Kamu Kurumlarında İç Kontrol ve Kurumsal Risk Yönetimi Nasıl Kurulur?

Giriş

Kamu kurumlarının kaynaklarını etkili, ekonomik ve verimli kullanması; faaliyetlerini mevzuata uygun biçimde yürütmesi ve hesap verebilirliği güvence altına alması, yalnızca denetim birimlerinin çalışmalarıyla sağlanamaz. Bu amaçlara ulaşılabilmesi için kurumun bütün faaliyetlerine yerleşmiş, yöneticiler ve çalışanlar tarafından sahiplenilmiş bir iç kontrol sistemi kurulmalıdır. İç kontrol; hata ve usulsüzlükleri sonradan tespit eden dar kapsamlı bir denetim mekanizması değil, kurumsal amaçlara ulaşılmasını destekleyen sürekli bir yönetim sürecidir.

5018 sayılı Kamu Mali Yönetimi ve Kontrol Kanunu, kamu idarelerinde mali yönetim ve kontrol yapısının temel hukuki çerçevesini oluşturur. Kanunda iç kontrol; faaliyetlerin belirlenmiş politikalara ve mevzuata uygun yürütülmesini, kaynakların korunmasını, kayıtların doğru tutulmasını ve güvenilir bilgi üretilmesini amaçlayan mali ve mali olmayan kontroller bütünü olarak ele alınmaktadır. Bu çerçevenin kurum düzeyinde uygulanması ise kamu iç kontrol standartları, süreç yönetimi ve kurumsal risk yaklaşımının birlikte işletilmesini gerektirir.

İç Kontrol ve Kurumsal Risk Yönetimi Arasındaki İlişki

Risk yönetimi, kurumsal hedeflerin gerçekleşmesini etkileyebilecek belirsizliklerin belirlenmesi, değerlendirilmesi ve uygun karşılıkların geliştirilmesi sürecidir. İç kontrol ise bu risklere karşı oluşturulan politika, yöntem, organizasyon yapısı ve uygulamaların bütününü kapsar. Dolayısıyla risk yönetimi ile iç kontrol birbirinden bağımsız iki sistem değil, aynı yönetim döngüsünün tamamlayıcı unsurlarıdır.

Kurumsal risk yalnızca bütçe kaybı veya mali hata ihtimalinden ibaret değildir. Hizmet kalitesinin düşmesi, mevzuata aykırı işlem yapılması, bilgi sistemlerinin kesintiye uğraması, nitelikli personel kaybı, proje hedeflerinin gerçekleşmemesi, itibarın zedelenmesi ve stratejik amaçlara ulaşılamaması da kurumsal risk kapsamında değerlendirilmelidir. Bu nedenle kurulacak yapı; stratejik, operasyonel, mali, hukuki, teknolojik ve itibari riskleri kapsayan bütüncül bir modele dayanmalıdır.

Kurulum Öncesinde Yönetişim Yapısının Belirlenmesi

İç kontrol sisteminin kurulmasına üst yöneticinin açık desteği ve yönlendirmesiyle başlanmalıdır. Üst yönetimin yalnızca onay veren konumda kalması, sistemin belge üretme faaliyetine dönüşmesine neden olabilir. Üst yönetici hedefleri belirlemeli, sorumlulukları dağıtmalı, uygulamayı izlemeli ve gerekli kaynakların tahsisini sağlamalıdır.

Harcama yetkilileri ve birim yöneticileri, kendi görev alanlarındaki süreçlerin ve risklerin yönetilmesinden sorumludur. Mali hizmetler birimi veya ilgili koordinasyon birimi; yöntem geliştirme, rehberlik, konsolidasyon, raporlama ve izleme görevlerini yerine getirir. İç denetim ise sistemin yeterliliğini ve etkinliğini bağımsız biçimde değerlendirir; ancak yönetimin yerine geçerek riskleri sahiplenmez veya kontrolleri doğrudan yürütmez.

Kurumsal yapılanmada görev, yetki ve sorumlulukların yazılı hale getirilmesi önem taşır. İç kontrol izleme ve yönlendirme kurulu, risk koordinasyon ekibi veya benzeri yapılar oluşturulabilir. Bununla birlikte komisyon sayısını artırmak tek başına etkili bir sistem kurulduğu anlamına gelmez. Esas olan; karar alma, uygulama, izleme ve raporlama rollerinin açık olmasıdır.

