İç denetim döngüsü

ISO/IEC 27001 sertifikası isteyen bir kurum, kendi kurallarına uyup uymadığını düzenli aralıklarla kendisi kontrol eder. Standardın 9.2 maddesi bunu iç denetim adıyla ister; Türkçe standart metni aynı faaliyete iç tetkik der. Altay Kargo'nun ilk sertifikasyon denetimine altı ay kaldı.

Dış denetçi birinci aşamada iç denetim raporunu da okuyacak. Bu derste o turu baştan sona yürüteceksin. Önce denetimi yetkilendiren tüzüğü ve denetim programını göreceksin. Sonra denetçinin neden bağımsız olması gerektiğini ve bunun nasıl ölçüldüğünü öğreneceksin.

Saha aşamasında kanıt toplama yollarını tanıyacaksın. Ardından ayrılan personelin hesaplarını bir komut zinciriyle denetleyeceksin. En sonda bulguyu yazıp rapora ve takibe bağlayacaksın.

İç denetim bir kişinin iyi niyetine bırakılmaz, yazılı bir yetkiye dayanır. Bu yetki belgesine denetim tüzüğü denir. IIA'nın 2024'te yayımladığı Küresel İç Denetim Standartları tüzüğü 6.2 numaralı standartta ele alır; Türkçe çeviri aynı belgeye iç denetim yönetmeliği der.

Tüzük denetimin amacını, yetkisini, raporlama hattını ve bağımsızlığını yazar. Denetçinin hangi kayda ve hangi sisteme erişebileceği de burada tanımlanır. Tüzüğün altında denetim programı durur.

ISO/IEC 27001'in 9.2.2 maddesine göre program beş şeyi tanımlar: sıklık, yöntem, sorumluluk, planlama şartları ve raporlama. Sıklık riske göre belirlenir. Altay Kargo müşteri verisine dokunan süreçleri yılda iki kez, ofis süreçlerini yılda bir kez denetler. Denetim yönetimine dair ayrıntılı rehber ISO 19011'dir; standardın dördüncü baskısı Mayıs 2026'da yayımlandı.

Her denetim dört aşamadan geçer. Plan aşamasında kapsam, kriter ve takvim belirlenir: hangi süreç denetlenecek, hangi politika ya da standarda göre ölçülecek, ne zaman başlayacak. Saha aşamasında denetçi kanıt toplar; doküman okur, sistemi gözlemler, sorumluyla görüşür, örnek kayıt inceler. Bulgu aşamasında kanıt kriterle karşılaştırılır.

Kriter karşılanmıyorsa uygunsuzluk kaydı açılır. Rapor aşamasında bulgular yönetime sunulur, önceliklendirilir ve düzeltici faaliyet takibi başlar. Aşamalar sırayla ilerler ve hiçbiri ötekinin yerini tutmaz. Kriter belirlenmeden saha yapılırsa kanıt neyi kanıtladığını göstermez.

Bulgu yazılmadan rapor hazırlanırsa iddia temelsiz kalır. Kapsam sahada değişirse denetçi bunu plana işler ve gerekçesini ekler. Plana yazılmayan genişleme raporda açıklanamaz.

Planın en kritik kararı denetçinin kim olacağıdır. Denetçi, denetlediği sürecin sahibi olamaz. Kendi yazdığı kuralı denetleyen kişi hatasını görmezden gelme eğilimi taşır; buna öz-inceleme çatışması denir.

IIA standartlarının 2.2 numaralı maddesi bir süre de verir. Denetçi son on iki ayda sorumlu olduğu bir faaliyete güvence verirse tarafsızlığı zedelenmiş sayılır. Altay Kargo bu yüzden ağ güvenliği ekibinin güvenlik duvarı kurallarını uygulama güvenliği ekibinden bir denetçiye denetletir.

Küçük kurumlarda bu her zaman mümkün olmaz. O durumda denetim başka bir birimden görevlendirilen bir çalışana ya da dış bir denetçiye verilir. Tarafsızlık raporlama hattını da kapsar. Denetçi raporunu denetlediği birimin yöneticisine değil, üst yönetime ya da denetim komitesine sunar.

Türkiye'de kamu kurumları ve kritik altyapı işletmeleri için bu kurallar yazılıdır. Bilgi ve İletişim Güvenliği Rehberi'ne uyum en az yılda bir kez denetlenir. Siber Güvenlik Başkanlığı'nın denetim rehberi ve sık sorulan sorular belgesi bağımsızlığı somut ölçülere bağlar. Denetim ekibi en az iki denetçiden oluşur.

