ACFE 2026 Fraud Raporu

Suistimal İnceleme Uzmanları Derneği (Association of Certified Fraud Examiners – ACFE), 1988 yılında kurulmuş ve suistimalin önlenmesi, tespit edilmesi ve incelenmesi alanında çalışmalar yapan bir meslek kuruluşudur. ACFE’nin bu alandaki en önemli çalışmalarından biri, ilk kez 1996 yılında yayımlanan ve 2002’den itibaren iki yılda bir hazırlanan “Uluslara Rapor” çalışmasıdır. 2026 raporu, “Occupational Fraud 2026: A Report to the Nations” adıyla yayımlanmış ve serinin on dördüncü sayısı olmuştur. Böylece ilk rapordan bu yana otuz yıllık bir birikim ortaya çıkmış durumda.

Önceki ACFE yazılarımda olduğu gibi, bu raporda da ilgimi çeken taraf, suistimal yöntemleri ile şirketlerin kontrol uygulamalarının birlikte değerlendirilebilmesi. Rakamların arkasına bakıldığında, hangi işlemin kim tarafından ve ne kadar süreyle yapılabildiği, yalnızca kayıp tutarı kadar önemli hale geliyor. Raporu bu gözle okumak, şirketlerin denetim ve kontrol kaynaklarını hangi alanlara yönlendireceğini düşünmek açısından oldukça faydalı.

2024 değerlendirmemde, tespit süresi kısalmadığı halde medyan kaybın artmasına dikkat çekmiştim. 2026’da genel medyan kayıp düşmüş, tespit süresi ise yine 12 ayda kalmış görünüyor. Buna karşın mali tablo suistimalinde hem tutarın hem sürenin yükseldiği görülüyor. Bana göre yeni raporun temel mesajı burada: genel sonuçta görülen iyileşme, bütün suistimal türlerinde aynı iyileşmenin yaşandığı anlamına gelmiyor. Özellikle yetki, işbirliği ve kontrolün aşılması konularını genel ortalamaların içinde kaybetmemek gerekiyor. [1]

Yöntem ve kapsam

Çalışmanın metodolojisine kısaca değinmek gerekirse, 2026 raporu ACFE’nin Temmuz-Eylül 2025 döneminde yaptığı çevrim içi ankete dayanıyor. Katılımcılardan, Ocak 2024 ile Eylül 2025 arasında soruşturdukları en büyük tek iş suistimali vak’asını bildirmeleri istenmiş. Soruşturmanın tamamlanmış olması ve suistimali yapan kişinin ya da kişilerin makul bir kesinlikle belirlenmiş olması da değerlendirmeye alınma koşulları arasında bulunuyor. Dolayısıyla yayımlanma yılı ile incelenen soruşturmaların dönemi aynı değil.

Ankete verilen 10.276 yanıttan kullanılabilir bulunan 2.402 vak’a, 143 ülke ve bölgeyi kapsıyor. 2024 raporundaki 1.921 vak’a ve 138 ülkelik kapsam ile karşılaştırıldığında daha geniş bir örneklem söz konusu. Türkiye’den bildirilen vak’a sayısı ise 8 olmuş; 2024 değerlendirmesinde bu sayı 9’du. Türkiye, raporun Doğu Avrupa ile Batı ve Orta Asya bölgesinde yer alıyor. Sekiz vak’adan ülkemizdeki suistimalin yaygınlığını, yıllık maliyetini veya artış ve azalış eğilimini çıkarmak mümkün değil.

Raporun bazı grafik ve istatistik tablolarında aynı başlık için farklı tutarlar bulunuyor. Aşağıdaki değerlendirmede hangi şeklin kullanıldığı kaynak notlarında belirtilmiştir. Kaynağın açıklamadığı farkları kesin bir düzeltme gibi sunmadan, rapordaki tespitlerin geniş bir özetini şu şekilde değerlendirebiliriz. [2]

Suistimalin maliyeti ve türleri

Suistimalin maliyeti şirketler açısından önemini korumaya devam ediyor.

Çalışmaya katılan CFE’ler, kuruluşların her yıl gelirlerinin yaklaşık %5’ini suistimal nedeniyle kaybettiğini tahmin ediyor. ACFE bu tahmini, 2024 yılına ait yaklaşık 110,98 trilyon dolarlık dünya ekonomik büyüklüğüne uyguladığında 5,5 trilyon doları aşan bir küresel kayıp ölçeği ortaya çıkıyor. Bu tutar, araştırmada ölçülmüş bir dünya toplamı değil; sorunun büyüklüğünü göstermek için yapılan bir projeksiyon.

İncelenen vak’alardaki toplam tutar 3,4 milyar doların üzerinde, vak’a başına ortalama tutar 1.457.000 dolar ve medyan tutar 104.000 dolar olarak belirtilmiş. Vak’aların %20’sinde tutar en az 1 milyon dolar. Dağılımın alt çeyrek değeri 22.000 dolar, üst çeyrek değeri ise 600.000 dolar. Ortalama ile medyan arasındaki fark, yüksek tutarlı bazı vak’aların önemini gösteriyor. Şirketlerin yalnızca en sık karşılaştığı küçük tutarlı işlemlere odaklanması, daha seyrek yaşanan büyük bir kaybın etkisini gözden kaçırabilir. [3]

Genel medyan kayıp gerilerken tespit süresi aynı seviyede kalmış görünüyor.

2024’te 145.000 dolar olan medyan tutar, 2026’da 104.000 dolara inmiş; yaklaşık %28,3’lük bir gerileme söz konusu. Buna karşın tespit süresi 12 ay. Önceki dönemlerde 18 aydan 16 aya, ardından 14 ve 12 aya inen sürenin, 2022’den beri aynı seviyede kaldığı görülüyor. Raporun dönemler arası karşılaştırması aşağıdaki temel göstergelerle birlikte okunabilir.

Buradaki düşüş, aynı şirketlerin aynı vak’alarının zaman içinde izlenmesiyle hesaplanmış değil. Örneklem, sektörler, bölgeler ve vak’a bileşimi değişebiliyor; tutarlar enflasyondan arındırılmış bir seri de oluşturmuyor. Bu nedenle “şirketlerde suistimal riski %28,3 azaldı” sonucuna ulaşamayız. Bildirilen vak’alardaki medyan tutarın gerilediğini söylemekle yetinmek gerekiyor. Genel medyanın düşmesine rağmen bazı alt türlerde tutarın artması da bu ayrımın önemini gösteriyor. [4]

En yaygın suistimal türü ile en yüksek tutara yol açan suistimal yine birbirinden ayrılıyor.

