Suistimal soruşturmalarının en rahatsız edici istatistiği kaybın büyüklüğü değil, kaybın nasıl ortaya çıktığıdır. ACFE'nin 2024 tarihli *Occupational Fraud: A Report to the Nations* raporu vakaların ilk tespit yöntemlerini sıralıyor: ihbar %43, iç denetim %14, yönetim gözden geçirmesi %13, belge incelemesi %6, hesap mutabakatı %5 ve tesadüfen %5. Yani ilk tespit yöntemi olarak hesap mutabakatı, tesadüfen fark etmeyle tam olarak aynı orana sahip.
Bu tabloyu ilk gören finans yöneticisinin çıkardığı sonuç genelde şudur: "Demek ki mutabakatın suistimale karşı bir faydası yok." Doğru okuma bunun neredeyse tersi. Bu yazıda üç şeyi birbirinden ayıracağız. Bir kontrolün *ilk haber veren* olması ile *işe yaraması* aynı şey değildir. %5'lik pay mutabakatın zayıf olduğunu göstermez; sahadaki pratiğe bakıldığında bu payı asıl açıklayan şeyin, mutabakatın çoğu şirkette ne kadar seyrek ve ne kadar yüzeysel koştuğu olduğunu düşünüyoruz. Ve aynı raporda, veriye bakan kontrollerin kaybı da süreyi de belirgin biçimde kısalttığı yazılıdır.
Bir not: ACFE serisinin 14. baskısı 2026'da yayımlandı. Aşağıdaki bütün oranlar 2024 baskısına aittir.
%5 neyi ölçüyor, neyi ölçmüyor
ACFE anketi soruşturmayı yürüten sertifikalı suistimal denetçilerine tek bir soru sorar: bu vaka ilk olarak nasıl fark edildi? Cevap "kim ilk alarmı çaldı" sorusunun cevabıdır; "olayı kim çözdü", "zararı kim hesapladı", "delili kim topladı" sorularının değil.
Bu ayrım göründüğünden önemlidir. İhbarın %43 ile listeyi açması şaşırtıcı olmamalı: insanlar bir şeyler görür, dedikodu duyar, alışılmadık bir ödemeye tanık olur. İhbar hattı bir kontrol değil, bir kanaldır. Buna karşılık mutabakat bir prosedürdür ve prosedürler ancak koşturulduklarında konuşur. Ayda bir koşan bir prosedür, her gün konuşan yüzlerce çalışanla aynı frekansta alarm üretemez.
İkinci nokta: bu istatistiğin evreni ortaya çıkmış vakalardır. Hiç yakalanmamış suistimallerin hangi kontrolü atlattığını hiçbir anket ölçemez. Dolayısıyla %5, "mutabakat vakaların yalnızca %5'ini durdurur" demek değildir; "raporlanan vakaların %5'inde ilk alarmı mutabakat çalmıştır" demektir.
"Mutabakat suistimali çözer" cümlesi bu veriden çıkmaz. Çıkan cümle şudur: mutabakat, alarmı çalabilecek ama çoğu şirkette susturulmuş bir kontroldür.
Mutabakat neden bu kadar seyrek ilk haber veren oluyor
Sahada gördüğümüz dört yapısal neden var.
Birincisi: bakiye seviyesinde bakılıyor. Türkiye'deki yaygın pratik, karşı tarafa bir bakiye yazıp "mutabık mısınız" diye sormaktır. Bakiye onayı, iki tarafın toplamının eşit olduğunu söyler; hangi kalemin hangi kaleme karşılık geldiğini söylemez. Ters işaretli iki hata birbirini götürdüğünde bakiye tutar ve mutabakat "başarılı" görünür. Kalem eşleştirmesi yapılmadıkça mutabakat bir tespit kontrolü değil, bir nezaket yazışmasıdır.
İkincisi: çok geç yapılıyor. ACFE 2024'e göre bir suistimalin medyan tespit süresi 12 aydır. Yılda bir kez, kapanış telaşında yapılan bir mutabakat bu 12 ayı kısaltmaz; onu üretir.
