Toplantı odasında dört klasör duruyordu: ıslak imzalı prosedürler, her biri üç imza taşıyan yüzlerce sayfa. Kalite şefi bunları taramaya ve onay akışını sisteme almaya geçmek istiyordu. Fabrika müdürünün itirazı tek cümleydi: "Denetçi kabul etmezse ne yapacağız?" Bu soru Türkiye'de neredeyse her dijitalleşme kararının önünde durur ve cevabı sanılandan nettir. Elektronik imza doküman onayı geçerli mi sorusunun karşılığı standart metninde değil, onayın arkasında bıraktığınız izlerde saklıdır.
Standart onayın biçimini değil, varlığını ister
ISO 9001:2015 madde 7.5.2, dokümante bilginin (documented information) oluşturulması ve güncellenmesi sırasında uygunluk ve yeterlilik açısından gözden geçirilip onaylanmasını ister. Maddenin hiçbir yerinde imza, kaşe ya da kâğıt geçmez. Aynı şekilde madde 7.5.3, dokümanın kontrol altında tutulmasını isterken ortamdan bağımsız konuşur; standart 2015 sürümünde zaten "kayıt" ve "doküman" ayrımını kaldırıp her ikisini dokümante bilgi başlığı altında toplamıştır. Otomotivde IATF 16949 de bu noktada ek bir biçim şartı getirmez.
Yani ıslak imza bir standart gereği değil, bir alışkanlıktır. Kâğıt döneminde onayı kanıtlamanın tek yolu imza olduğu için standart uygulamaları o yönde şekillendi. Elektronik ortamda aynı kanıt, imzadan çok daha güçlü biçimde üretilebilir; çünkü kâğıt bir imzanın ne zaman atıldığını söylemez, sistem söyler. ISO 9001 şartlarını okurken bu ayrımı akılda tutmak, gereksiz kâğıt yükünden kurtulmanın ilk adımıdır.
Denetçinin elektronik onayda aradığı dört iz
Denetim masasında elektronik imza doküman onayı geçerli mi tartışması hep aynı dört soruya iner: kim onayladı, ne zaman onayladı, hangi revizyonu onayladı ve bu kayıt sonradan değiştirilebilir mi? Dördü de ekranda gösterilebiliyorsa konu kapanır. Biri eksikse, denetçi kâğıt istemez; o onayın geçerliliğini sorgular.
| Aranan iz | Kâğıt sistemdeki karşılığı | Elektronik karşılığı | Denetimde gösterilecek ekran |
|---|---|---|---|
| Kim | İmza ve isim | Kullanıcı hesabı, ad-soyad ve rol | Doküman kartı onay bloğu |
| Ne zaman | Elle yazılan tarih | Sunucu saatiyle damgalanan tarih-saat | Onay geçmişi satırı |
| Hangi revizyon | Sayfa üstündeki rev. numarası | Onayın bağlandığı revizyon kaydı | Revizyon geçmişi |
| Değiştirilemezlik | Silinti-kazıntı olmaması | Değiştirilemeyen işlem logu | Sistem log ekranı |
| Yetki | İmza sirküleri | Rol ve yetki matrisi | Kullanıcı yetkileri |
Tablodaki son satır çoğu firmada zayıf kalır. Onay ekranı düzgündür, log tutulur, ama herkesin doküman onaylama yetkisi vardır. Denetçi bunu gördüğünde onay akışının biçimsel olduğunu düşünür ve haklıdır. Yetkiyi role bağlayın, kişiye değil; kişi değiştiğinde yetki de doğru yerde kalsın. Yılda bir kez yetki listesini gözden geçirip ayrılan personelin hesaplarını kapatın; aktif görünen ama şirkette olmayan bir onaylayan hesabı, elektronik imza doküman onayı geçerli mi tartışmasını yeniden açar ve bu kez haklı olarak açar.
Elektronik onayı en hızlı çürüten şey ortak kullanıcı hesabıdır. "kalite" adında tek bir hesap açılır, şifresi üç kişide durur ve onaylar bu hesaptan verilir. Bu kurulumda dört izden ikisi anında kaybolur: kim onayladı ve yetkisi var mıydı. Bir denetimde bunu fark eden denetçi, elektronik onay sisteminin tamamını geçersiz saydı ve bulgu doküman kontrolünden değil, madde 7.5.3'ün erişim kontrolü şartından yazıldı. Ortak hesap kullanmayın; lisans maliyetinden tasarruf, denetimde çok daha pahalıya patlar.
