Türkiye'nin Kurumsal Risk Bülteni

Risk Görmek
Bir Sanattır.

AI yönetişimi, iş sürekliliği, tedarik zinciri riski ve düzenleyici gündem: hepsini bir arada, Türkiye perspektifiyle, yönetici dilinde. Her Pazartesi, haftada 10 dakika.

Her Pazartesi bir adım önde olun. Şimdi abone olun.

Ücretsiz · İptal istediğinde · Hoş geldin hediyesi dahil
Sayı 12 · 7 Eylül Sayı 13 · 14 Eylül Her Pazartesi →
The Governance · 14 Eylül 2026 Sayı 13
11Eyl CRA Bildirim Sayacı
15Eyl IIA Üçüncü Taraf Zorunlu
6698 AI Veri İşleme Kanunu
10dk Okuma Süresi
Bu Sayının Odağı Bu Hafta Yönetişim Kanıta Döndü: Bildirim, Üçüncü Taraf ve AI'ın Denetimi
AI GovernanceBCP / DRKVKK Tedarik Zinciri RiskiOperasyonel Mükemmellik ISO 27001CRISCAB AI Act Risk Yönetimiİç DenetimGRC AI GovernanceBCP / DRKVKK Tedarik Zinciri RiskiOperasyonel Mükemmellik ISO 27001CRISCAB AI Act Risk Yönetimiİç DenetimGRC
Bülten Arşivi

Tüm Sayılar

Son Sayı · 14 Eylül 2026

Sayı 13 : Bu Hafta Yönetişim Kanıta Döndü, Bildirim, Üçüncü Taraf ve AI'ın Denetimi

Bu hafta gündemin ortak teması kanıttı. AB Siber Dayanıklılık Yasası'nın raporlama sayacı 11 Eylül'de başladı: artık zafiyetin varlığı değil, bildirilme hızı denetleniyor. IIA'nın üçüncü taraf gereksinimi 15 Eylül'de zorunlu hale geliyor. Bir yanda da AI, denetlenen konu olmaktan çıkıp denetimin aracı haline geliyor: NIST uyum analizi rehberi, EY'nin karar katmanı analizi ve KVKK'nın çalışan AI uyarısı. Ortak ders: bir şeyin var olması, çalıştığını kanıtlamaz.

Sayıyı Oku →
01 · REGÜLASYON Cyber Resilience Act'te Sayaç Başladı: Zafiyetin Varlığı Değil, Bildirilme Hızı Denetleniyor 11 Eylül'den itibaren aktif istismar edilen zafiyette 24 saat erken uyarı, 72 saat detaylı bildirim zorunlu. 02 · İÇ DENETİM Üçüncü Taraf Riski Artık İç Denetimde Zorunlu Bir Asgari Taban IIA Üçüncü Taraf Gereksinimi 15 Eylül'de yürürlükte: envanter değil, kanıtlanmış üçüncü taraf yönetişimi. 03 · AI GOVERNANCE NIST Uyumu AI ile Yapmanın Rehberini Yayımladı: Ama Bir Sızıntı Paradoksu Var AI ile uyum analizi için modele en hassas belgeleri beslemek gerekiyor: iç politika, denetim bulgusu, sızma testi.
7 Eylül 2026

Sayı 12 : Farkındalık Artık Yetmiyor, Düzenleyiciler Kanıt İstiyor

Düzenleyiciler yazdan tek mesajla döndü: AI ve siber riskin farkında olmak yetmiyor, kontrollerinizin gerçek koşullarda çalıştığını kanıtlayın. FSB frontier AI'yı finansal sistemin en acil siber riski ilan etti. AB Siber Dayanıklılık Yasası 11 Eylül'de zorunlu bildirim rejimini başlattı: 24 saat erken uyarı. EY: "kontrolüm var" değil "çalışıyor" dönemi. Avustralya "planınız test edildi mi" diye sordu. Ve Türkiye'de alt düzenleme penceresi açık.

