D-RJ-13: OPERASYONEL İÇ KONTROL VE RİSK MATRİSİ
TAM METİN RCM / ÖRNEK RİSK SKORLARI
Bu belge örnek bir risk ve kontrol tasarımıdır; gerçek şirket incelemesi, denetim sonucu, uygulanmış ERP kilidi veya suistimal tespiti değildir. Olasılık, etki ve eşikler şirket verileriyle yeniden puanlanır. Kontroller riski azaltmayı amaçlar; hata veya suistimalin sıfırlanacağını garanti etmez.

Proje: ReJourney Operasyonel Dönüşüm ve Yalınlaşma Programı
Şirket: [Şirket Adı / Holding]
Tarih: Ekim 2026
Versiyon: v1.0
Hazırlayan: İnovapark Danışmanlık Ekibi

1. AMAÇ, KAPSAM VE KULLANIM SINIRI

D-RJ-13, D-RJ-01 operasyonel röntgenindeki açıkları, D-RJ-03 To-Be süreçlerini, D-RJ-07 yetki matrisini ve D-RJ-10 KPI karnesini aynı risk-kontrol düzeninde birleştirir. Hedef hata, yetkisiz işlem, varlık kaybı ve operasyonel duruş riskini önceden görünür kılmak; kontrol çalışmadığında olayın zamanında tespit edilip yönetilmesini sağlamaktır.

Matris [tüzel kişi], [lokasyon], [süreç ailesi], [risk sahibi], [kontrol sahibi], [yürürlük tarihi] ve [onaylayan organ] alanlarıyla tamamlanır. Her risk satırı işlem veya varlık kapsamını, tetikleyiciyi, mevcut kontrolü, kontrol boşluğunu ve düzeltici aksiyonu ayrı taşır. Bu örnek ne bir bağımsız denetim raporu ne de şirketin mevzuata tam uyum beyanıdır.

Zorunlu girdiler
- D-RJ-01: doğrulanmış olay, kayıp, gecikme ve manuel işlem bulguları; işlem hacmi ve baz dönem.
- D-RJ-03 ve D-RJ-07: onaylı süreç adımları, limitler, imza yetkileri, vekâlet ve görevler ayrılığı kayıtları.
- D-RJ-10: kontrolün etkisini izleyecek hata, süre, maliyet ve süreç uyumu göstergeleri.

2. PUANLAMA YÖNTEMİ VE RİSK İŞTAHI

Doğal risk skoru, kontrol etkisi hesaba katılmadan olasılık (1–5) × etki (1–5) olarak hesaplanır. Olasılık 1 nadir, 3 olası, 5 çok sık; etki 1 sınırlı, 3 önemli, 5 kritik kayıp veya duruş olarak örneklenir. Sektöre özgü mali, hizmet ve itibar eşikleri şirketçe rakamsallaştırılır. Aynı risk için kontrol sonrası kalan risk ayrıca değerlendirilir; örnek doğal risk skoru otomatik olarak kalan risk skoru sayılmaz.

Bu belge için örnek bantlar 1–8 düşük, 9–15 orta, 16–19 yüksek ve 20–25 kritik olarak seçilmiştir. Böylece kullanıcı metnindeki 8 düşük; 9, 10 ve 12 orta etiketleri tutarlı kalır. Bantlar şirketin risk iştahı, yasal yükümlülükleri ve olay geçmişiyle onaylanmadan bağlayıcı karar eşiği değildir.

Skor: 1–8
Örnek sınıf: Düşük
Önerilen yönetim tepkisi: Süreç sahibi kontrolü işletir; dönemsel gözden geçirme yapar

Skor: 9–15
Örnek sınıf: Orta
Önerilen yönetim tepkisi: Kontrol sahibi ve tarih atanır; aylık test ve yönetim raporu yapılır

Skor: 16–19
Örnek sınıf: Yüksek
Önerilen yönetim tepkisi: Üst yönetime hızlı eskalasyon, geçici koruma ve planlı iyileştirme

Skor: 20–25
Örnek sınıf: Kritik
Önerilen yönetim tepkisi: Yetkili yönetimce acil müdahale, etki sınırlama ve yakın izleme

Risk puanı olayın yaşandığını göstermez. Başlangıç, değişen süreç veya yeni bulgu halinde olasılık ve etki gerekçeleriyle tekrar puanlanır.

