Çalışan suistimali (occupational fraud), bir kişinin çalıştığı kurumdaki görevini, yetkisini veya erişebildiği kaynak ve bilgileri kişisel çıkar sağlamak amacıyla kötüye kullanmasıdır. Kavram yalnızca çalışanları değil; yöneticileri, şirket ortaklarını ve üst düzey yöneticileri de kapsar. Association of Certified Fraud Examiners (ACFE), Türkçeye “Sertifikalı Suistimal İnceleme Uzmanları Birliği” olarak çevrilebilecek, dolandırıcılık ve kurum içi suistimal alanında araştırma, eğitim ve mesleki sertifikasyon çalışmaları yürüten uluslararası bir meslek kuruluşudur. ACFE’nin Occupational Fraud 2026: A Report to the Nations başlıklı küresel araştırması, 143 ülke ve bölgeden sertifikalı uzmanlar tarafından soruşturulmuş 2.402 çalışan suistimali vakasına dayanıyor. Bu nedenle rapor, bütün işletmeleri temsil eden bir nüfus araştırması değil, tespit edilmiş ve incelenmiş vakaların kapsamlı bir analizidir. Ancak yine de çalışan suistimalinin yöntemleri, mali etkileri ve bunları kolaylaştıran kontrol zayıflıkları hakkında önemli bir karşılaştırma zemini sunmaktadır.
ACFE, çalışan suistimallerini varlıkların kötüye kullanılması, yolsuzluk ve finansal tablo suistimali olmak üzere üç ana kategoride sınıflandırıyor. Bu kategoriler birbirini dışlamaz; aynı olayda çıkar çatışması, sahte fatura ve finansal kayıtların değiştirilmesi birlikte görülebilir.
1. Varlıkların kötüye kullanılması
Kurumun parasının, stoklarının, ekipmanının, bilgisinin veya diğer kaynaklarının kişisel amaçlarla kullanılmasıdır. ACFE’nin 2026 küresel araştırmasındaki vakaların yüzde 90’ında görülmüş ve bu vakalardaki ortanca kayıp 100 bin dolar olarak hesaplanmıştır. En sık karşılaşılan kategori olmasına rağmen vaka başına ortanca kaybı diğer iki kategoriye göre daha düşüktür.
Alt yöntemler arasında nakit dışı varlıkların çalınması vakaların yüzde 23’ünde, faturalama suistimalleri ise yüzde 21’inde görülmüştür. ACFE; sıklık ve mali kayıp birlikte değerlendirildiğinde faturalama, nakit dışı varlık hırsızlığı ile çek ve ödeme manipülasyonlarını önemli risk alanları arasında göstermektedir.
1.1. Tahsilat ve kasa suistimalleri
Müşteriden alınan paranın kayıtlara hiç geçirilmeden alınması, kaydedilmiş bir tahsilatın sonradan zimmete geçirilmesi veya bir müşteriden alınan ödemenin başka müşterinin hesabını kapatmak için kullanılması bu gruba girer.
Tahsilatı yapan, muhasebe kaydını oluşturan ve banka mutabakatını gerçekleştiren kişi aynı olduğunda suistimalin fark edilmesi zorlaşır.
Tedbir paketi:
- Tahsilat, muhasebe kaydı ve banka mutabakatı farklı kişiler tarafından yapılmalıdır.
- Nakit yerine doğrudan banka hesabına veya kurumsal ödeme sistemlerine ödeme teşvik edilmelidir.
- Kasa günlük olarak kapatılmalı ve sonuçlar bağımsız bir yönetici tarafından incelenmelidir.
- Müşterilere düzenli hesap ekstreleri gönderilmelidir.
- Habersiz kasa sayımları yapılmalıdır.
- Tahsilat personelinin zorunlu izin kullanması ve görev rotasyonuna tabi tutulması sağlanmalıdır.
1.2. Sahte fatura ve tedarikçi suistimali
Gerçekte bulunmayan bir tedarikçi adına fatura düzenlenmesi, alınmayan mal veya hizmet için ödeme yapılması, faturanın şişirilmesi ya da çalışanın kişisel harcamasının kuruma yüklenmesi bu yöntemin yaygın örnekleridir.
