ACFE Fraud Raporu 2024

ACFE (Suistimal İnceleme Uzmanları Derneği), 1988 yılında suistimal olaylarını ve beyaz yakalı suçları azaltmak ve bunların tespiti ve önlenmesinde üyelerine destek olmak amacıyla kurulan bir meslek örgütüdür.

ACFE’nin en önemli çalışmalarından biri, ilk olarak 1996 yılında hazırlanan ve daha sonra 2002 yılından itibaren iki yılda bir yayımlanan “İş Suistimali ve İstismar Üzerine Uluslara Rapor” çalışmasıdır. Raporun 2024 yılı versiyonu, “Occupational Fraud 2024: A Report to the Nations” adıyla yayımlanmış ve çalışmanın on üçüncü sayısı olmuştur. İlk rapordan bu yana incelenen suistimal vak’alarının sayısı 20.000’i aşmış durumdadır.

Raporun benim açımdan en değerli tarafı, suistimalin nasıl gerçekleştirildiğini anlatırken şirketlerin bu riski nasıl azaltabileceğini de göstermesi. Grafiklere biraz daha yakından bakıldığında, sık görülen suistimal ile yüksek kayba neden olan suistimalin her zaman aynı olmadığı bir kez daha görülüyor. 2024 raporunda dikkatimi çeken temel sonuç ise, bir suistimalin ortaya çıkarılma süresinin kısalmaya devam etmemesine rağmen yaşanan medyan kaybın artmış olması. Bu nedenle raporu, şirketlerin kontrol uygulamaları açısından okumakta fayda var. [1]

ACFE 2024 Suistimal Raporu

Çalışmanın metodolojisine kısaca değinmek gerekirse, 2024 raporu ACFE’nin Temmuz-Eylül 2023 döneminde 53.118 Sertifikalı Suistimal İnceleme Uzmanı’na (CFE) açtığı, 86 sorudan oluşan çevrim içi ankete dayanıyor. Katılımcılardan, Ocak 2022 ile anket tarihi arasında soruşturdukları en büyük tek iş suistimali vak’asını bildirmeleri istenmiş. Soruşturmanın tamamlanmış olması ve suistimali yapan kişinin ya da kişilerin makul bir kesinlikle belirlenmiş olması da değerlendirmeye alınma koşulları arasında bulunuyor.

Ankete verilen 7.463 yanıttan rapor için kullanılabilir bulunan 1.921 vak’a, 138 ülke ve bölgeyi kapsıyor. Önceki raporun 2.110 vak’a ve 133 ülkelik kapsamı ile kıyaslandığında, daha az vak’a ile daha geniş bir coğrafyaya ulaşılmış olduğu görülmektedir. Türkiye’den bildirilen vak’a sayısı ise 9 olmuş; önceki iki yazımda bu sayıları 2022 için 8, 2020 için 13 olarak paylaşmıştım.

Burada bir noktayı baştan ayırmak gerekiyor. Bu çalışma, bütün şirketlerin ya da dünyada gerçekleşen bütün suistimallerin sayımı değil; CFE’lerin soruşturduğu ve ankete bildirdiği vak’aların analizidir. Üstelik her uzmandan en büyük vak’asının istenmesi örneklemin yapısını etkiliyor. Bu nedenle bir bölgeden veya sektörden daha fazla vak’a bildirilmesi, o bölgede ya da sektörde suistimalin toplum genelinde daha yaygın olduğunu tek başına göstermiyor. Türkiye’den gelen 9 vak’adan da ülkemiz için genel bir suistimal oranı çıkarmak mümkün değil.

Rapordaki parasal tutarlar ABD doları cinsinden. Aksi belirtilmedikçe kullanılan ölçü aritmetik ortalama değil, medyan; yani sıralanan tutarların ortasındaki değerdir. Ayrıca her sorunun cevaplayan kitlesi farklılaşabildiği ve bazı sorularda birden fazla yanıt seçilebildiği için yüzdeleri her tabloda 1.921’e uygulamak ya da toplamlarını mutlaka %100’e tamamlamak doğru olmayacaktır. Bu ayrımları akılda tutarak rapordaki tespitlerin geniş bir özetini şu şekilde değerlendirebiliriz. [2]

• Suistimalin maliyeti şirketler açısından yine oldukça yüksek görünüyor.

Çalışmaya katılan CFE’ler, kuruluşların her yıl gelirlerinin yaklaşık %5’ini suistimal nedeniyle kaybettiğini tahmin ediyor. ACFE bu tahmini, 2022 yılına ait yaklaşık 101 trilyon dolarlık dünya ekonomik büyüklüğüne uyguladığında 5 trilyon doları aşan bir küresel kayıp ölçeği ortaya çıkıyor. Bu tutar ölçülmüş bir dünya toplamı değil; sorunun büyüklüğünü göstermek amacıyla yapılan bir projeksiyon.

Bildirilen vak’alardaki toplam tutar 3,1 milyar doların üzerinde, vak’a başına ortalama tutar 1.662.000 dolar ve medyan tutar 145.000 dolar olarak belirtilmiş. Vak’aların %22’sinde tutar en az 1 milyon dolar. Kayıp dağılımının alt çeyrek değeri 25.000 dolar, üst çeyrek değeri ise 750.000 dolar. Ortalama ile medyan arasındaki fark, büyük tutarlı bazı vak’aların toplamı ne kadar yukarı çektiğini gösteriyor. Şirket açısından yalnızca “tipik kayıp” ile ilgilenmek, seyrek gerçekleşen yüksek tutarlı bir vak’anın etkisini gözden kaçırabilir. [3]

• Suistimaller başlıca üç kategoriye ayrılmaya devam ediyor.

