# E-posta Onay Akışı Nedir? Teklif, Ödeme Teyidi ve Resmî Yazıları Göndermeden Önce Onaylatma Rehberi

> E-posta onay akışı teklif ve ödeme maillerini gönderimden önce yetkiliye onaylatır. Hangi mailler onaya girmeli, 6 adımda nasıl kurulur? Rehberi okuyun.

Kaynak: https://digitalbridge.com.tr/blog/e-posta-onay-akisi.html
Yayıncı: Digital Bridge Teknoloji (https://digitalbridge.com.tr)
Konu: Kurumsal E-posta ve Belge
Yayın: 2026-09-24 · Güncelleme: 2026-10-30

E-posta onay akışı, kurum adına çıkacak bir mesajın (teklif, ödeme teyidi, sözleşme değişikliği, resmî yazı) gönderilmeden önce bir ya da birden çok yetkilinin onayına sunulması ve her adımın tarih-saatle kayda geçmesidir. Hatalı teklifi, sahte talebe verilen ödeme teyidini ve yetkisiz taahhüdü mail çıkmadan yakalamayı amaçlar. Yalnızca riskli mesaj türlerine uygulandığında işi yavaşlatmaz.

## Kısaca

- E-posta onay akışı, riskli bir mail gönderilmeden önce yetkili kişinin onaylamasını, revizyon istemesini ya da reddetmesini sağlar.
- Onaya girmesi gereken başlıca mailler fiyat teklifleri, ödeme teyitleri, hesap bilgisi, sözleşme değişiklikleri ve resmî kurumlara yazışmalardır.
- FBI IC3 2025 raporuna göre ABD'de BEC kaynaklı 24.768 şikâyette 3,05 milyar dolar kayıp bildirildi.
- Ödeme ve hesap bilgisi içeren maillerde iki farklı kişinin onayı, dört göz ilkesinin yazışmadaki karşılığıdır.
- Digital Bridge'in Smart360 ailesindeki SmartMail, gönderim onayını yerleşik sunar ve her adımı tarih-saatle kaydeder.

## E-posta onay akışı neden gerekir? "Gönder" tuşu tek kişinin elinde

Satın almada iki imza, ödemede çift onay çoğu şirkette yıllardır uygulanır. Ama aynı kararın *yazılı hâli* olan e-posta çoğu zaman tek kişinin inisiyatifiyle çıkar. Bir satış temsilcisi yanlış fiyatla teklif gönderir, bir muhasebe çalışanı tedarikçiye "yeni hesabınıza ödeme yapıyoruz" diye teyit verir, bir proje yöneticisi yetkisi olmadığı bir teslim tarihini taahhüt eder. Mail bir de yanlış alıcıya çıktıysa ilk saatte yapılacakları [yanlış kişiye gönderilen e-posta](https://digitalbridge.com.tr/blog/yanlis-kisiye-gonderilen-e-posta.html) yazısında anlattık.

Sorun kişilerin dikkatsizliği değil; süreçte ikinci bir gözün olmamasıdır. Bugün çoğu şirkette e-postadaki "ikinci göz" şöyle uygulanır: çalışan taslağı yöneticisine iletir, yönetici "tamam" diye cevap verir, çalışan maili gönderir. Taslağı iletip "tamam" cevabı bekleme yönteminin üç zaafı vardır:

- Onaylanan metinle gönderilen metnin aynı olduğunu kimse garanti edemez.
- Onay, ayrı bir mail zincirinde kalır; aylar sonra aranınca bulunamaz.
- Yönetici izindeyken süreç ya durur ya da atlanır.

## Onaysız gönderim şirkete neye mal olur?

E-posta onay akışı eksikliğinin en pahalı sonucu, ödeme yönlendirme dolandırıcılığıdır. Saldırgan tedarikçi ya da yönetici taklidiyle yazar; tek kişinin cevabıyla ödeme teyidi verilir. En yaygın biçimleri [sahte fatura maili](https://digitalbridge.com.tr/blog/sahte-fatura-maili.html) ve navlun ödemesinin yönlendirildiği [lojistik e-posta dolandırıcılığı](https://digitalbridge.com.tr/blog/lojistik-e-posta-dolandiriciligi.html) senaryolarıdır.

