yönerge · 1322718367

SOSYAL GÜVENLİK KURUMU İÇ KONTROL YÖNERGESİ

Yürürlükte SGK

3748 892 6008 4794 3-

-107 3848 8290 6807 493

- 17 0838 4280 9867 0443 9- 718 0832 408 9764 03

İç Kontrol Yönergesi

BİRİNCİ BÖLÜM Amaç, Kapsam, Dayanak ve Tanımlar

Amaç ve kapsam Madde 1- (1) Bu Yönergenin amacı, Kurumumuz iç kontrol sisteminin oluşturulmasında, uygulanmasında, izlenmesinde ve geliştirilmesinde dikkate alınması gereken temel kuralları, ilke, yöntem, işlem ve süreçleri belirlemektir. Dayanak Madde 2- (1) Bu Yönerge, 24.12.2003 tarihli ve 25326 sayılı Resmi Gazete’de yayımlanan 5018 sayılı Kamu Mali Yönetimi ve Kontrol Kanununun 55, 56 ve 57 nci maddeleri, 5.3.2025 tarih ve 32832 sayılı Resmi Gazete’de yayımlanan Kamu İç Kontrol Yönetmeliği ile 26.12.2007 tarihli ve 26738 sayılı Resmi Gazete’de yayımlanan Kamu İç Kontrol Standartları Tebliğine dayanılarak hazırlanmıştır.

3748 892 6008 4794 3-

-107 3848 8290 6807 493

Tanımlar ve Kısaltmalar Madde 3- (1) Bu Yönergede geçen, a) Alt Birim Risk Koordinatörünü (ARK): BRK tarafından görevlendirilen hiyerarşik olarak bir alt kademedeki yöneticidir. b) Birim Risk Koordinatörü (BRK): Birim yöneticisinin; genel müdürlüklerde risk yönetimi ve uygulamaları konusunda görevli daire başkanı, diğer birimlerde hiyerarşik olarak bir alt kademede görevlendirdiği yöneticidir. c) Harcama birimi: Kurum bütçesinde ödenek tahsis edilen ve harcama yetkisi bulunan birimi, ç) Harcama yetkilisi: Bütçeyle ödenek tahsis edilen her bir harcama biriminin en üst yöneticisini veya ödenek gönderme belgesiyle harcama yetkisi verilen birim yöneticilerini, d) Kanun: 5018 sayılı Kamu Mali Yönetimi ve Kontrol Kanununu, e) Kurul: İç Kontrol İzleme ve Yönlendirme Kurulunu (İKİYK), f) Kurum: Sosyal Güvenlik Kurumunu, g) Kurum Risk Koordinatörü (KRK): Strateji Geliştirme Başkanını, ğ) Üst Yönetici: Kurum Başkanını, h) Strateji Geliştirme Başkanlığı: SGB ı) Risk Strateji Belgesi: RSB ifade eder.

- 17 0838 4280 9867 0443 9- 718 0832 408 9764 03

İKİNCİ BÖLÜM İç Kontrolün Amaçları, İlkeleri, Yapı ve İşleyişi

İç kontrolün amaçları Madde 4- (1) İç kontrolün amaçları: a) Kamu gelir, gider, varlık ve yükümlülüklerinin etkili, ekonomik ve verimli bir şekilde yönetilmesini, b) Kamu idarelerinin kanunlara ve diğer düzenlemelere uygun olarak faaliyet göstermesini, c) Her türlü mali karar ve işlemlerde usulsüzlük ve yolsuzluğun önlenmesini, ç) Karar oluşturmak ve izlemek için düzenli, zamanında ve güvenilir rapor ve bilgi edinilmesini, d) Varlıkların kötüye kullanılması ve israfını önlemek ve kayıplara karşı korunmasını sağlamaktır. İç kontrolün temel ilkeleri Madde 5- (1) İç kontrolün temel ilkeleri şunlardır: a) İç kontrol faaliyetleri, yönetim sorumluluğu çerçevesinde yürütülür. b) İç kontrol faaliyet, düzenleme ve uygulamalarında öncelikle riskli alanlar dikkate alınır.

-107 3848 8290 6807 493

c) İç kontrol sisteminin oluşturulmasında ve uygulanmasında, idarelerin kurumsal kapasiteleri, yerine getirmekle yükümlü oldukları hizmetlerin niteliği ile mali durumları gibi kendilerine özgü koşulları dikkate alınır. ç) İç kontrole ilişkin sorumluluk, faaliyet ve süreçlerde yer alan bütün görevlileri kapsar. d) İç kontrol, idarenin bütün birimlerindeki mali ve mali olmayan her türlü faaliyet, süreç ve işlemleri kapsar. e) İç kontrol sistemi yılda en az bir kez değerlendirilir ve alınması gereken önlemler belirlenir. f) İç kontrol düzenleme ve uygulamalarında mevzuata uygunluk, saydamlık, hesap verebilirlik, etkililik, ekonomiklik ve verimlilik gibi iyi mali yönetim ilkeleri esas alınır.

3748 892 6008 4794 3-

İç kontrolün yapısı Madde 6-(1) Kamu idarelerinin mali yönetim ve kontrol sistemleri; harcama birimleri, muhasebe ve mali hizmetler ile ön mali kontrol ve iç denetimden oluşur. (2) Yeterli ve etkili bir kontrol sisteminin oluşturulabilmesi için; mesleki değerlere ve dürüst yönetim anlayışına sahip olunması, mali yetki ve sorumlulukların bilgili ve yeterli yöneticilerle personele verilmesi, belirlenmiş standartlara uyulmasının sağlanması, mevzuata aykırı faaliyetlerin önlenmesi ve kapsamlı bir yönetim anlayışı ile uygun bir çalışma ortamının ve saydamlığın sağlanması bakımından ilgili idarelerin üst yöneticileri ile diğer yöneticileri tarafından görev, yetki ve sorumluluklar göz önünde bulundurulmak suretiyle gerekli önlemler alınır. İç kontrolün işleyişi Madde 7-(1) Kamu idareleri, Hazine ve Maliye Bakanlığı tarafından belirlenen standart, düzenleme ve yöntemlere uygun olarak;

- 17 0838 4280 9867 0443 9- 718 0832 408 9764 03

a) Faaliyetlerin; görev, yetki ve sorumlulukların belirlendiği uygun bir kurumsal yapı içerisinde, etik değerleri benimsemiş, yeterli ve yetkin personel tarafından yürütülmesini, b) Amaç ve hedefler ile bunların gerçekleşmesini ve faaliyetleri etkileyebilecek risklerin belirlenmesini, değerlendirilmesini ve bu riskler için uygun kontrol yöntemlerinin geliştirilmesini ve uygulanmasını, c) Etkin bir bilgi ve iletişim sisteminin kurulmasını ve işletilmesini, ç) Faaliyetlerin sürekli ve sistemli bir şekilde izlenmesini ve geliştirilmesini, sağlamak suretiyle iç kontrol sistemlerini oluşturur, uygular, izler ve geliştirir.

ÜÇÜNCÜ BÖLÜM İç Kontrol Standartları

İç kontrol standartları Madde 8- (1) Uluslararası standartlar ve iyi uygulama örnekleri çerçevesinde oluşturulan Kamu İç Kontrol Standartları aşağıda yer almaktadır:

3748 892 6008 4794 3-

-107 3848 8290 6807 493

a) Kontrol ortamı standartları: - Standart 1. Etik Değerler ve Dürüstlük - Standart 2. Misyon, organizasyon yapısı ve görevler - Standart 3. Personelin yeterliliği ve performansı - Standart 4. Yetki Devri b) Risk değerlendirme standartları: - Standart 5. Planlama ve Programlama - Standart 6. Risklerin belirlenmesi ve değerlendirilmesi c) Kontrol faaliyetleri standartları: - Standart 7. Kontrol stratejileri ve yöntemleri - Standart 8. Prosedürlerin belirlenmesi ve belgelendirilmesi - Standart 9. Görevler ayrılığı - Standart 10. Hiyerarşik kontroller - Standart 11. Faaliyetlerin sürekliliği - Standart 12. Bilgi sistemleri kontrolleri ç) Bilgi ve iletişim standartları: - Standart 13. Bilgi ve iletişim - Standart 14. Raporlama - Standart 15. Kayıt ve dosyalama sistemi - Standart 16. Hata, usulsüzlük ve yolsuzlukların bildirilmesi d) İzleme standartları: - Standart 17. İç kontrolün değerlendirilmesi - Standart 18. İç denetim Kontrol ortamı standartları Madde 9- (1) Kontrol ortamı, iç kontrolün diğer unsurlarına temel teşkil eden genel bir çerçeve olup, kişisel ve mesleki dürüstlük, yönetim ve personelin etik değerleri, iç kontrole yönelik destekleyici tutum, mesleki yeterlilik, organizasyonel yapı, insan kaynakları politikaları ve uygulamaları ile yönetim felsefesi ve iş yapma tarzına ilişkin hususları kapsar. Kontrol ortamı standartları aşağıdaki standartlardan oluşur:

- 17 0838 4280 9867 0443 9- 718 0832 408 9764 03

a) Standart 1. Etik Değerler ve Dürüstlük: Personel davranışlarını belirleyen kuralların personel tarafından bilinmesi sağlanmalıdır. Bu standart için gerekli genel şartlar: 1.1. İç kontrol sistemi ve işleyişi yönetici ve personel tarafından sahiplenilmeli ve desteklenmelidir. 1.2. İdarenin yöneticileri iç kontrol sisteminin uygulanmasında personele örnek olmalıdırlar. 1.3. Etik kurallar bilinmeli ve tüm faaliyetlerde bu kurallara uyulmalıdır. 1.4. Faaliyetlerde dürüstlük, saydamlık ve hesap verebilirlik sağlanmalıdır. 1.5. İdarenin personeline ve hizmet verilenlere adil ve eşit davranılmalıdır. 1.6. İdarenin faaliyetlerine ilişkin tüm bilgi ve belgeler doğru, tam ve güvenilir olmalıdır.

-107 3848 8290 6807 493

b) Standart 2. Misyon, organizasyon yapısı ve görevler: İdarelerin misyonu ile birimlerin ve personelin görev tanımları yazılı olarak belirlenmeli, personele duyurulmalı ve idarede uygun bir organizasyon yapısı oluşturulmalıdır. Bu standart için gerekli genel şartlar: 2.1. İdarenin misyonu yazılı olarak belirlenmeli, duyurulmalı ve personel tarafından benimsenmesi sağlanmalıdır. 2.2. Misyonun gerçekleştirilmesini sağlamak üzere idare birimleri ve alt birimlerince yürütülecek görevler yazılı olarak tanımlanmalı ve duyurulmalıdır. 2.3. İdare birimlerinde personelin görevlerini ve bu görevlere ilişkin yetki ve sorumluluklarını kapsayan görev dağılım çizelgesi oluşturulmalı ve personele bildirilmelidir. 2.4. İdarenin ve birimlerinin teşkilat şeması olmalı ve buna bağlı olarak fonksiyonel görev dağılımı belirlenmelidir. 2.5. İdarenin ve birimlerinin organizasyon yapısı, temel yetki ve sorumluluk dağılımı, hesap verebilirlik ve uygun raporlama ilişkisini gösterecek şekilde olmalıdır. 2.6. İdarenin yöneticileri, faaliyetlerin yürütülmesinde hassas görevlere ilişkin prosedürleri belirlemeli ve personele duyurmalıdır. 2.7. Her düzeydeki yöneticiler verilen görevlerin sonucunu izlemeye yönelik mekanizmalar oluşturmalıdır.

3748 892 6008 4794 3-

c) Standart 3. Personelin yeterliliği ve performansı: Kurum, personelin yeterliliği ve görevleri arasındaki uyumu sağlamalı, performansın değerlendirilmesi ve geliştirilmesine yönelik önlemler almalıdır. Bu standart için gerekli genel şartlar: 3.1. İnsan kaynakları yönetimi, idarenin amaç ve hedeflerinin gerçekleşmesini sağlamaya yönelik olmalıdır. 3.2. İdarenin yönetici ve personeli görevlerini etkin ve etkili bir şekilde yürütebilecek bilgi, deneyim ve yeteneğe sahip olmalıdır. 3.3. Mesleki yeterliliğe önem verilmeli ve her görev için en uygun personel seçilmelidir. 3.4. Personelin işe alınması ile görevinde ilerleme ve yükselmesinde liyakat ilkesine uyulmalı ve bireysel performansı göz önünde bulundurulmalıdır. 3.5. Her görev için gerekli eğitim ihtiyacı belirlenmeli, bu ihtiyacı giderecek eğitim faaliyetleri her yıl planlanarak yürütülmeli ve gerektiğinde güncellenmelidir. 3.6. Personelin yeterliliği ve performansı bağlı olduğu yöneticisi tarafından en az

- 17 0838 4280 9867 0443 9- 718 0832 408 9764 03

yılda bir kez değerlendirilmeli ve değerlendirme sonuçları personel ile görüşülmelidir. 3.7. Performans değerlendirmesine göre performansı yetersiz bulunan personelin performansını geliştirmeye yönelik önlemler alınmalı, yüksek performans gösteren personel için ödüllendirme mekanizmaları geliştirilmelidir. 3.8. Personel istihdamı, yer değiştirme, üst görevlere atanma, eğitim, performans değerlendirmesi, özlük hakları gibi insan kaynakları yönetimine ilişkin önemli hususlar yazılı olarak belirlenmiş olmalı ve personele duyurulmalıdır. ç) Standart 4. Yetki Devri: İdarelerde yetkiler ve yetki devrinin sınırları açıkça belirlenmeli ve yazılı olarak bildirilmelidir. Devredilen yetkinin önemi ve riski dikkate alınarak yetki devri yapılmalıdır. Bu standart için gerekli genel şartlar: 4.1. İş akış süreçlerindeki imza ve onay mercileri belirlenmeli ve personele duyurulmalıdır. 4.2. Yetki devirleri, üst yönetici tarafından belirlenen esaslar çerçevesinde devredilen yetkinin sınırlarını gösterecek şekilde yazılı olarak belirlenmeli ve ilgililere bildirilmelidir. 4.3. Yetki devri, devredilen yetkinin önemi ile uyumlu olmalıdır. 4.4. Yetki devredilen personel görevin gerektirdiği bilgi, deneyim ve yeteneğe sahip olmalıdır. 4.5. Yetki devredilen personel, yetkinin kullanımına ilişkin olarak belli dönemlerde yetki devredene bilgi vermeli, yetki devreden ise bu bilgiyi aramalıdır.

3748 892 6008 4794 3-

-107 3848 8290 6807 493

Risk değerlendirme standartları Madde 10- (1) Risk değerlendirme, Kurumun hedeflerinin gerçekleşmesini engelleyecek risklerin tanımlanması, analiz edilmesi ve gerekli önlemlerin belirlenmesi sürecidir. a) Standart 5. Planlama ve Programlama: Kurum, faaliyetlerini, amaç, hedef ve göstergelerini ve bunları gerçekleştirmek için ihtiyaç duyduğu kaynakları içeren plan ve programlarını oluşturmalı ve duyurmalı, faaliyetlerinin plan ve programlara uygunluğunu sağlamalıdır. Bu standart için gerekli genel şartlar: 5.1. İdareler, misyon ve vizyonlarını oluşturmak, stratejik amaçlar ve ölçülebilir hedefler saptamak, performanslarını ölçmek, izlemek ve değerlendirmek amacıyla katılımcı yöntemlerle stratejik plan hazırlamalıdır. 5.2. İdareler, yürütecekleri program, faaliyet ve projeleri ile bunların kaynak ihtiyacını, performans hedef ve göstergelerini içeren performans programı hazırlamalıdır. 5.3. İdareler, bütçelerini stratejik planlarına ve performans programlarına uygun olarak hazırlamalıdır. 5.4. Yöneticiler, faaliyetlerin ilgili mevzuat, stratejik plan ve performans programıyla belirlenen amaç ve hedeflere uygunluğunu sağlamalıdır. 5.5. Yöneticiler, görev alanları çerçevesinde idarenin hedeflerine uygun özel hedefler belirlemeli ve personeline duyurmalıdır. 5.6. İdarenin ve birimlerinin hedefleri, spesifik, ölçülebilir, ulaşılabilir, ilgili ve süreli olmalıdır.

- 17 0838 4280 9867 0443 9- 718 0832 408 9764 03

b) Standart 6. Risklerin belirlenmesi ve değerlendirilmesi: İdareler, sistemli bir şekilde analizler yaparak amaç ve hedeflerinin gerçekleşmesini engelleyebilecek iç ve dış riskleri tanımlayarak değerlendirmeli ve alınacak önlemleri belirlemelidir. Bu standart için gerekli genel şartlar: 6.1. İdareler, her yıl sistemli bir şekilde amaç ve hedeflerine yönelik riskleri belirlemelidir. 6.2. Risklerin gerçekleşme olasılığı ve muhtemel etkileri yılda en az bir kez analiz edilmelidir. 6.3. Risklere karşı alınacak önlemler belirlenerek eylem planları oluşturulmalıdır.

Kontrol faaliyetleri standartları Madde 11- (1) Kontrol faaliyetleri, Kurumun hedeflerinin gerçekleştirilmesini sağlamak ve belirlenen riskleri yönetmek amacıyla oluşturulan politika ve prosedürlerdir.

-107 3848 8290 6807 493

a) Standart 7. Kontrol stratejileri ve yöntemleri: İdareler, hedeflerine ulaşmayı amaçlayan ve riskleri karşılamaya uygun kontrol strateji ve yöntemlerini belirlemeli ve uygulamalıdır. Bu standart için gerekli genel şartlar: 7.1. Her bir faaliyet ve riskleri için uygun kontrol strateji ve yöntemleri (düzenli gözden geçirme, örnekleme yoluyla kontrol, karşılaştırma, onaylama, raporlama, koordinasyon, doğrulama, analiz etme, yetkilendirme, gözetim, inceleme, izleme vb.) belirlenmeli ve uygulanmalıdır. 7.2. Kontroller, gerekli hallerde, işlem öncesi kontrol, süreç kontrolü ve işlem sonrası kontrolleri de kapsamalıdır. 7.3. Kontrol faaliyetleri, varlıkların dönemsel kontrolünü ve güvenliğinin sağlanmasını kapsamalıdır. 7.4. Belirlenen kontrol yönteminin maliyeti beklenen faydayı aşmamalıdır.

3748 892 6008 4794 3-

b) Standart 8. Prosedürlerin belirlenmesi ve belgelendirilmesi: Kurum, faaliyetleri ile mali karar ve işlemleri için gerekli yazılı prosedürleri ve bu alanlara ilişkin düzenlemeleri hazırlamalı, güncellemeli ve ilgili personelin erişimine sunmalıdır. Bu standart için gerekli genel şartlar: 8.1. İdareler, faaliyetleri ile mali karar ve işlemleri hakkında yazılı prosedürler belirlemelidir. 8.2. Prosedürler ve ilgili dokümanlar, faaliyet veya mali karar ve işlemin başlaması, uygulanması ve sonuçlandırılması aşamalarını kapsamalıdır. 8.3. Prosedürler ve ilgili dokümanlar, güncel, kapsamlı, mevzuata uygun ve ilgili personel tarafından anlaşılabilir ve ulaşılabilir olmalıdır. c) Standart 9. Görevler ayrılığı: Hata, eksiklik, yanlışlık, usulsüzlük ve yolsuzluk risklerini azaltmak için faaliyetler ile mali karar ve işlemlerin onaylanması, uygulanması, kaydedilmesi ve kontrol edilmesi görevleri personel arasında paylaştırılmalıdır. Bu standart için gerekli genel şartlar: 9.1. Her faaliyet veya mali karar ve işlemin onaylanması, uygulanması, kaydedilmesi ve kontrolü görevleri farklı kişilere verilmelidir. 9.2. Personel sayısının yetersizliği nedeniyle görevler ayrılığı ilkesinin tam olarak

- 17 0838 4280 9867 0443 9- 718 0832 408 9764 03

uygulanamadığı idarelerin yöneticileri risklerin farklı kişilerde olmalı ve gerekli önlemleri almalıdır.

ç) Standart 10. Hiyerarşik kontroller: Yöneticiler, iş ve işlemlerin prosedürlere uygunluğunu sistemli bir şekilde kontrol etmelidir. Bu standart için gerekli genel şartlar: 10.1. Yöneticiler, prosedürlerin etkili ve sürekli bir şekilde uygulanması için gerekli kontrolleri yapmalıdır. 10.2. Yöneticiler, personelin iş ve işlemlerini izlemeli ve onaylamalı, hata ve usulsüzlüklerin giderilmesi için gerekli talimatları vermelidir.

d) Standart 11. Faaliyetlerin sürekliliği: İdareler, faaliyetlerin sürekliliğini sağlamaya yönelik gerekli önlemleri almalıdır. Bu standart için gerekli genel şartlar: 11.1. Personel yetersizliği, geçici veya sürekli olarak görevden ayrılma, yeni bilgi sistemlerine geçiş, yöntem veya mevzuat değişiklikleri ile olağanüstü durumlar gibi faaliyetlerin sürekliliğini etkileyen nedenlere karşı gerekli önlemler alınmalıdır. 11.2. Gerekli hallerde usulüne uygun olarak vekil personel görevlendirilmelidir. 11.3. Görevinden ayrılan personelin, iş veya işlemlerinin durumunu ve gerekli belgeleri de içeren bir rapor hazırlaması ve bu raporu görevlendirilen personele vermesi yönetici tarafından sağlanmalıdır.

-107 3848 8290 6807 493

e) Standart 12. Bilgi sistemleri kontrolleri: İdareler, bilgi sistemlerinin sürekliliğini ve güvenilirliğini sağlamak için gerekli kontrol mekanizmaları geliştirmelidir. Bu standart için gerekli genel şartlar: 12.1. Bilgi sistemlerinin sürekliliğini ve güvenilirliğini sağlayacak kontroller yazılı olarak belirlenmeli ve uygulanmalıdır. 12.2. Bilgi sistemine veri ve bilgi girişi ile bunlara erişim konusunda yetkilendirmeler yapılmalı, hata ve usulsüzlüklerin önlenmesi, tespit edilmesi ve düzeltilmesini sağlayacak mekanizmalar oluşturulmalıdır. 12.3. İdareler bilişim yönetişimini sağlayacak mekanizmalar geliştirmelidir. Bilgi ve iletişim standartları Madde 12- (1) Bilgi ve iletişim, gerekli bilginin ihtiyaç duyan kişi, personel ve yöneticiye belirli bir formatta ve ilgililerin iç kontrol ve diğer sorumluluklarını yerine getirmelerine imkan verecek bir zaman dilimi içinde iletilmesini sağlayacak bilgi, iletişim ve kayıt sistemini kapsar.

3748 892 6008 4794 3-

a) Standart 13. Bilgi ve iletişim: Kurum, birimlerinin ve çalışanlarının performansının izlenebilmesi, karar alma süreçlerinin sağlıklı bir şekilde işleyebilmesi ve hizmet sunumunda etkinlik ve memnuniyetin sağlanması amacıyla uygun bir bilgi ve iletişim sistemine sahip olmalıdır. Bu standart için gerekli genel şartlar: 13.1. İdarelerde, yatay ve dikey iç iletişim ile dış iletişimi kapsayan etkili ve sürekli bir bilgi ve iletişim sistemi olmalıdır. 13.2. Yöneticiler ve personel, görevlerini yerine getirebilmeleri için gerekli ve yeterli bilgiye zamanında ulaşabilmelidir. 13.3. Bilgiler doğru, güvenilir, tam, kullanışlı ve anlaşılabilir olmalıdır.

