--- title: "İç Kontrol Sistemi: Şirketin Kendi Sayılarına Ne Kadar Güvendiğinin Kaydı" description: "İç kontrol sistemi, bir yatırım incelemesinde şirketin raporladığı sayıların doğrulanabilirlik zeminini belirler; zayıf olduğunda etki gelir tablosunda değil, değerleme çarpanının uygulandığı güven aralığında görünür. İnceleme tarafı kontrolün yazılı olup olmadığından çok, kurucudan bağımsız işleyip işlemediğine ve istisnaların kayda geçip geçmediğine bakar." url: https://www.beirek.com/tr/blog/internal-control-system-valuation-diligence canonical: https://www.beirek.com/tr/blog/internal-control-system-valuation-diligence published: 2026-08-04 modified: 2026-08-04 category: "Yönetim Kurulu ve Yönetişim" category_url: https://www.beirek.com/tr/blog/category/board-governance language: tr-TR reading_time_minutes: 8 publisher: BEIREK LLC publisher_url: https://www.beirek.com license: "© BEIREK LLC — citation with attribution and link permitted" keywords: ["iç kontrol sistemi","due diligence","kurumsal yönetişim","görev ayrılığı","değerleme iskontosu","yatırım hazırlığı","escrow"] topics: ["İç kontrol tasarımı ve fiilî uygulama arasındaki açık","Kontrol zafiyetinin işlem yapısı ve escrow üzerinden fiyatlanması","Görev ayrılığı, sahiplik ve kurucu bağımlılığı ilişkisi","Kontrol istisnalarının kaydı ve yönetim kurulu gözetimi"] alternate_language_url: https://www.beirek.com/en/blog/internal-control-system-valuation-diligence --- # İç Kontrol Sistemi: Şirketin Kendi Sayılarına Ne Kadar Güvendiğinin Kaydı > **Kısaca:** İç kontrol sistemi, bir yatırım incelemesinde şirketin raporladığı sayıların doğrulanabilirlik zeminini belirler; zayıf olduğunda etki gelir tablosunda değil, değerleme çarpanının uygulandığı güven aralığında görünür. İnceleme tarafı kontrolün yazılı olup olmadığından çok, kurucudan bağımsız işleyip işlemediğine ve istisnaların kayda geçip geçmediğine bakar. *İç kontrol, denetim raporunun bir eki değil, şirketin ürettiği her sayının arkasındaki güven zinciridir. Bir inceleme masasında aranan şey kontrol listesinin varlığı değil, kontrolün kimden bağımsız çalıştığı, hangi sıklıkta test edildiği ve istisnanın nasıl kaydedildiğidir.* --- Bir due diligence oturumunda, finans direktörüne satın alma siparişlerinin kim tarafından onaylandığı sorulduğunda alınan cevap genellikle iki aşamalıdır: önce bir onay eşiği tarif edilir, ardından, çoğu zaman aynı cümlenin ikinci yarısında, bu eşiğin acil durumlarda nasıl esnetildiği anlatılır. Aynı görüşmede, son on iki ayda eşiğin kaç kez esnetildiği sorulduğunda cevap nadiren bir sayıdır; genellikle bir sıklık tahmini, bazen de bunun istisnai olduğuna dair bir güvence gelir. İki cevap arasındaki mesafe, iç kontrol sisteminin gerçek durumu hakkında politika metninin tamamından daha fazla bilgi taşır, zira birinci cevap tasarımı, ikinci cevap ise fiilî işleyişi anlatır. İnceleme tarafının o anda kaydettiği şey siparişin onaylanıp onaylanmadığı değil, sapmanın kurum içinde bir olay olarak kayda geçip geçmediğidir. Benzer bir örüntü, banka hesabı erişimlerinin, müşteri iskonto yetkisinin, stok sayım farklarının ve tedarikçi ana verisindeki değişikliklerin konuşulduğu her başlıkta tekrarlanır. Şirketin kendi anlatısında bu alanlar kontrollüdür, çünkü her birinde deneyimli ve güvenilir bir kişi vardır; incelemenin sorduğu soru ise güvenilirlik değil, ikame edilebilirliktir. Kontrolün kalitesini belirleyen şey, onu uygulayan kişinin