Onay akışını kurarken kararlaştırılacak beş şey
Birincisi kademe sayısı: hangi doküman tipinde kaç onay aranacak. İkincisi sıra: onaylar paralel mi verilecek yoksa birbirini bekleyecek mi. Üçüncüsü vekâlet: onaylayan izinliyken yetkiyi kim devralacak ve bu devir kayıt altına alınacak mı. Dördüncüsü red mekanizması: dokümanı geri çeviren kişi gerekçe yazmak zorunda mı. Beşincisi zaman aşımı: onay üç gün bekletilirse sistem kime hatırlatacak.
Üçüncü madde en çok atlanan maddedir ve denetimde en çok soru getirendir. Vekâlet tanımlanmamışsa, kalite müdürü izne çıktığında dokümanlar onun hesabından onaylanır; yani ortak hesap sorunu arka kapıdan geri gelir. Vekâleti sistemde tanımlı, tarih aralıklı ve loglanan bir işlem hâline getirin. Denetçi vekâlet kaydını gördüğünde bunu zayıflık değil, olgunluk işareti sayar.
E-posta onayı sayılır mı?
Ara bir çözüm olarak sık denenir: doküman e-postayla gönderilir, müdür "onaylıyorum" diye cevap yazar, kalite ekibi bu e-postayı klasöre kaydeder. Bu, hiç onay olmamasından iyidir ama denetimde zayıf kalır. Nedeni şu: e-postanın hangi revizyona ait olduğu çoğu zaman belirsizdir, ek dosya sonradan değiştirilebilir ve onay kaydı dokümandan bağımsız bir yerde durur. Denetçi "bu e-postadaki ek ile sistemdeki dosyanın aynı olduğunu nasıl biliyorsunuz?" diye sorduğunda cevap yoktur.
E-postayla yürütmek zorundaysanız en azından üç kuralı uygulayın: konu satırına doküman kodu ve revizyon numarasını yazın, eki değil sistemdeki bağlantıyı gönderin, gelen onay e-postasını doküman kartına dosyalayın. Yine de bu bir geçiş çözümüdür; kalıcı yapı, onayın dokümanın kendi kaydında durmasıdır.
Log kaydı: elektronik sistemin imza defteri
Log, elektronik onayın ispat yükünü taşıyan kayıttır. İçinde en az beş alan bulunmalıdır: işlemi yapan kullanıcı, işlem tipi, işlem tarihi ve saati, etkilenen doküman ve revizyon, değişen alanın eski-yeni değeri. Bu kaydın kullanıcı tarafından silinememesi ve düzenlenememesi şarttır; yönetici hesabı bile logu değiştirebiliyorsa, log bir kanıt olmaktan çıkar.
Log ekranını denetim gününden önce bir kez baştan sona gezmenizi öneririm. Çoğu kalite ekibi bu ekranı hiç görmemiştir ve denetim masasında ilk kez açtığında beklemediği şeyler bulur: test amaçlı yapılmış onaylar, gece yarısı yapılmış toplu değişiklikler, silinmiş kayıtlar. Bunları önceden görmek, açıklamayı da önceden hazırlamak demektir. Denetim masasında hangi kayıtların isteneceğini 14 maddelik listemizde derledik.
Denetçi elektronik onayı test etmek için genellikle şunu yapar: rastgele bir doküman seçer, onaylayanın adını okur ve o kişiyi çağırıp "bu dokümanı siz mi onayladınız, ne zaman?" diye sorar. Cevap "bilmiyorum, muhtemelen asistanım girmiştir" olursa onay akışı orada çöker. Sistem ne kadar iyi olursa olsun, onaylayan kişi kendi onayını sahiplenmiyorsa kayıt anlamını yitirir.
Elektronik onay ile nitelikli elektronik imza farkı
İki kavram Türkiye'de sık karıştırılır. Sistem içi elektronik onay, kullanıcının kendi hesabıyla bir işlemi onaylamasıdır ve kanıtı sistemin logudur. Nitelikli elektronik imza ise 5070 sayılı Elektronik İmza Kanunu kapsamında, yetkili sertifika hizmet sağlayıcısından alınan bir sertifikayla atılır ve kanun gereği elle atılan imzayla aynı hukuki sonucu doğurur. Kalite yönetim sistemi dokümanlarının onayı için birincisi yeterlidir; ikincisine ihtiyaç duyduğunuz yerler sözleşmeler, resmî bildirimler ve bazı müşteri özel şartlarıdır.
Müşteri sözleşmesinde açıkça nitelikli imza isteniyorsa tartışma biter, o şart uygulanır. Bunun dışında kalite dokümanları için nitelikli imza aramak, süreci yavaşlatmaktan başka bir şey getirmez. Kararınızı doküman kontrol prosedürünüzde yazılı hâle getirin; hangi doküman tipinin hangi onay yöntemiyle geçerli sayıldığı tek cümleyle tanımlansın.
