--- title: "Onay Kutusundaki İnsan: Denetimin Varlığı ile Denetimin İşlemesi Arasındaki Açık" description: "İnsan onayının bir otomatik sürece eklenmesi, riski tek başına ortadan kaldırmaz; onaycı sistemin isabet oranı yükseldikçe bağımsız doğrulamayı bırakıp çıktıyı teyit etmeye geçer. Denetim, ancak onaycıya bağımsız bir bilgi kaynağı, itiraz için zaman ve reddin karşılığında kurumsal koruma sağlandığında gerçek bir kontrol katmanı hâline gelir." url: https://www.beirek.com/tr/blog/human-in-the-loop-complacency canonical: https://www.beirek.com/tr/blog/human-in-the-loop-complacency published: 2025-04-19 modified: 2025-04-19 category: "Örgüt Psikolojisi" category_url: https://www.beirek.com/tr/blog/category/organisational-psychology language: tr-TR reading_time_minutes: 8 publisher: BEIREK LLC publisher_url: https://www.beirek.com license: "© BEIREK LLC — citation with attribution and link permitted" keywords: ["human-in-the-loop complacency","otomasyon yanlılığı","iç kontrol etkinliği","karar yönetişimi","due diligence kontrol testi","kalıntı risk"] topics: ["Otomatik karar sistemlerinde insan onayının etkinliği","İç kontrol mimarisi ve kalıntı risk ölçümü","Due diligence sürecinde kontrol iddialarının doğrulanması"] alternate_language_url: https://www.beirek.com/en/blog/human-in-the-loop-complacency --- # Onay Kutusundaki İnsan: Denetimin Varlığı ile Denetimin İşlemesi Arasındaki Açık > **Kısaca:** İnsan onayının bir otomatik sürece eklenmesi, riski tek başına ortadan kaldırmaz; onaycı sistemin isabet oranı yükseldikçe bağımsız doğrulamayı bırakıp çıktıyı teyit etmeye geçer. Denetim, ancak onaycıya bağımsız bir bilgi kaynağı, itiraz için zaman ve reddin karşılığında kurumsal koruma sağlandığında gerçek bir kontrol katmanı hâline gelir. *Otomatik bir sürecin çıktısına insan onayı eklendiğinde riskin kapandığı varsayılır; oysa onaycı, sistemin doğru çalıştığını gözlemledikçe kendi dikkatini yeniden tahsis eder. Denetimin varlığı ile denetimin işlemesi arasındaki bu açık, kurumsal olarak sözleşme, sigorta ve değerleme yüzeylerinde karşılık üretir.* --- Kredi komitesine gelen bir dosyada, otomatik skorlama çıktısının altında bir analist imzası bulunur; imza, çıktının gözden geçirildiğini ve uygun bulunduğunu beyan eder. Aynı analistin son üç ayda imzaladığı dosyaların tamamında sistemin önerisi ile nihai karar örtüşmüştür. Bu örtüşme iki farklı şeyin işareti olabilir: ya sistem gerçekten isabetlidir ve analist onu doğrulamaktadır, ya da analist sistemin isabetli olduğunu öğrenmiş ve doğrulama işini fiilen bırakmıştır. Dosyanın kendisi bu iki durumu birbirinden ayırt edecek hiçbir bilgi taşımaz; imza her iki hâlde de aynı görünür. Kurumsal risk haritasında ise bu iki durum aynı kutuda, aynı renkte, aynı kalıntı risk seviyesiyle işaretlenmiştir. Aynı örüntü, otomasyondan çok uzak alanlarda da tekrarlar. Bir üretim tesisinde, kalite kontrol istasyonundaki operatörün görevi hattan geçen partiyi gözle taramaktır; hattın hata oranı düştükçe operatörün gerçekten hata bulma olasılığı da düşer, çünkü dikkat, ödül almayan bir arama davranışını uzun süre sürdürecek biçimde kurulmamıştır. Bir finansal raporlama zincirinde, tabloyu hazırlayan ile onaylayan arasındaki mesafe, tablo üst üste birkaç dönem sorunsuz kapandıktan sonra biçimsel bir imza