Sayıyı Oku →
01 · REGÜLASYON AB Siber Dayanıklılık Yasası 11 Eylül'de Başlıyor: Bildirim Artık 24 Saatlik İş CRA zorunlu zafiyet/olay bildirimi: aktif istismarda 24 saat erken uyarı, 72 saat detay. ENISA Tek Bildirim Platformu. 02 · DAYANIKLILIK "Kontrolüm Var" Devri Bitti: Kanıt-Temelli Dayanıklılık Başlıyor EY 2026: kurumlardan kontrollerinin çalıştığını kanıtlaması isteniyor. FSB frontier AI'yı sistemik siber risk ilan etti. 03 · TÜRKİYE Türkiye'nin "Kanıt" Sınavı: Siber Güvenlik Kanunu'nun Alt Düzenleme Boşluğu 7545 sayılı Kanun yürürlükte; olay bildirimi ve log yönetimi alt düzenlemeleri bekleniyor. Hazırlık penceresi açık.
24 Ağustos 2026

Sayı 11 : Uyum Kağıtta Yükseldi, Dayanıklılık Yerinde Saydı, Denetim Devri Başladı

Yönetim kurulları AI'yı gözetmeye başladı ama masada yetkinlik yok: S&P 500 direktörlerinin yalnızca %5'i AI deneyimiyle anılıyor. AB AI Act denetiminin odağı geliştiriciden kullanıcıya kayıyor. Siber ihlallerin %82'si artık zararlı yazılımsız, çalınmış kimlikle geliyor. EY: kağıt uyum ile gerçek dayanıklılık arasındaki makas açılıyor. Ve Türkiye AI Eylem Planı bir genelgeyle resmen yürürlükte.

Sayıyı Oku →
01 · YÖNETİŞİM Yönetim Kurulları AI'yı Gözetmeye Başladı: Ama Masada Yetkinlik Yok S&P 500 direktörlerinin yalnızca %5'i AI deneyimiyle anılıyor; gözetim resmîleşiyor, yetkinlik geride kalıyor. 02 · DAYANIKLILIK Saldırılar Artık Kimliğin İçinden Geliyor: Kimlik Yeni Çevre EY 2026: tespit edilen izinsiz erişimlerin %82'si zararlı yazılımsız; varlıkların %36'sı AI destekli saldırıya açık. 03 · REGÜLASYON Türkiye AI Eylem Planı Genelgeyle Yürürlükte: Duyuru Bitti, Uygulama Başladı 2026/9 sayılı Cumhurbaşkanlığı Genelgesi (18 Ağustos R.G.): plan resmen göreve dönüştü, koordinasyon Sanayi ve Teknoloji Bakanlığı'nda.
18 Ağustos 2026

Sayı 10 : Sesiniz Artık Kimliğiniz Değil, Deepfake CEO Dolandırıcılığı Kurumsal Kontrolleri Test Ediyor

Hong Kong'da bir finans çalışanı, deepfake bir video konferansta 25,6 milyon dolar transfer etti. Türkiye sigorta sektörü de aynı riski işaret ediyor: ses klonlama ve sahte IBAN artık gündemde. KPMG Türkiye ve TEİD'in araştırmasına göre kurumların üçte ikisinde AI kullanımı var ama etik çerçeve yok; yaptırım riski artık niş bir konu değil.

Sayıyı Oku →
01 · YAPAY ZEKA Sesiniz Artık Kimliğiniz Değil: Deepfake CEO Dolandırıcılığının Gerçek Maliyeti Hong Kong'da 25,6 milyon dolar, İngiltere'de 220.000 avro: deepfake dolandırıcılığın belgelenmiş vakaları. 02 · DAYANIKLILIK Türkiye Sigorta Sektörü Uyarıyor: "Risk Artık İnsanı Hedef Alıyor" IBS Sigorta CEO'su Murat Çiftçi: ses klonlama ve sahte IBAN artık yönetim gündeminde olmalı. 03 · REGÜLASYON Yaptırım Riski Artık Niş Değil, Üçüncü Taraf Risk Yönetimi En Büyük Sınav KPMG Türkiye · TEİD 2026: kurumların %61'i yaptırım riskini önceliklendiriyor, %50'si üçüncü taraf risk yönetiminde zorlanıyor.
10 Ağustos 2026

Sayı 09 : Küresel AI Regülasyonu Parçalanıyor, Tek Bir Uyum Programı Artık Yeterli Değil

ABD'de federal AI yasası tıkandı, 14 farklı eyalet çerçevesi birbiriyle çelişiyor. Çin'in yeni ajan rejimi ilk üç haftada 12 ceza kesti. İran bağlantılı saldırganlar ABD'de 30'dan fazla su sistemini hedef aldı. Türkiye'de BDDK risk yoğunlaşması limitlerini sıkılaştırdı, KVKK'da insan müdahalesi artık fiilen denetleniyor.

