J-SOX, AMERİKALI SOX UN YERİNİ ALIR MI? Aslı Eryılmaz 1. Giriş Bugüne kadar denetim, iç denetim, iç kontrol, COSO çerçevesi, düzenleyici otoriteler, skandallar ve Sarbanes Oxley yasası gibi konu başlıklarında birçok makale yazılmış ve araştırma yapılmıştır. Bunlara ek olarak hepimize tanıdık gelen etkinlik, verimlilik ve risk kavramlarını da unutmamak gerekir. Risk faktörlerinin azaltılması, etkinliğin arttırılması ve verimli operasyonları elde etme amaçları artık şirketlerin giriş lobisindeki duvarlara asılı duran şirket misyonu tabelalarında yer almaktadır. Bu yazıda, üzerinde daha az araştırma yapılmış ve farklı bir konu ele alınmıştır. Bu fark aslında bir harften ibaret! Sarbanes Oxley yasasının dünyada yarattığı iç kontrol çılgınlığı, dalga dalga tüm ülkelere yayıldı ve bazen aynı, bazense farklı başlıklarla karşımıza çıktı. Okuyacağınız çalışmanın odağı, bu çılgınlığa farklı bir boyut kazandıran, Japonya da 2008 yılından itibaren yürürlüğe girecek olan Sarbanes Oxley yasasının Japon versiyonu, J-SOX. 2. Sarbanes Oxley Yasası Sarbanes Oxley, ABD ve Avrupa da yaşanılan ekonomik krizler, ekonomik skandallar (Enron, Worldcom, vb) neticesinde ortaya çıkan kurumsal yönetişim (corporate governance) gereksinimi sonucunda gelişen bir yasadır. Kurumsal yönetişim, yatırımcılar arasındaki problemlerin çözümüne ve şirketin çıkar sahipleri ve paydaşları arasındaki çıkar çatışmalarının uzlaştırılmasına yardımcı olan ve oldukça popüler olmaya başlayan bir kavramdır. Ayrıca, dünya çapında görülen Kurumsal Yönetişimi İyileştirme çalışmalarının yoğunluğu nedeniyle hükümetlerin ve iş dünyasının öncelikli gündem maddelerinden biri olmuştur. Şirket skandallarından sonra kurumsal yönetişim ile ilgili çok daha sıkı yasal düzenlemelerin derlenmiş şekli olarak adlandırılan Sarbanes Oxley yasası 30 Temmuz 2002 de yürürlüğe girmiştir. Yasa, ABD Sermaye Piyasası Kurulu na (Securities and Exchange Commission-SEC) kayıtlı şirketlerin, finansal raporlama üzerindeki iç kontrollerin etkinliğini değerlendirecek bir iç kontrol sistemi oluşturmalarını öngörmektedir. Sarbanes Oxley yasası, firmaların finansal raporlamalarını etkileyen iş süreçlerindeki riskleri değerlendirmelerini şart koşmaktadır. Amacı, yatırımcıyı, doğruluk ve bütünlük ilkelerini kullanarak korumak, şirketlerin daha şeffaf ve güvenilir hale gelmelerini sağlamak, kurumsal yönetişim kavramını geliştirmek ve etik iş prensiplerinin benimsenmesini sağlamaktır. Etkileri, etkin kontrol çevresi, güvenilir dokümantasyon, standartlaştırılmış iş süreçleri, etkili iç kontrol ve daha az karmaşık süreçlerdir. Yasa, 11 bölümden oluşmasına karşın 302, 404, 401, 409, 802 ve 906 no lu bölümler, iç kontrol ve uygunluk kavramlarına yer veren önemli bölümlerdir. İş dünyası, iç kontrol değerlendirmeleri, finansal raporlama, kurumsal yönetişim ve etkinlik kavramları ile çalkalanırken sonunda herkesin beklediği gerçekleşti. Sarbanes Oxley (SOX) etkilerine maruz kalan ülkeler, yasayı yerel uygulamalarına dahil etmeye başladılar. Türkiye bu konuda hızlı davranan ülkelerden biri oldu. Sermaye Piyasası Kurulu (SPK) mevzuatında ve BDDK nın bankacılık sektörü ile ilgili yasal düzenlemelerinde SOX benzeri uygulamalara yer verdiler. 1
