Dahili kontroller çerçevesi oluşturmanın en iyi uygulamaları ve bunların özel yazılımlarla pratik uygulanması.
“Kontroller” terimi, başlangıçta GRC (Yönetim, Risk, Uyum) alanında riskleri yönetmek ve uyumu sağlamak için kullanılan mekanizmaları tanımlamak amacıyla kullanılmıştır ve artık stratejik planlamada daha geniş bir şekilde uygulanmaktadır.
Bu makalede, kontrollerin kurulumu ve pratik kullanımı için en iyi uygulamaları paylaşacağız.
Dahili kontrollerin tanıtımı
Özünde, bir “kontrol”, riski yönetmek ve uyumluluğu sağlamak için kullanılan bir yanıt veya önleme mekanizmasıdır.
Örnek kontrol: “Çalışan şirketten ayrıldı”
- Eylem Planı: E-postaları yönlendir
- Eylem Planı: Müşterileri bilgilendir
- Etkinlik metriği: Girişler devre dışı bırakıldı [Kanıta Dayalı]
- Etkinlik metriği: Bilgilendirilen müşteri yüzdesi
- Risk: İş akışının kesintiye uğraması
Kontrolün Bileşenleri
Kontrollerin belirli bileşenleri vardır:
- Kontrolün Tanımı.
- Kontrolün düzgün çalışmasını sağlamak için iç mekanikler (metrikler, eylem planları, izleme).
- Uygulanan bir kontrolün Sonuçları, raporlanır ve öğrenme döngüsü için girdi sağlar.
Otomasyon perspektifinden, bir kontrol:
- Hizalanmış ilerleme metrikleriyle basit bir eylem planı kadar veya
- Her biri kendi metrik seti, risk tahminleri, azaltma planları, bağlamsal bağımlılıklar ve sahipleri olan, hiyerarşik bir kontrol ve alt kontrol seti kadar karmaşık olabilir.
Kontrollerin belirli uygulama alanları vardır, belirli kontrollerin ne zaman etkinleştirilmesi gerektiğini tanımlar.
Kontrolleri stratejik planlamada uygulamak için kullanabileceğimiz araçları keşfedelim.
1. Kontrolün Tanımı
Başlangıç aşamasında, amacımız yönetim ekibinin geçmiş deneyimlerini uygun şekilde kontrol veya resmi yanıt mekanizmalarına dönüştürmektir.
Genel özellikler
Bir kontrolü tanımlamanın temelleri, ona anlamlı bir isim vermek ve amacını açıklama kısmında belirtmektir. Tanımlayın:
- Kontrolü tetikleyen durumları,
- Kontrolün kapsamını.
BSC Designer’da:
- Yeni bir öğe oluşturmak için Ekle düğmesini kullanın.
- Kontrolü, isim ve açıklama alanlarıyla tanımlayın.
- Kontrolü ilgili geçmiş hedefler, olaylar veya yasal gerekliliklerle çapraz bağlantı ile ilişkilendirin.
Destekleyici dokümantasyon
BSC Designer’da:
- Açıklama iletişim kutusu üzerinden bir kontrole belge ekle.
- Girişimler iletişim kutusu üzerinden kontrolün eylem planına belge ekle.
Özel Özellikler
BSC Designer’da:
- Kontrollerin gerekli özelliklerini özel alanlar üzerinden tanımlayın.
- Yeni alanlar kontroller, metrikler ve girişimler için kullanılabilir olacaktır.
Sahiplik
Örneğin, yazılım sürdürülebilirliği kontrolleri güncellemeleri otomatikleştirebilir, ancak bir güncelleme başarısız olursa, çatışmaları çözmek için bir BT uzmanına ihtiyaç vardır. BSC Designer’da:
- Kontrol için sorumlu kişileri kullanıcı olarak ekle; kişiyi bir ekibe ata.
- Kişiyi veya ekibi Sahibi alanından kontrolün sahibi olarak ata.
Sahipleri, kontrol ile ilgili bildirimleri alacaktır.
Sertifikasyon / Onay
BSC Designer’da:
- Kontrolün “Sertifikasyon durumu” ve “Sertifikalandıran” gibi özelliklerini tanımlamak için özel alanları kullan.
