E-posta Onay Akışı Nedir? Teklif, Ödeme Teyidi ve Resmî Yazıları Göndermeden Önce Onaylatma Rehberi

E-posta onay akışı, kurum adına çıkacak bir mesajın (teklif, ödeme teyidi, sözleşme değişikliği, resmî yazı) gönderilmeden önce bir ya da birden çok yetkilinin onayına sunulması ve her adımın tarih-saatle kayda geçmesidir. Hatalı teklifi, sahte talebe verilen ödeme teyidini ve yetkisiz taahhüdü mail çıkmadan yakalamayı amaçlar. Yalnızca riskli mesaj türlerine uygulandığında işi yavaşlatmaz.

Kısaca

• E-posta onay akışı, riskli bir mail gönderilmeden önce yetkili kişinin onaylamasını, revizyon istemesini ya da reddetmesini sağlar.
• Onaya girmesi gereken başlıca mailler fiyat teklifleri, ödeme teyitleri, hesap bilgisi, sözleşme değişiklikleri ve resmî kurumlara yazışmalardır.
• FBI IC3 2025 raporuna göre ABD'de BEC kaynaklı 24.768 şikâyette 3,05 milyar dolar kayıp bildirildi.
• Ödeme ve hesap bilgisi içeren maillerde iki farklı kişinin onayı, dört göz ilkesinin yazışmadaki karşılığıdır.
• Digital Bridge'in Smart360 ailesindeki SmartMail, gönderim onayını yerleşik sunar ve her adımı tarih-saatle kaydeder.

E-posta onay akışı neden gerekir? "Gönder" tuşu tek kişinin elinde

Satın almada iki imza, ödemede çift onay çoğu şirkette yıllardır uygulanır. Ama aynı kararın yazılı hâli olan e-posta çoğu zaman tek kişinin inisiyatifiyle çıkar. Bir satış temsilcisi yanlış fiyatla teklif gönderir, bir muhasebe çalışanı tedarikçiye "yeni hesabınıza ödeme yapıyoruz" diye teyit verir, bir proje yöneticisi yetkisi olmadığı bir teslim tarihini taahhüt eder. Mail bir de yanlış alıcıya çıktıysa ilk saatte yapılacakları yanlış kişiye gönderilen e-posta yazısında anlattık.

Sorun kişilerin dikkatsizliği değil; süreçte ikinci bir gözün olmamasıdır. Bugün çoğu şirkette e-postadaki "ikinci göz" şöyle uygulanır: çalışan taslağı yöneticisine iletir, yönetici "tamam" diye cevap verir, çalışan maili gönderir. Taslağı iletip "tamam" cevabı bekleme yönteminin üç zaafı vardır:

• Onaylanan metinle gönderilen metnin aynı olduğunu kimse garanti edemez.
• Onay, ayrı bir mail zincirinde kalır; aylar sonra aranınca bulunamaz.
• Yönetici izindeyken süreç ya durur ya da atlanır.

Onaysız gönderim şirkete neye mal olur?

E-posta onay akışı eksikliğinin en pahalı sonucu, ödeme yönlendirme dolandırıcılığıdır. Saldırgan tedarikçi ya da yönetici taklidiyle yazar; tek kişinin cevabıyla ödeme teyidi verilir. En yaygın biçimleri sahte fatura maili ve navlun ödemesinin yönlendirildiği lojistik e-posta dolandırıcılığı senaryolarıdır.

FBI'ın İnternet Suçları Şikâyet Merkezi'ne (IC3) göre ABD'de 2025'te iş e-postası ele geçirme (BEC) kaynaklı 24.768 şikâyette toplam 3,05 milyar dolar kayıp bildirildi. (FBI IC3 2025 Internet Crime Report)

Talep edilen tutarlar da büyüyor. APWG'nin 2026 2. çeyrek Phishing Activity Trends raporuna göre havale talep eden BEC saldırılarında istenen ortalama tutar 61.732 dolara çıktı; bu, önceki çeyreğin 42.663 dolarlık ortalamasına göre %45 artış demek.

Güven ilişkisi kurgulanarak yapılan saldırılar da artıyor. Verizon 2026 Data Breach Investigations Report verilerinde "pretexting" tüm ihlallerde ilk erişim yolu olarak %6'ya ulaştı; oltalama ise %16'da kaldı. Pretexting'in özü, kurbanı inandırıcı bir senaryoyla bir işlem yapmaya ikna etmektir; ikinci bir onaycı bu senaryoyu bozmanın en ucuz yoludur.

Zaman da kritik. FBI IC3'ün Varlık Kurtarma Ekibi 2025'te başlattığı 3.900 vakada hedeflenen 1,16 milyar dolarlık transferin 679 milyon dolarını dondurdu ve rapor, sahte transfer fark edildiğinde "zamanın kritik olduğunu" vurguluyor (FBI IC3 2025 Internet Crime Report). E-posta onay akışı ise hatayı daha erken, mail çıkmadan ve transfer yapılmadan yakalamaya çalışır. Yabancı müşteriye İngilizce giden kritik maillerde onay adımı dil hatalarını da yakalar; bu mailleri yazarken işe yarayan kalıplar İngilizce iş maili rehberimizde yer alıyor.

