Bir due diligence oturumunda, finans direktörüne satın alma siparişlerinin kim tarafından onaylandığı sorulduğunda alınan cevap genellikle iki aşamalıdır: önce bir onay eşiği tarif edilir, ardından, çoğu zaman aynı cümlenin ikinci yarısında, bu eşiğin acil durumlarda nasıl esnetildiği anlatılır. Aynı görüşmede, son on iki ayda eşiğin kaç kez esnetildiği sorulduğunda cevap nadiren bir sayıdır; genellikle bir sıklık tahmini, bazen de bunun istisnai olduğuna dair bir güvence gelir. İki cevap arasındaki mesafe, iç kontrol sisteminin gerçek durumu hakkında politika metninin tamamından daha fazla bilgi taşır, zira birinci cevap tasarımı, ikinci cevap ise fiilî işleyişi anlatır. İnceleme tarafının o anda kaydettiği şey siparişin onaylanıp onaylanmadığı değil, sapmanın kurum içinde bir olay olarak kayda geçip geçmediğidir.
Benzer bir örüntü, banka hesabı erişimlerinin, müşteri iskonto yetkisinin, stok sayım farklarının ve tedarikçi ana verisindeki değişikliklerin konuşulduğu her başlıkta tekrarlanır. Şirketin kendi anlatısında bu alanlar kontrollüdür, çünkü her birinde deneyimli ve güvenilir bir kişi vardır; incelemenin sorduğu soru ise güvenilirlik değil, ikame edilebilirliktir. Kontrolün kalitesini belirleyen şey, onu uygulayan kişinin titizliği değil, o kişi bir hafta ulaşılamaz olduğunda sürecin aynı standartla yürüyüp yürümediğidir. Bu ayrım, orta ölçekli şirketlerde çoğu zaman hiç test edilmemiştir, çünkü şirket bugüne kadar bu testi yapmayı gerektiren bir olay yaşamamıştır.
Bu davranışın altındaki mekanizma bir ihmal değil, bir maliyet hesabıdır. Büyüyen bir şirkette kontrol, ilk kurulduğu anda saf bir sürtünme kalemidir: onay adımı ekler, kararı yavaşlatır, kişilerin yargısına duyulan güveni prosedürle ikame ettiği için kültürel olarak da bir güvensizlik sinyali gibi okunur. Kurucunun ya da üst yönetimin doğrudan görüş alanının şirketin tamamını kapsadığı ölçekte, bu sürtünmeden kaçınmak fazlasıyla rasyoneldir; gözle görülen bir organizasyonda ikinci imza gerçekten de marjinal bir koruma sağlar. Sorun kısayolun kendisinde değil, kısayolun geçerlilik koşulu ortadan kalktıktan sonra da yürürlükte kalmasındadır — şube sayısı, ürün hattı, tedarikçi tabanı ve personel devri gözle takip edilebilir eşiği aştığında, kontrol boşluğu aynı yerde durur, fakat artık koruduğu bir şey kalmamıştır.
İkinci bir mekanizma, kontrolün varlığını belgelendirme biçiminde çalışır. Pek çok şirkette bir iç kontrol dokümantasyonu, bir denetim gerekliliği ya da bir kredi başvurusu vesilesiyle bir kez yazılmış, imzalanmış ve klasöre kaldırılmıştır; metin doğrudur, süreçler doğru tarif edilmiştir, ancak yazıldığı tarihten sonra organizasyon şeması iki kez, ERP kurulumu bir kez, tedarikçi ödeme akışı ise defalarca değişmiştir. Belge güncellenmediği için politika ile uygulama arasındaki açık zamanla sessizce genişler, ve bu açık şirket içinde bir sorun olarak hiç görünmez, çünkü kimse belgeyi okumaz. Açık ancak dışarıdan biri belgeyi okuyup uygulamayla karşılaştırdığında ortaya çıkar; o an da tipik olarak inceleme masasıdır.
Kurumsal bedel, ilk bakışta beklenenden farklı bir kanaldan gelir. Zayıf iç kontrolün maliyeti, çoğu şirkette gerçekleşmiş bir suistimal ya da kayıp kalemi olarak gelir tablosunda görünmez; görünen tarafı genellikle küçüktür ve tek seferlik gider olarak açıklanabilir. Asıl bedel, şirketin ürettiği her sayının doğrulama maliyetinin yükselmesidir: mutabakatı düzenli yapılmayan bir cari hesap tablosu, sayım farkı kaydı tutulmayan bir stok kalemi ya da onay izi olmayan bir iskonto politikası, incelemede reddedilmez, fakat ek prosedüre tabi tutulur. Ek prosedür süre, ücret ve — en önemlisi — kapanış takviminde belirsizlik üretir; alıcı tarafında bu belirsizlik nadiren fiyat pazarlığı olarak açıkça dile getirilir, tipik olarak yapı içinde absorbe edilir.
Yapı içinde absorbe edilmesinin somut biçimleri bellidir. Temsil ve tekeffül kapsamı genişler, çünkü alıcı doğrulayamadığı her alanı satıcı beyanına dayandırmak zorundadır; escrow oranı ve süresi yukarı çekilir, zira beyanın arkasında tutulacak bir teminat gerekir; kapanış öncesi koşullar listesine, normalde entegrasyon aşamasına bırakılacak düzeltmeler taşınır. Bazı işlemlerde bunun yerine ya da buna ek olarak, satın alma bedelinin bir kısmı earn-out yapısına kaydırılır ve earn-out'un ölçüm tabanı, ironik biçimde, güvenilirliği sorgulanan aynı raporlama altyapısına dayandırılır — bu da kapanış sonrasında hesaplama uyuşmazlıklarının en verimli kaynağı hâline gelir. Değerleme çarpanı çoğu zaman aynı kalır; değişen şey, çarpanın uygulandığı kazanç tabanının ne kadarının nakde döneceğine ilişkin güven aralığıdır.