titizliği değil, o kişi bir hafta ulaşılamaz olduğunda sürecin aynı standartla yürüyüp yürümediğidir. Bu ayrım, orta ölçekli şirketlerde çoğu zaman hiç test edilmemiştir, çünkü şirket bugüne kadar bu testi yapmayı gerektiren bir olay yaşamamıştır. Bu davranışın altındaki mekanizma bir ihmal değil, bir maliyet hesabıdır. Büyüyen bir şirkette kontrol, ilk kurulduğu anda saf bir sürtünme kalemidir: onay adımı ekler, kararı yavaşlatır, kişilerin yargısına duyulan güveni prosedürle ikame ettiği için kültürel olarak da bir güvensizlik sinyali gibi okunur. Kurucunun ya da üst yönetimin doğrudan görüş alanının şirketin tamamını kapsadığı ölçekte, bu sürtünmeden kaçınmak fazlasıyla rasyoneldir; gözle görülen bir organizasyonda ikinci imza gerçekten de marjinal bir koruma sağlar. Sorun kısayolun kendisinde değil, kısayolun geçerlilik koşulu ortadan kalktıktan sonra da yürürlükte kalmasındadır — şube sayısı, ürün hattı, tedarikçi tabanı ve personel devri gözle takip edilebilir eşiği aştığında, kontrol boşluğu aynı yerde durur, fakat artık koruduğu bir şey kalmamıştır. İkinci bir mekanizma, kontrolün varlığını belgelendirme biçiminde çalışır. Pek çok şirkette bir iç kontrol dokümantasyonu, bir denetim gerekliliği ya da bir kredi başvurusu vesilesiyle bir kez yazılmış, imzalanmış ve klasöre kaldırılmıştır; metin doğrudur, süreçler doğru tarif edilmiştir, ancak yazıldığı tarihten sonra organizasyon şeması iki kez, ERP kurulumu bir kez, tedarikçi ödeme akışı ise defalarca değişmiştir. Belge güncellenmediği için politika ile uygulama arasındaki açık zamanla sessizce genişler, ve bu açık şirket içinde bir sorun olarak hiç görünmez, çünkü kimse belgeyi okumaz. Açık ancak dışarıdan biri belgeyi okuyup uygulamayla karşılaştırdığında ortaya çıkar; o an da tipik olarak inceleme masasıdır. Kurumsal bedel, ilk bakışta beklenenden farklı bir kanaldan gelir. Zayıf iç kontrolün maliyeti, çoğu şirkette gerçekleşmiş bir suistimal ya da kayıp kalemi olarak gelir tablosunda görünmez; görünen tarafı genellikle küçüktür ve tek seferlik gider olarak açıklanabilir. Asıl bedel, şirketin ürettiği her sayının doğrulama maliyetinin yükselmesidir: mutabakatı düzenli yapılmayan bir cari hesap tablosu, sayım farkı kaydı tutulmayan bir stok kalemi ya da onay izi olmayan bir iskonto politikası, incelemede reddedilmez, fakat ek prosedüre tabi tutulur. Ek prosedür süre, ücret ve — en önemlisi — kapanış takviminde belirsizlik üretir; alıcı tarafında bu belirsizlik nadiren fiyat pazarlığı olarak açıkça dile getirilir, tipik olarak yapı içinde absorbe edilir. Yapı içinde absorbe edilmesinin somut biçimleri bellidir. Temsil ve tekeffül kapsamı genişler, çünkü alıcı doğrulayamadığı her alanı satıcı beyanına dayandırmak zorundadır; escrow oranı ve süresi yukarı çekilir, zira beyanın arkasında tutulacak bir teminat gerekir; kapanış öncesi koşullar listesine, normalde entegrasyon aşamasına bırakılacak düzeltmeler taşınır. Bazı işlemlerde bunun yerine ya da buna ek olarak, satın alma bedelinin bir kısmı earn-out yapısına kaydırılır ve earn-out'un ölçüm tabanı, ironik biçimde, güvenilirliği sorgulanan aynı raporlama altyapısına dayandırılır — bu da kapanış sonrasında hesaplama uyuşmazlıklarının en verimli kaynağı hâline gelir. Değerleme çarpanı çoğu zaman aynı kalır; değişen şey, çarpanın uygulandığı kazanç tabanının ne kadarının nakde döneceğine ilişkin güven aralığıdır. Sahiplik boyutu, bu bedelin en doğrudan okunduğu