D-IS-13: KURUMSAL İÇ KONTROL, SUİSTİMAL ÖNLEME VE ERM MATRİSİ
TAM METİN METODOLOJİ ŞABLONU / ÖRNEK SENARYO
Bu belge, kullanıcı tarafından paylaşılan yeni seri metninin operasyonel arşiv şablonudur. Belirtilen kurum, kurul, onay, sözleşme, sistem kurulumu, uyum ve başarı sonuçları gerçek bir şirkette doğrulanmış veya yürürlüğe girmiş değildir. Tutarlar, yüzdeler, süreler ve hukuki sonuçlar ilgili şirket verisi ve yetkili uzman incelemesiyle belirlenir.

Proje: InStructure Kurumsal İnşa ve Yönetişim Programı
Şirket: [Şirket Adı / Holding]
Tarih: Ekim 2026
Versiyon: v1.0
Hazırlayan: İnovapark Danışmanlık Ekibi ve İç Denetim Komitesi

1. AMAÇ, RİSK KAPSAMI VE PUANLAMA

İç kontrol ve ERM çerçevesi şirketin stratejik, operasyonel, finansal ve uyum/hukuki risklerini ortak envanterde tutar. Dört kaynak skoru olasılık × etki doğal risk örneğidir; kontrol sonrası kalan risk ayrıca puanlanır. 9–12 için Orta etiketi kaynak metinden korunur; nihai risk iştahı şirketçe onaylanır.

InoMatrix dikeyleri kaynak senaryoda kapsama alınmıştır; bu açık arşiv, fiilen kurulmuş bir holding risk sistemi olduğunu göstermez.

2. DÖRT ERM RİSK AİLESİ

- Stratejik: pazar değişimi, yatırım kararı ve rekabet baskısı.
- Operasyonel: süreç aksaması, insan hatası, teknoloji kesintisi, tedarik kırılması.
- Finansal: kur, likidite, tahsilat ve vergiye ilişkin maruziyet.
- Uyum ve hukuki: veri koruma, düzenleme değişikliği ve sözleşme uyuşmazlığı.

3. KAYNAK SUİSTİMAL VE KONTROL MATRİSİ

Önleyici kontrol işlemi gerçekleşmeden sınırlar; tespit edici kontrol işlem kayıtlarını sonradan inceler. Kontrolün tasarlanması, sahada çalıştığının kanıtı değildir.

Risk: Sahte/hayalet tedarikçi faturaları
Olasılık: 2
Etki: 5
Doğal skor: 10 · Orta
Kaynak kontrol önerisi: Vergi/MERSİS teyidi ve çift onay
Kaynak rol: Satın Alma / Finans

Risk: Kasa ve mutabakat uyumsuzluğu
Olasılık: 3
Etki: 4
Doğal skor: 12 · Orta
Kaynak kontrol önerisi: Günlük banka–ERP mutabakatı, sürpriz nakit sayımı
Kaynak rol: İç Denetim / Finans

Risk: Yetki aşımı ve yetkisiz indirim
Olasılık: 3
Etki: 3
Doğal skor: 9 · Orta
Kaynak kontrol önerisi: ERP RACI limit kilidi ve olay logu
Kaynak rol: BT / Satış

Risk: Ticari sır ve veri sızıntısı
Olasılık: 2
Etki: 5
Doğal skor: 10 · Orta
Kaynak kontrol önerisi: RBAC, DLP ve gizlilik yükümlülükleri
Kaynak rol: BT / Hukuk


4. KONTROL SAHİBİ, GÖREV AYRIMI VE TEST KANITI

Finans günlük mutabakatı işletir; iç denetim onu bağımsız örneklemle sınar. Satın alma tedarikçi kimliğini ve ödeme hesabını ayrı kaynaklardan doğrular; MERSİS tek başına banka hesabı güvenliği sağlamaz. BT erişim ve log kontrolünü uygular, iş riski sahibi karar verir. Hukuk veri ve sözleşme yükümlülüğünü değerlendirir.

Risk: Tedarikçi
Önleyici: Çift yetkili kayıt ve bağımsız banka teyidi
Tespit edici: İlk ödeme / IBAN değişikliği raporu
Kanıt: Teyit, onay ve ödeme izi

Risk: Nakit
Önleyici: Yetkili ödeme ve görev ayrımı
Tespit edici: Günlük mutabakat / risk bazlı sürpriz sayım
Kanıt: Ekstre, ERP eşleşmesi, sayım tutanağı

Risk: İskonto
Önleyici: Onaylı fiyat ve limit kilidi
Tespit edici: Limit aşımı log incelemesi
Kanıt: İşlem ID, rol, istisna kararı

Risk: Veri
Önleyici: En az yetki, erişim ve DLP kuralı
Tespit edici: Olay alarmı ve erişim gözden geçirmesi
Kanıt: Yetki kaydı, log, olay kapatma


5. İHBAR, SIFIR TOLERANS VE KALAN RİSK

Gizli bildirim kanalı için erişim, saklama, misilleme yasağı ve çıkar çatışması kuralı yazılır. Şüphe kanıtlanmış suistimal olarak duyurulmaz; delil korunur, tarafsız inceleme yapılır, yetkili organ bulguya ve geçerli hukuka göre karar verir. Sıfır tolerans, kanıtlı ihlalin örtbas edilmemesidir; otomatik suçluluk değildir.

Kalan risk, kontrol testinden sonra gerekçeli olarak yeniden puanlanır. Kontrol çalışmıyorsa skor kendiliğinden düşürülmez. Açık aksiyonlar sahip ve son tarihle D-IS-15 kapanış incelemesine devredilir.

D-IS-13 kontrol tasarımı, işleyiş kanıtları ve açık riskleriyle D-IS-15 kapanış raporuna aktarılır.

Yöntem referansları:
The IIA · Three Lines Model: https://www.theiia.org/en/resources/statements-of-position
T.C. Ticaret Bakanlığı · şirket temsil ve imza bilgileri: https://ticaret.gov.tr/ic-ticaret/sirketler/sirket-bilgiler
KVKK · özel nitelikli kişisel veriler: https://www.kvkk.gov.tr/Icerik/8184/Ozel-Nitelikli-Kisisel-Verilerin-Islenmesine-Iliskin-Rehber