Üçüncüsü: kapsam dar. Mutabakat mektupları çoğunlukla bakiyesi olan carilere gönderilir. Oysa mükerrer ödeme, fazla ödeme ya da hayalet borç örüntülerinin çoğu bakiyesi sıfırlanmış hesaplarda saklanır. Kapanmış görünen bir hesap, taranmadığı için kapanmış görünmeye devam eder. Bu örüntülerin nasıl ayıklandığını finansal anomali tespiti yazımızda ayrıntılı ele aldık.
Dördüncüsü: kontrol ya yok ya da aşılıyor. ACFE 2024, vakaların %32'sinde iç kontrol yokluğunu, %19'unda ise mevcut kontrolün aşılmasını etken olarak raporluyor. Aşılma özellikle önemli: prosedür kâğıt üzerinde vardır, sorumlusu da bellidir, ama sorumlu ile kontrol edilen aynı kişidir.
Veriye bakan kontroller sayıları aşağı çekiyor
Aynı raporun en az bilinen ama en kullanışlı bulgusu şudur: proaktif veri izleme ve analizi, medyan kaybı ve medyan tespit süresini yaklaşık yarıya indiren kontroller arasındadır. Referans noktaları belli: ACFE 2024'te medyan kayıp 145.000 dolar, medyan süre 12 ay.
Bu iki sayıyı yarıya indirmek, "suistimali önlemek" demek değil. Anlamı daha somut: aynı olay altı ayda görünür hale gelir ve zarar birikmeden durdurulur. Suistimalin ekonomisi süreye bağlıdır — ödemeler tekrarlandıkça, sahte tedarikçi her ay fatura kestikçe tutar büyür. Süreyi kısaltan her kontrol, doğrudan tutarı kısaltır.
ACFE ayrıca kuruluşların gelirlerinin tahminen %5'ini suistimale kaybettiğini bildirir. Bu bir ölçüm değil, sertifikalı suistimal denetçilerine sorulan bir anket tahminidir; bütçe kalemi gibi kullanmayın, büyüklük hissi olarak okuyun.
Sektör farkı: aynı zafiyet, farklı fatura
Medyan kayıplar sektöre göre ciddi biçimde ayrışıyor. ACFE 2024'te madencilik sektörü 550.000 dolar medyan kayıpla listenin üst sıralarında; imalat 267.000 dolar seviyesinde.
Bu iki sektörün ortak özelliği tesadüf değil: yüksek tutarlı tedarik zincirleri, çok sayıda taşeron ve hizmet faturası, saha-merkez arasında zaman gecikmesi, dövizli sözleşmeler. Yani kalem sayısı çok, tutar yüksek, kontrol noktası uzak. Türkiye'de madencilik, enerji ve büyük ölçekli imalat firmalarında cari hesap mutabakatının neden Excel'i aştığını bu tablo açıklar: fark tek bir satırda saklanır ve o satır binlercesinin arasındadır.
Somut senaryo: iki cari kart arasında kaybolan kalem
Aşağıdaki örnek tek bir müşteriye ait değil; sahada tekrar eden bir örüntünün sadeleştirilmiş halidir. Bir imalat şirketi, aynı taşeronla hem bakım hizmeti hem yedek parça faturası üzerinden çalışıyor. Muhasebe, gelen faturaları iki farklı cari kartta izliyor: biri hizmet, biri malzeme. Ödeme talimatları ise tek bir banka hesabına, tek kalemde gidiyor.
Bir dönem, aynı bakım faturası hem asıl PDF'iyle hem de "revize" ibareli ikinci bir PDF'le sisteme giriyor. İki kayıt farklı cari kartlarda oturduğu için mizanda birbirini görmüyor. Ödeme toplu yapıldığından banka ekstresinde tek satır çıkıyor ve o satır her iki kaydı da makul gösteriyor. Ay sonu bakiye mutabakatında toplamlar tutuyor, çünkü fazla ödeme sonraki dönemin faturasına mahsup edilerek eriyor.
