Türkiye’de Belediye Şirketlerinin İdari, Mali ve Hukuki Yapısı: İhale ve Personel Rejimleri Üzerine Kapsamlı Bir Analiz

Türkiye’de yerel yönetim sisteminin son kırk yılında yaşanan en belirgin dönüşümlerden biri, belediyelerin hizmet sunumunda geleneksel bürokratik yapıdan ziyade özel hukuk hükümlerine tabi şirketler aracılığıyla faaliyet gösterme eğilimidir. Belediye İktisadi Teşebbüsleri (BİT) olarak da adlandırılan bu yapılar, yerel kamu hizmetlerinin daha esnek, hızlı ve verimli bir şekilde yürütülmesi iddiasıyla kurulmuş olsalar da, kamu kaynağı kullanımı ile özel hukuk serbestisi arasındaki ince çizgide pek çok hukuki ve idari tartışmayı beraberinde getirmiştir. Özellikle 5393 sayılı Belediye Kanunu ile çerçevesi çizilen bu ekosistem, 4734 sayılı Kamu İhale Kanunu ve 696 sayılı Kanun Hükmünde Kararname (KHK) gibi kritik düzenlemelerle şekillenerek, bugün Türkiye’deki yerel yönetim harcamalarının ve istihdamının merkezine yerleşmiştir.[1, 2] Bu rapor, belediye şirketlerindeki ihale ve personel politikalarını, mevcut yasal düzenlemeler, uygulama sorunları ve denetim mekanizmaları ışığında derinlemesine analiz etmektedir.

Belediye Şirketlerinin Hukuki Mahiyeti ve Tarihsel Gelişimi

Belediye şirketleri, mülkiyeti ve yönetimi belediyelere ait olmakla birlikte, tüzel kişiliği itibarıyla Türk Ticaret Kanunu (TTK) hükümlerine tabi olan, kar amacı güden ancak kamu yararını hedefleyen hibrit kuruluşlardır.[3, 4] Bu kuruluşların yasal dayanağı temel olarak 5393 sayılı Belediye Kanunu’nun 70. maddesidir. Söz konusu madde, belediyelerin kendilerine verilen görev ve hizmet alanlarında, ilgili mevzuatta belirtilen usullere göre şirket kurabileceğini hükme bağlar.[1, 5] Ayrıca 71. madde, belediyelerin özel gelir ve gideri bulunan hizmetlerini bütçe içinde işletme kurarak yapabilmesine de imkan tanımaktadır.[5, 6]

Düzenleme Türü	Kanun ve Madde	Temel Fonksiyon
Kuruluş Dayanağı	5393 Sayılı Kanun m.70	Belediye görev alanında şirketleşme yetkisi.
Bütçe İçi İşletme	5393 Sayılı Kanun m.71	İçişleri Bakanlığı izniyle işletme tesisi.
Sermaye Katılımı	4046 Sayılı Kanun m.26	Ticari kuruluş kurma ve sermaye iştiraki için izin süreçleri.
Operasyonel Rejim	6102 Sayılı Türk Ticaret Kanunu	Yönetim, denetim ve ticari faaliyetlerin yürütülmesi.
İhale Mevzuatı	4734 Sayılı Kamu İhale Kanunu	Mal ve hizmet alımlarında uygulanacak usuller.

Belediyelerin şirketleşme süreci 1980’li yıllardan itibaren hız kazanmıştır. 1984 yılında yürürlüğe giren 3030 sayılı Büyükşehir Belediye Kanunu ile büyük kentlerde su, kanalizasyon ve ulaşım gibi devasa altyapı hizmetlerinin yönetimi için bu model tercih edilmiştir. Günümüzde ise belediyeler, sosyal yardımlardan teknoloji yatırımlarına, inşaattan enerji üretimine kadar hemen her alanda şirketleşme yoluna gitmektedir.[1, 3] Ancak belediye şirketleri, 233 sayılı KHK kapsamındaki Kamu İktisadi Teşebbüsleri (KİT) ile karıştırılmamalıdır; zira BİT’ler yerel birer girişim olarak özel hukuk tüzel kişiliğine sahiptir ve genel bütçeli kamu kuruluşları kapsamına girmezler.[1]

İhale Politikaları: 4734 Sayılı Kanun ve 3-(g) İstisnası

Belediye şirketleri, kamu kaynağı kullandıkları ve sermayelerinin büyük çoğunluğu kamuda olduğu için 4734 sayılı Kamu İhale Kanunu’nun 2. maddesi kapsamında “idare” sayılırlar.[7] Bu kapsamda şirketler, yapacakları alımlarda şeffaflık, rekabet, eşit muamele ve güvenirlik ilkelerine uymak zorundadır. Ancak ticari hayatın gerektirdiği hız ve esneklik, bu şirketler için bazı istisnai düzenlemelerin yapılmasını zorunlu kılmıştır.

4734 Sayılı Kanun 3-(g) İstisnasının Kapsamı ve Uygulanması

Belediye şirketlerinin ihale politikalarındaki en kritik düzenleme, 4734 sayılı Kanun’un 3. maddesinin (g) bendidir. Bu bent, sermayesinin yarısından fazlası belediyeye ait olan şirketlerin, ticari ve sınai faaliyetleri çerçevesinde, doğrudan mal ve hizmet üretimine veya ana faaliyetlerine yönelik mal ve hizmet alımlarını, kanunun temel ihale usullerinden muaf tutmaktadır.[8]

Bu istisnanın uygulanabilmesi için belirli kriterlerin bir arada bulunması şarttır:

1. Ticari ve Sınai Faaliyet Niteliği: Alımın şirketin ana sözleşmesinde belirtilen ve piyasa koşullarında yürüttüğü ticari faaliyetlerle doğrudan ilgili olması gerekir.[8]
2. Hazine Garantisi Bulunmaması: Alımın Hazine garantisi altında veya doğrudan bütçe transferiyle finanse edilmemesi lazımdır.[8]
3. Mal ve Hizmet Ayrımı: İstisna sadece mal ve hizmet alımlarını kapsar; yapım işleri kesinlikle bu kapsamda değerlendirilemez.[8]
4. Parasal Limit: İlgili dönem için belirlenen parasal limitlerin (örneğin 2018-2019 dönemi için yaklaşık 10,3 milyon TL) altında kalınmalıdır.[8]

Uygulamada Yaşanan Suiistimaller ve Denetim Bulguları

İstisna alımları, doğası gereği daha az ilan ve rekabet prosedürü içerdiği için idareler tarafından “kolay yol” olarak görülebilmektedir. Ancak Sayıştay denetimleri, bu esnekliğin sıklıkla kötüye kullanıldığını ortaya koymaktadır.

• Yapım İşlerinin Parçalanması: Bir inşaat veya onarım işinin, istisna kapsamına sokulabilmesi için “mal alımı” veya “hizmet alımı” olarak nitelendirilmesi hukuk dışıdır.[8] Bir binanın tadilatı yapım işiyken, bunun sırf 3-(g) üzerinden alınabilmesi için “tadilat hizmeti” olarak adlandırılması, ihalenin iptali ve sorumluların cezalandırılmasına yol açar.
• İhtiyaçların Kısımlara Bölünmesi: Kanun, eşik değerlerin veya istisna limitlerinin altında kalmak amacıyla bütünlük arz eden işlerin bölünmesini yasaklar.[8] Örneğin, yıllık toplam akaryakıt ihtiyacı limitin çok üzerindeyken, ihaleyi her ay küçük miktarlarda yapmak bu yasağın ihlalidir.
• Genel İhtiyaçların İstisnaya Dahil Edilmesi: Şirketin kendi iç işleyişi için gerekli olan kırtasiye, temizlik veya güvenlik hizmeti alımları, “ticari faaliyet çerçevesinde doğrudan üretim” niteliği taşımamaktadır.[8] Bu tür alımların genel ihale usulleriyle yapılması zorunludur.

