Şirket kredi kartıyla iş seyahati ödemesi: riskler, kurallar ve merkezi seçenekler

Şirket kredi kartıyla iş seyahati ödemesi, çalışanın uçak bileti veya otel bedelini kişisel kartıyla ödeyip sonradan masraf olarak geri almasının önüne geçen yaygın bir yöntemdir. Kart doğru kurallarla kullanıldığında hızlıdır; kart numarası e-postayla, mesajla ya da kâğıt notla paylaşıldığında ise şirket için ciddi bir finansal risk oluşturur. Bu bilgi yazısında riskleri, kartı güvenli kullanmanın kurallarını ve kartsız merkezi ödeme seçeneklerini ele alıyoruz.

Baştan belirtelim: Kurumsal.pro portalında kurum kartı, sanal kart veya şirket kredi kartı entegrasyonu yoktur. Portalın sunduğu ödeme yolları ön ödemeli kurum cüzdanı ve acentenin izin verdiği durumda 3D Secure ile kartla ödemedir. Aşağıdaki bölümler bu ayrımı da açıkça gösterir.

Şirket kartının paylaşılması hangi riskleri doğurur?

Şirket kartının birden çok kişi tarafından kullanılması üç temel risk yaratır: yetkisiz harcama, limitin beklenmedik anda dolması ve harcamanın kime ait olduğunun bilinmemesi. Bu risklerin ortak nedeni, kart bilgisinin kontrolsüz biçimde dolaşmasıdır.

• Yetkisiz harcama: Kart numarasını ve güvenlik kodunu bilen herkes, şirket dışı bir alışveriş için de kartı kullanabilir. Bilginin kimde olduğu bilinmediğinde sorumluyu bulmak zorlaşır.
• Limit sıkışması: Birçok çalışanın aynı kartı kullanması, acil bir seyahatte limitin dolu çıkmasına yol açabilir.
• Muhasebe karmaşası: Ay sonunda gelen ekstrede yüzlerce satır vardır, ama hangi satırın hangi çalışana, hangi departmana ya da hangi seyahate ait olduğu ayrıca eşleştirilmek zorundadır.

Bu risklere bir de veri güvenliği eklenir. Ödeme kartı verisinin korunması için PCI Security Standards Council'in yayımladığı standart PCI DSS'tir. Kart bilgisinin e-posta ve mesaj ortamlarında paylaşılması, bu standardın korumaya çalıştığı veriyi kontrolsüz ortamlara taşır.

Şirket kartı güvenli kullanmanın kuralları nelerdir?

Şirket kartı kullanılacaksa, kartın kimde olduğunu, ne için kullanılabileceğini ve harcamanın nasıl belgeleneceğini yazılı kurallara bağlamak gerekir. Aşağıdaki maddeler çoğu şirketin seyahat politikasına eklenebilecek genel bir çerçevedir.

1. Kart bilgisini paylaşmayın. Kartı tek bir sorumlu kişi veya birim kullansın; numara ve güvenlik kodu mesaj ya da e-postayla iletilmesin.
2. 3D Secure'u zorunlu tutun. Kartla yapılan çevrim içi ödemelerin bankanın ek doğrulamasından geçmesi, kart bilgisi ele geçse bile kötüye kullanımı zorlaştırır.
3. Harcamayı rezervasyona bağlayın. Her kart ödemesinin hangi seyahate ve hangi çalışana ait olduğu ödeme anında kayda geçmelidir.
4. Kartı onay sürecinden sonra kullanın. Politika dışı veya yüksek tutarlı seyahatler önce onaydan geçmeli, ödeme sonra yapılmalıdır.
5. Ekstreyi düzenli eşleştirin. Banka ekstresi ile seyahat kayıtları ay içinde, en geç dönem kapanışında karşılaştırılmalıdır.

Bu kurallar kartın riskini azaltır ama ortadan kaldırmaz. Bu yüzden birçok şirket kartı yalnız istisnai durumlar için tutar ve günlük seyahat ödemesini merkezi bir hesaba taşır.

Kurumsal kart yerine merkezi ödeme nasıl kurulur?

Merkezi ödemenin en sade biçimi, şirketin seyahat bütçesini önceden bir hesaba yatırması ve rezervasyonların bu bakiyeden düşmesidir. Bu yöntemde çalışanların kart bilgisine ihtiyacı kalmaz; her harcama, rezervasyonla birlikte otomatik olarak kayda geçer.

Kurumsal.pro portalındaki karşılığı ön ödemeli kurum cüzdanıdır. Bakiyeyi şirkete hizmet veren acente, kendi cüzdanından kurum cüzdanına dağıtır; portaldan bakiye yükleme yoktur. Cüzdanın hareketleri değiştirilemeyen bir defterde tutulur: dağıtım, geri alma, satış, iade ve düzeltme ayrı hareket türleridir. Şirket tarafında finans yetkisi olan kullanıcılar portalda bakiyeyi, hareket defterini (Excel), aylık ekstreyi (PDF) ve faturaları görür. Bakiye acentenin belirlediği uyarı eşiğinin altına indiğinde kurumun finans rolüne bir kez bildirim gider. Bazı kurulumlarda platform cüzdanı gizleyen bir modla çalışır; bu modda ödeme seçeneği "Cari hesaba işle" adını alır ve portaldaki cüzdan sayfaları kapanır.

