Kurumsal Yönetim
ve Uyum

Şirket türü, ortaklık yapısı, grup ilişkileri, halka açıklık, düzenlenmiş sektör, faaliyet ülkeleri ve yönetim modeli incelenir. Genel kurul, yönetim kurulu, müdürler, üst yönetim, komiteler ve kontrol fonksiyonları arasındaki görev ve raporlama çizgileri belirlenir.

Mevcut esas sözleşme, iç yönerge, organizasyon şeması, temsil düzeni ve fiilî karar alma biçimi karşılaştırılır. Kâğıt üzerindeki yetki ile günlük uygulama arasındaki farklar; sorumluluk, geçersiz işlem, çıkar çatışması ve gözetim riski bakımından raporlanır.

Esas sözleşme, genel kurul iç yönergesi, yönetim kurulu çalışma esasları, müdürler kurulu düzeni, imza ve temsil yönergeleri, komite görev tanımları ve yönetim politikaları hazırlanır veya güncellenir.

Belgeler, kanunî görev ve yetkileri fiilen uygulanamaz hâle getirmemeli; şirket türü ve tescil uygulamasıyla uyumlu olmalıdır. Sözleşmesel yetki paylaşımının üçüncü kişiler ve şirket organları karşısındaki etkisi ayrıca değerlendirilir.

Mali, ticari, insan kaynakları, tedarik, sözleşme, dava, veri, teknoloji ve kamu ilişkileri kararları için yetki ve onay seviyeleri belirlenir. Tek kişinin başlatma, onaylama, ödeme ve kayıt yetkisini bir arada taşıdığı süreçler risk temelli ayrıştırılır.

Yetki devri, yönetim organının kanunen devredilemez görevlerini veya gözetim sorumluluğunu ortadan kaldırmaz. Vekâletname, imza sirküleri, iç yönerge, banka talimatı ve sistem yetkileri aynı yetki mimarisiyle uyumlu tutulur.

TTK m. 367 kapsamındaki yönetim devri ile temsil yetkisi aynı değildir. Anonim şirkette m. 375, limited şirkette m. 625 kapsamındaki devredilemez görevler ayrıca korunur. İç yetki limitlerinin üçüncü kişilere etkisi ayrı bir hukukî inceleme gerektirir.

Yönetim organının özen, bağlılık, şirket menfaatini gözetme, gözetim, finansal kontrol, risk yönetimi, sermaye kaybı, borca batıklık, defter ve raporlama yükümlülükleri işlem özelinde değerlendirilir.

Kararların yeterli bilgiye dayanması, gündem ve eklerin zamanında sunulması, karşı görüş ve çekincelerin tutanağa geçirilmesi ve uygulama takibinin yapılması için karar protokolü kurulur. Yönetim kurulu kararı, fiilî gözetim ve takip bulunmadığında tek başına sorumluluğu ortadan kaldırmayabilir.

Denetimden sorumlu komite, kurumsal yönetim komitesi, riskin erken saptanması komitesi, ücretlendirme ve aday gösterme fonksiyonları; şirketin halka açıklığı, büyüklüğü ve tabi olduğu mevzuata göre yapılandırılır.

Komite üyeliği, bağımsızlık, görev tanımı, toplantı takvimi, bilgi erişimi, raporlama ve yönetim kuruluna üst makama iletim (eskalasyon) düzeni yazılı hâle getirilir. Komite kurulması, yönetim kurulunun nihai gözetim sorumluluğunu kendiliğinden devretmez.

Stratejik, finansal, operasyonel, hukukî, düzenleyici, teknoloji, veri, insan ve itibar riskleri ortak yöntemle tanımlanır. Olasılık ve etki yanında riskin oluşma hızı, mevcut kontroller, sorumlu, tolerans ve üst makama iletim (eskalasyon) eşiği belirlenir.