Hangi mailler onay akışına girmeli?

Her maili onaya sokmak ekibi yavaşlatır ve onayı formaliteye çevirir. E-posta onay akışını kurmadan önce riskli mesaj türlerini ve önerilen onaycıları belirleyin:

E-posta onay akışı nasıl kurulur? 6 adım

1. Mesaj türlerini listeleyin. Riskli mesaj türleri tablosunu kendi şirketiniz için doldurun. Hangi adreslerden ve hangi konularda kurum adına taahhüt çıkıyor? İhale dönemlerinde teklif maili için gereken ek önlemleri ihale teklif e-posta güvenliği yazımızda sıraladık.
2. Onaycıları belirleyin. Her tür için bir ya da birden çok onaycı ve bir yedek onaycı tanımlayın; izin dönemlerinde süreç durmasın.
3. Onay seçeneklerini netleştirin. Yalnızca "evet/hayır" değil, "gerekçesiyle revizyon iste" seçeneği de olmalı. Revizyon gerekçesi yazılı kalmalı.
4. Onaylanan metni kilitleyin. Onaydan sonra metin değişirse onay geçersiz sayılmalı; gönderilen içerik onaylanan içerikle aynı olmalı.
5. Zamanlanmış gönderimi denetleyin. Onaylanıp ileri tarihe kurulan bir mail, gönderim anında hâlâ yetkili biri tarafından gönderiliyor olmalı. Bu arada ayrılan ya da yetkisi değişen çalışanın maili çıkmamalı.
6. Kaydı saklayın ve gözden geçirin. Kim onay istedi, kim onayladı, kim ret verdi, ne zaman — bu kayıt bir anlaşmazlıkta elinizdeki önemli belgelerden biridir. Üç ayda bir kaç mailin onaya girdiğini ve ortalama bekleme süresini inceleyin.

E-posta onay akışını işlevsiz kılan hatalar

• Her şeyi onaya sokmak: Onaycı günde yüzlerce istek görürse okumadan onaylar.
• Tek onaycı, yedeksiz: Onaycı izne çıkınca çalışan onayı atlayıp kişisel adresinden gönderir.
• Onayı mail dışında vermek: Telefonda "tamam" demek kayıt bırakmaz.
• Gerekçe istememek: Gerekçesiz ret, çalışanı neyi düzelteceğini bilmeden bekletir.

Tek onay mı, çoklu onay mı?

E-posta onay akışında her mesaj türü aynı düzeyde onay gerektirmez. Günlük bir fiyat teklifinde satış müdürünün tek onayı yeterlidir. Hesap bilgisi içeren ödeme teyidinde ise iki farklı kişinin onayı, "dört göz ilkesi"nin yazışmadaki karşılığıdır: biri içeriği, diğeri muhatabın gerçekliğini kontrol eder.

Sözleşme değişikliği gibi hukuki sonucu olan mesajlarda hem departman yöneticisinin hem hukuk sorumlusunun görmesi gerekebilir. Kural basit: mesajın yol açabileceği zarar büyüdükçe onaycı sayısı artsın, ama hiçbir akışta onaycılar sürecin darboğazına dönüşmesin. Bunun için bekleyen onayları görünür kılın ve onaycılara makul bir yanıt süresi hedefi koyun.

İskonto eşiği ve geçerlilik süresi gibi teklifin kendi onay kurallarını teklif takip programı yazısında anlattık.

E-posta onay akışı, ortak adreslerin düzenli yönetimiyle birlikte en iyi sonucu verir; bu konuyu ortak posta kutusu yönetimi yazımızda ele aldık. Kullandığınız sistemde yerleşik gönderim onayı yoksa bu özelliği kurumsal e-posta seçim kriterleriniz arasına ekleyin.

E-posta onayını resmî evrak onayıyla karıştırmayın. Kurum dışına çıkan bir teklifin onayı e-postada yürür; evrak kayıt numarası, e-imza ve resmî arşiv gerektiren yazışmalar ise elektronik belge yönetim sisteminde (EBYS) onaylanır. İki akışın farkını EBYS ile kâğıtsız ofis yazısında anlattık.

Digital Bridge e-posta onay akışını nasıl kuruyor?

