MVP Sonrası Yatırım Turu Hazırlığı: Teknik Due Diligence Rehberi

Başarılı bir MVP'ye sahipsiniz. Kullanıcılar sevdi, ürün-pazaar uyumu sinyalleri görülüyor. Şimdi sıra yatırım turuna gelmişse, teknik due diligence süreci sizi bekliyor. Profesyonel yatırımcılar sadece pazara ve sayılara bakmaz—teknik fundamantalleri iyice incelerler. Bu rehberde, yatırımcıların teknik olarak neyi değerlendirdiğini, hazırlamanız gereken belgeleri ve sunumda hangi mesajları vereceğinizi anlatacağız.

Yatırımcılar Teknik Olarak Neye Bakar?

Profesyonel yatırımcılar bir startup'ın teknik temellerini incelemeyi büyük kayıplardan kurtarmanın yolu olarak görürler. İşte fokuslandığı yedi kritik alan:

Kod Kalitesi ve Yazılım Mimarisi

Yatırımcılar bu soruya cevap arıyor: "Bu kod temiz mi, bakımı kolay mı, takım büyüdüğünde ölçeklenebilir mi?"

İyi kod kalitesi demek düşük geliştirme maliyeti demektir. Eğer yatırım alıp 3 ay sonra sistem yeniden yazılması gerekirse, bütçeniz hızla eriyecektir. Yatırımcılar %70+ unit test coverage, %5'ten az kopya kod, fonksiyonlarda ortalama 15'ten az karmaşıklık görmek isterler. API belgesi ve mimari dokümantasyonun olması, teknik borcun kontrol altında olduğunu gösterir.

Ölçeklenebilirlik

"10x kullanıcıya gidebilir mi? 100x?" sorusunu sık sorma nedeni, yatırım sonrası hızlı büyüme beklentisidir. Veritabanınızın düzgün tasarlanmış olması, uygun caching stratejisi ve trafiğin ani artışlarına dayanma kapasitesi, sistem mimarisiyle ilgili ciddi endişeleri giderir. Bugün 100 kullanıcıyla çalışan sistem Series A'da 10.000'e gidememişse sorun başlar.

Güvenlik Pratiği

Veri ihlaline bağlı PR felaketi, yasal sorumluluğu ve iş kaybı, yatırımcıların en büyük kaygılarıdır. SQL injection ve XSS gibi yaygın saldırılara karşı önlem alınmış olmalı. Veri şifrelenmiş, kimlik doğrulama ve yetkilendirme uygun teknolojiler kullanılmış, API'ler güvenli hale getirilmiş olmalıdır. Bir profesyonel penetrasyon testi yapılmış ve kritik güvenlik açığı olmadığını gösteren rapor, oldukça değerlidir.

Teknik Ekip Kalitesi

Ürün iyi olsa bile zayıf ekip başarısızlık getirir. Bir CTO veya VP Mühendislik'in varlığı önemlidir. Takımın tecrübe seviyesi (junior/mid/senior dengesinin) uygun olması, ilgili sektörde deneyim, son 12 ayda çalışan gidişinin az olması ve net bir işe alım planı, yatırımcıya "bu takım büyüyebilir" mesajı verir.

Altyapı Maliyetleri

"Kullanıcı başına maliyeti ne? Verimli mi?" sorusunun cevabı, unit economics'i anlamada yardımcı olur. Bulut maliyetleri uygun tasarımla azalabileceğini göstermek, yatırımcılara güven verir. Teknoloji seçimleriniz doğrudan karlılığı etkiler—yanlış seçim, ekibe ödenen maaş kadar maliyete sebep olabilir.

Fikri Mülkiyet Koruma

Patent başvuruları (özellikle yapay zeka şirketleri için), proprietary algoritmaların yasal koruması, açık kaynak lisanslaması uygunluğu (GPL gibi kısıtlayıcı lisanslara dikkat) ve çalışanların IP devrini imzalanmış olması önemlidir. IP sorunları daha sonraki yatırım turlarında başarısızlık getirebilir.