Risk kayıtları yalnız yıllık sunum olarak tutulmaz. Kritik göstergeler, olay bildirimleri, denetim bulguları ve düzeltici işlemler yönetim organına ölçülü ve düzenli biçimde raporlanır.

TTK m. 378, pay senetleri borsada işlem gören şirketler için özel komite yükümlülüğü düzenler. Diğer şirketlerde denetçinin gerekli görüp yönetim kuruluna yazılı bildirmesi hâli ayrıca değerlendirilir; bütün şirketler için aynı kuruluş şartı varsayılmaz.

Ana şirket, bağlı şirket, iştirak, ortak girişim ve şubeler arasındaki talimat, bilgi, finansman, hizmet, veri, marka ve yönetici ilişkileri incelenir. Grup politikalarının yerel şirket organlarının kanunî sorumluluğunu ve karar yetkisini nasıl etkilediği belirlenir.

Grup içi hizmet ve maliyet paylaşımı, veri aktarımı, ortak tedarik, teminat, nakit yönetimi ve raporlama için onay ve sözleşme düzeni kurulur. Yabancı ana şirket politikası Türkiye’de doğrudan uygulanmadan önce yerel hukuk bakımından uyarlanır.

Yönetici, ortak, çalışan, tedarikçi, danışman ve yakın ilişkili kişiler arasındaki fiilî veya potansiyel çıkar çatışmaları için bildirim, çekilme, bağımsız değerlendirme, onay ve kayıt düzeni oluşturulur.

İlişkili taraf işlemlerinde fiyat, koşul, şirket menfaati, karar nisabı, kamuyu aydınlatma, değerleme ve rapor yükümlülükleri şirketin statüsüne göre incelenir. Çıkar çatışmasının bildirilmesi, işlemi otomatik olarak hukuka uygun hâle getirmez.

Bilgi alma ve inceleme, genel kurula katılım, oy, kâr payı, özel denetim, azınlık hakları ve eşit işlem ilkesi yönetişim yapısına dâhil edilir. Pay sahipleri arasında bilgi asimetrisi ve imtiyaz uygulaması esas sözleşme ve kanunla birlikte değerlendirilir.

Genel kurul gündemi, çağrı, temsil, elektronik katılım, karar ve tescil süreçleri hazırlanır. Ticari sır ve kişisel veri korunurken pay sahibinin kanunî bilgi haklarının gereksiz biçimde sınırlandırılması önlenir.

Kurumsal Yönetim Tebliği, zorunlu ve gönüllü ilkeler, yönetim kurulu bağımsızlığı, komiteler, yatırımcı ilişkileri, ilişkili taraf işlemleri, yaygın ve süreklilik arz eden işlemler ve kurumsal yönetim raporlaması incelenir.

Uyum raporlarının şirketin fiilî uygulamasıyla tutarlı olması sağlanır. “Uyulmuyorsa açıkla” kapsamındaki açıklamalar genel veya tekrar eden ifadelerle bırakılmaz; gerekçe, risk, alternatif uygulama ve geleceğe ilişkin plan doğru biçimde yazılır.

SPK II-17.1 sayılı Tebliğ’in kapsamı, istisnaları, şirketin grubu ve güncel Kurul kararları birlikte kontrol edilir. Zorunlu ilkeler ile açıklama esasına bağlı ilkeler birbirinden ayrılır.

Aile, ortaklık ve yönetim rollerinin ayrılması; aile meclisi, aile anayasası, yönetim kurulu, profesyonel yönetim, pay devri, halefiyet, kâr dağıtımı, istihdam ve uyuşmazlık çözümü düzenleri hazırlanır.

Aile anayasasının hangi hükümlerinin ahlaki taahhüt, hangilerinin esas sözleşme, pay sahipleri sözleşmesi veya organ kararıyla hukukî etki kazanacağı açıkça ayrılır. Kuşak geçişi, miras ve şirket devamlılığı birlikte planlanır.