Doğrudan Temin ve Şeffaflık Dengesi

4734 sayılı Kanun’un 22. maddesinde düzenlenen “doğrudan temin” yöntemi, belediye şirketlerinde özellikle acil ve düşük bedelli ihtiyaçlar için sıkça başvurulan bir yöntemdir.[7] Doğrudan teminde ilan verme ve teminat alma zorunluluğu bulunmaması operasyonel hızı artırsa da, bu yöntemin bir “ihale usulü” değil, bir “alım yöntemi” olduğu unutulmamalıdır.[9] Şirketlerin, doğrudan temin sınırlarını aşmamak için yapay bölmelere gitmesi, kamu kaynaklarının verimli kullanılmadığı eleştirilerini beraberinde getirmektedir.

Personel Politikaları: 696 Sayılı KHK Sonrası Yeni Dönem

Belediye şirketlerinin personel rejimi, 2017 yılında yayımlanan 696 sayılı KHK ile tarihindeki en büyük kırılmayı yaşamıştır. Bu düzenlemeden önce belediyeler, personel ihtiyacını “personel çalıştırılmasına dayalı hizmet alımı” ihaleleri yoluyla özel taşeron firmalar üzerinden karşılamaktaydı.[2] KHK ile bu sistem yasaklanmış ve taşeron işçilerin doğrudan belediye şirketlerine geçirilmesi hükme bağlanmıştır.

Şirket İşçiliği: Statü Karmaşası ve Mali Yükler

696 sayılı KHK ile belediye şirketlerine geçen işçiler, ne devlet memuru ne de belediyenin kadrolu sürekli işçisi olmuşlardır; bu kişiler “belediye şirketi işçisi” statüsünde özel hukuk hükümlerine tabi olarak çalışmaya devam etmektedirler.[2] Bu durum, aynı belediye çatısı altında farklı statülerde ve farklı haklara sahip devasa bir çalışan grubunun oluşmasına yol açmıştır.

Personel Kategorisi	Yasal Statü	İstihdam Şartı	Ücret Rejimi
Devlet Memuru	657 Sayılı Kanun	KPSS ve Merkezi Atama	Aylık Katsayı / Gösterge
Sözleşmeli Personel	5393 Sayılı Kanun m.49	Meclis Kararı / Vize	Net Ücret Tavanı
Belediye Şirket İşçisi	696 Sayılı KHK / 4857 Sayılı Kanun	Şirket Yönetim Kurulu Kararı	Toplu İş Sözleşmesi
Geçici İşçi	Mevsimlik İşçi Statüsü	İŞKUR / Vize	Günlük Ücret

Bu geçiş süreciyle birlikte mahalli idarelerin yönetmesi gereken personel sayısında %180’i aşan radikal bir artış yaşanmıştır.[2] Bu artış, belediyelerin mali yapısı üzerinde iki temel baskı oluşturmuştur:

1. Sendikalaşma ve TİS Süreçleri: Belediye şirketlerinde sendikalaşma oranının artması, yapılan Toplu İş Sözleşmeleri (TİS) ile personel maliyetlerinin hızla yükselmesine neden olmuştur.[2]
2. İlave Tediye Tartışmaları: Şirket işçilerinin, 6772 sayılı Kanun uyarınca kamu işçilerine ödenen 52 günlük ilave tediyeden yararlanıp yararlanamayacağı konusu uzun süre yargı gündemini meşgul etmiştir. Mevcut uygulamada, şirket işçileri bu ödemeden mahrum bırakılarak maliyet artışı frenlenmeye çalışılmaktadır.[2]

Liyakat Sorunu ve KPSS Muafiyeti

Belediye şirketlerinin personel politikalarındaki en tartışmalı alan, işe alım kriterleridir. Belediyelere memur veya sözleşmeli personel alımında KPSS puanı ve merkezi denetim şartları aranırken, şirketlerin personel alımında bu tür bir zorunluluk bulunmamaktadır.[2] Bu durum, belediye yönetimlerine geniş bir takdir yetkisi vermekte, ancak liyakat ilkesinin zedelenmesi ve “kayırmacılık” iddialarının odak noktası haline gelmesine neden olmaktadır.[10, 11]

Liyakat ilkesinin ihlaline yol açan temel unsurlar şunlardır:

• Siyasi Kadrolaşma: Seçimle gelen yerel yönetimlerin, kendi siyasi tabanlarını istihdam etmek için şirketleri birer araç olarak kullanması.[10]
• Yeterlilik Kontrolü: İşe alınacak personelin teknik donanımını ölçecek standart bir sınav veya değerlendirme sisteminin bulunmaması.[11]
• İşten Çıkarma Esnekliği: Özel hukuk hükümlerine tabi olmanın bir sonucu olarak, personelin iş güvencesinin memurlara göre daha zayıf olması, personelin siyasi baskılara daha açık hale gelmesine neden olmaktadır.

Personel Giderlerinin Sınırlandırılması

Mali disiplini sağlamak amacıyla 5393 sayılı Kanun’un 49. maddesinde personel giderlerine üst sınır getirilmiştir. Buna göre, belediyenin yıllık personel giderleri, en son yıl bütçe gelirlerinin (yeniden değerleme oranıyla artırılan miktarın) büyükşehirlerde %30’unu, diğer belediyelerde %40’ını aşamaz.[2, 12] 696 sayılı KHK sonrasında, belediye şirketlerinden alınan personel hizmet bedelleri de bu sınırlama kapsamına dahil edilmiştir.[2] Bu durum, personeli yoğun olan belediyelerin yeni yatırım yapmasını hukuken imkansız hale getirmekte ve idareleri “hizmet alımı” adı altında gizli personel alımlarına itmektedir.[13]

Borçlanma Politikaları ve Finansal Denetim

Belediye şirketleri, bağımsız tüzel kişilikleri sayesinde belediyeden ayrı borçlanabilme yetkisine sahiptirler. Ancak kamu maliyesinin bütünlüğünü korumak adına bu yetki, 5393 sayılı Kanun’un 68. maddesi ile sıkı kurallara bağlanmıştır.[14, 15]

Genel Borç Stoku Sınırı

Belediyenin ve sermayesinin %50’sinden fazlasına sahip olduğu şirketlerin toplam borç stok tutarı, en son kesinleşmiş bütçe gelirlerinin yeniden değerleme oranıyla artırılan miktarını aşamaz. Bu miktar büyükşehir belediyeleri için 1,5 kat olarak uygulanır.[14, 15] Bu sınır, belediyelerin gelecekteki gelirlerini ipotek altına alarak sürdürülemez bir borç yükü altına girmelerini engellemek amacıyla konulmuştur.

Toplam_Borc\_Sınırı≤(Bu¨tc\c​e_Geliri×YDO)×Katsayı

Burada katsayı büyükşehirlerde 1.5, diğer belediyelerde 1.0’dır. Yeniden değerleme oranı ise her yıl Vergi Usul Kanunu uyarınca belirlenen orandır.[14, 15]

Borçlanma İzin Süreçleri

Şirketlerin borçlanma süreçleri, borcun miktarına ve türüne göre farklı onay mercilerine tabidir:

• Meclis Onayı: Yılı içindeki toplam borçlanmanın bütçe gelirlerinin %10’unu geçmemesi durumunda belediye meclisi kararı yeterlidir.[14]
• Bakanlık Onayı: %10’u aşan iç borçlanmalar için meclis üye tam sayısının salt çoğunluğunun kararı ve Çevre, Şehircilik ve İklim Değişikliği Bakanlığı’nın onayı gereklidir.[14, 15]
• Dış Borçlanma: Sadece belediyenin yatırım programında yer alan projeler için ve Hazine Müsteşarlığı’nın izniyle yapılabilir.[14]
• İstisna: İhbar ve kıdem tazminatı ödemeleri için yapılan borçlanmalar, 68. maddedeki sınırlamalara tabi olmaksızın Bakanlık onayı ile gerçekleştirilebilir.[6, 16]