- 17 0838 4280 9867 0443 9- 718 0832 408 9764 03

13.4. Yöneticiler ve ilgili personel, performans programı ve bütçenin uygulanması ile kaynak kullanımına ilişkin diğer bilgilere zamanında erişebilmelidir. 13.5. Yönetim bilgi sistemi, yönetimin ihtiyaç duyduğu gerekli bilgileri ve raporları üretebilecek ve analiz yapma imkanı sunacak şekilde tasarlanmalıdır. 13.6. Yöneticiler, idarenin misyon, vizyon ve amaçları çerçevesinde beklentilerini görev ve sorumlulukları kapsamında personele bildirmelidir. 13.7. İdarenin yatay ve dikey iletişim sistemi personelin değerlendirme, öneri ve sorunlarını iletebilmelerini sağlamalıdır. b) Standart 14. Raporlama: Kurumun amaç, hedef, gösterge ve faaliyetleri ile sonuçları, saydamlık ve hesap verebilirlik ilkeleri doğrultusunda raporlanmalıdır. Bu standart için gerekli genel şartlar: 14.1. İdareler, her yıl, amaçları, hedefleri, stratejileri, varlıkları, yükümlülükleri ve performans programlarını kamuoyuna açıklamalıdır. 14.2. İdareler, bütçelerinin ilk altı aylık uygulama sonuçları, ikinci altı aya ilişkin beklentiler ve hedefler ile faaliyetlerini kamuoyuna açıklamalıdır. 14.3. Faaliyet sonuçları ve değerlendirmeler idare faaliyet raporunda gösterilmeli ve duyurulmalıdır. 14.4. Faaliyetlerin gözetimi amacıyla idare içinde yatay ve dikey raporlama ağı yazılı olarak belirlenmeli, birim ve personel, görevleri ve faaliyetleriyle ilgili hazırlanması gereken raporlar hakkında bilgilendirilmelidir.

3748 892 6008 4794 3-

-107 3848 8290 6807 493

c) Standart 15. Kayıt ve dosyalama sistemi: İdareler, gelen ve giden her türlü evrak dahil iş ve işlemlerin kaydedildiği, sınıflandırıldığı ve dosyalandığı kapsamlı ve güncel bir sisteme sahip olmalıdır. Bu standart için gerekli genel şartlar: 15.1. Kayıt ve dosyalama sistemi, elektronik ortamdakiler dahil, gelen ve giden evrak ile idare içi haberleşmeyi kapsamalıdır. 15.2. Kayıt ve dosyalama sistemi kapsamlı ve güncel olmalı, yönetici ve personel tarafından ulaşılabilir ve izlenebilir olmalıdır. 15.3. Kayıt ve dosyalama sistemi, kişisel verilerin güvenliğini ve korunmasını sağlamalıdır. 15.4. Kayıt ve dosyalama sistemi belirlenmiş standartlara uygun olmalıdır. 15.5. Gelen ve giden evrak zamanında kaydedilmeli, standartlara uygun bir şekilde sınıflandırılmalı ve arşiv sistemine uygun olarak muhafaza edilmelidir. 15.6. İdarenin iş ve işlemlerinin kaydı, sınıflandırılması, korunması ve erişimini de kapsayan, belirlenmiş standartlara uygun arşiv ve dokümantasyon sistemi oluşturulmalıdır.

ç) Standart 16. Hata, usulsüzlük ve yolsuzlukların bildirilmesi: İdareler, hata, usulsüzlük ve yolsuzlukların belirlenen bir düzen içinde bildirilmesini sağlayacak yöntemler oluşturmalıdır. Bu standart için gerekli genel şartlar: 16.1. Hata, usulsüzlük ve yolsuzlukların bildirim yöntemleri belirlenmeli ve duyurulmalıdır. 16.2. Yöneticiler, bildirilen hata, usulsüzlük ve yolsuzluklar hakkında yeterli incelemeyi yapmalıdır.

- 17 0838 4280 9867 0443 9- 718 0832 408 9764 03

16.3. Hata, usulsüzlük ve yolsuzlukları bildiren personele haksız ve ayırımcı bir muamele yapılmamalıdır.

İzleme standartları Madde 13- (1) İzleme, iç kontrol sisteminin kalitesini değerlendirmek üzere yürütülen tüm izleme faaliyetlerini kapsar. a) Standart 17. İç kontrolün değerlendirilmesi: İdareler iç kontrol sistemini yılda en az bir kez değerlendirmelidir. Bu standart için gerekli genel şartlar: 17.1. İç kontrol sistemi, sürekli izleme veya özel bir değerlendirme yapma veya bu iki yöntem birlikte kullanılarak değerlendirilmelidir. 17.2. İç kontrolün eksik yönleri ile uygun olmayan kontrol yöntemlerinin belirlenmesi, bildirilmesi ve gerekli önlemlerin alınması konusunda süreç ve yöntem belirlenmelidir. 17.3. İç kontrolün değerlendirilmesine idarenin birimlerinin katılımı sağlanmalıdır. 17.4. İç kontrolün değerlendirilmesinde, yöneticilerin görüşleri, kişi ve/veya idarelerin talep ve şikayetleri ile iç ve dış denetim sonucunda düzenlenen raporlar dikkate alınmalıdır. 17.5. İç kontrolün değerlendirilmesi sonucunda alınması gereken önlemler belirlenmeli ve bir eylem planı çerçevesinde uygulanmalıdır.

-107 3848 8290 6807 493

b) Standart 18. İç denetim: İdareler fonksiyonel olarak bağımsız bir iç denetim faaliyetini sağlamalıdır. Bu standart için gerekli genel şartlar: 18.1. İç denetim faaliyeti İç Denetim Koordinasyon Kurulu tarafından belirlenen standartlara uygun bir şekilde yürütülmelidir. 18.2. İç denetim sonucunda idare tarafından alınması gerekli görülen önlemleri içeren eylem planı hazırlanmalı, uygulanmalı ve izlenmelidir. DÖRDÜNCÜ BÖLÜM Görev, Yetki ve Sorumluluklar

3748 892 6008 4794 3-

İç kontrole ilişkin temel sorumluluklar Madde 14- (1) Üst yöneticiler, harcama yetkilileri ve diğer yöneticiler, mesleki değerlere ve dürüst yönetim anlayışına sahip olunmasından, mali yetki ve sorumlulukların bilgili ve yeterli yöneticiler ile personele verilmesinden, belirlenmiş standartlara uyulmasının sağlanmasından, mevzuata aykırı faaliyetlerin önlenmesinden, kapsamlı bir yönetim anlayışıyla uygun bir çalışma ortamının ve saydamlığın sağlanmasından görev ve yetkileri çerçevesinde sorumludur. Üst yöneticinin yetki ve sorumlulukları Madde 15- (1) Üst yönetici, Kurumda iç kontrol sisteminin oluşturulmasını sağlar, işleyişi izler ve gerekli tedbirleri alır. Üst yönetici, iç kontrol sisteminin oluşturulmasını sağlamak üzere görev ve sorumlulukları tanımlar, Kamu İç Kontrol Standartlarına uyum için gerekli olan yazılı prosedürleri, talimatları ve eylem planlarını yürürlüğe koyar ve uygulama sonuçlarını izler. Üst yönetici, bu sorumluluğun gereklerini harcama yetkilileri, Strateji Geliştirme Başkanlığı ve iç denetçiler aracılığıyla yerine getirir.

- 17 0838 4280 9867 0443 9- 718 0832 408 9764 03

(2) Üst yönetici iç kontrol sisteminin işleyişi kapsamında; a) İç kontrol sisteminin tüm aşamalarında çalışanları teşvik eder. b) İç kontrol sistemine ilişkin Kurul tarafından belirlenen politika ve prosedürleri onaylar ve tüm personele duyurur. c) Kurulun uygun görüşüyle Strateji Geliştirme Başkanlığı (SGB) tarafından sunulan İç Kontrol Standartları Eylem Planı ve İç Kontrol Sistemi Değerlendirme Raporunu onaylar. ç) Kurumun amaç ve hedefleri doğrultusunda risklerin yönetilmesi konusunda stratejinin belirlenmesini sağlar. Bu stratejinin nasıl uygulayacağını gösteren Risk Strateji Belgesi (RSB)’ni onaylar. d) Kurum Risk Koordinatörü ve İç Kontrol İzleme ve Yönlendirme Kurulu (İKİYK) tarafından kendisine sunulan “Kurum Risk Kontrol Eylem Planı” ve “Kurum Risk Kontrol Eylem Planı İzleme Raporunu” değerlendirir ve onaylar. e) Kurumun risk yönetimi süreçlerinin uygulanması konusunda, Kurul ile Kurum Risk Koordinatörü (KRK) tarafından kendisine sunulan değerlendirme ve öneriler doğrultusunda geleceğe ilişkin stratejik eylemler belirler. f) Her yıl bu Yönergenin ekinde yer alan Üst Yöneticinin İç Kontrol Güvence Beyanını (EK-1) imzalar ve Kurum Faaliyet Raporuna ekler.

3748 892 6008 4794 3-

-107 3848 8290 6807 493

İç Kontrol İzleme ve Yönlendirme Kurulunun görev ve sorumlulukları Madde 16- (1) Kurul, Kurum Başkanı veya Kurum Başkanının görevlendireceği Kurum Başkan Yardımcısı başkanlığında harcama yetkililerinden oluşur. (2) Kurul, Kurumun hedefleri doğrultusunda iç kontrol sisteminin oluşturulmasına ilişkin politika ve prosedürlerin belirlenmesinden sorumludur. (3) Kurulun sekretarya hizmetleri SGB tarafından yürütülür. (4) Kurul iç kontrol sisteminin işleyişi kapsamında; a) “Kurum İç Kontrol Standartları Eylem Planını” görüşür, değerlendirir, geliştirir, planda gerekli görülen değişiklikleri yapar ve uygun bulunan planı karara bağlar. b) “Kurum İç Kontrol Standartları Eylem Planı İzleme ve Değerlendirme Raporunu” görüşerek karara bağlar. c) İç kontrol standartlarına ilişkin belirlenen politika ve prosedürleri üst yöneticinin onayına sunar. ç) Risk yönetimi uygulamalarının Kurum içinde etkili bir biçimde işlemesi için “Risk Strateji Belgesini” değerlendirerek karara bağlar. d) “Kurum Risk Kontrol Eylem Planı” ve “Kurum Risk Kontrol Eylem Planı İzleme Raporunu” değerlendirir ve karara bağlar. e) “İç Kontrol Sistemi Değerlendirme Raporunu” değerlendirir, varsa eksiklikleri tamamlandıktan sonra karara bağlar. Harcama yetkilisinin görev ve sorumlulukları Madde 17- (1) Harcama yetkilisi, birimindeki düzenleme, faaliyet, süreç ve işlemlerin Kamu İç Kontrol Standartlarına uyumunu sağlamaktan ve hiyerarşik olarak üst kademe yöneticileri ile üst yöneticiye ve yetkili mercilere hesap vermekten sorumlu ve görevlidir. (2) Harcama yetkilisi iç kontrol sisteminin işleyişi kapsamında; a) İç Kontrol Standartları Eylem Planı çalışmalarında biriminin eylemleri ile ilgili verileri SGB’ye gönderir.

- 17 0838 4280 9867 0443 9- 718 0832 408 9764 03

b) Biriminin süreç akış şemalarını oluşturur, takibini sağlar ve bunlar esas alınarak tespit edilen risklere karşı alınacak önlemleri belirler. c) Risk yönetimi çerçevesinde, riskin sahibi olarak riskle ilgili bilgiyi toplar, izlemeyi gerçekleştirir, riske verilen cevapları yönetir, riskin yönetildiğine ilişkin kanıtların tutulmasını ve risk kayıtlarının güncellenmesini sağlar. ç) Birim Risk Koordinatörü (BRK) tarafından hazırlanan Birim Risk Kontrol Eylem Planını onaylar ve SGB’ye gönderir. d) İç Kontrol Sistemi Soru Formunu doldurarak bir önceki yılda iç kontrol sisteminin değerlendirilmesine yönelik gerekli bilgileri SGB’ye gönderir. e) Alt birimlerde yapılan çalışmaların ne aşamada olduğunu ve alt birim yöneticilerinin kendi birimlerindeki izleme sorumluluğunu yerine getirip getirmediklerini takip eder. f) Her yıl harcama yetkilisinin İç Kontrol Güvence Beyanını (Ek-2) imzalar, birim faaliyet raporuna ekler ve üst yöneticiye sunar.

3748 892 6008 4794 3-

-107 3848 8290 6807 493

Strateji Geliştirme Başkanlığının görev ve sorumlulukları Madde 18- (1) Harcama birimlerinde iç kontrol sisteminin oluşturulmasını ve Kamu İç Kontrol Standartlarına uyum çalışmalarını yönlendirir, koordine eder, eğitim ve rehberlik hizmeti verir, uygulama sonuçlarını izler, değerlendirir ve üst yöneticiye raporlar. Strateji Geliştirme Başkanı risk yönetimi ve uygulamaları konusunda KRK olarak görev yapar. (2) Strateji Geliştirme Başkanı, her yıl Mali Hizmetler Birim Yöneticisi Beyanını (Ek3) imzalar ve Kurum faaliyet raporuna ekler. (3) İç kontrol sisteminin işleyişi kapsamında; a) İç Kontrol Standartları Eylem Planı çalışmalarının koordinasyonunu sağlar. b) “Kurum İç Kontrol Standartları Eylem Planı” ve “Kurum İç Kontrol Standartları Eylem Planı İzleme ve Değerlendirme Raporunu” hazırlar. Kurula ve üst yöneticiye sunar. c) Stratejik Plan dönemini kapsayacak şekilde Risk Strateji Belgesini hazırlar, yıllık olarak gözden geçirir ve gerekli görüldüğünde günceller. ç) Her bir BRK tarafından raporlanan birim risklerinden yola çıkarak Kurum Risk Kontrol Eylem Planını hazırlar; Bu raporla birlikte izlenmesi gereken önemli riskleri ve kendi değerlendirmelerini de raporlar. Kurula ve üst yöneticiye sunar. d) “Kurum Risk Kontrol Eylem Planı İzleme Raporunu” hazırlayarak Kurula ve üst yöneticiye sunar. e) İç Kontrol Sistemi Soru Formlarını konsolide ederek iç ve dış denetim sonuçları, ön mali kontrole ilişkin veriler, gerek duyulması halinde yöneticilerin görüşleri, kişi veya idarelerin talep ve şikayetleri de dikkate alınarak oluşturulan “İç Kontrol Sistemi Değerlendirme Raporunu” Kurula ve üst yöneticiye sunar. Üst yönetici tarafından onaylanan raporu Hazine ve Maliye Bakanlığına iletir. İç Denetim Birimi Başkanlığının görev ve sorumlulukları Madde 19- (1) İç kontrol sisteminin tasarım ve işleyişini sürekli olarak incelemek, güçlü ve zayıf yönlerinin belirlenmesini sağlamak ve geliştirilmesi için değerlendirme ve tavsiyeler sunmak suretiyle iç kontrol sisteminin geliştirilmesine katkıda bulunur. (2) Risk yönetimi sürecinin etkili olup olmadığı, risklerin gereken şekilde yönetilip yönetilmediği hususunda izlemeler yaparak üst yöneticiye mevzuatları çerçevesinde gerekli raporlamaları yapar.

- 17 0838 4280 9867 0443 9- 718 0832 408 9764 03

Diğer yöneticiler ve personelin görev ve sorumlulukları Madde 20- (1) Kurumun hiyerarşik kademelerinde yer alan diğer yöneticiler ve personel, görev ve yetki alanları çerçevesinde, iç kontrol sisteminin gereklerinin yerine getirilmesinden ve uygulanmasından sorumludur. Bu kapsamda, yürütülen görevlere ilişkin risk değerlendirme çalışmaları yapılır, önlem alınması gereken riskler iyileştirme önerileri ile birlikte bir üst yöneticiye yılda en az bir kez bildirilir. Acil eylem gerektiren riskler ise derhal bildirilir. BEŞİNCİ BÖLÜM Kamu İç Kontrol Standartlarına Uyum Çalışmaları

Kamu İç Kontrol Standartlarına uyum Madde 21- (1) Kurumda Kamu İç Kontrol Standartlarına uyum çalışmaları; harcama birimlerinin sorumluluğunda, üst yöneticinin liderliği ve gözetiminde, Strateji Geliştirme Başkanlığının koordinatörlüğünde yürütülür. Gerek görülmesi halinde üst yönetici onayıyla iç denetçilerin danışmanlık desteğinden yararlanılabilir. (2) Kamu İç Kontrol Standartlarına uyum çalışmalarının başlatılması, yürütülmesi ve izlenmesine ilişkin usul ve esaslar, üst yönetici tarafından belirlenir.

-107 3848 8290 6807 493

Harcama birimlerinde İç Kontrol Standartları Eylem Planı Madde 22- (1) Harcama yetkilisi, görevlendireceği bir yardımcısının, yardımcısı yoksa hiyerarşik olarak kendisine en yakın kademedeki bir görevlinin koordinatörlüğünde, harcama birimindeki alt birim yöneticileri ve personelin katılımlarıyla birim faaliyetlerine ilişkin mevcut durumun Kamu İç Kontrol Standartlarına uyumunu değerlendirir ve uyumu sağlayacak veya güçlendirecek tedbirleri alır. (2) Harcama yetkilisi, birim İç Kontrol Standartları eylem planında yer alan ve yetkisi dahilinde olan eylemlerin planda öngörülen süre içinde uygulanmasını sağlar ve sonuçlarını izler. (3) Kurumun bütününü ilgilendiren veya birimin görev alanına girmekle birlikte üst yöneticinin onayını gerektiren eylemler, Kurum İç Kontrol Standartları Eylem Planına dahil edilmek üzere Strateji Geliştirme Başkanlığına bildirilir. (4) Birim İç Kontrol Standartları Eylem Planının hazırlanması, uygulanması ve izlenmesine ilişkin usul ve esaslar Strateji Geliştirme Başkanlığınca hazırlanır ve üst yönetici onayı ile yürürlüğe girer. Harcama Birimlerinde Risk Kontrol Eylem Planı

3748 892 6008 4794 3-

Madde 23- (1) Harcama yetkilisi, görevlendireceği bir yardımcısının, yardımcısı yoksa hiyerarşik olarak kendisine en yakın kademedeki bir görevlinin koordinatörlüğünde, harcama birimindeki alt birim yöneticileri ve personelin katılımlarıyla, biriminde yürütülen faaliyet ve süreçleri olumsuz etkileyebilecek risklerin tespit edilmesini, değerlendirilmesini ve bu risklerin etki ve olasılıklarını azaltacak önlemlerin alınmasını sağlamak üzere hazırlanan birim risk kontrol eylem planını yürürlüğe koyar.

- 17 0838 4280 9867 0443 9- 718 0832 408 9764 03

(2) Harcama yetkilisi, Birim Risk Kontrol Eylem Planında (RSB Ek-4) yer alan ve yetkisi dahilinde olan eylemlerin planda öngörülen süre içinde uygulanmasını sağlar ve sonuçlarını izler. (3) Harcama birimlerinin faaliyet ve süreçlerine yönelik operasyonel risklerden Kurumun stratejik planında yer alan amaç ve hedeflerini olumsuz etkileyebilecek olanlar Kurum Risk Kontrol Eylem Planına (RSB Ek-5) dahil edilmek üzere Strateji Geliştirme Başkanlığına bildirilir. (4) Birim Risk Kontrol Eylem Planının hazırlanması, uygulanması ve izlenmesine ilişkin usul ve esaslar Strateji Geliştirme Başkanlığınca hazırlanır ve üst yönetici onayı ile yürürlüğe girer. Kurum İç Kontrol Standartları Eylem Planı ve Kurum Risk Kontrol Eylem Planı

-107 3848 8290 6807 493

Madde 24- (1) Strateji Geliştirme Başkanlığı, Kurum İç Kontrol Standartları Eylem Planına dahil edilmek üzere harcama birimlerince iletilen eylemleri, İç Kontrol İzleme ve Yönlendirme Kurulunun değerlendirmesine sunar. Kurul, yeni bir eylem eklenmesini, eylemlerin yeniden değerlendirilmesini veya çıkarılmasını kararlaştırabilir. (2) Eylem planı, varsa üst yöneticinin uygun gördüğü değişiklikler yapıldıktan sonra yürürlüğe konulur. Eylem planında öngörülen çalışmaların gerçekleştirilmesi sırasında ortaya çıkan ihtiyaçlar doğrultusunda üst yöneticinin onayıyla eylem planı her zaman revize edilebilir. (3) Kurum İç Kontrol Standartları Eylem Planları en fazla iki yıllık dönemler itibarıyla Strateji Geliştirme Başkanlığınca hazırlanır, en geç kapsadığı dönemin ilk yılının ocak ayının ilk haftası itibarıyla yürürlüğe konulur. Kurum İç Kontrol Standartları Eylem Planı, üst yöneticinin onayını izleyen on iş günü içinde Hazine ve Maliye Bakanlığına gönderilir. (4) Kurum İç Kontrol Standartları Eylem Planlarında öngörülen eylemlerin gerçekleşme sonuçları, Strateji Geliştirme Başkanlığı tarafından en az altı ayda bir olmak üzere düzenli olarak izlenir ve her yılın haziran ve aralık ayı sonu itibarıyla iki dönem halinde eylem planı formatında üst yöneticiye sunulur. (5) Strateji Geliştirme Başkanlığı, Kurumun stratejik planında yer alan amaç ve hedeflerine yönelik kurumsal riskler ile harcama birimlerinden Kurum Risk Kontrol Eylem Planına eklenmek üzere bildirilen risklerden oluşan Kurum Risk Kontrol Eylem Planını hazırlar ve Kurula sunar. Kurul tarafından değerlendirilen plan üst yöneticinin onayına sunulur. Üst yönetici onayı ile yürürlüğe giren Kurum Risk Kontrol Eylem Planı uygulamaları, Kurum tarafından belirlenecek periyotlarda Strateji Geliştirme Başkanlığınca takip edilir ve sonuçları Kurula raporlanır.

3748 892 6008 4794 3-

Kurumda iç kontrol sisteminin izlenmesi Madde 25- (1) Harcama yetkilisi; birimindeki düzenleme, faaliyet, süreç ve işlemlerin iç kontrol bileşenleri ile Kamu İç Kontrol Standartlarına uyum düzeyini sürekli değerlendirmeler yapmak suretiyle izler ve sonuçlarını Strateji Geliştirme Başkanlığına raporlar. (2) Harcama yetkilisi, Strateji Geliştirme Başkanlığınca gönderilen İç Kontrol Soru Formunda (İZ Ek-1) yer alan soruların cevaplandırılması suretiyle iç kontrol sistemi değerlendirme yöntemlerinin biriminde uygulanmasını sağlar.

- 17 0838 4280 9867 0443 9- 718 0832 408 9764 03

(3) Strateji Geliştirme Başkanlığına, Kurumun yönetici ve diğer personelinin görüşleri, kişi ve/veya Kurumun talep ve önerileri, harcama birimlerinin değerlendirmeleri, eylem planlarının gerçekleşme sonuçları ile iç ve dış denetim sonucunda düzenlenen raporları dikkate alarak idarede iç kontrol sisteminin uygulama sonuçlarını izler, değerlendirir ve hazırladığı İç Kontrol Sistemi Değerlendirme Raporunu (İZ Ek-2) güvence beyanlarına kanıt teşkil etmek amacıyla üst yöneticiye sunar. Üst yönetici tarafından onaylanan İç Kontrol Sistemi Değerlendirme Raporu izleyen yılın en geç mart ayının on beşine kadar Hazine ve Maliye Bakanlığına gönderilir. (4) Üst yönetici, uygulama sonuçlarını izler ve gerekli tedbirleri alır. ALTINCI BÖLÜM Çeşitli Hükümler

Yürürlükten Kaldırılan Düzenlemeler Madde 26- (1) 26.03.2018 tarihli ve1864996 sayılı Sosyal Güvenlik Kurumu İç Kontrol Yönergesi yürürlükten kaldırılmıştır.

Yürürlük Madde 27- (1) Bu Yönerge üst yöneticinin onayladığı tarihte yürürlüğe girer.

-107 3848 8290 6807 493

Yürütme Madde 28- (1) Bu Yönerge hükümlerini üst yönetici yürütür.

