Norma
Uyum kelimesi büyük şirketlerin uyum departmanlarını çağrıştırır, ama ihtiyacın kendisi her ölçekte aynıdır: kurumu bağlayan kurallar hangileri, bu kurallar bize hangi işleri yüklüyor, o işler kimin sorumluluğunda ve yapıldığını nasıl gösteririz?
Bu yazı uyumu bir süreç olarak ele alıyor: mevzuatı belirlemekten yükümlülüğü göreve çevirmeye, değişikliği izlemekten kanıtı saklamaya kadar. Örnekler genel niteliktedir; kendi sektörünüzün mevzuatı için birincil kaynağa ve gerektiğinde bir uzmana başvurmanız gerekir.
Mevzuata uyum ne demek?
Mevzuata uyum, bir kurumun faaliyetlerini yürürlükteki kanun, yönetmelik, tebliğ ve diğer düzenlemelere uygun yürütmesidir. Bir ilke beyanı değil, sürekli bir iştir: mevzuat değişir, kurumun faaliyetleri değişir ve dünün uyumlu süreci bugün eksik kalabilir.
Uyumun ölçüsü niyet değil, gösterilebilir sonuçtur. Bir denetimde sorulan soru yalnızca “bu kurala uyuyor musunuz?” değil, “uyduğunuzu nereden biliyoruz?” sorusudur. Bu yüzden uyumun üç bileşeni vardır: kuralı bilmek, gereğini yapmak ve yapıldığını kanıtlamak.
Hangi mevzuat sizi bağlar?
İlk adım bir envanterdir: kurumun faaliyetine göre hangi düzenlemelerin uygulandığını listelemek. Bazı kurallar neredeyse herkesi ilgilendirir. Örneğin kişisel veri işleyen gerçek ve tüzel kişiler, 6698 sayılı Kanun'un 16. maddesine göre veri işlemeye başlamadan önce Veri Sorumluları Sicili'ne kaydolmak zorundadır; Kurul'un belirlediği istisnalar saklıdır. İşverenler ise 6331 sayılı İş Sağlığı ve Güvenliği Kanunu'nun 10. maddesine göre risk değerlendirmesi yapmak veya yaptırmakla yükümlüdür.
Bunların yanında sektöre özgü düzenlemeler gelir. Enerji, finans, sağlık, gıda gibi alanlarda düzenleyici kurumların yönetmelik ve kurul kararları, günlük işleyişi çoğu zaman kanunlardan daha yakından belirler. Envanter hazırlanırken yalnızca kanun düzeyinde kalmak, bu alt düzenlemeleri gözden kaçırmaya yol açar.
Kuraldan yükümlülüğe: maddeyi işe çevirmek
Bir mevzuat maddesi doğrudan yapılacak bir iş söylemez; çoğu zaman bir zorunluluğu, bir süreyi ya da bir yasağı tarif eder. Uyumun asıl emeği bu cümleleri somut işlere çevirmektir. “Risk değerlendirmesi yapmak veya yaptırmakla yükümlüdür” cümlesi; kimin yapacağı, ne zaman güncelleneceği ve sonucun nerede saklanacağı belirlenmeden bir iş hâline gelmez.
İyi bir yükümlülük kaydı dört bilgiyi birlikte tutar: dayanak (hangi maddenin hangi fıkrası), yapılacak iş, sorumlu kişi ve termin. Dayanağı yazılmamış bir görev, ilgili madde değiştiğinde fark edilmeden eskir; sorumlusu olmayan bir görev ise kimsenin işi olmaz.
Değişikliği izlemek
Uyum bir kez kurulup bırakılamaz, çünkü kurallar değişir. Bir değişikliğin uyum açısından önemi yalnızca metnin ne söylediğinde değil, ne zaman uygulanacağındadır: yayım tarihi, yürürlük tarihi ve varsa geçiş süreleri, işin ne zamana kadar tamamlanması gerektiğini belirler.
Değişiklikleri izlemenin yöntemleri ve her birinin neyi kaçırdığı mevzuat nasıl takip edilir yazısında anlatılıyor. Uyum açısından eklenecek adım şudur: her değişiklik, envanterdeki hangi yükümlülüğü etkilediğiyle birlikte değerlendirilir. Dayanağı yürürlükten kaldırılmış bir prosedürün neden sessiz bir risk olduğu ise mülga nedir yazısında anlatılıyor.
Sorumluluk ve termin
Uyum işleri birden fazla birime dağılır: insan kaynakları, bilgi işlem, hukuk, operasyon. Bir yükümlülüğün tek bir sahibi olması, işin birimler arasında kaybolmasını önler. Sahip işi tek başına yapmak zorunda değildir; ama tamamlandığını göstermekten o sorumludur.
Termin, kuralın kendi süresinden türetilir. Mevzuatın öngördüğü süre ile kurumun iç terminini karıştırmamak gerekir: iç termin, gecikmeye ve kontrole pay bırakacak biçimde daha erkene konur. Süresi geçen işlerin görünür olması, sorunun termin gününden önce fark edilmesini sağlar.
Önceliklendirme: her yükümlülük aynı ağırlıkta değil
Bir envanter çoğu zaman beklenenden uzun çıkar ve her satıra aynı emeği vermek mümkün olmaz. Önceliği belirlemek için üç soru yararlıdır: yükümlülüğe uyulmazsa sonuç ne olur (idari para cezası, faaliyetin durdurulması, hukuki sorumluluk), kaç kişiyi ya da süreci etkiler ve ne kadar süre kaldı. Yaptırımı ağır ve süresi yakın olan yükümlülük listenin başına gelir.
