Fonlardan Atamalara: Alarmı Kim Duydu, Bilgiyi Kim Taşıdı?

13 Ekim 2026 22:0418 okunma20 dk okuma

Paylaş

Sesli Dinle

Okuma hızı

Bu ses, tarayıcınızın konuşma sentezi ile üretilir; insan sesi değildir. Sesin niteliği cihazınıza göre değişir.

Bir önceki yazımda fonlarla birlikte kaybolan güveni ele aldım. Şimdi o güven kaybının arkasındaki daha zor soruları sormamız gerekiyor.

Para nereye gitti? Kim kazandı? Kim zarar gördü?

Peki, bu hareketler sürerken denetim mekanizmaları ne yaptı? Bir uyarı üretildi mi? Üretildiyse kime ulaştı? İşlem yapılmadıysa gerekçesi neydi? Görevlendirmeler yapılırken karar makamına hangi bilgiler sunuldu?

Çünkü bir finansal skandalın anlaşılması için para hareketleriyle birlikte yetki, bilgi ve sorumluluk zincirinin de incelenmesi gerekir.

SPK, yatırım fonlarının, portföy yönetim şirketlerinin ve portföy saklama hizmeti veren kuruluşların gözetim ve denetiminde temel kurumlardan biridir. MASAK, şüpheli işlem bildirimlerini alan, analiz eden ve gerekli durumlarda ilgili birimleri bilgilendiren mali istihbarat mekanizmasıdır. Bankacılık ayağında BDDK’nın, işlemleri gerçekleştiren bankaların, uyum birimlerinin ve iç denetimin sorumlulukları vardır. Suç şüphesinin soruşturulması ise savcılıkların işidir.

Bu kurumların görevleri farklıdır. Ancak aynı olayın farklı parçalarını görmeleri, parçaların birbirinden kopuk kalmasını haklı çıkarmaz.

Bir banka işlemi görür, bir saklama kuruluşu varlığı izler, bir denetçi tutarsızlığı kayda geçirir, bir kamu kurumu bildirim alır. Bu bilgiler zamanında ve hukuka uygun biçimde bir araya getirilemiyorsa, ortaya çıkan sorun yalnızca bir kişinin kötü niyetiyle açıklanamaz. Kurumsal işleyişin nerede aksadığı da araştırılmalıdır.

Fon adıyla sunulan her yapının hukuki statüsü de aynı değildir. Lisanslı yatırım fonuyla, fon izlenimi verilerek para toplanan bir organizasyonu ayırmak gerekir. Bu ayrımı yaparken vatandaşın hangi beyanlarla ikna edildiğini, hangi kurumun adının güven unsuru olarak kullanıldığını ve buna karşı hangi tedbirlerin alındığını da sormalıyız.

Alarm üretmek kadar, alarmın gereğini yapmak da önemlidir.

Sistem bir uyarı oluşturduysa, o uyarının zamanı, muhatabı ve sonrasında yapılan işlemler kayıtlardan anlaşılabilmelidir. “İlgili birime iletildi” cümlesiyle sorumluluk sona ermez. İlgili birim ne yaptı? Risk giderildi mi? Dosya kapatıldıysa hangi bulguya dayanıldı?

Bir kurumun ekranında görünen alarmın, karar vericinin önüne gelene kadar sıradan bir not hâline dönüşüp dönüşmediği de incelenmelidir.

Burada atamalar meselesi önem kazanıyor.

Bir atama kararında Cumhurbaşkanının imzasının bulunması, imzaya sunulan dosyanın hazırlanma sürecini inceleme dışında bırakmaz. Adayı kim önerdi? Yeterlilik değerlendirmesini kim yaptı? Önceki görevlerine ilişkin hangi bilgiler sunuldu? Bilinen riskler dosyada yer aldı mı? Karar makamına eksik, yanıltıcı veya seçilerek hazırlanmış bilgi taşındı mı?

Bunların cevabı belgeyle verilmelidir.

Cumhurbaşkanı, daha sonra bir alarmı değerlendirmesi gereken kişiyi atamış olabilir. Ancak atama önerisinin hangi değerlendirmelerle hazırlandığı, atanan kişinin görevini nasıl yürüttüğü ve üst makama hangi bilgileri aktardığı ayrı ayrı araştırılmalıdır. Atama imzası kimseye dokunulmazlık sağlamaz; bilgi hazırlayanların ve görevi yürütenlerin sorumluluğunu da ortadan kaldırmaz.

