Dolandırıcılığı Önleme ve Tespit Kontrolleri

Bir şirketin kasasından para sızıyor. Ama kimse fark etmiyor. Haftalar geçiyor, aylar geçiyor. Muhasebe tabloları her ay düzgün kapanıyor; yönetim raporları temiz görünüyor. Ta ki birileri bir yerde bir tutarsızlık fark edip da üzerine gidene kadar.

Bu senaryo, ne bir suç romanından ne de kurgu bir senaryodan alıntı. Farklı sektörlerde, farklı ölçeklerdeki işletmelerde tekrar tekrar yaşanan ve çoğu zaman geç fark edilen bir gerçek. Dolandırıcılık, şirkete verdiği finansal hasar kadar; o hasarın ortaya çıkış biçimi, sorumluların kim olduğu ve kurumun bu süreçten nasıl etkilendiğiyle de yıkıcı olabiliyor.

Peki bu tabloya bakıp “Bizimle olmaz” demek ne kadar doğru? Veri söyleyiver: ACFE’nin (Association of Certified Fraud Examiners) kapsamlı araştırmasına göre, işletmeler her yıl gelirlerinin ortalama yüzde beşini dolandırıcılık kaynaklı kayıplara uğruyor. Küçük gibi görünen bu oran, yıllık ciroya vurulduğunda milyonlarca liralık bir deliktir. Üstelik bu rakam yalnızca tespit edilebilenlere dayanıyor; bilinmeyenler bambaşka bir tablo.

Bu yazıda, dolandırıcılıkla mücadelede kullanılan iki temel kontrol grubunu —Önleyici Kontroller ve Tespit Edici Kontroller— gerçek hayat örnekleri ve somut uygulamalarıyla ele alacağız. CIA (Certified Internal Auditor) müfredatının ve ACFE standartlarının temel referans noktası olarak gösterdiği bu iki katmanı anlamak; hem iç denetim profesyonelleri hem de işletme sahipleri ve yöneticiler için son derece kritik.

Risk Tabanlı Denetim Planlaması

×

İki Katmanlı Savunma

Bu soruyu sormak bile başlı başına bir yanılgıdır; çünkü doğru cevap “ikisi birden”dir.

CIA müfredatı ve ACFE standartları, etkili bir iç kontrol sisteminin bu iki stratejiye eş zamanlı dayanması gerektiğini net biçimde ortaya koyar. Önleyici Kontroller, fırsat ortadan kalkmadan devreye girer; hileli eylemi gerçekleşmeden engellemeye çalışır. Tespit Edici Kontroller ise önlemlerin aşıldığı durumlarda alarm veren, zararın büyümesine izin vermeden müdahale imkânı yaratan sistemlerdir.

Bir güvenlik metaforuyla düşünürsek: Önleyici kontroller evin kapı kilitleri ve alarm sistemiyken, tespit edici kontroller içerideyken kameralara yakalanmak ve güvenlik görevlisinin düdük çalmasıdır. Sadece kilide güvenmek saflıktır; sadece kameraya güvenmek ise pahalı bir ders ödemek anlamına gelir.

Önleyici Kontroller

Önleyici kontrollerin felsefesi şu temel soruya dayanır: Bu kişi, bu eylemi gerçekleştirmek için gerçekten fırsat buluyor mu?

Eğer sistem, suistimali mümkün kılan koşulları en baştan ortadan kaldırıyorsa, art niyetli kişi ya başka bir yer arar ya da “Riske değmez” diyerek vazgeçer. Bu fırsat kapatma mantığı, dolandırıcılık önlemede en temel ve en uzun soluklu stratejidir.

Görevlerin Ayrılması

Görev Ayrımı ilkesi (Segregation of Duties — SoD), önleyici kontrollerin tartışmasız köşe taşıdır.

Bu ilkenin mantığı şudur: Bir iş sürecinin birbirini denetlemesi gereken kritik adımları —yetkilendirme, kayıt ve koruma— asla tek bir elde toplanmamalıdır. Eğer bir çalışan hem satın alma siparişi açabiliyor, hem malı teslim aldığını sisteme işleyebiliyor hem de ödeme faturasını onaylayabiliyorsa, önünde açık bir yol var demektir. Hayali tedarikçi oluşturmak, sahte mal girişi kaydetmek, var olmayan ürünlerin parasını aktarmak… Bunların hepsini tek başına ve fark edilmeden yapabilir.

