İç Denetim ve İç Kontrol: Fark ve COSO Çerçevesi

İç kontrol, yönetimin ve çalışanların işletmenin hedeflerine ulaşma konusunda makul güvence sağlamak için kurup işlettiği kontroller bütünüdür; iç denetim, bu sistemi ve riskleri bağımsız biçimde değerlendirip yönetime raporlayan fonksiyondur; bağımsız denetim ise finansal tablolar hakkında görüş veren, KGK tarafından yetkilendirilmiş bağımsız denetim kuruluşlarınca yürütülen ayrı bir denetimdir. Üçü birbirine bağlıdır ama aynı iş değildir: iç kontrol bir “sistem”, iç denetim bu sistemin “değerlendirilmesi”, bağımsız denetim ise dışarıdan verilen “görüş”tür.

Uluslararası düzeyde en çok kullanılan iç kontrol çerçevesi COSO’dur; KGK’nın yayımladığı BDS 315 de bağımsız denetçilerin işletmenin iç kontrolünü beş bileşen üzerinden anlamasını ister. Bu yazı kavramları, çerçeveyi ve iç denetimin nasıl çalıştığını açıklar; kontrollerin adım adım tasarımı, görev dağılımı ve hile önleme ise ayrı bir rehberin konusudur ve ilgili makaleler bölümünde yer alır.

Üç kavram, üç ayrı iş

Bağımsız denetim raporu, KGK tarafından yetkilendirilmiş bağımsız denetim kuruluşlarınca düzenlenir; Celikel CPA olarak biz denetim hazırlığını, iç kontrol incelemesini ve denetçiyle koordinasyonu yürütürüz. Hangi şirketlerin bağımsız denetime tabi olduğu ayrı bir konudur: Bağımsız Denetim Kriterleri ve Hadleri rehberimize bakın.

İç denetimin kapsamı işletmeden işletmeye değişir. BDS 315’in ek açıklamasına göre iç denetim fonksiyonunun sorumlulukları risk yönetimi, iç kontrol ve kurumsal yönetim süreçlerinin tasarımına ve etkinliğine ilişkin yönetime ve üst yönetimden sorumlu olanlara güvence sağlamak amacıyla prosedür uygulanmasını ve sonuçlarının değerlendirilmesini içerebilir; bazı iç denetim çalışmaları ise faaliyetlerin ekonomikliği, verimliliği ve etkinliğine odaklanabilir ve doğrudan finansal raporlamayla ilgili olmayabilir.

COSO nedir, beş bileşeni nelerdir?

COSO (Committee of Sponsoring Organizations of the Treadway Commission), iç kontrol için ilk kez 1992’de yayımlanan ve 2013’te güncellenen bir çerçeve geliştirmiştir. COSO’ya göre 1992 sürümü, 15 Aralık 2014’te 2013 sürümüyle değiştirilmiştir. Çerçeve, operasyonların etkinliği, raporlamanın güvenilirliği ve mevzuata uyum hedeflerini ele alır ve iç kontrolü beş bileşen üzerinden tanımlar. KGK’nın BDS 315 metni de iç kontrol sisteminin bileşenlerini benzer şekilde sıralar:

COSO, kullanılabilecek bir çerçevedir; bu yazının dayandığı kaynaklarda genel bir yasal zorunluluk olarak yer almaz. BDS 315 de işletmelerin iç kontrol sisteminin farklı yönlerini açıklamak için farklı terminoloji veya çerçeveler kullanabileceğini, denetçilerin de standarttaki bileşenlerin tümünü ele almak kaydıyla farklı terminoloji kullanabileceğini belirtir.

BDS 315’in kontrol faaliyetleri hakkında söyledikleri

BDS 315’in ek metni, kontrol faaliyetlerini somut örneklerle açıklar. Başlıca türler şunlardır: yetkilendirme ve onay (örneğin gözetim yapan kişinin harcama raporunu inceleyip onaylaması), mutabakatlar (iki veya daha fazla veri unsurunun karşılaştırılması), doğrulamalar, fiziksel veya mantıksal kontroller (periyodik sayım ve sayım sonuçlarının kayıtlarla karşılaştırılması dahil) ve görevler ayrılığı: işlemlerin yetkilendirilmesi, kaydedilmesi ve varlıkların korunmasına ilişkin sorumlulukların farklı kişilere verilmesi. Metin ayrıca, hiçbir kontrolün mutlak güvence vermediğini; insan hatası, iki veya daha fazla kişinin muvazaası ve yönetimin kontrolleri ihlal etmesi nedeniyle iç kontrolün yalnızca makul güvence sağlayabildiğini vurgular.

İç denetim nasıl çalışır?

İç denetimin uluslararası standartlarını Uluslararası İç Denetçiler Enstitüsü (IIA) yayımlar. IIA’nın 2024 Global İç Denetim Standartları beş alandan oluşur: iç denetimin amacı, etik ve profesyonellik, iç denetim fonksiyonunun yönetişimi, iç denetim fonksiyonunun yönetimi ve iç denetim hizmetlerinin yürütülmesi. Bu alanların altında on beş ilke bulunur. Bir iç denetim çalışması pratikte şu akışı izler:

1. Risk bazlı plan. Yıllık plan, işletmenin riskleri puanlanarak yüksek riskli süreçlere öncelik verecek şekilde hazırlanır.
2. Kapsam ve yetki. Yönetim veya yönetim kurulu, iç denetimin kapsamını, erişim yetkisini ve raporlama hattını yazılı hale getirir (iç denetim yönergesi).
3. Saha çalışması. Habersiz kasa ve stok sayımları, tedarikçi ve müşteri mutabakatları, örnekleme testleri ve sistem kayıtlarının incelenmesi yapılır.
4. Bulgu raporu. Her bulgu için durum, risk, öneri, yönetimin yanıtı ve tamamlanma tarihi yazılır.
5. Takip. Önerilerin hayata geçirilip geçirilmediği izlenir; kapanmayan bulgular üst yönetime taşınır.