Ekip, rehber uyum çalışmasını yürüten birimde görev almayan ve denetlenen birime bağlı olmayan kişilerden kurulur. Hizmet dışarıdan alınırsa, son iki yılda aynı konuda danışmanlık vermiş firmadan denetim alınamaz. Aynı firmadan art arda en fazla üç denetim alınabilir.

Kurum, rapor tarihinden sonra en geç iki ay içinde sonuçları BİGDES adlı izleme sistemine güvenli elektronik imzayla iletir. Altay Kargo bu yükümlülüğün kapsamında değil. Yine de ekip aynı ölçüleri kendi denetim tüzüğüne aldı.

Saha aşamasında denetçi kanıtı üç temel yöntemle toplar. NIST SP 800-53A bu yöntemlere inceleme, görüşme ve test der. İnceleme; politika, kayıt, yapılandırma dosyası ya da log gibi bir nesneyi okumaktır.

Görüşme, süreci yürüten kişiyle konuşarak bilgi almaktır. Test ise iddiayı doğrudan sınar. Çok faktörlü doğrulamanın zorunlu olup olmadığı, test hesabıyla giriş denenerek anlaşılır. Aynı belge her yöntem için iki ayar daha tanımlar: derinlik ve kapsam.

Derinlik incelemenin ne kadar ayrıntılı ve titiz olacağını belirler. Kapsam kaç nesneye ya da kişiye bakılacağını belirler. İkisi de temel, odaklı ve kapsamlı diye üç düzeyde tutulur. Yüksek riskli bir kontrol daha derin ve daha geniş incelenir.

Bu üç yöntemin yanında iki yol daha sık kullanılır. Gözlem, denetçinin süreci fiilen izlemesidir; ziyaretçi kaydının gerçekten tutulup tutulmadığı resepsiyonda görülür. Yeniden hesaplamada denetçi sistemin ürettiği bir raporu kendisi tekrar üretir.

İki sonuç uyuşmazsa raporun kendisi de bulgu olur. Görüşme tek başına yeterli kanıt sayılmaz, çünkü söylenen ile yapılan farklı olabilir. Denetçi iki soruyu da birbirinden ayırır.

Tasarım testi, kontrolün kâğıt üstünde riski karşılayıp karşılamadığına bakar. İşletim etkinliği testi ise kontrolün dönem boyunca gerçekten çalışıp çalışmadığına bakar. Ayrılış prosedürü kusursuz yazılmış olabilir. Ama son altı ayda ayrılan kişilerin bir kısmının hesabı açık kaldıysa kontrol işlemiyor demektir.

Altay Kargo'nun erişim standardı ES-04 tek bir cümle kurar: Ayrılan çalışanın bütün hesapları ayrılış günü kapatılır. Denetçi bu kontrolün işleyip işlemediğini sınamak ister. Soru açıktır: Ayrılan personelin hesabı gerçekten kapanıyor mu? Popülasyon, İK'nın verdiği son altı ayın ayrılış listesidir.

Liste ik-ayrilis.csv dosyasında kullanıcı adı ve ayrılış tarihiyle durur. Listede yalnız yirmi bir kişi olduğu için denetçi örnek almaz, hepsini tarar. Denetçi etki alanında yönetici hakkı istemez. Tüzüğün verdiği salt okunur denetim hesabıyla çalışır.

Önce etkin hesapları son giriş tarihleriyle birlikte bir dosyaya döker. Sonra iki listeyi kullanıcı adı üzerinden eşleştirir. İki listenin kesişimi, ayrıldığı halde hesabı hâlâ açık olan kişileri verir. Kesişim boş değilse ortada bir bulgu vardır.

PS C:\Denetim> Get-ADUser -Filter 'Enabled -eq $true' -Properties LastLogonDate |
>> Select-Object SamAccountName, @{n='SonGiris'; e={'{0:yyyy-MM-dd HH:mm}' -f $_.LastLogonDate}} |
>> Export-Csv .\aktif.csv -NoTypeInformation -Encoding UTF8
PS C:\Denetim> $aktif = Import-Csv .\aktif.csv
PS C:\Denetim> Import-Csv .\ik-ayrilis.csv | ForEach-Object {
>>   $s = $_
>>   $h = $aktif | Where-Object SamAccountName -eq $s.KullaniciAdi
>>   if ($h) { [pscustomobject]@{ Kullanici = $s.KullaniciAdi; Ayrilis = $s.AyrilisTarihi; SonGiris = $h.SonGiris } }
>> }

Kullanici  Ayrilis    SonGiris
---------  -------    --------
surucu14   2026-07-31 2026-08-14 08:41
depo07     2026-08-15
muhasebe03 2026-06-30 2026-09-02 17:05

Çıktıyı satır satır oku. İlk komut etkin hesapları ve son giriş tarihlerini aktif.csv dosyasına yazar. Tarih biçimi sabitlenir, böylece bölge ayarı karşılaştırmayı bozmaz. Sonraki komutlar İK listesini satır satır dolaşır ve her kullanıcı adını etkin hesaplar arasında arar.