3748 892 6008 4794 3-

EKLER EK-1 Üst Yöneticinin İç Kontrol Güvence Beyanı EK-2 Harcama Yetkilisinin İç Kontrol Güvence Beyanı EK-3 Mali Hizmetler Birim Yöneticisi Güvence Beyanı EK-4 Risk Strateji Belgesi EK-5 İç Kontrol İzleme Belgesi

3748 892 6008 4794 3-

-107 3848 8290 6807 493

- 17 0838 4280 9867 0443 9- 718 0832 408 9764 03

3748 892 6008 4794 3-

-107 3848 8290 6807 493

- 17 0838 4280 9867 0443 9- 718 0832 408 9764 03

3748 892 6008 4794 3-

-107 3848 8290 6807 493

- 17 0838 4280 9867 0443 9- 718 0832 408 9764 03

3748 892 6008 4794 3-

-107 3848 8290 6807 493

- 17 0838 4280 9867 0443 9- 718 0832 408 9764 03

- 17 0838 4280 9867 0443 9- 718 0832 408 9764 03 GİRİŞ

3748 892 6008 4794 3-

-107 3848 8290 6807 493

24.12.2003 tarihli ve 25326 sayılı Resmi Gazete’de yayımlanan 5018 sayılı Kamu Mali Yönetimi ve Kontrol Kanununun 55 inci maddesinde iç kontrol, idarenin amaçlarına, belirlenmiş politikalara ve mevzuata uygun olarak faaliyetlerin etkili, ekonomik ve verimli bir şekilde yürütülmesini, varlık ve kaynakların korunmasını, muhasebe kayıtlarının doğru ve tam olarak tutulmasını, mali bilgi ve yönetim bilgisinin zamanında ve güvenilir olarak üretilmesini sağlamak üzere idare tarafından oluşturulan organizasyon, yöntem ve süreçle iç denetimi kapsayan mali ve diğer kontroller bütünü olarak tanımlanmıştır. Aynı Kanunun 56 ncı maddesinde de iç kontrolün amaçları; kamu gelir, gider, varlık ve yükümlülüklerinin etkili, ekonomik ve verimli bir şekilde yönetilmesini, kamu idarelerinin kanunlara ve diğer düzenlemelere uygun olarak faaliyet göstermesini, her türlü mali karar ve işlemlerde usulsüzlük ve yolsuzluğun önlenmesini, karar oluşturmak ve izlemek için düzenli, zamanında ve güvenilir rapor ve bilgi edinilmesini, varlıkların kötüye kullanılması ve israfını önlemek ve kayıplara karşı korunmasını, sağlamak olarak belirlenmiştir. Söz konusu Kanunun 57 nci maddesinde ise kamu idarelerinin mali yönetim ve kontrol sistemlerinin harcama birimleri, muhasebe ve mali hizmetler ile ön mali kontrol ve iç denetimden oluştuğuna yer verilerek yeterli ve etkili bir kontrol sisteminin oluşturulabilmesi için; mesleki değerlere ve dürüst yönetim anlayışına sahip olunması, mali yetki ve sorumlulukların bilgili ve yeterli yöneticilerle personele verilmesi, belirlenmiş standartlara uyulmasının sağlanması, mevzuata aykırı faaliyetlerin önlenmesi ve kapsamlı bir yönetim anlayışı ile uygun bir çalışma ortamının ve saydamlığın sağlanması bakımından ilgili idarelerin üst yöneticileri ile diğer yöneticileri tarafından görev, yetki ve sorumluluklar göz önünde bulundurulmak suretiyle gerekli önlemlerin alınması gerektiği belirtilmiştir. 5.3.2025 tarih ve 32832 sayılı Resmi Gazete’de yayımlanan Kamu İç Kontrol Yönetmeliğinin 8 inci maddesinde iç kontrol standartlarının, merkezi uyumlaştırma görevi çerçevesinde Hazine ve Maliye Bakanlığı tarafından belirlenip geliştirileceği, aynı Yönetmeliğin 9 uncu maddesinde kamu idarelerinin mali ve mali olmayan tüm işlemlerinde bu standartlara uymakla ve gereğini yerine getirmekle yükümlü bulunduğu ve idarelerin üst yöneticileri tarafından, iç kontrol sisteminin Kamu İç Kontrol Standartlarına uyumunu sağlamak üzere yapılması gereken çalışmaların belirlenmesini, etkili bir şekilde ve zamanında yürütülmesini sağlamak üzere önlemler alınması gerektiği düzenlenmiştir. Bu çerçevede, 26.12.2007 tarihli ve 26738 sayılı Resmi Gazete’de yayımlanan Kamu İç kontrol Standartları Tebliği ile idarelerin, iç kontrol sistemlerinin oluşturulmasında, izlenmesinde ve değerlendirilmesinde dikkate almaları gereken temel yönetim kuralları gösterilmektedir. Bu kapsamda Hazine ve Maliye Bakanlığı tarafından hazırlanan Kamu Kurumsal Risk Yönetimi Rehberi’nde iç kontrol standartlarının uygulanmasına ilişkin düzenlemelere yer verilmiştir. Kamu İç Kontrol Standartları, uluslararası standartlar ve iyi uygulama örnekleri çerçevesinde, iç kontrolün; kontrol ortamı, risk değerlendirmesi, kontrol faaliyetleri, bilgi ve iletişim ile izleme bileşenleri esas alınarak, tüm kamu idarelerinde uygulanabilir düzeyde olmasını sağlamak üzere genel nitelikte düzenlenmiştir. Tüm bu düzenlemeler çerçevesinde, Kurumumuzda etkin bir iç kontrol sisteminin kurulması ve işlerliğinin sağlanabilmesi için, doğru ve güvenilir bilgiye, doğru zamanda ve doğru biçimde ulaşabilmek bunun için de riskleri tespit etmek gereklidir. Riskler tespit 1

- 17 0838 4280 9867 0443 9- 718 0832 408 9764 03

edildikten sonra belirli aralıklarla izlenmeli, eksik veya yanlış yönleri belirlenmeli ve iyileştirilme çalışmaları yapılmalıdır. Riskler zaman içerisinde çeşitli koşulların değişmesi veya alınan önlemler sonucu etki ve olasılık yönünden değişiklik gösterebilir. Ayrıca, koşulların değişmesi ile yeni risk alanlarının oluşması da mümkündür. Bu nedenle, tespit edilen riskler ve risk yönetim sürecinin her yönüyle, belirli aralıklarla gözden geçirilmesi gerekir. Hazırlanan bu Belge, iç kontrol sisteminin kurulmasını ve uygulanmasını sağlamak üzere Kamu İç Kontrol Standartları bileşenlerinden biri olan “Risk Değerlendirme Standartları” bileşenine uyumlu olarak Kurumumuz hedeflerinin gerçekleşmesini engelleyecek risklerin tanımlanması, analiz edilmesi ve gerekli önlemlerin belirlenmesi sürecine ilişkin yol gösterici olarak hazırlanmıştır.

3748 892 6008 4794 3-

-107 3848 8290 6807 493

Strateji Geliştirme Başkanlığı

1.1 Amaç ve Kapsam

- 17 0838 4280 9867 0443 9- 718 0832 408 9764 03

BİRİNCİ BÖLÜM

Kurumun stratejik amaç ve hedeflerine ulaşmasını ve bu hedeflere yönelik faaliyetlerin

devamlılığını engelleyebilecek tüm risklerin belirlenmesi, değerlendirilmesi, izlenmesi ve raporlanmasına ilişkin sistematik bir yaklaşım geliştirerek risk yönetiminin etkin bir kurumsal yönetim aracı olarak uygulanmasını sağlamaktır.

Bu belge; stratejik hedefler ve operasyonel faaliyetler kapsamında risk yönetimine ilişkin

organizasyon yapısının oluşturulması, risk yönetim süreçleri ve raporlama prosedürlerinin belirlenmesine dair düzenlemeleri kapsamaktadır.

1.2 Öncelikli Risk Alanları

Öncelikli risklerin tespiti, stratejik amaç ve hedeflere ulaşılmasına yönelik güvencenin

artırılması ve kamu kaynaklarının etkili, ekonomik ve verimli kullanılması açısından önem

taşımaktadır. Risklerin etki ve olasılık seviyeleri ile Kurumun mevcut risk yönetimi faaliyetleri göz önünde bulundurularak ulaşılan artık risk seviyeleri üzerinden riskler önceliklendirmeye

tabi tutulur. Harcama birimleri, kendileri için önemli gördüğü riskleri etki ve olasılık seviyesinden bağımsız olarak önceliklendirmeye tabi tutabilir.

-107 3848 8290 6807 493

İKİNCİ BÖLÜM

2.1 Risklerin Belirlenmesi 2.1.1 Risk Evreni

Kurumun odaklanacağı alanları tespit etmesi, olası risk kaynaklarını atlamaması ve riskleri söz konusu ana odak noktaları çerçevesinde takip etmesine yardımcı risk kategorileri olarak tanımlanır.

Risk evreni oluşturulurken riskler 2 ana odakla ele alınır: I. Dış Riskler: Kurumun kontrolü dışında gerçekleşen olaylar sonucunda maruz kalabileceği, stratejik amaç ve hedeflerine ulaşmasını etkileyebilecek risklerdir. Deprem, yangın, sel, fırtına

3748 892 6008 4794 3-

gibi doğal afetler nedeniyle Kurum binalarının zarar görmesi ve bunun neticesinde Kuruma ait evrak, belge ve sistemsel verilere ulaşılamaması, Kurum faaliyetlerinin sekteye uğraması veya yaşanan

bir

mevzuat

değişikliğine

yönelik

gerekli

düzenlemelerin

zamanında

gerçekleştirilememesi, hukuki yaptırımlarla karşı karşıya kalınması dış risklere örnek olarak gösterilebilir.

- 17 0838 4280 9867 0443 9- 718 0832 408 9764 03

II. İç Riskler: Kurumun faaliyetlerini gerçekleştirirken maruz kalabileceği ve stratejik amaç ve hedeflerine ulaşmasını etkileyebilecek risklerdir. Kurum bünyesinde yer alan sistemlerin,

yazılımların istenilen işlemleri gerçekleştirememesi, yeterli hıza sahip olmaması, halka sunulan

hizmetlerde gecikmelerin yaşanması, iş güvenliği ve sağlığını tehdit eden riskler iç risklere örnek olarak gösterilebilir.

Kurumun tabi olduğu iç ve dış çevre, görev alanı, gerçekleştirdiği faaliyetler ve sunduğu

hizmetler kapsamında oluşabilecek iç ve dış risklerin değerlendirileceği alt kategoriler aşağıdaki şekilde belirlenmiştir.

a) Stratejik Risk: Stratejik planda yer alan kısa, orta ya da uzun vadede belirlenmiş amaç ve hedeflerimizi olumsuz etkileyebilecek risklerdir.

b) Operasyonel Risk: Kurum faaliyetlerinin mevzuata uygun, zamanında, etkili, ekonomik ve verimli bir şekilde yürütülmesini etkileyebilecek risklerdir.

c) Finansal Risk: Kurumun finansal yapısını ve finansal faaliyetlerini sürdürmek için ihtiyaç duyduğu kaynakları etkileyebilecek risklerdir.

ç) Uyum Riski: Mevzuata, iç ve dış düzenlemelere uygun işlemler yapmasını etkileyebilecek risklerdir.

d) İtibar Riski: Kuruma duyulan güveni veya kamuoyundaki imajını etkileyebilecek risklerdir.

e) Proje Riski: Kurumun stratejik amaç ve hedeflerine ulaşmak üzere gerçekleştirmekte olduğu

-107 3848 8290 6807 493

projelerle ilişkili olan risklerdir.

f) Teknolojik Risk: Teknolojik gelişmeler ve kullanılan teknolojilerden kaynaklanan risklerdir.

2.1.2 Risk Belirleme Kriterleri

3748 892 6008 4794 3-

Risklerin belirlenmesi, Kurumun hedeflerine ulaşmasını engelleyen veya zorlaştıran

risklerin, önceden tanımlanmış yöntemlerle tespit edilmesi, gruplandırılması ve güncellenmesi sürecidir.

Riskler belirlenirken aşağıdaki hususların göz önünde bulundurulması gerekmektedir:

- 17 0838 4280 9867 0443 9- 718 0832 408 9764 03

• Bir durumun risk olarak tanımlanabilmesi için, söz konusu durumun Kurumun stratejik amaç ve hedeflerine ulaşmasını etkileyebilmesi gerekir. Amaç ve hedeflere ulaşılmasını etkileme potansiyeli bulunmayan olay veya durumlar risk olarak tanımlanmamalıdır. • Tanımlanan riskler açık ve kolay anlaşılır olmalıdır.

• Kurumun maruz kalabileceği riskler, değişen iç ve dış koşullara bağlı olarak zaman içinde değişim gösterebilir. Bu nedenle, riskler tanımlanırken ve yeniden değerlendirilirken değişen koşullar mutlaka göz önünde bulundurulmalıdır.

• Risk, ana kök nedeni ve etkilerini içerecek şekilde tanımlanmalıdır. Kök neden, riskin altında yatan ana sebeptir ve riskin belirlenmesi sırasında önce ana kök neden, sonra alt

kök nedenler değerlendirilmelidir. Alt kök nedenlerin ayrıca tanımlanması suretiyle sonraki aşamalarda risklere yönelik alınacak kararların ve ilave risk yönetimi faaliyetlerinin doğru ve yeterli şekilde belirlenmesi sağlanmaktadır. Etki ise riskin sebep

3748 892 6008 4794 3-

-107 3848 8290 6807 493

olabileceği nihai durumdur.

- 17 0838 4280 9867 0443 9- 718 0832 408 9764 03 -107 3848 8290 6807 493

Risk tespitinde yaygın olarak kullanılan yöntemler; Beyin Fırtınası, GZFT/SWOT Analizi ve PESTLE Analizi olmakla birlikte, Kurum riskleri tespit edilirken “beyin fırtınası” yöntemi

3748 892 6008 4794 3-

kullanılacaktır.

2.1.3 Risk İştahı Kurumun amaçları doğrultusunda kabul etmeye (tolere etmeye/maruz kalmaya/önlem

almamaya) hazır olduğu en yüksek risk düzeyidir. Risk iştahı kavramı, bu düzeyin üzerindeki risklerin kabul edilemeyeceğini ve önlem alınması gerektiğini ifade eder. 6

- 17 0838 4280 9867 0443 9- 718 0832 408 9764 03

Risk iştahı iç ve dış çevre, yaşanan değişimler ve idarenin risk kültürü gibi çok sayıda faktörden etkilenir. Risk iştahı, risk yönetiminin ayrılmaz bir parçasıdır. Risk iştahı düzeyi; risk yönetim kapasitesindeki değişimlere paralel olarak zamanla değişebilen bir kavramdır.

Kurumun birimleri ya da alt birimlerinin risk iştahları farklılık gösterebilir. Yüksek, orta ve düşük olmak üzere 3 seviyede belirlenir.

2.2 Risklerin Değerlendirilmesi Risklerin

değerlendirilmesi,

risk

seviyelerinin

belirlenmesini

risklerin

önceliklendirilmesini kapsar. Risk seviyelerinin belirlenmesi, risklerin etki ve olasılık seviyeleri ile Kurumun mevcut risk yönetimi faaliyetlerinin yeterliliği göz önünde bulundurularak risklerin kendi aralarında sınıflandırılmasıdır.

Kurumun maruz kalabileceği her risk eşit düzeyde öneme sahip değildir. Tespit edilen tüm risklerin yönetilmeye çalışılması, kaynakların etkili, ekonomik ve verimli kullanılması ilkesiyle

çelişeceği ve etkin bir fayda maliyet dengesi açısından uygun olamayacağı için, riskler önceliklendirmeye tabi tutulur ve hangi risklerin yönetileceği tespit edilir.

2.2.1 Risk Etki ve Olasılık Kriterleri

Risk seviyelerinin belirlenmesinde dikkate alınan faktörlerden etki, riskin gerçekleşmesi

-107 3848 8290 6807 493

halinde idare üzerinde yaratacağı olumlu ya da olumsuz sonuçları ifade eder. Risklerin etki değerlendirilmesinde; çok düşük, düşük, orta, yüksek ve çok yüksek olmak üzere beşli bir ölçek kullanılır. Çok yüksek etkiye sahip bir riskin olasılığı düşük olabilirken, olasılığı çok yüksek olan bir riskin etkisi düşük olabilir. Riskler; finansal, operasyonel, itibar, uyum ve stratejik etki kriterleriyle ele alınabilir. Belirlenen riskin birden fazla etki kriterinin olması durumunda, en yüksek etki seviyesine sahip kriter göz önünde bulundurulmalı ve o kriterin puanı esas alınmalıdır.

Olasılık; bir olayın/durumun belli bir zaman dilimi içerisinde meydana gelme ihtimalini ifade eder. Risklerin olasılık değerlendirilmesinde; çok zayıf olasılık, zayıf olasılık, olası,

3748 892 6008 4794 3-

yüksek olasılık ve neredeyse kesin olmak üzere yine beşli ölçek kullanılır.

2.2.1.1 Doğal Risk Doğal risk seviyesi, Kurum tarafından riske yönelik herhangi bir ilave risk yönetimi

faaliyeti uygulanmadan önceki risk seviyesidir.

- 17 0838 4280 9867 0443 9- 718 0832 408 9764 03

Doğal risk seviyesi, etki ve olasılık puanlarının çarpımı ile hesaplanır. Etki ve olasılık

-107 3848 8290 6807 493

puanları en yüksek 10 en düşük 1 olacak şekilde belirlenir.

Kurumun

stratejik

amaç

hedeflerine

ulaşmasını

etkileyebilecek

risklerin

değerlendirilmesi kapsamında, risk seviyelerini gösteren risk haritaları oluşturulur. Risk haritaları; Kurumun stratejik amaç ve hedeflerine yönelik risklerin seviyelerini daha rahat takip edebilmesini sağlar ve ortak risk algısını yansıtır. Risk haritasında bölgeler renklerle ifade edilmektedir. A bölgesi çok yüksek seviyeye sahip riskleri ifade ederken, E bölgesi çok düşük seviyeli riskleri ifade etmektedir. Risklerin harita üzerinde gösterimiyle Kurumun risklerinin hangi alanlarda yoğunlaştığı kolayca ifade edilebilir. Mevcut risk yönetim faaliyetleri ilgili riskin sadece olasılığını düşürmeye yönelik tasarlanmış ise risk haritasında aşağı doğru, etkisini

3748 892 6008 4794 3-

düşürmeye yönelik ise sola doğru, ikisini birden düşürmeye yönelik ise hem sola hem aşağı doğru olacak şekilde bir gösterim yapılır.

- 17 0838 4280 9867 0443 9- 718 0832 408 9764 03

2.2.1.2 Mevcut Risk Yönetimi Faaliyetlerinin Değerlendirilmesi

Risklerin doğru bir biçimde önceliklendirilmesi için, risk seviyeleri belirlenirken Kurum

-107 3848 8290 6807 493

tarafından maruz kalınabilecek risklere yönelik olarak yürütülen mevcut risk yönetimi faaliyetlerinin yeterli olup olmadığı da değerlendirilmelidir. Mevcut risk yönetimi faaliyetleri idarenin stratejik amaç ve hedeflerine ulaşmasını etkileyebilecek risklere yönelik Kurum bünyesinde halihazırda uygulanan faaliyetlerdir. Mevcut risk yönetimi faaliyetlerinin yeterli olarak kabul edilmesi ya da geliştirilmesine ilişkin karar verilmesinde aşağıda yer alan sorular göz önünde bulundurulmalıdır: • Mevcut risk yönetimi faaliyetleri, riskin seviyesini kabul edilebilir düzeye indiriyor mu? • Alınmış olan önlemler, gerçekleşebilecek önemli kayıpları önlüyor mu? • Risk yönetimi faaliyetlerinin yürütülmesi için Kurum yeterli kaynağa sahip mi?

3748 892 6008 4794 3-

• Risk yönetimi faaliyetlerinde kaynaklar etkili ve verimli bir biçimde kullanılıyor mu?

- 17 0838 4280 9867 0443 9- 718 0832 408 9764 03 -107 3848 8290 6807 493

Mevcut risk yönetimi faaliyetlerinin yeterliliğinin doğru şekilde değerlendirilmesi oldukça önemlidir. Yeterli olmadığı halde hatalı değerlendirme sonucu yeterli olarak belirlenen mevcut risk yönetimi faaliyetleri üzerinden gerçekleştirilen hesaplamalar neticesinde, çok yüksek ya da yüksek artık risk seviyesine sahip olması gereken bir riskin artık risk seviyesi düşük olarak belirlenebilir. İlgili riske yönelik gerekli ilave risk yönetimi faaliyetlerinin tanımlanmaması, kurumun stratejik amaç ve hedeflere ulaşmasını etkileyebilir. Yeterli olduğu halde hatalı değerlendirme sonucu “yeterli değil” olarak belirlenen mevcut risk yönetimi faaliyetleri üzerinden gerçekleştirilen hesaplamalar neticesinde, düşük ya da orta artık risk seviyesine sahip

3748 892 6008 4794 3-

olması gereken bir riskin artık risk seviyesi çok yüksek ya da yüksek olarak belirlenebilir.

2.2.1.3 Artık Risk ve Hesaplanması Artık risk seviyesi, riskin etkisini ve/veya olasılığını azaltmak için idare tarafından

yürütülen mevcut risk yönetimi faaliyetlerinden sonra arta kalan risk seviyesini ifade eder.

- 17 0838 4280 9867 0443 9- 718 0832 408 9764 03

Artık risk seviyesi hesaplanırken doğal risk seviyesi ile mevcut risk yönetimi faaliyetlerinin yeterliliği birlikte değerlendirilir. Artık risk seviyesi, doğal risk puanı ile mevcut risk yönetimi faaliyetlerinin yeterlilik katsayısının çarpımı ile hesaplanır.

Doğal risk seviyesi ve mevcut risk yönetimi faaliyetlerinin yeterliliği değerlendirilerek

3748 892 6008 4794 3-

-107 3848 8290 6807 493

hesaplanan artık risk seviyeleri sınıflandırmasına aşağıda yer verilmiştir:

- 17 0838 4280 9867 0443 9- 718 0832 408 9764 03 -107 3848 8290 6807 493

Örneğin; bir riskin olasılığı 4, etkisi 8 ise doğal risk puanı 32 olarak hesaplanır. İlgili riske yönelik kurum tarafından yeterli seviyede risk yönetimi faaliyetleri tasarlanmış ve işletiliyorsa, buna bağlı olarak mevcut risk yönetimi faaliyetleri “yeterli” olarak değerlendirildiyse, artık risk

3748 892 6008 4794 3-

değeri 32*0,1=3,2 olarak hesaplanır ve artık risk seviyesi “çok düşük” olarak değerlendirilir.

- 17 0838 4280 9867 0443 9- 718 0832 408 9764 03

2.2.2. Risklerin Önceliklendirilmesi

Öncelikli risklerin tespiti, stratejik amaç ve hedeflere ulaşılmasına yönelik güvencenin artırılması ve kamu kaynaklarının etkili, ekonomik ve verimli kullanılması açısından önem

tabi tutulur. Risklerin önceliklendirilmesinde göz önünde bulundurulması gereken hususlara

-107 3848 8290 6807 493

aşağıda yer verilmektedir:

• Hedef bazında belirlenen risk iştahı sınırına yaklaşan riskler öncelikli olarak ele alınmalıdır. Kurum, hedeflerinden birisi için risk iştahını orta düzeyde belirlemişse, ilgili hedef altında tanımladığı çok yüksek, yüksek ve orta seviyeli riskleri, düşük sınıfında yer alan diğer risklere göre öncelikli olarak değerlendirmelidir.

• Tek başına yüksek veya çok yüksek kategorisine girmeyen bir risk diğer risklerle birleştiğinde Kurumun stratejik amaç ve hedeflerini etkileyebilecek bir risk haline dönüşebilir. Dolayısıyla, risklerin değerlendirilmesi aşamasında birbirleriyle olan etkileşimlerin göz önünde bulundurulması gerekir.

3748 892 6008 4794 3-

• Kurumun söz konusu riske karşı dayanıklılık düzeyi ile riske konu olayın/durumun gerçekleşmesi halinde ortaya çıkan zararların telafisi için ihtiyaç duyulacak süre risk seviyesini etkileyecektir.

• Kurum tarafından belirlenen risklerin önceliklendirilmesi, birimlere göre değişkenlik gösterebilir. Faaliyet düzeyinde önemli görülen bir risk, stratejik seviyede risklerle karşılaştırıldığında daha az önceliğe sahip olabilir. 13

- 17 0838 4280 9867 0443 9- 718 0832 408 9764 03

• Kurumun maruz kalabileceği riskler, değişen iç ve dış koşullara bağlı olarak zaman içinde

değişim gösterir. Bu nedenle, tanımlanan, ölçülen ve önceliklendirilen riskleri etkileyebilecek değişimler mutlaka göz önünde bulundurulmalıdır. 2.2.3 Öncü Risk Göstergeleri (ÖRG)

Artık risk seviyesi tanımlandıktan ve riskler önceliklendirildikten sonra öncü risk

göstergeleri belirlenmelidir. Artık risk seviyesi yüksek ve çok yüksek olarak tanımlanan riskler

için öncü risk göstergeleri belirlenir. Öncü risk göstergeleri, Kurumun stratejik amaç ve hedeflerini etkileyebilecek kritik önemdeki risklerin takibinde kolaylık sağlar.