Çalışan kendi kurduğu veya yakınına ait bir şirketi tedarikçi olarak sisteme ekleyebilir. Aynı kişi tedarikçiyi tanımlıyor, siparişi veriyor, teslimatı onaylıyor ve ödemeyi başlatıyorsa kontrol zinciri fiilen ortadan kalkar.
Tedbir paketi:
- Tedarikçi oluşturma ve değiştirme yetkisi satın alma ve ödeme süreçlerinden ayrılmalıdır.
- Yeni tedarikçinin vergi, banka hesabı, adres ve gerçek faydalanıcı bilgileri doğrulanmalıdır.
- Satın alma emri, teslim belgesi ve fatura arasında üçlü eşleştirme yapılmalıdır.
- Çalışanlar ile tedarikçilerin adres, telefon ve banka hesapları karşılaştırılmalıdır.
- Aynı tutarlı, bölünmüş veya yinelenen faturalar otomatik olarak işaretlenmelidir.
- Tedarikçi ana listesi belirli aralıklarla gözden geçirilmeli, kullanılmayan hesaplar kapatılmalıdır.
1.3. Bordro suistimali
Hayalî çalışan oluşturulması, işten ayrılan kişinin sistemde tutulması, fazla mesai veya primlerin şişirilmesi ve ücret hesabının yetkisiz biçimde değiştirilmesi bordro suistimali kapsamındadır.
Risk özellikle insan kaynakları, bordro ve ödeme yetkilerinin aynı kişi veya ekipte birleştiği işletmelerde yükselir.
Tedbir paketi:
- Personel kaydı açma, bordro hazırlama ve ödeme onayı farklı kişilerde olmalıdır.
- Bordro listesi insan kaynakları kayıtları ve fiilî çalışan sayısıyla düzenli olarak karşılaştırılmalıdır.
- Aynı banka hesabına ödeme yapılan birden fazla çalışan araştırılmalıdır.
- İşten ayrılan çalışanların sistem ve ödeme yetkileri aynı gün kapatılmalıdır.
- Fazla mesai ve primler ikinci bir onaya tabi tutulmalıdır.
- Personel dosyaları ve banka hesabı değişiklikleri bağımsız olarak doğrulanmalıdır.
1.4. Masraf ve kurumsal kart suistimali
Kişisel harcamaların iş gideri gibi gösterilmesi, sahte veya değiştirilmiş belge sunulması, aynı giderin birden fazla kez talep edilmesi ve kurumsal kartın özel amaçlarla kullanılması bu gruptadır.
Tedbir paketi:
- Harcama türü, tutarı ve onay seviyeleri açık bir masraf politikasında belirlenmelidir.
- Belgeler tarih, tutar, satıcı ve mükerrerlik bakımından otomatik olarak kontrol edilmelidir.
- Kurumsal kartlara işlem türü ve tutar sınırı tanımlanmalıdır.
- Hafta sonu, tatil günü ve olağan dışı saatlerde yapılan işlemler ayrıca incelenmelidir.
- Çalışanın kendi harcamasını veya astının harcamasını tek başına onaylaması engellenmelidir.
- Üst yönetim harcamaları da bağımsız incelemeye tabi tutulmalıdır.
1.5. Ödeme ve banka hesabı suistimali
Ödeme dosyasının değiştirilmesi, tedarikçinin banka hesabı yerine faile ait bir hesabın tanımlanması, imzanın taklit edilmesi veya internet bankacılığı yetkisinin kötüye kullanılması bu yönteme girer.
Özellikle banka hesabı değişikliği talepleri, sahte e-posta ve telefon görüşmeleriyle de desteklenebilir. Bu nedenle olay hem kurum içi suistimal hem sosyal mühendislik unsurları taşıyabilir.
Tedbir paketi:
- Tedarikçi banka hesabı değişiklikleri, sistemde kayıtlı iletişim bilgileri kullanılarak bağımsız biçimde doğrulanmalıdır.
- Ödeme hazırlama ve onaylama yetkileri ayrılmalıdır.
- Belirli tutarın üzerindeki işlemlerde çift onay kullanılmalıdır.
- Kullanıcı bazlı işlem limitleri ve çok faktörlü kimlik doğrulama uygulanmalıdır.
- Yeni veya değiştirilen banka hesaplarına yapılan ilk ödemeler ayrıca incelenmelidir.
