ERP Kullanan Kurumlarda Güncel Kontrol Yaklaşımı & Bu Yaklaşımların Sürdürülebilirliğine Hizmet Eden GRC Teknolojileri

Transkript

1 ERP Kullanan Kurumlarda Güncel Kontrol Yaklaşımı & Bu Yaklaşımların Sürdürülebilirliğine Hizmet Eden Teknolojileri. 12. Çözüm Ortaklığı Platformu 9 Aralık 2013

2 İçerik 1. ERP Yaşam Döngüsü ve İç Kontrol Ortamı İlişkisi 2. ERP Sisteminiz Risk Bazlı Yönetim Yaklaşımınız ile Uyumlu Mu? 3. ERP Yatırımınızın Tüm Potansiyelini Ortaya Çıkarın 4. Yönetişim, Risk ve Uyum () Uygulaması Risk Yönetimi & Süreç Yönetimi - Genel Bakış Erişim Yönetimi - Genel Bakış 5. Teknolojilerine Yatırım Gün Geçtikçe Artıyor 6. Yatırımının Geri Dönüşünde Kritik Noktalar 2

3 Fayda/ Değer İlişkisi ERP Yaşam Döngüsü ve İç Kontrol Ortamı İlişkisi Günümüzde iç kontrol ortamının işlerlik kazandığı noktada ERP sistemleri ön plana çıkmakta; İç kontrol yapısını, ERP sistemine entegre etmeyi başaran firmalar varlıklarını daha iyi yönetebilmektedir. İyileştirme/ Optimizasyon Canlıya Geçiş Denge Gelişim X Gerileme Zaman 3

4 Fayda/ Değer İlişkisi ERP Yaşam Döngüsü ve İç Kontrol Ortamı İlişkisi Canlıya Geçiş Operasyonel Süreçlerin İçerisindeki Onay Mekanizmalarının Etkin Olarak İşletilmiyor Olması İyileştirme/ Optimizasyon Denge Gelişim X Gerileme Zaman 4

5 Fayda/ Değer İlişkisi ERP Yaşam Döngüsü ve İç Kontrol Ortamı İlişkisi Canlıya Geçiş Konfigurasyon Kaynaklı sorunlar. İ.e.: Mal hareketlerinde çalışan hatalı hesaplar İyileştirme/ Optimizasyon Denge Gelişim X Gerileme Zaman 5

6 Fayda/ Değer İlişkisi ERP Yaşam Döngüsü ve İç Kontrol Ortamı İlişkisi Canlıya Geçiş Kullanıcı Kaynaklı sorunlar. İ.e.: Üretim siparişlerine teyit verilirken sarf edilen alt bileşen miktarı olarak 3 kilo yerine 30 kilo girilmesi sonucu ürün maliyetinin hatalı hesaplanması. İyileştirme/ Optimizasyon Denge Gelişim X Gerileme Zaman 6

7 Fayda/ Değer İlişkisi ERP Yaşam Döngüsü ve İç Kontrol Ortamı İlişkisi ERP uygulamanıza özgü risklerden ve kontrol noktalarından haberdar mısınız? İyileştirme/ Optimizasyon Canlıya Geçiş Görevlerin ayrılığı prensibine uyumlu bir yetkilendirmeye sahip misiniz? Gelişim Denge Zaman X Gerileme ERP uygulamanız yönetim raporlaması ve finansal raporlama ihtiyaçlarınızı karşılıyor mu? ERP sisteminizin etkin ve verimli kullanımını sağlayabiliyor musunuz? 7

8 ERP Yaşam Döngüsü ve İç Kontrol Ortamı İlişkisi (Devamı) ERP Sisteminiz Risk Bazlı Yönetim Yaklaşımınız ile Uyumlu mu? İç Kontrol Risk Yönetimi ERP İç Denetim 8

