İç Kontrol, Şirketinizin Büyümesi ile Kontrolden Çıkması Arasındaki İnce Çizgidir

Uluslararası araştırmalar, işletmelerin her yıl cirolarının yaklaşık yüzde beşini çalışan kaynaklı hile ve suistimalle kaybettiğini gösteriyor; üstelik bu vakaların çoğu bir denetim raporuyla değil, bir ihbarla ortaya çıkıyor. COSO iç kontrol çerçevesi tam da bu boşluğu ölçülebilir bir düzene bağlamak için vardır.

İÇ KONTROLE GİRİŞ

• COSO, 1985'te ABD'de Treadway Komisyonu bünyesinde kuruldu; 1992'de “İç Kontrol – Bütünleşik Çerçeve” raporunu yayımladı, 2013 güncellemesiyle beş bileşeni destekleyen 17 ilkeyi ekledi.
• Çerçevenin beş bileşeni: kontrol ortamı, risk değerlendirme, kontrol faaliyetleri, bilgi ve iletişim, izleme. Üç hedefi ise faaliyetlerin etkinliği ve verimliliği, raporlamanın güvenilirliği ve mevzuata uyumdur.
• Türk hukukunda karşılığı doğrudan vardır: TTK'nın 375. maddesi muhasebe, finans denetimi ve finansal planlama düzeninin kurulmasını yönetim kurulunun devredilemez görevleri arasında sayar; 378. madde riskin erken saptanması ve yönetimi komitesini düzenler.
• 17 Mart 2026 tarihli ve 33199 sayılı Resmî Gazete'de yayımlanan 11066 sayılı Cumhurbaşkanı Kararı ile bağımsız denetim eşik değerleri aktif toplamında 500 milyon TL, net satış hasılatında 1 milyar TL, çalışan sayısında 150 kişi olarak belirlendi.
• Uluslararası hile araştırmasının 2026 verilerine göre vakaların yüzde 43'ü ihbarla ortaya çıkıyor, yüzde 84'ünde failin önceden gözlenebilir davranışsal işaretleri bulunuyor ve tipik bir vaka fark edilene kadar bir yıl sürüyor.

Kontrol, şirket büyürken geride kalan şeydir

Küçük ölçekli bir işletmede iç kontrol çoğu zaman tek bir kişide toplanmıştır: sahibi her şeyi görür, her ödemeyi bilir, her müşteriyi tanır. Bu, kâğıt üzerinde bir kontrol sistemi olmasa da fiilen işleyen bir denetimdir. Sorun, şirket büyüdüğünde başlar. Ciro iki katına çıkar, personel sayısı artar, satın alma ve tahsilat farklı kişilere dağılır; ancak yetkilendirme, onay ve mutabakat düzeni büyümeye eşlik etmez.

Bu makasın açıldığı dönem, hem hata hem de kasıtlı suistimal için en elverişli dönemdir. İç kontrol, bu noktada bir bürokrasi katmanı değil, sahibin gözünün yetişemediği yere kurulan sistemli bir gözdür. COSO çerçevesinin sunduğu şey de yeni bir yükümlülük değil, bu gözü nereye ve nasıl yerleştireceğinizi tarif eden ortak bir dildir.

COSO nedir, nereden geliyor

COSO, 1985 yılında Amerika Birleşik Devletleri'nde Treadway Komisyonu bünyesinde, işletmelerdeki mali suistimallerin önlenmesi amacıyla kuruldu. Komisyonun 1992'de yayımladığı “İç Kontrol – Bütünleşik Çerçeve” raporu, iç kontrolü beş bileşen üzerinden tanımlayarak dünya genelinde referans hâline geldi.

Çerçeve 2013'te güncellendi. Bu güncellemede iç kontrolün tanımı büyük ölçüde korundu, ancak beş bileşeni destekleyen ve daha önce örtük biçimde yer alan 17 ilke açıkça tanımlandı. Bugün küresel şirketlerin iç kontrol sistemlerinin etkinliğini izlemek ve raporlamak için kullandıkları model, bu 2013 çerçevesidir.

Beş bileşen, bir işletmede neye karşılık gelir

Kontrol ortamı, sistemin zeminidir. Kurum kültürü, etik değerler, görev ve sorumlulukların yazılı biçimde belirlenmiş olması bu başlığa girer. Uygulamada karşılığı basittir: kimin neyi onaylayabileceği yazılı mı, yoksa herkesin kafasındaki teamüle mi bağlı?

