ISO/IEC TS 17012:2024, Uluslararası Standartlar Örgütü (ISO) ve Uluslararası Elektroteknik Komisyonu (IEC) tarafından geliştirilen bir teknik şartnamedir. Kuruluşlarda denetim süreçlerini değerlendirmek ve yönetmek için risk temelli yaklaşımların kullanımı konusunda rehberlik sağlar, özellikle uygunluk değerlendirmesi ve yönetim sistemlerinin denetimi üzerine odaklanır.
TS 17012:2024 belgesinin, iç denetim, üçüncü taraf denetim veya sertifikasyon süreçleri için risk temelli düşünceyi denetim uygulamalarına dahil etmek isteyen kuruluşlar için bir çerçeve görevi görmesi beklenmektedir. Uygunluk değerlendirme dünyası daha dinamik hale geldikçe ve kuruluşların çok sayıda risk türünü (örneğin stratejik, operasyonel, finansal, uyum ve çevresel riskler) yönetmesi gerektiğinden, bu özellikle önemlidir. Özellikle uyum değerlendirmesi (conformity assessment) ve yönetim sistemi denetimi süreçlerinde, denetimlerin daha verimli, etkili ve risk odaklı bir şekilde yapılmasını sağlamak için tasarlanmıştır.
Standart yönetim sistemlerinin denetiminde uzaktan denetim yöntemlerinin kullanımına ilişkin kılavuz sağlar. Yönetim sistemlerinin her türlü iç veya dış denetimini (yani birinci taraf, ikinci taraf ve üçüncü taraf denetimleri) planlayan ve gerçekleştiren tüm kuruluşlar için geçerlidir. ISO 19011:2018’de verilen genel denetim ilkelerini destekler ve uzaktan denetim yöntemlerinin uygulanmasına ilişkin özel koşullar, olanaklar ve sınırlamalar hakkında daha fazla kılavuz sağlar.
Yönetim sistemlerinin denetimi için uzaktan denetim yöntemlerinin kullanılması, yerinde denetim yöntemlerinin yerini alması amaçlanmamıştır. Bunun yerine, uzaktan denetim yöntemleri, denetimin etkili ve verimli bir şekilde yürütülmesi için bir araç olarak kullanılmak üzere tasarlanmıştır.
ISO/IEC TS 17012:2024’ün Amaçları
- Risk Temelli Denetim Yaklaşımlarının Teşviki
- Denetim Süreçlerinin İyileştirilmesi
- Kaynakların Verimli Kullanılması
- İyileştirme ve Gelişmeye Yönelik Destek
- Uyum Değerlendirmesi ve Sertifikasyon Süreçlerinin Desteklenmesi
- Denetim Kalitesinin Artırılması
- Denetim Süreçlerinin Stratejik Hedeflerle Uyumlu Hale Getirilmesi
Standardın İçeriği
- Madde 5 Denetim programının yönetimi (ISO 19011 ile aynı)
- Madde 6 Uzaktan yöntemler kullanılarak denetimlerin gerçekleştirilmesi (ISO 19011 ile aynı)
- Madde 7 Denetçilerin yeterliliği ve değerlendirmesi (ISO 19011 ile aynı)
- Ek A: Uzaktan denetim yöntemleri (ISO/IEC TS 17012’ye özgü)
- Ek B: Yararlı uygulamalar (ISO/IEC TS 17012’ye özgü)
Standardın içeriğine kısa başlıklar halinde değinecek olursak;
Madde 4 Denetim ilkeleri
ISO 19011’deki aynı ilkeler geçerlidir.
Madde 5 Denetim programının yönetimi
- Bir kuruluşun denetim programını hazırlarken dikkate alması gereken hususları belirtir, örneğin riskler ve fırsatlar, bilgi güvenliği ve gizlilik konuları, gerekli bilgiler…
- Bir kuruluşun hedeflerin gerçekleştirilmesine olanak tanıyan, uygun ve kabul edilmiş yöntemleri kullanabilmesi için gerekli koşulları belirtir, uzaktan yöntemlerin kullanım kapsamını belirleme vs…
- Kuruluş, yöntemlerin uygulanabilir olup olmadığını belirlemek için risk ve fırsat değerlendirmesi yapmalıdır. Belge, denetim programı ile ilgili risk ve fırsat örnekleri ve potansiyel etkilerini içeren 2 tablo içermektedir.
- Denetim programlarının oluşturulması, uygulanması, izlenmesi ve gözden geçirilmesi hakkında daha fazla rehberlik eder.
Madde 6 Uzaktan yöntemler kullanarak denetimlerin gerçekleştirilmesi
- Yöntemlerin türü, denetim türüne, amacına ve kapsamına bağlıdır,
- Denetim ekibi ve denetlenen taraf arasında denetimleri başlatmak için gerekli adımları listeler; yöntemler hakkında bilgi alma, uzaktan erişim talebinde bulunma, veri güvenliğini teyit etme gibi…
- Çaba ve/veya kaynakların değiştirilmesinin gerekli olup olmadığını, hatta denetim yöntemlerinde değişikliklere yol açıp açmayacağını belirlemek için dikkate alınması gereken riskler ve fırsatları açıklar,
- Denetimlerin yürütülmesinde, ortaya çıkabilecek riskler ve fırsatlara ilişkin özel hususlar (Ek A),
- Destek personeli, uzaktan yöntemlerin kurulması ve işletilmesini kolaylaştırmak, uzaktan erişim protokollerini yürütmek, kontroller yapmak vb. konularda yardımcı olabilir,
- Özel iletişim kanalı, yedekleme yöntemi gibi ek iletişim ihtiyaçlarını dikkate alınmalıdır,
- Bilgilerin doğrulanmasına ilişkin ek hususları içerir.
