Dijital kurumsal yetkiler neden birlikte yönetilmeli?

MERSİS, kayıtlı elektronik posta ve elektronik imza farklı teknik sistemlerdir; ancak şirket operasyonunda aynı soruya bağlanırlar: Kim, şirket adına hangi işlemi, hangi sınırla ve hangi süre içinde yapabilir? Bu yetkiler kişisel hafızaya, paylaşılan parolaya veya süresi belirsiz vekâlete bırakılırsa personel değişiminde görünmeyen erişimler kalabilir. Çözüm, hukuki temsil yetkisini sistem erişiminden ayıran ve ikisini kanıtla eşleyen bir yetki matrisidir.

Ticaret Bakanlığı MERSİS'i şirket ve ticari işletmelerin kayıt, değişiklik ve terkin işlemlerinin elektronik ortamda yürütüldüğü merkezi sistem olarak açıklar. BTK ise KEP'in gönderim, teslim, okunma ve yeniden erişim gibi delil hizmetleri sunduğunu belirtir. Elektronik imza ve KEP kullanımının hukuki sonuçları bulunduğundan, her somut işlem şirketin imza düzeni ve güncel mevzuat açısından yetkili hukuk danışmanıyla doğrulanmalıdır.

Dört farklı yetki katmanını ayırın

İlk katman hukuki temsil ve ilzam yetkisidir. Ticaret sicili kayıtları, şirket sözleşmesi, yönetim kararı veya vekâlet bu katmanın kaynağı olabilir. İkinci katman, MERSİS'te işlem başlatma, onaya gönderme veya yetki kabulü gibi uygulama rolleridir. Üçüncü katman KEP hesabında ileti okuma, taslak hazırlama ve gönderme erişimidir. Dördüncü katman elektronik imza aracının fiziksel ve dijital kontrolüdür.

Bir kişinin uygulamaya girebilmesi, her hukuki işlemi yapmaya yetkili olduğu anlamına gelmez. Tersi de geçerlidir: temsil yetkisi sistem hesabı açılmadan kullanılamayabilir. Matris her katman için kaynak belgeyi, kapsamı, başlangıç ve bitişi, veren ve onaylayan kişiyi, kullanılan hesabı ve son gözden geçirme tarihini göstermelidir.

Paylaşılan kimlik bilgilerini kaldırın

Ortak kullanıcı adı, parola, PIN veya imza cihazı kimin işlem yaptığını belirsizleştirir. Her kullanıcı kendi hesabıyla çalışmalı; mümkün olan yerlerde güçlü kimlik doğrulama kullanılmalıdır. E-imza kartı ve PIN'i ayrı kişilere teslim etmek veya PIN'i açık metin dosyada tutmak da güvenli değildir. Cihaz envanteri seri numarası, sertifika sahibi, teslim tarihi, saklama yeri ve iade durumuyla izlenmelidir.

KEP kutusunda taslak hazırlayan ile gönderen rolünü, özellikle önemli bildirimlerde ayırın. Gelen iletileri okuma sorumluluğu için yedek kişi ve tatil planı belirleyin. Otomatik yönlendirme kullanılacaksa alıcı, amaç, veri sınıfı ve bitiş tarihi kayıtlı olmalı; kişisel e-posta adreslerine yönlendirme engellenmelidir.

İşlem türü bazında onay tasarlayın

Adres değişikliği, yetkili değişikliği, sermaye işlemi, resmi bildirim ve rutin belge gönderimi aynı riskte değildir. Matriste işlem türlerini ve gereken onay seviyesini ayrı satırlarda tutun. Yüksek etkili işlemlerde iki kişi kuralı, kaynak karar kontrolü ve gönderim öncesi belge özeti kullanılabilir. Acil durum istisnası varsa kim tarafından, hangi süreyle ve sonradan nasıl inceleneceği yazılmalıdır.

