Doç. Dr. Davut PEHLİVANLI YÖNETİŞİM RİSK VE UYUM (Governance, Risk and Compliance GRC) OCEG OCEG GRC Capability Model - Red Book OCEG GRC Technology Solutions Guide ISO 31000 ve 38500 Hile ile Mücadelede GRC Bir İnşaat Projesinde Risk Analizi Gayrimenkul Sektöründe Risk Yönetimi Telekom İtalya Risk Yönetimi Projesi GRC Mini Sözlük İstanbul - 2015 Beta
Yay n No : 3189 İşletme-Ekonomi Dizisi : 693 1. Bask - Ocak 2015 - STANBUL ISBN 978-605 - 333-216 - 9 Copyright Bu kitab n bu bas s n n Türkiye deki yay n haklar BETA Bas m Yay m Da t m A.fi. ye ait tir. Her hak k sak l d r. Hiç bir bö lü mü ve pa rag ra f k s men ve ya ta ma men ya da özet ha lin de, fo to ko pi, fak si mi le ve ya bafl ka her han gi bir fle kil de ço alt lamaz, da t lamaz. Normal ölçüyü aflan iktibaslar yap lamaz. Normal ve kanunî iktibaslarda kaynak gösterilmesi zorunludur. Dizgi : Beta Bas m A.fi. Bask -Cilt : Yazın Basın Yayın Matbaacılık Trz. Tic. Ltd. Şti. (Sertifika No: 12028) İkitelli Çevre Sanayi Sitesi 8. Blok No: 38-40-42-44 Başakşehir/İSTANBUL 0212 565 01 22-0212 565 02 55 Kapak Tasar m : Veysel Coşkun Beta BASIM YAYIM DA ITIM A.fi. (Sertifika No. 16136) Narl bahçe Sokak Damga Binas No: 11 Ca alo lu - STANBUL Tel : (0-212) 511 54 32-519 01 77 Fax: (0-212) 511 36 50 www.betayayincilik.com
ÖNSÖZ İşletme operasyonlarının çeşitli nedenlerden dolayı daha fazla komplike hale gelmesi risk yönetimi sistemlerine duyulan ihtiyacı artırmıştır. Risk yönetimi kapsamında stratejik, finansal, opeerasyonel-süreç, yasal, bilgi teknolojileri ve birey temelli riskler başta olmak üzere hileli işlem riski dahil pek çok risk tanımlanmakta, değerlendirilmekte ve risklere yönelik aksiyonlar geliştirilmektedir. 1990 lı yıllarla birlikte işletmelerin IT yazılımlarından daha faza yararlanması ve ERP sistemlerindeki gelişmeler kontrol, denetim, risk yönetimi, süreç ve erişim yönetimi uygulamalarında IT sistemlerinin işletme karar mekanizmalarındaki ağırlıklarını artırmıştır. Fakat ilerleyen dönemlerde diğer bir ifadeyle günümüzde işletmelerin genel süreçlerinde kullanmış oldukları ERP yazılımlarının yanısıra stok yönetimi, bordro uygulamaları, proje yönetimi gibi özel alanlarda kullanılan ek yazılımlarla birlikte IT altyapısı yönetilemez bir noktaya ulaşmış ve işletmelerin sinerji oluşturmalarının önünde ciddi bir bariyere dönüşmüştür. Sözkonusu bariyerler aynı zamanda maliyetlerin artmasına, risk yönetimi sistemlerinin etkinliklerinin azalmasına ve işletme iç sistemleri olan kontrol, denetim ve risk yönetimi sistemlerinin itibar kaybına neden olmuştur. İşte bu aşamada süreç politikalarını bütünleştiren yönetişim, risk ve uyum ihtiyaçlarını tek bir platformda işletmelerin kullanımına sunan Yönetişim, Risk ve Uyum (Governance, Risk and Compliance GRC) yazılımlarının yaygınlaşması işletmelere ciddi bir avantaj sağlamıştır. Silolarla yönetim yerini bütünleşik GRC ve fraud-hile yazılımı uygulamalarına bırakmış ve her tür riskin yönetiminde pro-aktif uygulamalar artmıştır.
