Deprem Riskini Nasıl Yönetiyoruz?

Japonya’da önceki gün yaşanan ve 6 kişinin ölümü ile sonuçlanan 7.2 şiddetindeki deprem dikkatlerin olası bir İstanbul depremine çevrilmesine neden oldu. Japonya'da 1995 yılında 6400 insanın hayatını kaybettiği Kobe depreminden sonra özel bir yasa çıkartıldığı ve depreme karşı önlem almak amacı ile 90 milyar dolar harcandığı biliniyor. Yani olası diğer bir deprem riskine karşı gerekli tedbirlerin alındığı görülüyor.
Bu önlemlerin en başında gelen tüm halkın ciddi bir eğitimden geçirilerek yıkılan şehirlerin yeniden inşası sürecine doğrudan katılmaları oldu. Halk kente sahip çıkma bilinci ile depreme dayanıklı bir şehir inşasında devlet ile kol kola önemli bir çaba gösterdi. Buna ek olarak konutların teknik anlamda sınanması, gerekli takviyelerin yapılması, denetimlerin sıklaştırılması, gayrimenkullerin ve kişilerin sigortalanmasında önemli mesafe kat edilmesi ve depreme yönelik Ar-Ge çalışmaları yapılarak depreme yönelik bir erken uyarı sisteminin devreye alınması ile geçtiğimiz hafta yaşanan 7.2 şiddetindeki depremde can kaybı oldukça düşük oldu. Üstelik depremin şiddeti Kobe depremi ile aynı olmasına rağmen. Otoyolları, dağları, ovaları adeta kağıt gibi yırtan bu denli ciddi bir felakette 6 kişilik can kaybı gerçekten önemli bir başarı (ölenlere Allahtan rahmet diliyoruz).
Medya kuruluşlarında uzmanlarca yapılan bazı değerlendirmelerde benzer bir depremin İstanbul’da olması halinde bu depremin 55 bin ila 150 bin arası can kaybı ve ortalama 1 milyon kişinin evsiz kalmasına yol açacağı belirtildi. Buna ek olarak zararın ekonomik boyutunun 100 milyar dolar olacağı
Öte yandan 1999 yılında gerçekleşen 7.4 lük Marmara depremi 17 bine yakın vatandaşımızın kaybı ile sonuçlanmış, bu acı depremin akabinde uzmanlarca Marmara’da yeni bir deprem riskinin yüksek olasılığa sahip olduğu pek çok platformda defalarca gündeme getirilmişti. Japonya’nın Kobe den sonra olası diğer bir deprem riskine karşı aldığı bunca tedbire rağmen bizde Marmara depreminden sonra olası diğer bir deprem riskine karşı ancak 2006 yılında harekete geçildi. Bugüne kadar 144 okul binasının yeniden yapıldığı, 188 okul binasına takviyede bulunulduğu ifade edildi. Depreme ilişkin hükümet tarafından ortaya koyulacak bir "master plan" olduğu söyleniyor. Yapılaşmayı mercek altına alacak olan Deprem Yasası ise 2 yıldır TBMM’de beklemekte. Bu yasa taslağının beklentileri karşılamaktan uzak olduğu da uzmanlarca dile getirilmekte.
Şimdi bazı ramlara göz atalım:
- İstanbul’da bulunan yaklaşık 20 bin kamu binasından 3 bin 600 tanesinin acil olarak depreme karşı güçlendirilmesi gerektiği söyleniyor
- İstanbul’daki binaların en az p’inin henüz bu riske yönelik bir mühendislik hizmeti almadığı tahmin ediliyor.
- Türkiye genelindeki 17 milyon yapıdan sadece 2.5 milyonunun depreme karşı sigortalı olduğu bilinmekte.
- İstanbul’da yapıların sadece %2 si A sınıfı, yani depreme uygun koşullarda olan yapı. ˜ ise mimar veya mühendislerce el atılıp, deprem düşünülerek planlanmamış yapılar.
- Bu ˜'in de % 75’inin kaçak olduğu tahmin edilmekte.
Genel olarak deprem riskini yönetmede üç temel stratejiden bahsedilmekte:
1) Yapının belirli kural ve standartlara uygun olarak, sağlam yapılması
2) Sağlam olmayanın yıkılması
3) Riskin transfer edilmesi; yani sigorta hizmetlerinden faydalanılması
Bunlara ek olarak bizce ve belki de en öncelikle toplumda bir deprem bilincinin oluşturulması gerekmekte. Bu medya, eğitimler ve yasal zorunluluklar ile söz konusu olabilir.
Ülkemizin bu konuda maalesef etkin bir politika izleyemediğine şahit olmaktayız. Bunun elbette ki mali, sosyal veya siyasal nedenleri vardır. Ülkemizde olası bir depreme karşı Japonya’nın ayırdığı kaynağı ayırmak acıdır ki mümkün gözükmüyor. Siyasi iradenin yasayı en iyi haline getirmek için değil, çok farklı kesimlerin, muhatapların, çıkar gruplarının isteklerini gözetmek adına beklettiği de aşikar. Yine buna ek olarak söz konusu yasalar ile halka yüklenecek ciddi bir maddi fatura söz konusu olacak. Hiç bir hükümetin de bu yükü yaklaşan seçimler öncesi halka yüklemesi kolay gözükmüyor. Tüm bunlara ek olarak İstanbul, ekonomik büyüme ve yabancı yatırımı teşvik amacı ile bir cazibe merkezi haline getirilmek isteniyor. Bu iyi niyetli bir çaba olmasına rağmen elbette ki riskli bir karar. Bu faktörlerin bileşimi sonucu ortaya şu şekilde bir tablo çıkıyor:
1) Gündelik bazı siyasi çekişmeler ve kavgalar deprem riskinden daha fazla dikkat çekiyor. Deprem riski, ülkeyi bir kurum olarak düşünürsek, kurum risklerinin en tepesinde görülmüyor.
2) Ülkemizin sahip olduğu kaynaklar ve mali tablo göz önüne alındığında depreme yönelik kaynak ayırma noktasında imkanların yeterli olmadığı görülüyor.
3) Konuya ilişkin yasal düzenlemeler gecikmiş durumda. Bu düzenlemeler pek çok sivil toplum örgütünce kapsam, teknik boyut ve yaptırım gücü açısından yeterli bulunmuyor.
4) İstanbul bir cazibe merkezi haline getirilmek suretiyle göç ve nüfus artışı teşvik ediliyor.
5) Deprem riski ve bu riske bağlı etkiler, panik ve olumsuz ekonomik sonuçlara yol açmamak adına kamuoyu ve medyada gerektiği şekilde gündeme getirilmiyor, getirilmesine anlaşılmaz bir şekilde engel olunuyor.
6) Riske dair toplum genelinde de bir farkındalık söz konusu değil. Riskin olası etkisi, yani can ve mal kayıpları ile riskin gerçekleşme olasılığına dair net bir çalışma da ortaya koyulmuş değil.
7) Deprem riskinin yönetilmesine yönelik çabaların koordinasyonunda da problemler olduğu görülüyor.
Tüm bu tespitler ışığında, ülkemizin belki de en önemli riski olan deprem riskine karşı gerekli farkındalığın oluşmadığı, risklerin yönetimine ilişkin kurumsal bir çerçevenin bulunmadığı, risk yönetim stratejilerinin farklı senaryolar dahilinde ortaya koyulmadığı, koyulduysa bile bunun etkin bir iletişim faaliyeti ile duyurulmadığı, deprem sonrası acil eylem planlarının tam ve eksiksiz hazır hale getirilemediği görülmektedir. Kısaca deprem riskini iyi yönetemiyoruz! Unutulmamalıdır ki hiçbir maddi, siyasi veya sosyal kayıp, insan hayatı kadar önemli değildir.
Kamu ve özel sektör kurumlarında görev yapan meslektaşlarımızın, risk yönetiminin teşviki ve denetlenmesi ile ilgili görevleri paralelinde, görev yaptıkları kurumların bahse konu deprem riskine olan maruziyetleri ve alınması gereken tedbirlerle ilgili değerlendirmelerini amir ve yöneticileri ile paylaşmalarının faydalı olacağını düşünmekteyim. İç denetçiler olarak bu hususta bizler de kurumlarımıza ve genel olarak topluma elimizden gelen katkıyı yapmak durumundayız.

