Personel Ayrıldı, Yetkisi Kaldı: Muhasebede e-İmza, Mali Mühür ve Şifre Güvenliği

İşten ayrılan çalışanın GİB, SGK, banka ve muhasebe sistemlerindeki erişimleri nasıl kapatılır?

Bir çalışan işten ayrıldığında yapılacaklar listesi genellikle bellidir: çıkış bildirgesi, kıdem ve izin hesabı, zimmetli bilgisayar ve telefonun teslimi. Ama listede çoğu zaman bir satır eksik kalır: O çalışanın hangi mali sistemlere hâlâ girebildiği. e-Fatura portalının şifresi, bankanın internet şubesi, muhasebe programındaki kullanıcı, belki de şirketin mali mühür PIN'i.

Muhasebe süreçleri elektronik ortama taşındıkça kullanıcı hesapları, şifreler ve imza araçları işletmenin mali kontrol düzeninde belirleyici hâle geldi. Bu yazıda bir işletmenin hangi dijital erişimleri izlemesi gerektiğini, ortak kullanıcı hesaplarının neden risk yarattığını ve personel ayrılırken uygulanabilecek bir kontrol listesini paylaşıyorum.

Bu yazı şu rehberin parçasıdır: Vergi İncelemesine Hazırlık: Kayıttan Belgeye Denetlenebilir Dosya

Şifre ve e-imza güvenliğinin sorumluluğu kimde?

GİB'in 5 Şubat 2020 tarihli duyurusunda, elektronik hizmetlerin kullanıcı kodu, şifre ve mali mühür ya da e-imza gibi araçlarla kullanıldığı; bu bilgilerin güvenli ortamlarda saklanması ve yetkisiz kişilerle paylaşılmaması sorumluluğunun mükelleflere ait olduğu belirtilmiştir. Yani ayrılan bir çalışanın elinde kalan şifreyle yapılan işlemin sonucu, işletmenin kendisini bağlayabilir.

Hangi sistemler izlenmeli?

Bir işletmenin mali süreçlerinde kullanılan sistemler, sanıldığından çok daha fazladır. Tipik bir listede şunlar bulunur:

İşletme, erişim yetkilerini biliyor mu?

Hangi çalışanın hangi sisteme girebildiği, belge düzenleyebildiği, kayıt değiştirebildiği veya onay verebildiği belirlenmelidir. Bunun için sistemler bazında bir yetki listesi (yetki matrisi) hazırlanır. Liste yalnızca kullanıcı adlarından oluşmamalıdır; kullanıcının görevi, erişim kapsamı, yetkinin hangi iş için verildiği ve en son ne zaman gözden geçirildiği de yazmalıdır.

Bu liste yılda en az bir kez ve her görev değişikliğinde güncellenmelidir. Bir kullanıcının geçmişte yetkili olması, bugün de aynı erişime ihtiyaç duyduğu anlamına gelmez.

Ortak kullanıcı hesabı neden risklidir?

Küçük işletmelerde sık rastlanan bir uygulama, muhasebe programına veya e-fatura portalına herkesin aynı kullanıcı adıyla girmesidir. Birden fazla kişinin aynı hesapla işlem yapması, sonradan işlemi kimin gerçekleştirdiğinin belirlenmesini zorlaştırır. Sistemde bir kullanıcı adı görünmesi, o hesabın fiilen kim tarafından kullanıldığını her durumda açıklamaz.

Bu nedenle sistemin imkân verdiği ölçüde kişiye özgü kullanıcı tanımları, görevle sınırlı yetkiler ve işlem kayıtlarının (log) korunması önemlidir. Bunlar, işletmenin kendi mali süreçlerini açıklayabilmesini destekleyen temel iç kontrol uygulamalarıdır. Elektronik imza ise zaten kişiye özgüdür: Bir çalışanın nitelikli elektronik sertifikası ve PIN'i başkası tarafından kullanılmamalıdır.

