İç Denetim mi İç Kontrol mü? Kim Yapar, Ne İşe Yarar?

Kısa yanıt: biri sistem, diğeri o sistemin bağımsız değerlendirmesi

İç kontrol, bir kurumun hedeflerine ulaşmasını tehdit eden riskleri günlük iş akışı içinde azaltmak için yönetimin kurduğu politika, prosedür, onay adımı, mutabakat ve izleme mekanizmalarının bütünüdür. Satın alma talebinin iki ayrı kişi tarafından onaylanması, banka hesaplarının düzenli mutabakatı, sistemlere rol bazlı erişim verilmesi tipik iç kontrol örnekleridir.

İç denetim ise bu kontrollerin ve daha genel olarak yönetişim ile risk yönetimi süreçlerinin etkin çalışıp çalışmadığını bağımsız ve tarafsız biçimde değerlendiren fonksiyondur. İç denetçi kontrolü kendisi işletmez; kontrolün doğru tasarlanıp tasarlanmadığını, uygulanıp uygulanmadığını test eder, bulgu üretir ve yönetim kuruluna ya da denetim komitesine raporlar. Kısacası iç kontrol işi yapar, iç denetim işin doğru yapıldığına dair güvence verir.

Ortak zemin: aynı risklere farklı açılardan bakmak

Her iki kavram da aynı soruya hizmet eder: kurum, operasyon, raporlama ve uyum hedeflerine makul bir güvenceyle ulaşabiliyor mu? COSO'nun İç Kontrol Bütünleşik Çerçevesi iç kontrolü operasyon, raporlama ve uyum hedef kategorileri etrafında tanımlar ve kontrol ortamı, risk değerlendirmesi, kontrol faaliyetleri, bilgi ve iletişim ile izleme bileşenlerinden söz eder. İç denetim de çalışmalarını büyük ölçüde bu bileşenler üzerinden planlar.

İkisi de risk temelli düşünür. İç kontrol tasarlanırken önce süreçteki riskler belirlenir, sonra her riske karşılık gelen kontrol yerleştirilir. İç denetim ise denetim planını hazırlarken hangi süreçlerin daha yüksek risk taşıdığına bakar ve sınırlı kaynağını oraya yönlendirir. Bu ortak dil sayesinde denetçi ile süreç sahibi aynı risk ve kontrol matrisi üzerinde konuşabilir.

Temel farklar ölçüt ölçüt

• Tanım: İç denetim bağımsız bir güvence ve danışmanlık faaliyetidir / İç kontrol yönetimin riskleri azaltmak için kurduğu süreç ve mekanizmalar bütünüdür.
• Sorumlu: İç denetim iç denetim birimi ya da dışarıdan sağlanan denetim hizmetidir / İç kontrol yönetimin ve tüm çalışanların sorumluluğundadır, süreç sahibi kontrolü işletir.
• Zamanlama: İç denetim dönemsel ya da plan dahilinde yürütülür / İç kontrol her işlemde, sürekli çalışır.
• Bağımsızlık: İç denetim yönetimden bağımsız olmalı ve yönetim kuruluna ya da denetim komitesine raporlamalıdır / İç kontrol doğası gereği yönetimin parçasıdır.
• Çıktı: İç denetimin çıktısı denetim raporu, bulgu ve öneridir / İç kontrolün çıktısı onaylanmış işlem, mutabakat, istisna raporu, erişim listesidir.
• Konumu: İç denetim Üç Hat Modeli'nde üçüncü hattır / İç kontrol birinci hatta işletilir, ikinci hatta izlenir.

Bu ayrım pratikte şu anlama gelir: iç denetçi bir kontrol eksikliği gördüğünde onu kendisi düzeltmez. Düzeltme sorumluluğu süreç sahibindedir; denetçi aksiyon planını ve kapanışını takip eder. Aksi halde kendi kurduğu kontrolü denetleyen bir denetçi bağımsızlığını kaybeder.

Üç Hat Modeli içinde nerede dururlar?

IIA'nın Üç Hat Modeli rolleri şöyle ayırır: birinci hat ürün ve hizmeti sunan, riski günlük olarak sahiplenen ve kontrolleri tasarlayıp işleten yönetim ve operasyon ekipleridir. İkinci hat risk yönetimi, uyum, bilgi güvenliği gibi uzman birimlerdir; izler, test eder ve birinci hattı sorgular. Üçüncü hat iç denetimdir; yönetişim, risk yönetimi ve kontrolün etkinliği konusunda yönetim organına bağımsız güvence verir.

Bu tabloda iç kontrol tek bir birim değildir; birinci hatta işletilen, ikinci hatta izlenen ve üçüncü hatta değerlendirilen bir sistemdir. Bazı kurumlarda "iç kontrol birimi" adıyla bir ikinci hat ekibi bulunur ve kontrol testleri yapar. Bu birim iç denetimle karıştırılmamalıdır: yönetimin parçasıdır ve onun yaptığı testler de iç denetimin bağımsız değerlendirmesine konu olabilir. IIA modelin sıralı adımlar anlamına gelmediğini, bağımsızlığın ise yalıtılmışlık demek olmadığını vurgular.