3. KAYNAK RİSK VE KONTROL MATRİSİ

Aşağıdaki dört örnek, kullanıcı metnindeki alanları, olasılık-etki skorlarını ve önerilen kontrolleri editoryal kayıt olarak korur. Sorumlu rol sütunu genel bir rol tarifidir; uygulanacak RACI, kontrol tasarımı ve bağımsız denetim ayrımı sonraki bölümlerde gösterilir. Kontrolün yazılmış olması çalıştığına kanıt sayılmaz.

Risk alanı: Yetki aşımı ve yetkisiz harcama
Olasılık: 3
Etki: 4
Doğal skor: 12 · Orta
Kaynakta önerilen kontrol: ERP seviyesinde RACI limitlerine göre otomatik harcama kilitleri
Kaynak sorumlu rol: Finans / IT

Risk alanı: Stok kaçakları / depo fireleri
Olasılık: 3
Etki: 3
Doğal skor: 9 · Orta
Kaynakta önerilen kontrol: Barkodsuz mal kabulünün sistemsel engellenmesi ve kör sayımlar
Kaynak sorumlu rol: Depo Sorumlusu

Risk alanı: Tedarikçi kayıt suistimali (hayalet firma)
Olasılık: 2
Etki: 5
Doğal skor: 10 · Orta
Kaynakta önerilen kontrol: Yeni tedarikçi açılışında çift onay ve vergi/MERSİS çapraz doğrulaması
Kaynak sorumlu rol: Satınalma / Denetim

Risk alanı: Manuel veri giriş hataları
Olasılık: 4
Etki: 2
Doğal skor: 8 · Düşük
Kaynakta önerilen kontrol: Zorunlu alan doğrulamaları ve otomasyon köprüleri
Kaynak sorumlu rol: Süreç Uzmanı

Kaynak metindeki kontrol tarifleri başlangıç varsayımıdır. MERSİS sorgusu erişim ve bilgi kapsamına göre kullanılır; tedarikçinin banka hesabı, vergi ve sözleşme bilgisi ayrıca uygun kaynaklardan doğrulanır.

4. KONTROL KÜTÜĞÜ: ÖNLEME, TESPİT VE KANIT

Her kontrolün benzersiz ID'si, ilişkili risk ID'si, kontrol türü, sıklığı, uygulayan R, hesap veren A, sistem yetkisi, istisna yolu, ürettiği kanıt ve test yöntemi bulunur. Önleyici kontrol işlemi gerçekleşmeden engeller veya onaya yönlendirir. Tespit edici kontrol tamamlanmış işlemlerde anomali arar ve inceleme başlatır. Kritik bir akışta yalnız önleme veya yalnız tespit varsa tamamlayıcı kontrol ihtiyacı değerlendirilir.

ID ve risk: RCM-01 · Yetkisiz harcama
Önleyici kontrol: D-RJ-07 limitine göre ERP onayı; yetkisiz rol için işlem blokajı
Tespit edici kontrol: Limit aşımı ve sonradan onay denemesi günlüğünün bağımsız gözden geçirilmesi
A sahibi / uygulayan: Finans Müdürü (A) / BT erişim ve finans operasyon (R)
Sıklık ve kanıt: İşlem anı + haftalık istisna; onay kaydı, rol sürümü, blokaj logu

ID ve risk: RCM-02 · Stok kaybı
Önleyici kontrol: Barkod olmadan mal kabul kaydını engelleme; kabul ve sayım yetkilerini ayırma
Tespit edici kontrol: Fiziki kör sayım ile ERP stok mutabakatı, fark incelemesi
A sahibi / uygulayan: Depo/Operasyon Müdürü (A) / mal kabul ve bağımsız sayım ekibi (R)
Sıklık ve kanıt: Her kabul + risk bazlı sayım; tarama izi, sayım tutanağı, fark kapatma kaydı

