Mevzuat uyum yazılımı nasıl seçilir? Sekiz ölçüt ve bir pilot planı

Önce ihtiyacı adlandırın

Uyum yazılımı üç ayrı işi kapsayabilir:

• İzleme: değişikliği fark etmek.
• Görev: değişikliği işe çevirmek.
• Kanıt: yapılanı göstermek.

Kurumların çoğu üçünü de ister ama bugün en çok hangisinin aksadığını söyleyebilmeli: izleme aksıyorsa kaynak ve güncellik ölçütleri öne çıkar, kanıt aksıyorsa denetim izi ve rapor. Ölçütlerin ağırlığı bu cevaba göre verilir.

Bir de ölçek sorusu var: kaç mevzuat izlenecek, kaç kişi görev alacak, kaç birim ayrı ayrı raporlanacak? Üç mevzuat ve iki kişiyle başlayan bir kurumun ihtiyacı, otuz mevzuat ve beş birimle çalışan bir kurumunkinden farklıdır; ama araç ikincisine büyüyemiyorsa ilkinde de yanlış seçimdir. Seçim, bugünün değil iki yıl sonrasının ölçeğine göre yapılır.

Ölçüt 1: mevzuat kaynağı ve güncellik

Yazılımın izlediği mevzuat nereden geliyor ve ne sıklıkla yenileniyor? Resmî Gazete'yi gün içinde tarayan bir araçla haftalık liste alan bir araç aynı işi yapmaz. Madde düzeyinde mi çalışıyor, yoksa belge düzeyinde mi? Mülga hükümleri işaretliyor mu, maddenin eski hâline ulaşılabiliyor mu?

Sorulacak soru: "Dün Resmî Gazete'de çıkan bir yönetmelik değişikliği sizde ne zaman ve hangi düzeyde göründü?"

Cevap bir saat ve bir madde numarası olmalı.

Takibin mekaniği için Resmî Gazete takibi yazısına bakın.

Ölçüt 2: değişiklikten sorumluya giden zincir

Değişikliği görmek yetmez; o değişiklik kurumun hangi yükümlülüğünü etkiliyor ve kim haberdar olmalı? İyi bir araç değişikliği önce kurumun kendi mevzuat listesine, sonra o mevzuatı izleyen kişiye bağlar. Bildirimin herkese değil, işi yapana gitmesi gerekir; yoksa bildirimler kapatılır ve araç sessizleşir.

Sorulacak soru: "Bir yönetmelik değiştiğinde bildirim kime, hangi kurala göre gidiyor; anlık mı, özet mi?"

Kural açıklanamıyorsa zincir yoktur.

Ölçüt 3: görev, termin ve kanıt

Uyum bir görev listesine dönüşmüyorsa yalnız bilgilendirme yapılmış olur. Araç bir değişiklikten görev üretebiliyor mu; görevin sorumlusu, termini ve bitince eklenecek kanıtı (güncellenen politika, yapılan eğitim, revize sözleşme) var mı? Görev üzerindeki her değişiklik, kim ne zaman ne yaptı diye kayda giriyor mu?

Sorulacak soru: "Altı ay önce kapanan bir görevin kanıtını ve kimin kapattığını şimdi gösterin."

Gösterilemiyorsa denetimde de gösterilemez.

Ölçüt 4: roller, yetki ve dış katılımcı

Uyum işinde herkes her şeyi görmemeli: yönetici özeti görür, sorumlu kendi görevini, denetçi kanıtı. Bazı işler kurum dışındaki birine (tedarikçi, danışman, denetçi) soru sormayı gerektirir; bu kişiye hesap açmadan, yalnız o iş için sınırlı bir erişim verilebiliyor mu?

Sorulacak soru: "Bir tedarikçiye tek bir soru formu gönderip cevabını görev kaydına bağlayabilir miyim, tedarikçi başka hiçbir şeyi görmeden?"

