COSO TASLAK KURUMSAL RİSK YÖNETİMİ ÇERÇEVESİ

COSO TASLAK KRY ÇERÇEVESİ TEMELİNDE
KURUMSAL RİSK YÖNETİMİ UYGULAMASI

Belirsizlik, tüm işkencelerin en kötüsüdür... Alexandre Dumas

Kurumsal Risk Yönetimi; ş̧irketi etkileyebilecek potansiyel olayları tanımlamak, riskleri şirketin kurumsal risk alma profiline uygun olarak yönetmek ve şirketin hedeflerine ulaşması ile ilgili olarak makul bir derecede güvence sağlamak amacı ile oluşturulmuş; şirketin yönetim kurulu, üst yönetimi ve tüm diğer çalışanları tarafından etkilenen ve stratejilerin belirlenmesinde kullanılan, kurumun tümünde uygulanan sistematik bir süreçtir.             TÜSİAD Risk Yönetimi Çalışma Grubu

Kurumsal risk yönetimi, risklerin birbirinden bağımsız değerlendirilmesi yerine, merkezi bir yapı içinde değerlendirilmesi ve belirli bir sistem dahilinde yürütülüyor olmasıdır. Kurumsal risk yönetimi: Doğru riskleri almakta mıyız? Doğru miktarda mı risk almaktayız? Riskleri yönetmek için doğru süreçlerimiz var mı? sorularına yanıt vermektedir. Tayfun Bayazıt

I. GİRİŞ

Kurumsal risk yönetimi, esas olarak üst yönetime işletmenin önündeki hedefler ile belirsizlikler arasındaki dengeyi yeterli düzeyde kavrayıp hedeflerin emniyetli ve kurallara uygun biçimde gerçekleşmesini sağlayacak bir araçtır. Burada, öncelikle mevcut iç ve dış fırsatlar ile içerdikleri riskler doğru tespit edilmelidir.

Kurumsal risk yönetimi faaliyetlerini riskleri savunmaya yönelik önlemler seti  olarak değil; aksine, yönetim zincirinde yer alan tüm yetkililerin riskler konusunda çok iyi düzeyde bilgilendirilip hedeflerin gerçekleştirilmesine yönelik doğru kararları almalarını sağlayan bilinçli bir ofansif anlayış olarak düşünebiliriz.

Şirket faaliyetleri yürütülürken belirsizlik içerisinde karşılayacağımız olayların gerçekleşme olasılıklarını ve etki şiddetlerini doğru tahmin edip risk yönetim politikaları oluşturulursa, bu durum stratejik hedeflere ulaşmada mutlaka bir avantaj sağlayacaktır.

II. FIRSAT VE RİSK KAVRAMLARI

Fırsatlar, işletmenin  mevcut varlığının korunması ve ayrıca vizyon, misyon ve stratejik hedefleri doğrultusunda gelişimine yönelik yakaladığı ve değerlendirdiği içsel ve dışsal faktörlerdir. Örnek: içsel fırsat işletmenin Ar-Ge faaliyetlerinde yeni bir ürün geliştirilmesi, dışsal fırsat aynı sektörde faaliyet gösteren ve bir konuda güçlü rakibin satın alınması, mevzuat değişikliği vb.

COSO riski, işletme hedeflerinin gerçekleştirilmesini engelleyebilecek düzeydeki durumların ortaya çıkabilme ihtimali; ortaya çıkacak olayların stratejik ve iş hedeflerinin gerçekleştirilmesine etki olasılığı olarak tanımlamaktadır.

ISO 31000-2009 standartında ise risk, belirsizliğin hedefler üzerindeki etkisidir; riskin olumlu, olumsuz veya hem olumlu hem de olumsuz sonuçları olabilir diye ifade edilmektedir.

Diğer yandan, Uluslararası İç Denetçiler Enstitüsü, riski amaçlara ulaşılması üzerinde etkisi olacak bir olayın meydana gelme ihtimali olarak tanımlamaktadır.  Risk, söz konusu etki ve olasılık cinsinden hesaplanır diye de tanıma ek yapılmaktadır.

III. İŞLETMELERİN MARUZ KALDIĞI ÖNEMLİ RİSK TÜRLERİ

İşletmelerin karşı karşıya olduğu risk türlerinin önemli olanlarını aşağıda belirtmekteyiz:

a) Stratejik Riskler: Yapısal Risklerdir; Planlama yanlışlıkları olabilir; Sistematik kurgu yanlışları olabilir; Uygulamada yönetim, çalışan davranışları etki eder; Paydaşları doğrudan etkiler; Stratejik planlama uygulamasının tüm aşamalarına etki eder.

b) Finansal Riskler: İşletmenin finansal yapısından kaynaklanan içsel riskler (planlama, sistematik, likidite, döviz pozisyon, kredi  riskleri), Dışsal Risklerden (makro ekonomik,  piyasa, sektörel, rakip fiyatlama politikaları, hammadde fiyatları kaynaklanan risklerdir.

c) Operasyonel Riskler
o Dış ve iç faktörlerdeki (insan kaynakları,  bilgi işlem, iş süreçleri, kontrol ortamı, kontrol süreçleri vb.) yetersizlik veya başarısızlıklardan  kaynaklanan risklerdir. Dört temel faktör vardır: İnsan, iş süreçleri,  sistemler ve dış faktörler
o Operasyonel riskin finansal risklerden en belirgin farklılığı, alınan herhangi bir finansal pozisyona bağlı olmaksızın tamamıyla faaliyette bulunma nedeniyle ortaya çıkmasıdır
o Operasyonel risk yönetimi;  risk yönetimi enstrümanlarına karar vererek bunların kabul etme, minimize etme, kaçınma ve transfer etme amaçlarıyla uygulamaya geçirilmesi  ve gözetimlerini içeren döngüsel bir süreçler zinciridir.
o Operasyonel risklerin yönetim süreci; belirleme, tanımlama, ölçme, değerlendirme, kontrol, izleme ve raporlama aşamalarından oluşmaktadır.
o Bankalarda, operasyonların  etkin yapılabilmesi için  gereken asgari sermaye tutarının hesaplanması ve hedeflerin gerçekleştirilmesi  bakımından operasyonel risk olaylarını kabul edilebilir düzeyde tutmak önemli bir husustur.

d) Uyum Riskleri: İşletme içi düzenlemeler ile yasal mevzuatın yanlış yorumlanmasıyla, hata ve ihmalle  veya kasıtlı  uygulamalarla  mevzuata aykırı işlemler yapılması. Paydaşlarla yapılan işlemlerin de uyum riskleri içerisinde kabul edilmesi  gerekir.
   
e) Marka (İtibar) Riskleri:   İşletmenin genel yönetimi, ürünleri,  paydaşlarla ilişkiler,  işletme içi suistimaller...

f) Raporlama Riskleri: Yapılan iç ve dış raporlamalardan kaynaklanan riskler

g) Suistimal Riskleri: İşletme içi üst yönetimden en alt kademeye kadar  çalışanların  karıştığı veya tamamen  işletme dışı faillerin gerçekleştirdiği  kasta dayanan eylemler
     
h) Dış Riskler:  Global, ülke çapında, sektörel, kamu kuruluşu ve düzenleyici kuruluşlar, doğal afetler  uluslararası yaptırımlar vb. riskler.



IV. KURUMSAL RİSK YÖNETİMİ UYGULAMASI
Risk yönetimi çalışmasında önce ayrıntılı bir plan  (kim, ne, nasıl,  nerede, ne zaman sorularının yanıtları, gözetim ve raporlama esasları,  süreç içerisindeki eşikler, vb.) oluşturulmalıdır.

Sonrasında ise, bu plan doğrultusunda riski;

o belirlemeli -stratejik düzeyden faaliyet düzeyine (top-down) ya da faaliyet düzeyinden stratejik düzeye (bottom-up)-
o analiz etmeli,
o tanımlamalı,
o değerlendirilmeli (risk iştahı, risk sınıflandırma,  öncelikler,  kayıtlar, KRY  için genel ve ayrıca herbir risk için risk sorumlularının belirlenmesi)
o Risk yönetim faaliyetlerinin fayda-maliyet hesabı ortaya konulmalı,
o Belirlenen politikalar ve hazırlanan dökümanlar ortak bir dil oluşturularak bilgi ve iletişim kanallarıyla tüm paydaşlara duyurulmalı ve ayrıca farkındalık yaratılmalı,
o belirlenen politikaları uygulamalı,
o yeni (risk ve fırsatları içeren) iç ve dış koşullar ile uygulamaları  takip etmeli,
o Etkili bir raporlama sistemi  oluşturulmalı,
o Gözden geçirme ve takip ile elde edilen veriler yeniden değerlendirmeli,
o Yeni koşullara yeni aksiyonlar almalı,
o KRY faaliyetleri iç denetim birimince periyodik olarak değerlendirilmeli.

V. KURUMSAL RİSK YÖNETİMİ HEDEFLERİ, ARAÇLARI VE YETERSİZLİK SONUÇLARI

a) Risk Yönetimi Hedefleri

o Operasyonel işlemlerin gerçekleştirilmesinde kurumsal risk kültürünün oluşturulması
o İşletmenin risklerinin bilindiğine ve yönetildiğine dair güvence
o Tüm kaynakların işletmenin hedeflerinin gerçekleştirilmesine odaklanması  ile değer yaratılmasına yönlendirme

b) Risk Yönetimi Araçları

             Beklenen tehditlerin azaltılması ve/veya ortaya çıkacak fırsatların değerlendirilmesi için kullanılırlar:

o Azaltma
o Paylaşma/Transfer
o Kaçınma
o Kabul Etme

c) KRY.'de Yetersizliğin Sonuçları

o Maliyet Etkisi (Cost Impact): Bütçeye yönelik etkiler (gelirlerin düşmesi, giderlerin artması)
o Program Gecikme Etkisi (Schedule Impact): Süre limitlerinde gecikmeler
o Performans Etkisi (Performance Impact): Hatalı imalat,yetersiz hizmet
o Paydaşlara Etkisi (Stakeholders Impact): Mutsuz ve tatminsiz paydaşlar

VI. KURUMSAL RİSK YÖNETİMİNİN ETKİN OLMASI İÇİN İLKELER VE ETKİN YÖNETİMİN YARARLARI

a) KRY'de İlkeler

o Risk yönetim faaliyetlerinin fayda-maliyet hesabı ortaya konulmalı,
o Belirlenen politikalar ve hazırlanan prosedürler ortak bir dil oluşturularak bilgi ve iletişim kanallarıyla tüm paydaşlara duyurulmalı ve ayrıca farkındalık yaratılmalı,
o Belirlenen politikaları etkili uygulamalı,
o Yeni (risk ve fırsatları içeren) iç ve dış koşullar ile uygulamaları takip etmeli,
o Etkili bir raporlama sistemi  oluşturulmalı,
o Gözden geçirme ve takip ile elde edilen veriler yeniden değerlendirmeli,
o Yeni koşullara yeni aksiyonlar almalı,
o KRY faaliyetleri iç denetim birimince periyodik olarak değerlendirilmeli.