ID ve risk: RCM-03 · Hayalet tedarikçi
Önleyici kontrol: Yeni kayıt ve IBAN değişikliğinde iki farklı yetkili onayı; ticari kimlik ve ödeme bilgisi teyidi
Tespit edici kontrol: Yeni kayıt, ilk ödeme ve IBAN değişikliği raporunun örneklem incelemesi
A sahibi / uygulayan: Satın Alma Müdürü (A) / tedarikçi kayıt ekibi (R); Finans C
Sıklık ve kanıt: Her yeni kayıt/değişiklik + aylık örneklem; kaynak teyidi, onay, ödeme eşleşmesi

ID ve risk: RCM-04 · Veri girişi hatası
Önleyici kontrol: Zorunlu alan, veri tipi ve referans doğrulaması; kontrollü sistem entegrasyonu
Tespit edici kontrol: Reddedilen, mükerrer ve uyuşmayan kayıt raporu
A sahibi / uygulayan: Süreç Müdürü (A) / veri işlemi ve BT (R)
Sıklık ve kanıt: Her giriş + haftalık hata taraması; validasyon logu, düzeltme ve yeniden test kaydı

BT kontrolü teknik olarak uygular, iş kuralının A'sı süreç/finans sahibidir. İç denetim kontrolü tasarlayıp günlük işletemez; bağımsız güvenceyi ayrı verir.

5. GÖREVLER AYRILIĞI, ERİŞİM VE TEDARİKÇİ DOĞRULAMASI

Talebi açma, onaylama, mal veya hizmet kabulü, tedarikçi ana verisini değiştirme, faturayı kaydetme ve ödeme farklı yetki olaylarıdır. Aynı kişinin çelişen rolleri taşıdığı küçük ekiplerde telafi edici kontrol ve üst merci incelemesi yazılı olarak tanımlanır. Yetki ve erişim D-RJ-07 ile uyumlu tutulur; rol değişiminde eski erişim zamanında kaldırılır. ERP'nin işlem engellemesi yalnız yapılandırılmış sınırlar için çalışır; sistem dışı işlem ve acil istisnalar ayrıca izlenir.

Tedarikçi kayıtlarında ticari unvan ve sicil bilgisi resmî sorgu imkânlarıyla, vergi kimliği ve banka hesabı ise ilgili doğrulama kanallarıyla karşılaştırılır. MERSİS'teki firma sorgusu temel kayıt bilgisi için kullanılabilir; tek başına ödeme güvenliği veya gerçek faydalanıcı teyidi yerine geçmez. IBAN değişikliği için önceden kayıtlı ve bağımsız bir iletişim kanalından geri arama/teyit kuralı belirlenir.

İş adımı: Tedarikçi açma
R: Satın alma kayıt uzmanı
A: Satın Alma Müdürü
Ayrılması gereken yetki: İlk ödeme ve banka bilgisi onayı
Kayıt: Sicil, vergi, teyit ve çift onay

İş adımı: Mal kabul
R: Depo kabul görevlisi
A: Depo/Operasyon Müdürü
Ayrılması gereken yetki: Bağımsız kör sayım
Kayıt: Barkod, miktar ve fark kaydı

İş adımı: Ödeme
R: Finans operasyon
A: D-RJ-07 limitindeki yetkili
Ayrılması gereken yetki: Tedarikçi ana verisini tek başına değiştirme
Kayıt: Fatura, ödeme ve banka doğrulama izi

İş adımı: Bağımsız güvence
R: İç denetçiler
A: İç Denetim Yöneticisi
Ayrılması gereken yetki: Günlük kontrol işletme ve düzeltici aksiyon sahipliği
Kayıt: Denetim planı, bulgu ve izleme kaydı


6. KONTROL TESTİ, SÜRPRİZ SAYIM VE İZLEME RİTMİ

Kontrol sahibi günlük/haftalık istisna listesini inceler; süreç müdürü aylık kontrol öz değerlendirmesi yapar. İç denetim risk temelli planına göre haberli veya habersiz örneklem testi yapabilir. Sürpriz depo sayımında sayım ekibi, kapsanan stok ve kesim zamanı önceden yetkili denetim planında tanımlanır; sayım sonucu, sistem bakiyesi, fark nedeni ve düzeltme onayı ayrı kaydedilir. Nakit ve banka mutabakatında görevler ayrılığı ile belge erişimi korunur.

