SOSYAL GÜVENLİK KURUMU İÇ KONTROL YÖNERGESİ

İÇ KONTROL YÖNERGESİ Sosyal Güvenlik Kurumu İç Kontrol Yönergesi BİRİNCİ BÖLÜM Amaç, Kapsam, Dayanak ve Tanımlar Amaç ve kapsam Madde 1- (1) Bu Yönergenin amacı, Kurumumuz iç kontrol sisteminin oluşturulmasında, izlenmesinde ve değerlendirilmesinde dikkate alınması gereken temel kuralları, ilke, iş, işlem ve süreçleri belirlemektir. Dayanak Madde 2- (1) Bu Yönerge, 24.12.2003 tarihli ve 25326 sayılı Resmi Gazetede yayımlanan 5018 sayılı Kamu Mali Yönetimi ve Kontrol Kanununun 55, 56 ve 57 nci maddeleri, 31.12.2005 tarih ve 26040 3. Mükerrer sayılı Resmi Gazetede yayımlanan İç Kontrol ve Ön Mali Kontrole İlişkin Usul ve Esaslar ile 26 Aralık 2007 tarihli ve 26738 sayılı Resmi Gazetede yayımlanan Kamu İç Kontrol Standartları Tebliğine dayanılarak hazırlanmıştır. Tanımlar Madde 3- (1) Bu Yönergede geçen, a) Harcama birimi: Kurum bütçesinde ödenek tahsis edilen ve harcama yetkisi bulunan birimi, b) Harcama yetkilisi: Bütçeyle ödenek tahsis edilen her bir harcama biriminin en üst yöneticisini veya ödenek gönderme belgesiyle harcama yetkisi verilen birim yöneticilerini, c) Kanun: 5018 sayılı Kamu Mali Yönetimi ve Kontrol Kanununu, ç) Kurul: İç Kontrol İzleme ve Yönlendirme Kurulunu, d) Kurum: Sosyal Güvenlik Kurumunu, e) Kurum Risk Koordinatörü: Strateji Geliştirme Başkanını, f) Üst Yönetici: Kurum Başkanını, g) ARK : Alt Birim Risk Koordinatörünü, ğ) BRK : Birim Risk Koordinatörünü, h) KRK : Kurum Risk Koordinatörünü, ı) RSB : Risk Strateji Belgesini, i) SGB : Strateji Geliştirme Başkanlığını, ifade eder. İKİNCİ BÖLÜM İç Kontrol İç kontrolün amacı Madde 4- (1) İç kontrolün amacı: a) Kamu gelir, gider, varlık ve yükümlülüklerinin etkili, ekonomik ve verimli bir şekilde yönetilmesini, b)Kamu idarelerinin kanunlara ve diğer düzenlemelere uygun olarak faaliyet göstermesini, c) Her türlü malî karar ve işlemlerde usulsüzlük ve yolsuzluğun önlenmesini, ç) Karar oluşturmak ve izlemek için düzenli, zamanında ve güvenilir rapor ve bilgi edinilmesini, d) Varlıkların kötüye kullanılması ve israfını önlemek ve kayıplara karşı korunmasını sağlamaktır. İç kontrolün temel ilkeleri Madde 5- (1) İç kontrolün temel ilkeleri şunlardır: a) İç kontrol faaliyetleri idarenin yönetim sorumluluğu çerçevesinde yürütülür. b) İç kontrol faaliyet ve düzenlemelerinde öncelikle riskli alanlar dikkate alınır. c) İç kontrole ilişkin sorumluluk, işlem sürecinde yer alan bütün görevlileri kapsar. ç) İç kontrol malî ve malî olmayan tüm işlemleri kapsar. d) İç kontrol sistemi yılda en az bir kez değerlendirilir ve alınması gereken önlemler belirlenir. e) İç kontrol düzenleme ve uygulamalarında mevzuata uygunluk, saydamlık, hesap verebilirlik ve ekonomiklik, etkinlik, etkililik gibi iyi malî yönetim ilkeleri esas alınır. İç kontrolün yapısı ve işleyişi Madde 6-(1) Kamu idarelerinin malî yönetim ve kontrol sistemleri; harcama birimleri, muhasebe ve malî hizmetler ile ön malî kontrol ve iç denetimden oluşur. (2) Yeterli ve etkili bir kontrol sisteminin oluşturulabilmesi için; mesleki değerlere ve dürüst yönetim anlayışına sahip olunması, malî yetki ve sorumlulukların bilgili ve yeterli yöneticilerle personele verilmesi, belirlenmiş standartlara uyulmasının sağlanması, mevzuata aykırı faaliyetlerin önlenmesi ve kapsamlı bir yönetim anlayışı ile uygun bir çalışma ortamının ve saydamlığın sağlanması bakımından ilgili idarelerin üst yöneticileri ile diğer yöneticileri tarafından görev, yetki ve sorumluluklar göz önünde bulundurulmak suretiyle gerekli önlemler alınır. ÜÇÜNCÜ BÖLÜM İç Kontrol Standartları İç kontrol standartları Madde 7- (1) Uluslararası standartlar ve iyi uygulama örnekleri çerçevesinde oluşturulan Kamu İç Kontrol Standartları aşağıda yer almaktadır: a) Kontrol ortamı standartları: - Standart 1. Etik Değerler ve Dürüstlük - Standart 2. Misyon, organizasyon yapısı ve görevler - Standart 3. Personelin yeterliliği ve performansı - Standart 4. Yetki Devri b) Risk değerlendirme standartları: - Standart 5. Planlama ve Programlama - Standart 6. Risklerin belirlenmesi ve değerlendirilmesi c) Kontrol faaliyetleri standartları: - Standart 7. Kontrol stratejileri ve yöntemleri - Standart 8. Prosedürlerin belirlenmesi ve belgelendirilmesi - Standart 9. Görevler ayrılığı - Standart 10. Hiyerarşik kontroller - Standart 11. Faaliyetlerin sürekliliği - Standart 12. Bilgi sistemleri kontrolleri ç) Bilgi ve iletişim standartları: - Standart 13. Bilgi ve iletişim - Standart 14. Raporlama - Standart 15. Kayıt ve dosyalama sistemi - Standart 16. Hata, usulsüzlük ve yolsuzlukların bildirilmesi d) İzleme standartları: - Standart 17. İç kontrolün değerlendirilmesi - Standart 18. İç denetim Kontrol ortamı standartları Madde 8- (1) Kontrol ortamı, iç kontrolün diğer unsurlarına temel teşkil eden genel bir çerçeve olup, kişisel ve mesleki dürüstlük, yönetim ve personelin etik değerleri, iç kontrole yönelik destekleyici tutum, mesleki yeterlilik, organizasyonel yapı, insan kaynakları politikaları ve uygulamaları ile yönetim felsefesi ve iş yapma tarzına ilişkin hususları kapsar. Kontrol ortamı standartları aşağıdaki standartlardan oluşur: a) Standart 1. Etik Değerler ve Dürüstlük: Personel davranışlarını belirleyen kuralların personel tarafından bilinmesi sağlanmalıdır. Bu standart için gerekli genel şartlar: 1.1. İç kontrol sistemi ve işleyişi yönetici ve personel tarafından sahiplenilmeli ve desteklenmelidir. 1.2. İdarenin yöneticileri iç kontrol sisteminin uygulanmasında personele örnek olmalıdırlar. 1.3. Etik kurallar bilinmeli ve tüm faaliyetlerde bu kurallara uyulmalıdır. 1.4. Faaliyetlerde dürüstlük, saydamlık ve hesap verebilirlik sağlanmalıdır. 1.5. İdarenin personeline ve hizmet verilenlere adil ve eşit davranılmalıdır. 1.6. İdarenin faaliyetlerine ilişkin tüm bilgi ve belgeler doğru, tam ve güvenilir olmalıdır. b) Standart 2. Misyon, organizasyon yapısı ve görevler: İdarelerin misyonu ile birimlerin ve personelin görev tanımları yazılı olarak belirlenmeli, personele duyurulmalı ve idarede uygun bir organizasyon yapısı oluşturulmalıdır. Bu standart için gerekli genel şartlar: 2.1. İdarenin misyonu yazılı olarak belirlenmeli, duyurulmalı ve personel tarafından benimsenmesi sağlanmalıdır. 2.2. Misyonun gerçekleştirilmesini sağlamak üzere idare birimleri ve alt birimlerince yürütülecek görevler yazılı olarak tanımlanmalı ve duyurulmalıdır. 2.3. İdare birimlerinde personelin görevlerini ve bu görevlere ilişkin yetki ve sorumluluklarını kapsayan görev dağılım çizelgesi oluşturulmalı ve personele bildirilmelidir. 2.4. İdarenin ve birimlerinin teşkilat şeması olmalı ve buna bağlı olarak fonksiyonel görev dağılımı belirlenmelidir. 2.5. İdarenin ve birimlerinin organizasyon yapısı, temel yetki ve sorumluluk dağılımı, hesap verebilirlik ve uygun raporlama ilişkisini gösterecek şekilde olmalıdır. 2.6. İdarenin yöneticileri, faaliyetlerin yürütülmesinde hassas görevlere ilişkin prosedürleri belirlemeli ve personele duyurmalıdır. 2.7. Her düzeydeki yöneticiler verilen görevlerin sonucunu izlemeye yönelik mekanizmalar oluşturmalıdır. c) Standart 3. Personelin yeterliliği ve performansı: Kurum, personelin yeterliliği ve görevleri arasındaki uyumu sağlamalı, performansın değerlendirilmesi ve geliştirilmesine yönelik önlemler almalıdır. Bu standart için gerekli genel şartlar: 3.1. İnsan kaynakları yönetimi, idarenin amaç ve hedeflerinin gerçekleşmesini sağlamaya yönelik olmalıdır. 3.2. İdarenin yönetici ve personeli görevlerini etkin ve etkili bir şekilde yürütebilecek bilgi, deneyim ve yeteneğe sahip olmalıdır. 3.3. Mesleki yeterliliğe önem verilmeli ve her görev için en uygun personel seçilmelidir. 3.4. Personelin işe alınması ile görevinde ilerleme ve yükselmesinde liyakat ilkesine uyulmalı ve bireysel performansı göz önünde bulundurulmalıdır. 3.5. Her görev için gerekli eğitim ihtiyacı belirlenmeli, bu ihtiyacı giderecek eğitim faaliyetleri her yıl planlanarak yürütülmeli ve gerektiğinde güncellenmelidir. 3.6. Personelin yeterliliği ve performansı bağlı olduğu yöneticisi tarafından en az yılda bir kez değerlendirilmeli ve değerlendirme sonuçları personel ile görüşülmelidir. 3.7. Performans değerlendirmesine göre performansı yetersiz bulunan personelin performansını geliştirmeye yönelik önlemler alınmalı, yüksek performans gösteren personel için ödüllendirme mekanizmaları geliştirilmelidir. 3.8. Personel istihdamı, yer değiştirme, üst görevlere atanma, eğitim, performans değerlendirmesi, özlük hakları gibi insan kaynakları yönetimine ilişkin önemli hususlar yazılı olarak belirlenmiş olmalı ve personele duyurulmalıdır. ç) Standart 4. Yetki Devri: İdarelerde yetkiler ve yetki devrinin sınırları açıkça belirlenmeli ve yazılı olarak bildirilmelidir. Devredilen yetkinin önemi ve riski dikkate alınarak yetki devri yapılmalıdır. Bu standart için gerekli genel şartlar: 4.1. İş akış süreçlerindeki imza ve onay mercileri belirlenmeli ve personele duyurulmalıdır. 4.2. Yetki devirleri, üst yönetici tarafından belirlenen esaslar çerçevesinde devredilen yetkinin sınırlarını gösterecek şekilde yazılı olarak belirlenmeli ve ilgililere bildirilmelidir. 4.3. Yetki devri, devredilen yetkinin önemi ile uyumlu olmalıdır. 4.4. Yetki devredilen personel görevin gerektirdiği bilgi, deneyim ve yeteneğe sahip olmalıdır. 4.5. Yetki devredilen personel, yetkinin kullanımına ilişkin olarak belli dönemlerde yetki devredene bilgi vermeli, yetki devreden ise bu bilgiyi aramalıdır. Risk değerlendirme standartları Madde 9- (1) Risk değerlendirme, Kurumun hedeflerinin gerçekleşmesini engelleyecek risklerin tanımlanması, analiz edilmesi ve gerekli önlemlerin belirlenmesi sürecidir.

a) Standart 5. Planlama ve Programlama: Kurum, faaliyetlerini, amaç, hedef ve göstergelerini ve bunları gerçekleştirmek için ihtiyaç duyduğu kaynakları içeren plan ve programlarını oluşturmalı ve duyurmalı, faaliyetlerinin plan ve programlara uygunluğunu sağlamalıdır. Bu standart için gerekli genel şartlar: 5.1. İdareler, misyon ve vizyonlarını oluşturmak, stratejik amaçlar ve ölçülebilir hedefler saptamak, performanslarını ölçmek, izlemek ve değerlendirmek amacıyla katılımcı yöntemlerle stratejik plan hazırlamalıdır. 5.2. İdareler, yürütecekleri program, faaliyet ve projeleri ile bunların kaynak ihtiyacını, performans hedef ve göstergelerini içeren performans programı hazırlamalıdır. 5.3. İdareler, bütçelerini stratejik planlarına ve performans programlarına uygun olarak hazırlamalıdır. 5.4. Yöneticiler, faaliyetlerin ilgili mevzuat, stratejik plan ve performans programıyla belirlenen amaç ve hedeflere uygunluğunu sağlamalıdır. 5.5. Yöneticiler, görev alanları çerçevesinde idarenin hedeflerine uygun özel hedefler belirlemeli ve personeline duyurmalıdır. 5.6. İdarenin ve birimlerinin hedefleri, spesifik, ölçülebilir, ulaşılabilir, ilgili ve süreli olmalıdır. b) Standart 6. Risklerin belirlenmesi ve değerlendirilmesi: İdareler, sistemli bir şekilde analizler yaparak amaç ve hedeflerinin gerçekleşmesini engelleyebilecek iç ve dış riskleri tanımlayarak değerlendirmeli ve alınacak önlemleri belirlemelidir. Bu standart için gerekli genel şartlar: 6.1. İdareler, her yıl sistemli bir şekilde amaç ve hedeflerine yönelik riskleri belirlemelidir. 6.2. Risklerin gerçekleşme olasılığı ve muhtemel etkileri yılda en az bir kez analiz edilmelidir. 6.3. Risklere karşı alınacak önlemler belirlenerek eylem planları oluşturulmalıdır. Kontrol faaliyetleri standartları Madde 10- (1) Kontrol faaliyetleri, Kurumun hedeflerinin gerçekleştirilmesini sağlamak ve belirlenen riskleri yönetmek amacıyla oluşturulan politika ve prosedürlerdir. a) Standart 7. Kontrol stratejileri ve yöntemleri: İdareler, hedeflerine ulaşmayı amaçlayan ve riskleri karşılamaya uygun kontrol strateji ve yöntemlerini belirlemeli ve uygulamalıdır. Bu standart için gerekli genel şartlar: 7.1. Her bir faaliyet ve riskleri için uygun kontrol strateji ve yöntemleri (düzenli gözden geçirme, örnekleme yoluyla kontrol, karşılaştırma, onaylama, raporlama, koordinasyon, doğrulama, analiz etme, yetkilendirme, gözetim, inceleme, izleme v.b.) belirlenmeli ve uygulanmalıdır. 7.2. Kontroller, gerekli hallerde, işlem öncesi kontrol, süreç kontrolü ve işlem sonrası kontrolleri de kapsamalıdır. 7.3. Kontrol faaliyetleri, varlıkların dönemsel kontrolünü ve güvenliğinin sağlanmasını kapsamalıdır. 7.4. Belirlenen kontrol yönteminin maliyeti beklenen faydayı aşmamalıdır. b) Standart 8. Prosedürlerin belirlenmesi ve belgelendirilmesi: Kurum, faaliyetleri ile mali karar ve işlemleri için gerekli yazılı prosedürleri ve bu alanlara ilişkin düzenlemeleri hazırlamalı, güncellemeli ve ilgili personelin erişimine sunmalıdır. Bu standart için gerekli genel şartlar: 8.1. İdareler, faaliyetleri ile mali karar ve işlemleri hakkında yazılı prosedürler belirlemelidir. 8.2. Prosedürler ve ilgili dokümanlar, faaliyet veya mali karar ve işlemin başlaması, uygulanması ve sonuçlandırılması aşamalarını kapsamalıdır. 8.3. Prosedürler ve ilgili dokümanlar, güncel, kapsamlı, mevzuata uygun ve ilgili personel tarafından anlaşılabilir ve ulaşılabilir olmalıdır. c) Standart 9. Görevler ayrılığı: Hata, eksiklik, yanlışlık, usulsüzlük ve yolsuzluk risklerini azaltmak için faaliyetler ile mali karar ve işlemlerin onaylanması, uygulanması, kaydedilmesi ve kontrol edilmesi görevleri personel arasında paylaştırılmalıdır. Bu standart için gerekli genel şartlar: 9.1. Her faaliyet veya mali karar ve işlemin onaylanması, uygulanması, kaydedilmesi ve kontrolü görevleri farklı kişilere verilmelidir. 9.2. Personel sayısının yetersizliği nedeniyle görevler ayrılığı ilkesinin tam olarak uygulanamadığı idarelerin yöneticileri risklerin farklı kişilerde olmalı ve gerekli önlemleri almalıdır. ç) Standart 10. Hiyerarşik kontroller: Yöneticiler, iş ve işlemlerin prosedürlere uygunluğunu sistemli bir şekilde kontrol etmelidir. Bu standart için gerekli genel şartlar: 10.1. Yöneticiler, prosedürlerin etkili ve sürekli bir şekilde uygulanması için gerekli kontrolleri yapmalıdır. 10.2. Yöneticiler, personelin iş ve işlemlerini izlemeli ve onaylamalı, hata ve usulsüzlüklerin giderilmesi için gerekli talimatları vermelidir. d) Standart 11. Faaliyetlerin sürekliliği: İdareler, faaliyetlerin sürekliliğini sağlamaya yönelik gerekli önlemleri almalıdır. Bu standart için gerekli genel şartlar: 11.1. Personel yetersizliği, geçici veya sürekli olarak görevden ayrılma, yeni bilgi sistemlerine geçiş, yöntem veya mevzuat değişiklikleri ile olağanüstü durumlar gibi faaliyetlerin sürekliliğini etkileyen nedenlere karşı gerekli önlemler alınmalıdır. 11.2. Gerekli hallerde usulüne uygun olarak vekil personel görevlendirilmelidir. 11.3. Görevinden ayrılan personelin, iş veya işlemlerinin durumunu ve gerekli belgeleri de içeren bir rapor hazırlaması ve bu raporu görevlendirilen personele vermesi yönetici tarafından sağlanmalıdır.