“Varlıkların kötüye kullanımı”, “yolsuzluk” ve “mali tablo suistimali”, önceki raporlarda olduğu gibi temel sınıflandırmayı oluşturuyor. Varlıkların kötüye kullanımı %89 ile en yaygın kategori iken medyan tutarı 120.000 dolar. Yolsuzluk vak’aların %48’inde görülüyor ve medyan tutarı 200.000 dolar. Mali tablo suistimali ise %5 ile en az görülen kategori olmasına karşın, 766.000 dolar ile en yüksek medyan tutara sahip.

Mali tablo suistimali için önemli bir yöntem farkı var. ACFE bu kategoriye ait tutarı belirlerken doğrudan nakit kaybını değil, mali tablolardaki fazla veya eksik gösterimin brüt büyüklüğünü soruyor. Bu nedenle 766.000 doları, şirket kasasından çalınan para gibi yorumlamamak gerekiyor. Yatırımcı, kredi veren ve diğer kullanıcıların yanlış bilgi ile karar alması, bu suistimal türünün etkisini muhasebe kayıtlarının da ötesine taşıyor.

Kategoriler birbirinden tamamen bağımsız değil. Vak’aların %38’i iki veya daha fazla türü birlikte içeriyor; yalnızca varlık suistimali ile yolsuzluğun birlikte bulunduğu vak’aların payı %35. Sadece mali tablo suistimali içeren vak’alar ise toplamın %1’i. Bunun şirketler açısından anlamı, ortaya çıkarılan bir yöntemi araştırırken aynı vak’ada başka yöntemlerin de kullanılmış olabileceğini dikkate almak gerektiği. [4]

• Varlık suistimallerinde faturalandırma hileleri ile gayrinakdi varlıkların kötüye kullanımı öne çıkıyor.

Bu iki yöntemin her biri tüm vak’aların %22’sinde görülmüş. Faturalandırma hilelerinde medyan kayıp 100.000 dolar, gayrinakdi varlık suistimalinde 66.000 dolar. Buna karşın çek ve ödeme üzerinde yapılan hileler, %11’lik görülme payına rağmen 155.000 dolarlık medyan kayıp ile varlık suistimalinin en maliyetli alt türü durumunda.

Bu yöntemleri kısaca açıklamak gerekirse; faturalandırma hilesinde gerçekte alınmayan bir mal ya da hizmet için ödeme yapılabiliyor, fatura tutarı şişirilebiliyor veya kişisel bir harcama şirkete yüklenebiliyor. Gayrinakdi varlık suistimalinde stokların çalınması kadar gizli müşteri bilgilerinin kötüye kullanılması da söz konusu. Çek ve ödeme hilesinde ise bir çekin değiştirilmesi veya şirketin tedarikçiye yapacağı elektronik ödemenin başka bir hesaba yönlendirilmesi gibi yöntemler kullanılıyor.

Diğer alt türler, gider ve masraf iadesi hileleri, elde bulunan nakdin çalınması, tahsilatın kayda girmeden alınması, kayda girdikten sonra çalınması, bordro hileleri ve kasa çıkışları üzerinden yapılan hilelerdir. Özellikle kayda girmeden alınan tahsilat ile kaydedildikten sonra çalınan tahsilat arasındaki fark, aranacak denetim izini değiştiriyor. Yalnızca muhasebe kayıtlarına bakarak, hiç kayda alınmamış bir satışın bütün izlerine ulaşmak mümkün olmayabilir. [5]

• Suistimalin ortaya çıkarılma süresinde önceki döneme göre ilave bir iyileşme görülmüyor.

Bir suistimalin başlaması ile tespit edilmesi arasında geçen sürenin medyanı 12 ay. Önceki yazılarda 2012, 2014 ve 2016 için 18 ay, 2018 için 16 ay, 2020 için 14 ay ve 2022 için 12 ay olarak paylaştığım sürelerin ardından, 2024’te aynı seviyede kalındığı görülüyor.

İlk altı ay içinde tespit edilen vak’alarda medyan kayıp 30.000 dolar iken, iki-üç yıl devam edenlerde 250.000 dolara, beş yıldan uzun sürenlerde 875.000 dolara ulaşıyor. Ayrıca faturalandırma, çek ve ödeme, masraf iadesi, bordro, kayda girmeyen tahsilat ve mali tablo suistimallerinde medyan süre 18 ay. Genel medyanın bir yıl olması, bütün yöntemlerin bir yıl içinde yakalandığı anlamına gelmiyor.

Raporda aylık tutar etkisi de incelenmiş. Genel değer aylık 9.900 dolar; mali tablo suistimalinde 42.600 dolar, yolsuzlukta 15.400 dolar. Bunlar raporun “suistimal hızı” ölçüleri; her şirket için gerçekleşecek sabit aylık kayıp tutarları değil. Bana göre bu bölüm, denetim planını sadece yöntemlerin kaç kez görüldüğüne göre oluşturmanın neden eksik kalacağını oldukça iyi anlatıyor. [6]

• Pandemi ile ilişkilendirilen değişiklikler raporun bu döneminde de etkili olmuş görünüyor.

Vak’aların %53’ünde, ankete yanıt veren uzmanlar en az bir pandemi bağlantılı unsurun suistimalin oluşmasına katkıda bulunduğunu belirtmiş. Personel değişiklikleri, uzaktan çalışmaya geçiş, süreç ve iç kontrol değişiklikleri bunlar arasında yer alıyor. Burada raporun 2024’te yayımlanması ile vak’aların 2024’te gerçekleşmesi aynı şey değil; araştırılan soruşturmalar Ocak 2022-Eylül 2023 dönemine ait.