mesafesine iner. Bir tedarikçi ön yeterlilik sürecinde, aynı tedarikçinin altıncı kez geçtiği kontrolde kontrol edilen şey artık tedarikçi değil, önceki kontrolün sonucudur. Bu davranışın adı, otomasyon ve karar destek literatürüne yerleşmiş biçimiyle **human-in-the-loop complacency** — döngüde bir insanın bulunmasının, o insanın fiilen denetim yapmasıyla eş tutulması. Mekanizması iki katmanlıdır. Birincisi dikkat ekonomisidir: denetleyen kişi, denetlediği sistemin geçmiş performansından bir güvenilirlik beklentisi türetir ve kendi bilişsel kaynağını, o beklentinin yüksek olduğu ölçüde başka yerlere tahsis eder. Bu tahsis rasyoneldir; sınırlı dikkatin, hata üretmeyen bir kaynağa harcanması aslında israftır. İkincisi çapa etkisidir: sistem bir sayı, bir skor ya da bir öneri ürettiğinde, insan denetleyicinin bağımsız tahmini artık bağımsız değildir, çıktının etrafında dar bir bant içinde şekillenir. İnsan, gördüğü rakamı doğrulamaz; gördüğü rakamla uyumlu bir gerekçe üretir. Bu eğilimin hata değil, kısayol olduğunu görmek önemlidir. Her çıktıyı sıfırdan yeniden üreten bir denetim katmanı, denetlediği sistemin maliyetini ikiye katlar ve çoğu koşulda ekonomik olarak savunulamaz. Sistem güvenilir olduğu sürece, denetleyicinin kaynağını başka yere kaydırması organizasyonun toplam verimliliğini artırır. Sorun kısayolun kendisinde değil, kısayolun kurulduğu koşul değiştiğinde kısayolun sabit kalmasındadır: girdi dağılımı kaydığında, model yeniden eğitildiğinde, tedarikçi el değiştirdiğinde, mevzuat eşiği değiştiğinde sistemin isabet oranı düşer, fakat denetleyicinin ona duyduğu güven aynı seviyede kalır. Güven, performansı gecikmeli olarak takip eder; ve tam da o gecikme aralığında, denetim katmanının sağlaması beklenen koruma mevcut değildir. Kurumsal karşılığı önce sözleşme yüzeyinde görünür. İnsan onayı içeren süreçler, sorumluluğu sağlayıcıdan alıcıya taşıyan bir yapı kurar; yazılım tedarikçisinin sınırlama maddeleri tipik olarak çıktının nihai kullanımından müşterinin sorumlu olduğunu, çünkü nitelikli bir kullanıcının çıktıyı gözden geçirdiğini varsayar. Bu varsayım gerçekleşmediğinde riskin ekonomik yeri değişmez — sorumluluk hâlâ alıcıdadır — fakat riskin fiilen yönetildiğine dair kabul temelsizdir. Sigorta tarafında da benzer bir asimetri belirir: mesleki sorumluluk poliçelerinin fiyatlaması, beyan edilen kontrol mimarisine dayanır, ve beyan edilen kontrolün işlemediği bir olayda tazminat müzakeresi, poliçe kapsamı tartışmasından önce beyanın doğruluğu tartışmasına döner. İkinci karşılık iç kontrol dokümantasyonunda birikir. Denetim izlerinde onay adımı, tamamlanma oranıyla ölçülür; yüzde yüze yakın tamamlanma, kontrolün sağlıklı işlediğinin göstergesi olarak raporlanır. Oysa aynı kontrolün etkinliğini gösteren tek istatistik, tamamlanma değil, **red oranıdır**. On iki ay boyunca hiçbir çıktıyı reddetmemiş bir onay adımı, ya denetlediği süreç kusursuzdur ya da onay adımı bir kontrol değil bir kayıt işlemidir; ikisi arasındaki farkı ayırt etmeden bu kontrole kalıntı risk azaltımı atfetmek, risk matrisini olduğundan daha iyi gösterir. Bu, iç denetimin bulacağı bir bulgu olmaktan çok, iç denetimin metodolojisinin ürettiği bir kör noktadır. Üçüncü karşılık, satış sürecinde ve değerlemede ortaya çıkar. Otomasyon yoğunluğunu bir değer kaynağı