Düzenleyici İncelemeler ve Şafak Baskını Hazırlığı: Türkiye

Bir düzenleyici sorun nadiren bir davayla başlar.

Bir kurumdan gelen bir e-postayla başlayabilir. Bir bilgi talebiyle. Bir müşteri şikâyetiyle. Bir veri ihlaliyle. Bir rakibin iddiasıyla. Bir şafak baskınıyla. Bir yerinde incelemeyle. Bir çalışanın ihbar bildirimiyle. Bir sektörel incelemeyle. Bir bankanın uyum sorusuyla. Bir belge talebiyle. Denetçilerin beklenmedik ziyaretiyle. Kısa bir süre içinde açıklama gerektiren bir bildirimle.

O anda, bir şirketin hukuki riski yalnızca ne olduğuyla değil, şirketin nasıl yanıt verdiğiyle de şekillenir.

Doğru kişiler ne yapacaklarını biliyor muydu? Belgeler muhafaza edildi mi? Düzenleyici kurumla ilişki uygun biçimde yürütüldü mü? Çalışanlara doğru talimat verildi mi? Bilgi fazla geniş mi paylaşıldı? İlgili deliller silindi mi? Hukuki görüş erken alındı mı? Yönetim kurulu bilgilendirildi mi? Şirketin konumu belgelendi mi? Konu, kontrollü bir hukuki süreç olarak mı yoksa idari bir zahmet olarak mı ele alındı?

Düzenleyici hazırlık, bir şirketi; düzenleyici kurumlara, incelemelere, soruşturmalara ve uyum olaylarına panik, gecikme veya önlenebilir hatalar olmaksızın yanıt verecek şekilde hazırlama disiplinidir.

Türkiye'de faaliyet gösteren şirketler için, özellikle uluslararası yatırımcıları olan, yoğun veri işleyen, dağıtım ağlarına sahip, düzenlemeye tabi faaliyetler yürüten, teknoloji sistemleri kullanan, tüketiciye yönelik hizmet veren, istihdam maruziyeti taşıyan, rekabet hukuku riski bulunan veya sınır ötesi yapıları olan şirketler için, düzenleyici hazırlık artık kurumsal yönetişimin bir parçasıdır ve disiplinli bir düzenleme ve uyum stratejisinin merkezindedir.

Asıl soru yalnızca şu değildir: Uyumlu muyuz? Daha iyi soru şudur: Bir düzenleyici kurum yarın sabah soru sorarsa, hukuka uygun, doğru, hızlı ve stratejik biçimde yanıt verebilir miyiz?

Bu rehber, şirketlerin Türkiye'de düzenleyici incelemelere, şafak baskınına hazırlığa, yerinde incelemelere, veri ihlali müdahalesine, iç soruşturmalara ve yaptırım riskine nasıl yaklaşması gerektiğini açıklar.

1. Düzenleyici Hazırlık Bir Yönetişim Meselesidir

Düzenleyici hazırlık yalnızca hukuk departmanının meselesi değildir. Yönetim kurulu sorumluluğunu, üst yönetimi, uyumu, veri korumasını, rekabet hukukunu, istihdamı, BT sistemlerini, finansı, satışı, satın almayı, müşteri hizmetlerini, iç raporlamayı, kriz iletişimini, sigortayı, sözleşmeleri, şirket itibarını ve uyuşmazlık stratejisini etkiler.

Bir şirketin ticari operasyonları iyi ama düzenleyici hazırlığı zayıf olabilir. Bu zayıflık baskı altında görünür hale gelir.

Bir inceleme veya soruşturma sırasında çalışanlar doğaçlama yapabilir. Yöneticiler tutarsız yanıtlar verebilir. Belgeler gözden geçirilmeden paylaşılabilir. BT neyin muhafaza edileceğini bilemeyebilir. Dış danışmanlarla çok geç iletişime geçilebilir. Yönetim kurulu, kilit kararlar zaten alındıktan sonra konuyu öğrenebilir.

Düzenleyici hazırlık, şirketin sorun gelmeden önce bir sistemi olması demektir. Her konuya aşırı tepki vermek demek değildir. Hangi konuların yükseltilmesi gerektiğini ve şirketin nasıl yanıt vermesi gerektiğini bilmek demektir.

2. Düzenleyici İnceleme Türleri

Şirketler farklı türde düzenleyici temaslarla karşılaşabilir. Bunlar şunları içerebilir: yazılı bilgi talepleri; belge talepleri; yerinde incelemeler; şafak baskınları; veri ihlali bildirimleri; sektörel denetimler; lisansa ilişkin incelemeler; kurumlara iletilen tüketici şikâyetleri; rekabet hukuku soruşturmaları; istihdam denetimleri; vergi veya sosyal güvenlik incelemeleri; bankacılık veya kara para aklamayla ilgili sorular; siber olay incelemeleri; ürün güvenliği talepleri; kamu ihalesi incelemeleri; idari para cezası prosedürleri; uyum izlemesi; ve uzlaşma ya da taahhüt görüşmeleri.

Her tür farklı bir yanıt gerektirir. Bir rekabet şafak baskını, sıradan bir bilgi talebi gibi ele alınmaz. Bir veri ihlali, bir sözleşme uyuşmazlığı gibi ele alınmaz. Bir düzenleyicinin resmi olmayan sorusu bile dikkatli belgeleme gerektirebilir. Bir sektörel denetim, ilk talebin ötesinde sorunları ortaya çıkarabilir.

İlk adım sınıflandırmadır. Şirket, hangi tür incelemeyle karşı karşıya olduğunu, hangi kurumun dahil olduğunu, hangi sürenin geçerli olduğunu ve hangi hukuki sonuçların doğabileceğini anlamalıdır.

3. İlk 24 Saat Önemlidir

Bir düzenleyici konunun ilk saatleri kritiktir. Başlangıçta yapılan hatalar tüm süreci şekillendirebilir.