Risk değerlendirme, şirketi zora sokabilecek olayların önceden tespit edilmesi ve önceliklendirilmesidir. Tek bir müşteride yoğunlaşan alacak, tek tedarikçiye bağımlı üretim, kur riski taşıyan borçlanma yapısı bu kapsamdadır.

Kontrol faaliyetleri, riskin gerçekleşmesini engelleyen somut uygulamalardır: onay ve yetki sınırları, görev ayrılığı, mutabakatlar. Kasayı tutan kişinin muhasebe kaydını da yapması, bu bileşenin en sık rastlanan ihlalidir.

Bilgi ve iletişim, doğru bilginin doğru kişiye zamanında ulaşmasıdır. Ay sonunda kapanmayan mizan ya da üç ay gecikmeli gelen stok raporu, karar alacak kişiyi geçmişe bakarak yönetmeye zorlar.

İzleme ise sistemin kendisinin gözden geçirilmesidir. Kurulan kontrollerin hâlen çalışıp çalışmadığı, dönemsel olarak kontrol edilmediğinde kontrol yapısı kâğıt üzerinde kalır.

Üç hedef: sadece hile değil, verimlilik ve uyum...

İç kontrolün amacı yalnızca hırsızlığı engellemek değildir. COSO çerçevesi üç hedef tanımlar: faaliyetlerin etkin, verimli ve uygun maliyetle yürütülmesi; finansal raporlamanın doğru ve güvenilir olması; yasa, yönetmelik ve şirket içi düzenlemelere uyum.

İşletme sahibi açısından bu üç başlık birbirini besler. Kontrolsüz bir satın alma süreci yalnızca suistimal riski değil, aynı zamanda maliyet kaybı doğurur. Güvenilir olmayan bir raporlama düzeni yalnızca vergi riski değil, yanlış yatırım kararı da üretir. Uyumsuzluk ise idari para cezası olarak geri döner.

Türk hukukunda iç kontrolün yeri...

İç kontrol, Türkiye'de yalnızca bir yönetim tekniği değil, ticaret hukuku yükümlülüğüdür. 6102 sayılı Türk Ticaret Kanunu'nun 375. maddesi, muhasebe, finans denetimi ve şirketin yönetiminin gerektirdiği ölçüde finansal planlama için gerekli düzenin kurulmasını yönetim kurulunun devredilemez ve devralınamaz görevleri arasında sayar. Aynı maddede, yönetimle görevli kişilerin kanunlara, esas sözleşmeye, iç yönergelere ve yönetim kurulunun yazılı talimatlarına uygun hareket edip etmediklerinin üst gözetimi de devredilemez görevler arasındadır. Yani iç düzenin kurulmaması, bir eksiklik değil, kanuni bir görevin yerine getirilmemesidir.

Kanunun 378. maddesi ise riskin erken saptanması ve yönetimi komitesini düzenler. Bu komite, pay senetleri borsada işlem gören şirketlerde zorunlu olarak kurulur; diğer şirketlerde ise denetçinin gerekli görüp yönetim kuruluna yazılı olarak bildirmesi hâlinde kurulması gerekir. Komite, şirketin varlığını ve gelişmesini tehlikeye düşüren sebeplerin erken teşhisi ile riskin yönetilmesi amacıyla öngörülmüştür ve düzenlediği raporları yönetim kuruluna sunar.

Bağımsız denetim eşikleri 2026'da yükseldi...

17 Mart 2026 tarihli ve 33199 sayılı Resmî Gazete'de yayımlanan 11066 sayılı Cumhurbaşkanı Kararı ile bağımsız denetime tabi olmanın genel eşik değerleri yeniden belirlendi. 1 Ocak 2026'dan itibaren başlayan hesap dönemlerinde geçerli olmak üzere ölçütler; aktif toplamı 500 milyon Türk lirası, yıllık net satış hasılatı 1 milyar Türk lirası ve çalışan sayısı 150 kişidir. Şirketin denetime tabi olması için bu üç ölçütten en az ikisinin eşik değerinin art arda iki hesap döneminde aşılması gerekir.

Eşiklerin yükselmesi, bir kısım şirketi kapsam dışına çıkardı. Ancak buradan çıkarılacak sonuç, iç kontrolün artık gereksiz olduğu değildir. Bağımsız denetim, iç kontrolü kuran değil, kurulmuş olanı değerlendiren bir mekanizmadır. Denetim kapsamından çıkmak, iç kontrol ihtiyacını ortadan kaldırmaz; yalnızca eksikliği dışarıdan görecek gözü ortadan kaldırır.