2.1. Japonya da neler oluyor? Japonya da skandallardan nasibini almış olmanın etkisiyle, 2006 yılının Haziran ayında Financial Instruments and Exchange Law yasası ile kısaca J-SOX olarak adlandırılan uygulamayı yasalaştırdı. Japonya nın yönetişim, kontrol ve raporlama skandalları da ABD dekilerden farklı değildi. Hisselerin satış fiyatlarına ve mali tablolarına ilişkin yanlış bilgi verilmesi, Seibu Demiryolu şirketinin menkul kıymet borsasından çekilmesine ve hisse senedi fiyatlarında düşüşe neden oldu. Bir diğer skandal ise kozmetik devi olan Kanebo ile patladı. PWC-Japonya ofisinden dört mali müşavir, konsolide edilmiş mali tablolara ilişkin yanlış beyan vermeleri nedeniyle tutuklandılar. 2.2. J-SOX 1 Nisan 2008 tarihi itibariyle Japon SOX uygulaması olarak bilinen J-SOX un uygulamaya konulması bekleniyor. Japonya kendine özgü kültürel yapısı ve işletme anlayışı sonucunda, kurumsal yönetişim, iç kontrol ve SOX uygulamalarındaki bazı kavramları değiştirerek, yeni kavramlar ekleyerek veya kavramlara ilişkin kapsam kısıtlaması yaparak J-SOX olarak düzenledi. Taslak olarak düzenlenen standartlar esas olarak 3 bölümden oluşmaktadır: 1. İç kontrol çerçevesi 2. Finansal raporlamalara yönelik iç kontrollere ilişkin değerlendirme ve raporlama (Assessment and Report on Internal Control Over Financial Reporting) 3. Finansal raporlamalara yönelik iç kontrollerin denetimi (Audit on Internal Control Over Financial Reporting) (1) İç kontrol çerçevesi, tasarımı ve uygulanmasından yönetimin sorumlulukları ve rollerinin yer aldığı iç kontrolün kavramsal çerçevesini ve tanımını açıklar. (2) Finansal raporlamalara yönelik iç kontrollere ilişkin değerlendirme ve raporlama ve (3) Finansal raporlamalara yönelik iç kontrollerin denetimi, yönetimin değerlendirme standartlarının çerçevesini ve bağımsız denetçilerin finansal raporlamalara yönelik iç kontrollerin etkinliğinin denetim çerçevesini belirler. Yapmalı-Yapmamalı listeleri hayatımızın her köşesine girerken J-SOX da kuralları ile Japonya borsasındaki yaklaşık 3800 şirketin kabusu oldu: 1. Yönetim, iç süreçleri ve kontrol prosedürlerini dokümante etmeli. 2. Yönetim iç süreçlerin dizaynını ve kontrol prosedürlerini değerlendirmeli. 3. Yönetim, iç kontrollerinin etkinliği ve dizaynı ile ilgili sonuçları rapor olarak hazırlamalı ve raporun doğruluğunu tasdik ettirmeli. 4. Dış denetçiler, yönetimin iç kontrol raporunu yıllık denetim planı dahilinde denetlemeli. 2.2.1 İç Kontrol Çerçevesi İç kontrol kavramının gelişimi iş dünyasındaki birtakım skandallardan sonra olmuştur. 1990 ların başında COSO, (Committee of Sponsoring Organizations-Treadway Komisyonunun Sponsor Organizasyon Komitesi) iç kontrol çerçevesini (COSO çerçevesi) açıklamıştır. 2002 yılında yürürlüğe giren ABD SOX yasası ile iç kontrol kavramı gelişmeye devam etmiştir. Japonya, Sarbanes Oxley Yasasını uyarladığı gibi COSO yu da uyarlama yoluna gitmiş ve çerçevesinde yer alan unsurların sayısını arttırmıştır. 2
