Şirket ödemeleri tek kişinin telefonundan yapılır mı?

Demiştir, 2024 denetiminde aynen: 'para transferlerinin BİR PERSONELE TAHSİSLİ TELEFONDAN mobil bankacılık uygulamasıyla gerçekleştirildiği; kapsam ya da TUTAR SINIRLAMASINA gidilmediği; şifre bilgilerinin de AYNI PERSONELE tanımlandığı', sonuç: 'önemli bir KONTROL ZAFİYETİ.' 'Yıllardır sorunsuz' cümlesi; kontrolün değil, şansın raporudur.

Analiz: (1) Tek nokta arızası: şirketin bütün nakdi; tek kişinin telefonuna, o telefonun SIM'ine ve o kişinin dürüstlük-dikkat düzeyine bağlanmıştır, kötüye kullanım (kendine/ilişkiliye transfer), hata (yanlış IBAN-tutar) ve dolandırıcılık (telefonun ele geçirilmesi, SIM kopyalama, oltalama) senaryolarının üçünde de şirketi bağlayan işlemler doğar (TTK m.18 basiret + m.369 özen: bu düzeni kuran ve sürdüren yönetim, zarar gününde 'bilmiyordum' diyemez). (2) Bankacılıkta kurumsal mimari mümkündür ve ücretsizdir: kurumsal internet bankacılığında yetki matrisi (hazırlayan ≠ onaylayan), çift imza-onay akışı, kullanıcı bazlı tutar limitleri, IP-cihaz kısıtı ve işlem bildirimlerinin yönetime gitmesi standart üründür, mobil uygulamadan sınırsız tek-kişi transferi; bu mimarinin bilinçli terkidir. (3) İz ve mutabakat boyutu: kişisel telefon akışında talimat-onay belgesi üretilmez; muhasebe fişi ↔ banka ekstresi mutabakatı 'işlemden sonra' yapılan bir temenniye döner, oysa ödeme; belgeyle başlar (talimat-fatura-onay), bankada biter (nakit-tevsik, kasa-banka-kontrol dosyalarının dijital sürümü: kanal değişti, belge disiplini değişmez). (4) Emsalin güzel tarafı: idare cevabında mobil bankacılık kullanımının tamamen durdurulduğu bildirilmiştir, çözüm bilinmektedir; mesele, zafiyet rapora girmeden kurmaktır.

Yapılacaklar: (1) Mobil tek-kişi düzenini bugün kapatın: bankayla kurumsal sözleşmeyi güncelleyip yetki matrisi kurun, veri girişi (mali işler personeli) + onay (GM/mali koordinatör) ayrımı; kullanıcı bazlı günlük-işlem limitleri; mobil kanal ancak görüntüleme yetkisiyle açık kalsın. (2) Ödeme talimat zinciri: her transferin dayanağı (fatura-bordro-sözleşme) ve yazılı onayı işlem öncesi dosyalansın; toplu ödemeler (maaş-SGK-vergi) liste onaylı yapılsın. (3) Geriye dönük tarama: mobil kanaldan yapılmış işlemlerin ekstre dökümünü alın; dayanak belgeleriyle örneklem ötesi tam mutabakat yapın, açıklanamayan işlem varsa inceleme başlatın. (4) Sürekli kontrol: aylık banka mutabakat tutanağı (hazırlayan-kontrol eden ayrı imzalar), yetki matrisinin yıllık gözden geçirmesi ve ayrılan personelin banka yetkilerinin aynı gün iptali, kontrol listesi maddesi olsun.

Uygulama önerisi: şirket kasasında tek cümlelik mimari kural benimseyin: 'hiçbir lira, tek başına kimsenin parmağıyla yola çıkmaz.' Hazırlayanla onaylayanı ayıran şirkette hata da suistimal de ikinci gözde takılır, ayırmayanda ise bütün bilanço, bir telefonun kilit ekranına emanettir; denetçi bunu tek kavramla yazar: önemli kontrol zafiyeti.