Kurumsal Kriz Anında İlk 72 Saat: Delil Koruma Protokolü

Telefon çoğu zaman mesai bittikten sonra çalar. Muhasebe müdürü aynı tedarikçiye iki kez ödeme yapıldığını ve ikinci ödemenin gittiği hesabı kimsenin tanımadığını söyler. Ya da bir müşteri kendi bilgilerinin bir forumda satışa çıkarıldığını yazar; etik hattına bir direktör hakkında tarih ve tutar içeren bir ihbar düşer. O anda akla gelen ilk soru "kim yaptı?" olur. İlk saatlerde sorulması gereken soru ise başkadır: Önümüzdeki üç gün içinde atacağımız hangi adım geri alınamaz?

Kurumsal kriz delil koruma, bu soruya verilen disiplinli cevaptır. Kriz dosyalarında sık görülen bir örüntü vardır: Delilin bir kısmını şüpheli değil, kurumun iyi niyetli refleksi yok eder. Panikle toplanan bilgisayarlar, "zarar kontrolü" için silinen e-postalar, öfkeyle yapılan bir yüzleşme ve herkesi bilgilendirmek için gönderilen bir toplu e-posta, birkaç saat içinde sonraki ayların bütün tartışmasını belirler.

Bu rehber krizin ilk 72 saatini bir karar disiplini olarak ele alıyor: ilk saatte cevaplanacak dört soru, delili yok eden refleksler, saklama askısı (legal hold) kararının zamanlaması ve kapsamı, hangi kaydın önce dondurulacağı, "bilmesi gereken" kriz ekibi, iç iletişimin dili, gerçekten işleyen yasal süreler, dış uzmanın çağrılma anı ve 0–6, 6–24, 24–72 saatlik eylem planı. 72 saat bir kanun terimi değildir. Kişisel veri ihlalindeki bildirim süresi dışında, kararların en hızlı ve en az düşünülerek verildiği dönemi tarif eden bir yönetim penceresidir.

Kurumsal kriz delil koruma nedir ve neden ilk 72 saatte kazanılır ya da kaybedilir?

Kurumsal kriz delil koruma, bir suistimal şüphesi veya ihbar ortaya çıktığı andan itibaren olayla ilgili kayıtların değişmeden, kaybolmadan ve hukuka uygun biçimde güvenceye alınması için verilen ilk kararlar bütünüdür. İlk 72 saat belirleyicidir, çünkü bu sürede üç ayrı güç aynı anda delilin aleyhine işler.

Birincisi kayıtların kendi takvimidir. Kamera kayıt cihazları disk dolduğunda en eski görüntünün üzerine yazar; sunucu, güvenlik duvarı ve uygulama logları belirli aralıklarla döner; e-posta sistemlerinde silinen ileti bir süre sonra kalıcı olarak kaybolur; sohbet uygulamalarındaki süreli mesaj ayarları kendiliğinden çalışır. Bu sürelerin hiçbiri krizden haberdar değildir ve hiçbiri sizin toplantınızı beklemez.

İkincisi bilginin yayılma hızıdır. Kriz birkaç kişinin ağzına düştüğünde, iddianın muhatabının durumu öğrenmesi çoğu zaman saatler meselesidir. Öğrenen kişi dosya silebilir, birlikte hareket ettiği kişilerle konuşabilir, eksik malı yerine koyabilir ya da kendi anlatısını hazırlayabilir. Bu davranışların bir kısmı ayrıca suç da olabilir; ama sonradan suç olduğunun gösterilmesi, kaybolan kaydı geri getirmez.

Üçüncüsü kurumun kendi refleksidir. Yönetim bir şey yapıyor görünmek ister; bilgi işlem sistemi temizlemek, insan kaynakları kişiyi çağırmak, iletişim birimi açıklama yapmak ister. Her biri kendi alanında makul görünen bu hamleler, aynı saatlerde ve koordinasyonsuz yapıldığında delilin en büyük düşmanına dönüşür.

Bu üç güç nedeniyle ilk 72 saat üç pencereye ayrılır. İlk altı saat dondurma ve karar penceresidir: zararı durdurmak, otomatik silmeyi askıya almak ve kriz ekibini kurmak. Altıncı ile yirmi dördüncü saat arası çerçeve penceresidir: kapsam, hipotezler, yasal süreler ve dış uzman kararı. Yirmi dördüncü ile yetmiş ikinci saat arası doğrulama ve plan penceresidir: ilk inceleme, ilk durum notu ve sonraki adımların takvimi. Ayrıntılı eylem planı yazının ilerleyen bölümünde bir tablo olarak yer alıyor.

Kriz türleri farklı izler bırakır ve her birinde ilk risk altındaki kayıt başkadır:

İlk saatte dört soru: zarar sürüyor mu, kim karışmış, ne kayboluyor, hangi süre işliyor?

Krizin ilk saatinde yapılacak iş araştırmak değil, sonraki bütün kararların çerçevesini çizecek dört soruyu cevaplamaktır. Cevapların kesin olması gerekmez; "bilmiyoruz" da bir cevaptır, yeter ki saatiyle yazılsın.

Zarar hâlâ sürüyor mu?

Krizin bir kısmı geçmişte kalmıştır: Para çıkmış, veri sızmış, fatura ödenmiştir. Bir kısmı ise sürüyor olabilir: ödeme listesinde bekleyen yeni bir fatura, hâlâ açık bir erişim yetkisi, her gece çalışan bir dışa aktarım. Devam eden bir zarar varsa ilk öncelik onu durdurmaktır; delil koruma, zararın sürmesine izin vermenin gerekçesi olamaz.