Sayıyı Oku →
01 · YAPAY ZEKA ABD'de 14 Eyalet, Çin'de Katmanlı Yetki: AI Regülasyonu Coğrafyaya Göre Değişiyor California bugün kendi AI yasasını geçirdi; Çin'in ajan rejimi ilk 3 haftada 12 ceza kesti. 02 · DAYANIKLILIK Su Şebekeleri Siber Saldırının Yeni Cephesi İran bağlantılı saldırganlar ABD'de 7 eyalette 30'dan fazla su sistemini hedef aldı. 03 · REGÜLASYON BDDK, Risk Yoğunlaşmasını Sayısal Limitle Sıkılaştırdı Tasarruf finansman şirketlerinde yeni sözleşme tavanları ve kademeli geçiş rejimi, 1 Ekim'den itibaren yürürlükte.
3 Ağustos 2026

Sayı 08 : Kurumunuzun AI Kullanımının Yarısı, Hiç Görmediğiniz Hesaplardan Geçiyor

LayerX'in 2026 Kurumsal AI Kullanım Raporu'na göre kurumsal ortamdaki AI konuşmalarının %47'si kişisel hesaplardan yapılıyor : kurumun görüş alanı dışında. Aynı hafta KVKK, kamu kurumlarının internet ortamındaki veri paylaşımına sert bir ilke kararıyla girdi ve ders özel sektöre de düşüyor. Tedarik zinciri saldırıları en sık kullanılan üçüncü saldırı vektörü haline geldi. Sayı 07'de öngördüğümüz AB AI Act takvimi de bu hafta resmileşti.

Sayıyı Oku →
01 · YAPAY ZEKA Kurumunuzun AI Kullanımının Yarısı, Hiç Görmediğiniz Hesaplardan Geçiyor LayerX 2026: kurumsal AI konuşmalarının %47'si kişisel hesaplardan, %6,5'i hassas veri içeriyor. 02 · DAYANIKLILIK Tedarik Zinciri Artık Saldırganların Üçüncü Tercihi Kaspersky: iş ortağı ve tedarik zinciri saldırıları 2021'den bu yana en sık kullanılan üçüncü vektör. 03 · KVKK KVKK'nın Kamu Kurumlarına Uyarısı, Özel Sektöre de Ayna Tutuyor 2026/1301 İlke Kararı: hukuki dayanağı olmayan internet paylaşımı, kamu ya da özel fark etmeksizin bir işleme faaliyeti.
20 Temmuz 2026

Sayı 07 : WAICO Kuruldu; Küresel AI Yönetişimi İkiye Bölünüyor

16 Temmuz 2026'da Çin öncülüğünde 29 ülke, AB'ye alternatif bir yönetişim bloğu olan WAICO'yu kurdu. Küresel AI uyumu artık iki uyumsuz rejimde aynı anda yürütülmek zorunda. Aynı hafta AB cephesinde omnibus ertelemesi kabul edildi, ama 2 Ağustos şeffaflık yükümlülükleri yerinde. KVKK kaza mağduru verisi kararı, bağımsız denetim eşikleri ve yeni nesil siber tehditler de gündemdeydi.

Sayıyı Oku →
01 · YAPAY ZEKA WAICO: İki Bloklu AI Dünyasının Kurumsal Anlamı 29 ülke Çin öncülüğünde alternatif bir yönetişim bloğu kurdu; tek küresel uyum programı dönemi kapanıyor. 02 · KVKK Kaza Mağdurunun Verisi Artık Özel Korumada 2026/1095 İlke Kararı: yetkisiz erişim TCK 136-137 kapsamında cezai sorumluluk doğurabiliyor. 05 · YAPAY ZEKA AB AI Act Ertelendi: Ama "AB Erteledi" Diye Rahatlayan Yanılıyor Yüksek risk 2027'ye kaydı; ama şeffaflık ve ceza yetkisi 2 Ağustos'ta başlıyor, ötelenmedi.
6 Temmuz 2026