olarak sunan şirketlerde alıcı tarafın due diligence ekibi, sistemin doğruluğunu değil, sistemin yanlış olduğu anda ne olduğunu sorar; ve bu sorunun cevabı belge düzeyinde bulunamadığında değerleme tartışması hızla temsil ve tekeffül kapsamına, kapanış öncesi koşullara ve escrow oranına taşınır. Kurucu ya da kilit teknik personelin "sistem yanlış çıktı verirse ben fark ederim" biçiminde tarif ettiği bir denetim, tanım gereği devredilemez bir denetimdir; alıcı bunu bir kontrol olarak değil, bir kişi bağımlılığı olarak fiyatlar. Bir sürecin kurumsal değeri, kurucudan bağımsız biçimde tekrarlanabilir olduğunun gösterilebilmesine bağlıdır, ve insan onayının kalitesi bu göstergenin en zayıf halkalarından biridir. Bu eğilimin yapısal müdahalesi, denetleyicinin daha dikkatli olmasını istemekten geçmez; dikkat, talep edilerek üretilmeyen bir kaynaktır. Etkili müdahale üç bileşene ayrılır. Birincisi **bilgi bağımsızlığıdır**: onaycıya, denetlediği çıktıdan türetilmemiş en az bir bağımsız veri noktası sağlanır — modelin skoru yanında ham girdi kalemi, tedarikçi raporu yanında saha kaydı, hazırlayanın tablosu yanında kaynak mutabakatı. İkincisi **zaman tahsisidir**: onay adımının süresi, sürecin geri kalanından ayrı ölçülür; onay için ayrılan medyan sürenin bir eşiğin altına inmesi, kontrolün biçimselleştiğinin erken sinyalidir ve bu sinyal ölçülebilir. Üçüncüsü **reddin maliyetsizleştirilmesidir**: bir onaycının çıktıyı reddetmesi takvimi geciktiriyor ve bu gecikme ona ait bir performans göstergesine yazılıyorsa, red davranışı sistematik olarak bastırılır; yetki mimarisi reddi bir kusur değil, bir çıktı olarak kaydetmelidir. Dördüncü bileşen daha az konuşulur fakat en belirleyicidir: **kalibrasyon testi**. Denetim katmanının çalışıp çalışmadığı, ancak sisteme bilinen hatalı çıktılar enjekte edilip bunların yakalanma oranı ölçüldüğünde anlaşılır. Bu, denetleyiciyi sınamak için değil, denetim katmanının kalıntı risk azaltımını sayısallaştırmak için yapılır; ve sonucu, risk matrisindeki kontrol etkinliği puanının ampirik dayanağını oluşturur. Böyle bir test yürütmeyen bir organizasyonda, insan onayı adımına atfedilen risk azaltımı bir varsayımdır, bir ölçüm değil. BEIREK, sermaye-yoğun projelerde yönettiği karar zincirlerinde bu ayrımı belge düzeyinde sabitler. Otomatik ya da model temelli her çıktı için, onay adımının hangi bağımsız girdiye dayandığı, onaycının hangi yetki seviyesinde reddetme hakkı olduğu ve reddin takvim üzerindeki etkisinin kime yazıldığı üçlüsü, süreç haritasında ayrı bir alan olarak tutulur; onay kaydı yalnız "kim, ne zaman" değil, "neye bakarak" bilgisini taşır. Aynı biçimde, onay adımlarının red oranı ve onay için harcanan medyan süre dönemsel olarak izlenir; bu iki gösterge birlikte düştüğünde, ilgili kontrol biçimselleşmiş kabul edilir ve risk kaydında etkinliği yeniden derecelendirilir. Bu disiplinin due diligence ve yatırım komitesi tarafındaki karşılığı, sunulan kontrol mimarisini olduğu gibi kabul etmek yerine test etmektir. Karşı tarafın kontrol listesinde yer alan her insan onayı adımı için, son on iki aylık dönemde kaç kez red verildiği, redlerin gerekçesi ve red sonrası sürecin nasıl işlediği sorulur; cevap alınamayan adımlar risk azaltımı sağlayan kontrol olarak değil, kayıt adımı olarak modellenir ve kalıntı