İşletme büyüdükçe en kritik dönüşüm noktalarından biri kontrol kültürüne geçiştir. 5 kişilik atölyede patron her şeyi görür, 50 kişilik şirkette artık göremez. İç kontrol burada devreye girer. Kimse şüpheli değildir, ama sistem kötüye kullanıma kapalı tasarlanmalıdır. Bu yazı görev ayrılığı (Segregation of Duties / SoD), yetkilendirme matrisleri ve onay akışlarının ERP'de nasıl kurulacağını anlatıyor. Başlık denetim gibi görünse de odak günlük operasyon: hile ve hatadan korunmak.
Neden iç kontrol şart?
Üç temel sebep:
- Hile riski: bir tedarikçi-personel anlaşması, bir hayalet fatura, bir paralel firma akışı
- Hata riski: yorgun bir muhasebecinin yanlış tutarı kaydetmesi, yanlış IBAN'a havale
- Denetim zorunluluğu: bağımsız denetim, vergi denetimi, KVKK denetimi, ISO sertifikaları hep kontrol delili ister
Pek çok işletme bu konularda hiçbir şey yapmaz, "bizde hile olmaz" der. Sonra bir gün bir hile ortaya çıkar ve geç kalmış olur.
Görev ayrılığı (Segregation of Duties, SoD)
Temel ilke: bir kişi bir işlemi baştan sona tek başına yapamamalı.
Klasik tehlikeli kombinasyonlar:
- Aynı kişi tedarikçi açar + fatura kaydeder + ödeme yapar: hayalet tedarikçi yaratıp para çıkarabilir
- Aynı kişi sipariş alır + irsaliye keser + tahsilat alır: fiili olarak satılan ürünün parasını cebine atabilir
- Aynı kişi maaş bordrosunu hesaplar + ödeme talimatını verir: fazla ödenmiş maaş kendine yönlendirilebilir
- Aynı kişi stok sayım yapar + zayiat kaydı yapar: çalınan ürün "fire" olarak kapatılabilir
ERP rol bazlı kurulmalıdır. "Tedarikçi açma" yetkisi olan kişi, "Ödeme onayı" yetkisini almamalı.
Yetkilendirme matrisi nasıl hazırlanır?
Sistemde her aksiyon için 3 soru cevaplanmalı:
- Ne: hangi işlem (sipariş, ödeme, fatura iptali, fiyat güncelleme, stok hareketi)
- Kim: hangi rol (satış elemanı, satış müdürü, finans, genel müdür)
- Ne kadar: tutar/limit (10₺K altı, 10-50₺K, 50₺K üstü)
Örnek matris:
| İşlem | 10₺K altı | 10-100₺K | 100₺K+ |
|---|---|---|---|
| Satınalma siparişi | Satınalma sorumlusu | Müdür onayı | Genel müdür onayı |
| Ödeme talimatı | - | Finans + müdür | Finans + GM + tek imza yetkili |
| Fatura iptali | Müdür onayı | GM onayı | YK kararı |
| Stok düzeltmesi | Depo müdürü | Operasyon müdürü | Bağımsız sayım onayı |
Bu matris ERP'ye parametre olarak girilmeli, kod değişikliği gerektirmemeli.
Onay akışları
Onay akışı doğru kurulduğunda:
- Talep oluşturulur, otomatik olarak onaylayıcıya yönlendirilir
- Onaylayıcı e-postayla bilgilendirilir, onaylar ya da reddeder
- Reddetme durumunda gerekçe zorunlu, talep sahibi düzenleyip tekrar gönderir
- Tüm onay zinciri kayıt altında, izlenebilir
Yanlış kurgulanırsa:
- Onaylayıcı 3 gün izinde olursa talep bekler, üretim aksar
- Aşırı sayıda onay seviyesi olursa basit bir iş 5 imza ister, kimse kullanmak istemez
- Tek imza onaylayıcısı şirket dışındaysa sistem bloke olur
İşletmeler için maksimum 3 onay seviyesi ve yedek onaylayıcı mekanizması doğru orta yol.
İz ve kayıt tutma (denetim izi)
İç kontrolün kalbi: kimin neyi ne zaman yaptığının izi. Denetim kaydında şunlar bulunmalı:
- Her veri değişikliği (kim, ne zaman, eski değer, yeni değer)
- Her giriş-çıkış (kullanıcı, IP, başarısız denemeler dahil)
- Her onay aksiyonu
- Her rapor görüntüleme (hassas veriler için)
Bu kayıt:
- Değiştirilemez olmalı: yönetici bile geçmiş kaydı silememeli
- Yeterince saklanır: VUK'a göre 5+ yıl, KVKK'ya göre ilişki süresi + makul süre
- Aranabilir: "Geçen ay X tedarikçisinin ödeme limitini kim değiştirdi" sorusuna 30 saniyede cevap vermeli
En sık 5 zayıflık
1. Tek admin hesabı paylaşılıyor "Patron şifresi" diye herkesin bildiği bir hesap varsa denetim kaydı anlamsızdır.
2. Personel ayrıldıktan sonra erişim kalıyor İK formu doldurulurken aynı zamanda ERP yetkileri otomatik silinmeli.
3. Geçici yetki kalıcı oluyor "Bu hafta tatildeyim, sen onaylarsın" diye verilen geçici yetki 6 ay sonra hâlâ aktif.
4. Onaylayıcı kontrolsüz onaylıyor "OK" basıp geçiyor, içerik kontrolü yapmıyor. Onay sayfası anlamlı detay göstermeli.
5. Limit parametresi güncellenmiyor 3 yıl önce konulan 10₺K limit bugün hâlâ aynı, enflasyonla anlamsız hale geldi. Yıllık gözden geçirme yapılmalı.
İşletmeler için başlangıç adımları
- Şu anki kullanıcı listesi (ERP, e-posta, banka ekstresi erişimi vb.)
- Hangi işlemler tek kişide birikmiş (SoD ihlali)
- Yetkilendirme matrisi yazılı mı?
- Onay akışları manuel mi (WhatsApp), dijital mi
- Denetim kaydı saklanıyor mu, nasıl sorgulanıyor
- Personel ayrılma süreci yetki silmeyi içeriyor mu
Birasyo'nun yaklaşımı
Birasyo ERP'de iç kontrol:
- Rol bazlı yetkilendirme: önceden tanımlı roller, özelleştirilebilir
- SoD kontrolü: riskli kombinasyonları sistem otomatik uyarır (ör. aynı kişi tedarikçi açıp ödeme onayladıysa işaretler)
- Çoklu seviyeli onay akışları: limit ve kategori bazlı, yedek onaylayıcılı
- Denetim kaydı: yalnızca eklemeli, kriptografik zincirleme, uzun süreli saklama seçeneği
- Personel ayrılış otomasyonu: İK formundan tetikleme ile tüm yetkiler otomatik kapanır
- Yıllık yetki gözden geçirme raporu: yöneticilere "ekibinizin yetkilerini gözden geçirin" görev oluşturur
İç kontrol yapısını ERP'ye taşımak için demo talep edin.
İlgili okumalar:
Bu yazıyı LinkedIn'de paylaşın
Başlık, özet ve etiketler panoya kopyalanır, paylaşım penceresi açılır. Yapıştırıp (Cmd/Ctrl+V) gönderin.