e) Standart 12. Bilgi sistemleri kontrolleri: İdareler, bilgi sistemlerinin sürekliliğini ve güvenilirliğini sağlamak için gerekli kontrol mekanizmaları geliştirmelidir. Bu standart için gerekli genel şartlar: 12.1. Bilgi sistemlerinin sürekliliğini ve güvenilirliğini sağlayacak kontroller yazılı olarak belirlenmeli ve uygulanmalıdır. 12.2. Bilgi sistemine veri ve bilgi girişi ile bunlara erişim konusunda yetkilendirmeler yapılmalı, hata ve usulsüzlüklerin önlenmesi, tespit edilmesi ve düzeltilmesini sağlayacak mekanizmalar oluşturulmalıdır. 12.3. İdareler bilişim yönetişimini sağlayacak mekanizmalar geliştirmelidir. Bilgi ve iletişim standartları Madde 11- (1) Bilgi ve iletişim, gerekli bilginin ihtiyaç duyan kişi, personel ve yöneticiye belirli bir formatta ve ilgililerin iç kontrol ve diğer sorumluluklarını yerine getirmelerine imkan verecek bir zaman dilimi içinde iletilmesini sağlayacak bilgi, iletişim ve kayıt sistemini kapsar. a) Standart 13. Bilgi ve iletişim: Kurum, birimlerinin ve çalışanlarının performansının izlenebilmesi, karar alma süreçlerinin sağlıklı bir şekilde işleyebilmesi ve hizmet sunumunda etkinlik ve memnuniyetin sağlanması amacıyla uygun bir bilgi ve iletişim sistemine sahip olmalıdır. Bu standart için gerekli genel şartlar: 13.1. İdarelerde, yatay ve dikey iç iletişim ile dış iletişimi kapsayan etkili ve sürekli bir bilgi ve iletişim sistemi olmalıdır. 13.2. Yöneticiler ve personel, görevlerini yerine getirebilmeleri için gerekli ve yeterli bilgiye zamanında ulaşabilmelidir. 13.3. Bilgiler doğru, güvenilir, tam, kullanışlı ve anlaşılabilir olmalıdır. 13.4. Yöneticiler ve ilgili personel, performans programı ve bütçenin uygulanması ile kaynak kullanımına ilişkin diğer bilgilere zamanında erişebilmelidir. 13.5. Yönetim bilgi sistemi, yönetimin ihtiyaç duyduğu gerekli bilgileri ve raporları üretebilecek ve analiz yapma imkanı sunacak şekilde tasarlanmalıdır. 13.6. Yöneticiler, idarenin misyon, vizyon ve amaçları çerçevesinde beklentilerini görev ve sorumlulukları kapsamında personele bildirmelidir. 13.7. İdarenin yatay ve dikey iletişim sistemi personelin değerlendirme, öneri ve sorunlarını iletebilmelerini sağlamalıdır. b) Standart 14. Raporlama: Kurumun amaç, hedef, gösterge ve faaliyetleri ile sonuçları, saydamlık ve hesap verebilirlik ilkeleri doğrultusunda raporlanmalıdır. Bu standart için gerekli genel şartlar: 14.1. İdareler, her yıl, amaçları, hedefleri, stratejileri, varlıkları, yükümlülükleri ve performans programlarını kamuoyuna açıklamalıdır. 14.2. İdareler, bütçelerinin ilk altı aylık uygulama sonuçları, ikinci altı aya ilişkin beklentiler ve hedefler ile faaliyetlerini kamuoyuna açıklamalıdır. 14.3. Faaliyet sonuçları ve değerlendirmeler idare faaliyet raporunda gösterilmeli ve duyurulmalıdır.

14.4. Faaliyetlerin gözetimi amacıyla idare içinde yatay ve dikey raporlama ağı yazılı olarak belirlenmeli, birim ve personel, görevleri ve faaliyetleriyle ilgili hazırlanması gereken raporlar hakkında bilgilendirilmelidir. c) Standart 15. Kayıt ve dosyalama sistemi: İdareler, gelen ve giden her türlü evrak dahil iş ve işlemlerin kaydedildiği, sınıflandırıldığı ve dosyalandığı kapsamlı ve güncel bir sisteme sahip olmalıdır. Bu standart için gerekli genel şartlar: 15.1. Kayıt ve dosyalama sistemi, elektronik ortamdakiler dahil, gelen ve giden evrak ile idare içi haberleşmeyi kapsamalıdır. 15.2. Kayıt ve dosyalama sistemi kapsamlı ve güncel olmalı, yönetici ve personel tarafından ulaşılabilir ve izlenebilir olmalıdır. 15.3. Kayıt ve dosyalama sistemi, kişisel verilerin güvenliğini ve korunmasını sağlamalıdır. 15.4. Kayıt ve dosyalama sistemi belirlenmiş standartlara uygun olmalıdır. 15.5. Gelen ve giden evrak zamanında kaydedilmeli, standartlara uygun bir şekilde sınıflandırılmalı ve arşiv sistemine uygun olarak muhafaza edilmelidir. 15.6. İdarenin iş ve işlemlerinin kaydı, sınıflandırılması, korunması ve erişimini de kapsayan, belirlenmiş standartlara uygun arşiv ve dokümantasyon sistemi oluşturulmalıdır. ç) Standart 16. Hata, usulsüzlük ve yolsuzlukların bildirilmesi: İdareler, hata, usulsüzlük ve yolsuzlukların belirlenen bir düzen içinde bildirilmesini sağlayacak yöntemler oluşturmalıdır. Bu standart için gerekli genel şartlar: 16.1. Hata, usulsüzlük ve yolsuzlukların bildirim yöntemleri belirlenmeli ve duyurulmalıdır. 16.2. Yöneticiler, bildirilen hata, usulsüzlük ve yolsuzluklar hakkında yeterli incelemeyi yapmalıdır. 16.3. Hata, usulsüzlük ve yolsuzlukları bildiren personele haksız ve ayırımcı bir muamele yapılmamalıdır. İzleme standartları Madde 12- (1) İzleme, iç kontrol sisteminin kalitesini değerlendirmek üzere yürütülen tüm izleme faaliyetlerini kapsar. a) Standart 17. İç kontrolün değerlendirilmesi: İdareler iç kontrol sistemini yılda en az bir kez değerlendirmelidir. Bu standart için gerekli genel şartlar: 17.1. İç kontrol sistemi, sürekli izleme veya özel bir değerlendirme yapma veya bu iki yöntem birlikte kullanılarak değerlendirilmelidir. 17.2. İç kontrolün eksik yönleri ile uygun olmayan kontrol yöntemlerinin belirlenmesi, bildirilmesi ve gerekli önlemlerin alınması konusunda süreç ve yöntem belirlenmelidir. 17.3. İç kontrolün değerlendirilmesine idarenin birimlerinin katılımı sağlanmalıdır. 17.4. İç kontrolün değerlendirilmesinde, yöneticilerin görüşleri, kişi ve/veya idarelerin talep ve şikâyetleri ile iç ve dış denetim sonucunda düzenlenen raporlar dikkate alınmalıdır. 17.5. İç kontrolün değerlendirilmesi sonucunda alınması gereken önlemler belirlenmeli ve bir eylem planı çerçevesinde uygulanmalıdır. b) Standart 18. İç denetim: İdareler fonksiyonel olarak bağımsız bir iç denetim faaliyetini sağlamalıdır. Bu standart için gerekli genel şartlar: 18.1. İç denetim faaliyeti İç Denetim Koordinasyon Kurulu tarafından belirlenen standartlara uygun bir şekilde yürütülmelidir. 18.2. İç denetim sonucunda idare tarafından alınması gerekli görülen önlemleri içeren eylem planı hazırlanmalı, uygulanmalı ve izlenmelidir. DÖRDÜNCÜ BÖLÜM Görev, Yetki ve Sorumluluklar Üst yönetici Madde 13- (1) Kurumda yeterli ve etkili bir iç kontrol sisteminin kurulmasını sağlamak, işleyişi izlemek ve gerekli tedbirleri alarak geliştirmek ile sorumlu olan üst yönetici iç kontrol sisteminin sahibidir. Üst yönetici, genel olarak izleme görevini üstlenmekle birlikte Kurumun hedefleri doğrultusunda faaliyetlerin yürütülmesi ve iç kontrol sisteminin işleyişine ilişkin sorumluluğunu İç Denetim Birimi Başkanlığı, Strateji Geliştirme Başkanlığı (SGB) ve harcama yetkilileri aracılığıyla yerine getirir. (2) Üst yönetici iç kontrol sisteminin işleyişi kapsamında; a) İç kontrol sisteminin tüm aşamalarında çalışanları teşvik eder. b) İç kontrol sistemine ilişkin Kurul tarafından belirlenen politika ve prosedürleri onaylar ve tüm personele duyurur. c) İç Kontrol Standartları Eylem Planını onaylar ve tüm personele duyurur. ç) Her üç yılda bir Kurumun amaç ve hedefleri doğrultusunda risklerin yönetilmesi konusunda stratejinin belirlenmesini sağlar. d) Kurumun risk yönetimi süreçlerinin uygulanması konusunda, Kurul ile Kurum Risk Koordinatörü (KRK) tarafından kendisine sunulan değerlendirme ve öneriler doğrultusunda geleceğe ilişkin stratejik eylemler belirler. e) Yeni bilgi sistemlerinin kurulmasında ve entegrasyonunda mevcut bilgi sistemlerinin ihtiyacı karşılayıp karşılamadığı hususunu Kurul ve İç Denetim Birimi Başkanlığının da görüşünü alarak değerlendirir. f) Kurulun uygun görüşüyle SGB tarafından sunulan İç Kontrol Sistemi Değerlendirme Raporunu (İZ Ek-2) onaylar. İç Kontrol İzleme ve Yönlendirme Kurulu Madde 14- (1) Kurul, üst yöneticinin görevlendireceği Kurum Başkan Yardımcısı başkanlığında; Emeklilik Hizmetleri Genel Müdürü, Sigorta Primleri Genel Müdürü, Genel Sağlık Sigortası Genel Müdürü, Hizmet Sunumu Genel Müdürü, Rehberlik ve Teftiş Başkanı, Aktüerya ve Fon Yönetimi Daire Başkanı, Strateji Geliştirme Başkanı, I. Hukuk Müşaviri, Basın ve Halkla İlişkiler Müşaviri, İnsan Kaynakları Daire Başkanı, Destek Hizmetleri Daire Başkanı, İnşaat ve Emlak Daire Başkanı ve Eğitim Araştırma ve Geliştirme Merkezi Başkanından oluşur. (2) Kurul, Kurumun hedefleri doğrultusunda iç kontrol sisteminin oluşturulmasına ilişkin politika ve prosedürlerin belirlenmesinden sorumludur.

(3) Kurulun sekretarya hizmetleri SGB tarafından yürütülür. Toplantılara gerek görülmesi halinde Kurum içinden veya dışından uzman kişiler davet edilebilir. (4) Kurul iç kontrol sisteminin işleyişi kapsamında; a) İç Kontrol Standartları Eylem Planını görüşür, değerlendirir, geliştirir, planda gerekli görülen değişiklikleri yapar ve uygun bulunan planı karara bağlar. b) 6 aylık dönemler itibariyle oluşturulan İç Kontrol Standartları Eylem Planı İzleme ve Değerlendirme Raporunu görüşerek karara bağlar. c) İç kontrol standartlarına ilişkin belirlenen politika ve prosedürleri üst yöneticinin onayına sunar. ç) Risk yönetimi konusunda, KRK tarafından kendisine sunulan riskler içerisinden stratejik düzeyde önemli gördüğü riskleri gündemine alır. d) Kurumun risk yönetimi kültürünün oluşturulmasında politikalar belirler. e) Harcama birimlerine ait risklerden ortak yönetilmesi gerekenleri ve bunlara ilişkin politika ve prosedürleri belirleyerek koordine etmesi açısından SGB’ye bildirir. f) Kurul her yıl haziran ve aralık aylarında toplanarak Kurumun risk yönetimi süreçlerinin etkili işleyip işlemediğini ve risklerde gelinen durumu değerlendirerek, Konsolide Risk Raporunu (RSB Ek-5) onaylar. g) İç kontrol sistemine ilişkin, Sayıştay ve iç denetim raporlarından da yararlanarak iyi uygulama örneklerinin tespit edilmesini ve yaygınlaştırılmasını destekler. ğ) Belirlenen riskleri değerlendirirken, sistem ve süreçlere bakarak risklerle ilgili mevcut kontrollerin olup olmadığını tespit eder. h) Sistem ve süreçlerde var olan kontrollerin riskleri kontrol etmede etkili ve yeterli olup olmadığını değerlendirir. ı) Herhangi bir kontrolün bulunmadığı veya var olan kontrolün etkili ve yeterli olmadığına karar verilmesi halinde, yeni veya ilave kontrol faaliyeti belirler. i) Hem yeni kontrolleri hem de devam etmekte olan kontrolleri izler. j) Kurum faaliyetlerine ilişkin hesap verilebilirlik ve saydamlık ilkelerinin yerine getirilmesi açısından bilgi ihtiyacının planlanması, bilginin oluşturulması, toplanması, organizasyonu, kullanılması, paylaşılması, gözden geçirilmesi ve korunması aşamalarını kapsayan bilgi yönetimi sürecini izler. k) SGB tarafından hazırlanan İç Kontrol Sistemi Değerlendirme Raporunu (İZ Ek-2) değerlendirir, varsa eksiklikleri tamamlandıktan sonra karara bağlar. Harcama Yetkilisi Madde 15- (1) Biriminde etkili bir iç kontrol sistemi oluşturmak, uygulanmasını sağlamak ve izlemek, zayıf yönleri geliştirmekle sorumlu ve görevlidir. (2) Harcama yetkilisi iç kontrol sisteminin işleyişi kapsamında; a) İç Kontrol Standartları Eylem Planı çalışmaları çerçevesinde biriminin eylemleri ile ilgili verileri SGB’ye gönderir. b) Görev, yetki ve sorumlulukların açıkça ve yazılı olarak belirlenmesini ve bunların birimindeki tüm personele duyurulmasını sağlar. c) Risk yönetimi çerçevesinde, riskin sahibi olarak riskle ilgili bilgiyi toplar, izlemeyi gerçekleştirir, riske verilen cevapları yönetir, riskin yönetildiğine ilişkin kanıtların tutulmasını ve risk kayıtlarının güncellenmesini sağlar. ç) Birim Risk Koordinatörü (BRK) tarafından hazırlanan Birim Risk Raporunu (RSB Ek-4) onaylar. d) Her yıl ocak ayı sonuna kadar İç Kontrol Sistemi Soru Formunu (İZ Ek-1) doldurarak bir önceki yılda iç kontrol sisteminin değerlendirilmesine yönelik gerekli bilgileri SGB’ye gönderir.

e) Sürekli izleme sorumluluğu vardır. Bu kapsamda alt birimlerde kontrollerin ne derecede uygulandığını ve alt birim yöneticilerinin kendi birimlerindeki izleme sorumluluğunu yerine getirip getirmediklerini takip eder. Strateji Geliştirme Başkanlığı Madde 16- (1) İç kontrol sisteminin harcama birimlerinde oluşturulması, uygulanması ve geliştirilmesi çalışmalarının koordinasyonu ile eğitim ve rehberlik hizmeti sağlamaktan sorumludur. Strateji Geliştirme Başkanı risk yönetimi ve uygulamaları konusunda KRK olarak görev yapar. (2) SGB iç kontrol sisteminin işleyişi kapsamında; a) İç Kontrol Standartları Eylem Planı çalışmalarının koordinasyonunu sağlar. b) Sorumlu ve ilgili birimlerden alınan veriler doğrultusunda 6 aylık dönemler itibariyle İç Kontrol Standartları Eylem Planı İzleme ve Değerlendirme Raporunu hazırlar, Kurula ve üst yöneticiye sunar. c) Risk yönetimi çerçevesinde BRK’leri toplantıya çağırır. ç) Her bir BRK tarafından raporlanan birim risklerinden yola çıkarak Konsolide Risk Raporunu (RSB Ek-5) hazırlar; bu raporu her yıl haziran ve aralık aylarında Kurula ve üst yöneticiye sunar. Bu raporla birlikte izlenmesi gereken önemli riskleri ve kendi değerlendirmelerini de raporlar. d) Birimlerin risk yönetimi konusundaki ihtiyaçlarını belirleyerek bunu her toplantı öncesinde Kurula raporlar. e) Kurulun görüşleri, tavsiyeleri ve kararlarına ilişkin BRK’lere geri bildirim sağlar ve Kurumun risk yönetimi sürecinin tutarlı olması konusunda gerekli önlemleri alır. f) Yönetim Bilgi Sisteminin kurulması ve geliştirilmesi çalışmalarını yürütecek ekibin oluşturulmasında gerekli koordinasyonu sağlar. g) İç Kontrol Sistemi Soru Formlarını (İZ Ek-1) konsolide ederek iç ve dış denetim sonuçları, ön mali kontrole ilişkin veriler, gerek duyulması halinde yöneticilerin görüşleri, kişi veya idarelerin talep ve şikayetleri de dikkate alınarak oluşturulan İç Kontrol Sistemi Değerlendirme Raporunu (İZ Ek-2) izleyen yılın mayıs ayı sonuna kadar Kurula ve üst yöneticiye sunar. ğ) Üst yönetici tarafından onaylanan İç Kontrol Sistemi Değerlendirme Raporunu (İZ Ek-2), izleyen yılın haziran ayı sonuna kadar Maliye Bakanlığına iletir. Birim Risk Koordinatörü Madde 17- (1) Birim yöneticisi tarafından; genel müdürlüklerde risk yönetimi ve uygulamaları konusunda görevli daire başkanı, diğer birimlerde hiyerarşik olarak bir alt kademedeki yönetici BRK olarak görevlendirilir. (2) BRK risk yönetim sürecinin işleyişi kapsamında; a) Birimin hedeflerini etkileyebilecek risklerin tespit edilmesini koordine eder ve rehberlik sağlar. Tespit edilen riskleri alt birimlerin bilgi ve uzmanlıklarından yararlanarak faaliyetleri ile eşleştirir ve tüm önemli konuların ele alınmasını sağlar. b) Alt Birim Risk Raporlarından yola çıkarak Birim Risk Raporunu (RSB Ek-4) hazırlar ve izlemesini yapar; bu raporu her yıl mayıs ve kasım aylarında birim yöneticisinin onayıyla KRK’ye gönderir. c) Risk sorumluları tarafından raporlanan mevcut risklerdeki değişiklikler ile varsa yeni riskleri değerlendirir ve birim yöneticisinin uygun görüşünü alarak KRK’ye raporlar. ç) Yıllık olarak, daha önce belirlenmiş veya yıl içerisinde ortaya çıkabilecek risklerin iyi yönetilip yönetilmediğine dair kanıtları KRK’ye sunar. d) KRK ve Kurulun görüşleri, tavsiyeleri ve kararları doğrultusunda risk sorumlularına geri bildirim sağlar.