Standardın birinci bölümü geliştirilmiş iç kontrol çerçevesini ele almaktadır. 2.2.1.1 Sayıların gücü: 5 unsurlu ve 3 hedefli COSO nasıl 6 unsurlu ve 4 hedefli J-COSO oldu? Daha önce kontrol ortamı, risk değerlendirmesi, kontrol faaliyetleri, bilgi ve iletişim ve izleme/gözlem den oluşan unsurlara Bilgi teknolojileri ihtiyaçlarına duyarlılık unsuru eklendi. Japonya denince akla gelen teknoloji ve bilim dehaları, teori ve terminolojide de geride kalmayarak çok önemli bir boyutu iç kontrol çerçevesine dahil ettiler. Hedefler operasyonlar, finansal raporlama ve uygunluk iken varlıkların korunması dördüncü olarak oyuna girdi. Bilgi teknolojileri unsuru Amerikalı COSO da büyük bir eksiklikti. Bilgi sistemleri ortamları ve genel bilgisayar kontrolleri (GCC), kontrollerin zemininde yer almadan iş döngüsü kontrollerinin (Business cycle controls) ayakta duramayacağı aşikardı. Yani bu çerçevede bilgi teknolojileri olmadan, kontrol ortamı ve kontrol faaliyetleri yetersiz, risk değerlendirme anlamsız, bilgi, iletişim ve izleme ise yararsız durumdaydı denilebilir. Bilgi teknolojileri, ticari kuruluşların gereksinimleri ve hızlı teknoloji evrimi ile iç kontrol çevresinin bir parçası haline geldi. Varlıkların korunması hedefi, varlık iktisabının/satın alınmasının, kullanımının ve elden çıkarılmasının ülkedeki prosedürlere ve yetkilendirmeye göre yapılması gerekliliğinin öneminden dolayı, COSO çerçevesine dahil edildi. 3
2.2.2 Finansal raporlamalara yönelik iç kontrollere ilişkin değerlendirme ve raporlama Standardın ikinci bölümüne göre; yönetim, iç kontrollerin tasarımı ve işlemesinden/çalışmasından sorumlu olacak şekilde bir role sahiptir. Finansal raporlamadaki iç kontrollerin etkinliği üzerine değerlendirme yapmalı ve kamuya bunun sonuçlarını raporlamalıdır. J-SOX a göre bu değerlendirme finansal raporlamanın güvenilirliğinin etkisinin önem derecesine göre yapılmalıdır. Yönetim, değerlendirme kapsamını finansal raporlama üzerindeki kalitatif ve kantitatif (nitel ve nicel) etkilerine göre belirlemelidir. Bu durumda yönetim değerlendirme kapsamına hangi hesapları, iştirakleri veya bağlı ortaklıkları alacağına karar verebilecektir. 2.2.3 Finansal raporlamalara yönelik iç kontrollerin denetimi Finansal raporlamadaki iç kontrollerin etkinliğine ilişkin olarak yönetimce yapılan değerlendirmeyle ilgili görüş bildirmek, mali tabloları denetlemekle yükümlü bağımsız denetçilerin görevidir. Bağımsız denetçiler değerlendirme sonuçlarının adil şekilde iç kontrol raporunda belirtilip belirtilmediğini denetlemekle yükümlüdürler. Standartlar, iç kontrol denetiminin şirketin mali tablolarını denetleyen bağımsız denetçiler tarafından yapılmasını şart koşmaktadır. Hatta iç kontrol denetimi ve finansal denetimden sorumlu denetim ortaklarının da aynı olması zorunludur. Denetçiler, yönetimin değerlendirmesinin etkinliğini denetlemeye, şirket tarafından kararlaştırılan denetim kapsamının uygunluğunu sorgulayarak başlamalıdırlar. 