Denetim Mekanizmaları ve Şeffaflık

Belediye şirketleri, “çift taraflı” bir denetim kıskacı altındadır. Bir yandan Türk Ticaret Kanunu uyarınca ticari denetime tabi iken, diğer yandan Sayıştay ve mülki idare amirleri üzerinden idari ve mali denetime tabidirler.[1, 5]

Sayıştay Denetimi ve Bulgular

Sayıştay, belediye şirketlerini 6085 sayılı Kanun kapsamında denetleme yetkisine sahiptir. Bu denetimlerde en çok rastlanan bulgular arasında, şirketlerin belediyeye aktarması gereken kâr paylarının ödenmemesi, şirket kaynaklarının belediye hizmetleri dışındaki alanlarda (örneğin siyasi etkinlikler veya sponsorluklar) harcanması ve usulsüz ihale işlemleri yer almaktadır.[16, 17] Sayıştay’ın 2019 ve sonrası raporlarında, belediye şirketlerinin mali tablolarının bütünlüğü ve şeffaflığı konusunda ciddi uyarılar yapıldığı görülmektedir.

Belediye Meclisi ve Denetim Komisyonları

Belediye Meclisi, her yıl Ocak ayında kendi üyeleri arasından bir “Denetim Komisyonu” seçer. Bu komisyon, belediyenin ve dolaylı olarak bağlı kuruluşlarının gelir-gider kayıtlarını inceleme yetkisine sahiptir.[18] Ancak komisyonun şirketler üzerindeki denetim gücü genellikle “bilgi isteme” seviyesinde kalmakta, şirketlerin ticari sırları veya operasyonel kararları üzerinde bir yaptırım gücü bulunmamaktadır. Şeffaflığı artırmak adına, denetim raporlarının meclis başkanlığına sunulması ve Nisan ayı toplantısında okunması yasal bir zorunluluktur.[18]

Sonuç ve Gelecek Projeksiyonu

Belediye şirketleri, Türkiye yerel yönetim sisteminin hem en dinamik hem de en riskli bileşenleridir. İhale süreçlerinde sağlanan esneklik (3-g istisnası), hizmet üretimini hızlandırsa da, şeffaflık ve rekabet ilkelerini aşındırma riski taşımaktadır. Personel politikalarında 696 sayılı KHK ile atılan adım, taşeron sorununa bir çözüm getirmiş olsa da, liyakat esaslı bir istihdam rejiminin kurulamaması ve kontrolsüz personel artışı, belediyeleri mali bir krizin eşiğine getirmiştir.[2, 10]

Gelecekte daha sağlıklı bir yapı için şu reformlar elzem görünmektedir:

• Standart Personel Alım Kriterleri: Belediye şirketlerine yapılacak işçi alımlarında da belirli bir yeterlilik sınavı (belediyelere özgü bir KPSS alt modülü gibi) zorunlu hale getirilmelidir.[11]
• İhale İstisnalarının Daraltılması: 3-(g) istisnasının sadece stratejik ve ticari alanlarla sınırlandırılması, genel mal ve hizmet alımlarının açık ihale usulüne döndürülmesi şeffaflığı artıracaktır.[8]
• Mali Konsolidasyon: Şirketlerin mali tablolarının belediye bütçesiyle tam entegrasyonu sağlanarak, “gölge bütçe” oluşumunun önüne geçilmelidir.
• Siyasal Denetimin Güçlendirilmesi: Belediye meclislerinin, şirket yönetim kurulları üzerinde gerçek bir performans denetimi yapabilmesini sağlayacak yasal düzenlemeler hayata geçirilmelidir.[2]

Belediye şirketleri, birer “istihdam deposu” veya “mevzuattan kaçış noktası” olarak değil, yerel kalkınmanın motoru olan profesyonel ticari kuruluşlar olarak yeniden kurgulandığı sürece Türkiye’deki yerel demokrasi ve hizmet kalitesi gelişimini sürdürebilecektir.

——————————————————————————–

1. Belediye Şirketleri Nasıl Kurulur ve Belediye İktisadi Teşekkülleri Ne Anlama Gelir? – Analiz, https://www.malihakem.com/analizler/belediye-sirketleri-nasil-kurulur-ve-belediye-iktisadi-tesekkulleri-ne-anlama-gelir_an497.html
2. 181 PERSONEL HİZMETİ SUNAN BELEDİYE … – DergiPark, https://dergipark.org.tr/en/download/article-file/1714124
3. BELEDİYE İKTİSADİ TEŞEBBÜSLERİ’NİN KURULUŞ AMACI, HUKUKİ DAYANAKLARI VE GÜNCEL DURUM Gürbüz ÖZDEMİR* – DergiPark, https://dergipark.org.tr/tr/download/article-file/289032
4. BELEDİYE ŞİRKETLERİNİN HUKUKİ STATÜSÜ – Türkiye Barolar Birliği Dergisi, https://tbbdergisi.barobirlik.org.tr/ViewPDF-belediye-sirketlerinin-hukuki-statusu-1737
5. belediye şirketlerinin denetimi 5393 belediye kanunu – Ege Belediyeler Birliği, http://www.ebb.gov.tr/YuklenenDosyalar/Dokumanlar/27092017_052303_belediye_sirketleri.pdf
6. BELEDİYE KANUNU Kanun Numarası : 5393 Kabul Tarihi : 3/7/2005 Yayımlandığı Resmî Gazete – Sanayi ve Teknoloji Bakanlığı, https://www.sanayi.gov.tr/assets/pdf/birimler/SGMBelediyeKanunu.pdf
7. 4734 – Kamu İhale Kanunu, https://www.dhmi.gov.tr/Lists/KanunveYonetmelikler/Attachments/176/4734-Sayili-Kamu-Ihale-Kanunu.pdf
8. Belediye Şirketleri İstisna Uygulamaları – Duman Global, http://dumanglobal.com/belediye-istisna/
9. 1–4734-sayili-kamu-ihale-kanunu-20190307144824.docx – T.C. Çevre, Şehircilik ve İklim Değişikliği Bakanlığı, https://webdosya.csb.gov.tr/db/yfk/icerikler/1–4734-sayili-kamu-ihale-kanunu-20190307144824.docx
10. Türk Kamu Personel Sisteminin Liyakatle İlgili Problem Sahaları Üzerine Değerlendirme (1) – DergiPark, https://dergipark.org.tr/en/download/article-file/1730145
11. Enderun » Makale » BELEDİYE VE BAĞLI KURULUŞLARINDA …, https://dergipark.org.tr/tr/pub/enderun/article/1062510
12. BELEDİYE VE BAĞLI KURULUŞLARI İLE BUNLARIN ÜYESİ …, https://webdosya.csb.gov.tr/db/yerelyonetimler/icerikler//23-11-2023-personel-istihdam-rehberi-guncel-20231123143832.pdf
13. Belediye Şirketi Personel Teminini 696 Sayılı KHK Kapsamında Gibi Düşünüp Doğrudan Alımla Karşılayamaz., https://mail.belediyesirketleri.com/belediye-sirketi-personel-teminini-696-sayili-khk-kapsaminda-gibi-dusunup-dogrudan-alimla-karsilayamaz
14. Bilindiği üzere Belediyeler, 5393 sayılı Belediye Kanununun 68.maddesine istinaden Belediye Meclisi kararı doğrultusunda görev ve hizmetlerinin gerektirdiği giderleri karşılamak amacıyla iç ve dış borçlanma yapabilmektedirler. Belediyeler – BEKAD, https://bekad.org/?sayfa=sorucevap&id=105&pageno=5
15. Türkiye’de Belediyelerin borçlanması – VergiAlgı, https://vergialgi.com/turkiyede-belediyelerin-borclanmasi
16. Borçlanma İşlemleri Hakkında – T.C. Çevre, Şehircilik ve İklim Değişikliği Bakanlığı, https://webdosya.csb.gov.tr/db/edirne/icerikler/borclanma-islemleri-hakkinda-20201231111655.pdf
17. Untitled, https://www.sayistay.gov.tr/reports/category/25-belediye-sirketleri-raporlari
18. Belediye Denetim Komisyonları İçin Rapor Standardı Rehberi Hazırlandı – MİARGEM, https://miargem.org.tr/belediye-denetim-komisyonlari-icin-rapor-standardi-rehberi-hazirlandi/

