Dr. GÖKHAN YILMAZ - PwC Türkiye Şirket Ortağı
Suistimal, organizasyonlarda belki de en çok göz ardı edilen, ancak hem finansal hem itibari açıdan en sert sarsıntıyı yaratan güven kırılmalarıdır. Sahte fatura, kayda geçmeyen stok çıkışı, tedarikçiyi belirleyen komisyon, gerçeği gizleyen muhasebe kaydı bunlardan bazıları. Ortak yanları ise şu: failin kapıyı zorlamasına gerek yoktur, anahtar zaten kendisindedir.
Bir suistimal, ortaya çıktığı gün başlamaz. Çoğu zaman aylar öncesine dayanır ve o süre boyunca kayıtların içinde görünmeden ilerler. Vaka masaya geldiğinde şirketin öğrendiği asıl şey kaybın büyüklüğü değildir. O kaybı ne kadar süredir göremediğidir.
Suistimalle mücadelede belirleyici olan da bu süredir. Kontrol listesinde kaç maddenin işaretlendiğinden çok, yanlış giden bir şeyin ne kadar çabuk duyulduğu ve ciddiye alındığı önemli.
Bu yıl kısa aralıklarla yayımlanan iki referans çalışma bu süreyi daha görünür kılıyor. ACFE'nin Occupational Fraud 2026: A Report to the Nations raporu, 143 ülkede incelenmiş 2.402 gerçek vakayı ve 3,4 milyar doları aşan toplam kaybı analiz ediyor. Vaka başına medyan kayıp 104 bin dolar, ortalama kayıp ise 1,46 milyon dolar. Sertifikalı suistimal inceleme uzmanlarının tahminine göre şirketler her yıl gelirlerinin yaklaşık yüzde 5'ini suistimale kaptırıyor. TEİD iş birliğiyle yürütülen PwC Türkiye Suistimal Araştırması 2026 ise farklı sektör ve ölçeklerden 161 katılımcının yanıtlarıyla yerel tabloyu ortaya koyuyor.
İki çalışmanın metodolojisi aynı değil. ACFE incelenmiş vakaların dosya verisine bakıyor ve kamu kurumlarından vakıflara kadar her tür organizasyonu kapsıyor; PwC Türkiye araştırması ise özel sektör şirketlerinin kendi beyanlarını ve algısını ölçüyor. Bu yüzden rakamları birebir yarıştırmak yerine, iki tablonun işaret ettiği yönü okumak daha doğru.
Suistimal istisna değil, sürekli bir risk
Türkiye'de katılımcı şirketlerin yaklaşık yüzde 85'inde son iki yıl içinde en az bir suistimal vakası tespit edilmiş. Finansal etkiye bakıldığında şirketlerin yüzde 46'sında iki yıllık toplam kayıp 5 milyon TL'nin altında kalıyor. Yüzde 24'ü 5 ila 25 milyon TL, yüzde 16'sı ise 25 milyon TL üzeri toplam kayıp bildiriyor. Kayıpların ağırlığı, sayıca daha az ama etkisi daha yüksek vakalarda toplanıyor.
Bu dağılımı tek bir ortalamaya indirgememek gerekiyor, çünkü kayıp büyüklüğü şirketin profiline göre büyük fark gösteriyor. Çalışan sayısı arttıkça kayıplar düşük tutarlı bantlardan orta ve yüksek tutarlı bantlara kayıyor; 10.000'in üzerinde çalışanı olan şirketlerde 5-25 milyon TL aralığı en yoğun kategori haline geliyor. Halka açık şirketlerde de yüksek tutarlı vakalar daha sık görülüyor.
Sektörel kırılıma baktığımızda finansal hizmetler, enerji, altyapı, holding ve perakendede orta ve yüksek tutarlı kategorilerin diğer sektörlere kıyasla yoğunlaştığını görüyoruz. İşlem hacmi, operasyonel karmaşıklık ve çok katmanlı organizasyon yapıları bu tabloyla paralel ilerliyor.
Kayıp dağılımındaki bu asimetriyi ACFE verisinde de görüyoruz. Medyan kayıp 104 bin dolarken ortalamanın 1,46 milyon dolara çıkması, dağılımın uzun kuyruklu olduğunu anlatıyor. Başka bir ifadeyle birkaç büyük vaka, toplam tabloyu yukarı çekiyor.