Manipülasyon ihtimali varsa araştırılır. Böyle bir ihtimal, kanıt bulunmadan kimseyi suçlamak için kullanılamayacağı gibi, araştırılmadan geçiştirilemez de.

Yıllar önce yazdıklarımı bu nedenle yeniden hatırlatıyorum.

1 Nisan 2018’de BTK üzerinden sayısal zekâ destekli kamu yönetimini, harcamaların izlenmesini ve yetkiyle yeterlilik arasındaki ilişkiyi tartışmaya açtım. 2 Aralık 2018’de, Ömer Fatih Sayan’ın “Türkiye’nin verisi Türkiye’de kalacak” açıklamasının ardından, verinin fiziksel konumuyla o veriye erişim yetkisi arasındaki farkı sorguladım. 14 Şubat 2019’da dijital dönüşümün önceliklerini, 22 Mayıs 2019’da ise “Yurdumun Truva Atları” başlığıyla teknolojik bağımlılığı ele aldım.

Bugün de aynı soruyu soruyorum: Bir sistemin ülkemizde bulunması, o sistemin bütün erişimlerini, değişikliklerini ve denetim kayıtlarını kontrol ettiğimiz anlamına geliyor mu?

Ömer Fatih Sayan’ın adı bu arşivde açıkça yer alıyor. Bugün gündemdeki isimlerle soyadı ortaklığı üzerinden hüküm kurmak yerine, görev dönemlerini, yetkileri, kararları ve belgeleri incelemek gerekir. Kamuya hesap verme yükümlülüğü de tam burada başlar.

BTK ve Ulaştırma ve Altyapı Bakanlığına yönelttiğim geçmiş sorular, elbette finansal denetimin yerine geçmez. Fakat finansal denetimin dayandığı dijital altyapının güvenliğini sorgulamayı gerekli kılar. SPK, MASAK ve BDDK’nın kullandığı sistemlerde erişim yetkileri nasıl denetleniyor? Dış hizmet sağlayıcılar hangi sınırlar içinde çalışıyor? İşlem kayıtlarının bütünlüğü nasıl korunuyor? Yetkili bir kullanıcının yaptığı değişiklik, bağımsız incelemede görülebiliyor mu?

Mali denetimle teknik denetimin birbirini tamamlaması gerekir.

Bu soruların devamında, kullanılan yazılımların, güvenlik duvarlarının, veri kaybı önleme sistemlerinin (DLP) ve işlem denetim platformlarının (audit) menşei de incelenmelidir. Ancak menşe bilgisinin yanında, bu ürünlerin kimler tarafından kurulduğunu, güncellendiğini ve yönetildiğini bilmek gerekir. Üretici firmaların ve dış hizmet sağlayıcıların uzaktan erişimleri hangi kurallara tabidir? Ayrıcalıklı hesapları kim kullanmaktadır? Bu hesaplarla yapılan işlemleri, aynı yetkilere sahip olmayan bağımsız bir mekanizma denetleyebilmekte midir?

USOM ve ilgili siber güvenlik birimleriyle hangi kapsamda, ne sıklıkta ve hangi hukuki çerçevede bilgi paylaşılmaktadır? Finansal sistemlerde tespit edilen bir anomali, siber güvenlik açısından da değerlendiriliyor mu? Bir kurumun gördüğü risk, başka bir kurumun incelemesine zamanında yansıyor mu? Yoksa mali denetim ile siber güvenlik arasında, sorumluluğun kaybolduğu bir boşluk mu bulunmaktadır?

“Paralel Bilişimciler” yazı dizisinde tartışılan mesele de bu açıdan yeniden ele alınmalıdır: Personelin değişmesi, sistem üzerindeki eski erişimlerin ve bağımlılıkların sona erdiği anlamına geliyor mu?