Denetim riski, bilgi sistemleri denetçisinin denetim bulgularına dayanarak yanlış bir sonuca varma olasılığını veya denetlenen bilgilerin önemli bir hata içermesine rağmen denetçinin bu hatayı tespit edemeyerek duruma uygun olmayan bir denetim görüşü bildirmesi riskini ifade eder,,. Uzman bir denetçi olarak bu kavramı sadece bir “hata ihtimali” olarak değil; doğal risk, kontrol riski ve tespit riski unsurlarının bir bileşimi olarak görmeniz gerekir,.

Denetim riskini makul bir seviyeye indirmek, denetimin planlanması ve yürütülmesinde en kritik başarı faktörlerinden biridir,. Şimdi bu riski oluşturan temel bileşenleri ve aralarındaki ilişkiyi öğretici bir perspektifle inceleyelim.

1. Denetim Riskinin Bileşenleri

Denetim riski, denetçinin kontrolünde olan ve olmayan üç farklı risk türünün bir fonksiyonudur,:

• Doğal Risk (Yapısal Risk): Herhangi bir kontrol mekanizması uygulanmadan önce, bir sürecin veya veri grubunun doğası gereği hata veya hile içermeye olan yatkınlığıdır,. Örneğin, internete açık bir sunucunun siber saldırılara maruz kalma ihtimali doğal bir risktir. İşlemlerin karmaşıklığı veya teknolojideki hızlı değişimler bu riski artırır.

• Kontrol Riski: İşletmenin kurduğu iç kontrol sisteminin, mevcut olan önemli bir yanlışı zamanında önleyememesi veya tespit edip düzeltememesi riskidir,. Kontroller ne kadar iyi tasarlanırsa tasarlansın, insan hatası veya yönetimin kontrolleri baypas etmesi gibi nedenlerle kontrol riski hiçbir zaman sıfıra inmez.

• Tespit Riski: Denetçinin uyguladığı denetim prosedürlerinin, tek başına veya diğer yanlışlıklarla birleştiğinde önemli olabilecek bir hatayı ortaya çıkaramaması riskidir,. Denetim modelinde denetçinin doğrudan müdahale edebileceği ve denetim tekniklerinin kapsamını artırarak düşürebileceği tek risk türü budur.

2. Örnek Senaryo: Veri Tabanı Yetkilendirme Denetimi

Bir kurumun müşteri veritabanındaki erişim yetkilerini denetlediğinizi varsayalım. Bu senaryo üzerinden denetim riskini analiz edelim:

• Doğal Risk: Müşteri veritabanı hassas kişisel veriler içerir. Bu verilerin yetkisiz değiştirilmesi veya çalınması riski, verinin kritikliği nedeniyle doğal olarak yüksektir.

• Kontrol Riski: Kurumun “erişim yönetimi prosedürü” vardır ancak denetiminizde bazı personelin işten ayrılmasına rağmen hesaplarının kapatılmadığını fark ettiniz. Burada kontrolün layıkıyla çalışmaması nedeniyle kontrol riski gerçekleşmiştir.

• Tespit Riski: Eğer siz denetçi olarak sadece 1000 kullanıcı arasından çok küçük ve tesadüfi bir örneklem seçip bu ayrılan personeli denk getiremezseniz, “yetkilendirmeler uygundur” şeklinde hatalı bir sonuca varırsınız,. Bu durumda tespit riski gerçekleşmiş ve sonuçta denetim riski oluşmuştur.

3. Denetim Riskini Yönetmek ve Azaltmak

İyi bir denetçi, denetim riskini makul bir düzeye indirmek için şu stratejik adımları izler:

1. Risk Odaklı Planlama: Denetim evrenini belirledikten sonra risk değerlendirmesi yapmalı ve kaynaklarınızı doğal riskin ve kontrol riskinin yüksek olduğu “önemli” alanlara kaydırmalısınız,.

2. Önemlilik Eşiği Belirleme: Hangi hataların finansal tabloları veya operasyonel kararları etkileyeceğini mesleki muhakemenizle belirlemelisiniz,.

3. Tespit Riskini Düşürmek: Önemli yanlışlık riskinin (doğal + kontrol riski) yüksek olduğu alanlarda örneklem hacmini genişletmeli, daha detaylı “önemli doğruluk testleri” uygulamalı ve denetim kanıtlarının kalitesini artırmalısınız,.

4. Bilgisayar Destekli Denetim Teknikleri (BDDT) Kullanımı: Karmaşık sistemlerde manuel örnekleme yerine BDDT kullanarak ana kitlenin tamamını (%100) test edebilir ve böylece örnekleme kaynaklı tespit riskini minimize edebilirsiniz,.

Öğretici Not: Denetim riski ile önemlilik arasında ters yönlü bir ilişki vardır. Bir alanın önemi arttıkça, denetçinin oradaki hatayı kaçırma toleransı düşer; bu da denetçinin daha fazla kanıt toplamasını ve tespit riskini en aşağıya çekmesini zorunlu kılar,. Unutmayın, makul güvence mutlak güvence değildir; denetimin yapısal kısıtlamaları nedeniyle risk her zaman bir miktar mevcuttur,.

Son on yılda kurumların teknoloji stratejilerinde en belirgin dönüşüm, sistemlerin giderek buluta taşınması ve iş süreçlerinin API’ler üzerinden dış kaynaklı veri akışlarına bağımlı hâle gelmesidir. Bulutun sunduğu ölçeklenebilirlik, düşük başlangıç maliyeti, hızlı entegrasyon ve esneklik, kurumlar için son derece cazip görünmektedir. Ancak bu cazibenin karşısında, kurumsal verilerin gizliliği, bütünlüğü ve kontrolü gibi kritik sorumluluklar bulunmaktadır. Bu nedenle günümüz kurumları, “bulutun çekiciliğine kapılmak mı, yoksa veri gizliliğini öncelemek mi?” sorusuyla karşı karşıyadır.

Bulut teknolojilerinin yükselişi, özellikle API ekonomisinin büyümesiyle paralel ilerlemiştir. Artık pek çok kurumun iş modeli, dış servislerden gelen verilerle çalışan algoritmalara dayanıyor. Örneğin ödeme sistemleri, kimlik doğrulama servisleri, harita altyapıları, lojistik takip sistemleri ve hatta yapay zekâ modelleri bile çoğunlukla uzak sunuculardan API çağrılarıyla çalışıyor. Bu durum, kurumların kendi veri merkezlerinden çok daha geniş bir ekosisteme bağımlı hâle gelmesine yol açıyor. Dolayısıyla modern bilgi sistemleri, sadece kurum içi süreçleri değil, dış dünyayla kurulan sürekli veri alışverişini de yönetmek zorunda.

Ancak bu yeni mimari, beraberinde ciddi riskler getiriyor. Kurumsal verilerin dış sistemlere taşınması, veri gizliliği ve veri egemenliği konularını daha önce olmadığı kadar kritik hâle getiriyor. Özellikle finans, sağlık, hukuk ve kamu gibi sektörlerde verinin kontrolünü kaybetmek, sadece teknik bir sorun değil; aynı zamanda hukuki ve etik bir sorumluluk doğuruyor. Bulut servis sağlayıcılarının veri işleme politikaları, veri saklama lokasyonları ve üçüncü taraflarla veri paylaşım pratikleri, kurumların risk yönetimi açısından hayati önem taşıyor.

