İç Kontrol Sistemi Nasıl Kurulur? COSO Çerçevesiyle Adım Adım

İç kontrol sistemi, bir kuruluşun hedeflerine ulaşmasına makul güvence sağlamak üzere yönetim kurulu, yönetim ve çalışanlar tarafından yürütülen politika, süreç ve kontroller bütünüdür. Uluslararası alanda en yaygın referans, COSO’nun (Committee of Sponsoring Organizations of the Treadway Commission) İç Kontrol – Entegre Çerçeve belgesidir ve 2013 sürümü beş bileşen üzerine kuruludur: kontrol ortamı, risk değerlendirmesi, kontrol faaliyetleri, bilgi ve iletişim ile izleme faaliyetleri. Kurulum; risklerin belirlenmesi, süreçlerin ve kontrollerin belgelenmesi, atanması, test edilmesi ve eksikliklerin giderilmesi adımlarıyla ilerler.

İç kontrol sistemi neden kurulur?

COSO çerçevesi iç kontrolün üç hedef kategorisini tanımlar: operasyonların etkinliği ve verimliliği, raporlamanın güvenilirliği ve mevzuata uyum. İç kontrol sistemi bu hedeflerin gerçekleşmesini garanti etmez; makul güvence sağlar. Makul güvence ifadesi bilinçli bir sınırdır: insan hatası, anlaşmalı usulsüzlük ve yönetimin kontrolleri aşma ihtimali her sistemde vardır.

Büyüyen şirketlerde ve holdinglerde iç kontrolün ihtiyacı genellikle somut bir tetikleyiciyle ortaya çıkar: yeni bir iştirak edinimi, halka arz veya finansman hazırlığı, raporlama hatalarının tekrar etmesi, usulsüzlük şüphesi ya da yönetim kurulunun “gerçekten ne olduğunu” görememe kaygısı. Sistemin amacı, bu kaygıyı kişiye bağlı güvenden sürece bağlı güvene taşımaktır.

COSO’nun beş bileşeni nelerdir?

• Kontrol ortamı: Üst yönetimin tavrı (tone at the top), etik değerler, organizasyon yapısı, yetki ve sorumlulukların dağılımı, yetkinlik ve hesap verebilirlik anlayışı. Diğer tüm bileşenlerin zeminidir.
• Risk değerlendirmesi: Hedeflerin netleştirilmesi, bu hedefleri tehdit eden risklerin belirlenmesi ve analizi, hile riskinin ayrıca dikkate alınması, değişimlerin (yeni ürün, yeni sistem, mevzuat) etkisinin izlenmesi.
• Kontrol faaliyetleri: Risklerin kabul edilebilir düzeye indirilmesini sağlayan politika ve prosedürler; yetki onayları, görevler ayrılığı, mutabakatlar, erişim kontrolleri, fiziki kontroller.
• Bilgi ve iletişim: Doğru bilginin doğru kişiye doğru zamanda ulaşması; iç iletişim kanalları, etik ihbar hattı, dış taraflarla iletişim.
• İzleme faaliyetleri: Kontrollerin zaman içinde çalışıp çalışmadığının sürekli ve dönemsel değerlendirmeleri; eksikliklerin yetkili kişilere iletilmesi ve giderilmesi.

Çerçeve ayrıca bu bileşenlere bağlı 17 ilke tanımlar. Uygulamada amaç, her ilkeyi mekanik biçimde doldurmak değil, bileşenin kuruluşun yapısında gerçekten var olup olmadığını ve birlikte çalışıp çalışmadığını göstermektir.

Üç savunma hattı modeli iç kontrolle nasıl ilişkilidir?

İç Denetçiler Enstitüsü’nün (IIA) Üç Hat Modeli, risk ve kontrol sorumluluklarının kuruluş içinde nasıl dağıldığını anlatır. Birinci hat, operasyonları yürüten ve riskleri günlük olarak yöneten iş birimleridir; kontroller esas olarak burada çalışır. İkinci hat, risk yönetimi, uyum ve kalite gibi fonksiyonlarla birinci hatta uzmanlık, izleme ve meydan okuma sağlar. Üçüncü hat olan iç denetim ise yönetim kuruluna bağımsız ve nesnel güvence verir. Yönetim kurulu bu yapının hesap verebilirlik katmanıdır.

Sık yapılan hata, kontrol sorumluluğunun iç denetime bırakılmasıdır. İç denetim kontrolleri değerlendirir; kontrollerin sahibi, süreci yöneten birimlerdir. Bağımsızlığın korunması için iç denetim, sahibi olduğu kontrolü kendisi değerlendirmemelidir.

Süreçler ve kontroller nasıl belgelenir?

Kurulum, kapsamın belirlenmesiyle başlar: hangi şirketler, hangi süreçler ve hangi hesaplar kritik? Satın alma, satış ve tahsilat, stok, bordro, hazine ve finansal kapanış süreçleri çoğu kuruluşta öncelikli adaylardır. Her süreç için akış şeması ve süreç anlatımı hazırlanır, süreçteki riskler tanımlanır ve bu risklere karşılık gelen kontroller eşleştirilir. Çıktı, genellikle risk-kontrol matrisi (RCM) olarak adlandırılan bir tablodur.

