Kısaca: Bir ERP sisteminin verimli çalışıp çalışmadığı, sistemin kendisine değil, işin sistemde mi yoksa sistemin dışında mı yürüdüğüne bakılarak anlaşılır. Excel’e kaçış, çift veri girişi, raporlara güvensizlik, sürüm yükseltmeyi engelleyen uyarlamalar, kullanılmayan modüller ve elle düzeltilen entegrasyonlar altı tipik belirtidir. Bir ERP sağlık kontrolü beş alana bakar: süreç uyumu, veri kalitesi, uyarlamalar ve sürüm, entegrasyonlar, kullanım ve yetkiler. Kararı görüşe değil, sistem kayıtlarından ve süreç verisinden gelen kanıta dayandırmak gerekir.
ERP denetimi nedir, ne değildir?
ERP denetimi, kurulu bir sistemin bugün şirketin gerçek süreçlerini ne ölçüde taşıdığını ölçen bir değerlendirmedir. Mali tabloların bağımsız denetimi değildir; yalnızca bir bilgi güvenliği taraması da değildir. Üç soruya cevap arar: süreçler sistemde mi yürüyor, sistemdeki veri karar vermeye yetecek kadar güvenilir mi ve sistem bugünkü hâliyle sürdürülebilir mi?
BT yönetişimi için yaygın kullanılan çerçeveler, bilgi sistemlerinin iş hedeflerine hizmet edip etmediğinin düzenli olarak değerlendirilmesini önerir. ERP denetimi bu genel ilkenin, şirketin en kritik iş sistemine uygulanmasıdır.
ERP sisteminizin verimli çalışmadığını gösteren 6 belirti
- Excel’e kaçış: Planlama, maliyet ya da sevkiyat takibi sistemin yanında tutulan tablolarda yürüyor; sistem yalnızca kayıt için kullanılıyor.
- Çift veri girişi: Aynı sipariş, müşteri ya da ürün bilgisi birden fazla yere elle giriliyor; sistemler arasında aktarım bir çalışanın işi hâline gelmiş.
- Raporlara güvensizlik: Yönetim raporları her ay elle düzeltiliyor, ay sonu kapanışı ve mutabakat uzun sürüyor, aynı soruya farklı departmanlar farklı rakamla cevap veriyor.
- Sürüm yükseltmeden kaçınma: Biriken uyarlamalar yüzünden yeni sürüme geçiş ertelenir; her yükseltme yeni bir proje gibi görünür.
- Kullanılmayan modüller ve lisanslar: Satın alınan modüllerin bir kısmı hiç devreye alınmamış ya da bırakılmış; kullanıcıların önemli bir bölümü sistemi yalnızca görüntülemek için açıyor.
- Elle düzeltilen entegrasyonlar: e-Belge akışları, banka hareketleri ya da diğer sistemlerle bağlantılar düzenli olarak elle müdahale gerektiriyor.
Değerlendirmemiz, bu belirtilerin çoğu zaman yazılımın yetersizliğinden değil, kurulumdan bu yana değişen süreçlerin sisteme yansıtılmamasından doğduğudur. Bu yüzden ilk soru «yeni bir sisteme mi geçmeliyiz?» değil, «mevcut sistem bugünkü süreçlerimizden ne kadar uzaklaştı?» olmalıdır.
ERP sağlık kontrolü: beş alan
Aşağıdaki tablo, bir sağlık kontrolünde hangi alana hangi kanıtla bakılacağını özetler:
| Alan | Bakılacak kanıt | Sorulacak soru |
|---|---|---|
| Süreç uyumu | Sistemdeki işlem kayıtları, sistem dışında tutulan tablolar | Hangi süreç adımları sistemin dışında yürüyor? |
| Veri kalitesi | Ana veri örneklemi, mükerrer ve eksik kayıtlar | Ürün, müşteri ve ürün ağacı verisi karar vermeye yetecek kadar güvenilir mi? |
| Uyarlamalar ve sürüm | Uyarlama listesi, sürüm geçmişi | Hangi uyarlamalar hâlâ gerekli, hangileri sürüm yükseltmeyi engelliyor? |
| Entegrasyonlar | Arayüz listesi, hata ve elle müdahale kayıtları | Hangi bağlantılar düzenli olarak elle düzeltiliyor ve sorumlusu kim? |
| Kullanım ve yetkiler | Kullanıcı ve modül kullanım verisi, rol tanımları | Kim neyi kullanıyor, yetkiler görevlerle örtüşüyor mu? |
Kanıt nereden gelir?
