Kurumsal Soruşturma ve Şirket İçi İnceleme

Bir şirkette usulsüzlük şüphesi ortaya çıktığında ilk refleks çoğu zaman hızlı sonuç aramaktır: şüpheliyi çağırıp sorgulamak, bilgisayarına bakmak, birkaç kişiye sormak. Kurumsal soruşturma bu refleksin tersini önerir: önce plan, sonra delil koruma, en son görüşme. Kanıt Dedektiflik iç incelemeleri iş hukuku ve KVKK sınırları içinde planlar, bulguları delil zincirini koruyarak toplar ve yönetim kuruluna, hukuk müşavirine ya da dış avukata sunulabilecek bir bulgu raporuna dönüştürür.

Doğru yürütülmüş bir soruşturma yalnızca suçluyu bulmakla ölçülmez. Haksız yere şüphe altında kalan çalışanı aklamak, iddianın hangi kısmının kanıtlanamadığını dürüstçe göstermek ve aynı açığın tekrar oluşmasını önleyecek süreç zaafını ortaya koymak da raporun parçasıdır.

Kurumsal soruşturma nedir, hangi durumda başlatılmalı?

Kurumsal soruşturma, bir şirkette usulsüzlük, suistimal veya kural ihlali iddiasının yazılı bir plan çerçevesinde, hukuka uygun yöntemlerle ve ilgili kişilerin haklarını gözeterek araştırılması ve bulguların karar alıcılara raporlanmasıdır. Amaç bir kişiyi suçlu ilan etmek değil, karar alıcıların doğrulanmış olgulara dayanarak hareket etmesini sağlamaktır.

Her şüphe bir soruşturma gerektirmez. Tek bir çalışanın performans ya da devamsızlık sorunu, insan kaynaklarının olağan disiplin süreciyle çözülür. Soruşturma; iddia tekrarlıyorsa, birden fazla kişiyi veya birimi kapsıyorsa, şirket dışı bağlantılar içeriyorsa ya da iddianın muhatabı soruşturmayı yönetecek kişilerden biriyse gerekli hâle gelir. Şirketin iç denetim birimi usulsüzlüğün izini çoğu zaman belgelerde yakalar; sahada doğrulama, açık kaynak araştırması ve tarafsız raporlama gerektiğinde kurumsal dedektiflik desteği bu çalışmayı tamamlar.

Anonim ihbarlar özel bir dikkat ister. Bir ihbar soruşturmanın başlangıç noktası olabilir ama tek başına bulgu değildir; misilleme ya da kişisel husumet amacıyla yapılmış olabilir. Bu yüzden ilk iş, ihbardaki somut ve test edilebilir iddiaları ayıklamaktır.

İnceleme planı: soruşturma başlamadan yazıya geçen sekiz başlık

İnceleme planı, soruşturmanın neyi, hangi sınırlar içinde, kimin yetkisiyle ve ne kadar sürede araştıracağını gösteren yazılı belgedir. Planı olmayan bir soruşturma kısa sürede herkesin şüpheli olduğu, verinin ölçüsüz toplandığı ve yasal sürelerin kaçırıldığı bir sürece dönüşür.

Hipotez başlığı çoğu zaman en çok ihmal edilen başlıktır. Bir tedarikçi tercihi kayırmadan değil, gerçek bir fiyat-kalite avantajından kaynaklanıyor olabilir. Plan, şüpheyi doğrulayacak bulgular kadar onu çürütecek bulguları da aramayı zorunlu kılar. Bu yaklaşım, raporun mahkemede ya da yönetim kurulunda "tek taraflı" diye itiraz görmesini de önler.

İş hukuku ve KVKK dengesi: çalışanın hakları ile şirketin meşru menfaati

İşveren, şirket kaynaklarının kötüye kullanıldığı şüphesini araştırma hakkına sahiptir; ancak bu hak, çalışanın özel hayatı ve kişisel verileri üzerinde sınırsız bir denetim yetkisi vermez. Dengeyi üç soru kurar: amaç meşru mu, yöntem bu amaçla bağlantılı mı, aynı sonuca daha az müdahaleyle ulaşmak mümkün mü?

TBK m.419, işverenin işçiye ait kişisel verileri yalnızca işe yatkınlıkla ilgili ya da iş sözleşmesinin ifası için zorunlu olduğu ölçüde kullanabileceğini düzenler. KVKK m.4 ise verinin belirli, açık ve meşru amaçlarla, amaçla bağlantılı, sınırlı ve ölçülü biçimde işlenmesini şart koşar. Bir usulsüzlük iddiasını araştırmak, çoğu durumda KVKK m.5/2-e'deki "bir hakkın tesisi, kullanılması veya korunması" ya da m.5/2-f'deki meşru menfaat şartına dayanabilir. Bu dayanak, araştırmanın iddiayla sınırlı tutulması koşuluyla geçerlidir.