Şirket hızla şunları belirlemelidir: şirketle kimin iletişime geçtiği; hangi kurumun dahil olduğu; talebin resmi mi resmi olmayan mı olduğu; hangi hukuki dayanağın belirtildiği; hangi belge veya verilerin istendiği; hangi sürenin geçerli olduğu; yerinde bir inceleme olup olmadığı; hangi çalışanların dahil olduğu; belgelerin muhafaza edilip edilmeyeceği; dış hukuk müşavirine talimat verilip verilmeyeceği; yönetim kurulunun veya yönetimin bilgilendirilip bilgilendirilmeyeceği; sigortacıların veya denetçilerin bildirilmesi gerekip gerekmediği; ve iletişimin kontrol edilmesi gerekip gerekmediği.

Şirket iki uçtan kaçınmalıdır. Panik yapıp süreci engellememelidir. Hukuki konumu anlamadan gelişigüzel bilgi vermemelidir. Sakin, belgelenmiş ve hukuken bilgilendirilmiş bir ilk yanıt şirketi korur.

4. Şafak Baskınları ve Yerinde İncelemeler

Şafak baskını veya yerinde inceleme, bir şirketin karşılaşabileceği en ciddi düzenleyici olaylardan biridir. Denetçiler önceden haber vermeksizin gelebilir, tesise erişim talep edebilir, kayıtları inceleyebilir, belge toplayabilir, elektronik verileri gözden geçirebilir ve, hukuki çerçeveye ve ilgili kuruma bağlı olarak, çalışanları sorgulayabilir.

Şirketin yanıtı saygılı, işbirlikçi ve kontrollü olmalıdır. Şirket şunları doğrulamalıdır: denetçilerin kimliği; temsil ettikleri kurum; incelemenin hukuki dayanağı; incelemenin kapsamı; incelemeye yetki veren belgeler; kapsanan tesisler; konu; dijital verilerin incelenip incelenmeyeceği; kopya alınıp alınmayacağı; ve çalışanlarla görüşme yapılıp yapılmayacağı.

Şirket hukuka uygun incelemeyi engellememelidir. Ancak işbirliği, kontrolsüz ifşa anlamına gelmez. Şirket neyin istendiğini, neyin kopyalandığını, neyin açıklandığını ve hangi itirazların ya da çekincelerin kayda geçirilmesi gerekebileceğini bilmelidir. Denetçiler gelmeden önce bir şafak baskını politikası bulunmalıdır.

5. Resepsiyon Sorunu

Birçok inceleme resepsiyonda başlar. Hazırlık çoğu zaman burada başarısız olur.

Resepsiyon görevlileri, güvenlik veya ön büro çalışanları ne yapacaklarını bilmezse, şirket yönetim henüz bilgilendirilmeden kontrolü kaybedebilir.

Bir şafak baskını protokolü, ön saf çalışanlarına şunları talimatlamalıdır: sakin ve nazik kalmak; denetçilerden uygun bir odada beklemelerini rica etmek; kimlik talep etmek; derhal belirlenmiş iç müdahale kişileriyle iletişime geçmek; esasa ilişkin tartışmadan kaçınmak; denetçileri hassas alanlarda gözetimsiz bırakmamak; hukuka aykırı biçimde geciktirmekten kaçınmak; belgeleri imha etmemek, gizlememek veya taşımamak; ve sonradan incelenebilecek panik içeren iç mesajlar göndermemek.

Denetçilerle ilk karşılaşan kişi şirketin hukuki stratejisini belirlememelidir. Müdahale protokolünü devreye sokmalıdır.

6. İç Müdahale Ekibi

Bir şirket önceden bir iç müdahale ekibi belirlemelidir. Bu ekip; genel müdür veya CEO'yu, hukuk yetkilisini, uyum yetkilisini, BT müdürünü, veri koruma irtibat kişisini, İK müdürünü, finans müdürünü, ofis müdürünü, iletişim sorumlusunu ve dış hukuk müşaviri irtibatını içerebilir.

Ekip şunları bilmelidir: müdahaleyi kimin yönettiği; denetçilerle kimin konuştuğu; dış hukuk müşaviriyle kimin iletişime geçtiği; BT taleplerini kimin yönettiği; denetçilere kimin eşlik ettiği; kopyalanan belgeleri kimin takip ettiği; çalışanları kimin bilgilendirdiği; yönetim kurulunu kimin güncellediği; ve olay kayıt defterini kimin tuttuğu.

Bir inceleme sırasında karışıklık pahalıya mal olur. Müdahale ekibi inceleme sırasında icat edilmemelidir.

7. Kontrolü Kaybetmeden İşbirliği

Düzenleyici kurumlar işbirliği bekler. Engelleme, gecikme, silme veya yanıltıcı beyanlar şirketin konumunu kötüleştirebilir. Ancak işbirliği yapılandırılmış olmalıdır.

Şirket şunları yapmalıdır: belirlenmiş kişiler aracılığıyla yanıt vermek; yazılı bir kayıt tutmak; incelenen ve kopyalanan belgeleri takip etmek; ilgisiz bilgiyi kendiliğinden vermemek; uygun olduğunda gizlilik iddialarını korumak; kapsamın belirsiz olduğu yerde açıklık talep etmek; BT aramalarının gözetim altında yapılmasını sağlamak; atılan teknik adımları kaydetmek; spekülatif yanıtlardan kaçınmak; resmi olmayan itiraflardan kaçınmak; çalışanlara saygılı davranmak; ve hukuki soruları müşavire iletmek.

Şirket denetçilerle duygusal biçimde tartışmamalıdır. Süreci profesyonelce yönetmelidir. Amaç direniş değildir. Amaç, hukuka uygun, doğru ve kontrollü işbirliğidir.

