Muhasebe elemanı fatura listesini görmek zorunda; aynı kişinin gönderilmiş e-faturayı iptal etmesi ise ayrı bir karardır. İkisi tek kutuda birleşince risk büyür.
Hassas işlemlerde görüntüleme, düzenleme, silme ve onay ayrı yetkiler olmalıdır. Bu ayrım hem hatayı hem suiistimali azaltır.
Bu yazıda finans ve e-belge tarafındaki hassas yetkileri, onay zorunluluklarını ve denetim izini anlattık.
İçindekiler
Neden ayrı yetki gerekir?
Finans ve e-belge kayıtları geri alınması zor sonuçlar üretir. Yanlış bir iptal, hem muhasebe hem müşteri tarafını etkiler.
EQLEM bir çözüm platformudur; mevcut ERP sisteminizdeki mali disiplin platform tarafında da korunmalıdır. Geniş yetki, bu disiplini bozar.
Operasyon ekibinin belge görmesi normaldir; belgeyi değiştirmek ise kontrol ister. İhtiyacı aşan yetki en yaygın güvenlik açığıdır.
Ayrım, eğitim yükünü de azaltır; herkes her düğmeyi öğrenmek zorunda kalmaz. Dar ekran, az hata demektir.
Rol temelini rol bazlı yetkilendirme yazısında kurduk.
Görüntüleme ile düzenleme
Liste ve detay görünümü çoğu rol için yeterlidir. Düzenleme yalnızca işi yapan role açılmalıdır.
Raporda rakam görmek ile fişte tutar değiştirmek aynı şey değildir. Rapor yetkisi, kayıt yetkisi sayılmaz.
Alan bazlı kısıt mümkünse kullanılmalıdır; örneğin açıklama düzenlensin, vergi alanına dokunulmasın. Kaba tam yetki yerine ince ayar tercih edilir.
Görüntüleme yetkisi olan kullanıcıya düzenleme düğmesi göstermemek, yanlış tıklamayı da önler. Arayüz, yetkiyi yansıtmalıdır.
Rapor tarafını rapor yetkileri ve veri gizliliği yazısında ele aldık.
Silme ve iptal yetkisi
Silme, en dar tutulması gereken izindir; çoğu rolde hiç olmamalıdır. Taslak silinebilir, kesinleşmiş kayıt iptal sürecine girmelidir.
e-Belgede iptal ve itiraz yasal sonuç üretir. Bu yüzden ayrı onay ve ayrı yetki şarttır.
Toplu silme mümkünse kapatılmalı veya ikinci onaya bağlanmalıdır. Tek tıkla onlarca kaydı yok etmek felakettir.
Silinen veya iptal edilen kayıtların izi kaybolmamalıdır. Denetimde kim, ne zaman, neden soruları cevaplanmalıdır.
e-Fatura iptalini e-fatura iptal ve itiraz yazısında anlattık.
Finans işlemleri
Tahsilat, ödeme, virman ve kasa hareketleri hassas sınıftadır. Bunlarda görüntüleme ile fiş kesme ayrılmalıdır.
Kredi limiti aşımı ve vade uzatma ayrı izin ister. Satış ekibinin bu alanlara serbest erişimi risklidir.
Banka eşleme ve kural motoru gibi araçlar daha dar bir role verilmelidir. Yanlış kural, tüm mutabakatı bozar.
Mevcut ERP tarafında mali kayıt kalıyorsa platformdaki finans yetkisi operasyonla sınırlı tutulabilir. Çift yetki, çift risk demektir.
Tahsilat fişlerini tahsilat ve ödeme fişi yazısında özetledik.
e-Belge işlemleri
e-Fatura oluşturmak, göndermek, iptal etmek ve gelen kutuyu yönetmek ayrı adımlardır. Tek rolün hepsini yapması kontrolü zayıflatır.
Gelen kutuda kabul veya red kararı mali sonuç doğurur. Bu kararlar için onay kuralı tanımlanmalıdır.
XSLT ve belge tasarımı gibi teknik ayarlar operasyon rolünden ayrılmalıdır. Yanlış şablon, tüm belgeleri etkiler.
Kredi tüketimi de izlenmelidir; yetkisiz toplu gönderim kotayı eritir. Kota uyarısı ilgili role düşmelidir.
Kredi planını e-belge kredisi yazısında ele aldık.
Onay zorunluluğu
Hassas işlemlerde oluşturan ile onaylayan ayrılmalıdır. Aynı kullanıcının iki adımı tamamlaması denetimi yok eder.