Durdurmanın da delili koruyan ve bozan yolları vardır. Bekleyen bir ödemeyi "bu tedarikçiye ödeme yapılmayacak" duyurusuyla değil, olağan ikinci onay adımında tutarak askıya almak hem zararı durdurur hem de kimseyi uyarmaz. Aktif bir veri aktarımı söz konusuysa erişim hemen kesilir; ama kesmeden hemen önce ya da aynı dakikalar içinde ilgili oturumun ve hesabın kayıtları dışa aktarılır ve kesme işleminin saati yazılır. Parola sıfırlama, hesap kapatma ve cihazı ağdan ayırma gibi müdahaleler kendileri de log üretir; bu logların korunması, sonradan "erişimi kim, ne zaman ve neden kesti?" sorusunu cevaplar.

Karşı görüş: "Biraz bekleyelim, suçüstü yakalayalım"

Bazı yöneticiler zararın bir süre daha sürmesine izin verip faili "suçüstü" yakalamayı önerir. Bu yaklaşımın iki sorunu vardır. Birincisi, şirket bilerek zarara katlanmış olur; bu, yöneticilerin özen yükümlülüğü ve olası sigorta tazmini bakımından savunulması zor bir tablodur. İkincisi, TCK m.278 işlenmekte olan bir suçu ve sonuçlarının sınırlandırılması hâlâ mümkün olan bir suçu yetkili makamlara bildirmemeyi ayrı bir suç olarak düzenler. Bu hükmün somut bir şirket yöneticisine uygulanıp uygulanmayacağı olayın ayrıntılarına bağlıdır; ama "bekleyelim" kararı en azından avukatla birlikte ve gerekçesi yazılarak verilmelidir. Kolluğun yürüttüğü bir işlem ise ayrı bir konudur ve şirketin kendi başına kuracağı bir tuzakla karıştırılmamalıdır.

Kim karışmış olabilir ve kararı kim verecek?

İkinci soru iddianın kimi kapsadığıdır, çünkü bu cevap kriz ekibinin bileşimini belirler. İddia bir depo görevlisini ilgilendiriyorsa karar hattı olağandır. Bir bölge direktörünü, finans müdürünü ya da yönetim kurulu üyesini ilgilendiriyorsa, olağan karar hattının kendisi şüphe çemberinin içindedir. Bu durumda ilk saatte yapılacak iş, iddianın muhatabını ve onun raporlama hattını bilgi akışının dışına çıkarmak ve kararı çıkar çatışması olmayan bir makama taşımaktır.

Aynı soru bilgi işlem için de sorulur. En geniş erişime sahip kişiler sistem yöneticileridir. İddia bu çevreye yakınsa, koruma talimatı şirket dışından bir adli bilişim uzmanıyla birlikte uygulanır ve iç bilgi işlem ekibine yalnızca uygulama için gereken kadar bilgi verilir.

Hangi kayıt kendiliğinden kayboluyor?

Üçüncü soru, hangi kaydın kimse dokunmadan yok olacağıdır. İlk saatte ayrıntılı bir envanter gerekmez; üç bilgi yeter: Kamera kayıt cihazları kaç gün geriye gidiyor, e-posta sisteminde silinen ileti ne kadar süre geri getirilebiliyor ve ilgili sistemlerin logları hangi sıklıkla dönüyor? Bu üç cevap ilk altı saatin önceliklerini belirler. Uçuculuk sırasına göre ayrıntılı koruma listesi saklama askısı bölümünde yer alıyor.

Hangi süre işlemeye başladı?

Dördüncü soru, krizle birlikte hangi dış saatlerin çalışmaya başladığıdır. Kişisel veri içeren bir ihlalde Kişisel Verileri Koruma Kurulu'na bildirim süresi, iş hukuku dosyalarında haklı fesih süresi, bazı sigorta poliçelerindeki bildirim şartı ve payları borsada işlem gören şirketlerde kamuyu aydınlatma yükümlülüğü bu saatlerin başlıcalarıdır. Hangisinin gerçekten işlediğini, hangisinin yalnızca bir baskı hissi olduğunu süreler bölümünde ayırıyoruz. İlk saatte yapılacak iş, her birinin başlangıç anını, yani kimin neyi ne zaman öğrendiğini yazmaktır.

Delili yok eden refleksler: iyi niyetli panik hangi izleri siler?

Kriz anında delili en sık yok eden dört refleks şunlardır: cihazları panikle toplamak ve kurcalamak, e-postaları silmek ya da geri çağırmak, iddianın muhatabıyla erken yüzleşmek ve durumu toplu bir e-postayla duyurmak. Dördü de kötü niyetten değil, sorumluluk duygusundan doğar. Bu yüzden kimse onları hata olarak görmez; ta ki aylar sonra bir bilirkişi raporunda ya da karşı tarafın dilekçesinde karşısına çıkana kadar.

Panikle cihaz toplamak: zamanlama, durum ve tutanak

Şirkete ait bir cihazı teslim almak meşru bir adımdır; sorun, bu adımın zamanı ve biçimidir. Bir sabah bütün birimin bilgisayarlarının toplanması, iddianın muhatabına krizden haberdar olunduğunu duyurmanın en gürültülü yoludur. Üstelik cihazdaki verinin önemli bir bölümü çoğu zaman sunucuda, e-posta sisteminde ya da bulutta da bulunur. Önce oraların korunması, cihaz teslimini acil olmaktan çıkarır ve planlı bir adıma dönüştürür.

Cihaz teslim alınacaksa üç kurala uyulur. Birincisi durum korunur: Kapalı bir cihaz "içinde ne var" diye açılmaz, açık bir cihaz ise adli bilişim uzmanı karar vermeden kapatılmaz. Tam disk şifrelemesi kullanılan bir bilgisayar kapandığında, kurtarma anahtarına erişim yoksa içeriğe ulaşmak zorlaşabilir; çalışan bellekteki oturum bilgileri ise kapanışla birlikte kaybolur. İkincisi teslim yazılır: kimden ve kim tarafından alındığı, saat, cihazın açık mı kapalı mı olduğu, ekranın kilitli olup olmadığı, şarj durumu, seri numarası ve görünür hasar. Üçüncüsü cihaz mühürlü bir zarf veya kutuda, erişimi kayıtlı bir yerde saklanır; inceleme orijinal üzerinde değil, alınacak imaj üzerinde yapılır.