İç Denetimin Önemi

Gazetede yeni bir haber vardı dün. TBMM de bu dönem, daha önceki hiçbir dönemde görülmediği ölçüde yasaların hatalı yasalaştığı, bu hatalar fark edilmeden Cumhurbaşkanı tarafından onaylanıp, Resmi Gazete’de de yayınlanarak yürürlüğe girdiği ifade ediliyordu. En son hata olarak, Resmi Gazete’de yayımlanarak yürürlüğe giren ve Çalışma ve Sosyal Güvenlik Bakanlığına ait bir atamanın, yürütme yetkisinin bir başka bakanlık olan Tarım ve Köyişleri Bakanlığına verilmesi dikkat çekmişti. Maddi hata niteliğindeki bu yanlışın, ilgili Bakanlık, Başbakanlık ve Cumhurbaşkanlığı aşamalarında fark edilmemesi ve düzeltilememiş olması medya tarafından“özensizlik” olarak nitelenmekte.
Bundan önce de benzer şekilde önemli hatalar yapıldığı görülmekte. Örneğin yine yakın zamanda gündeme alınan Odalar ve Borsalar Yasasında genel sekreter seçilmeye engel suçların “seçilebilecekler” arasında yer alması hatası gerçekleşmiş. Yine geçtiğimiz haftalar içinde TBMM Genel Kurulunda devletin, vergi borçları ve alacaklarına ilişkin bazı düzenlemeler içeren Amme Alacakları Yasası görüşülüp kabul edilmiş, ardından Yasa Çankaya Köşküne onay için gönderilmiş ve gönderilen bu yasa Cumhurbaşkanı tarafından bekletilmeden kabul edilmişti. Ancak Köşk’e onay için gönderilen Yasada yer alan cetvelin hatalı olduğu ortaya çıktı. Köşk’e gönderilen metnin en sonunda yer alan cetvelde, otomobillerin silindir hacimleri ile uygulanacak vergi miktarları birçok yerde hatalı yazılmıştı. Ek olarak ÖTV’ den muaf tutulacak bazı kalemler de unutulmuştu. Yasanın Resmi Gazete’de yayınlanmasını takiben yapılan hatanın fark edilmesi sonucu TBMM Genel Sekreterliği, 13 Haziranda Resmi Gazeteye ilan vererek, hatalı cetvelleri düzeltti.
Bu hatalar ile ilgili olarak TBMM bürokratları, Çankaya Köşkü’ne Genel Kurulda kabul edilen metin yerine, yanlış metin gönderildiğini kabul ettiler.
“Mecliste doğru metin kabul edildiği için yasa değişikliğine gerek olmadığını iddia eden yetkililer, benzer hataların daha önceki yıllarda da aynı yolla düzeltildiğini söylediler”
Muhalefet ise bu durumu şiddetle eleştirerek bu tür bir düzeltmenin geçerli olmayacağı, Meclisten çıkan metin ile Cumhurbaşkanınca onaylanan metnin farklı olması nedeni ile Yasanın onaylanmamış ve yürürlüğe girmemiş olduğunu iddia etmekte.
Yukarıda hatayı kabul eden yetkililerce yapılan açıklamayı satır araları ile tekrar okumak gerektiğini düşünüyorum.
“Mecliste doğru metin kabul edildiği için yasa değişikliğine gerek olmadığını iddia eden yetkililer, benzer hataların daha önceki yıllarda da aynı yolla düzeltildiğini söylediler”
Bu açıklamanın satır aralarından çıkacak sonuçlar şunlar:
1) Hata oldukça ciddi bir hatadır. Ancak yetkililerce önemli bir hata olarak görülmemektedir. Sonradan düzeltilmiş olması yeterli görülmektedir.
2) Operasyonel bazı risklerden ve zayıf iç kontrol sistemlerinden kaynaklanan bu hatalar sürecin hiçbir aşamasında fark edilememiştir.
3) Operasyonel riskler net bir şekilde itibar ve yasal risklere dönüşmüştür.
4) Oldukça önemli bir etkiye sahip olduğunu düşündüğüm bu operasyonel riskler, uzun bir süredir gerçekleşmektedir. Yani benzer hataların da aynı şekilde gözden kaçmış olması riskin yüksek bir olasılığa sahip olduğunu göstermektedir.
5) Yüksek etki ve olasılığa sahip bu operasyonel riskleri yönetmekte yetersiz iç kontrollerin olduğu gerçeği uzun süre tespit edilmemiş, hatalar ancak gerçekleştikten sonra fark edilebilmiştir.
6) Yöneticilerin hata olduğunu kabul etmekle birlikte bu hataları hafife alan ve bu tür bunları normal karşılayan üslupları da dikkate şayandır. Yapılan açıklamalar ilgili kurumların yetkililerinin iyi niyetli olmakla birlikte, risk ve risk yönetimi farkındalıklarının olmadığı gerçeğini işaret etmektedir.
7) İç denetim ve iç denetim hizmetlerinin bu vaka ile birlikte ne denli önem taşıdığı ortaya çıkmıştır. Kamuda neden iç denetim? Farklılığı nedir? İç denetime ihtiyaç var mı? gibi bazı soruların cevabını bu ve benzeri vakalar en iyi şekilde vermektedir. Etkin bir iç denetim sisteminin risk yönetimi ve iç kontrol sistemlerinin tesisi yönündeki çabaları ve bu sistemlerin sağlıklılığına dair güvence sağlama fonksiyonlarının önemi net bir şekilde ortaya çıkmaktadır.
8) Ülkemizde özellikle de Kamu sektöründe görev yapan iç denetçilerin işlerinin ne kadar zor olduğu ortaya çıkmaktadır. Faaliyetleri esnasında iç denetçilerin kurumlarında bir risk farkındalığı bulunmadığı gerçeği ile yüzleşmeleri ve buna dönük tedbirleri almaları gerekmektedir. Devletin zirvesindeki bu bakış açısının tüm kamu’ya sirayet etmiş olması muhtemeldir. Ancak durumun bilgi eksikliğinden kaynaklandığını ve kamudaki yönetici ve yetkililerin son derece iyi niyetli olduklarını düşünmekteyim. İç denetçilerin farkındalık yaratmaktaki etkin çabalarının yöneticileri tarafından anlaşılacağına ve yönetimlerin iç denetçileri sonuna kadar destekleyeceğine inanıyorum. Ancak burada anlaşılabilir olmak ve derdi iyi anlatmak ön koşuldur. Aynı dili konuşmadan, meseleleri somutlaştırmadan anlaşılabilmek ve destek alabilmek imkansız hale gelecektir.
9) İç denetçilerin bu ve benzeri durumları engellemeye yönelik bir araç olarak iç denetimi ve bu mesleğin önemini kabul ettirmek adına atacakları adımların çok iyi koordine edilmesi, faaliyetlerde yeknesaklık sağlanması, mesleğe sivil toplum örgütleri ve mümkünse yasal, bağımsız bir mercii tarafından sahip çıkılması önem taşımaktadır.

İtibar Riski Nasıl Yönetilmeli?

Son günlerde kamuoyu ve medyada sıklıkla tartışılan bazı konular dikkatimi çekiyor. Ankara’nın orta ve uzun vadeli su ihtiyacının karşılanmasına yönelik olarak 2007 de başlatılan ve bu sene içinde tamamlanan Kızılırmak içme suyu temin projesinin, Kızılırmak suyunun yüksek oranda zehirli madde içerdiği iddiası ile sivil toplum örgütlerince gündeme taşınması bunlardan bir tanesi. Diğer bir konu ise ülkemizde üretilen domateslerin yüksek oranda nitrat içerdiği iddiası ile Rusya tarafından yapılan önemli miktarda domates ithalatının Rus yetkili makamlarınca durdurulması. Son olarak dikkat çeken diğer konu ise bazı iç siyasi gelişmeler nedeni ile ülkemizin finansal piyasalarda ve yabancı yatırımcı nezdinde güven kaybına uğraması nedeni ile yatırım portföylerinin ve risk algılamalarının olumsuz yönde etkilenmesi.

Bu üç olayda da dikkati çeken ortak bir nokta var. “İtibar” kavramı… İlkinde bir kamu kurumunun, ikincisinde tarımsal üretim yapan kişi ve şirketlerin, en son olayda da genel olarak bir ülkenin bazı olaylar (tehditler) nedeni ile nasıl itibar riski ile karşı karşıya kalabildiğini görmekteyiz. Bu olayların, yani tehditlerin belirli bir olasılık dahilinde gerçekleşmesi, diğer bir ifade ile riskin realize olması sonucu sistemsel, stratejik, finansal, yasal, itibar veya operasyonel bazı kayıpların olabileceği aşikar. Yani itibar riskinin bir tehdit senaryosuna bağlı olarak gerçekleşmesi sonucu bazı kayıplar yaşanması muhtemel.

Üzerinde durmak istediğim konu ne suyun zehirli madde içermesi, ne domatesin nitrat oranının yüksekliği ne de iç siyasi olumsuzluklar. Bunların gerçekliği veya nedenlerine ilişkin bir çerçeveden değil, mesleki bir perspektiften itibar riski ve itibar riskinin nasıl yönetilmesi gerektiği konularına göz atmak istiyorum. Gerçekten de suyun veya domateslerin insan sağlığına etkilerinden veya iç siyasi tartışmaların yerinde olup olmamasından çok bunların yaratabileceği sonuçlar ve bu sonuçların önceden öngörülüp engellenebileceği gerçeği üzerine odaklanmak gerektiği düşüncesindeyim.

Peki nedir itibar riski? İtibar riski, kamuoyu olumsuz görüşlerinin, kişi, kurum, ülke ve sistemler üzerinde mevcut ve olası etkilerini ifade etmektedir. Kısaca kurumların imaj ve itibarını zarara uğratan risklerdir. Örneğin güven esasına dayalı olarak faaliyet gösteren bankalar için dürüstlük konusundaki kamuoyu görüşü veya kurumun bu yönde sağladığı imaj sahip olunan en değerli aktiflerden biridir. Yine benzer şekilde bir ülkenin dış yatırımcı, borç veren ve ilişkide bulunduğu uluslararası kurumlar nezdindeki itibarı o ülkenin dünya ekonomisi, siyaseti ve sosyal düzeni içindeki konumunu etkilemektedir.

Bu denli önemli olan bir kavram ve bununla ilişkili itibar riskine dair ülkemiz kamu ve özel sektöründe ne denli bir farkındalık var? Bu risk iyi yönetilebiliyor mu? Bu sorulara verilecek cevaplar son günlerde tartışılan ve yukarıda bahsettiğimiz üç olayında açıkça desteklediği gibi olumsuz.

İtibar riskini yönetmek için önce “itibarın” risk altında olduğunun farkında olunması gerekiyor. Yani itibar kaybını önemli bir kayıp gerçekleşmeden fark etmek gerekiyor. Yani kendimiz, kurumumuz ve ülkemiz için söz konusu olan diğer riskler ile birlikte itibar riski ve verebileceği zararları da iyi kavramamız şart. Esasen itibar riskinin yönetimi de diğer risklerin yönetiminden farklılık arz etmiyor. En azından yaklaşım olarak. Elbette ki farklı riskler için farklı risk yönetim stratejileri söz konusu. Ancak ana yaklaşım değişmiyor.

Etkin bir risk yönetimi her zaman risk farkındalığı ve risk yönetimi ihtiyacının en iyi şekilde anlaşılması ile başlıyor. Bu bir kültür ve iletişim meselesi. Burada ülkemiz gerçekleri göz önüne alındığında en önemli görev biz iç denetçilere düşüyor. Farkındalığın oluşturulması ve bu ihtiyacın karşılanmasına yönelik adımların atılmasının teşvik edilmesi bizim görevimiz. Özellikle ülkemizdeki gibi risk ve risk yönetimine aşina olmayan kurumsal yapılarda, farkındalık oluşmasının orta vadeli bir iş olduğu gerçeğinden hareketle, bu çaba zamana bırakılarak diğer aşamaya geçiliyor. Bu aşama risklerin kurum çapında tanımlanması. Yani söz konusu risklerin tespit edilmesi. Yani bir kurumun, proje veya genel olarak ülkenin itibarını tehdit eden veya edebilecek durumların ortaya konması. İşte bu tanımlama farkındalık sürecinin oluşumunu da tetikliyor. Tanımlama aşamasından hemen sonra bu tanımlanmış risklerin ölçülmesi aşaması geliyor. Ölçümleme şu demek. Bu risklerin yaratabileceği etki, yani olası kayıplar ile bu riskin gerçekleşme olasılığının veya bir başka değişle sıklığının tespit edilmesi. Bu ölçüm işlemi nitel veya nicel yöntemler kullanılmak sureti ile belirlenebiliyor. En son aşama ise bu risklerin en ciddi yani yaratabileceği etki ve gerçekleşme olasılığı en yüksek olanından başlayarak en düşük olana dek sıralanması. Bu sıralama bize görece önemli veya çok kritik olan bazı riskleri açıkça görebilme ve bu risklere yönetimde öncelik verme şansı veriyor.

En yüksek riskten en düşüğe göre yapılan sıralama sonucu, bu riskler uygun risk yönetim stratejileri ile yönetilebilir hale geliyor. İşte burada çok geniş bir yelpazede risk yönetim stratejileri mevcut. Risklerin sigorta edilmek sureti ile 3. şahıslara transferi, iş ortaklıkları kurulmak suretiyle paylaşılması, operasyonlara son verilmek suretiyle risklerden kaçınılması veya genelde en yaygın yöntem olarak iç kontroller ve genel bir iç kontrol sistemi tesis edilmek sureti ile kontrol edilmesi bunlardan birkaç tanesi. Bunların her biri belirli bir maliyeti olan ve farklı risk düzeylerinde işe yarayabilecek alternatifler.

