E-posta onay akışı, kurum adına çıkacak bir mesajın (teklif, ödeme teyidi, fiyat değişikliği, resmî yazı) gönderilmeden önce bir ya da birden çok yetkilinin onayına sunulması ve her adımın tarih-saatle kayda geçmesidir. Doğru kurulduğunda hatalı teklifin, yanlış hesaba ödeme teyidinin ve yetkisiz taahhüdün mail kutudan çıkmadan yakalanma şansını belirgin biçimde artırır. Tüm maillere değil, yalnızca riskli mesaj türlerine uygulandığında işi yavaşlatmaz.
Sorun: "Gönder" tuşu tek kişinin elinde
Satın almada iki imza, ödemede çift onay çoğu şirkette yıllardır uygulanır. Ama aynı kararın yazılı hâli olan e-posta çoğu zaman tek kişinin inisiyatifiyle çıkar. Bir satış temsilcisi yanlış fiyatla teklif gönderir, bir muhasebe çalışanı tedarikçiye "yeni hesabınıza ödeme yapıyoruz" diye teyit verir, bir proje yöneticisi yetkisi olmadığı bir teslim tarihini taahhüt eder.
Sorun kişilerin dikkatsizliği değil; süreçte ikinci bir gözün olmamasıdır. Bugün çoğu şirkette bu "ikinci göz" şöyle uygulanır: çalışan taslağı yöneticisine iletir, yönetici "tamam" diye cevap verir, çalışan maili gönderir. Bu yöntemin üç zaafı vardır:
- Onaylanan metinle gönderilen metnin aynı olduğunu kimse garanti edemez.
- Onay, ayrı bir mail zincirinde kalır; aylar sonra aranınca bulunamaz.
- Yönetici izindeyken süreç ya durur ya da atlanır.
Onaysız gönderimin maliyeti
Onay akışı eksikliğinin en pahalı sonucu, ödeme yönlendirme dolandırıcılığıdır. Saldırgan tedarikçi ya da yönetici taklidiyle yazar; tek kişinin cevabıyla ödeme teyidi verilir. En yaygın biçimleri sahte fatura maili ve navlun ödemesinin yönlendirildiği lojistik e-posta dolandırıcılığı senaryolarıdır.
FBI IC3'e göre ABD'de 2025'te iş e-postası ele geçirme (BEC) kaynaklı 24.768 şikâyette toplam 3,05 milyar dolar kayıp bildirildi. (FBI IC3 2025 Internet Crime Report)
Talep edilen tutarlar da büyüyor. APWG'nin 2026 2. çeyrek Phishing Activity Trends raporuna göre havale talep eden BEC saldırılarında istenen ortalama tutar 61.732 dolara çıktı; bu, önceki çeyreğe göre %45 artış demek.
Güven ilişkisi kurgulanarak yapılan saldırılar da artıyor. Verizon 2026 Data Breach Investigations Report verilerinde "pretexting" tüm ihlallerde ilk erişim yolu olarak %6'ya ulaştı; oltalama ise %16'da kaldı. Pretexting'in özü, kurbanı inandırıcı bir senaryoyla bir işlem yapmaya ikna etmektir; ikinci bir onaycı bu senaryoyu bozmanın en ucuz yoludur.
Zaman da kritik. FBI IC3'ün Varlık Kurtarma Ekibi 2025'te başlattığı 3.900 vakada hedeflenen 1,16 milyar dolarlık transferin 679 milyon dolarını dondurdu ve rapor, sahte transfer fark edildiğinde "zamanın kritik olduğunu" vurguluyor (FBI IC3 2025 Internet Crime Report). Onay akışı ise hatayı daha erken, mail çıkmadan ve transfer yapılmadan yakalamaya çalışır.
Hangi mailler onaya girmeli?