Şirket cihazı ile kişisel cihaz arasındaki çizgi ise kriz anında en sık aşılan çizgidir. Panik, "zaten şüpheli, telefonuna da bakalım" düşüncesini meşru gösterebilir; hukuk göstermez.

E-postayı silmek ve geri çağırmak: hasar kontrolü delil kaybına dönüşmemeli

Yanlış kişiye giden bir müşteri listesi, sızdırılmış bir iç yazışma ya da bir yöneticinin uygunsuz bir e-postası ortaya çıktığında ilk refleks, iletiyi her yerden silmektir. Bazı kurumsal e-posta platformları, yöneticinin bir iletiyi bütün kutulardan tek komutla kaldırmasına izin verir. Bu işlem hasarı sınırlar gibi görünür, ama aynı anda sorunun en değerli cevabını da siler: İleti kimlere ulaştı, kim açtı, kim nereye iletti?

Doğru sıra, önce iletiyi tam başlık bilgileriyle ve orijinal biçimde dışa aktarmak, sistemin ileti izleme kaydından dağıtım listesini almak, bu dosyaların hash değerlerini yazmak ve ancak bundan sonra erişimi sınırlamaktır. Kaldırma gerçekten gerekiyorsa, karar ve saati karar günlüğüne yazılır. Böylece sonradan yöneltilebilecek "şirket delili sildi" itirazına karşı neyin, neden ve hangi kopyası korunarak kaldırıldığı gösterilebilir.

Bir de yöneticilerin kendi kutularını temizleme isteği vardır. Krizle ilgili konuda kendisini zor durumda bırakacak yazışmaları silen bir yönetici, uyuşmazlık öngörülebilir hâle geldikten sonra hareket ettiği için hem ispat hukukunda aleyhe yorumlanma riskiyle hem de koşulları varsa suç delillerini yok etme (TCK m.281) tartışmasıyla karşılaşabilir. Kriz ilan edildiği anda kimse, kendi kutusu da dahil, krizle ilgili hiçbir şeyi silmez. Bu cümle karar günlüğünün ilk satırlarından biri olmalıdır.

Erken yüzleşme: görüşme neden en sona kalır?

İddianın muhatabıyla konuşmak er ya da geç gerekir; hem iş hukukundaki savunma hakkı hem de tarafsız bir inceleme bunu ister. Sorun görüşmenin zamanıdır. Kayıtlar korunmadan, belgeler incelenmeden ve somut sorular çıkmadan yapılan bir görüşme, kişiye karşısındakilerin ne bildiğini ve ne bilmediğini öğretir. Bu bilgiyle kişi silebileceğini siler, konuşabileceği kişiyle konuşur ve belgelere uyan bir anlatı kurar.

Erken yüzleşmenin ikinci riski görüşmenin kendisidir. Öfkeyle yapılan bir konuşmada söylenen "istifa etmezsen savcılığa gideriz" cümlesi tehdit tartışmasına, kapısı kilitlenmiş bir odada saatlerce süren bir görüşme kişiyi hürriyetinden yoksun kılma tartışmasına dönüşebilir. Baskı altında imzalatılan bir kabul beyanı ise ilk itirazda değerini yitirir. Bu nedenle ilk 72 saatte görüşme yapılmaz, planlanır: kimin yapacağı, hangi belgelere dayanacağı, nerede ve kimlerin hazır bulunacağı, savunma usulünün nasıl işleyeceği. İstisna, can güvenliğinin ya da devam eden bir zararın ancak kişiyle konuşarak korunabileceği durumlardır; o zaman bile konuşma kısa, olgu odaklı ve tanıklı tutulur.

Toplu e-postayla duyurmak: şeffaflık sanılan sızıntı

Söylentinin yayılmaya başladığı bir şirkette yönetim, sessiz kalmanın şüpheyi büyüteceğini düşünür ve "Bir birimimizde usulsüzlük tespit edilmiştir, gerekli işlemler başlatılmıştır" türünden bir toplu e-posta gönderir. Bu e-posta krizin en geniş sızıntısıdır. Olası iş birlikçilere zaman kazandırır, tanıkların neyi hatırlayacağını etkiler, basına ve rakiplere ulaşması dakikalar alır ve henüz doğrulanmamış bir iddiayı şirketin resmî görüşüne dönüştürür.

Kişi adı yazılmasa bile, birimi ve görevi tarif eden bir duyuru herkesin kimin kastedildiğini anlamasına yeter. İddia sonunda doğrulanmazsa, şirket kendi eliyle yaydığı bir ithamın sonuçlarıyla baş başa kalır; doğrulansa bile, karşı taraf bu duyuruyu "sonuca baştan karar verilmişti" itirazının dayanağı yapar.

Saklama askısı (legal hold): ilk altı saatte kim, neyi, hangi sırayla dondurur?

Saklama askısı, kriz ilan edildiği andan itibaren olayla ilgili kişilerin ve sistemlerin verilerinin olağan silme, yeniden kurma ve imha süreçlerinden çıkarılmasıdır. Krizde bu karar ilk altı saat içinde verilir; çünkü askı geciktikçe karar, kayıtların kendi takvimine bırakılmış olur. Askının genel mantığını, tetikleyicilerini ve bildirim metninin içeriğini dijital iz silme ile delil karartma arasındaki sınırı anlatan yazıda ayrıntılı ele aldık. Kriz anında ise üç ek soru öne çıkar: Hangi kayıt önce dondurulur, iddianın muhatabı kapsamdayken bildirim nasıl sıralanır ve şirketin dışındaki kayıtlar için ne yapılır?

