Yatırım Süreçlerinde Due Diligence (Durum Tespit) Nedir? Finansal, Hukuki ve Teknik İnceleme Rehberi

Girişimcilik ekosisteminde kurucu ekiplerin en büyük yanılgılarından biri, bir girişim sermayesi (Venture Capital - VC) fonu veya melek yatırımcı ağı ile Term Sheet (Yatırım Niyet Mektubu) imzalandığında yatırım sürecinin bittiğini düşünmektir. Oysa Term Sheet imzası bir bitiş çizgisi değil; yatırımcının girişime "Sunumda anlattığın hikayeye, büyüme metriklerine ve teknolojine inandım; şimdi bunların gerçek ve hukuken temiz olduğunu kanıtlama zamanı" dediği resmi inceleme aşamasının başlangıcıdır. İşte bu kapsamlı doğrulama, denetim ve röntgen sürecine finans ve hukuk literatüründe Due Diligence (Durum Tespit Süreci) adı verilir.

Küresel istatistikler, imzalanan Term Sheet'lerin yaklaşık %15 ila %25'inin Due Diligence aşamasında ortaya çıkan finansal tutarsızlıklar, fikri mülkiyet (IP) krizleri, gizli vergi/SGK borçları veya teknik mimari zafiyetler nedeniyle iptal edildiğini ya da şirket değerlemesi üzerinde ciddi aşağı yönlü revizyonlara (re-trading) gidildiğini göstermektedir. Bu rehberde; Sanal Veri Odası (Virtual Data Room - VDR) kurulumundan Finansal, Hukuki, Ticari ve Teknik Due Diligence sütunlarına, yatırımcıları masadan kaldıran "Kırmızı Bayrak" (Red Flag) hatalardan kapsamlı hazırlık kontrol listesine kadar tüm süreci inceliyoruz.

Due Diligence (Durum Tespit) Nedir ve Ne Kadar Sürer?

Due Diligence (Durum Tespit); bir yatırım turu (Pre-Seed, Seed, Seri A, B, C) veya şirket birleşme ve satın alma (M&A) işlemi öncesinde, yatırımcının veya alıcı şirketin görevlendirdiği bağımsız denetçiler, avukatlar ve teknoloji uzmanları aracılığıyla hedef şirketin finansal kayıtlarını, hukuki sözleşmelerini, fikri mülkiyet haklarını, müşteri metriklerini ve yazılım mimarisini derinlemesine incelemesi sürecidir.

Sürecin kapsamı ve süresi girişimin bulunduğu aşamaya göre farklılık gösterir:

• Tohum Öncesi (Pre-Seed) ve Melek Yatırım Aşaması: Şirketin geçmişi kısa olduğu için genellikle 2 ila 3 hafta sürer. Kurucu geçmişi, şirket ana sözleşmesi, ortaklık yapısı (Cap Table) ve ürünün gerçekten çalışıp çalışmadığına odaklanılır.
• Tohum (Seed) ve Seri A Aşaması: Kurumsal teknoloji yatırım fonları devreye girdiğinden süreç 4 ila 8 hafta sürer. Bağımsız hukuk büroları ve mali müşavirlik/denetim firmaları tüm geçmiş sözleşmeleri ve mizanları inceler.
• Seri B, C ve M&A (Şirket Satın Alma) Aşaması: Uluslararası denetim şirketlerinin (Big Four vb.) yürüttüğü, siber güvenlik sızma testlerinden uluslararası vergi uyumuna kadar uzanan 2 ila 4 aylık çok katmanlı bir denetimdir.