“Varlıkların kötüye kullanımı” %90 ile en yaygın kategori; medyan tutarı 100.000 dolar. Yolsuzluk vak’aların %45’inde görülüyor ve medyan tutarı 150.000 dolar. Mali tablo suistimali ise %6 ile en az görülen kategori olmasına karşın 1 milyon dolarlık medyan tutar ile ilk sırada. Yolsuzluğun kapsamına çıkar çatışması, rüşvet, usulsüz menfaat ve ekonomik zorlama gibi yöntemler giriyor; yalnızca nakit para alışverişi üzerinden düşünmemek gerekiyor.

Mali tablo suistimalinde ölçülen tutar, doğrudan kasadan çıkan para değil; tablolardaki fazla veya eksik gösterimin brüt büyüklüğü. Bu nedenle 1 milyon doları çalınmış nakit olarak yorumlamamak gerekir. Üç kategori birbirinden tamamen bağımsız da değil. Vak’aların %38’i birden fazla türü birlikte içeriyor; yalnızca varlık suistimali ile yolsuzluğun birlikte bulunduğu vak’aların payı %33. Bir yöntem ortaya çıkarıldığında soruşturmayı o yöntemle sınırlamak, aynı vak’anın diğer taraflarını eksik bırakabilir. [5]

Varlık suistimallerinde gayrinakdi varlıklar ve faturalandırma hileleri öne çıkıyor.

Gayrinakdi varlıkların kötüye kullanımı vak’aların %23’ünde görülmüş ve medyan kayıp 75.000 dolar. Faturalandırma hilelerinin payı %21, medyan kaybı 90.000 dolar. Buna karşın çek ve ödeme üzerinde yapılan hileler, %10’luk payına rağmen 114.000 dolar ile varlık suistimalinin en yüksek medyan kayba sahip alt türü. Yalnızca işlem sayısına bakarak öncelik vermek, ödeme süreçlerindeki daha yüksek tutarlı riski ikinci plana itebilir.

Bu yöntemleri kısaca açıklamak gerekirse; gayrinakdi varlık suistimalinde stok çalınması veya şirkete ait bilgilerin kişisel çıkar için kullanılması söz konusu olabilir. Faturalandırma hilesinde gerçekte alınmayan bir hizmetin faturası ödenebilir ya da kişisel harcama şirkete yüklenebilir. Çek ve ödeme hilesinde ise ödeme belgesi değiştirilebilir veya tedarikçiye yapılacak elektronik ödeme başka bir hesaba yönlendirilebilir. Tedarikçi kaydının açılması, banka hesabının değiştirilmesi ve ödemenin onaylanması arasındaki görev ayrımı, bu yöntemler açısından özellikle önemli görünüyor. [6]

Nakit ve masraf işlemlerinde kullanılan yöntemler farklı denetim izleri bırakıyor.

Masraf iadesi hileleri %13; elde bulunan nakdin çalınması ve bordro hileleri ayrı ayrı %10; tahsilatın kayda girmeden alınması %9, kayda girdikten sonra çalınması %8 ve kasa çıkışları üzerinden yapılan hileler %3 paya sahip. Bu alt türlerin yüzdeleri birbirine eklenerek bağımsız bir toplam çıkarılamaz; bir vak’ada birden fazla yöntem bulunabiliyor.

Kayda girmeden alınan bir tahsilat ile kaydedildikten sonra çalınan tahsilat aynı işlem değil. İlkinde eksik bir satışın veya tahsilatın izini aramak gerekirken, ikincisinde kayıtlar ile fiilen mevcut para arasındaki fark önem kazanır. Bordroda gerçekte çalışmayan bir kişi adına ödeme yapılması, masraf iadesinde kişisel veya şişirilmiş bir giderin sunulması, kasa çıkışında ise sahte iade veya iptal işlemi kullanılması mümkündür. Bu nedenle muhasebe kayıtlarının yanında satış, personel, stok ve banka bilgilerinin birlikte değerlendirilmesi daha anlamlı olacaktır. [7]

Süre, hız ve gizleme yöntemleri

Suistimalin uzun süre devam etmesi daha yüksek tutarlı vak’alarla birlikte görülüyor.

İlk altı ayda tespit edilen vak’alarda medyan kayıp 40.000 dolar; bu grup vak’aların %33’ünü oluşturuyor. Yedi-on iki ay devam edenlerde medyan kayıp 100.000 dolara, iki-üç yıl devam edenlerde 250.000 dolara, beş yıldan uzun sürenlerde 1.115.000 dolara ulaşıyor. Beş yıldan uzun süren vak’aların payı yalnızca %5 olsa da tutarın büyüklüğü oldukça dikkat çekici.

Yöntemler arasında da süre farkı var. Mali tablo suistimalinde medyan süre 24 ay, masraf iadesi hilelerinde 18 ay, faturalandırma hilelerinde 14 ay; çek ve ödeme ile bordro hilelerinde 13 ay. Elde bulunan nakdin çalınmasında ise 9 ay. Genel medyanın bir yıl olması, bütün yöntemlerin aynı hızla ortaya çıkarıldığı anlamına gelmiyor. Özellikle mali tablo suistimalinde 2024’teki 18 ayın 24 aya çıkması, finansal raporlama üzerindeki incelemelerin ayrıca ele alınması gerektiğini düşündürüyor. [8]

Aylık tutar etkisi, tespit önceliklerini değerlendirirken başka bir bakış sağlıyor.

Raporda “suistimal hızı” olarak verilen genel aylık tutar ölçüsü 9.400 dolar. Mali tablo suistimalinde 41.700 dolar, yolsuzlukta 12.500 dolar olarak belirtilmiş. Aynı ölçü tek kişinin gerçekleştirdiği suistimallerde 4.600 dolar iken üç ve daha fazla kişinin birlikte hareket ettiği vak’alarda 27.000 dolara çıkıyor. Şirket sahibi veya üst yönetici grubunda da 20.700 dolar ile çalışan ve müdür gruplarından daha yüksek bir değer söz konusu.

Bu değerleri her kuruluşta her ay gerçekleşecek sabit bir kayıp tahmini gibi kullanmamak gerekiyor. Özellikle mali tablo suistimalindeki tutar yine brüt yanlış gösterim büyüklüğünü içeriyor. Buna karşın bu ölçü, sıklık ve toplam tutarın yanına zaman boyutunu ekliyor. Bana göre denetim planında yüksek yetkili kişilerin yaptığı işlemler ile birden fazla kişinin birlikte yürüttüğü işlemlere ayrı bir dikkat gösterilmesinin nedenini oldukça açık anlatıyor. [9]

Suistimalin gizlenmesinde belge ve kayıt üzerinde yapılan değişiklikler yaygınlığını koruyor.