ACFE’nin dönemler arası karşılaştırmasında genel medyan tutarın 2022’den 2024’e yaklaşık %24 arttığı, tespit süresinin ise aynı kaldığı görülüyor. Varlık suistimalindeki medyan tutar 100.000 dolardan 120.000 dolara, yolsuzlukta 150.000 dolardan 200.000 dolara, mali tablo suistimalinde 593.000 dolardan 766.000 dolara yükselmiş.

Bu karşılaştırmayı aynı şirketlerin zaman içindeki performansı gibi okumamak gerekiyor. Örneklemler farklı; tutarlar da sabit fiyatlarla düzeltilmiş bir seri değil. Dolayısıyla artışın tamamını pandemiye ya da kontrol zafiyetine bağlamak mümkün değil. Bununla birlikte süreçler değişirken yetki ve kontrol düzeninin de yeniden gözden geçirilmesi gerektiği, şirketler açısından açık bir ders olarak görünüyor. [7]

• Suistimalin gizlenmesinde fiziksel belgeler hâlâ önemli bir yer tutuyor.

Vak’aların %41’inde sahte fiziksel belge oluşturulmuş, %37’sinde fiziksel belgeler değiştirilmiş. Sahte elektronik belge ya da dosya oluşturulması %31, elektronik belgelerin değiştirilmesi ise %28 oranında görülüyor. Herhangi bir gizleme yönteminin kullanılmadığı vak’aların payı %11.

Dijitalleşen bir muhasebe sisteminde belgenin elektronik ortamda bulunması, işlemin gerçekliğini kendiliğinden doğrulamıyor. Sipariş, teslim alma, fatura ve ödeme kayıtlarının birbiri ile uyumu kadar belgenin kaynağı da önem taşıyor. Fiziksel belgelere ilişkin oranlar ise dijital denetim araçları kullanılırken klasik belge incelemesinin tamamen gözden çıkarılmaması gerektiğini gösteriyor. [8]

• Kripto varlıklar bu örneklemde sınırlı sayıda vak’ada kullanılmış.

Rapordaki vak’aların %4’ü kripto para ile bağlantılı. Bu alt gruptaki vak’aların %47’sinde suistimal yoluyla alınan varlıklar kripto paraya dönüştürülmüş, %33’ünde rüşvet veya komisyon niteliğindeki ödemeler kripto para ile yapılmış. Kripto varlıkların doğrudan kötüye kullanılması ve suç gelirlerinin kripto para ile aklanması da bildirilen kullanım biçimleri arasında yer alıyor.

Buradaki %47 ve %33, bütün vak’aların oranları değil; kripto para kullanılan vak’alar içindeki oranlar. Bulguyu şirketlerin alışıldık ödeme, stok ve yetki kontrollerini ikinci plana atacak şekilde yorumlamak doğru görünmüyor. Kripto varlık riski, şirketin bu varlıkları tutması, transfer etmesi veya işlemlerinde kabul etmesi ölçüsünde ayrıca değerlendirilmelidir. [9]

• Suistimalin ortaya çıkarılmasında en yaygın ve tutarlı yöntem yine ihbar.

Vak’aların %43’ü ihbarla ortaya çıkarılmış. İç denetim %14, yönetimin incelemeleri %13 ile sonraki iki sırada yer alıyor; bu üç yöntem birlikte ilk tespitlerin %70’ini oluşturuyor. İhbarların %52’si çalışanlardan, %21’i müşterilerden ve %11’i tedarikçilerden gelmiş. Bu nedenle ihbar mekanizmasını yalnızca şirket çalışanlarına duyurmak, önemli iki dış bilgi kaynağını ihmal etmek anlamına gelebilir.

Buna karşın dış denetimin ilk tespit yöntemi olarak payı %3. Tesadüfen tespit edilen vak’aların oranı ise %5. Önceki yazılarda da üzerinde durduğum bu fark, dış denetim hizmeti almanın şirketin suistimalle mücadele sorumluluğunu tek başına karşılamadığını bir kez daha gösteriyor. Buradaki %3, dış denetimin başarı oranı ya da bütün faydasının ölçüsü değil; rapora giren vak’alarda ilk tespitin hangi yolla yapıldığını gösteren oran. [10]

• İhbar hattı denildiğinde yalnızca bir telefon numarası düşünmemek gerekiyor.

İhbarla ortaya çıkan vak’alarda bildirimlerin %53’ü resmî bir bildirim mekanizması üzerinden yapılmış. Bu mekanizmalar içinde web tabanlı formların kullanım payı %40, e-postanın %37 ve telefon hattının %30. İlk kez ayrıca gösterilen kısa mesajın payı ise %3. Birden fazla kanal kullanılabildiği için bu oranlar birbirini dışlayan tercihler gibi değerlendirilmemeli.

Resmî bir mekanizma kullanılmadan yapılan ilk bildirimlerde doğrudan bağlı olunan yönetici %29 ile ilk sırada. Üst yöneticiler %16, iç denetim %14, suistimal inceleme ekibi %13 oranında ilk başvurulan taraf olmuş. Dolayısıyla ihbarların nasıl ele alınacağını yalnızca ihbar hattını yöneten kişilerin bilmesi yeterli görünmüyor; bölüm yöneticilerinin de bildirimi kayıt altına alma ve doğru yere iletme konusunda eğitilmesi gerekiyor.