• Öncü risk göstergeleri, artık risk seviyesi "yüksek” ve “çok yüksek" riskler için belirlenir.

• Artık risk seviyesi orta, düşük ve çok düşük seviyeli riskler için Kurum tarafından öncü risk göstergesi belirlenebilir.

• Doğal risk seviyesi “yüksek” ve “çok yüksek” riskler için de öncü risk göstergelerinin belirlenmesi Kurumun inisiyatifindedir.

2.3 Riske Yönelik Alınacak Kararların Belirlenmesi

Kurumsal risk yönetimi yaklaşımında, risk evreninin ve stratejik amaç ve hedeflere ulaşmasını

etkileyebilecek

risklerin

belirlenmesi

risklerin

değerlendirilip

-107 3848 8290 6807 493

önceliklendirilmesinden sonraki adım riske yönelik alınacak kararların belirlenmesidir. Kurum bu aşamada, risk iştahı başta olmak üzere fayda/maliyet gibi diğer faktörleri de göz önünde bulundurarak risklere yönelik kararlar alır.

3748 892 6008 4794 3-

Risklere yönelik alınabilecek kararlar 4 ana grupta sınıflandırılır:

- 17 0838 4280 9867 0443 9- 718 0832 408 9764 03

I. Riskten Kaçınmak: Riskin gerçekleşmesi halinde Kurumun karşılaşacağı tehditler ve fırsatların değerlendirilmesi ve değerlendirme sonucunda riske neden olabilecek olay veya durumlardan kaçınılmasıdır.

II. Riski Devretmek: Riskli olduğu değerlendirilen faaliyetlerin tamamen ya da kısmen, Kurum dışında diğer uzman kamu idarelerine veya tedarik suretiyle yapılan alımlarda üçüncü kişilere/firmalara devredilmesidir.

III. Riski Kabul Etmek: Riskin gerçekleşmesi halinde Kurumun karşılaşabileceği tehditler ve fırsatlar ile riskin yönetilmesi için katlanılacak maliyetlerin değerlendirilmesi sonucunda herhangi bir ilave risk yönetimi faaliyetinin uygulanmamasına karar verilmesidir.

IV. Riski Azaltmak: Riskin gerçekleşmesi halinde oluşacak zararın risk iştah seviyesine göre kabul edilebilir bir düzeye indirilmesi için, ilave risk yönetimi faaliyetlerinin belirlenmesi ve uygulanmasıdır.

2.4 Risklerin İzlenmesi ve Raporlanması 2.4.1 Risk İzleme Kapsamı

Kurumsal risk yönetimi yaklaşımının uygulanmasından nihai olarak üst yönetici

sorumludur. Bununla birlikte, tüm çalışanların risklerin yönetilmesi konusunda farklı seviyelerde de olsa sorumlulukları bulunmaktadır.

-107 3848 8290 6807 493

İzleme faaliyetleri sürekli izleme, yönetim izlemesi ve bağımsız izleme olmak üzere üç

3748 892 6008 4794 3-

farklı seviyede gerçekleştirilir.

Risklerin izlenmesi, kurumsal risk yönetimi uygulamalarının işlerliği ve sürdürülebilirliği

ile Kurumun stratejileri ve hedeflerine ulaşabilmeleri açısından önemli bir aşamadır. İzleme 15

- 17 0838 4280 9867 0443 9- 718 0832 408 9764 03

sürecinin süreklilik sağlayacak şekilde tesis edilmesi ile idarenin, stratejik amaç ve hedeflerine ulaşmasını etkileyebilecek riskler sürekli olarak takip edilir.

Riskler, değişen iç ve dış koşullara bağlı olarak zaman içinde değişim gösterebilir veya yeni

riskler ortaya çıkabilir. Risklerin önem seviyesine göre izleme sıklığı değişmekle birlikte yılda en az bir kez izlenmesi uygundur. a. Birinci Seviye- Sürekli İzleme

Sürekli izleme yürütülen faaliyetlerin, ilgili süreç sahipleri ile hiyerarşik yapı içerisinde

süreç sahiplerini kontrol etmekle yükümlü yönetim tarafından gözlemlenmesi şeklinde gerçekleştirilir. Bu faaliyet günlük akıştaki tüm işlemleri kapsamaktadır. Sürekli izleme sorumluluğu birim yöneticileri başta olmak üzere tüm çalışanlara aittir. İlgili süreç; günlük

faaliyetlerde yeni oluşan risklerin, daha önce belirlenmiş fakat çeşitli nedenlerle seviyesi veya niteliği değişen risklerin, geçerliliğini yitiren risklerin ve gerçekleşen risklerin ilgili birim yöneticileri gözetiminde Strateji Geliştirme Başkanlığı’na raporlanması ile gerçekleştirilir. b. İkinci Seviye- Yönetim izlemesi

Kurumsal risk yönetiminin benimsenmesi ve etkin şekilde uygulanması için üst yönetim

tarafından sürecin sahiplenilmesi gerekmektedir. Kurumsal risk yönetimi yaklaşımının yaygınlaştırılmasında ve risklerin izlenmesi sürecinde temel sorumluluk üst yöneticiye aittir.

-107 3848 8290 6807 493

Riskler “Kurum Risk Kontrol Eylem Planı İzleme Raporu” aracılığıyla yılda en az bir kez olmak üzere izlenir. Belirlenen izleme sürelerine istinaden Birim Risk Koordinatörü (BRK) tarafından periyodik olarak Kurum Risk Koordinatörüne (KRK) raporlama yapılır. KRK gerekli gördüğü veya üst yöneticiye danışması gerektiği durumlarda üst yöneticiye raporlama yapar.

c. Üçüncü seviye – Bağımsız İzleme

Üçüncü seviye olan bağımsız izleme faaliyetleri, iç denetçiler tarafından yürütülür. Denetimin risk yönetimindeki temel rolü, risk yönetimi yaklaşımının Kurum amaçlarını gerçekleştirmek üzere etkili bir şekilde uygulandığına dair üst yönetime objektif ve makul bir güvence sağlamaktır.

3748 892 6008 4794 3-

2.4.2 Risk Raporlama Kapsamı Kurumsal risk yönetiminde risklerin raporlanması; risk sahipliğinin desteklenmesi ve risk

kültürünün yaygınlaştırılarak risklerin sistematik bir şekilde izlenmesi için önemli bir aşamadır. Buna ilave olarak, karar alma mekanizmalarının işletilebilmesi için etkili bir risk raporlama yapısının kurulması önem arz etmektedir.

- 17 0838 4280 9867 0443 9- 718 0832 408 9764 03

Kurum stratejik amaç ve hedeflerine yönelik riskler önce harcama birimlerindeki ilgili

personel tarafından bireysel olarak belirlenir ve Risk Belirleme Formuna (Ek–1) kaydedilir.

Risklere yönelik bireysel değerlendirmeler Risk Değerlendirme Formuna (Ek–2) aktarılır. İlgili personelce belirlenen nihai riskler değerlendirilerek sonuçlarının ağırlıklı ortalaması hesaplanır

ve Alt Birim Risk Kontrol Eylem Planına (Ek-3) işlenir. Alt Birim Risk Kontrol Eylem Planında

yer alan veriler konsolide edilerek Birim Risk Kontrol Eylem Planı (Ek-4) oluşturulur ve Strateji Geliştirme Başkanlığına gönderilir.

Birimlerden gelen bilgiler SGB tarafından konsolide edilerek “Kurum Risk Kontrol Eylem Planı” (EK-5) hazırlanır ve İKİYK tarafından değerlendirilerek onaylanır.

Kurum Risk Kontrol Eylem Planında belirlenen risklerin takibi ve değerlendirilmesi kapsamında Kurum Risk Kontrol Eylem Planı İzleme Raporu (Ek- 6) oluşturulur. İKİYK tarafından değerlendirilerek onaylanır.

ÜÇÜNCÜ BÖLÜM

3.1 Rol ve Sorumluluklar

Risk yönetiminde görev alan sorumlular aşağıda belirtilmektedir.

3.1.1. Üst Yönetici

-107 3848 8290 6807 493

Sosyal Güvenlik Kurumu risk yönetiminin uygulanmasından nihai olarak üst yönetici sorumludur.

Üst Yönetici;

• Kurumsal risk yönetiminin oluşturulması, uygulanması, izlenmesi ve gerekli tedbirlerin zamanında alınmasının sağlanmasından, • Kurumsal risk yönetiminin uygulanması için gerekli yapıların oluşturulması ve söz konusu yapıların rol ve sorumluluklarının belirlenmesi ile uygulama rol ve sorumluluğu bulunan personelin teşvik edilmesinden,

• Farklı idarelerle ortak ele alınması gereken risklerin yönetiminde o idarelerin üst yöneticileri ile iş birliği ve koordinasyon sağlanmasından,

3748 892 6008 4794 3-

• Kurum Risk Koordinatörü ve İç Kontrol İzleme ve Yönlendirme Kurulu (İKİYK) tarafından kendisine sunulan “Kurum Risk Kontrol Eylem Planı” ve “Kurum Risk Kontrol Eylem Planı İzleme Raporunun” değerlendirilmesinden ve onaylanmasından,

• Kurumsal risk yönetimi uygulamaları konusunda İç Denetim Biriminden makul güvence alınmasından

risklerin

etkili

yönetilip

yönetilmediğine

ilişkin

sonuçların

değerlendirilmesinden, 17

- 17 0838 4280 9867 0443 9- 718 0832 408 9764 03

• Kurumsal risk yönetimi yaklaşımının uygulanması sırasında belirlenen risklere yönelik

izleme ve değerlendirme toplantıları yapılmasından, bu toplantılarda risklerin izlenmesi ve raporlanması

süreçlerinin

etkili

değerlendirilmesinden,

verimli

yönetilip

yönetilmediğinin

• Risk Strateji Belgesi’nin değerlendirilmesinden ve onaylanmasından, • Risk yönetimi takviminin onaylanmasından,

• İç ve dış denetim raporlarında yer alan bilgilerin değerlendirilmesinden ve risk yönetimi kapsamına alınacak bilgilerin belirlenmesinden,

• Kurumun risk yönetimi süreçlerinin uygulanması konusunda, Kurul ile Kurum Risk Koordinatörü

(KRK)

tarafından

kendisine

sunulan değerlendirme

ve öneriler

doğrultusunda geleceğe ilişkin stratejik eylemlerin belirlenmesinden sorumludur.

3.1.2 İç Kontrol İzleme ve Yönlendirme Kurulu (İKİYK)

İç Kontrol İzleme ve Yönlendirme Kurulu; Kurum Başkanı veya Kurum Başkanının görevlendireceği Kurum Başkan Yardımcısı, Emeklilik Hizmetleri Genel Müdürü, Sigorta

Primleri Genel Müdürü, Genel Sağlık Sigortası Genel Müdürü, Bilgi Teknolojileri Genel Müdürü, Rehberlik ve Teftiş Başkanı, Aktüerya ve Fon Yönetimi Daire Başkanı, Strateji

-107 3848 8290 6807 493

Geliştirme Başkanı, I. Hukuk Müşaviri, Basın ve Halkla İlişkiler Müşaviri, Personel Daire

Başkanı, Destek Hizmetleri Daire Başkanı, İnşaat ve Emlak Daire Başkanı ve Eğitim, Araştırma ve Geliştirme Merkezi Başkanından oluşur. Toplantılara ihtiyaç duyulması halinde üst yöneticinin görevlendireceği diğer kişiler davet edilebilir. İKİYK’nin sekretarya hizmetleri Strateji Gelişme Başkanlığı (SGB) tarafından yürütülmektedir. İç Kontrol İzleme ve Yönlendirme Kurulu; •

Risk Strateji Belgesi oluşturulmasından ve değerlendirilmek üzere üst yöneticiye sunulmasından,

•

Kurumsal risk yönetimi takviminin oluşturulmasından, üst yöneticinin onayına sunulmasından, ilgililere duyurulmasından ve takvimde belirlenen çalışmaların

3748 892 6008 4794 3-

gerçekleştirilmesinden,

•

Kurum hedefleri bazında ortak risk algısı göz önünde bulundurularak belirlenen risk iştahlarının değerlendirilmesinden,

•

Stratejik amaç ve hedeflere ilişkin risklere yönelik alınacak kararların belirlenmesinden, belirlenen kararların gözden geçirilmesinden ve stratejik düzeyde önemli gördüğü riskleri gündemine almaktan, 18

Farklı idareler veya birimler tarafından belirlenen risklerden birbiriyle ilgili olanların değerlendirilmesinden,

•

- 17 0838 4280 9867 0443 9- 718 0832 408 9764 03

•

“Kurum Risk Kontrol Eylem Planı” ve “Kurum Risk Kontrol Eylem Planı İzleme Raporunun” karara bağlanmasından ve üst yöneticiye sunulmasından sorumludur.

3.1.3 Kurum Risk Koordinatörü (KRK)

Kurum Risk Koordinatörü, risk yönetiminin uygulanmasından üst yöneticiye karşı sorumludur. Kurum Risk Koordinatörü (KRK), Strateji Geliştirme Başkanıdır. •

Kurumsal risk yönetimi yaklaşımının etkili bir biçimde uygulanıp uygulanmadığına dair değerlendirmelerde bulunmaktan,

•

Birim, faaliyet ve süreç risklerine ilişkin olarak Birim Risk Koordinatörleri tarafından bildirilen risklerden stratejik seviyede ele alınması gerekenleri konsolide etmekten,

•

“Kurum Risk Kontrol Eylem Planı” ve “Kurum Risk Kontrol Eylem Planı İzleme Raporunu” İKİYK ve üst yöneticiye sunmaktan,

•

Belirlenen risklerin ve ilave kontrol faaliyetlerinin diğer idarelerle ilişkili olması durumunda gerekli koordinasyonun sağlanması için üst yöneticiyi bilgilendirmekten

-107 3848 8290 6807 493

sorumludur.

3.1.4 Birim Risk Koordinatörü (BRK) Birim yöneticisi tarafından; genel müdürlüklerde risk yönetimi ve uygulamaları konusunda görevli daire başkanı, diğer birimlerde hiyerarşik olarak bir alt kademedeki yönetici BRK olarak görevlendirilir. •

Birimin hedeflerini etkileyebilecek risklerin tespit edilmesini koordine etmekten ve rehberlik sağlamaktan, tespit edilen risklerin alt birimlerin bilgi ve uzmanlıklarından yararlanarak faaliyetleri ile eşleştirmekten ve tüm önemli konuların ele alınmasını sağlamaktan,

•

Birimin hedeflerine ilişkin risklerden stratejik amaç ve hedeflerle ilgili olan ve stratejik

3748 892 6008 4794 3-

seviyede ele alınması gerekenleri belirlemek ve birim yöneticisinin uygun görüşünü alarak KRK’ya bildirmekten,

•

Alt Birim Risk Kontrol Eylem Planında belirtilen risklerden yola çıkarak Birim Risk Kontrol Eylem Planını hazırlamak ve birim yöneticisinin uygun görüşünü alarak KRK’ya sunmaktan,

- 17 0838 4280 9867 0443 9- 718 0832 408 9764 03

•

Risk kayıtlarının ve ilgili raporların belirli periyotlarla gözden geçirilmesinden ve birim yöneticisinin de onayını alarak KRK’ya raporlanmasından,

•

KRK ve İKİYK’nın görüşleri, tavsiyeleri ve kararları doğrultusunda varsa ARK’lara geri bildirim sağlanmasından,

•

Kurumsal risk yönetimiyle ilgili eğitim ihtiyaçlarının tespit edilmesinden sorumludur.

3.1.5 Alt Birim Risk Koordinatörü (ARK)

BRK tarafından hiyerarşik olarak bir alt kademedeki yönetici ARK olarak görevlendirilir. ARK, risk yönetim faaliyetlerinin alt birim düzeyinde koordinasyonundan sorumludur. •

Alt birim düzeyindeki risklerin tespit edilmesi, değerlendirilmesi, cevap verilmesi, gözden geçirilmesi ve raporlanması görevlerinin yerine getirilmesinin koordine edilmesinden,

•

Kurumun risk stratejisine uygun olarak alt birimin faaliyetlerine ait yeni tespit edilen

risklerin, risk puanı değişenlerinin ve bunları azaltmakta kullanılan kontrollerin etkinliğinin belirli periyotlarla BRK’ya raporlanmasından, •

KRK tarafından talep edilen bilgi ve belgelerin verilmesinden

-107 3848 8290 6807 493

sorumludur.

3.1.6 Risk Sorumlusu

Genel müdürlüklerde her bir daire başkanı, diğer birimlerde harcama biriminin en üst yöneticisine hiyerarşik olarak en yakın her bir alt kademedeki yöneticidir. •

Birimindeki risklerin tespit edilmesi, değerlendirilmesi, cevap verilmesi, gözden geçirilmesi ve raporlanmasından,

•

Hazırlanan Alt Birim Risk Kontrol Eylem Planın onaylanmasından ve BRK’ye gönderilmesinden,

•

Biriminin mevcut risklerindeki değişiklikleri ve varsa yeni riskleri değerlendirerek BRK’ye iletilmesinden,

Kurumun risk stratejisine uygun olarak alt birimin faaliyetlerine ait yeni tespit edilen

3748 892 6008 4794 3-

•

riskleri, risk puanı değişenleri ve bunları azaltmakta kullanılan kontrollerin etkinliğini değerlendirdiği raporu BRK’ye gönderilmesinden sorumludur.

- 17 0838 4280 9867 0443 9- 718 0832 408 9764 03

3.1.7 Risk Çalışma Grubu

Risk çalışma grubu, ARK koordinatörlüğünde harcama birimlerinin her bir alt biriminden en az bir personelin katılımıyla oluşur.

Risk yönetimi sürecinin işleyişi kapsamında grubun her bir üyesi kendi görev alanları çerçevesinde; •

Risklerin tespit edilmesi, değerlendirilmesi, cevap verilmesi, gözden geçirilmesi ve

raporlanması çalışmalarını yürüterek Alt Birim Risk Kontrol Eylem Planının hazırlanmasından ve risk sorumlusunun onayına sunulmasından, •

Kurumun risk stratejisine uygun olarak biriminin faaliyetlerine ait yeni tespit edilen

riskleri, risk puanı değişenleri ve bunları azaltmakta kullanılan kontrollerin etkinliğini risk sorumlusuna raporlamasından sorumludur.

3.1.8 Birim Yöneticileri (Harcama Yetkilileri) •

Birim Yöneticileri; Risk yönetimi çalışmalarına başlamadan önce SGB tarafından düzenlenecek olan bilgilendirme eğitimlerine katılım sağlanmasından,

•

İKİYK ve KRK tarafından talep edilen bilgi ve belgelerin zamanında ve eksiksiz

•

-107 3848 8290 6807 493

hazırlanmasından,

Risklerin belirlenmesi, değerlendirilmesi, riske yönelik alınacak kararlar ile ilave kontrol faaliyetlerinin belirlenmesi ve öncü risk göstergelerinin tanımlanması çalışmalarına katılım sağlanmasından,

•

Risklerin sürekli olarak izlenmesinden, risklerde bir değişiklik olması, yeni bir riskin ortaya çıkması, risklerin gerçekleşmesi veya geçerliliklerini yitirmesi durumunda KRK’ya bilgi verilmesinden,

•

Birim Risk Kontrol Eylem Planının onaylanmasından ve KRK’ya raporlanmasından,

•

İzleme sonuçlarının belirlenen periyotlarla KRK’ya sunulmasından sorumludur.

3748 892 6008 4794 3-

3.1.9 Strateji Geliştirme Başkanlığı Strateji Geliştirme Başkanlığı Kurumun risk yönetimi süreçlerini koordine ederek teknik

destek ve rehberlik hizmeti verir. İç kontrol sisteminin değerlendirilmesi kapsamında risk yönetiminin etkinliğini de değerlendirerek belirli dönemlerde İKİYK’ya raporlar. İKİYK’nın ve KRK’nın sekretarya hizmetlerini yürütür. SGB;

- 17 0838 4280 9867 0443 9- 718 0832 408 9764 03

•

Birimlerce belirlenen risklerin, değerlendirme sonuçlarının, riske yönelik alınacak

kararların ve ilave kontrol faaliyetlerine ilişkin bilgilerin gözden geçirilerek konsolide edilmesinden, •

Birim Risk Kontrol Eylem Planında belirlenen risklerin değerlendirilerek “Kurum Risk Kontrol Eylem Planı” hazırlanmasından ve İKİYK’ya ve üst yöneticiye sunulmasından,

•

Kurumsal risk yönetimi izleme ve raporlama faaliyetleri kapsamında “Kurum Risk Kontrol Eylem Planı İzleme Raporunun” hazırlanmasından ve İKİYK’ya ve üst yöneticiye sunulmasından,

•

Kurulun görüşleri, tavsiyeleri ve kararlarına ilişkin BRK’lere geri bildirim sağlanmasından

ve Kurumun risk yönetimi sürecinin tutarlı olması konusunda gerekli önlemlerin alınmasından sorumludur.

3.1.10 İç Denetim Birimi Başkanlığı

İç denetim, kurumsal risk yönetimi süreçlerinin etkinliğini değerlendirmek ve geliştirmek

amacına yönelik sistemli, sürekli ve disiplinli bir yaklaşım uygulayarak Kurumun amaçlarına ulaşmasına yardımcı olur.

İç denetçiler, kurumsal risk yönetimi süreçlerinde; risk yönetimi süreçlerinin

-107 3848 8290 6807 493

değerlendirilmesi, kurumsal risk yönetimi süreçlerine ilişkin güvence verilmesi, kurumsal risk

yönetimi sisteminin devam ettirilmesi ve geliştirilmesi konusunda rehberlik ve danışmanlık hizmeti verilmesi gibi rol ve sorumluluklara sahiptir. İç denetçiler; kurumsal risk yönetimi sisteminin sorumlusu olmak, risklere ilişkin olarak belirlenen kontrol ve eylemleri uygulamak, risklere ilişkin yönetim güvencesi vermek ve risk iştahını belirlemek gibi rol ve sorumlulukları bulunmamaktadır. DÖRDÜNCÜ BÖLÜM

4.1 Eğitim Takvimi ve İçeriği

SGB tarafından birim yöneticileri, çalışanlar ile risk yönetimi sürecinde görev alacak

3748 892 6008 4794 3-

personele yılda en az bir kez olmak üzere Kurumsal Risk Yönetimi ile Risk Belirleme ve Değerlendirme süreçlerine yönelik eğitimler/toplantılar yapılacaktır.

- 17 0838 4280 9867 0443 9- 718 0832 408 9764 03

4.2 Kurumsal Risk Yönetimi Çalışma Takvimi

Ek-7’da yer alan çizelgede belirtildiği üzere çalışmalar yürütülecektir.

EKLER Ek-1 Risk Belirleme Formu Ek-2 Risk Değerlendirme Formu

Ek-3 Alt Birim Risk Kontrol Eylem Planı Ek-4 Birim Risk Kontrol Eylem Planı Ek-5 Kurum Risk Kontrol Eylem Planı

Ek-6 Kurum Risk Kontrol Eylem Planı İzleme Raporu

3748 892 6008 4794 3-

-107 3848 8290 6807 493

Ek-7 Kurumsal Risk Yönetimi Çalışma Takvimi

- 17 0838 4280 9867 0443 9- 718 0832 408 9764 03 BİREYSEL RİSK BELİRLEME FORMU

Stratejik Amaç

Stratejik amaç yazılır.

Stratejik Hedef

Stratejik hedef yazılır.

-107 3848 8290 6807 493

SA1.

SH1.

Risk İştahı Seviyesi

Risk Kapasitesi

Stratejik hedefle ilgili 1. strateji yazılır.

Yüksek risk iştahına sahip hedefler için ihtiyari olarak risk kapasitesi bu alanda tanımlanır. Tanımlanmadığı durumlarda ilgili alan boş bırakılır.

1.1.

Stratejik hedefle ilgili 2. strateji yazılır.

Stratejiler

1.2.

Stratejik hedefle ilgili 3. strateji yazılır.

Risk Tanımı (Ana Kök Neden ve Etkiyi İçerecek Şekilde)

1.3.

Risk Evreni

Alt Kök Nedenler

EK-1

Varsa İlgili Fırsatlar

3748 892 6008 4794 3-

Risk No 1 2

- 17 0838 4280 9867 0443 9- 718 0832 408 9764 03 Risk Tanımı (Kök neden ve etkiyi içerecek şekilde)

Risk Evreni

Risk No

Etki: Riskin gerçekleşmesi durumunda kurum üzerinde yaratacağı olumlu ya da olumsuz sonuçları ifade eder. "Risk Tanımı"nda yer alan ana kök nedene ilişkin ayrıntılı bilgiye yer verilir, ana kök neden alt kök nedenler olarak detaylandırılır.