İyi bir kontrol tanımı şu soruları yanıtlar: kontrol hangi riski azaltıyor, kim yapıyor, ne sıklıkta yapılıyor, nasıl yapılıyor, hangi kanıt bırakıyor ve kontrol önleyici mi yoksa tespit edici mi? Bir kontrolün sorumlusu “finans departmanı” değil, rolü açıkça tanımlı bir kişi olmalıdır. Görevler ayrılığı, aynı kişinin bir işlemi başlatması, onaylaması ve kaydetmesini engelleyecek biçimde tasarlanmalıdır.

Bilgi sistemleri bu tablonun ayrı bir katmanıdır. Erişim yönetimi, değişiklik yönetimi, yedekleme ve sistem operasyonları gibi genel bilgi teknolojileri kontrolleri zayıfsa, sistemlere dayanan otomatik kontrollerin güvenilirliği de sorgulanır. Bu nedenle süreç kontrolleri tasarlanırken kullanılan sistemlerin ve raporların bütünlüğü de kapsama alınmalıdır. Elle yapılan kontrollerin otomatik kontrollere dönüştürülmesi hata riskini azaltır, ancak otomasyon da kendi kontrol gereksinimini doğurur.

Kontroller nasıl test edilir ve eksiklikler nasıl ele alınır?

Test iki soruyu ayırır: kontrol doğru tasarlanmış mı ve tasarlandığı gibi çalışıyor mu? Tasarım değerlendirmesi, kontrolün ilgili riski gerçekten kapatıp kapatmadığına bakar. İşletim etkinliği testi ise belirli bir dönemde kontrolün tutarlı biçimde uygulandığını örnekleme, yeniden yapma, gözlem ve inceleme gibi yöntemlerle kanıtlar. Test kapsamı ve örneklem büyüklüğü, riskin düzeyine ve kontrolün sıklığına göre belirlenir.

Tespit edilen eksiklikler önem derecesine göre sınıflandırılır: basit kontrol eksikliği, önemli eksiklik veya maddi zafiyet gibi. Her eksiklik için sorumlu, aksiyon planı ve hedef tarih belirlenir; yönetim kurulu veya denetim komitesine düzenli raporlama yapılır. Giderilen eksikliğin yeniden test edilmesi döngünün kapanması için gereklidir.

Kurulum adım adım nasıl ilerler?

1. Sponsorluk ve kapsam: Yönetim kurulu desteğiyle hedefler, kapsam ve sorumlular belirlenir.
2. Risk değerlendirmesi: Kritik süreçler ve hesaplar için riskler tanımlanır, önceliklendirilir.
3. Süreçlerin belgelenmesi: Süreç akışları, riskler ve mevcut kontroller kayıt altına alınır.
4. Boşluk analizi: Riskleri karşılamayan veya gereğinden fazla olan kontroller tespit edilir.
5. Tasarım ve atama: Eksik kontroller tasarlanır, her kontrol için sahip ve sıklık belirlenir.
6. Test ve raporlama: Tasarım ve işletim etkinliği değerlendirilir, bulgular yönetime iletilir.
7. Sürekli izleme: Süreç, sistem veya mevzuat değiştiğinde matris güncellenir.

Sistemi tek seferde tüm şirkete yaymak yerine, riski yüksek süreçlerle başlayıp kapsamı kademeli genişletmek çoğu zaman daha sürdürülebilirdir. Bu yaklaşım, kontrol sahiplerinin sürece alışmasını sağlar ve ilk sonuçların hızla görülmesine imkan verir.

Sık yapılan hatalar nelerdir?

• İç kontrolü yalnızca finansal raporlama ya da yalnızca bir belgeleme projesi olarak görmek.
• Üst yönetimin tutumunu ihmal etmek; kontrol ortamı zayıfken prosedür yazmanın sonuç vermemesi.
• Risk değerlendirmesi yapmadan kontrol listesi oluşturmak; her şeyi kontrol ederek önemli olanı gözden kaçırmak.
• Kontrol sahiplerini atamadan matris hazırlamak; kâğıt üzerinde var olup uygulanmayan kontroller.
• Aşırı kontrol tasarlayıp operasyonu yavaşlatmak, bunun sonucunda kullanıcıların kontrolleri dolanması.
• Otomasyon imkanlarını kullanmamak; elle yapılan mutabakat ve onayları sistem kontrollerine dönüştürmemek.
• Belgelerin güncel tutulmaması; süreç değiştiğinde matrisin değişmemesi.

Kuruluşunuz için iç kontrol sisteminin kapsamını, öncelikli süreçlerini ve uygulama planını birlikte değerlendirmek isterseniz, Hector Kurumsal ile görüşebilirsiniz. Bu yazı genel bilgilendirme amaçlıdır; mesleki ya da hukuki tavsiye niteliği taşımaz.