Suistimal ortaya çıktıktan sonra bilgilendirilen taraflara bakıldığında ise yönetim %63, iç denetim %45, kurum içi hukuk veya uyum birimleri %42 ile öne çıkıyor. İlk ihbarı alan kişi ile daha sonra bilgilendirilen taraflar farklı soruların cevaplarıdır. Şirketin ilk bildirimden soruşturmaya geçiş sürecini önceden tanımlaması, bu ayrımın uygulamadaki karşılığı olarak düşünülebilir. [11]

• Proaktif yöntemlerle ortaya çıkarılan vak’alarda süre ve kayıp daha düşük görünüyor.

Otomatik işlem veya veri izleme ile tespit edilen vak’alarda medyan süre 6 ay, kayıp 83.000 dolar. İç denetimle tespit edilenlerde süre 12 ay, kayıp 100.000 dolar; ihbarla tespit edilenlerde ise 12 ay ve 155.000 dolar. Kolluk kuvvetlerinin bildirimiyle ortaya çıkan vak’alarda bu değerler 24 ay ve 675.000 dolara ulaşıyor.

Bunun şirket açısından anlamı, bir suistimalin kendiliğinden görünür hale gelmesini beklemenin pahalı olabileceği. Ancak tespit yönteminin tek başına bu farkları yarattığını söylemek de doğru olmayacaktır; yöntemlere göre vak’a türleri ve büyüklükleri değişebilir. Veri izleme ve düzenli kontrol uygulamalarını, ihbar mekanizmasını tamamlayan araçlar olarak değerlendirmek daha yerinde görünüyor. [12]

• Şirket türleri açısından halka açık olmayan şirketler örneklemde ilk sırada.

Bu şirketler vak’aların %42’sini, halka açık şirketler %26’sını, devlet ve kamu kuruluşları %17’sini, kâr amacı gütmeyen kuruluşlar %10’unu oluşturuyor. İlk üç grubun medyan kaybı 150.000 dolar iken kâr amacı gütmeyen kuruluşlarda 76.000 dolar. Rapordaki “public company” ifadesinin halka açık şirketi, “government” ifadesinin ise kamu kuruluşunu anlattığını özellikle ayırmak gerekiyor.

Kamu kuruluşları ayrıca incelendiğinde, ulusal düzeydeki kuruluşların medyan kaybı 210.000 dolar, yerel düzeydekilerin 148.000 dolar, eyalet veya bölgesel düzeydekilerin 92.000 dolar. Kamu vak’alarının %56’sında yolsuzluk bulunuyor; ilk tespitte ihbar %44, iç denetim %18 ile öne çıkıyor. Bu bulgular farklı kamu yapılanmalarına ait örneklemleri anlatıyor; doğrudan Türkiye’deki kurumlar için bir sıralama oluşturmuyor. [13]

• Küçük şirketlerin riski devam etmekle birlikte, en yüksek mutlak medyan kayıp bu kez en büyük kuruluşlarda.

Çalışan sayısına göre en fazla vak’a %31 ile 1.000-9.999 çalışanı olan kuruluşlardan bildirilmiş. Buna karşın en yüksek medyan kayıp, 10.000 ve üzeri çalışanı olan kuruluşlarda 200.000 dolar. 100’den az çalışanı olan şirketlerde medyan kayıp 141.000 dolar, 100-999 çalışanı olanlarda 130.000 dolar ve 1.000-9.999 çalışanı olanlarda 102.000 dolar.

Dolayısıyla önceki yazılardaki küçük şirketlerin en yüksek medyan kayba sahip olduğu değerlendirmesini 2024 için aynen tekrarlamak mümkün değil. Bununla birlikte 141.000 dolarlık bir kaybın küçük bir şirketin bütçesine etkisi, daha büyük bir kuruluşun aynı tutardaki kaybından ağır olabilir. Raporda yıllık gelire göre de en düşük gelir grubunda 100.000 dolar, 1 milyar dolar ve üzeri gelir grubunda 199.000 dolar medyan kayıp görülüyor.

Küçük kuruluşlarda çek ve ödeme hileleri %23, daha büyük kuruluşlarda %9; kayda girmeden alınan tahsilat ise sırasıyla %19 ve %9 oranında görülmüş. Kontrollerdeki fark da belirgin: küçük kuruluşlarda ihbar mekanizması %27, iç denetim bölümü %40 oranında mevcutken, daha büyük kuruluşlarda bu oranlar %82 ve %90. Küçük şirketler için uygun maliyetli bir e-posta veya web bildirim kanalı ile ödemeler üzerinde bağımsız bir kontrol oluşturmak, rapordan çıkarılabilecek somut başlangıç adımları arasında. [14]

• Sektörlerde bildirilen vak’a sayısı ile mali etki yine farklı bir tablo oluşturuyor.

Bankacılık ve finansal hizmetler 305 vak’a ile ilk sırada; imalat 175, devlet ve kamu idaresi 171 vak’a ile izliyor. Buna karşın en yüksek medyan kayıp madencilikte 550.000 dolar, toptan ticarette 361.000 dolar ve imalatta 267.000 dolar. İnşaatta 250.000 dolar, gayrimenkul ile devlet ve kamu idaresinde 200.000 dolar medyan kayıp görülüyor.

Madencilik için bildirilen vak’a sayısı 24, toptan ticaret için 15. Bu küçük gruplardaki yüksek tutarlar dikkate değer olmakla birlikte, sektörlerin bütünü için kesin bir yaygınlık ya da risk sıralaması oluşturmak doğru olmayacaktır. Bankacılığın ilk sırada olması da bu sektörde CFE soruşturmalarının ve raporlamanın daha yaygın olmasıyla ilişkili olabilir.

