Onay Akışları (Approval Workflow) Nasıl Otomatikleştirilir?

İşletmelerde operasyonel darboğazları ortadan kaldırmak, departmanlar arası iletişim kopukluklarını engellemek ve kurumsal kaynakları optimize etmek için onay mekanizmalarının dijital ortama taşınması kritik bir zorunluluktur. Onay Akışları (Approval Workflow) Nasıl Otomatikleştirilir? sorusunun teknik yanıtı; webhook ve API tetikleyicileri kullanılarak insan müdahalesi gerektiren karar noktalarının akıllı, koşullu ve ölçeklenebilir kurallarla harmanlanmasında yatar. Bu rehber; satın alma taleplerinden masraf onaylarına, sözleşme yönetiminden İK izin süreçlerine kadar tüm operasyonel onay akışlarının modern entegrasyon protokolleri ve otomasyon mimarileriyle nasıl uçtan uca tasarlanacağını ele almaktadır.

İş Süreçlerinde Onay Akışı Otomasyonunun Kurumsal Değeri

Kurumsal organizasyonlarda karar alma mekanizmaları genellikle hiyerarşik onay süreçlerine dayanır. Ancak e-posta zincirleri, ıslak imzalı formlar veya anlık mesajlaşma uygulamaları üzerinden yürütülen geleneksel onay adımları, şirketlerin büyüme evresinde ciddi operasyonel sürtünmelere (friction) neden olur. Manuel yürütülen onay süreçlerinde taleplerin kimde beklediği, sürecin ne zaman tıkandığı ve karar verme parametrelerinin hangi kriterlere dayandığı şeffaf biçimde takip edilemez. Bu durum, sadece zaman kaybına yol açmakla kalmaz, aynı zamanda şirket içi uyumluluk ve denetlenebilirlik (auditability) standartlarını da zedeler.

Modern bir kurumsal yapıda onay akışı otomasyonu, süreçleri kişilerin inisiyatifinden ve hafızasından kurtarıp merkezi, kural tabanlı bir mantık dizgisine dönüştürür. İş akışı motorları (workflow engines) ve entegrasyon katmanları sayesinde oluşturulan bu sistemler; her bir talebin ilgili karar vericiye anında iletilmesini, gerekli ek dokümanların doğrulanmasını ve tanımlanan zaman sınırları (SLA) dahilinde karara bağlanmasını garanti altına alır. Böylece kurumsal operasyonlar, çalışanların fiziksel mevcudiyetinden veya anlık e-posta trafiğinden bağımsız olarak kesintisiz bir biçimde işlemeye devam eder.

İş Gücü Maliyetlerinde Azalma ve Verimlilik Artışı

Geleneksel onay süreçlerinin gizli maliyeti, çalışanların doğrudan değer üretmeyen operasyonel takipler için harcadığı mesaide saklıdır. Bir satın alma faturasının muhasebe, departman yöneticisi ve finans direktörü arasında dolaşması ortalama 4 ila 7 iş günü sürerken, bu süre zarfında harcanan e-posta trafiği, telefon aramaları ve durum sorgulamaları haftalık onlarca saatlik iş gücü israfı yaratır. Otomasyon mimarileri devreye girdiğinde, talepler önceden tanımlanmış iş kuralları (business rules) doğrultusunda saniyeler içinde ilgili yöneticinin ekranına bildirim veya aksiyon butonu olarak düşer.

Manuel veri girişi sırasında yapılan hataların düzeltilmesi, işletmelere hatalı ödeme veya mükerrer sipariş gibi doğrudan finansal riskler olarak geri döner. Otomatikleştirilmiş onay mekanizmaları, veri doğrulamasını (data validation) sürecin en başında gerçekleştirir. Örneğin, bütçe aşımı içeren bir satın alma talebi daha onaylayıcıya ulaşmadan sistem tarafından tespit edilir ve talep sahibine gerekli revizyon uyarısı anında iletilir. Bu sayede yöneticiler, verilerin doğruluğunu teyit etmekle vakit kaybetmek yerine doğrudan stratejik karar alma sürecine odaklanabilir.

