İç Denetime yıllarını vermiş bir meslek insanı olarak yıllardır farklı şirketleri, farklı sektörleri ve farklı iş yapış biçimlerini gözlemliyorum.
Her şirketin kendine özgü bir hikâyesi var.
Kimi hızla büyümek istiyor, kimi kurumsallaşmanın peşinde, kimi kârlılığını artırmaya çalışıyor, kimi ise değişen ekonomik koşullar karşısında ayakta kalmaya çalışıyor.
Ama bütün bu farklılıkların arasında ortak bir soru var:
Şirketler gerçekten kendilerini ne kadar tanıyor?
Çünkü dışarıdan bakıldığında başarılı görünen bir şirketin içinde ciddi riskler bulunabilir. Aynı şekilde, sorun yaşadığı düşünülen bir şirketin güçlü ve sağlam süreçleri de olabilir.
İç denetçinin görevi, işte bu görünmeyen tarafı ortaya çıkarmaktır.
Biz iç denetçiler sadece rakamlara bakmayız
İç denetçi denildiğinde çoğu kişinin aklına finansal tablolar, faturalar, muhasebe kayıtları ve hesap kontrolleri geliyor.
Oysa iç denetim bundan çok daha geniş bir alandır.
Biz yalnızca “Rakam doğru mu?” diye bakmayız.
Şunu da sorarız:
· Bu rakam nasıl oluştu?
· Bu sürecin kontrolü kimde?
· Kararı kim veriyor?
· Kararı veren kişi aynı zamanda kontrolü de yapıyor mu?
· Bir hata olduğunda bunu kim fark edecek?
· Sistemde tek bir kişinin bilgisine bağımlılık var mı?
· Yarın bu çalışan şirketten ayrılırsa süreç devam edebilir mi?
İşte bazen bu soruların cevabı, bilançodaki rakamlardan çok daha önemli bir gerçeği ortaya çıkarır.
En büyük risk bazen “güven”dir
Şirketlerde sık duyduğum bir cümle vardır: “Biz ona güveniyoruz.”
Güven elbette değerlidir.
Fakat kurumsal yönetimin temelini yalnızca güven üzerine kurmak risklidir.
Çünkü iyi kontrol sistemi, insanlara güvenmediği için değil; insanların hata yapabileceğini kabul ettiği için vardır.
En dürüst çalışan bile hata yapabilir.
En başarılı yönetici yanlış karar verebilir.
En güvenilir tedarikçi zaman içinde değişebilir.
En iyi çalışan bir gün şirketten ayrılabilir.
Dolayısıyla mesele insanlara güvenip güvenmemek değildir.
Mesele, sistemin kişilere bağımlı olmamasıdır.
“Bugüne kadar bir şey olmadı” bir güvence değildir
İç denetim çalışmalarında karşılaştığımız bir başka yaklaşım da şudur:
“Yıllardır böyle yapıyoruz ve bugüne kadar sorun çıkmadı.”
Bu cümle ilk bakışta ikna edici gelebilir.
Ama iç denetçi açısından tam tersine yeni bir soru doğurur:
“Peki, sorun çıkmamasının nedeni süreç gerçekten sağlam olduğu için mi, yoksa henüz kimse sorunu fark etmediği için mi?”
Aradaki fark çok önemlidir.
Bir kontrolün işe yarayıp yaramadığını anlamanın yolu, hiçbir problem yaşanmamış olması değildir.
Kontrolün gerçekten çalışıp çalışmadığını test etmektir.
İç denetçi kötü haberi söylemekten çekinmemelidir
Bence iyi bir iç denetçinin en önemli özelliklerinden biri, yönetimin duymak istemediği şeyi de söyleyebilmesidir.
Çünkü iç denetimin amacı yönetimi memnun etmek değildir.
Amaç, şirkete gerçek anlamda değer katmaktır.
Bir süreçte ciddi bir risk görüyorsak bunu raporlamalıyız.
Bir kontrol çalışmıyorsa söylemeliyiz.
Bir yetki problemi varsa ortaya koymalıyız.