E-posta onay akışı, bir e-posta ayarından önce bir yetki ve sorumluluk tasarımıdır. Çalışmayı şöyle yürütüyoruz:

• Süreç haritası: Satış, finans ve satın alma ekipleriyle kurum adına hangi yazışmaların çıktığını, bugün kimin onayladığını çıkarıyoruz. Bu çalışma dijital dönüşüm danışmanlığı kapsamında, dijital dönüşüm yol haritası yazısında anlattığımız daha geniş bir süreç iyileştirmesinin parçası olabilir.
• Risk değerlendirmesi: Ödeme ve hesap bilgisi yazışmalarındaki açıkları siber güvenlik danışmanlığı çerçevesinde raporluyor, hangi yazışmaların ikinci onaya girmesi gerektiğini birlikte önceliklendiriyoruz.
• Sistemlerle bağlantı: Onay kararının ERP ya da muhasebe tarafındaki ödeme süreciyle eşleşmesi gerekiyorsa RPA ve süreç otomasyonu ile ERP tarafını birlikte planlıyoruz; kural tabanlı otomasyonun nerede işe yaradığını RPA nedir yazısında özetledik.
• Uygulama: Hangi mesajların SmartMail'de gönderim onayına sunulacağını ve onaycıları ekiplerinizle birlikte belirliyor, ilk haftalarda kullanımı birlikte gözden geçiriyoruz.

SmartMail'de gönderim onayı nasıl çalışır?

Digital Bridge'in geliştirdiği Smart360 ailesinin kurumsal e-posta ürünü SmartMail (SmartMail.com.tr), gönderim onayını yerleşik olarak sunar:

• Başlatan yazan kişidir. Kurum adına çıkacak mesajı yazan kişi, "Gönder" yerine "Onaylı gönder" ile maili onaya sunar; yöneticinin herkese uyguladığı zorunlu bir kural değildir.
• Bir ya da birden çok onaycı. Mesaj bir kişinin ya da birden çok kişinin onayına sunulabilir; birden çok onaycıda "herhangi biri" ya da "hepsi" kuralı seçilir.
• Üç karar: onay, gerekçeli revizyon, ret. Onaycı maili onaylayabilir (mail o anda gider), ne değişmesi gerektiğini yazarak revizyon isteyebilir ya da reddedebilir. Onaylanmayan mail alıcıya teslim edilmez.
• Her adım kayıtlı. Onay isteği, revizyon, ret ve gönderim tarih-saatle kayda geçer.
• Zamanlanmış gönderimde yeniden denetim. İleri tarihe kurulmuş bir mailde, gönderim anında yetki yeniden kontrol edilir. Arada işten ayrılan ya da yetkisi değişen kişinin maili yetkisiz çıkmaz.

Somut bir senaryo: Satış temsilcisi satis@ ortak kutusundan bir ihale yanıtı hazırlar ve onaya sunar. Satış müdürü teklifte bir kalemin eski fiyatla yazıldığını görür, "3. kalemde güncel liste fiyatı uygulanmalı" gerekçesiyle revizyon ister. Temsilci düzeltip yeniden sunar; müdür onayladığı anda mail gider ve tüm adımlar tarih-saatle kayıtlıdır.

SmartMail'de onay akışı ile zamanlanmış gönderim birlikte kullanılmaz; ikisi ayrı yollardır. Temsilcinin ileri tarihe kurduğu sıradan bir mailde ise, arada başka departmana geçerse, gönderim anında yetkisi yeniden denetlenir.

SmartMail'de gelen tarafta da koruma vardır: SmartMail gelen her maili SPF/DKIM/DMARC, benzer alan adı, görünen ad taklidi, Reply-To uyuşmazlığı ve yapay zeka ile içerik değerlendirmesi dahil kimlik, yapı ve içerik ölçümlerinden geçirir ve sonucu gerekçesiyle raporlar. Böylece sahte bir "hesabımız değişti" maili, taşıdığı sinyallere göre gelirken gerekçesiyle işaretlenebilir; ödeme teyidi içeren cevap da yazan kişi tarafından onaya sunulduğunda ikinci bir gözden geçer. SmartMail'i satın almak için Smart360 satın alma sayfasını kullanabilirsiniz.

E-posta onay akışına nereden başlamalı?

Önümüzdeki bir ay boyunca kurum adına çıkan teklif ve ödeme maillerini sayın; hangilerinin ikinci bir gözden geçtiğini not edin. Bu sayım, e-posta onay akışının nereden başlaması gerektiğini gösterecektir. Çoğu şirkette ilk aday ödeme ve hesap bilgisi içeren yazışmalar, ikinci aday ise bağlayıcı fiyat içeren tekliflerdir.

Küçük başlayın: tek bir mesaj türü ve tek bir ekiple bir ay çalışın, bekleme sürelerini ölçün, sonra kapsamı genişletin. Böylece ekipler süreci bir engel olarak değil, kendilerini koruyan bir güvence olarak benimser.

Ödeme dolandırıcılığının işleyişi için IBAN değişikliği maili dolandırıcılığı rehberimizi okuyabilir, onay akışını kendi ekiplerinizle denemek için bizimle iletişime geçebilirsiniz. E-posta ve belge güvenliğinin diğer başlıkları Kurumsal E-posta ve Belge rehberimizde bir arada.