e) Risk yönetimiyle ilgili eğitim ihtiyaçlarını tespit eder. Risk Sorumlusu Madde 18- (1) Genel müdürlüklerde her bir daire başkanı, diğer birimlerde harcama biriminin en üst yöneticisine hiyerarşik olarak en yakın her bir alt kademedeki yöneticidir. Birimindeki risklerin tespit edilmesi, değerlendirilmesi, cevap verilmesi, gözden geçirilmesi ve raporlanmasından sorumludur. (2) Risk sorumlusu risk yönetimi sürecinin işleyişi kapsamında; a) Her yıl mayıs ve kasım aylarında hazırlanan Alt Birim Risk Raporunu (RSB Ek-3) onaylar ve BRK’ye gönderir. b) Biriminin mevcut risklerindeki değişiklikleri ve varsa yeni riskleri değerlendirir ve BRK’ye iletir. c) Kurumun risk stratejisine uygun olarak alt birimin faaliyetlerine ait yeni tespit edilen riskleri, risk puanı değişenleri ve bunları azaltmakta kullanılan kontrollerin etkinliğini değerlendirdiği raporu BRK’ye gönderir. Alt Birim Risk Koordinatörü Madde 19- (1) BRK tarafından hiyerarşik olarak bir alt kademedeki yönetici ARK olarak görevlendirilir. ARK, risk yönetim faaliyetlerinin alt birim düzeyinde koordinasyonundan sorumludur. (2) ARK risk yönetimi sürecinin işleyişi kapsamında; a) Alt birim düzeyindeki risklerin tespit edilmesi, değerlendirilmesi, cevap verilmesi, gözden geçirilmesi ve raporlanması görevlerinin yerine getirilmesini koordine eder. b) Kurumun risk stratejisine uygun olarak alt birimin faaliyetlerine ait yeni tespit edilen risklere, risk puanı değişenlere ve bunları azaltmakta kullanılan kontrollerin etkinliğine ilişkin çalışmalara rehberlik sağlar. c) KRK tarafından talep edilen bilgi ve belgeleri de vermekle yükümlüdür. Risk Çalışma Grubu Madde 20- (1) Risk çalışma grubu, ARK koordinatörlüğünde harcama birimlerinin her bir alt biriminden en az bir personelin katılımıyla oluşur. (2) Risk yönetimi sürecinin işleyişi kapsamında grubun her bir üyesi kendi görev alanları çerçevesinde; a) Risklerin tespit edilmesi, değerlendirilmesi, cevap verilmesi, gözden geçirilmesi ve raporlanması çalışmalarını yürüterek her yıl mayıs ve kasım aylarında Alt Birim Risk Raporunu (RSB Ek-3) hazırlar ve risk sorumlusunun onayına sunar. b) Kurumun risk stratejisine uygun olarak biriminin faaliyetlerine ait yeni tespit edilen riskleri, risk puanı değişenleri ve bunları azaltmakta kullanılan kontrollerin etkinliğini risk sorumlusuna raporlar. İç Kontrol Standartları Eylem Planı Hazırlama Grubu Madde 21- (1) İç Kontrol Standartları Eylem Planı Hazırlama Grubu, harcama birimlerinde harcama yetkilisinin görevlendireceği biri birim yöneticisi olmak üzere en az üç kişiden oluşur. (2) İç Kontrol Standartları Eylem Planı Hazırlama Grubunun Görevleri şunlardır: SGB koordinatörlüğünde İç Kontrol Standartları Eylem Planı taslağını hazırlar. a) Üst yöneticinin onayı ile yürürlüğe giren eylem planının uygulama adımlarının birimlerince gerçekleştirilmesinde takip ve koordinasyon görevini yürütür. b) Eylem Planı revizyon çalışmalarında görev alır.

c) Eylem Planında öngörülen faaliyet ve düzenlemelerin takibini yapmak amacıyla, her yıl haziran ve aralık ayı sonu itibarı ile Eylem Planında oluşturulan izleme tablolarına, birimlerini ilgilendiren eylemlerle ilgili gerçekleşmelerin tespitini yapar ve sonuçlarını işleyerek SGB’ye gönderilmesini sağlar. İç Denetim Birimi Başkanlığı Madde 22- (1) İç kontrol sisteminin tasarım ve işleyişini sürekli olarak incelemek, güçlü ve zayıf yönlerinin belirlenmesini sağlamak ve geliştirilmesi için değerlendirme ve tavsiyeler sunmak suretiyle iç kontrol sisteminin geliştirilmesine katkıda bulunur. (2) Risk yönetimi sürecinin etkili olup olmadığı, risklerin gereken şekilde yönetilip yönetilmediği hususunda izlemeler yaparak üst yöneticiye mevzuatları çerçevesinde gerekli raporlamaları yapar. BEŞİNCİ BÖLÜM Çeşitli Hükümler Yürürlük Madde 23- (1) Bu Yönerge üst yöneticinin onayladığı tarihte yürürlüğe girer. Yürütme Madde 24- (1) Bu Yönerge hükümlerini üst yönetici yürütür. EKLER Ek-1: Risk Strateji Belgesi Ek-2: İç Kontrol İzleme Belgesi RİSK STRATEJİ BELGESİ RİSK STRATEJİ BELGESİ Bilindiği üzere, 24.12.2003 tarihli ve 25326 sayılı Resmi Gazetede yayımlanan 5018 sayılı Kamu Mali Yönetimi ve Kontrol Kanununun 55 inci maddesinde iç kontrol, idarenin amaçlarına, belirlenmiş politikalara ve mevzuata uygun olarak faaliyetlerin etkili, ekonomik ve verimli bir şekilde yürütülmesini, varlık ve kaynakların korunmasını, muhasebe kayıtlarının doğru ve tam olarak tutulmasını, malî bilgi ve yönetim bilgisinin zamanında ve güvenilir olarak üretilmesini sağlamak üzere idare tarafından oluşturulan organizasyon, yöntem ve süreçle iç denetimi kapsayan malî ve diğer kontroller bütünü olarak tanımlanmıştır. Aynı Kanunun 56 ncı maddesinde de iç kontrolün amaçları; kamu gelir, gider, varlık ve yükümlülüklerinin etkili, ekonomik ve verimli bir şekilde yönetilmesini, kamu idarelerinin kanunlara ve diğer düzenlemelere uygun olarak faaliyet göstermesini, her türlü malî karar ve işlemlerde usulsüzlük ve yolsuzluğun önlenmesini, karar oluşturmak ve izlemek için düzenli, zamanında ve güvenilir rapor ve bilgi edinilmesini, varlıkların kötüye kullanılması ve israfını önlemek ve kayıplara karşı korunmasını, sağlamak olarak belirlenmiştir. Söz konusu Kanunun 57 nci maddesinde ise kamu idarelerinin malî yönetim ve kontrol sistemlerinin harcama birimleri, muhasebe ve malî hizmetler ile ön malî kontrol ve iç denetimden oluştuğuna yer verilerek yeterli ve etkili bir kontrol sisteminin oluşturulabilmesi için; mesleki değerlere ve dürüst yönetim anlayışına sahip olunması, malî yetki ve sorumlulukların bilgili ve yeterli yöneticilerle personele verilmesi, belirlenmiş standartlara uyulmasının sağlanması, mevzuata aykırı faaliyetlerin önlenmesi ve kapsamlı bir yönetim anlayışı ile uygun bir çalışma ortamının ve saydamlığın sağlanması bakımından ilgili idarelerin üst yöneticileri ile diğer yöneticileri tarafından görev, yetki ve sorumluluklar göz önünde bulundurulmak suretiyle gerekli önlemlerin alınması gerektiği belirtilmiştir. 31.12.2005 tarihli ve 26040 (3. mükerrer) sayılı Resmî Gazetede yayımlanan İç Kontrol ve Ön Mali Kontrole İlişkin Usul ve Esasların 5 inci maddesinde de iç kontrol standartlarının, merkezi uyumlaştırma görevi çerçevesinde Maliye Bakanlığı tarafından belirlenip yayımlanacağı, kamu idarelerinin malî ve malî olmayan tüm işlemlerinde bu standartlara uymakla ve gereğini yerine getirmekle yükümlü bulunduğu, Kanuna ve iç kontrol standartlarına aykırı olmamak koşuluyla, idarelerce, görev alanları çerçevesinde her türlü yöntem, süreç ve özellikli işlemlere ilişkin standartlar belirlenebileceği düzenlenmiştir. Bu çerçevede, 26 Aralık 2007 tarihli ve 26738 sayılı Resmi Gazetede yayımlanan Kamu İç kontrol Standartları Tebliği ile idarelerin, iç kontrol sistemlerinin oluşturulmasında, izlenmesinde ve değerlendirilmesinde dikkate almaları gereken temel yönetim kuralları gösterilmektedir. Bu kapsamda yine Maliye Bakanlığı tarafından hazırlanan Kamu İç Kontrol Rehberi’nde de iç kontrol standartlarının uygulanmasına ilişkin düzenlemelere yer verilmiştir. Kamu İç Kontrol Standartları, uluslararası standartlar ve iyi uygulama örnekleri çerçevesinde, iç kontrolün; kontrol ortamı, risk değerlendirmesi, kontrol faaliyetleri, bilgi ve iletişim ile izleme bileşenleri esas alınarak, tüm kamu idarelerinde uygulanabilir düzeyde olmasını sağlamak üzere genel nitelikte düzenlenmiştir. Tüm bu düzenlemeler çerçevesinde, Kurumumuzda etkin bir iç kontrol sisteminin kurulması ve işlerliğinin sağlanabilmesi için, doğru ve güvenilir bilgiye, doğru zamanda ve doğru biçimde ulaşabilmek bunun için de riskleri tespit etmek gereklidir. Riskler tespit edildikten sonra belirli aralıklarla izlenmeli, eksik veya yanlış yönleri belirlenmeli ve iyileştirilme çalışmaları yapılmalıdır. Riskler zaman içerisinde çeşitli koşulların değişmesi veya alınan önlemler sonucu etki ve olasılık yönünden değişiklik gösterebilir. Ayrıca, koşulların değişmesi ile yeni risk alanlarının oluşması da mümkündür. Bu nedenle, tespit edilen riskler ve risk yönetim sürecinin her yönüyle, belirli aralıklarla gözden geçirilmesi gerekir. Hazırlanan bu Belge, iç kontrol sisteminin kurulmasını ve uygulanmasını sağlamak üzere Kamu İç Kontrol Standartları bileşenlerinden biri olan “Risk Değerlendirme Standartları” bileşenine uyumlu olarak Kurumumuz hedeflerinin gerçekleşmesini engelleyecek risklerin tanımlanması, analiz edilmesi ve gerekli önlemlerin belirlenmesi sürecine ilişkin yol gösterici olarak hazırlanmıştır. Strateji Geliştirme Başkanlığı İÇ KONTROL VE RİSK İÇ KONTROL Kurumun yönetimi ve personeli tarafından hayata geçirilen, Kurumun hedeflerine ulaşması ve misyonunu gerçekleştirmesinde ortaya çıkabilecek riskleri öngörerek makul güvence sağlamayı amaçlayan bir süreçtir. İç kontrol sistemi, aşağıdaki unsurlardan oluşur; • Kontrol Ortamı: İç kontrolün diğer unsurlarına temel teşkil eden genel bir çerçeve olup, kişisel ve mesleki dürüstlük, yönetim ve personelin etik değerleri, iç kontrole yönelik destekleyici tutum, mesleki yeterlilik, organizasyonel yapı, insan kaynakları politikaları ve uygulamaları ile yönetim felsefesi ve iş yapma tarzına ilişkin hususları kapsar. • Risk Değerlendirme: Kurumun hedeflerinin gerçekleşmesini engelleyecek risklerin tanımlanması, analiz edilmesi ve gerekli önlemlerin belirlenmesi sürecidir. • Kontrol Faaliyetleri: Öngörülen bir riskin etki ve/veya olasılığını azaltmayı ve böylece Kurumun amaç ve hedeflerine ulaşma olasılığını artırmayı amaçlayan eylemlerdir. • Bilgi ve İletişim: Risklerin tespit edilmesi ve kontrol faaliyetlerinin etkin bir biçimde uygulanmasını sağlamak üzere gerekli bilginin elde edilmesi ve ihtiyaç duyan kişi, personel ve yöneticiye belirli bir formatta ve ilgili zaman dilimi içinde iletilmesini sağlayacak bilgi, iletişim ve kayıt sistemini kapsar. İÇ KONTROLDE RİSK YÖNETİMİ Kurumsal Risk Yönetimi, Kurumun amaç ve hedeflerine ulaşabilmesi açısından makul güvence sağlamaya yönelik yönetsel bir araçtır. Risk yönetimi; • Kurumun amaç ve hedeflerine ulaşmasına ve performansını geliştirmesine katkı sağlar. • Kurumun sunduğu hizmetler ve gerçekleştirdiği faaliyetlerin sürekliliğinin sağlanmasına ve kalitesinin geliştirilmesine yardımcı olur. • Kurumun risklerine ilişkin görev, yetki ve sorumlulukların açıkça belirlenmesini destekleyerek hesap verebilirliği artırır. • Mevzuata ve düzenlemelere uygunluğu sağlar.

• Karar alma mekanizmalarının kanıtlara ve risklere dayalı bir yaklaşımla güçlendirilmesini sağlar. • Çalışanların sahiplenme ve aidiyet duygusunu artırır. • Kurumun kamuoyunda daha olumlu bir imaja sahip olmasına katkı sağlar. • Fayda-maliyet, maliyet-etkinlik veya gerek görülen diğer analiz yöntemlerinin kullanılması suretiyle kaynak tahsisinde etkinliği artırır. • Olası kayıpların etkilerinin kontrol altında tutulması ve bunların neden olacağı maliyetlerin azaltılmasına katkı sağlar. Risk yönetimi döngüsü, stratejik plan hazırlık aşamasında hedeflerin belirlenmesi ile başlayan ve hedeflerin öngörüldüğü şekilde gerçekleştirilip gerçekleştirilmediğinin analiz edilmesiyle sonuçlanan bütün aşamalarda dikkate alınır. Risk yönetimi sürecinin temel aşamaları aşağıda yer almaktadır: • Kurumun stratejik amaç ve hedefleri ile süreç ve faaliyet hedeflerine ulaşılmasını engelleyecek risklerin tespit edilmesi, • Risklerin değerlendirilmesi, • Risklere cevap verilmesi, • Risklerin gözden geçirilmesi ve raporlanması, RİSK YÖNETİMİ SÜRECİ Risklerin Tespit Edilmesi Risklerin Değerlendirilmesi Risklere Cevap Verilmesi Risklerin Gözden Geçirilmesi ve Raporlanması RİSK YÖNETİMİ HİYERARŞİSİ KURUM BAŞKANI İç Kontrol İzleme ve Yönlendirme Kurulu Kurum Başkan Yardımcısı Emeklilik Hizmetleri Genel Müdürü Daire Başkanı Şube Müdürü/Grup Sorumlusu Çalışma Grubui Sigorta Primleri Genel Müdürü Daire Başkanı Şube Müdürü/Grup Sorumlusu Çalışma Grubu Genel Sağlık Sigortası Genel Müdürü Daire Başkanı Şube Müdürü/Grup Sorumlusu Çalışma Grubu Hizmet Sunumu Genel Müdürü Daire Başkanı Şube Müdürü/Grup Sorumlusu Çalışma Grubu Rehberlik ve Teftiş Kurulu Başkanı Refakat Müfettişi Çalışma Grubu Sorumlusu Çalışma Grubu Aktüerya ve Fon Yönetimi Daire Başkanı Şube Müdürü/Grup Sorumlusu Şube Müdürü/Grup Sorumlusu Çalışma Grubu Strateji Geliştirme Başkanı (Kurum Risk Koordinatörü) İç Kontrol Daire Başkanı Şube Müdürü/Grup Sorumlusu Çalışma Grubu I. Hukuk Müşaviri Hukuk Müşaviri Şube Müdürü/Grup Sorumlusu Çalışma Grubu Basın ve Halkla İlişkiler Müşaviri Şube Müdürü/Grup Sorumlusu Şube Müdürü/Grup Sorumlusu Çalışma Grubu İnsan Kaynakları Daire Başkanı Şube Müdürü/Grup Sorumlusu Şube Müdürü/Grup Sorumlusu Çalışma Grubu Destek Hizmetleri Daire Başkanı Şube Müdürü/Grup Sorumlusu Şube Müdürü/Grup Sorumlusu Çalışma Grubu İnşaat ve Emlak Daire Başkanı Şube Müdürü/Grup Sorumlusu Şube Müdürü/Grup Sorumlusu Çalışma Grubu Eğitim, Araştırma ve Geliştirme Merkezi Başkanı Başkan Yardımcısı Şube Müdürü/Grup Sorumlusu Çalışma Grubu İç Denetçiler I-RİSKLERİN TESPİT EDİLMESİ Risk yönetimi sürecinin ilk aşaması olan risklerin tespit edilmesi, Kurumun hedeflerine ulaşmasını engelleyen veya zorlaştıran risklerin, önceden tanımlanmış yöntemlerle belirlenmesi, gruplandırılması ve güncellenmesi sürecidir. Riskler tespit edilirken aşağıdaki hususların göz önünde bulundurulması gerekmektedir: • Kurum riskleri tespit sürecine, stratejik düzeyden faaliyet düzeyine, faaliyet düzeyinden stratejik düzeye ya da her iki yöntemi birlikte uygulayarak risk yönetimi sürecini başlatır. • Kurum stratejik, birim (program/proje) ve alt birim (faaliyet /operasyonel) düzeyinde risklerini tespit eder. • Stratejik amaç ve hedefler çerçevesinde birim ve alt birimler yıllık hedeflerini belirleyerek bunlara ilişkin riskleri tespit ederler. • Kurumumuzda kurumsal risklerin belirlenmesinde stratejik plan, faaliyet düzeyinde risklerin belirlenmesinde ise kurumdaki süreçler ve iş akış şemaları referans alınacaktır. • Tespit edilen riskler doğrudan ya da dolaylı olarak stratejik planda yer alan hedefler ile ilişkilendirilir. • Tespit edilen risklerin; “x” riski veya “x’ in olması” riski şeklinde ifade edilmesi gerekir. • Tespit edilen risklerin iç risk mi yoksa dış risk mi olduğu değerlendirilerek gruplandırılır.