Personel ayrılış günü dijital erişim kontrol listesi

• ☐ Yetki matrisinden çalışanın erişebildiği bütün sistemler listelendi mi?
• ☐ Kişiye özgü kullanıcı hesapları kapatıldı veya pasife alındı mı?
• ☐ Ortak kullanılan hesapların şifreleri değiştirildi mi?
• ☐ Mali mühür ve şirket adına kullanılan e-imza araçları teslim alındı, PIN'leri değiştirildi mi?
• ☐ Banka internet şubesi kullanıcısı, onay cihazı ve kurumsal kartlar iptal edildi mi?
• ☐ Hesap kurtarma e-postası ve telefon numarası olarak çalışanın kişisel bilgileri kullanılan sistemler güncellendi mi?
• ☐ Çalışana verilmiş vekaletname varsa noter aracılığıyla azilname gönderildi mi?
• ☐ Temsil veya imza yetkisi ticaret siciline tescilliyse yetkinin sona erdiği tescil ettirildi mi?
• ☐ Kurumsal e-posta ve bulut hesaplarındaki iş yazışmaları korunarak erişim kapatıldı mı?
• ☐ Çalışanın işlem geçmişi ve kayıtları silinmeden saklandı mı?

Burada önemli bir nokta var: Erişimi kapatmak ile işlem geçmişini silmek aynı şey değildir. Ayrılan çalışanın kullanıcı hesabı pasife alınmalı, ama o kullanıcıyla yapılmış kayıtlar ve loglar korunmalıdır. Aksi hâlde ileride bir işlemin kim tarafından yapıldığı sorulduğunda cevap verilemez.

Sık sorulan sorular

GİB şifresi ve e-imza güvenliğinden kim sorumludur?

GİB'in duyurusuna göre kullanıcı kodu, şifre ve mali mühür veya e-imza gibi elektronik imza araçlarının güvenli saklanması ve yetkisiz kişilerle paylaşılmaması sorumluluğu mükelleflere aittir.

Personel ayrılınca hangi şifreler değiştirilmeli?

Çalışanın eriştiği bütün mali sistemler: GİB ve e-Beyanname, e-Fatura ve e-Arşiv portalı, SGK sistemleri, banka internet şubeleri, muhasebe yazılımı, pazaryeri ve ödeme panelleri, KEP ve e-posta hesapları. Ortak hesapların şifreleri mutlaka yenilenmelidir.

Ortak kullanıcı hesabı kullanmak neden sakıncalı?

Aynı hesapla birden fazla kişi işlem yaptığında, bir kaydın kim tarafından girildiği veya değiştirildiği sonradan belirlenemez. Bu hem iç kontrolü zayıflatır hem de olası bir uyuşmazlıkta işletmenin açıklama gücünü azaltır.

Yetki matrisi nedir?

Her sistemde hangi kullanıcının hangi işlemi yapabildiğini, bu yetkinin hangi görev için verildiğini ve ne zaman gözden geçirildiğini gösteren listedir.

Sonuç

İşten ayrılış işlemleri tamamlanırken mali sistemlere erişimin de kontrol edilmesi gerekir. Dijital yetki düzeni, işletmedeki görev değişiklikleriyle birlikte güncellenmediği sürece en düzenli muhasebe bile korunmasız kalır. Kimin neye erişebildiğini bilmek, kaydın kendisi kadar önemlidir.

İlgili yazılar

• Vergi İncelemesine Hazırlık: Kayıttan Belgeye Denetlenebilir Dosya
• Şirketin Hafızası Bir Çalışanın Telefonunda mı? Mali Kararlar İçin İşlem Dosyası Nasıl Tutulur?
• ETDS Nedir? Muhasebeniz Elektronik, Peki Şirket Defterleriniz?
• Vergi İncelemesine Hazırlık Yazı Gelmeden Başlar: Aylık Muhasebe Kontrol Listesi

Kaynaklar

• [GİB duyurusu: Kullanıcı kodu, şifre ve elektronik imza araçları (5 Şubat 2020) – Alomaliye](https://www.alomaliye.com/2020/02/05/kullanici-kodu-sifre-ve-elektronik-imza-araclari/)

Bu yazı genel bilgilendirme amacı taşır; somut bir işletme veya inceleme dosyası için mali müşavirlik ya da hukuki görüş yerine geçmez. Kanun maddeleri, oranlar ve uygulamalar değişebileceğinden işlem yapmadan önce güncel mevzuatı kontrol edin.