Orta ölçekli şirketler ilginç bir eşikte durur. İşlem hacmi, kurucunun her faturayı tek tek görebileceği düzeyi çoktan aşmıştır; fakat şirket henüz büyük bir iç denetim birimi, ayrıntılı politika setleri ya da çok katmanlı onay sistemleri kuracak ölçekte değildir. Yoğun güven ve seyrek kontrolün kendini gösterdiği bu boşluk, suistimal için en elverişli ortamı yaratır.
Bu yazıda, sınırlı kaynaklarla etkili bir iç kontrol yapısının nasıl kurulabileceğini, uluslararası çerçevelerden ve suistimal verilerinden yararlanarak tartışıyorum.
Kontrol yokluğu ve kontrolün aşılması
Suistimal İnceleme Uzmanları Birliği’nin (ACFE) 2026 raporu, 143 ülkeden 2.402 vakayı inceliyor. Raporun açıklamasına göre vakaların yarısından fazlasında iç kontrol eksikliği ya da mevcut kontrollerin aşılması belirleyici rol oynuyor. Yani bu vakalarda suistimalin gerçekleşmesi için karmaşık hile tekniklerine başvurulmamıştır. Çoğu vakanın nedeni ya hiç var olmayan ya da kolayca etrafından dolaşılan bir kontrolden ibarettir.
Orta ölçekli şirketlerde bu iki sorun bir arada görülür. Kontroller çoğu zaman yazılı değildir; kişilere bağlıdır. Kişiler değiştiğinde ya da iş yükü arttığında ortadan kalkar. Kontrollerin aşılması ise genellikle iyi niyetle başlar. İşin aciliyeti, konunun kendine has özellikleri, personel eksikliği gibi nedenlerle imza, belge, kontrol ve onay sonraya bırakılır.
Çerçeve: COSO’yu ölçeğe göre uygulamak
İç kontrolün dünyada en yaygın kabul gören çerçevesi COSO’nun 2013 tarihli İç Kontrol Bütünleşik Çerçevesi. Beş bileşen (kontrol ortamı, risk değerlendirmesi, kontrol faaliyetleri, bilgi ve iletişim, izleme) ve bunlara bağlı 17 ilkeden oluşuyor. Çerçevenin sık gözden kaçan bir özelliği, her şirkete aynı yoğunlukta uygulanmak üzere tasarlanmamış olmasıdır. İlkeler aynı kalsa da bunları karşılayan kontrollerin biçimi, şirketin büyüklüğüne ve risk profiline göre değişebilir niteliktedir.
Orta ölçekli bir şirket için bu, her süreç için ayrıntılı bir prosedür yazma zorunluluğunu ortadan kaldırır. Bunun yerine, en büyük riskleri taşıyan birkaç süreçte birkaç güçlü kontrol kurmak, ölçeğin gereksinimlerine uygun iyi bir iç kontrol tasarımıdır.
Öncelikli yedi kontrol
ACFE verilerine göre varlıkların kötüye kullanımı vakaların yaklaşık yüzde 90’ını oluşturmaktadır. Bu vakalar çoğunlukla satın alma, ödeme, bordro ve stok süreçlerinde yoğunlaşmaktadır. Bu süreçlerde şu yedi kontrol, maliyetine göre en yüksek getiriyi sağlar:
- Yazılı yetki matrisi. Kim, hangi tutara kadar, neyi onaylayabilir? Tek sayfalık bir tablo, belirsizliği ve “herkes her şeyi onaylıyor” durumunu ortadan kaldırır.
- Tedarikçi ana verisinde ikinci onay. Yeni tedarikçi açılması ve özellikle banka hesabı değişikliği, ödeme yapan kişiden farklı biri tarafından onaylanmalı ve tedarikçiyle bağımsız bir kanaldan teyit edilmelidir.
- Aylık banka mutabakatı. Mutabakatı ödeme yetkisi olmayan biri hazırlamalı, yönetici imzalamalı.
- Bordro ile personel kayıtlarının karşılaştırılması. Bordrodaki her kişinin SGK kaydı ve aktif personel listesiyle eşleştiği, ayda bir kontrol edilmelidir.
- Sürpriz sayımlar. Kasa ve kritik stoklarda önceden duyurulmayan sayımlar, hem tespit hem caydırıcılık açısından etkilidir.