> FBI'ın İnternet Suçları Şikâyet Merkezi'ne (IC3) göre ABD'de 2025'te [iş e-postası ele geçirme (BEC)](https://digitalbridge.com.tr/sozluk.html#bec) kaynaklı 24.768 şikâyette toplam 3,05 milyar dolar kayıp bildirildi. ([FBI IC3 2025 Internet Crime Report](https://www.ic3.gov/AnnualReport/Reports/2025_IC3Report.pdf))

Talep edilen tutarlar da büyüyor. [APWG'nin 2026 2. çeyrek Phishing Activity Trends raporuna](https://docs.apwg.org/reports/apwg_trends_report_q2_2026.pdf) göre havale talep eden BEC saldırılarında istenen ortalama tutar 61.732 dolara çıktı; bu, önceki çeyreğin 42.663 dolarlık ortalamasına göre %45 artış demek.

Güven ilişkisi kurgulanarak yapılan saldırılar da artıyor. [Verizon 2026 Data Breach Investigations Report](https://www.verizon.com/business/resources/T1ae/reports/2026-dbir-data-breach-investigations-report.pdf) verilerinde "pretexting" tüm ihlallerde ilk erişim yolu olarak %6'ya ulaştı; oltalama ise %16'da kaldı. Pretexting'in özü, kurbanı inandırıcı bir senaryoyla bir işlem yapmaya ikna etmektir; ikinci bir onaycı bu senaryoyu bozmanın en ucuz yoludur.

Zaman da kritik. FBI IC3'ün Varlık Kurtarma Ekibi 2025'te başlattığı 3.900 vakada hedeflenen 1,16 milyar dolarlık transferin 679 milyon dolarını dondurdu ve rapor, sahte transfer fark edildiğinde "zamanın kritik olduğunu" vurguluyor ([FBI IC3 2025 Internet Crime Report](https://www.ic3.gov/AnnualReport/Reports/2025_IC3Report.pdf)). E-posta onay akışı ise hatayı daha erken, mail çıkmadan ve transfer yapılmadan yakalamaya çalışır. Yabancı müşteriye İngilizce giden kritik maillerde onay adımı dil hatalarını da yakalar; bu mailleri yazarken işe yarayan kalıplar [İngilizce iş maili rehberimizde](https://digitalbridge.com.tr/blog/ingilizce-is-maili-yazma.html) yer alıyor.

## Hangi mailler onay akışına girmeli?

Her maili onaya sokmak ekibi yavaşlatır ve onayı formaliteye çevirir. E-posta onay akışını kurmadan önce riskli mesaj türlerini ve önerilen onaycıları belirleyin:

| Mesaj türü | Neden riskli? | Önerilen onaycı |
|---|---|---|
| Fiyat teklifi / ihale yanıtı | Bağlayıcı fiyat ve şart içerir | Satış müdürü |
| Ödeme teyidi, hesap bilgisi | Dolandırıcılığın hedefi | Finans müdürü + ikinci kişi |
| Sözleşme ve şartname değişikliği | Hukuki sonuç doğurur | Hukuk / genel müdür |
| Resmî kurumlara yazışma | Kurumu temsil eder | Departman yöneticisi |
| Kriz ve müşteri şikâyeti yanıtı | İtibar riski | İletişim sorumlusu |
| Stajyer ve yeni çalışan mailleri | Deneyim eksikliği | Ekip lideri |

## E-posta onay akışı nasıl kurulur? 6 adım

1. **Mesaj türlerini listeleyin.** Riskli mesaj türleri tablosunu kendi şirketiniz için doldurun. Hangi adreslerden ve hangi konularda kurum adına taahhüt çıkıyor? İhale dönemlerinde teklif maili için gereken ek önlemleri [ihale teklif e-posta güvenliği](https://digitalbridge.com.tr/blog/ihale-teklif-e-posta-guvenligi.html) yazımızda sıraladık.
2. **Onaycıları belirleyin.** Her tür için bir ya da birden çok onaycı ve bir yedek onaycı tanımlayın; izin dönemlerinde süreç durmasın.
3. **Onay seçeneklerini netleştirin.** Yalnızca "evet/hayır" değil, "gerekçesiyle revizyon iste" seçeneği de olmalı. Revizyon gerekçesi yazılı kalmalı.
4. **Onaylanan metni kilitleyin.** Onaydan sonra metin değişirse onay geçersiz sayılmalı; gönderilen içerik onaylanan içerikle aynı olmalı.
5. **Zamanlanmış gönderimi denetleyin.** Onaylanıp ileri tarihe kurulan bir mail, gönderim anında hâlâ yetkili biri tarafından gönderiliyor olmalı. Bu arada ayrılan ya da yetkisi değişen çalışanın maili çıkmamalı.
6. **Kaydı saklayın ve gözden geçirin.** Kim onay istedi, kim onayladı, kim ret verdi, ne zaman — bu kayıt bir anlaşmazlıkta elinizdeki önemli belgelerden biridir. Üç ayda bir kaç mailin onaya girdiğini ve ortalama bekleme süresini inceleyin.