8. İncelemelerde Dijital Veri

Modern incelemeler çoğu zaman dijital veriyi içerir, e-postalar, dizüstü bilgisayarlar, cep telefonları, sunucular, bulut sistemleri, mesajlaşma uygulamaları, paylaşımlı sürücüler, CRM sistemleri, muhasebe sistemleri, proje yönetimi araçları, işbirliği platformları, arşivlenmiş iletişim, silinmiş öğeler, meta veri ve erişim günlükleri.

Dijital veri özel bir risk yaratır. Çalışanlar; resmi olmayan mesajların, sohbet gruplarının, taslakların, takvim kayıtlarının, dosya adlarının veya silinmiş öğelerin ilgili hale gelebileceğini fark etmeyebilir.

Şirketin bir BT müdahale protokolü olmalıdır. Bu protokol şunları ele almalıdır: erişimi kimin verdiği; aramaların nasıl denetlendiği; verinin nasıl kopyalandığı; parolaların nasıl yönetildiği; kişisel cihazların nasıl ele alındığı; imtiyazlı veya gizli materyalin nasıl belirlendiği; günlüklerin nasıl korunduğu; iş sürekliliğinin nasıl sürdürüldüğü; ve kopyalanan verinin nasıl kaydedildiği.

BT bir şafak baskını sırasında doğaçlama yapmamalıdır. Dijital inceleme hazırlığı uyumun bir parçasıdır.

9. Belgeler, Deliller ve Muhafaza

Bir düzenleyici inceleme başladığında belge muhafazası kritik hale gelir. Şirket şunları muhafaza etmelidir: e-postalar, sözleşmeler, faturalar, politikalar, yönetim kurulu tutanakları, iç yazışmalar, sohbet mesajları, raporlar, tablolar, CRM kayıtları, erişim günlükleri, çağrı kayıtları, İK kayıtları, müşteri şikâyetleri, teknik günlükler, veri ihlali kayıtları, toplantı notları ve ilgili olduğunda silinmiş öğe kurtarma.

Çalışanlara belgeleri silmemeleri, değiştirmemeleri, gizlememeleri veya imha etmemeleri talimatı verilmelidir. Rutin silme politikaları, ilgili materyal için askıya alınması gerekebilir.

Belge muhafazası kesin olmalıdır. "Her şeyi saklayın" şeklindeki muğlak bir talimat pratik olmayabilir. Dar bir talimat ilgili delili kaçırabilir. Muhafaza bildirimi; konuyu, kişileri, sistemleri ve zaman dilimini mümkün olduğunca açık biçimde tanımlamalıdır.

10. Soruşturma Sırasında Çalışan İletişimi

Çalışan iletişimi risk yaratabilir. Bir düzenleyici konu sırasında çalışanlar birbirlerine resmi olmayan biçimde mesaj atabilir: "Ne söyleyeceğiz?" "O dosyayı sil." "Toplantıdan bahsetme." "Bu eski fiyatlandırma meselesi yüzünden." "Bunun olacağını biliyorduk." "Onlara hiç uygulanmadığını söyle."

Bu tür mesajlar zarar verici delil haline gelebilir.

Çalışanlara şunlar talimatlanmalıdır: belgeleri muhafaza etmek; spekülasyondan kaçınmak; konuyu gereksiz yere konuşmaktan kaçınmak; soruları müdahale ekibine yönlendirmek; dürüst olmak; kayıtları silmemek veya değiştirmemek; onay olmadan dış taraflarla iletişime geçmemek; sosyal medyada paylaşım yapmamak; ve yan anlatılar oluşturmamak.

İç iletişim kontrollü ama baskıcı olmamalıdır. Çalışanlar, şirketin bir hukuki süreç yönettiğini anlamalıdır.

11. Avukat-Müvekkil Gizliliği ve Sır Saklama

Avukat-müvekkil gizliliği ve gizlilik konuları erken değerlendirilmelidir. Düzenleyici incelemeler; hukuki görüş içeren belgeleri, müşavirle iletişimi, iç hukuki değerlendirmeleri veya hassas materyalleri içerebilir.

Şirket, imtiyazlı veya gizli materyali dikkatle belirlemelidir. Ancak gizlilik gelişigüzel veya kötüye kullanılarak ileri sürülmemelidir. Zayıf bir gizlilik iddiası güvenilirliğe zarar verebilir.

Şirket şunları yapmalıdır: hukuki görüş belgelerini belirlemek; mümkün olduğunda imtiyazlı materyali ayırmak; dış hukuk müşavirini hızla dahil etmek; itirazları veya çekinceleri kaydetmek; hukuki görüşü sıradan iş iletişimiyle karıştırmaktan kaçınmak; ve çalışanları hukuki iletişimin uygun biçimde ele alınması konusunda eğitmek.

Gizlilik stratejisi incelemeden önce hazırlanmalıdır. Bir şirket, her e-postaya avukatları kopyalayarak sonradan güvenilir biçimde gizlilik yaratamaz.

12. Bilgi Talepleri

Bir düzenleyici kurum, bilgi veya belge için yazılı talep gönderebilir. Şirket şunları gözden geçirmelidir: talebin hukuki dayanağı; kapsam; süre; format; muhatap; yanıt vermeme cezaları; gizlilik endişeleri; dahil olan kişisel veriler; ticari sırlar; üçüncü taraf bilgileri; iç soruşturma ihtiyaçları; yanıtın doğruluğu; ve yönetim kurulu ya da yönetim onayı.

Şirket hem eksik yanıttan hem de aşırı yanıttan kaçınmalıdır. Eksik bilgi vermek yaptırım riski yaratabilir. Gereksiz bilgi vermek konuyu genişletebilir.

Yazılı bir yanıt doğru, tutarlı ve belgelerle desteklenmiş olmalıdır. Süre gerçekçi değilse, uygun olduğunda süre uzatma talebi değerlendirilebilir.

