İç Denetim ile İç Kontrol Arasındaki Fark

Yönetim kurulu toplantılarında “iç kontrol” ve “iç denetim” ifadeleri çoğu zaman aynı anlamda kullanılır. Oysa iki kavram farklı sorulara cevap verir. İç kontrol “riskleri nasıl yönetiyoruz?” sorusunun cevabıdır ve şirketin günlük işleyişine gömülüdür. İç denetim ise “kurduğumuz sistem gerçekten çalışıyor mu?” sorusunu, işin içinde olmayan bir gözle sorar.

Bu ayrım yalnızca terminoloji meselesi değildir. Sorumluluğun kimde olduğunu, raporlamanın kime yapıldığını ve bir kontrol zaafının nasıl ortaya çıkacağını belirler. İki fonksiyonu birbirinin yerine koyan şirketler genellikle ya kontrolleri denetim ekibine yaptırır ya da denetimi kontrolü uygulayan birimin kendisine bırakır. Her iki durumda da bağımsız bakış kaybolur.

Aşağıda iki kavramı uluslararası kabul görmüş çerçeveler, yani COSO İç Kontrol – Bütünleşik Çerçevesi ile IIA’nın Küresel İç Denetim Standartları üzerinden açıklıyor; Türk Ticaret Kanunu’ndaki riskin erken saptanması yükümlülüğüyle ilişkisini kuruyoruz.

İç kontrol nedir: COSO çerçevesi ve beş bileşen

İç kontrol için en yaygın referans, Treadway Komisyonu Destekleyici Kuruluşlar Komitesi’nin (COSO) İç Kontrol – Bütünleşik Çerçevesi’dir. İlk olarak 1992’de yayımlanan çerçevenin güncellenmiş hâli 14 Mayıs 2013’te yayımlanmış; COSO, 1992 sürümünü 15 Aralık 2014 itibarıyla yürürlükten kalkmış kabul etmiştir. 2013 sürümü, iç kontrolü beş bileşen ve bu bileşenlere dağılan 17 ilke ile tanımlar.

1. 1.Kontrol ortamı: Dürüstlük ve etik değerlere bağlılık, yönetim kurulunun gözetimi, yetki ve sorumluluk yapısı, yetkinlik ve hesap verebilirlik.
2. 2.Risk değerlendirmesi: Hedeflerin belirlenmesi, bu hedeflere yönelik risklerin tanımlanması ve analizi, suistimal riskinin değerlendirilmesi, önemli değişikliklerin izlenmesi.
3. 3.Kontrol faaliyetleri: Onay, mutabakat, görevler ayrılığı, erişim kısıtları ve bilgi sistemleri kontrolleri gibi riskleri kabul edilebilir düzeye indiren uygulamalar.
4. 4.Bilgi ve iletişim: Kontrollerin işlemesi için gereken güvenilir bilginin üretilmesi ve şirket içinde ve dışında doğru kişilere ulaştırılması.
5. 5.İzleme faaliyetleri: Kontrollerin sürekli ya da dönemsel değerlendirmelerle izlenmesi ve tespit edilen eksikliklerin zamanında ilgili kişilere bildirilmesi.

COSO’ya göre etkin bir iç kontrol için bu bileşenlerin her birinin mevcut olması, işlemesi ve birlikte çalışması gerekir. Buradaki kilit nokta şudur: İç kontrolün sahibi yönetimdir. Kontrolleri satın alma, finans, satış ve bilgi teknolojileri gibi süreç sahipleri tasarlar ve uygular. Beşinci bileşen olan izleme, iç denetimin devreye girdiği alanlardan biridir; ancak izleme iç denetimden ibaret değildir ve iç denetim de izlemeyle sınırlı değildir.

İç denetim nedir: IIA Küresel İç Denetim Standartları

İç denetim mesleğinin standartlarını İç Denetçiler Enstitüsü (IIA) belirler. IIA, Küresel İç Denetim Standartları’nı 9 Ocak 2024’te yayımlamış; standartlar 9 Ocak 2025’te yürürlüğe girmiştir. Yeni yapı, önceki Uluslararası Mesleki Uygulama Çerçevesi’nin zorunlu unsurlarını tek bir metinde toplar ve beş alan ile 15 ilke etrafında düzenlenmiştir:

• İç denetimin amacı
• Etik ve profesyonellik
• İç denetim fonksiyonunun yönetişimi
• İç denetim fonksiyonunun yönetimi
• İç denetim hizmetlerinin yürütülmesi

Standartların amaç bölümüne göre iç denetim, yönetim kuruluna ve yönetime bağımsız, risk odaklı ve objektif güvence, tavsiye, içgörü ve öngörü sağlayarak kurumun değer yaratma, koruma ve sürdürme kabiliyetini güçlendirir. Standartlar ayrıca iç denetim fonksiyonunun yönetim kurulu tarafından yetkilendirilmesini ve gözetilmesini, görev ve yetkilerin bir iç denetim yönetmeliğiyle belirlenmesini öngörür. Bu düzenleme, iç denetimin bağımsızlığını kâğıt üzerinde değil yapısal olarak güvence altına almayı amaçlar.