Bu kalem, bakiye karşılaştırmasıyla asla görünmez. Görünmesi için üç şeyin aynı tabloda olması gerekir: defterdeki iki kayıt, bankadaki tek ödeme ve e-fatura tarafındaki belge numarası. Belge numarası eşleştirmesi yapıldığı an mükerrer kayıt kendini ele verir. Aynı ödeme kaleminin iki farklı faturaya çekilmesi örüntüsünü hayalet borç yazımızda tarif etmiştik.
Mutabakatı erken uyarıya çevirmenin dört şartı
Kalem seviyesi. Bakiye değil satır eşleştirin. Her eşleşmenin yanında yazılı bir gerekçe olsun: tutar örtüşüyor, tarih uyuyor, referans şu faturayı gösteriyor. Gerekçesiz eşleşme denetlenemez.
Sıklık. Aylık minimumdur. Yüksek hacimli tedarikçilerde haftalık koşum, bir sapmanın görünür hale gelme süresini hafta ölçeğine indirir; ACFE'nin 12 aylık medyanının karşısına konacak olan budur.
Kapsam. Sıfır bakiyeli, hareketsiz ve "kapanmış" hesapları da tarayın. Örüntü orada saklanır.
Bağımsız üçüncü kaynak. Defterin defterle karşılaştırılması bir kontrol değil, bir tekrardır. Banka ekstresi ve e-fatura verisi defterden bağımsız kaynaklardır; kontrolün gücü bu bağımsızlıktan gelir.
Son maddenin bedeli tarihten bellidir. Wirecard vakasında 2020 Haziran'ında iki Filipin bankasındaki emanet hesaplarda olduğu iddia edilen 1,9 milyar euronun hiç var olmadığı anlaşıldı — teyit yazışması vardı, para yoktu; ayrıntısını Wirecard yazımızda anlattık. Citibank–Revlon olayında ise Ağustos 2020'de 7,8 milyon dolar faiz gönderilecekken yaklaşık 900 milyon dolar anapara gönderildi; bu bir suistimal değil, kontrol tasarımı hatasıydı. Ve 1995'te Barings'i batıran zarar, 88888 numaralı hata hesabında yıllarca mutabakat dışında kaldığı için büyüdü.
Denetim tarafı: kontrolün çalıştığını gösterebilmek
Bir kontrolün varlığı ile kanıtlanabilirliği ayrı şeylerdir. Bağımsız denetime tabi bir şirkette "mutabakat yapıyoruz" cümlesi tek başına bir denetim kanıtı değildir; kimin, ne zaman, hangi kalemi, hangi gerekçeyle eşleştirdiğinin izi aranır. Sürekli denetime hazır bir mutabakat düzeninin nasıl kurulduğunu KGK denetimine hazır mutabakat yazımızda ele aldık.
Ölçek eşiği de merak ediliyor: 2026 için bağımsız denetim yükümlülüğü, genel ("diğer") şirketlerde 500 milyon TL aktif toplamı, 1 milyar TL net satış hasılatı ve 150 çalışan ölçütlerinden en az ikisinin üst üste iki hesap döneminde aşılmasına bağlı (Cumhurbaşkanı Kararı 11066, Resmî Gazete 17.03.2026 / 33199). Eşiğin altındaki şirketler için de mantık değişmez; yalnızca zorunluluk değişir.
iFinances bu tabloda nerede duruyor
iFinances bir suistimal tespit yazılımı değildir ve öyle sunulmasını doğru bulmuyoruz. Yaptığı şey daha dar ve daha somut: defter/ERP kayıtlarını, banka ekstresini ve e-fatura verisini aynı tabloya koyar; kalemleri FIFO ya da faturaya özel kapamayla eşleştirir; kısmi ödemeyi böler, toplu ödemeyi dağıtır; kuruş farkını tolerans içinde kapatır; dövizli kalemlerde TCMB resmî kurunu kullanır. Her eşleşmenin yanında yazılı gerekçe durur. Eksik fatura, mükerrer kayıt ve örüntü dışı tutar işaretlenir — karar insana bırakılır.
iFinances defter tutmaz, kayıt üretmez ve hiçbir satırı kendi başına kapatmaz. Banka ile firma unvanı arasındaki bulanık eşleştirme bile bir öneridir; onayı siz verirsiniz. Karşı tarafa güvenli bir bağlantıyla kendi ekstresini yükletebilirsiniz, karşı tarafın yazılıma ihtiyacı olmaz. Logo, SAP, Mikro, Netsis, Luca, Zirve ya da düz Excel — veri ERP'den bağımsız alınır.