Bu, risk yönetimi açısından önemli bir ayrım. Suistimali “olursa olur” denip geçilecek bir ihtimal gibi ele almak yanıltıcı olur; bütçelenmesi, ölçülmesi ve düzenli olarak yeniden değerlendirilmesi gereken sürekli bir risk alanı söz konusu.
Asıl ayrışma tespit kanalında
ACFE'de tablo 1996'dan bu yana değişmiyor. İhbarlar her raporda ilk sırada; pay yüzde 40 civarında seyrediyor ve genellikle iç denetimin üç katına denk geliyor. Bu yılki oran yüzde 43. İç denetim yüzde 15, yönetim gözden geçirmeleri yüzde 13 seviyesinde kalıyor.
İhbarların yarıdan fazlası çalışanlardan geliyor; yaklaşık üçte biri ise tedarikçi ve müşterilerden. Kanal tercihi de değişmiş durumda. E-posta ve web tabanlı bildirimler artık telefon hatlarını geride bırakmış.
Türkiye'de sıralama tersine dönüyor. Araştırmada en sık belirtilen tespit yöntemi yüzde 27,3 ile iç denetim. Etik ihbar hattı yüzde 24,4 ile ikinci sırada. Veri analitiği ise yalnızca yüzde 7,8'de kalıyor.
Bu farkı sadece altyapı eksikliğiyle açıklamak zor. Şirketlerin yüzde 79,7'sinde etik ihbar hattı zaten var. Sorun daha çok mekanizmanın işlerliğiyle ilgili. Katılımcıların yalnızca yüzde 60'ı hattın etkin çalıştığını düşünüyor; yüzde 27,2'si kararsız kaldığını söylüyor. Daha çarpıcısı, şirketlerin dörtte biri hattına yılda kaç bildirim geldiğini bilmiyor. Hattı bulunan şirketlerin yüzde 63,2'si bu mekanizmayı tamamen şirket içi kaynaklarla yönetiyor. Hem altyapı hem inceleme desteğini bağımsız üçüncü taraftan alanların oranı ise yüzde 4,4.
Bir ihbar hattının değeri teknik olarak açık olmasından gelmez. Çalışanın misilleme endişesi duymadan o hattı kullanmayı tercih etmesinden gelir. Türkiye'deki mesafe de burada: “var” seviyesinden “güvenilir” seviyesine geçmek gerekiyor.
Zaman, kaybın en büyük çarpanı
Tipik bir suistimal vakası, tespit edilene kadar 12 ay sürüyor. İlk altı ayda yakalanan vakalarda medyan kayıp 40 bin dolar. Sonraki altı ay içinde ortaya çıkanlarda kayıp ikiye katlanıyor. Beş yılı aşan vakalarda medyan kayıp 1,1 milyon dolara ulaşıyor. Süre uzadıkça kayıp katlanarak büyüyor.
Türkiye verisi de aynı ilişkiye işaret ediyor. Vakaların yüzde 50'si ilk 12 ay içinde tespit ediliyor; yüzde 30,2'si 1 ila 6 ay bandında. Buna karşılık katılımcıların yüzde 23,3'ü ortalama tespit süresini bilmiyor. Çapraz analizde, tespit süresi 24 ayı aşan şirketlerde “25 milyon TL üzeri” kayıp kategorisi yoğunlaşıyor.
Etik hattının etkin çalıştığına kesinlikle inanan şirketlerde vakaların yüzde 73,6'sı ilk 12 ay içinde tespit ediliyor. Güven düzeyi düştükçe erken tespit oranı da düşüyor.
Reaktiften proaktife geçiş tamamlanmış değil
Türkiye'de suistimal risk değerlendirmesini düzenli aralıklarla yürüten şirket oranı yüzde 35. Yüzde 28,7'si bunu düzensiz yaptığını, yüzde 13,3'ü planlama aşamasında olduğunu, yüzde 17,5'i ise hiç yapmadığını belirtiyor; kalan yüzde 5,5'lik kesim konuya dair bilgisi olmadığını söylüyor.