Uçuculuk sırası: önce kaybolacak olanı korumak

Bütün kayıtları aynı anda korumak mümkün değildir; ilk saatlerde bilgi işlem ekibinin kapasitesi sınırlıdır. Bu yüzden sıra, kaydın önemine göre değil, kaybolma hızına göre kurulur. Önemli ama kalıcı bir kayıt, örneğin muhasebe sistemindeki yevmiye kayıtları, birkaç gün bekleyebilir. Daha az önemli görünen ama kendiliğinden silinen bir kayıt, örneğin kapı geçiş sisteminin kısa döngülü logu, beklemez.

Tablodaki süreler kesin değildir; her şirkette sistem ayarına göre değişir ve ilk saatte cevaplanan "hangi kayıt kendiliğinden kayboluyor?" sorusunun cevabıyla güncellenir. Dışa aktarılan her dosya için hash değeri alınması ve teslimlerin tutanağa bağlanması, sonraki tartışmayı içerik üzerinde tutar. Bu işlemlerin nasıl yapıldığını delil zincirinin dokuz halkasını anlatan rehberde adım adım anlattık; burada yalnızca sıraya ve zamanlamaya odaklanıyoruz.

İddianın muhatabı kapsamdayken bildirim sırası

Olağan bir saklama askısında verisi korunan herkese yazılı bildirim gider ve okunduğu teyit edilir. Kriz dosyalarında ise iddianın muhatabı da çoğu zaman bu kişilerden biridir. Ona sabah dokuzda "e-postalarınızı silmeyin" yazmak, aslında "hakkınızda bir şey var" demektir.

Bu yüzden sıra şöyle kurulur. Önce teknik koruma yapılır: Bilgi işlem, kişinin adını değil birimin ve dönemin adını içeren bir talimatla e-posta kutularını, logları ve yedekleri korur. Bu koruma kişinin kendi kutusundaki silme işlemlerini de geri getirilebilir kılar. İkinci adımda, muhatabın dışında kalan ve verisi korunan çalışanlara bildirim yapılır; bildirimin kapsamı muhatabı işaret etmeyecek genişlikte, ama yine de belirli bir konu ve tarih aralığıyla tanımlanır. Muhataba yazılı bildirim ise görüşme planının bir parçası olarak, görüşmeden hemen önce ya da görüşmede verilir.

Bu sıralama gizli bir izleme yöntemi değildir. Şirket, zaten kendi sisteminde bulunan kurumsal kayıtları silinmekten korumaktadır; çalışanın kişisel cihazına, kişisel hesabına veya özel yazışmasına dokunmamaktadır. Yine de sıralamanın gerekçesi karar günlüğüne yazılmalı ve avukatla birlikte belirlenmelidir. Kurumsal kayıtların korunması KVKK m.5/2-e'deki "bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması" ile m.5/2-f'deki meşru menfaat şartları çerçevesinde değerlendirilir; ama bu şartlar ölçülülüğü ortadan kaldırmaz. Koruma, iddiayla bağlantılı birim, konu ve dönemle sınırlı tutulur.

Şirketin dışındaki kayıtlar: tedarikçi, ajans, banka ve bulut sağlayıcı

Kriz dosyalarının önemli bir bölümünde kritik kayıt şirketin dışında durur. Sahte fatura dosyasında tedarikçinin sevk belgeleri, ajans dosyasında etkinlik görüntüleri, ödeme dolandırıcılığında ise paranın gönderildiği bankanın kayıtları bunlara örnektir. Bu kayıtlar üzerinde şirketin doğrudan bir kontrolü yoktur ve hepsi aynı yolla korunmaz.

Şirketin sözleşmeyle hizmet aldığı bulut ve yazılım sağlayıcılarında kayıtlar çoğu zaman şirketin kendi yönetim panelinden dışa aktarılabilir ya da sağlayıcıdan sözleşme çerçevesinde talep edilebilir. Hatalı veya hileli bir ödeme söz konusuysa, kendi bankanızı derhal arayıp işlemi bildirmek ve yazılı başvuruyu aynı gün yapmak, paranın karşı hesapta tutulma ihtimalini artırabilir; bu bir kanuni süre değil, pratik bir aciliyettir. Tedarikçi veya ajans ise iddianın tarafı olabileceğinden, ona yazılı saklama talebi göndermek uyarı etkisi doğurur. Bu karar avukatla birlikte verilir: Bazı dosyalarda saklama talebi içeren bir ihtarname doğru hamledir; bazılarında ise önce HMK m.400'deki delil tespiti ya da savcılığa başvuru yolu değerlendirilir. Mahkeme yoluyla delil tespiti için hukuki yarar gerekir; delilin hemen tespit edilmezse kaybolacağı ya da ileride ikamesinin zorlaşacağı ihtimali bu yararın tipik görünümüdür.

Kontrol listesi: Altıncı saatte saklama askısı

• [ ] Askının başladığı saat, kararı veren kişi ve gerekçe karar günlüğüne yazıldı.
• [ ] Kamera, log ve e-posta saklama süreleri öğrenildi; en hızlı kaybolacak kayıtlar önce dışa aktarıldı.
• [ ] Bilgi işleme verilen talimat kişi adı değil birim, sistem ve tarih aralığı içeriyor.
• [ ] Kapsamdaki kişiler için ayrılış iş akışı, cihaz yeniden kurulumu ve hesap silme durduruldu.
• [ ] İlgili dönemin yedeği rotasyondan çıkarıldı.
• [ ] Dışa aktarılan her dosyanın hash değeri ve teslim tutanağı hazır.
• [ ] Muhatap dışındaki verisi korunan çalışanlara bildirim gönderildi ya da gönderim saati planlandı.
• [ ] Şirket dışındaki kayıtlar (banka, bulut, tedarikçi) listelendi; her biri için yol avukatla belirlendi.

"Bilmesi gereken" kriz ekibi: kim içeride, kim dışarıda kalır?