b) Etkin kurumsal risk yönetiminin bir işletmeye sağladığı yararlar

o İşletmenin karşı karşıya olduğu fırsat ve tehditlerin etkili yönetimi
o Operasyonel sistemin optimize edilmesi
o Sağlıklı raporlama sistemi kurulması
o Kaynak yönetiminin 3E prensiplerine dayanması,
o Sürdürülebilirlik
o Gelir ve giderlerde zikzakların kontrol altına alınması,
o İlgili mevzuata uyum
o Paydaşlar nezdinde itibar ve güven tesisi
o Kurumsal yönetim düzeyine olumlu etki
o Risk yönetim sürecinin üst yönetim tarafından sahiplenilmesi,
o İşletmenin vizyon, misyon ve değerleri doğrultusunda bir risk stratejisinin oluşturulması
o İşletme kültürüne uygun ortak ve tutarlı bir risk yönetim diline sahip olunması, yeterli bilgi sağlanması
o Risk yönetimi süreçlerinin sade, esnek ve uygulanabilir olması ve diğer temel süreçlerle (stratejik planlama, performans yönetimi, insan kaynakları yönetimi vb.)entegre olarak planlanması ve risk eylem planlarının etkin olarak yürütülmesi
o Risklere ilişkin değerlendirmelerin mutlaka güvenilir kanıtlarla desteklenmesi
o Risk yönetimi süreçlerinin sistematik bir şekilde izlenmesi, raporlanması ve değerlendirilmesi
o Risk yönetimi sürecinde herkesin işin sahibi olduğu bilincinin yerleştirilmesi
o Kurumsal iletişim stratejisinin belirlenmiş olması, işletme içinde ve dışında uygun iletişim kanallarının oluşturulması,
o Risk değerlendirmede önemli olanın, uygulanan tekniklerden ziyade riskleri değerlendirecek olanların tecrübe ve birikimlerinin olduğunun hesaba katılması

VII. COSO BAZLI KURUMSAL RİSK YÖNETİM BÜTÜNLEŞİK ÇERÇEVESİ

COSO  bazlı Kurumsal Risk Yönetimi Çerçevesi ilk olarak 2004 yılında yayınladı ve şu  yeni çerçevenin yayınlanma çalışmaları var ve son yıllarda dünya genelinde yaşanan  ekosistemindeki büyük değişimlerden dolayı çok büyük değişiklikler içermektedir.                                                  

COSO, Kurumsal Risk Yönetimi Entegre Çerçevesinde Kurumsal Risk Yönetimi şöyle tarif edilmektedir:

İşletmenin yönetim kurulu, yönetimi  ve diğer çalışanlarınca, risk yönetimine ilişkin stratejilerin belirlenmesi, işletme faaliyetleri yerine getirilirken karşı karşıya kalınabilecek risklerin tespiti ile kurumun risk iştahının açıklığa kavuşturularak işletme hedeflerine ulaşmayı sağlayacak çerçevede risklerin etkin yönetimi ve üst yönetime  makul  düzeyde güvence sağlayan uygulamaları içeren süreçlerdir.

COSO'nun taslak KRY Bütünleşik Çerçevesindeki tanımı ise: organizasyonların değeri yaratmak, korumak ve gerçekleştirmek için temel aldıkları risk yönetiminin, strateji oluşturma ve yürütme faaliyetleri ile entegre olan kurum kültürü, yapabilme kapasitesi ve uygulamalarından meydana gelmektedir.
 
             Tanıma biraz yakından bakarsak;
o Kurumsal kültür ve yapabilme kapasitesinin var olduğunu kabul etme,
o Belirlenen politika ve standartların öngörülen düzeyde uygulanması
o Bütün bunların stratejilere ve icra çalışmalarına entegresi
o Riskin temel stratejilere ve iş hedeflerine göre yönetilmesi
o Risklerin yönetilmesi ile değer yaratılması, değerin korunması ve değerin gerçekleştirmesi arasında güçlü bir irtibat olması kastedilmektedir.

COSO'ya göre; kurumsal risk yönetimi faaliyetlerine gerçekten odaklandığımızda, işletmenin karşı karşıya kaldığı risklere yönelik  etkili stratejilerin, hedeflerin  ve  uygulamaların ortaya konulmasıyla işletmeye değer katılır:

o riske karşı alınan aksiyonlar daha etkili hale gelir,
o operasyonel kayıp ve beklenmeyen durumlar azalır,
o birbiriyle ilişkili olan ve birlikte gerçekleştiklerinde işletmeye  verecekleri zarar artan risklerin entegre ve sistematik biçimde yönetilerek etkilerinin azaltılması  sağlanır,
o birçok potansiyel olayın detaylı analizi sözkonusu olduğu için daha önce görülemeyen fırsatlar farkedilebilir,
o kaynakların daha verimli kullanılmasını sağlar.

   
COSO yeni KRY çerçevesinde dikkat çeken noktalar ise;

o Riskler, strateji ve faaliyetlerin yürütülmesi ile aynı hizadadır, içiçedir. Kurumsal Risk Yönetimi tüm organizasyonu kapsayacak biçimde bu ilke temelinde planlanmalı ve uygulanmalıdır.
o Belirsizlikleri yönetmek üzere üst yönetimin stratejik kararlarından günlük operasyonel kararlara kadar herbiri risk içeren  tüm kararlarımız 'tercihlerimize' dayanır.  Bu nedenle, risk yönetimi  sistemi artık hem bilimsel temellere dayanmalı hem de adeta bir sanat halini almalıdır.
o Dünya Ekonomik Forumu'nun da ifade ettiği gibi günümüzde  iş dünyası daha fazla karmaşıklık, belirsizlik ve dalgalanma içerisindedir. Bu da hata yapma marjını düşürmemizi gerektiriyor ve paydaşların talepleri doğrultusunda şeffaflık ile hesap verebilme prensiplerini ön plana çıkarıyor.
o Organizasyonlar artık değişimlere daha fazla uyum becerisine sahip olmalıdır. Bu durum da, daha etkili kurumsal risk yönetimi faaliyetlerini gerektiriyor.
o Üst yönetimin sorumlulukları bakımından yeni çerçeve beş temele dayanıyor: Risk Yönetişimi ve Kültürü, Risk Stratejisine Dayanarak Hedeflerin Belirlenmesi, Risk  Yönetiminin Etkili Yürütülmesi,  Risklere Yönelik Bilgi, İletişim ve Raporlama Süreçleri ile Risk Yönetim Performansının Gözetimi.
o Misyonlarını gerçekleştirmek bakımından kurumlar, tüm şirket geneline yayılan ve birbirleriye ilişkili strateji ve ve hedefler belirlemelidirler.  Bunlar da, operasyonlar, raporlama, uyum ve (itibarı da içeren) stratejileri içermelidir.
o Sürdürülebilirlik ve çevresel faktörler çok önemli hale gelmiştir.
o Kurumsal Risk Yönetimi Çerçevesi asgari 23 ilkeye dayanan sekiz temel unsurdan oluşmalıdır.

VIII. COSO BAZLI KRY TEMEL UNSURLARI VE İLKELERİ

2004 yılında yayınlanan ve içerikleri konusunda güncellemeler yapılan COSO KRY çerçevesi sekiz bileşenden oluşur.

              Bunlar;
o İç Ortam
o Hedeflerin Belirlenmesi
o Muhtemel Risklerin Saptanması
o Risklerin Değerlendirilmesi
o Risklere Karşı Alınacak Önlemler
o Kontrol Faaliyetleri
o Bilgi ve İletişim
o Gözetim

Belirtilen bileşenler; işletmenin genel düzeyinden başlayarak  bölümler, birimler ve iştirakler bazında stratejik, operasyonel, uyum ve raporlamalar bazında tanımlanmalıdır.



1. İç Ortam: YK'nun işletmenin etik değerleri ve risk iştahı ve risklerin yönetimi  konularında ortaya koyacağı tondur (kararlılık düzeyidir). Dış ortam etkileri dikkate alınmadığı için kritik edilmekte...
2. Hedeflerin Belirlenmesi: YK, belirlenen risk iştah düzeyiyle tutarlı olarak işletme vizyon, misyon ve stratejik hedeflerinin ortaya konulması.
3. Muhtemel Olayların Saptanması: İşletme hedeflerinin gerçekleştirilmesi esnasında karşılaşılacak muhtemel iç ve dış riskler ve fırsatlar. Ani karşılaşılacak risklere büyük önem verilirken, işletmeyi içten içe yavaşca kemiren olaylar ve kurum kültürüne önem verilmemesi nedeniyle eleştirilmektedir.
4. Risklerin Değerlendirilmesi: Risklerin gerçekleşme olasılıkları ve muhtemel etkilerinin analizi. Nitel ve nicel metodların uygulanmasına, doğal risklere ve kalıntı risklere vurgu yapılmakta. Risklerin analizinin maddileştirilerek çok basite indirgenmesi  yönünden kritik edilmekte.
5. Risklere Karşı Alınacak Önlemler: Risklerin etkilerinden korunmak ve tespiti bakımından manuel ve bilgi işlem sistemi aracılığıyla alınan önlemler...
6. Kontrol Faaliyetleri: Risk yönetim aksiyonlarının etkili olmaları bakımından gereken politika ve düzenlemelerin yapılması ve uygulanması.
7. Bilgi ve İletişim: Verilerin teşhisi, elde edilmesi ve bir format dahilinde zamanında paydaşlarla paylaşılması.
8. Gözetim: Gözetimin öneminin altını çizerken 2009 yılında eklenen düzenlemelerle gözetim görevine ek olarak, elde edilen tespitler ve geri beslemelerin analizi ve gereken aksiyonların hemen alınmasını da kapsamaktadır. İşletmenin, sistemsel yönetim raporları, iç denetim, iç kontrol, risk değerlendirme, uyum kontrolleri vb.organizasyonlarının tespitlerine dayanır.

         
COSO bazlı yeni KRY’de ise 2004 yılından farklı olarak beş temel bileşen ve sözkonusu bileşenlerin dayanacağı 23 temel ilke belirlenmektedir.