Operasyonel Karar Alma Süreçlerinin Hızlanması

İş dünyasında pazar dinamiklerine hızlı yanıt verebilmek, doğrudan onay mekanizmalarının çevikliğine bağlıdır. Bir sözleşmenin hukuk departmanından geçmesi, acil bir sunucu altyapı genişletme talebinin onaylanması veya kritik bir müşteri iade talebinin işleme alınması geciktiğinde, doğrudan ciro ve müşteri memnuniyeti kaybı yaşanır. Otomatik onay sistemleri, karar vericilerin kurumsal ERP sistemlerine veya masaüstü bilgisayarlarına bağımlı kalmadan; Slack, Microsoft Teams, e-posta içi aksiyon butonları (Actionable Messages) veya mobil arayüzler üzerinden tek tıkla karar vermesini mümkün kılar.

Bu hızlanma, işletmenin tedarik zincirinden insan kaynakları operasyonlarına kadar her aşamada dalga etkisi yaratır. Tedarikçilere yapılan ödeme onaylarının hızlanması nakit akışı iskontolarından faydalanmayı sağlarken, yeni işe alım veya donanım tahsis onaylarının dakikalar içinde tamamlanması yeni personelin oryantasyon süresini kısaltır. Karar alma mekanizmalarının standartlaşması, organizasyonun büyüme aşamalarında operasyonel kadroları doğrusal olarak artırma ihtiyacını ortadan kaldırır.

Webhook ve API Tetikleyicileri ile Süreç Yapılandırması

Onay akışlarının modern yazılım ekosistemlerinde hatasız çalışabilmesi, arka planda kurulu olan olay odaklı (event-driven) mimarinin sağlamlığına bağlıdır. Bir ERP, CRM veya İK platformunda başlayan bir eylemin harici onay araçlarına (örneğin bir mesajlaşma platformu veya özel iş akışı motoru) aktarılması, sistemlerin birbirleriyle gerçek zamanlı iletişim kurabilmesini gerektirir. Burada en temel iki teknolojik yapı taşı Webhook mekanizmaları ve RESTful API uç noktalarıdır (endpoints).

Geleneksel polling (düzenli aralıklarla sorgulama yapma) yöntemleri, sunucular üzerinde gereksiz işlemci yükü ve API limit aşımı (rate limiting) sorunları yaratır. Buna karşılık Webhook mimarisi, kaynak sistemde belirli bir olay (örneğin "yeni harcama formu gönderildi" durumu) gerçekleştiği anda hedef sisteme HTTP POST isteği göndererek anlık tetikleme sağlar. Bu yaklaşım, sistemler arasındaki gecikmeyi (latency) milisaniyeler seviyesine indirerek onay mekanizmasının anında çalışmaya başlamasını mümkün kılar.

Webhook Kullanarak Gerçek Zamanlı (Real-Time) Tetikleyiciler Oluşturma

Webhook kurulumlarında ilk adım, kaynak uygulamanın ilgili olaya ait yükü (payload) JSON formatında hedef URL'ye gönderecek şekilde yapılandırılmasıdır. Gönderilen bu JSON verisi; talep sahibinin kimliği, tutar, departman kodu, ekli dosya URL'leri ve talep türü gibi onay için kritik tüm parametreleri barındırır. Güvenli bir akış kurabilmek adına, alıcı uç noktada (endpoint) HMAC (Hash-based Message Authentication Code) imzası veya gizli anahtar (secret token) doğrulaması yapılarak gelen verinin kaynağının teyit edilmesi zorunludur.

Tetikleyici mekanizmasının dayanıklı (resilient) olabilmesi için yükün büyüklüğü ve biçimi standardize edilmelidir. Webhook alıcısı, gelen isteği aldıktan hemen sonra 200 OK yanıtı dönmeli ve ağır iş mantığı operasyonlarını arka plan kuyruklarına (message queue) aktarmalıdır. Aksi takdirde, kaynak sistem zaman aşımı (timeout) hatası alarak aynı Webhook yükünü tekrar gönderebilir ve sistemde mükerrer onay taleplerinin oluşmasına sebebiyet verebilir.