Kriz ekibi, ilk 72 saatte karar veren ve bilgiye erişen kişilerin isim isim yazılmış listesidir; çoğu dosyada üç ile beş kişiyi geçmez. Bilmesi gereken (need-to-know) ilkesinin soruşturma boyunca nasıl uygulanacağını ve rollerin neyi ne zaman öğreneceğini girişte andığımız şirket içi soruşturma rehberinde tablo hâlinde anlattık. Kriz anında ise ekip, sakin bir soruşturma planından farklı bir baskı altında kurulur: Herkes yardım etmek ister, her yönetici bilgilendirilmeyi kendi hakkı sayar ve ilk toplantıya davet edilen her kişi listeye kalıcı olarak girer.

Ekip üç halkada düşünülür. Çekirdek halka kararları verir ve karar günlüğünü tutar: genellikle bir karar sahibi, hukuk müşaviri veya dış avukat ve krizin türüne göre bir uzman yönetici. Danışılan halka yalnızca kendi alanındaki adımı uygulamak için gereken kadar bilgi alır: bilgi işlem, insan kaynakları, finans. Dış halka ise kriz ekibinin bilinçli olarak dışarıda tuttuğu kişilerdir: iddianın muhatabı, onun raporlama hattı, birlikte çalıştığı ve ilk aşamada tarafsızlığı belirsiz olan kişiler.

Tablonun en zor satırı yönetici suistimalidir. Genel müdür, finans direktörü veya bir yönetim kurulu üyesi hakkında bir iddia geldiğinde olağan karar hattı kendiliğinden şüphe çemberine girer. Anonim şirketlerde TTK m.375 yönetimle görevlendirilmiş kişilerin gözetimini yönetim kurulunun devredilemez görevleri arasında sayar; m.393 ise kişisel menfaatiyle şirket menfaati çatışan üyenin o konudaki müzakerelere katılmasını yasaklar. Pratikteki karşılığı şudur: Kriz ekibi, iddianın muhatabının yer almadığı bir organdan yetki alır ve bu yetki yazılı hâle getirilir. Aile şirketlerinde muhatap çoğu zaman bir aile üyesidir; burada da kural aynıdır, ama uygulaması daha zordur ve dış avukatın rolü daha büyüktür.

Ekip nasıl çalışır: kod ad, kanal ve tek nüsha

Ekibin çalışma biçimi en az bileşimi kadar önemlidir. Dosyaya bir kod ad verilir; e-posta konu satırlarında, takvim davetlerinde ve toplantı odası rezervasyonlarında kişi adı ve iddia yazılmaz. Takvim daveti özellikle gözden kaçar: Davet listesindeki bir isim ve konu satırındaki bir kelime, ortak takvimleri görebilen herkese krizin varlığını duyurur.

Kanal seçimi de bir karardır. Yönetici suistimali dosyalarında, şirketin kendi e-posta sistemi iddianın muhatabının izleyebildiği bir ortam olabilir; yüksek yetkili bir yöneticinin ya da sistem yöneticisinin kutulara erişim yetkisi bulunabilir. Bu durumda kriz ekibi ilk günlerde yetki yapısı bilinen ayrı bir kanalla, örneğin avukatın sağladığı bir paylaşım alanıyla çalışır. Ekip üyelerinin kişisel telefonlarında bir mesajlaşma grubu kurmak ise cazip ama sorunludur: Kararlar dağınık cihazlara yayılır, grup sonradan bir delil hâline gelir ve kimin neyi ne zaman bildiği tartışmalı olur.

Belgeler tek bir klasörde tutulur ve klasöre kimin, ne zaman eriştiği kaydedilir. Toplantı notları dağıtılmaz; karar günlüğü tek nüshadır ve tek bir kişi tarafından tutulur. Ekibe sonradan biri eklenirse bu da günlüğe yazılır: hangi tarihte, hangi gerekçeyle ve hangi bilgiye erişim verilerek.

İç iletişim disiplini: kime, ne zaman, hangi cümleyle?

Kriz anında iç iletişimin kuralı basittir: Süreç anlatılır, kişi anlatılmaz; olgu söylenir, sonuç söylenmez. İlk 72 saatte iletişimin amacı herkesi bilgilendirmek değil, söylentiyi büyütmeden işlerin yürümesini sağlamak, tanıkları etkilememek ve ileride doğru çıkmayabilecek hiçbir cümleyi şirketin resmî görüşü hâline getirmemektir.

Bunu yapmanın en güvenli yolu, kitleleri baştan ayırmak ve her biri için hazırda bekleyen kısa bir metin yazmaktır. Hazır metin, telefon çaldığında doğaçlama yapılmasını önler. Metinler kriz ekibinde avukatla birlikte onaylanır ve karar günlüğüne eklenir.

Kişisel veri ihlallerinde müşterilere ve diğer ilgili kişilere bildirim ayrıca KVKK'nın gereğidir; Kurul kararı bu bildirimin makul olan en kısa sürede, kişiye doğrudan ulaşılamıyorsa veri sorumlusunun internet sitesi gibi uygun yollarla yapılmasını ister. Bu bildirimin metni, iç soruşturmanın dilinden ayrı tutulmalıdır: İlgili kişiye kendi verisinin ne olduğunu ve neler yapabileceğini anlatır, şirket içindeki kişileri değil.

Söylenti, sızıntı ve ikinci dalga

Kriz ekibi ne kadar dar tutulursa tutulsun, bazı dosyalarda haber yayılır. Söylenti yayıldığında yapılacak şey onu yalanlamak değil, kanalı daraltmaktır. Bekleme açıklaması yapılır, bilgisi olanların başvuracağı tek bir kişi belirtilir ve bu kişiye gelen her bilgi tarihli olarak kayda alınır. Söylentiye cevap olarak ayrıntı vermek, bir sonraki söylentiyi daha ayrıntılı hâle getirmekten başka bir işe yaramaz.