Test, sadece prosedürün varlığını değil tasarımını ve işleyişini sınar: örnek işlem gerçekten bloke edildi mi, istisna doğru kişiye çıktı mı, kanıt değiştirilemez biçimde saklandı mı, tespit zamanında incelendi mi? Kontrol hiç işlemediyse veya kanıt eksikse ‘etkin’ olarak işaretlenmez. İç denetim bağımsız raporlar; süreç sahibi düzeltmeyi uygular.

Kontrol ailesi: Yetki ve harcama
Önerilen ritim: İşlem anı / haftalık istisna
İşleyiş testi: Limit altı, limit üstü ve vekâlet test işlemleri
Rapor alıcısı: Finans Müdürü / CEO

Kontrol ailesi: Stok ve depo
Önerilen ritim: Her mal kabul / risk bazlı kör sayım
İşleyiş testi: Barkodsuz kabul engeli ve sayım farkı izi
Rapor alıcısı: Operasyon Müdürü

Kontrol ailesi: Tedarikçi ana verisi
Önerilen ritim: Her kayıt veya değişiklik / aylık örneklem
İşleyiş testi: Çift onay, kaynak teyidi ve ilk ödeme eşleşmesi
Rapor alıcısı: Satın Alma Müdürü / Finans

Kontrol ailesi: Veri doğrulama
Önerilen ritim: Her giriş / haftalık hata raporu
İşleyiş testi: Zorunlu alan, mükerrer kayıt ve entegrasyon hata testi
Rapor alıcısı: Süreç Müdürü / BT

Kontrol ailesi: Bağımsız denetim
Önerilen ritim: Risk temelli yıllık plan ve olay tetikleyicisi
İşleyiş testi: Örneklem, bulgu ve kapanış kanıtı
Rapor alıcısı: Yönetim kurulu / denetim komitesi


7. SUİSTİMAL ŞÜPHESİ, İSTİSNA VE DÜZELTİCİ AKSİYON

Şüpheli işlem veya kontrol ihlali bir ihbar ya da otomatik sinyal olarak kayda alınır; ilgili kişi hakkında peşin hüküm kurulmaz. Önce varlık ve veri bütünlüğü korunur, erişim ve işlem logları yetkili ekipçe güvenli biçimde saklanır, çıkar çatışması olan kişiler incelemeden çekilir. Yönetim, hukuk/İK ve bağımsız denetim görevleri ayrı belirlenir; bildirim yapan kişiye karşı misilleme yapılmaması ilkesi uygulanır. Hukuki ve disiplin adımları olayın bulgularına ve geçerli kurallara göre yetkili birimlerce kararlaştırılır.

‘Sıfır tolerans’ politikası, doğrulanmış suistimallerin örtbas edilmemesi ve kanıta dayalı süreç işletilmesi anlamına gelir; otomatik suçluluk veya her olayda aynı yaptırım anlamına gelmez. Kontrol istisnasında risk sahibi geçici koruma, kök neden, kalıcı düzeltme ve son tarih atar. İç denetim kendi bulgusunu izler fakat yönetim aksiyonunun uygulayıcısı olmaz.

Aşama: Tespit ve koruma
Sorumluluk: Olayı alan yetkili ekip; süreç sahibi
Zorunlu kayıt: Olay ID, zaman, kapsam, korunan kayıtlar

Aşama: Bağımsız inceleme
Sorumluluk: Yetkili soruşturma/denetim rolü
Zorunlu kayıt: Çıkar çatışması kontrolü, delil izi, bulgu

Aşama: Karar ve düzeltme
Sorumluluk: Yönetim, hukuk/İK ve risk sahibi
Zorunlu kayıt: Karar gerekçesi, CAPA sahibi, tarih, kontrol revizyonu

Aşama: Doğrulama
Sorumluluk: Kontrol sahibi; gerekirse iç denetim
Zorunlu kayıt: Yeniden test, kalan risk, kapanış onayı


8. KALAN RİSK, PERFORMANS ÖLÇÜMÜ VE KABUL KAPISI

Kontroller devreye alındığında her riskin kalan olasılık ve etkisi kanıtla yeniden puanlanır. Kontrol etkin değilse doğal skorun otomatik düşürülmesi yasaktır. İzleme karnesinde yetki dışı işlem denemesi, stok sayım farkı, doğrulanmamış tedarikçi kaydı, mükerrer/hatalı veri girişi, istisna kapanış süresi ve kontrol test başarısı birlikte gösterilir. Olay sayısındaki artış, tespit kapasitesinin yükselmesinden de kaynaklanabilir; işlem hacmi ve tespit kanalıyla yorumlanır.