• Risk tespitinde yaygın olarak kullanılan yöntemler; Beyin Fırtınası, GZFT/SWOT Analizi ve PESTLE Analizi olmakla birlikte, Kurum riskleri tespit edilirken “beyin fırtınası” yöntemi kullanılacaktır. İç riskler; doğrudan Kurum tarafından kontrol edilebilecek olaylar sonucunda ortaya çıkan risklerdir. İç riskler kendi içinde; stratejik riskler, birim riskleri ve faaliyet riskleri olarak üç düzeyde sınıflandırılmalıdır. Dış riskler ise; Kurumun kontrolü dışında gerçekleşen olaylar sonucunda ortaya çıkan risklerdir. Dış risklerin konularına göre sınıflandırılarak belirlenmesi yararlı olacaktır. Riskler tespit edildikten sonra bunların sahibi yani kimin sorumluluğunda olduğu belirlenmeli ve Risk Kayıt Formunda bu bilgiye yer verilmelidir.

Risk Tespiti Sürecinde Sorulabilecek Sorular • Hedeflere ulaşma yolunda neler yanlış gidebilir? • Kritik süreçlerimiz nelerdir? • Paydaşlarımız kimlerdir ve faaliyetlerimiz üzerindeki etkileri veya faaliyetlerimizin paydaşlar üzerindeki etkileri neler olabilir? • Risk kategorilerimiz nelerdir? • Zayıf olduğumuz alanlar nelerdir? • Hangi varlıklarımız kritik öneme sahiptir? • Usulsüzlük ve yolsuzluk alanları neler olabilir? • Faaliyetlerimiz hangi durum ya da olaylar karşısında aksayabilir? • En kritik bilgi kaynaklarımız nelerdir? • En fazla harcama yaptığımız alanlar hangileridir? • Hangi faaliyet ya da süreçler daha karmaşıktır? • Yasal gereklilikler nelerdir? • Kaynak kısıtları nelerdir? II-RİSKLERİN DEĞERLENDİRİLMESİ Risklerin değerlendirilmesi, Kurumun hedeflerine ulaşmasını etkileyebilecek faktörlerin analiz edilmesi ve riskin etki ve olasılık açısından öneminin değerlendirilmesidir. Riskler değerlendirilirken, Kurumun karşılaşabileceği potansiyel olaylar ile birlikte Kurumun kendine özgü durumu da (örneğin Kurumun büyüklüğü, faaliyetlerinin karmaşıklığı, yürüttüğü faaliyetlerde tabi olduğu mevzuat, verilen hizmetlerden yararlananların fazla olması) göz önünde bulundurulur. Risklerin değerlendirilmesi, riskler tespit edildikten sonra; • Risklerin ölçülmesi, • Risklerin önceliklendirilmesi, • Risklerin kaydedilmesi, aşamalarını kapsar. Risklerin değerlendirilmesi, tespit edilmiş risklere karşılık verilip verilmeyeceğine ve karşılık verilecekse fayda/maliyet dengesi açısından en uygun olan karşılığın seçilmesine yardımcı olur. Risk değerlendirmede Sorulabilecek Sorular • Hedefler nelerdir? • Mevcut kontroller nelerdir? • Risk gerçekleşirse hedefler üzerindeki olası sonuçları nelerdir? • Başka bir idarenin/birimin faaliyeti bizim riskimizi etkiler mi? • Paydaşlarımız kimlerdir? Risklerin Ölçülmesi • Tespit edilen risklerin olasılık ve etkileri ölçülür. • Olasılık, bir olayın belirli bir zaman diliminde gerçekleşmesi durumunu ifade eder. • Etki ise bu olayın meydana gelmesi halinde, Kurumun hedef ve faaliyetleri üzerinde yaratacağı sonucu ifade eder. • Risklerin olasılık ve etkileri rakamla gösterilir. • Olasılık için 1 rakamı, bir riskin gerçekleşme olasılığının hemen hemen olmadığı; 10 rakamı riskin gerçekleşmesinin neredeyse kesin olduğu anlamına gelir. • Etki açısından ise 1 rakamı riskin gerçekleşmesinin doğuracağı sonucun çok az önemi olduğu; 10 rakamı bu sonucun çok önemli olduğu anlamına gelir. • Risklerin olasılık ve etki açısından 1 ila 10 arasında hangi değeri aldığı belirlenir ve Risk Oylama Formuna işlenir. (EK 1: Risk Oylama Formu) Her riskin olma olasılığını ve etkisini hesaplamalıyım! Kurum bu aşamada risk iştahını dikkate almalıdır! Risk İştahı; Kurumun amaçları doğrultusunda kabul etmeye (tolere etmeye/maruz kalmaya/önlem almamaya) hazır olduğu en yüksek risk düzeyidir. Risk iştahı kavramı, bu düzeyin üzerindeki risklerin kabul edilemeyeceğini ve önlem alınması gerektiğini ifade eder.

Kurum, belirlenen risk stratejisine göre hangi puanlar arasındaki risklerin düşük, hangilerinin orta, hangilerinin de yüksek olacağını belirler ve bu çerçevede Kurum risk haritası oluşturulur. Risk Matrisi Etki 10 1 Riskler değerlendirilirken üçlü bir kategori kullanılır. Düşük risk seviyesi yeşil, orta risk seviyesi sarı, yüksek risk seviyesi ise kırmızı ile gösterilir. 1 10 Olasılık Risklerin Önceliklendirilmesi • Risk puanı belirlendikten sonra riskler, önem derecesine göre en yüksek puandan başlamak üzere sıralanır. • Hedefleri doğrudan etkileyebilecek riskler (kilit riskler) olması halinde Kurum, puanı düşük olmakla birlikte etkileri açısından öncelikleri arasına alabilir. • Riskler öncelik sırasına göre belirlendikten sonra risklere verilecek cevaplara karar verilir.

Risklerin Kaydedilmesi Risk kayıtları iki aşamadan oluşur: • Risk Kayıt Formu: Risklerin tespit edilip kaydedilmesinde kullanılır. Ek-2: Risk Kayıt Formu • Konsolide Risk Raporları: Risklerin yukarı kademelerdeki yöneticilere raporlanmasında kullanılır. Ek-3: Alt Birim Risk Raporu Ek-4: Birim Risk Raporu Ek-5: Konsolide Risk Raporu Tespit edilen her bir riski numaralandırarak kayıt altına almalıyım! III-RİSKLERE CEVAP VERİLMESİ Risklere cevap verilmesi, Kurum tarafından tespit edilen ve risk iştahları çerçevesinde değerlendirilen risklere verilecek yanıtın ne olacağının belirlenmesi ve bu bağlamda beklenen tehditlerin azaltılması ve/veya ortaya çıkacak fırsatların değerlendirilmesidir. Riske cevap verme yöntemleri; Kabul etmek, Kontrol etmek, Devretmek ve Kaçınmak şeklinde olabilir. Riski kabul etmek: 1- Kurumun hedeflerine ilişkin olarak tespit ettiği risklerin, herhangi bir cevap verilmeden önceki seviyesi (doğal risk), Kurumun kabul etmeye hazır olduğu en yüksek risk düzeyinin altında (risk iştahı içinde) olması halinde, 2- Alınacak önlemlerden (kontrol etmek, devretmek veya kaçınmak) sağlanacak faydanın, alınacak önlemlerin maliyetinden daha düşük olduğunun anlaşılması durumunda, 3- Yönetimin kontrolü dışında olan, faaliyet sonlandırılmadıkça ortadan kalkmayacak olan ve faaliyeti sonlandırmanın mümkün olmadığı ya da istenmediği durumlarda, risk kabul edilir. Riski kontrol etmek: Risklerin kabul edilebilir bir seviyede tutulması için kontrol faaliyetleri aracılığıyla riske cevap verme yöntemidir. Bu yöntem aşağıda yer alan kontrol yöntemleri vasıtasıyla uygulanır. 1- Yönlendirici Kontroller: Bilgilendirme, koruma, davranış şekli belirleme gibi dolaylı faaliyetlerle riskleri kontrol etme yöntemidir. 2- Önleyici Kontroller: Risklerin gerçekleşme olasılığını azaltıp Kurum tarafından kabul edilebilir seviyede tutmak için yapılması gereken kontrollerdir. 3- Tespit Edici Kontroller: Riskler gerçekleştikten sonra meydana gelen zarar ve hasarın ne olduğunun tespiti amacıyla yapılan kontrollerdir. 4- Düzeltici Kontroller: Risklerin gerçekleştiği durumlarda, istenmeyen sonuçların etkisinin giderilmesine yönelik kontrollerdir.

Riski devretmek: Daha çok Kurumun doğrudan asli görev alanına girmeyen veya fayda-maliyet açısından Kurum tarafından yapılması uygun görülmeyen ve bu anlamda riskleri yüksek olduğu değerlendirilen faaliyetlerin, uzmanlığı/donanımı/kaynağı olan başka bir idare/kişi/kuruluşa devredilmesi şeklinde riske cevap verilmesidir. Riskten kaçınmak: Risk yönetilemeyecek kadar büyükse ve/veya faaliyet hayati öneme sahip değilse, faaliyete son verilmesidir. Risklere Cevap Vermeden Önce Sorulabilecek Sorular • Risk kabul edilirse ne olur? • Hangi risklerin kontrol edilmesi gerekir? • Riskten kaçınmak adına faaliyet başka bir döneme ertelenebilir mi? Risk Değerlendirmesi ve Cevap Matrisi Yüksek Etki / Düşük Olasılık İş Sürekliliği Planı Kabul Etmek (*) Yüksek Etki / Yüksek Olasılık Kontrol Etmek Devretmek Kaçınmak Kabul Etmek (*) Düşük Etki / Düşük Olasılık Kabul Etmek Düşük Etki / Yüksek Olasılık Kontrol Etmek Kabul Etmek (*) Olasılık Etki IV-RİSKLERİN GÖZDEN GEÇİRİLMESİ VE RAPORLANMASI Risklerin ve risk yönetim sürecinin gözden geçirilmesi birbirinden farklı süreçlerdir; birinin yapılması diğerinin de yapıldığı anlamına gelmez. Riskler her bir riskin sahibi tarafından gözden geçirilir. Risk yönetim süreci ise üst yönetici adına İç Denetim Birimi Başkanlığı tarafından veya Kurum Risk Koordinatörü (KRK) tarafından gözden geçirilir. Tespit edilen riskler ve risk yönetim süreci her yönüyle, altı ayda bir gözden geçirilir. Risklerin gözden geçirilmesi aşağıdaki şekilde yapılır; 1- Risklerin hala var olup olmadığı, yeni risklerin ortaya çıkıp çıkmadığı, risklerin gerçekleşme olasılıklarında veya etkilerinde bir değişiklik olup olmadığı gözden geçirilir. 2- Bütün riskler gözden geçirilir ancak gözden geçirmede öncelik, risk puanı yüksek olana veya yönetim tarafından önceliklendirilmiş kilit risklere verilir. 3- Kurum düzeyinde belirlenen risklerin (stratejik riskler) gözden geçirilmesinde; öncelikle varsa değişmiş olan politika belgeleri, diğer ülkelerdeki gelişmeler, kamuoyunun o dönem için beklentileri, iç denetim raporları, teftiş ve denetim raporları, dış denetim raporları ve ilgili diğer rapor ve belgeler dikkate alınır. 4- Gelişmeler ışığında, risk profilinde bir değişiklik meydana gelmişse, Kurumun/birimin/alt birimin risk kaydı gözden geçirilir. Değişiklik bilgisi bir üst seviyedeki risk koordinatörüne iletilir. 5- Stratejik seviyedeki kilit ve/veya önemli görülen risklerle ilgili önceliklendirme gözden geçirilerek, değerlendirme sonuçları, İç Kontrol İzleme ve Yönlendirme Kurulu (Kurul) toplantısının ardından KRK tarafından üst yöneticiye bir rapor olarak sunulur. 6- Raporun sonuç ve değerlendirme bölümünde, risk yönetim sürecinin yeterli güvence verip vermediği ve yeni tedbirlere ihtiyaç duyulup duyulmadığı hususlarına yer verilir. Raporlama • Riskin sorumlusu yeni tespit edilen riskleri, risk puanı değişenleri ve bunları azaltmakta kullanılan kontrollerin etkinliğini her yıl mayıs ve kasım aylarında Birim Risk Koordinatörüne (BRK) raporlar. (Ek-3: Alt Birim Risk Raporu) • BRK, yıllık olarak belirlenen risk kayıtlarını ve ilgili raporları her yıl mayıs ve kasım aylarında birim yöneticisinin de onayını alarak KRK’ye raporlar. (Ek-4: Birim Risk Raporu) • KRK, her bir BRK tarafından raporlanan birim risklerinden yola çıkarak Konsolide Risk Raporunu hazırlar; bu raporu her yıl haziran ve aralık aylarında Kurula ve üst yöneticiye sunar. Bu raporla birlikte izlenmesi gereken önemli riskleri ve kendi değerlendirmelerini de raporlar. (Ek-5: Konsolide Risk Raporu) Ek-1 RİSK OYLAMA FORMU Sütunlar 1 Sıra No: Risk kaydındaki sıralamayı gösterir. 2 Referans No: Riskin referans numarasını gösterir. Referans numarası risk sahibinin bağlı olduğu birimi de gösterecek şekilde yapılan bir kodlamadır.

Risk devam ettiği sürece bu kod değiştirilmez. Aynı kod bir başka riske verilmez. Kodlamada aşağıdaki sınıflandırma kullanılır. 01-Stratejik (Kurumsal) Riskler, 02-Program/Proje (Birim) Riskler, 03-Faaliyet/Operasyonel (Alt Birim) Riskler. Örneğin: 01-SGK-R1 (Sosyal Güvenlik Kurumunun Stratejik 1. Riski) 02-SGB-R1 (Strateji Geliştirme Başkanlığının Program/Proje 1. Riski) 03-İçKontrolDB-R1 (İç Kontrol Daire Başkanlığının Operasyonel 1. Riski) 3 Stratejik Hedef: Riskin ilişkili olduğu stratejik hedefin, stratejik plandaki kodunun yazıldığı sütundur. 1 2 3 4 5 6 7 8 9 10 11 12 13 14 Sıra No Referans No Stratejik Hedef Birim/Alt Birim Hedefi Tespit Edilen Risk Etki A Etki B Etki C ETKİ Olasılık A Olasılık B Olasılık C OLASILIK Risk Puanı Risk (A+B+C)/3 (A+B+C)/3 ETKİ X OLASILIK Sebep 4 Birim / Alt Birim Hedefi: Risk kaydı Birim / Alt Birim düzeyinde dolduruluyorsa, Kurumun stratejik hedefleriyle doğrudan veya dolaylı bağlantılı ve riskten etkilenecek olan hedef bu sütuna yazılır. Risk kaydı Kurum düzeyinde dolduruluyor ise bu sütun boş bırakılabilir. 5 Tespit Edilen Risk: Risk: Tespit edilen riskler yazılır, Sebep: Bu riskin ortaya çıkmasına neden olan sebepler belirtilir. 6 7 8 Etki A/B/C: Risk değerlendirme çalışmalarında yer alan her bir katılımcının ismi ile etkiye verdiği puanlar, bu sütunlara kaydedilir. Katılımcı sayısına göre bu sütunların sayısı artırılabilir. Puanlama yaparken Ek 6- Risk Değerlendirme Kriterleri Tablosuna bakınız. 9 Etki: Katılımcıların verdikleri puanların aritmetik ortalaması alınarak riskin (ortalama) etki puanı bulunur. 10 11 12 Olasılık A/B/C: Risk değerlendirme çalışmalarında yer alan her bir katılımcının ismi ile olasılığa verdiği puanlar, bu sütunlara kaydedilir. Katılımcı sayısına göre bu sütunların sayısı artırılabilir. Puanlama yaparken Ek 6- Risk Değerlendirme Kriterleri Tablosuna bakınız. 13 Olasılık: Katılımcıların verdikleri puanların aritmetik ortalaması alınarak riskin (ortalama) olasılık puanı bulunur. 14 Risk Puanı: Etki puanı (ortalama) ile olasılık puanı (ortalama) çarpılarak Risk Puanı bulunur.