Bu noktada kurumların yaşadığı temel ikilem şudur: Bulutun sunduğu hız ve esneklikten vazgeçmeden veri gizliliği nasıl korunabilir?

Birçok kurum, rekabet baskısı nedeniyle bulut teknolojilerine hızla geçiş yaparken, veri gizliliği konusunu yeterince değerlendirmeden karar veriyor. Bu durum, kısa vadede avantaj sağlasa da uzun vadede ciddi güvenlik açıklarına, uyumluluk sorunlarına ve veri kayıplarına yol açabiliyor. Özellikle API tabanlı mimarilerde, her yeni entegrasyon potansiyel bir saldırı yüzeyi anlamına geliyor. Bu nedenle bulutun çekiciliği, çoğu zaman kurumları “görünmeyen riskleri” hafife almaya itiyor.

Öte yandan veri gizliliğini önceleyen kurumlar ise bazen aşırı temkinli davranarak inovasyon hızını düşürebiliyor. Yerel veri merkezlerine bağımlı kalmak, yüksek maliyetler, sınırlı ölçeklenebilirlik ve yavaş entegrasyon süreçleri gibi dezavantajlar yaratıyor. Bu da özellikle hızlı büyüyen sektörlerde rekabet gücünü zayıflatabiliyor.

Dolayısıyla tartışmanın özü, “bulut mu, gizlilik mi?” ikilemi değildir. Asıl mesele, kurumların risk temelli bir yaklaşım benimseyip benimsemediğidir. Bulut teknolojileri doğru yönetişim, güçlü şifreleme, veri sınıflandırması, API güvenliği ve düzenli denetimlerle kullanıldığında hem esneklik hem de gizlilik sağlanabilir. Ancak bu dengeyi kuramayan kurumlar için bulut, bir çözümden çok bir tehdit hâline gelebilir.

Sonuç olarak modern dijital ekosistemde kurumların karşı karşıya kaldığı en büyük sınav, teknolojinin cazibesine kapılmadan veri gizliliğini koruyacak olgunluğa sahip olup olmadıklarıdır. API ekonomisinin hızla büyüdüğü bir dünyada, veri akışlarının kontrolünü kaybetmeden bulutun avantajlarından yararlanmak, ancak stratejik farkındalık ve güçlü bir yönetişim modeliyle mümkündür. Bu nedenle kurumların tercihi, bulutun çekiciliği ile veri gizliliği arasında bir seçim yapmak değil; her ikisini birlikte yönetebilecek kapasiteyi geliştirmek olmalıdır.

Kaynakça

• Gartner (2023). Cloud Security and Risk Management Trends.
• NIST (2020). Security and Privacy Controls for Information Systems and Organizations (SP 800‑53).
• IDC (2022). API Economy and Digital Transformation Report.
• ENISA (2021). Cloud Computing Security Guidelines.

Bilgi sistemleri (BS) denetimi, bir kurumun teknolojik varlıklarını koruyup korumadığını, veri bütünlüğünü sağlayıp sağlamadığını ve hedeflerine verimli bir şekilde ulaşıp ulaşmadığını belirlemek amacıyla yürütülen sistematik bir kanıt toplama ve değerlendirme sürecidir. Uzman bir denetçi bakış açısıyla, bu süreç sadece teknik bir inceleme değil, aynı zamanda kurumun stratejik hedefleriyle teknoloji arasındaki bağı kuran yönetsel bir disiplindir.

Bir kurumda BS denetimi gerçekleştirilirken izlenmesi gereken temel adımlar şunlardır:

1. Denetimin Planlanması (Yol Haritasının Oluşturulması)

Denetimin en kritik aşaması planlamadır; çünkü denetim riskini makul bir seviyeye indirmek ve kaynakları doğru alanlara yönlendirmek bu aşamada belirlenir.

• Kapsam ve Amaç Belirleme: Denetlenecek sistemler, süreçler ve fiziksel alanlar (örneğin veri merkezi, ağ altyapısı) belirlenir.

• Risk Odaklı Yaklaşım: Denetçi, hangi alanların daha riskli olduğunu (doğal risk ve kontrol riski) değerlendirir.

• Örnek Senaryo: Bir bankanın denetlendiğini varsayalım. Denetçi, “insan kaynakları portalı” ile “yurt dışı para transferi sistemi” arasındaki risk farkını analiz eder. Para transferi sistemi, finansal ve yasal etkisi nedeniyle “önemli” olarak işaretlenir ve denetim planında bu alana daha fazla kaynak ve zaman ayrılır.

• Denetim Programı: Hangi testlerin (uyumluluk veya önemli doğruluk testleri) yapılacağı adım adım dökümante edilir.

2. Denetimin Gerçekleştirilmesi (Kanıt Toplama ve Testler)

Bu aşamada saha çalışması yapılır ve planlanan denetim prosedürleri uygulanarak kanıt toplanır.

• Kanıt Toplama Teknikleri: Denetçi; belgeleri tetkik eder, sistemleri gözlemler, çalışanlarla görüşmeler yapar ve teknik analizler (sızma testleri, kod analizleri) gerçekleştirir.

• Bilgisayar Destekli Denetim Teknikleri (BDDT): Büyük ve karmaşık verileri analiz etmek için otomatik araçlar kullanılır.

• Sürekli Denetim: Gerekirse, sistem içine yerleştirilen modüllerle (örneğin SCARF/EAM) işlemler gerçek zamanlı olarak izlenir.

3. Denetimin Raporlanması (Karar ve Görüş Bildirme)

Toplanan kanıtlar değerlendirildikten sonra ulaşılan sonuçlar tarafsız ve açık bir raporla yönetime sunulur.

• Bulgu Sınıflandırma: Tespit edilen eksiklikler “Kontrol Zayıflığı”, “Kayda Değer Kontrol Eksikliği” veya “Önemli Kontrol Eksikliği” olarak derecelendirilir.

• Görüş Türleri: Denetçi dört tür görüş bildirebilir:

    1. Olumlu Görüş: Önemli bir eksiklik yoksa.

    2. Şartlı Görüş: Bazı eksiklikler var ancak sistemin bütününü bozmuyorsa.

    3. Olumsuz Görüş: Önemli eksiklikler sistemin büyük kısmını etkiliyorsa.

    4. Görüş Bildirmekten Kaçınma: Yeterli kanıt toplanamamışsa.

4. Takip Faaliyetleri (Düzeltici Aksiyonlar)

Denetim süreci raporun teslimiyle bitmez. Denetçi, raporlanan bulgulara ilişkin kurumun hazırladığı “aksiyon planını” ve bu planın uygulanıp uygulanmadığını takip etmelidir.

• Örnek Senaryo: Denetim raporunda “Yedekleme şifreleme anahtarlarının güvenli saklanmadığı” bir önemli kontrol eksikliği olarak belirtilmişse, denetçi bir sonraki ziyarette bu anahtarların yeni kurulan “Donanım Güvenlik Modülü (HSM)” içine alınıp alınmadığını kontrol eder.

Özetle; iyi bir BS denetimi, kurumun teknolojik altyapısının sadece “çalıştığını” değil, “doğru ve güvenli çalıştığını” garanti altına almalıdır. Denetçi bu süreçte mesleki şüpheciliğini koruyarak, kanıta dayalı bir görüş sunmak zorundadır

Bilgi sistemleri denetimi perspektifinden bakıldığında, akıllı sözleşmeler “kodun kanun olduğu” (code is law) bir yapıyı temsil eder. Bu sistemler, belirli koşullar gerçekleştiğinde dış müdahaleye gerek kalmadan otonom olarak çalıştıkları için kod seviyesindeki en küçük bir hata, telafisi imkânsız finansal kayıplara veya güvenlik ihlallerine yol açabilir,.