- Banka hareketleri, ödemeyi hazırlayan kişilerden bağımsız olarak günlük kontrol edilmelidir.
1.6. Sahte iade, iptal ve indirim
Gerçekte yapılmayan bir satış iadesi oluşturulması, müşteriye verildiği gösterilen indirimin çalışan tarafından alınması veya satışın sistemden silinerek bedelinin zimmete geçirilmesi bu gruptadır.
Tedbir paketi:
- İade, iptal ve yüksek oranlı indirimler yönetici onayına bağlanmalıdır.
- İade ödemesi mümkün olduğunca ilk ödemenin yapıldığı araç üzerinden gerçekleştirilmelidir.
- İşlem silmek yerine değiştirilemeyen bir denetim izi tutulmalıdır.
- Çalışan, mağaza ve şube bazında iade oranları karşılaştırılmalıdır.
- Kapanış sonrasında veya olağan dışı saatlerde yapılan iptaller incelenmelidir.
- Sık iade alan müşteri ve çalışan eşleşmeleri veri analiziyle araştırılmalıdır.
1.7. Stok, bilgi ve diğer kurum varlıklarının kötüye kullanılması
Ürün, hammadde, yakıt veya ekipmanın çalınması; şirket aracının kişisel amaçlarla kullanılması; müşteri listesinin, fiyat bilgisinin veya ticari sırların dışarı çıkarılması bu kapsamdadır.
Bilginin kopyalanması stok kaybı gibi hemen fark edilmeyebilir. Buna rağmen müşteri kaybı, rekabet dezavantajı ve itibar zararı bakımından daha ağır sonuçlar doğurabilir.
Tedbir paketi:
- Kritik stoklar için sayım, kayıt ve teslim sorumlulukları ayrılmalıdır.
- Düzenli ve habersiz stok sayımları yapılmalıdır.
- Depo ve kritik alanlara erişim görevle sınırlandırılmalıdır.
- Hurda, fire ve stok düzeltmeleri bağımsız onaydan geçirilmelidir.
- Hassas verilerin indirilmesi, haricî ortama aktarılması ve kişisel e-postaya gönderilmesi izlenmelidir.
- İşten ayrılan personelin fiziksel ve dijital erişimleri gecikmeden kapatılmalıdır.
2. Yolsuzluk
Yolsuzluk, çalışanın kurumun faaliyetleri üzerindeki etkisini kendisi veya üçüncü kişiler lehine kullanmasıdır. ACFE’nin 2026 araştırmasındaki vakaların yüzde 45’inde görülmüş ve ortanca kayıp 150 bin dolar olmuştur.
2.1. Çıkar çatışması
Çalışanın kendisine veya yakınına ait bir şirketten mal veya hizmet alınmasını sağlaması, kişisel menfaat ilişkisini açıklamadan karar sürecine katılması ya da kuruma ait bir fırsatı kendisi için kullanması çıkar çatışmasıdır.
Çıkar çatışması her zaman kuruma yüksek fiyat uygulanmasıyla başlamaz. İlişkinin gizlenmesi, kararın tarafsızlığı hakkında ciddi bir risk oluşturmak için yeterlidir.
Tedbir paketi:
- Çalışan ve yöneticilerden düzenli çıkar çatışması beyanı alınmalıdır.
- Beyanlar tedarikçi ve şirket ortaklık bilgileriyle karşılaştırılmalıdır.
- İlişkili kişinin seçim, fiyatlandırma ve onay süreçlerine katılması engellenmelidir.
- Tek kaynaktan yapılan alımlar gerekçeli ve üst düzey onaya tabi olmalıdır.
- Yeni tedarikçilerde gerçek faydalanıcı araştırması yapılmalıdır.
- Çıkar çatışmasını bildiren çalışanlara güvenli bir başvuru kanalı sunulmalıdır.
2.2. Rüşvet ve gizli komisyon
Bir kararın etkilenmesi karşılığında para, hediye, seyahat, iş imkânı veya başka bir menfaat verilmesi ya da alınması rüşvet kapsamındadır. Gizli komisyon yönteminde ise tedarikçi, aldığı iş karşılığında karar vericiye ödeme yapar ve bu maliyeti çoğu zaman kurumun ödediği fiyata ekler.
Tedbir paketi:
- Hediye, ağırlama, seyahat ve bağışlara ilişkin parasal sınırlar belirlenmelidir.