Somut bir süreç üzerinden fark

Örneğin bir şirketin satın alma sürecini düşünelim. İç kontrol tarafında şu mekanizmalar kurulur: • Satın alma talebini açan kişi ile onaylayan kişinin ayrı olması (görevler ayrılığı) • Belirli bir tutarın üzerindeki taleplerde ek onay katmanı • Fatura, sipariş ve mal kabul belgelerinin eşleştirilmesi • Yeni tedarikçi kaydının ayrı bir ekip tarafından açılması • ERP sisteminde bu yetkilerin rol bazlı tanımlanması

İç denetim ise bu süreci denetlediğinde örneklem seçer ve şunu sorar: onay matrisi gerçekten sisteme işlenmiş mi, onaysız sipariş var mı, aynı kişi hem tedarikçi açıp hem ödeme yapabiliyor mu, istisnalar raporlanıp takip ediliyor mu? Bulguları risk derecesine göre sınıflar, süreç sahibiyle aksiyon planı ve tarih üzerinde mutabık kalır ve sonraki dönemde kapanışı doğrular. Kontrol yoksa bu bir tasarım eksikliğidir; kontrol var ama uygulanmıyorsa bu bir işletim eksikliğidir. Bu ayrımı yapmak denetçinin temel becerisidir.

Hangi durumda hangisine yatırım yapılmalı?

İki kavram birbirinin alternatifi değildir; ancak kurumun olgunluğuna göre öncelik değişir. • Süreçler yazılı değilse, yetkiler kişilere bağlıysa ve hatalar sonradan fark ediliyorsa önce iç kontrol tasarımına odaklanın: süreç haritası, risk ve kontrol matrisi, onay yetkileri. • Kontroller tanımlı ama yönetim kurulu bunların gerçekten işlediğinden emin değilse bağımsız iç denetim güvencesi gerekir. • Bilgi sistemlerine bağımlılık yüksekse erişim, değişiklik yönetimi ve operasyon kontrollerini kapsayan bilgi teknolojileri genel kontrolleri hem kurulmalı hem ayrıca denetlenmelidir. • Düzenlemeye tabi sektörlerde, halka açık şirketlerde ya da kamu kurumlarında iç denetim ve iç kontrol için ayrıca mevzuat yükümlülükleri bulunabilir; güncel gereklilikler ilgili düzenleyici kurumun yayımladığı metinlerden takip edilmelidir.

Küçük ölçekli kurumlarda tam zamanlı bir iç denetim birimi kurulamıyorsa dış kaynaklı iç denetim hizmeti alınabilir; ama iç kontrolün dışarıya devredilmesi mümkün değildir, çünkü kontroller işin içinde, her gün çalışır.

Sık yapılan karıştırmalar ve hatalar

İç kontrolü iç denetimin işi sanmak en yaygın hatadır. Bu durumda yöneticiler kontrol eksikliğini "denetim bulursa düzeltiriz" diye ertelemeye başlar ve riskin sahipliği belirsizleşir. Kontrolün sahibi her zaman süreci yöneten kişidir.

İkinci hata, iç denetçiyi kontrol tasarımına ya da operasyonel onaylara dahil etmektir. Danışmanlık rolü kapsamında görüş vermek mümkündür, ancak denetçinin bir işlemi onaylaması ya da bir kontrolü bizzat işletmesi daha sonra o alanı tarafsızca denetlemesini engeller. Üçüncü hata, kontrol sayısını kalite sanmaktır: her riske birden fazla kontrol eklemek iş akışını yavaşlatır ve çalışanları kontrolü atlatmaya iter. Risk temelli bir yaklaşımla kilit kontrolleri belirlemek daha sağlıklıdır.

Mindset programlarında bu alanı nerede çalışırsınız

İç Denetim ve Yönetişim eğitimi, iç denetimin temelleri ve standartları, risk tabanlı denetim planlaması, denetim süreci yönetimi, bulgu yönetimi ve takip süreci ile iç denetim fonksiyonunun yönetişimle entegrasyonu başlıklarını içerir. Veri analitiği ve dijital denetim modülü, kontrol testlerinde örneklem yerine veri analiziyle çalışmaya giriş sağlar.

BT İç Denetim (ITGC) eğitimi mantıksal erişim, değişiklik yönetimi ve BT operasyon kontrollerinin denetimini, bulut ve üçüncü taraf BT denetimini ve ITGC bulgu raporlamasını ele alır. Sürdürülebilirlik verileri üzerinde çalışan ekipler için ESG ve İç Denetim eğitimi, ESG risk değerlendirmesi ve saha denetimi gibi konuları kapsar.