Vak’aların %39’unda sahte fiziksel belge oluşturulması, %33’ünde fiziksel belgelerin değiştirilmesi; %28’inde sahte elektronik belge oluşturulması ve yine %28’inde elektronik belgelerin değiştirilmesi kullanılmış. Sahte muhasebe işlemlerinin oluşturulması %19. Buna karşın vak’aların %11’inde gizleme girişimi bildirilmemiş. Bu yöntemler bir arada kullanılabildiği için yüzdeleri bağımsız paylar olarak toplamamak gerekir.

Bir belgenin sistemde bulunması veya elektronik ortamda saklanması, belgenin gerçek bir işlemden doğduğunu tek başına göstermiyor. Sipariş, teslim, fatura, muhasebe kaydı ve ödeme bilgilerinin birbirini doğrulaması gerekiyor. Özellikle işlem verisini oluşturan kişi aynı zamanda destekleyici belgeyi değiştirip onaylayabiliyorsa, düzgün görünen bir dosya yanıltıcı olabilir. Kontrolün yalnızca belge varlığına indirgenmesi, işlemin gerçekte gerçekleşip gerçekleşmediği sorusunu cevapsız bırakacaktır. [10]

Kripto varlık kullanımı sınırlı bir grupta görülse de soruşturmanın kapsamını etkiliyor.

Kripto para veya kripto varlık kullanımı, 2024’te olduğu gibi vak’aların %4’ünde bildirilmiş. Bu alt grubun %50’sinde suistimal gelirlerinin aklanması, %39’unda rüşvet ve usulsüz menfaat ödemeleri, %22’sinde kuruluşun kripto varlıklarının kötüye kullanılması ve %16’sında mali tablo manipülasyonu söz konusu. Bunlar bütün 2.402 vak’anın oranları değil; kripto varlık kullanılan vak’alar içindeki, birden fazla yanıt içerebilen oranlar.

Payın düşük olması, kripto varlık kullanılan bir vak’anın geleneksel banka hareketleriyle bütünüyle açıklanabileceği anlamına gelmiyor. Şirketin bu tür varlıkları varsa erişim yetkileri, transfer onayları, kayıtlar ve varlıkların saklanması ayrıca düşünülmeli. Bununla birlikte 2024 ve 2026’da kullanım amaçlarının bazıları farklı başlıklarla sunulduğu için, bütün alt yüzdeleri doğrudan dönemsel artış veya azalış gibi karşılaştırmak da doğru olmayacaktır. [11]

Tespit: ihbar, aktif yöntemler ve kanallar

Suistimalin ortaya çıkarılmasında ihbar yine ilk sırada yer alıyor.

Vak’aların %43’ü ilk olarak ihbarla tespit edilmiş. İç denetimin payı %15, yönetim incelemesinin payı %13; bu üç yöntem birlikte %71’e ulaşıyor. Dış denetim ilk tespit yöntemi olarak %2, tesadüfen ortaya çıkma ise %4 paya sahip. Buradaki dış denetim oranı, dış denetimin genel başarısızlık oranı değil; ankete bildirilen vak’alarda ilk tespitin hangi yöntemle yapıldığını gösteriyor.

İhbarların %55’i çalışanlardan, %21’i müşterilerden ve %11’i tedarikçilerden gelmiş. İsimsiz ihbarların payı %14. Çalışanların yanında şirketin dışındaki tarafların da önemli bir bilgi kaynağı olduğu görülüyor. İhbar mekanizmasının yalnızca personel portalında bulunması, müşterinin veya tedarikçinin fark ettiği bir usulsüzlüğün şirkete ulaşmasını zorlaştırabilir. Dışarıdan erişilebilen, güvenilir ve takip edilen bir bildirim imkânı bu nedenle kontrol düzeninin önemli bir parçası. [12]

Aktif tespit yöntemleri daha kısa sürelerle öne çıkıyor; tutar karşılaştırmasında kaynak farkını gözetmek gerekiyor.

Tespit yöntemi ile süreyi birlikte veren Şekil 15’e göre, izleme ve gözetimle bulunan vak’alarda medyan süre 6 ay; otomatik işlem ve veri izleme ile bulunanlarda 7 ay; hesap mutabakatıyla bulunanlarda 8 ay. Kolluk bildirimiyle ortaya çıkanlarda 24 ay, dış denetimle bulunanlarda 18 ay. Aynı şekil izleme ve gözetim için 66.000 dolar, otomatik izleme için 90.000 dolar ve kolluk bildirimi için 890.000 dolar medyan tutar veriyor.

Ancak raporun sonraki istatistik tablosu bazı yöntemlerin medyan tutarlarını farklı sunuyor; örneğin kolluk bildirimi için 500.000 dolar yazıyor. Bu nedenle burada süreyle birlikte verilen Şekil 15 esas alınmış; tutarlar tartışmasız tek değer gibi sunulmamıştır. Buna rağmen süre karşılaştırması şirket açısından yararlı: kayıtları ve işlemleri düzenli inceleyen bir kontrol düzeni, dışarıdan haber gelmesini beklemeye göre daha erken tespit imkânı sağlayabilir. Bu gruplar arasındaki ilişki, tek başına bir yöntemin kesin nedensel etkisini ölçmüyor. [13]

İhbar kanalları içinde web tabanlı bildirimler daha fazla kullanılıyor.

Resmî ihbar kanalı kullanılan bildirimlerde web tabanlı formun payı %46, e-postanın %34 ve telefon hattının %23. 2024’te web formu ile e-posta %40 ile aynı seviyedeydi; telefon %30’du. Böylece telefonun uzun süredir ilk sırada olduğu eski dönemlerden farklı bir yapı ortaya çıkmış görünüyor. Birden fazla kanal kullanılabildiği için bu oranları %100’e tamamlamak gerekmiyor.

Resmî bildirim mekanizması bulunan kuruluşlarda medyan kayıp 100.000 dolar, bulunmayanlarda 150.000 dolar. Mekanizmanın yalnızca telefon numarası olarak düşünülmemesi, farklı bildirim tercihlerine cevap vermesi faydalı olacaktır. Ancak bir form açmak kendi başına yeterli değil. Okurun bildirimini kimin göreceğini, kimliğinin nasıl korunacağını ve konunun nasıl izleneceğini bilmesi de gerekiyor. İhbarın sisteme ulaşması ile güvenli biçimde ele alınması birbirini tamamlayan iki farklı iş. [14]

İlk ihbarı alan yöneticinin davranışı, resmî kanal kadar önemli görünüyor.