Şirketin ürünleri, müşterileri, tedarikçileri, kamu ilişkileri, ödeme kanalları, ülkeleri, çalışan yapısı, verileri, lisansları ve geçmiş olayları incelenir. Riskler mevzuat başlığına göre değil, gerçek iş süreçleri ve temas noktaları üzerinden belirlenir.

Program; yönetim gözetimi, sorumlu kişiler, politika, kontrol, eğitim, ihbar, soruşturma, izleme, raporlama ve düzeltici uygulama bileşenleriyle kurulur. Her risk için aynı kontrol kullanılmaz; yüksek riskli süreçlere daha yoğun kontrol ve kayıt uygulanır.

Etik kod; dürüstlük, çıkar çatışması, hediye ve ağırlama, kamu görevlileriyle ilişkiler, gizlilik, veri, ayrımcılık, rekabet, şirket varlıkları, kayıt doğruluğu ve ihbar konularında ortak davranış çerçevesi oluşturur.

Politikalar yalnız yasak listesi olarak yazılmaz. Onay makamı, parasal veya niteliksel sınır, istisna, kayıt, danışma kanalı, ihlal sonucu ve güncelleme sorumlusu belirtilir. Yerel mevzuata aykırı küresel politika hükümleri uyarlanır.

Kamu ve özel sektörle ilişkiler, aracılar, danışmanlar, komisyonlar, hızlandırma ödemeleri, hediye, ağırlama, seyahat, bağış, sponsorluk, siyasi katkı, ihale ve ruhsat süreçleri risk temelli incelenir.

Üçüncü kişi kabulü, sözleşme, ödeme doğrulama, hizmet kanıtı, yönetim onayı ve periyodik yenileme kontrolleri oluşturulur. Yabancı rüşvetle mücadele mevzuatı uygulanabilecekse ilgili ülkede yetkili hukukçularla koordinasyon sağlanır.

Şirketin 5549 sayılı Kanun ve ilgili düzenlemeler bakımından yükümlü olup olmadığı; müşterinin tanınması, gerçek faydalanıcı, risk yönetimi, izleme, şüpheli işlem bildirimi, devamlı bilgi verme, saklama ve eğitim yükümlülükleri incelenir.

Uyum programı ve uyum görevlisi gereklilikleri yükümlü gruba göre yapılandırılır. Şüpheli işlem bildiriminin gizliliği ve bildirimde bulunulduğunun ifşa edilmemesi kuralları, normal ihbar ve yönetim raporlamasından ayrı ele alınır. Ayrıntılar MASAK Uyum ve Finansal İncelemeler sayfasında incelenir.

5549 sayılı Kanun m. 4/2 uyarınca, şüpheli işlem bildiriminde bulunulduğu; yükümlülük denetimiyle görevlendirilen denetim elemanları ve yargılama sırasında mahkemeler dışında, işleme taraf olanlar dâhil hiç kimseye açıklanamaz. Genel kurul veya yönetim raporlaması bu özel gizlilik kuralını kaldırmaz.

Taraf, ülke, ürün, hizmet, ödeme, banka, taşıma ve nihai kullanım bağlantıları değerlendirilir. Türkiye’deki düzenlemelerin yanında sözleşme veya sınır ötesi işlem nedeniyle uygulanabilecek yabancı yaptırım ve ihracat kontrolü kuralları yerel hukukçularla incelenir.

Tarama sonucu isim benzerliği, otomatik ihlal sonucu gibi kabul edilmez. Kimlik doğrulama, yaptırım programı, kapsam, lisans, istisna, engelleme veya bildirim yükümlülüğü somut olayda belirlenir.

Rakiplerle temas, fiyatlandırma, dağıtım, münhasırlık, çevrim içi satış, bilgi değişimi, ihale, teşebbüs birliği, çalışan hareketliliği ve hâkim durum riskleri şirket süreçlerine göre incelenir.