- Kontrolleri beyan ederken, yönetim ekibi bu özellikleri güncelleyebilir.
- Doğru sertifikasyona sahip olmayan kontrolleri belirlemek için raporlarda filtreleri kullan.
Sertifikasız kontrolü devre dışı bırakmak ancak skor kartında tutmak için:
- Bir kontrol seç.
- Performans sekmesine geç.
- Ham veri göstergesi onay kutusunu aktive et.
Kontrollerin stratejik uyumunu sağla
BSC Designer’da:
- Skor kartları arasında öğeleri kopyala ve yapıştır.
- İstendiğinde, iki öğeyi bağlamak için bağlamla bağlantı seçeneğini kullan.
Kontroller Kataloğu
BSC Designer’da:
- Kontrollere adanmış bir skor kartı oluşturun.
- Kontrolleri organize etmek için hiyerarşik bir yapı kullanın.
- Gerektiğinde, kontrolü aktif skor kartına kopyalayın.
2. Kontrollerin Nicel Analizi
Etkinlik Metrikleri
Kontroller için metrikler kullanmak, kontrolü daha belirgin hale getirir ve farklı yorumlamaları önler. İzlemek için metrikleri tanımlayın:
- Standartlara uyum
- Kontrolün etkinliği
- Eylem planlarının ilerlemesi
Örneğin, olay raporlamada:
- Verimlilik metriği, “Olay raporlamada eğitilen personelin %” olabilir.
- Etkinlik metriği, “Uygun şekilde iletilmeyen olayların %” olabilir.
BSC Designer’da:
- Metrikleri Kontrol öğesi içine eklemek için Ekle butonunu kullanın.
Genel Performans
BSC Designer’da:
- Bir ölçüt seçin
- Performans sekmesine geçin
- Ölçütün ağırlığını değiştirin
Kontrolün performansı/ilerlemesi ilgili sütunda gösterilecektir.
Verimlilik metrikleri
Bağlama bağlı olarak öncü metrikleri kullanın. Gecikmeli metriklerin aksine, öncü metrikler kontrolün genel performansına doğrudan katkıda bulunmaz, ancak kontrolün verimliliğini anlamada değerli içgörüler sunar.
BSC Designer’da:
- Bir metrik seçin
- Bağlam sekmesine geçin
- Metriğin türünü Öncü olarak değiştirin
Riskleri Tahmin Et
Bir kontrol, bir risk tanımını içerebilir veya bir risk kaydındaki risklerle hizalanabilir.
Risk tahmini şunlar olabilir:
- Kontrolün uygulanması için bir tetikleyici veya
- Belirli bir eylem yolunun seçilmesi için bir durum.
BSC Designer’da:
- Yeni bir gösterge oluştur
- Türünü ‘Risk’ olarak değiştir
- Risk Olasılığı ve Etkisi göstergelerini güncelle
İkili Kontrol
İkili göstergelerin olası durumları:
- Atanmamış – kontrolün bu kısmı henüz uygulanmadı
- Evet – kontrolün bu kısmının başarıyla uygulandığını belirtmek için
- Hayır – kontrolün bu kısmının başarıyla uygulanamadığını belirtmek için
Örnek: “Yeni belirlenen bir tehdidi dikkate alarak iş sürekliliği planının güncellenmesi” ikili bir gösterge ile otomatikleştirilebilir. BSC Designer’da:
- Bir gösterge seçin
- ‘Genel’ sekmesine geçin
- Ölçüm birimlerini “Evet/Hayır” olarak değiştirin
Niteliksel Kontrol
Niteliksel göstergeler, daha spesifik bir niceliksel tahmin geliştirilmediğinde veya geliştirilmesinin maliyet etkin olmadığı durumlarda kontroller için kullanılır.
Örnek: bir kontrol Politika Yönetimi ve İletişimi, olası durumlarla birlikte niteliksel bir metrik olan Uyum Politikalarının İletişim Etkinliği ile değerlendirilebilir:
- Son Derece Etkili (100): Çalışanlar uyum politikalarını açıkça anlıyor.
- Orta Derecede Etkili (60): Bazı çalışanlar politikaları anlıyor.