Bir denetçi olarak, akıllı sözleşme denetimlerinde en sık rastladığımız kritik kod hatalarını ve bu hataların yaratabileceği riskleri öğretici senaryolarla şu şekilde kategorize edebiliriz:

1. Mantıksal Hatalar ve İş Akışı Zafiyetleri

Akıllı sözleşmelerde en büyük risk, kodun yazılış biçimindeki mantık hatalarıdır. Sözleşme hükümleri doğrudan koda yazıldığı için, iş akışındaki bir boşluk saldırganlar tarafından istismar edilebilir.

• Örnek Senaryo: Bir emlak satış sözleşmesini düşünelim. Kod, “Alıcı parayı yatırdığında tapu kaydını otomatik transfer et” şeklinde programlanmış olsun. Eğer kodda, paranın transferinin onaylandığına dair kontrol (verification) adımı eksikse, saldırgan sahte bir ödeme onayı göndererek parayı ödemeden tapu sahipliğini üzerine alabilir. Bu durum, sözleşmenin rasyonalize edilememesine ve mülkiyet bütünlüğünün bozulmasına neden olur,.

2. Kâhin (Oracle) ve Dış Veri Kaynağı Hataları

Akıllı sözleşmeler normalde dış dünyaya kapalıdır; dışarıdan bilgi almak için “kâhin” (oracle) denilen uygulamaları kullanırlar. Bu uygulamaların güvenilir olmaması veya kodda yanlış yapılandırılması kritik bir zafiyettir.

• Örnek Senaryo: Bir tarım sigortası akıllı sözleşmesi, hava sıcaklığı 40 derecenin üzerine çıktığında çiftçiye tazminat ödemek üzere tasarlanmıştır. Eğer sözleşmenin veri aldığı kâhin uygulaması siber saldırıya uğrar ve veriyi manipüle ederek sıcaklığı 45 derece gösterirse, sözleşme haksız yere ödeme yapar. Denetim sırasında bu dış veri kapılarının (oracle) istismara ne kadar açık olduğu ve veri doğruluğunun nasıl teyit edildiği mutlaka incelenmelidir.

3. Kodlama Standartları ve Sürüm Uyumluluğu Sorunları

Yazılım dünyasında kodlama standartlarına uyulmaması, kodun okunmasını ve denetlenmesini zorlaştırır. Akıllı sözleşmelerde güncel olmayan şifreleme algoritmalarının veya hatalı yapılandırmaların kullanımı yaygın bir risktir.

• Örnek Senaryo: Bir kurum, eski bir asimetrik şifreleme algoritması kullanan bir sözleşme üzerinde varlık tutmaktadır. Denetçi, bu algoritmanın kuantum bilgisayarlar veya güncel kaba-kuvvet saldırılarıyla kırılabilir olduğunu (tespit riski) fark etmelidir,. Eğer kod “dondurulmuş” (freeze) bir yapıda değilse ve güncelleme prosedürleri (change management) zayıfsa, düzeltici bir yama geçilmesi sırasında yeni hatalar da sisteme dahil edilebilir,.

4. Hizmet Dışı Bırakma (DoS) ve Performans Hataları

Blok zincirde her işlemin bir maliyeti (“gas”) ve süresi vardır. Kodun verimsiz yazılması veya sonsuz döngüye girmeye müsait olması, sözleşmenin çalışamaz hale gelmesine (DoS) neden olabilir,.

• Örnek Senaryo: Çok fazla kullanıcısı olan bir oylama sözleşmesinde, her oy kullanıldığında tüm listeyi baştan sona tarayan bir kod bloğu varsa, bir noktadan sonra işlem ücretleri o kadar yükselir ki kullanıcılar işlem yapamaz hale gelir. Bu, kullanılabilirlik (availability) ilkesinin ihlalidir.

Denetçinin Yol Haritası

Bir akıllı sözleşme denetimi gerçekleştirilirken şu adımlar izlenmelidir:

• Kaynak Kod Analizi: Güvenli yazılım geliştirme prosedürlerine uygunluk ve tespit edilen zafiyetlerin (örneğin SQL enjeksiyonu benzeri mantık hataları) analizi,.

• Fonksiyonel Testler: Sözleşmenin iş gereksinimlerini (business case) tam olarak karşılayıp karşılamadığının doğrulanması,.

• Sızma Testleri: Akıllı sözleşmeye yönelik siber olaylara müdahale kapasitesinin ve dış saha zayıflıklarının belirlenmesi,.

Unutmayın; akıllı sözleşmelerde hata düzeltme (corrective maintenance) geleneksel sistemlerden çok daha zordur, çünkü blok zincirdeki veriler ve kayıtlar değiştirilemez niteliktedir,. Bu nedenle denetim, sözleşme canlı ortama alınmadan önceki kalite güvence aşamasında en yüksek etkisini gösterir

Bilgi sistemleri dünyasında “yıkıcı teknolojiler” olarak adlandırılan yapay zeka (AI) ve blok zincir, işletmelere muazzam fırsatlar sunsa da denetim ve risk yönetimi perspektifinden bakıldığında oldukça karmaşık ve dikkatle yönetilmesi gereken zafiyetleri de beraberinde getirir. Bir bilgi sistemleri denetçisi olarak, bu teknolojilerin sunduğu vaatlerin arkasındaki “karanlık noktaları” anlamanız, işletmenizin sürdürülebilirliği için hayatidir.

Aşağıda, bu teknolojilerin barındırdığı riskleri kategorize ederek ve öğretici senaryolarla derinlemesine inceleyelim.

1. Yapay Zeka ve Makine Öğrenmesi (AI/ML) Riskleri

Yapay zeka sistemleri, insana özgü muhakeme yeteneğini büyük veriyle birleştirerek “öğrenen” yapılardır. Ancak bu öğrenme süreci ve çıktıların güvenilirliği konusunda ciddi riskler bulunur:

• Veri Kalitesi ve Ön Yargı (Bias) Riski: Yapay zeka sistemlerinin performansı, beslendikleri verinin kalitesiyle doğrudan ilişkilidir. Eğer veri seti “ön yargı” içeriyorsa, çıkan sonuçlar da bu ön yargıyı taşır.

    ◦ Örnek Senaryo: Bir bankanın kredi başvurularını değerlendirmek için bir AI modeli kullandığını varsayalım. Eğer modelin eğitildiği geçmiş verilerde belli bir demografik gruba karşı ayrımcılık yapılmışsa, AI bu hatayı “doğru bir kural” gibi öğrenir ve gelecekteki dürüst başvuruları da haksız yere reddeder. Bu durum, işletme için hem müşteri kaybına hem de ciddi yasal yaptırımlara (ayrımcılık suçlaması) yol açar.

• Şeffaflık ve Açıklanabilirlik Sorunu: Birçok yapay zeka modeli “kara kutu” olarak çalışır; yani sistemin neden belirli bir karara vardığını anlamak ve açıklamak zordur. Bu durum, özellikle finansal denetimlerde kararın rasyonalize edilmesini engeller.

• Modele Yönelik Siber Saldırılar: Yapay zeka modelleri; eğitim verilerine müdahale edilmesi (data poisoning), algoritmanın manipüle edilmesi veya modelin tersine mühendislik yoluyla çalınması gibi yeni nesil saldırılara açıktır.

• Kesinlik ve Doğruluk Sorunları: AI tabanlı güvenlik sistemleri (örneğin saldırı tespit sistemleri), geleneksel sistemlere göre daha fazla “yanlış pozitif” (hata olmadığı halde hata varmış gibi uyarı verme) veya “yanlış negatif” (gerçek bir hatayı kaçırma) üretebilir.

2. Blok Zincir (Blockchain) ve Dağıtık Defter Teknolojisi (DLT) Riskleri

Blok zincir, verilerin değiştirilemezliğini ve şeffaflığı sağlasa da teknolojik ve yönetişimsel zayıflıklardan muaf değildir.

