Yirmi kişilik bir yazılım şirketinin yönetim toplantısında 'uyumu kim takip ediyor?' diye sorduk. Üç kişi aynı anda birbirini gösterdi: muhasebe hukuk danışmanını, danışman insan kaynaklarını, insan kaynakları da genel müdürü. Şirkette politika vardı, sözleşme listesi vardı, hatta eski bir risk tablosu bile vardı — ama hepsi farklı bilgisayarlarda, farklı tarihlerde, birbirinden habersiz duruyordu. Bu tablo istisna değil; adı konmamış haliyle en yaygın 'GRC' biçimi bu.
Üç harf, tek çatı: GRC gerçekte nedir?
GRC üç sürecin tek çatı altında yönetilmesinin adıdır. Governance, yani yönetişim, şirkette kimin neye karar verdiğini, yetki ve hesap verme hatlarının nasıl işlediğini tanımlar. Risk yönetimi, şirketi hedefinden saptırabilecek belirsizlikleri tespit edip önceliklendirir; bu alanın uluslararası referansı ISO 31000'dir. Compliance, yani uyum, mevzuata, sözleşmelere ve iç kurallara uygunluğun sistematik güvencesidir; referans çerçevesi ise ISO 37301'dir. Kritik nokta tanımların kendisinde değil, aralarındaki bağda: gerçek GRC'de risk değerlendirmesi hangi politikaya ihtiyaç olduğunu söyler, politika hangi kontrolün işletileceğini belirler, kontrol kayıtları da yönetime karar verdirecek veriyi üretir. Üç ayrı silo değil, birbirini besleyen tek bir döngü.
Dağınık Excel'ler neden GRC sayılmaz?
Çoğu şirkette 'bizde GRC var' cümlesinin arkasından birkaç Excel dosyası çıkar: bir klasörde sözleşme listesi, başka bilgisayarda eski bir risk tablosu, e-posta ekinde dolaşan bir politika taslağı. Bu dosyaların ortak kaderi kişiye bağımlı olmaları, güncellik tarihlerinin belirsizliği ve birbirleriyle hiç konuşmamalarıdır. Risk tablosundaki bir bulgu politikayı güncellemiyorsa, politika bir kontrole dönüşmüyorsa, ortada sistem değil arşiv vardır.
Pratik test: uyumu takip eden kişi yarın işten ayrılsa, hangi yükümlülüğün ne zaman dolacağını gösteren güncel bir kayıt şirkette kalıyor mu? Cevap 'onun bilgisayarındaydı' ise elinizdeki şey sistem değil, kişiye bağımlılıktır.
KOBİ ölçeğinde beş taşlı kurulum
İyi haber şu: GRC kurmak için holding bütçesi gerekmez; KOBİ ölçeğinde beş taş yeterlidir.
- Sorumlu atama: tek bir isim; unvan değil, sahiplik önemlidir.
- Varlık ve veri envanteri: hangi sistemde hangi veri var, kim erişiyor; bilmediğinizi yönetemezsiniz.
- Politika seti: az sayıda, kısa ve gerçekten uygulanan belge; rafta duran klasör değil.
- Kontrol takvimi: hangi kontrol hangi sıklıkla çalışacak; takvime bağlanmayan kontrol yapılmaz.
- Kayıt ve izleme: yapılan her kontrolün izi kalmalı; denetimde anlatmak değil, göstermek gerekir.
Bu beş taşın en görünür sınavı şirketin web sitesidir. Düzenleyici de müşteri de potansiyel iş ortağı da içerideki klasörlerinizi görmez; ilk baktıkları yer sitenizdeki hukuki metinlerdir. İçeride sistem ne kadar sağlam olursa olsun vitrin dağınıksa, dışarıya giden sinyal 'burada uyum yönetilmiyor' olur. Legalitify, web sitenizi hukuki uyum yönünden otomatik tarayıp bulguları tek tıkla düzelterek ve eksik metinleri şablonla üreterek, beş taşlı kurulumun izleme ayağını şirketinizin en görünür yüzeyinden başlatır.