Resmî mekanizma dışında yapılan bildirimlerde ilk başvurulan kişi, %32 ile ihbar edenin üst yöneticisi. Suistimal inceleme ekibi %15, üst yönetici %14 ve iç denetim %7 paya sahip. Bu tablo, bir çalışan şüphelendiğinde her zaman doğrudan iç denetim veya ihbar hattına gitmediğini gösteriyor. Orta kademe yöneticinin aldığı bir bilgiyi nasıl değerlendireceği, sistemin işleyişini etkileyebilir.

Suistimal keşfedildikten sonra resmî olarak bilgilendirilen taraflar ise başka bir ölçü: yönetim %64, iç denetim %45, suistimal inceleme ekibi %43 ve hukuk birimi %39. İlk bildirimi almak ile ortaya çıkan vak’a hakkında sonradan bilgilendirilmek birbirine karıştırılmamalı. Yöneticinin ihbarı kişisel bir şikâyet diye kapatmaması, ilgili inceleme birimine iletmesi ve ihbar eden kişiye yönelik misillemeyi engellemesi, uygulanabilir kontrol yaklaşımının önemli tarafları olarak öne çıkıyor. [15]

Kuruluş türü, büyüklük ve sektör

Kuruluş türlerinde özel şirketlerin payı yüksek; halka açık şirket ile kamu kuruluşunu ayırmak gerekiyor.

Vak’aların %44’ü özel şirketlerde, %25’i halka açık şirketlerde, %16’sı kamu kuruluşlarında ve %10’u kâr amacı gütmeyen kuruluşlarda bildirilmiş. Şekil 20’ye göre medyan tutarlar sırasıyla 120.000, 140.000, 110.000 ve 69.000 dolar. Raporun giriş paragrafında özel şirketler için farklı bir tutar bulunduğundan, burada grafik ve kuruluş istatistik tablosuyla desteklenen 120.000 dolar kullanılmıştır.

İngilizce “public company” ifadesi, halka açık şirketi anlatıyor; kamu kuruluşu için ayrı bir kategori var. Kamu kuruluşlarında ulusal düzeyde medyan tutar 150.000 dolar, eyalet veya bölgesel düzeyde 121.000 dolar ve yerel düzeyde 79.000 dolar. Kuruluş türleri arasında yönetim, işlem hacmi ve yetki yapısı değişebiliyor. Bu nedenle daha çok bildirilen bir türü otomatik olarak daha güvensiz saymak yerine, o kuruluşun hangi işlemlerinde kontrol boşluğu bulunduğuna bakmak daha doğru olacaktır. [16]

Küçük kuruluşlarda medyan tutar, büyük kuruluşların seviyesini aşabiliyor.

Çalışanı 100’den az olan kuruluşlarda medyan kayıp 126.000 dolar. 100-999 çalışanı olanlarda 110.000 dolar, 1.000-9.999 çalışanı olanlarda 100.000 dolar ve 10.000 veya daha fazla çalışanı olanlarda 123.000 dolar. En çok vak’a bildirilen çalışan grubu %29 ile 1.000-9.999 aralığı; en yüksek medyan tutar ise en küçük kuruluşlarda görülüyor.

Geliri 50 milyon doların altındaki kuruluşlarda medyan tutar 100.000 dolar; geliri en az 1 milyar dolar olanlarda 145.000 dolar. Çalışan sayısı ile gelir büyüklüğü aynı sınıflandırma değil. Küçük bir şirket açısından benzer büyüklükteki bir kaybın daha ağır bir mali etkisi olabilir; ancak rapor bu tabloyla her grubun kaybını gelirine oranlamıyor. Bu nedenle veriyi kesin bir oransal zarar ölçüsü gibi kullanmadan, küçük kuruluşların kontrol ihtiyacını hafife almamak gerekiyor. [17]

Sektörlerde bildirilen vak’a sayısı ile medyan kayıp farklı alanları öne çıkarıyor.

Bankacılık ve finansal hizmetler 439 vak’a ile ilk sırada; kamu ve kamu idaresi 217, imalat 193 vak’a ile onu izliyor. Medyan kayıpları sırasıyla 100.000, 100.000 ve 170.000 dolar. Buna karşın en yüksek medyan tutar, 28 vak’a ile madencilikte 300.000 dolar; toptan ticarette 18 vak’a ile 256.000 dolar ve gayrimenkulde 38 vak’a ile 250.000 dolar. Özellikle küçük alt örneklemlerde sıralama daha temkinli okunmalı.

Yöntemlerin sektörler içindeki dağılımı da değişiyor. İmalat vak’alarında yolsuzluk %61, gayrinakdi varlık suistimali %41; inşaatta faturalandırma hileleri %35, sağlıkta %32. Bir şirketin risk değerlendirmesi, kendi işlem yapısıyla birlikte ele alındığında daha anlamlı hale geliyor. Depo ve üretim süreçlerinin ağırlığı ile hizmet satın alma süreçlerinin ağırlığı aynı kontrol yaklaşımını gerektirmeyebilir. Bu oranlar ankete bildirilen sektör vak’alarını anlatıyor; sektördeki bütün şirketler için suistimal yaygınlığı vermiyor. [18]

Bankacılık ve finansal hizmetlere ayrılan özel bölüm, yetki farkını daha görünür kılıyor.

Bu sektördeki 439 vak’anın medyan kaybı 100.000 dolar, ortalama tutarı 1.535.000 dolar ve medyan süresi 8 ay. Çalışanların gerçekleştirdiği vak’alarda medyan tutar 64.000 dolar, müdürlerde 160.000 dolar ve şirket sahibi veya üst yöneticilerde 1,4 milyon dolar. Son değer, bütün sektörlerin ortak medyanı değil; bankacılık ve finansal hizmetler alt grubuna ait.

Sektörde ilk tespitte ihbarın payı %40, iç denetimin %16 ve yönetim incelemesinin %11. Suistimali gerçekleştirenin işine son verilmesi %74 iken ceza makamlarına sevk %38 ve hukuk davası %31. Genel örneklemde ceza makamlarına sevk %54 olduğundan, kuruluş içi yaptırım ile dışarıdaki yasal süreçlerin aynı yoğunlukta yürütülmediği görülüyor. Bana göre bu bölüm, güçlü kontrol yapısına sahip olduğu varsayılan bir sektörde bile yüksek yetkilerin ve vak’a sonrası kararların ayrıca değerlendirilmesi gerektiğini gösteriyor. [19]

Kontroller: yaygınlık, etki ve değişim

Etik ilkeler, dış denetim ve iç denetim en yaygın kontrol uygulamaları arasında bulunuyor.

