Operasyonel İç Kontrol ve Risk Matrisi

BÖLÜM 02

Puanlama yöntemi ve risk iştahı

Doğal risk skoru, kontrol etkisi hesaba katılmadan olasılık (1–5) × etki (1–5) olarak hesaplanır. Olasılık 1 nadir, 3 olası, 5 çok sık; etki 1 sınırlı, 3 önemli, 5 kritik kayıp veya duruş olarak örneklenir. Sektöre özgü mali, hizmet ve itibar eşikleri şirketçe rakamsallaştırılır. Aynı risk için kontrol sonrası kalan risk ayrıca değerlendirilir; örnek doğal risk skoru otomatik olarak kalan risk skoru sayılmaz.

Bu belge için örnek bantlar 1–8 düşük, 9–15 orta, 16–19 yüksek ve 20–25 kritik olarak seçilmiştir. Böylece kullanıcı metnindeki 8 düşük; 9, 10 ve 12 orta etiketleri tutarlı kalır. Bantlar şirketin risk iştahı, yasal yükümlülükleri ve olay geçmişiyle onaylanmadan bağlayıcı karar eşiği değildir.

Matrisin tamamı için yatay kaydırabilirsiniz.

Risk puanı olayın yaşandığını göstermez. Başlangıç, değişen süreç veya yeni bulgu halinde olasılık ve etki gerekçeleriyle tekrar puanlanır.

BÖLÜM 03

Kaynak risk ve kontrol matrisi

Aşağıdaki dört örnek, kullanıcı metnindeki alanları, olasılık-etki skorlarını ve önerilen kontrolleri editoryal kayıt olarak korur. Sorumlu rol sütunu genel bir rol tarifidir; uygulanacak RACI, kontrol tasarımı ve bağımsız denetim ayrımı sonraki bölümlerde gösterilir. Kontrolün yazılmış olması çalıştığına kanıt sayılmaz.

Matrisin tamamı için yatay kaydırabilirsiniz.

Kaynak metindeki kontrol tarifleri başlangıç varsayımıdır. MERSİS sorgusu erişim ve bilgi kapsamına göre kullanılır; tedarikçinin banka hesabı, vergi ve sözleşme bilgisi ayrıca uygun kaynaklardan doğrulanır.

BÖLÜM 04

Kontrol kütüğü: önleme, tespit ve kanıt

Her kontrolün benzersiz ID'si, ilişkili risk ID'si, kontrol türü, sıklığı, uygulayan R, hesap veren A, sistem yetkisi, istisna yolu, ürettiği kanıt ve test yöntemi bulunur. Önleyici kontrol işlemi gerçekleşmeden engeller veya onaya yönlendirir. Tespit edici kontrol tamamlanmış işlemlerde anomali arar ve inceleme başlatır. Kritik bir akışta yalnız önleme veya yalnız tespit varsa tamamlayıcı kontrol ihtiyacı değerlendirilir.

Matrisin tamamı için yatay kaydırabilirsiniz.

BT kontrolü teknik olarak uygular, iş kuralının A'sı süreç/finans sahibidir. İç denetim kontrolü tasarlayıp günlük işletemez; bağımsız güvenceyi ayrı verir.

BÖLÜM 05

Görevler ayrılığı, erişim ve tedarikçi doğrulaması

Talebi açma, onaylama, mal veya hizmet kabulü, tedarikçi ana verisini değiştirme, faturayı kaydetme ve ödeme farklı yetki olaylarıdır. Aynı kişinin çelişen rolleri taşıdığı küçük ekiplerde telafi edici kontrol ve üst merci incelemesi yazılı olarak tanımlanır. Yetki ve erişim D-RJ-07 ile uyumlu tutulur; rol değişiminde eski erişim zamanında kaldırılır. ERP'nin işlem engellemesi yalnız yapılandırılmış sınırlar için çalışır; sistem dışı işlem ve acil istisnalar ayrıca izlenir.

Tedarikçi kayıtlarında ticari unvan ve sicil bilgisi resmî sorgu imkânlarıyla, vergi kimliği ve banka hesabı ise ilgili doğrulama kanallarıyla karşılaştırılır. MERSİS'teki firma sorgusu temel kayıt bilgisi için kullanılabilir; tek başına ödeme güvenliği veya gerçek faydalanıcı teyidi yerine geçmez. IBAN değişikliği için önceden kayıtlı ve bağımsız bir iletişim kanalından geri arama/teyit kuralı belirlenir.

Matrisin tamamı için yatay kaydırabilirsiniz.

