Bir işletmenin karşılaştığı dolandırıcılık riski her zaman dışarıdan gelmez. Kurumun işleyişini, yetki dağılımını ve hangi işlemlerin dikkat çekmeyeceğini en iyi bilenler arasında kurumun kendi çalışanları ve yöneticileri de vardır. Bu bilgi, yeterli denetim bulunmadığında kişisel çıkar sağlamak amacıyla kullanılabilir.
Sahte faturalar, hayalî tedarikçiler, şirket varlıklarının kişisel amaçlarla kullanılması, gizlenen çıkar çatışmaları, rüşvet, bordro manipülasyonu ve finansal sonuçların olduğundan farklı gösterilmesi bu riskin farklı biçimleridir. Türkçede yaygın olarak “çalışan suistimali” denilse de İngilizcedeki occupational fraud kavramı daha geniştir: Fail yalnızca bir çalışan değil; yönetici, şirket ortağı veya üst düzey yönetici de olabilir.
Association of Certified Fraud Examiners (ACFE), bu alanı üç ana başlıkta topluyor: Kurumun varlıklarının çalınması veya kötüye kullanılması, rüşvet ve çıkar çatışması gibi yolsuzluk eylemleri ve finansal tabloların kasıtlı biçimde yanıltıcı gösterilmesi. Bu kategoriler birbirini dışlamaz; tek bir olay bunlardan birden fazlasını içerebilir.
Ancak çalışan suistimalini yalnızca “dürüst olmayan bir kişinin davranışı” olarak okumak, meselenin en açıklayıcı kısmını gözden kaçırır. Yetkinin kurum içinde nasıl dağıtıldığı, işlemleri kimin denetlediği, yöneticilerin sorgulanabilir olup olmadığı ve çalışanların şüphelerini güvenle bildirip bildiremediği de belirleyicidir. Bu unsurlar zayıfladıkça suistimalin ortaya çıkma, gizlenme ve uzun süre devam etme riski artar.
2026 verileri ne söylüyor?
ACFE’nin Mayıs 2026’da yayımladığı Occupational Fraud 2026: A Report to the Nations, 143 ülke ve bölgeden 2.402 soruşturulmuş vakayı inceliyor. Bu vakalarda belirlenen toplam kayıp 3,4 milyar doları aşarken vaka başına ortanca kayıp 104 bin, ortalama kayıp ise yaklaşık 1,46 milyon dolar olarak hesaplandı. Vakaların yüzde 20’sinde kayıp 1 milyon doların üzerindeydi (ACFE, 2026).
Ortalama kaybın ortanca kayıptan çok daha yüksek olması, az sayıdaki büyük olayın ortalamayı yukarı çektiğini gösteriyor. Bu nedenle tipik bir vakanın büyüklüğünü değerlendirirken ortanca kayıp daha açıklayıcıdır.
Varlıkların kötüye kullanılması vakaların yüzde 90’ında görülüyor ve bu kategorideki ortanca kayıp 100 bin dolar. Yolsuzluk vakaların yüzde 45’inde yer alıyor ve ortanca kayıp 150 bin dolara ulaşıyor. Finansal tablo hilesi ise vakaların yalnızca yüzde 6’sında bulunmasına rağmen 1 milyon dolarlık ortanca kayıpla en yüksek maliyetli kategori olarak öne çıkıyor. Yüzdelerin toplamının 100’ü aşması, bazı vakaların birden fazla suistimal türü içermesinden kaynaklanıyor (ACFE, 2026).
Rapora katılan suistimal inceleme uzmanları, kuruluşların yıllık gelirlerinin yaklaşık yüzde 5’ini suistimal nedeniyle kaybettiğini tahmin ediyor. Ancak bu oran, dünyadaki bütün olayların ölçülmesiyle elde edilmiş kesin bir küresel toplam değildir. Araştırma, sertifikalı uzmanların 2024 yılı başından itibaren tamamladığı ve failin makul ölçüde belirlendiği soruşturmalara dayanıyor. Bildirilmeyen, fark edilmeyen veya kurum içinde kapatılan olaylar veri setinde yer almıyor. Dolayısıyla rapor, suistimalin gerçek görülme sıklığından çok, tespit edilmiş vakaların özelliklerini gösteriyor.
