Toplantı hep aynı yerde tıkanıyor. Yönetim temsilcisi "denetçi ıslak imza ister, riske girmeyelim" diyor. IT müdürü ise her prosedürün basılıp imzalanıp taranmasına karşı çıkıyor; tarayıcının aylık 4.000 sayfayı geçtiğini, taranan PDF'lerin arşivde ayrı bir yük olduğunu anlatıyor. Karar altı aydır alınamıyor ve o arada dokümanlar hem sistemde hem klasörde duruyor. Oysa doküman elektronik imza tartışması, doğru soruyu sorunca yarım günde biter: standart imzanın biçimini mi istiyor, yoksa onayın kanıtlanabilirliğini mi?
Standart aslında ne istiyor?
ISO 9001 madde 7.5.2, dokümante bilgi (documented information) oluşturulurken ve güncellenirken uygunluk ve yeterlilik açısından gözden geçirilip onaylanmasını ister. Maddenin metninde "imza" kelimesi geçmez. Madde 7.5.3.1 ise dokümanın bütünlüğünün korunmasını, yani izinsiz değiştirilmesinin önlenmesini şart koşar. İkisini birleştirince standardın beklentisi netleşir: onay kim tarafından, ne zaman, hangi yetkiyle verilmiş belli olacak ve onaylanan sürüm sonradan sessizce değişmeyecek.
IATF 16949 de bu konuda ek bir imza biçimi dayatmaz. Yani "denetçi ıslak imza ister" cümlesi bir standart gereği değil, bir alışkanlıktır. Denetçinin gerçekten istediği şey kanıttır; kanıtı ıslak imzayla da sistem içi bir onay iziyle de verebilirsiniz. Yeter ki iz sağlam olsun.
Üç ayrı şeyden bahsediyoruz
Doküman elektronik imza başlığı altında aslında üç farklı şey tek isimle anılıyor ve tartışma da bu yüzden uzuyor. Birincisi ıslak imza: kağıda elle atılan imza. İkincisi sistem içi elektronik onay: kullanıcının kendi hesabıyla giriş yapıp bir dokümanı onaylaması ve bu işlemin tarih, saat, kullanıcı ve sürüm bilgisiyle kaydedilmesi. Üçüncüsü güvenli elektronik imza: 5070 sayılı Elektronik İmza Kanunu kapsamında nitelikli sertifikayla oluşturulan ve elle atılan imzayla aynı hukuki sonucu doğuran imza.
Kalite dokümanlarının büyük çoğunluğu ikinci kategoriyle yürür. Üçüncüsü, hukuki sonuç doğuran belgeler için gerekir; her iş talimatına nitelikli e-imza atmak ne gereklidir ne de sürdürülebilir. Bu üçlü ayrımı toplantıda masaya koyduğunuzda tartışma genelde on dakikada yön değiştirir.
Dördüncü bir seçenek daha var ve en tehlikelisi odur: imza görüntüsünü belgeye yapıştırmak. Taranmış bir imzanın resmini Word dosyasına gömmek ne ıslak imzadır ne elektronik onay. Kimlik doğrulaması yoktur, tarih kanıtı yoktur ve o görüntü aynı klasörden herkes tarafından kopyalanabilir. Denetimde bu yöntemi savunmak mümkün değildir; görürseniz ilk kaldıracağınız uygulama budur.
İki yöntem yan yana
| Kriter | Islak imza | Sistem içi elektronik onay |
|---|---|---|
| Kimlik kanıtı | El yazısı, itiraz edilebilir | Hesap girişi ve şifre, log kaydı |
| Tarih kanıtı | Elle yazılır, sonradan yazılabilir | Sunucu saatiyle otomatik |
| Değiştirilemezlik | Sayfa değiştirilebilir | Sürüm kilitlenir, iz kalır |
| Onay süresi | Ortalama 2-5 gün, dolaşımda | Dakikalar, uzaktan da mümkün |
| Vekalet / yokluk | İmza için beklenir | Vekil tanımlanır, iz kalır |
| Arşiv yükü | Kağıt + taranmış PDF, çift kayıt | Tek kayıt |
| Hukuki sonuç | Doğrudan doğurur | Doğurmaz; gerekirse nitelikli e-imza |
| Yaygın maliyet kalemi | Baskı, tarama, arşiv alanı | Yazılım ve yetki yönetimi |
Tablodaki en çarpıcı satır "tarih kanıtı" satırıdır. Islak imzalı bir onay sayfasında tarihi imzayı atan kişi elle yazar; iki hafta gecikmiş bir onayın tarihini geriye atmak teknik olarak mümkündür ve sahada bunun örneğini gördüm. Sistem içi onayda tarih kullanıcı tarafından yazılmaz, sunucu tarafından damgalanır. Bu yönüyle elektronik onay, kağıttan daha güçlü bir kanıttır.