Kök neden: Riske neden olan etkenleri ifade eder.

Belirlenecek risklerin hangi kategorilerde değerlendirileceğini ifade eder. Dış risk ve kurum içinde yönetilebilecek risk olmak üzere 2 odakta değerlendirilir. Riskler kurumun belirlediği alt kategorilerde (uyum, finansal vb.) detaylandırılabilir.

Kurum stratejik planında yer alan hedefine yönelik tanımlanan riskin numarasını ifade eder.

Risklerin Belirlenmesi

Alt Kök Nedenler

Belirlenen riskin kurum için fırsat boyutunun da olması durumunda bu fırsatın ne olduğunu ifade eder.

3748 892 6008 4794 3-

-107 3848 8290 6807 493

Kurumların stratejik amaç ve hedeflerine ulaşmalarını etkileyebilecek olayları veya durumları ifade eder. Tanım yapılırken kök nedenler ve riskin etkisi düşünülerek tanımlama yapılmalı, risk, kök neden ve etkiyi birlikte içermelidir.

Varsa İlgili Fırsatlar

- 17 0838 4280 9867 0443 9- 718 0832 408 9764 03 Risklerin Değerlendirilmesi

Risk Evreni

Alt Kök Nedenler

Etki

BİREYSEL RİSK DEĞERLENDİRME FORMU

Risk No

Risk Tanımı (Ana kök neden ve etkiyi içerecek şekilde)

-107 3848 8290 6807 493

Stratejik Hedef

Risk İştahı

Olasılık

Doğal Risk Puanı

EK-2

Doğal Risk Seviyesi

3748 892 6008 4794 3-

Sıra No

3 4

Kurumun stratejik planında hangi numaralı hedef olduğunu ifade eder.

Risklerin Değerlendirilmesi Sıra No Stratejik Hedef

Kurum stratejik planında yer alan hedefe yönelik hangi numaralı risk olduğunu ifade eder.

Belirlenen riskin sıra numarasını ifade eder.

Risk No

Etki

Alt Kök Nedenler

Risk Tanımı (Ana kök neden ve etkiyi içerecek şekilde)

Risk İştahı

Risk Evreni

Öngörülen riskin gerçekleşme ihtimalinin NEREDEYSE KESİN (5)/ YÜKSEK OLASILIK (4)/ OLASI (3)/ ZAYIF OLASILIK (2)/ ÇOK DÜŞÜK OLASILIK (1) olarak değerlendirildiği alandır.

Öngörülen riskin gerçekleşmesi halinde bağlı olduğu hedefe ve kuruma etkisinin ÇOK YÜKSEK (5) / YÜKSEK (4)/ ORTA (3)/ DÜŞÜK (2)/ ÇOK DÜŞÜK (1) olarak değerlendirildiği alandır.

Risk tanımında yer alan ana kök nedene ilişkin ayrıntılı bilgiye yer verilir, ana kök neden alt kök nedenler olarak detaylandırılır.

Etki: Riskin gerçekleşmesi durumunda kurum üzerinde yaratacağı olumlu ya da olumsuz sonuçları ifade eder.

Hedefe yönelik kurumun almak istediği en yüksek risk düzeyini ifade eder. Risk iştahı "Yüksek", "Orta" veya "Düşük" olarak belirlenir.

Belirlenecek risklerin hangi kategorilerde değerlendirileceğini ifade eder. Dış riskler ve iç riskler olmak üzere 2 ana odakta değerlendirilir. Riskler kurumun belirlediği alt kategorilerde (stratejik, uyum, itibar, finansal vb.) detaylandırılır.

- 17 0838 4280 9867 0443 9- 718 0832 408 9764 03 Olasılık

Hesaplanan doğal risk puanının "ÇOK YÜKSEK", "YÜKSEK", "ORTA", "DÜŞÜK" veya "ÇOK DÜŞÜK" olmak üzere sınıflandırılmasıdır.

3748 892 6008 4794 3-

-107 3848 8290 6807 493

Doğal risk, kurum tarafından riske yönelik herhangi bir risk yönetimi faaliyeti uygulanmadan önceki risk seviyesidir. Doğal risk puanı, etki ve olasılık seviyelerinin çarpımı ile hesaplanır.

Ana kök neden: Riske neden olan başlıca etkeni ifade eder.

Doğal Risk Puanı Doğal Risk Seviyesi

- 17 0838 4280 9867 0443 9- 718 0832 408 9764 03

Stratejik Amaç ve Hedefler

Stratejik Amaç Tanımı

Risk No.

Risk Evreni

Risk Tanımı (Ana kök neden ve etkiyi içerecek şekilde)

Risklerin Belirlenmesi

Stratejik Hedef Tanımı

Alt Kök Nedenler

Olasılık

Doğal Risk Puanı

Doğal Risk Seviyesi

-107 3848 8290 6807 493

Mevcut Risk Yönetimi Faaliyetlerinin Yeterliliği

Mevcut Risk Yönetimi Faaliyetlerinin Yeterlilik Katsayısı Artık Risk Puanı

Risklerin Değerlendirilmesi

Mevcut Risk Yönetimi Faaliyetleri

Artık Risk Seviyesi (Sonuç)

ALT BİRİM RİSK KONTROL EYLEM PLANI

Etki

ÖRG Sorumlusu ÖRG Hedefi Riske Yönelik Alınacak Karar

İlave Risk Yönetim Faaliyeti

Faaliyet Tamamlanma Tarihi

EK-3

Faaliyet Sorumluları

Riske Yönelik Alınacak Kararların Belirlenmesi

3748 892 6008 4794 3-

Öncü Risk Göstergesi (ÖRG)

- 17 0838 4280 9867 0443 9- 718 0832 408 9764 03

Stratejik Kurumun "Nereye ulaşmak istiyoruz?" sorusuna verdiği cevabı ifade eder. Amaç Tanımı Stratejik Amaçların gerçekleştirilmesine yönelik öngörülen çıktı ve sonuçları tanımlanmış bir zaman dilimi içerisinde nitelik ve nicelik olarak ifade eder. Hedef Tanımı Risklerin Belirlenmesi

-107 3848 8290 6807 493

Risk No Kurum stratejik planında yer alan hedefine yönelik tanımlanan riskin numarasını ifade eder. Belirlenecek risklerin hangi kategorilerde değerlendirileceğini ifade eder. Dış risk ve kurum içinde yönetilebilecek risk olmak üzere 2 odakta Risk Evreni değerlendirilir. Riskler kurumun belirlediği alt kategorilerde (uyum, finansal vb.) detaylandırılabilir. Risk Tanımı Kurumların stratejik amaç ve hedeflerine ulaşmalarını etkileyebilecek olayları veya durumları ifade eder. (Ana kök Tanım yapılırken kök nedenler ve riskin etkisi düşünülerek tanımlama yapılmalı, risk, kök neden ve etkiyi birlikte içermelidir. neden ve etkiyi Ana kök neden: Riske neden olan başlıca etkeni ifade eder. içerecek şekilde) Etki: Riskin gerçekleşmesi durumunda kurum üzerinde yaratacağı olumlu ya da olumsuz sonuçları ifade eder. Alt Kök Risk tanımında yer alan ana kök nedene ilişkin ayrıntılı bilgiye yer verilir, ana kök neden alt kök nedenler olarak detaylandırılır. Nedenler Risklerin Değerlendirilmesi Öngörülen riskin gerçekleşmesi halinde bağlı olduğu hedefe ve kuruma etkisinin ÇOK YÜKSEK (5) / YÜKSEK (4)/ ORTA (3)/ DÜŞÜK (2)/ ÇOK DÜŞÜK (1) olarak değerlendirildiği alandır.

Öngörülen riskin gerçekleşme ihtimalinin NEREDEYSE KESİN (5)/ YÜKSEK OLASILIK (4)/ OLASI (3)/ ZAYIF OLASILIK (2)/ ÇOK DÜŞÜK OLASILIK (1) olarak değerlendirildiği alandır.

Etki Olasılık

Hesaplanan doğal risk puanının "ÇOK YÜKSEK", "YÜKSEK", "ORTA", "DÜŞÜK" veya "ÇOK DÜŞÜK" olmak üzere sınıflandırılmasıdır.

3748 892 6008 4794 3-

Doğal Risk Puanı Doğal Risk Seviyesi

Kurumun ilgili doğal riski yönetmek adına mevcut durumda uyguladığı risk yönetimi faaliyetlerini açıkladığı alandır. Örneğin;Risk: Yetkisiz kişilerin sisteme ulaşması ile sistemde hatalı, uygun olmayan işlemlerin yapılmasıMevcut risk yönetimi faaliyeti: Kurumun bilgi sistemlerine erişim yetkilendirmesinin çalışanların görev ve sorumlulukları ile uyumlu olarak yapılmış olması

- 17 0838 4280 9867 0443 9- 718 0832 408 9764 03

Mevcut Risk Yönetimi Faaliyetleri

Mevcut Risk Kurumlar tarafından uygulanan mevcut risk yönetimi faaliyetlerinin ne ölçüde etkin ve yeterli olduğuna ilişkin tanımlamadır. Yönetimi Faaliyetlerinin "Yeterli", "Kısmen Yeterli", "Zayıf" ve "Yeterli Değil" olarak sınıflandırılmaktadır. Yeterliliği Katsayılar aşağıdaki şekilde sınıflandırılmaktadır: Mevcut Risk Yönetimi Yeterli - katsayısı: 0.1 Faaliyetlerinin Kısmen Yeterli - katsayısı: 0.4 Yeterlilik Zayıf - katsayısı: 0.8 Katsayısı Yeterli Değil - katsayısı: 1

-107 3848 8290 6807 493

Artık risk, kurum tarafından riskin etkisini ve/veya olasılığını azaltmak için yürütülen mevcut risk yönetimi faaliyetlerinden sonra arta kalan riskleri ifade eder.

Hesaplanan artık risk puanının "ÇOK YÜKSEK", "YÜKSEK", "ORTA", "DÜŞÜK" veya "ÇOK DÜŞÜK" olmak üzere sınıflandırılmasıdır.

3748 892 6008 4794 3-

Artık Risk Seviyesi (Sonuç)

Kurumun stratejik amaç ve hedeflerine ulaşmasını önemli ölçüde etkileyebilecek "ÇOK YÜKSEK" ve "YÜKSEK" seviyeli risklerin takibinde kullanılan göstergeleri ifade eder.

Artık Risk Puanı

Öncü Risk Göstergesi (ÖRG)

Öncü risk göstergesini veya bu göstergeyi hesaplamada kullanılacak veriyi sağlayacak birimdir.

Artık risk puanı, "doğal risk puanı" ve "risk yönetimi faaliyetleri etkinliği ve yeterliliği katsayısı" çarpılarak hesaplanır.

ÖRG Sorumlusu

Kullanılan ÖRG'ye yönelik tanımlanan hedefi ifade eder.

- 17 0838 4280 9867 0443 9- 718 0832 408 9764 03

ÖRG Hedefi

3748 892 6008 4794 3-

-107 3848 8290 6807 493

Riske Yönelik Alınacak Kararların Belirlenmesi Riske Yönelik Alınacak Riske yönelik alınacak kararlar "RİSKİ KABUL ETMEK", "RİSKTEN KAÇINMAK", "RİSKİ DEVRETMEK" veya "RİSKİ AZALTMAK" olarak ifade edilir. Karar İlave Risk Yönetim Riske yönelik belirlenen azaltma kararı doğrultusunda alınacak önlemleri / yapılacak çalışmaları ifade eder. Faaliyeti Faaliyet Risklere yönelik alınan kararlar doğrultusunda belirlenen gerekli faaliyetlerin gerçekleştirilmesinden sorumlu birim ve yöneticileri ifade eder. Sorumluları Faaliyet Tamamlanma Gerçekleştirilecek faaliyetin planlanan tamamlanma tarihidir. Tarihi

- 17 0838 4280 9867 0443 9- 718 0832 408 9764 03 Stratejik Hedef Tanımı Risk No.

Risk Evreni

Risk Tanımı (Ana kök neden ve etkiyi içerecek şekilde)

Risklerin Belirlenmesi

Stratejik Amaç Tanımı

Alt Kök Nedenler

Doğal Risk Puanı

Mevcut Risk Yönetimi Faaliyetleri

-107 3848 8290 6807 493

Artık Risk Seviyesi (Sonuç) Öncü Risk Göstergesi (ÖRG) ÖRG Sorumlusu ÖRG Hedefi Riske Yönelik Alınacak Karar İlave Risk Yönetim Faaliyeti Faaliyet Sorumluları

EK-4

Faaliyet Tamamlanma Tarihi

Riske Yönelik Alınacak Kararların Belirlenmesi

3748 892 6008 4794 3-

Mevcut Risk Yönetimi Faaliyetlerinin Yeterlilik Katsayısı Artık Risk Puanı

Risklerin Değerlendirilmesi

Mevcut Risk Yönetimi Faaliyetlerinin Yeterliliği

BİRİM RİSK KONTROL EYLEM PLANI

Doğal Risk Seviyesi

- 17 0838 4280 9867 0443 9- 718 0832 408 9764 03

Stratejik Amaç ve Hedefler Stratejik Amaç Kurumun "Nereye ulaşmak istiyoruz?" sorusuna verdiği cevabı ifade eder. Tanımı Stratejik Hedef Amaçların gerçekleştirilmesine yönelik öngörülen çıktı ve sonuçları tanımlanmış bir zaman dilimi içerisinde nitelik ve nicelik olarak ifade eder. Tanımı Risklerin Belirlenmesi

3748 892 6008 4794 3-

-107 3848 8290 6807 493

Risk No Kurum stratejik planında yer alan hedefine yönelik tanımlanan riskin numarasını ifade eder. Risk Belirlenecek risklerin hangi kategorilerde değerlendirileceğini ifade eder. Dış risk ve kurum içinde yönetilebilecek risk olmak üzere 2 odakta Evreni değerlendirilir. Riskler kurumun belirlediği alt kategorilerde (uyum, finansal vb.) detaylandırılabilir. Risk Tanımı Kurumların stratejik amaç ve hedeflerine ulaşmalarını etkileyebilecek olayları veya durumları ifade eder. (Ana kök Tanım yapılırken kök nedenler ve riskin etkisi düşünülerek tanımlama yapılmalı, risk, kök neden ve etkiyi birlikte içermelidir. neden ve etkiyi Ana kök neden: Riske neden olan başlıca etkeni ifade eder. içerecek Etki: Riskin gerçekleşmesi durumunda kurum üzerinde yaratacağı olumlu ya da olumsuz sonuçları ifade eder. şekilde) Alt Kök Risk tanımında yer alan ana kök nedene ilişkin ayrıntılı bilgiye yer verilir, ana kök neden alt kök nedenler olarak detaylandırılır. Nedenler Risklerin Değerlendirilmesi Doğal Doğal risk, kurum tarafından riske yönelik herhangi bir risk yönetimi faaliyeti uygulanmadan önceki risk seviyesidir. Doğal risk puanı, etki ve olasılık Risk seviyelerinin çarpımı ile hesaplanır. Puanı Doğal Risk Hesaplanan doğal risk puanının "ÇOK YÜKSEK", "YÜKSEK", "ORTA", "DÜŞÜK" veya "ÇOK DÜŞÜK" olmak üzere sınıflandırılmasıdır. Seviyesi

-107 3848 8290 6807 493

- 17 0838 4280 9867 0443 9- 718 0832 408 9764 03

Mevcut Kurumun ilgili doğal riski yönetmek adına mevcut durumda uyguladığı risk yönetimi faaliyetlerini açıkladığı alandır. Risk Örneğin; Yönetimi Risk: Yetkisiz kişilerin sisteme ulaşması ile sistemde hatalı, uygun olmayan işlemlerin yapılması Faaliyetle Mevcut risk yönetimi faaliyeti: Kurumun bilgi sistemlerine erişim yetkilendirmesinin çalışanların görev ve sorumlulukları ile uyumlu olarak yapılmış ri olması Mevcut Risk Yönetimi Kurumlar tarafından uygulanan mevcut risk yönetimi faaliyetlerinin ne ölçüde etkin ve yeterli olduğuna ilişkin tanımlamadır. "Yeterli", "Kısmen Yeterli", Faaliyetle "Zayıf" ve "Yeterli Değil" olarak sınıflandırılmaktadır. rinin Yeterliliği Mevcut Katsayılar aşağıdaki şekilde sınıflandırılmaktadır: Risk Yönetimi Yeterli - katsayısı: 0.1 Faaliyetle Kısmen Yeterli - katsayısı: 0.4 rinin Zayıf - katsayısı: 0.8 Yeterlilik Yeterli Değil - katsayısı: 1 Katsayısı Artık risk, kurum tarafından riskin etkisini ve/veya olasılığını azaltmak için yürütülen mevcut risk yönetimi faaliyetlerinden sonra arta kalan riskleri ifade Artık Risk eder. Puanı Artık risk puanı, "doğal risk puanı" ve "risk yönetimi faaliyetleri etkinliği ve yeterliliği katsayısı" çarpılarak hesaplanır. Artık Risk Seviyesi Hesaplanan artık risk puanının"ÇOK YÜKSEK", "YÜKSEK", "ORTA", "DÜŞÜK" veya "ÇOK DÜŞÜK" olmak üzere sınıflandırılmasıdır. (Sonuç)

3748 892 6008 4794 3-

Öncü Risk Kurumun stratejik amaç ve hedeflerine ulaşmasını önemli ölçüde etkileyebilecek "ÇOK YÜKSEK" ve "YÜKSEK" seviyeli risklerin takibinde kullanılan Gösterge göstergeleri ifade eder. si (ÖRG)

3748 892 6008 4794 3-

-107 3848 8290 6807 493

- 17 0838 4280 9867 0443 9- 718 0832 408 9764 03

ÖRG Sorumlus Öncü risk göstergesini veya bu göstergeyi hesaplamada kullanılacak veriyi sağlayacak birimdir. u ÖRG Kullanılan ÖRG'ye yönelik tanımlanan hedefi ifade eder. Hedefi Riske Yönelik Alınacak Kararların Belirlenmesi Riske Yönelik Riske yönelik alınacak kararlar "RİSKİ KABUL ETMEK", "RİSKTEN KAÇINMAK", "RİSKİ DEVRETMEK" veya "RİSKİ AZALTMAK" olarak ifade edilir. Alınacak Karar İlave Risk Yönetim Riske yönelik belirlenen azaltma kararı doğrultusunda alınacak önlemleri / yapılacak çalışmaları ifade eder. Faaliyeti Faaliyet Sorumlul Risklere yönelik alınan kararlar doğrultusunda belirlenen gerekli faaliyetlerin gerçekleştirilmesinden sorumlu birim ve yöneticileri ifade eder. arı Faaliyet Tamamla Gerçekleştirilecek faaliyetin planlanan tamamlanma tarihidir. nma Tarihi

- 17 0838 4280 9867 0443 9- 718 0832 408 9764 03 Stratejik Amaç Tanımı

Risk No.

Risk Evreni

Doğal Risk Seviyesi

-107 3848 8290 6807 493

Artık Risk Puanı Artık Risk Seviyesi Öncü Risk Göstergesi (ÖRG) ÖRG Sorumlusu ÖRG Hedefi İlave Risk Yönetim Faaliyeti

Faaliyet Sorumluları

EK-5

Faaliyet Tamamlanm a Tarihi

Riske Yönelik Alınacak Kararların Belirlenmesi

3748 892 6008 4794 3-

Mevcut Risk Yönetimi Faaliyetleri nin Yeterliliği

Risklerin Değerlendirilmesi

Mevcut Risk Yönetimi Faaliyetleri

KURUM RİSK KONTROL EYLEM PLANI

Risk Tanımı (Ana kök neden ve etkiyi içerecek şekilde) Doğal Risk Puanı

Risklerin Belirlenmesi

Stratejik Hedef Tanımı

- 17 0838 4280 9867 0443 9- 718 0832 408 9764 03

3748 892 6008 4794 3-

-107 3848 8290 6807 493

Risk No Kurum stratejik planında yer alan hedefine yönelik tanımlanan riskin numarasını ifade eder. Risk Belirlenecek risklerin hangi kategorilerde değerlendirileceğini ifade eder. Dış risk ve kurum içinde yönetilebilecek risk olmak üzere 2 odakta Evreni değerlendirilir. Riskler kurumun belirlediği alt kategorilerde (uyum, finansal vb.) detaylandırılabilir. Risk Tanımı Kurumların stratejik amaç ve hedeflerine ulaşmalarını etkileyebilecek olayları veya durumları ifade eder. (Ana Tanım yapılırken kök nedenler ve riskin etkisi düşünülerek tanımlama yapılmalı, risk, kök neden ve etkiyi birlikte içermelidir. kök neden Ana kök neden: Riske neden olan başlıca etkeni ifade eder. ve etkiyi içerecek Etki: Riskin gerçekleşmesi durumunda kurum üzerinde yaratacağı olumlu ya da olumsuz sonuçları ifade eder. şekilde) Risklerin Değerlendirilmesi Doğal Doğal risk, kurum tarafından riske yönelik herhangi bir risk yönetimi faaliyeti uygulanmadan önceki risk seviyesidir. Doğal risk puanı, etki ve olasılık Risk seviyelerinin çarpımı ile hesaplanır. Puanı Doğal Risk Hesaplanan doğal risk puanının "ÇOK YÜKSEK", "YÜKSEK", "ORTA", "DÜŞÜK" veya "ÇOK DÜŞÜK" olmak üzere sınıflandırılmasıdır. Seviyesi

Kurumun ilgili doğal riski yönetmek adına mevcut durumda uyguladığı risk yönetimi faaliyetlerini açıkladığı alandır. Örneğin; Risk: Yetkisiz kişilerin sisteme ulaşması ile sistemde hatalı, uygun olmayan işlemlerin yapılması Mevcut risk yönetimi faaliyeti: Kurumun bilgi sistemlerine erişim yetkilendirmesinin çalışanların görev ve sorumlulukları ile uyumlu olarak yapılmış olması

- 17 0838 4280 9867 0443 9- 718 0832 408 9764 03 Mevcut Risk Yönetim i Faaliyetl eri

Artık risk puanı, "doğal risk puanı" ve "risk yönetimi faaliyetleri etkinliği ve yeterliliği katsayısı" çarpılarak hesaplanır.

-107 3848 8290 6807 493

Artık risk, kurum tarafından riskin etkisini ve/veya olasılığını azaltmak için yürütülen mevcut risk yönetimi faaliyetlerinden sonra arta kalan riskleri ifade eder.

Mevcut Risk Yönetim i Kurumlar tarafından uygulanan mevcut risk yönetimi faaliyetlerinin ne ölçüde etkin ve yeterli olduğuna ilişkin tanımlamadır. "Yeterli", "Kısmen Yeterli", Faaliyetl "Zayıf" ve "Yeterli Değil" olarak sınıflandırılmaktadır. erinin Yeterlili ği

Artık Risk Puanı

3748 892 6008 4794 3-

Artık Risk Hesaplanan artık risk puanının "ÇOK YÜKSEK", "YÜKSEK", "ORTA", "DÜŞÜK" veya "ÇOK DÜŞÜK" olmak üzere sınıflandırılmasıdır. Seviyesi Öncü Risk Kurumun stratejik amaç ve hedeflerine ulaşmasını önemli ölçüde etkileyebilecek "ÇOK YÜKSEK" ve "YÜKSEK" seviyeli risklerin takibinde kullanılan Gösterg göstergeleri ifade eder. esi (ÖRG) ÖRG Sorumlu Öncü risk göstergesini veya bu göstergeyi hesaplamada kullanılacak veriyi sağlayacak birimdir. su

3748 892 6008 4794 3-

-107 3848 8290 6807 493

- 17 0838 4280 9867 0443 9- 718 0832 408 9764 03

ÖRG Kullanılan ÖRG'ye yönelik tanımlanan hedefi ifade eder. Hedefi Riske Yönelik Alınacak Kararların Belirlenmesi İlave Risk Riske yönelik belirlenen azaltma kararı doğrultusunda alınacak önlemleri / yapılacak çalışmaları ifade eder. Yönetim Faaliyeti Faaliyet Sorumlu Risklere yönelik alınan kararlar doğrultusunda belirlenen gerekli faaliyetlerin gerçekleştirilmesinden sorumlu birim ve yöneticileri ifade eder. ları Faaliyet Tamaml Gerçekleştirilecek faaliyetin planlanan tamamlanma tarihidir. anma Tarihi

Stratejik Hedef Tanımı Risk No.