Rakamlar ne söylüyor?

Uluslararası hile araştırması, 2026 raporunda 143 ülkeden 2.402 vakayı inceledi. Bulgular işletme sahipleri için doğrudan sonuç doğuruyor: kuruluşların yıllık cirolarının yaklaşık yüzde beşini mesleki hile nedeniyle kaybettiği tahmin ediliyor. Vaka başına medyan kayıp 104 bin dolar, ortalama kayıp ise 1,4 milyon doların üzerinde. İncelenen vakaların yüzde 20'sinde kayıp 1 milyon doları aşmış durumda.

Tespit yöntemi ise çarpıcı: vakaların yüzde 43'ü ihbar yoluyla ortaya çıkıyor ve bu ihbarların yarıdan fazlası çalışanlardan geliyor. Tipik bir vaka fark edilene kadar yaklaşık bir yıl sürüyor ve faillerin yüzde 84'ünde önceden gözlenebilir en az bir davranışsal işaret bulunuyor. Bunun pratik karşılığı şudur: çalışanların güvenle bildirim yapabileceği bir kanal, pek çok işletmede en pahalı denetim yazılımından daha etkilidir.

Küçük bir işletmede iç kontrol neye benzer?

İç kontrol, büyük bütçeli bir proje olmak zorunda değildir. Küçük ve orta ölçekli bir işletmede en yüksek getiriyi sağlayan uygulamalar oldukça sadedir. Kasa ve banka hareketlerini yürüten kişi ile bunların muhasebe kaydını yapan kişinin farklı olması, tek başına suistimal riskinin önemli bölümünü kapatır. Belirli tutarın üzerindeki ödemelerde çift imza veya ikinci onay aranması, hem hatayı hem kastı zorlaştırır.

Banka hesaplarının aylık olarak muhasebe kayıtlarıyla mutabakatı, tedarikçi ve müşteri cari hesaplarının dönemsel teyidi, yeni tedarikçi tanımlamalarının ayrı bir onaya bağlanması, stok sayımlarının düzenli yapılması ve ay kapanışının belirli bir takvime bağlanması bu listenin devamıdır. Bunların hiçbiri yazılım gerektirmez; yazılı bir yetki tablosu ve takip edilen bir takvim yeterlidir.

Habersiz yapılan kontrollerin caydırıcılığı da ayrıca dikkate değer. Araştırma bulguları, sürpriz denetim uygulayan kuruluşlarda medyan kaybın belirgin biçimde düştüğünü gösteriyor.

Mali müşavirle ilişkisi...

Muhasebe kayıtlarının doğruluğu, iç kontrolün hem ürünü hem de aracıdır. Belgeler zamanında ve eksiksiz ulaşmadığında mali müşavir yalnızca geçmişi kayda geçiren bir konuma sıkışır; oysa düzenli akan bir belge ve veri düzeni, cari hesap tutarsızlıklarından stok farklarına, olağandışı gider kalemlerinden tahsilat gecikmelerine kadar birçok sinyalin erken yakalanmasını sağlar.

Bu nedenle iç kontrol kurmanın en ucuz ilk adımı, ay kapanışını tarihe bağlamaktır. Kapanışın her ay aynı gün tamamlanması, mizanın gözden geçirilmesi ve olağandışı hareketlerin sorulması, çoğu işletmede resmi bir iç kontrol yapısı kurulmadan önce alınabilecek en verimli önlemdir.

Nereden başlamalı?

Sıralama şöyle kurulabilir. Önce mevcut durum yazılır: hangi süreçte kim yetkili, hangi onay kimde. Ardından şirketi en çok zorlayacak üç ila beş risk belirlenir; herkesin listesi farklıdır, önemli olan gerçekçi olmasıdır. Sonra bu risklerin her birine karşılık gelen somut bir kontrol tanımlanır ve sorumlusu yazılır. Dördüncü adımda bu kontrollerin çalıştığı dönemsel olarak kontrol edilir. Son olarak, çalışanların rahatsız edici bulduklarını bildirebileceği bir kanal açılır.

İç kontrol, kurulduğu gün değil, ilk kez bir hatayı erken yakaladığı gün kendini amorti eder. Bu yüzden asıl soru sistemin ne kadara mal olacağı değil, sistem yokken hangi hatanın ne zaman fark edileceğidir.