En son aşamada ise bu risklerin yönetilmesi sürecinde ve sonrasında bunların ilgili mercilere yani kurumların üst yönetimlerine raporlanması ve bu faaliyetlerin bir bütün olarak bu yönetimlerce izlenmesi gerekiyor. İşte iç denetim birimleri ve iç denetçiler kurum yönetimleri adına bu izleme görevi kapsamında gerçekleştirdikleri sürekli ve periyodik denetimler ile yönetimlere yardımcı oluyorlar. Bu izleme ve raporlama faaliyetleri sonrası geri bildirim mekanizması işleyerek risk yönetim sürecinde bir hata veya eksiklik mevcut ise en başa dönülerek bu hatanın düzeltilmesine imkan sağlıyor.

Bahse konu itibar riskleri de bu şekilde tespit edilmek ve yönetilmek suretiyle yaşanabilecek önemli kayıplar engellenebiliyor. İtibar riskleri özellikle bazı sektörlerde çok önemli. Hızla mali, stratejik ve hatta sistemsel risklere dönüşebilmesi gözden kaçmamalı. Yani medyada çıkan bir haber veya sürdürülen bir tartışma gerçekte oldukça başarılı işler yaptığı bilinen bir kurumu kamuoyu önünde işini iyi yapmama imajı ile veya halkın kafasında bazı şüpheler ile baş başa bırakabiliyor. Çoğu kere bu tür tartışmalar kurumların lehine de sonuçlanabiliyor. Ancak unutulmamalıdır ki bazen itibarınız iade edilse de aynı düzeyde bir güvenin sağlanması mümkün olmuyor. Haklı olsanız da olmasanız da bu böyle. Örneğin, Kızılırmak suyunun tartışılması başta ben olmak üzere pek çok kişinin evinde musluk suyu kullanmamasına yol açtı. Dışarıdan su temin etmek oldukça ciddi bir maliyet teşkil ediyor. Bunun yanı sıra toplum genelinde sağlığa ilişkin yaşanabilecek olumsuzlukların itibar riskinin şiddetini arttırabileceği ve bununla beraber yasal bazı riskleri de ortaya çıkarabileceği ortada. Çevremizde, Rusya tarafından sağlığa zararlı nitrat maddesi taşıdığı iddiası ile ithali durdurulan ve bu nedenle çoğu yerli pazara verilen domatesleri asla çocuklarına yedirmeyeceğini söyleyen insanlar görüyor, duyuyoruz. Bu domateslerin yerli pazarda da talep sıkıntısı yaşayabileceğini, dolayısı ile üreticimiz açısından mali bir riske dönüşerek mali bir kaybı beraberinde getirdiğini söylemek mümkün. Tabi sağlıkla ilgili durum burada da geçerli olacaktır. Öte yandan belki de en önemli itibar riski bir ülke için söz konusu olan itibar riskidir. En önemli itibar kaybı bir ülkenin yaşayabileceği kayıptır. Çünkü toplumun tamamına sirayet eder. Daha da kötüsü gelişmekte olan ülkelerde olduğu gibi sistemsel bir boyut kazanabilir. Yani sistemsel (sistemik) riske dönüşebilir. Musluk suyu içmek veya domates yemekten kaçınmak mümkün olabilir ancak o ülkede yaşıyorsanız ve yaşamaya devam edecekseniz o ülkeye dair sistemsel risklerden kaçınmanız maalesef mümkün değildir. İşte son iç siyasi tartışma ve gelişmeler de itibar riskinin ve dönüşmesi halinde sistemsel bir riskin gerçekleşmesine yönelik tehditler olarak görülebilir. Bu riskin gerçekleşmesi halinde ülkenin tüm makro dengeleri yıkılabilecek, sadece ekonomik değil, sosyal ve siyasi tüm yapılar da bundan etkilenecektir. Böylesi bir riskin 2001 yılında gerçekleştiğine ve yarattığı etkiye milletçe şahit olmuştuk.

İtibar riskini ve diğer tüm riskleri ciddiye almak ve yukarıda bahsedilen tanımla-yönet-izle döngüsü dahilinde etkin bir şekilde ele almak hayati önem taşımaktadır.

Su ile ilgili tartışmalara muhatap olan kurumumuz ve diğer tüm özel ve kamu kurumları, üreticilerimiz ve genel olarak ülkemiz bu ve benzeri itibar riskleri ile bundan sonra da sürekli karşılaşacaktır. Bu ne ilk ne de son riske maruz kalmadır. Bu nedenle ülkemiz genelinde risk farkındalığının artırılması ve sağlıklı risk yönetim yapılarının kurulması elzemdir.

Bu gereğin yerine getirilmesi amacı ile kamuda atılmakta olan adım, yani iç denetim faaliyeti oluşturulması ve kamuda iç denetim sistemine geçilmesi çok büyük bir devrim niteliğindedir. Bunu iç denetçilerin teşvik ve rehberlik edeceği bir risk yönetim faaliyetinin kurulması aşaması izleyecektir. İşte bu aşamalar risklerin daha etkin yönetilmesi ve kayıpların azaltılması açısından hayati önem taşımaktadır.

Not: Genel olarak yukarıda bahsi geçen olayları göz önüne alarak; ilgili kurumun gerekli önlemleri almış olduğu ve alacağına, domateslerimizin büyük bölümünün sağlığı ciddi boyutlarda tehdit edecek kimyasal madde içermediğine ve içerenlerin de ivedilikle imha edileceğine inanmak istiyor ve ülkemizin pek çok kere uluslararası arenada haksız ve dayanaksız biçimde itibar kaybına uğratılmakta olduğunu düşünüyorum.

Ancak bu inanış, itibar riskinin etkin bir biçimde ve “reaktif değil” proaktif biçimde yönetilmesi gerektiği gerçeğini değiştirmemektedir.

İç Kontrol Kavramı Üzerine Bir Vaka İncelemesi

Geçtiğimiz hafta gazetede yayınlanan bir haber dikkatimi çekti. Haberin başlığı “Internet Aşkının Uğruna Şirketini Dolandırdı” idi. Şöyle diyordu haberde: “Turizm şirketinin 12 yıllık muhasebecisi, internette tanışıp aşık olduğu erkeğe, şirket kasasından 10 ay boyunca 3 milyon 200 bin YTL gönderdi. Sevgililer 12’şer yıl hapis istemiyle yargılanıyor. Ayrıca kendilerine yardım eden 5 kişi de dolandırıcılık nedeniyle tutuklandı”

Ayrıca haberde muhasebecinin bazı ifadelerine de yer verilmişti. “………şirket kasasından her hafta düzenli olarak para çektim………..Ayrıca şirket hesabından da para çekip gönderdim………….Daha sonraları elden de para verdim…..Çalıştığım şirket yüklü miktarlarda ihale aldığı için yakalanmadım…..Her şeyi….’e aşık olduğum için yaptım!”

İç kontrol kavramı üzerine bir (case study) vaka incelemesi olarak bundan daha iyi! bir örnek düşünemiyorum.

Bir iç denetçi olarak bu vaka ile ilgili gözlemlerimi paylaşmak istiyorum. Yukarıda koyu renkle işaretli kelimeler bu vakanın en kritik noktaları.

Öncelikle gözden kaçması imkansız olan bir kontrol zafiyeti ile başlıyoruz. Temel bir iç kontrol tedbirinin eksikliği gözümüze çarpıyor. Bu iç kontrol uygulaması pek çoğumuzun yakından bildiği “görevler ayrılığı” ilkesi. Bu vakada, bu ilkenin ciddi bir şekilde ihlal edildiği görülmektedir. Ne diyor görevler ayrılığı ilkesi; muhasebeyi tutan veya sorumlu olan kişi (muhasebe kaydı yaratma yetkisi olan kişi) ile nakit varlıklara erişim yetkisi olan kişiler mutlaka ayrı olmalıdır. İşte bu şirkette muhasebecinin, çalışan veya yönetici olup olmadığı bilinmemekle birlikte, şirketin her tür nakit değerine (banka hesapları ve kasa) erişim imkanı olduğu görülmektedir. Özellikle ülkemizdeki küçük ve orta ölçekli pek çok şirkette muhasebe sorumlusu olan, yani muhasebeyi tutan kişilerin bu şekilde çalıştığı düşünüldüğünde olayın ciddiyeti ortaya çıkmaktadır. Ülkemizde genellikle iç kontrol tedbirleri yerine kişisel güven faktörü ön planda olduğundan, “görevler ayrılığı” ilkesine dikkat edilmemektedir. Oysa yukarıdaki haberde koyu renkle işaretlenen diğer bir kelime, suçu işleyen muhasebecinin 12 yıldır bu şirkette çalıştığını ortaya koymaktadır. İç kontrol tedbiri yerine kişisel güven mekanizmasının ne denli anlamsız bir uygulama olduğuna iyi bir örnek teşkil etmektedir. Özellikle aile şirketlerinde aileden biri ya da ailenin en çok güvendiği kişilerin bu tür yetki ve sorumlulukları tek başına üstlendikleri düşünüldüğünde, riskin büyüklüğü ortaya çıkmaktadır. Konu ile ilgili olarak yukarıdaki örnekte dikkat çeken bir diğer husus ise şirket sahipleri tarafından güvenilir olarak görülen ve tam 12 yıldır bu şirkette çalışmakta olan bir kişinin “aşık olma güdüsü” ile çalıştığı şirketi, kariyerini ve hayatını riske atabilmesidir. Bu durum insan olmaktan ve insani zaaflardan kaynaklanmaktadır. Aşık olma motivasyonuna ek olarak daha pek çok motivasyonu daha sayabiliriz. Yıllarca hak ettiğini alamadığını düşünmek, çocuğu için acil paraya ihtiyacı olmak, patronlarından intikam almak ve daha pek çok neden ile şirketlerde, kurumlarda bu tür olaylar yaşanabilmektedir. İşte bu nedenle iç kontrol vazgeçilmez bir kavramdır. Elbette ki güven unsuru da önemlidir ancak iç kontrollerle desteklenmeyen güven bir kumardır.