yerdir. İç kontrolün kurumsal sahibi olmayan şirketlerde sorumluluk fiilen finans fonksiyonuna, finans fonksiyonu içinde de tek bir kişiye toplanmıştır; aynı kişi hem işlemi kaydeder, hem mutabakatı yapar, hem de istisnayı onaylar. Bu konfigürasyon, görev ayrılığının ihlali olarak teknik bir bulgu üretmenin ötesinde, kurucu bağımlılığının bilanço dışındaki en okunaklı kanıtıdır: incelemeyi yapan taraf, o kişinin kapanış sonrasında ayrılması hâlinde şirketin kendi rakamlarını üretme kapasitesinin ne olacağını hesaplamak zorunda kalır. Yönetim kurulu düzeyinde ise soru daha basittir — kurul, iç kontrol istisnalarını hangi periyotta, hangi formatta ve kimden görmektedir. Bu sorunun cevabı bir gündem maddesi ve bir tutanak satırıyla verilemiyorsa, kurulun gözetim işlevi fiilen tanımsızdır. Ölçüm boyutunda aranan şey, yaygın beklentinin aksine, hata oranının düşüklüğü değildir. Sıfır istisna raporlayan bir sistem, iyi çalıştığını değil, istisnaları kaydetmediğini gösterir; olgun bir inceleme tarafı bunu bir güven işareti olarak değil, bir ölçüm boşluğu olarak okur. Anlamlı gösterge, hatanın hangi aşamada yakalandığıdır: kaynakta mı, mutabakatta mı, dönem kapanışında mı, yoksa dış denetimde mi. Bu dağılımın zaman içindeki hareketi, kontrol sisteminin olgunlaşıp olgunlaşmadığını, ay sonu kapanış süresi ya da düzeltme kaydı sayısı gibi birkaç sade göstergeyle birlikte, herhangi bir politika metninden daha güvenilir biçimde anlatır. BEIREK'in bu alandaki müdahalesi, yeni bir kontrol politikası yazmakla değil, mevcut uygulamanın haritasını çıkarmakla başlar. Nakit, satın alma, satış-fiyatlandırma, stok ve ana veri hatlarında fiilen kimin neyi onayladığı, sistem yetki matrisinden değil, son dönemin gerçek işlem örneklerinden geri okunur; politika metni ile bu geri okuma arasındaki her sapma, düzeltilmeden önce bir istisna kaydı olarak tutulur. Ardından üç bileşen kurulur: görev ayrılığının fiilen sağlanamadığı noktalarda telafi edici kontroller — ikinci gözden geçirme, periyodik bağımsız mutabakat, eşik üstü işlemlerde çift onay —; istisnaların merkezî ve tarihli biçimde kaydedildiği tek bir kütük; ve bu kütüğün yönetim kuruluna sabit bir gündem maddesi olarak taşındığı bir raporlama ritmi. Süreklilik, ayrı bir tasarım kararı olarak ele alınır; kontrolün kişiye değil role bağlanması, ancak rolün devredilebilir hâle getirilmesiyle mümkündür. Bu nedenle her kritik kontrol için, o kontrolü uygulayan kişinin bulunmadığı bir haftayı simüle eden bir devir prosedürü tanımlanır ve prosedür yılda en az bir kez fiilen çalıştırılır; çalıştırılmayan bir yedeklilik planı, yazılmamış olanla aynı doğrulama değerine sahiptir. Aynı mantık dokümantasyona da uygulanır: kontrol tanımları organizasyon değişikliği, sistem değişikliği ve yeni iş hattı açılışına bağlı tetikleyicilerle güncellenir, takvim temelli yıllık bir gözden geçirmeyle değil, zira takvim temelli gözden geçirme değişikliğin gerçekleştiği anla nadiren örtüşür. Bu müdahalelerin toplam etkisi, incelemeye giren şirketin cevap verme biçiminde görünür. Kontrol sistemi kurulmuş bir şirkette, onay eşiğinin kaç kez esnetildiği sorusuna verilen cevap bir sayıdır ve arkasında tarihli bir kayıt vardır; sapmaların varlığı bu şirketi zayıf değil, ölçülebilir kılar. İnceleme tarafının fiyatladığı şey riskin yokluğu değildir — hiçbir işletmede risk yoktur denemez — fiyatladığı şey riskin bilinip bilinmediğidir, ve bilinen risk yapı içinde