Yönetim mesajı, rakip temas protokolü, yerinde inceleme planı, sözleşme kontrolü, eğitim, ihbar ve iç inceleme düzeni oluşturulur. Rekabet ihlali, Rekabet Kurumu soruşturması ve birleşme kontrolünün ayrıntıları Rekabet Hukuku, Rekabet Kurumu Soruşturmaları ve Birleşme Kontrolü sayfasında ele alınır.

Yönetim organının veri sorumluluğu gözetimi; veri envanteri, erişim, saklama, tedarikçi, yurt dışı aktarım, ihlal, ilgili kişi başvurusu ve teknik-idarî tedbir raporlamasıyla kurulur.

Uyum izleme veya iç soruşturma amacı, çalışan ve üçüncü kişilerin verilerinin sınırsız işlenmesini sağlamaz. İşleme şartı, aydınlatma, amaçla bağlılık, ölçülülük, erişim ve imha yükümlülükleri Kişisel Verilerin Korunması ve KVKK sayfasıyla koordineli yürütülür.

KVKK m. 9 kapsamındaki yurt dışı aktarım şartları, yabancı ana şirketin uzaktan erişimi ve bulut sistemleri için de incelenir. Kişisel verilerin hukuka aykırı elde edilmesi hâlindeki ihlal bildiriminde, Kurulun 2019/10 sayılı kararı uyarınca öğrenmeden itibaren gecikmeksizin ve en geç 72 saat içinde Kurula bildirim; etkilenen kişilere ise makul olan en kısa sürede bildirim esastır. Her siber olay için aynı bildirim rejimi geçerli değildir.

Yönetim organı, bilgi teknolojileri, bilgi güvenliği, hukuk, uyum, iletişim ve iş sürekliliği ekiplerinin görevleri; siber risk, olay üst makama iletimi (eskalasyon), karar ve raporlama matrisi içinde belirlenir.

7545 sayılı Siber Güvenlik Kanunu, kişisel veri, elektronik haberleşme ve sektörel güvenlik yükümlülükleri şirketin kapsamına göre incelenir. Hukuk bürosu teknik sızma testi yapmaz; teknik bulguların bildirim, sorumluluk, sözleşme ve uyuşmazlık sonuçlarını yönetir. Ayrıntılar Siber Güvenlik Hukuku ve Siber Olay Müdahalesi sayfasında yer alır.

İşe alım, çalışma koşulları, ücret, performans, fazla çalışma, izin, uzaktan çalışma, eşit davranma, iş sağlığı ve güvenliği, disiplin, fesih ve özlük dosyası süreçleri mevzuat ve fiilî uygulama bakımından incelenir.

İşveren politikaları, yönetim hakkının sınırları, çalışan aydınlatması, disiplin prosedürü, savunma ve karar yetkisiyle uyumlu hâle getirilir. Toplu iş sözleşmesi, işyeri uygulaması ve sözleşmesel kazanımlar ayrıca gözetilir.

4857 sayılı Kanun m. 26’daki altı iş günü ve bir yıl, ahlak ve iyi niyet kurallarına aykırılığa dayalı fesih yetkisine ilişkindir. İşçinin maddi çıkar sağladığı durumda bir yıllık sınır uygulanmaz. Öğrenmenin yetkili makam bakımından ne zaman oluştuğu ve soruşturmanın etkisi somut olayda incelenir; süreç açılması otomatik süre durması değildir.

Ayrımcılık, taciz, cinsel taciz, psikolojik taciz, misilleme, zorla çalıştırma, çocuk işçiliği ve tedarik zincirindeki insan hakları riskleri için önleme, bildirim, inceleme ve iyileştirme düzeni kurulur.

Eşit davranma ve kapsayıcılık politikaları, soyut taahhütlerle sınırlı bırakılmaz. İşe alım, terfi, ücret, görevlendirme, performans, iş ilişkisinin sona ermesi ve işyeri erişilebilirliği gibi karar noktalarına ölçülebilir kontroller yerleştirilir.