Sektörlere göre yöntemler incelendiğinde imalatta yolsuzluk %55, gayrinakdi varlık suistimali %29 ve faturalandırma hileleri %27 oranında görülüyor. Sağlıkta faturalandırma hileleri %38, masraf iadesi hileleri %21; sigortada çek ve ödeme hileleri %20 oranında. Bütün şirketlere aynı denetim programını uygulamak yerine, faaliyet alanının işlemlerine ve varlık yapısına uygun bir program oluşturmak gerektiği bu bölümde oldukça net görünüyor. [15]

• En yaygın kontrollerin varlığı, ilk tespit yöntemindeki payları ile aynı şeyi ifade etmiyor.

Mağdur kuruluşların %85’inde etik davranış kuralları, %84’ünde mali tabloların dış denetimi ve %80’inde iç denetim bölümü mevcut. İhbar mekanizması %71, çalışanlara suistimal farkındalık eğitimi %63, yönetici eğitimi %62 oranında uygulanmış. Buna karşın proaktif veri izleme ve analiz %45, sürpriz denetimler %42 oranında kalıyor.

Raporda incelenen 18 kontrolün her birinin varlığı, daha düşük medyan kayıp ve daha kısa tespit süresi ile ilişkili bulunmuş. Örneğin dış denetimin bulunduğu kuruluşlarda medyan kayıp 121.000 dolar, bulunmadığı kuruluşlarda 250.000 dolar; süreler ise 12 ve 24 ay. Dış denetimin ilk tespitteki payı %3 iken bu farkın görülmesi, “vak’ayı ilk kim buldu” sorusu ile “hangi kontrol ortamında ne kadar kayıp yaşandı” sorusunu birbirinden ayırmak gerektiğini gösteriyor.

Başlıca bazı kontrol karşılaştırmaları aşağıdaki gibi. Bunlar aynı kuruluşta kontrolün uygulanmasından önce ve sonra ölçülmüş sonuçlar değil; kontrolün var olduğu ve olmadığı kuruluş gruplarının karşılaştırmalarıdır. Bu nedenle görülen farkı tek bir kontrolün kesin tasarrufu veya yatırım getirisi gibi sunmamak gerekiyor.

Kontrolün bulunduğu ve bulunmadığı kuruluşlarda raporlanan değerler

• İhbar mekanizmasının farkındalık eğitimi ile birlikte düşünülmesi gerekiyor.

Hem çalışanlara hem yöneticilere suistimal farkındalık eğitimi verilen kuruluşlarda medyan kayıp 100.000 dolar, iki gruba da eğitim verilmeyenlerde 199.000 dolar. İhbar mekanizması ve eğitimin birlikte bulunmadığı kuruluşlarda medyan kayıp 200.000 dolar; mekanizmanın bulunduğu fakat eğitimin bulunmadığı kuruluşlarda 126.000 dolar; her ikisinin bulunduğu kuruluşlarda ise 100.000 dolar.

Şirketin bir bildirim adresi açması kadar, çalışanların hangi durumları bildireceklerini ve bildirdiklerinde ne olacağını bilmeleri de önem taşıyor. Ayrıca yöneticilere verilen eğitimin şirket sahibi veya üst yönetici kaynaklı vak’alardaki karşılaştırması dikkat çekici: eğitim bulunan kuruluşlarda medyan kayıp 315.000 dolar ve süre 18 ay; bulunmayanlarda 600.000 dolar ve 32 ay. Eğitimi yalnızca alt kademe çalışanlara yönelik bir uygulama gibi görmek, bu bölümün verdiği mesajı eksik okumak olur. [17]

• İç kontrolün eksik olması kadar mevcut kontrolün aşılması da önemli bir sorun.

Vak’aların %32’sinde temel zafiyet iç kontrol eksikliği, %19’unda mevcut kontrollerin aşılması ve %18’inde yönetimin incelemelerinin yetersizliği olarak belirtilmiş. İlk iki başlık birlikte vak’aların yarısından fazlasını oluşturuyor. Şirket sahibi veya üst yönetici kaynaklı vak’alarda etik yaklaşım ve üst yönetimin verdiği örnek de daha belirgin bir zafiyet alanı.

Kontrolün kâğıt üzerinde tanımlanmış olması ile fiilen çalışması arasında ciddi bir fark var. İşlemi başlatan, onaylayan ve ödemenin hesabını değiştiren kişi aynı yetkileri kullanabiliyorsa ya da üst yönetim bu aşamaları tek talimatla geçebiliyorsa, prosedürün varlığı beklenen korumayı sağlamayabilir. İç denetimin kontrol tasarımını incelerken istisnaları, yetki aşımını ve yönetimin kontrolü geçersiz kılabileceği noktaları da ele alması gerektiği görülmektedir. [18]

• Şirketler kontrol düzenini çoğunlukla suistimal ortaya çıktıktan sonra değiştiriyor.

Mağdur kuruluşların %82’si olay sonrasında kontrollerini değiştirmiş. Değiştirilen veya yeni oluşturulan başlıklar içinde yönetimin incelemeleri %76, proaktif veri izleme ve analiz %64, sürpriz denetimler %52 ile öne çıkıyor. Yanıt verenlerin %27’si bu değişiklikleri gelecekte benzer suistimalleri önlemede son derece etkili, %68’i kısmen etkili bulacağını belirtmiş.