FETÖ bağlantısı somut delillerle ortaya konulan kişilerin, dış hizmet sağlayıcı ekiplerde veya kurum kadrolarında bulunup bulunmadığı; geçmişte sahip oldukları erişimlerin görev değişikliğinden sonra sürüp sürmediği araştırılmalıdır. Müdürden daire başkanına, sistem yöneticisinden teknik destek personeline kadar inceleme, unvanla sınırlanmamalıdır. Teknik bilgiye ve fiilî erişime sahip bir makam şoförü dahi varsa, değerlendirme kişinin görev adından çok, hangi cihazlara, hesaplara ve bilgilere ulaşabildiği üzerinden yapılmalıdır. Bu ihtimaller, herhangi bir kişinin suçlu olduğunu varsaymak için değil, erişim zincirini eksiksiz incelemek için gündeme getirilmelidir.

Burada zor ama gerekli bir soru ortaya çıkıyor: Yaşananlar mali usulsüzlüklerden mi ibarettir; yoksa bilişim altyapısının kötüye kullanılması, kayıtların değiştirilmesi veya denetim mekanizmalarının etkisizleştirilmesi gibi bir teknik müdahale boyutu da var mıdır? Böyle bir müdahale tespit edilirse, kurum içindeki erişimler, dış hizmet sağlayıcılar ve olası yabancı bağlantılar birlikte araştırılmış mıdır?

STUXNET benzetmesiyle dikkat çektiğim husus, bir sistemin görünürde çalışırken gerçekte farklı sonuçlar üretmeye zorlanabilmesi ihtimalidir. Ancak finansal bir manipülasyona “STUXNET benzeri saldırı” diyebilmek için teknik bulgular gerekir. Yetkisiz yazılım değişiklikleri, zararlı kod, ele geçirilmiş hesaplar, uzaktan erişim izleri ve kayıtlar arasındaki tutarsızlıklar ortaya konulmadan belirli bir örgüte veya yabancı servise saldırı isnat edilemez.

Dolayısıyla cevaplanması gereken soru şudur: Finansal hareketlerle bilişim sistemlerindeki değişiklikler aynı zaman çizelgesinde karşılaştırıldı mı? İlk anomali, ilk ihbar, ilk kurum içi uyarı ve ilk resmî işlem hangi tarihlerde gerçekleşti? Kamu görevlilerinin veya siyasi isimlerin adlarının gündeme gelmesiyle inceleme süreci arasında nasıl bir zaman ilişkisi bulunuyor?

Olayın kamuoyunda görünür hâle gelmesiyle kurumların olayı ilk öğrendiği tarih aynı olmayabilir. Bu fark açıklanmalıdır. Önceden bilgi varsa hangi işlem yapıldığı, yoksa mevcut denetim düzeninin neden zamanında bilgi üretemediği ortaya konulmalıdır.

Meseleyi aydınlatacak olan, isimler etrafında çoğalan söylentilerden ziyade; para hareketlerinin, erişim kayıtlarının, yazılım değişikliklerinin, uyarıların ve idari kararların birlikte incelenmesidir. Çünkü kişiler değişirken denetlenmeyen yetkiler yerinde kalıyorsa, aynı risk başka isimlerle yeniden karşımıza çıkabilir.

Fahrettin Altun hakkında gündeme getirilen, MGK toplantısına akıllı saatle katıldığı yönündeki iddia da bu çerçevede değerlendirilmelidir. Altun’un İletişim Başkanlığı görevini devretmesiyle bu iddia arasında doğrulanmış bir neden ilişkisi kurmadan, hassas toplantılarda bağlantılı cihazların hangi kurallara tabi olduğunu sorabiliriz.

Hangi cihazların içeri alınabildiği, bu cihazların hangi özelliklerinin kapatıldığı ve kuralların nasıl uygulandığı güvenlik açısından önemlidir. Bir fotoğraf tek başına veri sızıntısını kanıtlamaz. Fakat güvenlik prosedürlerinin yeterliliği de yalnızca makam sahiplerine duyulan güvenle açıklanamaz.

Fon denetiminde de atama dosyasında da hassas toplantıda da aynı ilkeye ihtiyaç vardır: Yetki kullanan kişinin işlemi izlenebilir, gerekçesi incelenebilir ve sorumluluğu belirlenebilir olmalıdır.

