
# Yapay Zeka ile Öngörücü Uyumluluk Orkestrasyonu – Anket Boşluklarını Gelmeden Önce Tahmin Etmek

SaaS’ın hızlı hareket eden dünyasında, güvenlik anketleri her satış döngüsü, satıcı risk değerlendirmesi ve düzenleyici denetim için de‑fakto kapı bekçisi haline gelmiştir. Geleneksel otomasyon, bir soru sorulduğunda bir bilgi tabanından doğru yanıtı **almak** üzerine odaklanır. Bu “reaktif” model zaman kazandırsa da hâlâ iki kritik sorunu beraberinde getirir:

1. **Kör noktalar** – yanıtlar eksik, eski veya tam olmaktan ötürü ekipler son dakikada kanıt toplamak için telaşlanmak zorunda kalır.  
2. **Reaktif çaba** – ekipler bir anket aldıktan *sonra* tepki verir, önceden hazırlık yapmaz.

Peki, uyumluluk platformunuz bu boşlukları anket kutunuza ulaşmadan **tahmin** edebilse ne olur? İşte bu, **Öngörücü Uyumluluk Orkestrasyonu**nun vaadi—politikaları, kanıt depolarını ve risk sinyallerini sürekli izleyen, ardından gerekli artefaktları proaktif olarak oluşturan ya da yenileyen bir yapay zeka‑güdümlü iş akışıdır.

Bu makalede şunları ele alacağız:

* Öngörücü bir sistemin teknik yapı taşlarını ayrıntılı olarak inceleyeceğiz.  
* **Procurize** gibi mevcut bir platformla nasıl bütünleştirileceğini göstereceğiz.  
* Gerçek dünya ölçütleriyle iş etkisini ortaya koyacağız.  
* Mühendislik ekipleri için adım‑adım bir uygulama kılavuzu sunacağız.

## 1. Neden Tahmin, Getirme İşini Geride Bırakır

| Açıklama | Reaktif Getirme | Öngörücü Orkestrasyon |
|----------|-----------------|-----------------------|
| **Zamanlama** | Yanıt, istek geldikten **sonra** üretilir. | Kanıt, istek **gelmeden** hazırlanır. |
| **Risk** | Yüksek – eksik veya eski veri, uyumluluk hatalarına yol açabilir. | Düşük – sürekli doğrulama, boşlukları erken yakalar. |
| **Çaba** | Anket başına yoğun, sprint‑modu çaba artışı. | Zaman içinde yayılmış, istikrarlı otomatik çaba. |
| **Paydaş güveni** | Karışık – son dakikada yapılan düzeltmeler güveni zedeler. | Yüksek – proaktif, belgelenebilir ve denetlenebilir eylemler. |

Yanıtın *ne zaman* değil de *ne kadar erken* elde edildiği, temel rekabet avantajını oluşturur. Belirli bir kontrolün önümüzdeki 30 gün içinde sorulma olasılığını tahmin ederek platform, o yanıtı önceden doldurabilir, en son kanıtı ekleyebilir ve hatta bir güncelleme ihtiyacını işaretleyebilir.

## 2. Temel Mimari Bileşenler

Aşağıda öngörücü uyumluluk motorunun yüksek seviyeli bir görünümü yer almaktadır. Şema, GoAT yerine tercih edilen Mermaid ile render edilmiştir.

```mermaid
graph TD
    A["Politika ve Kanıt Deposu"] --> B["Değişim Algılayıcı (Diff Motoru)"]
    B --> C["Zaman Serisi Risk Modeli"]
    C --> D["Boşluk Tahmin Motoru"]
    D --> E["Proaktif Kanıt Oluşturucu"]
    E --> F["Orkestrasyon Katmanı (Procurize)"]
    F --> G["Uyumluluk Panosu"]
    H["Harici Sinyaller"] --> C
    I["Kullanıcı Geri Bildirim Döngüsü"] --> D
```