### E-posta onay akışını işlevsiz kılan hatalar

- **Her şeyi onaya sokmak:** Onaycı günde yüzlerce istek görürse okumadan onaylar.
- **Tek onaycı, yedeksiz:** Onaycı izne çıkınca çalışan onayı atlayıp kişisel adresinden gönderir.
- **Onayı mail dışında vermek:** Telefonda "tamam" demek kayıt bırakmaz.
- **Gerekçe istememek:** Gerekçesiz ret, çalışanı neyi düzelteceğini bilmeden bekletir.

### Tek onay mı, çoklu onay mı?

E-posta onay akışında her mesaj türü aynı düzeyde onay gerektirmez. Günlük bir fiyat teklifinde satış müdürünün tek onayı yeterlidir. Hesap bilgisi içeren ödeme teyidinde ise iki farklı kişinin onayı, "dört göz ilkesi"nin yazışmadaki karşılığıdır: biri içeriği, diğeri muhatabın gerçekliğini kontrol eder.

Sözleşme değişikliği gibi hukuki sonucu olan mesajlarda hem departman yöneticisinin hem hukuk sorumlusunun görmesi gerekebilir. Kural basit: mesajın yol açabileceği zarar büyüdükçe onaycı sayısı artsın, ama hiçbir akışta onaycılar sürecin darboğazına dönüşmesin. Bunun için bekleyen onayları görünür kılın ve onaycılara makul bir yanıt süresi hedefi koyun.

İskonto eşiği ve geçerlilik süresi gibi teklifin kendi onay kurallarını [teklif takip programı](https://digitalbridge.com.tr/blog/teklif-takip-programi.html) yazısında anlattık.

E-posta onay akışı, ortak adreslerin düzenli yönetimiyle birlikte en iyi sonucu verir; bu konuyu [ortak posta kutusu yönetimi yazımızda](https://digitalbridge.com.tr/blog/ortak-posta-kutusu-yonetimi.html) ele aldık. Kullandığınız sistemde yerleşik gönderim onayı yoksa bu özelliği [kurumsal e-posta seçim kriterleriniz](https://digitalbridge.com.tr/blog/kurumsal-e-posta-nasil-secilir.html) arasına ekleyin.

E-posta onayını resmî evrak onayıyla karıştırmayın. Kurum dışına çıkan bir teklifin onayı e-postada yürür; evrak kayıt numarası, e-imza ve resmî arşiv gerektiren yazışmalar ise [elektronik belge yönetim sisteminde (EBYS)](https://digitalbridge.com.tr/sozluk.html#ebys) onaylanır. İki akışın farkını [EBYS ile kâğıtsız ofis](https://digitalbridge.com.tr/blog/ebys-kagitsiz-ofis.html) yazısında anlattık.

## Digital Bridge e-posta onay akışını nasıl kuruyor?

E-posta onay akışı, bir e-posta ayarından önce bir yetki ve sorumluluk tasarımıdır. Çalışmayı şöyle yürütüyoruz:

- **Süreç haritası:** Satış, finans ve satın alma ekipleriyle kurum adına hangi yazışmaların çıktığını, bugün kimin onayladığını çıkarıyoruz. Bu çalışma [dijital dönüşüm danışmanlığı](https://digitalbridge.com.tr/danismanlik/dijital-donusum-danismanligi.html) kapsamında, [dijital dönüşüm yol haritası](https://digitalbridge.com.tr/blog/dijital-donusum-yol-haritasi.html) yazısında anlattığımız daha geniş bir süreç iyileştirmesinin parçası olabilir.
- **Risk değerlendirmesi:** Ödeme ve hesap bilgisi yazışmalarındaki açıkları [siber güvenlik danışmanlığı](https://digitalbridge.com.tr/danismanlik/siber-guvenlik.html) çerçevesinde raporluyor, hangi yazışmaların ikinci onaya girmesi gerektiğini birlikte önceliklendiriyoruz.
- **Sistemlerle bağlantı:** Onay kararının ERP ya da muhasebe tarafındaki ödeme süreciyle eşleşmesi gerekiyorsa [RPA ve süreç otomasyonu](https://digitalbridge.com.tr/yazilim-cozumleri/rpa-surec-otomasyonu.html) ile [ERP](https://digitalbridge.com.tr/yazilim-cozumleri/erp-kurumsal-kaynak-yonetimi.html) tarafını birlikte planlıyoruz; kural tabanlı otomasyonun nerede işe yaradığını [RPA nedir](https://digitalbridge.com.tr/blog/rpa-nedir.html) yazısında özetledik.
- **Uygulama:** Hangi mesajların SmartMail'de gönderim onayına sunulacağını ve onaycıları ekiplerinizle birlikte belirliyor, ilk haftalarda kullanımı birlikte gözden geçiriyoruz.