Ancak unutulmaması gereklidir ki iç kontroller yine insanlar tarafından tasarlanır. İç kontrolleri en iyi atlatabilecek kişiler onları tasarlayan, onlar üzerinde hüküm sahibi olan veya onları atlatabilmek amacı ile işbirliği yapan çalışanlar olmaktadır. Bu bağlamda yukarıda bahsi geçen vakada suçu işleyen iki kişiye destek veren ve bu sebeple gözaltına alınmış beş kişilik bir grubun varlığı bu duruma işaret etmektedir. Burada iç kontrol eksikliklerine ek olarak, birde var olduğu düşünülen iç kontrollerin (olduğundan şüphe etmekle birlikte) bir grup çalışanın ortak çabası ile atlatıldığı gerçeği dikkat çekmektedir. Belli ki suçu işleyen iki kişi, bu operasyonu oldukça uzun bir süre tek başlarına götürmemişlerdir. 10 ay boyunca kelimesi üzerine bu nedenle durulması gerekmektedir. Bu kadar uzun süre yüklü miktarlarda nakitin kasa ve banka hesaplarından çekilmek suretiyle şirket dışına çıkartılması ve hiç kimsenin bu durumu fark etmemiş olması bu iç kontrol faciasına ayrı bir boyut katmaktadır. Şirket ile ilgili ayrıntılı bilgiye sahip olmamakla birlikte yukarıdaki haberden tahmin ettiğimiz kadarı ile muhasebe sorumlusu bu olayı diğer bazı çalışanlardan habersiz gerçekleştirmemiştir. Elbette ki bahsi geçen 5 kişinin de suçlu olup olmadıkları kesin değildir, ancak en azından durumun ortak bir çaba sonucu gerçekleştiği ihtimali, suç sonucu kaçırılan nakit miktarı düşünüldüğünde, pek olasıdır. Buradan çıkartılması gereken sonuç iç kontrollerin etkin olsun olmasın, bir grup çalışan tarafından atlatılabilmesinin de mümkün olduğu ve bunun gözden asla kaçırılmaması gerektiğidir. Yine bu bağlamda dikkatimizi çeken diğer bir husus da 10 ay boyunca şirket hesaplarından önemli miktarda nakit çekilişinin şirketin üst düzey yönetici veya sahipleri tarafından takip edilmemiş olmasıdır. Burada açıkça diğer bir iç kontrol zafiyeti göze çarpmaktadır. İzleme veya diğer bir deyişle gözetim mekanizmalarının tahsis edilmemiş olduğu görülmektedir. Şirket büyüklüğü ne olursa olsun, yönetsel gözetim ve süpervizyon mekanizmalarının mutlaka bulunması gerekmektedir.

Yukarıdaki tespitlere ek olarak gözümüze çarpan diğer bir nokta ise yüklü miktarlarda ihale alan ve ciddi bir mali kazanç elde eden şirketin, muhtemelen büyümüş olan örgütsel yapısını, değişimin gerektirdiği şekilde yeniden yapılandırmamış olmasıdır. Genellikle ülkemizde görülen diğer bir sorun da şirketlerin veya kurumların büyümelerini takiben, örgütsel bir yeniden yapılanma sürecine gitmemeleridir. Bu yeniden yapılanmanın en önemli unsuru ise elbette ki iç kontroller olmalıdır. Ancak genellikle uygulama bu yönde olmamaktadır. Eski yapı ve sistemler korunmakta, sadece çalışan sayısı artırılmak suretiyle işler devam ettirilmeye çalışılmaktadır. Yetki ve sorumluluk dağılımı, örgütsel iletişim dizaynı ve kurumsal kademelere ise hiç dokunulmamaktadır. Bu durum şirket sahiplerinin kurum üzerindeki kontrolünün azalmasına ve kurum içinde önceden yetki kazanmış ve önemli sorumluluk alanlarının merkezinde bulunan kişilerin güç kazanmasına yol açmaktadır.

Evet ülkemizdeki acı bir gerçeği doğrular nitelikteki bu olaydan çıkartılması gereken pek çok ders var. Nedir bu acı gerçek? İç kontrol kavramı ülkemizde genellikle iç ve/veya dış denetçilerin işi gibi görülüyor. Kamu veya Özel sektör olması fark etmiyor. İç kontroller ile ilgili olarak Yöneticilerin topu sıklıkla denetim elemanlarına attıkları görülüyor. Bu olayın bir yönü. Diğer yandan, iç kontrol kavramı özellikle ülkemiz iş dünyasında önemi henüz anlaşılabilmiş bir kavram değil. İç kontrollerin genellikle işleri yavaşlatıcı, zaman alıcı ve gereksiz olduğu gibi bir düşünce hakim. Bunu hem kişisel kamu ve özel sektör tecrübe ve gözlemlerim, hem de pek çok farklı kurum ve yapıda görev yapan meslektaşım ile yaptığım sohbetlerden anlıyorum. İşte bu iki konu, yani iç kontrollere gereken önemin verilmemesi ve iç kontrollerin sorumluluğunun yönetimler tarafından alınmak istenmemesi (eksik bilgi sahibi olmaktan da kaynaklanıyor olabilir) ülkemizdeki acı gerçeği doğruluyor. Şirketlerimiz ve kurumlarımızın yumuşak karnı iç kontroller ve iç kontrol sistemleri. Ülkemizde hemen her gün bu tespiti doğrulayan, yukarıdaki olaya benzeyen pek çok vaka yaşanıyor. Bir kısmı basına yansıyor, bir kısmı yansımıyor. Oysa aynı sorunlar sıklıkla gelişmiş yabancı ülkelerde de yaşanmış ve hala yaşanmakta. Aklımıza en son gelen örnek Enron skandalı. Ama yabancı ülke otoriteleri duruma el atarak kısa süre içinde SOX ve benzeri düzenlemeler ile duruma müdahale ediyorlar. İç kontrol kavramını yasa ile önemli hale getiriyorlar. Batı iş dünyası ise bu kavramın önemini çoktan kavramış. İç kontrolle ilgili pek çok model (COSO, CoCo) ve pek çok yasal düzenleme şu an uygulamada. Ülkemiz kamu ve özel sektörü ise bırakın iç kontrol kavramını, henüz iç denetim kavramı ile bile yeni tanıştığından alınması gereken mesafenin büyüklüğü ortaya çıkıyor. Ancak son dönemlerde ülkemiz kamu, sermaye piyasası ve bankacılık sektöründe hayata geçirilen bazı düzenlemeler konuya ilişkin farkındalığın artmasını sağlamıştır. Temennimiz bu farkındalığın diğer tüm sektör ve iş kollarındaki küçüklü büyüklü firmalar ile sosyal ve sivil toplum kuruluşlarında da artırılmasına yönelik inisiyatiflerin oluşması.

Tekrarlamakta fayda duyuyoruz ki iç kontroller işleri yavaşlatan, engelleyen veya gereksiz mekanizmalar değildir. Aksine iç kontroller hayat memat meselesidir ve konuya bu şekilde yaklaşılması gerekmektedir. Buna ek olarak ifade etmek gerekiyor ki iç kontroller, iç veya dış denetçilerin değil, doğrudan şirket yöneticilerinin sorumluluğudur. Bunun bu şekilde görülmesi ve bu sorumluluğun gereğinin yerine getirilmesi gerekmektedir. İç kontrol kavramı ile ilgili olarak gerek kamu gerekse de özel sektörde önemli bir farkındalık oluşturma politikasının hayata geçirilmesi yerinde olacaktır. Ülkemizde mükemmel bir iç kontrol vakası olarak incelediğimiz bu tür olayların engellenmesi adına atılması gereken ilk adım budur. Bu farkındalığı yaratmakta en büyük görev ise özellikle kurumsal yönetim, iç denetim ve risk yönetimi alanlarında faaliyet gösteren mesleki sivil toplum örgütleri ile kanun koyucuya düşmektedir.