Görevlerin farklı kişilere dağıtılması ise bu resmi kökten değiştirir. Artık dolandırıcılık için suç ortaklığı gerekir. Birden fazla kişinin aynı gizli planı paylaşması, anlaşması ve bunu sürdürürken yakalanmama riski alması, tek bir kişinin kendi başına hareket etmesinden çok daha meşakkatlidir. Bu sadece psikolojik bir bariyer değildir; matematiksel olarak da riski katlamaktadır.

Görev ayrımının işletmelerde hayata geçirilmesi ise her zaman kolay değildir. Küçük ve orta ölçekli firmalarda “Zaten beş kişiyiz, bu rolleri kim üstlenir?” sorusu gündeme gelir. Bu durumda bile rotasyon (görev değişimi), çift onay mekanizması ya da belirli işlemlerde üst yönetim müdahalesi gibi telafi edici kontroller devreye sokulabilir. Önemli olan zihniyetin kurulmasıdır: Kritik süreçlerde tek kişi egemenliği açık davetiyedir.

Onay Limitleri

Orta büyüklükteki bir şirkette günlük yüzlerce finansal işlem gerçekleşir. Bu işlemlerin hepsini üst yönetimin tek tek incelemesi ne mümkün ne de verimlidir. Ama her işlem aynı riske sahip de değildir.

İşte Onay Limitleri tam bu noktada sistemin içine yerleşir. Belirli bir parasal eşiği aşan her işlemin, süreci başlatan kişiden bağımsız bir üst yönetici ya da yönetim kurulu tarafından onaylanması zorunluluğu, olağandışı kalemleri bir “üst akıl” önünde sorgulamaya açar.

Bu mekanizmanın asıl değeri şudur: İmzalaması gereken kişi “Bu işlemi neden yapıyoruz, bu fiyat neye dayanıyor, bu tedarikçiyle ilişkimiz nedir?” gibi soruları sormakla yükümlüdür. Rutin akışın içinde görünmez hale gelmiş anormallikler, bu aşamada gün yüzüne çıkar. Özellikle bütçe dışı veya dönemsel eğilimlere aykırı harcamalarda onay limitleri kritik bir filtre işlevi görür.

Limit eşiklerinin ve kademelendirmesinin işletmeye özgü biçimde tasarlanması gerekir. 50.000 TL’lik bir işlemi departman müdürü onaylarken, 500.000 TL’nin üzerini finanstan sorumlu genel müdür yardımcısı onaylamalıdır gibi net eşikler, sistemin işlerliğini artırır.

İşe Alım Politikaları

Önleyici kontrollere yalnızca yazılımsal ya da prosedürel araçlar olarak bakmak büyük bir eksikliktir. Belki de en temel önleyici kontrol, kapınızdan kimleri içeri aldığınızla başlar.

Birçok işletme, hızlı büyüme ya da anlık işgücü ihtiyacı baskısıyla işe alım sürecini bir formaliteye indirgiyor. Referans araması yapılmıyor ya da yüzeysel geçiliyor, sabıka kaydı sorgulanmıyor, önceki istihdam geçmişi doğrulanmıyor. Sonra aynı işletme, “Bu kişiyi tanımıyorduk ki” diyerek şaşırıyor.

Finans, satın alma, depo ve bilişim gibi yüksek riskli pozisyonlarda sistematik bir özgeçmiş araştırması ve referans doğrulaması yapmak; aday hakkında ciddi soru işaretleri yaratabilecek geçmiş bilgileri önceden ortaya çıkarabilir. Bu araştırmalar sadece işe alım aşamasında değil, terfi süreçlerinde de tekrarlanmalıdır. Çünkü kişinin mali durumu, motivasyonu ve çevre koşulları zaman içinde değişebilir; birkaç yıl önce güvenilir görünen biri, bugün çok farklı bir noktada olabilir.

