Gözlem belirtilerinin incelenmesi, 12 milyon avroluk işlemin korunmasına nasıl yardımcı oldu?

Başvuru, sık duyduğumuz bir ifadeyle başladı: «Belki de bana öyle geliyor.» Büyük bir işleme hazırlanan girişimci, günlük hareketleri sırasında tekrarlanan tesadüfler fark etmeye başlamıştı. Kesin bir işaret yoktu; hakkında net bir şey söylenebilecek tek bir olay bile bulunmuyordu.

Kendisi de elindeki dayanağın zayıf olduğunun farkındaydı. Yüksek tutarlı bir işlem yapacağını bilen kişi çevresine daha dikkatli bakmaya başlar; bu dikkat, başlı başına yeni şeyler fark etmesine yol açar. Yıllardır yaşadığı şehir, birden daha önce fark etmediği tekrarlarla dolu görünür.

Bu nedenle bize «Takip edilip edilmediğimi kontrol edin» talebiyle değil, daha açık bir soruyla başvurdu: Burada sistemli bir örüntü mü var, yoksa kendi kaygımın etkisini mi yaşıyorum? Bu iki ifade arasındaki fark temeldir ve çalışmanın sonraki tüm aşamalarını belirler.

Görev, yapılandırılmış bir risk değerlendirmesi olarak tanımlandı. Tam olarak ne, ne zaman kayıt altına alınmıştı? Her bir gözlem için hangi olağan açıklamalar mümkündü? Ayrı olaylar arasında tesadüfün ötesine geçen bir bağlantı var mıydı? Tek bir olaydan değil, bunların bütününden hangi risk düzeyi ortaya çıkıyordu?

Bu çalışmanın kapsamına girmeyen hususları da baştan belirttik. Çalışma, gözetim yapıldığını olgu olarak ortaya koymaz ve bunu yapabilecek kişileri belirlemez. Riskin düzeyini ve bu düzeyde hangi adımların makul olduğunu değerlendirir.

Böyle bir durumda ilk dürtüyle verilen tepki neredeyse her zaman yanlıştır. Aşağıda tipik tepkiler ve her birinin sonuçları yer alıyor. Bunları müşteriyle çalışma bittikten sonra değil, başlamadan önce görüşürüz.

Yöntemi burada açıklamıyoruz; bu, şeklen gösterilen bir ihtiyat değil, bilinçli bir karardır. Belirtilerin nasıl değerlendirildiğinin kamuya açıklanması, hem kendini koruyanlara hem de fark edilmeden kalmak isteyenlere eşit ölçüde yarar sağlar. Aşağıda yalnızca müşterinin gözlemlerini ele alırken uygulanan ilkeler yer alır.

Birinci ilke: tek bir gözlem tek başına bir anlam taşımaz. Önemli olan gözlemlerin bütünüdür; bu bütün, ne kadar çarpıcı olduğuna göre değil, sürekliliğine göre değerlendirilir. Akılda kalan tek bir olay, aynı düzen içinde tekrarlanan birkaç küçük olaydan daha az ağırlık taşır.

İkinci ilke: her gözlem için mutlaka olağan bir açıklama oluşturulur. Yoğun tempolu bir şehirde zaman ve mekanın çakışması istisna değil, olağan durumdur. Olağan açıklama bağımsız dayanaklarla dışlanmadığı sürece gözlem tesadüf olarak kalır.

Üçüncü ilke: kaygı bir etken olarak dikkate alınır. Büyük bir işlem bekleyen kişi dünyayı farklı gözlemler. Bu dosyadaki bazı olaylar tam da bu nedenle değerlendirme dışı kaldı: müşterinin zaten tetikte olduğu döneme aittiler ve daha önceki dönemde benzerleri yoktu.

Sonuç, «Gözetim var» veya «Gözetim yok» şeklinde bir tespit değil, dayanakları ve güven düzeyi belirtilen bir risk değerlendirmesi oldu. Bu ifade, kesin bir yanıttan daha az ikna edici görünebilir; ancak dürüst olan tek yaklaşım budur.

Belirtiler değerlendirilirken ikinci bir soru da ele alındı: bu dönemde müşterinin bilgilerine yönelik rasyonel bir ilgi söz konusu olabilir miydi? Bu soruyu yanıtlamadan yapılan her risk değerlendirmesi dayanaksız kalır.

Bu aşamada çalışma kişiler değil, bağlam üzerine yürütüldü. Yaklaşan işlemin piyasa açısından ne kadar hassas olduğu, kimlerin işlemin koşullarına veya zamanlamasına ilke olarak ticari ilgi duyabileceği ve hangi koşulların müşterinin iş bilgilerini tam da bu dönemde dışarıdaki kişiler için değerli kıldığı değerlendirildi.