Bir de ikinci dalga vardır: İddianın muhatabı durumu öğrendiğinde kendi iletişimini başlatabilir. Meslektaşlarına haksızlığa uğradığını yazabilir, müşterilerle ya da tedarikçilerle konuşabilir, sosyal medyada paylaşım yapabilir. Bu davranışlara aynı tonda cevap vermek krizi ikiye katlar. Kamuya açık paylaşımların tarihli ve bütünlüğü korunmuş kopyalarını almak yeterlidir; tepki ise avukatla birlikte ve gerektiğinde hukuki yollarla verilir.

Yöneticilerin kendi ekiplerine "aramızda kalsın" diye yaptığı açıklamalar da iletişim disiplininin dışında değildir. Kriz ekibinin dışındaki bir yöneticiye bir şey söylendiyse, ona ne söylendiği ve kime söylememesi gerektiği de karar günlüğüne yazılır.

Gerçek süreler ve sahte aciliyet: hangi saat gerçekten işliyor?

Kriz anındaki zaman baskısının bir kısmı hukuktan, bir kısmı sözleşmelerden, bir kısmı teknik sistemlerden, bir kısmı ise yalnızca panikten gelir. İlk 24 saatte yapılacak en yararlı işlerden biri bu baskıları ayırmaktır: Gerçek bir süre kaçırılmamalı, sahte bir aciliyet ise geri alınamaz bir karara gerekçe yapılmamalıdır.

KVKK'daki 72 saat, krizin 72 saatiyle aynı şey değildir

Kişisel veri ihlalindeki bildirim süresi, kriz yönetiminde en sık yanlış okunan süredir. İlk yanılgı, süreyi iç soruşturmanın sonucuna bağlamaktır: "Önce kimin sızdırdığını bulalım, sonra bildiririz." Kurul kararı süreyi ihlalin öğrenilmesinden başlatır ve bütün bilgilerin aynı anda verilememesi hâlinde aşamalı bildirime izin verir. Sızdıranın kimliği bildirimin şartı değildir; bildirimin konusu, hangi verinin, kimlere ait olarak ve hangi yolla başkalarınca elde edildiğidir.

İkinci yanılgı, her krizi veri ihlali saymaktır. Sahte fatura dosyasında kural olarak bir veri ihlali yoktur. Hangi olgunun ihlal sayılacağı ve öğrenme anının ne zaman başladığı, avukatla ve varsa veri koruma sorumlusuyla ilk 24 saat içinde değerlendirilir; değerlendirmenin sonucu, olumsuz olsa bile, gerekçesiyle yazılır. Kurul kararı veri sorumlusunun ihlalleri, etkilerini ve alınan önlemleri kayıt altında tutmasını da ister.

İş hukuku saati: 72 saat içinde fesih zorunluluğu yoktur

Bazı yöneticiler İş Kanunu m.26'daki altı iş günlük süreyi, krizin ilk günlerinde fesih yapılması gerektiği biçiminde anlar. Oysa süre, feshe yetkili makamın fesih sebebini öğrenmesiyle başlar; bir söylentinin ya da doğrulanmamış bir ihbarın masaya gelmesiyle değil. İlk 72 saatte elde çoğu zaman şüphe vardır, ispatlanmış olgu değil. Bu dönemde yapılacak iş, kimin neyi ne zaman öğrendiğini karar günlüğüne yazmak ve soruşturmanın makul bir takvimle yürütüldüğünü gösterebilmektir.

Savunma da bu takvimin parçasıdır. İş Kanunu m.19, işçinin davranışı veya verimiyle ilgili nedenlerle yapılan geçerli fesihte savunma alınmasını şart koşar; m.25/II'ye dayanan haklı fesihte bu şart aranmaz. Yine de savunma almak olguları netleştirir, işçinin açıklamasını test etme imkânı verir ve dosyayı mahkeme önünde güçlendirir. Haklı fesih kararının hangi delil düzeyini gerektirdiğini haklı fesih için delil standardını anlatan yazıda ayrıca inceledik.

Dış uzmanı ne zaman çağırmalı: avukat, adli bilişim, dedektif?

Dış uzman çağırmanın doğru anı, uzmanın yapacağı işin yerine birinin "bir bakmak" isteyeceği andan öncesidir. Avukat ilk saatte, adli bilişim uzmanı herhangi bir cihaza dokunulmadan önce, dedektif ise olgular şirket sistemlerinin dışına taştığında ve hukuki çerçeve çizildikten sonra devreye girer. Geç çağrılan uzman, delili korumak yerine başkalarının bıraktığı izleri ayıklamakla uğraşır.

Dedektifin rolü: şirket dışındaki olguyu hukuka uygun biçimde doğrulamak

Bir kriz dosyasında dedektifin işi, şirketin kendi sistemlerinde cevabı bulunmayan soruları cevaplamaktır. Faturası ödenen tedarikçi gösterilen adreste gerçekten faaliyet gösteriyor mu? Aracı şirketin ortakları ve yöneticileri kimler, ticaret sicili ilanlarında hangi değişiklikler var? Ayrılan çalışan, beyan ettiği iş yerinde mi, yoksa bir rakibin tesisinde mi çalışıyor? Bu sorular kamuya açık kayıtlar, açık kaynak araştırması (OSINT) ve kamuya açık alanda yapılan gözlemle cevaplanabilir.

Dedektifin yapamayacakları da aynı açıklıkta söylenmelidir: kişisel telefona, kişisel hesaba veya e-postaya erişmek; banka, operatör ya da kamu kayıtlarını sorgulatmak; gizli ses kaydı almak; araca takip cihazı takmak; kimlik taklidiyle bilgi toplamak. Türkiye'de özel dedektifliği düzenleyen özel bir meslek kanunu ve ruhsat sistemi yoktur; bu yüzden sınırı genel hukuk kuralları, özellikle TCK'daki özel hayat ve kişisel veri suçları ile KVKK çizer. Bu sınırlar dışında elde edilen bir bilgi Anayasa m.38/6 ve HMK m.189/2 uyarınca delil olarak kullanılamaz.

