Üç Hat Modeli (Three Lines Model): Yönetişimde Rollerin Ayrılması
Üç hat modeli, kurumun yönetişim ve risk yönetiminde yönetim organı, yönetim ile iç denetimin rollerini birbirinden ayırarak ilişkilendiren bir çerçevedir. Hedef, sorumlulukların boşta ya da çift kalmamasıdır.
Bir bakışta
- Üç hat değil üç rol grubu vardır. Birinci ve ikinci hat yönetimin içinde, üçüncü hat ise bağımsız iç denetimdedir.
- Birinci hat işi yapar ve riski taşır. Ürün ve hizmeti sunan yönetim, günlük risk ve kontrolün sahibidir.
- İkinci hat uzmanlıkla destekler ve izler. Risk yönetimi, uyum ve bilgi güvenliği gibi işlevler birinci hattı sorgular ve izler.
- Üçüncü hat bağımsız güvence verir. İç denetim, yönetişimin ve risk yönetiminin yeterliliğini yönetim organına bağımsız bildirir.
Üç hat modeli nedir?
Üç hat modeli, Uluslararası İç Denetçiler Enstitüsü'nün (IIA) yönetişim ve risk yönetiminde rolleri nasıl dağıtacağını anlatan çerçevesidir. Kurumların amaçlarına ulaşmasını ve güçlü yönetişimi destekleyen yapı ve süreçleri belirlemeye yardım eder.
Model, yönetim organı (kurul), yönetim ve iç denetim arasında net bir iş bölümü ve işbirliği tanımlar. Her organizasyona, boyutu ve karmaşıklığı ne olursa olsun uygulanabilir olarak sunulur.
Hatlar ve görevleri
- Yönetim organı: Yönetişimden sorumludur; kaynak ve yetkiyi yönetime devreder, yönetimden rapor alır ve iç denetime bağımsız güvence için yetki verir.
- Birinci hat: Kurumun ürün ve hizmetlerini müşterilere sunan yönetim rolleri ve destek işlevleridir; riski yöneten asıl sahiptir.
- İkinci hat: Risk yönetimi, uyum ya da bilgi güvenliği gibi konularda tamamlayıcı uzmanlık, destek, izleme ve sorgulama sağlayan roller. Yönetimin parçasıdır; birinci hat rolleriyle bir arada ya da ayrı kurulabilir.
- Üçüncü hat: İç denetim; yönetişim ve risk yönetiminin yeterliliği ile etkinliği hakkında bağımsız ve nesnel güvence ile danışmanlık verir, yönetim organına rapor eder.
Güvence yönetim organından iç denetime doğru bağımsızlaşır
Rollerin birbirine bağlanışı
- Yönetim organıYönetişimden sorumlu; yetkiyi devreder, rapor alır.
- Birinci ve ikinci hatYönetim: hizmeti sunar, riski yönetir, uzmanlıkla izler.
- Üçüncü hatİç denetim: bağımsız güvence ve danışmanlık verir.
Eski modelden farkı
Model, önceki adıyla üç savunma hattı (three lines of defense) anlayışının Temmuz 2020 güncellemesidir. IIA'ya göre risk yönetimi yalnızca savunmadan ibaret değildir; riskle ilgili kararlar fırsatların izlenmesini de içerir. Güncelleme daha etkin uyum, işbirliği ve hesap verebilirlik hedefler.
Bir diğer fark, kurul ya da yönetim organının gözetim rolünün modelde açıkça yer almasıdır; dış güvence sağlayıcıların konumu da ele alınır. Model, kurumların katı bir yapıyı taklit etmesini değil, amaçlarına uygun ve uygulanabilir yapılar kurmasını bekler.
Küçük bir örnek
Bir bankada kredi şubesi, müşteriye kredi sunar ve her işlemde kendi kontrollerini uygular; bu birinci hattır. Risk yönetimi ve uyum birimleri, şubenin limitlere ve mevzuata uyup uymadığını izler, politika ve yöntem geliştirir; bu ikinci hattır.
İç denetim ise belirli bir dönemde kredi sürecinin tamamının, birinci ve ikinci hattın kontrolleriyle birlikte yeterli çalışıp çalışmadığını bağımsız olarak inceler ve bulgularını yönetim organına raporlar. Böylece aynı kişi hem işi yapıp hem denetlemez.
