Doğrudan cevap
Denetimin kapsamı, yöntemi ve karar kuralları işe başlamadan önce kaydedilmelidir. Ham kanıt ulaşılabilir olmalıdır. Başka bir yetkin denetçi aynı kayıtlarla sonucu sınayabilmelidir. Denetçi kendi yaptığı işi tek başına onaylamamalı ve sonucu değiştirme baskısından korunmalıdır. Ücret, sahiplik, akrabalık, yönetim bağı veya başarı hedefi gibi çıkar ilişkileri açıkça yazılmalıdır. Çıkar çatışması her zaman denetimi geçersiz kılmaz; gizlenmesi veya yönetilmemesi güveni bozar.
Sade dille
Bir aşçının kendi yemeğine puan vermesi iç kontrol olabilir; bağımsız restoran incelemesi değildir. Başka bir çalışan puan verirse adı farklıdır, fakat patronun “düşük puan verme” baskısı sürüyorsa gerçek bağımsızlık oluşmaz.
Neden önemli?
Yöntemi kuran, düzeltmeyi yapan ve sonucu başarı ilan eden aynı karar zincirindeyse hatalar görünmez kalabilir. Kanıt ve tekrar yolu yoksa “bağımsız denetim” yalnız güven veren bir etiket hâline gelir.
Karıştırma
- İç kontrol, kuruluşun kendi sürecini izlemesidir ve bağımsız üçüncü taraf denetimi değildir.
- İkinci taraf inceleme, müşteri, ortak veya sözleşme tarafının yaptığı değerlendirmedir.
- Bağımsız üçüncü taraf denetim, yeterli ve çatışmaları yönetilmiş dış değerlendirici gerektirir.
- Akademik doğrulama, yöntem ve bulguların araştırma süreci içinde incelenmesidir; otomatik sertifikasyon değildir.
- Tekrarlanabilirlik aynı ekibin aynı yöntemle; yeniden üretilebilirlik yeterli başka ekibin kayıtlı kanıtla sonucu sınamasına odaklanır.
Ne yapmalısın?
- Denetim kapsamını, kabul kapılarını, istisnaları ve karar sahibini çalışmadan önce kaydedin.
- Denetçi yetkinliğini görevle eşleştirin; hukuk, güvenlik veya istatistik gerekiyorsa ilgili uzmanı ekleyin.
- Mali, örgütsel, kişisel, fikrî ve performansla ilgili çıkarları yazılı olarak beyan edin.
- Düzeltmeyi yapan kişi ile kritik kapanış kararını veren kişiyi mümkün olduğunda ayırın.
- Ham cevap, Truth Pack, soru kayıt kümesi, sürüm, olay kaydı ve puanlama gerekçesine kontrollü erişim sağlayın.
- Yeterli başka bir denetçinin seçili örnekleri kör veya bağımsız biçimde yeniden puanlamasını sağlayın.
- Yöntem sapmalarını, erişilemeyen kanıtları ve çözülemeyen görüş ayrılıklarını nihai raporda açıklayın.
Nasıl denetlersin?
- Denetçi kendi tasarımını veya düzeltmesini tek başına onaylıyor mu?
- Yetkinlik ve uzmanlık denetlenen risklerle uyumlu mu?
- Çıkar ilişkileri beyan edilmiş ve yönetilmiş mi?
- Kapsam ve karar kuralları sonuçlar görüldükten sonra değiştirilmiş mi?
- Ham kanıt ve puanlama gerekçesi yeterli tekrar incelemesine açık mı?
- İkinci denetçi seçili sonuçları makul ölçüde yeniden üretebiliyor mu?
- Sınırlamalar gizlenerek “bağımsız” veya “doğrulanmış” etiketi kullanılmış mı?
Sınır
Kapalı üçüncü taraf sistemlerde aynı model durumu, eğitim verisi veya sağlayıcı altyapısı bütünüyle yeniden üretilemeyebilir. Bu durumda denetim, erişebildiği kanıtı ve yeniden üretim sınırını açıklar; bağımsızlık veya akademik doğrulama etiketi resmî akreditasyon anlamına gelmez.
Tek cümlede hatırla
Bağımsızlık bir unvan değil, kanıtlanabilir bir çalışma koşuludur.
Bu kaydın kaynakları
- S26NIST SP 800-53 Rev. 5, *Security and Privacy Controls*Standart
- S35W3C, *PROV-O: The PROV Ontology*Standart
- S38NIST AI 600-1, *Artificial Intelligence Risk Management Framework: Generative Artificial Intelligence Profile*Standart niteliğinde gönüllü kurum rehberi
- S44NIST, *AI Risk Management Framework Playbook* ve AI RMF CoreGönüllü uygulama rehberi
- S50NIST AI 100-1, *Artificial Intelligence Risk Management Framework (AI RMF 1.0)*Standart niteliğinde gönüllü kurum çerçevesi
- S52NIST CSWP 31, *Proxy Validation and Verification for Critical AI Systems: A Proxy Design Process*Resmî kurum teknik beyaz kitabı