 Buna göre, beş temel bileşen:

1. Risk Yönetişimi ve Kültürü
2. Risk, Strateji ve Hedeflerin Belirlenmes
3. Risk Yönetiminin Yürütülmesi
4. Riskin Bilgi, İletişim ve Raporlanması
5. Kurumsal Risk Yönetimi Performansının Gözetimi

  COSO Bazlı Yeni KRY'de yer alan 23 Temel İlke ise;

                    Risk Yönetişimi ve Kültürü

1. Yönetim Kurulu, stratejiler ve hedeflerin gerçekleştirilmesi bakımından şirket yönetim zincirinin uyguladığı politika ve yürüttüğü risk yönetim sorumluklarını desteklemeli, tamamlayıcı bir unsur olarak rol almalı ve takip etmelidir.
2. Kurumlar faaliyetlerini yürütmek bakımından gereken yönetişim ve operasyonel modeli tesis etmelidir.
3. Riske karşı tutum ve kurumun temel değerlerini içeren Davranış Kuralları oluşturulmalıdır.
4. Kurum faaliyetlerinde doğruluk ve etik ilkelere bağlılık temel alınmalıdır.
5. Şirket, tüm çalışanlara kurumsal risk yönetimi ilkeleri çerçevesinde mesuliyet aşılamalı ve bu duyguyu uygulanacak standartlar ve rehberler ile pekiştirmelidir.
6. Yetenekli çalışanların istihdamı, gelişimlerini sağlama ve şirkette tutma başarılmalıdır.

                    Risk, Strateji ve Hedeflerin Belirlenmesi

7. Şirket yönetimi, iş yaşamındaki güncel koşullar ve risk profilini önemle dikkate almalıdır.
8. Şirket üst yönetimi, değer yaratacak, koruyacak ve gerçekleştirecek parametrelerle kurumun risk iştahını belirlemelidir.
9. Şirketin risk profiline etkisi hesaba katılarak alternatif stratejiler değerlendirilmelidir.
10. Hedefler belirlenirken her seviyedeki riskler önemle dikkate alınmalıdır.
11. Performansların gerçekleştirilmesinde kabul edilebilir farklı düzeyler tanımlanmalıdır.

                    Risk Yönetiminin Yürütülmesi

12. Faaliyetlerin yürütülmesi esnasında potansiyel riskler mutlaka belirlenmelidir.
13. Riskin şiddeti değerlendirilmelidir.
14. Maruz kalınacak risklere karşı önlemleri de içerecek biçimde risklerin öncelik sırasına konulması gerekir.
15. Risklere karşı alınacak önlemlerin ve belirlenmesi ve seçilmesi gerekmektedir.
16. Riskler dikkate alınarak faaliyet sonuçları değerlendirilmelidir.
17. Risklere portföy bakış açısının geliştirilmesi ve değerlendirilmesi gerekir.

                    Riskin Bilgi, İletişim ve Raporlanmas
18. Kurumsal risk uygulamasını destekleyici ilintili bilgiler kullanılmalıdır.
19. Şirketin bilgi sistemlerini en ideal hale getirmelidir.
20. Risk bilgilendirmeleri için kurum içi enformasyon kanalları oluşturulup kullanılmalıdır.
21. Kurum genelinde ve farklı düzeylerde risk yönetimi, kurum kültürü ve  faaliyetler ilişkin raporlama yapılmalıdır.

                    Kurumsal Risk Yönetimi Performansının Gözetimi

22. Strateji ve hedefleri etkileyebilecek düzeydeki temel iç ve dış değişimler izlenmelidir.
23. Kurumsal Risk Yönetimi performansı takip edilmelidir.

COSO ALAADDİN’İN SİHİRLİ LAMBASI MI?

COSO ALAADDİN’İN SİHİRLİ LAMBASI MI?
(TÜM YÖNLERİYLE COSO BAZLI İÇ KONTROL SİSTEMİ)


Bülent HASANEFENDİOĞLU*

ÖZ
        Bu çalışmamızda, 1992 yılında ilk defa hizmete sunulan ve son yıllarda yaşanan (özellikle teknolojik) gelişmelerin ışığında yenilerek 2013 yılında uygulamaya konulan COSO Bazlı iç kontrol sistemini tüm detaylarıyla gözden geçirme amaçlanmaktadır. Buna ilaveten, COSO’nun mucizevi bir kontrol modeli mi olduğu yoksa üstün ve zayıf yönleriyle insan elinden çıkabilecek bir yönetsel araç olduğu irdelenecektir.

Anahtar Sözcükler: COSO, Risk, Kontrol, Kontrol Ortamı, Kontrol Süreçleri, Gözetim, İç Kontrol Sistemi, Operasyon, Raporlama, Uyum

1. GİRİŞ

           Amerika Birleşik Devletleri merkezli çok uluslu şirketlerde son otuz yılda artarak yaşanmaya başlanan finansal tablolara ilişkin suistimallerin araştırılması ve bunlara yönelik alınması gereken önlemler kapsamında çalışmalar yapmak üzere  Treadway Komisyonu üyesi beş meslek  kuruluşu COSO’yu (Treadway Komisyonu Sponsor Örgütleri Komitesi) kurmuştur. COSO’nun kuruluş amacı, suistimal olaylarının ortaya çıkarılması ve azaltılmasını sağlayacak iç kontrol mekanizmaları hususunda çalışmalar yapmaktı. COSO, komite üyelerince yapılan çalışmalar sonucunda ilk COSO iç kontrol modelini  1992 yılında ortaya koymuş ve büyük popülarite kazanmıştır. Özellikle teknolojik gelişmeleri dikkate alarak hazırlanan ve sistemin beş temel unsurunun dayandığı temel ilkeleri de düzenleyen yenilenmiş model ise  2013 yılında kullanıma sunulmuştur. Günümüzde COSO iç kontrol sistemi, iç kontrolün tasarlanması, uygulanması ve değerlendirilmesi amacıyla birçok kamu ve özel sektör kuruluşunda yaygın bir şekilde kullanılmaktadır.

           COSO tarafından yayınlanan İç Kontrol Entegre Çerçevesi’nde, temel amacı işletmenin hedeflerine ulaşmasına ve risk yönetimine katkı sağlamak olduğu ifade edilen iç kontrol sisteminin;

 üst yönetim ve diğer çalışanların eylemlerinden etkilenen,
 işletmenin ihtiyaçlarına göre adapte edilebilen,
 işletme varlıklarının korunması,
 günlük operasyonel faaliyetlerde verimliliğin sağlanması,
 üretilen raporların güvenilir olması,
 gerçekleştirilen işlemlerin iç ve dış mevzuata uyumluluğu konularında üst yönetime makul bir güvence sunmak üzere tasarlanan  bir süreç olduğu belirtilmiştir.


*Kıdemli Danışman

             COSO İç Kontrol Sistemi, COSO tarafından hazırlanan ve bir kurumun günlük
       faaliyetleri sırasında kurum içerisindeki mevcut ve olması gereken asgari iç kontrol
       uygulamalarının sistematik bir şekilde değerlendirilmesine olanak sağlayan bir iç kontrol    
       modelidir.

             COSO’ya göre, etkin bir iç kontrol sistemi aşağıda belirttiğimiz beş unsurun dayanacağı onyedi ilkenin yürürlükte olmasına ve beş temel unsurun birbirleriyle entegre olarak işlemesine bağlıdır. Odak noktaları ve kontrollerin uygulanması ise üst yönetimlerin değerlendirmesi ve tercihlerine bırakılmıştır.

2. SİSTEMİN AMAÇLARI NELERDİR?

           Risk temelli COSO İç Kontrol Sistemi çerçevesi, önceki bölümde de belirttiğimiz gibi bir işletmede yer alan iç kontrol faaliyetlerinin amaçlarını operasyonel, raporlama ve uyum olmak üzere üç ana başlık altında toplamaktadır.

Operasyonel Amaçlar (Operations Objectives): İşletmenin operasyonel sisteminin, işletmede aktiflerin korunması, operasyonel ve finansal hedeflere ulaşılması bakımından etkinlik ve etkililik göstermesini içerir.
Raporlama Amaçları (Reporting Objectives): İç ve dış finansal/finansal olmayan raporlamalar ile düzenleyici kuruluşlarca ve işletme üst yönetimince raporlamalarda öngörülen güvenilirlik, saydamlık, zaman limitleri ve diğer hususları kapsar.
Uyum Amaçları (Compliance Objectives): İşletmenin uymakla yükümlü olduğu yasalar ve diğer düzenlemeleri kapsar.

3. COSO’YA GÖRE ETKİLİ İÇ KONTROL KAVRAMI NEDİR?

          COSO’ya göre bir işletmede yer alan iç kontrol sisteminin etkili olarak kabul edilebilmesi için asgari olarak aşağıdaki koşulları sağlaması gerekir:

 Kontrol Ortamı, Risk Değerlendirme, Kontrol Faaliyetleri, Bilgi ve İletişim ile Gözetim Faaliyetleri olmak üzere beş temel unsura ve bu unsurların dayanacağı toplam on yedi ilkenin işletme iç kontrol sisteminde mevcut olmaları ve entegre biçimde çalışarak işletme iç kontrol sisteminin üç temel kategorideki (operasyonel, raporlama ve uyum) amaçlarının gerçekleştirilmesiyle işletmenin hedefine ulaşamama riskini kabul edilebilir düzeye düşürmelidir.

 Dışsal risk faktörlerini etkili yönetip işletme hedeflerine darbe etkisini minimize ederek, güvenilir raporlar hazırlayarak, işletmenin tabi olduğu yasa ve düzenlemelere uygun işlemler gerçekleştirilmesini ve gözetimini sağlayarak işletmenin amaçlarına ulaşabilmesi bakımından üst yönetime makul güvence vermeli,

         COSO Entegre Çerçevesi, iç kontrol sisteminin tasarlanması, uygulamaya geçirilmesi ve yürütülmesi ile etkililiğinin değerlendirilmesi için üst yönetimlerden isabetli karar verme yeteneği (temyiz kudretine haiz olma) talep etmektedir. Ayrıca, yasalar, kurallar, düzenlemeler ve standartlarla belirlenen sınırlar çerçevesinde yapılan akıl yürütmeler ile yönetimin iç kontrol mekanizmaları konusunda isabetli karar verme becerisinin geliştirilebileceği fakat kusursuz  sonuçlar  için garanti verilemeyeceğini öngörür.

4. COSO İÇ KONTROL SİSTEMİNİN 5 UNSURU NELERDEN OLUŞUR?

         COSO bazlı iç kontrol sistemi; Kontrol Ortamı, Risk Değerlendirme, Kontrol Faaliyetleri, Bilgi ve İletişim ile İzleme Faaliyetleri olmak üzere beş temel unsura dayanır.

Kontrol Ortamı (Control Environment): İşletmenin üst yönetiminin kontrolün önemine
ilişkin tutum ve davranışlarıdır. İç kontrol sistemi öğelerinin tamamına dokunur. İç kontrol faaliyetlerinin işletme genelinde başarıyla yürütülmesini sağlayacak işletme içi etik değerleri, iş standartları, süreçleri ve organizasyonel yapılardan oluşur. İşletme tepe yönetimi sahip olunan insanlık erdemleri temelinde iç kontrol sisteminin önemine uygun ve işleyiş normlarını içeren etik kuralların belirlenmesi, organizasyonel yapı ile birlikte görev-yetki-sorumlulukların belirlenmesi, etkin insan kaynakları politikalarının oluşturulması, uygulanması ve sistemin  genel gözetiminden sorumludur.

