Finansal Yetki Matrisi: Talep, Onay, Ödeme ve Kayıt Rollerini Ayırmak

Kısa cevap

Finansal yetki matrisi, hangi rolün hangi işlemde talep, kontrol, onay, uygulama ve izleme yapabileceğini gösterir. Güçlü tasarımda aynı kişi bir işlemi baştan sona tek başına tamamlayamaz; tutar, işlem türü, şirket ve risk düzeyine göre ikinci onay veya bağımsız kontrol bulunur. Yetki geçici verilecekse süre ve gerekçe kaydedilir. Sistem yalnız erişim sağlamaz, görev çakışmasını da uyarır. Acil istisnalar görünmez kapı olmamalı; sonradan gözden geçirme ve denetim izi içermelidir.

Süreç adımlarını çıkarın

Önce satın alma talebi, tedarikçi açma, fatura kontrolü, ödeme önerisi, banka talimatı, muhasebe kaydı, mutabakat ve raporlama adımlarını haritalayın. Her adımda hangi veri ve varlığın değiştiğini belirleyin. Yalnız departman adı yazmak yeterli değildir; “finans” içinde hazırlayan, onaylayan ve uygulayan roller ayrılabilir. Sistem yöneticisi ve veri tabanı erişimi gibi teknik roller de kapsamda olmalıdır. Manuel süreçler, banka portalı ve muhasebe yazılımı birlikte düşünülmelidir.

Beş temel rol

Talep eden iş ihtiyacını açıklar. Kontrol eden belge, bütçe, taraf ve politika uyumunu inceler. Onaylayan kurumsal yetkiyi kullanır. Uygulayan banka talimatı veya kesin kaydı gerçekleştirir. İzleyen ise mutabakat ve sonradan inceleme yapar. Küçük işletmede beş ayrı kişi olmayabilir; bu durumda bağımsız yönetici incelemesi, günlük banka bildirimi veya periyodik örneklem gibi telafi edici kontroller tanımlanmalıdır. “Personel az” gerekçesi, çakışmayı görünmez bırakmamalıdır.

Yetki boyutları

Matris yalnız tutar limiti içermemelidir. İşlem türü, şirket, şube, banka hesabı, para birimi, tedarikçi risk durumu, ilişkili taraf, aciliyet ve veri hassasiyeti gibi boyutlar gerekebilir. Yeni tedarikçi kaydı ile mevcut tedarikçiye ödeme aynı riskte değildir. Banka hesap bilgisi değişmiş tedarikçi için ikinci kanal doğrulaması ve ek onay istenebilir. Parçalı işlemlerle tutar limitinin aşılmasını önlemek için aynı taraf ve yakın tarihteki talepler birlikte izlenmelidir.

Çakışma kuralları

Talep eden kendi talebini onaylamamalı; tedarikçi banka bilgisini değiştiren kişi ilk ödemeyi tek başına serbest bırakmamalı; banka talimatını oluşturan mümkünse tek başına göndermemeli; muhasebe kaydını yapan kişi mutabakat farkını bağımsız incelemelidir. Bunlar katı evrensel liste değil, risk değerlendirmesi için örneklerdir. Her yasak kombinasyon ve varsa telafi edici kontrol matriste açıkça yazılmalıdır. Sistem, çakışmayı yalnız raporlamak yerine işlem anında uygun uyarı veya engel üretmelidir.

Tutar limitleri ve bölünmüş işlemler

Limitler yönetim kararı ve risk iştahıyla belirlenmeli, kaynaksız sektör rakamları kullanılmamalıdır. Vergi dahil-hariç tutar, para birimi dönüşümü ve toplu ödeme hesaplama yöntemi yazılmalıdır. Aynı siparişi veya faturayı küçük parçalara ayırarak düşük yetki seviyesinde geçirmek kontrol edilmelidir. İstisna durumunda üst onay ve gerekçe gerekir. Limit değişikliği yürürlük tarihiyle sürümlenmeli; geçmiş işlemler yeni limite göre yeniden etiketlenmemelidir.