Elektronik onayı çürüten tek şey ortak hesaptır. "kalite@firma" gibi bir kullanıcıyla verilen onay, onayı gerçekte kimin verdiğini göstermez ve denetimde doğrudan bulgu olur. Aynı şekilde şifresini asistanına vermiş bir müdürün onayı da kanıt değeri taşımaz. Elektronik imzaya geçmeden önce yapılacak ilk iş, herkese kişisel hesap açmak ve paylaşılan hesapları kapatmaktır. Bu adımı atlayan geçişlerin hepsi ilk denetimde geri döndü.
Denetçi elektronik onayı ne zaman kabul eder?
Doküman elektronik imza uygulamasına bakan denetçiler, gördüğüm kadarıyla beş şeyi arıyor. Onayı veren kişisel hesapla giriş yapmış mı, o kişinin bu onayı verme yetkisi yetki matrisinde tanımlı mı, onay tarihi ve saati sistem tarafından mı yazılmış, onaylanan sürüm kilitlenmiş mi ve bu izi ekranda gösterebiliyor musunuz. Beşi de sağlanıyorsa ıslak imza sorulmaz.
Buradaki kritik nokta beşincisidir: gösterebilmek. Denetim sırasında denetçi bir prosedürü seçer ve "bunu kim onayladı?" diye sorar. Cevabı üç tıkta ekranda gösteremiyorsanız, sisteminiz teknik olarak doğru çalışsa bile denetçinin gözünde kanıt üretmemiş olur. Onay izini rapor olarak da alabildiğinizden emin olun; bazı denetçiler ekran yerine liste ister.
Denetçinin elektronik onaya alışkın olmadığı durumlar da olur. O zaman tartışmak yerine göstermek işe yarar: bir dokümanı açıp onay ekranını, kullanıcı kaydını ve sürüm geçmişini sırayla gösterin. Beş dakikalık bu gösterim, "bizde ıslak imza kullanmıyoruz" cümlesinden çok daha ikna edicidir. Açılış toplantısında sistemi kısaca tanıtmak da faydalı; denetçi neye bakacağını bildiğinde denetim hızlanır ve gereksiz kanıt talebi azalır.
Islak imza gerçekten hangi belgelerde şart?
Üç grup var. Birincisi, mevzuatın imza biçimini belirlediği resmi belgeler. İkincisi, taraflar arasında hukuki sonuç doğuran sözleşme, taahhütname ve vekaletnameler; burada ıslak imza ya da nitelikli elektronik imza gerekir. Üçüncüsü, müşterinin özel şartlarında açıkça ıslak imza istediği formlar. Örneğin bazı müşteriler PPAP onay formunun (PSW) ıslak imzalı taranmış nüshasını talep eder; bu bir standart gereği değil, müşteri şartıdır ve uyulur.
Bu üç grubun dışında kalan her şey — kalite el kitabı, prosedürler, iş talimatları, kontrol planları, iç denetim raporları, düzeltici faaliyet kayıtları — sistem içi onayla yürütülebilir. Firmaların çoğunda bu belgeler toplam doküman hacminin büyük bölümünü oluşturur. Yani doğru ayrımı yaptığınızda kağıdın neredeyse tamamı, imzasız değil, izlenebilir bir onayla ortadan kalkar.
Islak imza gereken belgelerin listesini prosedüre ek olarak koyun ve kısa tutun. Liste uzadıkça istisna kural hâline gelir, sonra da herkes her şeyi basıp imzalatmaya döner. Bizim listemizde altı satır var ve üç yıldır aynı kaldı.
Basıp taramanın gerçek maliyeti
Islak imzanın maliyeti kağıt parası değildir. Asıl maliyet üç yerde birikir: onayın dolaşımda geçirdiği süre, aynı belgenin hem kağıt hem taranmış hâlde iki yerde durması ve tarandıktan sonra dosya adının yanlış yazılmasıyla kaybolan belgeler. Dört imzadan geçmesi gereken bir prosedür, imza sahiplerinden biri seyahatteyse haftayı devirir; klasör kimin masasında kaldıysa süreç orada durur. Elektronik onayda böyle bir kuyruk oluşmaz, çünkü onay sırası kağıdın fiziksel konumuna bağlı değildir.
İkinci sinsi maliyet, taranmış nüshanın sistemdeki nüshayla ayrışmasıdır. Doküman sistemde revize edilir, ama imzalı tarama eski sürümü gösterir. Denetimde ikisi yan yana geldiğinde hangisinin geçerli olduğu tartışılır. Bu ikilik, kağıt ve dijitali paralel yürüten firmaların ortak sorunudur ve tek çözümü paralelliği bitirmektir.