Ek-2 RİSK KAYIT FORMU Kurum/Birim/Alt Birim: ..…/…../…… 1 2 3 4 5 6 7 8 9 10 11 12 13 14 Sıra No Referans No Stratejik Hedef Birim/Alt Birim Hedefi Tespit Edilen Risk Riske verilen cevaplar: Mevcut Kontroller Etki Olasılık Risk Puanı (R) Değişim (Riskin Yönü) Riske verilecek cevaplar: Yeni / Ek / Kaldırılan Kontroller Başlangıç Tarihi Riskin Sahibi Açıklamalar Risk Sebep SÜTUNLAR 1 Sıra No: Risk kaydındaki sıralamayı gösterir. 2 Referans No: Riskin referans numarasını gösterir. Referans numarası risk sahibinin bağlı olduğu birimi de gösterecek şekilde yapılan bir kodlamadır. Risk devam ettiği sürece bu kod değiştirilmez. Aynı kod bir başka riske verilmez. Kodlamada aşağıdaki sınıflandırma kullanılır. 01-Stratejik (Kurumsal) Riskler, 02-Program/Proje (Birim) Riskler, 03-Faaliyet/Operasyonel (Alt Birim) Riskler. Örneğin: 01-SGK-R1 (Sosyal Güvenlik Kurumunun Stratejik 1. Riski) 02-SGB-R1 (Strateji Geliştirme Başkanlığının Program/Proje 1. Riski) 03-İçKontrolDB-R1 (İç Kontrol Daire Başkanlığının Operasyonel 1. Riski) 3 Stratejik Hedef: Riskin ilişkili olduğu stratejik hedefin, stratejik plandaki kodunun yazıldığı sütundur. 4 Birim / Alt birim hedefi: Risk kaydı birim / alt birim düzeyinde dolduruluyorsa, Kurumun stratejik hedefleriyle doğrudan veya dolaylı bağlantılı ve riskten etkilenecek olan hedef bu sütuna yazılır. Risk kaydı Kurum düzeyinde dolduruluyor ise bu sütun boş bırakılır. 5 Tespit Edilen Risk: Risk: Tespit edilen riskler yazılır, Sebep: Bu riskin ortaya çıkmasının nedenleri belirtilir. 6 Riske verilen cevaplar: Mevcut Kontroller: Mevcut kontroller bu sütuna yazılır. 7 Etki: Oylama Formu kullanılarak (Ek 1) tespit edilen etki değeridir (1-10 arasında). Bu tespit yapılırken riskle ilgili uygulamada olan kontrol faaliyetleri, alınmış önlemler ve düzenlemelerin listelenmesi faydalıdır. Var olan önlemlere rağmen risk gerçekleşirse etkisinin ne olacağı tespit edilir. 8 Olasılık: Oylama Formu kullanılarak (Ek 1) tespit edilen olasılık değeridir (1-10 arasında). Bu tespit yapılırken riskle ilgili uygulamada olan kontrol faaliyetleri, alınmış önlemler ve düzenlemelerin listelenmesi faydalıdır. Var olan önlemlere rağmen riskin gerçekleşme olasılığının ne olduğu tespit edilir. 9 Risk Puanı (R=ExO): Oylama Formunda (Ek 1) yapılan değerlendirmede tespit edilen etki ve olasılık değerlerinin çarpılması sonucu bulunan, risk puanları önceden belirlenen yüksek, orta ve düşük düzey puan aralıklarına göre yazılır. 10 Değişim (Riskin yönü): Bir önceki risk kaydı dikkate alınarak riskin durumundaki değişimin gösterildiği sütundur. Yukarı/aşağı/sabit şeklinde yazı ile gösterilir. Daha önce risk kaydı yoksa "Yeni" olduğu belirtilir. 11 Riske Verilen Cevaplar Yeni/ Ek/Kaldırılan Kontroller: Öncelikle mevcut kontrollerin gerekli/yeterli olup olmadığı değerlendirilir. Yeterli olduğu değerlendiriliyor ise yeni bir kontrol öngörülmez. Yeterli değil ise yeni veya ek kontroller yazılır. Mevcut kontrollerden kaldırılması uygun bulunanlar da bu bölümde gösterilir.

12 Başlangıç Tarihi: Öngörülen yeni veya ek kontrollerin uygulamaya konulacağı, kaldırılması öngörülen kontrollerin ise uygulamadan kaldırılacağı kesin tarihtir. 13 Riskin Sahibi: Riskin yönetilmesinden ve izlenmesinden sorumlu olan kişidir. Riskle ilgili bilgiyi toplayan, izlemeyi gerçekleştiren, riske verilen cevapları yöneten ve riskin yönetildiğine ilişkin kanıtların tutulmasını sağlayan kişi riskin sahibidir. Riskin sahibinde riske verilecek cevapları gerçekleştirmek üzere gerekli kaynak ve yetki bulunmalıdır. Riskin sahibi aynı zamanda, Risk kayıtlarının güncellenmesi ve riskle ilgili olarak bir üst makama raporlama yapan kişidir. 14 Açıklamalar: Riskin mevcut durumu, değişim yönü, ne zaman gözden geçirileceği ve hangi aralıklarla kime raporlanacağı ve belirtilmesine ihtiyaç duyulan diğer hususlar bu sütunda belirtilir. Not: Alt birim düzeyinde yıllık olarak belirlenmiş riskler BRK’ya sunulur. BRK tarafından onaylanır. Yıl içerisinde yeni risk tespit edilmesi durumunda riski tespit eden personel bir üst yöneticiye bu riski iletir. Yönetici bunun yönetilmesi gereken bir risk olduğuna karar verirse, bu risk Risk Kayıt Formuna işlenerek BRK tarafından onaylanır. Renkler Yüksek düzey risk Orta düzey risk Düşük düzey risk Ek-3 ALT BİRİM RİSK RAPORU Alt Birim: Tarih: ….../……/……. 1 2 3 4 5 6 7 8 9 10 Sıra No Referans No Stratejik Hedef Alt Birim Hedefi Tespit Edilen Riskler Durum Önceki Risk Mevcut Risk Puanı ve Rengi Puanı ve Rengi Riskin Sahibi Riskin Sorumlusu Açıklama Sütunlar 1 Sıra No: Risk kaydındaki sıralamayı gösterir. 2 Referans No: Riskin referans numarasını gösterir. Referans numarası risk sahibinin bağlı olduğu birimi de gösterecek şekilde yapılan bir kodlamadır. Risk devam ettiği sürece bu kod değiştirilmez. Aynı kod bir başka riske verilmez. Kodlamada aşağıdaki sınıflandırma kullanılır. 03-Faaliyet/Operasyonel (Alt Birim) Riskler. Örneğin: 03-İçKontrolDB-R1 (İç Kontrol Daire Başkanlığının Operasyonel 1. Riski) 3 Stratejik Hedef: Riskin ilişkili olduğu stratejik hedefin, stratejik plandaki kodunun yazıldığı sütundur. 4 Alt Birim Hedefi: Risk Kayıt Formunda yer alan Alt Birim hedefleri bu sütuna yazılır.

5 Tespit Edilen Risk: Belirlenen risk yazılır. 6 Önceki Risk Puanı ve Rengi: Bir önceki Alt Birim Risk Raporundaki riskin durumunu ifade eder. 7 Mevcut Risk Puanı ve Rengi: Rapor tarihindeki durumu gösterir. 8 Riskin Sahibi: Riskin yönetilmesinden ve izlenmesinden sorumlu olan kişidir. Riskin sahibinde, riske verilecek cevapları gerçekleştirmek üzere gerekli kaynak ve yetki bulunmalıdır. Riskle ilgili bilgiyi toplayan, izlemeyi gerçekleştiren, riske verilen cevapları yöneten, riskin yönetildiğine ilişkin kanıtların tutulmasını ve risk kayıtlarının güncellenmesini sağlamak üzere harcama biriminin en üst yöneticisidir. 9 Riskin Sorumlusu: Genel müdürlüklerde her bir daire başkanı, diğer birimlerde harcama biriminin en üst yöneticisine hiyerarşik olarak en yakın her bir alt kademedeki yöneticidir. Riskin sorumlusu, Alt Birim Risk Raporunun onaylanmasından ve Birim Risk Koordinatörüne gönderilmesinden sorumludur. 10 Açıklama: Mevcut kontrol faaliyetlerinin etkinliği ve öngörülen kontrol faaliyetleri açıklama kısmında yer alır. Renkler Yüksek düzey risk Orta düzey risk Düşük düzey risk İmza Riskin Sorumlusu Ek-4 BİRİM RİSK RAPORU Birim: Tarih: ….../……/……. 1 2 3 4 5 6 7 8 9 10 Sıra No Referans No Stratejik Hedef Alt Birim Hedefi Tespit Edilen Riskler Durum Önceki Risk Mevcut Risk Puanı ve Rengi Puanı ve Rengi Riskin Sahibi Riskin Sorumlusu Açıklama Sütunlar 1 Sıra No: Risk kaydındaki sıralamayı gösterir. 2 Referans No: Riskin referans numarasını gösterir. Referans numarası risk sahibinin bağlı olduğu birimi de gösterecek şekilde yapılan bir kodlamadır. Risk devam ettiği sürece bu kod değiştirilmez. Aynı kod bir başka riske verilmez. Kodlamada aşağıdaki sınıflandırma kullanılır. 02-Program/Proje (Birim) Riskler. Örneğin: 02-SGB-R1 (Strateji Geliştirme Başkanlığının Program/Proje 1. Riski) 3 Stratejik Hedef: Riskin ilişkili olduğu stratejik hedefin, stratejik plandaki kodunun yazıldığı sütundur. 4 Birim Hedefi: Risk Kayıt Formunda yer alan Birim hedefleri bu sütuna yazılır.

5 Tespit Edilen Risk: Belirlenen risk yazılır. 6 Önceki Risk Puanı ve Rengi: Bir önceki Birim Risk Raporundaki riskin durumunu ifade eder. 7 Mevcut Risk Puanı ve Rengi: Rapor tarihindeki durumu gösterir. 8 Riskin Sahibi: Riskin yönetilmesinden ve izlenmesinden sorumlu olan kişidir. Riskin sahibinde, riske verilecek cevapları gerçekleştirmek üzere gerekli kaynak ve yetki bulunmalıdır. Riskle ilgili bilgiyi toplayan, izlemeyi gerçekleştiren, riske verilen cevapları yöneten, riskin yönetildiğine ilişkin kanıtların tutulmasını ve risk kayıtlarının güncellenmesini sağlamak üzere harcama biriminin en üst yöneticisidir. 9 Riskin Sorumlusu: Genel müdürlüklerde her bir daire başkanı, diğer birimlerde harcama biriminin en üst yöneticisine hiyerarşik olarak en yakın her bir alt kademedeki yöneticidir. 10 Açıklama: Mevcut kontrol faaliyetlerinin etkinliği ve öngörülen kontrol faaliyetleri açıklama kısmında yer alır. Renkler Yüksek düzey risk Orta düzey risk Düşük düzey risk * Harcama biriminin en üst yöneticisi riskin sahibi olmakla birlikte, Birim Risk Koordinatörü Alt Birim Risk Raporlarının konsolide edilerek hazırlanmasından, izlenmesinden ve Birim Risk Raporunun Kurum Risk Koordinatörüne sunulmasından sorumludur. İmza İmza Birim Risk Koordinatörü Riskin Sahibi Ek-5 KONSOLİDE RİSK RAPORU Kurum: Tarih: ….../……/……. 1 2 3 4 5 6 7 8 Sıra No Referans No Stratejik Hedef Tespit Edilen Riskler Durum Önceki Risk Puanı Mevcut Risk Puanı ve Rengi ve Rengi Riskin Sahibi Açıklama Sütunlar 1 Sıra No: Risk kaydındaki sıralamayı gösterir. 2 Referans No: Riskin referans numarasını gösterir. Referans numarası risk sahibinin bağlı olduğu birimi de gösterecek şekilde yapılan bir kodlamadır. Risk devam ettiği sürece bu kod değiştirilmez. Aynı kod bir başka riske verilmez. Kodlamada aşağıdaki sınıflandırma kullanılır. 01-Stratejik (Kurumsal) Riskler Örneğin: 01-SGK-R1 (Sosyal Güvenlik Kurumunun Stratejik 1. Riski) 3 Stratejik Hedef: Riskin ilişkili olduğu stratejik hedefin, stratejik plandaki kodunun yazıldığı sütundur. 4 Tespit Edilen Risk: Belirlenen risk yazılır. 5 Önceki Risk Puanı ve Rengi: Bir önceki Kurum Risk Raporundaki riskin durumunu ifade eder. 6 Mevcut Risk Puanı ve Rengi: Rapor tarihindeki durumu gösterir.

7 Riskin Sahibi: Riskin yönetilmesinden ve izlenmesinden sorumlu olan kişidir. Riskin sahibinde, riske verilecek cevapları gerçekleştirmek üzere gerekli kaynak ve yetki bulunmalıdır. Riskle ilgili bilgiyi toplayan, izlemeyi gerçekleştiren, riske verilen cevapları yöneten, riskin yönetildiğine ilişkin kanıtların tutulmasını ve risk kayıtlarının güncellenmesini sağlayan harcama biriminin en üst yöneticisi riskin sahibidir. 8 Açıklama: Mevcut kontrol faaliyetlerinin etkinliği ve öngörülen kontrol faaliyetleri açıklama kısmında yer alır. Renkler Yüksek düzey risk Orta düzey risk Düşük düzey risk *Harcama biriminin en üst yöneticisi riskin sahibi olmakla birlikte Strateji Geliştirme Başkanı Kurum Risk Koordinatörü olup Birim Risk Raporlarının konsolide edilerek hazırlanmasından ve Konsolide Risk Raporunun Kurula ve üst yöneticiye sunulmasından sorumludur. İmza Kurum Risk Koordinatörü Ek-6 RİSK DEĞERLENDİRME KRİTERLERİ TABLOSU Değer Aralık Olasılık Etki Strateji Faaliyetler/Süreç Mali Mevzuata Uyum 10-9-8-7 Yüksek … yıl/ay/gün içerisinde gerçekleşmesi neredeyse kesin olan risklerdir. Kurumun yapısı göz önüne alındığında genellikle politika veya prosedürlerden kaynaklanır. Kurumun faaliyet alanı ne kadar geniş ise riskli olayların gerçekleşme olasılığı o kadar yüksektir. Stratejik hedeflere ulaşmada önemli etkisi olabilecek risklerdir. Gerçekleşmesi durumunda Kurumun hedeflerinden sapmasına dolayısıyla amaçlarını yeterince gerçekleştirememesine neden olabilecek risklerdir. Kurumun/birimin /alt birimin faaliyetlerini etkili, ekonomik ve verimli bir biçimde gerçekleştirememesine neden olacak riskler bu kategoridedir. Kurum/birim/alt birim için önemli maddi kayba neden olabilecek risklerdir. Kamu kaynaklarının, Kurum tarafından kabul edilebilir düzeyin üzerinde etkili, ekonomik ve verimli kullanılmaması yüksek riskli kabul edilmelidir. Bilerek veya bilmeyerek mevzuatla uyumun sağlanamaması durumunda Kurum/birim/alt birim üzerinde büyük yükümlülüklerin oluşabileceği durumlardaki risklerdir.

6-5-4 Orta …yıl/ay/gün içerisinde gerçekleşme olasılığı olan risklerdir. Bunlar genellikle Kurumun/birimin/alt birimin daha önce de karşılaştığı veya genel olarak idarelerde karşılaşılmış olan risklerdir. Stratejik hedeflere ulaşmada belirli düzeyde etkisi olabilecek risklerdir. Bu puan aralığında yer almakla birlikte stratejik hedefleri etkileyebilecek kilit risklerin kriterlerinin belirlenmesi gerekmektedir. Kurumun/birimin /alt birimin sunması gereken hizmeti etkili, ekonomik ve verimli bir biçimde gerçekleştirmesi üzerinde belirli düzeyde etkisi olabilecek risklerdir. Kurum/birim/alt birim için belirli bir düzeyde maddi kayba neden olabilecek risklerdir. Kurum tarafından kabul edilebilir düzeyde etkili, ekonomik ve verimli kullanılmaması orta riskli kabul edilmelidir. Bilerek veya bilmeyerek mevzuatla uyumun sağlanamaması durumunda Kurum/birim/alt birim üzerinde belirli düzeyde yükümlülüklerin oluşabileceği risklerdir. 3-2-1 Düşük …yıl/ay/gün içerisinde gerçekleşme ihtimali düşük olan risklerdir. Bunlar genellikle Kurumun/birimin/alt birimin çok ender karşılaştığı, gerçekleşme olasılığının neredeyse olmadığı risklerdir. Stratejik hedeflere ulaşmada çok az etkisi olabilecek risklerdir. Etkiler genellikle küçüktür ve sınırlı bir alanı kapsar. Kurumun/birimin /alt birimin sunması gereken hizmeti etkili, ekonomik ve verimli bir biçimde gerçekleştirmesi üzerinde çok az etkisi olabilecek risklerdir. Kurum/birim/alt birim için çok az maddi kayba neden olacak riskledir. Kamu kaynaklarının Kurum tarafından kabul edilebilir düzeyin altında etkili, ekonomik ve verimli kullanılmaması, belirli miktarın altında harcanması düşük riskli olarak kabul edilmektedir Bilerek veya bilmeyerek mevzuatla uyumun sağlanamaması durumunda Kurum/birim/alt birim üzerinde çok düşük düzeyde yükümlülüklerin ve/veya sorumlulukların oluşabileceği durumlardaki risklerdir. *Olasılık ve Etki hesaplamaları yapılırken ihtiyaca göre farklı parametreler kullanılabilir.

