yönetim Kuruluna makul güvence sağlar. Ayrıca iç denetçiler Kurumsal Yönetim ilkeleri olan şeffaflık, sorumluluk, hesap verilebilirlik ve adillik ilkelerini kurum genelinde yaymak, desteklemek ve tanıtmak misyonuna da sahiptir.
Neden Yönetim Kurulu? Risk Yönetimi, İç Kontrol ve Yönetişim süreçleri ile ilgili bizim sorumluluklarımız nelerdir?
Yönetim Kurulları, hissedarlar tarafından onların haklarını korumak ve şirketi hissedarlara en fazla fayda sağlayacak biçimde yönetmelerini sağlamak amacı ile teşkil olunmuş yapılardır. Hissedarların bir kısmı bizim şirketimizde olduğu gibi aynı zamanda yönetim kurulunda da olabilir. Ancak bazı şirketler halka açılmakta veya yabancı ortak almaktadır. Bu durumda hem bu yeni hissedarların hem de eski hissedarların haklarını korumak amacı ile şirketi yöneten profesyonel yöneticiler üzerinde bir kontrol mekanizmasına ihtiyaç duyulur. İç ve dış denetim bu bağlamda önemli araçlardır. İşte bu kontrol mekanizmalarını sağlamak da Yönetim Kurulunun sorumluluğudur. Bunun haricinde şirketin hissedarlara maksimum fayda sağlayacak biçimde yönetilmesi için öncelikle kurum yönetiminin buna yönelik amaç ve hedefleri olması, sonra da bu amaçlara dönük risklerini iyi yönetmesi gerekmektedir. Burada risk yönetimi ve iç kontrol süreçlerinin sağlıklı olması önem taşır. Bu sistemlerin sağlıklı olup olmadığına dair güvenceyi Yönetim Kuruluna iç denetçiler sağlar. Ayrıca tüm dünyada Yönetimin seçilmesi ve performansının izlenmesi elbette ki Yönetim Kurulunun sorumluluğundadır.
Ancak bazı kurumlarda Yönetim Kurullarının ağır iş yükü ve daha farklı stratejik boyutlu işlerin takipçisi olmaları nedeniyle, yukarıdaki yönetişim, risk ve iç kontrollere ilişkin izleme ve değerlendirme görevlerini kendi içlerinden veya dışarıdan uygun adaylar arasından seçtikleri, bu kişilerce oluşturulan farklı organlara delege ettikleri görülmektedir. En iyi uygulamalarda, Denetim Komitesi olarak bilinen bu kurullar, Yönetim Kurulları adına kurumun bazı yasal düzenlemelere uyumu ile hissedar çıkarlarına uygun hareket edildiğine dair görevler üstlenirler. İç denetim birimleri de fonksiyonel olarak bu kurullara raporlama yapar. Bu kurullar kurum yönetim kuruluna bağlı olarak, ancak kurum üst yönetiminden bağımsız görev yapmaktadır.Tüm bu soruların ardından yeni sorular geleceğini biliyorduk. Ancak Yönetim Kurulu üyelerimiz brifingimizin bu ilk bölümünden fayda sağlamış gözüküyordu. Bu da brifing sırasında bizleri motive etmişti. Bir sevindirici gelişme de gerek yönetim kurulu üyeleri, gerekse de yönetim ekibinin kurumsal yönetim, risk yönetimi ve iç kontrol kavramları ile bu kavramlara ilişkin görev ve sorumluluklarını daha iyi kavramaları idi. Brifingin ikinci kısmı öncesi verdiğimiz kısa ara boyunca da bu kavramlar ile ilgili tartışmaya devam etmemiz, konuya gösterilen ilgiyi göstermekteydi.

(devamı var…)

İç Denetim Nedir?