Risk Evreni

Risk Tanımı (Ana kök neden ve etkiyi içerecek şekilde)

Risklerin Belirlenmesi

- 17 0838 4280 9867 0443 9- 718 0832 408 9764 03

Stratejik Amaç Tanımı

Mevcut Risk Yönetimi Faaliyetleri

Artık Risk Puanı

Artık Risk Seviyesi (Sonuç) Öncü Risk Göstergesi (ÖRG)

Risklerin Değerlendirilmesi

Doğal Risk Seviyesi

ÖRG Hedefi

İlave Risk Yönetim Faaliyeti Faaliyet Sorumluları Faaliyet Tamamlanma Tarihi

Revize Faaliyet Tarihi

Yeni Doğal Risk Seviyesi

Değişim Nedenleri

EK-6

Yeni Artık Seviyesi

Risklerin İzlenmesi

3748 892 6008 4794 3-

Açıklama / Revize

İlave Risk Yönetim Faaliyetlerin Takip Edilmesi

Faaliyet Durumu

Riske Yönelik Alınacak Kararların Belirlenmesi

-107 3848 8290 6807 493

ÖRG Sorumlusu

KURUM RİSK KONTROL EYLEM PLANI İZLEME RAPORU

Doğal Risk Puanı

- 17 0838 4280 9867 0443 9- 718 0832 408 9764 03

Stratejik Amaç ve Hedefler

Risk No

Kurum stratejik planında yer alan hedefine yönelik tanımlanan riskin numarasını ifade eder.

Stratejik Amaç Kurumun "Nereye ulaşmak istiyoruz?" sorusuna verdiği cevabı ifade eder. Tanımı Stratejik Hedef Amaçların gerçekleştirilmesine yönelik öngörülen çıktı ve sonuçları tanımlanmış bir zaman dilimi içerisinde nitelik ve nicelik olarak ifade eder. Tanımı Risklerin Belirlenmesi

Risk Evreni

3748 892 6008 4794 3-

Doğal Risk Puanı

Hesaplanan doğal risk puanının "ÇOK YÜKSEK", "YÜKSEK", "ORTA", "DÜŞÜK" veya "ÇOK DÜŞÜK" olmak üzere sınıflandırılmasıdır.

-107 3848 8290 6807 493

Kurumların stratejik amaç ve hedeflerine ulaşmalarını etkileyebilecek olayları veya durumları ifade eder. Risk Tanımı Tanım yapılırken kök nedenler ve riskin etkisi düşünülerek tanımlama yapılmalı, risk, kök neden ve etkiyi birlikte içermelidir. (Ana kök neden ve etkiyi Ana kök neden: Riske neden olan başlıca etkeni ifade eder. içerecek şekilde) Etki: Riskin gerçekleşmesi durumunda kurum üzerinde yaratacağı olumlu ya da olumsuz sonuçları ifade eder.

Doğal Risk Seviyesi

Kurumun ilgili doğal riski yönetmek adına mevcut durumda uyguladığı risk yönetimi faaliyetlerini açıkladığı alandır. Örneğin; Risk: Yetkisiz kişilerin sisteme ulaşması ile sistemde hatalı, uygun olmayan işlemlerin yapılması Mevcut risk yönetimi faaliyeti: Kurumun bilgi sistemlerine erişim yetkilendirmesinin çalışanların görev ve sorumlulukları ile uyumlu olarak yapılmış olması

Risklerin Değerlendirilmesi

Mevcut Risk Yönetimi Faaliyetleri

ÖRG Sorumlusu

Öncü Risk Göstergesi (ÖRG)

Artık Risk Seviyesi (Sonuç)

Artık Risk Puanı

Kullanılan ÖRG'ye yönelik tanımlanan hedefi ifade eder.

Öncü risk göstergesini veya bu göstergeyi hesaplamada kullanılacak veriyi sağlayacak birimdir.

Kurumun stratejik amaç ve hedeflerine ulaşmasını önemli ölçüde etkileyebilecek "ÇOK YÜKSEK" ve "YÜKSEK" seviyeli risklerin takibinde kullanılan göstergeleri ifade eder.

Hesaplanan artık risk puanının"ÇOK YÜKSEK", "YÜKSEK", "ORTA", "DÜŞÜK" veya "ÇOK DÜŞÜK" olmak üzere sınıflandırılmasıdır.

Artık risk, kurum tarafından riskin etkisini ve/veya olasılığını azaltmak için yürütülen mevcut risk yönetimi faaliyetlerinden sonra arta kalan riskleri ifade eder. Artık risk puanı, "doğal risk puanı" ve "risk yönetimi faaliyetleri etkinliği ve yeterliliği katsayısı" çarpılarak hesaplanır.

- 17 0838 4280 9867 0443 9- 718 0832 408 9764 03

ÖRG Hedefi Riske Yönelik Alınacak Kararların Belirlenmesi

Risklere yönelik alınan kararlar doğrultusunda belirlenen gerekli faaliyetlerin gerçekleştirilmesinden sorumlu birim ve yöneticileri ifade eder.

-107 3848 8290 6807 493

Riske yönelik belirlenen azaltma kararı doğrultusunda alınacak önlemleri / yapılacak çalışmaları ifade eder.

Faaliyet Sorumluları

Gerçekleştirilecek faaliyetin planlanan tamamlanma tarihidir.

İlave Risk Yönetim Faaliyeti

Faaliyet Tamamlanma Tarihi

3748 892 6008 4794 3-

İlave Risk Yönetim Faaliyetlerin Takip Edilmesi İlave Risk İlave faaliyetlerin tamamlanma durumlarının takip edildiği alandır. "İLAVE RİSK YÖNETİMİ FAALİYETİ GERÇEKLEŞTİRİLDİ", "İLAVE RİSK YÖNETİMİ Yönetim FAALİYETİ GELİŞTİRME AŞAMASINDA", "İLAVE RİSK YÖNETİMİ FAALİYETİ PLANLANDI" veya "İLAVE RİSK YÖNETİMİ FAALİYETİ Faaliyet GERÇEKLEŞTİRİLMEDİ" olarak ifade edilir. Durumu

İlave faaliyet gerçekleşme durumuna ilişkin açıklamalar ile faaliyet durumundaki revizelere (varsa) ilişkin açıklamaları ifade eder.

- 17 0838 4280 9867 0443 9- 718 0832 408 9764 03

Açıklama / Revize

Revize Faaliyet İlave faaliyet tarihinin belirlenmesini takiben, ilgili faaliyete yönelik tarih güncellemesi ihtiyacı olması durumunda güncellenen tarihi ifade eder. Tarihi

3748 892 6008 4794 3-

-107 3848 8290 6807 493

Artık risk kategorisinin değişmesi durumunda yeni artık risk kategorisini ifade eder.

Doğal risk kategorisinin değişmesi durumunda yeni doğal risk kategorisini ifade eder.

Doğal risk kategorisinde veya artık risk kategorisinde bir değişiklik olması durumunda değişikliğin nedenlerinin açıklandığı alandır.

Risklerin İzlenmesi Değişim Nedenleri Yeni Doğal Risk Seviyesi Yeni Artık Seviyesi

2. ÇEYREK

NİSAN MAYIS HAZİRAN

TEMMUZ

AĞUSTOS

3. ÇEYREK

KURUMSAL RİSK YÖNETİMİ ÇALIŞMA TAKVİMİ

- 17 0838 4280 9867 0443 9- 718 0832 408 9764 03 MART

EYLÜL

EKİM

4.ÇEYREK

KASIM

EK-7

ARALIK

“Kurum Risk Kontrol Eylem Planı”nında yer alan “Kurum Risk Yönetimi İzleme Raporunun” onaya sunulması risklerin izlenmesi kapsamında birimlerle ortak çalışmaların yürütülmesi “Kurum Risk Yönetimi İzleme Raporu” hazırlık çalışmalarına başlanması

İKİYK'nın Toplanması ve İlgili Raporu Onaylaması

-107 3848 8290 6807 493

1. ÇEYREK

ŞUBAT

“Kurum Risk Kontrol Eylem Planı” nın hazırlanarak onaya sunulması

İKİYK'nın Toplanması ve İlgili Raporu Onaylaması

3748 892 6008 4794 3-

OCAK

Risk Strateji Belgesinin Onaylanması

Kurumsal Risk Yönetimi Eğitimi Yapılması

Risklerin belirlenmesi ve değerlendirilmesi kapsamında birimlerle toplantıların gerçekleştirilmesi “Kurum Risk Kontrol Eylem Planı” nın hazırlık çalışmaları kapsamında mevcut risklerin değerlendirilmesi ve yeni risklerin belirlenmesi

3748 892 6008 4794 3-

-107 3848 8290 6807 493

- 17 0838 4280 9867 0443 9- 718 0832 408 9764 03

- 17 0838 4280 9867 0443 9- 718 0832 408 9764 03 GİRİŞ

3748 892 6008 4794 3-

-107 3848 8290 6807 493

24.12.2003 tarihli ve 25326 sayılı Resmi Gazete’de yayımlanan 5018 sayılı Kamu Mali Yönetimi ve Kontrol Kanununun 55 inci maddesinde iç kontrol, idarenin amaçlarına, belirlenmiş politikalara ve mevzuata uygun olarak faaliyetlerin etkili, ekonomik ve verimli bir şekilde yürütülmesini, varlık ve kaynakların korunmasını, muhasebe kayıtlarının doğru ve tam olarak tutulmasını, mali bilgi ve yönetim bilgisinin zamanında ve güvenilir olarak üretilmesini sağlamak üzere idare tarafından oluşturulan organizasyon, yöntem ve süreçle iç denetimi kapsayan mali ve diğer kontroller bütünü olarak tanımlanmıştır. Aynı Kanunun 56 ncı maddesinde de iç kontrolün amaçları; kamu gelir, gider, varlık ve yükümlülüklerinin etkili, ekonomik ve verimli bir şekilde yönetilmesini, kamu idarelerinin kanunlara ve diğer düzenlemelere uygun olarak faaliyet göstermesini, her türlü mali karar ve işlemlerde usulsüzlük ve yolsuzluğun önlenmesini, karar oluşturmak ve izlemek için düzenli, zamanında ve güvenilir rapor ve bilgi edinilmesini, varlıkların kötüye kullanılması ve israfını önlemek ve kayıplara karşı korunmasını sağlamak olarak belirlenmiştir. Söz konusu Kanunun 57 inci maddesinde ise, kamu idarelerinin mali yönetim ve kontrol sistemleri; harcama birimleri, muhasebe ve mali hizmetler ile ön mali kontrol ve iç denetimden oluştuğuna yer verilerek, yeterli ve etkili bir kontrol sisteminin oluşturulabilmesi için; mesleki değerlere ve dürüst yönetim anlayışına sahip olunması, mali yetki ve sorumlulukların bilgili ve yeterli yöneticilerle personele verilmesi, belirlenmiş standartlara uyulmasının sağlanması, mevzuata aykırı faaliyetlerin önlenmesi ve kapsamlı bir yönetim anlayışı ile uygun bir çalışma ortamının ve saydamlığın sağlanması bakımından ilgili idarelerin üst yöneticileri ile diğer yöneticileri tarafından görev, yetki ve sorumluluklar göz önünde bulundurulmak suretiyle gerekli önlemlerin alınması gerektiği belirtilmiştir. 5.3.2025 tarih ve 32832 sayılı Resmî Gazete’de yayımlanan Kamu İç Kontrol Yönetmeliğinin 8 inci maddesinde iç kontrole ilişkin standart ve yöntemlerin Hazine ve Maliye Bakanlığı tarafından belirlenip geliştirileceği ve uyumlaştırılacağı ifade edilmiştir. Aynı yönetmeliğin 9 uncu maddesinde; “İdareler, malî ve malî olmayan tüm işlemlerinde Kamu İç Kontrol Standartlarına uymakla ve bu standartların gereğini yerine getirmekle yükümlüdür. İdarelerin üst yöneticileri tarafından, iç kontrol sisteminin Kamu İç Kontrol Standartlarına uyumunu sağlamak üzere yapılması gereken çalışmaların belirlenmesini, bu çalışmalar için eylem planı oluşturulmasını, çalışmaların etkili bir şekilde ve zamanında yürütülmesini sağlamak üzere gerekli önlemler alınır” hükmü yer almaktadır. Bu kapsamda Hazine ve Maliye Bakanlığı tarafından hazırlanan Kamu İç Kontrol Sistemi İzleme ve Değerlendirme Rehberinde de iç kontrol standartlarının uygulanmasına ilişkin düzenlemelere yer verilmiştir. Kamu İç Kontrol Standartları, uluslararası standartlar ve iyi uygulama örnekleri çerçevesinde, iç kontrolün; kontrol ortamı, risk değerlendirmesi, kontrol faaliyetleri, bilgi ve iletişim ile izleme bileşenleri esas alınarak, tüm kamu idarelerinde uygulanabilir düzeyde olmasını sağlamak üzere genel nitelikte düzenlenmiştir. Kamu İç Kontrol Standartlarının beş bileşeninden sonuncusu olan “İzleme” bileşeni ile iç kontrol sisteminin etkin bir şekilde uygulanmasını sağlamak üzere sistemin düzenli olarak izlenmesi ve değerlendirilmesi amaçlanmaktadır. Bu belge ile Kurumumuzda iç kontrol sisteminin izlenmesinde izlenecek yöntem ve kurallar düzenlenmektedir. Strateji Geliştirme Başkanlığı 1

1.1.İÇ KONTROL

- 17 0838 4280 9867 0443 9- 718 0832 408 9764 03

1.İÇ KONTROL ve İZLEME

Kurum yönetimi ve personeli tarafından hayata geçirilen, Kurumun hedeflerine ulaşması ve misyonunu gerçekleştirmesinde ortaya çıkabilecek riskleri öngörerek makul güvence sağlamayı amaçlayan bir süreçtir.

İç kontrol sistemi, aşağıdaki unsurlardan oluşur;

➢ Kontrol Ortamı: İç kontrolün diğer unsurlarına temel teşkil eden genel bir çerçeve olup, kişisel ve mesleki dürüstlük, yönetim ve personelin etik değerleri, iç kontrole yönelik destekleyici tutum, mesleki yeterlilik, organizasyonel yapı, insan kaynakları politikaları ve uygulamaları ile yönetim felsefesi ve iş yapma tarzına ilişkin hususları kapsar.

➢ Risk Değerlendirme: Kurumun hedeflerinin gerçekleşmesini engelleyecek risklerin tanımlanması, analiz edilmesi ve gerekli önlemlerin belirlenmesi sürecidir.

➢ Kontrol Faaliyetleri: Öngörülen bir riskin etki ve/veya olasılığını azaltmayı ve böylece Kurumun amaç ve hedeflerine ulaşma olasılığını artırmayı amaçlayan eylemlerdir.

➢ Bilgi ve İletişim: Risklerin tespit edilmesi ve kontrol faaliyetlerinin etkin bir biçimde uygulanmasını sağlamak üzere gerekli bilginin elde edilmesi ve ihtiyaç duyan kişi,

-107 3848 8290 6807 493

personel ve yöneticiye belirli bir formatta ve ilgili zaman dilimi içinde iletilmesini sağlayacak bilgi, iletişim ve kayıt sistemini kapsar.

➢ İzleme: İç kontrol sisteminin kalitesini değerlendirmek üzere yürütülen tüm izleme faaliyetlerini kapsar.

1.2.İÇ KONTROLDE İZLEME

İzleme ile Kurumun faaliyetlerinin Kurumun misyonu doğrultusunda, Stratejik Planda yer alan hedeflerle uyumlu olarak yürütülüp yürütülmediği, risk yönetimi çerçevesinde gerekli kontrollerin belirlenip belirlenemediği, belirlenen kontrollerin uygulanıp uygulanmadığı, bilgi ve

3748 892 6008 4794 3-

iletişimin yeterli olup olmadığı gibi hususların düzenli olarak değerlendirilmesi ve yapılması gereken değişikliklerin tespit edilmesi sağlanır. Dolayısıyla izleme, iç kontrol sisteminin diğer bileşenleriyle etkileşim halinde işleyen bir

süreç olup yönetime kontrol faaliyetlerine ilişkin sorunların düzeltilmesi ve istenmeyen bir durumla karşılaşılmadan önce riski kontrol edebilme imkanı verir.

- 17 0838 4280 9867 0443 9- 718 0832 408 9764 03

1.3.İZLEMENİN AMACI

İç kontrol sisteminin izlenmesi ile Kurumda;

➢ İç kontrol sistemine ilişkin sorunların zamanında tespit edilip giderilmesi, ➢ İç kontrol sisteminin etkinliğinin düzenli aralıklarla teyit edilmesi, ➢ İç kontrol güvence beyanları için kanıt oluşturulması amaçlanmaktadır.

1.4.İZLEME STANDARTLARI

İzleme, iç kontrol sisteminin kalitesini değerlendirmek üzere yürütülen tüm izleme faaliyetlerini kapsar. İki standarttan oluşur.

➢ İç Kontrolün Değerlendirilmesi Standardı ➢ İç Denetim Standardı

1.5.İZLEME YÖNTEMLERİ

-107 3848 8290 6807 493

İç kontrol sisteminin izlenmesi; sürekli izleme ve özel değerlendirmeler yoluyla gerçekleştirilir.

➢ Sürekli izleme

Sürekli izleme; Kurumun faaliyetlerinin yürütülmesi sırasında, devamlı olarak faaliyetleri yürüten personel ve yöneticiler tarafından gerçekleştirilmektedir. Sürekli izleme; düzenli yönetim ve gözetim faaliyetlerini, karşılaştırmaları ve personelin görevlerini yürütürken almış olduğu diğer önlemleri kapsamaktadır.

Sürekli izleme faaliyetleri ile sorunlar daha çabuk tespit edilip aksaklıklar için zamanında gerekli önlemler alınabildiğinden idarelerin esas olarak sürekli izleme faaliyetlerine ağırlık

3748 892 6008 4794 3-

vermeleri önerilmektedir.

➢ Özel Değerlendirmeler Özel değerlendirmeler; iç kontrol sisteminin etkinliğinin değerlendirilmesi amacıyla yönetim

ve çalışanlar tarafından gerçekleştirilen değerlendirme faaliyetleridir. Özel

değerlendirme

faaliyetleri;

öz

değerlendirme

çalışmaları

yapılması,

soru

formlarının/anketlerin kullanılması ve çalışma grubu oluşturulması şeklinde gerçekleştirilebilir. 3

- 17 0838 4280 9867 0443 9- 718 0832 408 9764 03

Öz değerlendirme çalışmaları, çalıştay, toplantı ve eğitim gibi yöntemlerle gerçekleştirilir. İç kontrol sisteminin değerlendirilmesinin yanı sıra yönetici ve çalışanların idare hedeflerine ulaşılmasında iç kontrolün önemi konusunda da bilinçlendirilmesine katkı sağlar.

Soru formları/anketler kullanılarak iç kontrol sistemi hakkında detaylı bilgi alınır. Soruların subjektif değerlendirmeye meydan vermeyecek şekilde açık, net ve anlaşılır hazırlanması uygun olacaktır.

1.5.1.İzlemeye İlişkin Önemli Hususlar:

➢ Sürekli izleme ve özel değerlendirme yöntemleri birbirinin alternatifi olmayıp Kurumun yapısına uygun olarak bu iki yöntem de kullanılmalıdır.

➢ Sürekli izleme yöntemleri etkin bir şekilde uygulansa dahi iç kontrol sisteminin bir bütün olarak özel değerlendirmeye tabi tutulması uygun olacaktır.

➢ Sürekli izleme ve özel değerlendirme sonucunda tespit edilen eksiklikler, önlem alma konusunda yetkili olanlara raporlanmalıdır. Söz konusu eksikliklerin rapor edilmesi ve ilgili düzeltici eylemlerin gerçekleştirilmesi için prosedürler Kurumda mevcut olmalıdır.

➢ İzleme faaliyetleri yalnızca başarısızlık, hata, yanlış ve zayıflık gibi durumlarda değil; sürekli

-107 3848 8290 6807 493

ve günlük faaliyet, program ve projelerle bütünleşik bir biçimde yürütülmelidir. 1.5.2.Değerlendirme Süreci

İç kontrol sisteminin belirli dönemlerde değerlendirilmesi ve gerekli önlemlerin tespit edilerek uygulamaya dahil edilmesi sistemin etkinliğinin sağlanması açısından son derece önemlidir. İç kontrol sisteminin değerlendirilmesi; Kurumun amaç ve hedeflerine ulaşma konusunda sistemin beklenen katkıyı sağlayıp sağlamadığının iç kontrol bileşenleri özelinde incelenmesi ve sistemin iyileştirmeye açık alanlarının tespit edilerek düzeltici önlemlerin belirlenmesini kapsayan bir süreçtir. Bu süreçte SGB aktif rol oynar.

3748 892 6008 4794 3-

İç kontrol sisteminin değerlendirilmesi İç Kontrol Sistemi Soru Formu (Ek-1) aracılığıyla yapılır. Değerlendirme yılda bir kez yapılır. Harcama yetkililerince bir önceki yılın değerlendirmesi yapılarak SGB’ye gönderilir. Soru formlarının doldurulmasında SGB harcama birimlerine rehberlik eder.

- 17 0838 4280 9867 0443 9- 718 0832 408 9764 03

1.5.3.İç Kontrol Sisteminin Değerlendirilme Sürecinde İzlenecek Adımlar

➢ SGB koordinasyonunda birim yöneticilerinin katılımıyla soru formlarının doldurulma süreci ile ilgili toplantı yapılır.

➢ Soru formlarının doldurulmasına ilişkin birimlere bir haftadan az olmamak üzere süre verilir.

➢ Harcama birimleri soru formlarını doldururken, bu işlemin bir öz değerlendirme niteliği

taşıdığını, sorulara verecekleri cevaplarla öncelikle kendi birimlerini değerlendirdiklerini göz ardı etmemeli, bu çerçevede formlar doldurulurken kendi birimlerinde iç kontrol sisteminin işleyişini ayrıntılı olarak değerlendirmelidir.

➢ Soru formlarının doldurulmasında gerektiğinde SGB’den destek alınabilir.

➢ Soru formlarına verilen cevaplar SGB tarafından kontrol edilerek, gerektiğinde birim yöneticisi veya görevlendireceği bir kişi ile görüşülebilir.

Tablo 1: İç Kontrol Sistemi Soru Formu Sonuçlarının Yorumlanması % puan

Yorum İç kontrol sisteminin gelişiminin en düşük seviyede olduğunun göstergesi.

0-25 En Düşük

Biraz farkındalık olmakla birlikte iç kontrol mekanizmalarının henüz Kurumda uygulanmadığı anlaşılmaktadır.

-107 3848 8290 6807 493

İç kontrol sisteminin kurulması için acil rehberlik ve yönlendirmede bulunulması gereklidir.

26-50 Düşük

İç kontrol sisteminin gelişiminin düşük seviyede olduğunun göstergesi. İç kontrol sistemine ilişkin farkındalık ve anlayışın bulunduğu, iç kontrol mekanizmalarının uygulanması için çalışmalara başlandığı anlaşılmaktadır. Ancak çalışmaların artarak devam etmesi ve uygulamaya geçilmesi gereklidir.

51-75 Orta

İç kontrol sisteminin gelişiminin orta seviyede olduğunun göstergesi. İç kontrol mekanizmalarının uygulanmaya başladığı, ancak geliştirilmesi gerektiği anlaşılmaktadır.

İç kontrol sisteminin gelişiminin yüksek seviyede olduğunun göstergesi. İç kontrol mekanizmalarının uygulamasının yerleştiği anlaşılmaktadır.

3748 892 6008 4794 3-

76-90 Yüksek

Uygulamanın biraz daha geliştirilmesi için neler yapılabileceğinin değerlendirilmesi uygun olacaktır.

91-100 En Yüksek

İç kontrol sisteminin gelişiminin en yüksek seviyede olduğunun göstergesi. İç kontrol mekanizmalarının en iyi şekilde uygulandığı anlaşılmaktadır.

