Uyum Krizi, Organizasyonlar İçin Milyarlarca Doları Tehlikeye Atıyor

Çalışan iletişimlerini denetlemek finansal hizmet firmaları için zorlaşmıştır. WhatsApp, iMessage, Slack ve benzeri kanallar iş amaçlı kullanıldığında, şirket onaylı sistemlerin dışında kalan kayıtlar yasal saklama ve gözetim yükümlülüklerini riske atabilir.

Yeni platformlar, kaybolan mesaj özellikleri, kişisel cihazlar ve farklı veri biçimleri kayıtların yakalanmasını zorlaştırır. Ancak sorun yalnızca teknoloji değildir; açık politikalar, çalışan eğitimi, erişim kontrolleri, saklama planları, test, inceleme ve yaptırım da gerekir.

Firmalar, faaliyet gösterdikleri ülke, lisans ve iş koluna uygulanan kuralları belirlemeli ve iş iletişiminin onaylı kanallarda tutulmasını sağlamalıdır. Uygunsuzluk para cezası, soruşturma, düzeltme maliyeti ve itibar kaybı doğurabilir; sonuçlar olayın koşullarına göre değişir.

SEC, J.P. Morgan Securities’e Aralık 2021’de iş amaçlı yazılı iletişimlerin yaygın biçimde saklanmaması nedeniyle 125 milyon dolar ceza verdi. Bu tarihsel işlem, kayıt tutmanın temel yükümlülük olduğunu gösterir; düzenleyicilerin her benzer olayda aynı yaklaşımı veya ceza tutarını uygulayacağı anlamına gelmez. Teknoloji, politika ve insan denetimi birlikte tasarlanmalıdır.

Kurum dışı iletişim kanallarının yükselişi

Mobil mesajlaşma iş iletişimini değiştirdi. Çalışanların kişisel cihaz veya onaysız uygulama kullanması, saklanması gereken mesajların yakalanmamasına yol açabilir. Hangi iletişimin kaydedileceği şirket türüne, içerik, yetki alanı ve uygulanabilir kurala bağlıdır; her mesaj için evrensel bir yükümlülük olduğu varsayılmamalıdır.

Eski araçların tümünü “işe yaramaz” saymak doğru değildir. E-posta arşivleri, mobil yakalama, API entegrasyonları, cihaz yönetimi, eDiscovery ve manuel inceleme birlikte kullanılabilir. Kaybolan içerik bazı araçları zorlayabilir, fakat teknik kontrol tek başına tam uyum sağlamaz.

Telefon ve e-postaya ek olarak mesajlaşma, sosyal medya, işbirliği araçları ve kişisel cihazlardaki iş iletişimi de risk temelli denetim gerektirebilir. Robinhood’un 2025’te açıkladığı 29,75 milyon dolarlık FINRA sonucu kayıt tutma dahil birden fazla gözetim ve uyum bulgusunu kapsıyordu; yalnızca kurum dışı mesajlar için verilmiş “birden çok ceza” olarak sunulmamalıdır.

Uyumu desteklemek için teknoloji kullanımı

Anahtar kelime veya sözlük tabanlı işaretleme yararlı olabilir ancak bağlamı kaçırabilir, yanlış pozitif üretebilir ve yeni dil kalıplarına uyum sağlayamayabilir. Otomatik sınıflandırma, davranış analizi ve gerçek zamanlı uyarılar incelemeyi destekleyebilir; model doğrulama, veri kalitesi, gizlilik, açıklanabilirlik ve insan gözetimi olmadan güvenilir sonuç garanti etmez.

Merkezi iletişim ve gözetim platformları veri görünürlüğünü artırabilir. Symphony’nin şirket destekli araştırması, ankete katılan ABD firmalarının %92’sinin ve Birleşik Krallık firmalarının %100’ünün merkezi platform yatırımıyla ilgilendiğini bildirdi; örneklem ve soru tasarımı sonucu sınırlayabilir. “Single Pane of Glass” veya otomasyon tek geçerli çözüm değildir ve uyumun kanıtı sayılmaz.

Siyasi ve düzenleyici ortam: ABD ve Birleşik Krallık

Yaptırım öncelikleri yönetimler arasında değişebilir, ancak firmaların yürürlükteki kayıt tutma yükümlülükleri resmî değişiklik olmadıkça devam eder. SEC, Aralık 2021’den 2024 sonuna kadar kurum dışı iletişim girişiminde 100’den fazla firmaya toplam 2 milyar doların üzerinde ceza verildiğini bildirdi. Bağlantılı haberdeki toplam ceza rakamı belirli bir tarih itibarıyla tarihsel bir tutardır.

Birleşik Krallık enerji düzenleyicisi Ofgem, Morgan Stanley (MS ) & Co. International plc’ye Ağustos 2023’te 5,41 milyon sterlin ceza verdi. Bulgular, Ocak 2018–Mart 2020 arasında kişisel telefonlarda WhatsApp üzerinden yapılan toptan enerji işlemi iletişimlerinin kaydedilip saklanmamasıyla ilgiliydi ve Büyük Britanya’da REMIT kapsamındaki ilk bu tür ceza olarak açıklandı.

Çalışanların yeni veya onaysız kanalları kullanması sürekli bir yönetişim sorunudur. Firmalar uygulanabilir yükümlülükleri haritalamalı, onaylı kanallar sağlamalı, iş iletişimini yakalayıp saklamalı, gizlilik ve çalışma hukukunu gözetmeli, kontrolleri test etmeli ve ihlalleri düzeltmelidir. Satın alınan tek bir ürün bu sorumlulukların yerini tutmaz.

Etkili kayıt tutma; politika, eğitim, kültür, disiplin, veri yönetişimi, teknoloji, hukuk ve uyum ekiplerinin ortak çalışmasını gerektirir. Araçlar değişen iletişim biçimlerine uyumu kolaylaştırabilir, ancak düzenleyici sonuçları önleyeceği veya bütün riskleri yakalayacağı garanti edilemez.