* **Politika ve Kanıt Deposu** – Git, S3, DB gibi merkezileşmiş bir depo, **[SOC 2](https://secureframe.com/hub/soc-2/what-is-soc-2)**, **[ISO 27001](https://www.iso.org/standard/27001)**, **[GDPR](https://gdpr.eu/)** politikaları ve ekran görüntüsü, kayıt, sertifika gibi destekleyici artefaktları barındırır.  
* **Değişim Algılayıcı** – Politikada ya da kanıtlarda herhangi bir değişikliği sürekli fark eden diff motoru.  
* **Zaman Serisi Risk Modeli** – Geçmiş anket verileri üzerinde eğitilir, belirli bir kontrolün yakın gelecekte istenme olasılığını tahmin eder.  
* **Boşluk Tahmin Motoru** – Risk skorlarını değişim sinyalleriyle birleştirerek, güncel kanıtı olmayan “riskli” kontrolleri belirler.  
* **Proaktif Kanıt Oluşturucu** – Retrieval‑Augmented Generation (RAG) kullanarak kanıt anlatılarını taslaklar, sürümlenmiş dosyaları otomatik ekler ve kanıt deposuna geri yazar.  
* **Orkestrasyon Katmanı** – Oluşturulan içeriği Procurize API’si aracılığıyla sunar, böylece bir anket geldiğinde hemen seçilebilir hâle gelir.  
* **Harici Sinyaller** – Tehdit istihbaratı akışları, düzenleyici güncellemeler ve sektör çapındaki denetim trendleri risk modelini zenginleştirir.  
* **Kullanıcı Geri Bildirim Döngüsü** – Analistler otomatik yanıtları doğrular veya düzeltir, bu süpervizyon sinyalleri modeli iyileştirmek için geri besleme olarak kullanılır.

## 3. Veri Temelleri – Tahminin Yakıtı

### 3.1 Tarihsel Anket Korpusu

En az **12 ay** süren yanıtlanmış anket verisi, sağlam bir model eğitmek için zorunludur. Her kayıt şunları içermelidir:

* Soru kimliği (ör. “SOC‑2 CC6.2”)  
* Kontrol kategorisi (erişim kontrolü, şifreleme vb.)  
* Yanıt zaman damgası  
* Kullanılan kanıt sürümü  
* Sonuç (kabul edildi, açıklama istendi, reddedildi)

### 3.2 Kanıt Sürüm Geçmişi

Her artefakt sürüm‑kontrol altında olmalıdır. Git‑benzeri meta veriler (commit hash, yazar, tarih) Diff Motorunun *ne* değiştiğini ve *ne zaman* değiştiğini anlamasını sağlar.

### 3.3 Harici Bağlam

* **Düzenleyici takvimleri** – yaklaşan **[GDPR](https://gdpr.eu/)** güncellemeleri, **[ISO 27001](https://www.iso.org/standard/27001)** revizyonları.  
* **Sektör ihlal uyarıları** – fidye yazılımı patlamaları, olay müdahalesi sorularının artmasına yol açabilir.  
* **Satıcı risk puanları** – talep eden tarafın iç risk derecesi, modeli daha kapsamlı yanıt vermeye yönlendirebilir.

## 4. Öngörücü Motorun İnşası

Aşağıda, hâlihazırda Procurize kullanan bir ekip için tasarlanmış pratik bir yol haritası yer almaktadır.

### 4.1 Sürekli Diff İzleme Kurulumu

```bash
# evidence dizinindeki değişiklikleri algılamak için örnek git diff scripti
while true; do
  git fetch origin main
  changes=$(git diff --name-only origin/main HEAD -- evidence/)
  if [[ -n "$changes" ]]; then
    curl -X POST http://orchestrator.local/diff-event \
      -H "Content-Type: application/json" \
      -d "{\"files\": \"$changes\"}"
  fi
  sleep 300  # her 5 dakikada bir çalıştır
done
```

*Script, kanıt dosyaları değiştiğinde Orkestrasyon Katmanına bir webhook gönderir.*

### 4.2 Zaman Serisi Risk Modelini Eğitme

```python
from prophet import Prophet
import pandas as pd

# tarihsel istek verilerini yükle
df = pd.read_csv('questionnaire_log.csv')
df['ds'] = pd.to_datetime(df['request_date'])
df['y'] = df['request_count']   # bir kontrolün kaç kez sorulduğu

m = Prophet(yearly_seasonality=True, weekly_seasonality=False)
m.fit(df[['ds','y']])

future = m.make_future_dataframe(periods=30)
forecast = m.predict(future)
forecast[['ds','yhat']].tail()
```

*`yhat` çıktısı, önümüzdeki 30 gün içinde her gün için bir olasılık tahmini sunar.*

### 4.3 Boşluk Tahmin Mantığı

```python
def forecast_gaps(risk_forecast, evidences):
    gaps = []
    for control, prob in risk_forecast.items():
        if prob > 0.7:                 # yüksek risk eşiği
            latest = evidences.get_latest_version(control)
            if latest.is_stale(days=30):
                gaps.append(control)
    return gaps
```

Bu fonksiyon, yüksek talep olasılığı olan ve kanıtı eski olan kontrolleri listeler.

