Üçlü Hat Modeli Nedir?

Üçlü savunma hattı veya üçlü hat modeli, riskin üç cephesinde sorumlulukların net olarak tanımlanmasını öngörür: riskin sahipliği, riskin takibi ve riskin güvencesi. Riski sahiplenen ve yöneten fonksiyonlar birinci hattı oluşturur. Riskleri izleyen çeşitli risk, kontrol ve uygunluk fonksiyonları ikinci hattı oluşturur.Üçüncü savunma hattı olan iç denetimin rolü ise; yönetim kurulu, varsa denetim komitesi gibi paydaşlara risklerin kabul edilebilir seviyede olduğuna dair güvence vermektedir.

1. Hat: Etkili iç kontrolleri tesis edip işleterek, işletmenin karşı karşıya kaldığı riskleri değerlendirmek, kontrol etmek ve sınırlandırmak faaliyetin sahibi olan yöneticilerin sorumluluğundadır. Bunlar departman müdürleri, risklerin sahibi ve yöneticisidirler. Dolayısıyla, süreçlerdeki kontrol zafiyetlerini giderecek düzeltici aksiyonları almaktan da sorumludurlar.

2. Hat: Kontrol, risk yönetimi, uyum vb. fonksiyonlar işletme yönetiminin etkili risk yönetimi uygulamalarını hayata geçirmelerini kolaylaştırır ve izler. Bu fonksiyonlar aynı zamanda, riski sahiplenenlerin, risklerle bağlantılı bilgileri kurum içinde yukarı ve aşağı iletmelerine yardımcı olur. Yönetim, kontrol, risk yönetimi ve uyum gibi fonksiyonlar kurarak birinci savunma hattının etkinliğine dair gözetim yapar.

3. Hat: İç Denetim fonksiyonu, risk bazlı bir yaklaşımla, yönetişim, risk yönetimi ve iç kontrolün etkililiği konusunda, 1. ve 2. savunma hatlarının faaliyetleri hakkındaki bilgileri de içerecek şekilde, yönetim kurulu ve üst yönetime güvence verir. İç Denetimin bu güvence sorumluluğu, kurumun risk yönetimi çerçevesinin tüm unsurlarını (örneğin; risklerin sınıflandırılması, değerlendirilmesi, kurum çapında paylaşılan risklerle ilgili bilgilere ilişkin ilgililerin tepki ve yaklaşımları gibi) kapsar.Dış denetim ve diğer dış düzenleyici kurumlar kurumun organizasyonel yapısının dışında olmasına rağmen kurumun genel yönetişim ve kontrol yapısı açısından sorumlulukları vardır. Bu özellikle bankacılık gibi düzenlemelerin yoğun olduğu sektörler için söz konusudur. Dış denetim ve/veya düzenleyici otoriteler, kurumun hissedarları, yönetim kurulu ve üst düzey yönetimine güvence sağlayan ilave bir savunma hattı olarak değerlendirilebilir. Ancak, görevlerinin kapsamı ve hedefi göz önünde bulundurulduğunda, bu kurumların sağlayacağı risk bağlantılı bilgilerin kapsamı kurum bünyesindeki 3 iç savunma hattının sağlayacağı bilgilere göre dar kapsamlı olacaktır. İç denetim, birinci ve ikinci savunma hatlarının etkinliğini gözeterek, risk yönetimi ve kontrol süreçlerinin etkinliğine dair bağımsız bir taraf olarak güvence verir.

Three-Lines-Model-Updated-Turkish.pdf erişimi için tıklayın

IAA’nin üçlü hattı modeli için yaptığı son güncellemeye buradan da ulaşabilirsiniz.

İç Denetimin İkinci Savunma Hattı Olması Durumu

Üçlü Savunma Hattı modeli izlenirken, sorumluluklar, kurumun çeşitli birimleri arasında genellikle aşağıdaki gibi sınıflandırılır ve iç denetimin görevleri çoğu firmada ikinci savunma hattını da kapsayabilmektedir.

İç denetimin aynı zamanda risk yönetimi ve uyum gibi ikinci savunma hattı işlevlerinden de sorumlu olduğu durumda,bağımsızlık ve/veya objektifliği koruma altına almak ve bu korumanın etkili şekilde işlemekte olduğunu rutin olarak teyit etmek esastır.İç denetim ikinci savunma hattı işlevlerini üstlendiğinde, yönetim ve yönetim kurulu riskleri ve ihtiyaç duyulan uygun kontrolleri net olarak anlamalıdır.

Şirketlerin kendi içlerindeki risk ve kontrol sorumlulukları tek bir kişi veya departmana yüklenmesi halinde bu işlevleri daha ileri ki bir zamanda birbirinden ayırması gerekmektedir. İç denetimin ikinci savunma hattı işlevlerinden sorumlu olabileceği durumlarda bağımsızlık ve objektiflikten taviz verilmemesi gerekmektedir. İç denetim ikinci savunma hattı işlevlerini üstlendiğinde, yönetim ve yönetim kurulu riskleri ve ihtiyaç duyulan uygun kontrolleri net olarak anlaması önemlidir.

İç Denetim Meslekî Uygulama Standartları(Standartlar)’da yer alan aşağıdaki standartlar, iç denetimin ikinci savunma hattı işlevlerini üstlenmesine ilişkindir. Buna ilaveten ilgili diğer IIA rehberlik dokümanları Kaynaklar’da belirtilmektedir.