Katkısı tek cümleyle şudur: mutabakatı yılda bir yapılan bir yazışma olmaktan çıkarıp her ay koşan, kalem seviyesinde ve gerekçeli bir kontrole dönüştürür. ACFE verisinin işaret ettiği yer tam olarak burasıdır — kaybı ve süreyi kısaltan şey kontrolün varlığı değil, sıklığı ve derinliğidir. Cari tarafın nasıl kurulduğunu cari hesap mutabakatı sayfamızda görebilirsiniz.
Sık Sorulan Sorular
Hesap mutabakatı suistimali gerçekten yakalar mı?
ACFE 2024'e göre vakaların %5'inde ilk tespit yöntemi hesap mutabakatı olmuştur; bu oran "tesadüfen" kategorisiyle aynıdır. Ancak "ilk haber veren yöntem" ile "işe yarayan kontrol" aynı şey değildir. Mutabakat çoğu şirkette yılda bir ve yalnızca bakiye seviyesinde yapıldığı için alarm üretme şansı düşüktür. Rapor, proaktif veri izleme ve analizini medyan kaybı ve süreyi yaklaşık yarıya indiren kontroller arasında gösteriyor. Kalem seviyesinde ve aylık koşan bir mutabakatın da aynı yöne çalışmasını bekliyoruz; ancak ACFE bunu ayrı bir kategori olarak ölçmez. "Mutabakat suistimali çözer" demek veriden çıkmaz; "mutabakat çalıştırılmadığı için susar" demek çıkar.
Suistimallerin en çok hangi yolla ortaya çıktığı biliniyor mu?
ACFE 2024 sıralaması şöyle: ihbar %43, iç denetim %14, yönetim gözden geçirmesi %13, belge incelemesi %6, hesap mutabakatı %5, tesadüfen %5. İhbarın açık ara önde olması, insan kanallarının prosedürlerden daha sık ve daha erken sinyal ürettiğini gösterir. Bu yüzden ihbar hattı ile veri temelli kontroller birbirinin alternatifi değil, tamamlayıcısıdır.
Bir suistimal ortalama ne kadar sürede fark ediliyor?
ACFE 2024 raporunda medyan tespit süresi 12 ay, medyan kayıp 145.000 dolar olarak veriliyor. Süre ile tutar birbirine bağlıdır: olay ne kadar uzun sürerse tekrar eden ödemeler o kadar birikir. Rapor, proaktif veri izleme ve analizini hem medyan kaybı hem süreyi yaklaşık yarıya indiren kontroller arasında gösteriyor.
Şirketler gelirlerinin %5'ini suistimale mi kaybediyor?
ACFE bu oranı raporlar, ancak bunun bir ölçüm değil tahmin olduğunu belirtmek gerekir: sertifikalı suistimal denetçilerine sorulan bir anketten çıkan tipik kayıp tahminidir. Bütçeye yansıtılacak bir kalem gibi değil, sorunun büyüklüğüne dair kaba bir işaret olarak kullanılmalıdır.
Küçük bir şirkette mutabakatı sıklaştırmak pratikte mümkün mü?
Kalem sayısı azken elle de mümkündür; sorun hacim büyüdüğünde başlar. Pratik eşik, tek bir dönem mutabakatının bir çalışma gününü aşmaya başladığı andır. O noktadan sonra çözüm daha çok mesai değil, eşleştirmenin otomatikleştirilip yalnızca istisnaların insana gelmesidir. Küçük yapılarda önce kapsamı genişletmek (sıfır bakiyeli hesapları da taramak) çoğu zaman sıklığı artırmaktan daha fazla getirir.
✦ iFinances — Görmediğini gör.