• Akıllı Sözleşme Zafiyetleri: Blok zincir üzerinde çalışan “akıllı sözleşmeler” aslında birer yazılım kodudur ve bu kodlardaki hatalar veya mantık boşlukları siber saldırganlar tarafından istismar edilebilir.

    ◦ Örnek Senaryo: Bir şirket, tedarikçilerine yapılacak ödemeleri otomatikleştirmek için bir akıllı sözleşme hazırlar. Ancak kodda yapılan bir yazım hatası, belirli bir koşulda ödemenin mükerrer (iki kez) yapılmasına sebep olur. Blok zincirdeki işlemler “değiştirilemez” olduğu için bu parayı geri almak geleneksel sistemlerdeki kadar kolay olmayacaktır.

• Teknik Saldırılar (%51, Sybil, Eclipse):

    ◦ %51 Saldırısı: Bir saldırgan grubunun ağdaki işlem gücünün (hash gücü) %51’inden fazlasını ele geçirmesi durumunda, zincirin bütünlüğünü bozabilir ve çifte harcama (double spending) yapabilirler.

    ◦ Sybil Saldırısı: Bir saldırganın ağda çok sayıda sahte hesap açarak blok üretim sürecini baltalamaya çalışmasıdır.

• Cüzdan ve Anahtar Yönetimi Riskleri: Blok zincirde mülkiyet “özel anahtarlara” (private keys) bağlıdır. Bu anahtarların saklandığı cüzdanların (özellikle internete bağlı “sıcak cüzdanların”) çalınması veya anahtarın kaybedilmesi durumunda varlıklara bir daha asla erişilemez. Bu kayıpları telafi edecek merkezi bir merci yoktur.

• Oracle (Kâhin) ve Köprü (Bridge) Riskleri: Blok zinciri dış dünyaya bağlayan kâhin uygulamaları veya farklı zincirleri birleştiren köprüler, güvenilmez veri girişi veya siber saldırı noktası haline gelebilir.

3. Ortak Teknolojik ve Yönetişimsel Riskler

Her iki teknoloji için de geçerli olan bazı “üst düzey” riskler bulunmaktadır:

• Yönetişim Eksikliği: Yeni teknolojiler genellikle kurumun geleneksel yazılım geliştirme ve işletim süreçlerinin dışında kalabilir. Eğer bu teknolojiler için özel bir yönetişim çerçevesi oluşturulmazsa, kontrolsüzlük riski doğar.

• Yasal ve Uyum Riskleri: Mevzuatın bu hızlı gelişen teknolojilerin gerisinde kalması, kurumların hukuki boşluklarda kalmasına veya sonradan çıkan düzenlemelere uyum sağlamak için büyük maliyetlere katlanmasına yol açabilir.

• Performans ve Kapasite Sorunları: Blok zincir sistemlerinde mutabakat mekanizmaları nedeniyle işlem hızı, işlem hacmi arttıkça yavaşlayabilir. Benzer şekilde yapay zeka modelleri de muazzam miktarda veri kaynağı ve işlem gücü gerektirir.

Denetim Perspektifinden Tavsiye

Bir denetçi olarak bu sistemleri incelerken, teknolojinin kendisine “hayranlık duymak” yerine, “Bu sistem iş hedeflerine nasıl hizmet ediyor ve nerede kırılabilir?” sorusuna odaklanmalısınız. Denetim planınızda mutlaka sızma testleri, kod gözden geçirme (özellikle akıllı sözleşmeler için) ve veri kalitesi analizlerine yer vermelisiniz.

Unutmayın; bir kontrolü tasarlamanın maliyeti, o riskin gerçekleşmesi durumunda oluşacak zararı aşmamalıdır, ancak yasal zorunluluklar bu kuralın istisnasıdır.

Bilgi sistemlerinin başarısız olmasının temel nedeni teknik eksiklik değil; organizasyonel adaptasyon kapasitesinin düşük olması.

Bu noktada kurumların yaşadığı tipik döngü şöyle işliyor:

1. Teknolojiye yatırım var, dönüşüme yatırım yok

Kurumlar milyonlarca liralık yazılım alıyor ama:

• süreç haritaları güncel değil
• veri sahipliği tanımlı değil
• çalışanlar eğitimsiz
• yöneticiler sistemi sahiplenmiyor

Bu durumda en iyi sistem bile “kullanılmayan bir araç” hâline geliyor.

2. Sistem, kuruma değil; kurum sisteme uydurulmaya çalışılıyor

Olgunluğu düşük kurumlarda genellikle şu olur:

• süreçler analiz edilmeden sistem alınır
• sistemin varsayılan işleyişi kuruma dayatılır
• çalışanlar bunu benimsemez
• sonuçta sistem “işi zorlaştıran bir şey” olarak algılanır

Bu da bilgi sistemlerini doğal olarak bir yük hâline getirir.

3. Kurum kültürü veri odaklı değil

Veri kültürü gelişmemiş bir kurumda:

• kayıtlar eksik tutulur
• sistem dışı yollar (WhatsApp, Excel, telefon) tercih edilir
• sistemdeki veriler güvenilmez hâle gelir

Bu durumda bilgi sistemi çözüm üretmez; aksine hataları görünür kılar ve direnç yaratır.

4. Değişim yönetimi yoksa teknoloji işe yaramaz

Birçok kurumda “sistemi kurduk, bitti” anlayışı hâkim. Oysa:

• eğitim
• iletişim
• rol tanımları
• performans ölçütleri
• süreç iyileştirme

gibi unsurlar olmadan hiçbir sistem çözüm olamaz.

5. Sonuç: Sistem değil, kurum hazır değil

Bu yüzden, sorun bilgi sistemlerinde değil; kurumların bu sistemleri taşıyacak olgunlukta olmamasında.

Bilgi sistemleri, teoride kurumların verimliliğini artıran, süreçleri standartlaştıran ve karar alma mekanizmalarını güçlendiren stratejik araçlardır. Ancak pratikte pek çok kurum için bu sistemler beklenen faydayı üretmek bir yana, ciddi bir operasyonel ve yönetsel yük hâline gelmiştir. Bu durumun temel nedeni, bilgi sistemlerinin niteliğinden çok, kurumların bu sistemlere uyum sağlama kapasitesinin yetersiz olmasıdır.

Birçok kurum, süreçleri olgunlaşmadan, veri kültürü yerleşmeden ve organizasyonel roller netleşmeden büyük ölçekli bilgi sistemlerine yatırım yapmaktadır. Bu noktada teknoloji, çözüm üretmek yerine mevcut dağınıklığı daha görünür hâle getirir. Süreçleri tanımlı olmayan, veri sahipliği belirlenmemiş, karar mekanizmaları kurumsallaşmamış yapılarda bilgi sistemleri doğal olarak bir “dönüşüm aracı” değil, bir “engel” olarak algılanır. Bu nedenle sorun çoğu zaman sistemde değil, sistemin üzerine oturtulduğu kurumsal zemindedir.

Uyum eksikliğinin en belirgin görünümlerinden biri, değişim yönetimi konusundaki yetersizliktir. Kurumlar genellikle yazılım satın almayı bir çözüm olarak görür; ancak çalışanların alışkanlıklarını, iş yapma biçimlerini ve sorumluluklarını dönüştürmeyi planlamaz. Bu durumda bilgi sistemi, iş akışını kolaylaştıran bir araç olmaktan çıkar; çalışanların “ekstra iş” olarak gördüğü bir yük hâline gelir. Sistem kullanılmadığında ya da yanlış kullanıldığında, teknolojiye yapılan yatırım boşa gider ve kurumda teknolojiye karşı genel bir güvensizlik oluşur.

