Yapay Zeka Destekli e-Denetim Çözümü

İç denetim, teftiş ve uyum birimleri her dönem milyonlarca satır fatura, ödeme, sözleşme ve log kaydını değerlendirmek zorundadır; ancak klasik denetim çoğunlukla yalnızca %2-10 örneklem üzerinde çalışır ve düşük hacimli ama yüksek etkili suistimaller görülmeden kalabilir. Bu sayfa; bir e-denetim analitiği yatırımı planlayan denetim, teftiş ve bilgi işlem ekipleri için çözümün kapsamını, dayandığı standartları ve teknik şartnamede aranması gereken maddeleri veriyle özetler.

Çözüm neyi kapsar?

Uçtan uca bir e-denetim analitiği katmanı; ham veriyi toplayıp normalize etmekten, riskli kayıtları gerekçesiyle denetçinin önüne getirmeye kadar tek akışta çalışır:

• Veri toplama ve normalizasyon: ERP/muhasebe (SAP, Logo, Netsis), e-Fatura, e-Defter, banka ekstresi, log ve belge (OCR) kaynaklarının tek modele indirgenmesi.
• Anomali tespiti: denetlenmemiş (unsupervised) modellerle olağandışı tutar, zaman, sıklık ve ilişki örüntülerinin işaretlenmesi.
• Mükerrer ve hayalet kayıt: bulanık eşleştirme (fuzzy matching) ile çift ödeme, aynı IBAN/vergi no, tekrar eden fatura tespiti.
• Uyum kuralları: limit aşımı, yetki/görevler ayrılığı (SoD) ihlali, kara liste ve mevzuat eşiklerini denetleyen kural motoru.
• Risk skorlama ve açıklanabilirlik (XAI): her kaydın 0-100 arası skoru ve skoru oluşturan etkenlerin (SHAP/LIME) gösterilmesi.
• Sürekli izleme ve dosya yönetimi: dönemsel değil sürekli denetim (continuous auditing) ve bulgudan aksiyona iş akışı.

Klasik örneklem denetimi ile karşılaştırma

Yapay zeka destekli yaklaşımın farkı, kapsam ve zamanlamadadır. Aşağıdaki tablo temel boyutları karşılaştırır:

Hangi bulguyu, hangi teknikle yakalar?

E-denetimde tek bir algoritma yeterli değildir; bulgu tipine göre farklı yöntemler birlikte çalışır:

Benford yasası, gerçek finansal verilerde ilk basamak dağılımının öngörülebilir olmasına dayanır: bir rakamın (d) baş basamak olma beklenen olasılığı P(d) = log10(1 + 1/d) ile hesaplanır; yani 1 rakamı yaklaşık %30,1, 9 rakamı ise yalnızca %4,6 sıklıkta beklenir. Gerçek dağılımın bu beklentiden anlamlı sapması (ki-kare testiyle ölçülür) manipülasyon şüphesi için erken bir sinyaldir.

Risk skorlama ve açıklanabilirlik (XAI)

Denetimde bir bulgunun değeri, savunulabilirliği kadardır. Bu yüzden her kayda ağırlıklı bir risk skoru atanır; ilkesel olarak Risk Skoru = 100 × Σ(wᵢ · sᵢ) — burada sᵢ her sinyalin (anomali yoğunluğu, mükerrerlik, uyum ihlali, ilişki riski) 0-1 arası normalize değeri, wᵢ ise denetim politikanıza göre ayarlanan ağırlıktır. SHAP ve LIME gibi açıklanabilirlik yöntemleri, skoru oluşturan etkenleri kayıt bazında gösterir; böylece denetçi "neden riskli?" sorusunu somut gerekçeyle yanıtlar. Kara kutu bir skor, itiraz karşısında savunulamaz — XAI bir lüks değil, denetim kalitesinin şartıdır.

Standart ve mevzuat çerçevesi

Sağlam bir e-denetim programı tanınmış çerçevelere yaslanır: ISA 240 (hile/suistimal sorumluluğu) ve ISA 520 (analitik prosedürler) denetim standartlarını; COSOiç kontrol çerçevesini; IIA iç denetim ilkelerini tanımlar. Türkiye tarafında Sayıştay ve KGK düzenlemeleri, veri güvenliğinde ise ISO/IEC 27001, KVKK ve log saklamada 5651 devreye girer. Şartnamede "ürün adı" yerine bu standartlarla uyum ve yetenek talep etmek, hem rekabeti hem denetlenebilirliği artırır.

Teknik şartnamede dikkat edilecekler

• Yetenek + standart: ISA 520 tam popülasyon testi, Benford analizi, SoD kontrolü ve XAI çıktısı zorunlu madde olmalı.
• Entegrasyon: ERP, e-Fatura/e-Defter, banka ve log kaynaklarına API/konnektör erişimi; salt-okunur bağlantı ile üretim ortamına dokunmama.
• Veri sahipliği ve dışa aktarım: verinin kuruma ait olması, tam dışa aktarım (CSV/Parquet + model çıktıları) ve sözleşme sonunda geri/imha — vendor lock-in önlemi.
• Veri yeri ve mahremiyet: on-premise/yurt içi bulut seçeneği, KVKK uyumu, 5651 kapsamında log saklama, uçtan uca şifreleme ve rol bazlı erişim.
• SLA ve performans: tarama sıklığı, MTTD (anomali tespit süresi), MTTR (bulgudan aksiyona), kabul edilebilir yanlış pozitif oranı ve model doğrulama yöntemi.
• Denetim izi: değişmez (immutable) log, kim-ne-zaman kaydı ve modelin karar gerekçesinin saklanması.

Seçim kriterleri

• Açıklanabilirlik: her bulguya kayıt düzeyinde gerekçe verebiliyor mu? (SHAP/LIME veya eşdeğeri)
• Kapsam ve ölçek: milyonlarca satırı makul sürede işleyebiliyor, artan veriye ölçeklenebiliyor mu?
• Uyarlanabilirlik: kurumun kural ve eşiklerini kod yazmadan tanımlama, geri bildirimle kalibrasyon.
• Güven ve gizlilik: veri kurum sınırında kalabiliyor mu; erişimler ayrıştırılmış mı?
• Bağımsız doğrulama: model performansı (precision/recall) şeffaf mı, referans veriyle test edilebiliyor mu?

Not: Bu sayfadaki oran ve eşik değerleri sektörde sık görülen yaklaşık büyüklüklerdir; gerçek kazanım, verinizin kalitesine, kural olgunluğuna ve model kalibrasyonuna bağlı olarak değişir. Suistimal tespitinin yöntemsel arka planını AI ile dolandırıcılık tespiti rehberimizde veriyle ele alıyoruz.

Denetim veri kaynaklarınızı ve önceliklerinizi birlikte değerlendirip, pilotu mümkün bir e-denetim yol haritası ve şartname taslağı çıkaralım. Aşağıdaki formdan ihtiyacınızı iletmeniz yeterli.