Kavramın kısa tanımı için ön ödemeli kurum cüzdanı sözlük sayfasına, ödeme ve faturanın tüm ayrıntıları için kurumsal fatura ve ödeme yönetimi sayfasına bakabilirsiniz.

Kurumsal.pro portalında hangi ödeme yolları vardır?

Portalda iki ödeme yolu vardır: ön ödemeli kurum cüzdanı ve kartla ödeme (3D Secure). Hangisinin açık olacağı üç katmanlı bir izinle belirlenir ve her katman yalnız daraltabilir.

Kartla ödeme açıksa ödeme 3D Secure yönlendirmesiyle yapılır, kart bilgisi saklanmaz ve tutar tek çekim olarak alınır. Bu yüzden portalda kartla ödeme, "şirket kartını sisteme tanımlayıp herkese kullandırmak" değildir; ödemeyi yapan kişi kart bilgisini her işlemde kendisi girer ve bankasının doğrulamasından geçer. Kartla ödemeye hangi sanal POS hattının aracılık ettiği acentenin kurulumunda belirlenir; ayrıntı ödeme entegrasyonları sayfasındadır. Ödeme altyapısı DIJI.TECH'in beyanıyla PCI DSS uyumludur.

Onay akışıyla birlikte düşünüldüğünde tablo şöyledir: onaya düşen sepet ödeme yapmaz, son onayda satın alma kurum cüzdanından başlatılır. Kartla ödeme yalnız onaya gitmeden doğrudan satın alınan sepetlerde kullanılır.

Kart limiti yerine harcama nasıl sınırlandırılır?

Kart limitinin yaptığı işi, seyahat politikası ve bütçe daha ayrıntılı yapar. Kart limiti yalnız toplam tutarı sınırlar; politika ise neyin, kim için, hangi koşulda satın alınabileceğini belirler.

• Politika kuralları: Kişi başı tutar, seyahat toplamı, kalem toplamı, şehir bazlı gecelik otel limiti, kabin sınıfı ve en uygundan en fazla yüzde fark gibi kurallar tanımlanır. Kural sonucu engelleme, ihlalde onaya gönderme, her durumda onaya gönderme veya yalnız bilgilendirme olabilir.
• Bütçe: Departman, şirket veya şube için ay, çeyrek ya da mali yıl bazında tavan tanımlanır. Aşımda bilgilendirme, gerekçe isteme, onaya gönderme veya engelleme seçilir; onaya giden tutar taahhüt olarak düşer.

Bütçenin işleyişini seyahat bütçesi yönetimi sayfası ayrıntılı anlatır. Bu yaklaşımda "kim kartı kullandı" sorusu yerini "hangi kurala göre satın alındı" sorusuna bırakır; cevap da her rezervasyonun kaydında hazırdır.

Kart verisinin güvenliği nasıl sağlanmalıdır?

Kart verisini güvende tutmanın en etkili yolu, veriyi hiç saklamamaktır. Seyahat sisteminde kart numarasının kaydedilmediği, her ödemede bankanın doğrulama adımının çalıştığı bir kurgu, kart bilgisinin sızma yüzeyini en aza indirir.

Kurumsal.pro portalında kart bilgisi saklanmaz; ödeme sırasında kullanıcı bankanın 3D Secure sayfasına yönlendirilir. Portalın servis anahtarları ve oturum anahtarları tarayıcıya inmez, girişte iki adımlı doğrulama rol bazında zorunlu tutulabilir. Güvenlik mimarisinin ayrıntısı güvenlik sayfasındadır.

Hangi yöntem hangi şirkete uygundur?

Seçim, seyahat hacmine ve finans ekibinin kontrol ihtiyacına bağlıdır. Az ve düzensiz seyahat eden bir şirket için tek sorumlu kişinin kullandığı, 3D Secure ile korunan bir kart yeterli olabilir. Düzenli seyahat eden, birden çok departmanı ve onay kademesi olan bir şirkette ise merkezi bakiye, politika ve bütçeyle birlikte daha az eşleştirme işi ve daha net bir denetim izi sağlar.

Kurumsal kart programları, sanal kart üretimi ve harcama kartı entegrasyonları bankaların ve kart programı sağlayıcılarının ürünleridir; Kurumsal.pro bu ürünlerin yerine geçmez ve onlarla entegre çalışmaz. Portalın odağı, seyahatin politika, onay, bütçe ve fatura profiliyle birlikte tek kayıtta toplanmasıdır.