İç tetkikçi ve baş denetçi: denetimde görev ve yol haritası

Yönetim sistemleri denetçisi kimdir?

Yönetim sistemleri denetçisi, bir kuruluşun kalite, bilgi güvenliği, çevre ya da iş sağlığı ve güvenliği gibi bir yönetim sistemini standardın gerekliliklerine ve kendi koyduğu kurallara göre inceleyen kişidir. Denetim, bir kişiyi ya da bölümü yargılamak için değil, sistemin gerçekten tanımlandığı gibi çalışıp çalışmadığını kanıtla ortaya koymak için yapılır. Günlük dilde iç tetkikçi, ISO denetçisi, kalite denetçisi ya da baş denetçi (lead auditor) denir; İngilizcede internal auditor ve lead auditor karşılıkları kullanılır.

Rol, denetimin kimin adına yapıldığına göre farklı biçimlerde karşımıza çıkar. Birincisi iç tetkikçidir: kendi kuruluşunun sistemini düzenli aralıklarla denetler. İkincisi müşterinin ya da büyük alıcının tedarikçisini denetlemesidir (ikinci taraf). Üçüncüsü ise bağımsız bir belgelendirme kuruluşunun sertifika vermek için yaptığı denetimdir. Baş denetçi, denetim ekibini yöneten ve sonucu raporlayan sorumludur.

Bir denetimde ne yapılır?

Denetim bir plana dayanır. Önce denetimin amacı, kapsamı, ölçütü (hangi standart ve hangi iç prosedür) ve takvimi belirlenir. Doküman incelemesiyle sistemin kağıt üzerinde nasıl tanımlandığı görülür, kontrol listeleri ve soru setleri hazırlanır.

Saha denetimi açılış toplantısıyla başlar. Denetçi çalışanlarla görüşür, kayıtları inceler, süreçleri yerinde gözlemler ve kanıt toplar. Burada kanıt kavramı belirleyicidir: denetçi inandığı için değil, gördüğü, dinlediği ve belgelediği için sonuç yazar. Sonuçlar, standarda uygunluk ve uygunsuzluk olarak sınıflandırılır; iyileştirme fırsatı da bulgu olarak not edilir.

Kapanış toplantısında bulgular denetlenen tarafa açıklanır, ardından rapor yazılır. Düzeltici faaliyetler tanımlandıktan sonra denetçi ya da programın sahibi bu faaliyetlerin etkili olup olmadığını takip eder. Belgelendirme denetiminde sonuç, belgelendirme kararının dayanağı olur.

Örneğin bir üretim şirketinde satın alma sürecini denetleyen iç tetkikçi, tedarikçi değerlendirme prosedürünü okur. Sonra son dönemde seçilen tedarikçilerin dosyalarına bakar ve prosedürün istediği değerlendirme kaydının bulunup bulunmadığını kontrol eder. Bir dosyada kayıt yoksa bunu suçlama tonuna kaçmadan 'prosedür şunu öngörüyor, kayıt bulunamadı' diye yazar.

Hangi standartlarda denetçi olunur?

En yaygın alan, kalite yönetimi için ISO 9001'dir. Bilgi güvenliğinde ISO 27001 denetçiliği, risk yönetimi, kontrol çerçevesi ve uygulanabilirlik bildirimi gibi başka kavramlar gerektirir. Çevre, iş sağlığı ve güvenliği, otomotiv (IATF 16949) ve gıda güvenliği gibi alanlarda da kendi standartları ve denetçi nitelikleri vardır.

Her standart ortak bir denetim mantığı kullanır, yani planla, kanıt topla, bulgu yaz, raporla ve takip et. Bu yüzden bir alanda denetim becerisi kazanan kişi diğerine geçerken çoğunlukla standardın içeriğine odaklanır. Yine de ISO 27001 gibi teknik alanlarda alan bilgisi (bilgi teknolojileri, siber güvenlik) kritik rol oynar.

Hangi beceriler gerekir?

En temel beceri görüşme ve dinleme yeteneğidir. İyi denetçi sorusunu açık uçlu sorar, cevabı kanıtla eşleştirir ve karşısındakinin savunmaya geçmeyeceği bir ortam yaratır. Bunun yanında analitik düşünme önemlidir: tek bir kayıttan sistemin nasıl çalıştığına dair doğru çıkarım yapmak gerekir.