Günümüzde iş dünyasında iç denetim ile ilgili ciddi bir kavram karmaşası yaşanıyor. İç denetim kavramının ne olduğu ve ne olmadığı genellikle bilinmiyor. Özellikle 2000 li yıllardan itibaren dünyada meydana gelen bazı kurumsal ve mali skandallar sonrası önemi artmaya başlayan bir kavram iç denetim. Amerika gibi gelişmiş, büyük piyasalarda bu skandallar sonrası iç denetim fonksiyonu ve iç denetçilerin önemleri oldukça artmış durumda. SOX gibi güçlü yaptırım gücüne sahip düzenlemelerin iç denetçilerin kamuoyu nezdindeki itibarını bir hayli arttırdığı bir gerçek. Özellikle Amerikada başlayan ve diğer Batılı ülkeler tarafından da itibar gören bu ve benzeri yasal düzenlemelerin ülkemizde de bazı yansımaları oldu. 2000 sonrası Bankacılık sektörü ile başlayan ve son 2 yıl içinde Kamu idareleri ile devam eden çağdaş iç denetime yöneliş, bir süredir özel sektörün de ilgisini çekmeye başladı. Aslında ülkemizde iç denetim kavramı çok da yeni bir kavram değil. Bankacılık sektöründeki ve kamudaki teftiş kurulları geleneği neredeyse yarım asırlık bir geçmişe sahip. Özel sektöre bakıldığında köklü bazı kurumlarda 20 yılı aşkın süredir bazı temel iç denetim girişimleri söz konusu idi. Ancak tüm bu oluşumlar, dünyada iç denetimin ilerlediği çizgiden farklılık arz etmekte idi ve ekseriyetle güncel metod ve teknikleri yakalayamamıştı. Buna rağmen oldukça iyi niyetli çabalar olduğunu ve geçmişe dönük pek çok hata ve usulsüzlüğün tespitinde önemli rol oynadıklarını kabul etmemiz gerekiyor. Bununla birlikte zaman içinde teknolojideki gelişmeler, piyasaların küreselleşmesi, ticaret ve sermaye akımlarının serbestleşmesi ve iş kültürünün değişmesi, kurumların yönetsel ve örgütsel süreçlerini değiştirmiş, farklı ve yepyeni fonksiyonlara olan ihtiyacı arttırmıştır. Örneğin, 1980 lerden sonra önemi artan risk ve risk yönetimi kavramlarına paralel olarak risk tanımlama, ölçüm ve yönetim teknikleri finans sektörünün iş yapış tarz ve mekanizmalarını kökten bir şekilde değiştirmiştir. Yine örneğin örgütsel yapılar daha bürokratik ortamlardan, yatay hiyerarşiye dönük bir gelişim sergilemiştir. Teknoloji verimliliği inanılmaz boyutta arttırırken, iletişim ve iş yapış şekillerinde hız kazanılması söz konusu olmuştur. Kağıt kullanımının yerini elektronik yöntemlerin alması, yazılım ve sistemlerin iş hayatında ağırlığının artması, yeni yönetim teorilerinin tartışılmaya başlanması ve çalışanların iş sistemleri içindeki rol ve sorumluluklarının yeniden tanımlanması değişim sürecinin ana gelişim noktaları olarak dikkat çekmiştir. Böylesi büyük bir değişimden iç denetimin nasibini almaması elbette düşünülemezdi.


Gerek bu ana değişimler, gerekse de bunların dolaylı etkileri sonucu ortaya çıkan yasal düzenlemeler iç denetimi geçmişe dönük ve mevzuata uygunluk eksenli bir bakış açısından ileriye dönük ve "risk odaklı" bir bakış açısına yöneltmiş, iç denetçinin bilgi ve teknoloji çağındaki rol ve sorumluluklarını yeniden şekillendirmiştir. Bugün gelişmiş ülkelerde, toplumun ve iş dünyasının, iç denetim fonksiyonu ve onu teşkil eden iç denetçilerden beklentileri net bir şekilde belirlenmiş, ortak bir anlayış ve kabul ile gerek yasal, gerekse de mesleki düzenlemelerde dile getirilmiştir. Ülkemizde çağdaş iç denetim anlayışı ve bunun hayata geçirilmesine yönelik çabalar 1995 yılında Türkiye İç Denetim Enstitüsünün (TİDE) kuruluşuna dek gitmektedir. 2000 lerin ilk yarısı Türkiye'de iç denetim kavramı ve çağdaş iç denetim uygulamalarına yönelik ilginin hızla artmaya başladığı dönem olmuştur. TİDE ve üyelerinin özverili çalışmaları sonucu iç denetçilik mesleği ülkemizde farklı boyutları ile ele alınır ve yaygın şekilde yürütülür hale gelebilmiştir. Türkiye'de CIA sertifika sınavlarına olan ilgi, basında iç denetim ile ilgili çıkan haberler, TİDE gibi sivil toplum örgütlerinin mesleki organizasyonlarına katılım ve ülkemizde bu alanda ortaya koyulan yasal düzenlemeler mesleğin geri dönülemez bir çizgide ve hızlanarak geliştiğini açıkça ortaya koymaktadır.