{
  "event": "expense_request.created",
  "timestamp": "2026-08-27T10:15:30Z",
  "request_id": "EXP-98421",
  "user": {
    "id": "usr_550e8400",
    "email": "[email protected]",
    "department": "Engineering"
  },
  "financials": {
    "amount": 14500.00,
    "currency": "TRY",
    "category": "Cloud Infrastructure",
    "cost_center": "CC-102"
  },
  "metadata": {
    "receipt_url": "https://vault.sirket.com/receipts/exp98421.pdf",
    "approval_tier": "tier_2"
  }
}

RESTful API'ler ile Çift Yönlü Veri İletişimi ve Entegrasyon

Webhook onay sürecini tetikleyen tek yönlü bir bildirim sağlarken, kararın sisteme geri yazılması ve ek verilerin çekilmesi RESTful API çağrıları üzerinden yürütülür. Onaylayıcı arayüzde "Onayla" veya "Reddet" butonuna bastığında, iş akışı motoru ilgili ERP veya veritabanı sisteminin REST API uç noktasına bir POST veya PUT isteği gönderir. Bu istekte onaylayan kişinin kimliği, onay zaman damgası ve varsa ret açıklaması yer alır.

Çift yönlü entegrasyonda API yetkilendirme standartları kritik rol oynar. OAuth 2.0 veya Bearer Token mimarileri kullanılarak sistemlerin minimum yetki prensibiyle (Least Privilege) haberleşmesi sağlanır. Örneğin, sadece harcama kaydını güncellemeye yetkili bir API anahtarının diğer finansal tablolara erişimi engellenmelidir. Ayrıca, API yanıt kodlarının (200 Success, 400 Bad Request, 401 Unauthorized, 429 Too Many Requests, 500 Internal Server Error) iş akışı motoru tarafından doğru yakalanması ve beklenmeyen durumlarda alternatif akışların devreye sokulması gerekir.

Adım Adım Kurumsal Onay Akışı (Approval Workflow) Kurulumu

Kurumsal bir onay akışını başarıyla otomatikleştirmek, doğrudan yazılım kodlamasına veya araç seçimine geçmeden önce sistematik bir planlama gerektirir. Organizasyon içindeki yetki matrislerinin eksik tanımlanması veya istisnai senaryoların hesaba katılmaması, en gelişmiş yazılımların dahi işlevsiz kalmasına neden olur. Sağlam bir otomasyon mimarisi; iş analizi, teknik entegrasyon ve koşullu mantık yapılandırması olmak üzere üç ana aşamadan oluşur.

Uygulama sürecinde Make, n8n, Zapier gibi low-code/no-code entegrasyon platformları kullanılabileceği gibi; kurumsal ölçekte Camunda, Temporal veya AWS Step Functions gibi orkestrasyon motorları da tercih edilebilir. Kullanılan teknoloji yığınından bağımsız olarak, tasarımın modüler ve bakımının yapılabilir (maintainable) olması esastır. Değişen şirket organizasyon şemaları ve harcama limitleri, ana sistem kodunu değiştirmeden konfigürasyonel olarak güncellenebilmelidir.

1. Mevcut Sürecin Analizi ve İş Kurallarının Belirlenmesi

Otomasyonun ilk adımı, dijitalleştirilecek sürecin tüm paydaşlarıyla haritalandırılmasıdır. Süreçte yer alan departmanlar, her aşamada toplanması gereken asgari veriler ve onay/ret durumunda tetiklenecek ikincil süreçler belirlenmelidir. Bu aşamada "Kim, hangi şart altında, ne kadarlık yetkiye sahip?" sorusunun yanıtı netleştirilir. Çoğu kurumda yazılı olmayan ancak fiilen uygulanan "gölge onaylar" bu analiz aşamasında tespit edilerek resmi kural setine dahil edilmelidir.

İş kuralları tanımlanırken sınır değerler (thresholds) açıkça yazılmalıdır. Örneğin; 5.000 TL altındaki satın almalar için yalnızca birim yöneticisi onayı yeterliyken, 50.000 TL üzerindeki alımlarda finans direktörü ve genel müdür onayının zorunlu kılınması gibi kurallar belirlenir. Bu kuralların netliği, otomasyon aracında oluşturulacak koşullu filtrelerin temelini teşkil eder.

