Değiştirilemez arşiv ve süreç dokümantasyonu: bir denetçi gerçekte ne görmek ister?

Neredeyse her belge yönetim sistemi teklifinde geçen ve neredeyse hiç açıklanmayan iki ifade vardır: “mevzuata uygun arşiv” ve “süreç dokümantasyonu”. Birincisine güven verdiği için başımızı sallarız. İkincisini tedarikçinin getireceğini umarız. İkisi de yanlış anlamadır ve ikisi de aynı anda ortaya çıkar: birisi tek bir belgenin geçmişini yeniden kurmanızı istediğinde.

Bu yazı iki ifadenin arkasında ne olduğunu, kimin neyden sorumlu olduğunu ve on kişilik bir şirket için kullanışlı bir süreç tanımının nasıl göründüğünü anlatıyor.

Not: bu metin genel bir yönlendirmedir, hukuki ya da mali danışmanlık değildir. Kendi durumunuz için mali müşavirinize danışın.

”Değiştirilemez” dokunulamaz demek değildir

İlk yanlış anlama sözcüktedir. Değiştirilemezlik, belgeye bir daha dokunulamayacağı anlamına gelmez: her müdahalenin görünür kalması anlamına gelir. İlk sürüm tespit edilebilir olmalı ve kimin ne zaman ne yaptığı her zaman belli olmalıdır.

Ağdaki ortak klasörün tam olarak tökezlediği yer burasıdır. Bir dosyanın üzerine yazılabilir, adı değiştirilebilir ya da silinebilir; geriye iz kalmaz. Uygulamada kimsenin bunu yapmıyor olması gerekliliğe verilmiş bir yanıt değildir: istenen şey, bunun fark edilmeden yapılamamasıdır.

Bunun etrafında dijital arşivden beklenen öteki nitelikler yer alır: eksiksizlik, yani kayıp belge olmaması ve hiçbir belgenin iki kez kaydedilmemesi; izlenebilirlik, yani kimin ne yaptığının kaydı; saklama süresi boyunca erişilebilirlik ve okunabilirlik; kayba ve yetkisiz erişime karşı koruma.

Saklama sürelerinde Türkiye’de iki ayrı çerçeve birlikte okunur: vergi mevzuatı defter ve belgeler için beş yıllık saklamayı, Türk Ticaret Kanunu ise ticari defterler ve ilgili belgeler için on yıllık saklamayı öngörür. Uygulamada uzun olanına göre planlamak en güvenlisidir.

Neden hiçbir yazılım tek başına uygun değildir

Satın alırken duyulması gereken ve nadiren duyulan cümle şudur: uygunluk, sürecin bir özelliğidir, programın değil. Bir sistem teknik koşulları sağlar, ama arşivinizin sağlam olup olmadığı en az o kadar çevresindeki örgütlenmeye bağlıdır.

Bir örnek bunu açıkça gösterir. Sistem her değişikliği eksiksiz ve düzgün biçimde kaydeder. Ama üç kişi aynı yönetici hesabıyla çalışıyorsa, kayıt yalnızca “admin” birşey yaptı der. Teknoloji üzerine düşeni yapmıştır, örgütlenme yapmamıştır.

İkinci bir örnek. Tarama iyi çalışıyor ve bütün belgeler arşive giriyor. Ama kimin, ne sıklıkla taradığı ve kâğıdın sonra ne olacağı tanımlanmamışsa, dijital kopyanın aslına uygun olduğunun kanıtı yoktur.

Bu yüzden bir tedarikçi “sertifikalı, mevzuata uygun” bir ürün vaat ettiğinde hikâyeyi kısaltıyordur. Bir belgelendirme, yazılımın yeteneklerini ya da belirli bir andaki belirli bir kurulumu kapsar. Sizin süreç tanımınızın ve günlük disiplinin yerini tutmaz.

Ülkeye göre kurallar değişir, ilkeler değişmez

Hukuki çerçeve sınırla birlikte değişir: Almanya GoBD’den, İtalya dijital idare kanunundan, Fransa delil değeri standartlarından hareket eder. Ama temeldeki ilkeler her yerde şaşırtıcı ölçüde aynıdır: bütünlük, eksiksizlik, izlenebilirlik, erişilebilirlik ve koruma.

Pratik sonuç: birden çok ülkede çalışıyorsanız süreci bir kez bu ilkeler üzerine kurun, yerel özellikleri sonra ekleyin. Tersini yaparsanız her ülke için bir arşiviniz ve onları ayakta tutmak için tam zamanlı bir işiniz olur.

Teknolojinin getirmesi gerekenler

Bir sistemi ölçebileceğiniz işlevler şunlardır. Biri eksikse gerisi zorlaşır.

Sürümleme. Biri bir belgeyi değiştirdiğinde yeni bir sürüm oluşur ve öncekine erişilebilir kalır. “Aslının üzerine yazılır ama yedeğimiz var” değil.

İşlem kaydı. Kim ne zaman ne yaptı: yükledi, açtı, taşıdı, sildi, geri yükledi, yetki değiştirdi. Bu kayıt, bir yönetici tarafından bile sessizce temizlenebilir olmamalıdır.

Geri yükleme özellikli çöp kutusu. Silinen bir belge anında ve kalıcı olarak yok olmaz, belirli bir süre geri getirilebilir kalır.