Kriz anında dedektif genellikle ilk altı saatte değil, çerçeve penceresinde, yani 6 ile 24. saatler arasında devreye girer. İlk saatlerde öncelik şirket içindeki kayıtları korumaktır; dışarıdaki doğrulamanın kapsamı ise avukatla birlikte yazılı hâle getirildikten sonra çizilir.

Karşı görüş: "Dış uzman masraflı, önce kendimiz bakalım"

Her krizde bütün uzmanları çağırmak gerekmez. Tutarı küçük, kayıtları sade ve muhatabı belli bir olay, iç denetim ve avukatla yönetilebilir. Ancak "önce kendimiz bakalım" kararı, dış uzmanın yapacağı işi iç ekibin yapması anlamına geliyorsa maliyet ertelenmiş olmaz, büyür. Bilgi işlem çalışanının "bir bakmak" için açtığı cihaz, sonradan bir uzmanın ilk sayfasında "inceleme öncesi müdahale" olarak yer alır. Ölçüt şudur: İç ekibin yapacağı iş geri alınabilir mi, ve yapan kişi sonradan tarafsız bir tanık olarak dinlenebilir mi?

Saat saat eylem planı: 0–6, 6–24 ve 24–72 saat

İlk 72 saatin eylem planı üç pencereye ayrılır: 0–6 saat dondurma ve karar, 6–24 saat çerçeve, 24–72 saat doğrulama ve plan. Her pencerenin sonunda elde somut bir çıktı bulunmalıdır; "konuştuk, anlaştık" bir çıktı değildir. Aşağıdaki tablo bir şablondur. Krizin türüne, şirketin büyüklüğüne ve iddianın muhatabının konumuna göre uyarlanır; ama sıra kural olarak değişmez.

Tablodaki saatler, bir yönetim kurulu toplantısının ya da bir hafta sonunun araya girmesiyle kayabilir. Kaymanın kendisi sorun değildir; kaymanın kayda geçirilmemesi sorundur. Bir adım ertelendiğinde, neden ertelendiği ve bu sürede hangi riskin kabul edildiği karar günlüğüne yazılır.

0–6 saat: dondurmak ve karar yetkisini netleştirmek

İlk altı saatin hedefi tektir: Hiçbir şeyin kendiliğinden ya da birinin refleksiyle değişmemesi. Bu pencerede soruşturma yapılmaz, kimse sorgulanmaz, hiçbir dosya açılıp okunmaz. Yapılan her iş ya bir zararı durdurur ya bir kaydı korur ya da bir karar yetkisini netleştirir. Bu pencerenin en sık atlanan işi, krizin öğrenildiği anın kendisini yazmaktır: KVKK süresinin, iş hukuku süresinin ve şikâyet süresinin başlangıcı bu satıra bağlanacaktır.

6–24 saat: iddiayı test edilebilir hâle getirmek

İkinci pencerede iddia, doğrulanabilir ya da çürütülebilir parçalara ayrılır. "Pazarlama direktörü ajansla anlaşmış" cümlesi test edilemez; "şu üç faturadaki etkinlikler gerçekleşmemiştir" cümlesi test edilebilir. Her hipotez için cevabın hangi kayıtta olduğu yazılır ve bu kayıtların korunup korunmadığı kontrol edilir. Bu pencerenin sonunda kriz ekibi, krizi yönetmekle soruşturmak arasındaki farkı görmüş olmalıdır: Kriz yönetimi zararı ve süreleri kontrol eder; soruşturma ise olguları ortaya koyar. İkisi farklı takvimlerle yürür.

24–72 saat: ilk bulgular ve sonraki adımların takvimi

Üçüncü pencerede korunan kayıtların ilk incelemesi başlar. Amaç sonuca varmak değil, kronolojinin iskeletini çıkarmak ve açık soruları listelemektir. Bu pencerenin sonunda elde sonuç değil, plan bulunur: hangi soruların hangi yöntemle, kimin tarafından ve ne zamana kadar cevaplanacağı. Görüşme, suç duyurusu ve iş hukuku adımları bu plana bağlanır.

Kontrol listesi: 72. saatte masada olması gerekenler

• [ ] Öğrenme anını, kararları ve gerekçelerini içeren karar günlüğü.
• [ ] İsim isim yazılmış çekirdek ekip listesi ve yetkinin hangi organdan alındığını gösteren yazı.
• [ ] Saklama askısının kapsamı, dışa aktarılan kayıtların listesi ve hash değerleri.
• [ ] Cihaz durum notları, teslim tutanakları ve mühür kayıtları.
• [ ] İşleyen sürelerin takvimi: KVKK, iş hukuku, şikâyet, fatura itirazı, sigorta.
• [ ] Test edilebilir hipotezler ve her biri için aranacak kayıtlar.
• [ ] Dış uzmanların görevlendirme yazıları ve yazılı kapsamları.
• [ ] Onaylı iç iletişim metinleri ve ihbarcıyla yapılan iletişimin kaydı.
• [ ] Görüşme planı ve sonraki iki haftanın karar takvimi.

Sık yapılan hatalar

Kriz dosyalarındaki hataların çoğu bilgisizlikten değil, aynı anda çok sayıda kişinin iyi niyetle ve birbirinden habersiz hareket etmesinden doğar. Aşağıdaki hatalar, ilk 72 saate özgü olanlardır; soruşturmanın sonraki aşamalarındaki görüşme ve raporlama hataları ayrı bir konudur.