- 17 0838 4280 9867 0443 9- 718 0832 408 9764 03

1.5.4.Değerlendirme Sonuçlarının Raporlanması

➢ Harcama birimleri soru formlarını gönderdikten sonra SGB, formları konsolide eder, soru formu sonuçları başta olmak üzere iç ve dış denetim sonuçları, ön mali kontrole ilişkin veriler, gerek duyulması halinde yöneticilerin görüşleri, kişi veya idarelerin talep ve şikayetleri dikkate

alınarak bir önceki yılın İç Kontrol Sistemi Değerlendirme Raporunu (Ek-2) izleyen yılın şubat ayı sonuna kadar İç Kontrol İzleme ve Yönlendirme Kuruluna (Kurul) sunar.

➢ Kurul, İç Kontrol Sistemi Değerlendirme Raporunu değerlendirir, varsa eksiklikleri tamamlandıktan sonra uygun görüşle üst yöneticinin onayına sunar.

➢ Üst yönetici tarafından onaylanan İç Kontrol Sistemi Değerlendirme Raporu, izleyen yılın mart ayının 15’ine kadar SGB tarafından Hazine ve Maliye Bakanlığına iletilir. 1.5.5.Değerlendirme Raporlarının İzlenmesi

İç Kontrol Sistemi Değerlendirme Raporunda iyileştirmeye açık alanlar olarak tespit edilen hususlarla ilgili olarak alınması gereken önlemler, yapılması gereken faaliyet ve düzenlemeler yönetim sorumluluğu çerçevesinde belirlenir.

Birimlerin çoğunun zayıf not aldığı tespit edilmesi halinde iyileştirmeye yönelik eylemler üst yönetici tarafından başlatılır. Alınması gereken önlemler, yapılması gereken faaliyet ve

-107 3848 8290 6807 493

düzenlemeler için bir eylem planı oluşturulur. SGB söz konusu önlem, faaliyet ve düzenlemelerin uygulama sonuçlarını değerlendirir, uygulama sonuçları hakkında üst yöneticiyi bilgilendirir.

1.5.6.İç Denetim Raporları İle İlgili Strateji Geliştirme Başkanlığı Tarafından Yapılacak İşlemler

İç denetçiler tarafından üst yöneticiye sunulan raporlar, üst yönetici tarafından değerlendirilmek suretiyle gereği için ilgili birimler ile SGB’ye gönderilmektedir. SGB tarafından söz konusu raporlara dayanarak aşağıdaki işlemler yerine getirilir: ➢ İç kontrole ilişkin olarak tespit edilen eksiklikler çerçevesinde idare için eğitim ihtiyacını belirleme ve eğitim programlarının düzenlenmesi için girişimde bulunulması.

3748 892 6008 4794 3-

➢ İç denetim bulgularını da dikkate alarak iç kontrol sisteminin geliştirilmesine yönelik üst yöneticiye öneriler sunulması.

➢ İç denetim raporlarında tespit edilen kamu zararlarına ilişkin gerekli kayıt ve takip işlemlerinin yürütülmesi.

➢ İç denetim raporları sonucu ortaya çıkan uygulama farklılıklarını gidermeye yönelik iç düzenlemeler yapılması.

- 17 0838 4280 9867 0443 9- 718 0832 408 9764 03

2.GÖREV VE SORUMLULUKLAR

2.1.İç Kontrol Merkezi Uyumlaştırma Birimi

5018 sayılı Kanunun 55 inci maddesinde “Görev ve yetkileri çerçevesinde, mali yönetim

ve kontrol süreçlerine ilişkin standartlar ve yöntemler Hazine ve Maliye Bakanlığınca belirlenir,

geliştirilir ve uyumlaştırılır.” hükmüne yer verilmiştir. Ayrıca, Bakanlığın sistemlerin

koordinasyonunu sağlayacağı ve kamu idarelerine rehberlik hizmeti vereceği ifade edilmiştir. Hazine ve Maliye Bakanlığına verilmiş olan merkezi uyumlaştırma görevi çerçevesinde, kamu

idarelerinin iç kontrol sistemlerini izleme ve değerlendirme görevi yürütülmektedir. Hazine ve Maliye Bakanlığı bu görevi Kamu Mali Yönetim ve Dönüşüm Genel Müdürlüğü bünyesinde oluşturulan İç Kontrol Merkezi Uyumlaştırma Birimi (İKMUB) aracılığıyla yürütmektedir. İKMUB izleme ve değerlendirme sürecinde: •

Kamu idarelerindeki iç kontrol uygulamalarını değerlendirme faaliyetlerini düzenli izleme ve yerinde değerlendirme şeklinde yürütür. Her yıl düzenli izleme faaliyeti kapsamında kamu

idarelerinin çeşitli planlama ve raporlama dokümanlarını incelemek suretiyle izleme ve değerlendirme yapar. •

Düzenli izleme çalışmaları ile yerinde değerlendirme faaliyetleri sonucunda kamu idarelerindeki iç kontrol sistemine ilişkin İç Kontrol Sistemi İzleme ve Değerlendirme

İKMUB değerlendirme ekibi tarafından yapılan yerinde değerlendirme sonucunda tespit edilen eksiklikler ve önerilere ilişkin ilgili idareden Düzeltici Eylem Planı (Ek-3) hazırlamasını talep edebilir.

3748 892 6008 4794 3-

•

-107 3848 8290 6807 493

Raporunu hazırlar.

- 17 0838 4280 9867 0443 9- 718 0832 408 9764 03

2.2.Üst Yönetici

İç kontrol sisteminin oluşturulmasını sağlar, işleyişi izler ve gerekli tedbirleri alır. Üst yönetici bu sorumluluğunu harcama yetkilileri, SGB’ler ve iç denetçiler aracılığıyla yerine getirir. Üst yönetici izleme ve değerlendirme sürecinde:

• İKİYK’nın uygun görüşüyle SGB tarafından sunulan İç Kontrol Sistemi Değerlendirme Raporunu onaylar.

• İKMUB tarafından yapılan yerinde değerlendirmelere destek verir. Onay ve talimatlarıyla

değerlendirme çalışmalarının başlatılması, gerekli toplantılar ile görüşmelerin yapılması ve ihtiyaç duyulan belgelerin iletilmesini sağlar.

• Yerinde değerlendirme sonucu İKMUB tarafından Düzeltici Eylem Planı hazırlanması talep edilmesi halinde, söz konusu planın hazırlanmasını ve uygulanmasını sağlar.

2.3.İç Kontrol İzleme ve Yönlendireme Kurulu İKİYK izleme ve değerlendirme sürecinde:

• Kurumun iç kontrol sisteminin değerlendirme süreci ve sonrasındaki faaliyetlerinin gerçekleşmesi için gerekli değerlendirmeleri yapar, öneriler geliştirir ve üst yöneticiye sunar.

-107 3848 8290 6807 493

• SGB tarafından hazırlanan İç Kontrol Sistemi Değerlendirme Raporunu değerlendirir varsa eksiklikleri tamamlandıktan sonra karara bağlar. • İKMUB tarafından Düzeltici Eylem Planı hazırlanması talep edilmesi halinde gerekli değerlendirmeleri yapar, öneriler geliştirir ve üst yöneticinin onayına sunar. 2.4.Strateji Geliştirme Başkanlığı

İç kontrol sisteminin oluşturulması, uygulanması ve sürekli olarak geliştirilmesi için çalışmalar yürütme, harcama birimleri arasında koordinasyonu sağlama, eğitim ve rehberlik hizmeti sunma, uygulama sonuçlarını izleme ve sonuçlarını üst yöneticiye raporlama sorumluluğu

3748 892 6008 4794 3-

vardır.

SGB'ler izleme ve değerlendirme sürecinde:

•

İç Kontrol Sistemi Soru Formlarını birimlerden gelen cevaplar doğrultusunda konsolide ederek iç ve dış denetim sonuçları, ön mali kontrole ilişkin veriler, gerek duyulması halinde yöneticilerin görüşleri, kişi veya idarelerin talepleri dikkate alınarak oluşturulan İç Kontrol Sistemi Değerlendirme Raporunu izleyen yılın şubat ayı sonuna kadar Kurula ve üst yöneticiye sunar. 8

- 17 0838 4280 9867 0443 9- 718 0832 408 9764 03

•

Üst yönetici tarafından onaylanan İç Kontrol Sistemi Değerlendirme Raporunu, izleyen yılın mart ayının 15’ine kadar Hazine ve Maliye Bakanlığına iletir.

•

Yerinde değerlendirmelerin gerçekleştirilmesi esnasında İKMUB değerlendirme ekibine; çalışma planının hazırlanması, gerekli bilgi ve belgelerin elde edilmesine yardımcı olur.

•

Düzeltici Eylem Planı hazırlanmasının gerekli görüldüğü hallerde, eylem planının hazırlanmasının ve uygulanmasının koordinasyonundan sorumludur. 2.5.Harcama Yetkilileri

Belirlenen yöntem ve standartlar çerçevesinde, iç kontrol sisteminin harcama birimlerinde oluşturulması, uygulanması ve izlenmesinden sorumludur. •

Birimlerindeki iç kontrol faaliyetlerinin sürekli izler ve izleme sonuçları konusunda SGB’ye bilgi verir.

•

İç Kontrol Sistemi Soru Formunu doldurarak bir önceki yılda iç kontrol sisteminin değerlendirilmesine yönelik gerekli bilgileri SGB’ye gönderir.

İKMUB ekibince talep edilen bilgi ve belgeleri zamanında ve eksiksiz hazırlar. İhtiyaç duyulması halinde Düzeltici Eylem Planı hazırlanmasına katkı sağlar.

-107 3848 8290 6807 493

EKLER:

Ek-1: İç Kontrol Sistemi Soru Formu

Ek-2: İç Kontrol Sistemi Değerlendirme Raporu Ek-3: Düzeltici Eylem Planı

3748 892 6008 4794 3-

•

- 17 0838 4280 9867 0443 9- 718 0832 408 9764 03 Ek-1

İÇ KONTROL SİSTEMİ SORU FORMU Bu soru formu iç kontrol sisteminin değerlendirilmesi amacıyla tasarlanmıştır. Ayrıca, bu soru formu sayesinde iç kontrol sisteminin değişen koşullar, kaynaklar ve riskler bağlamında hedeflere ulaşmayı ne derece kolaylaştırdığını belirlemek de mümkün olacaktır. Soru formunu cevaplandıranların sorulara verecekleri gerçekçi yanıtlar büyük önem taşımakta olup iç kontrol sisteminin Kurumdaki gelişmişlik düzeyini belirlemek amacıyla kullanılacaktır. Birim yöneticileri kendi birimlerinde iç kontrol sisteminin işleyişini ayrıntılı olarak değerlendirerek bu soru formunun doldurulmasından sorumludurlar. Bu çerçevede birim yöneticileri, SGB’lerin rehberliğinde cevaplandıracakları soru formunu SGB’lere gönderecekler ve SGB’ler de bu soru formunu kullanarak hazırlayacakları raporu üst yöneticinin onayını aldıktan sonra Hazine ve Maliye Bakanlığına göndereceklerdir. Soru Formunun Doldurulması Bu soru formunda, iç kontrolün bileşenleri esas alınmış olup beş bölüm mevcuttur: • • • • •

Kontrol Ortamı Risk Değerlendirme Kontrol Faaliyetleri Bilgi ve İletişim İzleme

3748 892 6008 4794 3-

-107 3848 8290 6807 493

Her bölümde, yukarıda sözü edilen bileşenler çerçevesinde iç kontrol sisteminin işleyişine ilişkin sorular bulunmaktadır. Soru formunda verilen cevapların kamu iç kontrol standartlarına uyum için hazırlanan Kurumun eylem planlarıyla da uyumlu olmasına dikkat edilmelidir. Soru formundaki cevap bölümü EVET, HAYIR ve GELİŞTİRİLMEKTE olmak üzere üç seçenekten oluşmaktadır. Cevap bölümünde ayrıca AÇIKLAMA için dördüncü bir sütun yer almaktadır. EVET, ilgili soruda sözü edilen konuların birimde gereken şekilde anlaşıldığı ve uygulandığı anlamına gelmektedir. HAYIR, bu konuların birimin genelinde anlaşılmadığı ve hayata geçirilmediği anlamına gelmektedir. GELİŞTİRİLMEKTE, ilgili soruda sözü edilen konuların birimin bazı bölümlerinde kısmen anlaşıldığı ve uygulandığı anlamına gelmektedir. AÇIKLAMA, bölümünde varsa kanıtlar ve yorumlara yer verilmelidir. Soruların devamında, sorunun daha iyi anlaşılmasına ilişkin yönlendirmeler yer almaktadır. ➢ Soru formunun değerlendirilmesinde her soru için verilen cevabın puan türünden karşılığı kullanılacaktır. EVET cevabı için 2 puan, GELİŞTİRİLMEKTE cevabı için 1 puan, HAYIR cevabı için ise 0 puan üzerinden değerlendirilme yapılacaktır. Soru formunun her bölümü için ayrı toplam puan hesaplanacağı gibi formun tamamı için de genel toplam puan hesaplanacaktır. ➢ Bir soruya HAYIR cevabı verildiyse, ilgili alanların geliştirilmesi için birim yöneticisi tarafından adım atılmalıdır. ➢ Bir soruya GELİŞTİRİLMEKTE cevabı verildiyse, birim yöneticisi ilgili alanda ilerleme kaydedilmesi için yapılabilecekleri değerlendirmelidir.

KONTROL ORTAMI

Hayır2

Geliştirilmekte3

Puan

Evet1

Sorular

- 17 0838 4280 9867 0443 9- 718 0832 408 9764 03

Açıklama

3748 892 6008 4794 3-

-107 3848 8290 6807 493

KONTROL ORTAMI: Kontrol ortamı, iç kontrol sisteminin diğer unsurlarına temel oluşturan genel bir çerçeve sağlamaktadır. Misyonun belirlenmesini, kurum personeline duyurulmasını ve bunlarla uyumlu bir organizasyon yapısının ve kurumsal kültürün oluşturulmasını tanımlamak amacıyla kullanılan bir kavramdır. Kontrol ortamı üzerinde etkili temel unsurlar kişisel ve mesleki dürüstlük, yönetim ve personelin etik değerleri, iç kontrole yönelik destekleyici tutum, insan kaynakları yönetimi için yazılı kurallar ve uygulamalar, kurumsal yapı, yönetim felsefesi ve iş yapma biçimi olarak sayılabilir. Biriminizde Kamu İç Kontrol 1 Standartları bilinmekte mi? (Bu konuda farkındalığı artırmak amacıyla eğitimler verilmesi ve toplantılar düzenlenmesi uygun olacaktır.) Biriminizde iç kontrol sistemi ve 2 işleyişine ilişkin olarak yönetici ve personelin farkındalık ve sahiplenilmesini arttırmaya yönelik çalışmalar yürütülüyor mu? Örneğin; iç kontrole ilişkin periyodik bilgilendirme toplantıları yapılması, tanıtım broşürleri hazırlanması, iç kontrolün hizmet içi eğitim programlarına dahil edilmesi, iç kontrole ilişkin bilgi ve belgelere birimin web/intranet sayfasında kolay erişilebilir şekilde yer verilmesi gibi çalışmalar yürütülmekte mi? Biriminizin her düzeydeki yönetici ve 3 personeli, etik davranış ilkeleri ve bu ilkelere ilişkin sorumlulukları hakkında bilgilendiriliyor mu? Örneğin, kamu etik kurallarının içselleştirilmesi yönünde verilen eğitimlere ve düzenlenen toplantılara

“Evet” seçeneği işaretlenmişse “Açıklama” bölümünde kanıtlara(iç düzenlemeler, yapılmış faaliyetlerin detayları vb.) yer verilmelidir. 2 “Hayır” seçeneği işaretlenmiş ise “Açıklama” bölümünde gerekli açıklamalara yer verilmelidir. 3 “Geliştirilmekte” seçeneği işaretlenmişse “Açıklama” bölümünde gerekli açıklamalar (planlanan faaliyetlerin detayları vb.) yapılmalıdır. 1

- 17 0838 4280 9867 0443 9- 718 0832 408 9764 03

yönetici ve personelin katılımı sağlanıyor mu? (Etik davranış ilkelerinin, biriminiz personeli için düzenlenen uygulanan temel, hazırlayıcı ve hizmet içi eğitim programlarında yer alması uygun olacaktır.)

3748 892 6008 4794 3-

Biriminizde Dürüstlük ve Etik Değerlere Bağlılık Standartlarına uyulmadığında hangi prosedürler uygulanmaktadır? Biriminizde vatandaşa doğrudan sunulan hizmetlerle ilgili süre ve yöntem konusunda bir standart geliştirildi mi? (Bu soru cevaplandırılırken Kamu Hizmetlerinin Sunumunda Uyulacak Usul ve Esaslara İlişkin Yönetmelik kapsamında yapılan çalışmalar da değerlendirilebilir.) Biriminizde personelin ve birimden hizmet alanların değerlendirme, öneri ve sorunlarını bildirebilecekleri uygun mekanizmalar (anket, yüz yüze görüşme, toplantı, elektronik başvuru vb.) mevcut mu? Etkin olarak kullanılıyor mu? (Mevcut ise kullanılan yöntemler hakkında kısaca bilgi veriniz. Düzenlenecek anketlerin gizlilik esaslı olması tavsiye edilmektedir.) Kurumun misyon ve vizyonu yazılı olarak belirlenip, duyuruldu mu? (Misyon; ilan panolarında, intranette, e-posta yoluyla personele duyurulabilir.) Biriminizin ve alt birimlerin görev tanımlarına yönelik bir düzenleme (yönerge, genelge, onay vb.) var mı? (Bu soruya “Hayır” cevabı verilmişse bu işlemlerin ne zaman gerçekleştirilmesinin planlandığı belirtilmelidir.) Biriminizin her düzeydeki yönetici ve personeli için görev tanımları yazılı olarak belirlendi mi? İlgili yönetici ve personele bildirildi mi? (Personel görev tanımları, personelin görev yaptığı birimin görev tanımı esas alınarak hazırlanmalı, ilgili personele

-107 3848 8290 6807 493

Görevde yükselme kriterleri (eğitim durumu, mesleki yeterlilik ve performans ölçütleri) açıkça tanımlanmış mıdır? (Söz konusu usullerin personelin performansını da dikkate alacak şekilde belirlenmesi ve bu usullerden personelin haberdar edilmesi gerekmektedir.) Personelin ihtiyaçlarına yönelik yönetici ve çalışanların taleplerinin de dikkate alındığı bir hizmet içi eğitim planı hazırlanmakta mıdır? Biriminizde önemli değişiklikler meydana geldiğinde bu değişikliklerle ilgili diğer birimlere bilgilendirmeler

3748 892 6008 4794 3-

- 17 0838 4280 9867 0443 9- 718 0832 408 9764 03

-107 3848 8290 6807 493

tebliğ edilmeli ve yılda en az bir kez gözden geçirilmeli ve güncellenmelidir. (Bu soruya cevap verilirken personel görev tanımlarının format ve içeriğinin belirlenmesine ve belirli aralıklarla güncellenmesine yönelik iç düzenleme bulunup bulunmadığı da değerlendirilmelidir.) Biriminizin organizasyon şeması yetki ve sorumlulukların dağılımı ile uyumlu mudur? Yapılan işin birden çok birim tarafından yerine getirilmesini gerektiren alanlar var mıdır? (Cevabınız evet ise bu durumda görev çatışması vb. problemler ile karşılaşılmakta mıdır?) Biriminizde hassas görevler ve bu görevlere ilişkin prosedürler belirlendi mi? (Söz konusu prosedürlerin yazılı olarak belirlenmesi, personele duyurulması ve hassas görevlere uygun kontrol faaliyetlerinin (görevler ayrılığı, rotasyon, yedek personel belirleme vb.) belirlenmesi önerilmektedir.) Biriminizde her düzeydeki yöneticinin, verilen görevlerin sonucunu izlemesini sağlayacak mekanizmalar oluşturuldu mu? (“Evet” cevabı verilmiş ise bu mekanizmaların neler olduğu (raporlar, iş planları, periyodik toplantılar, otomasyon programı vs.) belirtilmelidir.)

- 17 0838 4280 9867 0443 9- 718 0832 408 9764 03

İş yükü yoğun olan personelin iş yükünün hafifletilmesine yönelik önlemler (iş yükünün yeniden dağıtılması, ilave personel sağlanması vb.) alınmakta mıdır? Biriminizde iş akış süreçlerindeki imza ve onay mercileri belirlendi mi? (İş akış süreçlerinin belirlenmesi ve bu süreçlerdeki imza ve onay mercilerinin belirlenmesi ve duyurulması önerilmektedir.) Biriminizde yapılacak yetki devirlerinin esasları yazılı olarak belirlendi mi? (Yapılacak yetki devirlerinin kapsam, miktar, süre ve devredilen yetkinin başkasına devredilip devredilemeyeceği gibi bilgileri içermesi gereklidir. Ayrıca, yetki devri yapılırken yetki ve sorumluluk dengesinin korunmasına özen gösterilmelidir.) Biriminizde yetki devredilen personelin, yetkinin kullanımına ilişkin olarak belli dönemlerde yetki devredene rapor vermesine ilişkin düzenleme var mıdır? Yetki devri yapılırken devredilen yetki ve sorumlulukların sınırları açıkça tanımlanmakta mıdır? TOPLAM PUAN- KONTROL ORTAMI

-107 3848 8290 6807 493

(toplantı,eğitim, e-posta,vb. yapılmakta mıdır? Personelin yeterliliği ve performansı, bağlı olduğu yöneticisi tarafından en az yılda 1 kez değerlendiriliyor mu? (Yöneticilerin çalışanların performansına ilişkin değerlendirme sonuçlarını çalışanları ile paylaşmaları önerilmektedir.)

RİSK DEĞERLENDİRME

3748 892 6008 4794 3-

RİSK DEĞERLENDİRME: Risk değerlendirme, Kurumun hedeflerinin gerçekleşmesini engelleyecek risklerin tanımlanması, analiz edilmesi ve gerekli önlemlerin belirlenmesi sürecidir. Bu bölümde Kurum, risk algısı ve riskle başa çıkabilme kapasitesini aşağıdaki sorular aracılığıyla bir öz değerlendirmeye tabi tutmalıdır. Biriminizce stratejik plan hazırlık 1 çalışmalarına aktif katılım sağlanmakta mıdır? Birim tarafından alınacak kararlar, 2 yapılacak düzenlemeler ve bunlara bağlı 14

İç Kontrol ve Ön Mali Kontrole İlişkin Usul ve Esasların 25 inci maddesinde ön mali kontrol sonucunda uygun görüş verilmediği halde harcama yetkilileri tarafından gerçekleştirilen işlemler var mıdır? (Cevabınız evet ise söz konusu işlemlerin kayıtları tutulmakta ve aylık dönemler itibariyle üst yöneticiye raporlanmakta mıdır?) Biriminizde risk yönetimine ilişkin görev ve sorumluluklar açık bir şekilde ve yazılı olarak belirlendi mi?

3748 892 6008 4794 3-

- 17 0838 4280 9867 0443 9- 718 0832 408 9764 03

-107 3848 8290 6807 493

uygulamalarda stratejik plandaki amaç ve hedeflere uyum gözetilmekte midir? Biriminizde stratejik planda tanımlanan hedeflere ulaşma performansları ölçülmekte, izlenmekte ve düzenli olarak değerlendirilmekte midir? Biriminizde alt program hedeflerinin ve ilgili performans göstergelerinin takibini sağlamakta mıdır? Biriminizde yürütülen faaliyetlerin stratejik plan ve performans programıyla belirlenen amaç ve hedeflerle uyumunu sağlamaya yönelik bir prosedür var mıdır? (Kaynakların etkili, ekonomik ve verimli kullanılması bakımından birimler faaliyetlerinde Kurumun stratejik planı ve performans programında belirtilen amaç ve hedeflerine odaklanmalıdır.) Bütçe hazırlık sürecinde stratejik plan ve performans programlarıyla uyumu sağlamaya yönelik prosedür var mıdır? (Stratejik planda gösterilen amaç ve hedeflerin hangi faaliyet ve projelerle gerçekleştirileceği, hangi göstergelerin izleneceği ve bu faaliyet ve projeler için gerekli kaynak ihtiyacı performans programlarında gösterilmektedir. Bu nedenle, birimlerin bütçe tekliflerini hazırlarken söz konusu plan ve programları dikkate almaları gerekmektedir.) Kamu Ön Mali Kontrol yönetmeliğinde belirlenen mali karar ve işlemler SGB tarafından mali kontrole tabi tutulmakta mıdır?