Ayrıca yönetim, farklı teşvik ve baskı faktörlerine duyarlı olmak zorundadır. ACFE’nin dolandırıcılık üçgeni modeli (Fraud Triangle) şunu söyler: Dolandırıcılık üç unsurun bir araya gelmesiyle oluşur — baskı (mali sıkıntı, kumar borcu, hastalık), fırsat (zayıf kontroller) ve rasyonalizasyon (“Ben bunu hak ediyorum, buraya ne kadar emek verdim”). İşe alım sürecinde baskı ve rasyonalizasyonu tamamen öngörmek mümkün olmasa da fırsatı ortadan kaldırmak büyük ölçüde mümkündür.

Erişim Kısıtlamaları

Dijital çağda bilgiye erişim, eyleme geçme gücü demektir. ERP sistemleri, muhasebe yazılımları, müşteri veri tabanları, ödeme platformları… Bunlara kimin hangi yetkiyle girebildiği, artık dolandırıcılık riskinin en kritik boyutlarından birini oluşturuyor.

Rol Tabanlı Yetkilendirme (Role-Based Access Control) ilkesi şunu söyler: Bir çalışan yalnızca göreviyle doğrudan ilgili sistem ekranlarına ve verilere erişebilmelidir. Pazarlama bölümünde çalışan birinin tedarikçi ödeme modulünü görebilmesi, üretim hattındaki bir operatörün müşteri kredi kartı bilgilerine erişebilmesi ya da satış temsilcisinin iade ve iptal ekranında serbest işlem yapabilmesi; bunların hepsi “kapıyı ardına kadar açık bırakmak”tır.

BT altyapısında düzensiz büyüme, personel değişimleri ve yeterince takip edilmeyen yetki tanımları, zamanla bir kaos ortamı yaratır. Aylarca önce şirketten ayrılmış bir kişinin şifresi hâlâ aktif olabilir; bir pozisyondan başka bir pozisyona geçen kişinin eski yetkileri kaldırılmamış olabilir. Bu “yetki artıkları”, dolandırıcıların en sevdiği oyun alanlarıdır.

Bu riski yönetmek için periyodik yetki gözden geçirmeleri (access reviews) yapılmalı; işten ayrılmalarda şifre ve erişim iptali standart bir offboarding adımına dönüştürülmeli; hassas işlevler için çoklu kimlik doğrulama zorunlu hale getirilmelidir.

Tespit Edici Kontroller

Diyelim ki önleyici kontrollerin tamamını hayata geçirdiniz. Yine de içeride sistemi iyi tanıyan, açıkları bilen, sabırlı bir kişi olabilir. Tespit Edici Kontroller işte bu senaryoya karşı kurulan ikinci savunma hattıdır.

Bu kontrollerin misyonu, zamanla çarpışmaktır. Amaç, hileli eylemin mümkün olan en kısa sürede gün yüzüne çıkmasını sağlamaktır; çünkü dolandırıcılık ne kadar uzun süre devam ederse, zarar o kadar büyür, delilleri kapatmak o kadar kolaylaşır ve şirket üzerindeki hasarın geri alınamaz hale gelme ihtimali artar.

Mutabakat

Mutabakat, belki de en klasik ama etkinliğini hiç yitirmeyen yöntemdir. İki farklı kaynaktan gelen veriyi yan yana koyup “Bunlar örtüşüyor mu?” sorusunu sormaktır.

Banka hesap mutabakatı, dönem sonu stok sayımının kayıtlarla karşılaştırılması, borçlu ve alacaklı bakiyelerinin periyodik teyidi, fiili gider tutarlarının bütçeyle karşılaştırılması… Bunların hepsi birer mutabakat formudur. Aradaki fark —küçük de olsa— görmezden gelinmemesi gereken bir sinyaldir.

Burada kritik olan nokta, mutabakat yapan kişinin işlemi gerçekleştiren kişiden bağımsız olmasıdır. Kendi kaydettiği işlemi kendi mutabık kılan biri, zaten gizlemek istediği şeyi gizleyebilir. Bağımsızlık olmadan mutabakat, merasim olmaktan öteye geçemez.

Dolandırıcı ne kadar zeki olursa olsun, her işlemi sonsuza dek maskelemek mümkün değildir. Periyodik ve bağımsız mutabakat süreçleri, bu gizlilik penceresini olabildiğince daraltır; zamanla ortaya çıkacak tutarsızlıkların büyüklüğünü sınırlandırır.