Pratikte bu denge şöyle kurulur:

• Kurumsal e-posta ve şirket cihazları: Önceden duyurulmuş bir kullanım politikası ve aydınlatma varsa, iddiayla ilgili dönem ve anahtar kelimelerle sınırlı inceleme yapılabilir.
• Kişisel cihaz ve hesaplar: Çalışanın kişisel telefonu, özel e-postası veya sosyal medya hesabı rızası olmadan incelenemez.
• İşyeri kameraları: Aydınlatması yapılmış ortak alan kayıtları kullanılabilir; tuvalet, soyunma odası ve dinlenme alanı gibi mahremiyet beklentisi yüksek yerlerde kayıt yapılamaz.
• Mesai dışı hayat: İddiayla doğrudan bağlantılı olmayan özel hayat izlenmez. Mesai dışı davranışın iş ilişkisine etkisi söz konusuysa bu, ayrı bir kapsam ve orantılılık değerlendirmesi gerektirir.

Müvekkil şirketin ve üçüncü kişilerin verilerinin soruşturma boyunca nasıl korunduğunu, saklama ve imha kurallarıyla birlikte KVKK ve dedektiflik ilişkisini anlatan rehberde bulabilirsiniz.

İş hukuku tarafında takvim belirleyicidir. İş Kanunu m.26, ahlak ve iyi niyet kurallarına aykırılığa dayanan fesih hakkının öğrenmeden itibaren altı iş günü içinde ve her hâlde fiilden itibaren bir yıl içinde kullanılmasını öngörür; işçi olayda maddi çıkar sağladıysa bir yıllık sınır uygulanmaz. Soruşturmanın gereksiz uzaması, bu sürelerin işverenin aleyhine işlemesine yol açabilir. Hangi bulgunun haklı fesih için yeterli sayıldığını haklı fesih için delil standardını ele alan rehberde ayrıntılı bulabilirsiniz.

Kurumsal soruşturmada hangi bulgu delil değeri taşır?

Kurumsal soruşturmada delil değeri taşıyan bulgu, hukuka uygun elde edilmiş, kaynağı ve elde edilme anı belgelenmiş, sonradan değiştirilmediği gösterilebilen bulgudur. Aynı bilgi, elde ediliş yoluna göre güçlü bir delil de olabilir, şirketi zor durumda bırakan bir suç kanıtı da.

Delil zinciri: şirket içinde kopmayan kayıt nasıl kurulur?

Delil zinciri (chain of custody), bir delilin elde edildiği andan mahkemeye ya da karar organına sunulduğu ana kadar kimde, nerede ve nasıl saklandığını gösteren kesintisiz kayıttır. Şirket içi soruşturmalarda zincir çoğu zaman ilk saatlerde, iyi niyetli ama plansız müdahalelerle kopar: bilgi işlem çalışanı şüphelinin bilgisayarını "bir bakayım" diye açar, yönetici kamera kaydını telefonuyla ekrandan çeker, bir dosya e-postayla beş kişiye iletilir.

Zinciri korumak için izlediğimiz temel adımlar şunlardır:

1. Koruma talimatı. Log rotasyonu, kamera kayıtlarının üzerine yazılması ve kullanıcıların e-posta silme yetkileri gibi kayıt kaybına yol açacak süreçler, şüpheli fark etmeden durdurulur.
2. Orijinali dokunmadan muhafaza. Şüpheliye ait şirket cihazı açılmaz, incelenmez; kapalı ve mühürlü hâlde korunur.
3. İmaj ve hash. Cihaz ve sistem kopyaları şirketin bilgi işlem birimi veya bağımsız bir adli bilişim uzmanınca alınır; orijinalin ve kopyanın hash değerleri kaydedilir.
4. Teslim tutanağı. Her delilin kimden kime, ne zaman ve hangi amaçla geçtiği imzalı tutanakla belgelenir.
5. Çalışma kopyası. İnceleme yalnızca kopya üzerinde yapılır; orijinal, ihtiyaç hâlinde bilirkişiye sunulmak üzere saklanır.
6. Erişim kaydı. Delillere kimin, ne zaman eriştiği ayrı bir listede tutulur.

Kriz anında ilk saatlerde yapılan hataları ve kayıt saklama talimatının nasıl verileceğini kurumsal krizde ilk 72 saat rehberinde, zincirin halkalarını ve koptuğunda ne olacağını ise delil zinciri rehberinde ayrıntılı bulabilirsiniz.

Kanıt Yöntemi bu dosyalarda nasıl işler?