Kayıtlarda elektronik onay: formdan sonraki adım
Doküman onayı çözüldükten sonra sıra kayıtlara gelir ve asıl kazanç oradadır. Kalibrasyon kaydı, iç denetim raporu, düzeltici faaliyet formu, eğitim katılım listesi; bunların hepsi onay ve imza taşır. Kayıtları da sisteme aldığınızda, her birinin arkasında kim doldurdu, kim doğruladı, kim kapattı bilgisi kendiliğinden birikir. Kâğıt formlarda bu üç bilgi genellikle tek bir paraf kutusuna sıkışır ve okunmaz.
Sahada doldurulan kayıtlarda bir ayrıntıya dikkat edin: operatörün sisteme kendi hesabıyla girmesi gerekir. Vardiya amirinin herkes adına veri girdiği bir kurulumda kayıt kimin diye sorulduğunda cevap yoktur. Terminal başında hızlı giriş yöntemi kurun; kart okutma ya da kısa PIN, hem hızlı olur hem de kaydı gerçek kişiye bağlar. Denetim sırasında bu bağ, kaydın gerçekliğini gösteren tek delildir.
Kâğıttan geçişi nasıl yönetmeli
Geçişin tarihi olmalı. "1 Haziran 2026'dan sonra yayımlanan tüm revizyonlar elektronik onayla geçerlidir" cümlesini prosedüre yazın ve o tarihten öncesini olduğu gibi bırakın. Geriye dönük tarama iyi bir fikir gibi görünür ama gereksiz iştir; eski nüshaların ıslak imzalı orijinalleri zaten saklama süresi boyunca arşivde durmalıdır. Taranmış nüshayı arşiv erişimini kolaylaştırmak için kullanın, orijinalin yerine geçirmek için değil.
Geçiş sırasında üst yönetimi ikna eden şey genellikle süredir. Kâğıt sistemde bir prosedür revizyonunun üç imzayı toplaması, imzalayanlardan biri izne çıktığında haftalara yayılır; elektronik akışta aynı iş birkaç güne iner, çünkü doküman kimsenin masasında beklemez ve hatırlatma otomatik gider. PaKalite'de onay akışı kademeli tanımlanır, vekâlet tarih aralığıyla verilir ve her işlem değiştirilemeyen log kaydına düşer; denetimde ekranı çevirip göstermek yeterli olur. Aracı seçerken kalite yönetim yazılımı tarafında log ve yetki ekranlarını mutlaka canlı görün.
Yaygın üç itiraz ve cevabı
"Denetçi kâğıt ister" itirazı sahada karşılığı olmayan bir korkudur; denetçiler yıllardır ekrandan kayıt inceliyor ve çoğu bunu tercih ediyor, çünkü sistemde kaydın canlı olduğunu görüyor. "Sistem çökerse ne olur" itirazının cevabı yedeklemedir; yedekleme ve geri yükleme testi kaydı zaten denetimde istenen kayıtlardandır. "İmza atmadan sorumluluk hissetmiyorlar" itirazı ise gerçek bir gözlemdir ve çözümü teknik değil yönetseldir: onay ekranında ne onaylandığının açıkça yazması ve onaylayanların bu kaydın imza yerine geçtiğini bilmesi gerekir. Doküman yönetimi eğitimlerine bu maddeyi ekleyin.
Dördüncü bir itiraz da bazen üst yönetimden gelir: "elektronik imza doküman onayı geçerli mi diye müşterimiz sorarsa ne diyeceğiz?" Cevabı yazılı hazırlayın. Doküman kontrol prosedürünüzde onay yönteminin tanımı, yetki matrisi ve log kaydının nasıl saklandığı açıklanmışsa, müşteri denetiminde bu üç sayfa tek başına yeterli olur. Bir Tier-1 müşterisinin denetiminde tam olarak bunu yaptık; denetçi log ekranını beş dakika inceledi ve konuyu kapattı.
Geçişten sonra ilk altı ayda iki göstergeyi izleyin: ortalama onay süresi ve zamanında onaylanmayan doküman sayısı. Birincisi düşüyorsa akış çalışıyordur; ikincisi artıyorsa onay kademeleriniz gereğinden kalabalıktır. Bir firmada beş kademeli onay akışı kurulmuştu ve ortalama onay süresi kâğıt dönemindekinden uzundu; kademe sayısı üçe indirildiğinde tıkanma kalktı. Dijitalleşmenin kendisi hız getirmez, sadeleştirilmiş akış getirir.