Değer Katan Denetim

Bundan birkaç ay öncesinde bir kredi işi nedeni ile yaklaşık 7 yıldır müşterisi olduğum bankanın evime en yakın şubesine gittim. İşlemlerim halledilirken, benim işim ile ilgilenen bayana üst üste tam 2 telefon gelmiş, her biri de en az 6-7 dakika sürmüştü. Her zmaanki gibi vakit geçirmek amacı ile etrafı izlemeye başladım.
Malum meslek iç denetim olunca elbette ki daha bir iştahlı oluyor yapılan gözlemler. Şubenin işleyişi, yerleşim ve düzeni, çalışanlar, bekleyen diğer müşterilere dikkatle baktım. Ticari ve bireysel hizmetler sunan Şubenin oldukça önemli bir iş hacmine sahip olduğu içerideki koşuşturma ve kalabalıktan açıkça belli oluyordu. Yanında oturduğum müşteri temsilcisine 2 telefonun üzerine diğer arkadaşlarından 1-2 soru gelmiş, en az bir 10 dakika da bu sorulara yanıt aranırken geçmişti. Gözlem yapmaktan tam sıkılmıştım ki, işlerime yardımcı olan bayanın yanına koyu renk takım elbiseli ve karizmatik görünüşlü iki genç yaklaştı. Kendisinden bir takım dosyalar istediler. Kendilerinin meslektaşlarımız olduğunu anlamamak mümkün değildi. Belli ki Bankanın Teftiş Kuruluna bağlı çalışan bu iki müfettiş arkadaş Şubeyi teftiş etmek üzere buradaydılar. Bayandan dosyaları alıp biraz ileride çalışmakta oldukları masaya ilerlerlerken çalan yeni bir telefon ile isyanın eşiğine geldim. Tam 30 dk dır basit bir işlem için beklemekteydim ve arkamdaki sıra da gittikçe artmaktaydı. Müşteri temsilcisi bayan kan ter içinde her seferinde tekrar tekrar özür diliyor ve benim işlemime geri dönüyordu. Kıpkırmızı bir yüz ile bana dönerek " İşler yetmiyormuş gibi birde teftiş çıktı başımıza" diyerek derin bir of çekti. Artık merakıma daha fazla dayanamayarak bende söze girdim: "pardon hanımefendi, burada sizden başka bu işlere bakan yok herhalde" dedim. Bayan beni doğrularcasına kafa salladı ve açtı ağızını yumdu gözünü "Koskoca bireysel krediler bölümüne tek ben bakıyorum. İnanabiliyor musunuz. Günde ortalama 500 kredi başvurusu oluyor. Her birinin başvurusunu alıyorum, formları kontrol ediyorum, sisteme giriyorum, istihbarata yolluyorum, oradan gelen cevaba göre de müşteriyi arıyor ve kredi başvurusunu sonuçlandırması için belgelerini istiyorum. Elbette o gün başvuranların ancak belirli bir yüzdesi aynı gün işleme tabi. Diğerleri ertesi güne kalıyor. Bir yandan da kredi ödemeleri yapıyorum. Nakit ise vezneye yönlendiriyorum, online ise hesaba geçiyorum. Sigorta, kesinti, masraf, vs hesaplamaları sistem yapıyor ben kontrol ediyorum. Bu sadece işin kredi boyutu. Birde günlük raporlamalar ve diğer Şube görevlerim var. Onlara hiç girmeyeyim. Birde bu Teftiş çıktı başımıza...."
Bayanının sıkıntısı gözlerinden açıkça okunuyordu. İşimin daha da uzamaması için sessiz kalmam gerekirken yine dayanamayarak sordum: "Peki neden iş yükünüzün ağırlığını Müdürünüz ile görüşmediniz? Bu kadar iş yükü içinde ciddi hatalar olmuyor mu?"
"Oluyor" dedi heyecanla bayan, hem de ne hatalar yapıyorum. Ama ne yapalım durum bu. Belki 10 kere söyledim Müdire Hanıma, beni buradan alın diye. Almadı. Almayacaksanız takviye yapın dedim. Müdire hanım takviye de yapmıyor. Neymiş efendim Banka genelinde verimlilik politikası gereği az kişi maksimum iş bekleniyormuş. Benden genel olarak memnunmuş, hata herkes yaparmış… Şu koca şubede bireysel kredilere tek ben bakıyorum inanabiliyor musunuz? Üstelik teftiş de var. Zaten 15 gündür bir sürü hatamı buldular. Sanırım daha da çok bulacaklar bu gidişle. Geçen sefer de epey hata çıkmıştı benim işlerde. Ama ne yapayım tek kişi, haksız mıyım beyefendi?"
"Haklısınız" dedim. Aklımda bayanın iş yükünden çok müfettişlerin yaptığı denetim vardı şimdi. Bireysel Müşteri Temsilcisi bayan işlerimi tamamlamak üzereydi.
"Ne tür hatalar buldular geçen sene. Bu sene?" diye sordum tekrar. Belli ki sıkıntıları ile samimi bir şekilde ilgilenmem memnun etmişti kendisini.
"Genellikle kredi dosyalarında bir iki eksik belge, birkaç imza ve paraf eksiği, damga pulu, kredi masraf tahsilatları ile ilgili bazı ufak farklar, dosya düzeni, vs." dedi Bayan. Ama çoğu da bir yerlerden çıkıyor müfettişler gidince. Sanki onların gitmesini bekliyor mübarek matbuat ortaya çıkmak için. Ama bunların dışında ciddi hiçbir tenkit gelmedi. Soruşturmam da yok çok şükür. Daha 14 aylık bankacıyım zaten"
Gülümseyerek "anlıyorum" dedim. "İşiniz hakikaten zor. Anlamadığım burada sizin üzerinizdeki baskının çok daha ciddi sorunlara da yol açabilme ihtimali olması. Bunu müfettişler de fark etmedi mi? Eleştiri konusu yapmadılar mı? Sizin burada yürüttüğünüz iş oldukça riskli. Tek başınıza çalışıyorsunuz. İşleriniz çok yoğun. Peki bu işleri kim kontrol ediyor? Bir şefiniz falan vardır muhakkak" diyerek bana imza için uzattığı belgeleri aldım. Belgeleri imzalarken merakla vereceği cevabı bekliyordum.
" Şefimiz vardı ama 6 ay önce tayini çıktı. Yerine gelecek birisi yakında diyorlar. 6 aydır doğrudan Müdire Hanıma onaylatıyorum. Gerçi o da çok yoğun. Şöyle bir bakıp imzalıyor zaten. İstesem senet bile imzalatırım o yoğunlukta" Bayan yaşadığı tüm bu gerginliğin içinde bir kahkaha atarak imzaladığım evrakları aldı.
"İşleminiz tamam beyefendi. Ne olur yoğunluktan ötürü kusura bakmayın".
Sohbet için teşekkür edip kalkarken bayan gülümseyerek masumane bir bakışla ekledi: "Hata diyordum ya, aramızda kalsın geçen sene sisteme bir yanlış giriş yaptım, hem de 6 ay önceki teftiş sırasında! Şube tam 50 bin YTL zarardaydı. Neyse ki müşteri anlayışlı çıktı da tazmin ettik sonradan. Hem de bir iki ay sonra çıktı ortaya. Bende atlamışım, teftiş de atlamış, Müdire Hanım da... Oluyor işte insanlık hali! E birde acemiydik tabi o günlerde!" Gülümsedi.
Bende samimi sohbet için tekrar teşekkür edip, arkamda bekleyen sıranın sitem dolu bakışları altında şubeden uzaklaştım.
Eve doğru giderken kendi kendime düşünmeden edemedim;
Oldukça ciddi operasyonel riskler taşıyan bir bölümde tek bir bayan. Sadece 14 aylık bir bankacılık tecrübesi var. Onay mekanizması yok. İç kontroller zayıf. Yoğun iş baskısı ile önemli hatalar yapılıyor. Hem finansal, hem de imaj kayıplarına yol açabilecek durumlar yaşanmış. Her 6 ayda bir Teftiş edilen bir Şube.
Müfettişlerin tenkitleri: birkaç eksik evrak, evrak düzeni, paraf eksiklikleri, vs..
Bu bankada görevli meslektaşlarımızın yetkinliklerine, teftiş sistemin önemine ve bu güne kadar verdiği hizmetlere dair asla şüphemiz yok. Ama bu ve benzeri durumları her tecrübe edişimizde emin oluyoruz ki ülkemizde risk odaklı iç denetim kültürü ve uygulamalarının yaygınlaşmasına da şiddetle ihtiyaç var. Odağın uygunluk ve hatalar değil, risk olduğu bir denetim kültürüne şiddetle ihtiyacımız var. Yapılan hataların tespiti kadar, bu hataların ortaya çıkmasına neden olan risklerin de göz önüne alınmasına yönelik denetim çabalarına ihtiyacımız var. Tenkit etmek kadar, teşekkür etmeyi de bilen meslektaşlara ihtiyacımız var. Hepsinden önemlisi çalıştığı kuruma değer katmayı başarabilen meslektaşlara ihtiyacımız var.
Geçen hafta özel işlerim nedeni ile tekrar Şubeye uğradım. Müşteri Temsilcisi Bayan orada yoktu. Yerine başka bir bayan gelmiş. Daha yaşlı ve tecrübeli gözüküyordu. Kendisine diğer bayanı sordum, “Benden önceki arkadaş teftiş geçirdi. Başka bir şubeye gönderildi” dedi. Baktım yeni gelen bayanın önünde de dosya yığınları vardı. O da kan ter içindeydi. Telefonu sürekli çalıyordu. O da “of” luyordu. Kendisine teşekkür edip giderken, Bayan sıradaki müşterisine kusura bakmayın diyordu…Bekletiyorum sizi....

Bir kurumun tepe yöneticisinin bakış açısından iç denetim: Bölüm 5

Şirketimizin Yönetim Kurulu üyeleri ve yöneticileri ile gerçekleştirdiğimiz iç denetim tanıtım toplantımızın ilk bölümü istediğimiz gibi verimli geçmiş, ana hedefimiz olan dikkati çekmeyi başarmıştık. İlk bölüm sonrası verdiğimiz çay kahve arasında, katılımcılardan çok farklı, ilginç, daha önce üzerinde düşünmediğimiz konularla ilgili sorular geliyordu. Cevaplayabildiklerimizi cevaplıyor, cevap veremediklerimizi ise konu ile ilgili araştırma yapıp geri döneceğimizi nezaket içinde ifade ederek geçiyorduk.
Bir iç denetçi açısından her şeyi biliyor gözükmek veya bilmediğimiz hususlar üzerinde fikir beyan etmenin hatalı olacağını düşünerek iç denetim meslek hayatım boyunca hep temkinli davranmıştım. Ne de olsa bir iç denetçi açısından en önemli hususlar itibar ve güvenilirlik idi. Toplantının ikinci bölümüne iç denetçiler ve sunacağı hizmetler ile ilgili bilgi vererek devam ettik. İç denetçilerin görevleri süresince pek çok farklı rolü üstlendikleri hususuna dikkat çektik. İç denetçilerin temel odağının hata bulmak değil; değer katmak olduğuna sürekli vurgu yapıyorduk. Bu bağlamda iç denetçilerin denetim elemanları olmakla birlikte, yeri geldiğinde birer finansal analist, yeri geldiğinde danışman, gerektiğinde risk değerlendirmecisi gibi farklı roller üstlenebileceği, bunların temelde kuruma değer katmak amaçlı roller olduğuna dikkat çekmiştik.
“ İç denetim, hem genel hedef ve amaçlara ulaşma konusunda, hem de iç kontrol ve yönetişimi güçlendirme konusunda üst yönetim ve yönetim kurulu için değerli bir kaynaktır” dediğimizde Yönetim Kurulu Başkanımız Bay T bize bir soru yöneltti:

“ İyi güzelde bu değer katma işine nereden başlayacaksınız. Risk Yönetimi, İç Kontrol ve Yönetişimden bahsettiniz. Bizim şirkete bakarsak Risk Yönetimi ve Yönetişim süreçlerinin hali hazırda mevcut olmadığını, iç kontrollerin ise dağınık şekilde operasyonlar içinde yer aldığını görüyoruz. Ana amacınız bu üç konuda değer katmak ve bu üç alandaki süreçleri iyileştirmek ise, siz işe nereden başlayacaksınız, nasıl değer katacaksınız?”

Aslında bu soruyu bekliyorduk ve hazırlıklıydık. Sözü arkadaşlarımdan isteyerek bu soruyu ben cevaplamak istedim. “Kurumlarda risk yönetimi, iç kontrol ve yönetişim süreçlerinin bir sisteme dayanmaması veya açıkça sınırları çizilir vaziyette bulunmaması iç denetim açısından elbette ki arzu edilen bir durum değildir. Yani etkinliğini arttırmaya çalıştığımız bir şeyin önce tanımlanabilir olması gereklidir. Bu bağlamda iç denetim faaliyetinin temel önceliği içinde bulunduğu kurumu ve faaliyetlerini tanımak, amaç ve hedefleri bilmek ve bu öncelikler paralelinde gerçekleştireceği denetimler ve danışmanlık hizmetleri sonucu elde edeceği bilgi ile kurumun risk yönetim, iç kontrol ve yönetişim süreçlerinin daha tanımlanabilir, sistemsel ve en iyi uygulamaları gözeten bir çerçevede ele alınmasını ve değerlendirilmesini sağlamaktır. Yani bu süreçlerin adının konmamış ve sistemli halde uygulanmıyor olması bunların kurumda bulunmadığı anlamına gelmez. Önemli olan iç denetçilerin mevcut durumu tespit edip, olayın sistemsel boyuta taşınmasına yardımcı olmalarıdır. İç denetçiler Kurumlarının risk yönetimi, iç kontrol ve yönetişim alanlarında bulundukları konumun fotoğrafını çeken, eksiklikleri tespit eden, bunları Yönetim Kurulları ve Üst Yöneticiler ile paylaşan ve sorumluları (Yönetim Kurulları Ve Üst Yöneticiler) yukarıdaki üç süreci genel kabul görmüş sistemler dahilinde daha iyi yönetmeye teşvik eden profesyonellerdir.
Yani özetlemek gerekirse; kurumumuzun iç kontrol, risk yönetimi ve yönetişim süreçlerinin etkinliğini değerlendirmek ve geliştirmek amacı ile önce kurumumuzun iş süreçlerini denetleyeceğiz. Bu denetimlerin öncelikli amacı kurumun karşı karşıya olduğu riskler ve bu risklere yönelik kontrollerin sağlıklı olup olmadığı. Sonra bu denetimler sırasında elde ettiğimiz bilgi ve deneyimi, risk yönetimi, iç kontrol ve yönetişim alanlarındaki güncel en iyi uygulamalar ile karşılaştırmak suretiyle kurumumuzun mevcut durumunu ortaya koyacağız.
Bir sonraki aşamada ise bu en iyi uygulamaları kurumuza adapte etmek ve uygulanmalarını sağlamaya yönelik olarak Üst Yöneticilere danışmanlık hizmetleri sağlayacağız. Yani denetim hizmetlerini danışmanlık hizmetlerini daha etkin ve sağlıklı sunabilmek için bir basamak olarak kullanacağız. Ancak tüm bu danışmanlık hizmetlerini sunarken de denetim hizmetlerini asla aksatmadan, kurumda işlerin amaç ve hedefleri gerçekleştirmeye yönelik olarak etkin ve verimli bir şekilde yürütüldüğüne ve iç kontrollerin kurumu doğru rotada tuttuğuna dair güvence vermeye devam edeceğiz”