İÇ KONTROL İZLEME BELGESİ GİRİŞ Bilindiği üzere, 24/12/2003 tarihli ve 25326 sayılı Resmi Gazetede yayımlanan 5018 sayılı Kamu Mali Yönetimi ve Kontrol Kanununun 55 inci maddesinde iç kontrol, idarenin amaçlarına, belirlenmiş politikalara ve mevzuata uygun olarak faaliyetlerin etkili, ekonomik ve verimli bir şekilde yürütülmesini, varlık ve kaynakların korunmasını, muhasebe kayıtlarının doğru ve tam olarak tutulmasını, malî bilgi ve yönetim bilgisinin zamanında ve güvenilir olarak üretilmesini sağlamak üzere idare tarafından oluşturulan organizasyon, yöntem ve süreçle iç denetimi kapsayan malî ve diğer kontroller bütünü olarak tanımlanmıştır. Aynı Kanunun 56 ncı maddesinde de iç kontrolün amaçları; kamu gelir, gider, varlık ve yükümlülüklerinin etkili, ekonomik ve verimli bir şekilde yönetilmesini, kamu idarelerinin kanunlara ve diğer düzenlemelere uygun olarak faaliyet göstermesini, her türlü malî karar ve işlemlerde usulsüzlük ve yolsuzluğun önlenmesini, karar oluşturmak ve izlemek için düzenli, zamanında ve güvenilir rapor ve bilgi edinilmesini, varlıkların kötüye kullanılması ve israfını önlemek ve kayıplara karşı korunmasını, sağlamak olarak belirlenmiştir. Söz konusu Kanunun 57 inci maddesinde ise, kamu idarelerinin malî yönetim ve kontrol sistemleri; harcama birimleri, muhasebe ve malî hizmetler ile ön malî kontrol ve iç denetimden oluştuğuna yer verilerek, yeterli ve etkili bir kontrol sisteminin oluşturulabilmesi için; mesleki değerlere ve dürüst yönetim anlayışına sahip olunması, malî yetki ve sorumlulukların bilgili ve yeterli yöneticilerle personele verilmesi, belirlenmiş standartlara uyulmasının sağlanması, mevzuata aykırı faaliyetlerin önlenmesi ve kapsamlı bir yönetim anlayışı ile uygun bir çalışma ortamının ve saydamlığın sağlanması bakımından ilgili idarelerin üst yöneticileri ile diğer yöneticileri tarafından görev, yetki ve sorumluluklar göz önünde bulundurulmak suretiyle gerekli önlemlerin alınması gerektiği belirtilmiştir. 31.12.2005 tarihli ve 26040 (3. mükerrer) sayılı Resmî Gazetede yayımlanan İç Kontrol ve Ön Mali Kontrole İlişkin Usul ve Esasların 5 inci maddesinde de iç kontrol standartlarının, merkezi uyumlaştırma görevi çerçevesinde Maliye Bakanlığı tarafından belirlenip yayımlanacağı, kamu idarelerinin malî ve malî olmayan tüm işlemlerinde bu standartlara uymakla ve gereğini yerine getirmekle yükümlü bulunduğu, Kanuna ve iç kontrol standartlarına aykırı olmamak koşuluyla, idarelerce, görev alanları çerçevesinde her türlü yöntem, süreç ve özellikli işlemlere ilişkin standartlar belirlenebileceği düzenlenmiştir. Bu çerçevede, 26 Aralık 2007 tarihli ve 26738 sayılı Resmi Gazetede yayımlanan Kamu İç kontrol Standartları Tebliği ile idarelerin, iç kontrol sistemlerinin oluşturulmasında, izlenmesinde ve değerlendirilmesinde dikkate almaları gereken temel yönetim kuralları gösterilmektedir. Bu kapsamda yine Maliye Bakanlığı tarafından hazırlanan Kamu İç Kontrol Rehberinde de iç kontrol standartlarının uygulanmasına ilişkin düzenlemelere yer verilmiştir. Kamu İç Kontrol Standartları, uluslararası standartlar ve iyi uygulama örnekleri çerçevesinde, iç kontrolün; kontrol ortamı, risk değerlendirmesi, kontrol faaliyetleri, bilgi ve iletişim ile izleme bileşenleri esas alınarak, tüm kamu idarelerinde uygulanabilir düzeyde olmasını sağlamak üzere genel nitelikte düzenlenmiştir. Kamu İç Kontrol Standartlarının beş bileşeninden sonuncusu olan “İzleme” bileşeni ile iç kontrol sisteminin etkin bir şekilde uygulanmasını sağlamak üzere sistemin düzenli olarak izlenmesi ve değerlendirilmesi amaçlanmaktadır. Bu Belge ile Kurumumuzda iç kontrol sisteminin izlenmesinde izlenecek yöntem ve kurallar düzenlenmektedir. Strateji Geliştirme Başkanlığı İÇ KONTROL VE İZLEME İÇ KONTROL Kurumun yönetimi ve personeli tarafından hayata geçirilen, Kurumun hedeflerine ulaşması ve misyonunu gerçekleştirmesinde ortaya çıkabilecek riskleri öngörerek makul güvence sağlamayı amaçlayan bir süreçtir. İç kontrol sistemi, aşağıdaki unsurlardan oluşur; ➢ Kontrol Ortamı: İç kontrolün diğer unsurlarına temel teşkil eden genel bir çerçeve olup, kişisel ve mesleki dürüstlük, yönetim ve personelin etik değerleri, iç kontrole yönelik destekleyici tutum, mesleki yeterlilik, organizasyonel yapı, insan kaynakları politikaları ve uygulamaları ile yönetim felsefesi ve iş yapma tarzına ilişkin hususları kapsar. ➢ Risk Değerlendirme: Kurumun hedeflerinin gerçekleşmesini engelleyecek risklerin tanımlanması, analiz edilmesi ve gerekli önlemlerin belirlenmesi sürecidir. ➢ Kontrol Faaliyetleri: Öngörülen bir riskin etki ve/veya olasılığını azaltmayı ve böylece Kurumun amaç ve hedeflerine ulaşma olasılığını artırmayı amaçlayan eylemlerdir. ➢ Bilgi ve İletişim: Risklerin tespit edilmesi ve kontrol faaliyetlerinin etkin bir biçimde uygulanmasını sağlamak üzere gerekli bilginin elde edilmesi ve ihtiyaç duyan kişi, personel ve yöneticiye belirli bir formatta ve ilgili zaman dilimi içinde iletilmesini sağlayacak bilgi, iletişim ve kayıt sistemini kapsar. İÇ KONTROLDE İZLEME İzleme ile Kurumun faaliyetlerinin Kurumun misyonu doğrultusunda, Stratejik Planda yer alan hedeflerle uyumlu olarak yürütülüp yürütülmediği, risk yönetimi çerçevesinde gerekli kontrollerin belirlenip belirlenemediği, belirlenen kontrollerin uygulanıp uygulanmadığı, bilgi ve iletişimin yeterli olup olmadığı gibi hususların düzenli olarak değerlendirilmesi ve yapılması gereken değişikliklerin tespit edilmesi sağlanır. Dolayısıyla izleme, iç kontrol sisteminin diğer bileşenleriyle etkileşim halinde işleyen bir süreç olup yönetime kontrol faaliyetlerine ilişkin sorunların düzeltilmesi ve istenmeyen bir durumla karşılaşılmadan önce riski kontrol edebilme imkanı verir. İZLEMENİN AMACI İç kontrol sisteminin izlenmesi ile Kurumda; ➢ İç kontrol sistemine ilişkin sorunların zamanında tespit edilip giderilmesi, ➢ İç kontrol sisteminin etkinliğinin düzenli aralıklarla teyit edilmesi, ➢ İç kontrol güvence beyanları için kanıt oluşturulması amaçlanmaktadır. İZLEME STANDARTLARI İzleme, iç kontrol sisteminin kalitesini değerlendirmek üzere yürütülen tüm izleme faaliyetlerini kapsar. İki standarttan oluşur. ➢ İç Kontrolün Değerlendirilmesi Standardı ➢ İç Denetim Standardı İZLEME YÖNTEMLERİ İç kontrol sisteminin izlenmesi; sürekli izleme ve özel değerlendirmeler yoluyla gerçekleştirilir.

➢ Sürekli izleme Sürekli izleme; Kurumun faaliyetlerinin yürütülmesi sırasında, devamlı olarak faaliyetleri yürüten personel ve onları hiyerarşik olarak kontrol etmekle görevli yöneticiler tarafından gerçekleştirilmektedir. Sürekli izleme; düzenli yönetim ve gözetim faaliyetlerini, karşılaştırmaları ve personelin görevlerini yürütürken almış olduğu diğer önlemleri kapsamaktadır. Sürekli izleme faaliyetleri ile sorunlar daha çabuk tespit edilip kontrol aksaklıkları için zamanında gerekli önlemler alınabildiğinden idarelerin esas olarak sürekli izleme faaliyetlerine ağırlık vermeleri önerilmektedir. ➢ Özel Değerlendirmeler Özel değerlendirmeler; iç kontrol sisteminin etkinliğinin değerlendirilmesi amacıyla yönetim ve çalışanlar tarafından gerçekleştirilen değerlendirme faaliyetleridir. Özel değerlendirme faaliyetleri; öz değerlendirme çalıştayları yapılması, soru formlarının/anketlerin kullanılması ve çalışma grubu oluşturulması şeklinde gerçekleştirilebilir. Öz değerlendirme çalıştayları, iç kontrol sisteminin değerlendirilmesinin yanı sıra yönetici ve çalışanların idare hedeflerine ulaşılmasında iç kontrolün önemi konusunda da bilinçlendirilmesine katkı sağlar. Çalıştaylar, bir kolaylaştırıcı eşliğinde gerçekleştirilir. Soru formları/anketler kullanılarak iç kontrol sistemi hakkında detaylı bilgi alınabilir. Soruların subjektif değerlendirmeye meydan vermeyecek şekilde açık ve net bir şekilde hazırlanması ve olumsuz bir yanıtın potansiyel bir zayıflığı ortaya çıkaracak şekilde tasarlanması uygun olacaktır. İzlemeye İlişkin Önemli Hususlar: ➢ Sürekli izleme ve özel değerlendirme yöntemleri birbirinin alternatifi olmayıp Kurumun yapısına uygun olarak bu iki yöntem de kullanılmalıdır. ➢ Sürekli izleme yöntemleri etkin bir şekilde uygulansa dahi iç kontrol sisteminin bir bütün olarak özel değerlendirmeye tabi tutulması uygun olacaktır. ➢ Özel değerlendirmenin kapsam ve sıklığı belirlenirken; risk değerlendirmesi, risklere verilecek cevaplardan veya kontrol faaliyetlerinin uygulanmasından sorumlu personelin yetkinlik ve deneyimi ile sürekli izleme yöntemlerinin etkinliği dikkate alınmalıdır. ➢ Sürekli izleme ve özel değerlendirme sonucunda tespit edilen eksiklikler gerekli önlemleri alma konumunda olanlara raporlanmalıdır. Söz konusu eksikliklerin rapor edilmesi ve ilgili düzeltici eylemlerin gerçekleştirilmesi için prosedürler de Kurumda mevcut olmalıdır. ➢ İzleme faaliyetleri yalnızca başarısızlık, hata, yanlış ve zayıflık gibi durumlarda değil; sürekli ve günlük faaliyet, program ve projelerle bütünleşik bir biçimde yürütülmelidir. Değerlendirme Süreci İç kontrol sisteminin belirli dönemlerde değerlendirilmesi ve gerekli önlemlerin tespit edilerek uygulamaya dâhil edilmesi sistemin etkinliğinin sağlanması açısından son derece önemlidir. İç kontrol sisteminin değerlendirilmesi; Kurumun amaç ve hedeflerine ulaşma konusunda sistemin beklenen katkıyı sağlayıp sağlamadığının iç kontrol bileşenleri özelinde incelenmesi ve sistemin iyileştirmeye açık alanlarının tespit edilerek düzeltici önlemlerin belirlenmesini kapsayan bir süreçtir. Bu süreçte Strateji Geliştirme Başkanlığı (SGB) aktif rol oynar. İç kontrol sisteminin değerlendirilmesi İç Kontrol Sistemi Soru Formu (Ek-1) aracılığıyla yapılır. Değerlendirme yılda bir kez yapılır. Harcama yetkililerince bir önceki yılın değerlendirmesi izleyen yılın ocak ayı sonuna kadar yapılarak Strateji Geliştirme Başkanlığına gönderilir. Soru formlarının doldurulmasında SGB harcama birimlerine rehberlik sağlar.

İç Kontrol Sisteminin Değerlendirilme Sürecinde İzlenecek Adımlar ➢ SGB koordinasyonunda birim yöneticilerinin katılımıyla soru formlarının doldurulması süreci ile ilgili toplantı yapılır. ➢ Soru formlarının doldurulmasına ilişkin birimlere bir haftadan az olmamak üzere süre verilir. ➢ Harcama birimleri soru formlarını doldururken, bu işlemin bir öz değerlendirme niteliği taşıdığını, sorulara verecekleri cevaplarla öncelikle kendi birimlerini değerlendirdiklerini göz ardı etmemeli, bu çerçevede formlar doldurulurken kendi birimlerinde iç kontrol sisteminin işleyişini ayrıntılı olarak değerlendirmelidir. ➢ Soru formlarının doldurulmasında gerektiğinde SGB’den de destek alınmalıdır. ➢ Soru formları SGB’ye gönderildiğinde her soru kontrol edilerek, yanlış anlaşılan bir husus var ise düzelttirilir. Bu amaçla SGB soru formlarındaki cevaplarla ilgili olarak birim yöneticisi veya görevlendireceği bir kişi ile görüşebilir. Tablo 1: İç Kontrol Sistemi Soru Formu Sonuçlarının Yorumlanması % puan Yorum 0-25 İç kontrol sisteminin gelişiminin en düşük seviyede olduğunun göstergesi. Biraz farkındalık olmakla birlikte iç kontrol mekanizmalarının henüz Kurumda uygulanmadığı anlaşılmaktadır. İç kontrol sisteminin kurulması için acil rehberlik ve yönlendirmede bulunulması gereklidir. 26-50 İç kontrol sisteminin gelişiminin düşük seviyede olduğunun göstergesi. İç kontrol sistemine ilişkin farkındalık ve anlayışın bulunduğu, iç kontrol mekanizmalarının uygulanması için çalışmalara başlandığı anlaşılmaktadır. Ancak çalışmaların artarak devam etmesi ve uygulamaya geçilmesi gereklidir. 51-75 İç kontrol sisteminin gelişiminin orta seviyede olduğunun göstergesi. İç kontrol mekanizmalarının uygulanmaya başladığı, ancak geliştirilmesi gerektiği anlaşılmaktadır. 76-90 İç kontrol sisteminin gelişiminin yüksek seviyede olduğunun göstergesi. İç kontrol mekanizmalarının uygulamasının yerleştiği anlaşılmaktadır. Uygulamanın biraz daha geliştirilmesi için neler yapılabileceğinin değerlendirilmesi uygun olacaktır. 91-100 İç kontrol sisteminin gelişiminin en yüksek seviyede olduğunun göstergesi. İç kontrol mekanizmalarının en iyi şekilde uygulandığı anlaşılmaktadır. Değerlendirme Sonuçlarının Raporlanması ➢ Harcama birimleri soru formlarını gönderdikten sonra SGB, formları konsolide eder, soru formu sonuçları başta olmak üzere iç ve dış denetim sonuçları, ön mali kontrole ilişkin veriler, gerek duyulması halinde yöneticilerin görüşleri, kişi veya idarelerin talep ve şikayetleri dikkate alınarak bir önceki yılın İç Kontrol Sistemi Değerlendirme Raporunu (Ek-2) izleyen yılın mayıs ayı sonuna kadar İç Kontrol İzleme ve Yönlendirme Kuruluna (Kurul) sunar. ➢ Kurul, İç Kontrol Sistemi Değerlendirme Raporunu (Ek-2) değerlendirir, varsa eksiklikleri tamamlandıktan sonra uygun görüşle üst yöneticinin onayına sunar. ➢ Üst yönetici tarafından onaylanan İç Kontrol Sistemi Değerlendirme Raporu, izleyen yılın haziran ayı sonuna kadar SGB tarafından Maliye Bakanlığına iletilir.

Değerlendirme Raporlarının İzlenmesi İç Kontrol Sistemi Değerlendirme Raporunda (Ek-2) iyileştirmeye açık alanlar olarak tespit edilen hususlarla ilgili olarak alınması gereken önlemler, yapılması gereken faaliyet ve düzenlemeler yönetim sorumluluğu çerçevesinde belirlenir. Birimlerin çoğunun zayıf not aldığı tespit edilmiş yatay sorunlar bulunması halinde iyileştirmeye yönelik eylemler üst yönetici tarafından başlatılır. Alınması gereken önlemler, yapılması gereken faaliyet ve düzenlemeler için bir eylem planı oluşturulur. SGB söz konusu önlem, faaliyet ve düzenlemelerin uygulama sonuçlarını en az altı ayda bir izler, değerlendirir, uygulama sonuçları hakkında üst yöneticiyi bilgilendirir. İç Denetim Raporları İle İlgili Strateji Geliştirme Başkanlığı Tarafından Yapılacak İşlemler İç denetçiler tarafından üst yöneticiye sunulan raporlar, üst yönetici tarafından değerlendirilmek suretiyle gereği için ilgili birimler ile SGB’ye gönderilmektedir. SGB tarafından söz konusu raporlara dayanarak aşağıdaki işlemler yerine getirilir: ➢ İç kontrole ilişkin olarak tespit edilen eksiklikler çerçevesinde idare için eğitim ihtiyacını belirleme ve eğitim programlarının düzenlenmesi için girişimde bulunulması. ➢ İç denetim bulgularını da dikkate alarak iç kontrol sisteminin geliştirilmesine yönelik üst yöneticiye öneriler sunulması. ➢ İç denetim raporlarında tespit edilen kamu zararlarına ilişkin gerekli kayıt ve takip işlemlerinin yürütülmesi. ➢ İç denetim raporları sonucu ortaya çıkan uygulama farklılıklarını gidermeye yönelik iç düzenlemeler yapılması. EKLER: Ek-1: İç Kontrol Sistemi Soru Formu Ek-2: İç Kontrol Sistemi Değerlendirme Raporu Ek-1 İÇ KONTROL SİSTEMİ SORU FORMU Bu soru formu iç kontrol sisteminin değerlendirilmesi amacıyla tasarlanmıştır. Ayrıca, bu soru formu sayesinde iç kontrol sisteminin değişen koşullar, kaynaklar ve riskler bağlamında hedeflere ulaşmayı ne derece kolaylaştırdığını belirlemek de mümkün olacaktır. Soru formunu cevaplandıranların sorulara verecekleri gerçekçi yanıtlar büyük önem taşımakta olup iç kontrol sisteminin Kurumdaki gelişmişlik düzeyini belirlemek amacıyla kullanılacaktır. Birim yöneticileri kendi birimlerinde iç kontrol sisteminin işleyişini ayrıntılı olarak değerlendirerek bu soru formunun doldurulmasından sorumludurlar. Bu çerçevede birim yöneticileri, SGB’lerin rehberliğinde cevaplandıracakları soru formunu SGB’lere göndereceklerdir. SGB’ler bu soru formunu da kullanarak hazırlayacakları raporu üst yöneticinin onayını aldıktan sonra Maliye Bakanlığına göndereceklerdir. Soru Formunun Doldurulması Bu soru formunda, iç kontrolün bileşenleri esas alınmış olup beş bölüm mevcuttur: • Kontrol Ortamı • Risk Değerlendirme • Kontrol Faaliyetleri • Bilgi ve İletişim • İzleme Her bölümde, yukarıda sözü edilen bileşenler çerçevesinde iç kontrol sisteminin işleyişine ilişkin sorular bulunmaktadır. Soru formunda verilen cevapların Kamu İç Kontrol Standartlarına uyum için hazırlanan Kurumun eylem planlarıyla da uyumlu olmasına dikkat edilmelidir. Soru formundaki cevap bölümü EVET, HAYIR ve GELİŞTİRİLMEKTE olmak üzere üç seçenekten oluşmaktadır. Cevap bölümünde ayrıca AÇIKLAMA için dördüncü bir sütun yer almaktadır. EVET, ilgili soruda sözü edilen konuların birimde gereken şekilde anlaşıldığı ve uygulandığı anlamına gelmektedir. HAYIR, bu konuların birimin genelinde anlaşılmadığı ve hayata geçirilmediği anlamına gelmektedir. GELİŞTİRİLMEKTE, ilgili soruda sözü edilen konuların birimin bazı bölümlerinde kısmen anlaşıldığı ve uygulandığı anlamına gelmektedir. AÇIKLAMA, bölümünde varsa kanıtlar ve yorumlara yer verilmelidir. Soruların devamında, sorunun daha iyi anlaşılmasına ilişkin yönlendirmeler yer almaktadır. ➢ Soru formunun değerlendirilmesinde her soru için verilen cevabın puan türünden karşılığı kullanılacaktır. EVET cevabı için 2 puan, GELİŞTİRİLMEKTE cevabı için 1 puan, HAYIR cevabı için ise 0 puan üzerinden değerlendirilme yapılacaktır. Soru formunun her bölümü için ayrı toplam puan hesaplanacağı gibi formun tamamı için de genel toplam puan hesaplanacaktır. ➢ Bir soruya HAYIR cevabı verildiyse, ilgili alanların geliştirilmesi için birim yöneticisi tarafından adım atılmalıdır. ➢ Bir soruya GELİŞTİRİLMEKTE cevabı verildiyse, birim yöneticisi ilgili alanda ilerleme kaydedilmesi için yapılabilecekleri değerlendirmelidir.

