ISO 27001, ISO 9001 ve ISO 22301 ile Entegre Yönetim Sistemi Kurmak

Aynı şirkette üç ayrı DÖF formu, üç ayrı doküman kodlama sistemi ve yılda üç kez toplanan aynı yönetim kurulu: ISO 9001’in üstüne ISO 27001, ardından ISO 22301 eklenip her biri ayrı yürütüldüğünde tablo kısa sürede buna döner. Sürdürülemez. Bu standartların aynı üst yapıyı paylaşması, tek bir entegre yönetim sistemi (EYS) kurmayı mümkün kılar. Bu rehber kalite, bilgi güvenliği ve süreklilik sorumluları için hangi unsurların birleştirilebileceğini, hangilerinin standarda özgü kalması gerektiğini ve entegrasyonun denetimde hangi riskleri doğurduğunu somutlaştırır.

Ortak üst yapı ve madde eşlemesi

ISO yönetim sistemi standartları, ISO/IEC Directives Part 1’in Consolidated ISO Supplement’indeki Annex SL’de tanımlanan ortak yapıyı kullanır. Bu yapı önceleri High Level Structure (HLS) olarak anılıyordu; 2021’de güncellenerek Harmonized Structure (HS) adını aldı. ISO/IEC 27001:2022 bu güncel yapıyla hizalanmıştır; ISO 9001:2015 ve ISO 22301:2019 ise yayımlandıkları dönemin yapısını izler. Pratikte üç standardın 4–10 arası ana maddeleri aynı başlıkları taşır; farklar alt maddelerde ve 8. maddenin içeriğindedir. Ayrıca üç standart için de 2024’te yayımlanan değişiklikler (Amd 1:2024), iklim değişikliğinin bağlam (4.1) ve ilgili taraflar (4.2) maddelerinde değerlendirilmesini ekledi.

Madde	Ortak içerik	Standarda özgü ek
4.1–4.2	Bağlam, ilgili taraflar	İlgili tarafların gereklilikleri standarda göre farklı
4.3	Kapsam	9001’de uygulanamayan gereklilik gerekçesi; kapsamlar farklı olabilir
5	Liderlik, politika, roller	9001: müşteri odağı (5.1.2)
6.1	Riskler ve fırsatlar	27001: 6.1.2 risk değerlendirmesi, 6.1.3 risk işleme ve SoA
6.2–6.3	Hedefler, değişikliklerin planlanması	Hedefler her disiplin için ayrı ölçülür
7	Kaynak, yetkinlik, farkındalık, iletişim, doküman	9001: izleme ve ölçme kaynakları (7.1.5), kurumsal bilgi (7.1.6)
8	Operasyonel planlama ve kontrol (8.1)	27001: 8.2–8.3; 9001: 8.2–8.7; 22301: 8.2–8.6
9	İzleme, iç denetim, YGG	9001: müşteri memnuniyeti (9.1.2)
10	Uygunsuzluk, düzeltici faaliyet, iyileştirme	Alt madde numaraları standarda göre farklı

Tabloyu okurken ana fikir şu: 4, 5, 7, 9 ve 10. maddeler büyük ölçüde ortaklaşır. Asıl iş 6.1 ve 8. maddededir.

Birleştirilebilen unsurlar

Ortak yapıdaki maddelerin çoğu tek bir süreç ve tek bir kayıtla birden fazla standardı karşılayabilir:

• Bağlam ve ilgili taraflar: Tek bir bağlam analizi; ilgili taraflar tablosunda her gerekliliğin hangi yönetim sistemiyle ele alındığını gösteren bir sütun.
• Liderlik ve roller: Tek bir yönetim temsilcisi yapısı veya yönetim sistemleri komitesi; RACI matrisinde kalite, bilgi güvenliği ve süreklilik rolleri birlikte.
• Doküman kontrolü (7.5): Tek doküman kontrol prosedürü, tek kodlama ve onay akışı, tek doküman yönetim sistemi. Sürüm ve onay yönetimini doküman kontrolü rehberinde anlattık.
• Yetkinlik, eğitim ve farkındalık: Ortak eğitim matrisi; farkındalık eğitimleri modüler olarak birleştirilebilir.
• İletişim: İç ve dış iletişim planı tek tablo.
• Uygunsuzluk ve düzeltici faaliyet: Tek DÖF kaydı ve kök neden yöntemi; her kayıtta etkilenen yönetim sistemi alanı. Yedekleme hatası hem bilgi güvenliği hem süreklilik DÖF’üdür; iki ayrı kayıt açmak, kök nedeni iki farklı kişinin iki farklı şekilde yorumlamasına yol açar.
• İç denetim ve YGG: Ortak program ve ortak toplantı (aşağıda ayrıntılı).

Standarda özgü kalması gerekenler

Entegrasyonda sahada en sık gördüğümüz hata, özgün gereklilikleri genel ifadelerin içinde eritmektir. Aşağıdakiler ayrı ve tanınabilir kalmalıdır:

• ISO 27001: Bilgi güvenliği risk değerlendirme yöntemi ve kabul kriterleri (6.1.2), risk işleme planı ve Uygulanabilirlik Bildirgesi (6.1.3), planlanan aralıklarla risk değerlendirmesinin yeniden yapılması (8.2) ve Annex A kontrollerinin uygulama kanıtları.
• ISO 9001: Ürün ve hizmet gereklilikleri, tasarım ve geliştirme, dış kaynaklı süreçler, üretim ve hizmet sunumu, ürün ve hizmetlerin serbest bırakılması, uygun olmayan çıktıların kontrolü (8.2–8.7), müşteri memnuniyeti.
• ISO 22301: İş etki analizi ve risk değerlendirmesi (8.2), iş sürekliliği stratejileri ve çözümleri (8.3), planlar ve prosedürler (8.4), tatbikat programı (8.5) ve iş sürekliliği dokümantasyonu ile yeteneklerinin değerlendirilmesi (8.6).