Eşleşen üç kayıt bulgunun özüdür. surucu14 31 Temmuz'da ayrılmış, hesabında ise 14 Ağustos'ta oturum izi var. Bu iz olay incelemesi gerektirir. depo07'nin son giriş alanı boştur.

Depo çalışanı etki alanı hesabını hiç kullanmamış, ama hesap yine de açık duruyor. muhasebe03 haziran sonunda ayrılmış, eylülde hâlâ hesabında oturum izi var. Denetçi iki dosyayı, komutların metnini ve çalıştırma zamanını kanıt kaydına ekler. Bulgu artık bir izlenim değil, başkasının da tekrarlayabileceği bir sonuçtur.

BULGU 2026-İD-03                         Önem: Yüksek
Kriter   ES-04: Ayrılan çalışanın bütün hesapları ayrılış günü kapatılır.
Durum    Son altı ayda ayrılan 21 kişiden 3'ünün etki alanı hesabı açık.
         İkisinde ayrılıştan sonra oturum izi var (surucu14, muhasebe03).
Neden    İK, ayrılış listesini BT'ye ayda bir elle e-postayla gönderiyor.
Etki     Eski çalışan müşteri verisine ve iç sistemlere erişebilir.
Öneri    İK'da ayrılış kaydı girilince hesapları kapatan tetik kurulsun.
Sorumlu  BT Operasyon Müdürü          Hedef tarih  30.11.2026
Kanıt    K-117 aktif.csv, K-118 ik-ayrilis.csv, K-119 komut kaydı

Bulgu belli bir kalıpla yazılır. IIA standartlarının 14.3 maddesi bulgu kaydında kriter, durum, kök neden, etki ve önem düzeyinin belgelenmesini önerir. Öneri ve eylem planı 14.4 maddesinde ele alınır.

Kriter neyin olması gerektiğini, durum ne bulunduğunu söyler. Neden, farkın neden oluştuğunu açıklar.

Etki, farkın kuruma neye mal olabileceğini gösterir. Öneri ise nedeni hedefler, belirtiyi değil. Bu örnekte üç hesabı kapatmak gerekir ama yetmez. İK ile BT arasındaki elle yürüyen akış değişmezse gelecek ay yeni bir açık hesap çıkar.

Rapor aşaması sahayı yönetim diline çevirir. Her bulgu kriteriyle birlikte yazılır: hangi madde karşılanmadı, hangi kanıtla görüldü, etkisi nedir. Altay Kargo'nun denetim raporu her bulguya bir sorumlu ve hedef tarih atar.

Sorumlusuz bulgu bir sonraki denetimde aynen tekrar çıkar. Rapor önceki dönemin kapanmamış bulgularını da taşır. Devam eden bir bulgu, yeni raporda gecikme süresiyle birlikte yeniden görünür.

Denetlenen birim taslak raporu okur ve görüşünü yazar. Denetçi bulguyu kanıt olmadan değiştirmez, ama birimin itirazını rapora ekler. Son rapor üst yönetime ve varsa denetim komitesine gider. Rapordaki her bulgu, kanıt kaydındaki bir numaraya bağlanır.

İç denetim güvence veren tek faaliyet değildir. Boşluk analizi, kurumun bugünkü halini bir standardın şartlarıyla karşılaştırır ve eksik listesini çıkarır. Sertifika yolculuğunun başında yapılır; bulgu değil iş listesi üretir. Öz değerlendirmede birim kendi kontrollerini bir anketle puanlar.

Hızlıdır ama bağımsız değildir. Düzenleyici incelemesini bir kamu otoritesi yapar ve yaptırım doğurabilir. Bağımsız üçüncü taraf denetimini ise sertifika kuruluşu ya da müşterinin seçtiği bir firma yürütür. Altay Kargo bu yıl bir boşluk analizi, iki iç denetim ve bir sertifika denetimi yaşayacak.

İki hata her türde görülür. Görüşmeyi tek kanıt saymak bulguyu çürük temele oturtur. Kapsamı sahada genişletip plana yazmamak ise raporun neyi kapsadığını belirsiz bırakır.