- Belirli tutarın üzerindeki menfaatler önceden onaya ve kayıt yükümlülüğüne bağlanmalıdır.
- Yüksek riskli tedarikçiler ve aracılar hakkında durum tespiti yapılmalıdır.
- Komisyon ve danışmanlık ödemelerinin gerçek hizmete dayanıp dayanmadığı doğrulanmalıdır.
- Piyasa fiyatından sürekli sapma gösteren alımlar araştırılmalıdır.
- Satın alma personeli belirli aralıklarla görev rotasyonuna tabi tutulmalıdır.
2.3. İhale ve teklif manipülasyonu
Teklif bilgilerinin belirli bir tedarikçiye sızdırılması, şartnamenin önceden seçilen firmaya göre hazırlanması, sahte rakip tekliflerin kullanılması veya tedarikçilerin danışıklı fiyat vermesi bu yönteme girer.
Tedbir paketi:
- İhtiyaç belirleme, şartname hazırlama, teklif toplama ve karar verme görevleri ayrılmalıdır.
- Teklifler son tarihe kadar erişimi sınırlandırılmış bir sistemde tutulmalıdır.
- Aynı IP adresi, iletişim bilgisi veya belge şablonuyla verilen teklifler araştırılmalıdır.
- Sürekli aynı firmaların dönüşümlü olarak kazanması analiz edilmelidir.
- İhale komisyonu üyelerinden çıkar çatışması beyanı alınmalıdır.
- İstisnai ve doğrudan alımlar üst yönetim veya denetim komitesi tarafından incelenmelidir.
2.4. Ekonomik baskı ve zor kullanma
Yetkili kişinin, karar vermek veya olağan bir işlemi yapmak için karşı taraftan menfaat talep etmesi bu gruba girer. Rüşvette taraflar karşılıklı çıkar sağlayabilirken burada menfaat, yetkinin oluşturduğu baskı altında alınır.
Tedbir paketi:
- Kritik izin ve onay süreçleri tek kişinin kararına bırakılmamalıdır.
- Kararların gerekçesi ve işlem süreleri sistemde kayıt altına alınmalıdır.
- Tedarikçi ve müşterilere çalışan davranışlarını bildirebilecekleri bağımsız bir kanal sağlanmalıdır.
- Sürekli geciken veya kişisel temas sonrasında hızlanan işlemler incelenmelidir.
- Şikâyetler, şikâyete konu olan kişinin yöneticisine değil bağımsız bir birime yönlendirilmelidir.
3. Finansal tablo suistimali
Finansal tablo suistimali, kurumun finansal durumunun veya faaliyet sonuçlarının kasıtlı olarak gerçeğe aykırı gösterilmesidir. ACFE’nin 2026 araştırmasındaki vakaların yalnızca yüzde 6’sında görülmesine rağmen ortanca kayıp 1 milyon dolardır. Bu nedenle en az görülen fakat vaka başına en yüksek kayba yol açan kategoridir.
3.1. Hayalî veya şişirilmiş gelir
Gerçekleşmemiş satışların kaydedilmesi, satış tutarlarının büyütülmesi veya ilişkili şirketler arasındaki işlemlerin gerçek ticaret gibi gösterilmesidir.
Tedbir paketi:
- Büyük ve olağan dışı satışlar sözleşme, teslimat ve tahsilat belgeleriyle doğrulanmalıdır.
- Dönem sonundaki ani satış artışları ayrıca incelenmelidir.
- Müşteri bakiyeleri bağımsız teyitlerle kontrol edilmelidir.
- Satış sonrası iadeler ve alacak iptalleri önceki dönem kayıtlarıyla karşılaştırılmalıdır.
- Satış primleri yalnızca faturalamaya değil, tahsilat ve kârlılığa bağlanmalıdır.
3.2. Gider ve borçların gizlenmesi
Giderlerin kayda alınmaması, borçların bilanço dışında bırakılması veya cari döneme ait maliyetlerin sonraki döneme aktarılması şirketi olduğundan daha kârlı gösterir.
Tedbir paketi:
- Dönem sonrasında yapılan ödemeler geriye dönük olarak incelenmelidir.
- Tedarikçi mutabakatları ve alınan fakat faturası gelmeyen hizmetler kontrol edilmelidir.