Cevabımı bitirir bitirmez, mali işlerden sorumlu yönetim kurulu üyesi olan ve göreve başladıklarından bu yana iç denetçiler ve iç denetim faaliyetlerine temkinli yaklaşan Prof M. Günün başından beri beklediğimiz o can alıcı soruyu sormuştu:
“Sizi ve iç denetçi arkadaşları büyük bir keyifle dinledik. Anlattıklarınız hakikaten de ilgi çekici. Ancak bizim kurumun bahsettiğiniz diğer iç denetim hizmetlerine neden ihtiyaç duyduğu konusu benim için yeterince net değil. Yani şirketimiz için iç denetim birimi veya faaliyeti kurulması konusunda yasal bir zorunluluk yok. Evet teftişe, yani iş ve işlemlerin geçmişe dönük olarak sorgulanmasına bende sıcak bakıyorum. Ama risk yönetimi, iç kontroller, yönetişim alanlarında denetim ve danışmanlık yolu ile kuruma değer katmak hem maliyetli hem de uzun sürecek bir süreç gibi geliyor bana. Bu maliyeti neden göze alalım, veya daha doğru ifadeyle mevcut ölçeğimizde neden bu tür bir hizmete ihtiyaç duyalım. Şirket Yöneticilerimiz risklerin yönetilmesinde veya operasyonların verimliliği hususunda neden iç denetçi desteğine ihtiyaç duysun ki?”
Prof M. nin kendi düşüncelerini bir soru ile özetlediği yorumu, salondaki tüm bakışları iç denetçilerin hamisi konumundaki bana yöneltmişti. Aslında kafalardaki şüpheleri yok etmek açısından iyi bir fırsat olmuştu bu soru. Cevabı verirken iç denetçi arkadaşların notlar aldıklarını görüyordum:

“Bu gün çok çeşitli sektörlerde birçok orta ve büyük ölçekli firma bir iç denetim sistemine sahiptir. İtibara dayalı sorumlulukları olan borsaya kote firmalar, bankalar ve diğer finansal kurumlarda ise bildiğiniz üzere bu bir gerekliliktir. Diğer şirketlerde iç denetim sistemine sahiptirler çünkü iç denetim sistemi Denetim Komitesi ve üst yönetime güvence sağlayan yönetimsel kontrolün değerli bir parçası olarak algılanır ve yatırımcılar ile kreditörler için işletmenin kredibilitesine değer katar. Yani iç denetim klasik yönetim fonksiyonlarından biri olan kontrol etme fonksiyonunun önemli bir aracıdır. Kabul etmek gerekir ki daha küçük organizasyonlarda yöneticiler günlük faaliyetleri etkin bir şekilde yönetebilecek ve çalışanların işlevlerini takip edebilecek yeterlilikte yakındırlar. Ancak işletme büyüdükçe ya da faaliyetler karmaşıklaştıkça yönetim çalışanların faaliyetlerini kontrol etmekte zorlanacak ve birebir takipler yerini iç kontroller ve iç kontrol sistemlerine bırakacaktır. Bizim şirketimiz sektörde önemli bir oyuncu olup, yıllar itibariyle gerek mali durum, gerekse de operasyonlar itibariyle belirli bir büyüklüğe ulaşmış durumdadır. Büyük üretim hatları, karmaşık dağıtım kanalları, yurt dışı irtibatları ve önemli büyüklükte kabul edebileceğimiz bir örgütsel yapısı vardır. Bu nedenle, iç denetim hizmetlerinin değer katabileceği ve maliyetinin üzerinde fayda sağlayabileceği bir iş ve örgütsel büyüklüğe sahiptir. Böylesi bir ölçek yukarıda bahsi geçen üst yönetimin kontrol fonksiyonun icrasını güçleştirmekte, bu kontrol faaliyetlerinin desteklenmesini zorunlu kılmaktadır. İşte bu nedenle iç denetim sistemi bulunmayan organizasyonlar, eğer boyutları ve faaliyetlerinin türü, sermaye kaynakları ve risk faktörleri gerektiriyor ise, bir sistem kurmaya mutlak önem vermelidirler. Tüm bu koşulların bir iç denetim birimine sahip olmak adına firmamız açısından geçerli olduğunu düşünmekteyim. Tüm bu görüşlere ek olarak bir kurumun yönetsel ve operasyonel faaliyetlerinin, Yöneticilerden bağımsız ve objektif olan, yetkin kişilerce sistematik olarak değerlendirilmesinin iş ve işlemlerin çok daha etkin ve amaçları destekler şekilde yürütülmesine katkı sağlayacağını da düşünmekteyim. İç denetim tanıtım toplantımız sonrası size yapacağımız ve denetçi arkadaşlarımız tarafından dört aydır yürütülen denetim faaliyetlerinin sonuçlarına ilişkin sunumun, iç denetimin kurumumuz açısından önemini ortaya koyacağını göreceksiniz”

Bay T tekrar bir soru sormak üzere söz almıştı. “Diyelim ki şirketimizin gerçekten de bu hizmetlere ihtiyacı var, ki ben kişisel olarak olduğunu düşünüyorum. Denetçi arkadaşlarımız bu yükü nasıl kaldıracaklar? Pek çok farklı ve yoğun faaliyet söz konusu. Denetimler, danışmanlıklar, vs. Ekibi takviye etmek gerekecek mi sizce?

Soruyu oldukça beğenmiştim. Gerçekten de bir iç denetim Birimi açısından en önemli unsurlardan bir tanesi de tahsis edilecek iç denetim kaynakları idi. Soruya cevap verirken salonda konuya ilginin arttığını da gözlemlemekteydim;
“İç denetim fonksiyonları, denetledikleri alan ve riskler açısından uygun tecrübe ve yetenekte birbirini tamamlayan yeterli personele ihtiyaç duyar. Personelin kendi uzmanlık alanlarında süregelen bir eğitim almaları icap ettiği gibi kurum içindeki teknolojik ilerlemeleri ve organizasyonel değişiklikleri birebir takip etmeleri zorunludur. Aynı zamanda, İç denetim fonksiyonu koordineli uygulamalarla dış denetçilere destek olmalıdır. Bu nedenle risk, iç kontrol ve yönetişim alanları ile ilgili mesleki bilgi dışında muhasebe, finans ve mali raporlamalar ile ilgili bilgi sahibi olmak da önem taşır. Bu nedenle etkin bir iç denetim fonksiyonu oluşturmak için önce yetkin iç denetçilerin istihdam edilmesi gerekir. Kesinleşmiş bir kural olmamakla birlikte, kurumun personel sayısının %1-2’si oranında yetkin iç denetçi istihdam edilmesi genel kabul görmektedir. Elbette ki bu sayı sektör, şirket organizasyonu ve faaliyet yapısı ile işin niteliğine göre önemli ölçüde değişiklik gösterebilir. Organizasyon denetim faaliyetleri için kurum içinde ayrı bir İç Denetim Departmanı oluşturabileceği gibi süregelen görevlerde bir kısım denetim uygulamalarını görev tanımına ekleyebilir. İç Denetim Departmanı diğer bölümlerde çalışan personeli de denetim ekiplerinin bir parçası olarak geçici veya kalıcı olarak bünyesinde bulundurabilir. Örneğin bizim iç denetçi arkadaşlar şirket içi farklı bir departmanda çalışırlarken tarafımca görevlendirildiler. Yine tarafımca önemli bir eğitime tabi tutuldular. İç denetçilerin dışarından temin edilmesi de diğer bir yöntemdir. Eğer uygun görülür ve resmi bir iç denetim departmanı kurmak konusunda sizlerle fikir birliği sağlar isek, iç denetim ekibinin geri kalan kısmını dışarıdan istihdam edeceğimiz tecrübeli iç denetçilerden oluşturacağız. İç denetim muhtelif bilgi, beceri ve deneyimi gerektirmektedir. Bu becerileri bünyemize katmamız gerekecek. Bu nedenle Sayın Bay T’ nin yorumuna katılıyorum. Kurumumuzun yapısı ve gereksinimleri göz önüne alındığında çağdaş ve etkin bir iç denetim fonksiyonu kurmak adına iç denetim ekibimizi güçlendirmemiz gerekecek. Bu sayede daha önce bahsettiğimiz değer katma misyonu paralelinde, çok farklı alanlarda iç denetim fonksiyonundan faydalanmak mümkün olacaktır.
Söze devam ederken çay ve kahve servisinin açılması ile ikinci arayı vermiş oluyorduk. Arada Prof. M. yanıma gelerek kurumun iç denetçi ihtiyacına yönelik olarak kafasındaki diğer bazı şüpheleri paylaştı. Kendisini ikna etmek oldukça zor olacağa benziyordu.

www.bertankaya.net

Hayallerle karışık planlar, sabahlara kadar süren sohbetler, sıkı çalışma ve hepsinden öte bir dostumun yardımları ile bertankaya.net yayına başladı. Hayat felsefem olan sürekli paylaşım ve nihai hayat amacım olan insanlığa yardım temelleri üzerine inşaa etmeye çalıştık bu siteyi. Bu nedenle bu portal sıradan bir kişisel web sitesi olmak üzere planlanmadı. Bu sitenin esas amacı Bertan Kaya'yı anlatmaktan ziyade, sizleri anlamak, paylaşımda bulunmak ve gelecek nesillere faydalı birşeyler bırakabilmektir. Pek çok kişisel web sitesinden farklı olarak bu portalın interaktif olmasına büyük önem verdik. Yani sitedeki her resim, her video, her yazı sizlerin görüşlerine açık. Sizlere açık. Aslında zaten sizler için... Bu nedenle bertankaya.net kişisel bir web sitesi değil, yukarıda bahsedilen felsefeye dair kişisel bir hayalin gerçekleşmesi için atılan ufak bir adımdır. Hayalime ortak olan ve bu sayfalardaki renklerin sebebi olan tüm dostlara binlerce teşekkür.