Vak’a bildirilen kuruluşlarda etik davranış kurallarının bulunma oranı %88, mali tabloların dış denetimi %83, iç denetim bölümü %80 ve ihbar mekanizması %73. Yönetim incelemesi %71, çalışanlara suistimal eğitimi %67, yöneticilere eğitim %66. Buna karşın proaktif veri izleme ve analizinin payı %49, habersiz denetimin %44, görev rotasyonu veya zorunlu iznin %27.

Bir kontrolün sık bulunması ile suistimali ilk ortaya çıkaran yöntem olması farklı konular. Dış denetimin yaygınlığı ile ilk tespitteki %2 payını yan yana görmek düşündürücü; fakat iki oran farklı soruların cevapları. Etik kuralların belgede bulunması da uygulamada istisnasız izlendiğini göstermiyor. Yönetimin örnek davranışı, ihbarların ele alınması, bağımsız inceleme ve işlem verisinin kontrolü birlikte çalıştığında daha anlamlı bir yapı ortaya çıkacaktır. [20]

Kontrol bulunan kuruluşlarda daha düşük kayıp görülüyor; bu ilişkiyi kesin tasarruf vaadi gibi okumamak gerekir.

Raporda incelenen 18 kontrolün tamamı daha düşük medyan kayıpla ilişkili. Yönetim incelemesinde 84.000 dolara karşı 186.000 dolar, proaktif veri izleme ve analizinde 70.000 dolara karşı 150.000 dolar, habersiz denetimde 74.000 dolara karşı 149.000 dolar söz konusu. Süreler de çoğu kontrolde daha kısa; ancak çalışan destek programlarında her iki grup için 12 ay verilmiş. Bu nedenle “bütün kontroller daha hızlı tespit sağladı” ifadesi tabloyla bütünüyle desteklenmiyor.

Kontrol bulunan ve bulunmayan kuruluşlar başka özellikleri bakımından da farklı olabilir. Aşağıdaki karşılaştırma, belirli bir kontrol kurulduğunda kaybın kesin olarak yarıya ineceğini ispatlamıyor. Buna rağmen yönetim incelemesi, veri analizi ve habersiz denetimin tutar ve süre bakımından birlikte öne çıkması, kaynak ayırırken dikkate alınabilecek bir bulgu. İç denetim, etik ilkeler ve ihbar mekanizmasının bu uygulamalarla desteklenmesi, önceki yazılarda değindiğim kontrol yaklaşımını daha da somutlaştırıyor. [21]

İhbar mekanizması ile eğitim birlikte bulunduğunda daha olumlu sonuçlar görülüyor.

Hem çalışanlarına hem yöneticilerine suistimal eğitimi veren kuruluşlarda medyan kayıp 84.000 dolar; iki gruba da eğitim vermeyenlerde 150.000 dolar. İhbar mekanizması ve eğitim birlikte bulunduğunda tutar 85.000 dolar ve süre 11 ay; ikisinin de bulunmadığı kuruluşlarda 175.000 dolar ve 18 ay. Yalnızca kanal oluşturmakla yetinmeyip nasıl kullanılacağını anlatmanın önemi bu karşılaştırmada öne çıkıyor.

Çalışanlar şüpheli durumu tanıyabilmeli; yöneticiler de kendilerine ulaşan bilgiyi güvenli biçimde ilgili inceleme birimine aktarabilmeli. Kâr amacı gütmeyen kuruluşlarda çalışan eğitimi bulunan ve bulunmayan grupların medyan süreleri 8 ve 18 ay; yönetici eğitimi için 8 ve 15 ay. Eğitim grupları arasındaki farklar nedensel bir deney sonucu değil. Buna rağmen farklı görevler için farklı içerik hazırlanması ve eğitimin ihbar süreciyle birlikte yürütülmesi, şirket açısından uygulanabilir bir sonuç olarak görünüyor. [22]

Küçük kuruluşlarda bazı kontrollerin daha az bulunması, belirli yöntemlerle birlikte düşünülmeli.

Çalışanı 100’den az olan kuruluşlarda ihbar mekanizması %24, daha büyüklerde %85 oranında bulunuyor. İç denetimde oranlar %38 ve %92; proaktif veri izlemede %17 ve %58; çalışan eğitiminde %25 ve %77. Küçük kuruluşlarda faturalandırma hilelerinin payı %28’e karşı %18, kayda girmeyen tahsilat %17’ye karşı %6, çek ve ödeme hilesi %18’e karşı %8.

Az sayıda personelin olması görevleri ayırmayı güçleştirebilir, fakat bütün işlemlerin aynı kişinin elinde kalmasını kaçınılmaz hale getirmiyor. Tedarikçi hesabı değişikliğinin ikinci kişi tarafından doğrulanması, banka hareketlerinin işlemi yapan kişiden bağımsız gözden geçirilmesi, stok sayımlarının habersiz yapılabilmesi ve şirket dışından da erişilen ihbar kanalı, kuruluşun ölçeğine göre düşünülebilecek uygulamalar. Buradaki öneriler, rapordaki küçük kuruluş bulgularından hareketle yapılan değerlendirmedir; her şirket için aynı kontrol paketi veya aynı maliyet sonucu anlamına gelmez. [23]

Kuruluşlar kontrollerini çoğunlukla suistimal ortaya çıktıktan sonra değiştiriyor.

Vak’a sonrasında kuruluşların %80’i kontrollerinde değişiklik yapmış. Değişiklik yapan grupta medyan kayıp 120.000 dolar, yapmayanlarda 50.000 dolar. Bu karşılaştırma, kontrol değişikliğinin kaybı artırdığını göstermiyor; daha yüksek tutarlı bir vak’anın değişiklik kararını tetiklemiş olabileceğini düşünmek gerekiyor.

Kontrollerini değiştiren kuruluşlarda yönetim incelemesini yeni kuranların payı %37, mevcut uygulamayı değiştirenlerin payı %40. Veri izlemede bu oranlar %36 ve %30; habersiz denetimde %28 ve %27. Katılımcıların %38’i değişikliklerin gelecekte suistimali önlemede çok etkili, %60’ı bir ölçüde etkili olmasını bekliyor. Bu %98’lik toplam, ölçülmüş bir önleme başarısı değil; geleceğe ilişkin beklenti. Şirketin kontrolleri bir olaydan sonra gözden geçirmesi yararlı, fakat uygulamanın sonucunu daha sonra ayrıca izlemesi gerekiyor. [24]

Geçmiş araştırması faydalı bir uygulama; temiz kayıt tek başına güvence oluşturmuyor.