Denetim İzi

Her işlem bir iz bırakır. Modern sistemlerde bu iz dijitaldir: Kim, ne zaman, hangi cihazdan, hangi IP adresiyle, hangi işlemi yaptı? Tüm bu veriler, iyi yapılandırılmış bir denetim izinde (audit trail) saklanır.

Denetim izi, adeta kurumun kara kutusudur. Şüphelenilen bir durumda “Kim ne zaman ne yaptı?” sorusuna belgeyle yanıt vermek, hem iç soruşturmalarda hem de yasal süreçlerde kritik bir araç haline gelir.

Ancak bu noktada vurgulamamız gereken önemli bir husus var: Denetim izi yalnızca kayıt tutmak değildir; o kaydın güvenliği ve kurcalanamaz olması şarttır. Eğer bir kullanıcı —özellikle yüksek yetkili biri— kendi işlem geçmişini sistemden silebiliyorsa, denetim izinin pratik bir değeri kalmaz. Log kayıtlarının ayrı ve güvenli bir ortamda, değiştirilemez biçimde saklanması; bu kayıtlara erişimin denetçiler ve yetkili üst yönetimle sınırlandırılması zorunludur.

Ayrıca bu sistemin caydırıcı etkisini de yabana atmamak gerekir. Bir çalışan, “Sisteme girdiğimde ve işlem yaptığımda bu iz kayıt altına alınıyor; biri gün gelir bunu inceleyebilir” diye düşündüğünde, kendiliğinden daha temkinli davranır. Görünürlük, davranışı şekillendirir.

İhbar Hatları

İşte burada bir an durup şunu söylemek gerekiyor: Dolandırıcılığın ortaya çıkmasında en güçlü mekanizma, veri analizi ya da banka mutabakatı değildir.

ACFE’nin onlarca ülkede binlerce vakayı kapsayan Mesleki Dolandırıcılık araştırmaları yıllardır aynı gerçeği haykırıyor: Dolandırıcılık vakalarının yaklaşık yüzde kırkı, çalışan ihbarıyla tespit ediliyor. Yani bir sistemin başında oturan insanlar, çoğu zaman makine göremeden önce bir şeyin yanlış gittiğini hissediyor.

Peki neden bu ihbarlar çoğu zaman yapılmıyor?

Birinci neden: Anonimlik güvencesi yok. “Adımı versem, benim işim biter” korkusu.

İkinci neden: Misilleme endişesi. “Üstümü şikâyet etmek istiyorum ama sonra benim kariyerim ne olur?”

Üçüncü neden: Erişilebilirlik sorunu. Hat var ama masa başında değil, fabrika zemininde çalışan biri nasıl ulaşacak?

Etkili bir ihbar hattı bu üç engeli aşmak zorundadır. Anonimliği teknik olarak güvence altına alan bir platform (bir e-posta formu değil, gerçek anonimlik sağlayan bir sistem), tüm çalışanlara kolay erişim imkânı ve en önemlisi ihbarcıyı koruyan net ve uygulanabilir bir misilleme politikası olmalıdır.

Yalnızca bir telefon numarası duvara asılmış bir kâğıt “ihbar hattı” değildir. Kâğıt üzerinde var ama gerçekte işlemeyen bir hat, güven sorununu daha da derinleştirmekten başka bir işe yaramaz.

Sürpriz İç Denetimler

Planlı denetimlerin bilinen ama nadiren telaffuz edilen bir zayıflığı vardır: Kötü niyetli kişi, denetim takvimini öğrendiğinde kendini hazırlar. Kayıtlar toparlanır, tutarsız kalemler kapanır, sorulabilecek sorulara yanıtlar hazırlanır. Denetçi, usulüne uygun yürütülmüş gibi görünen bir sahneye adım atar.

Sürpriz iç denetimler bu dinamiği tersine çevirir. Sabah işe gelen bir çalışanın kendini iç denetçiyle karşı karşıya bulması, sisteme giriş geçmişinin anlık olarak incelenmesi ya da kasa sayımının habersiz yapılması, planlı denetimlerin hiçbir zaman sağlayamayacağı bir psikolojik etki yaratır.