Madde 7 Denetçilerin yeterliliği ve değerlendirmesi
- Yeterliliğin belirlenmesinde, yerinde/uzaktan/hibrit yöntemler ve denetim hedeflerine ulaşmadaki belirsizlikler dikkate alınmalıdır,
- Kişisel davranışlar, teknik beceriler ve dijital veri gizliliğine duyarlılık, gizlilik, bilgi güvenliği ve uzaktan denetim teknolojileri ile ilgili bilgi ve beceriler örnek olarak verilebilir,
- Denetçiler, faydalarını ve sınırlamalarını anlamalı, uygunluğu ve riski değerlendirebilmelidir,
- Denetçi değerlendirmesini gerçekleştirirken, gözlemleme teknolojisinin erişilebilirliği ve etkinliği, seçilen değerlendirme yöntemleri ve kullanılan teknolojiler konusunda değerlendiricinin yeterliliği dikkate alınmalıdır,
- Denetçilerin yeterliliğinin sürdürülmesi ve geliştirilmesinde, yeni uzaktan denetim yöntemlerine ve gelişen teknolojilere uyum sağlama becerisi gibi bilgi ve beceriler dikkate alınmalıdır.
Ek A – Uzaktan denetim yöntemleri
Uzaktan yöntemlerin kullanıldığı denetim türleri;
- Tamamen uzaktan
- Hibrit/karma
- Bazı teknolojileri (klasör paylaşımı, ftp sunucuları vb.) ve bazı iyi uygulamaları (iletişim protokolleri, BT desteğine erişimin sağlanması, cep telefonu kullanımının yedeklenmesi vb.
- Denetim için yöntemlerin uygulanmasına ilişkin örnekler: belgelenmiş bilgiler, kuruluşun Dijital İkizi, Vekil Denetçilerin Kullanımı,
- Belge İncelemeleri, Personel Görüşmeleri ve Faaliyetlerin Tanıklığı
Ek B – Yararlı uygulamalar
Genel en iyi uygulamalar,
Soruşturma süreci, denetim ekibinin seçimi ve ICT yöntemleri için denetim programının yönetimi,
Bilgilerin incelenmesi, bilgilerin toplanması ve doğrulanması için denetimin yürütülmesi: açılış toplantısı vb gibi konulara değinir.
ISO/IEC TS 17012:2024’ü Kimler Kullanır?
Yönetim sistemlerinin denetiminde uzaktan yöntemlerin kullanımına ilişkin kılavuzlar sunmaktadır. Yönetim sistemlerinin her türlü iç veya dış denetimini (yani 1., 2. ve 3. taraf denetimleri) planlamak ve yürütmek zorunda olan tüm kuruluşlar için geçerlidir.
- Denetçiler: Yönetim sistemleri, süreçler veya mevzuata uygunluk denetimlerini gerçekleştirmekten sorumlu iç ve dış denetçiler.
- Belgelendirme Kuruluşları: Üçüncü taraf belgelendirme hizmetleri sunan kuruluşlar, kuruluşların yönetim sistemi standartlarına uygunluğunu değerlendirmek için bu yaklaşımı benimseme olasılığı yüksektir.
- Risk Yöneticileri: Risk yönetimi denetim sürecine entegre edildiğinden, risk yönetimi uzmanları bu teknik şartnameyi kuruluşlarındaki denetimleri desteklemek için yararlı bulabilir.
- Uyum Görevlileri: ISO/IEC TS 17012:2024, denetimlerin sadece uyumu doğrulamakla kalmayıp, riskleri de değerlendirmek ve azaltmakla yükümlü olan uyum görevlileri için de yararlı olacaktır.
- Uygunluk Değerlendirme Kuruluşları: Belirli standartlara veya düzenlemelere uygunluğu değerlendiren kuruluşlar, bu belgeyi denetim prosedürlerini ve risk değerlendirmesini iyileştirmek için kullanabilir.
ISO/IEC TS 17012:2024’ün Temel Faydaları
- Denetim Odaklanmasının İyileştirilmesi: Risk temelli bir yaklaşım benimsenerek, denetimler önemli risklerin bulunduğu alanlara veya stratejik hedeflere ulaşmak için kritik öneme sahip alanlara daha fazla odaklanabilir.
- Kaynak Optimizasyonu: Risk temelli denetim, kuruluşların denetim kaynaklarını daha etkili bir şekilde tahsis etmelerine yardımcı olarak, denetim çabalarından en yüksek değeri elde etmelerini sağlar.
- Karar Verme Sürecinin İyileştirilmesi: Yönetim sistemlerindeki risklerin belirlenmesi ve ele alınması, kuruluşların daha iyi ve daha bilinçli kararlar almasına yardımcı olarak, yönetişimin ve operasyonel performansın iyileştirilmesini sağlar.
- Sürekli İyileştirme: Denetimlerin, sistemde dikkat edilmesi gereken boşlukları, verimsizlikleri veya riskleri belirlemesini sağlayarak sürekli iyileştirmeyi destekler ve böylece yönetim sisteminin zaman içinde gelişmesini sağlar.
Sonuç olarak, ISO/IEC TS 17012:2024, risk temelli denetim yaklaşımlarının benimsenmesi yoluyla organizasyonların denetim süreçlerini daha verimli, hedef odaklı ve sürekli gelişim yönünde optimize etmelerini sağlamak amacıyla üretilmiştir. Bu, denetimlerin sadece mevcut uyumu kontrol etmekle kalmayıp, aynı zamanda organizasyonların riskleri daha iyi yönetmesini, iş süreçlerini geliştirmesini ve stratejik hedeflerine ulaşmasını sağlayan bir süreç haline gelmesine yardımcı olur.