- Yönetim incelemesi. Yöneticinin aylık olarak bütçe ve gerçekleşme farklarını, en büyük tedarikçileri ve olağan dışı kalemleri gözden geçirmesi. ACFE raporu yönetim incelemesini, daha düşük kayıplarla ilişkilendirilen kontroller arasında sayıyor.
- İhbar kanalı. ACFE’ye göre suistimallerin yüzde 43’ü bir ihbarla ortaya çıkıyor ve ihbarların yarısından fazlası çalışanlardan geliyor. Basit, gizliliği güvence altında bir e-posta adresi ya da dış bir ihbar hattı bile bu kanalı açar.
Görevler ayrılığı mümkün olmadığında
Küçük ekiplerde görevler ayrılığı ilkesi her zaman uygulanamaz. Muhasebeci aynı zamanda ödemeyi yapıyor, satın almacı aynı zamanda teslim alıyor olabilir. Bu durumda çözüm, telafi edici kontrollerdir:
- İşlemi yapan kişiden bağımsız bir yöneticinin, belirli aralıklarla işlemleri geriye dönük incelemesi,
- Banka hesap hareketlerinin, ödeme yetkisi olmayan bir yöneticiye doğrudan bildirilmesi,
- Kritik görevlerde zorunlu izin ve rotasyon (birçok suistimal, kişinin işini başkasına bırakamadığı için sürer),
- e-Fatura ve e-defter verisinin düzenli olarak otomatik testlerle taranması.
Kontrol ortamı: Belki de en önemlisi
COSO’nun ilk bileşeni olan kontrol ortamı, yazılı kurallardan çok üst yönetimin tavrı ile ilgilidir. Kurucu ya da genel müdür, kendi harcamalarını da aynı onay sürecinden geçiriyorsa, bir çalışanın kuralı esnetmesi zorlaşır. Tersine, en tepedeki kişi kontrolleri bir tür bürokrasi olarak görüyorsa, en iyi tasarlanmış prosedür bile kaçınılmaz olarak kâğıt üzerinde kalır.
ACFE raporları bu noktada tutarlı bir tablo ortaya koyuyor: Sahipler ve üst düzey yöneticiler vakaların küçük bir bölümünü oluştursa da, karıştıkları vakalar en yüksek medyan kayıpların görüldüğü grup olarak öne çıkıyor. Bu nedenle iç kontrol, yalnızca çalışanları değil, yönetimi de kapsayacak biçimde tasarlanmalıdır. Yönetim kurulu düzeyinde bir denetim komitesi ya da en azından yılda bir kez bağımsız bir gözle yapılan inceleme, bu dengeyi kurmanın yollarından biridir.
İç denetim fonksiyonu: Hangi model?
Orta ölçekli bir şirketin tam zamanlı bir iç denetim birimi kurması her zaman ekonomik değildir. Seçenekler genel olarak üç başlıkta toplanır: şirket içinde yarı zamanlı bir görevlendirme, tamamen dış kaynaklı iç denetim ya da ikisinin birleşimi. Hangi model seçilirse seçilsin, Uluslararası İç Denetçiler Enstitüsü’nün (IIA) Ocak 2025’te yürürlüğe giren Küresel İç Denetim Standartları’nın temel ilkeleri geçerlidir: bağımsızlık, nesnellik, risk odaklı planlama ve yönetim kuruluna doğrudan raporlama.
Sonuç
İç kontrol, büyüklükle değil riskle orantılı olmalıdır. Orta ölçekli bir şirket, büyük bir şirketin bütün prosedürlerine ihtiyaç duymaz; ama büyük riskleri taşıyan birkaç süreçte, işleyen, yazılı ve düzenli olarak test edilen kontrollere ihtiyaç duyar. Bu kontrollerin maliyeti çoğu zaman tek bir suistimal vakasının maliyetinden azdır. Asıl maliyet, kontrolün yokluğunu ancak kayıp yaşandıktan sonra fark etmektir.
Kaynaklar
- COSO, Internal Control — Integrated Framework (2013): https://www.coso.org/
- The IIA, Global Internal Audit Standards (yürürlük: 9 Ocak 2025): https://www.theiia.org/en/standards/
- ACFE, Occupational Fraud 2026: A Report to the Nations, basın bülteni: https://www.acfe.com/about-the-acfe/newsroom-for-media/press-releases/press-release-detail?s=occupational-fraud-2026-a-report-to-the-nations-pr
Bu yazı genel bilgilendirme amaçlıdır; mesleki görüş niteliği taşımaz.