Önceliklendirme bir kez yapılıp bırakılmaz. Bir değişiklik bir yükümlülüğün süresini kısaltabilir ya da yaptırımını ağırlaştırabilir; kurumun büyümesi de daha önce kapsam dışında kalan bir kuralı uygulanır hâle getirebilir.
Kanıt: uyumun görünen yüzü
Denetimde ya da bir uyuşmazlıkta sorulan, işin yapılıp yapılmadığıdır ve cevabın belgeyle verilmesi beklenir: imzalı bir rapor, bir eğitim kaydı, bir kuruma yapılmış bildirimin alındısı. Kanıt iş yapılırken toplanmalıdır; geriye dönük üretilmeye çalışılan kanıt hem zordur hem güven vermez.
Kanıtın yanında iz de önemlidir: görevi kim, ne zaman tamamladı, hangi belgeyi ekledi. Bu bilgiler bir uyuşmazlıkta “kim yaptı” sorusunu cevaplar ve sürecin kişilere bağlı kalmamasını sağlar. Bir çalışan ayrıldığında uyum bilgisi de onunla birlikte gitmemelidir.
Uyum yönetimi için bir çerçeve
Uyumu sistematik yönetmek isteyen kurumlar için uluslararası bir standart vardır: ISO 37301 Uyum Yönetim Sistemleri. Standart, uyum yükümlülüklerinin belirlenmesinden değerlendirilmesine ve iyileştirilmesine kadar bir yönetim çerçevesi tarif eder.
Standarda uygun bir sistem kurmak zorunlu değildir. Ama envanter, sorumluluk, izleme ve kanıt adımlarını tutarlı biçimde düşünmek için iyi bir kontrol listesi sunar; özellikle uyum işinin ilk kez düzenlendiği kurumlarda neyin eksik kaldığını görmeye yardım eder.
Sık yapılan üç hata
Birincisi, envanteri bir kez çıkarıp bırakmak: kurum ve mevzuat değiştikçe liste eskir ve eskidiğini kimse fark etmez. İkincisi, görevi dayanaksız yazmak: hangi maddeden doğduğu belli olmayan bir görev, o madde değiştiğinde güncellenmez ve bir süre sonra neden yapıldığı da unutulur.
Üçüncüsü, kanıtı dağınık bırakmak: e-postalarda, kişisel klasörlerde ya da tek bir çalışanın bilgisayarında duran kanıt, ihtiyaç duyulduğunda bulunamaz. Üç hatanın ortak noktası, uyum bilgisinin bir sisteme değil kişilerin hafızasına dayanmasıdır.
Küçük kurumlar için uyum
Uyum için bir departman gerekmez. Küçük bir kurumda bile kurumu bağlayan yükümlülüklerin bir listesi, her birinin sorumlusu ve yapıldığının kanıtı tutulabilir; asıl fark ölçekte değil, düzendedir.
Norma'nın Uyum Süreci modülü bu düzeni tek yerde toplar: mevzuat değişikliği takip edilebilir bir göreve çevrilir ve görev ilgili mevzuata bağlanır, sorumlu ve termin atanır, yapılan işin kanıtı görevin içinde durur, takip edilen mevzuat değişince haber gelir. Ayrıntılar uyum süreçleri sayfasında.
Sık sorulan sorular
Mevzuata uyum ile hukuki danışmanlık aynı şey mi?
Hayır. Hukuki danışmanlık belirli bir soruya cevap verir; uyum ise kurumun kendisini bağlayan kuralları sürekli izleyip gereğini yapmasını ve bunu kanıtlamasını kapsayan bir süreçtir. İkisi birbirini tamamlar.
Uyum yükümlülükleri nasıl belirlenir?
Önce kurumun faaliyetine göre uygulanan mevzuatın envanteri çıkarılır; sonra her ilgili madde somut bir işe çevrilir: dayanak, yapılacak iş, sorumlu ve termin.
Uyum süreci ne sıklıkla gözden geçirilmeli?
Mevzuat ya da kurumun faaliyeti değiştiğinde ilgili yükümlülükler hemen; bunun dışında düzenli aralıklarla bütün envanter. Gözden geçirmede her yükümlülüğün dayanağının hâlâ yürürlükte olup olmadığı da kontrol edilir.
Uyumun kanıtı nasıl saklanır?
İş yapılırken ve ilgili göreve bağlı olarak: rapor, eğitim kaydı, bildirim alındısı gibi belgeler, kimin ne zaman eklediği bilgisiyle birlikte. Geriye dönük üretilen kanıt güven vermez.
Uyum yükümlülükleri nasıl önceliklendirilir?
Üç soruyla: uyulmazsa sonuç ne olur, kaç kişiyi ya da süreci etkiler ve ne kadar süre kaldı. Yaptırımı ağır ve süresi yakın olan yükümlülük önce ele alınır.
ISO 37301 zorunlu mu?
Hayır. ISO 37301 uyum yönetim sistemleri için uluslararası bir standarttır ve uygulanması gönüllüdür. Kurumlar uyum süreçlerini düzenlerken bir çerçeve olarak kullanabilir.
Küçük bir işletmenin de uyum süreci olmalı mı?
Ölçek ne olursa olsun kurumu bağlayan kurallar vardır; örneğin işverenler için risk değerlendirmesi. Bir uyum departmanı gerekmez, ama yükümlülüklerin listesi, sorumlusu ve kanıtı tutulmalıdır.
Norma'yı denemek ister misiniz?
Kurulum yok, sunucu yok. Hesap açtığınız gün kullanmaya başlarsınız.
Ücretsiz deneyin