Sık yapılan hatalar
- Hatları kurumsal organizasyon şeması sanmak. Model, işlevlerin değil rollerin ayrımını anlatır; küçük kurumlarda roller bir arada olabilir.
- Üçüncü hattı kontrolün sahibi saymak. Kontrolün sahibi yönetimdir; iç denetim bağımsız değerlendirir.
- İkinci hattı birinci hattın yerine geçirmek. Risk sahibi olan birim sorumluluğunu uzmanlara devretmiş olmaz.
- Hatlar arası iletişimi kesmek. Model, koordinasyon ve hizalanmayı da bekler.
- Kurul ile yönetimi tamamen ayırmaya çalışmak. IIA, bu iki rol arasındaki örtüşme ve ayrılık derecesinin kurumdan kuruma değiştiğini kabul eder; esas olan aralarındaki güçlü iletişimdir.
- Hatları sırayla işleyen basamaklar sanmak. Numaralandırma bir sıra anlatmaz; bütün roller aynı anda çalışır.
Üç hat modeli Mindset programlarında nerede geçer?
İç Denetçilik Sertifika Programı'nın "İç Denetimin Temelleri ve Kurumsal Yönetimdeki Yeri" ve "Kurumsal Risk Yönetimi Çerçeveleri" modülleri, iç denetimin kurumsal yönetimdeki yerini ve risk çerçevelerini ele alır. İç denetçiler, risk ve uyum uzmanları ile iç kontrol sorumluları için rolleri doğru ayırmayı öğrenmek açısından ilgilidir.
Resmî kaynaklardan bilgiler
| IIA Üç Hat Modeli Temmuz 2020 güncellemesi | 20 Temmuz 2020'de IIA, önceki adı Üç Savunma Hattı olan modelin önemli bir güncellemesini yayımladı; model büyüklüğü ya da karmaşıklığı ne olursa olsun tüm kurumlara uygulanır, kurul ya da yönetim organının gözetimini, yönetimin ve iç denetimin (üçüncü hat) rollerini tanımlar ve dış güvence sağlayıcıların konumunu ele alırkaynak |
|---|---|
| Üç Hat Modeli ilkeleri | İlke 1 Yönetişim; İlke 2 Yönetim organının rolleri; İlke 3 Yönetim ile birinci ve ikinci hat rolleri; İlke 4 Üçüncü hat rolleri; İlke 5 Üçüncü hat bağımsızlığı; İlke 6 Değer yaratma ve korumakaynak |
Bilgiler resmî kaynaklarla doğrulandığı tarihte günceldir; değişiklik olabilir.
İlgili Mindset programı
İç Denetçilik Sertifika Programı
Sık sorulan sorular
Üç hat modeli ile iç kontrol çerçeveleri aynı şey midir?
Hayır. Üç hat modeli rolleri ve sorumlulukları dağıtır; COSO gibi iç kontrol çerçeveleri ise kontrollerin nasıl tasarlanacağını anlatır. Biri kimin neyi yaptığını, diğeri kontrolün nasıl kurulduğunu açıklar ve birlikte kullanılabilir.
İkinci hat yönetimin bir parçası mıdır?
Evet. IIA'ya göre birinci ve ikinci hat rolleri yönetimin sorumluluğunun parçasıdır. İkinci hat uzman destek verir, izler ve sorgular ama yönetimden bağımsız bir güvence sağlayıcı değildir; bu bağımsızlık üçüncü hatta aittir.
Küçük bir kurumda üç hat nasıl uygulanır?
Model katı ayrım şart koşmaz. Küçük kurumlarda risk ve uyum işlevi birkaç kişide toplanabilir ya da iç denetim hizmeti dış kaynaktan sağlanabilir. Önemli olan işi yapan, izleyen ve bağımsız değerlendiren rollerin farkının bilinmesidir.
Model neden savunma kavramından uzaklaştı?
IIA risk yönetiminin yalnızca savunmadan ibaret olmadığını, riskle ilgili kararların fırsatlarla da ilgili olduğunu belirtir. Bu nedenle model, değer yaratma ve koruma çerçevesinde işbirliğini ön plana alır.