dar bir başlıkla yönetilirken, bilinmeyen risk kapsamı geniş bir teminat talebine dönüşür. İki durum arasındaki fark, çoğu orta ölçekli işlemde, kontrol altyapısının kurulması için gereken toplam maliyetin birkaç katıdır. Bir şirketin iç kontrol sistemi hakkında sorulabilecek en açıklayıcı tek soru, kaç kontrolün tanımlı olduğu değil, geçen yıl kaç kontrolün istisnaya uğradığı ve o istisnaların kim tarafından, ne zaman ve hangi kayıtla onaylandığıdır; bu sorunun cevabını hazır bulunduran bir organizasyon, kendi sayılarına duyduğu güveni beyanla değil, izle göstermiş olur. ## Ana Noktalar - İç kontrolün gerçek testi politikanın varlığı değil, kontrolü uygulayan kişi izinli olduğunda sürecin aynı biçimde işlemeye devam edip etmemesidir. - Belgelenmemiş kontrol, inceleme masasında var sayılmaz; doğrulanamayan uygulama, temsil ve tekeffül kapsamını genişleterek escrow oranını yukarı iter. - Kontrol istisnalarının kaydedilmediği şirketlerde risk yok görünmez, yalnızca ölçülemez hâle gelir ve bu belirsizlik iskonto olarak fiyatlanır. - Onay yetkisinin tek imzada toplanması, kurucu bağımlılığının bilanço dışında en görünür kanıtıdır ve kapanış sonrası geçiş riskini doğrudan artırır. - Kontrol sisteminin ölçülebilir olması, hata oranının sıfır olmasından değil, hatanın hangi aşamada yakalandığının bilinmesinden geçer. ## Sorular ### İç kontrol sistemi zayıf olan bir şirketin değerlemesi nasıl etkilenir? Etki genellikle çarpanın kendisinde değil, işlem yapısında görünür. Doğrulanamayan alanlar temsil ve tekeffül kapsamını genişletir, escrow oranını ve süresini yukarı çeker, kapanış öncesi koşul listesini uzatır. Bazı işlemlerde bedelin bir kısmı earn-out'a kaydırılır. Sonuçta satıcının eline geçen nakit tutar, başlık fiyatı aynı kalsa bile düşer ve kapanış takvimi belirsizleşir. ### Küçük bir şirkette görev ayrılığı sağlanamıyorsa ne yapılabilir? Personel sayısının görev ayrılığına izin vermediği durumda telafi edici kontroller kurulur: eşik üstü işlemlerde ikinci onay, periyodik ve bağımsız banka-cari mutabakatı, ana veri değişikliklerinin dönemsel gözden geçirilmesi, dış muhasebe veya danışman tarafından yapılan örneklem incelemesi. Belirleyici olan, bu telafi edici kontrollerin tanımlı, tarihli ve kayıtlı biçimde işletilmesidir; sözlü uygulama inceleme masasında doğrulanabilir sayılmaz. ### İç kontrol dokümantasyonu ne sıklıkla güncellenmelidir? Takvime bağlı yıllık gözden geçirme çoğu zaman yetersiz kalır, çünkü değişiklik takvimle örtüşmez. Daha etkili yaklaşım, güncellemeyi olaya bağlamaktır: organizasyon yapısında değişiklik, yeni sistem veya ERP modülü devreye alınması, yeni iş hattı ya da coğrafya açılışı, kritik bir rolde personel değişimi. Bu tetikleyicilere ek olarak yıllık bir kapsam kontrolü yapılması, belge ile uygulama arasındaki açığın genişlemesini sınırlar. ### Yatırımcı iç kontrol incelemesinde ilk olarak neye bakar? Politika metnine değil, nakit ve yetki hatlarına bakılır: banka hesaplarına kimin erişimi var, ödeme onayı kaç imzayla tamamlanıyor, satış iskontosu ve tedarikçi ana verisi kim tarafından değiştirilebiliyor. Ardından son dönemin gerçek işlem örnekleri üzerinden politikanın fiilen uygulanıp uygulanmadığı geri okunur. Sıfır istisna raporlayan bir sistem güven değil, ölçüm boşluğu işareti olarak değerlendirilir. --- Kaynak: https://www.beirek.com/tr/blog/internal-control-system-valuation-diligence Yayımlayan: BEIREK LLC — https://www.beirek.com