13. İç Soruşturmalar

Bir düzenleyici inceleme, bir iç soruşturma gerektirebilir. Amaç şunları anlamak olabilir: ne olduğu; kimin dahil olduğu; belgelerin iddiayı destekleyip desteklemediği; bir suistimal olup olmadığı; politikaların başarısız olup olmadığı; müşterilerin veya veri sahiplerinin etkilenip etkilenmediği; kendiliğinden bildirim gerekip gerekmediği; disiplin işlemi gerekip gerekmediği; ve uzlaşma ya da düzeltmenin mümkün olup olmadığı.

Bir iç soruşturma şunları tanımlamalıdır: kapsam; soruşturma ekibi; incelenecek belgeler; görüşülecek çalışanlar; veri kaynakları; gizlilik stratejisi; raporlama formatı; yönetim kurulu katılımı; düzeltme planı; ve iletişim stratejisi.

Kötü bir iç soruşturma yeni risk yaratabilir. Çok dar, çok geniş, taraflı, belgelenmemiş veya hukuken kontrolsüz olabilir. Etkili bir soruşturma olgusal, disiplinli ve orantılıdır.

14. Çalışanlarla Görüşme

Çalışanlarla görüşme gerekebilir. Şirket şunları değerlendirmelidir: görüşmeleri kimin yürüteceği; müşavirin hazır bulunup bulunmayacağı; çalışanın tanık mı yoksa şüpheli mi olduğu; istihdam haklarının devrede olup olmadığı; not tutulup tutulmayacağı; görüşmenin imtiyazlı olup olmadığı; çalışana uyarı verilip verilmeyeceği; çeviri gerekip gerekmediği; çıkar çatışması olup olmadığı; ve disiplin işleminin izleyip izlemeyeceği.

Görüşmeler gelişigüzel sohbetler olmamalıdır. Delil haline gelebilirler. Görüşmeci açık sorular sormalı, baskıdan kaçınmalı, yanıtları doğru biçimde belgelemeli ve adaleti korumalıdır.

15. Yönetim Kuruluna Raporlama

Yönetim kurulu veya üst yönetim uygun raporlamayı almalıdır. Her küçük düzenleyici soru tam yönetim kurulu yükseltmesi gerektirmez. Ancak ciddi konular derhal raporlanmalıdır.

Yönetim kurulu raporlaması şunları içerebilir: incelemenin niteliği; dahil olan kurum; hukuki riskler; süreler; atılan acil adımlar; belge muhafazası; dış hukuk müşaviri katılımı; olası mali maruziyet; itibar riski; sigorta konuları; düzeltme planı; ve sonraki adımlar.

Yönetim kurulu tutanakları dikkatle hazırlanmalıdır. Yönetim kurulu, gereksiz itiraflar veya spekülasyon yaratmadan, bilgilendirildiğini ve sorumlu biçimde hareket ettiğini göstermelidir. Düzenleyici hazırlık, sorumlu yönetimin bir parçasıdır.

16. Veri İhlali Müdahalesi

Bir veri ihlali düzenleyici bildirim yükümlülüklerini tetikleyebilir. Türkiye'de kişisel veri koruma yükümlülüklerine tabi şirketler, bir ihlal tespit edildiğinde hızla hareket etmelidir. Bu disiplin, KVKK veri koruma uyumu konusunun merkezinde yer alır.

Bir ihlal müdahalesi şunları belirlemelidir: ihlalin ne zaman gerçekleştiği; şirketin ne zaman haberdar olduğu; etkilenen sistemler; kişisel veri kategorileri; etkilenen kişi sayısı; ihlalin nedeni; verilere yetkisiz kişilerce erişilip erişilmediği; alınan önlemler; kuruma bildirim gerekip gerekmediği; etkilenen kişilerin bilgilendirilmesi gerekip gerekmediği; teknik adli destek gerekip gerekmediği; sözleşmelerin müşteri bildirimi gerektirip gerektirmediği; ve sigortanın bildirilmesi gerekip gerekmediği.

Anahtar, zamanlamadır. Bir şirket, bildirim süreleri işlerken günlerce iç tartışmayla vakit kaybetmemelidir. Aynı zamanda şirket, yanlış spekülasyonla bildirim yapmaktan kaçınmalıdır. Disiplinli bir ihlal müdahalesi yeterli olguları hızla toplar, bilinenleri kaydeder, incelemede kalanı açıklar ve düzeltmeye devam eder.

17. Siber Olaylar ve Düzenleyici Maruziyet

Siber olaylar aynı anda birden çok hukuki sorun yaratabilir. Bir fidye yazılımı olayı, kimlik avı saldırısı, hesap ele geçirme veya bulut yanlış yapılandırması; kişisel veri ihlalini, ticari sır ifşasını, iş kesintisini, müşteri sözleşmesi ihlalini, sigorta bildirimini, kuruma bildirimi, istihdam sorunlarını, bir suç duyurusunu, adli incelemeyi, kamuya iletişimi, tedarikçi sorumluluğunu, yönetim kuruluna raporlamayı ve delil muhafazasını içerebilir.

Hukuk ekibi, teknik olgular ile hukuki yükümlülükler uyumlu olsun diye BT ve siber güvenlik danışmanlarıyla koordineli çalışmalıdır. Bu, disiplinli siber güvenlik olay müdahalesinin özüdür. Olayın gizli teknik bilgiyi ifşa ettiği durumlarda, ticari sır ve işletme gizliliği koruması da devreye girer.

Bir şirket siber olayı yalnızca bir BT kesintisi olarak ele almamalıdır. Bir düzenleyici ve dava konusu haline gelebilir.