2. Doğru Tetikleyicilerin (Triggers) ve Aksiyonların Tanımlanması

İkinci aşamada, sürecin hangi kaynaktan ve nasıl başlayacağı teknik olarak yapılandırılır. Tetikleyici; bir Google Forms/Typeform yanıtı, Jira Service Management bileti, HubSpot anlaşma durumu değişikliği veya SAP üzerindeki bir satın alma talebi olabilir. Kaynak sistemdeki tetikleyiciye karşılık gelen Webhook URL'si bağlanır ve veri eşleme (data mapping) adımı gerçekleştirilir.

Veri eşleme sırasında, kaynak sistemden gelen ham alanların hedef onay sistemindeki değişkenlerle tam olarak örtüşmesi sağlanır. Örneğin kaynak sistemdeki employee_id alanı, kurumsal yetki veritabanındaki manager_id ile eşleştirilir. Bu aşamada veri tiplerinin (string, integer, boolean) doğruluğu test edilerek tip uyuşmazlığı kaynaklı kesintilerin önüne geçilir.

3. Çok Seviyeli ve Koşullu Yönlendirme (Routing) Ayarları

Onay akışlarının en karmaşık katmanı, çok seviyeli (multi-tier) ve koşullu yönlendirme mantıklarıdır. Talepler her zaman doğrusal bir hat izlemez; departman, bütçe büyüklüğü, proje tipi veya aciliyet durumuna göre farklı onaylayıcılara dallanabilir. Koşullu mantık mimarisi, if/else blokları veya kural tabloları (decision tables) üzerinden yapılandırılarak her senaryoya dinamik yanıt verir.

Paralel ve ardışık onay yapıları bu aşamada kurgulanır. Bazı süreçlerde İK ve Bilgi İşlem departmanlarının eş zamanlı onayı (paralel) gerekirken, bazı süreçlerde Finans onayının ancak Departman Müdürü onay verdikten sonra (ardışık) devreye girmesi gerekir. Ayrıca onaylayıcının belirli bir süre içinde yanıt vermemesi durumunda talebin bir üst yöneticiye eskalasyonunu (escalation) sağlayan zamanlayıcı (timer) mantıkları sisteme entegre edilmelidir.

Kurumsal Sistemlerle (ERP, CRM, İK) Entegrasyon Mimarileri

Kurumsal ölçekteki şirketlerde onay akışları hiçbir zaman izole sistemlerde çalışmaz. Sürecin başarısı, kullanılan onay motorunun şirketin ana omurgasını oluşturan ERP (SAP, Oracle, Microsoft Dynamics), CRM (Salesforce, HubSpot) ve İK (Workday, BambooHR) yazılımlarıyla ne kadar derin entegre olduğuna bağlıdır. Her sistem kendi veri modeline ve API kısıtlamalarına sahip olduğundan, entegrasyon mimarisi bir ara katman yazılımı (middleware) veya iPaaS platformu üzerinden organize edilmelidir.

Entegrasyon katmanı, farklı sistemlerin anlayabileceği veri dönüşümlerini (transformation) üstlenir. Örneğin, bir CRM sistemindeki "Özel İskonto Onayı" tamamlandığında, onay durumu anında faturalandırma modülüne iletilmeli ve ERP'de sipariş kaydı otomatik olarak onaylı statüsüne çekilmelidir. Bu süreçte sistemler arası veri tutarlılığını (data consistency) korumak için iki fazlı taahhüt (two-phase commit) veya Saga deseni (Saga pattern) gibi mimari yaklaşımlar tercih edilir.

ERP ve Finans Entegrasyonlarında Bütçe Kontrolü

Satın alma ve harcama onaylarında en kritik adım, talebin mevcut bütçeyle anlık olarak doğrulanmasıdır. Onay akışı motoru, onaylayıcıya bildirim göndermeden önce ERP sisteminin bütçe API'sini sorgulayarak ilgili maliyet merkezinde (cost center) yeterli bakiye olup olmadığını kontrol eder. Bütçe aşımı durumunda talep otomatik olarak ek bütçe onay rotasına yönlendirilir.

Finansal entegrasyonlarda sistemlerin çift yönlü güvenliği en üst düzeyde tutulmalıdır. Onay mekanizması yalnızca yetkili işlem kodları (transaction codes) üzerinden ERP'ye kayıt yazmalıdır. Bu sayede, denetimlerde her bir muhasebe kaydının arkasında hangi yöneticinin onay verdiği, IP adresi, zaman damgası ve onay gerekçesiyle birlikte net olarak raporlanabilir.