iv Yönetişim Risk ve Uyum Yönetişim, Risk ve Uyum; farklı uyum ve işletme ihtiyaçlarından dolayı niteliği çok farklı verileri toplayan ve yasal-sektörel-işletme kuralları ile karşılaştıran; kural ile uygulama arasındaki boşluğa göre uyarı veya alarm veren ve izleme altyapısını tesis eden sistemlerdir. GRC sistemlerinin temel amacı işletmelerde farklı gerekçelerle silolar şeklinde yapılanmış olan yönetişim, performans, risk yönetimi ve kontrol metriklerinin entegre bir şekilde izlenip değerlendirilerek işletmenin hedeflerine ulaşmasını sağlamaktır. GRC sistemi kurgulanırken pro-aktif olması ve kurallar ile veri bağlantısının senaryo bazlı yapılması sistemin etkinliğini artıracaktır. Öte yandan sadece teknik altyapının sağlam kurgulanması verimliliği artırmaya muhakkak tek başına yeterli olmayacak ve üst yönetimin desteği, departmanların GRC projeksiyonunu sahiplenmesi ile etkin iletişim GRC etkinliğin artırılmasında önemli rol oynayacaktır. GRC sistemleri bu temel amaca göre yapılanırken maliyet tasarrufu sağlamakta, işletme genelinde ortak bir dil oluşturmakta ve tekrarlanan izleme-değerleme faaliyetlerini azaltmaktadır. Bu çalışma; Türkiye açısından ilk olma iddiasını taşımakta ve I. bölümde teorik olarak Yönetişim, Risk ve Uyum uygulamaları incelenmekte, II. bölümde GRC öncesi işletme uygulamalar ile aksaklıklar değerlendirilmekte ve III. bölümde GRC uygulamalarına yön veren temel rehberleri yayınlayan OCEG teorileri incelenmektedir. Ayrıca IV. bölümde; inşaat sektörü, gayrimenkul yatırım ortaklıkları, telekom sektörü ve kar amacı gütmeyen bir kuruluşta yürütülen risk yönetimi uygulaması ile bu çalışmanın uygulama eksikliği tamamlanmaktadır. Nihai olarak da çalışma pratik uygulamaları içeren GRC terimler sözlüğü ve ekler ile tamamlanmaktadır. Saygılarımla Doç. Dr. Davut PEHLİVANLI Maltepe, İstanbul İletişim: davutpehlivanli@gmail.com
İÇİNDEKİLER Önsöz III I. BÖLÜM Yönetişim, Risk ve Uyum Temelleri Genel Olarak Yönetişim, Risk ve Uyum (GRC) 3 Yönetişim, Risk ve Uyum İlkelerinin Önemi 7 Sarbanes Oxley 19 Suiistimal Hile 24 COSO Kurumsal Risk Yönetimi Çerçevesi 28 ISO 31000 ve 38500 Risk Yönetimi Standartları 68 Risk Yönetimi Sürecinde Sorumluluklar 82 Yönetişim Sürecinde Sorumluluklar 86 II. BÖLÜM GRC Yapılanma Süreci GRC Öncesinde ve Sonrasında İşletme Yapılanması 91 Risk Yönetimi ve GRC İlkeleri 95 GRC Sürecinde İç Denetimin Rolü 103 GRC Sürecini Destekleyen Disiplinler 112 GRC Projesi Öncesi 11 Adım 118 GRC Uygulama Adımları ve Problemler 123
vi Yönetişim Risk ve Uyum III. BÖLÜM OCEG GRC Teorisi OCEG GRC Capability Model (Red Book) 131 GRC Yönetimi İle İlkeli Performans Sağlanması 148 GRC Süreçlerinde Teknolojinin Kritik Rolü 150 OCEG GRC Teknoloji Çözümleri Rehberi 156 GRC Yazılımı Fonksiyonları 168 IV. BÖLÜM Vakalar - Uygulamalar Vaka: Bir İnşaat Projesinde Risk Analizi 175 Vaka: Gayrimenkul Sektöründe Risk Yönetimi 186 Vaka: Telekom İtalya Risk Yönetimi Projesi 192 Vaka: Kâr Amacı Gütmeyen Kuruluş Risk Çalıştayı 200 V. BÖLÜM Sözlük ve Ekler GRC Yönetmeliği 211 GRC Mini Sözlük 217 Ekler 221 Kaynakça 227