Teknik Roadmap ve Yönetişim

"Önümüzeki 18 ayda ne yapacaksınız?" sorusuna cevap vermek, yatırımcılara stratejik bir ekip gösterir. Teknik borcu azaltma planı, CI/CD ve otomatik test durumu, sistem sağlığının gerçek zamanda görülüp görülmediği, veri koruma yasalarına uyum planı gibi konular veri birikmiş "reaktif" takımlar değil, "stratejik planlayıcılar" gösterir.

---

Teknik Due Diligence Kontrol Listesi

Aşağıda, yatırımcıların inceleyeceği 25 maddelik kontrol listesi yer almaktadır. Hazırlanmaya başlayan an itibaren bu listeyi tamamlamaya başlayın.

#	Kategori	Kontrol Maddesi	Durum	Ön Gerekli Belge
1	Kod Kalitesi	SonarQube/Code Climate skoru A+ veya equivalentine ulaştı	☐	Dashboard screenshot
2	Kod Kalitesi	Unit test coverage >70%	☐	Coverage report
3	Kod Kalitesi	Code duplication <5%	☐	SonarQube raporu
4	Kod Kalitesi	Cyclomatic complexity <15 (ortalama)	☐	Analiz raporu
5	Kod Kalitesi	API dokumentasyon (Swagger/OpenAPI)	☐	/docs endpoint veya .yaml dosyası
6	Ölçeklenebilirlik	Load test: 1.000+ concurrent user test sonuçları	☐	Test raporu
7	Ölçeklenebilirlik	Database optimize edilmiş (indexler, query optimization)	☐	EXPLAIN PLAN analizi
8	Ölçeklenebilirlik	Caching strategy (Redis/Memcached) uygulanmış	☐	Architecture diagram
9	Ölçeklenebilirlik	Horizontal scaling'e hazır (state-less application)	☐	Teknik inceleme
10	Ölçeklenebilirlik	CDN entegrasyonu (statik asset'ler)	☐	CDN config
11	Güvenlik	OWASP Top 10 assessment tamamlandı	☐	Security audit raporu
12	Güvenlik	HTTPS/TLS enforced, HSTS header set	☐	SSL Labs A+ skoru
13	Güvenlik	Database şifreli (encryption at rest)	☐	RDS/Cloud SQL ayarları
14	Güvenlik	Sensitive data transmission şifreli	☐	TLS belgeleri
15	Güvenlik	Password hashing (bcrypt/argon2), salted	☐	Kod incelemesi
16	Güvenlik	API authentication (JWT/OAuth2) implement edilmiş	☐	API security belgeleri
17	Güvenlik	Dependency scanning aktif	☐	Vulnerability scan raporu
18	Güvenlik	Penetration test geçmiş 12 ayda yapılmış	☐	Pentest raporu
19	Güvenlik	Incident response plan yazılı	☐	SOP dokümantasyonu
20	Ekip	CTO/VP Engineering atanmış	☐	Org chart
21	Ekip	Teknik team özgeçmişleri	☐	Resume dosyaları
22	Ekip	Kilit kişi solo değil (bus factor >1)	☐	Knowledge transfer assessment
23	Altyapı	Aylık cloud maliyeti detaylı breakdown	☐	AWS billing/invoice
24	Altyapı	18-aylık cost projection	☐	Spreadsheet modeli
25	IP & Yönetişim	Tüm dependency'ler license uyumlu	☐	SBOM

Başlayan maddeleri tamamlandığında ✓ ile işaretleyin. Her kategori en az %80 tamamlanmalıdır.

---

Kod Kalitesi Hazırlığı: Hedefler

Kod kalitesi, yatırımcıların en objektif değerlendirdiği metriktir. Hedef metrikler şu şekildedir:

Metrik	Hedef	Nasıl Iyileştirilir
Unit Test Coverage	>70%	İteratif olarak test yazın. Kritik fonksiyonlardan başlayın (kimlik doğrulama, ödeme, core logic). CI/CD'de coverage gating koyun.
Code Duplication	<5%	Copy-paste kodu refactor edin. Shared utilities'e taşıyın. Linting kuralları ekleyin.
Cyclomatic Complexity	<15 (ortalama)	Büyük fonksiyonları ayırın. İf-else zincirleri switch veya ternary'ye çevirin. Guard clauses kullanın.
Security Hotspots	0-3	SQL injection: parameterized queries. XSS: input validation/sanitization. Secrets: environment variables ve vault kullanın.
Bugs	0 (high priority)	Flagged bugs'ları düzeltin. Regression test ekleyin. Code review enforce edin.