Devletin karar makamına gerçeğin eksiksiz ulaşması gerekir. Risk raporları makyajlanıyorsa, uyarılar küçültülüyorsa veya olumsuz bilgiler ayıklanarak sunuluyorsa, bunun ortaya çıkarılması devletin gücünü artırır. Aynı şekilde, bu ihtimallerin gerçekten yaşanıp yaşanmadığını kayıtlarla açıklamak da kamu güvenini güçlendirir.

Devlet başkanımızın, inancındaki adalet anlayışına ve anayasal sorumluluğuna uygun olarak, bu tür olaylarda yakınlık gözetmeden gereğini yapacağına inanıyorum. Sorumluluğu hukuken ortaya konulan kişi öz kardeşi dahi olsa, akrabalık kamu zararının ve görev ihmalinin üzerini örtemez.

Cumhurbaşkanının anayasal yetkileri içinde ilgili idari inceleme ve denetim mekanizmalarını harekete geçirmesi, kurumların uyumlu çalışmasını sağlaması ve tespit edilen eksikliklerin giderilmesini takip etmesi beklenir. Suç isnadının değerlendirilmesi ve hüküm verilmesi ise bağımsız yargının görevidir.

Asıl başarı, bu sorunların sonraki nesillere aynı biçimde aktarılmasını engelleyecek bir yönetim düzeni kurmaktır.

Bu noktada AFALİNA ve ATA gibi sayısal zekâ destekli modeller üzerine düşünmek gerekir.

AFALİNA: Algoritmik Faaliyet Analizi, Liyakat, İzlenebilirlik ve Nesnel Adalet.

Atama önerisinden kaynak kullanımına kadar kamusal işlemlerin gerekçesini, değerlendirme ölçütlerini ve sorumluluk zincirini izlenebilir kılan bir yaklaşım.

ATA: Algoritmik Takip ve Analiz.

Risk ve tutarsızlıkları yetkili birimlerin incelemesine sunan, uyarının kime ulaştığını, hangi tedbirin alındığını ve sonucunu takip eden bir mekanizma.

Böyle bir düzende alarmın üretilmesiyle dosya kapanmaz. Alarmın gereğinin yapılıp yapılmadığı da izlenir. Atama dosyası yalnızca adayın adını taşımaz; öneriyi hazırlayanların değerlendirmelerini, kullanılan ölçütleri ve incelemelerin izini de taşır.

Bu modelleri bugün uygulanmakta olan resmî sistemler olarak sunmuyorum. Kim bilir, belki birileri devletin yenilenme iradesi içinde bu tür yapılar üzerinde çalışıyordur. Ancak hangi ad verilirse verilsin, kurulacak sistemin kendisi de denetlenebilir olmalı; insan haklarını, kişisel verileri ve hukuki sorumluluğu korumalıdır. Algoritmik uyarı hüküm değildir, incelemenin başlangıcıdır.

Yıllar önce sorduğum soruları bugün yeniden sormamın nedeni haklı çıkmanın hazzı değil, aynı zararın tekrarını önleme sorumluluğudur.

Milletin birikimini korumak için paranın izini sürmek gerekir. Milletin geleceğini korumak için de o parayı, o yetkiyi ve o bilgiyi yöneten bütün karar zincirini görünür kılmak gerekir.

Alarmı duyanın ne yaptığını, bilgiyi taşıyanın neyi aktardığını ve imzayı hazırlayanın hangi gerekçeye dayandığını bildiğimiz gün, güveni yeniden kurmaya başlayabiliriz.

Sayın Cumhurbaşkanı’nın “Şahsım dahil hiç kimse eleştirilemez değildir” açıklamasını, kamu yönetiminde sorumluluğu ve denetimi tartışmak bakımından değerli buluyorum. Ben de eleştirimi somut bir yönetim önerisiyle birlikte ortaya koyuyorum.

Hükümetin de muhalefetin de seçmenin karşısına ölçülebilir çözümlerle çıkmasını bekliyorum. Bir yönetim modeliniz varsa prototipini gösterin. Gerçek verilerle, kişisel bilgileri koruyarak sınayın. Bağımsız denetime açın. Hangi hatayı önlediğini, hangi zararı azalttığını ve kamuya ne kazandırdığını açıklayın. Başarısı doğrulanırsa uygulayın.

Çünkü insanın hatasının, ihmalinin ve yanlış kararının bedelini sürekli halkın ödediği bir düzeni değiştirmek zorundayız.