İletişim Platformları Üzerinden Etkileşimli (Interactive) Onaylar

Kullanıcı deneyimini artırmanın en etkili yolu, onay mekanizmalarını yöneticilerin günlük olarak en çok kullandığı platformlara taşımaktır. Slack Interactive Messages, Microsoft Teams Adaptive Cards veya Apple/Google Actionable E-mails entegrasyonları sayesinde, onaylayıcıların harici bir portala giriş yapmasına gerek kalmaz.

Bu etkileşimli kartlar, taleple ilgili tüm özet bilgiyi (tutar, talep sahibi, departman, ek dosya önizlemesi) doğrudan mesaj gövdesinde sunar. Yönetici, kart üzerindeki "Onayla" veya "Reddet" butonuna tıkladığında arka plandaki Webhook uç noktasına anlık bir istek gönderilir ve kartın görünümü "Onaylandı" olarak dinamik olarak güncellenir. Bu yöntem, onay döngü sürelerini günlerden dakikalara indiren en temel faktörlerden biridir.

Çok Katmanlı Onay Süreçlerinde SLA ve Eskalasyon Yönetimi

Otomasyonun getirdiği en büyük avantajlardan biri, süreçlerin askıda kalmasını (stalled workflows) önleyecek denetim mekanizmalarını bünyesinde barındırmasıdır. Manuel süreçlerde bir yöneticinin izne çıkması, yoğunluğu veya e-postayı gözden kaçırması durumunda talep günlerce cevapsız kalabilir. Çok katmanlı onay akışlarında Hizmet Düzeyi Anlaşmaları (SLA) tanımlanarak her karar aşaması için kesin zaman kısıtları konulmalıdır.

SLA yönetimi, zamana dayalı tetikleyiciler (time-based triggers) ve cron job mantıklarıyla işletilir. Bir talep onaylayıcıya ulaştığı andan itibaren geri sayım sayacı başlar. Belirlenen sürenin belirli bir yüzdesi (örneğin %50'si) aşıldığında onaylayıcıya nazik bir hatırlatma (reminder) gönderilirken, sürenin tamamı dolduğunda otomatik eskalasyon protokolü devreye girer.

Dinamik Eskalasyon ve Vekalet Mekanizmaları

Eskalasyon senaryoları tasarlanırken iki temel yöntem izlenir: Hiyerarşik eskalasyon ve yatay vekalet devri. Hiyerarşik eskalasyonda, süresi içinde onaylanmayan talep doğrudan onaylayıcının bir üst amirine iletilir. Yatay vekalet devrinde ise yöneticinin İK sisteminde kayıtlı olan resmi vekiline (deputy/delegate) onay yetkisi geçici olarak devredilir.

Vekalet süreçlerinin suistimal edilmesini veya yetkisiz onayları önlemek amacıyla, sistemdeki tüm devir işlemleri dijital kayıt altına alınmalıdır. İK sistemindeki izin takvimleriyle entegre çalışan akıllı otomasyonlar, bir yöneticinin izinli olduğu günlerde gelen talepleri doğrudan vekiline yönlendirerek SLA süresinin dolmasını beklemeden süreci başlatabilir. Bu proaktif yaklaşım, iş sürekliliğini maksimum düzeyde korur.

Darboğaz Analizi ve Süreç İyileştirme Metrikleri

Onay akışlarının otomasyonu, yöneticilere süreç performansını ölçümlemek için zengin bir veri seti sunar. Her bir onay adımının ne kadar sürdüğü, hangi departmanların talepleri geciktirdiği ve hangi tür taleplerin daha fazla revizyon gerektirdiği merkezi gösterge panellerinde (dashboard) toplanır. Bu metrikler, süreç madenciliği (process mining) ve sürekli iyileştirme (continuous improvement) çalışmaları için nesnel veriler sağlar.