3. J-SOX, SOX un tahtına aday SOX un uygulamaları nedeniyle ABD de ve tüm dünyadaki ABD uyruklu şirketlerin yaşadığı maddi ve manevi olumsuzluklar, SOX un tahtını tehlikeye atacak gibi görünüyor. J-SOX, kapsamı, içeriği ve SOX dan farklılaştığı alanlar ile dikkatleri üstüne çekecek ve kim bilir belki de artık ABD, J-SOX esaslarını uygulamaya başlayacaktır. 3.1 Farklılıklar J-SOX ve SOX arasındaki bazı farklılıklara göz atalım; İç kontrol sistemindeki bulgular J-SOX da önemli zayıflıklar (material weaknesses) ve eksiklikler (deficiencies) olarak sınıflandırılırken, ABD de önemli zayıflıklar, kayda değer eksiklikler ve diğer eksiklikler olarak sınıflandırma yapmıştır. İç kontrol denetimini ve finansal denetimi, aynı bağımsız denetim şirketi ve ortağının yapması ve aynı denetim kanıtlarının karşılıklı olarak kullanılacak olması, denetimlerin etkin ve verimli olmasını sağlayacaktır. J-SOX un içeriğinde ve COSO çerçevesinde bilgi teknolojilerine ve varlıkların korunmasına yer vermesi J-SOX un maliyet açısından daha avantajlı olması. Küçük şirketler büyük şirketlere nazaran SOX dan daha olumsuz şekilde etkilendiler: Düşük gelirli küçük şirketlerin sabit maliyetlere 4
katlanması göreceli olarak, büyük şirketlerin bu maliyetlere katlanmasından çok daha külfetlidir. Büyük şirketler bugüne kadar Six Sigma kalite kontrol sistemlerinden faydalanmış, kalite kontrol testlerini yapmışlardır. Uçsuz bucaksız bilgi teknolojileri altyapısı, büyüklere yeni uygunluk standartlarının gerekliliklerini yerine getirmede yardımcı olmuş, fakat küçüklerin böyle bir altyapısı olmadığı için dezavantajlı duruma düşmüşlerdir. J-SOX da daha az evrak işi vardır. Bu husus, hem denetçiler, hem de denetlenen şirketler için avantaj olabilecektir. J-SOX denetimi sırasında daha az denetçi kullanılması öngörülmüştür. Kapsamın sınırlı olması sebebiyle daha az zaman ve daha az denetçi ile denetimler yapılabilecek ve bu da denetim maliyetlerini düşürecektir. (Bu durum Big 4 için dezavantaj yaratsa da denetlenen şirketler için ileride tercih sebebi olabilecektir.) Denetimde yüksek özdevinim/otomasyon, J-SOX un kullanacağı unsurlardan biri olacaktır. Böylece, entegre bir denetim yönetim sistemi, denetçilerin işi etkin olarak koordine etmesini ve kaynakların verimli şekilde dağıtılmasını sağlayacaktır. 4. Sonuç Sadece kavramsal farklılıklarla sınırlı kalmayan, denetlenen şirketler ve onların paydaşları için maliyetleri düşürücü ve hatta denetim kalitesini arttıracak yenilikler getiren J-SOX un yürürlüğe girdiği tarih, belki de Amerikalı SOX un yürürlükten kalktığı tarih olacaktır. Yakın gelecekte J- SOX denetim dünyasında, bu tartışmanın en yeni oyuncusu ve aynı zamanda galibi haline gelecektir. Amerikalı SOX yerini J-SOX a bırakarak popülerliğini yitirecektir. Bu olası değişim diğer finans kavramlarında da gerçekleşirse hiç şaşırmayın. Her an bir J-Basel III ile karşılaşabiliriz! Aslı Eryılmaz Kıdemli Danışman, Kurumsal Risk Hizmetleri 5