Bu etki, “yakalanma olasılığı”nın belirsiz ama sürekli var olmasından kaynaklanır. Belirsizlik, risk algısını besler. “Denetim Ocak’ta, şimdiden hazırlarım” yerine “Herhangi bir sabah gelebilirler” düşüncesi, kötü niyetli eylemin başlamasından önce bile caydırıcı bir işlev görür.

Teoriden Pratiğe

Bu noktaya kadar anlattıklarımızı biraz soyut bulmuş olabilirsiniz. Gelin, hepsini tek bir somut örnek üzerinde birleştirelim.

Senaryo: Depoya Mal Giriş Süreci

Klasik ve risk dolu versiyon şu şekilde işler: Satın almacı Ahmet Bey, hem siparişi açıyor; hem de kamyon geldiğinde “Mal alındı” diye sisteme giriyor, faturayı da kendisi onaylayıp muhasebeye gönderiyor. Bu tabloda Ahmet Bey’in hayali bir tedarikçi kaydı oluşturması, hiç gelmemiş malları “teslim alındı” olarak işlemesi ve faturayı kendi onaylayıp ödemenin yapılmasını sağlaması için önünde neredeyse hiçbir engel yoktur. Sisteme güveniyor musunuz, Ahmet Bey’e mi?

Doğru ve kontrollü versiyon ise şöyle işler:

Adım 1 — Yetkilendirme: İhtiyacı tespit eden birim, talebi Satın Alma Departmanı’na iletir. Satın alma, onaylı tedarikçiler listesinden seçim yaparak resmi siparişi oluşturur. Bu aşamada harcama, önceden belirlenen bütçe ve onay limitlerine tabidir.

Adım 2 — Fiziksel Teslim Alma ve Kayıt: Kamyon depoya yanaştığında, malı Ahmet Bey değil; satın alma sürecinden tamamen bağımsız olan Depo/Ambar Personeli teslim alır. Miktar sayılır, nitelik kontrol edilir ve bağımsız bir Mal Kabul Raporu tutulur. Bu adım hayati önem taşır; çünkü hiç gelmemiş malı “geldi” olarak kaydetme imkânını ortadan kaldırır.

Adım 3 — Üçlü Eşleştirme (Three-Way Matching): Fatura geldiğinde Muhasebe/Finans Birimi ödemeyi gerçekleştirmeden önce üç belgeyi yan yana koyar:

• Satın Alma Siparişi → “Biz gerçekten bu malı, bu fiyata, bu tedarikçiden sipariş ettik mi?”
• Mal Kabul Raporu → “Sipariş edilen mal, belirtilen miktarda gerçekten depoya girdi mi?”
• Tedarikçi Faturası → “Fatura tutarı ve kalemleri, sipariş ve teslim teyidiyle örtüşüyor mu?”

Bu üç belge arasında en küçük bir uyumsuzluk, ödemenin otomatik olarak bloke edilmesini ve sorumlu üst amire uyarı gitmesini tetikler. İşte bu kurguda Ahmet Bey’in tek başına yapabileceği hiçbir şey kalmaz.

Bir İhbar Hattının Fark Yarattığı Gün

Teorik çerçeveleri bir kenara bırakın; şimdi size bu mekanizmaların gerçekte nasıl çalıştığını gösteren bir senaryo aktarmak istiyorum.

Şirketin muhasebe biriminde çalışan Elif Hanım, son birkaç aydır rahatsız edici bir şeyler fark ediyor. Doğrudan amiri olan Ayla Hanım, aynı tutarlardaki bazı faturaları hem A Kablo Ltd. Şti. hem de B Elektrik Ltd. Şti. adı altında sisteme iki kez giriyor gibi görünüyor. Elif Hanım emin değil; belki de yanlış anlıyordur. Ama bir şeylerin doğru olmadığını içinde hissediyor.

Durumu Ayla Hanım’a söyleyemiyor; zira şüphelendiği kişi tam da onun amiri. İnsan Kaynakları’na gitse “ispiyoncu” damgası yeme korkusu var. Konuyu kafasında tutmaktan başka ne yapabileceğini bilemez hale geliyor.

Tam bu noktada hatırladığı bir şey var: Şirketin anonim ihbar hattı.