BÖLÜM 06

Kontrol testi, sürpriz sayım ve izleme ritmi

Kontrol sahibi günlük/haftalık istisna listesini inceler; süreç müdürü aylık kontrol öz değerlendirmesi yapar. İç denetim risk temelli planına göre haberli veya habersiz örneklem testi yapabilir. Sürpriz depo sayımında sayım ekibi, kapsanan stok ve kesim zamanı önceden yetkili denetim planında tanımlanır; sayım sonucu, sistem bakiyesi, fark nedeni ve düzeltme onayı ayrı kaydedilir. Nakit ve banka mutabakatında görevler ayrılığı ile belge erişimi korunur.

Test, sadece prosedürün varlığını değil tasarımını ve işleyişini sınar: örnek işlem gerçekten bloke edildi mi, istisna doğru kişiye çıktı mı, kanıt değiştirilemez biçimde saklandı mı, tespit zamanında incelendi mi? Kontrol hiç işlemediyse veya kanıt eksikse ‘etkin’ olarak işaretlenmez. İç denetim bağımsız raporlar; süreç sahibi düzeltmeyi uygular.

Matrisin tamamı için yatay kaydırabilirsiniz.

BÖLÜM 07

Suistimal şüphesi, istisna ve düzeltici aksiyon

Şüpheli işlem veya kontrol ihlali bir ihbar ya da otomatik sinyal olarak kayda alınır; ilgili kişi hakkında peşin hüküm kurulmaz. Önce varlık ve veri bütünlüğü korunur, erişim ve işlem logları yetkili ekipçe güvenli biçimde saklanır, çıkar çatışması olan kişiler incelemeden çekilir. Yönetim, hukuk/İK ve bağımsız denetim görevleri ayrı belirlenir; bildirim yapan kişiye karşı misilleme yapılmaması ilkesi uygulanır. Hukuki ve disiplin adımları olayın bulgularına ve geçerli kurallara göre yetkili birimlerce kararlaştırılır.

‘Sıfır tolerans’ politikası, doğrulanmış suistimallerin örtbas edilmemesi ve kanıta dayalı süreç işletilmesi anlamına gelir; otomatik suçluluk veya her olayda aynı yaptırım anlamına gelmez. Kontrol istisnasında risk sahibi geçici koruma, kök neden, kalıcı düzeltme ve son tarih atar. İç denetim kendi bulgusunu izler fakat yönetim aksiyonunun uygulayıcısı olmaz.

Matrisin tamamı için yatay kaydırabilirsiniz.

BÖLÜM 08

Kalan risk, performans ölçümü ve kabul kapısı

Kontroller devreye alındığında her riskin kalan olasılık ve etkisi kanıtla yeniden puanlanır. Kontrol etkin değilse doğal skorun otomatik düşürülmesi yasaktır. İzleme karnesinde yetki dışı işlem denemesi, stok sayım farkı, doğrulanmamış tedarikçi kaydı, mükerrer/hatalı veri girişi, istisna kapanış süresi ve kontrol test başarısı birlikte gösterilir. Olay sayısındaki artış, tespit kapasitesinin yükselmesinden de kaynaklanabilir; işlem hacmi ve tespit kanalıyla yorumlanır.

Pilot kabulü için dört riskin her birinde tek A ve tanımlı R, önleyici veya tespit edici kontrol, kontrolün kanıtı, istisna yolu, test sonucu ve kalan risk kararı bulunur. ERP kilidi, barkod zorunluluğu, tedarikçi çift onayı ve veri doğrulaması gerçek sistemde örnek normal ve istisna işlemleriyle test edilmeden ‘uygulandı’ denmez. Açık tasarım ve işleyiş bulguları son tarihle devir listesine alınır.

Matrisin tamamı için yatay kaydırabilirsiniz.

BÖLÜM 09

Devir paketi ve sonraki master doküman

Teslim paketi: onaylı risk envanteri, doğal/kalan risk skoru ve gerekçesi, kontrol kütüğü, RACI ve erişim eki, test örnekleri, sürpriz sayım/mutabakat tutanakları, açık istisna ve CAPA listesi, yönetim karar kaydı. Her dosyada belge sahibi, sürüm, tarih ve erişim sınıfı bulunur. Süreç sahibi kontrolü işler; iç denetim bağımsız güvence sağlar; yönetim kabul edilecek kalan riske karar verir.

Yeni operasyonel serinin kapanış belgesi D-RJ-15 ReJourney Programı Kapanış ve Başarı Raporu'dur. Önceki katalogda aynı kodla yer alan Dönüşüm Etki ve Kalibrasyon Raporu ayrı arşiv kaydında korunur.

Onay alanları

• Kapsam: [şirket/lokasyon/süreç]. Risk sahipleri: [unvanlar]. Kontrol sahipleri: [unvanlar].
• Karar: [kabul / koşullu pilot / revizyon]. Kalan risk kabulü: [yetkili organ, tarih]. Açık aksiyonlar: [ID, sahip, son tarih].
• Bir sonraki kontrol testi: [tarih]. Bağımsız denetim planı bağlantısı: [kayıt].