## SmartMail'de gönderim onayı nasıl çalışır?

Digital Bridge'in geliştirdiği [Smart360](https://digitalbridge.com.tr/smart360.html) ailesinin [kurumsal e-posta ürünü SmartMail](https://digitalbridge.com.tr/smart360/smartmail.html) (SmartMail.com.tr), gönderim onayını yerleşik olarak sunar:

- **Başlatan yazan kişidir.** Kurum adına çıkacak mesajı yazan kişi, "Gönder" yerine "Onaylı gönder" ile maili onaya sunar; yöneticinin herkese uyguladığı zorunlu bir kural değildir.
- **Bir ya da birden çok onaycı.** Mesaj bir kişinin ya da birden çok kişinin onayına sunulabilir; birden çok onaycıda "herhangi biri" ya da "hepsi" kuralı seçilir.
- **Üç karar: onay, gerekçeli revizyon, ret.** Onaycı maili onaylayabilir (mail o anda gider), ne değişmesi gerektiğini yazarak revizyon isteyebilir ya da reddedebilir. Onaylanmayan mail alıcıya teslim edilmez.
- **Her adım kayıtlı.** Onay isteği, revizyon, ret ve gönderim tarih-saatle kayda geçer.
- **Zamanlanmış gönderimde yeniden denetim.** İleri tarihe kurulmuş bir mailde, gönderim anında yetki yeniden kontrol edilir. Arada işten ayrılan ya da yetkisi değişen kişinin maili yetkisiz çıkmaz.

Somut bir senaryo: Satış temsilcisi `satis@` ortak kutusundan bir ihale yanıtı hazırlar ve onaya sunar. Satış müdürü teklifte bir kalemin eski fiyatla yazıldığını görür, "3. kalemde güncel liste fiyatı uygulanmalı" gerekçesiyle revizyon ister. Temsilci düzeltip yeniden sunar; müdür onayladığı anda mail gider ve tüm adımlar tarih-saatle kayıtlıdır.

SmartMail'de onay akışı ile zamanlanmış gönderim birlikte kullanılmaz; ikisi ayrı yollardır. Temsilcinin ileri tarihe kurduğu sıradan bir mailde ise, arada başka departmana geçerse, gönderim anında yetkisi yeniden denetlenir.

SmartMail'de gelen tarafta da koruma vardır: SmartMail gelen her maili SPF/DKIM/DMARC, benzer alan adı, görünen ad taklidi, Reply-To uyuşmazlığı ve yapay zeka ile içerik değerlendirmesi dahil kimlik, yapı ve içerik ölçümlerinden geçirir ve sonucu gerekçesiyle raporlar. Böylece sahte bir "hesabımız değişti" maili, taşıdığı sinyallere göre gelirken gerekçesiyle işaretlenebilir; ödeme teyidi içeren cevap da yazan kişi tarafından onaya sunulduğunda ikinci bir gözden geçer. SmartMail'i satın almak için [Smart360 satın alma sayfasını](https://smart360.com.tr/satin-al?urun=smartmail) kullanabilirsiniz.

## E-posta onay akışına nereden başlamalı?

Önümüzdeki bir ay boyunca kurum adına çıkan teklif ve ödeme maillerini sayın; hangilerinin ikinci bir gözden geçtiğini not edin. Bu sayım, e-posta onay akışının nereden başlaması gerektiğini gösterecektir. Çoğu şirkette ilk aday ödeme ve hesap bilgisi içeren yazışmalar, ikinci aday ise bağlayıcı fiyat içeren tekliflerdir.

