Bir şirkette banka ödemesi göndermek, çoğu zaman sanıldığından daha kritik bir andır. Tek bir tuşla binlerce, hatta milyonlarca liralık bir tutar hesaptan çıkabilir. Bu yetkinin tek bir kişide toplanması, ne kadar güvenilir olursa olsun, hem insan hatasına hem de kötü niyetli kullanıma açık bir kapı bırakır. Bankacılık ve finans dünyasında bu riski yönetmenin en köklü yollarından biri, “maker-checker” yani hazırlayan-onaylayan prensibidir. Bu yazıda bu modelin ne olduğunu, iç kontrol açısından neden bu kadar değerli olduğunu ve çok seviyeli onay akışlarının pratikte nasıl işlediğini ele alıyoruz.
Maker-Checker Prensibi Nedir?
Maker-checker, bankacılık sektöründe uzun yıllardır uygulanan bir iç kontrol mantığıdır: bir işlemi başlatan kişi (maker) ile o işlemi onaylayan kişi (checker) her zaman farklı olmalıdır. Bu ayrım, literatürde “dört göz prensibi” olarak da bilinir; çünkü hiçbir işlem tek bir çift gözün onayıyla tamamlanmaz. Ödeme talimatları söz konusu olduğunda bu, bir muhasebe uzmanının ödeme kaydını hazırlaması, farklı bir yetkilinin ise bu kaydı inceleyip onaylamadan işlemin bankaya iletilmemesi anlamına gelir. Amaç kimseye güvensizlik göstermek değil; hata, ihmal veya kötüye kullanım ihtimalini yapısal olarak azaltmaktır.
Neden Finansal Kontrol ve İç Denetim Açısından Kritik?
İç denetim ve kurumsal yönetim çerçevelerinde görevler ayrılığı (segregation of duties) temel ilkelerden biridir. Bir kişinin hem işlemi başlatıp hem de onaylayabildiği bir sistemde, kontrol zinciri tek noktada kırılır ve o nokta zayıfladığında tüm süreç savunmasız kalır. Maker-checker modeli bu zinciri iki bağımsız halkaya böler: hazırlık aşamasında girilen tutar, IBAN, açıklama gibi bilgiler; onay aşamasında ise ayrı bir gözle yeniden değerlendirilir. Bu sadece dolandırıcılığa karşı bir önlem değildir; fatura tutarının yanlış girilmesi, yanlış hesaba transfer yapılması gibi tamamen iyi niyetli hatalar da bu ikinci kontrol katmanında yakalanır. Dış denetim ve bağımsız denetim süreçlerinde de onay izlerinin (audit trail) net şekilde belgelenmiş olması, şirketin kontrol olgunluğunu gösteren önemli bir kriterdir.
Tek Kişinin Ödeme Yapabildiği Sistemlerin Riskleri
Ödeme yetkisinin tek bir kişide toplandığı sistemlerde birkaç risk türü aynı anda ortaya çıkar. Birincisi operasyonel risktir: yoğun bir günde yapılan bir yazım hatası, ikinci bir kontrol olmadığı için doğrudan bankaya iletilir ve geri alınması genellikle zaman ve maliyet gerektirir. İkincisi suistimal riskidir; tek yetkili kişinin hesap bilgilerini değiştirerek veya sahte bir tedarikçi kaydı üzerinden ödeme yönlendirmesi, klasik “CEO dolandırıcılığı” ve fatura sahteciliği vakalarının ortak paydasıdır. Üçüncüsü ise kurumsal itibar ve uyum riskidir; tek kişilik onay yapısı, düzenleyici kurumların ve bağımsız denetçilerin beklediği kontrol standartlarının gerisinde kalır ve kurumun kredi değerliliğini, iş ortaklarıyla ilişkilerini olumsuz etkileyebilir. Bu riskler, şirket küçük olduğunda göz ardı edilebilir gibi görünse de, işlem hacmi arttıkça katlanarak büyür.
Çok Seviyeli Onay Akışı Nasıl Çalışır?
Pratikte çok seviyeli onay akışı, ödeme tutarına, türüne veya risk seviyesine göre farklı onay basamakları tanımlamak anlamına gelir. Tipik bir yapı şöyle işler:
- Hazırlayan kullanıcı ödeme talimatını sisteme girer; talimat “onay bekliyor” statüsünde bekler ve bankaya hiçbir şekilde iletilmez.
- Belirlenen limitin altındaki ödemeler tek bir onaylayanın kontrolünden geçerken, belirli bir eşiğin üzerindeki tutarlar ikinci, hatta üçüncü bir yetkilinin onayını gerektirebilir.
- Her onay adımı, kimin ne zaman ne onayladığını gösteren bir kayıt (log) bırakır; bu iz, hem iç denetim hem de dış denetim için doğrudan kullanılabilir bir kanıttır.
- Onaylayanlardan biri talimatı reddederse süreç hazırlayana geri döner ve gerekçeyle birlikte düzeltme istenir.
- Tüm onay basamakları tamamlanmadan hiçbir talimat bankaya gönderilmez; sistem bu kuralı manuel müdahaleye kapalı şekilde uygular.
Bu yapının gücü, esnekliğinde yatar: şirketler kendi organizasyon yapılarına göre limit bazlı, departman bazlı veya ödeme türüne göre farklı onay hiyerarşileri kurabilir. Örneğin rutin tedarikçi ödemeleri iki seviyeli bir akıştan geçerken, yüksek tutarlı veya yurt dışı ödemeler üç seviyeli bir onaya tabi tutulabilir.
Onay Akışını Kurarken Nelere Dikkat Edilmeli?
İyi tasarlanmış bir onay akışı hem güvenli hem de operasyonel olarak sürdürülebilir olmalıdır. Onay basamaklarının gereğinden fazla artırılması, süreci yavaşlatıp ekiplerin sistemin dışına çıkmasına (workaround üretmesine) yol açabilir; bu yüzden limitler ve yetki matrisleri gerçekçi iş hacmine göre kurgulanmalıdır. Ayrıca yedek onaylayanların tanımlanması, bir yetkilinin izinli olduğu dönemlerde sürecin kilitlenmesini önler. Son olarak, onay akışının banka entegrasyonuyla uçtan uca bağlantılı olması kritiktir; aksi halde onaylanan bir talimatın bankaya manuel olarak yeniden girilmesi, tam da önlemeye çalıştığınız hata riskini geri getirir.
Bankentegre, banka hesap hareketlerini ve ödeme talimatlarını tek bir platformda toplarken, tam da bu ihtiyaca yanıt veren onay akışlı ödeme altyapısını sunar: hazırlayan ve onaylayan rollerini net şekilde ayırır, çok seviyeli onay basamaklarını limitlere göre yapılandırmanıza imkân tanır ve her adımı denetlenebilir bir izle kayıt altına alır. Ödeme süreçlerinizi tek kişilik bir riskten çıkarıp kurumsal bir kontrol mekanizmasına dönüştürmek istiyorsanız, Bankentegre’nin onay akışlı ödeme çözümü bu dönüşümü ERP sisteminizle uyumlu, hızlı ve güvenli şekilde hayata geçirir.