18. Rekabet Hukuku Soruşturmaları

Rekabet hukuku incelemeleri özellikle ciddi olabilir. Şu tür iddiaları içerebilir: fiyat tespiti, pazar paylaşımı, yeniden satış fiyatının belirlenmesi, rekabete duyarlı bilgi değişimi, ihalede danışıklı hareket, hâkim durumun kötüye kullanılması, kısıtlayıcı dağıtım uygulamaları, münhasırlık endişeleri, rekabet etmeme kısıtlamaları, rekabete aykırı koordinasyon, merkez-uydu düzenlemeleri veya meslek birliği davranışı.

Satış ekipleri, distribütörleri, bayileri, franchise alanları, tedarikçileri veya pazar rakipleri olan şirketler ilgili çalışanları eğitmelidir. Rekabet hukuku riski çoğu zaman sıradan bir dille ortaya çıkar: "Fiyatları hizalayalım." "Bunun altında satmayın." "O müşteriye girmemekte anlaştık." "Piyasada herkes yapıyor." "Eski sohbetleri sil." "Bunu yazıya dökme."

Bu tür bir dil son derece zarar verici hale gelebilir. Eğitim teorik değil, pratik olmalıdır.

19. Dağıtım, Acentelik ve Bayi Ağları

Düzenleyici risk çoğu zaman dağıtım ağlarında doğar. Bir şirketin distribütörleri, acenteleri, franchise alanları, bayileri, yeniden satıcıları, çevrimiçi satıcıları, bölgesel ortakları veya alt distribütörleri olabilir.

Olası sorunlar şunları içerir: yeniden satış fiyatı baskısı, münhasırlık, bölgesel kısıtlamalar, çevrimiçi satış kısıtlamaları, müşteri tahsisi, seçici dağıtım, bayi feshi, bayiler arası ayrımcılık, iskonto kontrolü, bilgi değişimi ve marka hak takibi.

Ticari ekipler ortaklara neyin söylenip söylenemeyeceğini anlamalıdır. Bir distribütöre kötü ifade edilmiş bir e-posta, sonradan bir düzenleyici incelemede delil haline gelebilir, dağıtım düzenlemelerinin bu nedenle özenle kurulması gerekir; bunu ticari acentelik ve distribütörlük sözleşmeleri rehberimizde açıkladık.

20. Sektörel Düzenleyiciler ve Lisanslar

Düzenlemeye tabi sektörlerdeki şirketler sektörel kurumlardan incelemelerle karşılaşabilir. Bu; finansal hizmetler, sigorta, sağlık, eğitim, turizm, inşaat, gayrimenkul, enerji, ulaştırma, telekomünikasyon, e-ticaret, gıda ve içecek, ilaç, tüketici ürünleri, istihdam ve iş gücü ve yoğun veri işleyen hizmetleri içerebilir.

Lisanslar ve izinler izlenmelidir. Şirket şunları bilmelidir: hangi lisanslara sahip olduğu; yenileme tarihleri; raporlama yükümlülükleri; kilit uyum koşulları; kurum irtibatları; inceleme prosedürleri; sorumlu iç kişi; sunulacak belgeler; ve tutulacak kayıtlar.

Lisans tek seferlik bir belge değildir. Süregelen bir yükümlülüktür.

21. Tüketici Şikâyetleri ve Kurumsal Yükseltme

Tüketiciye yönelik şirketler şikâyetler yoluyla düzenleyici riskle karşılaşabilir. Tek bir müşteri sorunu; yanıltıcı reklam, haksız şartlar, ayıplı ürünler, iade sorunları, veri kötüye kullanımı, agresif satış uygulamaları, gizli ücretler, abonelik iptali sorunları, garanti başarısızlıkları, yetkisiz tahsilatlar veya kötü şikâyet yönetimini ortaya koyarsa daha geniş hale gelebilir.

Müşteri hizmetleri kayıtları düzenleyici delil haline gelebilir. Şirketler tekrarlayan şikâyetleri risk sinyali olarak ele almalıdır. Birden çok müşteri aynı konudan şikâyet ederse, yönetim sorunun sistemik olup olmadığını sormalıdır. Erken düzeltme, kurumsal yükseltmeyi önleyebilir.

22. İstihdam Denetimleri ve İşyeri Sorunları

İstihdamla ilgili incelemeler şunları içerebilir: bordro, çalışma saatleri, fazla mesai, iş sağlığı ve güvenliği, sosyal güvenlik, yabancı çalışanlar, çalışma izinleri, yüklenici yanlış sınıflandırması, fesih uygulamaları, işyeri politikaları, taciz veya mobbing iddiaları, çalışan kayıtları, kişisel veriler ve varsa sendika konuları.

İK kayıtları düzenli olmalıdır. İstihdam uyumu başarısızlıkları çoğu zaman uyuşmazlıklar, incelemeler veya durum tespiti sırasında görünür hale gelir. Bir şirket, sözleşmelerin, politikaların veya bordro kayıtlarının eksik olduğunu keşfetmek için işten çıkarılan bir çalışanın şikâyetini beklememelidir.

23. Vergi ve Sosyal Güvenlik İncelemeleri

Vergi ve sosyal güvenlik konuları uzman koordinasyonu gerektirir. Düzenleyici hazırlık, vergi veya sosyal güvenlik kurumları belge ya da açıklama talep ettiğinde nasıl yanıt verileceğini bilmeyi içerir.

Şirket şunları koordine etmelidir: mali müşavirler, vergi danışmanları, hukuk müşaviri, finans ekibi, bordro, yönetim kurulu veya yönetim ve belge muhafazası.

Vergi ve sosyal güvenlik konuları; istihdam, kurumsal kayıtlar, ilişkili taraf işlemleri, transfer fiyatlandırması, ortak kredileri, grup içi ödemeler ve yönetici sorumluluğuyla örtüşebilir. Hukuki yanıt mali kayıtlardan ayrılmamalıdır.