9 ERP Yaşam Döngüsü ve İç Kontrol Ortamı İlişkisi (Devamı) Kurum Genelinde Risk Bazlı Bir Yönetim Yaklaşımı Olmasına Rağmen ERP Sisteminin Kurumun Risk Bazlı Yönetim Yaklaşımı ile Uyumlu Olmasını Engelleyen Bazı Temel Faktörler Vardır. İç Kontrol Risk Yönetimi ERP İç Denetim 9

10 ERP Sisteminiz Risk Bazlı Yönetim Yaklaşımınız ile Uyumlu Mu? Sıkça Karşılaşılan Zorluklar Yönetimin risk iştahının ERP ortamına yansıtılamaması Yönetimin Risk İştahı ERP Kontrolleri Süreçler OTC PTP RTR R&D Commercial SCM IS Fiyat Yönetimi Kredi Limit Yönetimi Onay Mekanizmaları Uyarlama Kontrolleri Yetki Kontrolleri Kritik Yetki Kombinasyonları Invoice Customer Despatch Despatch - Shared Invoicing Invoicing - Shared Payables Vendor Master Data Record Journals Clinical Trial accounting R&D Royalties Sales Force Management Meeting Hospitality & Sponsorship Production Planning Batch Identification Quality Management Plan & Organise Acquire and implement Deliver & Support Monitor & Evaluate Vendor Master Data - Shared Engaging health care professionals 10

11 ERP Sisteminiz Risk Bazlı Yönetim Yaklaşımınız ile Uyumlu Mu? (Devamı) Sıkça Karşılaşılan Zorluklar Yönetimin ERP risklerinin farkında olmaması Operasyonel süreçler içerisine konumlandırılır ve önleyici kontrol yapısı ile iç kontrol ortamını güçlendirir. Yönetimin Risk İştahı ERP Kontrolleri Süreçler OTC PTP RTR R&D Commercial SCM IS Fiyat Yönetimi Kredi Limit Yönetimi Onay Mekanizmaları Uyarlama Kontrolleri Yetki Kontrolleri Kritik Yetki Kombinasyonları Invoice Customer Despatch Despatch - Shared Invoicing Invoicing - Shared Payables Vendor Master Data Vendor Master Data - Shared Engaging health care professionals Record Journals Clinical Trial accounting R&D Royalties Sales Force Management Meeting Hospitality & Sponsorship Production Planning Batch Identification Quality Management Plan & Organise Acquire and implement Deliver & Support Monitor & Evaluate 11

12 ERP Sisteminiz Risk Bazlı Yönetim Yaklaşımınız ile Uyumlu Mu? (Devamı) Risklerin Bilinmemesi, Sahiplenilmemesi Potansiyel etkilerinin ölçümlenememesi Suistimal Riski Tek Seferlik Ana Veri Yaratma Yetkisi Tek Seferlik- Satıcı Fatura Blokajı Tek Seferlik Satıcı ile Yapılan İşlemlerin Kontrolü Tek Seferlik Satıcı Ana Veri Yaratma Yetkisi X Satıcı Faturası Girişi Sistem Kontrolleri Süreç Kontrolleri 12

13 ERP Sisteminiz Risk Bazlı Yönetim Yaklaşımınız ile Uyumlu Mu? (Devamı) Tipik Bir İnanış. ERP sistemleri kontrolleri otomatik olarak geliştirir. 13

14 ERP Sisteminiz Risk Bazlı Yönetim Yaklaşımınız ile Uyumlu Mu? (Devamı) ERP Sistemleri Finansal bilgileri entegre eder- tek, güvenilir ve doğru bilgiye ulaşım sağlar. Müşteri siparişlerini entegre eder. Üretimi standart ve daha hızlı hale getirir. Stok Maliyetlerini azaltır- fiyat ve rekabet avantajı sağlar. ANCAK Kontrolleri otomatik olarak Geliştirmez... 14

15 ERP Yatırımınızın Tüm Potansiyelini Ortaya Çıkarın Risk Yönetimi Çerçevesi Risk Yönetimi Risk Stratejisi Süreç Yönetimi Erişim Yönetimi Üst Yönetim Kararları ERP 15