### 4.4 RAG ile Otomatik Kanıt Oluşturma

Procurize, bir RAG uç noktasına sahiptir. Örnek istek:

```json
POST /api/v1/rag/generate
{
  "control_id": "CC6.2",
  "evidence_context": ["latest SOC2 audit", "access logs from 2024-09"],
  "temperature": 0.2,
  "max_tokens": 500
}
```

Yanıt, bir markdown kesiti içerir; doğrudan anket yanıtına eklenebilir ve dosya ekleri için yer tutucular barındırır.

### 4.5 Procurize UI’da Orkestrasyon

Yeni bir “**Öngörücü Öneriler**” bölmesi, anket editörüne eklenecek. Kullanıcı yeni bir anket açtığında backend şu çağrıyı yapar:

```bash
GET /api/v1/predictive/suggestions?project_id=12345
```

Dönen örnek JSON:

```json
{
  "suggestions": [
    {
      "control_id": "CC6.2",
      "generated_answer": "Çok faktörlü kimlik doğrulama (MFA) tüm ayrıcalıklı hesaplarda zorunludur…",
      "evidence_id": "evidence-2024-09-15-abcdef",
      "confidence": 0.92
    },
    ...
  ]
}
```

Arayüz, yüksek güvenilirlikli yanıtları vurgular; analist kabul, düzenleme ya da reddetme yapabilir. Her karar, modelin sürekli iyileştirilmesi için kaydedilir.

## 5. İş Etkisini Ölçümleme

| Ölçüt | Öngörücü Motor Öncesi | 6 Ay Sonrası |
|-------|-----------------------|--------------|
| Ortalama anket dönüş süresi | 12 gün | **4 gün** |
| Eski kanıtla cevaplanan soru yüzdesi | %28 | **%5** |
| Çeyrek başına analist fazla mesai saati | 160 saat | **45 saat** |
| Denetim başarısızlık oranı (kanıt eksikliği) | %3.2 | **%0.4** |
| Paydaş memnuniyeti (NPS) | 42 | **71** |

Bu rakamlar, 250 çalışanlı orta ölçekli bir SaaS firmasında yürütülen kontrollü bir pilot çalışmadan elde edilmiştir. Ortalama yanıt süresindeki azalma, ilk yılda **280 bin $** tasarruf anlamına gelmiştir.

## 6. Yönetişim ve Denetlenebilir İz

Öngörücü otomasyon **şeffaf** olmalıdır. Procurize’ın yerleşik denetim günlüğü şu bilgileri yakalar:

* Üretilen yanıt için kullanılan model sürümü.  
* Tahmin zamanı ve ilgili risk skoru.  
* İnsan inceleme eylemleri (kabul/ret, düzenleme farkları).  

CSV/JSON raporları doğrudan denetim dosyalarına eklenebilir; regülatörlerin “açıklanabilir AI” talebine yanıt verir.

## 7. Başlangıç – 4 Haftalık Sprint Planı

| Hafta | Hedef | Çıktı |
|-------|-------|-------|
| 1 | Geçmiş anket ve kanıt deposunu bir veri gölüne aktarma | Normalleştirilmiş CSV + Git‑tabanlı kanıt deposu |
| 2 | Diff‑webhook’u ve temel risk modelini (Prophet) kurma | Çalışan webhook + risk tahmin defteri |
| 3 | Boşluk Tahmin Motoru ve Procurize RAG API entegrasyonu | `/predictive/suggestions` API uç noktası |
| 4 | UI iyileştirmeleri, geribildirim döngüsü, 2 ekiple pilot | “Öngörücü Öneriler” bölmesi, izleme panosu |

Sprint sonrasında, model eşiklerini iyileştirme, harici sinyalleri ekleme ve kapsamı çok‑dilli anketlere genişletme gibi yinelemeler yapılacaktır.

## 8. Gelecek Yönelimler

* **Federated Learning** – Müşteriler arası veri paylaşmadan risk modelleri eğitilir, gizlilik korunur ve doğruluk artar.  
* **Zero‑Knowledge Proofs** – Üçüncü taraf denetçilere kanıtın güncelliğini, içeriği ifşa edilmeden kanıtlayabilir.  
* **Reinforcement Learning** – Model, denetim sonuçlarından alınan ödül sinyalleriyle kanıt oluşturma politikalarını optimize eder.

Öngörücü yaklaşım, güvenlik ekiplerini yangın söndürmekten stratejik risk azaltmaya taşıyarak **proaktif bir uyumluluk kültürü** yaratır.