Onay kuyruğu görünür ve gecikme ölçülebilir olmalıdır. Sessiz bekleyen onaylar operasyonu kilitler.
Acil durumlar için sınırlı bypass tanımlanabilir; bu da loglanmalıdır. Bypass’sız tam kilit, sahada işi durdurabilir.
Onay bildirimleri yalnızca ilgili role gitmelidir. Herkese giden uyarı kısa sürede okunmaz.
Bildirim kurgusunu bildirim yönetimi yazısında anlattık.
Tutar ve limit kuralları
Belirli tutarın üzerindeki işlemler otomatik üst onaya çıkmalıdır. Sabit eşik, tartışmayı azaltır.
İskonto ve fiyat sapması için yüzde limitleri tanımlanabilir. Limiti aşan kayıt kaydedilmeden uyarı vermelidir.
Limitler role göre farklı olabilir; şube müdürü ile temsilci aynı tavanı paylaşmaz. Tek limit herkese uymaz.
Limit değişiklikleri de yetki değişikliği gibi denetlenmelidir. Sessiz tavan yükseltmesi risk açar.
Fiyat disiplinini fiyat listesi yönetimi yazısıyla bağlayın.
Denetim izi
Hassas işlemlerde kim, ne zaman, hangi kayıt soruları cevaplanmalıdır. Log yoksa sorumluluk da yoktur.
Yetki değişiklik logu ile işlem logu birlikte okunmalıdır. Yetki genişledikten hemen sonraki işlemler şüpheli olabilir.
Loglar silinemez olmalı veya silme ayrı üst yetki istemelidir. Logu silen yetki, denetimi bitirir.
Periyodik örnekleme yeterlidir; her kaydı okumak gerekmez. Ayda bir hassas işlem örneği tarayın.
Log yaklaşımını kullanıcı mesaj logları yazısında açtık.
Rol şablonuna yerleştirme
Hassas izinler genel yönetici şablonuna yığılmamalıdır. Finans Onay ve e-Belge Operasyon gibi ayrı roller kurun.
Geçici ihtiyaçlarda kişiye özel ek izin yerine kısa süreli rol kullanın. Kalıcı şablonu bozmayın.
Kapsam ile hassas yetki birlikte test edilmelidir. Doğru yetki yanlış şirkette yine hata üretir.
Mevcut ERP yetkileriyle çakışmayı kontrol edin. Aynı kişinin iki sistemde aşırı yetkisi risk biriktirir.
Kapsamı şube ve depo kapsamı yazısıyla hizalayın.
Pratik kontrol listesi
Silme yetkisini varsayılan olarak kapalı tutun ve gerekçeyle açın. Açık silme, sessiz veri kaybı demektir.
Oluşturan ile onaylayanı ayırın; acil bypass’ı loglayın. Bu iki kural finans güvenliğinin omurgasıdır.
Tutar eşiklerini yazılı hale getirin ve role göre farklılaştırın. Tek tavan herkese uymaz.
Ayda bir hassas işlem ve yetki değişikliği örneği inceleyin. Denetim rutini olmadan log işe yaramaz.
e-Belge geçişinde e-belge geçiş kontrol listesi yazısını da kullanın.
Sık sorulanlar
Liste yetkisi düzenleme verir mi?
Vermemelidir; görüntüleme ile düzenleme ayrı izinler olarak tutulmalıdır.
e-Fatura iptali kimde olmalı?
Dar bir finans veya e-belge rolünde olmalı; satış temsilcisinde varsayılan olmamalıdır.
Onay bypass gerekli mi?
Sınırlı ve loglu bypass tanımlanabilir; tamamen kapatmak acil durumlarda işi durdurabilir.
Mevcut ERP yetkileri yeterli mi?
Hayır; platform tarafı ayrı yönetilir. Mevcut ERP sisteminizdeki yetki, platformdaki hassas işlemi kapsamaz.
Hassas işlemlerde görmek ile değiştirmek aynı yetki değildir. Bu ayrımı kurmayan işletmeler, hız uğruna denetimi kaybeder.
Silme ve iptali dar tutun, oluşturan ile onaylayanı ayırın. Bu iki adım finans riskini ciddi azaltır.
Tutar eşikleri ve iskonto limitlerini role göre yazın.
e-Belge adımlarını parçalayın; oluşturma, gönderim ve iptal aynı role yığılmasın.
Denetim izini rutin okuyun; log biriktirmek yetmez, bakmak gerekir.
EQLEM ekibiyle görüşerek hassas yetki matrisinizi netleştirebilirsiniz.