Son iki oran, gerçekleşmiş ve ölçülmüş bir gelecek başarısı değil; uzmanların beklentisi. Buna rağmen şirketlerin olaydan sonra en çok proaktif kontrol uygulamalarına yönelmesi anlamlı. Kaybın yaşanmasını beklemeden mevcut kontrol boşluklarını belirlemek, raporun şirket yönetimlerine verdiği en uygulanabilir derslerden biri olarak görünüyor. [19]

• Çalışanın kademesi yükseldikçe, raporlanan kayıp ve tespit süresi de artıyor.

Vak’aların %41’i yönetici, %37’si çalışan, %19’u şirket sahibi veya üst yönetici düzeyindeki kişilerle ilgili. Buna karşın çalışan kaynaklı vak’alarda medyan kayıp 60.000 dolar iken, yöneticilerde 184.000 dolar ve şirket sahibi veya üst yöneticilerde 500.000 dolar. Son grup çalışan kaynaklı vak’aların sekiz katından fazla medyan kayba neden olmuş.

Tespit süreleri de aynı yönde değişiyor: çalışanlarda 8 ay, yöneticilerde 18 ay, şirket sahibi veya üst yöneticilerde 24 ay. Bana göre raporun yönetim kurulu ve denetim komitesi açısından en dikkat çekici bulgularından biri bu. Denetim planı yalnızca alt kademe işlemlere yoğunlaşırken, karar ve onay yetkisinin en yüksek olduğu seviyeleri kapsam dışında bırakırsa önemli bir risk alanı açık kalıyor. [20]

• Kurumdaki çalışma süresi arttıkça medyan kayıp yükselmeye devam ediyor.

Bir-beş yıldır çalışan kişiler vak’aların %45’ini oluşturuyor; bu grubun medyan kaybı 100.000 dolar. Bir yıldan az kıdeme sahip kişilerde 50.000 dolar, altı-on yıl kıdemi olanlarda 200.000 dolar ve on yıldan fazla kıdemi olanlarda 250.000 dolar medyan kayıp görülüyor.

Uzun çalışma süresi, kişiye süreçleri tanıma ve daha geniş yetkilere ulaşma imkânı sağlayabilir. Bu açıklama rapordaki ilişkiyi yorumlamaya yardımcı olmakla birlikte, uzun kıdemi olan herkesin daha yüksek suistimal olasılığına sahip olduğunu göstermiyor. Şirket açısından çıkarılması gereken sonuç, yıllardır tanınan çalışanların işlemlerini de diğer çalışanlarla aynı kontrol düzenine tabi tutmak. [21]

• Operasyon, muhasebe ve satış birimleri vak’a sayısında; üst yönetim ise tutarlarda öne çıkıyor.

Operasyonun payı %14, muhasebe ve satışın ayrı ayrı %12, müşteri hizmetleri ile üst yönetimin ayrı ayrı %9. Rapordaki sekiz ana bölüm birlikte vak’aların %75’ini oluşturuyor. Buna karşın bölüm bazında medyan kayıp yönetim kurulunda 800.000 dolar, üst yönetimde 793.000 dolar, finansta 285.000 dolar ve muhasebede 208.000 dolar.

Buradaki “üst yönetim bölümü” ile kişinin “şirket sahibi veya üst yönetici” kademesi aynı sınıflandırma değil. Bu nedenle 793.000 dolar ile önceki maddede yer alan 500.000 doların birbirinden farklı olması çelişki oluşturmuyor.

Yöntemlere bölüm bazında bakıldığında satın alma vak’alarının %79’unda yolsuzluk bulunuyor. Muhasebede çek ve ödeme hileleri %32, faturalandırma hileleri %33 oranında görülmüş. Satın alma için tedarikçi ilişkileri ve çıkar çatışmalarına; muhasebe için ödeme değişiklikleri, banka hesapları ve belge doğrulamalarına ağırlık verilmesi gerektiği bu sonuçlardan çıkarılabilir. [22]

• Birden fazla kişinin işbirliği yaptığı vak’alar daha yüksek kayıplarla ilişkili.

Tek kişinin yaptığı suistimaller vak’aların %46’sını, iki kişinin birlikte yaptığı suistimaller %18’ini, üç veya daha fazla kişinin birlikte yaptığı suistimaller %36’sını oluşturuyor. Medyan kayıplar sırasıyla 75.000, 135.000 ve 329.000 dolar. Üç ve daha fazla kişinin bulunduğu vak’alarda medyan kayıp, tek kişilik vak’aların dört katından fazla.

Önceki yazılarda da değindiğim bu işbirliği, şirket içinde bir “sacayağı” oluşturabiliyor. İşlemi yapan ile kontrol eden birlikte hareket ettiğinde, görevler ayrılığı beklenen korumayı tek başına sağlamayabilir. Bu nedenle bağımsız doğrulama, sürpriz kontrol ve işlemlerin farklı veri kaynakları üzerinden karşılaştırılması, görevler ayrılığını tamamlayan uygulamalar olarak düşünülmelidir. [23]

• Cinsiyet, yaş ve eğitim tabloları dikkat çekici olmakla birlikte kesin bir suçlu profili oluşturmuyor.

Suistimalcilerin %74’ü erkek, %25’i kadın olarak bildirilmiş; medyan kayıplar sırasıyla 158.000 ve 100.000 dolar. Bununla birlikte çalışan kademesinde kadınların neden olduğu medyan kayıp 60.000 dolar, erkeklerin 53.000 dolar. Dolayısıyla bütün kademelerde aynı ilişkinin bulunduğunu söylemek mümkün değil.