Aracı, distribütör, temsilci, danışman, alt yüklenici, tedarikçi ve iş ortağı kabulünde risk sınıflandırması yapılır. Ortaklık ve yönetim yapısı, gerçek faydalanıcı, kamu bağlantısı, itibar, yaptırım, çıkar çatışması, yeterlilik, hizmet kapsamı ve ödeme koşulları incelenir.

İncelemenin yoğunluğu riskle orantılı belirlenir. Sözleşme hükümleri; doğrulama, kayıt, denetim, alt yüklenici, eğitim, bildirim, askıya alma ve sona erdirme mekanizmalarıyla desteklenir. Kabul sonrası periyodik izleme ve olay temelli yenileme uygulanır.

Birleşme ve devralma öncesi uyum incelemesinde geçmiş ihlaller, açık kurum süreçleri, aracılar ve kontrol eksikleri de değerlendirilir. Bulgular; işlem belgeleri, kapanış koşulları ve devralma sonrası iyileştirme planıyla eşleştirilir.

Çalışanların ve gerekli olduğunda üçüncü kişilerin kaygılarını iletebileceği, erişilebilir ve güvenli kanallar tasarlanır. Kanalın kapsamı, işletim sorumluluğu, anonim veya kimliği gizli bildirim seçenekleri, alındı teyidi, geri bildirim, üst makama iletim (eskalasyon) ve saklama kuralları yazılı hâle getirilir.

Mutlak gizlilik veya her durumda anonimlik vaadi verilmez. Bilgiye erişim görevi gereği bilmesi gereken kişilerle sınırlanır; misilleme yasağı ilan edilir ve izlenir. Bildirim kanalı, genel iletişim formundan ve pazarlama altyapısından ayrı tutulur.

Hediye, yemek, seyahat, konaklama, etkinlik, bağış, sponsorluk, sosyal yatırım ve siyasi katkılar için tutar, sıklık, amaç, taraf, zamanlama ve kamu bağlantısı esaslı risk kuralları oluşturulur.

Yasak, ön onay, sonradan bildirim ve kayıt kategorileri ayrılır. Parçalı işlemler ve aynı kişiye tekrar eden menfaatler toplulaştırılır; pazarlama veya kurumsal sosyal sorumluluk adı altında yapılan aktarımların gerçek amacı ve yararlanıcısı incelenir.

Sürdürülebilirlik konularında yönetim gözetimi, yetki, veri sahipliği, risk ve fırsat değerlendirmesi, rapor onayı ve güvenceye hazırlık yapısı kurulur. Türkiye Sürdürülebilirlik Raporlama Standartlarının zorunlu kapsamına girilip girilmediği yıl, eşik ve şirket niteliğine göre incelenir.

İklim, insan hakları, iş gücü, tedarik zinciri ve yönetişim beyanlarının doğrulanabilir kayıtlara dayanması sağlanır. Gönüllü raporlama, reklam veya finansman beyanları da yanıltıcı açıklama ve sözleşmesel sorumluluk riski bakımından incelenir.

ÇSY (ESG), çevresel, sosyal ve yönetişim konularını ifade eder. Sürdürülebilirlik raporlaması ve güvence yükümlülükleri, ilgili şirket için güncel SPK ve KGK kapsamına göre belirlenir; her işletme için aynı raporlama zorunluluğu varsayılmaz. Teknik ölçüm ve bağımsız güvence, yetkili uzmanların görev alanındadır.

Finans, sigorta, enerji, turizm, sağlık, ilaç, gıda, elektronik haberleşme, ulaştırma, savunma, perakende, e-ticaret ve diğer düzenlenmiş alanlarda lisans, bildirim, reklam, fiyat, tüketici, veri, kayıt ve denetim yükümlülükleri şirketin faaliyet modeline göre haritalanır.