Üçüncü maliyet kalemi arşiv alanıdır ve kimse hesaba katmaz. Islak imzalı onay sayfaları yıllar içinde raf metresi tüketir, o rafın bulunduğu oda ısıtılır, temizlenir ve sigorta edilir. Bir de imzalı nüshanın bulunamaması riski var; kağıt arşivde tek bir sayfanın yanlış klasöre girmesi, o dokümanın onay kanıtını yıllarca görünmez kılar. Elektronik izde böyle bir kayıp yaşanmaz, çünkü iz dokümanın kendisine bağlıdır.
İmza ile onayı karıştırmayın
Tartışmayı uzatan bir başka karışıklık, bir belgedeki her imzanın aynı anlama geldiğinin sanılmasıdır. Oysa bir prosedürün altındaki üç imza üç farklı işi gösterir: hazırlayan içeriği yazmıştır, kontrol eden teknik doğruluğunu ve diğer dokümanlarla uyumunu denetlemiştir, onaylayan ise yürürlüğe girmesine karar vermiştir. Denetçinin sorguladığı şey imzanın kendisi değil, bu üç rolün gerçekten ayrı kişilerce yürütülüp yürütülmediğidir.
Küçük ekiplerde hazırlayan ile kontrol edenin aynı kişi olması sık görülür ve tek başına bulgu değildir; ama onaylayanın hazırlayandan farklı olması beklenir. Bu ayrımı yetki matrisinde doküman türü bazında yazın. Elektronik onaya geçtiğinizde sistem bu kuralı kendiliğinden uygular: kendi hazırladığı dokümanı onaylamak isteyen kullanıcıya izin vermez. Kağıtta ise bu kural ancak birinin fark etmesine bağlıdır.
Elektronik onayın zayıf noktaları
Elektronik onay kusursuz değildir ve dört yerde zayıflar. Birincisi ortak hesap; yukarıda anlattık, en yaygın sorun budur. İkincisi yetki devri: müdür izne çıkarken şifresini birine bırakırsa iz kime aitse o kişiyi gösterir ve kanıt çöker. Vekalet sistemin içinde tanımlanmalı, kimin adına kimin onay verdiği kayıtta görünmelidir.
Üçüncüsü sistem saati. Onay tarihini sunucu damgalıyorsa, sunucu saatinin doğru olduğundan emin olun; saati elle değiştirilebilen bir sunucudaki zaman damgası tartışmaya açıktır. Dördüncüsü ve en çok unutulanı, sistem değişikliğidir. Beş yıl sonra başka bir yazılıma geçtiğinizde onay izleri de taşınmalıdır; yalnızca PDF'leri taşıyıp izleri geride bırakan bir göç, o güne kadar biriktirdiğiniz bütün kanıtı siler. Göç şartnamesine bu maddeyi mutlaka yazın.
Denetçi elektronik onayı sınarken genelde şu üçlüyü dener: rastgele bir doküman seçer, onaylayanın adını sorar, sonra o kişinin yetki matrisinde bu onayı verme hakkı olup olmadığını kontrol eder. Üçüncü adımda da aynı dokümanın bir önceki sürümünü isteyip iki sürümün onay tarihlerini karşılaştırır. Tarihler tutarsızsa ya da onaylayan yetkisiz çıkarsa, sistemin ne kadar modern olduğu bir şey değiştirmez.
Geçişi nasıl yaparsınız?
Önce yetki matrisini yazın: hangi doküman türünü kim hazırlar, kim kontrol eder, kim onaylar. Sonra herkese kişisel hesap açın ve ortak hesapları kapatın. Ardından bir pilot seçin; en iyi pilot, en çok imza dolaşan doküman türüdür. Bir çeyrek boyunca hem eski hem yeni yöntemi paralel yürütmeyin, doğrudan geçin; paralel yürütme belirsizliği uzatmaktan başka işe yaramıyor. Son adımda ıslak imza gereken belge listesini yazıp prosedüre ekleyin; liste ne kadar kısaysa sistem o kadar rahat işler.
PaKalite'de doküman onayı kişisel hesapla verilir; onaylayan, tarih, saat ve onaylanan sürüm birlikte kaydedilir ve onaylanan sürüm kilitlenir. Şirket içi kurulduğu için onay izleri de dışarıya çıkmaz, kendi sunucunuzda kalır. Hangi kalite yönetim sistemi yazılımını kurarsanız kurun, doküman elektronik imza tartışması üç soruda kapanır: onayı kim verdi, ne zaman verdi ve belge o günden beri değişti mi? Üçüne de ekranda cevap verebiliyorsanız ıslak imza tartışması kendiliğinden söner. Formların bu yapıya nasıl oturduğunu form yönetimi yazımızda anlattık.