Elde edilen veriler doğrultusunda kurumlar, gereksiz onay katmanlarını eleyebilir. Örneğin veriler, 10.000 TL altındaki harcamaların %99.8 oranında onaylandığını ve hiçbir usulsüzlük içermediğini gösteriyorsa; yönetim kurulu kararıyla bu limit altındaki talepler için onay zorunluluğu tamamen kaldırılarak sadece "bilgilendirme" moduna geçilebilir. Bu sayede yönetimsel efor gerçekten risk taşıyan yüksek tutarlı işlemlere yönlendirilir.

Otomasyon Sürecinde Dikkat Edilmesi Gereken Kritik Riskler

Onay akışlarının otomatikleştirilmesi büyük bir hız ve verimlilik sağlarken, beraberinde dikkatle yönetilmesi gereken teknik ve operasyonel riskler getirir. Yanlış yapılandırılmış bir tetikleyici binlerce hatalı onay talebinin tetiklenmesine yol açabilirken, yetersiz güvenlik protokolleri kurumsal verilerin dışarı sızmasına veya yetkisiz finansal onayların verilmesine neden olabilir. Bu nedenle sistem mimarisi tasarlanırken sıfır güven (Zero Trust) ve hata toleransı (fault tolerance) ilkeleri benimsenmelidir.

Sistemik risklerin başında, entegre çalışan harici servislerin (API sağlayıcıları, mesajlaşma araçları veya veritabanları) kesintiye uğraması gelir. Bir onay işlemi sırasında üçüncü parti bir servis 503 Service Unavailable yanıtı döndüğünde, akışın tamamen çökmesi veya verinin kaybolması engellenmelidir. Bu durumlar için dayanıklı hata yakalama (error handling) ve yeniden deneme (retry) algoritmaları kurgulanmalıdır.

Yetki İhlalleri ve Uç Nokta (Endpoint) Veri Güvenliği

Onay sistemlerinde kullanılan Webhook uç noktaları, internete açık genel ağ üzerinde bulunuyorsa doğrudan bir saldırı vektörü haline gelebilir. Kötü niyetli aktörlerin sahte Webhook yükleri göndererek yetkisiz bir faturayı veya izin talebini onaylatmasını engellemek için tüm gelen istekler kriptografik olarak doğrulanmalıdır. HMAC-SHA256 imzası, gelen isteğin gövdesi ve paylaşılan gizli anahtar kullanılarak hesaplanmalı; kaynaktan gelen imza ile eşleşmeyen hiçbir istek işleme alınmamalıdır.

Veri gizliliği (KVKK ve GDPR) açısından, onay akışları üzerinden taşınan hassas kişisel veriler (sağlık raporları, çalışan maaş bilgileri, kimlik numaraları) şifrelenmeli (encryption in transit and at rest) ve gereksiz alanlar mesajlaşma arayüzlerinde maskelenmelidir. Örneğin, Slack veya Teams kanalına düşen bir onay kartında çalışanın sağlık gerekçesinin detayları değil, yalnızca "Sağlık İzni Talebi" kategorisi gösterilmeli; detaylı bilgiye yalnızca yetkili portal üzerinden güvenli oturum açılarak erişilebilmelidir.

Sistem Kesintileri, Kuyruk Yönetimi ve Idempotency

Otomasyon mimarisinde aynı işlemin ağ gecikmeleri veya yeniden deneme mekanizmaları nedeniyle birden fazla kez çalıştırılması (duplicate execution) riski mevcuttur. Örneğin bir yönetici onay butonuna bastığında ağda yaşanan anlık bir gecikme nedeniyle istek iki kez gönderilirse, sistemin mükerrer ödeme veya işlem üretmemesi gerekir. Bu durum, "Idempotent" API tasarımı ile çözülür. Her onay talebine benzersiz bir idempotency_key atanır; sistem aynı anahtara sahip ikinci bir istek aldığında işlemi tekrarlamak yerine önceki başarılı sonucun yanıtını döner.

Yüksek hacimli işlem trafiğine sahip kurumlarda, API çağrıları doğrudan arka plan servislerine değil, RabbitMQ, Apache Kafka veya AWS SQS gibi bir mesaj kuyruğuna (message queue) yönlendirilmelidir. Bu sayede hedef ERP sistemi bakımda olsa veya anlık yoğunluk yaşasa dahi onay talepleri kuyrukta güvenle bekletilir ve sistem normale döndüğünde sırayla işlenir (exponential backoff stratejisi ile).