Özet: Risk odaklı iç denetim süreci ve aşamaları: ISO 19011 rehberliğinde yıllık denetim planı hazırlığı, soru listesi oluşturma, açılış toplantısı, objektif kanıt örneklemesi, bulgu sınıflandırma (Majör/Minör) ve takip denetimi.
Kapsam ve Çerçeve: ISO 19011:2018 Yönetim Sistemleri Denetim Kılavuzu ve ISO 27001 / ISO 9001 Madde 9.2 standartları uyarınca 5 aşamalı iç tetkik yaşam döngüsü.
(Bu metin, proje sahibi tarafından onaylandığı takdirde CMS yönetim panelinde yeni revizyon olarak yayına alınacaktır. Orijinal 2017 tarihli gövde ve SHA-256 bütünlüğü geriye dönük mutabakat için sistemde korunmaktadır.)
Giriş: Planlı ve Disiplinli Bir Denetim Döngüsü
İç denetim, plansız veya rastgele yürütülen bir sohbet faaliyeti değildir. Başarılı bir iç denetim, uluslararası kabul görmüş denetim standartlarına uygun, baştan sona tanımlı ve tekrarlanabilir bir süreç gerektirir.
ISO yönetim sistemlerinde iç tetkik metodolojisinin temel referansı, 27 Mayıs 2026 tarihinde yayımlanan ISO 19011:2026 ve onun tarihsel temelini oluşturan ISO 19011:2018 kılavuzudur. Bu standart kılavuzu, iç denetimi 7 temel ilke üzerine inşa eder (tarihsel ISO 19011:2018 Madde 4):
- Dürüstlük (Integrity): Mesleki ahlak ve tarafsızlık.
- Doğru Sunum (Fair Presentation): Bulguların ve sonuçların gerçeğe uygun, eksiksiz ve açık aktarılması.
- Mesleki Özen (Due Professional Care): Denetimde gereken dikkat ve muhakemenin gösterilmesi.
- Gizlilik (Confidentiality): Elde edilen bilgilerin güvenliğinin korunması.
- Bağımsızlık (Independence): Denetçilerin denetledikleri faaliyetten bağımsız ve tarafsız olması.
- Kanıta Dayalı Yaklaşım (Evidence-Based Approach): Bulguların doğrulanabilir objektif kanıtlara dayanması.
- Risk Temelli Yaklaşım (Risk-Based Approach): Denetimin kuruluş için kritik risk alanlarına odaklanması.
Temel Kavram Ayrımı: Denetim Programı vs. Denetim Planı
Uygulamada sıklıkla karıştırılan iki kavramın ISO 19011 uyarınca netleştirilmesi gerekir:
| Kavram | ISO 19011 Maddesi (Tarihsel 2018 Referansı) | Tanım ve Kapsam | Sorumlu Rol |
|---|---|---|---|
| Denetim Programı (Audit Programme) | Madde 5 | Belirli bir zaman dilimi (genellikle 1 yıl) için planlanan, belirli bir amaca yönelik bir veya birden fazla denetimin bütünüdür. Yıllık takvimi, kaynakları, genel hedefleri ve kurumsal kapsamı belirler. | Denetim Programı Yöneticisi / Kalite veya BGYS Yöneticisi |
| Denetim Planı (Audit Plan) | Madde 6.3.2 | Programdaki tek bir denetim görevinin gün, saat, denetlenecek birim, denetçi ekibi ve incelenecek konular bazında detaylandırılmış saha ajandasıdır. | Baş Tetkikçi / Tetkik Lideri |
ISO 19011 Uyarınca İç Denetim Sürecinin 6 Temel Aşaması
1. Denetimin Başlatılması (Madde 6.2)
- Tetkik liderinin ve tetkik ekibinin atanması.
- Tetkik hedeflerinin, kapsamının ve kriterlerinin belirlenmesi.
- Denetlenen birimle ilk temasın kurulması (tarih ve uygulanabilirlik teyidi).
- Tetkikçilerin tarafsızlığının teyidi: Denetçi kendi çalıştığı veya doğrudan sorumlu olduğu süreci denetleyemez.
2. Denetim Faaliyetlerinin Hazırlanması (Madde 6.3)
- Dokümante Edilmiş Bilgilerin İncelenmesi: Süreç şemaları, prosedürler, politikalar, önceki denetim raporları ve açık aksiyonlar taranır.
- Risk Odaklı Denetim Planının Hazırlanması (Madde 6.3.2): Denetlenecek süreçlerin risk seviyelerine göre süreler ve odak alanları dağıtılır.
- Çalışma Belgelerinin Oluşturulması: Denetçiler soru listeleri (checklist), örnekleme tabloları ve kanıt toplama şablonları hazırlar.
3. Saha Faaliyetlerinin Yürütülmesi (Madde 6.4)
- Açılış Toplantısı: Denetim planının teyidi, yöntemin açıklanması, gizlilik kurallarının aktarılması ve denetlenen tarafla mutabakat.