Biriminizde tespit edilen risklerin, kurumsal amaç ve hedefler üzerindeki muhtemel etkisi analiz edilmiş midir? (Tespit edilen risklerin olasılık ve etkileri ölçülmeli ve rakamla gösterilmelidir.) Biriminizde tespit edilen riskler uygun araçlarla kayıt altına alınıyor mu? (Risklerin kaydedilmesi, verilen kararlar için kanıt oluşturulmasına, kişilerin risk yönetimi içindeki

3748 892 6008 4794 3-

- 17 0838 4280 9867 0443 9- 718 0832 408 9764 03

-107 3848 8290 6807 493

(Risk yönetiminde görev ve sorumlulukların net olarak belirlenmesi ve söz konusu görev ve sorumlulukların uygun, yetkin ve yetkilendirilmiş kişilere verilmesi, risk yönetimi için güçlü bir alt yapı oluşturur. (İdareniz için Risk Strateji Belgesi hazırlanmış ise söz konusu belgede risk yönetimine ilişkin görev ve sorumluluklara da yer verilmiş olması gerekir.) Biriminizde, üst yönetici tarafından onaylanmış olan risk strateji belgesi tüm çalışanlara duyuruldu mu? Biriminiz yönetici ve personeli risk yönetimine ilişkin görev ve sorumlulukları hakkında bilgi sahibi midir? (Bu soruya cevap verilirken personelin risk yönetimindeki görev ve sorumluluklarına ilişkin bilgilendirme ve farkındalığın nasıl sağlandığı değerlendirilmeli ve bu kapsamda hangi araçların kullanıldığı açıklanmalıdır.) Biriminizde riskler, birim/program ve alt birim/ operasyonel düzeyinde tespit ediliyor mu? Risklerin belirlenmesinde iç ve dış riskler ile bunların kurumsal amaç ve hedeflerin gerçekleştirilme düzeyindeki etkisi dikkate alınmış mıdır? Biriminizde tespit edilen riskler, risk puanlarına (Etki x Olasılık) veya önem derecelerine göre önceliklendiriliyor mu? (Risklerin önem sırasına göre önceliklendirilmesi kaynak tahsisinde etkinliği sağlar.)

- 17 0838 4280 9867 0443 9- 718 0832 408 9764 03

-107 3848 8290 6807 493

sorumluluklarını görmelerine ve izlenmesine yardımcı olmaktadır. (Bu soruya “Evet” cevabı verilmiş ise risklerin kaydında kullanılan araçlar risk kayıt formu, yazılım vb.) belirtilmelidir.) Risklere verilen cevapları içeren (kabul etmek, kontrol etmek, devretmek, kaçınmak) Risk Eylem Planı hazırlanmış mıdır? Biriminizde tespit edilen risklere verilecek cevap yöntemi belirlenirken fayda-maliyet analizi yapılıyor mu? (Risklere verilecek cevaplar belirlenirken; cevabın faydasının, getireceği maliyetten yüksek olmasına dikkat edilmesi gerekmektedir.) Risk yönetim sürecinin gözden geçirilmesi amacıyla risk yönetim süreçleri sistematik olarak izlenip değerlendirilerek elde edilen sonuçlar raporlanmakta mıdır? Biriminizde tespit edilen risklerin gerçekleşme olasılıklarında veya etkilerinde bir değişiklik olup olmadığı ya da yeni risklerin ortaya çıkıp çıkmadığı belirli periyotlarla gözden geçiriliyor mu? (Tespit edilen riskler risklerin önem derecesine göre yılda en az bir kez olmak üzere gözden geçirilmelidir.) Biriminizin diğer birimlerle ortak yürütülmesi gereken riskleri bulunması durumda söz konusu risklerin yönetilmesine ilişkin olarak ilgili birim ile gerekli iş birliği ve iletişim sağlanıyor mu? TOPLAM PUAN- RİSK DEĞERLENDİRME KONTROL FAALİYETLERİ

3748 892 6008 4794 3-

KONTROL FAALİYETLERİ: Kontrol faaliyetleri, hedeflerin gerçekleştirilmesini sağlamak ve belirlenen riskleri yönetmek amacıyla oluşturulan politika ve prosedürlerdir. Biriminizin her bir faaliyet ve riskleri için etkin kontrol strateji ve yöntemleri 1 belirlenip uygulanıyor mu? (Belirlenmiş kontroller risklerle uyumlu olmalı, riskin niteliğine göre farklı kontrol yöntemleri belirlenmelidir. 17

3748 892 6008 4794 3-

- 17 0838 4280 9867 0443 9- 718 0832 408 9764 03

-107 3848 8290 6807 493

Kontrol strateji ve yöntemleri; düzenli gözden geçirme, örnekleme yoluyla kontrol, karşılaştırma, onaylama, raporlama, koordinasyon, doğrulama, analiz etme, yetkilendirme, gözetim, inceleme, izleme, varlıkların periyodik kontrolü ve güvenliği vb. şekilde belirlenmeli ve uygulanmalıdır. (Birimdeki kontroller, gerekli hallerde, işlem öncesi kontrol, süreç kontrolü ve işlem sonrası kontrolleri de kapsamalıdır.) Biriminizde kontrol faaliyetleri tespit edilirken fayda – maliyet analizi yapılıyor mu? (Birimde belirlenen kontrol yönteminin maliyeti ile beklenen faydası kıyaslanmalı, maliyeti faydasını aşan kontroller belirlenmeli ve daha az maliyetli alternatif kontroller seçilmelidir.) Biriminizde uygulanan kontrol faaliyetlerinin etkililiği düzenli olarak gözden geçiriliyor mu? (Kontrol faaliyetlerinin etkinliği ve işleyişinin planlandığı şekilde gerçekleşmesi izlenmelidir. Kontrollerin işlediğine ilişkin gerekli kanıtlar periyodik olarak toplanmalı ve analiz edilmelidir.) Uygulanan kontrol faaliyetleri, süreç 4 haritaları ve yönergelerde yazılı olarak yer almakta mıdır? Biriminizin faaliyetleri ile mali karar ve 4 işlemlerine ilişkin yazılı prosedürler mevcut mu? (Biriminizin faaliyetleri ile mali karar ve işlemleri hakkında yazılı prosedürler bulunmalıdır. Bu prosedürler ve ilgili dokümanlar, faaliyet veya mali karar ve işlemin başlaması, uygulanması ve sonuçlandırılması aşamalarını kapsamalıdır. Prosedürler ve ilgili dokümanlar, güncel, kapsamlı, mevzuata uygun ve ilgili personel tarafından anlaşılabilir ve ulaşılabilir olmalıdır.) Biriminizdeki risklere yönelik gerçekleştirilen kontrol faaliyetlerinin işlerliği ve etkinliği riski ortadan

3748 892 6008 4794 3-

- 17 0838 4280 9867 0443 9- 718 0832 408 9764 03

-107 3848 8290 6807 493

kaldırma veya azaltma açısından analiz edilmekte midir? Risk değerlendirme çalışmaları 7 kapsamında kontrol faaliyetlerinin uygulanması belli periyotlarla gözden geçirilmekte midir? Cevabınız evet ise, hangi sıklıkta yapılmaktadır? Biriminizde görevler ayrılığı ilkesi 6 uygulanıyor mu? Hangi durumlarda görevler ayrılığı ilkesini uyguladığınızı açıklayınız. (Her faaliyet veya mali karar ve işlemin onaylanması, uygulanması, kaydedilmesi ve kontrolü görevleri farklı kişilere verilmelidir ve görevler ayrılığı ilkesinin gözetildiği yazılı dokümanlarla desteklenmelidir. Personel sayısının yetersizliği nedeniyle görevler ayrılığı ilkesinin tam olarak uygulanamadığı hallerde, yöneticiler risklerin farkında olmalı ve gerekli önlemleri almalıdır. Bu tür durumlarda riski yönetmek için başka kontrol prosedürleri belirlenmelidir.) Biriminizde personel yetersizliği, geçici 7 veya sürekli olarak görevden ayrılma, yeni bilgi sistemlerine geçiş, yöntem veya mevzuat değişiklikleri ile olağanüstü durumlar gibi faaliyetlerin sürekliliğini etkileyen nedenlere karşı önlemler alınıyor mu? (“Evet” cevabı verildiğinde buna ilişkin kanıtlar gösterilebilir.) Biriminizde vekalet sistemi etkin bir 8 şekilde uygulanmakta mı? (Gerekli hallerde usulüne uygun olarak vekil personel görevlendirilmelidir. Vekil olarak görevlendirilen personel gerekli niteliğe sahip olmalıdır. Personel kanunlarında yer verilen vekalet müessesesine ilişkin olarak, ayrıntılı iç düzenlemeler yapılmalı ve vekil personelde aranacak nitelikler ayrıntılı olarak belirlenmelidir.) Biriminizde görevinden ayrılan personel, yürüttüğü iş ve işlemlerin durumuna ilişkin olarak yeni görevlendirilen personele rapor veriyor mu?

3748 892 6008 4794 3-

- 17 0838 4280 9867 0443 9- 718 0832 408 9764 03

-107 3848 8290 6807 493

(Görevinden ayrılan personelin, iş veya işlemlerinin durumunu ve gerekli belgeleri de içeren bir rapor hazırlaması ve bu raporu yeni görevlendirilen personele vermesi yöneticiler tarafından sağlanmalıdır. Raporda, yürütülmekte olan önemli işlerin listesine, öncelikli olarak dikkate alınacak risklere, süreli işler listesine ve benzeri hususlara yer verilmelidir.) Biriminizde kullanılan bilgi sistemlerinin 1 güvenliğini sağlamaya yönelik kontrol mekanizmaları var mı? 3 (Bu soruya cevap verilirken Kurumda bilgi güvenliği yönetim sistemi, ISO’nun bilgi güvenliğine ilişkin sertifikası vb. mekanizmaların var olup olmadığı değerlendirilmelidir.) Biriminizde bilgi sistemine veri ve bilgi girişi ile bunlara erişim konusunda yetkilendirmeler yapıldı mı? (Bilgi sistemine yalnızca yetkili personelin erişimi sağlanmalıdır. Bu amaçla, bilgisayar programlarına erişebilmek üzere, sürekli güncellenen bilgi güvenliği yazılımları kullanılmalıdır. Belgelerle çalışılırken, belirlenmiş olan gizlilik düzeyinin korunmasına ilişkin düzenlemelere uyulmalıdır.) Teknolojik altyapının gizlilik, bütünlük ve erişilebilirliğini sağlamaya yönelik kontroller geliştirilmiş midir? (Cevabınız evet ise açıklayınız.) Kurumsal verilerin korunmasına yönelik yedekleme, kurtarma ve istenmeyen saldırıların gerçekleşme olasılığına karşı kontrol faaliyetleri oluşturulmuş mudur? Bilgi teknolojileri devamlılığının sağlanmasına ilişkin önemli riskler belirlenmiş ve bunlara yönelik eylem planları hazırlanmış mıdır? Örneğin veri kaybı veya sorumlu BT personelinin görevden ayrılması gibi durumlarda veri güvenliğinin sağlanması için eylem planları mevcut mudur? TOPLAM PUAN- KONTROL FAALİYETLERİ

BİLGİ VE İLETİŞİM 20

- 17 0838 4280 9867 0443 9- 718 0832 408 9764 03

3748 892 6008 4794 3-

-107 3848 8290 6807 493

BİLGİ VE İLETİŞİM: Bilgi ve iletişim, gerekli bilginin ihtiyaç duyan kişi, personel ve yöneticiye belirli bir formatta ve ilgililerin, hedeflerin gerçekleştirilmesi ve iç kontrole ilişkin sorumluluklarını yerine getirmelerine imkan verecek bir zaman dilimi içinde iletilmesini sağlayacak uygun bir bilgi, iletişim ve kayıt sistemini kapsar. Biriminizde yatay ve dikey iletişimi 1 1 kapsayan yazılı, elektronik veya sözlü 1 etkin bir iç iletişim sistemi mevcut mu? (Soru cevaplandırılırken personelin birbirleri ve yöneticileri ile hangi yöntemlerle/araçlarla iletişim kurdukları tespit edilerek bunların uygun ve/veya etkin olup olmadıkları değerlendirilmelidir. Personelin görevlerini kesintisiz şekilde yerine getirebilmelerini sağlayacak bilgileri alabilmeleri için üst yönetim dahil her düzeydeki yöneticilerle iletişim içerisinde olması sağlanmalıdır.) Biriminizde dış paydaşlar ile etkin 2 1 iletişimi sağlayacak bir dış iletişim 2 sistemi mevcut mu? Mevcut iç ve dış iletişim sistemleri 3 personelin ve/veya dış paydaşların 3 beklenti, öneri ve şikayetlerini iletmelerine imkan veriyor mu? (Örneğin; 4982 sayılı Bilgi Edinme Hakkı Kanununun kurum içerisinde etkin bir şekilde işleyip işlemediği, talep ve şikayetlerin süresinde cevaplanıp cevaplanmadığı, çalışanların şikayet ve önerilerini yönetime sunmasına imkan veren bir sistemin mevcut olup olmadığı değerlendirilmelidir.) Mevcut bilgi sistemleri Kurum/birim 5 tarafından belirlenmiş hedeflerin 4 izlenmesine ve bu doğrultuda gerçekleştirilen faaliyetler üzerinde etkin bir gözetim ve değerlendirme yapılmasına imkan veriyor mu? (Yönetim bilgi sistemi, karar alma süreçlerinde yöneticilerin ihtiyaç duydukları bilgileri ve raporları üretebilecek ve analiz yapma imkanı sağlayacak şekilde tasarlanmalıdır.) Biriminizde hangi raporların, kim 6 tarafından, ne sıklıkta, ne zaman 5 hazırlanacağı, kime sunulacağı, dayanağı ve hazırlanan raporların kim tarafından 21

İhbar ve şikayette bulunanların kimlikleri gizli kalmakta ve bu kişilere yeterli koruma sağlanmakta mıdır? (Bildirim yapan personele haksız ve ayrımcı muamele yapılmaması hususunda yöneticiler gerekli tedbirleri almalıdır.)

3748 892 6008 4794 3-

- 17 0838 4280 9867 0443 9- 718 0832 408 9764 03

-107 3848 8290 6807 493

kontrol edileceği açıkça belirlenip ve personele duyuruldu mu? (Birim içinde yatay ve dikey raporlama ağı yazılı olarak belirlenmeli, alt birimler ve personel, görevleri ve faaliyetleriyle ilgili hazırlanması gereken raporlar hakkında bilgilendirilmelidir.) Birimin iş ve işlemlerinin kaydı, 7 sınıflandırılması, korunması ve erişimini kapsayan belirlenmiş standartlara uygun arşiv ve dokümantasyon sistemi mevcut mu? Biriminizde -elektronik ortamdakiler 8 dahil- gelen ve giden her türlü evrak ile daire içi haberleşmenin, iş ve işlemlerin kaydedildiği ve sınıflandırıldığı kapsamlı ve günceli bir kayıt ve dosyalama sistemi mevcut mu? (Kayıt ve dosyalama sistemi kapsamlı, güncel ve belirlenmiş standartlara uygun olmalı, yönetici ve personel tarafından ulaşılabilir ve izlenebilir olmalıdır. Bu soru cevaplanırken Başbakanlık Standart Dosya Planı Genelgesi(2005/7) ile Elektronik Belge Standartları Genelgesi(2008/16) nde belirtilen hususlara uyulup uyulmadığı da değerlendirilmelidir.) Birim çalışanları iç kontrole ilişkin kontrol eksikliklerini ve risk oluşturacak diğer hususları üst yöneticiye bildiriyor mu? BT sistemine ilişkin istatistikler ve BT destek talepleri, sistemin iyileştirilmesi amacıyla düzenli olarak takip ediliyor mu?

Performans 1 göstergelerinin hedef ve gerçekleşme düzeyinin izlenmesi ve değerlendirilmesi amacıyla idarenizde

- 17 0838 4280 9867 0443 9- 718 0832 408 9764 03

bütünleşik bir yönetim bilgi sistemi mevcut mudur?

TOPLAM PUAN- BİLGİ VE İLETİŞİM İZLEME

3748 892 6008 4794 3-

-107 3848 8290 6807 493

İZLEME: İç kontrol sistemi, Kurumun karşı karşıya kaldığı risklere ve değişikliklere sürekli olarak uyum göstermesi gereken dinamik bir süreçtir. Bu nedenle, iç kontrol sisteminin; değişen hedeflere, ortama, kaynaklara ve risklere gerektiği biçimde uyum göstermesini sağlamak amacıyla izlenmesi gerekir. Etkili ve verimli bir izlemenin temelinde Kurumun hedefleri ile ilgili, anlamlı, risklere yönelik önemli kontrollerin değerlendirildiği izleme prosedürlerinin tasarlanması ve uygulanması yatar. İzleme, doğru tasarlanıp uygulandığında, Kuruma iç kontrol sisteminin etkinliği hakkında doğru ve ikna edici bilgi sağlar, iç kontrol aksaklıklarını zamanında tespit eder ve düzeltici önlem alacak kişilere ve gerektiğinde üst yönetime iletir. Böylece, kontrol sürecinde karşılaşılan aksaklıkların Kurumun hedeflerine önemli bir zarar vermeden düzeltilmesi sağlanmış olur. Biriminizde iç kontrolün etkili bir şekilde 1 işleyip işlemediği konusunda 1 yöneticilere geri bildirimde bulunmaya olanak sağlayacak toplantılar düzenleniyor mu? Biriminizde faaliyetlerin yürütülmesi 2 sırasında sürekli izleme yapılmakta 2 mıdır? (Mali raporların ve faaliyet raporlarının gözden geçirilmesi ve değerlendirilmesi, üçüncü şahıslardan gelen şikayet ve iddiaların araştırılması vb. sürekli izleme faaliyetleri ile sorunlar daha çabuk tespit edilip kontrol aksaklıkları için zamanında gerekli önlemler alınabildiğinden Kurumun öncelikle sürekli izleme faaliyetlerine ağırlık vermesi önerilmektedir.) Biriminizde özel değerlendirme 3 kapsamında öz değerlendirme 3 çalıştayları, soru formları/anketler ve çalışma grupları vasıtasıyla iç kontrol sistemi izleniyor mu? (Biriminizde iç kontrol sisteminin hangi aralıklarla değerlendirildiği ve kullanılan yöntem hakkında bilgi veriniz. İç kontrol sistemi süreklilik temelinde izlenmeli gerektiğinde de özel değerlendirme yöntemleriyle değerlendirilmelidir.) İç Kontrol Sistemi Değerlendirme Raporu yıllık olarak hazırlanmakta 4 mıdır?

3748 892 6008 4794 3-

- 17 0838 4280 9867 0443 9- 718 0832 408 9764 03

-107 3848 8290 6807 493

İç kontrolün değerlendirilmesinde, 4 yöneticilerin görüşleri, kişi ve/veya kurumların talep ve şikayetleri ile iç ve dış denetim sonucunda düzenlenen raporlar dikkate alınmakta mı? İç kontrolün değerlendirilmesi 6 sonucunda alınması gereken önlemler belirlenip uygulanıyor mu? (Biriminizde önlemlerin izlenmesinden sorumlu kişi ve birim ile izleme yöntemine ilişkin kısaca bilgi veriniz. İzleme sonuçları hangi yönetim kademesiyle ve hangi aralıklarla paylaşılıyor? Belirtiniz.) İç Denetim Birimi tarafından hazırlanan yıllık değerlendirme raporlarında iç kontrol sistem denetimine yer verilmekte midir? Biriminizde, iç denetim raporlarına 6 istinaden alınması gereken önlemlere ilişkin hazırlanan eylem planları izleniyor mu? (Cevabınız “evet” ise kullanılan izleme yöntemi hakkında bilgi veriniz.) Faaliyet raporları her yıl düzenli olarak ilgili mevzuata uygun olacak şekilde hazırlanmakta ve kamuoyuna açıklanmakta mıdır? Kurum İç Kontrol Standartları Eylem Planı mevzuatta belirlenen standartları karşılıyor mu? Kamu İç Kontrol Standartlarına Uyum Eylem Planlarında yer alan faaliyetlerin gerçekleşme durumu izlenip raporlanmakta mıdır? (Cevabınız evet ise hangi sıklıkta izlenmektedir ve hangi düzeydeki yöneticilere sunulmaktadır?) TOPLAM PUAN – İZLEME GENEL TOPLAM:

- 17 0838 4280 9867 0443 9- 718 0832 408 9764 03 Ek-2

SOSYAL GÜVENLİK KURUMU BAŞKANLIĞI İÇ KONTROL SİSTEMİ DEĞERLENDİRME RAPORU ……… YILI İÇİNDEKİLER I- GİRİŞ

A. Misyon ve Vizyon Kurumun stratejik planda yer alan misyon ve vizyon tanımına bu bölümde yer verilmelidir.

B. Organizasyon Yapısı

Bu bölümde Kurumun teşkilat yapısına değinilmelidir.

II. İÇ KONTROL SİSTEMİ SORU FORMU SONUÇLARI

Soru formu sonuçları yorumlanmalı ve her bir iç kontrol bileşenine ilişkin güçlü yanlar ve geliştirilmesi gerekli alanlara ilişkin birimler itibariyle özet bilgilere bu bölümde yer verilmelidir.

-107 3848 8290 6807 493

II.1.Kontrol Ortamı II.2.Risk Değerlendirme II.3.Kontrol Faaliyetleri II.4.Bilgi ve İletişim II.5.İzleme

III. DİĞER BİLGİLER

3748 892 6008 4794 3-

İç kontrol sisteminin değerlendirilmesinde kullanılması önerilen bilgi kaynaklarından elde edilen verilere aşağıdaki bölümde yer verilmelidir. III.1. İç Denetim Sonuçları

III.2.Dış Denetim Sonuçları

Değerlendirmede iç denetim faydalanıldığı açıklanmalıdır.

sonuçlarından

nasıl

Sayıştay tarafından dış denetim yapılmış ise değerlendirmede dış denetim sonuçlarının nasıl yorumlandığı açıklanmalıdır.

Ön Mali Kontrole İlişkin Veriler

- 17 0838 4280 9867 0443 9- 718 0832 408 9764 03

III.3.Diğer Bilgi Kaynakları

Değerlendirmede ön mali kontrole ilişkin veriler, kişi ve/veya idarelerin talep ve şikayetleri ve diğer bilgiler kullanılmış ise aşağıda açıklanmalıdır. Ön mali kontrole ilişkin Kurum içi düzenlemeler var ise söz konusu düzenlemeler değerlendirilmelidir. Ayrıca yıl içerisinde ön mali kontrole tabi tutulan mali karar ve işlemlerin tür ve tutar itibariyle konsolide özetine, uygun görülen ve uygun görülmeyen mali karar ve işlemler ile uygun görülmediği halde harcama birimlerince gerçekleştirilen işlemlere bu bölümde yer verilmelidir.

Kişi ve/veya İdarelerin Talep ve Şikayetleri

Kişi ve/ veya idarelerin talep ve şikayetlerinin iç kontrol sisteminin değerlendirilmesinde nasıl kullanıldığına ve ortaya çıkan sonuçlara bu bölümde yer verilmelidir.

Diğer Bilgiler

Yukarıda açıklananlar dışında bilgiler de kullanılmış ise bu bölümde yer verilmelidir.

IV. İÇ KONTROL SİSTEMİNİN GELİŞİMİ

Bir önceki İç Kontrol Sistemi Değerlendirme Raporundan bu yana iç kontrol sistemi ile ilgili olarak kaydedilen ilerleme/gerileme nedenleriyle birlikte bu bölümde açıklanmalıdır. V. SONUÇ VE ÖNERİLER

-107 3848 8290 6807 493

Dış denetim ve iç denetim raporları, soru formları ve diğer bilgi kaynakları kullanılarak yapılan değerlendirme sonucunda Kurumun iç kontrol sistemindeki güçlü yönlerine ve iyileştirmeye açık alanlarına ve bu alanların güçlendirilmesi için atılması gereken adımlara bu bölümde yer verilmelidir. V.1. Güçlü Yönler

3748 892 6008 4794 3-

V.2. İyileştirmeye Açık Alanlar V.3. Eylem İçin Öneriler

3748 892 6008 4794 3-

-107 3848 8290 6807 493

- 17 0838 4280 9867 0443 9- 718 0832 408 9764 03 Ek-3

Kendi firmanızla deneyin

Kayıt ücretsizdir, kredi kartı istenmez. Firmanızı ve işyerinizi ekleyin; çalışan listesini sistem SGK kayıtlarından kendisi okur.

Ücretsiz kayıt Demo ve teklif isteyin