Uyumluluk riski, bir işletmenin yürürlükteki yasa, yönetmelik ve standartlara uymaması sonucu karşılaşabileceği yasal, finansal ve itibari zararı ifade eder. Bu riskin ikinci bir boyutu vardır: yükümlülüklerin bir kısmı kendi davranışınızla değil, birlikte çalıştığınız tarafların durumuyla ilgilidir. Tedarikçinizin, bayinizin ya da iş ortağınızın kim olduğu ve neye tabi olduğu, sizin uyum sorumluluğunuzun bir parçası hâline gelebilir. Bu yazı, uyumun bu "karşı taraf" ayağını ve kayıt tutmanın neden çekirdek olduğunu ele alır.
Uyumsuzluğun bedeli neden yalnız para cezası değildir
Uyumsuzluğun doğrudan sonucu idari yaptırımdır ve bu yönüyle finansal riskin yasal ayağını oluşturur. Dolaylı sonuçlar ise genellikle daha uzun sürer: kurumsal bir alıcının tedarikçi listesinden çıkarılmak, bir ihaleye katılamamak, bir platformda hesap doğrulamasının reddedilmesi. Bunların hiçbiri ceza sayılmaz, ama ticari sonuçları cezadan ağır olabilir. Hepsinde karar veren taraf sizin uyum durumunuzu kendi kayıtlarına göre değerlendirir, sizin beyanınıza göre değil.
Bu nedenle uyum, iç bir prosedür meselesi olmaktan çıkıp dışarıya gösterilebilir bir duruma dönüşür.
Karşı tarafı tanıma yükümlülüğü
Uyum çerçeveleri ortak bir şey ister: birlikte çalıştığınız tarafları tanımak. Bu talep farklı alanlarda farklı adlar alır — tedarikçi ön değerlendirmesi, iş ortağı incelemesi, üçüncü taraf risk yönetimi — ancak pratikte aynı üç soruyu sorar:
- Karşı taraf hangi tüzel kişiliktir?
- Beyan ettiği bilgiler resmî kayıtlarla uyumlu mu?
- Bu kontrolü yaptığınızı sonradan nasıl gösterirsiniz?
İlk iki soru ters yönde de sorulur: kendi firmanız bir uygulama mağazasının ya da bir alıcının uyum sürecinden geçerken cevabı veren taraf sizsiniz.
Bu iki soru, iş ortağı değerlendirmesinin ve tedarikçi riskinin de temelidir. Uyum açısından asıl ayırt edici olan ise üçüncü sorudur.
Denetimde belirleyici olan: yapılan değil, gösterilebilen
Uyum denetimlerinde tekrar eden bir durum vardır: kontrol fiilen yapılmıştır, ancak yapıldığı gösterilemez. Kimin ne zaman neyi doğruladığı kayıt altına alınmamışsa, denetim açısından o kontrol yapılmamış sayılır. Bu yüzden uyum çalışmasının çıktısı yalnız bir karar değil, o kararın izidir.
İz bırakan bir kayıt üç şeyi içerir: neyin doğrulandığı, hangi bilgiye dayanıldığı ve doğrulamanın ne zaman yapıldığı. Kayıtların hangi firmaya ait olduğu belirsizse iz de belirsizleşir — bu noktada uyum, ana veri kalitesiyle doğrudan bağlanır.
D-U-N-S® numarası bu noktaya sınırlı ama somut bir katkı yapar: bir kaydın hangi firmaya ait olduğunu ad ve adres yazımından bağımsız biçimde sabitler, böylece tutulan iz zaman içinde anlamını korur. Dun & Bradstreet'in kendi sayfasına göre de kurumlar numarayı kendi kayıtlarını tutmak ve uyum yükümlülüklerini yürütmek gibi amaçlarla kullanır.
Uyum yapısını ayakta tutan uygulamalar
- Mevzuat takibi. Faaliyet alanınızı ilgilendiren mevzuat değişikliklerini kimin takip edeceği belirlenir.
- Yazılı prosedür. Hangi kontrolün kim tarafından, hangi eşikte yapılacağı belgeye bağlanır.
- Eğitim. Prosedürü uygulayacak kişiler düzenli aralıklarla eğitilir.
- Kayıt disiplini. Yapılan kontrollerin izi, sonradan aranabilecek biçimde saklanır.
- Bağımsız gözden geçirme. İç kontrolün kendisi periyodik olarak denetlenir.
Yönetim sistemi kurmak isteyen şirketler uluslararası çerçeve olarak ISO 37301 Uyum Yönetim Sistemleri standardını esas alabilir. Türkiye'de faaliyet gösteren firmalar için birincil kaynak ise Resmî Gazete ve ilgili sektörel düzenleyici kurumların yayımladığı mevzuattır.