Standart nedir
ISO 19011, yönetim sistemi denetimleri için kılavuzluk sağlar. Mevcut baskı 2018'dir. ISO 31000 gibi bir kılavuzdur: şart değil tavsiye içerir, bu yüzden belgelendirilmez.
Kapsamı geniştir — kalite, çevre, İSG, bilgi güvenliği, hangi sistem olursa olsun denetim yöntemi aynıdır. Bu, entegre yönetim sistemi kuran kuruluşlar için pratik bir avantajdır: tek bir iç denetim programıyla beş standardı birden denetlemek mümkündür.
ISO 9001'in 9.2 maddesi iç denetim yapılmasını şart koşar ama denetimin nasıl planlanacağını, kanıtın nasıl toplanacağını veya bulgunun nasıl yazılacağını anlatmaz. ISO 19011 tam olarak bu boşluğu doldurur ve aynı yöntem beş farklı yönetim sistemi için birden geçerlidir.
Denetim tarafları
| Taraf | Kim denetler | Amacı | 19011 kapsamında mı |
|---|---|---|---|
| Birinci taraf | Kuruluş kendini (iç denetim) | İyileştirme, hazırlık | Evet |
| İkinci taraf | Müşteri veya kuruluş, tedarikçisini | Tedarikçi değerlendirme | Evet |
| Üçüncü taraf | Belgelendirme kuruluşu | Belge verme | Hayır — ISO/IEC 17021-1 |
Üçüncü taraf denetimleri ISO/IEC 17021-1'e tabidir ve 19011 bu denetimlere doğrudan uygulanmaz. Yine de iki metnin yöntemi büyük ölçüde paraleldir; iç denetimini 19011'e göre kuran bir kuruluş, belgelendirme denetiminde karşılaşacağı yaklaşımı da önceden tanımış olur.
Yedi ilke
| # | İlke | Pratikte ne demek |
|---|---|---|
| 1 | Dürüstlük | Denetçi mesleki dürüstlükle davranır |
| 2 | Adil sunum | Bulgular doğru ve eksiksiz raporlanır — hoşa gitmeyenler dahil |
| 3 | Mesleki özen | Denetçi muhakeme yeteneğini kullanır |
| 4 | Gizlilik | Denetimde öğrenilen bilgi korunur |
| 5 | Bağımsızlık | Denetçi kendi işini denetlemez |
| 6 | Kanıta dayalı yaklaşım | Her bulgunun somut bir kanıtı vardır |
| 7 | Risk temelli yaklaşım | 2018 baskısıyla eklendi — denetim kaynağı riske göre dağıtılır |
Program ve plan farkı
İki kavram sürekli karıştırılır ve ayrı belgelerdir.
| Denetim programı | Denetim planı | |
|---|---|---|
| Kapsamı | Belirli bir dönemdeki tüm denetimler | Tek bir denetim |
| Süresi | Genelde 1 yıl | Genelde 1–3 gün |
| İçeriği | Hangi süreçler, hangi lokasyonlar, ne sıklıkla, kim tarafından | Saat saat program, görüşülecek kişiler, kapsanacak maddeler |
| Dayanağı | Risk, önem, önceki bulgular | Programdaki karar |
Programın risk temelli olması 2018 baskısının vurgusudur: her süreci eşit sıklıkta denetlemek kaynak israfıdır. Geçen yıl bulgu çıkan, yeni değişen veya yüksek riskli süreçler daha sık denetlenir.
Kanıt ve bulgu
Denetim kanıtı, doğrulanabilir bir kayıt, olgu ya da beyandır; kendi başına bir yargı içermez.
Denetim bulgusu ise o kanıtın denetim kriterleriyle karşılaştırılmasından çıkan sonuçtur. Kanıt olmadan bulgu yazılamaz, çünkü karşılaştırılacak bir şey yoktur.
Kanıt toplama yöntemleri: doküman incelemesi, kayıt örneklemesi, görüşme, saha gözlemi. Dördü birlikte kullanılır — yalnızca dokümana bakan denetim, yazılanla yapılan arasındaki farkı göremez.
İyi bir bulgu nasıl yazılır
Kanıta dayalı bir bulgunun üç bileşeni vardır ve üçünün de eksiksiz yazılması gerekir; biri eksik kaldığında bulgu tartışmaya açık hale gelir.