Risk Değerlendirme (Risk Assessment): İşletmenin karşı karşıya kalabileceği iç ve dış
risklerin operasyonel faaliyetler esnasında dinamik ve tekrarlanan bir süreçte belirlenmesi, analizi, tanımlanması, minimizasyonu ve izlenmesini içerir. Risk, işletme hedeflerinin gerçekleştirilmesini engelleyebilecek düzeydeki durumların ortaya çıkabilme ihtimalidir. Risk değerlendirme sürecinde belirlenecek risk toleransları ile risklerin nasıl yönetileceğinin temel noktaları oluşturulur. Bu aşamada ön koşul, üst yönetim tarafından işletmenin her düzeyinde görev alanlar için operasyonlar, raporlama ve uyum amaçlarıyla da ilişkilendirilerek karşı karşıya kalınabilecek risklerin belirlenmesi ve analizi bakımından işletme gerçeklerine uygun olan ve yeterli netlikteki kriterlerin ortaya konulmasıdır. Üst yönetim içsel ve dışsal faktörlerdeki muhtemel değişiklerin iç kontrol sistemi üzerinde olası olumsuz etkilerini de göz önüne almalıdır.

Kontrol Faaliyetleri (Control Activities): İşletmede üst yönetimce oluşturulan politika
ve mevzuatlar temelinde risklerin minimize edilmesi bakımından, işletmedeki tüm çalışanlarını kapsayan, iş ve bilgi işlem süreçleri içerisinde yer alan önleme, tespit etme ve yönlendirme (uygunluk, onay, doğrulama, mutabakat ve gözden geçirme) faaliyetleridir.

Bilgi ve İletişim (Information and Communication): Üst yönetimce iç ve dış kaynaklara
yönelik üretilen veya iç ve dış kaynaklardan toplanan doğru ve kaliteli bilgiler ile işletmenin iç kontrol sisteminin tüm unsurlarının birbirine entegre olup senkronize çalışabilmeleri sağlanır. İletişim ise, gereken doğru ve kaliteli bilginin üretilmesi, paylaşılması ile elde edilmesine yönelik devam eden ve tekrarlayan bir süreçtir. Bu süreç, işletme içerisinde alt ve üst yayılımları ile işler. Yönetişim sistemi içerisinde yer alan iç ve dış paydaşlar arasında doğru ve güvenilir bilgi akışının sağlanması ile işletmenin kontrol ortamı ve kontrol süreçlerinin etkinliğine katkıda bulunmak için etkili iletişim faaliyetleri hedeflenir.

İzleme (Monitoring Activities): İşletme faaliyetlerinin yürütülmesi esnasında risklerin
değerlendirilmesi ile işletmenin operasyonel sisteminin geneli ve her bir unsurunun varlığı ve  etkili, verimli, ekonomik ve güvenilir işleyip işlemediğine dair anlık ve periyodik gözden geçirme ve önceden belirlenen standartlarla değerlendirilmelerini ve üst yönetime raporlanmalarını  içerir.


5. COSO Bazlı İç Kontrol Sistemi Unsurlarının Dayandıkları İlkeler Nelerdir?

          Bir önceki bölümde belirtilen beş temel unsurun herbiriyle farklı ilkelerin ilişkilendirildiği toplamda on yedi ilke bulunmaktadır. Tüm ilkeler operasyonlar, raporlama ve uyum hedeflerinin gerçekleştirilmesi esnasında mutlaka uygulanmalıdır. İlkelerin altlarında belirtilen ve ilkelerin iç kontrol unsurlarının tasarımı ve uygulanması esnasında entegre edilmelerine yardımcı olacak toplam 77 odak noktasının dikkate alınıp alınmayacağı hususu ise işletme üst yönetimine bırakılmıştır. Üst yönetim, bazı odak noktalarının işletme için uygun olup olmadığına ve gereken ek odak noktalarına karar verir.

          Şimdi unsurların ilişkili olması öngörülen ilkelere ve odak noktalarına bir göz atalım:

Kontrol Ortamı

Birinci İlke:
İşletmede bir bütün halinde etik değerlere ve dürüstlük ilkesine bağlılığın temin edilmesi gerekir.

Odak Noktaları:

 Üst yönetimin kurumsal kültür atmosferini oluşturma tarzı
 Yürütmenin normlarının tesis edilmesi
 Normlara uyumun ve bağlılığın değerlendirilmesi
 Standartlardan sapmaların ilgililerine ve üst yönetime zamanında iletilmesi

İkinci İlke:
Yönetim kurulu icradan bağımsız olmalı ve işletmenin iç kontrol uygulamalarının yerine getirilmesi faaliyetlerinin gözetimini yapmalıdır.

Odak Noktaları:

 Gözetim sorumlulukları çerçevesinin tesis edilmesi
 Yönetim kurulunun gerekli uzmanlığı sergilemesi
 Yönetim kurulunun bağımsız hareket etmesi
 Yönetim kurulunun iç kontrol sisteminin ana unsurları olan kontrol ortamı, risk değerlendirmesi, kontrol faaliyetleri, bilgi ve iletişim ile izleme faaliyetlerini gözetim altında tutması

Üçüncü İlke:
Hedeflerin elde edilmesi bakımından gereken yönetsel organizasyonlar yapılmalıdır. Bu kapsamda, yönetim kurulu gözetim faaliyetlerinin kapsamı, operasyonel sisteme ilişkin yapılar, raporlama kanalları ve uygun görev-yetki-sorumlulukların net olarak belirlenmesi faaliyetleri yerine getirilmelidir.

Odak Noktaları:

 İşletmenin tüm organizasyonel yapısının göz önünde tutulması
 Etkili raporlama sisteminin kurulması
 Görev-yetki-sorumlukların tanımlanması, tayin edilmesi ve sınırlarının belirlenmesi

Dördüncü İlke:
İşletme örgütü, yetkin çalışanlarını hedeflere yönelik organize etmeli ve söz konusu çalışanların göz önüne alındığı, istihdam edildiği, gelişimleri ile devamlılıklarının sağlandığı bir ortam yaratmayı temin etmelidir.

Odak Noktaları:

 Politikaların belirlenmesi ve uygulanması
 Yetkinlikleri ve eksikliklerin değerlendirilmesi
 Nitelikli çalışanların istihdamı, gelişimlerinin ve devamlılıklarının sağlanması
 Başarı için planlama ve hazırlıkların yapılması

Beşinci İlke:
İşletme hedeflerinin gerçekleştirilmesi kapsamında hizmet birimlerinde görevlendirilen ve  iç kontrol faaliyetlerinin yürütülmesinden sorumlu olan çalışanlar ürettikleri hizmetin sonuçlarından mesul tutulmalılar (hesap vermelerinin sağlanması gerekir).

Odak Noktaları:

 Organizasyon yapısı kapsamında belirlenen yetki ve sorumlukların kullanımında hesap verilebilirliğin sağlanması
 Performans ölçümü, teşvik ve ödüllendirme sistemlerinin tesis edilmesi
 Kurulan sistem çerçevesinde çalışan performanslarının düzenli değerlendirilmesi
 Çalışılan ortam, hedefler veya dışsal baskı unsurlarının dikkate alınması
 Performans değerleme çalışmaları sistematiğinde dengeli ödül ve ceza mekanizmasının kurulması

Risk Değerlendirmesi

Altıncı İlke:
İşletme hedeflerinin önündeki risklerin belirlenmesi ve değerlendirmesine yönelik kriterler yeterince açık ve net tayin edilmelidir.

Odak Noktaları:

Operasyonlara Yönelik Hedefler Belirlenirken Dikkate Alınması Gereken Odak Noktaları:

 Yönetim tercihlerinin yansıtılması
 Risk tolerans düzeyinin dikkate alınması
 Operasyonel ve finansal faaliyet hedeflerini içermesi
 Kaynakların tevdi edilmesine yönelik bir temel oluşturulması

Dış Finansal Raporlamalara Yönelik Hedefler Belirlenirken Dikkate Alınması Gereken Odak Noktaları:

 Mevcut muhasebe normlarına uygun olmalı
 Önemlilik ilkesinin uygulanması
 İşletmenin faaliyetlerini yansıtması

Dış Finansal Olmayan Raporlamalara Yönelik Hedefler Belirlenirken Dikkate Alınması Gereken Odak Noktaları:

 Üst ve düzenleyici kuruluşlarca belirlenen standart ve çerçeveye uyumlu olmalı
 Tabi olunan dış mevzuat gereği talep edilen netlik ve açıklık standartlarının göz önüne alınması
 İşletmenin faaliyetlerini yansıtması


İşletme İçi Raporlamalara Yönelik Hedefler Belirlenirken Dikkate Alınması Gereken Odak Noktaları:

 Yönetim tercihlerinin yansıtılması
 Öngörülen düzeyde netlik ve açıklık standartlarının göz önüne alınması
 İşletmenin faaliyetlerini yansıtması

Mevzuata Uyuma Yönelik Hedefler Belirlenirken Dikkate Alınması Gereken Odak Noktaları:

 Dış yasa ve düzenlemelerin yansıtılması
 Risk toleransının dikkate alınması

Yedinci İlke:
Kurum yetkilileri hedeflere ulaşmak için işletme genelinde riskleri belirlemeli ve risklerin etkili yönetimi çerçevesinde analiz etmelidir.

Odak Noktaları:

 Risklerin değerlendirilmesi kapsamında işletme geneli, iştirakler, bölümler, birimler ve görev düzeyi bazında olmalı
 İç ve dış etkenlerin analiz edilmesi
 Yönetimin konuyla ilgili tüm yetkililerinin sürece dahil olması
 Belirlenen risklerin etki düzeyi tahminine göre sınıflandırılması
 Risk eylem planının belirlenmesi

Sekizinci İlke:
Risklerin değerlendirilmesinde muhtemel suistimal riskleri de dikkate alınmalıdır.

Odak Noktaları:

 Farklı suistimal türleri dikkate alınmalı
 Potansiyel fail üzerinde suça yöneltecek teşvik ve baskıların değerlendirilmesi
 Suçun işlenmesi için işletme içerisinde yer alan fırsat ortamının analizi
 Meşrulaştırma zeminleri ve davranışların değerlendirilmesi

Dokuzuncu İlke:
Önceden tahmin edilemeyen fakat  iç kontrol sistemini mutlak etkileyebilecek düzeydeki değişimler takip edilmeli, tespit edilmeli ve değerlendirilmelidir.

Odak Noktaları:

 Dış ortamdaki değişimlerin değerlendirilmesi
 İş modelindeki değişimlerin değerlendirilmesi
 Üst yönetim değişikliklerinin dikkate alınması

Kontrol Faaliyetleri

Onuncu İlke:
Yetkililer, işletmenin hedeflerine ulaşılmasını engelleyecek düzeydeki risklerin etkilerinin azaltılması bakımından gereken kontrol faaliyetlerini belirlemeli, uygulamalı ve geliştirmelidir.