Elif Hanım, kimliğini açıklamadan durumu bildiriyor. İhbar, tarafsız bir operatör aracılığıyla İç Denetim Birimi’ne ulaşıyor. Denetçiler önce şüpheyle başlıyor, sonra son üç aylık fatura kayıtlarını tarayor. Birim önce iki faturanın tutarsızlığını buluyor; ardından bu yöntemin sistematik biçimde uygulandığını görüyor. Ayla Hanım’ın mükerrer fatura girişleri yoluyla şirketi toplam 180.000 TL zarara uğrattığı belgeleniyor.

Bu hikayenin asıl mutlu sonu ne Ayla Hanım’ın yakalanması ne de paranın geri alınmasıdır. Asıl mutlu son, sistemin tasarımlandığı gibi çalışmış olmasıdır.

Elif Hanım korundu. Ayla Hanım görevden uzaklaştırıldı. Ve mükerrer fatura girişini önleyen yeni bir yazılımsal kontrol sisteme eklendi; artık aynı tutarda iki farklı tedarikçi faturası aynı dönem içinde uyarı tetiklemeden kayıt kabul etmiyor.

Üst Yönetimin Tutumu

Şimdiye kadar anlattığım her şeyin —görev ayrımı, onay limitleri, denetim izi, ihbar hatları, sürpriz denetimler— sahte bir güvende bıraktığını söylesem ne düşünürsünüz?

Eğer üst yönetim bu mekanizmalara inanmıyorsa, yalnızca duvara asılı prosedürler bütünü haline gelirler.

CIA müfredatı bu konunun altını kalınca çizer: İç kontrol sisteminin başarısı büyük ölçüde yönetim kurulunun ve üst yönetimin bütünlüğüne bağlıdır. Buna Tone at the Top — üstten gelen ton— denir.

Düşünün: Referans araştırmasını zorunlu hâle getiren bir genel müdür, kendi akrabası için “O adam benim adamım, kontrole gerek yok” diyerek bu prosedürü es geçerse; o duvarın temeli daha başlamadan çatlamış demektir. Patron, makam aracını şirket gideri gösterip vergiden düşerken alt kademedeki satış temsilcisine kilometre şişirdiği için disiplin uygulaması, ikiyüzlülüğün kurumsal biçimidir. Ve çalışanlar bunu görür, anlar, içselleştirir.

Etik bir örgüt iklimi yaratmak, bir etik kod belgesi yayınlamak ya da prosedürleri klasöre koymakla bitmez. Bu, yaşayan ve soluk alan bir kültürdür. Yöneticilerin kurallara önce kendilerinin uyması, hatalara verilen tepkilerin tutarlılığı ve adilliği, hileli eylemlere karşı verilen yanıtların netliği ve kararlılığı — bunların hepsi çalışanların zihninde “Burada kurallara gerçekten uyuluyor mu?” sorusunun cevabını belirler.

İnsanlar bu soruya “Evet” cevabını bulduğunda, hem kendi davranışlarını buna göre şekillendirir, hem de bir anormallik gördüklerinde ihbar etmeye daha istekli olurlar.

Sonuç

Dolandırıcılıkla mücadelede sihirli bir formül yoktur. Ama kanıtlanmış ve evrensel kabul görmüş bir çerçeve var: Önlemek ve tespit etmek, birbirini tamamlayan iki gözü oluşturur. Biri olmadan diğeri kördür.

Görev ayrımı yapısal fırsatı kapatır. Onay limitleri anormali görünür kılar. İşe alım politikaları riski kaynakta azaltır. Erişim kısıtlamaları mahremi korur. Mutabakat tutarsızlığı yüzeye taşır. Denetim izi tarihi yazılı kılar. İhbar hattı insan gözünü sisteme dahil eder. Sürpriz denetimler belirsizlikle caydırır.

Ve bütün bunların üstünde, her birinin anlam kazandığı zemin şudur: Üst yönetim bu değerleri gerçekten yaşatıyor mu?

Kurumunuzu dolandırıcılıktan tamamen muaf tutmak mümkün olmayabilir. Ama onu mümkün olduğunca zor, olduğunca kısa ömürlü ve olduğunca az hasarlı hale getirmek — bu, her işletmenin elindedir.