16 Yönetişim, Risk ve Uyum () Uygulaması Temel Bileşenler Aralıksız Takip Risk Yönetimi Süreç Yönetimi Erişim Yönetimi 1 RİSK YÖNETİMİ 2 SÜREÇ YÖNETİMİ 3 ERİŞİM YÖNETİMİ 16

17 Risk Yönetimi & Süreç Yönetimi - Genel Bakış 1 RİSK YÖNETİMİ Strateji Kurumsal risklerin sistematik bir yaklaşımla yönetilmesini sağlayan altyapıuyı sunar. Süreç yönetimi modülü ile bağlantı kurarak riskleri ilgili süreç kontrolleri ile eşleştirir. Temel Risklerin Belirlenmesi ve raporlama Risk Değerlendirmesi Özelleştirilmiş ve süreç bazında detaylandırılan risk / kontrol altyapısı Politika & Prosedürler 2 ERP SÜREÇ YÖNETİMİ 1 2 Kontrol testleri için önerilen bir platform - Test plarnı - Kontrol sıklığı, Örneklem Seçimi - Önleyici kontroller yönetimi Manuel kontrollerin otomatizasyonuna imkan verir Konfigurasyon kontrollerine yönelik değişikliklerin gerçek zamanlı analizini sağlar Süreç Yönetimi 3 4 Sürekli Gözlem Uyarlama kontrolleri Mal girişinde çalışan miktar kontrollerinde tolerans değişiklikleri Kontrol etkinliğinin düzenli değerlendirilmesini sağlayan bir altyapı sunar Raporlar Algoritma ile Çalışan Raporlar (yarı otomatik kontroller) Tek seferlik satıcılardan yapılan satın alımların toplam satın alımların belirli bir oranını aşması durumu 17

18 Erişim Yönetimi - Genel Bakış 3 ERİŞİM YÖNETİMİ Erişim talep sürecinde onay mekanizmalarını hayata geçirir. Kritik taleplerin özel onaylardan geçmesini sağlar. Satıcı Ana Veri Yaratma Yetkisi Talepler Adım 1 Adım 2 Fatura Girişi Yetkisi Rol Sahibi Risk Sahibi Erişim Risk Analizi 18

19 Erişim Yönetimi - Genel Bakış 3 ERİŞİM YÖNETİMİ Erişim risklerini tespit eder. Kabul edilebilen erişim riskleri için önleyici kontrolleri devreye sokar. Satıcı Ana Veri Yaratma Yetkisi Önleyici Kontrol Sahibi Talepler Adım 1 Adım 2 ONAY Fatura Girişi Yetkisi Rol Sahibi Risk Sahibi Önleyici Kontrol Erişim Risk Analizi 19

20 Erişim Yönetimi - Genel Bakış 3 ERİŞİM YÖNETİMİ Kritik erişim yetkilerinin ve görevlerin ayrılığı prensibini ihlal eden yetkilerin düzenli kontrolünü sağlayan bir altyapı sunar. A Risk Yönetimi B Talep Yönetimi Yetki Yönetimi 20

21 Erişim Yönetimi - Genel Bakış (Devamı) A - Risk Yönetimi Kural Setleri SOD (Segregation of Duties / Görevler Ayrılığı) : Personele çelişkili görevleri atayarak oluşturulan hata veya usulsüzlük riskini önlemek veya azaltmak için tasarlanmış bir iç kontrolüdür. Kural Seti Satış siparişinin yaratılması ve Faturasının kesilmesi Müşteriye yapılan satışlar ve faturalardaki tutarlar üzerinden usulsüzlük yapılabilmesine olanak verebilir. Süreçler i.e. Satış ve Ticari Alacaklar Süreçler i.e. Finans ve Muhasebe SA (Sensitive Access / Hassas Yetki) olarak tanımlı işlemler sadece yetkin kullanıcılara atanmış işlemler olmalıdır. SA olarak tanımlı işlemler analiz raporlarında raporlanır. Risk A Risk B Kritik FI işlemleri Fonks iyon 1 Fonks iyon 2 Fonks iyon 3 Dönem Açma/Kapama Yetkiler Yetkiler Yetkiler Sisteme Kur girişi v.b Görevler Ayrılığı Hassas Yetki 21