Vak’aların %69’u 31-50 yaş grubundaki kişilerle ilgili. Buna karşın 60 yaş üzerindeki kişilerde medyan kayıp 675.000 dolar; 26 yaş altındaki kişilerde 25.000 dolar. Eğitim açısından lisans mezunları %52, lisansüstü mezunları %15 paya sahip. Medyan kayıp lise ve altı eğitim grubunda 89.000 dolar, lisans mezunlarında 180.000 dolar, lisansüstü mezunlarında 250.000 dolar.

Bu tablolar çalışan nüfusunun yaş, eğitim ve cinsiyet dağılımına göre düzeltilmiş suistimal olasılıklarını vermiyor. Ayrı tablolardaki yüksek tutarları birleştirerek “şu yaşta, şu eğitimde, şu cinsiyette bir kişi en olası suistimalcidir” sonucunu çıkarmak da doğru olmayacaktır. Kontrol uygulamalarında kişinin demografik özelliklerinden çok eriştiği varlıklar, kullandığı yetkiler ve yaptığı işlemler önem taşıyor. [24]

• Temiz geçmiş, şirkette suistimal gerçekleşmeyeceğinin güvencesi olmuyor.

Suistimalcilerin %87’si daha önce suistimal bağlantılı bir suçla itham edilmemiş veya mahkûm olmamış. %85’i ise daha önce suistimal nedeniyle işyerinde disiplin yaptırımına uğramamış veya işten çıkarılmamış. Mağdur kuruluşların %57’si kişiyi işe almadan önce geçmiş kontrolü yapmış; bu kontrollerin yapıldığı vak’aların %84’ünde önceden mevcut bir uyarı işareti bulunmamış.

Buna karşın geçmiş kontrolü yapılan vak’aların %16’sında bir uyarı işareti görülmesine rağmen kişi işe alınmış. Bu sonuçlar, geçmiş araştırmasının değerini ortadan kaldırmıyor; işe alımdaki kontrolün günlük işlem kontrollerini ikame etmediğini gösteriyor. Yapılan araştırmanın sonuçlarının gerçekten değerlendirilmesi de kontrolün kendisi kadar önem taşıyor. [25]

• Davranışsal uyarı işaretleri, suistimal araştırmasında dikkate alınabilecek başka bir bilgi kaynağı.

Suistimalcilerin %84’ünde en az bir davranışsal uyarı işareti, %52’sinde birden fazla işaret görülmüş. Bilinen gelirin üzerinde yaşam standardı %39, finansal güçlükler %27, müşteri veya tedarikçi ile olağandışı yakın ilişki %20, görev ve kontrolü başkaları ile paylaşmak istememe %13 ile öne çıkıyor.

Mali tablo suistimali vak’alarında kurum içinden gelen aşırı performans baskısı %22 oranında görülürken genel örneklemde bu oran %7. Yolsuzluk vak’alarında müşteri veya tedarikçiyle olağandışı yakın ilişki %30; genel örneklemde %20. İnsan kaynakları bakımından olumsuz gelişmeler de vak’aların %45’inde bildirilmiş; düşük performans değerlendirmesi %14, işini kaybetme korkusu %12 ve ücret artışı veya terfi verilmemesi %11 ile öne çıkıyor.

Bu davranışlar suistimalin kanıtı değil. Finansal sıkıntı yaşayan veya terfi alamayan bir çalışanın suçlu olduğu varsayılamaz. Ancak işlem verileri, yetki kullanımı ve diğer somut bulgularla birlikte ele alındığında, daha yakından incelenecek bir süreci gösterebilir. Çalışan destek programları ve gerçekçi performans hedefleri de raporun bu bölümünün yönetim açısından tamamlayıcı tarafı. [26]

• Bölgesel sonuçlarda en fazla vak’a Kuzey Amerika’dan, en yüksek medyan kayıp Latin Amerika ve Karayipler’den bildirilmiş.

Amerika Birleşik Devletleri ve Kanada 623 vak’a ile bölgesel dağılımda ilk sırada. Latin Amerika ve Karayipler’de medyan kayıp 250.000 dolar; Asya-Pasifik ile Doğu Avrupa ve Batı/Orta Asya’da 200.000 dolar. Diğer bölgelerle birlikte sonuçlar aşağıdaki gibi.

Bu tablo, bölgesi bilinen vak’alar üzerinden hazırlanmış. Sekiz bölgedeki sayılar toplandığında 1.624’e ulaşılıyor; bütün 1.921 vak’anın coğrafi bilgiye sahip olduğu varsayılmamalı. Benzer şekilde bölgesel kayıp hesabına giren vak’a sayısı, ilgili bölgeden bildirilen bütün vak’aların sayısından farklı olabiliyor.

Coğrafi bilgisi bulunan vak’aların bölgelere göre dağılımı

• Türkiye’nin dahil edildiği bölgenin sonuçlarını ülkemizin sonuçları gibi okumamak gerekiyor.

Türkiye, 66 vak’anın yer aldığı Doğu Avrupa ve Batı/Orta Asya grubunda; bu gruptaki Türkiye vak’ası sayısı 9. Bölgedeki vak’aların %71’i yolsuzluk içeriyor, %56’sı ihbarla ortaya çıkarılmış. İhbar mekanizması ve iç denetim bölümü ayrı ayrı %88 oranında mevcut. Buna karşın kayıplarını hiç geri alamayan kuruluşların payı %64.

Güney Asya’da yolsuzluk içeren vak’aların oranı %74 ile bölgeler arasında en yüksek; ABD ve Kanada’da %35 ile en düşük. Ortadoğu ve Kuzey Afrika’da ilk tespitte ihbarın payı %34, iç denetimin %23. Önceki yazılarda da dikkat çektiğim bölgesel farklılıklar sürüyor; ancak bu oranlardan tek başına ülkelerin denetim kültürü veya çalışanlarının suistimal yapma eğilimi hakkında kesin bir sonuç çıkarmak mümkün değil.