Odak Noktaları:

 Risk değerlendirme faaliyetleri ile entegre olmalı
 İşletmeye özgü etkenlerin dikkate alınması
 Birbiriyle ilgili  işlerin süreçlerinin belirlenmesi
 Farklı kontrol türlerinin tesis edilmesi
 Faaliyetlerin yürütülme şekli ve düzeylerinin dikkate alınması
 Görevlerin ayrılığı ilkesine uyum

Onbirinci İlke:
Kullanılan bilgi teknolojilerinin genel kontrol faaliyetleri kriterleri belirlenmeli ve uygulanmalıdır.

Odak Noktaları:

 Kullanılan teknoloji ile teknoli genel kontrollerinin birbirleriyle ilişkilendirilmesi
 Kontrol faaliyetleri ile kullanılan teknoloji altyapısının uyumlu olması
 Güvenlik kontrolleri süreçlerine ilişkin kontrol faaliyetlerinin tesis edilmesi
 Süreç kontrollerinin gelişimine ve sürdürülmesine uygun teknolojilerin kullanılması

Onikinci İlke:
Kontrol faaliyetleri çerçevesinde nelerin beklendiğini ortaya koyan politikalar belirlenmeli ve politikaların uygulanması bakımından yönetmelikler düzenlenmelidir.

Odak Noktaları:

 Yönetim talimatlarının uygulanması bakımından gereken politika ve yönetmeliklerin oluşturulması
 Belirlenen politika ve kuralların uygulanması konusunda sorumluluk ve hesap verirlik tesis edilmesi
 Kontrol faaliyetlerinin zamanında ve düzenli yapılması
 Düzeltici önlemlerin yürürlüğe konulması
 Kontrol faaliyetlerinin yetkin personel görevlendirilmesi ile yerine getirilmesi
 Politikalar ve kurallar tekrar değerlendirmeye tabi tutulması


Bilgi ve İletişim

Onüçüncü İlke:
Yetkililer, iç kontrol faaliyetlerinin işleyişine destek olmak bakımından gereken kaliteli bilgiyi temin etmeli, üretmeli ve kullanmalıdır..

Odak Noktaları:

 Bilgi gereksinimlerinin belirlenmesi
 İç ve dış kaynaklardan veri toplanması
 İlgili verilerin değerlendirilip bilgi haline getirilmesi
 Bilgi üretim sürecinde kalitenin sürdürülmesi
 Maliyet fayda analizine dikkat edilmesi

Ondördüncü İlke:
Yetkililer, düzenleme ve sorumlulukları içeren iç kontrole yönelik bilgileri etkili biçimde iç kontrol unsurlarına iletmelidirler.

Odak Noktaları:

 İç kontrole yönelik bilgilerin iletilmesi
 Yönetim ile yönetim kurulu iletişiminin sağlanması
 Farklı iletişim kanalları sunulmalı
 Uygun iletişim yöntemi seçilmeli

Onbeşinci İlke:
Dış paydaşlara da iç kontrol sisteminin işleyiş etkinliği bakımından gereken bilgiler iletilmelidir.

Odak Noktaları:

 Dış paydaşlarla da iletişim yapılmalı
 Dışarıdan içeriye bilgi akışının sağlanması yönünde iletişim yapılması
 Yönetim kurulu ile iletişimde bulunulması
 Farklı iletişim kanalları sunulmalı
 Uygun iletişim yöntemi seçilmeli

İzleme Faaliyetleri

Onaltıncı İlke:
İç kontrol unsurlarının var olduğu ve işlediği hususlarını değerlendirmek bakımından gereken planlamalar ve faaliyetler yapılmalıdır.

Odak Noktaları:

 Rutin ve özel değerlendirmeler yapılması
 İş süreçlerindeki değişim oranının dikkate alınması
 Ana hatlar ve temel noktaların tesis edilmesi
 Uzman çalışanlardan yararlanılması
 İş süreçleri ile entegre olunması
 İzleme faaliyetlerinin kapsam ve aralıklarının belirlenmesi
 Değerlendirmelerin objektif yapılması

Onyedinci İlke:
İç kontrol sisteminde tespit edilen zaafiyetler, üst yönetim de dahil edilerek düzeltici önlemleri almakla yükümlü ilgililere zamanında ve uygun biçimde raporlanmalıdır.

Odak Noktaları:

 Sonuçların değerlendirilmesi
 Eksikliklerin ve yetersizliklerin görevin sorumlularına, üst yönetime ve yönetim kuruluna iletilmesi
 Yürürlüğe konuşan düzeltici eylemlerin izlenmesi


6. COSO KÜPÜ NEDİR?

         COSO Küpü’nün ön yüzünde iç kontrol unsurları (üstten alta doğru kontrol ortamı, risk değerlendirmesi, kontrol faaliyetleri, bilgi ve iletişim ve gözetim) belirtilir. Üst yüzünde ise, unsurların var olmaları ve işleyişleriyle yerine getirmekle yükümlü oldukları operasyonlar, raporlama ve uyum yer alır. Yan yüzde ise, faaliyetlerin işletme geneli, bölüm, birim ve görev bazında organizasyon yapısının sınıflandırması yapılır.
         İç kontrol organizasyonunun operasyon, raporlama ve uyum konularında etkin düzeyde fonksiyonda bulunabilmesi ancak COSO’nun beş iç kontrol unsurunun tam uygulanmasıyla mümkündür. COSO Küpü’nde belirtilen tüm unsur ve fonksiyonlar birbirleriyle ilişkili ve bağlantılır.

7. COSO PİRAMİDİ NEDİR?

          İç kontrol unsurlarının birbirleriyle olan ilişkisini gösteren COSO Piramidinde, kontrol ortamı bazında etkili bilgi ve iletişim atmosferi içerisinde risk değerlendirmeleri yapılır, kontrol faaliyetleri yerine getirilir ve gözetim sağlanır.

8. KONTROL ÖZ DEĞERLENDİRME (CSA) NEDİR?

          Kontrol Öz Değerlendirme (Control Self Assessment), işletme hedeflerinin gerçekleştirilmesi bakımından bir kontrol çerçevesi kullanılarak genel veya belirli bir konuya ilişkin olası risklerin yönetiminin ilgili yöneticiler ve çalışanlarca etkili biçimde yerine getirilip getirilmediğini tespit için –zaman zaman iç denetçi veya dışarıdan uzman desteğiyle- işletme içerisinde ilgili iş süreçlerindeki çalışanlarca yapılan değerlendirme faaliyetleridir.

          Olası risklere ilişkin zayıf ve güçlü yönler masaya yatırılır, fırsatlar gözden geçirilir ve uygulamaya konulmak üzere bir eylem planı hazırlanır. İş süreçlerindeki düzenlemelerin net ve ortak bir anlayışta benimsenmesine, risk ve kontrol faaliyetlerinde farkındalığın yükselmesine, kontrol süreçlerinin işletme gerçeklerine göre yenilenmesine, iş süreçlerinde yer alan yetkili ve diğer çalışanların sorumluluk bilincinin artmasına yararı olur.

9. COSO BAZLI İÇ KONTROL SİSTEMİNDE KİMLER ROL ALIR?

          Sistemin COSO tarafından çizilen çerçeve ve detayları esas alınarak etkin biçimde yürütülmesinde, işletmenin yönetim zincirinde yer alan tüm yöneticiler, çalışanlar ve yönetişim sistemi içerisinde yer alan diğer paydaşlar rol alır.

          Yönetim kurulu, işletmenin üst yönetimi ile iç kontrol sisteminin mevcudiyeti ile işleyişine  yönelik istişarelerde ve yönlendirmelerde bulunur. İç kontrol sisteminin zaafiyetleri, risk yönetimine katkı düzeyi, üst yönetimin mevcut iç kontrol sisteminin etkililiği hakkındaki değerlendirmeleri üzerinde gözetim görevini yerine getirir. Bu konuda alt komiteler, iç denetim ve dış denetimden yararlanır.

          Üst yönetim, işletmenin iç kontrol sisteminin sahip olması gereken on yedi ilkeyi sistemin beş unsurunun da desteğiyle COSO Çerçevesine uygun tasarımı, uygulaması, yürütülmesi ve izlenmesi görevlerini yerine getirir.  İç kontrol sisteminin etkin biçimde aktivite göstermesini sağlaması ve kendilerine iletilen tespitler ve geri beslemelerde düzeltici ve engelleyici reaksiyonlarını mutlaka göstermelidir.

          Sistemde yer alan diğer yetkililer ve kalan tüm çalışanlar, net ve açık biçimde çizilen, iş süreçlerinin içerisine yerleştirilen görev-yetki-sorumluluk alanları çerçevesinde rollerini yerine getirirler. Tekrar işlerden ve gereksiz bilgi yığınaklarından kaçınılır, bilinçli olarak ve sorumluluk içerisinde hareket ederler.

          İç denetçiler, iç kontrol sisteminin yapısal organizasyonu, sistemin etkinlik düzeyi, zaafiyetleri, doğurduğu riskler ve dışsal etkenlerden kaynaklanacak yeni risklere karşı direnç güçleri konularında Yönetim Kurulu ve/veya Denetim Komitesi’ne ve dolayısıyla işletmenin üst yönetimine makul güvence veren bir rol üstlenir.

          Dış denetim, iç kontrol sisteminin işleyişinin ve zaafiyetlerinin ortaya çıkarılmasında bir rol almasa da finansal tabloların doğruluğuna yönelik yapılan kontrollerde işletmenin iç kontrol sisteminin etkinliği ve güvenilirliğini de dikkat almalıdır. Örneğin, Sarbanes Oxley’de dış denetimin finansal tabloların doğruluğu yönünde denetimlerini yaparken işletmenin mevcut iç kontrol sisteminin yeterliliğini de gözden geçirmesi gerektiği düzenlenmiştir.

          Diğer paydaşlarla olan ilişki çerçevesinin de düzenlemesi gerekir ve paydaşların da bu düzenlemede öngörülen biçimde hareket etmeleri beklenir.

10. COSO İÇ KONTROL SİSTEMİNİN ÜSTÜNLÜKLERİ NELERDİR?

           Bu bölümde COSO İç Kontrol Sisteminin güçlü yönlerini ele alacağız.

 Proaktif yönetim aracıdır,
 Universal bir sistemdir, unsurları ve ilkeleri dünyanın her yerindeki işletmeye uygulanabilir
 Entegre bir sistemdir, işletme organizasyonunun tamamına dokunur ve güvence özelliğinin temelini buradan sağlar
 Başka sistemlerle (örneğin 3’lü Savunma Hattı) entegre ve senkronize çalışabilir,
 Operasyonel hizmetlerin süreçlere uygun ve güvenilir düzeyde yürütülmesi ile risklerin yönetiminde etkinlik sağlar
 Şirket kültürünün gelişmesine olanak sağlar
 Suistimal riskine karşı etkilidir
 Esnek bir yapısı vardır, farklı koşullarda uygulanabilir
 Dinamik bir yapıdadır, teknolojik vb. gelişimlere uyumludur
 Hata, eksiklik, kasıt ve ihmallere anında ve yerinde çözüm üretmeye katkı sağlar

11. COSO MODELİNİN ZAAFİYETLERİ NELERDİR?

              COSO Bazlı İç Kontrol Sistemi kusursuzluk iddiasında değildir; kaldı ki, şu anda mükemmel kabul edilen bir model bile yıllar içerisinde iç ve dış faktörlerin etkisiyle yenilenme ihtiyacı duymaktadır.