1. Krizi yönetmek ile soruşturmayı aynı şey saymak. Zararı durdurmak ve süreleri kontrol etmek ilk saatlerin işidir; kimin ne yaptığını ortaya koymak ise günler sürer. İkisini karıştıran ekip ya soruşturmayı aceleye getirir ya da zararı sürdürür.
2. Öğrenme anını yazmamak. KVKK süresi, iş hukuku süresi ve şikâyet süresi bu ana bağlanır. Aylar sonra "ne zaman öğrendiniz?" sorusuna e-posta kutularını tarayarak cevap aramak, karşı tarafa en kolay itirazı verir.
3. Kriz ekibine muhatabın raporlama hattından birini almak. İyi niyetli bir direktör bile, bağlı olduğu yöneticiye karşı yürütülen bir kararda tarafsız görünmez; bilgiyi koruyamayabilir de.
4. Bilgi işleme kişi adıyla talimat vermek. Talimat birim, sistem ve tarih aralığıyla verildiğinde aynı teknik sonuç, şüpheyi yaymadan elde edilir.
5. Saklama askısını yalnızca e-postaya uygulamak. Kamera döngüsü, yedek rotasyonu, ayrılış iş akışı ve sohbet platformlarının silme ayarları unutulduğunda en hızlı kaybolan kayıtlar korumasız kalır.
6. KVKK bildirimini soruşturmanın sonucuna bağlamak. Sızdıranın kimliği bildirimin şartı değildir; 72 saat ihlalin öğrenilmesinden işler ve eksik bilgiler aşamalı olarak tamamlanabilir.
7. Tedarikçiyi veya ajansı arayıp hesap sormak. İddianın tarafı olabilecek birine yapılan bir telefon, kayıtların düzeltilmesine ve sonradan "eksik kalan" belgelerin üretilmesine kapı açar.
8. Kişisel telefon ve hesaplara uzanmak. Kriz, çalışanın kişisel cihazını açmanın ya da özel yazışmasını okumanın gerekçesi olamaz; bu adım hem suç tartışması doğurur hem de elde edilen bilgiyi kullanılamaz kılar.
9. Kişisel telefonlarda kriz grubu kurmak. Kararlar dağınık cihazlara yayılır, grup sonradan bir delil hâline gelir ve kimin neyi ne zaman bildiği tartışmalı olur.
10. Sigorta poliçesini okumamak. Çalışan sadakatsizliği, siber risk veya yönetici sorumluluk poliçelerinin bildirim şartı, ilk günlerde kaçırıldığında tazminatı tartışmalı kılabilir.
11. 72. saatte durmak. Eylem planı bir başlangıçtır. 72 saatin sonunda bir soruşturma planı ve karar takvimi yoksa, ilk günlerde korunan kayıtlar kimsenin incelemediği bir arşive dönüşür.

Kanıt Dedektiflik bu süreçte ne yapar?

Kanıt Dedektiflik kriz dosyalarında şirketin iç kayıtlarının yerine geçmez; avukatınızın çizdiği çerçevede, şirket sistemlerinin dışında kalan olguları hukuka uygun yollarla doğrular. Her dosya, talebin yasal olup olmadığını değerlendirdiğimiz Hukuka Uygunluk Ön Testi ile başlar. Kişisel telefona veya hesaba erişim, banka ya da operatör kaydı sorgulatma, gizli ses kaydı veya araca takip cihazı gibi talepler bu aşamada reddedilir. Kriz dosyalarında çoğunlukla çerçeve penceresinde, yani iç kayıtlar korunduktan sonra devreye gireriz; cihaz imajı ve log incelemesi adli bilişim uzmanının işidir.

Kapsam yazılı hâle geldikten sonra çalışma genellikle şu soruları hedefler: Faturası ödenen tedarikçi gösterilen adreste gerçekten faaliyet gösteriyor mu, aracı şirketlerin ortaklık ve yönetim bağlantıları ticaret sicili ilanlarına nasıl yansıyor, iddiaya konu kişinin kamuya açık alandaki davranışı beyanıyla örtüşüyor mu? Bunun için açık kaynak araştırması, kamuya açık kayıtlar ve kamuya açık alanda gözlem kullanılır. Bulgular, kronoloji, fotoğraf ve video ekleri, yöntem beyanı ve hash listesiyle bir Delil Dosyası olarak teslim edilir ve avukatınıza brifing verilir.

Kurumsal dosyalardaki çalışma biçimimizi kurumsal soruşturma hizmeti sayfasında bulabilirsiniz.

72 saatin sonunda: korunmuş kayıt, yazılı karar, sakin bir plan

İlk 72 saatin başarısı, suçlunun bulunup bulunmamasıyla ölçülmez. Üç soruyla ölçülür: Kriz öğrenildiğinde var olan kayıtlar hâlâ değişmeden duruyor mu, her kararın kimin tarafından, ne zaman ve neden verildiği gösterilebiliyor mu ve gerçek süreler sahte aciliyetten ayrılmış mı? Bu üç sorunun cevabı evetse, iddia ister doğrulansın ister çürütülsün, sonraki tartışma kayıtların içeriği üzerinde yapılır.

Bugün masanızda bir kriz varsa şu sırayla ilerleyin. Bir karar günlüğü açın ve krizi öğrendiğiniz anı ilk satıra yazın. Avukatınızı arayın ve iddianın muhatabını karar hattından çıkarın. Bekleyen ödemeleri ve açık erişimleri sessizce durdurun. Kamera, log, e-posta ve yedekler için saklama askısını birim ve tarih aralığıyla başlatın. Kimseyi çağırmayın, hiçbir cihazı açmayın, toplu bir e-posta göndermeyin. Yirmi dördüncü saatte iddiayı test edilebilir hipotezlere ayırın, süreleri takvime işleyin ve hangi dış uzmana hangi kapsamla ihtiyaç duyduğunuza karar verin. Yetmiş ikinci saatte elinizde bir sonuç değil, bir plan olsun.

Şirket dışındaki olguların hukuka uygun yollarla doğrulanması gerekiyorsa, dosyanızı avukatınızla birlikte ücretsiz bir ön görüşmede değerlendirebiliriz.