Sayı 06 : 15 Sektör Kritik Altyapı İlan Edildi; Kapsam Belli, Kural Henüz Yok

Cumhurbaşkanı başkanlığındaki Siber Güvenlik Kurulu 5 Mayıs 2026'da 15 sektörü kritik altyapı ilan etti; ama operasyonel yükümlülük metinleri hâlâ yayımlanmadı. Kapsam netleşti, kural gecikti. Aynı hafta TBMM'deki yapay zeka kanun teklifleri, KVKK'nın rıza-aydınlatma ayrımı kararı ve dawn raid içtihadındaki güncel gelişmeler gündemdeydi. Ortak ders: hazırlık, kuralın çıkmasını beklemez.

Sayıyı Oku →
01 · SİBER Kritik Altyapı Belli, Yükümlülük Metni Yok: Ama Beklemeyin İki yükümlülük eşikten bağımsız, bugün yürürlükte: iş birliği ve siber olay bildirimi. 02 · YAPAY ZEKA Türkiye'nin Yapay Zeka Mevzuatı Şekilleniyor: TBMM'de Üç Teklif Deepfake içeriğe 6 saat müdahale, kalıcı AI etiketi ve 10 milyon TL'ye varan ceza. 03 · KVKK Açık Rıza ile Aydınlatma Artık Ayrı Belge Olmak Zorunda 2026/347 İlke Kararı: iki metni tek kutucukta birleştirmek ikisini de geçersiz kılar.
29 Haziran 2026

Sayı 05 : Dawn Raid; Kapı Çaldığında İlk 30 Dakika

Rekabet Kurumu'nun habersiz yerinde incelemesinde kurumu koruyan, hukuk ekibinin gelişi değil ilk yarım saatteki reflekstir. Panikle silinen tek bir mesaj, teşebbüse yıllık gayri safi gelirin binde beşi oranında ceza çıkarabiliyor. Aynı hafta KVKK'nın biyometrik ilke kararı, DORA'nın tedarikçi riski cephesi ve MASAK'ın sıkılaşan suistimal denetimi gündemdeydi.

Sayıyı Oku →
01 · REKABET Dawn Raid Protokolü: İlk 30 Dakikada Kim, Neyi, Nasıl Yapar? Silinen mesaj adli bilişimle geri getirilir; asıl ihlal kanıtlanmasa bile ceza kesilir. 02 · KVKK Mesai Takibinde Parmak İzi ve Yüz Tanıma Artık Hukuka Aykırı 2026/921 İlke Kararı: biyometrik veri, açık rıza olsa bile mesai takibinde işlenemez. 03 · DORA Belge Uyumu Dönemi Bitti, Tedarikçi Riski Denetimin Merkezinde Tedarikçinizin tedarikçisini tanımıyorsanız, taşıdığınız operasyonel riski de tanımıyorsunuz.
22 Haziran 2026

Sayı 04 : AB AI Act Ertelendi, Sorumluluk Kalmadı; Sekiz Cephede Yönetişim Haftası

Avrupa Parlamentosu AB Yapay Zeka Yasası'nı sadeleştirdi: yükümlülükleri 2027'ye öteledi ama tarihleri sabitledi. Aynı hafta PwC suistimal araştırması, Siber Güvenlik Kanunu'nun bir yılı, KVKK'nın biyometrik veri ve güvenlik kamerası kararları, 17 milyon TL'yi aşan ceza eşiği ve çifte bildirim yükümlülüğü gündemdeydi. Ortak ders: hazırlık kriz anında değil, sessiz dönemde yapılır.