Hızlı İyileştirme Stratejisi 2-3 haftaya sığdırılabilir. Test coverage, critical path'i (giriş, ödeme, core özellik) hedefleyerek yazılmalıdır. Code duplication raporundan her block incelenip shared utility function'lara taşınmalıdır. Cyclomatic complexity için 20 satırdan uzun fonksiyonlar daha küçük metotlara bölünmelidir.

Sonuç: Coverage >70%, Duplication <5%, Complexity <15 sağlanırsa, yatırımcıların %80'i teknik soru sorma ihtiyacı hissetmeyecektir.

---

Altyapı Maliyet Projeksiyonu

Yatırımcılar sık sorarlar: "Unit economics ne? Kullanıcı başına maliyeti azalıyor mu?"

Tipik bir B2B SaaS startup'ının 18 aylık maliyet projeksiyonu (AWS bazlı) şu şekildedir:

Senaryo	Kullanıcı Sayısı	Compute	Database	Storage	Transfer/CDN	Takım	Toplam Aylık	Per-User Maliyet
MVP (Şimdi)	500	$100	$50	$10	$20	$3,500	$3,680	$7.36
Month 6	2,000	$300	$150	$50	$100	$7,000	$7,600	$3.80
Month 12	10,000	$1,200	$400	$200	$400	$10,500	$12,700	$1.27
Month 18	50,000	$4,500	$1,200	$500	$1,200	$14,000	$21,400	$0.43

10.000 kullanıcı senaryosunda, compute ve database en büyük maliyetlerdir. Compute (Fargate/ECS) yaklaşık 1.200 dolar, database (RDS PostgreSQL) 400 dolar, storage ve transfer 400 dolar, monitoring araçları 120 dolar olur. Takım maliyeti (1 backend ve 1 frontend) 10.500 dolar mertebesindedir.

Optimizasyon ipuçları: Kubernetes horizontal pod autoscaling ve Spot instances kullanarak compute'da %30 tasarruf sağlanabilir. Database'de read replicas yerine caching (Redis) önce denenebilir. S3 lifecycle policies ile eski veriler daha ucuz storage'a taşınabilir. CloudFront distribution ve bölgesel endpoints ile transfer maliyeti düşülebilir.

Hedef: Per-user maliyet 0.30 dolar altında olmalıdır. Aksi halde, para kazanmak zor olur.

---

Güvenlik Audit Raporu

MVP sonrası yatırım turu hazırlığında, en önemli belge profesyonel bir güvenlik audit'idir. Penetrasyon test şirketinden (Synack, Bugcrowd gibi) aldığınız rapor şu bölümleri içermelidir:

Raporun başında executive summary olmalı: tarih, scope, genel risk seviyesi (Critical, High, Medium, Low) ve remediation timeline. Ardından güvenlik açıklarının tablo halinde listelendiği bölüm gelir: her açıklık için CVSS skoru, şiddeti, düzeltme yöntemi ve durum (Fixed, In Progress, Pending).

OWASP Top 10'un her maddesi adreslenmelidir. Broken Access Control için role-based access control kullanılmalı. Cryptographic Failures için TLS 1.2+, encryption at rest uygulanmalı. Injection açıklarına karşı parameterized queries, input sanitization yollanmalı. Insecure Design için threat modeling yapılmalı. Security Misconfiguration için debug mode kapatılmalı, security headers ayarlanmalı. Vulnerable & Outdated Components için dependency scanning aktif kılınmalı. Identification & Auth Failures için 2FA/MFA, bcrypt password hashing kullanılmalı.

Yatırımcılar 0 critical, 5'ten az high severity vulnerability olan pentest raporu görmek isterler. Eğer vulnerabilites varsa, düzeltme takvimi net olmalıdır.

---

Teknik Pitch Deck Sayfaları

Investor meeting'inde 4 teknik slaydı göstermek beklenir. (Toplam sunuda belki 40 slayt varsa, bunlar 15-18. slaytlar olacak.)