Kuruluşların %64’ü suistimali gerçekleştiren kişiyi işe alırken geçmiş araştırması yapmış. Araştırma yapılan bu grubun %88’inde bir uyarı işareti bulunmamış, %12’sinde bulunmuş. Geçmiş araştırması kapsamında iş deneyimi, ceza kaydı, eğitim ve referans incelemesi gibi yöntemler kullanılıyor. Bu bulgu, geçmiş araştırmasının gereksizliğini değil; gelecekteki davranışı bütün yönleriyle açıklayamadığını gösteriyor.

Suistimali gerçekleştirenlerin %88’inin bilinen önceki suistimalle bağlantılı bir ceza kaydı yok. %85’inde önceki suistimal nedeniyle işten çıkarılma veya disiplin geçmişi de bildirilmemiş. Buna karşın disiplin geçmişi bulunan alt grubun %53’ünde önceki işlem aynı kuruluşta yapılmış. Dolayısıyla işe alımda araştırma kadar, kuruluş içinde geçmişte görülen sorunların nasıl değerlendirildiği de önemli. Hukuka uygun işe alım araştırmasının, yetki sınırları ve günlük işlem kontrolleriyle desteklenmesi gerekiyor. [25]

Kontrol eksikliği ve mevcut kontrolün aşılması başlıca zayıflıklar olarak öne çıkıyor.

Suistimale imkân veren temel zayıflıkların %33’ü iç kontrol eksikliği, %19’u mevcut kontrolün aşılması ve %18’i yönetim incelemesinin yetersizliği olarak bildirilmiş. Bu üç başlık birlikte %70’e ulaşıyor. İlk ikisinin toplamı da %52. Bir şirketin kontrol prosedürünün bulunması ile prosedürün gerçekten uygulanması arasındaki fark burada belirgin hale geliyor.

Şirket sahibi ve üst yöneticilerin gerçekleştirdiği vak’alarda, üst yönetimin etik tutumunun yetersizliği ile kontrolün aşılması ayrı ayrı %20 paya sahip. İşlemi onaylayan kişinin kontrolü kaldırma veya istisna yaratma yetkisi varsa, kâğıt üzerindeki görev ayrımı etkisiz kalabilir. Bu nedenle yüksek yetkili işlemlerin bağımsız incelemeye açık olması, istisnaların kaydedilmesi ve yönetim organlarının gerektiğinde açıklama istemesi önem taşıyor. Kontrolün gücü, en güçlü kişinin de o kontrole tabi olabilmesiyle yakından ilişkili görünüyor. [26]

Suistimalci profili

Yetki yükseldikçe medyan tutar ve tespit süresi artıyor.

Çalışanlar ile müdürler ayrı ayrı %41 paya sahip; şirket sahibi ve üst yöneticilerin payı %16. Çalışan vak’alarında medyan kayıp 50.000 dolar ve süre 8 ay; müdürlerde 125.000 dolar ve 14 ay; şirket sahibi ve üst yöneticilerde 475.000 dolar ve 23 ay. En üst grubun medyan tutarı, çalışan grubunun 9,5 katı. Çalışan tutarı için ana grafiklerdeki 50.000 dolar kullanılmıştır; ek istatistik tablosu farklı bir tutar veriyor.

Yetki yükseldikçe daha geniş işlem alanına erişim, kontrolü aşma ve inceleme üzerinde etki kurma imkânı da bulunabilir. Bu, rapordaki ilişkinin şirket uygulaması açısından yorumudur; her yöneticinin daha yüksek suistimal olasılığına sahip olduğunu gösteren bir oran değildir. Buna karşın denetim kapsamının yalnızca alt kademe çalışanlara yönelmesi, daha yüksek tutar ve daha uzun süreyle ilişkili grubu dışarıda bırakabilir. Yönetim işlemlerinin de inceleme konusu olması gerektiği oldukça açık. [27]

Kıdem, kuruluş bilgisi ve güven ilişkisinin kontrolle birlikte değerlendirilmesini gerektiriyor.

Bir yıldan az kıdemi bulunanlarda medyan kayıp 50.000 dolar, bir-beş yıl arasında 100.000 dolar, altı-on yıl arasında 138.000 dolar ve on yıldan uzun kıdemi bulunanlarda 200.000 dolar. En çok vak’a bildirilen grup %45 ile bir-beş yıl; en yüksek medyan tutar ise daha uzun kıdemli grupta. Bu da en çok görülen grup ile en yüksek tutarlı grup ayrımının başka bir örneği.

Uzun süre çalışan kişinin işleyişi, kontrol noktalarını ve istisnaları daha iyi bilmesi mümkündür. Ancak rapor, bütün uzun kıdemli çalışanların suistimal olasılığını ölçmüyor. Şirketin bir çalışanına güvenmesi ile yaptığı işlemleri bağımsız gözden geçirmesi bir arada yürütülebilir. “Yıllardır bizimle çalışıyor” düşüncesinin, görev rotasyonu, zorunlu izin, erişim yetkilerinin yenilenmesi ve işlem mutabakatı gibi uygulamaların yerine geçmemesi gerekiyor. [28]

Departmanlara göre bakıldığında işlem türü kadar erişilen yetki de önem kazanıyor.

Operasyon ve muhasebe ayrı ayrı %13 ile ilk sırada; satış ve müşteri hizmetleri ayrı ayrı %10. Üst yönetimin payı Şekil 43’te %9; medyan kaybı 345.000 dolar. Muhasebede medyan kayıp 164.000 dolar, operasyonda 100.000 dolar, müşteri hizmetlerinde 50.000 dolar. Yönetim kurulunda pay düşük olsa da medyan tutar 316.000 dolar olarak verilmiş.

Operasyon, muhasebe, satış, müşteri hizmetleri, üst yönetim, idari destek, finans ve satın alma birlikte vak’aların %74’ünü oluşturuyor. Satın alma vak’alarında yolsuzluğun payı %83; üst yönetimde yolsuzluk %66 ve mali tablo suistimali %20. Muhasebede faturalandırma ile çek ve ödeme hileleri dikkat çekiyor. Denetim planını yalnızca departman sayısına göre oluşturmak yerine, her birimin tedarikçi seçimi, kayıt oluşturma, ödeme, varlık erişimi ve raporlama üzerindeki etkisiyle birlikte değerlendirmek daha anlamlı olacaktır. [29]

Cinsiyet, yaş ve eğitim bulguları bir kişiyi suçlu gösterecek profil oluşturmuyor.

Bildirilen kişiler içinde erkeklerin payı %71 ve medyan kaybı 125.000 dolar; kadınların payı %28 ve medyan kaybı 90.000 dolar. Kişilerin %70’i 31-50 yaş aralığında. Altmış yaşın üzerindeki grup %3 payına rağmen 850.000 dolar medyan tutarla; 26 yaşın altındaki grup ise 18.000 dolar ile öne çıkıyor. Eğitimde lisans ve üzerinin toplam payı %62; lisans mezunlarında medyan tutar 145.000 dolar, lisansüstü eğitimlilerde 234.000 dolar.