MERSİS duyuruları üçüncü kişilere değişiklik başlatma veya onaya gönderme yetkisi verilebildiğini gösterir. Bu kolaylık, süresiz genel erişim gerekçesi değildir. Dış mali müşavir veya danışman için şirket, işlem ve tarih kapsamı dar tutulmalı; iş tamamlandığında erişimin kapandığı ayrıca doğrulanmalıdır.

Sertifika ve vekâlet yaşam döngüsünü bağlayın

Elektronik imza sertifikasının başvurusu, teslimi, aktivasyonu, yenilenmesi, kaybı, iptali ve imhası için sorumlu tanımlayın. Sertifika son kullanma tarihinden önce uyarı üretmek önemlidir; fakat yenileme otomatik bir formalite sayılmamalı, kişinin rolünün devam ettiği doğrulanmalıdır. Vekâlet veya kurul kararı sona erdiğinde sistem erişimi ve cihaz teslimi aynı kapanış olayına bağlanmalıdır.

Personel ayrılığında insan kaynakları kaydı tek başına yetmez. MERSİS rolleri, KEP erişimleri, elektronik imza cihazları, tarayıcı oturumları, yedek kodlar ve kayıtlı telefonlar kontrol edilmelidir. Kapatma talebi, uygulayan kişi, zaman ve doğrulama sonucu olay günlüğünde tutulur. Eski kullanıcının adı listede görünmüyor ifadesi yerine ekran veya sistem kaydıyla kanıt oluşturulur.

Delil niteliğini koruyan arşiv kurun

KEP iletisi yalnız PDF çıktısı değildir; gönderim ve teslimle ilgili delil kayıtları da önemlidir. Orijinal paket, ilişkili ekler, gönderim amacı, şirket içi onay ve dosya sınıflandırması birlikte saklanmalıdır. Erişim kayıtları korunmalı, saklama süresi belge türü ve hukuki gereksinime göre belirlenmelidir. Silme veya taşıma işlemi yetkili onaya bağlı olmalıdır.

Yapay zekâ gelen iletileri sınıflandırabilir ya da cevap taslağı hazırlayabilir; hukuki süreyi kesin belirleyemez, temsil yetkisi veremez ve e-imzalı gönderimi kendi başına başlatmamalıdır. Model çıktısı kaynak iletiye bağlı tutulmalı, belirsizlik gösterilmeli ve yetkili insan onayından sonra kullanılmalıdır. Hangi model sürümünün hangi taslağı ürettiği kaydedilirse denetim izi korunur.

Aylık kontrol ve olay senaryosu

Her ay aktif kullanıcıları ticaret sicili, sözleşme, vekâlet ve personel kayıtlarıyla karşılaştırın. Süresi dolan, kullanılmayan veya sahibi belirsiz erişimleri inceleyin. Üç ayda bir kayıp imza cihazı, ulaşılamayan KEP sorumlusu veya yanlış alıcıya hazırlanmış bildirim senaryosunu masa başında çalışın. Tatbikat, gerçek gönderim yapmadan karar ve bildirim zincirini sınamalıdır.

Her erişimin sahibi ve kaynak yetki belgesi var mı?
İşlem başlatma ile nihai gönderim ayrılabiliyor mu?
Dış kullanıcıların kapsamı ve bitiş tarihi tanımlı mı?
KEP delilleri özgün yapısıyla korunuyor mu?
Rol değişikliği tüm sistemlerde kapanış başlatıyor mu?
AI taslakları insan onayı olmadan işlem doğuramıyor mu?

Yetki matrisi bir Excel tablosundan daha fazlasıdır: kurum adına yapılan dijital eylemlerin sorumluluk haritasıdır. Sistem özellikleri ve hukuki etkiler değişebileceğinden güncel MERSİS, BTK ve mevzuat açıklamaları esas alınmalıdır.

MERSİS, KEP ve E-İmza Yetki Matrisi Nasıl Yönetilir?