Suistimali mümkün kılan örgütsel yapı
Suistimal çoğu zaman tek seferlik büyük bir işlemle başlamaz. Dikkat çekmeyecek küçük işlemler tekrarlanır; kontrol sistemi tepki vermediğinde yöntemin kapsamı ve tutarı büyür.
ACFE’nin 2026 araştırmasında tipik bir vaka tespit edilmeden önce 12 ay devam ediyor. İlk altı ay içinde belirlenen olayların ortanca kaybı 40 bin dolar iken beş yıldan uzun sürenlerde kayıp 1,1 milyon doların üzerine çıkıyor (ACFE, 2026).
Olayın uzun süre gizlenebilmesinde bilgi ve yetkinin aynı kişide toplanması belirleyicidir. Tedarikçiyi seçen, sisteme tanımlayan, faturayı onaylayan, ödemeyi başlatan ve mutabakatı yapan kişi aynıysa görünürde bir iş akışı bulunsa bile bağımsız kontrol yoktur.
Uzun süre aynı görevi yürüten çalışanların süreç bilgisi kuruma değer kazandırır. Fakat görev devri, izin kullanımı ve erişim kontrolü bulunmadığında bu bilgi işlemleri gizleme kapasitesine dönüşebilir. Risk kıdemin kendisinden değil, bilgi ve yetkinin denetimsiz biçimde yoğunlaşmasından doğar.
Yetki seviyesi yükseldikçe riskin mali etkisi de büyüyor. ACFE verilerine göre şirket sahipleri ve üst düzey yöneticilerin gerçekleştirdiği vakalardaki ortanca kayıp, çalışanların gerçekleştirdiği vakalardan dokuz kattan daha fazladır (ACFE, 2026).
Bunun nedeni yalnızca yöneticilerin daha büyük kaynaklara erişebilmesi değildir. Üst yönetim; istisna yaratma, işlemleri olağan süreçlerin dışına çıkarma, belgelerin sorgulanmasını önleme ve kontrolleri aşma gücüne de sahip olabilir. Kurumsal hiyerarşide yükseldikçe kaynaklara erişimle birlikte yapılan işlemin denetlenmesini sınırlandırma kapasitesi de artabilir.
Resmî kontroller ve gayriresmî güç ilişkileri
Bir kurumun prosedürlere, görev tanımlarına ve onay mekanizmalarına sahip olması, bunların fiilen çalıştığı anlamına gelmez. Kontrolü uygulamakla görevli kişi daha yüksek statüdeki bir yöneticiye itiraz edemiyorsa kâğıt üzerindeki düzenleme etkisini kaybeder.
Yönetici kararlarının sorgulanmasının sadakatsizlik veya saygısızlık olarak görüldüğü kurumlarda “yönetici istisnası” zamanla olağanlaşabilir. Belgelerin sonradan tamamlanması, satın alma sürecinin sürekli “acil durum” gerekçesiyle aşılması veya belirli bir tedarikçinin sorgulanmadan tercih edilmesi başlangıçta işleri hızlandırma yöntemi olarak sunulabilir. Tekrarlandığında ise kuralların bazı kişiler için geçerli olmadığı yönünde gayriresmî bir düzen oluşturur.
Türkiye’deki sahiplik yapısı bu tartışmaya ayrı bir önem kazandırıyor. OECD’nin 2025 verilerine göre Borsa İstanbul’daki şirketlerin yüzde 44’ünde tek büyük ortak, yüzde 74’ünde ise en büyük üç ortak sermayenin yarısından fazlasını elinde tutuyor. Bu veriler yalnızca halka açık şirketleri kapsamakla birlikte sahipliğin önemli ölçüde yoğunlaşabildiğini gösteriyor (OECD, 2025).