Ölçüt 5: rapor ve denetim izi

Üç okur vardır: yönetim (açık yükümlülük kaç, gecikmiş kaç), sorumlu (benim işlerim), denetçi (şu yükümlülük için ne yapıldı). Araç üçüne ayrı rapor veriyor mu, rapor dışa aktarılabiliyor mu ve rapordaki her satırın arkasında değiştirilemeyen bir aktivite kaydı var mı?

Denetim izinin değeri sonradan anlaşılır: bir yükümlülüğün kim tarafından, ne zaman, hangi kanıtla kapatıldığı sorulduğunda cevap bir kişinin hatırlamasına değil kayda dayanmalıdır. Kayıt sonradan düzenlenebiliyorsa denetçi için değeri yoktur; aracın bunu yapısal olarak engellediğini gösterin isteyin.

Ölçüt 6: veri yerleşimi ve kişisel veriler

Uyum kayıtları kurumun en hassas iç bilgilerini taşır: hangi yükümlülüğün aksadığı, kimin sorumlu olduğu. Veri hangi ülkede tutuluyor, kim erişebiliyor, erişimler günlükleniyor mu, kurum ayrıldığında veri silinip dışa veriliyor mu? Yapay zekâ özelliği varsa sorular nerede işleniyor ve eğitimde kullanılıyor mu?

Sorulacak soru: "Erişim günlüğünü ve veri silme sürecini yazılı olarak gönderin."

Yazılı cevap yoksa süreç de yoktur.

Ölçüt 7: fiyat modeli ve gizli maliyet

Fiyat modelleri farklıdır: kullanıcı başına, paket başına, kurum başına. Asıl soru üç yıl sonraki maliyettir: ekip büyüdüğünde, ikinci bir modül gerektiğinde, yapay zekâ kullanımı arttığında ne ödenir? Kurulum, eğitim ve veri aktarımı fiyata dâhil mi? Kullanılmayan bir koltuk için ödeme sürüyor mu?

Sorulacak soru: "Bugünkü ekibimle ve iki kat büyümüş ekibimle yıllık toplam maliyeti yazın."

İki rakam arasındaki fark modelin kendisini anlatır.

Ölçüt 8: geçiş ve taşınabilirlik

Mevcut yükümlülük listesi ve görev geçmişi araca nasıl taşınacak, kaç gün sürecek? Daha önemlisi tersi: bir gün araçtan ayrılmak istediğinizde kayıtlar hangi biçimde dışa verilecek? Dışa aktarma olmayan bir araç, verinizi rehin tutar.

Otuz günlük pilot

1. Birinci hafta: kurumu bağlayan on mevzuatı ve beş anahtar kelimeyi araca girin; alıcıları tanımlayın.
2. İkinci hafta: gerçek değişiklikleri bekleyin, bildirimin kime ve ne zaman geldiğini not edin.
3. Üçüncü hafta: iki değişikliği göreve çevirin, bir tanesini dış katılımcıyla yürütün, kanıt ekleyin.
4. Dördüncü hafta: yönetici, sorumlu ve denetçi gözüyle üç raporu alın ve dışa aktarın.

Pilotun sonunda sekiz ölçütün her birine bir not verin. Satıcının sunumunu değil, kendi notunuzu kıyaslayın.

Sık yapılan seçim hataları

1. Özellik listesini saymak. On özellik, iki ölçütün karşılanmasından daha az değerlidir.
2. İzleme ile uyumu karıştırmak. Yalnız haber veren bir araç uyum aracı değildir.
3. Pilotu satıcının verisiyle yapmak. Kendi mevzuatınız ve kendi değişiklikleriniz olmadan ölçülen hiçbir şey sizin kurumunuzu anlatmaz.
4. Seçimi tek kişiye bırakmak. Aracı her gün kullanacak sorumlu, raporu okuyacak yönetici ve kanıtı isteyecek denetçi pilotta birlikte olmalıdır; üçünden biri dışarıda kalırsa seçim onun ölçütünü taşımaz.