- Karşılıkların hesaplama yöntemi ve dönemler arasındaki değişimi sorgulanmalıdır.
- Olağan dışı yevmiye kayıtları bağımsız onaya tabi tutulmalıdır.
- Muhasebe kayıtlarını hazırlayan kişinin aynı kayıtları onaylaması engellenmelidir.
3.3. Dönem kaydırma
Gelirin erken, giderin ise geç kaydedilerek dönem sonucunun olduğundan iyi gösterilmesidir. İşlem tamamen hayalî olmayabilir; suistimal, doğru işlemin yanlış döneme kaydedilmesinden doğar.
Tedbir paketi:
- Dönem kapanışından hemen önce ve sonra kaydedilen işlemler incelenmelidir.
- Sevkiyat, teslimat, fatura ve gelir kayıt tarihleri karşılaştırılmalıdır.
- Kapanış sonrasında yapılan kayıt değişiklikleri raporlanmalıdır.
- Muhasebe dönemlerinin yeniden açılması sınırlandırılmalı ve onaya bağlanmalıdır.
3.4. Varlıkların yanlış değerlenmesi
Stok, gayrimenkul, yatırım veya alacakların değerinin gerçeğin üzerinde gösterilmesi; değer düşüklüğü ve tahsil edilememe risklerinin gizlenmesi bu yönteme girer.
Tedbir paketi:
- Önemli değerlemeler bağımsız uzmanlarca veya ikinci bir ekip tarafından kontrol edilmelidir.
- Değerleme varsayımları piyasa verileriyle karşılaştırılmalıdır.
- Yaşlandırılmış alacaklar ve uzun süredir hareket görmeyen stoklar ayrıca incelenmelidir.
- Yönetimin sürekli iyimser tahminler kullanıp kullanmadığı dönemsel olarak değerlendirilmelidir.
- Değerleme modelindeki manuel değişiklikler kayıt altına alınmalıdır.
3.5. Önemli bilgilerin ve ilişkili taraf işlemlerinin gizlenmesi
Yönetici veya ortaklarla bağlantılı şirketlerle yapılan işlemlerin açıklanmaması, verilen garantilerin, davaların veya önemli yükümlülüklerin saklanması finansal tablo kullanıcılarının yanlış karar vermesine yol açabilir.
Tedbir paketi:
- Yönetici ve ortaklardan düzenli ilişkili taraf beyanı alınmalıdır.
- Şirket ve tedarikçi ortaklıkları bağımsız kaynaklardan araştırılmalıdır.
- Olağan ticari koşullardan ayrılan işlemler denetim komitesinin onayına sunulmalıdır.
- Hukuk, finans ve muhasebe birimleri arasında dava ve yükümlülük mutabakatı yapılmalıdır.
- Önemli sözleşmeler ve bilanço dışı yükümlülükler merkezi olarak izlenmelidir.
Bütün yöntemlere karşı ortak tedbirler
Her yönteme özgü kontroller gerekli olsa da çalışan suistimaliyle mücadele yalnızca kontrol listelerine bırakılamaz. Kontrollerin üst düzey yöneticiler dâhil herkese uygulanması gerekir. ACFE’nin 2026 araştırmasında şirket sahipleri ve üst düzey yöneticiler tarafından gerçekleştirilen suistimallerin ortanca kaybı, çalışanların gerçekleştirdiği vakalardan dokuz katın üzerinde olmuştur. Bu fark, yetki arttıkça kontrolleri aşma ve işlemler üzerinde etkide bulunma imkânının da artabildiğini gösterir.
ACFE verileri bazı kontrollerin bulunduğu kuruluşlarda ortanca kaybın belirgin biçimde daha düşük olduğunu ortaya koyuyor:
- Yönetim incelemesinin bulunduğu kuruluşlarda yüzde 55,
- Proaktif veri izleme ve analizinin kullanıldığı kuruluşlarda yüzde 53,
- Habersiz denetim yapılan kuruluşlarda yüzde 50,
- Görev rotasyonu veya zorunlu izin uygulanan kuruluşlarda yüzde 49 daha düşük ortanca kayıp görülmüştür.
Bu oranlar, söz konusu kontrollerin tek başına kayıpları aynı ölçüde azaltacağını kanıtlamaz. Ancak kontrollerin varlığı ile daha düşük kayıp arasında güçlü bir ilişki bulunduğunu gösterir.