22 Erişim Yönetimi - Genel Bakış (Devamı) A - Risk Yönetimi ÖRNEK SOD/SA KURAL Satış Siparişi Yaratma X Satış Faturası Girme Yetkisi Kontrol SOD RİSK Satış Fiyatında Usulsüzlük Satış Siparişi Yaratma Yetkisi ERP Fatura Yaratma Yetkisi İstisna Raporları Kazanımlar - Risk analiz raporları ile çakışan yetkilere sahip kullanıcıların takibi 22

23 Erişim Yönetimi - Genel Bakış (Devamı) B - Talep Yönetimi Ana Fonksiyonlar ERP HR ERP ERP Kullanıcı Verisi & Kimlik Doğrulama Otomatik Erişim Sağlama Erişim talep / onay sürecini hızlandırır, standardize eder. Kontrol odaklı altyapısı ile denetçiler için denetlenebilir takip ortamı sağlar. Talepler Onaylar Talebi Başlat Adım 1 Adım 2 Adım 3 Gerçek zamanlı risk analizi yapılmasına olanak verir Müdür Rol Sahibi Risk Sahibi Erişim Risk Analizi 23

24 Teknolojilerine Yatırım Gün Geçtikçe Artıyor Teknolojileri son 10 yıldır gelişiyordu. Yeterli olgunluk düzeyine ulaştı. Regulasyonlar ile gelen «sürekli kontrol» gereklilikleri ve ERP sisteminin teknik altyapısının karmaşıklığı, ERP sistemini denetlemek için otomatize edilen bir yaklaşımın gerekliliğini ortaya koydu. Dünyada - özellikle Avrupa da - tamamlanan birçok kurulum sonucunda dersler öğrenildi, kazanımlar ölçümlenebildi. Tecrübe edilen Kurulum Metodolojileri ile kurulum riskleri azaldı, kurulum süresi hızlandı. Kurulum yapılan şirket yi kullanabilecek mi? den beklenen fayda sağlanabilecek mi? gibi soruların cevapları tecrübe edilerek öğrenildi. Yönetim Modeli Deneyimlendi. Üst Yönetim risklerini sistematik bir yaklaşımlar yönetebilmek istiyor... teknolojileri bu konuda öncü olarak kabul ediliyor Büyük ölçekli firmaların referansları teknolojilerine duyulan güveni arttırdı. 11. Çözüm Ortaklığı Platformu 24

25 Teknolojilerine Yatırım Gün Geçtikçe Artıyor 25

26 Teknolojilerine Yatırım Gün Geçtikçe Artıyor % Teknolojilerine Yatırım Yapan Şirketler Piyasada Bulunan Çözümleri 5% 11% Tasarım Çözümleri 84% 2005 Exceller de risk ve kontrol yönetimi * İngiltere tarafından 100 firma için gerçekleştirilen araştırmanın sonuçlarıdır. 26

27 Teknolojilerine Yatırım Gün Geçtikçe Artıyor % Teknolojilerine Yatırım Yapan Şirketler Piyasada Bulunan Çözümleri 5% 11% Tasarım Çözümleri Excellerde Risk ve Kontrol Yönetimi 84% 35% 44% Exceller de risk ve kontrol yönetimi 2005 Tasarım Çözümleri % Piyasada Bulunan Çözümleri * İngiltere tarafından 100 firma için gerçekleştirilen araştırmanın sonuçlarıdır. 27

28 Teknolojilerine Yatırım Gün Geçtikçe Artıyor % Teknolojilerine Yatırım Yapan Şirketler Piyasada Bulunan Çözümleri 5% 11% Tasarım Çözümleri Excellerde Risk ve Kontrol Yönetimi 84% 35% 44% Excellerde Risk ve Kontrol Yönetimi 28% Exceller de risk ve kontrol yönetimi 2005 Tasarım Çözümleri % Piyasada Bulunan Çözümleri 14% Tasarım Çözümleri % Piyasada Bulunan Çözümleri * İngiltere tarafından 100 firma için gerçekleştirilen araştırmanın sonuçlarıdır. 28

