Dijital dönüşüm rüzgârı kurumları peşi sıra sürüklüyor. Bu dönüşümde özellikle bir başlık var ki, birçok yönetici için adeta rüya gibi:

• Kod yazmadan otomasyon hazırlanıyor
•  İşi bilen kişi, süreci kendi otomatize ediyor
•  BT’ye bağımlılık azalıyor, hız artıyor

Evet, Citizen Developer modeli bu anlamda çok cazip.

Ama bir iç kontrol profesyoneli olarak şunu soruyorum:

Hız kazanırken kontrolü kaybediyor muyuz?

*** Kontrolsüz Güç, Güç Değildir! 

Citizen developer modelleri, beraberinde görünmeyen ama büyüyen bir risk haritası da getiriyor:

• Yetkisiz ya da izlenmeyen botlar
•  Standart dışı süreç tanımları
•  Denetlenemeyen kod değişiklikleri
•  Bilgiye değil, bota bağlı iş akışları ile bilgi kaybı- süreci bilen kişi değil kod
•  Uyum, güvenlik, veri bütünlüğü zafiyetleri - mevzuat değişimlerine uyumsuzluk vb.
•  Sürecin sahibinin ve sorumluluğunun takip edilemez hale gelmesi

Kurumun otomasyona geçişi hızlanırken, iç kontrol yapısı düşünülmemişse, kriz kapıda bekliyor anlamına geliyor.

COSO bu konuda harika bir noktaya parmak basmış ve rehberlik sunmuş.

“Achieving Effective Internal Control Over RPA – Aligning with the COSO Internal Control-Integrated Framework”,

Çerçevenin mantığını CICS ve CICP ler bir bakışta kavrayacaktır. Özellikle CICS ler bu alanda sınavdan geçtiler :)

Çerceve RPA sistemlerinin COSO-ICIF’in 5 temel bileşeniyle hizalanması için bir yol haritası ve check list sunuyor.

Çevrede tanımlanan kurallar şu şekilde:

•  Bot kullanımı kurallara bağlanmalı
•  Geliştirici yetkinliği kontrol edilmeli
•  Değişiklikler izlenmeli
•  Erişimler sınırlandırılmalı
•  BT operasyonları raporlanmalı
•  Dokümantasyon merkezi hale getirilmeli
•  Süreçler düzenli gözden geçirilmeli

 Neden Önemli?

Bugün RPA ile birkaç tıkla çözüm üreten sistemler kuruyoruz. Ama o birkaç tık, yarın:

•  Uygunsuz işlem,
•  Yanlış raporlama,
•  Kritik veri sızıntısı,
•  Mevzuat ihlali olarak karşımıza çıkabilir.

Çünkü büyük ihtimalle, kimse botun ne yaptığını hatırlamaz. İç kontrol bu yapının hafızasını güvenceye alır.

RPA ve citizen developer modelleri, dijital dönüşümün doğal bir sonucu. Ancak bu dönüşüm, kontrol sistemlerinin dışında değil, içinde kalmalı.

*** Otomasyonun değeri, onu yöneten yapının gücüyle ölçülür.