Tek bir genel politika yerine, iş birimlerinin karar anında kullanabileceği kontrol listeleri, onay akışları ve istisna yolları kurulur. Düzenleyici kurum kararları ve ikincil düzenleme değişiklikleri için sorumluluk ve güncelleme takvimi belirlenir.

Turizm, sağlık, finans, enerji, perakende, teknoloji ve üretimde ruhsat, müşteri, veri, tedarik ve çalışan riskleri farklılaşır. Tek bir uyum belgesi bütün izinlerin veya sektörel denetimlerin yerine geçmez.

Eğitim içeriği unvan değil riskli görev ve senaryoya göre ayrıştırılır. Yönetim kurulu, satış, satın alma, kamu ilişkileri, insan kaynakları, finans, bilgi teknolojileri ve yüksek riskli üçüncü kişiler için farklı modüller hazırlanır.

Katılımın kayda alınması tek başına etkinlik göstergesi sayılmaz. Senaryo soruları, bilgi kontrolü, davranış göstergeleri, sonuç analizi ve tekrar programı kullanılır. Yönetimin mesajları, gerçek karar ve teşvik sistemiyle tutarlı olmalıdır.

Kontrolün varlığı, tasarımı ve fiilî işleyişi ayrı ayrı incelenir. Örneklem, veri analizi, işlem testi, istisna incelemesi, anket ve görüşme yöntemleri riskin niteliğine göre kullanılır.

Yönetim raporu; yalnız eğitim sayısını değil, bildirim eğilimi, inceleme süresi, tekrar eden nedenler, gecikmiş düzeltmeler, kontrol açıkları ve kalan riski gösterir. Raporlama, kişisel veriyi gereksiz biçimde yaymadan karar alıcıya yeterli bilgi sağlar.

Uyum görevlisi veya biriminin görev tanımı, raporlama hattı, bütçesi, bilgiye erişimi, bağımsızlığı ve yönetim organına doğrudan erişimi belirlenir. Kanunen zorunlu atamalar ile şirketin ihtiyari uyum yapısı birbirine karıştırılmaz.

Hukuk, iç denetim, risk, insan kaynakları, bilgi güvenliği ve finans birimleri arasındaki görev ayrımı yazılı hâle getirilir. Uyum biriminin kendi uygulamasını denetlediği veya incelemenin konusuyla menfaat çatışmasına düştüğü durumlar için alternatif raporlama yolu kurulur.

Politika yayımlamakla uygulama tamamlanmış sayılmaz. Süreç sahibi, teknoloji gereksinimi, eğitim, geçiş tarihi, istisna, denetim ve raporlama adımları bir uygulama planına bağlanır.

İhlal veya kontrol açığı sonrası düzeltici faaliyet; sorumlu kişi, hedef tarih, öncelik, bağımlılık, kanıt ve kapanış onayıyla izlenir. Geçici önlem ile kalıcı çözüm ayrı gösterilir; gecikme ve risk kabulü yetkili organa raporlanır.

Soruşturma, yalnız kişisel sorumluluk kararıyla kapatılmaz. Teşvik, hedef, yönetim davranışı, rol belirsizliği, kontrol tasarımı, kaynak, eğitim, teknoloji ve gözetim eksikleri kök neden yöntemiyle incelenir.

Düzeltici faaliyetlerin gerçekleşmesi ve etkisi ayrı ayrı doğrulanır. Benzer riskin başka birim, şirket veya ülkede bulunup bulunmadığı araştırılır; yönetim organına kapanış ve kalan risk raporu sunulur.

Bildirim gelmeden önce vaka kabulü, acil üst makama iletim (eskalasyon), yetki, çıkar çatışması kontrolü, kayıt koruma, veri erişimi, görüşme, raporlama, disiplin, düzenleyici kurum teması ve düzeltici faaliyet protokolleri hazırlanır.

Hangi olayın yönetim kuruluna, denetim komitesine, veri ihlali ekibine, iş sağlığı ve güvenliği ekibine veya dış hukuk danışmanına iletileceği belirlenir. Acil durumlarda kullanılacak iletişim ve karar kaydı önceden tanımlanır.