Sayıyı Oku →
01 · YAPAY ZEKA AB AI Act Omnibus Onaylandı: Erteleme, Sorumluluğun Kalkması Değil Yükümlülük ertelendi ama tarihler sabitlendi. "Standart bekliyoruz" artık bir mazeret değil. 06 · SİBER Siber Güvenlik Kanunu Bir Yaşında: Yükümlülük Yürürlükte, Alt Mevzuat Gecikti Olay bildirimini yapmamak tek başına 10 milyon TL'ye kadar idari para cezası demek. 08 · KVKK + SİBER Çifte Bildirim Tuzağı: Bir Veri İhlali, İki Ayrı Merci, Eşzamanlı Sorumluluk Bir ihlal aynı anda Siber Güvenlik Başkanlığı'na ve 72 saat içinde KVKK'ya bildirilmek zorunda.
15 Haziran 2026

Sayı 03 : Yapay Zeka Artık Devlet Politikası; "Yönet" Ekseni

Cumhurbaşkanı 2026-2030 Türkiye Yapay Zeka Eylem Planı'nı açıkladı: dört eksen, fark et, istifade et, üret ve yönet. "Yönet" ekseni doğrudan düzenleyici çerçeve demek. Aynı hafta Siber Güvenlik Kanunu, KVKK'nın metin ayrıştırma kararı ve değişen ceza itiraz rejimi de gündemde. Hepsinin ortak paydası: sorumluluk yönetim kuruluna taşınıyor.

Sayıyı Oku →
01 · YAPAY ZEKA Türkiye AI Eylem Planı: "Yönet" Ekseni Yönetişimi Devletin Gündemine Aldı Devlet bir alanı eksen düzeyinde "yönet" diye tanımladığında, o başlık zamanla denetim kriterine dönüşür. 02 · SİBER Siber Güvenlik Kanunu: Veri Sızıntısı Artık Hapis Cezası Demek "Sızıntı algısı" suçunun bile tanımlanması, itibar saldırılarının hukuki bir gerçeklik olduğunu gösteriyor. 03 · KVKK Aydınlatma ve Açık Rıza Metinleri Artık Ayrılmak Zorunda 2026/347 İlke Kararı: iki metni birleştirmek, kurumun kendi belgesiyle ihlal üretmesi demek.
8 Haziran 2026

Sayı 02 : Tedarik Zinciri Riski & KVKK'da Yeni Dönem

Tedarik zinciri saldırıları küresel siber tehdidin baskın gücü haline gelirken, VERBİS son tarihi doldu, KVKK açık rıza dönemini biyometri ve yurt dışı aktarımda fiilen kapattı. Bu kararların hiçbiri artık operasyon ekibinin değil, yönetim kurulunun gözetim sorumluluğunda.

Sayıyı Oku →
01 · KVKK VERBİS Son Tarihi Doldu: Ama Asıl Risk Formda Değil Kayıt, kurumun beyan ettiği veri işleme envanterinin resmî bir taahhüdüdür. 02 · KVKK Biyometri ve Yurt Dışı Aktarım: KVKK İki Cephede Mesaj Verdi Açık rıza, her veri işlemeyi meşrulaştıran sihirli bir imza değil. 03 · SİBER Tedarik Zinciri Saldırıları: Artık Hedef Siz Değil, Tedarikçiniz Group-IB: 2024'te her 3 fidye yazılımı saldırısından 1'i tedarikçi kaynaklı.
1 Haziran 2026

Sayı 01 : Yapay Zeka & Kurumsal Risk

Türk şirketlerinin büyük çoğunluğu AI yönetişimini hâlâ IT departmanının sorunu olarak görüyor. Bu bir yanılgı. Ve bu yanılgının bedeli çok yakında fatura kesilmeye başlayacak.

Sayıyı Oku →
01 · KVKK KVKK'nın Üretken AI Rehberi: Geciken Uyanış ChatGPT ve Gemini'ye aktarılan her veri artık ayrı hukuki dayanak gerektiriyor. 02 · BCP/DR BCP Testleri: Kâğıt Üzerinde Var, Gerçekte Yok CEO'nun katılmadığı bir kurtarma planı kriz anında işe yaramaz. 03 · TEDARİK ZİNCİRİ Siber Saldırıların Yeni Favori Kapısı: Tedarikçiniz Fidye yazılımı grupları artık hedef kurumu değil, tedarikçisini vuruyor.
Fark Nedir

Neden The Governance?

01

Bağımsız Ses

Yazılım şirketi pazarlama içeriği değil, danışmanlık firması raporu değil. 15 yıllık kurumsal pratiğin süzgecinden geçirilmiş, bağımsız ve dürüst analiz.