Bu yazının yazılmasına neden olan konu, özel ve kamu sektöründeki meslek profesyonelleri tarafından ne olduğu, kapsamı ve odağı iyi bilinen "iç denetimin", özel ve kamu kurumlarındaki diğer yönetici ve çalışanlar ile iş dünyasındaki paydaşlar tarafından sağlıklı bir şekilde bilinmemesi gerçeğidir. Bu çevrelerde iç denetim ekseriyetle teftiş ve mali denetim ile karıştırılabilmektedir. Bu nedenle meslek profesyonelleri ile iç denetim hizmetini alacak olan veya alması yasal olarak zorunlu tutulan çevreler arasında bir kavram birliği sağlamak gerektiği düşüncesindeyim. Yazımızın başlığı da bu sebeple "İç Denetim Nedir?" olarak belirlendi. Elbette ki amacımız iç denetim ile ilgili bilgi sahibi olmak isteyen herkese ulaşmaktır. Ancak spesifik olarak özel ve kamu sektöründeki paydaşları bilgilendirme arzsundayız.


Uluslararası İç Denetçiler Enstitüsü (IIA) iç denetim mesleğinin esas ve genel kabul görmüş meslek organizasyonudur. Bu enstitünün uzun araştırma, istişare ve çabalar sonucu ulaştığı genel kabul görmüş bir iç denetim tanımı var:


" İç denetim, bir kurumun faaliyetlerini geliştirmek ve onlara değer katmak amacını güden bağımsız ve objektif bir güvence ve danışmanlık faaliyetidir.
İç denetim, kurumun risk yönetimi, kontrol ve yönetişim süreçlerinin etkinliğini değerlendirmek ve geliştirmek amacına yönelik sistemli ve disiplinli bir yaklaşım getirerek kurumun amaçlarına ulaşmasına yardımcı olur " Meslek profesyonellerinin ve diğer ilgililerin araştırdıklarında karşılarına genelde hep bu tanım çıkıyor. Bence oldukça makul ve geniş bir tanım. Yani mesleğin içinden kişilere çok şey ifade ediyor ve iyi yol gösteriyor. Öte yandan iç denetim mesleği dışından kişiler için çok anlam ifade ettiği kanısında değilim. Zaten meslek profesyonelleri dışında iç denetim ile ilgili ve ilişkili kişiler için (paydaşlar) kavram karmaşası da buradan çıkıyor. Genel ve altı net bir şekilde doldurulmamış klasik batı tanımları belirli bir kavramdan herkesin farklı bir şeyi anlamasına neden olabiliyor. Yorum farklılıkları olabiliyor. Hele de işin içinde olmayalanlar için bu kavramlar manzumesi pek bir karışık gelebiliyor. Risk, etkinlik, sistematik, disiplinli... Pek çok kavram üzerinde fikir birliği sağlamak zor gözüküyor. Bu nedenle de iç denetim kavramı ülkemizde hala teftiş ve mali denetim ile benzer bir çizgide görülüyor. Belki de öyle görülmesi tanımlanmasını kolaylaştırıyor. Oysa ki yukarıdaki tanım çok farklı bir hikayeyi anlatıyor. Yapılması gereken bu hikayeyi sadece meslek profesyonelleri değil, herkesin anlayabileceği bir dilde anlatmaya çalışmak ve ortak bir anlayış geliştirmek.


Öte yandan iç denetime ilişkin kısa, net, açıklayıcı ve tüm taraflarda benzer bir anlayışı oluşturabilecek bir tanım bulmak oldukça zor.


İç denetim bir kurum ya da organizasyonda yürütülen faaliyet iş ve işlemlerin yönetimden farklı ve tarafsız bir gözle değerlendirilmesi olarak özetlenebilir. Bu değerlendime esas olarak kurumda işlere ilişkin risklerin bilinmesi, iyi yönetilmesi ve bu riskleri yönelik olarak tasarlanan iç kontrollerin varlığı ve etkinliği konularına odaklanır.