Bir diğer kritik sorun, yönetimsel sahiplenme eksikliğidir. Bilgi sistemleri çoğu kurumda IT biriminin sorumluluğu olarak görülür; oysa bu tür sistemler ancak üst yönetim tarafından stratejik bir dönüşüm aracı olarak sahiplenildiğinde başarıya ulaşabilir. Sahiplenilmeyen sistemler, departmanlar arasında uyumsuzluk yaratır, süreçlerde parçalanmaya neden olur ve zamanla sürdürülemez hâle gelir.

Ayrıca yanlış sistem seçimi, gereksiz özelleştirmeler ve entegrasyon eksiklikleri de bilgi sistemlerini bir yük hâline getiren önemli faktörlerdir. Kurumun gerçek ihtiyaçları analiz edilmeden alınan sistemler, doğal olarak kuruma uymaz. Bu durumda çalışanlar sistemi değil, sistemi “atlatmanın yollarını” öğrenir. Bu da hem verimsizlik hem de veri tutarsızlığı yaratır.

Sonuç olarak bilgi sistemlerinin yük mü yoksa çözüm mü olduğu, sistemin teknik özelliklerinden çok kurumun organizasyonel olgunluğuna, değişim yönetimi kapasitesine ve stratejik uyum becerisine bağlıdır. Kurumsal altyapı hazır değilse, en iyi teknoloji bile bir yük hâline gelir. Ancak kurum, süreçlerini olgunlaştırmış, veri kültürünü geliştirmiş ve dönüşümü sahiplenmişse bilgi sistemleri güçlü bir çözüm sunar. Bu nedenle asıl soru, “Bilgi sistemleri çözüm mü?” değil; “Bu kurum bilgi sistemlerini çözüm hâline getirecek olgunluğa sahip mi?” olmalıdır.

Bir kooperatif ortaklığından çıkarılma süreci, hem 1163 sayılı Kooperatifler Kanunu hem de kooperatif anasözleşmesinde belirtilen usul ve esaslara sıkı sıkıya bağlı kalınarak gerçekleştirilmelidir. Ortaklıktan çıkarılmanın temel şartı, çıkarma sebeplerinin anasözleşmede açıkça gösterilmiş olmasıdır,,. Anasözleşmede yer almayan bir sebeple hiçbir ortak üyelikten çıkarılamaz,,.

Sürecin yasal ve usulüne uygun ilerlemesi için şu aşamalar takip edilmelidir:

1. Çıkarılma Sebeplerinin Varlığı

Kooperatiflerde en yaygın çıkarılma nedenleri; ortağın parasal yükümlülüklerini (aidat veya sermaye payı ödemeleri) yerine getirmemesi veya ortaklık şartlarını sonradan kaybetmesidir,.

• Parasal borçlar nedeniyle çıkarma: Eğer ortak borcunu geciktirmişse, yönetim kurulu ortağa noter aracılığıyla veya taahhütlü mektupla, birer ay arayla iki ihtar göndermelidir,,. İkinci ihtardan sonra bir ay içinde borç ödenmezse ortaklık kendiliğinden düşer veya çıkarma süreci işletilir,.
• İhtarnamenin içeriği: İhtarnamelerde istenen borç miktarının gerçek borcu yansıtması, faiz miktarının açıkça gösterilmesi ve ödeme için yasal sürelerin tanınması şarttır,,.

2. Karar Alma Süreci

Ortaklıktan çıkarılmaya normal şartlarda yönetim kurulunun teklifi ile genel kurul karar verir,. Ancak anasözleşme, çıkarılanın genel kurula başvurma hakkı saklı kalmak kaydıyla bu konuda yönetim kurulunu da yetkili kılabilir,,.

• Çıkarılma kararı, mutlaka gerekçeli olmalı ve tutanağa geçirilmelidir,.
• Karar aynı zamanda ortaklar defterine kaydedilmelidir,.

3. Tebligat ve Bildirim Zorunluluğu

Çıkarılma kararının onaylı bir örneği, çıkarılan ortağa tebliğ edilmek üzere on gün içinde notere tevdi edilmelidir,. Kararın ortağa usulüne uygun şekilde tebliğ edilmesi, sürecin kesinleşmesi ve ortağın itiraz haklarını kullanabilmesi için yasal bir zorunluluktur,.

4. Ortağın İtiraz ve Dava Hakları

Tebliğ tarihinden itibaren ortağın üç aylık itiraz süresi başlar,.

• Genel Kurula İtiraz: Eğer karar yönetim kurulu tarafından verilmişse, ortak üç ay içinde genel kurula itiraz edebilir,. Bu itiraz, ilk toplanacak genel kurula sunulmak üzere yönetim kuruluna noter aracılığıyla bildirilir,.
• İptal Davası: Ortak, doğrudan mahkemeye başvurarak çıkarma kararının iptali için itiraz davası açabilir,. Genel kurula itiraz edilmişse, genel kurulun vereceği karara karşı da dava açma hakkı saklıdır,.
• Kararın Kesinleşmesi: Üç aylık süre içinde genel kurula veya mahkemeye başvurulmayan kararlar kesinleşir,.

5. Çıkarma Kararı Kesinleşinceye Kadar Ortağın Durumu

Haklarındaki çıkarma kararı kesinleşmeyen ortakların ortaklık hak ve yükümlülükleri (aidat ödeme, genel kurula katılma vb.) aynen devam eder,,. Bu süreçte çıkarılan ortağın yerine yeni bir ortak alınamaz,,.

6. Yapı Kooperatiflerinde Özel Durum

Amacına ulaşmış ve dağılma sürecine girmiş konut yapı kooperatiflerinde, ortağın konutu veya işyeri çıkarma sebebiyle elinden alınamaz; bu durumdaki eski ortaklar sadece oluşabilecek tasfiye masraflarına katılmakla yükümlüdür.

Kooperatiflerde ortaklık payının devri sırasında yönetim kurulunun mutlak veya keyfi bir reddetme hakkı bulunmamaktadır. Yönetim kurulunun bu süreçteki yetkisi ve sınırları şu şekilde düzenlenmiştir:

• Şartlı Kabul Zorunluluğu: 1163 sayılı Kooperatifler Kanunu’nun 14. maddesine göre, ortaklığı devralan kişinin anasözleşmede belirtilen ortaklık niteliklerini taşıması halinde, yönetim kurulu bu kişiyi ortaklığa kabul etmek zorundadır.
• Reddetme Hakkının Sınırı: Yönetim kurulu, devralan kişiyi ancak ortaklık niteliklerini taşımadığı gerekçesiyle reddedebilir,. Eğer devralan kişi gerekli şartlara haizse ve üyeliğe engel bir durumu yoksa, yönetim kurulunun kabulden kaçınma imkânı yoktur.
• İstisnai Durumlar: Kamu kaynaklarından desteklenen kredilere kefil olan veya tarımsal desteklemelere aracılık yapan kooperatiflerde, yönetim kurulu şartları taşıyanları ortaklığa kabulden hiçbir şekilde kaçınamaz.
• Devir Süreci ve Onay: Ortaklık payının devri için devreden ve devralan tarafların yönetim kuruluna yazılı olarak başvurması gerekir,. Devrin kooperatif nezdinde hüküm ifade edebilmesi ve hukuki sonuç doğurabilmesi için yönetim kurulunun bu devir işlemini usulüne uygun şekilde kabul etmesi ve ortağı deftere kaydetmesi şarttır.
• Hukuki Yollar: Eğer yönetim kurulu, ortaklık niteliklerini taşıyan bir kişinin devir talebini haklı bir sebep olmaksızın reddederse, ilgili kişi mahkemeye başvurarak ortaklığının tespitini talep edebilir.

Özetle; yönetim kurulu devir işlemini denetleme yetkisine sahiptir ancak bu yetkiyi sadece adayın niteliklerinin uygunluğunu kontrol etmek amacıyla kullanabilir; nitelikleri uygun olan bir adayı reddedemez.