risk buna göre yeniden fiyatlanır. Bu ayrım kapanış öncesi koşulların, escrow oranının ve entegrasyon planındaki ilk doksan günün kapsamını doğrudan etkiler, çünkü satın alınan şeyin bir kontrol mü yoksa bir imza alanı mı olduğu, ancak bu soru sorulduğunda ortaya çıkar. Denetim, bir organizasyon şemasında değil, bir davranışta yaşar; ve o davranışın varlığı, onay kutusunun doldurulmasıyla değil, kutunun en az bir kez boş bırakılabildiğinin gösterilmesiyle kanıtlanır. Hiçbir zaman hayır demeyen bir onay makamının, evet demesi de bilgi taşımaz. ## Ana Noktalar - Sistemin isabet oranı yükseldikçe insan onaycısının bağımsız doğrulama kapasitesi düşer; güvenilirlik ile denetim etkinliği aynı yönde değil, ters yönde hareket eder. - Onay kaydının varlığı bir kontrolün işlediğini göstermez; işleyen kontrolün izi, onay sayısında değil, red ve düzeltme oranının sıfırdan farklı olmasındadır. - İnsan onayı, sorumluluğu sistemden bireye taşıdığı ölçüde kurumsal olarak işlevseldir; bu ise riski azaltmaz, yalnızca sözleşmesel yerini değiştirir. - Denetim ancak onaycının, denetlediği çıktıdan bağımsız ikinci bir bilgi kaynağına, itiraz için yeterli süreye ve reddin kariyer maliyeti taşımadığı bir yetki mimarisine sahip olduğu koşulda çalışır. - Due diligence'ta insan onaylı süreçlerin ayırt edici sorusu kontrolün var olup olmadığı değil, son on iki ayda kaç kez ve hangi gerekçeyle çıktıyı reddettiğidir. ## Sorular ### İnsan onayı eklemek otomatik bir sistemin riskini gerçekten azaltır mı? Yalnızca belirli koşullarda. Onay katmanı, onaycının denetlediği çıktıdan bağımsız bir bilgi kaynağına, değerlendirme için yeterli süreye ve reddetme yetkisine sahip olduğunda risk azaltır. Bu üçü yoksa onay adımı bir kontrol değil, bir kayıt işlemidir; sorumluluğu sağlayıcıdan kuruma taşır fakat hata olasılığını değiştirmez. ### Bir onay adımının biçimselleşip biçimselleşmediği nasıl anlaşılır? İki gösterge birlikte okunur: red oranı ve onay için harcanan medyan süre. Uzun bir dönem boyunca hiçbir çıktının reddedilmediği ve onaya ayrılan sürenin sürekli düştüğü bir adım, denetlediği sürecin kusursuz olduğunu değil, denetimin fiilen bırakıldığını gösterir. Tamamlanma oranı bu ayrımı yapmaz; yüzde yüz tamamlanma her iki durumda da aynı görünür. ### Due diligence sırasında insan onaylı kontroller nasıl test edilir? Kontrolün var olup olmadığı değil, son on iki ayda kaç kez çıktıyı reddettiği sorulur. Redlerin sayısı, gerekçesi ve red sonrası sürecin nasıl işlediği belgeyle gösterilemiyorsa, o adım risk azaltımı sağlayan bir kontrol olarak değil, kayıt adımı olarak modellenir. Bu yeniden sınıflandırma kalıntı riski, escrow oranını ve kapanış öncesi koşulların kapsamını doğrudan etkiler. ### Denetleyicilerin daha dikkatli olması için eğitim vermek işe yarar mı? Dikkat, talep edilerek üretilen bir kaynak değildir; hata üretmeyen bir sürece yöneltilen sürekli arama davranışı, eğitimle değil ancak sürecin yeniden tasarımıyla ayakta tutulur. Etkili müdahale bilgi bağımsızlığı, ayrı ölçülen onay süresi, reddin maliyetsizleştirilmesi ve bilinen hatalı çıktılarla yürütülen periyodik kalibrasyon testinden oluşur. Farkındalık eğitimi bu dördünün yerine geçmez. --- Kaynak: https://www.beirek.com/tr/blog/human-in-the-loop-complacency Yayımlayan: BEIREK LLC — https://www.beirek.com