Sistem Mimarisi

Sunumda, frontend (web + mobile + admin panel), backend services, veritabanı ve depolama katmanlarının nasıl yapıldığını görsel olarak göstermek gerekir. Mesaj "microservices-ready architecture", "horizontal scaling için tasarlanmış", "database redundancy ve automated backups", "multi-region disaster recovery plan" olmalıdır.

Teknoloji stack'in modern olması (Node.js/Python backend, React frontend, PostgreSQL + Redis, Kubernetes veya Fargate) yatırımcılara güven verir.

Ölçeklenebilirlik Planı

Phase 1'de (bugün) 10.000 kullanıcıya kadar kapasiteyi göstermek, Phase 2'de (6 ay) 50.000'e, Phase 3'te (12 ay) 200.000'e gideceğini göstermek yatırımcıları rahatlatır.

Load test sonuçları kişi başına önemlidir. 1.000 concurrent user'ı 200ms'de, 5.000'i 500ms'de, 10.000'i 1 saniyede serve edebilmek, systeminizin hazır olduğunu gösterir. Database indexing optimized, cache strategy clear, vendor lock-in yok mesajları verilmelidir.

Teknik Takım + İşe Alım Planı

CTO'nun background'ü (örn "8 yıl Google deneyimi"), orta seviye mühendislerin varsa onları sunmalı, ve 18 aylık işe alım planını netleştirmelisiniz. +1 senior backend, +1 senior frontend, +1 DevOps, +1 QA, +1 product manager, +2 junior engineer gibi bir plan realistik görünür.

Takımda CTO'nun knowledge transfer'ı tamamlandığını, critical systems'da minimum 2 kişi redundancy olduğunu gösterir. "Bus factor" (kilit kişiler ayrılırsa ne olur) analizi, yatırımcıya güven verir.

Burn Rate vs Runway

Aylık burn rate ve runway calculation göstermelisiniz. Seed funding talep ediyor da (örn $500K), bu para 18+ ay yetecek mi? Conservative revenue assumptions (6. ayda sıfır, 12. ayda $5K MRR, 18. ayda $25K MRR) mesajı verir.

---

Türkiye Startup Yatırım Ekosistemi

Türkiye startup ekosistemi son 5 yılda büyük atılım yaptı. Yatırım turu tipleri:

Tur	Tipik Yatırım	Aşama	Şirket Durumu	Yatırımcı Tipi
Seed	$50K - $500K	MVP var, traction başlanmış	1-2 ay sonra launch	Angels, early-stage funds
Pre-Series A	$500K - $2M	Ürün-pazaar fit, initial customers	Revenue: $10K-100K MRR	Micro VCs, angel syndicates
Series A	$2M - $10M	PMF solid, 20%+ MoM growth	Revenue: $100K+ MRR	Traditional VCs
Series B+	$10M+	Unicorn trajectory	Revenue: $1M+ MRR	Tier-1 VCs, growth funds

Türkiye'deki Tier-1 VCs (Balderton, Accel, Crescent), Mid-tier VCs (212 Ventures, Retter, Fomcap, Momentum) ve Angel Networks (Turkish Angel Network, Istanbul Angel Investors Club) vardır. Hükümet teşvikleri (TUBITAK Teknogirişim, İstanbul Bilim Merkezi, Invent Ankara) da mevcuttur.

---

Smart Maple Yatırım Hazırlık Paketi

Smart Maple (smart-maple.com, Ankara), teknik startup'ları yatırım turuna hazırlamak için özel hizmetler sunmaktadır. 2-3 haftalık yoğun audit ve fix sprint içerir.

Week 1: Teknik Audit

SonarQube full scan, architecture review, tech debt mapping ve security vulnerability scanning yapılır. Load testing (1.000+ concurrent users), database optimization analizi, CDN kurulum tavsiyeleri verilir. 18 aylık cost modeling sunulur.

OWASP Top 10 kontrol listesi yapılır. API security, authentication/authorization audit, incident response plan template hazırlanır. Kubernetes readiness assessment, CI/CD pipeline review, backup & disaster recovery check yapılır.