Süreç Yönetimi Altyapısının Oluşturulması

Risklerin sağlıklı şekilde belirlenebilmesi için kurumun faaliyetlerinin süreç temelli olarak tanımlanması gerekir. Süreç yönetimi, kurumsal faaliyetleri yalnızca teşkilat şemasındaki birimlere göre değil; girdileri, faaliyetleri, çıktıları, sorumluları ve yararlanıcılarıyla birlikte ele alır. Satın alma, personel yönetimi, bütçe hazırlama, ruhsatlandırma, bilgi teknolojileri, taşınır yönetimi ve proje uygulama gibi faaliyetler süreç veya alt süreç olarak yapılandırılabilir.

Her süreç için amaç, kapsam, süreç sahibi, görevli birimler, girdiler, çıktılar, iş akışı, kullanılan bilgi sistemleri, ilgili mevzuat ve performans göstergeleri belirlenmelidir. Süreç kartları ve iş akış şemaları hazırlanırken uygulamada bulunmayan ideal bir yapı değil, fiilen yürütülen işlemler esas alınmalıdır. Ardından mevcut işleyişteki yetki belirsizlikleri, tekrarlar, gecikmeler ve kontrol boşlukları tespit edilerek süreçler iyileştirilmelidir.

Risklerin Belirlenmesi ve Değerlendirilmesi

Risk değerlendirme çalışmasının başlangıç noktası kurumun misyonu, stratejik planı, performans hedefleri ve süreç amaçlarıdır. Hedefi tanımlanmamış bir faaliyet için risk belirlemek güçtür. Bu nedenle her risk, hangi hedefi ve hangi süreci etkilediği gösterilerek kaydedilmelidir.

Risklerin belirlenmesinde çalıştaylar, personel görüşmeleri, geçmiş denetim bulguları, performans sonuçları, vatandaş şikâyetleri, hata kayıtları, dava dosyaları ve olay analizlerinden yararlanılabilir. Risk ifadeleri yalnızca sorun adı şeklinde yazılmamalıdır. Riskin nedeni, gerçekleşebilecek olay ve muhtemel etkisi anlaşılır biçimde ortaya konulmalıdır. Örneğin “eğitim yetersizliği” yerine, personelin mevzuat bilgisi eksikliği nedeniyle hatalı işlem yapılması ve hizmet süresinin uzaması şeklinde neden-sonuç ilişkisi kurulabilir.

Risklerin Ölçülmesi ve Önceliklendirilmesi

Belirlenen riskler genellikle gerçekleşme olasılığı ve kurumsal etkisi bakımından puanlanır. Etki değerlendirilirken mali kayıp, hizmet kesintisi, mevzuata aykırılık, itibar kaybı, insan sağlığı ve çevresel sonuçlar gibi ölçütler kullanılabilir. Olasılık ve etki puanlarının bileşimi risk seviyesini gösterir. Kurumun yapısına göre basit bir puanlama ölçeği veya daha ayrıntılı değerlendirme yöntemi tercih edilebilir.

Değerlendirmede doğal risk ile artık risk ayrımı yapılması yararlıdır. Doğal risk, herhangi bir kontrol bulunmadığı varsayımı altındaki seviyeyi; artık risk ise mevcut kontroller uygulandıktan sonra kalan seviyeyi ifade eder. Böylece kontrollerin riski ne ölçüde azalttığı ve ek tedbire ihtiyaç bulunup bulunmadığı görülebilir. Kurum ayrıca kabul edebileceği risk düzeyini belirlemeli ve hangi risklerin üst yönetime taşınacağını açıklığa kavuşturmalıdır.

Kontrol Faaliyetlerinin Tasarlanması

Kontrol faaliyetleri, riskleri kabul edilebilir seviyeye indirmek amacıyla oluşturulan politika ve prosedürlerdir. Yetki devri, görevler ayrılığı, onay mekanizmaları, fiziksel kontroller, mutabakat işlemleri, erişim yetkileri, kontrol listeleri, veri doğrulama kuralları ve yönetsel gözden geçirmeler bu kapsamda değerlendirilebilir.

Her risk için yeni bir kontrol oluşturmak yerine öncelikle mevcut kontrollerin tasarımı ve işleyişi incelenmelidir. Bir kontrolün etkili sayılabilmesi için riskle doğrudan ilişkili olması, sorumlusunun belirlenmesi, uygun sıklıkta uygulanması ve gerektiğinde kanıtlanabilir olması gerekir. Uygulamada karşılığı bulunmayan prosedürler veya yalnızca imza sayısını artıran onay aşamaları etkili kontrol olarak kabul edilmemelidir.