Sahiplik yoğunlaşması tek başına suistimal göstergesi değildir. Güçlü sahiplik yapısı uzun vadeli karar almayı ve etkili gözetimi destekleyebilir. Buna karşılık sahiplik, yönetim ve operasyonel yetkiler aynı kişilerde birleştiğinde bağımsız kontrolün nasıl sağlanacağı daha kritik hâle gelir.
Türkiye Kurumsal Yönetim Derneğinin aile şirketlerine ilişkin çalışması; bazı şirketlerde kontrollerin kişiye bağımlı kalabildiğine, işlemlerin yeterince belgelenmediğine ve şirket sahipleriyle yönetimdeki aile üyelerinin kural dışı uygulamalarının çalışanlar üzerinde olumsuz bir rol modeli oluşturabildiğine dikkat çekiyor (TKYD, 2021). Bu gözlemler bütün aile şirketlerine genellenemez; ancak kişisel güven ile kurumsal kontrol arasındaki gerilimi göstermesi bakımından önemlidir.
İç kontrolün amacı güveni ortadan kaldırmak değil, kurumun güvenilir işleyişini kişilerin niyetinden ve statüsünden bağımsız hâle getirmektir.
Kurumsal sessizlik ve ihbar mekanizmaları
Teknolojik izleme ve veri analizi gelişmesine rağmen suistimalin en yaygın tespit yöntemi hâlâ insanlar tarafından yapılan bildirimlerdir. ACFE’nin 2026 araştırmasında vakaların yüzde 43’ü ihbar sonucunda ortaya çıkarıldı. İhbarların yüzde 55’i çalışanlardan, yüzde 21’i müşterilerden ve yüzde 11’i tedarikçilerden geldi. E-posta ve internet tabanlı bildirim kanalları telefon hatlarından daha yaygın hâle geldi (ACFE, 2026).
Bu bulgu, çalışanların yalnızca bir risk kaynağı değil, kurumun temel erken uyarı mekanizmalarından biri olduğunu gösteriyor.
Ancak bir telefon numarası veya e-posta adresi oluşturmak yeterli değildir. ACFE ile Institute of Internal Auditors tarafından yapılan uluslararası araştırmada ihbar programlarının yüzde 91’inin anonim bildirim kabul ettiği ve yüzde 72’sinde resmî bir misilleme karşıtı politika bulunduğu belirlendi. Buna karşılık kuruluşların yalnızca yüzde 44’ü yöneticilerine ihbarcıya yönelik misillemeyi tanıma ve önleme eğitimi veriyordu (ACFE ve IIA, 2023).
Ethics & Compliance Initiative’ın daha geniş işyeri ihlallerini kapsayan araştırmasında da bildirim yapan çalışanların yaklaşık yarısının bir tür misillemeyle karşılaştığı belirtiliyor (ECI, 2023). Bu veri yalnızca finansal suistimallere özgü değildir; fakat çalışanların neden sessiz kalabildiğini gösteriyor.
Çalışanlar kimliklerinin ortaya çıkacağını, yöneticilerinin kendilerine karşı tavır alacağını veya bildirimin sonuçsuz kalacağını düşünüyorsa ihbar kanalı fiilen çalışmaz. Bu nedenle hiç ihbar alınmaması her zaman sorunsuz bir kurumun değil, konuşmanın riskli görüldüğü bir kurumun işareti olabilir.
Bağımsız denetimin sınırları ve kurumların sorumluluğu
Bağımsız denetimden geçen bir kuruluşta suistimal bulunmadığı düşüncesi doğru değildir. Bağımsız denetimin amacı bütün suistimalleri ortaya çıkarmak değildir.