• İhbar mekanizmasının kullanım oranı bölgeler arasında %66 ile %88 arasında değişiyor.

Kayıplarını hiç geri alamayan kuruluşların payı ise Ortadoğu ve Kuzey Afrika’da %48, Latin Amerika ve Karayipler’de %72. Şirketin faaliyette bulunduğu ülkelerin koşullarını dikkate almak gerekli; fakat küresel veya bölgesel bir ortalamayı doğrudan kendi şirketinin beklenen kaybı gibi kullanmak doğru görünmüyor. [28]

• Suistimal ortaya çıkarıldıktan sonra en yaygın yaptırım işten çıkarma.

Ayrıntılı sonuç tablosuna göre suistimalcilerin %67’sinin iş sözleşmesi sona erdirilmiş; %5’i herhangi bir yaptırım almamış. Bununla birlikte çalışan düzeyindeki suistimalcilerin %77’si işten çıkarılırken şirket sahibi veya üst yönetici düzeyindekilerde bu oran %53. Hiç yaptırım uygulanmayanların oranı ise çalışanlarda %3, şirket sahibi veya üst yöneticilerde %11.

Vak’aların %57’si ceza soruşturması veya kovuşturması için ilgili makamlara iletilmiş. Raporda bu yönlendirmeler için, suçun kabulü veya mahkûmiyet kararı ile sonuçlanma oranı %72 olarak verilmiş. Bu oran bütün vak’aların %72’sinin mahkûmiyetle sonuçlandığı anlamına gelmiyor. İlgili makamlara başvurmayan kuruluşlarda iç disiplinin yeterli görülmesi %49, olumsuz kamuoyu oluşması endişesi %34 ve özel uzlaşma %24 ile öne çıkıyor.

Vak’aların %27’sinde hukuk davası açılmış; açılan davalarda uzlaşma veya mağdur lehine karar sonucu için verilen oran %74. Rapordaki farklı ülke uygulamalarını Türk hukukundaki aynı isimli sonuçlarla birebir eşleştirmemek gerekiyor. Ancak şirketlerin olay sonrası yanıt planında yalnızca çalışanın ayrılmasına değil, delillerin korunmasına ve kaybın geri alınmasına da yer vermesi gerektiği görülüyor. [29]

• Kaybın geri alınması konusunda sonuçlar hâlâ oldukça sınırlı.

Mağdur kuruluşların %57’si suistimal kaybının hiçbir bölümünü geri alamamış. %30’u kısmi geri kazanım sağlayabilmiş, yalnızca %13’ü kaybının tamamını geri alabilmiş. Raporda ayrıca mağdur kuruluşların %9’unun olayla bağlantılı para cezası aldığı belirtilmiş.

Dolayısıyla mali etki, sadece kaybedilen varlıkların tutarından ibaret olmayabilir. Soruşturma, hukuki süreç ve faaliyetin düzeltilmesi için harcanan kaynaklara itibar etkisi veya düzenleyici yaptırımlar da eklenebilir. Bu ilave etkilerin tamamı rapordaki medyan kayıp tutarına dahil edilmiş bir toplam olarak sunulmuyor. Kayıp yaşandıktan sonra geri alınacağı varsayımıyla kontrol yatırımlarını ertelemek ise rapordaki sonuçlarla desteklenmiyor. [30]

2024 raporunu birlikte değerlendirdiğimde, önceki yazılarda üzerinde durduğum etik kurallar, ihbar mekanizması ve iç denetim ihtiyacının devam ettiğini görüyorum. Bu çerçeveye yönetimin düzenli incelemeleri, çalışan ve yönetici farkındalık eğitimi, proaktif veri analizi ve sürpriz denetimler eklendiğinde daha güçlü bir kontrol düzeni oluşabilir. İnsan faktörü ve birlikte hareket etme imkânı bulunduğu sürece bunların hiçbirinin suistimal riskini sıfırlamadığını da unutmamak gerekiyor.

Raporun sonundaki kontrol listesi, şirketlerin kendilerine sorabileceği oldukça somut sorular içeriyor. Çalışanlar şüpheli bir işlemi nasıl bildireceklerini biliyor mu? İhbar eden kişi kendini güvende hissediyor mu? Yönetim, kendisi dahil herkes için aynı etik yaklaşımı uyguluyor mu? Risk değerlendirmeleri süreçler değiştiğinde yenileniyor mu? İç denetimin yetkisi ve kaynakları yeterli mi? Görevler ayrılığı, yetkilendirme, fiziksel koruma, görev rotasyonu ve zorunlu izin uygulamaları gerçekten çalışıyor mu? İşe alımda yapılan kontrollerin sonuçları değerlendiriliyor mu? Çalışanların baskılarını ve ihtiyaçlarını ifade edebileceği destek ve açık iletişim mekanizmaları var mı? Bu sorulara verilen cevapların, bir prosedür dosyasından çok uygulamada karşılığı olması önemli. [31]

Sonuçları biraz karikatürize ederek söylemek gerekirse, bu dönemin şirketler açısından “olağan şüphelisi”; kontrol edilmeden genişleyen yetki, işlemlerin tek kişinin bilgisine bağlı kalması ve birbirini onaylayan kişilerin aynı yönde hareket etmesi gibi görünüyor. “Yıllardır bizimle çalışıyor, kendisine güveniyoruz” cümlesi de tek başına bir iç kontrol yöntemi olarak raporda yer almıyor :)