Temel sınır şuydu: bu bölümde hiçbir kişi veya kuruluş şüpheli olarak incelenmedi. Gözetimin arkasında kimin olabileceğini belirlemeye çalışmadık ve bu tür senaryolar kurmadık. Bu yalnızca hukuki değil, yöntemsel bir sınırdır: belirli bir sorumluya odaklanan senaryo, neredeyse her zaman olguların kendisine uydurulmasına yol açar.

Sonuçta bir bilgi hassasiyeti haritası oluşturuldu: bu dönemde hangi bilgilerin değer taşıdığı, hangi kanallardan erişilebilir hale gelebileceği ve hangi koşulların bu bilgilere ilgi duyulma olasılığını artırdığı belirlendi. Bu haritada hiçbir isim yer almıyor.

Bu yaklaşım müşteriye gerçekten uygulanabilir bir sonuç sunar. Tam olarak kimin gözetim yaptığını bilmek pratik açıdan gerekli değildir ve büyük olasılıkla hukuka uygun yollarla elde edilemez. Hangi noktaların savunmasız olduğunu ve bu açıkların nasıl kapatılacağını bilmek ise hem gerekli hem de ulaşılabilirdir.

Alınan önlemleri kategori düzeyinde açıklıyoruz. Bu projeye özgü tavsiyeler yayımlanmıyor; çünkü bunların açıklanması hem kendilerinin hem de diğer müşteriler için benzer önlemlerin değerini ortadan kaldırır.

Tüm tavsiyelerin ortak ilkesi, birine karşı koymak yerine bilginin değerini azaltmaktır. Gözetimin gerçek olup olmamasından bağımsız olarak işe yarayan ve gerilimi tırmandırmayan tek yaklaşım budur.

İlk kategori, iş bilgileriyle çalışma disiplinidir. İşlemin parametrelerini kim, hangi aşamada biliyor? Koşullar hangi kanallarda görüşülüyor? Hangi bilgiler dar bir çevrenin dışına hiç çıkmamalı? Benzer durumlarda bilgi sızıntılarının büyük bölümü gözetimden değil, günlük iş akışındaki özensizlikten kaynaklanır.

İkinci kategori, günlük düzenin öngörülebilirliğinin kademeli olarak değiştirilmesidir. Kendi başına bir işaret oluşturan ani bir değişiklik yerine, düzenliliğin gerekli olmadığı noktalarda kademeli olarak azaltılması söz konusudur. Bu projeye özgü tavsiyeler açıklanmamaktadır.

Üçüncü kategori, müşterinin çevresinin ele alınmasıdır: programına ve planlarına kimlerin erişebildiği, bu çevrenin ihtiyaçla ne ölçüde örtüştüğü ve açık bir neden olmadan nerelerde genişlediği değerlendirilir.

Belirtilerin güçlenmesi halinde izlenecek süreç ayrıca kararlaştırıldı: nelerin kayıt altına alınacağı, kime başvurulacağı ve hangi noktada konunun özel bir çalışma olmaktan çıkıp yetkili makamlara aktarılacağı belirlendi.

Birincisi, şüphenin çalışmayı engellemesi. En pratik ölçüt budur. Kaygı kararları etkiliyorsa risk doğrulanarak veya dışlanarak giderilmelidir. Belirsizliğin maliyeti değerlendirmeden daha yüksektir.

İkincisi, her iki yöndeki hatanın da bedelinin yüksek olması. Büyük bir işlem, hassas müzakereler veya kamuoyu önünde üstlenilen bir konum. Bu koşullarda hem riski küçümsemenin hem de paniğin bedeli yüksektir.

Üçüncüsü, kişinin kendi başına kontrole başlamış olması. Kişi kendi kendine kontrol etmeye başladıysa durum giderek kötüleşir: dikkat yeni bulgular doğurur, bulgular kaygıyı artırır, kaygı dikkati yoğunlaştırır. Bu döngüyü içeriden kırmak neredeyse imkansızdır.

Dördüncüsü, gerilimi tırmandırmamanın önemli olması. Profesyonel değerlendirmeyi kişinin kendi kontrollerinden ayıran tam da budur: kimseye şüphe duyulduğunu belli etmeyecek ve karşı tepkiyi tetiklemeyecek şekilde yürütülür.

Beşincisi ise bir sınırdır. Hayata veya sağlığa yönelik doğrudan tehdit belirtileri varsa risk değerlendirmesi ilk adım değildir. İlk adım, polise ve yetkili makamlara başvurmaktır. Özel bir şirket onların yerini alamaz.

Son olarak, dokuz günlük süre ve açıklanan çalışma düzeni bu örneğe özgüdür; bir standart değildir. Farklı bir durum çok daha uzun süre gerektirebilir; dürüst sonuç, endişe için dayanak bulunmadığı yönünde de olabilir.

Yapılandırılmış risk değerlendirmesiyle ele alınabilecek bir durumun göstergeleri. Bunlar bir teşhis veya sonuç vaadi değildir.