- Denetim Kanıtlarının Toplanması: Mülakatlar, operasyonel gözlemler, sistem konfigürasyon kontrolleri, log incelemeleri ve örnekleme yoluyla objektif kanıtlar toplanır.
- Bulguların Sentezi: Toplanan kanıtlar (Audit Evidence) belirlenen kriterlerle (Audit Criteria) karşılaştırılarak denetim bulguları (Audit Findings) üretilir (Uygunluk, Uygunsuzluk veya İyileştirme Fırsatı).
- Kapanış Toplantısı: Tespit edilen bulgular denetlenen birim yöneticilerine resmi olarak sunulur; bulguların anlaşılması ve mutabakat sağlanır.
4. Denetim Raporunun Hazırlanması ve Dağıtımı (Madde 6.5)
Denetim raporu net, objektif ve kanıta dayalı olmalıdır. Raporda yer alması gereken asgari unsurlar:
- Denetim hedefleri, kapsamı ve kriterleri.
- Denetlenen birimler, tarih ve denetçi ekibi.
- Tespit edilen olumlu uygulamalar ve güçlü yönler.
- Her bulgu için tespit edilen sapmanın net tanımı, ilgili standart maddesi ve dayanak kanıtı.
- Yönetici özeti ve genel sistemik değerlendirme.
5. Denetimin Resmi Olarak Tamamlanması (Madde 6.6)
Rapor denetim programı yöneticisi ve üst yönetim tarafından onaylandığında ve taraflara resmi olarak dağıtıldığında denetim faaliyeti tamamlanmış kabul edilir.
6. Denetim Takibi ve Düzeltici Faaliyetlerin Doğrulanması (Madde 6.7)
Denetim raporunun teslim edilmesi sürecin sonu değildir; iyileşmenin başlangıcıdır:
- Denetlenen birim, tespit edilen her uygunsuzluk için kök neden değerlendirmesi yapar.
- Kök nedeni ortadan kaldıracak düzeltici faaliyet aksiyon planını ve takvimini belirler.
- İç denetçi, belirlenen süre sonunda aksiyonun uygulanma etkinliğini yerinde veya kanıt üzerinden doğrular (Verification).
- Kritik Kural: İç denetçi düzeltici faaliyeti bizzat uygulamaz; uygulanan faaliyetin etkinliğini tarafsızca değerlendirir.
Başarılı Bir İç Denetim İçin Uygulama İlkeleri
4. Yayın Bağımlılıkları ve İç Bağlantılar
- İç Denetim Kavramsal Çerçevesi: İç denetimin kurumsal yönetimdeki rolü ve IIA Üç Hat Modeli için İç Denetim Nedir, Ne İşe Yarar? makalesini okuyabilirsiniz.
- Denetim Bulguları ve Kök Nedenler: Karşılaşılan tipik denetim uygunsuzlukları için Yaygın İç ve Dış Denetim Bulguları rehberine başvurabilirsiniz.
Sık Sorulan Sorular
İç denetim soru listesi (Checklist) kullanmak şart mıdır?
Standart katı bir form şartı koşmaz ancak ISO 19011 denetçinin zamanı verimli kullanması, kritik kontrol maddelerini atlamaması ve denetim kapsamına sadık kalması için soru listesi hazırlamasını şiddetle tavsiye eder.
Bir iç denetçi kendi departmanını denetleyebilir mi?
Kesinlikle hayır. ISO 19011 ve tüm ISO yönetim sistemleri denetçinin tarafsız ve bağımsız olmasını, kendi işini denetlememesini (objektiflik ilkesi) zorunlu kılar. İK süreçlerini BT veya Finans denetçisi; BT süreçlerini ise Kalite veya Operasyon denetçisi denetlemelidir.
Denetim bulgusuna süreç sahibi itiraz ederse ne yapılır?
Kapanış toplantısının amacı tam olarak bu mutabakatı sağlamaktır. Denetçi bulgusunu objektif kanıtlarla (kayıt, ekran görüntüsü, eksik prosedür) desteklemeli; süreç sahibi ikna olmazsa Baş Denetçinin veya Yönetim Temsilcisinin hakemliğine başvurulmalıdır.
Kaynaklar ve Referanslar
Bu makalede atıfta bulunulan uluslararası standartlar, akreditasyon kılavuzları ve kurumsal çerçeveler:
Yorumlar ve Değerlendirmeler
Bu makale için henüz bir yorum bulunmuyor. Denetim tecrübelerinizi veya aklınıza takılan soruları aşağıdan ilk yorum olarak paylaşabilirsiniz.
Yorum Gönder
Sorularınızı, katkılarınızı veya eleştirilerinizi paylaşabilirsiniz. Yorumlar onaylandıktan sonra yayımlanmaktadır.