N No Sorular Evet1 Hayır2 Geliştirilmekte3 Açıklama Puan 2 0 1 KONTROL ORTAMI KONTROL ORTAMI: Kontrol ortamı, iç kontrol sisteminin diğer unsurlarına temel oluşturan genel bir çerçeve sağlamaktadır. Misyonun belirlenmesini, kurum personeline duyurulmasını ve bunlarla uyumlu bir organizasyon yapısının ve kurumsal kültürün oluşturulmasını tanımlamak amacıyla kullanılan bir kavramdır. Kontrol ortamı üzerinde etkili temel unsurlar kişisel ve mesleki dürüstlük, yönetim ve personelin etik değerleri, iç kontrole yönelik destekleyici tutum, insan kaynakları yönetimi için yazılı kurallar ve uygulamalar, kurumsal yapı, yönetim felsefesi ve iş yapma biçimi olarak sayılabilir. 1 Biriminizde Kamu İç Kontrol Standartları bilinmekte mi ? (Bu konuda farkındalığı artırmak amacıyla eğitimler verilmesi ve toplantılar düzenlenmesi uygun olacaktır.) 2 Biriminizde iç kontrol sistemi ve işleyişine ilişkin olarak yönetici ve personelin farkındalık ve sahiplenilmesini arttırmaya yönelik çalışmalar yürütülüyor mu? Örneğin; iç kontrole ilişkin periyodik bilgilendirme toplantıları yapılması, tanıtım broşürleri hazırlanması, iç kontrolün hizmet içi eğitim programlarına dahil edilmesi, iç kontrole ilişkin bilgi ve belgelere birimin web/intranet sayfasında kolay erişilebilir şekilde yer verilmesi gibi çalışmalar yürütülmekte mi? 3 Biriminizin her düzeydeki yönetici ve personeli, etik davranış ilkeleri ve bu ilkelere ilişkin sorumlulukları hakkında bilgilendiriliyor mu? Örneğin, kamu etik kurallarının içselleştirilmesi yönünde verilen eğitimlere ve düzenlenen toplantılara yönetici ve personelin katılımı sağlanıyor mu? 1 “Evet” seçeneği işaretlenmişse “Açıklama” bölümünde kanıtlara(iç düzenlemeler, yapılmış faaliyetlerin detayları vb.) yer verilmelidir. 2 “Hayır” seçeneği işaretlenmiş ise “Açıklama” bölümünde gerekli açıklamalara yer verilmelidir. 3 “Geliştirilmekte” seçeneği işaretlenmişse “Açıklama” bölümünde gerekli açıklamalar (planlanan faaliyetlerin detayları vb.) yapılmalıdır.

(Etik davranış ilkelerinin, biriminiz personeli için düzenlenen uygulanan temel, hazırlayıcı ve hizmet içi eğitim programlarında yer alması uygun olacaktır.) 4 Biriminizin her düzeydeki yönetici ve personeli, etik dışı davranış durumunda uygulanacak yaptırımlar hakkında bilgilendirilmekte midir? (Bu soruya “evet” cevabı verilmiş ise bu farkındalığın nasıl sağlandığı açıklanmalıdır.) 5 Biriminizde vatandaşa doğrudan sunulan hizmetlerle ilgili süre ve yöntem konusunda bir standart geliştirildi mi? (Bu soru cevaplandırılırken Kamu Hizmetlerinin Sunumunda Uyulacak Usul ve Esaslara İlişkin Yönetmelik kapsamında yapılan çalışmalar da değerlendirilebilir.) 6 Biriminizin tüm iş ve işlemleriyle ilgili çıktılara personelin ve yetkili mercilerin erişimleri sağlanıyor mu? 7 Biriminizde personelin ve birimden hizmet alanların değerlendirme, öneri ve sorunlarını bildirebilecekleri uygun mekanizmalar (anket, yüz yüze görüşme, toplantı, elektronik başvuru vb.) mevcut mu? Etkin olarak kullanılıyor mu? (Mevcut ise kullanılan yöntemler hakkında kısaca bilgi veriniz. Düzenlenecek anketlerin gizlilik esaslı olması tavsiye edilmektedir.) 8 Biriminizin misyonu yazılı olarak belirlenip, duyuruldu mu? (Misyon; ilan panolarında, intranette, e-posta yoluyla personele duyurulabilir.) 9 Biriminizin ve alt birimlerin görev tanımlarına yönelik bir düzenleme(yönerge, genelge, onay vb.) var mı? (Bu soruya “Hayır” cevabı verilmişse bu işlemlerin ne zaman gerçekleştirilmesinin planlandığı belirtilmelidir.) 10 Biriminizin her düzeydeki yönetici ve personeli için görev tanımları yazılı olarak belirlendi mi? İlgili yönetici ve personele bildirildi mi? (Personel görev tanımları, personelin görev yaptığı birimin görev tanımı esas alınarak hazırlanmalı, ilgili personele tebliğ edilmeli ve yılda en az bir kez gözden geçirilmeli ve güncellenmelidir. Bu soruya cevap verilirken personel görev tanımlarının format ve içeriğinin belirlenmesine ve belirli aralıklarla güncellenmesine yönelik iç düzenleme bulunup bulunmadığı da değerlendirilmelidir.) 11 Biriminizin organizasyon şeması görev dağılımını, hesap vermeye uygun raporlama kanallarını gösteriyor mu? 12 Biriminizin ve alt birimlerin görevleri, Kurumunuzun ve biriminizin misyonu ile uyumlu mu? (Birimin ve alt birimlerin görevlerinin misyonla uyumunun sağlanması ve değişikliklerin sürekli izlenerek organizasyon yapısı ve görevlerin değişiklikler çerçevesinde revize edilmesi gerekmektedir.) 13 Biriminizde hassas görevler ve bu görevlere ilişkin prosedürler belirlendi mi? (Söz konusu prosedürlerin yazılı olarak belirlenmesi, personele duyurulması ve hassas görevlere uygun kontrol faaliyetlerinin(görevler ayrılığı, rotasyon, yedek personel belirleme vb.) belirlenmesi önerilmektedir.) 14 Biriminizde her düzeydeki yöneticinin, verilen görevlerin sonucunu izlemesini sağlayacak mekanizmalar oluşturuldu mu? (“Evet” cevabı verilmiş ise bu mekanizmaların neler olduğu (raporlar, iş planları, periyodik toplantılar, otomasyon programı vs.) belirtilmelidir.) 15 Yazılı olarak belirlenmiş görevde yükselme usulleri var mıdır? (Söz konusu usullerin personelin performansını da dikkate alacak şekilde belirlenmesi ve bu usullerden personelin haberdar edilmesi gerekmektedir.) 16 Biriminizde her görev için gerekli eğitim ihtiyacı belirlenerek, bu ihtiyacı giderecek eğitim faaliyetleri her yıl planlanarak yürütülmekte mi? 17 Biriminizin yöneticileri personelin yeterliliği ve performansı ile ilgili olarak yaptıkları değerlendirmeleri ilgili personelle paylaşıyor mu? (Yöneticilerin çalışanların performansına ilişkin değerlendirme sonuçlarını çalışanları ile paylaşmaları önerilmektedir.) 18 Biriminizde performans değerlendirmesine göre performansı yetersiz bulunan personelin performansını geliştirmeye yönelik önlemler alınıyor mu? (Örneğin, performansı yetersiz görülen personelin performansını geliştirmek için eğitim verilmesi, teşvik etmek için eksik alanları ile ilgili görüşmeler yapılması, tecrübeli personelin refakatinde görevlendirilmesi gibi önlemler alınıyor mu?) 19 Biriminizde yüksek performans gösteren personel için geliştirilmiş ve uygulanan ödüllendirme mekanizmaları var mı? (Yüksek performans gösteren personel için ödül/motivasyon mekanizmaları (yönetici tarafından tüm çalışanlar huzurunda takdir edilme, başarı belgesi, yurt içi ve yurt dışı kariyer geliştirme fırsatlarından yararlandırma vb.) geliştirilmesi ve bu kriterlerin tüm personele bildirilmesi tavsiye edilmektedir.) 20 Biriminiz personeline yönelik insan kaynakları ile ilgili prosedürler (personel alımı, yer değiştirme, üst görevlere atanma, performans değerlendirmesi vb.) var mı? 21 Biriminizde iş akış süreçlerindeki imza ve onay mercileri belirlendi mi? (İş akış süreçlerinin belirlenmesi ve bu süreçlerdeki imza ve onay mercilerinin belirlenmesi ve duyurulması önerilmektedir.) 22 Biriminizde yapılacak yetki devirlerinin esasları yazılı olarak belirlendi mi? (Yapılacak yetki devirlerinin kapsam, miktar, süre ve devredilen yetkinin başkasına devredilip devredilemeyeceği gibi bilgileri içermesi gereklidir. Ayrıca, yetki devri yapılırken yetki ve sorumluluk dengesinin korunmasına özen gösterilmelidir.) 23 Biriminizde yetki devredilecek personel için asgari gereklilikler (bilgi, beceri ve deneyim) belirlendi mi? 24 Biriminizde yetki devredilen personelin, yetkinin kullanımına ilişkin olarak belli dönemlerde yetki devredene rapor vermesine ilişkin düzenleme var mıdır? TOPLAM PUAN - KONTROL ORTAMI RİSK DEĞERLENDİRME RİSK DEĞERLENDİRME: Risk değerlendirme, Kurumun hedeflerinin gerçekleşmesini engelleyecek risklerin tanımlanması, analiz edilmesi ve gerekli önlemlerin belirlenmesi sürecidir. Bu bölümde Kurum, risk algısı ve riskle başa çıkabilme kapasitesini aşağıdaki sorular aracılığıyla bir öz değerlendirmeye tabi tutmalıdır. 1 Performans programında yer alan hedeflere ulaşma düzeyinin izlenmesi ve değerlendirilmesine yönelik raporlama prosedürü belirlendi mi? “Evet” cevabı verildiyse uygulamada izleme ve değerlendirme sürecinin nasıl işlediği kısaca açıklanmalıdır. 2 Bütçe hazırlık sürecinde stratejik plan ve performans programlarına uyumu sağlamaya yönelik prosedür var mıdır? (Stratejik planda gösterilen amaç ve hedeflerin hangi faaliyet ve projelerle gerçekleştirileceği, hangi göstergelerin izleneceği ve bu faaliyet ve projeler için gerekli kaynak ihtiyacı performans programlarında gösterilmektedir. Bu nedenle, birimlerin bütçe tekliflerini hazırlarken söz konusu plan ve programları dikkate almaları gerekmektedir.) 3 Biriminizde yürütülen faaliyetlerin stratejik plan ve performans programıyla belirlenen amaç ve hedeflerle uyumunu sağlamaya yönelik bir prosedür var mıdır? (Kaynakların etkili, ekonomik ve verimli kullanılması bakımından birimler faaliyetlerinde Kurumun stratejik planı ve performans programında belirtilen amaç ve hedeflerine odaklanmalıdır.) 4 Biriminiz tarafından görev alanınız çerçevesinde Kurumunuzun hedeflerine uygun spesifik hedefler belirlendi mi? 5 Biriminizde, üst yönetici tarafından onaylanmış olan risk strateji belgesi tüm çalışanlara duyuruldu mu? 6 Biriminizde risk yönetimine ilişkin görev ve sorumluluklar açık bir şekilde ve yazılı olarak belirlendi mi? (Risk yönetiminde görev ve sorumlulukların net olarak belirlenmesi ve söz konusu görev ve sorumlulukların uygun, yetkin ve yetkilendirilmiş kişilere verilmesi, risk yönetimi için güçlü bir alt yapı oluşturur. İdareniz için Risk Strateji Belgesi hazırlanmış ise söz konusu belgede risk yönetimine ilişkin görev ve sorumluluklara da yer verilmiş olması gerekir.) 7 Biriminizde riskler, birim/program ve alt birim/ operasyonel düzeyinde tespit ediliyor mu? 8 Biriminizde tespit edilen risklerin, muhtemel etkileri ve gerçekleşme olasılıkları ölçülüyor mu? (Tespit edilen risklerin olasılık ve etkileri ölçülmeli ve rakamla gösterilmelidir.) 9 Biriminizde tespit edilen riskler, risk puanlarına(Etki x Olasılık) veya önem derecelerine göre önceliklendiriliyor mu? Risklerin önem sırasına göre önceliklendirilmesi kaynak tahsisinde etkinliği sağlar. 10 Biriminizde tespit edilen riskler uygun araçlarla kayıt altına alınıyor mu? (Risklerin kaydedilmesi, verilen kararlar için kanıt oluşturulmasına, kişilerin risk yönetimi içindeki sorumluluklarını görmelerine ve izlenmesine yardımcı olmaktadır. Bu soruya “Evet” cevabı verilmiş ise risklerin kaydında kullanılan araçlar (risk kayıt formu, yazılım vb.)belirtilmelidir.) 11 Biriminizde tespit edilen risklere verilecek cevap yöntemi belirlenirken fayda-maliyet analizi yapılıyor mu? (Risklere verilecek cevaplar belirlenirken; cevabın faydasının, getireceği maliyetten yüksek olmasına dikkat edilmesi gerekmektedir.) 12 Biriminizde tespit edilen risklerin gerçekleşme olasılıklarında veya etkilerinde bir değişiklik olup olmadığı ya da yeni risklerin ortaya çıkıp çıkmadığı belirli periyotlarla gözden geçiriliyor mu? (Tespit edilen riskler risklerin önem derecesine göre yılda en az bir kez olmak üzere gözden geçirilmelidir.) 13 Risk yönetimi sürecinde personelin katkısı alınıyor mu? (Personelin risk yönetim sürecini sahiplenmesi ve işlerinin bir parçası olarak görmesi, risklere karşı güçlü bir kurumsal risk yönetimi sürecinin etkililiğini artıracaktır. Bu soruya “evet” cevabı verdiyseniz bu katkıyı nasıl sağladığınızı açıklayınız.) 14 Biriminiz yönetici ve personeli risk yönetimine ilişkin görev ve sorumluluklarının bilincinde mi? (Bu soruya cevap verilirken personelin risk yönetimindeki görev ve sorumluluklarına ilişkin bilgilendirme ve farkındalığın nasıl sağlandığı değerlendirilmeli ve bu kapsamda hangi araçların kullanıldığı açıklanmalıdır.) 15 Biriminizin diğer birimlerle ortak yürütülmesi gereken riskleri bulunması durumda söz konusu risklerin yönetilmesine ilişkin olarak ilgili birim ile gerekli işbirliği ve iletişim sağlanıyor mu? 16 Biriminizde risk yönetiminden elde edilen deneyimler diğer birimlerle paylaşılıyor mu? (Özellikle yeni ortaya çıkmış riskler ve bunlarla başa çıkma yöntemleri konusunda olumlu ve olumsuz deneyimlerin paylaşılması ve bu anlamda nelerin yanlış gidebileceğinin bilinmesi, hataların tekrarlanmasını önleyebilecek ve risklerle başa çıkmada etkinliği artıracaktır.