Objektiflik ve gizlilik ilkesi mesleğin ahlaki zeminidir. Denetçi kendi görüşünü değil kanıtı raporlar; denetim sırasında öğrendiği hassas bilgiyi korur. Yazılı anlatım da kritik bir beceridir, çünkü bulgu cümlesi hem doğru hem anlaşılır olmalıdır: ne gözlemlendi, hangi gereklilikle karşılaştırıldı, neden uygunsuzluk sayıldı.

Son olarak zaman yönetimi gerekir; sınırlı sürede kapsamı kaplayıp önemli noktaya odaklanmak denetim planlamasının parçasıdır.

Nasıl denetçi olunur?

Genellikle bir yönetim sistemi içinde çalışan kişiler (kalite sorumlusu, üretim mühendisi, bilgi güvenliği uzmanı) önce iç tetkikçi olur. Bunun için standart bilgisi ve iç tetkik tekniği eğitimi alınır, ardından küçük kapsamlı denetimlerde deneyim kazanılır. İç tetkikçi olmak için genellikle belgelendirme kuruluşu şartı yoktur; şirketin kendi yeterlilik ölçütü uygulanır.

Baş denetçilik yolu daha yapılandırılmıştır. Baş denetçi eğitimleri denetim kavramları, planlama, görüşme ve kanıt toplama teknikleri, bulgu yazımı, kapanış ve takip aşamalarını işler; çoğu zaman simüle edilmiş bir denetim ve sınavla tamamlanır. Belgelendirme kuruluşlarında bağımsız denetçi olarak görev almak için ise denetçi belgesi, deneyim ve ilgili kuruluşun kendi koşulları gerekir; bu koşulların güncel hâli kuruluşun ve ilgili akreditasyon kaynaklarının resmî yayınlarından kontrol edilmelidir.

Sonraki basamaklar kıdemli iç tetkikçi, denetim programı sorumlusu, kalite ya da bilgi güvenliği yöneticiliği ve bağımsız denetçilik olabilir.

Sık yapılan hatalar

İlk hata kontrol listesine bağımlı kalmaktır. Liste başlangıç noktasıdır; konuşma sırasında ortaya çıkan bir ipucu listede olmasa da izlenmelidir. İkinci hata, kanıtsız bulgu yazmaktır: 'kayıtlar yetersiz görünüyor' gibi bir cümle denetlenen tarafa tartışma açar, 'şu tarihli şu kayıtta şu alan boş' ise tartışmayı kapatır.

Denetim sırasında kişiyi hedef almak veya tavsiye ile bulguyu karıştırmak da sıkça yaşanır. Denetçi bulguyu bildirir, çözümü kuruluşa bırakır. Bir başka hata, bulguyu kapatmakla yetinip kök nedeni sormamaktır; kök neden bulunmayan düzeltme aynı uygunsuzluğun tekrarlanmasına yol açar. Son olarak, denetim programını yılın sonuna bırakmak, riskli süreçlerin geç denetlenmesine neden olur.

İç denetçiden ve yakın rollerden farkı

İç denetçi çoğunlukla finansal, operasyonel ve uyum risklerine odaklanır ve yönetim kuruluna bağlı çalışır. Yönetim sistemleri denetçisi ise belirli bir standardın gerekliliklerine uygunluğu inceler. Kalite yöneticisi sistemi kurup yönetir, denetçi ise sistemin çalıştığını bağımsız bakışla sınar. Bu roller bazı şirketlerde aynı kişide birleşir, ancak bağımsızlık ilkesi gereği kendi işini denetlemek istenmez.

Mindset programlarında nerede çalışılır?

Mindset kataloğunda ISO 9001 Baş Denetçi Hazırlık programı denetim kavramları ve baş denetçi rolü, maddelerin denetçi gözüyle okunması, denetim programı ve planlama, doküman incelemesi, açılış toplantısı ve saha denetimi, görüşme teknikleri, bulgu yazımı, kapanış ve raporlama, takip faaliyetleri ile simüle denetim modüllerini içerir. ISO 9001 İç Tetkik programı planlama, tetkik yürütme, bulgu yönetimi ve düzeltici faaliyet konularını işler. ISO 27001 Lead Auditor programı ise denetim prensipleri, risk yönetimi, denetim teknikleri ve uygulamalı denetim senaryolarını kapsar.