Kanıt Yöntemi'nin altı adımı, şirket içi incelemede plan disiplinini ve hukuki güvenliği aynı çatı altında toplar. Hukuka uygunluk ön testi, talebin şirketin meşru menfaatiyle sınırlı olup olmadığını ve raporlama hattında çıkar çatışması bulunup bulunmadığını sınar. Yazılı kapsam ve sınır, inceleme planının kendisidir ve hukuk müşaviriyle birlikte onaylanır.

Saha gözlemi ve açık kaynak araştırması aşamasında belge incelemesi, tedarikçi araştırması ve gerekiyorsa kamuya açık alanlardaki gözlem yürütülür. Zaman damgalı kayıt ve delil zinciri adımları, yukarıda anlatılan koruma disipliniyle işler. Son adımda rapor teslim edilir ve avukat brifingi yapılır; yönetim kurulu sunumu da bu brifingin devamıdır.

Görüşmeler: sorgu değil, bilgi toplama

Şirket içi görüşme bir sorgu değildir; şirket soruşturmacısının kolluk yetkisi yoktur ve kimseyi konuşmaya zorlayamaz. Görüşmenin amacı, belge ve kayıt incelemesinden çıkan soruları ilgili kişilere sormak ve verdikleri açıklamaları doğrulanabilir biçimde kayda geçirmektir.

Görüşmelerde uyguladığımız kurallar şunlardır:

• Sıra: Önce belgeler ve tanıklar, en son şüpheli. Belge incelemesi bitmeden yapılan şüpheli görüşmesi, hem delil karartma riskini artırır hem de doğru soruların sorulmasını engeller.
• Ortam: Kapı kilitlenmez, mola hakkı tanınır, görüşme makul sürede tutulur. Görüşmede şirketten bir İK veya hukuk temsilcisi hazır bulunur.
• Gönüllülük: Görüşmenin gönüllü olduğu, istenirse sonlandırılabileceği başta söylenir ve tutanağa yazılır.
• Tutanak: Sorular ve cevaplar özetlenmeden, kişinin kendi ifadeleriyle yazılır; kişi okuyup düzeltme yapabilir ve imzalayıp imzalamamakta serbesttir.
• Savunma ayrımı: Bilgi toplama görüşmesi, fesih öncesi yapılacak savunma alma işleminin yerine geçmez. İş Kanunu m.19, davranış nedeniyle fesihten önce savunma alınmasını öngörür; m.25/II hakkı saklı olsa da savunma almak, ispat bakımından çoğu dosyada yararlıdır.

Personel takibi ve kurumsal soruşturma: hangisi ne zaman?

Kurumsal soruşturma şemsiye bir çalışmadır: iddiayı tanımlar, kapsamı belirler, birden fazla delil kaynağını bir plan altında birleştirir ve karar organına raporlar. Personel takibi ise bu şemsiyenin altında ya da tek başına yürütülebilen daha dar odaklı bir hizmettir.

Hangi hizmetin uygun olduğuna ilk görüşmede birlikte karar veririz. Çoğu dosya dar başlar; bulgular genişledikçe kapsam, yazılı bir ek planla büyütülür.

Bulgu raporu ve yönetim kuruluna sunum

Bulgu raporu, iddiaları tek tek ele alıp her biri için hangi bulgunun elde edildiğini, bu bulgunun nasıl doğrulandığını ve hangi güven derecesinde olduğunu gösteren belgedir. Rapor hukuki nitelendirme yapmaz; "bu fiil güveni kötüye kullanmadır" demez, olguyu ortaya koyar. Hukuki değerlendirme avukatın işidir.

Raporun tipik yapısı şöyledir:

1. Yönetici özeti: bir sayfada iddialar, sonuçlar ve önerilen karar başlıkları
2. Kapsam ve yöntem beyanı: neyin incelendiği, neyin kapsam dışında kaldığı
3. Olay kronolojisi ve kişi-rol haritası
4. İddia-bulgu eşleştirme tablosu: doğrulandı, kuvvetli gösterge, doğrulanamadı
5. Belge ve saha ekleri, görüşme tutanakları
6. Delil zinciri tutanakları ve hash listesi
7. Tespit edilen süreç zaafları ve iyileştirme önerileri

Yönetim kurulu sunumu kısa ve karar odaklı tutulur. Sunumda kimlerin bulunacağı önceden belirlenir; iddiayla menfaat çatışması bulunan üye müzakereye katılmaz (TTK m.393). Kurulun önündeki karar başlıkları genellikle şunlardır: iş ilişkisine ilişkin işlem, suç duyurusu, tedarikçi ilişkisinin gözden geçirilmesi, iç kontrollerin güçlendirilmesi ve iç-dış iletişim. Avukat bu sunumda hukuki seçenekleri ve sürelerini, biz ise bulguların dayanağını ve sınırlarını anlatırız.