29 Teknolojilerine Yatırım Gün Geçtikçe Artıyor % Teknolojilerine Yatırım Yapan Şirketler % ErişimYönetimi Çözümünü Uygulamakta Olan Şirketlerin Yüzdesi 13% 87% Risk Yönetimi Süreç Yönetimi Erişim Yönetimi % Erişim Yönetimi Çözümünü upgrade etmeyi düşünen Şirketlerin yüzdesi 43% 57% ErişimYönetimi Uygulamalarını kullanmakta olan firmaların %60 ı yakın zamanda upgrade etmeyi düşünüyorlar. Temel nedenlerin başında Süreç Yönetimi Çözümü ile entegrasyon geliyor. Yes No Yes No * İngiltere tarafından 100 firma için gerçekleştirilen araştırmanın sonuçlarıdır. 29

30 Teknolojilerine Yatırım Gün Geçtikçe Artıyor % Teknolojilerine Yatırım Yapan Şirketler Firmalar Piyasa Bulunan Uygulamalarına Güveniyorlar. Kuruluma En Temel Katman Olan Erişim Yönetimi Katmanı ile başlıyorlar. Ve Fayda Sağladıkça Bir Üst Katmana Doğru Uygulamayı Genişletiyorlar. 30

31 Teknolojilerine Yatırım Gün Geçtikçe Artıyor Kilit Paydaşlar İç Denetim Dış Denetçile r İç Kontrol ERP Uzmanlar ı Süreç Sahipleri BT Departma nı 31

32 Yatırımının Geri Dönüşünde Kritik Noktalar konusunda yatırım yapmayı hedefleyen ancak etkin bir ERP altyapısı genel kontrol ortamını işletemeyen firmalar, kurulumu öncesi - rollerin düzeltilmesi iyi uygulamalar çerçevesinde yeniden yapılandırılması - konusunu öncelikli olarak gündeme alıyorlar. Teknik kurulumu öncesi, süreç ve alt süreç detayında risklerin ve riskleri bertaraf eden kontrollerin belielenmesi için projeler düzenliyorlar. Altyapısal düzenlemeler tamamlanmadan ve kontrol farkındalığını oturtmadan hayat geçirilen uygulamalar, çoğu zaman binlerce ilgili / ilgisiz yetki çakışmasını veya süreç kontrollerini ortaya çıkaran yönetilemez raporlar üretmekten öteye gidemeyerek kullanılmaz hale geliyor... 32

33 ERP Yatırımınızın Tüm Potansiyelini Ortaya Çıkarın Manuel Kontroller ERP Destekli Otomatik Kontroller Görevlerin Ayrılığı Prensibi ERP Altyapısı Genel Kontrol Ortamı Aralıksız Takip Risk Yönetimi Süreç Yönetimi Erişim Yönetimi 33

34 Sorular... 34

35 Teşekkürler... Füsun Patoğlu Risk Süreç ve Teknoloji Hizmetleri, Ortak Başak Hekimoğlu Risk Süreç ve Teknoloji Hizmetleri, Kıdemli Müdür This publication has been prepared for general guidance on matters of interest only, and does not constitute professional advice. You should not act upon the information contained in this publication without obtaining specific professional advice. No representation or warranty (express or implied) is given as to the accuracy or completeness of the information contained in this publication, and, to the extent permitted by law, [insert legal name of the firm], its members, employees and agents do not accept or assume any liability, responsibility or duty of care for any consequences of you or anyone else acting, or refraining to act, in reliance on the information contained in this publication or for any decision based on it [insert legal name of the firm]. All rights reserved. In this document, refers to [insert legal name of the firm] which is a member firm of PricewaterhouseCoopers International Limited, each member firm of which is a separate legal entity.