- Etkisiz (10): Çalışanlar genellikle politikalardan habersiz.
BSC Designer’da:
- Bir gösterge seçin
- Ölçü birimlerinin yanındaki Düzenle düğmesine tıklayarak özel ölçü birimleri ekleyin
Kantitatif Kontrol
Kontrolleri daha spesifik hale getirmek için kantitatif veya sayısal göstergeler kullanılır. Kantitatif göstergeler için performans formüllerini tanımlayabiliriz, örneğin, bir göstergenin mevcut durumu çıktı performansını nasıl etkiler.
Örnek: Belirli bir kontrolün uygulanmasının etkinliğini değerlendirmek için, % Politika Uyumunu izlemek amacıyla dahili bir denetim yaparız. Bu durumda, performans formülü, hedef = %100 olan lineer maksimizasyondur. Başka bir örnek, hedefi 24 saat olan lineer minimizasyon olarak yapılandırılmış Ortalama Tespit Süresi metriği olabilir.
BSC Designer’da:
- Performans fonksiyonunu tanımlamak için ‘Performans’ sekmesine geçin.
- Göstergenin mevcut durumu, başlangıç noktası ve hedefini tanımlamak için ‘Veri’ sekmesine geçin.
Kanıta dayalı kontrol
Kanıt göstergeleri, yüklenen belge/kanıt sayısına göre durumunu değiştirecektir.
Örneğin, yedekleme ve kurtarma test kontrolü kontrolün başarıyla gerçekleştirildiğine dair kanıt olarak test sonuçlarının veya günlüklerinin yüklenmesini gerektirebilir.
BSC Designer’da:
- Bir gösterge seç
- Ölçü birimini Kanıt olarak değiştir
- Göstergenin durumunu değiştirmek için belge yükle
3. Kontroller için girişimler
Eylem Planları
Eylem planını takip et
BSC Designer’da:
- Kontrole yeni bir girişim ekle.
- Girişim penceresini aç.
- ‘Hizalanmış KPI’ alanında ilerleme KPI’sını seç.
4. Zaman İçinde Kontrolleri İzle
Periyodik kontroller
Kontrolün mekaniklerinin gözden geçirilmesi örneği:
- Uyumluluk Kontrol Listelerinin Gözden Geçirilmesi – yıllık gözden geçirme
- Bilgi Tutma, % – üç aylık gözden geçirme
Kontrolün periyodik uygulanması örnekleri:
- Zafiyet Taraması – aylık gözden geçirme/güncelleme
Bir kez başlatılan kontrol örnekleri:
- İlk Risk Değerlendirmesi – bir kez güncellenecek
BSC Designer’da:
- Düzenli gözden geçirmeleri programlamak için göstergenin Güncelleme Aralığı ayarını kullanın.
Kontrol durumunu güncelle
BSC Designer’da:
- Bir kontrolün metriğini seç
- Dahili takvimde bir tarih seç
- ‘Veri’ sekmesine geç
- ‘Değer’ alanına yeni durumu gir
Kontrolün durumunu devral
Kontroller için kullanılan bazı göstergeler, daha önce bilinen durumlarını devralırken, diğerleri yalnızca özel olarak girilen güncellemeleri kullanır.
Örneğin:
- Eğitim alan çalışanların %’si – içkin bir gösterge olma ihtimali yüksektir, çünkü Mayıs ayında eğitim alan çalışanların yüzdesinin Haziran ayında aynı kalacağını veya artacağını varsayabiliriz.
- Aylık satış geliri – içkin olmayan bir gösterge olma ihtimali yüksektir, çünkü aylara göre gerçek satış verilerini izlemekle ilgileniyoruz.
BSC Designer’da:
- Bir gösterge seç
- Değerler Editörü düğmesine tıkla
- Göstergenin devralma türünü değiştir
5. Raporlama Kontrolleri
Panellerdeki kontroller
BSC Designer’da:
- Panel sekmesine geçin.
- Girişimler için Gantt şemaları, risk diyagramları ve kontroller ile durumlarının listelendiği diyagramlar dahil olmak üzere ilgili grafikler ekleyin.