Adlandırılmış kullanıcılar ve yetkiler. Her kişinin kendi erişimi olur. Ortak hesaplar her kaydı anlamsızlaştırır.

Güvenli saklama. Düzenli yedekler, ki geri yüklenmesi gerçekten denenmiş olsun, ve şirketler arasında veri ayrımı.

Yıllar boyunca okunabilirlik. Yaygın biçimler, dışa aktarılabilir, yeniden açmak için özel bir program gerektirmeyen.

Süreç tanımı: size ait olan bölüm

Şirketinizin belgeleri nasıl işlediğini, girişten saklamaya kadar anlatan belge, hiçbir tedarikçinin sizin yerinize yazamayacağı bölümdür. Tedarikçi kendi sistemine ilişkin teknik bilgileri verebilir; gerisi sizin örgütlenmenizi anlatır.

Bu belge, yetkin bir dış kişinin, pratikte denetçinin, size sormak zorunda kalmadan bir belgenin izlediği yolu takip edebilmesi için vardır. Yokluğu başlı başına biçimsel bir eksikliktir ve ağırlığı duruma göre değişir: yani tam da denetim sırasında girmek istemeyeceğiniz tartışma.

Dört bölüm

Bu yapı on kişilik bir şirkette de işler:

1. Genel tanım. Şirket ne yapar, hangi belge türleri dolaşır, hangi sistemler kullanılır, kim neyden sorumludur.

2. İnsanlar nasıl çalışır. Gelen evrakı kim açar ve tarar, hangi sıklıkla. Belgeler nasıl adlandırılır ve sınıflandırılır. Faturaları kim onaylar. Tarandıktan sonra kâğıda ne olur. Bir denetçinin ilk okuduğu bölüm budur ve en sık eksik olan da budur.

3. Teknik tanım. Hangi yazılım ve hangi sürüm, veriler nerede durur, yetkiler nasıl verilir, yedekler nasıl ve ne sıklıkla alınır, kayıtlar ne kadar saklanır. Bu bilgileri tedarikçiniz sağlar.

4. Düzenli kontroller. Sürecin günlük hayatta nasıl denetlendiği: eksiksizliği kim kontrol eder, geri yüklemeyi kim dener, yeni çalışanlar nasıl eğitilir.

Bir de neredeyse herkesin unuttuğu unsur vardır: sürüm geçmişi. Belge tarihli ve numaralı olmalıdır, çünkü incelenen her yıl için o dönemde geçerli olan sürüm gerekir. Tarihsiz bir tanım yalnızca bugünü anlatır, oysa ihtiyaç geçmişe dairdir.

Ne kadar uzun olmalı

Küçük bir şirket için on ila yirmi sayfa yeter, yeter ki gerçekte yapılanı anlatsın. İndirilip hiç uyarlanmamış elli sayfalık bir şablon, dürüst beş sayfadan daha az değerlidir. Ölçü hep aynıdır: dışarıdan biri okuduğunda faturalarınızdan birinin yolculuğunu izleyebilir mi?

En sık yapılan beş hata

1. Ortak hesaplar. Birkaç kişi için tek hesap, ve kayıt hiçbir şey söylemez olur.
2. Kopyalanmış şablon. Örnek iyi bir başlangıç, kötü bir teslimattır. İçinde yazan doğru olmalıdır.
3. Tarih yok, sürüm yok. İki yıl önce hangi sürecin geçerli olduğunu gösteremeyen için o yıla ait dokümantasyon yoktur.
4. Hiç geri yüklenmemiş yedek. Kurtarılması denenmemiş bir kopya bir varsayımdır, güvence değil.
5. Paralel iki arşiv. Bir kısmı sistemde, bir kısmı ağ klasöründe. Böylece eksiksizlik biter ve hangi sürümün geçerli olduğunu kimse bilemez.

Pazartesi sabahı listesi

• Her kişinin kendi erişimi var mı ve eski ortak hesap kapatıldı mı?
• Sistem, bir yöneticinin bile sessizce silemeyeceği bir kayıt tutuyor mu?
• Bir belgenin önceki sürümleri erişilebilir kalıyor mu?
• Son on iki ayda bir geri yükleme denendi mi, tarihi ve sonucu yazıldı mı?
• Numaralı ve tarihli, bugün gerçekten yaptığınızı anlatan bir süreç tanımı var mı?
• Tarandıktan sonra kâğıda ne olacağı tanımlı mı?

Altı soru. Altısına da evet diyen, işin özünü yerine oturtmuştur.

Blina Space bunun neresini kapsıyor

Teknik tarafta Blina Space yapı taşlarını getiriyor: rol ve yetkileriyle adlandırılmış kullanıcılar, erişim ve değişiklikleri kapsayan işlem kaydı, saklanan önceki sürümler, geri yükleme özellikli çöp kutusu, her dosyada virüs taraması, otomatik yedekler, karışık veri yerine her şirkete ayrı bir veritabanı ve Almanya’da barındırma.

Blina Space’in yapmadığı ve kimsenin size ciddiyetle satamayacağı şey, süreç tanımınızı yazmaktır. Üçüncü bölüm için teknik bilgileri verebiliriz ki mali müşaviriniz tahmin yürütmek zorunda kalmasın. Nasıl çalıştığınızın anlatısı sizin kalır.

Bu bir kısıt değil, konunun ta kendisidir: uygunluk yazılımdan ve örgütlenmeden doğar. Yalnızca yarısını satın alan, ona sahip değildir.