Farkındalık eğitimlerinde durum biraz daha iyi. Sektör ortalamalarına bakıldığında şirketlerin yaklaşık yüzde 47'si çalışanlarına ve yöneticilerine düzenli aralıklarla suistimalle mücadele eğitimi veriyor; yüzde 35'i eğitimleri düzensiz yürütüyor, yüzde 18'i ise hiç vermiyor. En yüksek oran yüzde 55 ile bankacılık ve finansal hizmetlerde.
Bu tercihin bedeli ACFE verisinde görünüyor. Şirketlerin yüzde 51'inde formel suistimal risk değerlendirmesi mevcut. Bu kontrole sahip olanlarda medyan kayıp 80 bin dolar, olmayanlarda 150 bin dolar. Aradaki fark yüzde 47. Tespit süresi de 15 aydan 10 aya iniyor. Proaktif veri izleme ve analizi, kayıpları yüzde 53; yönetim gözden geçirmeleri ise yüzde 55 azaltıyor. Türkiye'de veri analitiğinin tespit kanalı olarak yüzde 7,8'de kalması, bu alanın yeterince kullanılmadığını gösteriyor.
Vakaların yarıdan fazlası ise kontrol eksikliğinden ya da mevcut kontrolün aşılmasından (override) kaynaklanıyor. Kontrolün varlığı tek başına güvence sağlamıyor.
Risk sadece operasyonda değil
Türkiye'de suistimallerin yüzde 64,4'ü çalışan, yüzde 15,3'ü yönetim kaynaklı. Ancak vaka sayısı ile finansal etki aynı yerde toplanmıyor. Yönetim kaynaklı vakalarda “25 milyon TL üzeri” kayıp oranı yüzde 33,3'e çıkarken, çalışan kaynaklı vakalarda yüzde 7,8'de kalıyor.
Aynı örüntüyü ACFE verisinde daha da keskin görüyoruz. Üst yönetim ve ortak kaynaklı vakalarda medyan kayıp 475 bin dolar, çalışan kaynaklı vakalarda 50 bin dolar. Aradaki fark yaklaşık dokuz kat.
Bu tablo, kontrol tasarımının yalnızca operasyonel seviyede kalmaması gerektiğini gösteriyor. Yetki matrisi, onay zinciri şeffaflığı ve üçüncü taraf ilişkileri de aynı disiplinle ele alınmalı.
Kültür, kontrolden önce geliyor
Suistimal sonrası aksiyonlarda da benzer bir çekingenlik var. Mevzuatın zorunlu kıldığı haller dışında dava yolu her vakada işletilmiyor; şirketler bu kararı olayın niteliğine, delil durumuna ve sözleşmesel yükümlülüklere göre veriyor. Vakaları istisnasız yargıya taşıyanların oranı ise düşük kalıyor; en yaygın gerekçeler itibar kaybı endişesi ve olayı şirket içinde çözme tercihi. ACFE'de vakaların yüzde 54'ü kolluğa intikal ediyor ve bu başvuruların yüzde 72'si mahkûmiyetle sonuçlanıyor. Başvurmayanların yüzde 35'i olumsuz kamuoyu algısından çekindiğini belirtiyor. Sessiz çözüm kısa vadede itibarı korur gibi görünebilir, fakat caydırıcılığı zayıflatıyor.
Her iki raporun ortak mesajı şu: mekanizma kurmak tek başına fark yaratmıyor. Fark, mekanizmanın işlerliğinden ve ona duyulan güvenden doğuyor.
Suistimal risk değerlendirmesinin düzenli ve metodolojik bir sürece dönüşmesi ilk adım. İkincisi, etik ihbar hattının “mevcut” düzeyinden “güvenilir” düzeyine taşınması; bu da anonimlik, geri bildirim disiplini ve benzer ihlallere tutarlı yaptırımla mümkün. Üçüncüsü ise tespit süresini kısaltacak veri analitiği ve sürekli izleme mekanizmalarının, destekleyici bir unsur olmaktan çıkıp risk yönetiminin ana parçası haline gelmesi.
Suistimalin faturası da hiçbir zaman çalınan tutardan ibaret kalmıyor. Vaka uzadıkça şirkete içeride duyulan güven aşınıyor, çalışan bağlılığı zayıflıyor, dışarıda itibar zedeleniyor. Bu kalemler bilançoda görünmediği gibi geri kazanım süreçleriyle de telafi edilemiyor. En pahalı kayıp, fark edilene kadar geçen zamanda birikiyor.