Bu tablolar, kuruluşların bütün çalışanlarına göre düzeltilmiş risk oranları değil. Yaş, kıdem, eğitim ve yetki birbiriyle de ilişkili olabilir. Ayrı ayrı verilen tabloları birleştirerek “şu yaşta, şu eğitimde bir erkek kesin olağan şüphelidir” sonucuna ulaşmak doğru olmaz. Şirket açısından faydalı olan, kimlik özelliklerinden suçlu tahmini yapmak yerine, işlem erişimi ve yetkiyle birlikte denetlenmesi gereken süreçleri belirlemek. Kişi hakkındaki değerlendirmeyi somut davranış ve işlem bulgularına dayandırmak gerekiyor. [30]

Birden fazla kişinin işbirliği yapması medyan kaybı belirgin biçimde yükseltiyor.

Tek kişinin gerçekleştirdiği vak’aların payı %51, iki kişinin birlikte yaptığı vak’aların payı %18 ve üç veya daha fazla kişinin payı %31. Medyan kayıplar sırasıyla 55.000, 125.000 ve 324.000 dolar. Üç ve daha fazla kişinin yer aldığı grupta tutar, tek kişilik grubun yaklaşık 5,9 katı. İşbirliği vak’alarının toplam payı %49; neredeyse her iki vak’adan biri birden fazla kişiyi içeriyor.

Önceki yazılarda değindiğim “sacayağı” burada da karşımıza çıkıyor. Bir işlemi hazırlayan, onaylayan ve kaydeden farklı kişilerin bulunması önemli; fakat bu kişiler birlikte hareket ediyorsa görevlerin ayrılığı tek başına yeterli olmayabilir. Beklenmeyen kontroller, bağımsız doğrulamalar, görev değişimi ve sistem erişimlerinin gözden geçirilmesi bu nedenle düşünülmeli. Kontrol tasarımını sadece tek kişinin yapabileceği bir usulsüzlüğe göre kurmak, işbirliğiyle aşılabilecek noktaları gözden kaçırabilir. [31]

İşbirliğinin şirket dışındaki taraflara uzanması, kontrolün kapsamını genişletiyor.

İşbirliği yapılan taraflara ilişkin dağılımda diğer çalışanlar %48, tedarikçiler %29 ve müşteriler %11 paya sahip. Dış taraflara göre verilen tutar karşılaştırmasında müşteriyle işbirliğinde medyan kayıp 372.000 dolar, tedarikçiyle işbirliğinde 240.000 dolar; başka çalışanla işbirliğinde 200.000 dolar. Bunlar tek kişi, iki kişi ve üç kişi gruplarıyla aynı sınıflandırma değil; farklı soruların sonuçları.

Satın alma kararını veren çalışan ile tedarikçi, satış veya tahsilatı yöneten çalışan ile müşteri birlikte hareket edebilir. Bu nedenle işlemin karşı tarafının şirket dışından olması, bağımsız bir doğrulama sağlandığını tek başına göstermiyor. Tedarikçi ve müşteri ana verilerindeki değişikliklerin izlenmesi, ilişkili taraf veya çıkar çatışması bildirimleri ve olağandışı fiyat, iade ve ödeme koşullarının incelenmesi faydalı olacaktır. Özellikle aynı karşı tarafla uzun süre yürütülen ilişkilerde kontrolün zamanla biçimsel hale gelmemesi gerekiyor. [32]

Suistimali gerçekleştirenlerin çoğunda en az bir davranışsal uyarı işareti bildirilmiş.

Kişilerin %84’ünde en az bir davranışsal uyarı işareti görülmüş; %16’sında görülmemiş. Gelirinin üzerinde yaşam sürmek %39, mali güçlükler %29, müşteri veya tedarikçiyle olağandışı yakınlık %17 ve kontrolü başkasına bırakmak istememek %12 ile dikkat çekiyor. Baskıcı davranış ile aşırı savunmacılık veya şüphecilik de ayrı ayrı %11 paya sahip.

Uyarı işareti görülen vak’alarda medyan tutar 125.000 dolar, görülmeyenlerde 94.000 dolar. Ancak bu araştırma, aynı davranışların suistimal yapmayan bütün çalışanlarda ne kadar görüldüğünü göstermiyor. Mali güçlüğü olan veya savunmacı davranan bir kişinin suçlu olduğunu söyleyemeyiz. İşaretler, uygun inceleme için başlangıç olabilir; somut işlem kanıtının yerine geçmez. Çalışanın durumunu anlamak ile bir usulsüzlüğü araştırmak arasındaki ayrımı korumak gerekiyor. [33]

İnsan kaynakları sorunları ve performans baskısı, davranışların bağlamını anlamaya yardımcı oluyor.

Suistimali gerçekleştirenlerin %45’inde işyerinde en az bir insan kaynaklarıyla bağlantılı sorun bildirilmiş. Olumsuz performans değerlendirmesi ve işini kaybetme korkusu ayrı ayrı %12, ücret artışı veya terfi alamama %11 paya sahip. Mali tablo suistimalini gerçekleştirenlerde başarı gösterme baskısı %16 iken genel grupta %5. Yolsuzluk vak’alarında müşteri veya tedarikçiyle yakınlık %29 ile genel grubun %17’lik değerini aşıyor.

Zorunlu izne çıkmak istemeyenlerin vak’alarında medyan süre 24 ay; kontrolü paylaşmak istemeyenlerde 21 ay. Bu ilişkiler, davranışı tek başına suç delili yapmıyor. Buna karşın görev devrinin sürekli engellenmesi, sonuç hedefleri uğruna prosedürlerden vazgeçilmesi veya yakın iş ilişkilerinin bağımsız incelemeden çıkarılması gibi durumlarda yöneticinin açıklama istemesi anlamlı olacaktır. Gerçekçi hedefler, açık iletişim ve çalışan desteği de kontrol ortamının insan tarafını tamamlıyor. [34]

Yaptırım, yasal süreç ve kaybın geri alınması

Vak’a sonrası yaptırımlarda işten çıkarma en yaygın yöntem olmaya devam ediyor.

Suistimali gerçekleştirenlerin %68’inin işine son verilmiş; %6’sına uyarı veya denetimli devam uygulaması yapılmış, %4’ünde işlem yapılmamış. İşten çıkarma oranı çalışanlarda %75, müdürlerde %68, şirket sahibi ve üst yöneticilerde %52. Hiç işlem yapılmama oranı ilk iki grupta %2 iken en üst grupta %12’ye yükseliyor.