Bildirimdeki iddia, taraflar, zaman, yer, kaynak, muhtemel zarar, devam eden risk ve mevcut kayıtlar ilk aşamada incelenir. Bir bildirimin soruşturmaya, yönetimsel çözüme, iş sağlığı ve güvenliği sürecine, veri ihlali müdahalesine veya başka bir kanala yönlendirilmesi gerekebilir.

İlk değerlendirme, iddianın doğruluğu hakkında kesin karar değildir. Acil zararı durdurma, misillemeyi önleme, kayıtları koruma ve kanunî süreleri belirleme amacı taşır.

Soruşturmayı görevlendiren makam, yürüten ekip, karar verecek organ ve raporu alacak kişiler ayrı ayrı belirlenir. İddia üst yönetimi, hukuk birimini, uyum görevlisini veya yönetim kurulu üyesini ilgilendiriyorsa bağımsız raporlama hattı kurulur.

Ekip üyelerinin önceki rolü, kişisel ilişkisi, karar sorumluluğu ve olaya dair bilgisi açıklanır. Bağımsızlık, yalnız unvanla değil görevlendirme, bütçe, bilgiye erişim ve raporlama serbestisiyle sağlanır.

İddialar, incelenecek dönem, hukukî sorular, veri kaynakları, görüşülecek kişiler, uzman ihtiyacı, hedef takvim ve raporlama biçimi yazılı plana bağlanır. Kapsam, yeni bulgularla gerekçeli olarak genişletilebilir veya daraltılabilir.

Değerlendirmede kullanılacak ölçüt baştan belirlenir. Şirket içi idari inceleme, ceza yargılaması değildir; bununla birlikte varsayım yerine tutarlı, doğrulanabilir ve hukukî yönden elde edilebilir kayıtlara dayanmalıdır.

Otomatik silme, belge imhası veya hesap kapatma işlemleri gerekli kapsam ve süreyle sınırlı olarak durdurulur. E-posta, mesajlaşma, iş uygulaması, erişim kaydı, kamera görüntüsü, finans kaydı ve cihaz incelemesi için sahiplik, işleme şartı, aydınlatma, amaç, kapsam ve erişim yetkisi değerlendirilir.

Toplama işlemi kaynağı, tarihi, yöntemi, sorumlusu ve bütünlük kontrolüyle kayda alınır. Kişisel hesap ve cihazlar, sırf soruşturma açıldığı için sınırsız inceleme alanına dönüşmez; daha dar ve elverişli yöntemler öncelikle değerlendirilir.

• Kapsam: İlgili kişi, veri kaynağı ve tarih aralığı.
• Yetki ve yöntem: Hukukî dayanak, erişim, toplama sorumlusu ve işlem kaydı.
• Bütünlük: Kaynak, zaman, kopyalama ve doğrulama bilgileri.
• Saklama: Korumanın gözden geçirilmesi ve kaldırılma ölçütü.

Toplanan kayıtlar, soruşturma sorularına göre sınıflandırılır. Anahtar kelime, tarih aralığı, kişi, işlem ve konu filtreleri gereksiz veri yayılımını azaltacak biçimde kullanılır.

Olay kronolojisi; kaynağı, zaman dilimini, kesinlik düzeyini ve çelişen kaydı gösterir. Eksik kayıt veya sessizlik otomatik olarak belirli bir sonucun kanıtı sayılmaz. Belge incelemesi görüşme sırasını ve ek veri ihtiyacını belirlemek için kullanılır.

Görüşmenin amacı, katılımcıları, gizlilik sınırı, misilleme yasağı, not veya kayıt yöntemi ve takip süreci başta açıklanır. Sorular açık uçlu başlar, yönlendirici ve suçlayıcı dilden kaçınılır.