Due Diligence Sürecinin 4 Temel Sütunu: Finansal, Hukuki, Ticari ve Teknik

Kurumsal bir VC fonu veya stratejik alıcı, bir teknoloji şirketini incelerken süreci dört ayrı uzmanlık komitesine böler. Aşağıdaki tablo bu dört disiplinin neyi denetlediğini özetlemektedir:

İnceleme Alanı	Denetimi Yapan Uzmanlar	Odaklanılan Kritik Dokümanlar ve Metrikler	En Büyük Risk Unsuru
1. Finansal Due Diligence (FDD)	Bağımsız Denetçiler, YMM/SMMM ve VC Finans Analistleri.	Gelir tablosu, bilanço, nakit akışı, MRR/ARR mutabakatı, vergi/SGK borçsuzluğu, birim ekonomisi.	Sunumdaki ciro ile banka/fatura kayıtlarının uyuşmaması veya gizli vergi cezası riski.
2. Hukuki Due Diligence (LDD)	M&A ve Girişim Sermayesi Hukuk Büroları.	Pay defteri, Cap Table, Fikri Mülkiyet (IP) devirleri, KVKK/GDPR uyumu, devam eden davalar.	Yazılım kodlarının veya markanın şirkete değil, eski bir ortağa/freelancer'a ait olması.
3. Ticari Due Diligence (CDD)	Yatırım Fonu Ortakları ve Sektör Danışmanları.	Kohort tutundurma (retention), müşteri referans görüşmeleri, pazar büyüklüğü, churn nedenleri.	Cironun %60+'sının tek bir müşteriye bağımlı olması veya yüksek müşteri memnuniyetsizliği.
4. Teknik Due Diligence (TDD)	Deneyimli CTO Danışmanlar ve Siber Güvenlik Uzmanları.	Kod kalitesi, bulut mimarisi ölçeklenebilirliği, açık kaynak lisansları (GPL), veri güvenliği.	Ürünün 10x kullanıcı artışında çökecek mimaride olması veya kopyalanmış/lisanssız kod.

1. Finansal Due Diligence (FDD): Rakamların Gerçekliği ve Kalitesi

Yatırımcılar Pitch Deck içerisinde gördükleri parlak MRR (Aylık Tekrarlayan Gelir) ve büyüme grafiklerinin muhasebe kayıtlarıyla birebir örtüşüp örtüşmediğini Finansal Due Diligence ile test eder. Burada incelenen temel başlıklar şunlardır:

• Gelir Tanıma ve Kalitesi (Revenue Recognition & Quality of Earnings): Girişim tek seferlik kurulum veya danışmanlık ücretlerini "Tekrarlayan Yazılım Geliri (MRR)" olarak mı göstermiş? Yıllık peşin tahsil edilen abonelikler muhasebede aylara doğru dağıtılmış mı, yoksa tek bir ayda patlama yapmış gibi mi sunulmuş? Fatura kesilen tutarların ne kadarı gerçekten banka hesabına tahsil edilmiş (Alacak yaşlandırma raporu)?
• Nakit Yakma Hızı (Burn Rate) ve Nakit Ömrü (Runway): Şirketin aylık brüt (Gross Burn) ve net nakit yakma hızı nedir? Kurucuların şahsi harcamaları ile şirket harcamaları birbirine karışmış mı? (Şirket kredi kartıyla yapılan şahsi harcamalar ve ortaklar cari hesabının şişkin olması denetçiler için ciddi bir uyarı sinyalidir).
• Vergi, SGK ve Kamu Yükümlülükleri: Şirketin vergi dairesine veya Sosyal Güvenlik Kurumu'na (SGK) vadesi geçmiş borcu var mı? Teknopark veya Ar-Ge merkezi teşviklerinden yararlanılıyorsa, bu muafiyetler mevzuata uygun kullanılmış mı?
• Birim Ekonomisi Doğrulaması (LTV / CAC): Müşteri Edinme Maliyeti (CAC) hesaplanırken sadece Google/Meta reklam bütçesi mi alınmış, yoksa satış ekibinin maaşları ve pazarlama araçlarının maliyetleri de dürüstçe hesaba katılmış mı (Fully-loaded CAC)?