24. İletişim Stratejisi

Düzenleyici konular itibar riski yaratabilir. Şirket şunlara karar vermelidir: dışarıya kimin konuşacağı; müşterilerin bilgilendirilmesi gerekip gerekmediği; çalışanların bir mesaj alması gerekip gerekmediği; yatırımcıların veya bankaların bilgilendirilmesi gerekip gerekmediği; kamuya açıklama gerekip gerekmediği; sosyal medya izlemesi gerekip gerekmediği; iletişimin hukuki itiraflar yaratıp yaratmadığı; ve beyanların bilinen olgularla tutarlı olup olmadığı.

Şirket hem sessizlikten hem de abartıdan kaçınmalıdır. Bir iletişim doğru, kontrollü ve insani olmalıdır. Hukuki strateji ile iletişim stratejisi birlikte çalışmalıdır.

25. Sigorta Bildirimi

Bazı düzenleyici olaylar sigorta yükümlülüklerini tetikleyebilir. İlgili poliçeler şunları içerebilir: siber sigorta, yönetici sorumluluk sigortası, mesleki sorumluluk, istihdam uygulamaları sorumluluğu, genel sorumluluk, ürün sorumluluğu, suç veya dolandırıcılık sigortası ve iş kesintisi sigortası.

Poliçeler derhal bildirim gerektirebilir. Bildirmemek teminatı olumsuz etkileyebilir. Şirket ciddi konularda sigortayı erken gözden geçirmelidir. Masraflar zaten yapıldıktan sonra sigorta akla gelen son şey olmamalıdır.

26. Düzeltici Önlemler

Düzenleyiciler çoğu zaman yalnızca ne olduğuyla değil, şirketin sonrasında ne yaptığıyla da ilgilenir. Düzeltici önlemler şunları içerebilir: zararlı davranışı durdurmak, politikaları güncellemek, çalışan eğitimi, sorumlu kişilere disiplin uygulamak, erişim kontrollerini iyileştirmek, sözleşmeleri revize etmek, etkilenen tarafları bilgilendirmek, veri güvenliğini güçlendirmek, satış uygulamalarını değiştirmek, uyum sorumluluğu atamak, raporlamayı iyileştirmek, gelecekteki davranışı izlemek, dış uzmanları görevlendirmek ve düzeltici adımları belgelemek.

Düzeltici önlemler gerçek olmalıdır. Kimsenin uymadığı bir kâğıt politikası sorunu çözmez. Şirket, derslerin uygulandığını gösterebilmelidir.

27. Uzlaşma, Taahhütler ve İşbirliği

Bazı düzenleyici konular, kuruma ve hukuki çerçeveye bağlı olarak uzlaşma, taahhüt, işbirliği veya düzeltmeye dayalı çözüm biçimlerine olanak tanıyabilir.

Şirket şunları değerlendirmelidir: delilin gücü; olası maruziyet; iş kesintisi; itibar riski; uyuşmazlığın maliyeti; taahhüt olasılığı; işbirliği stratejisi; itiraf riskleri; özel talepler üzerindeki etki; ve gelecekteki uyum yükümlülükleri.

Bir uzlaşma stratejisi yalnızca şirket konunun hızla bitmesini istediği için seçilmemelidir. Hukuken ve ticari açıdan değerlendirilmelidir. Bazen konuya itiraz etmek uygundur. Bazen işbirliği ve düzeltme daha iyidir. Karar tepkisel değil, bilgilendirilmiş olmalıdır.

28. Paralel Dava ve Özel Talepler

Düzenleyici tespitler özel uyuşmazlıkları tetikleyebilir. Rekabet hukuku tespitleri tazminat taleplerini destekleyebilir; veri ihlalleri müşteri taleplerine yol açabilir; istihdam soruşturmaları davalara yol açabilir; tüketici tespitleri iade taleplerini tetikleyebilir; ürün güvenliği sorunları sorumluluk yaratabilir; pay sahibi uyuşmazlıkları düzenleyici tespitleri kullanabilir; ve sözleşme tarafları ihlal iddiasında bulunabilir.

Şirket, düzenleyiciye yanıt verirken dava riskini değerlendirmeli ve düzenleyici duruşunu daha geniş uyuşmazlık çözümü stratejisiyle koordine etmelidir. Bir düzenleyici yanıtta yapılan bir beyan, sonradan özel bir davada kullanılabilir. Tutarlılık önemlidir.

29. Sınır Ötesi Düzenleyici Konular

Uluslararası şirketler birden çok yargı çevresinde düzenleyici sorunlarla karşılaşabilir. Türkiye merkezli bir olay; bir Birleşik Krallık ana şirketini, AB müşterilerini, yabancı yatırımcıları, sınır ötesi veri aktarımlarını, uluslararası tedarikçileri, yabancı banka hesaplarını, çok uluslu sözleşmeleri, yurt dışı çalışanları, grup politikalarını, tahkim şartlarını ve yabancı hukuka tabi sigorta poliçelerini içerebilir.

Şirketin hukuki görüşü yargı çevreleri arasında koordine etmesi gerekebilir. Yerel yanıt grup düzeyindeki yükümlülüklerle çelişmemelidir. Sınır ötesi düzenleyici strateji; yerel yönetim, grup hukuk, dış müşavir ve teknik danışmanlar arasında açık iletişim gerektirir ve işlemlerde bu, hukuki durum tespitinin standart bir odağıdır.

30. Önemli İç Politikalar

Politikalar pratik olmalıdır. Kilit politikalar şunları içerebilir: şafak baskını politikası, belge saklama politikası, veri ihlali müdahale planı, rekabet hukuku politikası, rüşvetle mücadele politikası, yaptırımlar politikası, ihbar politikası, iç soruşturma protokolü, BT ve siber güvenlik politikası, kabul edilebilir kullanım politikası, yapay zekâ kullanım politikası, çalışan iletişim politikası ve düzenleyici inceleme yükseltme politikası.