İddia hakkında karar verilmeden önce ilgili kişiye isnadı anlayabileceği ve anlamlı biçimde açıklama yapabileceği yeterlilikte bilgi sunulur. Tanık güvenliği, kişisel veriler, ticari sır ve soruşturmanın bütünlüğü nedeniyle açıklamanın kapsamı somut olayda dengelenir.

Çalışana incelemenin amacı, görüşmecilerin rolü ve gizlilik sınırları açıklanır. Görüşme tutanağı ile fesih öncesinde gerekli olabilecek savunma süreci birbirine eşit sayılmaz; sözleşme, iç politika ve yasal koşullar ayrıca kontrol edilir.

Silinen dosya kurtarma, disk imajı, mobil cihaz, sunucu kaydı, e-posta arşivi, erişim analizi, muhasebe testi veya başka teknik incelemeler yetkin uzmanlarla yürütülür. Hukuk bürosu teknik incelemeyi yaptığını ileri sürmez; hukukî kapsamı, veri sınırını, talimatı ve rapor kullanımını koordine eder.

Uzmanın bağımsızlığı, yöntemi, yetkinliği, bilgi güvenliği ve alt yüklenicileri incelenir. Teknik bulgu ile hukukî nitelendirme ayrı tutulur; uzman raporundaki belirsizlikler sonuç metninde korunur.

Can ve iş güvenliği, veri kaybı, devam eden zarar, baskı, tanığa müdahale veya misilleme riski varsa geçici önlemler değerlendirilir. Erişim sınırlama, raporlama hattı değişikliği, görev ayrımı veya izin gibi tedbirler cezalandırma amacı taşımadan, orantılı ve süreli uygulanır.

Bildirim yapan, bilgi veren ve soruşturmaya katılan kişiler bakımından performans, vardiya, terfi, ücret, dışlama ve iş ilişkisinin sona ermesi gibi kararlar izlenir. Kötü niyet, sırf iddianın doğrulanamamasından çıkarılmaz.

Ücretsiz izin, ücret azaltılması veya çalışma koşullarında esaslı değişiklik peşin bir soruşturma tedbiri olarak uygulanmamalıdır. İş Kanunu m. 22, sözleşme ve somut risk çerçevesinde gerekli usul, çalışan onayı ve daha hafif seçenekler değerlendirilir.

Rapor; görevlendirme, kapsam, yöntem, incelenen kaynaklar, sınırlamalar, olaylar, çelişkiler, hukukî çerçeve ve her iddia için sonucu ayrı gösterir. Olgu, yorum ve hukukî görüş birbirine karıştırılmaz.

Karar yetkili şirket organına aittir. Benzer olaylarda tutarlılık, ihlalin ağırlığı, kasıt, yöneticilik rolü, tekrar, iş birliği, zarar, politika ve iş hukuku kuralları birlikte değerlendirilir. Bir iddianın doğrulanamaması, mutlaka asılsız olduğu anlamına gelmez.

Olayın kişisel veri ihlali, iş kazası, suç, piyasa ihlali, rekabet ihlali, kara para aklama riski veya sektörel düzenleme kapsamına girmesi hâlinde bildirim, başvuru, kendiliğinden açıklama veya iş birliği seçenekleri ayrı ayrı incelenir.

Hukukî yükümlülük, süre, yetkili kurum, açıklama kapsamı, kişisel veri, ticari sır ve devam eden soruşturma etkisi birlikte ele alınır. Ceza, iş, ticaret ve idare uyuşmazlıkları ile sigorta ve sözleşmesel bildirimler tek olay planında koordine edilir.

İdari yaptırım, yönetici sorumluluğu, işçilik, ticari alacak ve tazminat davaları; suç duyurusu veya ceza soruşturması; koşulları varsa arabuluculuk, tahkim ve kanun yolları farklı usuller gerektirir. Kurumla iş birliği seçeneği, savunma hakları ve özel bildirim yasakları birlikte değerlendirilir.