Asıl soru kurumda suistimal var mı? değil, kurumsal yapının suistimale ne kadar açık olduğudur.

Asıl soru ”kurumsal yapının suistimale ne kadar açık olduğudur”,“kurumda suistimal var mı?” değil.

ACFE verilerine göre; Her 20 kurumdan biri şu anda aktif suistimal içinde ve her yıl şirketlerin gelirlerinin ortalama %5’i suistimallerle kayboluyor.  

Şirket içi suistimal vakaları kamuoyuna yansıdığında genellikle şu soru sorulur: “O bunu nasıl yaptı?”

Oysa asıl sorulması gereken soru şudur: “Bu kurum, suistimalin gerçekleşmesine nasıl fırsat verdi?”

Çünkü şirket içi suistimal; tekil, münferit ya da “kötü niyetli bir çalışanın talihsiz davranışı” olmaktan ziyade, kurumsal yapının ürettiği bir sonuçtur. Başka bir ifadeyle, suistimal bir kazadan çok, sistemsel bir zafiyetin görünür hale gelmesidir.

ACFE Ne Söylüyor?

Association of Certified Fraud Examiners (ACFE) tarafından iki yılda bir yayımlanan Report to the Nations raporları, bu gerçeği net biçimde ortaya koymaktadır. Son raporlara göre:

• Kurumlar, yıllık gelirlerinin ortalama %5’ini çalışan suistimalleri nedeniyle kaybetmektedir.
• Vakaların %85’inde en az bir kontrol zafiyeti bulunmaktadır.
• Suistimal vakalarının %42’si, iç denetim veya iç kontrol mekanizmaları sayesinde değil, ihbarlar yoluyla ortaya çıkmaktadır.

Bu veriler, suistimalin “öngörülemez” değil, aksine öngörülebilir ve önlenebilir bir risk olduğunu göstermektedir.

“Bizde Olmaz” Yanılgısı

Birçok yönetici, kendi kurumunu değerlendirirken şu varsayıma yaslanır:

“Biz bir aileyiz, çalışanlarımıza güveniriz.”

Ancak ACFE’nin ortaya koyduğu temel gerçek şudur:

Suistimal güvenin olduğu yerde değil, kontrolün zayıf olduğu yerde ortaya çıkar.

Suistimal üç temel unsurun bir araya gelmesiyle gerçekleşir (Fraud Triangle):

1. Baskı (Pressure) – Finansal, performans veya kişisel baskılar
2. Fırsat (Opportunity) – Zayıf kontroller, yetki karmaşası, denetimsizlik
3. Gerekçelendirme (Rationalization) – “Herkes yapıyor”, “Zaten hakkımdı”

Yöneticiler çoğu zaman ilk iki unsuru göz ardı eder, üçüncü unsura odaklanır. Oysa kurumlar, özellikle fırsat unsurunubizzat kendileri yaratır.

Vaka Örneği: Tek İmza Yetkisi

ACFE veritabanında sıkça karşılaşılan bir vaka türü şudur:

Orta ölçekli bir şirkette muhasebe yöneticisi, hem tedarikçi tanımlama, hem ödeme talimatı, hem de banka mutabakatı süreçlerinden sorumludur. Üç yıl boyunca sahte tedarikçi oluşturarak şirkete yaklaşık 1,2 milyon dolar zarar verir.

Soru şudur:

Bu kişi mi suçludur, yoksa görevlerin ayrılığı ilkesini hiçe sayan kurumsal yapı mı?

Bu tür vakalarda çalışan genellikle yalnız değildir; suistimalin gerçek faili, tasarımı hatalı süreçlerdir.

Kurumlar Suistimali Nasıl Davet Eder?

Farkında olmadan suistimale zemin hazırlayan yaygın kurumsal hatalar şunlardır:

• Aşırı merkeziyetçi yetki yapıları
• “Güven” gerekçesiyle kaldırılmış kontroller
• Güncel olmayan görev tanımları
• Etik kodu olup uygulanmayan şirketler
• İhbar mekanizması olmayan veya güven vermeyen yapılar
• İç denetimin sadece “formal bir zorunluluk” olarak görülmesi

ACFE’ye göre, etkin bir ihbar hattı olan kurumlarda suistimal kaynaklı zararlar %50’ye varan oranlarda azalmakta, vakalar çok daha erken tespit edilmektedir.

Vaka Örneği: Performans Baskısı ve Satış Suistimali

Bir başka yaygın vaka türü ise satış hedefleriyle ilgilidir.

Uluslararası bir şirkette satış yöneticileri, ulaşılması neredeyse imkânsız hedeflerle ölçülmektedir. Sonuç olarak, bazı yöneticiler sahte satış kayıtları oluşturur, gelirleri erken tanır ve prim alır. Suistimal, şirketin finansal tablolarında ciddi bozulmalara yol açar.

Bu noktada soru tekrar karşımıza çıkar:

Bu kişiler mi suistimalciydi, yoksa kurum mu onları suistimale itti?

Asıl Soru Ne Olmalı?

Bu nedenle doğru soru şudur:

“Kurum suistimale ne kadar açık?”

Bu soruya dürüstçe cevap verebilmek için yöneticilerin şu alanları sorgulaması gerekir:

• Kritik süreçlerde görevlerin ayrılığı gerçekten var mı?
• Kontroller kağıt üzerinde mi, fiilen mi çalışıyor?
• Çalışanlar etik ihlalleri bildirdiklerinde korunacaklarına inanıyor mu?
• İç denetim ve uyum fonksiyonları bağımsız mı?
• Üst yönetim, etik konusunda gerçekten örnek oluyor mu?

Şirket içi suistimal bireysel bir hata olmasının yanı sıra, kurumsal yönetim ve kontrol mekanizmalarındaki eksikliklerin de bir sonucudur. Çalışanlar değiştirilebilir; ancak zayıf sistemler değişmediği sürece risk ortadan kalkmaz.

Unutulmamalıdır ki:

Suistimali engelleyen şey, iyi insanlarla birlikte iyi tasarlanmış sistemlerdir.

Farkında olmadan kurumunuzda suistimale bizzat siz zemin hazırlıyor olabilirsiniz. Bu nedenle mesele “suistimal var mı?” sorusu değil, “benim yönettiğim yapı suistimali ne kadar mümkün kılıyor?” sorusudur.

Ve bu soru, her yönetim kurulu masasının tam ortasında durmalıdır.