Sahiplik boyutu, bu bedelin en doğrudan okunduğu yerdir. İç kontrolün kurumsal sahibi olmayan şirketlerde sorumluluk fiilen finans fonksiyonuna, finans fonksiyonu içinde de tek bir kişiye toplanmıştır; aynı kişi hem işlemi kaydeder, hem mutabakatı yapar, hem de istisnayı onaylar. Bu konfigürasyon, görev ayrılığının ihlali olarak teknik bir bulgu üretmenin ötesinde, kurucu bağımlılığının bilanço dışındaki en okunaklı kanıtıdır: incelemeyi yapan taraf, o kişinin kapanış sonrasında ayrılması hâlinde şirketin kendi rakamlarını üretme kapasitesinin ne olacağını hesaplamak zorunda kalır. Yönetim kurulu düzeyinde ise soru daha basittir — kurul, iç kontrol istisnalarını hangi periyotta, hangi formatta ve kimden görmektedir. Bu sorunun cevabı bir gündem maddesi ve bir tutanak satırıyla verilemiyorsa, kurulun gözetim işlevi fiilen tanımsızdır.
Ölçüm boyutunda aranan şey, yaygın beklentinin aksine, hata oranının düşüklüğü değildir. Sıfır istisna raporlayan bir sistem, iyi çalıştığını değil, istisnaları kaydetmediğini gösterir; olgun bir inceleme tarafı bunu bir güven işareti olarak değil, bir ölçüm boşluğu olarak okur. Anlamlı gösterge, hatanın hangi aşamada yakalandığıdır: kaynakta mı, mutabakatta mı, dönem kapanışında mı, yoksa dış denetimde mi. Bu dağılımın zaman içindeki hareketi, kontrol sisteminin olgunlaşıp olgunlaşmadığını, ay sonu kapanış süresi ya da düzeltme kaydı sayısı gibi birkaç sade göstergeyle birlikte, herhangi bir politika metninden daha güvenilir biçimde anlatır.
BEIREK'in bu alandaki müdahalesi, yeni bir kontrol politikası yazmakla değil, mevcut uygulamanın haritasını çıkarmakla başlar. Nakit, satın alma, satış-fiyatlandırma, stok ve ana veri hatlarında fiilen kimin neyi onayladığı, sistem yetki matrisinden değil, son dönemin gerçek işlem örneklerinden geri okunur; politika metni ile bu geri okuma arasındaki her sapma, düzeltilmeden önce bir istisna kaydı olarak tutulur. Ardından üç bileşen kurulur: görev ayrılığının fiilen sağlanamadığı noktalarda telafi edici kontroller — ikinci gözden geçirme, periyodik bağımsız mutabakat, eşik üstü işlemlerde çift onay —; istisnaların merkezî ve tarihli biçimde kaydedildiği tek bir kütük; ve bu kütüğün yönetim kuruluna sabit bir gündem maddesi olarak taşındığı bir raporlama ritmi.
Süreklilik, ayrı bir tasarım kararı olarak ele alınır; kontrolün kişiye değil role bağlanması, ancak rolün devredilebilir hâle getirilmesiyle mümkündür. Bu nedenle her kritik kontrol için, o kontrolü uygulayan kişinin bulunmadığı bir haftayı simüle eden bir devir prosedürü tanımlanır ve prosedür yılda en az bir kez fiilen çalıştırılır; çalıştırılmayan bir yedeklilik planı, yazılmamış olanla aynı doğrulama değerine sahiptir. Aynı mantık dokümantasyona da uygulanır: kontrol tanımları organizasyon değişikliği, sistem değişikliği ve yeni iş hattı açılışına bağlı tetikleyicilerle güncellenir, takvim temelli yıllık bir gözden geçirmeyle değil, zira takvim temelli gözden geçirme değişikliğin gerçekleştiği anla nadiren örtüşür.
Bu müdahalelerin toplam etkisi, incelemeye giren şirketin cevap verme biçiminde görünür. Kontrol sistemi kurulmuş bir şirkette, onay eşiğinin kaç kez esnetildiği sorusuna verilen cevap bir sayıdır ve arkasında tarihli bir kayıt vardır; sapmaların varlığı bu şirketi zayıf değil, ölçülebilir kılar. İnceleme tarafının fiyatladığı şey riskin yokluğu değildir — hiçbir işletmede risk yoktur denemez — fiyatladığı şey riskin bilinip bilinmediğidir, ve bilinen risk yapı içinde dar bir başlıkla yönetilirken, bilinmeyen risk kapsamı geniş bir teminat talebine dönüşür. İki durum arasındaki fark, çoğu orta ölçekli işlemde, kontrol altyapısının kurulması için gereken toplam maliyetin birkaç katıdır.
Bir şirketin iç kontrol sistemi hakkında sorulabilecek en açıklayıcı tek soru, kaç kontrolün tanımlı olduğu değil, geçen yıl kaç kontrolün istisnaya uğradığı ve o istisnaların kim tarafından, ne zaman ve hangi kayıtla onaylandığıdır; bu sorunun cevabını hazır bulunduran bir organizasyon, kendi sayılarına duyduğu güveni beyanla değil, izle göstermiş olur.