COSO iç kontrol sisteminin bir işletmeye sağlayamayacağı katkılar:

 Sonuçta insanların içerisinde bulundukları konjonktür ve atmosfere dayalı tasarladıkları bir yönetsel enstrümandır, sihirli bir değnek değildir,
 Üst düzey yönetimlerin faili olduğu suistimallerin artması ile önem kazanmaya başlamasına karşın sistemin organizasyonu, yürütülmesi ve gözlenmesi yine üst yönetimin sahiplenmesine teslim edilmiştir,
 Sistemin tasarımında, uygulamaya geçirilmesinde, yürütülmesinde, ve izlenmesinde yaşanan eksiklikler,
 İşletme hedeflerine ulaşmada risklerin yönetilmesinde mutlak değil makul güvence sağlar,
 Kontrol edilemez derecede çok kuvvetli ve sert bir dış faktörün işletmeye büyük darbe vurmasına engel olma ihtimali zayıftır,
 İşletmenin hedefleri ile iç kontrol sistemi parametreleri tutarlı olmayabilir,
 İşletme yönetim kurulu, üst yönetim ve diğer yetkililerden her zaman basiretli muhakemede bulunmaları ve doğru kararlar vermeleri beklenemez,
 Yönetimlerin hata ve kasta dayalı müdahaleleri,
 Operasyonel iş süreçleri içerisinde yer alan yetkililer ve çalışanlar da zaman zaman yoğun iş akışı içerisinde ihmal, hata ve kasıttan kaynaklanan tutum ve davranışlarda bulunabilirler,
 Yöneticiler ve çalışanlar organize biçimde hareket ederek suistimale teşebbüs edebilirler,
 İç denetime gereken önem ve imkanın verilmemesi,
 Yönetişim sistemi içerisinde yer alan paydaşlarla ilgili vurgular yeterince güçlü değildir.

12. COSO MODELİNİN ETKİNLİK/ETKİLİLİK DÜZEYİ NASIL ARTTIRILIR?

            COSO modelinin uygulanmasıyla işletme tepe yönetiminin işletme hedeflerine ulaşılması bakımından iç kontrol sisteminin operasyonel hizmet düzeyinde etkinlik, güvenilir ve mevzuata uyumlu olma ile olası risklerin yönetiminde etkililiği konularında makul bir güvence düzeyine kavuşacağını belirtmiştik.

Şimdi bu etkinlik  ve etkililik düzeyinin arttırılmasına yönelik önerilerimizi sunacağız ve ayrıca bilinen bazı önerilerin de altını çizeceğiz:

 İşletme tepe yönetiminin iç kontrol sistemine yönelik farkındalık ve hassasiyetinin yüksek düzeyde olması ve bunu işletme içerisinde tutum ve davranışlarıyla aktif biçimde sergilemeleri,
 İşletme kültürünün gelişmesi yönünde üst yönetimin destekleri,
 İşletmede kurumsal yönetişim ilkelerinin (eşitlik, saydamlık, hesap verebilirlik ve sorumluluk) benimsenmesi ve uygulanması
 İç kontrol faaliyeteleri için komite oluşturulması ve periyodik aralıklarla faaliyet göstermesi
 İşletme hedefleri, fırsatlar ve karşı karşıya kalınacak riskler çok detaylı analiz edilmeli ve iç kontrol sistemi buna paralel tasarlanması,
 Dışsal faktörleri öngörebilme kapasitesinin yükseltilmesi,
 Beş unsurun ve on yedi ilkenin mevcut ve işlerliği konusunda gözden geçirilmesi,
 İşletme içi ve dışı doğru bilgiye dayanan etkili iletişim faaliyetleri,
 Kontrol süreçlerinde elde edilen verilerin sistematik biçimde analize tabi tutularak doğru ve kullanılacak bilgi haline getirilmesi,
 İç denetime ve tespitlerine gereken önemin verilmesi,
 Kontrol Öz-Değerlendirme faaliyetlerinin periyodik hale gelmesi,
 Etkin insan kaynakları politikaları
 3’lü Savunma Hattı Modelinin işletmenin iç kontrol sistemiyle entegre edilmesi ve senkronize çalışmalarının sağlanması

13. SONUÇ
 
          COSO İç Kontrol Sistemi, esas itibariyle Amerika Birleşik Devleti merkezli çok uluslu şirketlerde artan üst düzey yönetici suistimallerinin önlenmesi maksadıyla üzerinde çalışılmış bir sistemdir. İç Kontrol mekanizmalarının entegrasyonu ve senkronizasyonu bakımından bütünsel bir yapıya sahiptir. Proaktif bir enstrümandır.

            Şirketlerin hedeflerinin gerçekleştirilmesi bakımından kaliteli bir operasyonel yapıyı öngörür. Bunun yanı sıra, faaliyetler esnasında karşı karşıya kalınacak risklerin yönetimi bakımından da önemli bir kalkan görevi görür.

            Şirketlerin iç kontrol sistemlerinin COSO bazlı yapıya dönüştürülmesi üst düzey profesyonel bilgi ve beceri gerektiren bir husustur. Kopyala yapıştır mantığı ile sistemin felsefesi içselleştirilmeden yapılacak tasarı ve uygulamalar beklenen kalite ve fonksiyonellik bakımından  adeta fast-food tarzı menülerin tadını verecektir, şeklen hizmet edecek hatta huzursuzluklara yol açacaktır.

            Sonuç olarak, COSO bazlı İç Kontrol Sistemi işletmelerin risk yönetimi ve operasyonel işleyiş kaliteleri bakımından bir Alaaddin’in Sihirli Lambası değildir fakat bir işletmenin iç kontrol sistemi düzeyi açısından gerçek bir göstergedir. Tüm şirketler bakımından kolaylıkla uygulanabilir. Temel unsur ve ilkelerine bağlı kalarak işletme gerçekleri de dikkate alınarak tasarlanıp uygulandığı zaman işletmenin üst yönetimi ve paydaşları bakımından makul bir güvence düzeyi ifade eder.


Kaynakça

COSO (Committee of Sponsoring Organizations of the Treadway Commission), Internal Control — Integrated Framework, Executive Summary- May 2013
COSO (Committee of Sponsoring Organizations of the Treadway Commission), Leveraging COSO Across The Three Lines Of Defense, Research Commissioned by COSO, July 2015
Durmuş, Dr. Cem Niyazi – Hasanefendioğlu, Bülent – Uzel, Murat Nail, 3’lü Savunma Hattının COSO İç Kontrol Sisteminin Etkinliğinin Arttırılmasında Kaldıraç Etkisi – Basılmamış Makale
ECIIA and FERMA, Guidance for Boards and Audit Committees on the Implementation of Art 41. 2 of the 8th Directive
Hasanefendioğlu, Bülent (2015) İş Suistimali Rehberi. İstanbul : Dinamo
Hasanefendioğlu, Bülent (2015) 50 Soruda Risk Bazlı İç Denetim Rehberi. İstanbul : Dinamo
IIA Position Paper, The Three Lines of Defense in Efective Risk Mangement and Control, The Institute of Internal Auditors Inc. -January 2013
ISMMMO Mali Çözüm Dergisi, Dr. A. Engin Ergüden Kontrol Öz Değerlemesi-2009
ISMMMO Mali Çözüm Dergisi, Hasanefendioğlu, Bülent-Uzel, Murat N. İş Suı̇stı̇mal Riskinin Proaktı̇f Yönetimi ve İşletmelerde Rekabet Avantajına Katkısı- 2015
Protiviti, The Updated COSO Internal Control Framework- 2013
TDK, Güncel Türkçe Sözlük-(http://www.tdk.gov.tr)
TİDE – IIA Zorunlu Rehber/IIA Mesleki Standartlar ve Sözlüğü

200 SORUDA İÇ KONTROL SİSTEMİ ETKİNLİK TESTİ

200 SORUDA
COSO İKS İLKE VE UNSURLARI IŞIĞINDA
İÇ KONTROL SİSTEMİNİN ETKİNLİĞİ TESTİ
           
Hazırlayan: Bülent Hasanefendioğlu -Kıdemli Danışman

 Evet- 2 puan
 Hayır- 0 puan
 Hem evet hem hayır- 1 puan

İç Kontrol Sistemi –Genel

1) İşletmenin mevcut bir iç kontrol sistemi varmıdır?
2) İşletmenin mevcut entegre bir iç kontrol sistemi varmıdır?
3) Sistem içerisinde yer alan iç kontrol mekanizmaları entegre iç kontrol sistemi içerisinde senkronize biçimde çalışmaktamıdırlar?
4) İşletmedeki iç kontrol sistemi operasyonel anlamda üst yönetime makul düzeyde güvence vermektemidir?
5) İşletmedeki iç kontrol sistemi işletmenin hedeflerine ulaşmasında  ekstra değer katabilmektemidir?
6) İşletmedeki iç kontrol sisteminin ürettiği raporlar yüksek güvenilir düzeydemidir?
7) İşletmedeki iç kontrol sistemine göre gerçekleştirilen işlemler iç ve dış mevzuatla uyum içindemidir?
8) İç kontrol sisteminin genel etkililik düzeyi yılda en az bir kez değerlendirilmektemidir?
9) İç kontrol sisteminin genel etkinlik düzeyi yılda en az bir kez değerlendirilmektemidir?
10) İç kontrol sisteminin genel ekonomiklik düzeyi yılda en az bir kez değerlendirilmektemidir?
11) İç kontrol sisteminin genel güvenililirlik düzeyi yılda en az bir kez değerlendirilmektemidir?
12) İşletme iç kontrol sistemi yılda en az bir kez iç denetime tabi tutulmaktamıdır?
13) İşletmede COSO İç Kontrol Sistemi uygulanmaktamıdır?
14) İşletmede 3’lü Savunma Hattı uygulanmaktamıdır?
15) İşletmede operasyonel, destek ve gözetim birimlerinin bağlı olduğu üst düzey yöneticiler arasında etkili bir iletişim varmıdır?
16) İşletmede iç denetim birimi doğrudan Yönetim Kurulu’na bağlımıdır?
17) İşletmede kurumsal yönetim ilkeleri (adillik, sorumluluk, şeffaflık, hesap verebilirlik) dikkate alınıyor mu?
18) İşletmede proaktif bir  yönetişim sistemi oluşturulmuşmudur?
19) İşletmenin vizyon, misyon, değerleri ve stratejik hedefleri oluşturulan yönetişim ve
iç kontrol sistemlerinde temel alınmışmıdır?
20) İşletme kültürü olumlu yönde gelişen bir seyirdemidir?
21) İşletme üst yönetimi belirledikleriilke ve politikalar doğrultusunda tutarlı bir davranış ve tutum içerisindemidir?
22) İşletme üst yönetimi insan kaynakları uygulamalarında geliştirici bir rol üstlenmektemidir?
23) İşletmede iş süreçleri 3E (etkili, etkin, ekonomik)  ilkesine göre biçimlendirilmişmidir?
24) İşletme yenilikleri ve değişimleri öğrenen bir işletmemidir?
25) İşletme teknolojik gelişmeleri yakından takip edip bilgi işlem sistemine adapte etmektemidir?