Sayın Cumhurbaşkanı’nın yaptığı atamalarda da muhalefetin yönettiği belediyelerde de aynı soruyu soruyorum: Göreve getirilen kişinin yeterliliği nasıl ölçülüyor, kullandığı yetki nasıl denetleniyor ve ortaya çıkan zararda karar zincirinin sorumluluğu nasıl belirleniyor?

Bir yöneticinin yol açabileceği büyük bir kamu zararını maaşıyla karşılaması mümkün olmayabilir. Bu nedenle önerim; zararı oluşmadan önce belirleyen, uyarıları kayda alan ve sorumluluğun kişilerin birbirini işaret etmesiyle ortadan kalkmasını önleyen bir sistemdir. Hukuken belirlenen kusur ve sorumluluğun gereği de görev ve unvan ayrımı yapılmadan yerine getirilmelidir.

Bu vesileyle sayısal zeka destekli, denetlenebilir kamu yönetimi modeli önerimi kamuoyuna duyuruyorum.

Bu modelde atama, ihale, ödeme, veri erişimi ve denetim süreçlerinin gerekçeleri kayıt altına alınmalı. Kim hangi bilgiye ulaştı, hangi uyarıyı gördü, hangi kararı neden verdi ve hangi işlemi onayladı? Bunlar yetkili bağımsız denetim tarafından doğrulanabilmeli. Kamuya açıklanabilecek sonuçlar ise vatandaşın anlayacağı biçimde paylaşılmalı.

Sayısal zeka; çıkar çatışmalarını, olağan dışı işlemleri ve ihmal edilen uyarıları erken belirlemek için kullanılmalı. Kararların hukuki sorumluluğu açıkça tanımlanmalı; sistemin önerileri de insan kararları kadar denetlenebilir ve itiraza açık olmalı.

Bu modelin ilk şartlarından biri de güvenli haberleşmedir. Kamu görevlilerinin hassas görev iletişimi, veri akışını ve erişimlerini denetleyemediğimiz kişisel telefonlara ve uygulamalara bırakılamaz. ASELSAN’ın kriptolu haberleşme alanındaki birikimi ve yerli güvenlik teknolojileri temel alınarak, görevin hassasiyetine uygun kurumsal cihaz ve haberleşme altyapısı oluşturulmalıdır.

Cihazın yerli olması tek başına yeterli değildir. Yazılımı, güncellemeleri, erişim yetkileri, kriptografik anahtarları ve verinin tutulduğu altyapı da bağımsız güvenlik testlerinden geçmelidir. Hassas görevlerde kişisel cihaz kullanımına açık sınırlar konulmalıdır.

Şeffaflık talebim hükümet için de muhalefet için de aynıdır. Muhalefetin yönettiği belediyelerde de ihale, harcama, atama ve denetim sonuçlarını vatandaşın kolayca inceleyebileceği açıklıkta görmek istiyorum. Herkes aynı ölçütlerle değerlendirilmelidir.

Milletin güveni, denetlenebilir kararlarla yeniden kurulur. Yetkiyi kullananın sorumluluğu görünür olmadıkça, hatanın faturası halkın önüne gelmeye devam eder.

Kaynakça

1. Yapay Zeka ile Hükümet Yönetim Sistemi gelsin ama BTK başkanı’nın tebessümü yok olmasın — 1 Nisan 2018

blog.burakbozkurtlar.com/yapay-zeka-ile-hukum…

2. Türkiye’nin verisi Türkiye’de kalacak — 2 Aralık 2018

blog.burakbozkurtlar.com/turkiyenin-verisi-tu…

3. Ülkemizin dijital dönüşümde öncelikleri ve yapılan yanlışlar! — 14 Şubat 2019

blog.burakbozkurtlar.com/ulkemizin-dijital-do…

4. Teknolojik bağımsızlık.. Trol akademileri.. Ama yeter artık! — 5 Mayıs 2019

blog.burakbozkurtlar.com/teknolojik-bagimsizl…

5. Yurdumun “Truva Atları” — 22 Mayıs 2019

blog.burakbozkurtlar.com/yurdumun-truva-atlari

6. SPK — Yatırım Fonları Dairesi Başkanlığı: Gözetim ve denetim görevleri