Pilot kabulü için dört riskin her birinde tek A ve tanımlı R, önleyici veya tespit edici kontrol, kontrolün kanıtı, istisna yolu, test sonucu ve kalan risk kararı bulunur. ERP kilidi, barkod zorunluluğu, tedarikçi çift onayı ve veri doğrulaması gerçek sistemde örnek normal ve istisna işlemleriyle test edilmeden ‘uygulandı’ denmez. Açık tasarım ve işleyiş bulguları son tarihle devir listesine alınır.

Gösterge: Yetki dışı işlem / engellenen deneme
Baz değer: [adet / işlem hacmi]
Pilot sonuç: [adet / işlem hacmi]
Yorum: Blokajın gerçek yetkisiz işlemi durdurduğu kanıtlanır

Gösterge: Stok sayım farkı
Baz değer: [tutar ve oran]
Pilot sonuç: [tutar ve oran]
Yorum: Sayım kapsamı ve fark nedeni birlikte okunur

Gösterge: Tedarikçi kaydı doğrulama oranı
Baz değer: [oran / örneklem]
Pilot sonuç: [oran / örneklem]
Yorum: İlk ödeme ve IBAN değişikliği ayrıca incelenir

Gösterge: Veri doğrulama hatası
Baz değer: [adet / toplam kayıt]
Pilot sonuç: [adet / toplam kayıt]
Yorum: Reddedilen ve düzeltilen kayıtlar ayrılır

Gösterge: Açık kontrol bulgusu
Baz değer: [adet ve yaş]
Pilot sonuç: [adet ve yaş]
Yorum: Sahip, son tarih ve kalan risk görünür


9. DEVİR PAKETİ VE SONRAKİ MASTER DOKÜMAN

Teslim paketi: onaylı risk envanteri, doğal/kalan risk skoru ve gerekçesi, kontrol kütüğü, RACI ve erişim eki, test örnekleri, sürpriz sayım/mutabakat tutanakları, açık istisna ve CAPA listesi, yönetim karar kaydı. Her dosyada belge sahibi, sürüm, tarih ve erişim sınıfı bulunur. Süreç sahibi kontrolü işler; iç denetim bağımsız güvence sağlar; yönetim kabul edilecek kalan riske karar verir.

Yeni operasyonel serinin kapanış belgesi D-RJ-15 ReJourney Programı Kapanış ve Başarı Raporu'dur. Önceki katalogda aynı kodla yer alan Dönüşüm Etki ve Kalibrasyon Raporu ayrı arşiv kaydında korunur.

Onay alanları
- Kapsam: [şirket/lokasyon/süreç]. Risk sahipleri: [unvanlar]. Kontrol sahipleri: [unvanlar].
- Karar: [kabul / koşullu pilot / revizyon]. Kalan risk kabulü: [yetkili organ, tarih]. Açık aksiyonlar: [ID, sahip, son tarih].
- Bir sonraki kontrol testi: [tarih]. Bağımsız denetim planı bağlantısı: [kayıt].

D-RJ-13 ancak kontrol sahipleri atanıp test kanıtı üretildiğinde uygulanmış kabul edilir. Risk skorları ve kalan risk şirketin gerçek işlem verileriyle güncellenir. Kapanış çalışması D-RJ-15 ReJourney Programı Kapanış ve Başarı Raporu'dur; aynı kodlu önceki kalibrasyon raporu ayrı arşiv içeriğinde korunur.

Yöntem referansları:
The IIA · Three Lines Model ve rol ayrımı: https://www.theiia.org/en/resources/statements-of-position
T.C. Ticaret Bakanlığı · MERSİS firma sorgu kapsamı: https://www.ticaret.gov.tr/ic-ticaret/sikca-sorulan-sorular/ticaret-sicili