2. Hukuki Due Diligence (LDD): Ortaklık Yapısı ve Fikri Mülkiyet Kalkanı

Bir teknoloji girişiminin en değerli varlığı fabrikaları veya binaları değil; yazılım kodları, algoritmaları, veri tabanı, markası ve müşteri sözleşmeleridir. Hukuki Due Diligence bu varlıkların gerçekten şirkete ait olup olmadığını ve şirketin gizli bir hukuki mayın üzerinde yürüyüp yürümediğini denetler:

Fikri ve Sınai Mülkiyet (IP Assignment) Temizliği

Yatırım süreçlerinde anlaşmaları en sık bozan konu IP (Intellectual Property) devri eksiklikleridir. Şirket kurulmadan önce kurucu ortakların yazdığı kodlar, şirket kurulduktan sonra resmi bir devir sözleşmesiyle şirkete devredilmiş mi? Dışarıdan hizmet alınan serbest çalışan (freelancer) yazılımcılar, tasarım ajansları veya eski çalışanlarla yapılan sözleşmelerde Türk Fikir ve Sanat Eserleri Kanunu'na (FSEK) uygun "Mali Hakların Devri" maddesi var mı? Eğer eski bir yazılımcı veya ayrılan bir kurucu ortak "Bu çekirdek algoritmayı ben yazdım ve telif haklarını şirkete devretmedim" diyerek dava açabilecek durumdaysa, hiçbir VC fonu o sorun çözülmeden yatırım yapmaz.

Kurumsal Yönetim ve Pay Defteri (Cap Table) Uyumu

Ticaret sicil gazeteleri, genel kurul kararları, yönetim kurulu karar defteri ve Pay Defteri eksiksiz tutulmuş mu? Daha önce melek yatırımcılarla imzalanan SAFE veya dönüştürülebilir borç sözleşmeleri birbiriyle çelişen maddeler içeriyor mu? Ortaklık yapısında (Cap Table) şirketten yıllar önce ayrılmış ancak hisselerin %30'unu elinde tutan pasif bir ortak (Dead Equity) var mı?

KVKK, GDPR ve Sektörel Regülasyon Uyumu

Girişim kullanıcı verilerini nasıl işliyor ve saklıyor? Kişisel Verilerin Korunması Kanunu (KVKK) ve Avrupa pazarına hizmet veriliyorsa GDPR kapsamında aydınlatma metinleri, açık rıza süreçleri ve VERBİS kayıtları tamamlanmış mı? Özellikle FinTech, HealthTech veya e-ticaret ve kitle fonlaması gibi regüle alanlarda gerekli lisanslar veya BDDK/SPK uyumlulukları eksiksiz mi?

İş Sözleşmeleri ve Yüklenici (Contractor) Riskleri

Kilit çalışanlarla imzalanan iş sözleşmelerinde gizlilik (NDA), rekabet etmeme (Non-Compete) ve çalışma süresi boyunca üretilen tüm buluş/kodların işverene ait olacağına dair maddeler yer alıyor mu?

3. Teknik Due Diligence (TDD): Yazılım Mimarisi, Ölçeklenebilirlik ve Güvenlik

Özellikle Tohum (Seed), Seri A ve sonrasında, yatırımcılar şirketin "Yapay Zeka destekli, bulut tabanlı, ölçeklenebilir platform" iddiasının kaputunun altında gerçekten ne olduğunu görmek için deneyimli bir CTO danışmanı görevlendirir. Teknik Due Diligence şu 5 soruya yanıt arar:

1. Mimari ve Ölçeklenebilirlik (Scalability): Mevcut sistem 1.000 aktif kullanıcıyla sorunsuz çalışıyor olabilir; peki yatırım sonrası kullanıcı sayısı 100.000'e çıktığında sistem çökecek mi (spagetti kod / monolitik darboğazlar), yoksa mikroservis ve modern bulut mimarisiyle yatayda kolayca ölçeklenebilir mi?
2. Teknik Borç (Technical Debt) ve DevOps Süreçleri: Kod tabanında versiyon kontrolü (Git), otomatik test süreçleri (CI/CD pipeline), kod inceleme (Code Review) kültürü ve dokümantasyon var mı? Tek bir baş yazılımcı (CTO) yarın şirketten ayrılsa, yeni gelen mühendisler sistemi 1 haftada devralabilir mi ("Bus Factor" riski)?
3. Açık Kaynak Lisans Riski (Open Source / Copyleft Risk): Yazılım geliştirilirken kullanılan açık kaynak kütüphaneler arasında GPL / AGPL (Viral / Copyleft) lisanslı bileşenler var mı? Bazı katı açık kaynak lisansları, kendi kodunuzla birleştirildiğinde tüm ticari kaynak kodunuzu halka açık hale getirme zorunluluğu doğurur ki bu durum VC ve M&A yatırımcıları için büyük bir kırmızı bayraktır (MIT veya Apache 2.0 gibi esnek lisanslar tercih edilmelidir).
4. Siber Güvenlik ve Veri İzolasyonu: Müşteri verileri şifrelenerek (encryption at rest & in transit) saklanıyor mu? API uç noktaları yetkisiz erişime karşı korunuyor mu? Yedekleme ve felaket kurtarma (Disaster Recovery) planı mevcut mu?
5. Gerçek Teknoloji mi, Basit Bir API Sarmalayıcı mı (AI Wrapper)? Özellikle teknoloji yatırımlarında yeni trendler kapsamında yapay zeka girişimlerinde yatırımcılar, şirketin kendine ait ince ayar (fine-tuning) yapılmış modelleri, özel veri setleri (proprietary data pipeline) veya savunulabilir bir iş akışı mimarisi olup olmadığını, yoksa sadece hazır bir LLM API'sine basit bir arayüz mü giydirildiğini titizlikle inceler.

4. Ticari Due Diligence (CDD): Müşteri Referans Görüşmeleri

Rakamlar ve sözleşmeler kağıt üzerinde harika görünse bile, yatırımcılar son kararı vermeden önce girişimin mevcut müşterileriyle doğrudan telefon veya video görüşmesi (Customer Reference Calls) yapar. Yatırımcı kurucudan en büyük 5-10 müşterisinin iletişim bilgilerini ister ve kurucu toplantıda yokken müşterilere şu soruları sorar:

• "Bu ürünü neden satın aldınız ve satın almadan önce hangi rakipleri değerlendirdiniz?"
• "Yarın bu girişim kapanacak olsa operasyonunuz ne kadar etkilenir, yerine ne koyarsınız?"
• "Destek ekibinden memnun musunuz ve gelecek yıl sözleşmenizi yenileyip bütçenizi artırmayı düşünüyor musunuz?"

Müşterilerden gelen "Onsuz işimizi yürütemeyiz, hayatımızı kurtardı" yanıtı, yatırım komitesinden (IC) onayın en hızlı çıkmasını sağlayan katalizördür.

Sanal Veri Odası (Virtual Data Room - VDR) Nasıl Hazırlanır?

Due Diligence sürecinde yüzlerce belgenin e-posta ekleriyle dağınık şekilde gönderilmesi hem büyük bir güvenlik açığıdır hem de süreci haftalarca yavaşlatır. Profesyonel kurucular, daha yatırım turuna çıkmadan önce bulut tabanlı, erişim yetkileri kontrol edilebilen düzenli bir Sanal Veri Odası (Virtual Data Room - VDR) hazırlar. İdeal bir VDR klasör yapısı şu 6 ana klasörden oluşmalıdır:

• 01_Kurumsal_ve_Hukuki: Ana sözleşme, ticaret sicil gazeteleri, Pay Defteri, güncel Cap Table (Excel), yönetim kurulu kararları, vergi levhası, imza sirküleri.
• 02_Finansal_ve_Vergi: Son 2-3 yıllık mizanlar, gelir tabloları, bilançolar, aylık nakit akış ve MRR/ARR kırılım tabloları, 24 aylık finansal projeksiyon modeli, vergi ve SGK borcu yoktur yazıları.
• 03_Ticari_ve_Musteri: En büyük 10 müşteri sözleşmesi, standart MSA/SaaS satış sözleşmesi örneği, kohort tutundurma (retention) analizleri, satış hunisi (pipeline) raporu.
• 04_Insan_Kaynaklari_ve_Ekip: Organizasyon şeması, kurucu ve kilit çalışan iş sözleşmeleri, gizlilik ve rekabet etmeme sözleşmeleri, ESOP (Çalışan Hisse Opsiyon Planı) dokümanları.
• 05_Fikri_Mulkiyet_ve_KVKK: Marka tescil belgeleri, patent başvuruları, yazılımcı ve ajans IP devir sözleşmeleri, alan adı (domain) sahiplik belgeleri, KVKK/GDPR uyum politikaları.
• 06_Teknik_Mimari_ve_Urun: Sistem mimari diyagramı, teknoloji yığını (Tech Stack) listesi, kullanılan açık kaynak kütüphaneler ve lisansları, bilgi güvenliği prosedürleri, 12 aylık ürün yol haritası (Product Roadmap).

Yatırımı İptal Ettiren "Kırmızı Bayraklar" (Deal-Breaker Red Flags)

Due Diligence sırasında ufak tefek eksiklikler çıkması normaldir; çoğu eksiklik yatırım kapanışından önce (Conditions Precedent - Ön Şartlar) veya kapanış sonrası belirli bir süre içinde (Conditions Subsequent - Kapanış Sonrası Yükümlülükler) düzeltilebilir. Ancak bir yatırımcıyı masadan anında kaldıran en büyük hata "Şeffaflık Eksikliği ve Gizleme" davranışıdır. Şirketin devam eden bir davası, kaybettiği büyük bir müşterisi veya geçmişten kalan bir vergi yapılandırması varsa, kurucunun bunu Due Diligence başlamadan önce yatırımcıya açıkça söylemesi güven inşa eder. Yatırımcının bunu denetim sırasında kendisinin keşfetmesi ise güveni tamamen bitirir ve Term Sheet'in iptal edilmesiyle sonuçlanır.

Türkiye Ekosisteminde Due Diligence Özellikleri: Teknopark, Ar-Ge Teşvikleri ve Flip (Yurt Dışı Holding) Yapıları

Türkiye'de faaliyet gösteren teknoloji girişimlerinin Due Diligence süreçlerinde, küresel standartlara ek olarak yerel mevzuattan kaynaklanan çok spesifik denetim başlıkları bulunmaktadır. Hem yerel Girişim Sermayesi Yatırım Fonları (GSYF) hem de yabancı VC fonları Türkiye'deki bir girişimi incelerken şu üç kritik konuyu mercek altına alır:

• Teknopark (Teknoloji Geliştirme Bölgeleri) ve TÜBİTAK Teşvik Uyumu: Türkiye'deki yazılım girişimlerinin büyük çoğunluğu 4691 sayılı kanun kapsamında Teknoparklarda yer almakta ve kurumlar vergisi istisnası, KDV muafiyeti ve personel gelir vergisi stopaj teşviklerinden yararlanmaktadır. Finansal denetçiler, şirketin kestiği faturaların gerçekten Teknopark içinde yürütülen Ar-Ge ve yazılım projeleriyle birebir ilişkili olup olmadığını, dışarıda yapılan ticari faaliyetlerin Ar-Ge istisnasına karıştırılıp karıştırılmadığını ve personel devam kontrol (PDKS / uzaktan çalışma oranları) kayıtlarının mevzuata uygunluğunu titizlikle denetler. Usulsüz kullanılan bir vergi istisnası, geçmişe dönük ağır vergi ziyaı cezaları doğurabilir.
• Yurt Dışı Holding Yapılanması (Delaware / İngiltere / Estonya Flip Süreçleri): Küresel ölçeklenmeyi hedefleyen pek çok Türk teknoloji girişimi, yabancı VC'lerden kolay yatırım alabilmek için ABD (Delaware C-Corp), İngiltere (UK Ltd) veya Hollanda'da bir çatı şirket (TopCo) kurup Türkiye'deki A.Ş.'yi bu çatı şirketin %100 bağlı ortaklığı (Subsidiary) haline getirmektedir (Flip işlemi). Hukuki ve vergisel Due Diligence aşamasında; Türkiye'deki şirket ile yurt dışındaki ana şirket arasındaki Transfer Fiyatlandırması (Transfer Pricing) sözleşmeleri, fikri mülkiyetin (IP) hangi ülkedeki tüzel kişilikte tutulduğu ve çifte vergilendirmeyi önleme anlaşmalarına uyum detaylıca incelenir.
• Kıdem Tazminatı Karşılıkları ve Yüklenici (Şahıs Şirketi) Riskleri: Yazılım sektöründe geliştiricilerin bordrolu çalışan yerine şahıs şirketi kurarak fatura kesmesi (freelance / yüklenici modeli) sıkça görülür. Ancak tek bir şirkete tam zamanlı ve bağımlı çalışan bu kişilerin iş mahkemelerinde "gerçekte bordrolu işçi sayılması" ve geçmişe dönük SGK primi ile kıdem/ihbar tazminatı riski oluşturması, Hukuki Due Diligence raporlarında en çok vurgulanan yerel risklerden biridir.

Sıkça Sorulan Sorular (SSS)

Due Diligence masraflarını (avukat ve denetçi ücretlerini) kim öder?

Girişim sermayesi ekosistemindeki standart uygulamada, Term Sheet içerisinde bir üst sınır (Cap - örneğin 5.000 $ ila 15.000 $ arası) belirlenir ve yatırım başarıyla gerçekleşirse yatırımcının makul hukuki/finansal Due Diligence masrafları yatırım tutarının içinden şirket tarafından karşılanır. Yatırım yatırımcının vazgeçmesi nedeniyle gerçekleşmezse herkes kendi masrafını üstlenir.

Sanal Veri Odasını (Data Room) ilk toplantıdan hemen sonra tüm yatırımcılara açmalı mıyım?

Hayır. Veri odanız şirketin en mahrem müşteri sözleşmelerini, fiyatlandırma sırlarını ve finansal tablolarını içerir. İlk toplantıda yalnızca Pitch Deck paylaşılır; ciddi şekilde ilgilenen yatırımcılara ikinci aşamada temel metriklerin olduğu hafif bir veri odası (Light Data Room) açılır; tam kapsamlı hukuki ve müşteri bazlı VDR ise ancak Term Sheet imzalandıktan (veya son yatırım komitesi aşamasına gelindikten) sonra erişime açılmalıdır.

Due Diligence sürecinde şirketimin değerlemesi düşürülebilir mi?

Eğer sunumda beyan ettiğiniz metrikler (örneğin ARR, müşteri sayısı, brüt kâr marjı) inceleme sonucunda doğrulandıysa saygın bir yatırımcı değerlemeyi değiştirmez. Ancak beyan edilen 1 Milyon $ ARR'nin gerçekte 600.000 $ olduğu veya şirketin 200.000 $ kayıt dışı vergi/tazminat yükümlülüğü bulunduğu ortaya çıkarsa, yatırımcı ya masadan kalkar ya da şirket değerlemesi rakamını bu risk oranında aşağı revize eder.

Sonuç

Due Diligence (Durum Tespit), hazırlıksız girişimciler için yıpratıcı bir sınav, kurumsal disipline sahip kurucular için ise şirketlerinin kalitesini kanıtlayarak yatırım turunu hızla ve en yüksek değerlemeyle kapatma fırsatıdır. Şirketinizi kurduğunuz ilk günden itibaren sözleşmelerinizi, fikri mülkiyet devirlerinizi ve finansal tablolarınızı "yarın denetlenecekmiş gibi" düzenli tutmak, gelecekteki tüm yatırım turlarınızın sigortası olacaktır.