Kamu Gözetimi, Muhasebe ve Denetim Standartları Kurumunun 2026 setinde yer alan BDS 240’a göre hilenin önlenmesi ve tespit edilmesine ilişkin temel sorumluluk yönetim ile üst yönetimden sorumlu olanlara aittir. Bağımsız denetçi, finansal tablolarda hata veya hileden kaynaklanan önemli yanlışlık bulunmadığına ilişkin makul güvence sağlamaya çalışır; ancak bazı yanlışlıkların tespit edilememe riski vardır (KGK, 2026).
BDS 240, yönetimin normalde etkili görünen kontrolleri ihlal ederek muhasebe kayıtlarını manipüle edebilecek özel bir konumda bulunduğunu belirtiyor ve bu riski bütün işletmeler bakımından ciddi kabul ediyor.
Bu nedenle bağımsız denetim; görevler ayrılığı, iç denetim, güvenli ihbar kanalı, veri analizi ve yönetim kurulu gözetimiyle birlikte ele alınmalıdır.
ACFE verilerinde hem çalışanlarına hem yöneticilerine suistimal farkındalığı eğitimi veren kuruluşlarda ortanca kayıp 84 bin dolar iken iki gruba da eğitim vermeyenlerde 150 bin dolara çıkıyor. Bununla birlikte bu ilişki, eğitimin tek başına kaybı azalttığını kanıtlamaz. Eğitim veren kuruluşların diğer iç kontrol ve uyum mekanizmaları bakımından da daha gelişmiş olması mümkündür (ACFE, 2026).
Etkili bir suistimal yönetim sistemi şu temel unsurlara dayanmalıdır:
- Ödeme, tedarikçi tanımlama, onay ve mutabakat görevlerinin ayrılması
- Sistem erişimlerinin ve yönetici istisnalarının düzenli incelenmesi
- Çalışan, müşteri ve tedarikçilere açık anonim bildirim kanalları
- İhbarcıyı misillemeden koruyan bağımsız soruşturma süreci
- Mükerrer ödeme, olağan dışı IBAN değişikliği, bölünmüş fatura ve mesai dışı işlem gibi göstergelerin veri analiziyle izlenmesi
- Zorunlu izin, görev rotasyonu ve beklenmedik kontroller
- Her olaydan sonra failin yanında olaya imkân veren kontrol açığının da incelenmesi
Sonuç
Çalışan suistimali, bireysel çıkar ile örgütsel fırsatın kesiştiği yerde ortaya çıkar. Resmî prosedürlerle kurum içindeki gerçek güç ilişkileri arasındaki mesafe büyüdükçe, kâğıt üzerinde güçlü görünen kontrol sistemi etkisizleşebilir.
Bu nedenle mücadele, bütün çalışanları potansiyel fail gibi izlemeye değil; yetkiyi denetlenebilir hâle getirmeye, kuralları statüden bağımsız uygulamaya ve gördüklerini bildiren kişileri korumaya dayanmalıdır.
Kaynakça
Association of Certified Fraud Examiners. (2026). Occupational Fraud 2026: A Report to the Nations.
Ethics & Compliance Initiative. (2023). Global Business Ethics Survey 2023: Summary of Findings.
Institute of Internal Auditors & Association of Certified Fraud Examiners. (2023). Building a Best-in-Class Whistleblower Hotline Program.
Kamu Gözetimi, Muhasebe ve Denetim Standartları Kurumu. (2026). Türkiye Denetim Standartları 2026 Seti – BDS 240.
OECD. (2025). OECD Corporate Governance Factbook 2025: Türkiye.
Türkiye Kurumsal Yönetim Derneği. (2021). Türkiye’de Aile Şirketleri İçin Kurumsal Yönetim: Neden ve Nasıl Uygulanmalı?.
#ÇalışanSuistimali #OccupationalFraud #KurumsalEtik #İçKontrol #İçDenetim #KurumsalYönetim #Whistleblowing