Kontrol Ortamı

1) Yönetim Kurulu işletmede ‘kontrol ortamı’ şartlarını yerine getirmişmidir?
2) Üst yönetim, işletmede etik ilkeleri belirlemiş ve yayınlamışmıdır?
3) Üst yönetim, dürüstlük ve etik ilkelere bağlı hareket ediyor mu?
4) İşletmede bir bütün halinde etik değerlere ve dürüstlük ilkesine bağlılık temin edilmişmidir?
5) İşletmenin tüm görevlileri etik dışı davranış durumunda uygulanacak yaptırımlar hakkında bilgilendirilmektemidir?
6) İşletmenin dış paydaşları belirlenen etik ilkeler ve bu ilkelere ilişkin sorumluluklar hakkında bilgilendiriliyor mu?
7) İşletmede yürütmenin işleyiş standartları tesis edilmişmidir?
8) Üst yönetim, işletmede belirlenen normlar çerçevesinde tutarlı, net ve açık bir duruş sergiliyor mu?
9) İşletmede yürürlükte olan standartlar fırsat odaklımıdır?
10) Müşteriye  sunulan hizmetlerle ilgili süre ve yöntem konusunda bir standart geliştirildi mi?
11) Belirlenen standartlardan sapmaların ilgililerine ve üst yönetime bildirilmesini sağlayan süreçler belirlenmişmidir?
12) Belirlenen standartlardan sapmalar ilgililerine ve üst yönetime zamanında ve tam olarak iletilmektemidir?
13) Yönetim Kurulu  icradan bağımsız olarak görev yapabilmektemidir?
14) Yönetim Kurulu çalışmalarında uzmanlık sergileyebilmektemidir?
15) Yönetim Kurulu  gözetim sorumluluğunun çerçevesini belirlemişmidir?
16) Yönetim Kurulu  gözetim sorumluluğunu yerine getirecek mekanizmaların etkili çalışmasını sağlamaktamıdır?
17) Yönetim Kurulu iç kontrol faaliyetlerinin gözetimini bağımsız olarak yapmaktamıdır?
18) Yönetim Kurulu iç kontrol sisteminin etkinliğinin sağlanması yönünde üst yönetimi yönlendirebilmektemidir?
19) Yönetim Kurulu gözetim fonksiyonu kapsamında işletmenin üst yönetimini etkili biçimde kontrol etmektemidir?
20) Üst yönetim, iç kontrol sistemine gereken desteği veriyormu?
21) Üst yönetim entegre bir iç kontrol sistemini 3E (etkili, etkin, ekonomik) ilkesi kapsamında tasarlayıp devreye almışmıdır?
22) Üst yönetim iç kontrol sisteminin etkinliğinin sağlanmasını aktif olarak takip etmektemidir?
23) Hedeflerin elde edilmesi bakımından gereken yönetsel organizasyonlar yapılmışmıdır?
24) Yönetsel çerçeve oluşturulurken işletmenin tüm organizasyonel yapısı göz önünde tutulmaktamıdır?
25) Operasyonel sisteme ilişkin yapılar belirlenmişmidir?
26) Çalışanların görev-yetki-sorumlulukları net ve açık olarak belirlenip  yazılı halde yayınlanmış mıdır?
27) İşletmede işlemlerin gerçekleştirilmesinde etkin iş süreçleri oluşturulmuşmudur?
28) Birimlerdeki iş akış süreçlerindeki imza ve onay mercileri belirlenmişmidir?
29) Yapılacak yetki devirlerinin esasları yazılı olarak belirlenmişmidir?
30) Raporlama yapılacak kanallar ve merciler belirlenmişmidir?
31) Organizasyon yapısı kapsamında belirlenen yetki ve sorumlukların kullanımında hesap verilebilirlik sağlanmışmıdır?
32) İşletmede insan kaynaklarına yönelik prosedürler oluşturulmuşmudur?
33) Bu prosedürler işe alımda ve çalışma esnasında kapasiteli çalışanlara öncelik vermektemidir?
34) İşletme üst yönetimi bizzat yetkin çalışanlarını hedeflere yönelik olarak organize etmektemidir?
35) İşletmede kapasiteli çalışanların göz önüne alındığı, istihdam edildiği, gelişimleri ile devamlılıklarının sağlandığı bir ortam yaratılmışmıdır?
36) Çalışanların ve birimlerin hedefleri gerçekçi verilmektemidir?
37) Performans değerlemeye yönelik ve başarıların ödüllendirilmesi için güvenilir bir sistem kurulmuşmudur?
38) Bu sistem çerçevesinde yapılan değerlendirmeler ilgili çalışan ile paylaşılmaktamıdır?
39) Kurulan sistem dengeli ödül ve ceza mekanizmasını içermektemidir?
40) Üst Yönetim işletme kültürünün gelişiminde çağdaş teknikleri kullanmaktamıdır?
41) İç kontrol sistemi ve işleyişine ilişkin olarak çalışanlar nezdinde sorumlu olduğu işi sahiplenmesini arttırmaya yönelik çalışmalar yürütülmektemidir?
42) İç kontrol sistemi ve işleyişine ilişkin olarak iç ve dış paydaşlar nezdinde farkındalık etkinlikleri yürütülmektemidir?
43) Suistimal riskleri konusunda farkındalık yaratılmaktamıdır?
44) Çalışanların ailelerine yönelik sosyal sorumluluk politikaları uygulanmaktamıdır?
45) Çalışanlara yönelik farklı kuşaklara ilişkin değerler ve istemler dikkate alınmaktamıdır?
46) Çalışanlara yönelik davranış ve tutum sapmaları takip edilmektemidir?
47) Çalışanlarla düzenli ve sistematik bir iletişim mekanizması kurulmuşmudur?
48) İşletmede açık kapı politikası uygulanmaktamıdır?
49) İç ve dış paydaşlara yönelik değerlendirmelerde bulunabilecek uygun enstrümanlar (anket, görüşme, toplantı, dijital imkanlar vb.) tesis edilmişmidir?
50) Sözkonusu enstrümanlar etkili olarak kullanılmaktamıdır?

Risk Değerlendirme

1) Risk değerlendirme sürecinde sadece risklere odaklanmayıp işletmenin önündeki fırsatlar ve işletmenin hedefleri etkili biçimde gözönüne alınmaktamıdır?
2) İşletmede risklerin belirlenmesi ve değerlendirmesine yönelik kriterler yeterince
açık ve net tayin edilmektemidir?
3) Risklerin değerlendirilmesinde muhtemel suistimal riskleri de dikkate alınmaktamıdır?
4) Operasyonlara Yönelik Hedefler belirlenirken yönetim tercihleri yansıtılmaktamıdır?
5) Operasyonlara Yönelik Hedefler belirlenirken risk tolerans düzeyi dikkate alınmaktamıdır?
6) Operasyonlara Yönelik Hedefler belirlenirken operasyonel ve finansal faaliyet hedeflerini içermektemidir?
7) Operasyonlara Yönelik Hedefler belirlenirken kaynakların etkin tahsisine yönelik bir temel oluşturulmaktamıdır?
8) Dış Finansal Raporlamalar mevcut genel kabul görmüş muhasebe ilkelerine uygunmudur?
9) Dış Finansal Raporlamalarda önemlilik ilkesi uygulanmaktamıdır?
10) Dış Finansal Raporlamalar işletmenin faaliyetlerini yansıtmaktamıdır?
11) Dış Finansal Olmayan Raporlamalar üst ve düzenleyici kuruluşlarca belirlenen standart ve çerçeveye uyumlumudur?
12) Dış Finansal Olmayan Raporlamalar tabi olunan dış mevzuat gereği talep edilen netlik ve açıklık standartları sağlanmaktamıdır?
13) Dış Finansal Olmayan Raporlamalar işletmenin faaliyetlerini yansıtmaktamıdır?
14) İşletme İçi Raporlamalarda yönetim tercihleri yansıtılmaktamıdır?
15) İşletme İçi Raporlamalarda öngörülen düzeyde netlik ve açıklık standartları göz önüne alınmaktamıdır?
16) İşletme İçi Raporlamalar işletmenin faaliyetlerini yansıtmaktamıdır?
17) Mevzuata Uyuma Yönelik Hedefler Belirlenirken dış yasa ve düzenlemeler yansıtılmaktamıdır?
18) Mevzuata Uyuma Yönelik Hedefler Belirlenirken risk toleransı dikkate alınmaktamıdır?
19) Kurum yetkilileri hedeflere ulaşmak için işletme genelinde riskleri belirleyip risklerin etkili yönetimi çerçevesinde analiz etmektemidirler?
20) Risklerin değerlendirilmesinin kapsamı, işletme geneli, iştirakler, bölümler, birimler ve görev düzeyi bazındamıdır?
21) İç ve dış etkenler analiz edilmektemidir?
22) Önceden tahmin edilemeyen fakat iç kontrol sistemini mutlak etkileyebilecek düzeydeki değişimler takip edilip, tespit edilmekte ve değerlendirilmektemidir?
23) Dış ortamdaki değişimler değerlendirilmektemidir?
24) İş modelindeki değişimler değerlendirilmektemidir?
25) Üst yönetim değişiklikleri dikkate alınmaktamıdır?
26) Yönetimin konuyla ilgili tüm yetkilileri sürece dahil olmaktamıdır?
27) Belirlenen riskler etki düzeyi tahminine göre sınıflandırılmaktamıdır?
28) İşletmenin bir risk profili varmıdır?
29) Risk yönetimine yönelik politikalar geniş bir katılımla mı oluşturulmaktadır?
30) Yıllık risk eylem planı belirlenip yayınlanmaktamıdır?
31) Üst yönetim  risk eylem planı kapsamında iç ve dış paydaşlarda farkındalık yaratmaktamıdır?
32) Risk yönetimine ilişkin spesifik görev/yetki/sorumluluklar belirlenmişmidir?
33) Risk yönetimine ilişkin alınan önlemler ilgilileri ile yazılı olarak paylaşılmışmıdır?
34) İşletmede risk yönetim komitesi varmıdır?
35) Komitede riskin asıl sahipleri de etkili biçimde seslerini duyurabilmektemidir?
36) Risk yönetiminde bilgi teknolojilerinden etkili biçimde yararlanılmaktamıdır?
37) Risk yönetim politikaları oluşturulurken risk yönetim araçları öngörülen risklerle ilişkilendirilmektemidir?
38) Risk yönetimi faaliyetlerinde fayda maliyet analizi yapılmaktamıdır?
39) Karşı karşıya olunan risklerin izlenmesine yönelik belirlenen prosedürler kontrol faaliyetleri ile senkronizemidir?
40) Risk yönetimi önlemlerinin uygulama sonuçlarına ilişkin raporlama prosedürü belirlenmişmidir?
41) Raporların değerlendirilip gereken reaksiyonların hızlıca alınması yönünde çerçeve belirlenmişmidir?
42) Alınan reaksiyonların etkileri takip edilmektemidir?
43) Gözönüne alınmayan olası iç ve dış yeni riskler etkili biçimde takip edilmektemidir?
44) Beklenilmeyen riskle karşılaşıldığında uygulanacak reaktif önlemler belirlenmişmidir?
45) Risklerin yönetim sürecinde etkili bilgi ve iletişim mekanizmaları uygulanmaktamıdır?
46) İşletmede üst yönetim, birim yetkilileri ve ilgili çalışanlar  risk yönetimine ilişkin görev ve sorumluluklarının bilincindemidir?
47) İşletmede risk yönetimi faaliyetleri ilintili farklı birimlerce koordineli biçimde yürütülmektemidir?
48) Birimlerde risk yönetiminden elde edilen deneyimler diğer birimlerle paylaşılmaktamıdır?
49) Risk yönetimi uygulamalarının etkinliği üst yönetim tarafından izlenmektemidir?
50) Risk yönetimi uygulamaları yılda en az bir defa iç denetime tabi tutulmaktamıdır?