Week 2-3: Fix Sprint & Dokümantasyon

Unit test yazma (coverage >70%), code duplication refactoring, security hotspot fixes yapılır. Database indexing optimization, caching layer setup, CDN konfigürasyonu gerçekleştirilir.

OWASP vulnerability fixes, SSL/TLS hardening, rate limiting implementation, logging & monitoring setup yapılır. Technical pitch deck (4 slides), architecture diagram, due diligence checklist, cost projection spreadsheet, security & compliance summary hazırlanır.

Paket Fiyatlandırması

Paket	Kapsam	Saat	Fiyat
Audit-Only	Week 1 audit + rapor	80	$3,500
Audit + Light Fix	Week 1 + 5 critical fix	130	$7,000
Full Preparation	Week 1-3 complete program	200	$14,000
Extended Program	4 hafta + Series A prep	280	$20,000

Paket Sonrası Beklenen Sonuçlar

SonarQube score A+ (coverage >70%, duplication <5%), security pentest 0 critical / <3 high severity, load test passed (10.000+ concurrent users), 18-month cost projection model, technical pitch deck (4 slides), due diligence checklist 90%+ tamamlanmış, yatırımcı sunumunda teknik Q&A confidence elde edilecektir.

---

Sıkça Sorulan Sorular

S: MVP sonrası yatırım turu ne kadar sürer?
Seed funding (teknik due diligence dahil) tipik olarak 8-12 hafta sürer. Başlangıç araştırması + term sheet + legal = 16 hafta olabilir.

S: Pentest raporunun yerine kod review yeterli mi?
Hayır. Profesyonel pentest'in $5K-15K maliyeti, yatırım turunda kritik belge. Yatırımcılar bunu beklerler.

S: SonarQube yerine başka tool kullanabilir mi?
Evet. Code Climate, CodeFactor, Codacy equivalentler kabul görmüş. Önemli: A+ skor olmalı.

S: Eğer çok eski kod varsa?
İki seçenek: "Legacy modernization" roadmap sunun (18-24 ay plan) veya "Strangler pattern"—yeni özellikler modern stack'te yazın. Yatırımcılar bir iyileştirme yolu görmek isterler.

S: GPL/AGPL kullanabilir miyiz?
Ticari kısıtlamalar nedeniyle hayır. MIT, Apache 2.0, BSD tercih edin.

S: AWS yerine başka cloud kabul edilir mi?
Evet. Cloud-agnostic yatırımcılar çok. Önemli: cost modeling ve scalability roadmap clear olmalı.

S: İlk yatırım turu öncesi kaç aylık runway gerekli?
Minimum 12-18 ay.

S: DevOps engineer'ımız yok?
Ortak kurucu veya senior engineer bu role kapsaması gerekir. Yatırımcılar "infrastructure concern değil" görmek isterler.

---

Sonuç

MVP'den yatırım turuna gitmek, sadece metrikleri göstermek değildir. Teknik fundamantaller, yatırımcı kaygılarının %30'unu kapsar. Diğer %70'si: pazar, takım, traction ve unit economics'dir.

Ancak teknik due diligence geçmemek, şirketinizi risk altına alır. Bu hafta kod kalitesi kontrol listesini tamamlayın ve SonarQube'u setup edin. Sonraki 2 hafta penetrasyon test'i order edin. 3. hafta sonrası Smart Maple'ın audit paketi ile 18-aylık cost ve scaling roadmap'ını finalize edin.

MVP sonrası yatırım turu hazırlığı, hızlı ama sistematik. Doğru tools ve rehberlik ile, yatırımcılar konusunda teknik endişeleri ortadan kaldırarak özgüven kazanabilirsiniz.

---

Hazırlanmak İçin Sonraki Adım

Yatırım turuna hazırlanmada teknik açıdan geri kalmış olabilirsiniz. Smart Maple'ın audit ve preparation paketleri, 2-3 hafta içinde SonarQube A+ skoru, security pentest raporunuz, load test sonuçlarınız, maliyet projeksiyonunuz ve pitch deck'inizi hazır hale getirir.

Daha fazla bilgi için smart-maple.com adresini ziyaret edin ve iletişim kurun.

---

Smart Maple — Ankara'dan global startup'lara teknik danışmanlık.