Şirket içi soruşturmada sık yapılan hatalar

Bir iç incelemeyi sonuçsuz bırakan ya da şirketi hukuki risk altına sokan hataların çoğu, soruşturmanın ilk günlerinde ve iyi niyetle yapılır. Aşağıdaki listeyi, şüphe ortaya çıktığı anda ilgili yöneticilerle paylaşmanızı öneririz.

1. Şüpheliyle erken yüzleşmek. Belgeler incelenmeden yapılan bir "konuşalım" görüşmesi, şüpheliye kayıtları silmek ve tanıklarla konuşmak için zaman kazandırır.
2. Cihazı içeriden açmak. Bilgi işlem çalışanının şüphelinin bilgisayarında "kısa bir kontrol" yapması, dosya tarihlerini değiştirir ve delilin bütünlüğüne itiraz edilmesine zemin hazırlar.
3. Gizlilik çemberini genişletmek. Şüpheyi geniş bir e-posta listesiyle paylaşmak, delil karartma riskini artırır ve doğrulanmamış bir iddianın şirket içinde dolaşmasına yol açar. Bu durum çalışanın kişilik haklarına saldırı (TMK m.24) ve hakaret (TCK m.125) tartışmalarını da beraberinde getirebilir.
4. Soruşturmayı şüphelinin amirine bırakmak. İddianın muhatabıyla aynı raporlama hattındaki bir yöneticinin yürüttüğü inceleme, sonuç ne olursa olsun tarafsızlık itirazıyla karşılaşır.
5. Takvimi yönetmemek. Soruşturmanın gereksiz uzaması altı iş günlük fesih süresini tartışmalı hâle getirebilir; aceleyle, savunma alınmadan yapılan fesih ise iş davasında ispat güçlüğü doğurur.
6. Sonucu baştan belirlemek. Yalnızca suçlayıcı delil arayan, çürütücü bulguları rapora koymayan bir soruşturma, mahkemede ve yönetim kurulunda ilk sorulan soruda güvenilirliğini kaybeder.
7. Süreç zaafını görmezden gelmek. Kişiye yönelik işlemle yetinip usulsüzlüğü mümkün kılan onay ve kontrol açığını kapatmamak, aynı olayın başka bir çalışanla tekrarlanmasına yol açar.

Şirketinizin hazırlaması gerekenler

İlk görüşmeden önce aşağıdaki bilgileri derlemeniz, planın hızla ve doğru kapsamla kurulmasını sağlar. Şüpheliye ya da geniş bir çevreye haber vermeden, yalnızca bilmesi gereken kişilerle çalışın.

• İhbarın veya şüphenin ilk ortaya çıktığı tarih ve biçim, şirket içinde kimlerin haberdar olduğu
• Soruşturmayı başlatma yetkisine sahip kişi veya kurulun kararı
• İlgili dönemin satın alma, satış, stok veya finans kayıtlarına erişimi sağlayacak birim
• İşyeri kamera sisteminin kayıt saklama süresi ve aydınlatma metni
• Bilgi işlem kullanım politikası, kurumsal e-posta ve cihaz kuralları
• Çalışanlara yapılmış KVKK aydınlatma metinleri ve varsa disiplin yönetmeliği
• Şüphe altındaki kişilerin görev tanımları, yetki ve onay limitleri
• Hukuk müşavirinin veya dış avukatın iletişim bilgisi ve sürece katılım şekli

Türkiye geneli: şube, depo ve tesis dosyaları

Şirket içi soruşturmalar çoğu zaman tek bir binayla sınırlı kalmaz. Organize sanayi bölgelerindeki üretim tesisleri, liman ve lojistik merkezlerine yakın depolar, il il dağılmış şube ve bayi ağları, sahada birden fazla noktanın incelenmesini gerektirebilir. Merkezimiz İstanbul'dadır; şehir dışı tesis ve şube ziyaretlerini inceleme planının takvimine baştan yerleştiririz.

Sanayi yoğun illerde, örneğin Kocaeli, Bursa veya İzmir'deki tesislerde, vardiya düzeni ve sevkiyat saatleri saha gözleminin zamanlamasını belirler. Bayi veya şube ağı geniş şirketlerde ise önce merkezdeki kayıtlardan anomali gösteren noktalar seçilir, saha ziyaretleri yalnızca bu noktalara yapılır. Bu yaklaşım hem maliyeti hem de çalışanlar arasında gereksiz tedirginliği azaltır.

Ücretsiz bir ön görüşmede şüphenin niteliğini, eldeki kayıtları ve iş hukuku sürelerini birlikte değerlendirir; bir soruşturmanın gerekip gerekmediğini, gerekiyorsa hangi kapsamla başlaması gerektiğini açıkça söyleriz.