D-IP-13 | Finansal İç Kontrol ve Anti-Fraud Matrisi
INOMATRIX / InPay · EKİM 2026 · v1.0
Herkese açık metodoloji şablonu; kuruma özgü onay veya gerçekleşmiş sonuç değildir.

RISK IŞTAHI VE KAYIT ILKESI
Risk skoru bir sıfat değildir; olay tanımı, olasılık/etki ölçeği, mevcut kontrol ve kalan risk ayrı satırda gösterilir. Sayısal skor ancak kurumun kendi olay verisi ve onaylı ölçeğiyle verilir. Kritik güvenlik, mevzuat veya mesleki yetki riski yüksek toplam puan beklenmeden eskale edilir. Ajan ödeme emrini tek başına serbest bırakmaz, müşteri hesabını kapatmaz ve şüpheli işlemi nihai suç tespiti olarak etiketlemez. Düzenlenmiş finansal faaliyetin lisans, sözleşme ve yetki incelemesi ayrı kapıdır.

RISK–KONTROL MATRISI
Risk senaryosu Önleyici kontrol Tespit ve örneklem testi İlk müdahale Yanlış eşleşme veya mükerrer tahsilat Tekil işlem anahtarı ve tutar/valör kontrolü Günlük karşı kaynak mutabakatı Belirsiz fişi yazma; finans kuyruğuna al Sahte alıcı/IBAN değişikliği İki kanallı teyit ve değişiklik için bekleme Değişiklik logu ile ilk ödeme örneklemi Ödemeyi durdur; güvenlik ve CFO'ya bildir Aşırı geniş ajan yetkisi İşlem bazlı servis kimliği ve limit Yetki logu ve reddedilen çağrı analizi Anahtarı iptal et, erişimi daralt İtirazın kaybolması İşlem–itiraz–iade ilişki zorunluluğu Açık itiraz yaşlandırma raporu Yasal ve müşteri iletişim sahibine eskale et Her kontrol için kontrol sahibi, frekans, örneklem, kanıt deposu ve başarısızlık eşiği eklenir. Kontrol tasarımı ile işlemsel etkinlik ayrı test edilir; bir kere çalışan kontrol kalıcı uygunluk kanıtı değildir.

GÖREVLER AYRILIĞI VE OLAY ESKALASYONU
Karar A R Kontrol sınırı Yeni banka/POS bağlantısı InPay ürün sahibi Entegrasyon ekibi Uyum ve güvenlik onayı; sözleşme ve test ortamı Eşleşmeyen tahsilatın kapatılması Mutabakat yöneticisi Finans operasyon İkinci kişi kontrolü; kaynak ekstre ve ERP fişi Riskli işlemin bekletilmesi Yetkili risk görevlisi Risk operasyon İtiraz yolu, süre ve müşteri etkisi kaydı Ödeme veya iade emri İmza/yetki matrisindeki merci Yetkili finans personeli Çift kontrol ve banka sonucu; ajan yalnız taslak hazırlar Olayı durdur veya güvenli duruma al; ilgili işlem/dosyayı koru. Hastaya, müşteriye, çalışanlara veya fonlara etkisini sınıflandır; bildirim yükümlülüğünü yetkili uzmanla değerlendir. İlk neden hipotezini kanıtla sınırla; kişi suçlaması yerine işlem ve kontrol açığını incele. CAPA sahibi, son tarih ve yeniden test örneklemi ata; bağımsız kişi kapanışı doğrulasın.

KONTROL TESTI FORMU
Alan Doldurma standardı Risk ve kontrol kodu Tek risk, tek kontrol ve ilgili SOP sürümü Test popülasyonu Tarih aralığı, toplam işlem ve seçim gerekçesi Örnek ve sonuç İşlem kimliği, beklenen/gerçek kontrol, sapma Kalan risk Etkilenen grup, telafi kontrolü, yetkili kabul CAPA Kök neden, sahibi, vade, yeniden test tarihi Örneklem boşsa kontrol “etkin” olarak işaretlenmez. Araç veya ajan logu tek başına fiziksel/işlemsel sonucun doğruluğunu kanıtlamaz.

KABUL KAPISI VE UYUM
İlk üç kritik senaryo normal ve olumsuz testten geçer; görevler ayrılığı çakışması kapatılır veya süreli telafi kontrolü onaylanır. Durdurma yetkisi, iletişim yolu ve kalan risk kabulü yazılıdır. Ödeme hizmeti, elektronik para, açık bankacılık ve kişisel veri işlemenin hangi tüzel kişilik ve ülkede yürütüleceği lisanslı uzmanlarca doğrulanır.

UYGULAMA DOSYASI VE OLUMSUZ TEST
İlk kontrol çalıştayında her risk için kaç işlemin inceleneceği ve hangi başarısızlığın anında durdurma gerektirdiği önceden yazılır. Kontrolün varlığı, çalışma etkinliği ve kalan risk üç ayrı sonuçtur. İç denetim kendi tasarladığı işlemi bağımsız kapanış diye onaylamaz. Kontrol senaryosu Olumlu test Olumsuz test Yanlış eşleşme veya mükerrer tahsilat Beklenen kontrol çalışır ve kaynak izi tutar Kontrolü tetikle; reddetme, alarm ve eskalasyonu doğrula Sahte alıcı/IBAN değişikliği Beklenen kontrol çalışır ve kaynak izi tutar Kontrolü tetikle; reddetme, alarm ve eskalasyonu doğrula Aşırı geniş ajan yetkisi Beklenen kontrol çalışır ve kaynak izi tutar Kontrolü tetikle; reddetme, alarm ve eskalasyonu doğrula İtirazın kaybolması Beklenen kontrol çalışır ve kaynak izi tutar Kontrolü tetikle; reddetme, alarm ve eskalasyonu doğrula Olay sonrasında ilk kayıt silinmez; düzeltme yeni bir sürüm/ters işlem olarak görünür. Tekrar eden bulgular risk iştahı ve SOP tasarımını yeniden açar. Doldurulabilir çalışma tablosu şu alanları taşır: risk_id, senaryo, önleyici_kontrol, tespit_testi, popülasyon, örneklem, sonuç, CAPA_sahibi, yeniden_test. Satırlar kurum içi erişim ve sürüm kurallarıyla saklanır; örnek satırlar gerçek müşteri kaydı değildir.

KABUL KAPISI
Önleyici ve tespit kontrollerinin bağımsız testi
Kurum uygulama kaydı: şirket [ ] · kanıt [ ] · karar sahibi [ ] · bağımsız kontrol [ ] · tarih [ ]