Bu sonuçları her olayda aynı yaptırımın uygulanabileceği biçiminde yorumlamamak gerekir; kişilerin hukuki ve kurumsal konumları farklı. Buna karşın yüksek yetkili kişilerin daha yüksek tutarlı ve daha uzun süren vak’alarla ilişkili olduğu önceki bulgularla birlikte okunduğunda, yaptırım düzeninin de üst kademelere nasıl uygulandığı önem kazanıyor. Etik kuralların bütün görev seviyeleri için anlamlı olabilmesi, ihlalin kimin tarafından yapıldığına bakılmaksızın uygun ve tutarlı biçimde ele alınmasına bağlı görünüyor. [35]

Yasal süreçlerin oranları, yalnızca ilgili süreçlere taşınan vak’aların sonuçlarını anlatıyor.

Vak’aların %54’ü ceza soruşturması için yetkili makamlara sevk edilmiş; 2024’te bu oran %57’ydi. Sevk edilen vak’aların %48’inde suçun kabulü veya buna eşdeğer bir süreç, %24’ünde yargılama sonunda mahkûmiyet bildirilmiş. Toplam %72, bütün vak’aların değil, sevk edilen grubun sonucu. Rapor farklı ülkelerin sistemlerini birlikte içerdiği için bu sonuçları Türkiye’deki belirli bir hukuki süreçle birebir eşitlememek gerekir.

Hukuk davası açılan vak’aların payı %25. Bu alt grupta mağdur lehine karar %43, uzlaşma veya anlaşma %39; toplam %82. Ceza makamlarına sevk etmeyen kuruluşlarda iç disiplinin yeterli görülmesi %51, kötü imaj endişesi %35, özel anlaşma %20 ve maliyet %19 paya sahip. Birden fazla neden seçilebildiği için bu yüzdeler bağımsız seçenekler değil. İtibar kaygısının, kontrol boşluğunu veya delillerin korunması ihtiyacını ortadan kaldırmadığı açık. [36]

Kaybın sonradan geri alınması çoğu kuruluş için sınırlı kalıyor.

Çalışma tarihinde kuruluşların %56’sı kaybının hiçbir bölümünü geri alamamış, %29’u kısmen ve %15’i tamamen geri kazanmış. 2024’te bu oranlar sırasıyla %57, %30 ve %13’tü. Tam geri kazanımdaki küçük farkı, farklı örneklemlerden geldiği için kesin bir iyileşme eğilimi gibi sunmak doğru olmaz. Her iki raporda da hiçbir tutarı geri alamayan kuruluşlar çoğunlukta.

Suistimal nedeniyle kuruluşun kendisine para cezası uygulanması da ayrı bir sonuç. Bu oran mali tablo suistimalinde %22, yolsuzlukta %14 ve varlık suistimalinde %11. Kategoriler örtüşebildiği için bunlar birbirine eklenemez. İşten çıkarma, dava veya geri kazanım kararı; soruşturma maliyetini, işleyiş bozulmasını ve olası itibari etkiyi bütünüyle telafi etmeyebilir. Kontrolün değerini sadece olaydan sonra geri alınan para üzerinden değerlendirmemek gerektiği bir kez daha görülüyor. [37]

Bölgeler ve Türkiye

Bölgesel sonuçlar şirketlerin faaliyet coğrafyasını düşünmek için yararlı; ülke risk sıralaması oluşturmuyor.

Bölgesel ayrıntılarda en fazla vak’a ABD ve Kanada’da, en yüksek medyan tutar Latin Amerika ve Karayipler’de bildirilmiş. Türkiye’nin yer aldığı Doğu Avrupa ile Batı ve Orta Asya grubunda 72 vak’a, 170.000 dolar medyan kayıp ve ilk tespitte %51 ihbar payı bulunuyor. Bu 170.000 dolar Türkiye’ye ait bir medyan değil; bölgenin tamamına ait.

Aşağıdaki bölgesel vak’a sayıları 2.045’e ulaşıyor; kullanılabilir bütün vak’aların coğrafi dökümde yer aldığını varsaymamak gerekiyor. İhbar her bölgede önemli olmakla birlikte, kontrol uygulamaları, işbirliği ve geri kazanım sonuçları farklılaşıyor. Örneğin hiçbir geri kazanım olmayan kuruluşların payı bu Doğu Avrupa bölgesinde %42, Latin Amerika ve Karayipler’de %68. Coğrafi dağılım, araştırmaya hangi vak’aların bildirildiğinden de etkileniyor. Bu nedenle şirketin faaliyette bulunduğu bölgelerde somut işlem, taraf ve kontrol koşullarına bakması daha anlamlı olacaktır. [38]

Değerlendirme

Önceki yazılarda belirttiğim gibi, iyi işleyen etik ilkeler ve ihbar mekanizmasıyla desteklenen bir iç denetim bölümü, suistimal riskini azaltmak için güçlü bir başlangıç. Bu raporda yönetim incelemesi, veri analizi ve habersiz denetimin bulguları da bu yapıyı tamamlıyor. ACFE’nin kontrol listesi; risklerin düzenli değerlendirilmesi, yetki ve görevlerin ayrılması, çalışan ve yöneticilerin eğitimi, ihbar edenin korunması, iç denetimin yeterli kaynak ve bağımsızlığa sahip olması, uygun işe alım araştırması ve çalışan desteğini birlikte ele alıyor. Bunların uygulanması riski sıfırlamaz; fakat fark edilen bir sorunun doğru kişiye ulaşmasını ve daha erken incelenmesini sağlayabilir. [39]

2026 sonuçlarını biraz karikatürize ederek söylersek; uzun süredir sorgulanmayan geniş yetkiler, kontrolü paylaşmak istemeyen bir işleyiş ve birbirini doğruluyor görünen kişilerin oluşturduğu “sacayağı”, yüksek tutarlı bir vak’anın “olağan şüphelileri” olarak öne çıkıyor :) Burada şüpheyi kişinin yaşına veya eğitimine değil, kontrolün nasıl çalıştığına yöneltmek daha faydalı olacaktır.

Serinin önceki sayıları

Önceki dönem ACFE raporlarının geniş özetlerine aşağıdaki bağlantılardan ulaşabilirsiniz. 2024 değerlendirmesi de bu yazının yöntem, anlatım ve karşılaştırma için kullanılan bir önceki çalışma belgesidir.

• ACFE 2024 Fraud Raporu

• ACFE 2022 Fraud Raporu

• ACFE 2020 Fraud Raporu

• ACFE 2018 Fraud Raporu

• ACFE 2016 Fraud Raporu

• ACFE 2014 Fraud Raporu

• ACFE 2012 Fraud Raporu