Örnek: risk bazlı önceliklendirme

Aşağıdaki tablo varsayımsaldır; 1 (düşük) ile 5 (yüksek) arasında olasılık ve etki puanı verilir, risk puanı ikisinin çarpımıdır.

Bu işletmede ilk denetim döngüsü ödeme sürecine, sonra stok ve bordroya ayrılır; kasa ise daha seyrek ve hafif bir kontrolle izlenir. Ölçek ve puanlama yöntemi işletmeye göre değişir; önemli olan aynı yöntemin her yıl tutarlı uygulanmasıdır.

Yasal çerçeve: TTK 378 ve bağımsız denetim

Genel olarak özel şirketlerde iç denetim fonksiyonu kurmayı zorunlu kılan bir hüküm bu yazının dayandığı kaynaklarda yer almaz. Düzenlemeye tabi sektörlerdeki şirketler için sektör mevzuatı ayrıca kontrol edilmelidir. Doğrudan iç kontrolle bağlantılı olan hüküm 6102 sayılı Türk Ticaret Kanunu’nun 378. maddesidir. KGK’nın 26/2/2024 tarihli duyurusuna göre, pay senetleri borsada işlem gören şirketlerde yönetim kurulu, şirketin varlığını, gelişmesini ve devamını tehlikeye düşüren sebeplerin erken teşhisi, gerekli önlemler ile çarelerin uygulanması ve riskin yönetilmesi amacıyla uzman bir komite kurmak, sistemi çalıştırmak ve geliştirmekle yükümlüdür; diğer şirketlerde bu komite, denetçinin gerekli görüp bunu yönetim kuruluna yazılı olarak bildirmesi hâlinde derhâl kurulur. TTK’nin 397. maddesinin dördüncü fıkrası uyarınca zorunlu olarak denetime tabi olan ve 378. maddeye göre komite kurması gereken şirketlerde bağımsız denetçi, sistemin ve komitenin işleyişi hakkında ayrı bir rapor da düzenler.

KOBİ’lerde iç kontrol ve iç denetim nasıl ölçeklenir?

BDS 315, iç kontrol sisteminin tasarım, uygulama ve sürdürme şeklinin işletmenin büyüklüğüne ve karmaşıklığına göre farklılaştığını; karmaşıklık düzeyi daha düşük işletmelerin daha az yapılandırılmış veya daha basit kontroller kullanabileceğini söyler. Pratik karşılığı şudur:

• Karmaşık yazılımlar yerine yazılı bir yetki ve onay matrisi ile başlayın.
• Aylık banka ve tedarikçi mutabakatlarını, ödeme yapan kişiden farklı biri hazırlasın veya gözden geçirsin.
• Stok ve kasa için düzenli sayım ve sayım sonuçlarının kayıtlarla karşılaştırılması rutin hale gelsin.
• Tam zamanlı iç denetçi maliyeti taşımadan, dış kaynaklı veya dönemsel iç denetim incelemesi alın.
• Bağımsız denetime hazırlanıyorsanız iç kontrol zayıflıklarını denetçi gelmeden önce kapatın: Celikel CPA bu aşamada denetime hazırlık, iç kontrol ve süreç incelemesi ile denetçiyle belge ve yazışma koordinasyonu konusunda destek verir.

Sık yapılan hatalar

• İç kontrolü “iç denetimin işi” sanmak. İç kontrolün sahibi yönetimdir; iç denetim değerlendirir.
• İç denetim raporunu bağımsız denetim raporu yerine koymak. Banka, yatırımcı ve ortaklar için finansal tablo görüşünü bağımsız denetçi verir.
• COSO’yu belge toplama işi gibi yürütmek. Çerçevenin amacı riskleri hedeflere bağlamaktır.
• Kontrol tasarlayıp izlememek. İzleme olmadığında kontroller zamanla işlemez hale gelir.
• Sorumluluk dağılımını yazılı hale getirmemek. Görev ve yetki sınırları yazılı değilse sistem kişilere bağlı kalır.

Kaynaklar

• KGK: BDS 315, “Önemli Yanlışlık” Risklerinin Belirlenmesi ve Değerlendirilmesi (2025 seti; Ek 3 ve Ek 4)
• KGK: Yıllık faaliyet raporu ile riskin erken saptanması sistemi ve komitesi hakkında denetçi raporlarına ilişkin duyuru (26/2/2024, TTK m.378)
• COSO: Internal Control - Integrated Framework
• IIA: Global Internal Audit Standards (2024)

Denetime Hazırlık ve İç Kontrol İncelemesi

Bağımsız denetim raporu, KGK tarafından yetkilendirilmiş bağımsız denetim kuruluşlarınca düzenlenir; biz denetim hazırlığını ve denetçiyle koordinasyonu yürütürüz. Celikel CPA, iç kontrol ve süreç incelemesi, mali tabloların denetime hazır hale getirilmesi ve bağımsız denetim kuruluşlarıyla belge ve yazışma koordinasyonu konularında işletmelere destek olur.

• Denetim Hizmetlerimizi inceleyin,
• Denetim eşikleri için Bağımsız Denetim Kriterleri ve Hadleri rehberimize bakın,
• İç kontrol incelemesi veya denetime hazırlık için bizimle iletişime geçin.

Bu yazı genel bilgilendirme amaçlıdır; somut yükümlülükleriniz için güncel mevzuatı ve yetkili uzmanları esas alın.