Aslında iç denetimin en önemli fonksiyonu da budur. Temel odak risk ve kontroller olmaktadır. Zira bir kurumun iç kontrol sistemi o kurumun;


a. operasyonlarının etkin ve verimli yürütüldüğü


b. mali ve operasyonel raporlamaların doğruluğu


c. mevzuata uygunluk


hedeflerini gerçekleştirmesine yardımcı olur. İç kontrol sisteminin değerlendirilmesi, bu unsurların tamamının değerlendirme kapsamına girdiğine işaret etmektedir.


Risk Yönetimi ve İç Kontrol bakış açısı ile şekilenen denetim fonksiyonu geleceğe dönüktür ve insanların değil sistemlerin ve süreçlerin hataları ile ilgilenir. Bir kurum ya da organizasyonun tüm iş ve işlemlerinde var olan riskler- ki bunlar arasında strateji ve planların misyon ve amaç ile uyumlu olmaması riski de vardır- ve kurumun risklerini nasıl yönettiği, iç denetimin ana odağıdır. Yani bir kurumun iç denetçilerinin sorması ve cevap araması gereken ilk 3 soru şunlar olmalıdır:


1) Bu kurum bir bütün olarak, tüm alanlarda karşı karşıya olduğu riskleri iyi biliyor mu?

2) Bu riskleri yönetmek için neler yapılıyor? (iç kontroller gibi)

3) Bu riskleri yönetmek için alınan tedbirler etkin mi? (iç kontroller etkin çalışıyor mu?)



İş ve işlemlerin geçmişe dönük olarak mevzuata uygunluğunun denetlenmesi olan teftişten en büyük fark odağın mevzuat değil, risk olmasıdır. Riskler geleceğe dönük, hedeflere ulaşılmasını engelleyebilecek olaylardan kaynaklanan potansiyel sonuçlardır. Geçmişte yapılan hata veya suistimaller mutlaka bir risk nedeni ile oluşan sonuçlardır.



İç denetim içinde farklı denetim türlerini barındırır. Mali denetimler, operasyonel denetimler, mevzuat denetimleri (teftiş), bilgi sistem ve teknoloji denetimleri veya sadece risk/kontrol değerlendirmeleri gibi. Bunlar denetim alanına göre ya ayrı ayrı ya da değişik kombinasyonlar ile gerçekleştirilebilir. Örneğin bir satın alma denetimi içinde risk/kontrol değerlendirmesi ve mevzuat denetimi farklı yüzdeler ile yer alabilir. Ya da bir muhasebe departmanında finansal denetim ve operasyonel denetim birlikte gerçekleştirilebilir. Bu tamamen denetimlerin nasıl planlandığı ve hangi amaçla gerçekleştirildiğine bağlıdır. İç denetim farklı alanlarda farklı denetim türleri ile icra edilebilir. Ancak tekrar etmekte fayda olduğunu düşünüyorum; tüm bu denetimlerin kapsamında az veya çok, mutlaka risk kontrol değerlendirmeleri yer almalıdır. Örneğin iç denetçilerce gerçekleştirilecek bir finansal denetimde mali raporlamalar ile ilgili iç kontrollerin değerlendirme kapsamı dışında tutulması pek olası değildir. Benzer şekilde operasyonel denetimlerin de önemli bir bölümü iç kontrollerin etkinliği ve verimliliğinin değerlendirilmesidir. Açıklığa kavuşmasında fayda olan hususlardan birisi de budur.

İç denetim hissedarlar tarafınan seçilen yönetim kurulu ve yönetim kurulunca atanan üst yöneticilere kurumda yürütülen iş ve işlemlere ilişkin makul güvence sağlar. Yani üst yönetim için çok değerli bir kontrol aracıdır. Önemli bir yönetsel fonksiyondur. Kurum içinde mevzuata uygunsuzluk, hata, hile, verimsizlik ve risklere yönelik olarak engelleyici ve tespit edici bir mekanizmadır. Üst yönetimin kurumsal yönetim ilkelerinden hesap verilebilirlik ve sorumluluk ilkeleri çerçevesinde hareket etmesine fayda sağlar, varlığı ve faaliyetleri ile bu ilkelerin sağlıklı bir şekilde tesis edilmesine katkıda bulunur.

İç denetim bir yönetim aracıdır. İç denetim yönetici ve çalışanların hatalarını bulmaya değil eksiklerini kapatmaya çabalar. Bu bakımdan kurum çapında güvenilmesi ve desteklenmesi gereken bir fonksiyondur.