Geçici ve vekâlet yetkisi

İzin, seyahat veya iş sürekliliği için geçici yetki verilebilir. Başlangıç-bitiş zamanı, kapsam, veren ve kabul eden kişi kayıt altına alınmalıdır. Süre dolduğunda erişim otomatik sonlanmalı; süresiz vekâlet oluşmamalıdır. Vekil, kendi normal rolüyle çakışan yetki kazanıyorsa ek kontrol uygulanmalıdır. Acil erişim kullanıldığında işlem listesi bağımsız kişi tarafından belirli süre içinde gözden geçirilmelidir.

Banka ve uygulama yetkilerini eşleyin

Kağıt üzerindeki matris ile banka portalı, muhasebe sistemi, satın alma aracı ve kimlik sağlayıcıdaki gerçek roller karşılaştırılmalıdır. Yönetim kurulunda onaylı limitin sistemde farklı olması önemli risktir. Ortak kullanıcı hesabı, işlemi kimin yaptığını belirsizleştirir. Çok faktörlü doğrulama ve bireysel kullanıcı tercih edilmeli; teknik servis hesapları dar kapsamlı ve izlenebilir olmalıdır. Banka tarafındaki yetki değişikliği kanıtı işlem dosyasına eklenmelidir.

Tedarikçi ana verisi

Ödeme kontrolü yalnız talimat anında başlamaz. Tedarikçi açma, vergi ve banka bilgisini değiştirme, pasife alma ve yeniden etkinleştirme yetkileri matrise dahil edilmelidir. Banka hesabı değişikliğinde e-posta tek başına yeterli teyit sayılmayabilir; işletmenin yazılı doğrulama prosedürü uygulanır. Değişikliği yapan ile onaylayan farklı olmalı, eski ve yeni değer saklanmalıdır.

Veri erişimi ve KVKK

Finans kayıtları müşteri, tedarikçi ve çalışanlara ait kişisel veri içerebilir. KVKK'nın amaçla bağlantılı, sınırlı ve ölçülü işleme ilkesi gereğince erişim “işe yarar olabilir” düşüncesiyle geniş tutulmamalıdır. Rolün ihtiyacı olmayan IBAN, kimlik veya bordro verisi maskelenebilir. Görüntüleme, dışa aktarma, değiştirme ve onay ayrı izinler olarak ele alınmalıdır.

Periyodik gözden geçirme

İşe giriş, rol değişikliği ve ayrılışta yetkiler güncellenmelidir. Ayrıca düzenli erişim sertifikasyonu yapın: yönetici her kullanıcının mevcut rolünü ve ihtiyacını doğrulasın. Uzun süredir kullanılmayan, birikmiş veya çelişen yetkileri kaldırın. İnceleme sonucu, istisnalar ve kapanış kanıtı saklanmalıdır. Sistem yöneticisinin kendi yetkisini onaylaması engellenmelidir.

Denetim izi ve alarm

Kim talep etti, kim onayladı, hangi veri değişti, hangi cihaz veya kanaldan uygulandı ve kim mutabakat yaptı soruları yanıtlanmalıdır. Onay zinciri sonradan düzenlenememeli; ret ve geri çekme de kaydedilmelidir. Limit aşımı, yeni banka hesabına ilk ödeme ve acil yetki kullanımı gerçek zamanlı veya yakın zamanlı uyarı üretebilir. Uyarı suç kanıtı değil, insan incelemesi tetikleyicisidir.

Kapsam notu

Bu rehber genel iç kontrol yaklaşımıdır; hukuki temsil yetkisi, banka sözleşmesi veya belirli ödeme kararı hakkında görüş değildir. TTK, KVKK, banka sözleşmeleri ve şirketin imza/yetki kararları hukukçu ve mali müşavirle doğrulanmalıdır. COSO çerçevesi genel iç kontrol ilkeleri için kurumsal bir kaynaktır.