İhbar kanalı neden önemli?
ACFE’nin araştırmasında vakaların yüzde 43’ü ihbarlar sayesinde ortaya çıkarılmıştır. İhbarların yüzde 55’i çalışanlardan, yüzde 21’i müşterilerden ve yüzde 11’i tedarikçilerden gelmiştir. Bu nedenle bildirim sistemi yalnızca çalışanlara değil, müşterilere ve iş ortaklarına da açık olmalıdır.
İhbar yöntemi de değişmektedir. Web tabanlı bildirim kanalları yüzde 46 ile ilk sıraya yükselirken e-posta yüzde 34, telefon hattı ise yüzde 23 düzeyinde kalmıştır. Kuruluşların yalnızca telefonla çalışan klasik bir ihbar hattı kurması yeterli değildir. Anonim web formu, e-posta ve telefon seçeneklerini birlikte sunan, farklı grupların kolayca erişebileceği bir sistem daha etkili olacaktır.
Bildirim yapan kişinin kimliğinin korunması, misillemenin yasaklanması ve ihbarın bağımsız birim tarafından değerlendirilmesi de kanalın fiilen kullanılabilmesi için gereklidir.
Davranışsal uyarı işaretleri
ACFE’nin incelediği faillerin yüzde 84’ü, olay ortaya çıkmadan önce en az bir gözlemlenebilir davranışsal uyarı işareti sergilemiştir. Gelirinin üzerinde bir yaşam standardı, kişisel finansal güçlükler, müşteri veya tedarikçiyle olağan dışı yakınlık, görev paylaşımına direnme, aşırı kontrol isteği ve sürekli izin kullanmaktan kaçınma bunlar arasında yer alır.
Bununla birlikte bu davranışlardan hiçbiri tek başına suistimal kanıtı değildir. Finansal sıkıntı yaşayan veya izin kullanmayan bir çalışanı doğrudan şüpheli kabul etmek hem yanlış hem de kurum kültürü açısından zararlıdır. Bu işaretler kişiye yönelik suçlama değil, ilgili süreçlerin ve işlemlerin bağımsız olarak gözden geçirilmesini gerektiren risk göstergeleri olarak değerlendirilmelidir.
Kuruluşlarda asgari olarak şu yapı kurulmalıdır:
- Düzenli suistimal risk değerlendirmesi
- Kritik işlemlerde görevler ayrılığı
- Yetkilerin görevle, tutarla ve süreyle sınırlandırılması
- Üst yönetim işlemleri için bağımsız inceleme
- Çalışanlara, müşterilere ve tedarikçilere açık güvenli ihbar kanalı
- Bildirim yapan kişiyi koruyan ve misillemeyi yasaklayan politika
- Olağan dışı işlemleri sürekli izleyen veri analizi
- Zorunlu izin ve görev rotasyonu
- Habersiz sayım ve denetimler
- Tedarikçi ve çalışan bilgilerinin çapraz kontrolü
- Yöneticiler ve insan kaynakları birimleri için davranışsal uyarı işaretleri eğitimi
- Şüphe ortaya çıktığında delilleri koruyan inceleme ve müdahale planı
Sonuç olarak çalışan suistimalinin önlenmesinde yalnızca “Kim ne yaptı?” sorusu yeterli değildir. “Bu kişi işlemi tek başına nasıl yapabildi, hangi kontrolü aşabildi ve olay neden zamanında fark edilmedi?” soruları da sorulmalıdır. Etkili mücadele, failin yanında suistimali mümkün kılan yetki düzenini, süreçleri ve kurum kültürünü de ele almayı gerektirir.
Kaynakça
Association of Certified Fraud Examiners. (2026). Occupational Fraud 2026: A Report to the Nations.
Association of Certified Fraud Examiners. (2026). Key Findings from Occupational Fraud 2026: A Report to the Nations.
Association of Certified Fraud Examiners. The Fraud Tree Explained.
Association of Certified Fraud Examiners & Committee of Sponsoring Organizations of the Treadway Commission. Fraud Risk Management Guide.
The Institute of Internal Auditors. (2020). The IIA’s Three Lines Model.
#ÇalışanSuistimali #OccupationalFraud #İçKontrol #RiskYönetimi #İçDenetim