Önce şart belirtilir: hangi standart maddesi ya da hangi iç dokümanın hangi hükmü. Ardından kanıt verilir: hangi kayıt, hangi tarihli, hangi numaralı. Son olarak sapma yazılır: şart ile sahada görülen durum arasındaki fark tam olarak nedir.
| Kötü | İyi |
|---|---|
| "Eğitim kayıtları yetersiz." | "ISO 9001 madde 7.2 yetkinlik kanıtı ister. 3 no'lu aktarma merkezinde forklift kullanan 12 operatörden 4'ünün (sicil no 4471, 4488, 4502, 4519) geçerli operatör belgesi kaydı bulunamadı." |
İki örnek arasındaki fark, birincisinin bir görüş ikincisinin ise doğrulanabilir bir olgu olmasıdır. Denetlenen taraf ikinci ifadeye "katılmıyorum" diyerek karşı çıkamaz; ancak kanıtı çürüterek, örneğin eksik görünen dört belgenin başka bir dosyada bulunduğunu göstererek yanıt verebilir. Bu da sürecin doğru işlediği anlamına gelir.
Çözümlü örnek
Yıllık iç denetim programı kurmak
Kuruluş: 14 ana süreç, 6 lokasyon, 2.840 personel. Yıllık denetim bütçesi 48 adam-gün.
Ortalama denetim süresi = 48 ÷ 14 = 3,43 adam-gün
Ama bu eşit dağıtım risk temelli değildir. 7. ilkeye göre kaynak riske göre dağıtılır.
| Süreç grubu | Süreç | Risk gerekçesi | Sıklık | Adam-gün |
|---|---|---|---|---|
| Yüksek risk | 4 | Geçen yıl bulgu çıktı, yeni sistem devreye alındı | Yılda 2 | 24 |
| Orta risk | 6 | Kritik ama istikrarlı | Yılda 1 | 18 |
| Düşük risk | 4 | Destek süreçleri, bulgu geçmişi temiz | 2 yılda 1 | 6 |
| Toplam | 14 | 20 denetim | 48 |
Bu süreçler toplam sürecin = 4 ÷ 14 = %28,6'sı
Aynı bütçeyle denetim sayısı: 14 → 20
Sonuç: Bütçe değişmedi ama süreçlerin %28,6'sına kaynağın %50'si ayrıldı ve toplam denetim sayısı %42,9 arttı. Eşit dağıtım yerine risk temelli dağıtım, aynı kaynakla daha fazla kapsama üretti.
Lokasyon örneklemesi
6 lokasyonun hepsini her yıl denetlemek bütçeye sığmıyor. Yaygın pratik, kök-kare örneklemesidir.
Her lokasyon 2 yılda bir denetlenmiş olur
Seçim rastgele değil, riske göre yapılır: yeni açılan, bulgu geçmişi olan veya hacmi yüksek lokasyonlar önceliklidir. Seçim gerekçesi programda yazılı olmalıdır — denetçi "6 lokasyondan neden bu 3'ünü seçtiniz" diye sorar.
Sık karşılaşılan hatalar
Programı planla karıştırmak. İkisi ayrı belgelerdir: program bir yıl içindeki tüm denetimleri, plan ise tek bir denetimin saat saat akışını tanımlar.
Bulguyu kanıtsız yazmak. Kanıt gösterilmeyen bir bulgu aslında bir görüştür ve denetlenen tarafın itirazıyla kolayca tartışmaya açılır.
Her süreci eşit sıklıkta denetlemek. Risk temelli dağıtım, aynı bütçeyle daha fazla denetim ve daha iyi kapsama üretir; eşit dağıtım ise kaynağı düşük riskli süreçlere de aynı oranda harcar.
Kendi işini denetlemek. Bağımsızlık ilkesinin doğrudan ihlalidir. Küçük kuruluşlarda çözüm çapraz denetimdir; bu da yetmiyorsa dışarıdan denetçi hizmeti alınır.
Yalnızca dokümana bakmak. Doküman incelemesi tek başına yazılanla yapılan arasındaki farkı göstermez. Saha gözlemi ve görüşme ile birlikte kullanılması gerekir.
Bulgu çıkmamasını başarı saymak. Örneklemenin bir kör noktası vardır ve sıfır bulgu, denetimin yüzeysel yapıldığının da işareti olabilir.
Denetim sonrası takibi atlamak. Bulgular uygunsuzluk ve düzeltici faaliyet akışına girmiyorsa denetim tamamlanmış sayılmaz; rapor yazılmış ama hiçbir şey değişmemiş olur.