Kontrol Faaliyetleri

1) İşletme üst yönetimi, işletme hedeflerine ulaşılmasını sağlayacak kontrol faaliyetlerini belirleyip, uygulanmasını sağlayıp geliştirmektemidir?
2) Kontrol faaliyetleri risk değerlendirme faaliyetleri ile entegremidir?
3) Kontrol faaliyetleri planlanırken işletmeye özgü etkenler dikkate alınmaktamıdır?
4) Üst yönetim tarafından iş süreçlerinin yazılı halde ve bilgi işlem sistemi ile iç
içe olmasına gereken özen gösterilmektemidir?
5) İş süreçleri oluşturulurken uzman desteği alınmışmıdır?
6) İş süreçleri oluşturulurken ilintili iş süreçleri de belirlenmektemidir?
7) Üst yönetim tarafından farklı kontrol türleri tesis edilmişmidir?
8) Kontrol süreçleri belirlenirken faaliyetlerin yürütülme şekli ve düzeyleri dikkate alınmaktamıdır?
9) Görevlerin ayrılığı ilkesine uyum sağlanmaktamıdır?
10) İşletmede kullanılan bilgi teknolojilerinin genel kontrol faaliyetleri kriterleri belirlenip uygulanmaktamıdır?
11) Kullanılan teknoloji ile teknoloji genel kontrolleri birbirleriyle ilişkilendirilmektemidir?
12) Kontrol faaliyetleri ile kullanılan teknoloji altyapısı uyumlumudur?
13) Güvenlik kontrolleri süreçlerine ilişkin kontrol faaliyetleri tesis edilmişmidir?
14) Süreç kontrollerinin gelişimine ve sürdürülmesine uygun teknolojiler kullanılmaktamıdır?
15) Kontrol faaliyetleri çerçevesinde nelerin beklendiğini ortaya koyan politikalar belirlenmişmidir?
16) Sözkonusu politikaların uygulanması bakımından yönetmelikler düzenlenmektemidir?
17) Yönetim talimatlarının uygulanması bakımından gereken politika ve yönetmelikler oluşturulmuşmudur?
18) Belirlenen politika ve kuralların uygulanması konusunda sorumluluk ve hesap verirlik tesis edilmişmidir?
19) Birimlerde faaliyetleri ile mali karar ve işlemlerine ilişkin yazılı prosedürler mevcutmudur?
20) Bu prosedürlere ilgili çalışan ulaşabilmektemidir?
21) Kontrol faaliyetleri zamanında ve düzenli olarak yapılmaktamıdır?
22) Düzeltici önlemler etkili olarak yürürlüğe konulmaktamıdır?
23) Kontrol faaliyetleri yetkin personel görevlendirilmesi ile yerine getirilmektemidir?
24) Politikalar ve ilkeler tekrar değerlendirmeye tabi tutulmaktamıdır?
25) Kontroller, işlem öncesi, süreç ve işlem sonrası kontrolleri kapsıyor mu?
26) Kontrol faaliyetleri tespit edilirken fayda maliyet analizi yapılmaktamıdır?
27) Birimlerde uygulanan kontrol faaliyetlerinin etkililiği düzenli olarak gözden geçirilmektemidir?
28) Etkili veri analizleri yapılmaktamıdır?
29) Kontrol faaliyetlerinden elde edilen veriler kaliteli bilgi haline getirilmektemidir?
30) Kalite standartındaki bilgiler birimler arasında tam ve zamanında paylaşılmaktamıdır?
31) Birim yetkilileri tarafından, prosedürlerin etkili ve sürekli bir şekilde uygulanması için gerekli yönetim kontrolleri yapılıyor mu?
32) Birimlerde personel yetersizliği, geçici veya sürekli olarak görevden ayrılmalara yönelik önlemler alınmaktamıdır?
33) İşletmeyi şiddetli etkileyebilecek olağanüstü durumlarda operasyonel sistemin hizmet sürekliliğinine yönelik politikalar yürürlüktemidir?
34) Bilgi işlem sistemlerinin fiziki güvenliğini sağlamaya yönelik mekanizmalar varmıdır?
35) Bilgi işlem sistemlerinin kayıt güvenliğini sağlamaya yönelik mekanizmalar varmıdır?
36) Bilgi işlem sistemi girişlerinde erişim yetkilendirmeleri yapılmışmıdır?
37) Bilgi işlem sistemindeki kayıtlara yönelik yeterli bir yedekleme mekanizması kurulmuşmudur?
38) Bilgi işlem sistemine yönelik siber tehditlere karşı alınmış önlemler varmıdır?
39) Bilgi işlem sistemlerinde yaşanacak olağanüstü durumlara yönelik telafi edici mekanizmalar öngörülmüşmüdür?
40) Kontrol faaliyetleri yılda en az bir defa iç denetime tabi tutulmaktamıdır?

Bilgi ve İletişim

1) İşletmede yetkililer, iç kontrol faaliyetlerinin işleyişine destek olmak bakımından gereken kaliteli bilgiyi temin edip, üretmekte ve kullanmaktamıdır?
2) Bu çerçevede işletme faaliyetlerinin etkin yürütülmesi bakımından bilgi gereksinimleri belirlenmektemidir?
3) İç ve dış kaynaklardan düzenli ve sistematik veri toplanmaktamıdır?
4) Toplanan veriler değerlendirilip kaliteli bilgi haline getirilmektemidir?
5) Bu işlemler yapılırken maliyet fayda analizi yapılmaktamıdır?
6) Yetkililer, düzenleme ve sorumlulukları içeren iç kontrole yönelik bilgileri etkili biçimde ilgililerine iletmektemidirler?
7) Bu süreçte üst yönetim ile yönetim kurulu iletişiminin sağlanması yapılmaktamıdır?
8) Bilgi ve iletişim faaliyetlerinde farklı kanallar kullanılmaktamıdır?
9) Dış paydaşlara yönelik aktif bir iletişim sistemi işlemektemidir?
10) İletişim faaliyetleri dışarıdan içeriye bilgi akışının sağlanması yönünde yürütülmektemidir?
11) İletişim faaliyetlerinde konuya göre uygun iletişim yöntemleri kullanılmaktamıdır?
12) İşletme genelinde ve birimlerde hangi raporların, kim tarafından, ne sıklıkta, ne zaman hazırlanacağı, kime sunulacağı belirlenmişmidir?
13) Yazılı prosedür haline getirilip çalışanlara duyurulmuşmudur?
14) Birimlerde iş ve işlemlerinin güvenli biçimde kaydı, sınıflandırılması, korunması ve erişim koşullarına yönelik bir arşiv ve dokümantasyon sistemi mevcutmudur?
15) İşletmede dışarıdan gelen/giden dökümanların kayıt düzenini belirleyen bir  sistem mevcutmudur?
16) İşletme içi haberleşme sistematik bir çerçevede yürütülmektemidir?
17) İşletmede suistimal ve başka amaçlı  bildirimler için iç ve dış paydaşlara yönelik bir ihbar hattı varmıdır?
18) Yürürlükteki ihbar hattı kullanacak olanlara güven vermektemidir?
19) İhbar hattı telefon ve dijital ortam imkanlarını kapsamaktamıdır?
20) İhbar hattının kullanılması için iç ve dış paydaşlar teşvik edilmektemidir?

Gözetim (İzleme)

1) İç kontrol unsurlarının var olduğu ve işlediği hususlarını değerlendirmek bakımından gereken planlamalar ve faaliyetler yapılmaktamıdır?
2) Gözetim faaliyetleri kapsamında rutin ve özel değerlendirmeler yapılmaktamıdır?
3) Gözetim faaliyetlerinde uzman çalışanlardan destek alınmaktamıdır?
4) Gözetim faaliyetleri belirlenen iş süreçleri ile entegremidir?
5) İş süreçlerinde değişimler dikkate alınmaktamıdır?
6) İzleme faaliyetlerinin kapsam ve aralıkları belirlenmektemidir?
7) Yılda en az bir defa iç kontrol faaliyetlerinin rutin değerlendirilmesi yapılmaktamıdır?
8) Değerlendirmeler belirlenen standartlara ve hedefler dikkate alınarak mevcutsonuçları kapsamaktamıdır?
9) Değerlendirmeler objektif yapılmaktamıdır?
10) İç kontrol sisteminde tespit edilen zaafiyetler, üst yönetim de dahil edilerek düzeltici önlemleri almakla yükümlü ilgililere bildirilmektedir?
11) Raporlamalar zamanında ve uygun biçimde yapılmaktamıdır?
12) Raporların değerlendirilmesi sonucunda gereken önlemler alınmaktamıdır?
13) Yürürlüğe konulan düzeltici eylemler izlenmektemidir?
14) İşletmede sürekli izleme faaliyetleri etkili olarak uygulanmaktamıdır?
15) Tüm bu gözetim faaliyetleri üst yönetime makul bir güvence sunmaktamıdır?

Kaynakça

COSO (Committee of Sponsoring Organizations of the Treadway Commission), Internal Control — Integrated Framework, Executive Summary- May 2013