Görev ve yetki ayrılığı ilkesi, iş süreçlerinde görevlerin farklı kişiler veya departmanlar arasında dağıtılarak hata, suistimal ve usulsüzlük risklerinin azaltılmasını hedefleyen temel bir kontrol mekanizmasıdır. COSO iç kontrol çerçevesi ise, bu ilkenin etkin bir şekilde uygulanmasına rehberlik eden beş bileşenli bir model sunmaktadır.
Görev ve Yetki Ayrılığı İlkesi Nedir?
Görev ve yetki ayrılığı ilkesi, iş süreçlerinin bağımsız kontrollerle güvence altına alınmasını sağlar. Bir kişinin aynı anda işleme yetkisi, onaylama ve denetleme gibi farklı roller üstlenmesini önleyerek riskleri en aza indirir.
COSO’nun Beş Bileşeni ile Görev ve Yetki Ayrılığı İlişkisi
1. Kontrol Ortamı
Kontrol ortamı, kurumun genel kültürü ve iç kontrol anlayışını ifade eder.
- Teknik Uygulamalar:
- Yetkilendirme Matrisi: Tüm görevlerin tanımlandığı ve yetki sınırlarının net bir şekilde belirlendiği şemaların hazırlanması.
- Yetkinlik Değerlendirme: Görevler için gerekli beceri setlerinin tanımlanması ve personel rotasyon planlarının yapılması.
- Örnek: Muhasebe departmanında veri girişi yapan personelin, aynı işlem için onay verme yetkisine sahip olmaması.
2. Risk Değerlendirme
Risk değerlendirme, iş süreçlerinin analiz edilerek potansiyel risklerin tanımlanması ve yönetilmesini sağlar.
- Teknik Uygulamalar:
- Süreç Haritalandırma: Görev ve yetki ayrılığı ilkesinin ihlal edilebileceği noktaların tespiti için süreç akış diyagramlarının hazırlanması.
- Dinamik Risk Modelleri: Risk profillerine dayalı görev dağılımı analizlerinin yapılması.
- Örnek: Satın alma sürecinde aynı kişinin hem teklif alması hem de sipariş onayı vermesi riskinin modellenerek kontrol noktası oluşturulması.
3. Kontrol Faaliyetleri
Kontrol faaliyetleri, süreçlere yönelik uygulanan teknik önlemleri ve prosedürleri içerir.
- Teknik Uygulamalar:
- Çok Aşamalı Onay Süreçleri: Belirli işlemlerin tamamlanması için birden fazla seviyede onay mekanizması kurulması.
- Otomatik Uyarı Sistemleri: Görev ve yetki ihlallerini tespit eden otomatik bildirim sistemlerinin devreye alınması.
- Örnek: 10.000 dolar üzerindeki ödemelerin yalnızca üst yönetim onayı ile gerçekleştirilmesi.
4. Bilgi ve İletişim
Bilgi ve iletişim, denetim sonuçlarının ve kontrol mekanizmalarının ilgili birimlerle doğru zamanda paylaşılmasını kapsar.
- Teknik Uygulamalar:
- Yetki Logları: Kullanıcıların yetki seviyelerine göre gerçekleştirdikleri işlemlerin kaydının tutulması ve düzenli raporlanması.
- Etkin İletişim Platformları: Denetim bulguları ve görev atamalarına ilişkin anlık bildirim ve raporlama sistemlerinin kullanılması.
- Örnek: Finansal işlemlerde yapılan değişikliklerin ve bu değişiklikleri yapan kişilerin raporlanması.
5. İzleme Faaliyetleri
İzleme faaliyetleri, kontrol mekanizmalarının sürekli olarak değerlendirilmesi ve iyileştirilmesini sağlar.
- Teknik Uygulamalar:
- Otomatik Performans Değerlendirme Sistemleri: Görev ve yetki dağılımının etkinliğini ölçen KPI tabanlı raporlama araçlarının kullanılması.
- Periyodik İç Denetimler: Görev ve yetki ayrılığı kontrollerinin, belirlenen süreçlerde iç denetim ekipleri tarafından değerlendirilmesi.
- Örnek: Dönemsel olarak görev ayrılığı raporlarının çıkarılması ve ihlal durumlarının analiz edilmesi.
Görev ve Yetki Ayrılığının İhlal Edilmesinin Sonuçları
Görev ve yetki ayrılığı ilkesine uyulmaması aşağıdaki sonuçları doğurabilir:
- Usulsüzlük ve Dolandırıcılık: Kontrol eksikliği nedeniyle işlemler tek bir kişinin yetkisine bırakılabilir ve suistimal riski artar.
- İşlem Hataları: İki taraflı kontrol olmadığında hatalı veri girişleri ve işlemler gözden kaçabilir.
- Yasal Uyumsuzluk: Uluslararası standartlara ve yasal düzenlemelere uygunluk sağlanamayabilir.
Sonuç ve Öneriler
Görev ve yetki ayrılığı ilkesi, COSO’nun kontrol ortamı, risk değerlendirme, kontrol faaliyetleri, bilgi-iletişim ve izleme bileşenleri ile doğrudan ilişkilidir. Etkin bir iç kontrol yapısının tesisi için görevlerin net bir şekilde tanımlanması, teknolojik kontrol mekanizmalarının uygulanması ve denetim süreçlerinin güçlendirilmesi gereklidir. Özellikle yüksek riskli operasyonlarda, bağımsız izleme faaliyetleri ve otomatik raporlama sistemleri gibi ileri seviye kontroller devreye alınmalıdır. COSO çerçevesine uygun bir yapı, kurumsal şeffaflığı artırarak usulsüzlüklerin önlenmesinde kritik bir rol oynar.
Risk, Yönetişim ve Uyum Hizmetleri Ortağı