Bir uygulamanın şirketi gelecekte zor durumda bırakabileceğini düşünüyorsak bunu yönetime anlatmalıyız.
Bunu yaparken suçlayıcı değil, çözüm odaklı olmak gerekir.
Çünkü iyi bir iç denetim raporu sadece problemi göstermez.
Çözümün yolunu da gösterir.
En iyi iç denetim, şirketin gelişmesine katkı sağlayandır.
İç denetim raporlarının kalınlığıyla değerini ölçmek doğru değildir.
Bazen onlarca sayfalık rapordan daha değerli olan, yönetimin kararını değiştiren tek bir tespittir.
Bir sürecin yeniden tasarlanmasını sağlamak…
Gereksiz bir maliyeti ortadan kaldırmak…
Bir suiistimal riskini azaltmak…
Bilgi güvenliğindeki açığı kapatmak…
Görev ve sorumlulukları netleştirmek…
Bunların her biri iç denetimin şirkete sağladığı somut değerdir.
Bu nedenle iç denetim bir “kontrol birimi” olmaktan öte, kurumsal gelişimin araçlarından biri olarak görülmelidir.
Yönetici her şeyi göremez
Bunu özellikle vurgulamak istiyorum:
Şirket yöneticisinin her şeyi bilmesi mümkün değildir.
Bu bir eksiklik değildir.
Şirket büyüdükçe süreçler karmaşıklaşır. Bilgi farklı birimlere dağılır. Operasyon çeşitlenir. Teknoloji devreye girer. Yeni riskler ortaya çıkar.
Yönetimin her şeyi aynı anda görmesi mümkün değildir.
İç denetçi burada yönetimin gözü, kulağı veya vicdanı değildir.
Ama yönetimin kararlarına bağımsız ve objektif bir bakış açısı kazandırabilir.
Bazen yönetimin ihtiyacı yeni bir rapor değil, mevcut tabloya farklı bir açıdan bakılmasıdır.
Geleceğin şirketleri risklerini yöneten şirketler olacak
Önümüzdeki yıllarda şirketlerin karşı karşıya kalacağı risklerin daha da çeşitleneceğini düşünüyorum.
Yapay zekâ, siber güvenlik, veri güvenliği, tedarik zinciri, mevzuat değişiklikleri, ekonomik dalgalanmalar ve insan kaynağı gibi alanlar yönetim gündeminde daha fazla yer alacak.
Bu ortamda “Biz bugüne kadar böyle yaptık” anlayışı yeterli olmayacak.
Şirketlerin kendilerine sürekli şu soruyu sormaları gerekecek:
“Değişen dünyada bizim kontrol sistemimiz de değişiyor mu?”
İç denetimin gelecekteki en önemli görevlerinden biri de bu soruya cevap aramak olacak.
Son söz: İç denetçi sorun aramaz, kör noktaları arar
İç denetçi olarak benim için iç denetimin en güzel tanımı belki de şudur:
İç denetçi sorun aramaz; şirketin göremediği kör noktaları arar.
Çünkü her şirketin bir kör noktası vardır.
Bazen aşırı güven olur.
Bazen hızlı büyüme.
Bazen tek kişiye bağımlılık.
Bazen kontrol eksikliği.
Bazen de “Bize bir şey olmaz” düşüncesi.
Önemli olan bu kör noktaları kriz ortaya çıkmadan önce fark edebilmektir.
Şirket sahiplerine, yöneticilere ve yönetim kurullarına tavsiyem çok açık:
İç denetçinizi sadece hata bulması için değil, size henüz göremediğiniz riskleri göstermesi için dinleyin.
Çünkü iyi bir iç denetçinin şirkete kazandırdığı en büyük değer, geçmişteki hataları anlatmak değildir.
Gelecekteki hataları önleyebilecek bir bakış açısı kazandırmaktır.
İş dünyasında bazen milyonlarca liralık değerin karşılığı, zamanında sorulmuş tek bir sorudur: “Peki, burada gözümüzden kaçan ne var?”