Kimsenin varlığını bilmediği bir politika kriz sırasında yardımcı olmaz. Çalışanlar ne yapacaklarını bilmelidir. Eğitim kısa, pratik ve tekrarlanan olmalıdır.

31. Eğitim

Eğitim, yüksek riskli rollerdeki çalışanlar için elzemdir, satış ekipleri, satın alma ekipleri, İK, BT, finans, müşteri hizmetleri, üst yönetim, resepsiyon ve güvenlik, bayi ağı yöneticileri, veri koruma ekipleri ve uyum yetkilileri.

Eğitim gerçekçi senaryoları kapsamalıdır: denetçiler resepsiyona gelir; bir rakip fiyatlandırmayı konuşmak ister; bir çalışan bir düzenleyici e-postası alır; bir müşteri veri dosyası yanlış kişiye gönderilir; bir distribütör yeniden satış fiyatı talimatı ister; bir çalışan eski sohbetleri silmek ister; bir kimlik avı saldırısı müşteri kayıtlarını ifşa eder; bir düzenleyici acilen belge talep eder.

İyi bir eğitim kötü içgüdüleri önler.

32. Düzenleyici Hazırlık Kontrol Listesi

Şirketler şunları sormalıdır:

Bir şafak baskını politikamız var mı?
Resepsiyon ne yapacağını biliyor mu?
Bir iç müdahale ekibi var mı?
Dış hukuk müşaviri irtibatlarımız hazır mı?
BT incelemeleri nasıl ele alacağını biliyor mu?
Belgeleri hızla muhafaza edebiliyor muyuz?
Çalışanlar kayıtları silmemeleri gerektiğini biliyor mu?
Bir veri ihlali müdahale planımız var mı?
Düzenleyici süreleri takip ediyor muyuz?
Yönetim kuruluna raporlama prosedürlerimiz var mı?
Rekabet hukuku riskleri belirlendi mi?
Dağıtım uygulamaları gözden geçirildi mi?
Veri koruma yükümlülükleri belgelendi mi?
Sektör lisansları izleniyor mu?
İç soruşturmalar yapılandırılmış mı?
Çalışan görüşmeleri uygun biçimde ele alınıyor mu?
Gizlilik konuları anlaşılıyor mu?
Sigorta bildirim yükümlülükleri biliniyor mu?
İletişim kontrol ediliyor mu?
Düzeltici adımlar belgeleniyor mu?
Müşteri şikâyetlerini takip ediyor muyuz?
Yüksek riskli departmanlar eğitiliyor mu?
Politikalar pratik mi?
Sınır ötesi yükümlülükler koordine ediliyor mu?
İtiraz halinde ne yaptığımızı kanıtlayabilir miyiz?

33. Sık Yapılan Hatalar

Sık yapılan hatalar şunları içerir: düzenleyici mektuplarını sıradan e-postalar gibi ele almak; süreleri kaçırmak; belgeleri muhafaza etmemek; kayıtları silmek veya değiştirmek; çalışanların yazılı olarak spekülasyon yapmasına izin vermek; denetçileri gözetimsiz bırakmak; BT'yi uygun biçimde dahil etmemek; ilgisiz belgeleri aşırı sunmak; talep edilen belgeleri eksik sunmak; resmi olmayan itiraflarda bulunmak; kopyalanan belgeleri takip etmemek; dayanaksız gizlilik ileri sürmek; veri ihlallerini çok geç bildirmek; sigorta bildirim gerekliliklerini görmezden gelmek; yönetim kurulunu bilgilendirmemek; taraflı iç soruşturmalar yürütmek; düzeltici önlem almamak; küresel politikaları yerel uyarlama olmadan kullanmak; ve uyumu evrak işi olarak görmek.

Bu hataların çoğu önlenebilir. Şirketin mükemmelliğe değil, hazırlığa ihtiyacı vardır.

Sıkça Sorulan Sorular

Şafak baskını nedir?

Şafak baskını, bir düzenleyici kurumun önceden haber vermeksizin gerçekleştirdiği yerinde incelemedir; çoğu zaman belgelerin, elektronik verilerin, kayıtların ve iş iletişiminin incelenmesini içerir.

Denetçiler geldiğinde şirket ne yapmalı?

Şirket sakin kalmalı, yetkiyi doğrulamalı, iç müdahale ekibiyle ve hukuk müşaviriyle iletişime geçmeli, hukuka uygun biçimde işbirliği yapmalı, incelenen veya kopyalanan belgeleri kayıt altına almalı ve engelleme ya da resmi olmayan spekülasyondan kaçınmalıdır.

Çalışanlar soruşturma sırasında belge silebilir mi?

Hayır. Soruşturma sırasında belgeleri silmek, değiştirmek veya gizlemek ciddi hukuki risk yaratabilir. İlgili belgeler muhafaza edilmelidir.

Şafak baskını politikası neden önemlidir?

Şafak baskını politikası, denetçiler gelmeden önce çalışanlara ne yapacaklarını söyler. Paniği azaltır, belgeleri korur, BT ve hukuk müdahalesini koordine eder ve şirketin kontrolü kaybetmeden işbirliği yapmasına yardımcı olur.

İç soruşturma nedir?

İç soruşturma; ne olduğunu, kimin dahil olduğunu, hangi belgelerin bulunduğunu, hangi hukuki risklerin doğduğunu ve hangi düzeltici önlemlerin gerektiğini anlamak için yürütülen yapılandırılmış bir olgu tespiti sürecidir.

Yönetim kurulu ne zaman bilgilendirilmeli?

Ciddi düzenleyici konular, incelemeler, veri ihlalleri, yaptırım riski, önemli mali maruziyet veya itibar sorunları genellikle derhal üst yönetime veya yönetim kuruluna iletilmelidir.