02

Türkiye Perspektifi

Global trendleri Türkiye bağlamıyla yorumlayan, KVKK'yı, BDDK'yı ve yerel düzenleyici gündemini takip eden tek kurumsal GRC bülteni.

03

Uygulanabilir İçerik

Her sayıda Executive Takeaway: "şimdi ne yapmalıyım?" sorusunun 3 maddelik yanıtı. Okumakla kalmayın, uygulayın.

Ecem Aksut
Ecem Aksut Kurucu Editör · The Governance
Editörden

Risk görmek
bir sanattır.

15 yıldır kurumsal risk ve teknoloji yönetişimi alanında çalışıyorum. Holdingler, uluslararası şirketler, bankalar ve teknoloji firmaları: hepsinde aynı gerçekle yüzleştim.

"En büyük riskler teknik değil, yönetimsel körlüklerin yarattığı boşluklarda gizleniyor."

The Governance bu boşluğu doldurmak için var. Her hafta, Türkiye'nin kurumsal liderlerine açık, dürüst ve uygulanabilir bir biçimde.

ISO 27001 Lead Auditor CRISC IT Audit GRC 15+ Yıl Deneyim
LinkedIn'de Takip Et
Derinlemesine Rehber

ISO 27001:2022
Bir Baş Denetçinin Gözünden

ISO 27001 nedir, BGYS nasıl kurulur, sertifika süreci ve maliyeti nasıl işler, KVKK ile nasıl örtüşür? Standardı satan değil, denetleyen bir bakış açısıyla yazılmış kapsamlı Türkçe rehber. KVKK teknik tedbir eşleştirme tablosu dahil.

Rehberi Oku →

Rehberde Ne Var

  • · ISO 27001:2022 sürüm farkları
  • · Annex A 93 kontrolün gerçek anlamı
  • · KVKK ve GDPR eşleştirme tablosu
  • · Risk değerlendirmesi nasıl yapılır
  • · Sertifika süreci ve maliyet dökümü
  • · Denetimde en sık görülen hatalar
Araç Kütüphanesi

Hemen Kullanılabilir
Kurumsal Araçlar

Tüm Araçları Gör →

● Ücretsiz Araçlar

🤖

Kurumsal AI Envanteri Kontrol Listesi

Yapay Zeka Eylem Planı yönetişimi merkeze alırken, kurumunuzun AI kullanımını 5 soruda haritalayın. Yönetim kurulu ve iç denetim için.

Ücretsiz İncele & indir
📋

KVKK Uyum Kontrol Listesi

33 kontrol maddesi, otomatik uyum skoru ve aksiyon planı. Excel formatında, hemen kullanıma hazır.

Ücretsiz Direkt indir
📝

VERBİS Güncelleme Kontrol Listesi

Kayıt bir beyandır; uyum sürekli işleyen bir operasyondur. 4 bölüm, denetimde en sık çıkan bulgular.

Ücretsiz Direkt indir
⚠️

Tedarikçi Risk Değerlendirme Matrisi

6 risk kategorisi, ağırlıklı puanlama ve otomatik risk seviyesi. Portföy geneli risk haritanız tek dosyada.

Ücretsiz Direkt indir
🏦

MASAK Uyum Denetim Aracı

91 kontrol sorusu, 7 bölüm, 31 kritik kontrol. 6415 sayılı Kanun kapsamında kapsamlı skorlama.

Ücretsiz Direkt indir
🔍

Shadow AI Risk Assessment

Kurumda görünmez AI kullanımını haritalayın. 10 tanı sorusu, hızlı tarama, 30-60-90 gün aksiyon planı.

Ücretsiz Direkt indir

◆ PRO Araçlar

🔄

İş Sürekliliği Planı Şablonu

ISO 22301 uyumlu BCP şablonu. Kriz senaryoları, iletişim planı, RTO/RPO hedefleri ve test takvimi dahil.

2.250 ₺ Tek seferlik
🤖

AI Risk Değerlendirme Çerçevesi

AB AI Act, NIST AI RMF, ISO 42001 ve KVKK uyumlu. 10 modül, yönetim kurulu gösterge paneli dahil.

2.990 ₺ Tek seferlik