17 Şubat 2008 tarihi itibariyle tüm kişisel ve mesleki bilgilerimi www.bertankaya.net sitesinde toplamış bulunuyorum. Denetim Evreni blogumuz bir süre kendi adresinden devam edecek olmakla birlikte, blogumuzun tüm içeriğine www.bertankaya.net adresinden de erişilebileceksiniz.

Ertuğrul Bertan Kaya, CIA, MBA

Bilginin Laneti

Geçen gün iş dünyası ile ilgili okuduğum bir kitapta "bilginin laneti" kavramı ile karşılaştım. Çok ilginç bir kavram olduğunu düşünerek sizlerle paylaşmak istedim. İş dünyasında ve hatta hayatın diğer alanlarında bizi ilgilendiren bir kavram bilginin laneti. Temelde bir "iletişim hatası".
Herhangi bir alanda uzman, tecrübeli veya bilgili olanlar, genellikle kendi alanları ile ilgili bilgi veya düşünce aktarımı yaparken çoğunlukla karşılarındaki kişilerin konuyla ilgili kendileri kadar bilgili olmadığını fark etmeden hareket ediyorlar. Bilinçsiz bir şekilde bu varsayımın çizdiği bir strateji dahilinde karşı tarafla iletişim kuruyorlar. Çoğu zaman konuya dair bilgisi olmayan veya az olan kişilerin yerine koyamıyorlar kendilerini. Bu durumda ciddi bir iletişim problemi yaşanıyor. Anlaşılmak zorlaşıyor, imkansızlaşıyor. Verilmek istenen mesajlar ya alınamıyor ya da hatalı alınıyor.
Bilginin laneti sadece konuya uzak veya bilgisi az kişilerle kurulan iletişimde değil, bilgili ve tecrübeli kişiler arasında dahi yaşanabiliyor. Karşıdaki kişinin bilgi düzeyini tam ve yeterli gören bir iletişimci, mesajını bu varsayıma dayanarak gönderiyor. Ancak asla karşıdaki kişinin bilgi, uzmanlık ve tecrübe düzeyini kestiremediğinden, kendi düzeyine göre mesajı ayarlıyor. İşte pek çok durumda düzeyler arası farklılık doğru bir üslup ve strateji ile iletişim kurmaya engel oluyor.
Bu durumu kendi verdiğim ve aldığım eğitimlerde de sıklıkla tecrübe ettim. Bilginin lanetini gördüm. Geçtiğimiz yıllarda belirli konularda, özellikle de teknik konularda eğitim alırken bazı eğitimcilerin kendi uzmanlıklarını baz alıp, istemsiz şekilde eğitim verdiği kişileri de aynı düzeyde değerlendirip, pek çok kavramı-daha tanımını bile yapmadan- eğitimlerde kullandığına şahit oldum. Benzer şekilde kendi eğitimlerimde de zaman zaman bu hatayı yaptığımı fark ediyorum. Mesajımı karşı tarafın algılmasında sorun yaratacak bir üslup ve strateji ile aktardığım oluyor. Örneğin risk değerlendirmesi ile ilgili birşeyler anlatırken, dinleyicinin kafasında risk değerlendirmesi ile ilgili uyanan kavramsal çerçeveyi istemsizce kendi kafamdaki ile aynıymış gibi değerlendiriyorum. Oysa değil. Her dinleyen diğerinden genellikle farklı algılamalara sahip oluyor. Bu hataya sık düşüyorum.
Yapılması gereken ne öyleyse? Bilginin lanetinden kurtulmak için neler yapılmalı?
Şunu söylemek gerekir ki bilginin lanetinden kurtulma süreci bunun yaşandığının ayırdında olmakla başlıyor. Elbette ki bilginin lanetinden bir anda kurtulmak kolay değil. Geçmiş tecrübe ve birikimlerin varlığı bunu engelliyor. Çözüm ise etkin iletişimden geçiyor. Karşı taraf ile empati kurabilmek gerekiyor. Yani kendini karşı tarafın yerine koyup onun düşünce ve hislerini anlamaya çalışmak çabası gerekiyor. Bu ise iletişim becerilerinin arttırılması ve karşılıklı samimiyet ile mümkün gözüküyor.
Şunu bilmemiz gerekiyor ki iç denetçiler olarak sadece eğitimlerde değil, pek çok farklı durumda bilginin laneti tuzağına düşeceğiz. Örneğin denetlenenler ile gerçekleştirdiğimiz toplantılarda iç denetimi ve amacımızı anlatırken, saha çalışmalarında, risk yönetimi danışmanlık faaliyetlerinde kısaca içinde bilgi ve uzmanlığın geçtiği her alanda bu sorunu yaşayacağız. Önemli olan karşımızdaki kişilerin konulara bizim kadar vakıf olamayabileceği gerçeğini temel varsayımımız yapıp, bilinçli bir çaba ile vereceğimiz mesajları anlaşılabilir hale getirmektir. Karşı tarafın bizi anladığından emin olmaktır.