Temel farklar bir bakışta

Pratikte en sık görülen hata, iç denetim biriminden kontrol uygulamasının istenmesidir: ödeme onaylarına imza atmak, stok sayımını bizzat yürütmek ya da yeni bir sürecin kontrol adımlarını kendisi işletmek. Bu durumda iç denetçi daha sonra kendi yaptığı işi değerlendirmek zorunda kalır ve objektifliği zedelenir. Kontrolün tasarımı konusunda danışmanlık vermek ile kontrolün sahibi olmak arasındaki çizgi bu nedenle net tutulmalıdır.

TTK 378 ve riskin erken saptanması komitesi

Türk Ticaret Kanunu’nun 378’inci maddesi, şirketin varlığını, gelişmesini ve devamını tehlikeye düşüren sebeplerin erken teşhisi, gerekli önlemlerin uygulanması ve riskin yönetilmesi için uzman bir komite kurulmasını düzenler. Pay senetleri borsada işlem gören şirketlerde yönetim kurulu bu komiteyi kurmak, sistemi çalıştırmak ve geliştirmekle yükümlüdür. Diğer şirketlerde komite, denetçinin gerekli görüp yönetim kuruluna yazılı olarak bildirmesi hâlinde hemen kurulur ve ilk raporunu kuruluşundan itibaren bir ay sonunda verir.

Komite, yönetim kuruluna iki ayda bir sunduğu raporda durumu değerlendirir, varsa tehlikelere işaret eder ve çareleri gösterir; rapor denetçiye de gönderilir. KGK’nın 26 Şubat 2024 tarihli duyurusuna göre bu sistemi kurmakla yükümlü şirketlerin zorunlu denetiminde bağımsız denetçi, finansal tablolar ve yıllık faaliyet raporu hakkındaki raporlarından ayrı olarak riskin erken saptanması sistemi ve komitesi hakkında da bir rapor düzenler.

Bu yapı, iç kontrol ve iç denetimle doğrudan ilişkilidir ama ikisinin de yerini tutmaz. Komite yönetim kurulu adına riskleri izleyen bir organdır. Beslendiği bilginin güvenilirliği iç kontrol sistemine, bu bilginin ve kontrollerin bağımsız olarak sınanması ise büyük ölçüde iç denetime dayanır. İç denetim raporları, komitenin iki aylık değerlendirmelerinde kullanılabilecek en somut girdilerden biridir.

Yönetim kurulu için pratik sonuçlar

İki fonksiyonun ayrımı, yönetim kurulunun soracağı soruları da belirler. İç kontrol için soru “kontrol var mı ve kim sorumlu?”dur; iç denetim için ise “bu kontrolü kim, ne kadar bağımsız biçimde test etti?” sorusu öne çıkar. Aşağıdaki kontrol listesi, mevcut yapının değerlendirilmesi için bir başlangıç noktası olabilir:

• Kritik süreçlerin kontrol sahipleri yazılı olarak belirlenmiş mi?
• İç denetim birimi yönetim kuruluna veya denetim komitesine doğrudan raporluyor mu?
• İç denetimin görev ve yetkileri yönetim kurulunca onaylanmış bir yönetmelikle tanımlanmış mı?
• Yıllık iç denetim planı risk değerlendirmesine dayanıyor mu, yoksa her yıl aynı birimler mi denetleniyor?
• Bulguların takibi kimde ve kapanmayan bulgular yönetim kuruluna raporlanıyor mu?
• TTK 378 kapsamındaki komite raporları iç denetim bulgularını dikkate alıyor mu?

Her ölçekteki şirketin tam kadrolu bir iç denetim birimi kurması gerekmeyebilir. Dış kaynaklı ya da ortak kaynaklı iç denetim modelleri, özellikle orta ölçekli şirketlerde bağımsız değerlendirmeye erişimin yaygın yollarıdır. Hangi model seçilirse seçilsin, belirleyici olan iç denetimin kontrol uygulamasından ayrı tutulması ve yönetim kuruluna doğrudan erişimidir. Galata Audit, iç denetim danışmanlığı kapsamında risk yönetimi, iç kontrol ve yönetişim süreçlerinin bağımsız değerlendirilmesine destek verir.