Küçük başlayın: tek bir mesaj türü ve tek bir ekiple bir ay çalışın, bekleme sürelerini ölçün, sonra kapsamı genişletin. Böylece ekipler süreci bir engel olarak değil, kendilerini koruyan bir güvence olarak benimser.

Ödeme dolandırıcılığının işleyişi için [IBAN değişikliği maili dolandırıcılığı rehberimizi](https://digitalbridge.com.tr/blog/iban-degisikligi-maili-dolandiriciligi.html) okuyabilir, onay akışını kendi ekiplerinizle denemek için [bizimle iletişime geçebilirsiniz](https://digitalbridge.com.tr/iletisim.html). E-posta ve belge güvenliğinin diğer başlıkları [Kurumsal E-posta ve Belge rehberimizde](https://digitalbridge.com.tr/blog/konu/kurumsal-eposta.html) bir arada.

## Sık Sorulan Sorular

### E-posta onay akışı her maili yavaşlatır mı?

Hayır, doğru kurulduğunda yalnızca belirlenen riskli mesaj türleri onaya girer. Günlük yazışmalar normal şekilde gönderilir. Teklif, ödeme teyidi ve resmî yazı gibi mesajlarda kısa bir bekleme, hatalı ya da sahte bir işlemin maliyetiyle karşılaştırıldığında küçük kalır. Bekleyen onayların görünür olması ve onaycılara yanıt süresi hedefi konması da gecikmeyi sınırlar.

### E-posta onay akışı nasıl çalışır?

Mesajı yazan kişi maili göndermek yerine onaya sunar. Onaycı mesajı okur ve onaylar, gerekçesini yazarak revizyon ister ya da reddeder. Onaylanan mail gönderilir, onaylanmayan mail alıcıya ulaşmaz; her adım tarih-saatle kayda geçer. Riskli mesajlarda iki farklı kişinin onayı, ödemedeki dört göz ilkesinin yazışmadaki karşılığıdır.

### Hangi mailler onay akışına girmeli?

Onaya girmesi gereken mailler, kurum adına bağlayıcı sonuç doğuranlardır: fiyat teklifleri ve ihale yanıtları, ödeme teyitleri ve hesap bilgisi, sözleşme ve şartname değişiklikleri, resmî kurumlara yazışmalar ve kriz yanıtları. Stajyer ve yeni çalışan mailleri de ekip lideri onayına sunulabilir. Günlük yazışmaları onaya sokmak onayı formaliteye çevirir.

### Onaycı izindeyse ne olur?

Her mesaj türü için birden çok onaycı ya da yedek onaycı tanımlanmalıdır. Böylece bir kişinin yokluğu süreci durdurmaz ve çalışanlar onayı atlamak için kişisel adreslere yönelmez. İzin takvimi önceden biliniyorsa yedek onaycı o tarihler için baştan atanır; bekleyen onayların herkesçe görünür olması da tıkanan bir isteğin fark edilmesini kolaylaştırır.

### Onay akışı BEC dolandırıcılığını tamamen önler mi?

Tek başına değil. Onay akışı, kurum adına sahte bir talebe onaysız cevap verilmesini ve ödeme teyidinin tek kişinin kararıyla çıkmasını engeller. Gelen maillerin benzer alan adı ve taklit açısından analiz edilmesi, hesap değişikliğinin telefonla teyit edilmesi ve ekip farkındalığı ile birlikte kullanılmalıdır.

### Onay kayıtları bir anlaşmazlıkta kanıt olarak kullanılabilir mi?

Onay isteği, revizyon, ret ve gönderim adımlarının tarih-saatle kayıtlı olması, iç denetimde ve müşteri ya da tedarikçiyle yaşanan anlaşmazlıklarda kimin neyi ne zaman onayladığını göstermenizi sağlar. Onaycı karar verirken alıcıları, eklerin adını ve mailin gövdesini görür; kayıt da bu kararın tarih-saatini gösterir. Hukuki değerlendirme için avukatınıza danışmanızı öneririz.

### SmartMail'de onay akışı için ek kurulum gerekir mi?

Hayır. Gönderim onayı SmartMail'in yerleşik özelliğidir ve ayrı bir modül gerektirmez. SmartMail bulutta çalıştığı için kurumda sunucu kurulmaz; hesap ödeme onaylandığı anda açılır. Mail yazan kişi, gerek gördüğü mesajda "Gönder" yerine "Onaylı gönder" seçeneğini kullanarak onaycıları ve "herhangi biri" ya da "hepsi" kuralını seçer.