Risk tahmini için kontroller
BSC Designer’da:
- Kontrolün gecikmeli bölümünü, veri ile risk kaydındaki Risk Etkisi veya Risk Tahmini metriklerine bağla.
Raporlardaki kontroller
BSC Designer’da:
- Çeşitli raporlar oluşturmak için ‘Rapor’ menüsünü kullanın
- Raporları paydaşlara otomatik olarak göndermek için ‘Rapor’ menüsündeki ‘Program’ düğmesini kullanın
Sorumluluk
BSC Designer’da:
- Kontrollerin tasarımı ve uygulanmasıyla ilgili tüm faaliyetler denetim kaydında saklanır.
- Hesap yöneticisi, Menü > Kullanıcılar > Denetim İzleri aracılığıyla denetim kayıtlarına erişebilir.
Bir Kontrol Kullanımının Pratik Örneği
Hadi pratik bir örneği tartışalım. Çalışan şirketten ayrıldığında aktive edilen kontrolü düşünün.
Örnek yapı:
GRC Kontrolleri Kütüphanesi. Kontroller Kütüphanesi
Kontroller kütüphanesinde, kontrollerden birinin “Çalışan şirketten ayrıldı” olduğu bir İK bölümüm var.
Bu kontrolün üç eylem planı vardır:
- E-postaları yönlendir.
- Müşterilerle iletişime geç.
- Bilgi aktarım planı.
Ayrıca iki metrik vardır:
- Girişler devre dışı bırakıldı (kanıta dayalı).
- Bilgilendirilen müşterilerin yüzdesi.
Kontrollerin periyodik gözden geçirilmesi için başka bir metrik kullanılır:
- Bilgi Tutulması (%)
Kontrol için bir risk tanımlanmıştır:
- Risk: İş Akışında Aksama
- Azaltma planı: Kritik işlevleri belgeleyin
Olaylar Skor kartı
Bir “İK olayları” adlı skor kartım var, burada ilgili İK olayları kaydedilir. Skor kartı, olay türüne göre organize edilmiştir.
Kontrolü Uygula
İşten ayrılan bir çalışan için izlenecek adımlar şunlardır:
- Olaylar skor kartında yeni bir olay oluşturun, örneğin, “Alex şirketten ayrıldı.”
- Kontroller kitaplığından uygun kontrolü Olaylar skor kartına kopyalayıp yapıştırın.
- Kontrolden sorumlu kişi, oluşturulan yeni eylem planları hakkında otomatik olarak bilgilendirilecektir.
- Girişlerin devre dışı bırakıldığına dair kanıtları (ekran görüntüleri) yükleyin.
- Müşterilere bildirin ve “Bildirilen müşteri yüzdesi” göstergesini güncelleyin.
- Eylem planlarının durumunu “İnceleniyor” olarak güncelleyin.
Daha fazla örnek
Kontrollerin kullanımına dair daha fazla örneği şu makalelerde bulabilirsiniz:
GRC Kontrolleri Kütüphanesi Şablonunu kullan
BSC Designer, organizasyonların karmaşık stratejilerini uygulamalarına yardımcı olur:
- Platformda ücretsiz bir plan için kaydolun.
- Başlangıç noktası olarak
GRC Kontrolleri Kütüphanesi şablonunu kullanın. Bunu Yeni > Yeni Skor kartı > Daha Fazla Şablonlar altında bulabilirsiniz. - Paydaşları ve stratejik hedefleri kapsamlı bir stratejiye uyumlu hale getirmek için Strateji Uygulama Sistemimizi takip edin.
Bugün başlayın ve BSC Designer'ın strateji uygulamanızı nasıl basitleştirebileceğini görün!
Alexis Savkin, strateji yürütme ve Kurumsal Karne yazılım platformu BSC Designer’ın kurucusu ve Strateji Uygulama Mimarıdır. Kuruluşların performans yönetimini otomatikleştirmesine ve stratejiyi ölçülebilir sonuçlara dönüştürmesine yardımcı olur. Alexis, “Strategy Execution Canvas”’ın yaratıcısı, strateji ve performans ölçümü üzerine 100’den fazla makalenin yazarı ve sektör etkinliklerinde düzenli konuşmacıdır.