Kontroller belirlenirken maliyet-fayda dengesi gözetilmelidir. Riskin muhtemel etkisinden daha yüksek maliyet doğuran veya hizmet sunumunu gereksiz şekilde yavaşlatan kontroller kurumsal performansı olumsuz etkileyebilir. Önleyici kontroller hatanın ortaya çıkmasını engellerken, tespit edici kontroller gerçekleşmiş sapmaları belirler; düzeltici kontroller ise sonuçların giderilmesini sağlar. Dengeli bir sistem bu kontrol türlerini riskin niteliğine göre birlikte kullanır.

Risk Eylem Planının Hazırlanması

Kabul edilebilir seviyenin üzerinde kalan riskler için risk eylem planı hazırlanmalıdır. Planda riskin tanımı, mevcut kontroller, uygulanacak ilave tedbir, sorumlu birim veya kişi, tamamlanma süresi, ihtiyaç duyulan kaynak, izleme göstergesi ve hedeflenen risk seviyesi yer almalıdır.

Risklere karşı kaçınma, azaltma, paylaşma veya kabul etme seçeneklerinden biri tercih edilebilir. Kamu hizmetinin zorunluluğu nedeniyle bazı faaliyetlerden tamamen vazgeçmek mümkün olmayabilir. Bu durumda süreç yeniden tasarlanabilir, teknolojik kontroller geliştirilebilir, görevler ayrılığı sağlanabilir veya iş sürekliliği tedbirleri uygulanabilir. Riskin kabul edilmesi ise pasif biçimde işlem yapmamak anlamına gelmez; gerekçeli, yetkili makamca onaylanmış ve izlemeye tabi bir yönetim kararı olmalıdır.

Bilgi, İletişim, İzleme ve Raporlama

Etkili bir iç kontrol yapısı, doğru bilginin doğru kişiye zamanında ulaşmasını gerektirir. Risk kayıtları ile eylem planlarının ortak bir terminolojiyle hazırlanması, birimler arasında karşılaştırılabilir raporlar üretilmesini sağlar. Çalışanların görevleri, kontrol sorumlulukları ve bildirim kanalları konusunda bilgilendirilmesi de kontrol ortamının temel unsurudur.

İzleme faaliyetleri belirli aralıklarla yapılan öz değerlendirmeleri, yönetim gözden geçirmelerini, performans raporlarını ve iç denetim çalışmalarını kapsayabilir. Risklerin olasılığı, etkisi ve mevcut kontrollerin etkinliği değişebileceğinden risk envanteri durağan bir liste olarak görülmemelidir. Yeni hizmetler, organizasyon değişiklikleri, bilgi sistemi dönüşümleri veya önemli dış çevre değişimleri olduğunda değerlendirmeler yenilenmelidir.

Sistem başarısı yalnızca hazırlanan form ve rapor sayısıyla ölçülmemelidir. Kontrol eksikliklerinin giderilme oranı, risk eylemlerinin tamamlanma düzeyi, tekrar eden hata sayısı, süreç süreleri, hizmet kalitesi ve hedeflere ulaşma derecesi birlikte değerlendirilmelidir. Böylece iç kontrol, şekli uyum çalışması olmaktan çıkarak karar alma süreçlerini destekleyen kurumsal bir araca dönüşür.

Sonuç

Kamu kurumlarında iç kontrol ve kurumsal risk yönetiminin kurulması; mevzuata uygun belgeler hazırlamaktan daha kapsamlı, sürekli ve yönetim sorumluluğuna dayalı bir dönüşüm sürecidir. Sağlam bir sistem için stratejik hedefler ile süreçler ilişkilendirilmeli, riskler sistematik biçimde değerlendirilmeli, uygun kontrol faaliyetleri tasarlanmalı ve sonuçlar düzenli olarak izlenmelidir.

Başarılı bir iç kontrol sistemi; üst yönetimin sahiplenmesi, çalışanların katılımı, açık sorumluluklar, güvenilir bilgi akışı ve sürekli iyileştirme anlayışı üzerine kurulabilir. Kamu iç kontrol standartlarının kurumsal işleyişe uyarlanması ve risk yönetiminin planlama, bütçeleme, performans ve karar alma süreçleriyle bütünleştirilmesi; kamu kaynaklarının korunmasına, hizmet kalitesinin yükselmesine ve hesap verebilirliğin güçlenmesine katkı sağlar.