Bir denetimin değeri, görüşe değil kanıta dayanmasından gelir. Dört kaynak birlikte kullanılır:
- Sistem kayıtları: ERP’nin işlem kayıtları, bir sürecin gerçekte nasıl yürüdüğünü gösterir. Süreç madenciliği, bu olay kayıtlarından gerçekleşen süreç akışını çıkarır; olay verisinin ortak biçimi için IEEE’nin XES standardı kullanılır.
- Kullanım verisi: Hangi modüllerin, hangi kullanıcılarca, ne sıklıkla kullanıldığı.
- Veri örneklemi: Ana verinin tutarlılığı ve eksikleri, küçük ama temsili bir örneklem üzerinden incelenir.
- Süreç sahipleriyle görüşmeler: Kayıtların göstermediği istisnalar ve sistem dışı çalışmalar. Mevcut süreçler BPMN 2.0 gibi ortak bir gösterimle çizilir.
Kayıtlar kişisel veri içerdiğinde, inceleme 6698 sayılı Kişisel Verilerin Korunması Kanunu’na uygun biçimde ve yalnızca amaca yetecek kadar veriyle yapılır.
Denetimden sonra: üç olası karar
- İyileştirme: Sistem doğru, kurulum eskimiş. Süreçler güncellenir, gereksiz uyarlamalar temizlenir, kullanıcılar yeniden eğitilir.
- Sürüm yükseltme ve sadeleştirme: Uyarlamaların bir kısmı standart işlevle karşılanabiliyor; yükseltme, sadeleştirmeyle birlikte planlanır.
- Yenileme: Sistem, şirketin ölçeği ya da süreçleri için artık uygun değil. Bu durumda yeni sistem seçimi, denetimin ortaya koyduğu kapsamla başlar.
Hangi kararın doğru olduğu, denetimden önce bilinemez. Sık yapılan hata, sorun hissedildiği anda yeni bir sistem arayışına girmek ve mevcut sistemin neden yetmediğini hiç ölçmemektir; aynı sorunlar yeni sisteme taşınır.
Kaçınılacak hatalar
- Denetimi yalnızca BT ekibine bırakmak: sorunların çoğu süreç sahiplerinin günlük işinde görünür.
- Tek bir kişinin ya da departmanın görüşüne dayanmak: belirtiler departmandan departmana farklı görünür.
- Bulguları kapsama çevirmemek: önceliklendirilmemiş bir bulgu listesi, aksiyona dönüşmez.
ERP seçerken bakılacak kriterler için ERP seçerken beş kritik özellik yazımıza bakabilirsiniz.
MindDX yaklaşımı
MindDX bu sırayı «önce röntgen, sonra teşhis» diye özetler. Kurulu bir Odoo, Zoho ya da abas ERP sistemi için Assess’in canlı sistem yolu Audit’tir: mevcut kurulumu değiştirmeden değerlendirir ve neyin iyileştirileceğini gösteren Doğrulanmış İyileştirme Kapsamını üretir. MindDX Platformu’nu keşfedin.
Kaynaklar
- ISACA — COBIT (bilgi ve teknoloji yönetişimi çerçevesi)
- IEEE Süreç Madenciliği Görev Gücü — Process Mining Manifesto
- IEEE 1849 XES — eXtensible Event Stream standardı
- Object Management Group — Business Process Model and Notation (BPMN) 2.0
- Gelir İdaresi Başkanlığı — e-Belge (e-Fatura, e-Arşiv Fatura, e-İrsaliye)
- 6698 sayılı Kişisel Verilerin Korunması Kanunu (Mevzuat Bilgi Sistemi)