Veri ihlalleri düzenleyici konular mıdır?

Evet. Bir kişisel veri ihlali; bildirim, düzeltici önlem, teknik inceleme, sözleşmesel yükümlülükler, müşteri iletişimi ve olası idari yaptırımları tetikleyebilir.

Düzenleyici tespitler özel taleplere yol açabilir mi?

Evet. Bir düzenleyici konu; müşterilerin, rakiplerin, çalışanların, pay sahiplerinin veya sözleşme taraflarının özel taleplerini doğurabilir veya güçlendirebilir.

Seçilmiş Kamuya Açık Kaynaklar

Daha geniş arka plan arayan okuyucular için şu kamuya açık materyaller yararlı olabilir: 4054 sayılı Rekabetin Korunması Hakkında Kanun ve Rekabet Kurumu yerinde incelemelerine ilişkin kamuya açık materyaller; Kişisel Verileri Koruma Kurulu'nun kişisel veri ihlali bildirim usul ve esaslarına ilişkin 2019/10 sayılı Kararı; yerinde incelemelerde dijital veri incelemesine ilişkin kamuya açık rehberlik ve yorumlar; ve kurumsal uyum programları, iç soruşturmalar ve düzenleyici yaptırım uygulamasına ilişkin kamuya açık materyaller. Bunlar genel kamuya açık materyallerdir ve belirli bir inceleme, denetim veya uyuşmazlığa ilişkin danışmanlığın yerini almaz.

Sonuç

Düzenleyici risk umutla kontrol edilmez. Hazırlıkla kontrol edilir.

Bir şirket asla bir şafak baskını, veri ihlali, sektörel inceleme veya ciddi düzenleyici incelemeyle karşılaşmayabilir. Ancak karşılaşırsa, ilk saatler önemlidir. Çalışanların talimata ihtiyacı vardır. Belgelerin muhafazaya ihtiyacı vardır. BT'nin yönlendirmeye ihtiyacı vardır. Yönetimin kontrole ihtiyacı vardır. Yönetim kurulunun görünürlüğe ihtiyacı vardır. Dış müşavirin olgulara ihtiyacı vardır. İletişimin disipline ihtiyacı vardır.

En güçlü şirketler düzenleyici baskı altında doğaçlama yapmaz. Baskı gelmeden önce hazırlanırlar.

Düzenleyici hazırlık, kurumlardan korkmakla ilgili değildir. Kurumsal olgunlukla ilgilidir. Nasıl yanıt vereceğini bilen bir şirket; hukuka uygun biçimde işbirliği yapabilir, haklarını koruyabilir, delilleri muhafaza edebilir, gereksiz itiraflardan kaçınabilir, sorumlu biçimde iletişim kurabilir ve etkili biçimde düzeltebilir.

Modern iş dünyasında uyum, yalnızca bir şirketin politikalarında söylediği şey değildir. Test edildiğinde şirketin nasıl davrandığıdır.

Terziolu & Partners Nasıl Yardımcı Olabilir

Terziolu & Partners; işletmelere, yatırımcılara, girişimcilere, aile şirketlerine ve özel müvekkillere Türkiye, Kuzey Kıbrıs, Londra ve sınır ötesi hukuki konularda danışmanlık verir. Çalışmalarımız şunları içerebilir: düzenleyici inceleme yanıtı konusunda danışmanlık; şafak baskını ve yerinde inceleme hazırlık protokolleri hazırlamak; bilgi talepleri ve incelemeler sırasında şirketlere destek olmak; belge muhafazası ve iç soruşturma stratejisi konusunda danışmanlık; veri ihlali müdahalesi ve düzenleyici bildirim koordinasyonuna yardımcı olmak; uyum politikalarını ve yükseltme prosedürlerini gözden geçirmek; yönetim kurullarına ve üst yönetime düzenleyici risk konusunda danışmanlık; düzenleyici konulardan doğan uyuşmazlıklara ve yaptırım işlerine destek olmak; gerektiğinde rekabet, veri koruma, siber güvenlik, vergi, istihdam ve sektöre özgü danışmanlarla koordinasyon; ve Türkiye, Kuzey Kıbrıs ile Londra'yı içeren sınır ötesi düzenleyici koordinasyona destek.

Düzenleyici hazırlık, şafak baskını müdahalesi, veri ihlali müdahalesi veya iç soruşturma stratejisini ekibimizle görüşün. Başlamak için firmayla iletişime geçin.

Bu makale yalnızca genel bilgilendirme amaçlıdır ve hukuki danışmanlık teşkil etmez. Düzenleyici incelemeler, şafak baskınları, yerinde incelemeler, veri ihlali bildirimleri, iç soruşturmalar, rekabet hukuku konuları, istihdam denetimleri, sektörel incelemeler, vergi veya sosyal güvenlik konuları, gizlilik, belge muhafazası, yönetim kuruluna raporlama, sigorta ve sınır ötesi düzenleyici konular; kuruma, sektöre, olgulara, belgelere, zamanlamaya, yargı çevresine ve uygulanacak hukuka göre değişebilir. Yalnızca bu yayına dayanarak hiçbir işlem yapılmamalı veya yapılmaktan kaçınılmamalıdır. Herhangi bir düzenleyici kuruma, incelemeye, soruşturmaya, veri ihlaline, bilgi talebine veya yaptırım sürecine yanıt vermeden önce; belirli hukuki, düzenleyici, veri koruma, rekabet hukuku, istihdam, vergi, siber güvenlik, sigorta ve uyuşmazlık çözümü danışmanlığı alınmalıdır. Terziolu & Partners'a bir talep iletilmesi, iş resmi olarak yazılı biçimde kabul edilmedikçe avukat-müvekkil ilişkisi doğurmaz.