Bu soruya “evet” cevabı verdiyseniz deneyimlerin hangi yöntemlerle paylaşıldığını (çalışma toplantıları, uygulamalı eğitimler, farklı iletişim kanalları ile bilgi paylaşımı, iyi uygulama örneklerinin paylaşılması, olumsuz örneklerin ya da hataların paylaşılması gibi) açıklayınız.) TOPLAM PUAN - RİSK DEĞERLENDİRME KONTROL FAALİYETLERİ KONTROL FAALİYETLERİ: Kontrol faaliyetleri, hedeflerin gerçekleştirilmesini sağlamak ve belirlenen riskleri yönetmek amacıyla oluşturulan politika ve prosedürlerdir. 1 Biriminizin her bir faaliyet ve riskleri için etkin kontrol strateji ve yöntemleri belirlenip uygulanıyor mu? (Belirlenmiş kontroller risklerle uyumlu olmalı, riskin niteliğine göre farklı kontrol yöntemleri belirlenmelidir. Kontrol strateji ve yöntemleri; düzenli gözden geçirme, örnekleme yoluyla kontrol, karşılaştırma, onaylama, raporlama, koordinasyon, doğrulama, analiz etme, yetkilendirme, gözetim, inceleme, izleme, varlıkların periyodik kontrolü ve güvenliği vb. şekilde belirlenmeli ve uygulanmalıdır. Birimdeki kontroller, gerekli hallerde, işlem öncesi kontrol, süreç kontrolü ve işlem sonrası kontrolleri de kapsamalıdır.) 2 Biriminizde kontrol faaliyetleri tespit edilirken fayda – maliyet analizi yapılıyor mu? (Birimde belirlenen kontrol yönteminin maliyeti ile beklenen faydası kıyaslanmalı, maliyeti faydasını aşan kontroller belirlenmeli ve daha az maliyetli alternatif kontroller seçilmelidir.) 3 Biriminizde uygulanan kontrol faaliyetlerinin etkililiği düzenli olarak gözden geçiriliyor mu? (Kontrol faaliyetlerinin etkinliği ve işleyişinin planlandığı şekilde gerçekleşmesi izlenmelidir. Kontrollerin işlediğine ilişkin gerekli kanıtlar periyodik olarak toplanmalı ve analiz edilmelidir.) 4 4 Biriminizin faaliyetleri ile mali karar ve işlemlerine ilişkin yazılı prosedürler mevcut mu? (Biriminizin faaliyetleri ile mali karar ve işlemleri hakkında yazılı prosedürler bulunmalıdır. Bu prosedürler ve ilgili dokümanlar, faaliyet veya mali karar ve işlemin başlaması, uygulanması ve sonuçlandırılması aşamalarını kapsamalıdır. Prosedürler ve ilgili dokümanlar, güncel, kapsamlı, mevzuata uygun ve ilgili personel tarafından anlaşılabilir ve ulaşılabilir olmalıdır.) 5 5 Biriminizin yöneticileri tarafından, prosedürlerin etkili ve sürekli bir şekilde uygulanması için gerekli kontroller yapılıyor mu? (Birimin faaliyet ve işlemleri bu alanda yapılmış olan düzenlemeler çerçevesinde yürütülmelidir. Bu düzenlemelere uyulup uyulmadığı yöneticiler tarafından sistemli bir şekilde kontrol edilmelidir. Bu amaçla paraf, uygun görüş, kontrol listeleri ve fiziki sayım gibi kontrol süreçleri tanımlanabilir. Bu kapsamda, personel tarafından yapılan işlerin düzenlemelere uygun olup olmadığı yöneticiler tarafından izlenmelidir. Belirlenen hata ve usulsüzlüklerin ne şekilde giderileceğine ilişkin olarak yönetici talimatları oluşturulmalıdır.) 6 6 Biriminizde görevler ayrılığı ilkesi uygulanıyor mu? Hangi durumlarda görevler ayrılığı ilkesini uyguladığınızı açıklayınız. (Her faaliyet veya mali karar ve işlemin onaylanması, uygulanması, kaydedilmesi ve kontrolü görevleri farklı kişilere verilmelidir ve görevler ayrılığı ilkesinin gözetildiği yazılı dokümanlarla desteklenmelidir. Personel sayısının yetersizliği nedeniyle görevler ayrılığı ilkesinin tam olarak uygulanamadığı hallerde, yöneticiler risklerin farkında olmalı ve gerekli önlemleri almalıdır. Bu tür durumlarda riski yönetmek için başka kontrol prosedürleri belirlenmelidir.) 7 7 Biriminizde personel yetersizliği, geçici veya sürekli olarak görevden ayrılma, yeni bilgi sistemlerine geçiş, yöntem veya mevzuat değişiklikleri ile olağanüstü durumlar gibi faaliyetlerin sürekliliğini etkileyen nedenlere karşı önlemler alınıyor mu? “Evet” cevabı verildiğinde buna ilişkin kanıtlar gösterilebilir. 8 8 Biriminizde vekalet sistemi etkin bir şekilde uygulanmakta mı? (Gerekli hallerde usulüne uygun olarak vekil personel görevlendirilmelidir. Vekil olarak görevlendirilen personel gerekli niteliğe sahip olmalıdır. Personel kanunlarında yer verilen vekalet müessesesine ilişkin olarak, ayrıntılı iç düzenlemeler yapılmalı ve vekil personelde aranacak nitelikler ayrıntılı olarak belirlenmelidir.) 9 Biriminizde görevinden ayrılan personel, yürüttüğü iş ve işlemlerin durumuna ilişkin olarak yeni görevlendirilen personele rapor veriyor mu? (Görevinden ayrılan personelin, iş veya işlemlerinin durumunu ve gerekli belgeleri de içeren bir rapor hazırlaması ve bu raporu yeni görevlendirilen personele vermesi yöneticiler tarafından sağlanmalıdır. Raporda, yürütülmekte olan önemli işlerin listesine, öncelikli olarak dikkate alınacak risklere, süreli işler listesine ve benzeri hususlara yer verilmelidir.) 1 10 Biriminizde kullanılan bilgi sistemlerinin güvenliğini sağlamaya yönelik mekanizmalar var mı? (Bu soruya cevap verilirken Kurumda bilgi güvenliği yönetim sistemi, ISO’nun bilgi güvenliğine ilişkin sertifikası vb. mekanizmaların var olup olmadığı değerlendirilmelidir.) 11 Biriminizde bilgi sistemine veri ve bilgi girişi ile bunlara erişim konusunda yetkilendirmeler yapıldı mı? (Bilgi sistemine yalnızca yetkili personelin erişimi sağlanmalıdır. Bu amaçla, bilgisayar programlarına erişebilmek üzere, sürekli güncellenen bilgi güvenliği yazılımları kullanılmalıdır. Belgelerle çalışılırken, belirlenmiş olan gizlilik düzeyinin korunmasına ilişkin düzenlemelere uyulmalıdır.) 12 Bilgi sisteminde yeterli bir yedekleme mekanizması ve teste tabi tutulmuş olağanüstü durum onarım planları/eylem planları mevcut mu? TOPLAM PUAN - KONTROL FAALİYETLERİ BİLGİ VE İLETİŞİM BİLGİ VE İLETİŞİM: Bilgi ve iletişim, gerekli bilginin ihtiyaç duyan kişi, personel ve yöneticiye belirli bir formatta ve ilgililerin, hedeflerin gerçekleştirilmesi ve iç kontrole ilişkin sorumluluklarını yerine getirmelerine imkân verecek bir zaman dilimi içinde iletilmesini sağlayacak uygun bir bilgi, iletişim ve kayıt sistemini kapsar. 1 1 Biriminizde yatay ve dikey iletişimi kapsayan yazılı, elektronik veya sözlü etkin bir iç iletişim sistemi mevcut mu? (Soru cevaplandırılırken personelin birbirleri ve yöneticileri ile hangi yöntemlerle/araçlarla iletişim kurdukları tespit edilerek bunların uygun ve/veya etkin olup olmadıkları değerlendirilmelidir. Personelin görevlerini kesintisiz şekilde yerine getirebilmelerini sağlayacak bilgileri alabilmeleri için üst yönetim dâhil her düzeydeki yöneticilerle iletişim içerisinde olması sağlanmalıdır.) 2 2 Biriminizde dış paydaşlar ile etkin iletişimi sağlayacak bir dış iletişim sistemi mevcut mu? 3 3 Mevcut iç ve dış iletişim sistemleri personelin ve/veya dış paydaşların beklenti, öneri ve şikâyetlerini iletmelerine imkân veriyor mu? (Örneğin; 4982 sayılı Bilgi Edinme Hakkı Kanununun kurum içerisinde etkin bir şekilde işleyip işlemediği, talep ve şikâyetlerin süresinde cevaplanıp cevaplanmadığı, çalışanların şikâyet ve önerilerini yönetime sunmasına imkân veren bir sistemin mevcut olup olmadığı değerlendirilmelidir.) 4 4 Biriminizde, personelin görev ve sorumlulukları ile birimin misyon ve hedefleri kapsamında kendisinden neler beklendiği yöneticiler tarafından yazılı olarak belirlenip ilgili personele bildiriliyor mu? (Her kademedeki yöneticiler, birimin misyon, ve hedefleri çerçevesinde beklentilerini görev ve sorumlulukları kapsamında personele bildirmelidir.) 5 5 Mevcut bilgi sistemleri Kurum/birim tarafından belirlenmiş hedeflerin izlenmesine ve bu doğrultuda gerçekleştirilen faaliyetler üzerinde etkin bir gözetim ve değerlendirme yapılmasına imkân veriyor mu? (Yönetim bilgi sistemi, karar alma süreçlerinde yöneticilerin ihtiyaç duydukları bilgileri ve raporları üretebilecek ve analiz yapma imkânı sağlayacak şekilde tasarlanmalıdır.) 6 6 Biriminizde hangi raporların, kim tarafından, ne sıklıkta, ne zaman hazırlanacağı, kime sunulacağı, dayanağı ve hazırlanan raporların kim tarafından kontrol edileceği açıkça belirlenip ve personele duyuruldu mu? (Birim içinde yatay ve dikey raporlama ağı yazılı olarak belirlenmeli, alt birimler ve personel, görevleri ve faaliyetleriyle ilgili hazırlanması gereken raporlar hakkında bilgilendirilmelidir.) 7 7 Birimin iş ve işlemlerinin kaydı, sınıflandırılması, korunması ve erişimini kapsayan belirlenmiş standartlara uygun arşiv ve dokümantasyon sistemi mevcut mu? 8 8 Biriminizde -elektronik ortamdakiler dâhil- gelen ve giden her türlü evrak ile daire içi haberleşmenin, iş ve işlemlerin kaydedildiği ve sınıflandırıldığı kapsamlı ve günceli bir kayıt ve dosyalama sistemi mevcut mu? (Kayıt ve dosyalama sistemi kapsamlı, güncel ve belirlenmiş standartlara uygun olmalı, yönetici ve personel tarafından ulaşılabilir ve izlenebilir olmalıdır. Bu soru cevaplanırken Başbakanlık Standart Dosya Planı Genelgesi(2005/7) ile Elektronik Belge Standartları Genelgesi(2008/16) nde belirtilen hususlara uyulup uyulmadığı da değerlendirilmelidir.) 9 9 Biriminiz personeli Kurum içinden ve Kurum dışından yapılacak ihbar ve şikâyetlere yönelik prosedürler hakkında bilgi sahibi mi? (İhbar prosedürlerinin ilan panoları, internet/intranet sayfaları ve benzeri yöntemlerle duyurulmalıdır.) 10 İhbar sistemi olası veya süregelen usulsüzlük, yolsuzluk ve sorunların kurum içinden ve kurum dışından bildirilebilmesi için uygun araçlar içeriyor mu? (Çalışanlar ile dış paydaşlara bu araçlarla ilgili yeterli bilgilendirme yapılmalıdır.) 11 İhbar sistemi, bildirimde bulunan personelin güvenliğini sağlayıcı (haksız ve ayırımcı bir muameleye tabi tutulmama gibi) prosedürler içeriyor mu? (Bildirim yapan personele haksız ve ayrımcı muamele yapılmaması hususunda yöneticiler gerekli tedbirleri almalıdır.) TOPLAM PUAN- BİLGİ VE İLETİŞİM İZLEME İZLEME: İç kontrol sistemi, Kurumun karşı karşıya kaldığı risklere ve değişikliklere sürekli olarak uyum göstermesi gereken dinamik bir süreçtir. Bu nedenle, iç kontrol sisteminin; değişen hedeflere, ortama, kaynaklara ve risklere gerektiği biçimde uyum göstermesini sağlamak amacıyla izlenmesi gerekir. Etkili ve verimli bir izlemenin temelinde Kurumun hedefleri ile ilgili, anlamlı, risklere yönelik önemli kontrollerin değerlendirildiği izleme prosedürlerinin tasarlanması ve uygulanması yatar. İzleme, doğru tasarlanıp uygulandığında, Kuruma iç kontrol sisteminin etkinliği hakkında doğru ve ikna edici bilgi sağlar, iç kontrol aksaklıklarını zamanında tespit eder ve düzeltici önlem alacak kişilere ve gerektiğinde üst yönetime iletir. Böylece, kontrol sürecinde karşılaşılan aksaklıkların Kurumun hedeflerine önemli bir zarar vermeden düzeltilmesi sağlanmış olur. 1 1 Biriminizde iç kontrolün etkili bir şekilde işleyip işlemediği konusunda yöneticilere geri bildirimde bulunmaya olanak sağlayacak toplantılar düzenleniyor mu? 2 2 Biriminizde sürekli izleme faaliyetleri etkin olarak uygulanıyor mu? (Mali raporların ve faaliyet raporlarının gözden geçirilmesi ve değerlendirilmesi, üçüncü şahıslardan gelen şikâyet ve iddiaların araştırılması vb. sürekli izleme faaliyetleri ile sorunlar daha çabuk tespit edilip kontrol aksaklıkları için zamanında gerekli önlemler alınabildiğinden Kurumun öncelikle sürekli izleme faaliyetlerine ağırlık vermesi önerilmektedir.) 3 3 Biriminizde iç kontrol sistemi, yılda en az bir kez değerlendiriliyor mu? (Biriminizde iç kontrol sisteminin hangi aralıklarla değerlendirildiği ve kullanılan yöntem hakkında bilgi veriniz. İç kontrol sistemi süreklilik temelinde izlenmeli gerektiğinde de özel değerlendirme yöntemleriyle değerlendirilmelidir. İç kontrol sisteminin özel değerlendirilmesi, çalışma grubu oluşturulması veya soru formu uygulaması suretiyle yapılabilir.) 4 4 İç kontrolün değerlendirilmesinde, yöneticilerin görüşleri, kişi ve/veya kurumların talep ve şikâyetleri ile iç ve dış denetim sonucunda düzenlenen raporlar dikkate alınmakta mı? 5 5 Biriminizin yönetici ve çalışanlarıyla iç denetim birimi arasında etkin bir işbirliği var mı? (Biriminizin yönetici ve personelinin iç denetim faaliyetlerine yönelik farkındalık düzeyini artırmak için neler yapıldı? Kısaca yazınız.) 6 6 İç kontrolün değerlendirilmesi sonucunda alınması gereken önlemler belirlenip uygulanıyor mu? (Biriminizde önlemlerin izlenmesinden sorumlu kişi ve birim ile izleme yöntemine ilişkin kısaca bilgi veriniz.

İzleme sonuçları hangi yönetim kademesiyle ve hangi aralıklarla paylaşılıyor? Belirtiniz.) 6 7 Biriminizde, iç denetim raporlarına istinaden alınması gereken önlemlere ilişkin hazırlanan eylem planları izleniyor mu? (Cevabınız “evet” ise kullanılan izleme yöntemi hakkında bilgi veriniz.) TOPLAM PUAN – İZLEME GENEL TOPLAM: Ek-2 SOSYAL GÜVENLİK KURUMU BAŞKANLIĞI İÇ KONTROL SİSTEMİ DEĞERLENDİRME RAPORU ……… YILI İÇİNDEKİLER I- GİRİŞ A. Misyon ve Vizyon Kurumun stratejik planda yer alan misyon ve vizyon tanımına bu bölümde yer verilmelidir. B. Organizasyon Yapısı Bu bölümde Kurumun teşkilat yapısına değinilmelidir. II. İÇ KONTROL SİSTEMİ SORU FORMU SONUÇLARI Soru formu sonuçları yorumlanmalı ve her bir iç kontrol bileşenine ilişkin güçlü yanlar ve geliştirilmesi gerekli alanlara ilişkin birimler itibariyle özet bilgilere bu bölümde yer verilmelidir.

II.1.Kontrol Ortamı II.2.Risk Değerlendirme II.3.Kontrol Faaliyetleri II.4.Bilgi ve İletişim II.5.İzleme III. DİĞER BİLGİLER İç kontrol sisteminin değerlendirilmesinde kullanılması önerilen bilgi kaynaklarından elde edilen verilere aşağıdaki bölümde yer verilmelidir. III.1. İç Denetim Sonuçları Değerlendirmede iç denetim sonuçlarından nasıl faydalanıldığı açıklanmalıdır. III.2.Dış Denetim Sonuçları Sayıştay tarafından dış denetim yapılmış ise değerlendirmede dış denetim sonuçlarının nasıl yorumlandığı açıklanmalıdır.

24 III.3.Diğer Bilgi Kaynakları Değerlendirmede ön mali kontrole ilişkin veriler, kişi ve/veya idarelerin talep ve şikâyetleri ve diğer bilgiler kullanılmış ise aşağıda açıklanmalıdır. Ön Mali Kontrole İlişkin Veriler Ön mali kontrole ilişkin Kurum içi düzenlemeler var ise söz konusu düzenlemeler değerlendirilmelidir. Ayrıca yıl içerisinde ön mali kontrole tabi tutulan mali karar ve işlemlerin tür ve tutar itibariyle konsolide özetine, uygun görülen ve uygun görülmeyen mali karar ve işlemler ile uygun görülmediği halde harcama birimlerince gerçekleştirilen işlemlere bu bölümde yer verilmelidir. Kişi ve/veya İdarelerin Talep ve Şikâyetleri Kişi ve/ veya idarelerin talep ve şikâyetlerinin iç kontrol sisteminin değerlendirilmesinde nasıl kullanıldığına ve ortaya çıkan sonuçlara bu bölümde yer verilmelidir. Diğer Bilgiler Yukarıda açıklananlar dışında bilgiler de kullanılmış ise bu bölümde yer verilmelidir. IV. İÇ KONTROL SİSTEMİNİN GELİŞİMİ Bir önceki İç Kontrol Sistemi Değerlendirme Raporundan bu yana iç kontrol sistemi ile ilgili olarak kaydedilen ilerleme/gerileme nedenleriyle birlikte bu bölümde açıklanmalıdır. V. SONUÇ VE ÖNERİLER Dış denetim ve iç denetim raporları, soru formları ve diğer bilgi kaynakları kullanılarak yapılan değerlendirme sonucunda Kurumun iç kontrol sistemindeki güçlü yönlerine ve iyileştirmeye açık alanlarına ve bu alanların güçlendirilmesi için atılması gereken adımlara bu bölümde yer verilmelidir. V.1. Güçlü Yönler V.2. İyileştirmeye Açık Alanlar V.3. Eylem İçin Öneriler