Her maili onaya sokmak ekibi yavaşlatır ve onayı formaliteye çevirir. Önce riskli mesaj türlerini belirleyin:
| Mesaj türü | Neden riskli? | Önerilen onaycı |
|---|---|---|
| Fiyat teklifi / ihale yanıtı | Bağlayıcı fiyat ve şart içerir | Satış müdürü |
| Ödeme teyidi, hesap bilgisi | Dolandırıcılığın hedefi | Finans müdürü + ikinci kişi |
| Sözleşme ve şartname değişikliği | Hukuki sonuç doğurur | Hukuk / genel müdür |
| Resmî kurumlara yazışma | Kurumu temsil eder | Departman yöneticisi |
| Kriz ve müşteri şikâyeti yanıtı | İtibar riski | İletişim sorumlusu |
| Stajyer ve yeni çalışan mailleri | Deneyim eksikliği | Ekip lideri |
E-posta onay akışını 6 adımda kurun
- Mesaj türlerini listeleyin. Yukarıdaki tabloyu kendi şirketiniz için doldurun. Hangi adreslerden ve hangi konularda kurum adına taahhüt çıkıyor? İhale dönemlerinde teklif maili için gereken ek önlemleri ihale teklif e-posta güvenliği yazımızda sıraladık.
- Onaycıları belirleyin. Her tür için bir ya da birden çok onaycı ve bir yedek onaycı tanımlayın; izin dönemlerinde süreç durmasın.
- Onay seçeneklerini netleştirin. Yalnızca "evet/hayır" değil, "gerekçesiyle revizyon iste" seçeneği de olmalı. Revizyon gerekçesi yazılı kalmalı.
- Onaylanan metni kilitleyin. Onaydan sonra metin değişirse onay geçersiz sayılmalı; gönderilen içerik onaylanan içerikle aynı olmalı.
- Zamanlanmış gönderimi denetleyin. Onaylanıp ileri tarihe kurulan bir mail, gönderim anında hâlâ yetkili biri tarafından gönderiliyor olmalı. Bu arada ayrılan ya da yetkisi değişen çalışanın maili çıkmamalı.
- Kaydı saklayın ve gözden geçirin. Kim onay istedi, kim onayladı, kim ret verdi, ne zaman — bu kayıt bir anlaşmazlıkta elinizdeki önemli belgelerden biridir. Üç ayda bir kaç mailin onaya girdiğini ve ortalama bekleme süresini inceleyin.
Onay akışını işlevsiz kılan hatalar
- Her şeyi onaya sokmak: Onaycı günde yüzlerce istek görürse okumadan onaylar.
- Tek onaycı, yedeksiz: Onaycı izne çıkınca çalışan onayı atlayıp kişisel adresinden gönderir.
- Onayı mail dışında vermek: Telefonda "tamam" demek kayıt bırakmaz.
- Gerekçe istememek: Gerekçesiz ret, çalışanı neyi düzelteceğini bilmeden bekletir.
Tek onay mı, çoklu onay mı?
Her mesaj türü aynı düzeyde onay gerektirmez. Günlük bir fiyat teklifinde satış müdürünün tek onayı yeterlidir. Hesap bilgisi içeren ödeme teyidinde ise iki farklı kişinin onayı, "dört göz ilkesi"nin yazışmadaki karşılığıdır: biri içeriği, diğeri muhatabın gerçekliğini kontrol eder. Sözleşme değişikliği gibi hukuki sonucu olan mesajlarda hem departman yöneticisinin hem hukuk sorumlusunun görmesi gerekebilir. Kural basit: mesajın yol açabileceği zarar büyüdükçe onaycı sayısı artsın, ama hiçbir akışta onaycılar sürecin darboğazına dönüşmesin. Bunun için bekleyen onayları görünür kılın ve onaycılara makul bir yanıt süresi hedefi koyun.
İskonto eşiği ve geçerlilik süresi gibi teklifin kendi onay kurallarını teklif takip programı yazısında anlattık.
Onay akışı, ortak adreslerin düzenli yönetimiyle birlikte en iyi sonucu verir; bu konuyu ortak posta kutusu yönetimi yazımızda ele aldık. Kullandığınız sistemde yerleşik gönderim onayı yoksa bu özelliği kurumsal e-posta seçim kriterleriniz arasına ekleyin.
E-posta onayını resmî evrak onayıyla karıştırmayın. Kurum dışına çıkan bir teklifin onayı e-postada yürür; evrak kayıt numarası, e-imza ve resmî arşiv gerektiren yazışmalar ise elektronik belge yönetim sisteminde (EBYS) onaylanır. İki akışın farkını EBYS ile kâğıtsız ofis yazısında anlattık.
Digital Bridge'de bu işi nasıl yapıyoruz?