Bir kurumun tepe yöneticisinin bakış açısından iç denetim: Bölüm 4

Yönetim Kurulu Başkanı Bay T’nin benden istediği iç denetim sunumunu iç denetim birimindeki 3 arkadaşımız ile birlikte hazırladık. Eski bir iç denetçi olmam dolayısı ile bu konuda hatırı sayılır bilgiye sahip olmama rağmen sunumu üç denetçi arkadaşımdan en tecrübeli olanı olan Bay E nin yapmasını istemiştim. Bay E ye çok teknik bir sunum yapmamasını, konuyu basit bir dille anlatması gerektiğini söyledim. Yönetim Kurulu Üyelerinin iç denetim ile ilgili sağdan soldan duydukları dışında bilgisi yoktu. İç denetimin ne olduğunu ve ne fayda sağlayacağını herkesin anlayacağı şekilde anlatmalıydık. Ancak elbette bu kolay bir iş değildi. Meslek dışından gelen, meslek tecrübesi olmayan veya daha önce iç denetçiler ile çalışmamış kişilere iç denetimi anlatmak ciddi zorlukları olan bir işti. Ancak bir o kadar da önemliydi. Denetim birimlerinde çalışırken iç denetim ve iç denetim kavramları üzerinde önce denetim birimi içinde, sonra çalıştığımız kurum içinde ve nihayetinde de iç denetim camiası ile hemfikir olmamız gerektiğini savunurdum. Bir kavramdan tüm ilgili taraflar aynı şeyi anlamalı, aynı anlamı çıkarmalıydı. Bu nedenle de teknik ifadelerden ziyade somut örnekler ile iç denetimi anlatmak, kafalarda yer edinmesini sağlamak gerekecekti. İç denetim ekibimiz ve ben sıkı bir hazırlık dönemi sonucu yönetim kurulunun karşısına çıkmaya hazırlanmıştık. Benim önerimle yönetim kuruluna ek olarak üst düzey diğer yönetici arkadaşlarımızın da brifinge katılımları sağlanarak herkes için uygun bir zamanda iç denetim tanıtım sunumumuzu gerçekleştirdik.
Sunuma iç denetimin genel kabul görmüş tanımı ile başlamıştık:
“İç denetim, bir kurumun faaliyetlerini geliştirmek ve onlara değer katmak amacını güden bağımsız ve objektif bir güvence ve danışmanlık faaliyetidir. İç denetim, kurumun risk yönetim, kontrol ve yönetişim süreçlerinin etkinliğini değerlendirmek ve geliştirmek amacına yönelik sistemli ve disiplinli bir yaklaşım getirerek kurumun amaçlarına ulaşmasına yardımcı olur”
Bu tanımı paylaştıktan sonra bu tanımın üzerinde durmaya karar vermiştik. Zaten sunum sırasında Yönetim Kurulu Üyelerinden peşi sıra sorular gelmeye başlamıştı. Sorularda risk yönetimi, iç kontrol, yönetişim, sistemli, disiplinli, süreç gibi kavramların ne anlama geldiği sorulmuştu. Bu sorular ve sunum sırasında verdiğimiz cevaplar şu şekildeydi:
Soru: Risk Nedir? Risk Yönetimi Nedir?
Risk bir kurum, birim veya faaliyetin hedeflerine ulaşmasını engellemeye yönelik bir tehdit içeren potansiyel sonuçlardır. Yani riskler hedefleri ulaşmayı engeller. Risk Yönetimi ise, bir kurumun karşı karşıya olduğu risklerin tanımlanması, ölçümlendirilmesi ve önceliklendirilmesi (yani risk değerlendirmesi) sonrası başlayan, bu risklere yönelik tedbirlerin alınması ile devam eden ve nihayetinde de bu risklerin sürekli olarak takibi ve mevcut tedbirlerin etkinliğinin değerlendirilmesi ile sona eren bir süreçtir.
Kurum içi ve dışında kurumu ilgilendiren riskler belirlendikten sonra, bu riskler bir önem ve öncelik sırasına sokulmak üzere ölçülür, yani puanlanır. Tüm bu işlemlere de “risk değerlendirmesi” işlemi denir. Ardından belirlenen bu riskler tek tek veya gruplar halinde ele alınmak sureti ile bunları etkisiz hale getirmeye yönelik “risk yönetim” stratejileri geliştirilir. Kısaca risk yönetimini kurum çapında “risk avcılığı” olarak tanımlamak mümkündür. Avlanacak olan hedefler tespit edilir. Öncelik sırasına konur. Nişan alınır ve hedefler bu sıraya göre vurulur. İşte hedeflerin belirlenip öncelik sırasına koyulması “risk değerlendirmesi” vurulması esnasında kullandığımız tüm teknik ve araçlar “risk yönetimi” olarak ifade edilebilir.
Soru: Riske birkaç örnek verebilir misiniz?
Örneğin, şirketimiz boya üretiyor. Ürettiğimiz boyaların içinde sağlığa zarar veren bir madde bulunması nedeni ile insanların zarar görmesi hukuki sonuçlar ile itibar sorunlara yol açabilir.
Burada ürettiğimiz boyaların içinde sağlığa zararlı madde bulunması bir “tehdit” olarak nitelendirilir. Bu tehditin gerçekleşmesi, yani bu maddelerin üretimde kullanılması ise bir “sonuç” a yol açabilir. Bu sonuç insanların zarar görmesi nedeni ile hakkımızda dava açılması ve kamuoyundaki imajımızın zedelenmesidir. İşte bu iki sonuç sırasıyla yasal risk ve itibar riskleridir.
Risk etki ve olasılık kavramları ile ölçülür. Olasılık riskin gerçekleşme sıklığı veya ihtimali, etki ise yol açacağı zararın boyutudur. Örneğimize dönersek, var olan bir tehdit gerçekleşmesi halinde, iki sonuca yol açmaktadır. Dolayısı ile iki risk söz konusudur. Hukuki riskin gerçekleşmesi sonucu maddi kayıplarımız riskin etki boyutunu, bu tip bir tehdit nedeni ile riskin gerçekleşme ihtimali de olasılık boyutuna işaret eder. Benzer şekilde itibar kaybı nedeniyle satışlardaki ve hisse değerlerindeki düşüş de söz konusu itibar riskin maddi bir etkisidir.
Bir riskin gerçekleşmesi için mutlaka bir hedefe ulaşmayı engelleyecek bir tehditin belirli bir olasılık dahilinde gerçekleşmesi ve belirli bir etki yaratması gerekmektedir. Yani örneğe dönersek zararlı maddelerin tedarikçilerde satılıyor olması bir tehdit değildir. Bizim bu maddeleri alarak üretimde kullanmamız bir “tehdit” oluşturmaktadır.
Etkiyi ölçmek olasılığı ölçmekten kolaydır. Olasılığı sağlıklı bir şekilde ölçmek çoğu zaman mümkün değildir. Bu nedenle olasılıklar belirli ölçüde subjektif değerlendirmelere tabidir.
Risk Yönetim Stratejileri Neler Olabilir?
Risk yönetiminde farklı risklere farklı stratejiler geliştirmek mümkündür. Riskin yapısı ve yaratacağı etki kadar kurumun bu riski yönetmek için ayırabileceği kaynaklar, kurumun risk iştahı, risk kültürü gibi pek çok faktör strateji seçmini yakından etkilemektedir. Riskle ilgili stratejilere bakıldığında genel anlamda riskten kaçınma, riskin transferi, riskin paylaşılması, riskin kabul edilmesi ve riskin kontrol edilmesi gibi alternatifler söz konusudur. Bazı riskler sigorta bedeli karşılığı 3. şahıslara transfer edilirken, bazı riskler olduğu gibi kabul edilebilmektedir. Bazı risklerden kurtulmanın tek yolu o riski almamak yani riski doğuran faaliyete son vermektir. Riskten kaçınma stratejisi budur. Riskin pek çok kere paylaşılması yani doğurabileceği sonucun diğer şahıslarla birlikte karşılanması yolu seçilebilir. Riskin kontrol edilmesi ise genellikle en geçerli ve uygun maliyetli çözüm olup iç kontroller ve iç kontrol sistemi yoluyla risklerin azaltılıp, makul seviyelere indirilmesi anlamı taşır.
Risk Yönetiminden Kim Sorumludur?
Risk yönetimi diğer pek çok yönetim faaliyeti gibi kurumun üst yönetiminin sorumluluğudur. İç denetçiler riskleri bizzat yönetmez. Risk yönetimi ile ilgili kararlar almaz, risk yönetim fonksiyonunu işletmez. İç denetçilerin risk yönetimi ile ilgili sorumluluğu risklerin Yönetim Kurulu adına izlenmesi ve risk yönetim faaliyetinin etkinliğinin değerlendirilmesidir. İç denetçiler kurum için mevcut risklerin kurumun kabul edilebileceği düzeylerde yönetildiğine dair Yönetim Kuruluna makul güvence sağlar.
İç Kontrol Nedir? İç Denetimin İç Kontroller ile ilgili sorumluluğu nedir?
İç kontrol kurumun üst yönetimi ve çalışanlarınca yürütülen, kurumun genel olarak amacına ulaşmasına engel olabilecek riskleri hem stratejik düzeyde hem de iş süreçlerinde azaltmak, makul düzeylere indirmek üzere alınan tedbirlerdir. İç kontrol sistemi veya süreci dediğimizde kurumda var olan tüm iç kontrol faaliyetleri ve tedbirleri akla gelir. Bir kurumun iç kontrol sistemi genel olarak aşağıdaki alanlardaki hedefleri gerçekleştirmek amacıyla tesis edilir:
Operasyonel ve finansal raporlamaların güvenilirliği
Operasyonların etkinlik ve verimliliği
Mevzuat ve düzenlemelere uygunluk
İç denetçilerin iç kontroller ile ilgili yönetsel bir sorumluluğu yoktur. Yani iç kontrol sisteminin kurulması ve yönetilmesi kurum yönetiminin sorumluluğudur. İç denetçiler iç kontrol sisteminin ve sistemi oluşturan iç kontrollerin varlığı ve etkinliğinin değerlendirilmesi ve iç kontrol sisteminin riskleri yönetmede yeterli olduğu noktasında Yönetim Kuruluna makul güvence vermek amacını güder. İç kontroller üretimden pazarlamaya, insan kaynaklarından muhasebeye kadar kurumun tüm birimlerinde var olup, bunların etkinliği bir kurumun amaç ve hedeflerine giden yolda sağlıklı bir şekilde ilerlemesine imkan sağlar. Örneğin, şirketimizin üretim hattında yaşanan bazı operasyonel problemler üretim maliyetlerini, dolayısıyla da ürünün maliyetini ve doğrudan satış fiyatını da etkiler. Satış fiyatı da ürünün pazar payında önemli bir değişkendir. Görüldüğü üzere problemlerin daha kaynağında tespit edilmesi ve bunlara çözümler geliştirilmesi bir şirketin pazar payını etkilemektedir. İç denetimin rolü, Yönetim Kuruluna iç kontrollerin kurumu doğru bir istikamette tuttuğuna dair makul güvence vermektir.
Yönetişim Nedir? İç Denetimin Yönetişim ile ilgili görevleri nelerdir?
Yönetişim veya diğer bir deyişle Kurumsal Yönetim özünde şirketlerin hissedar ve diğer menfaat sahiplerine, yani paydaşlarına en yüksek yararı sağlayacak biçimde yönetilmelerini amaçlayan bir yönetim tarzı ve felsefesidir. Son birkaç yıl içinde yaşanan ve büyük yankılar uyandıran şirket skandallarının ana sebebi şirket yönetimlerinin şirketleri asıl hak sahibi olan hissedarların yararına değil, kendi bireysel çıkarları doğrultusunda yönetmeleriydi. İşte bizim şirketimizde de benzer bir durumun yaşanmaması amacıyla yöneticilerin performansları ve faaliyetlerinin denetlenmesi, yöneticileri bu tür davranmaktan alıkoymaya yönelik gözetim mekanizmalarının kurulması önem taşımaktadır. İşte iç denetimin kurumsal yönetim ile ilgili görev ve sorumlulukları burada devreye girmektedir. İç denetim operasyonel faaliyetler ile yönetsel faaliyetleri risk odaklı bir yaklaşım ile denetleyerek, yönetimin şirketi belirlenmiş amaç ve hedefler doğrultusunda yönettiğine dair Yönetim Kuruluna makul güvence sağlar. Ayrıca iç denetçiler Kurumsal Yönetim ilkeleri olan şeffaflık, sorumluluk, hesap verilebilirlik ve adillik ilkelerini kurum genelinde yaymak, desteklemek ve tanıtmak misyonuna da sahiptir.
Neden Yönetim Kurulu? Risk Yönetimi, İç Kontrol ve Yönetişim süreçleri ile ilgili bizim sorumluluklarımız nelerdir?
Yönetim Kurulları, hissedarlar tarafından onların haklarını korumak ve şirketi hissedarlara en fazla fayda sağlayacak biçimde yönetmelerini sağlamak amacı ile teşkil olunmuş yapılardır. Hissedarların bir kısmı bizim şirketimizde olduğu gibi aynı zamanda yönetim kurulunda da olabilir. Ancak bazı şirketler halka açılmakta veya yabancı ortak almaktadır. Bu durumda hem bu yeni hissedarların hem de eski hissedarların haklarını korumak amacı ile şirketi yöneten profesyonel yöneticiler üzerinde bir kontrol mekanizmasına ihtiyaç duyulur. İç ve dış denetim bu bağlamda önemli araçlardır. İşte bu kontrol mekanizmalarını sağlamak da Yönetim Kurulunun sorumluluğudur. Bunun haricinde şirketin hissedarlara maksimum fayda sağlayacak biçimde yönetilmesi için öncelikle kurum yönetiminin buna yönelik amaç ve hedefleri olması, sonra da bu amaçlara dönük risklerini iyi yönetmesi gerekmektedir. Burada risk yönetimi ve iç kontrol süreçlerinin sağlıklı olması önem taşır. Bu sistemlerin sağlıklı olup olmadığına dair güvenceyi Yönetim Kuruluna iç denetçiler sağlar. Ayrıca tüm dünyada Yönetimin seçilmesi ve performansının izlenmesi elbette ki Yönetim Kurulunun sorumluluğundadır.
Ancak bazı kurumlarda Yönetim Kurullarının ağır iş yükü ve daha farklı stratejik boyutlu işlerin takipçisi olmaları nedeniyle, yukarıdaki yönetişim, risk ve iç kontrollere ilişkin izleme ve değerlendirme görevlerini kendi içlerinden veya dışarıdan uygun adaylar arasından seçtikleri, bu kişilerce oluşturulan farklı organlara delege ettikleri görülmektedir. En iyi uygulamalarda, Denetim Komitesi olarak bilinen bu kurullar, Yönetim Kurulları adına kurumun bazı yasal düzenlemelere uyumu ile hissedar çıkarlarına uygun hareket edildiğine dair görevler üstlenirler. İç denetim birimleri de fonksiyonel olarak bu kurullara raporlama yapar. Bu kurullar kurum yönetim kuruluna bağlı olarak, ancak kurum üst yönetiminden bağımsız görev yapmaktadır.Tüm bu soruların ardından yeni sorular geleceğini biliyorduk. Ancak Yönetim Kurulu üyelerimiz brifingimizin bu ilk bölümünden fayda sağlamış gözüküyordu. Bu da brifing sırasında bizleri motive etmişti. Bir sevindirici gelişme de gerek yönetim kurulu üyeleri, gerekse de yönetim ekibinin kurumsal yönetim, risk yönetimi ve iç kontrol kavramları ile bu kavramlara ilişkin görev ve sorumluluklarını daha iyi kavramaları idi. Brifingin ikinci kısmı öncesi verdiğimiz kısa ara boyunca da bu kavramlar ile ilgili tartışmaya devam etmemiz, konuya gösterilen ilgiyi göstermekteydi.

(devamı var…)

Duyuru

Herkese merhaba,

Mesleki bilgi paylaşımı amaçlı olarak denetimevreni.blogspot.com adresinden yayın yapan blogumuza bundan böyle www.denetimevreni.gen.tr adresinden de ulaşabileceksiniz. İlerleyen zamanlarda sitede iç denetim standartlarının yorumlanması, iç denetim teknik ve araçlarının tanıtımı, risk ve risk yönetimi ile ilgili pratik bilgiler ve çalışma kağıtları paylaşımı gibi yeni konulara da yer vermeyi planlıyorum. Sitede ele alınmasında fayda gördüğünüz hususlar veya cevap almak istediğiniz konularla ilgili sorular için ebertankaya@gmail.com adresinden her zaman bana ulaşabilirsiniz.
Katılımınız ve desteğiniz için teşekkürler.

İyi çalışmalar