Onay akışı, bir e-posta ayarından önce bir yetki ve sorumluluk tasarımıdır. Çalışmayı şöyle yürütüyoruz:
- Süreç haritası: Satış, finans ve satın alma ekipleriyle kurum adına hangi yazışmaların çıktığını, bugün kimin onayladığını çıkarıyoruz. Bu çalışma dijital dönüşüm danışmanlığı kapsamında, dijital dönüşüm yol haritası yazısında anlattığımız daha geniş bir süreç iyileştirmesinin parçası olabilir.
- Risk değerlendirmesi: Ödeme ve hesap bilgisi yazışmalarındaki açıkları siber güvenlik danışmanlığı çerçevesinde raporluyor, hangi yazışmaların ikinci onaya girmesi gerektiğini birlikte önceliklendiriyoruz.
- Sistemlerle bağlantı: Onay kararının ERP ya da muhasebe tarafındaki ödeme süreciyle eşleşmesi gerekiyorsa RPA ve süreç otomasyonu ile ERP tarafını birlikte planlıyoruz; kural tabanlı otomasyonun nerede işe yaradığını RPA nedir yazısında özetledik.
- Uygulama: Hangi mesajların SmartMail'de gönderim onayına sunulacağını ve onaycıları ekiplerinizle birlikte belirliyor, ilk haftalarda kullanımı birlikte gözden geçiriyoruz.
SmartMail'de gönderim onayı nasıl çalışır?
Smart360 ailesinin kurumsal e-posta ürünü SmartMail, gönderim onayını yerleşik olarak sunar:
- Başlatan yazan kişidir. Kurum adına çıkacak mesajı yazan kişi, maili göndermek yerine onaya sunar.
- Bir ya da birden çok onaycı. Mesaj bir kişinin ya da birden çok kişinin onayına sunulabilir.
- Üç karar: onay, gerekçeli revizyon, ret. Onaycı maili onaylayabilir, gerekçesini yazarak revizyon isteyebilir ya da reddedebilir.
- Her adım kayıtlı. Onay isteği, revizyon, ret ve gönderim tarih-saatle kayda geçer.
- Zamanlanmış gönderimde yeniden denetim. İleri tarihe kurulmuş bir mailde, gönderim anında yetki yeniden kontrol edilir. Arada işten ayrılan ya da yetkisi değişen kişinin maili yetkisiz çıkmaz.
Somut bir senaryo: Satış temsilcisi satis@ ortak kutusundan bir ihale yanıtı hazırlar ve onaya sunar. Satış müdürü teklifte bir kalemin eski fiyatla yazıldığını görür, "3. kalemde güncel liste fiyatı uygulanmalı" gerekçesiyle revizyon ister. Temsilci düzeltip yeniden sunar, müdür onaylar ve mail cuma sabahı gönderilmek üzere zamanlanır. Temsilci perşembe günü başka departmana geçerse, gönderim anında yetkisi yeniden denetlenir. Tüm adımlar tarih-saatle kayıtlıdır.
Gelen tarafta da koruma vardır: SmartMail gelen her maili SPF/DKIM/DMARC, benzer alan adı, görünen ad taklidi ve Reply-To uyuşmazlığı dahil 12 sinyalle değerlendirir ve sonucu gerekçesiyle raporlar. Böylece sahte bir "hesabımız değişti" maili, taşıdığı sinyallere göre gelirken gerekçesiyle işaretlenebilir; ödeme teyidi içeren cevap da yazan kişi tarafından onaya sunulduğunda ikinci bir gözden geçer.
Sonraki adım
Önümüzdeki bir ay boyunca kurum adına çıkan teklif ve ödeme maillerini sayın; hangilerinin ikinci bir gözden geçtiğini not edin. Sonuç, onay akışının nereden başlaması gerektiğini gösterecektir. Çoğu şirkette ilk aday ödeme ve hesap bilgisi içeren yazışmalar, ikinci aday ise bağlayıcı fiyat içeren tekliflerdir. Küçük başlayın: tek bir mesaj türü ve tek bir ekiple bir ay çalışın, bekleme sürelerini ölçün, sonra kapsamı genişletin. Böylece ekipler süreci bir engel olarak değil, kendilerini koruyan bir güvence olarak benimser. Ödeme dolandırıcılığının işleyişi için IBAN değişikliği maili dolandırıcılığı rehberimizi okuyabilir, onay akışını kendi ekiplerinizle denemek için bizimle iletişime geçebilirsiniz. E-posta ve belge güvenliğinin diğer başlıkları Kurumsal E-posta ve Belge rehberimizde bir arada.