Risk kavramı ayrıca dikkat ister. ISO 9001’deki “riskler ve fırsatlar” genel bir planlama aracıdır. ISO 27001’de ise tanımlı kriterlerle tekrarlanabilir sonuç veren bir bilgi güvenliği risk değerlendirmesi zorunludur; ISO 22301 de iş etki analizini ve kesinti risklerinin değerlendirilmesini ayrıca ister. Tek bir “kurumsal risk tablosu” kurulabilir; ama bilgi güvenliği risklerinin 6.1.2’deki kriterlere göre değerlendirildiği ve BIA çıktılarının süreklilik stratejilerine bağlandığı ayrıca izlenebilir olmalıdır. Somut örnek: ERP sunucusunun RTO hedefi BIA’dan gelir; o hedefi karşılayacak replikasyon ve yedek mimarisi 22301 stratejisine, aynı sunucunun yetkisiz erişim riski 27001 risk değerlendirmesine yazılır. Aynı varlık, iki farklı soru. ISO 22301’in gerekliliklerini ISO 22301 gereklilikleri yazısında ele aldık.

Entegre doküman seti

Tipik bir entegre doküman mimarisi üç katmandır:

1. Ortak üst dokümanlar: Entegre yönetim sistemi el kitabı veya süreç haritası (zorunlu değil, ama süreç etkileşimlerini göstermek için yararlı), entegre politika veya politika seti, bağlam ve ilgili taraflar analizi, roller ve sorumluluklar.
2. Ortak destek prosedürleri: Doküman ve kayıt kontrolü, iç denetim, YGG, DÖF, eğitim ve yetkinlik, değişiklik yönetimi, tedarikçi değerlendirmesi.
3. Standarda özgü dokümanlar: Risk değerlendirme metodolojisi ve SoA (27001), konuya özgü bilgi güvenliği politikaları, BIA ve iş sürekliliği planları (22301), ürün gerçekleştirme ve kontrol planları (9001).

Entegre politika yazılacaksa, her standardın politika maddesinde istediği taahhütlerin metinde açıkça bulunduğunu kontrol edin. ISO 27001 için bu, uygulanabilir gerekliliklerin karşılanması ve BGYS’nin sürekli iyileştirilmesi taahhütleri ile bilgi güvenliği hedeflerinin belirlenmesi için çerçevedir. Genel bir “kalite ve güvenlik politikası” cümlesi üç standardın gerekliliklerini ayrı ayrı karşılamayabilir. Denetçi taahhüdü madde madde arar.

Birleşik iç denetim ve YGG

İç denetim programı süreç bazlı kurulduğunda entegrasyonun en çok kazandırdığı alan olur. Bir süreç (ör. satın alma) tek denetimde 9001’in dış kaynaklı süreç kontrolü, 27001’in tedarikçi güvenliği kontrolleri ve 22301’in kritik tedarikçi süreklilik değerlendirmesi açısından birlikte denetlenebilir. Denetim rehberi olarak ISO 19011 tüm yönetim sistemleri için ortaktır. Program tasarımının ayrıntıları için ISO 27001 iç denetim programı yazısına bakabilirsiniz.

Birleşik denetimde iki koşul vardır: denetim ekibi her standart için yeterli yetkinliğe sahip olmalı ve denetim raporu bulguların hangi standardın hangi maddesine göre yazıldığını ayrı göstermelidir. Program kayıtları, her standardın kapsamının kuruluşun belirlediği denetim döngüsünde (yaygın uygulama, belgelendirme döngüsüyle uyumlu üç yıldır) tam taranıp taranmadığını gösterebilmelidir.

Yönetimin gözden geçirmesi de tek toplantıda yapılabilir. Gündem ortak girdilerle (önceki kararların durumu, iç ve dış konulardaki değişiklikler, ilgili tarafların ihtiyaçları, denetim sonuçları, uygunsuzluklar, hedeflerin durumu) başlar, sonra her standarda özgü girdilere geçer: 9001 için müşteri memnuniyeti ve ürün uygunluğu, 27001 için risk değerlendirmesi sonuçları ve risk işleme planının durumu, 22301 için BIA ve tatbikat sonuçları. Tutanakta kararlar standart bazında etiketlenmelidir. YGG içeriğini yönetimin gözden geçirmesi rehberinde ayrıntılı ele aldık.

Belgelendirme tarafında, üç standart için aynı kuruluştan birleşik denetim alacak ve akredite belge isteyecekseniz, belgelendirme kuruluşunun üç standart için de akreditasyon kapsamına sahip olduğunu doğrulayın. Entegre denetimlerde denetim süresinin nasıl ayarlanacağı IAF MD 11 belgesinde düzenlenir; süre indiriminin ölçüsü entegrasyonun derecesine bağlıdır ve belgelendirme kuruluşu tarafından değerlendirilir. Kâğıt üzerinde entegre, sahada ayrı yürüyen bir sistem bu indirimi hak etmez.

Entegrasyonun sınırlamaları ve riskleri

Risk	Belirti	Önlem
Özgün gerekliliğin kaybolması	SoA veya BIA genel risk tablosunda erimiş	Standarda özgü dokümanları ayrı tut
Kapsam karmaşası	Tek kapsam cümlesi, farklı fiili kapsamlar	Her standart için ayrı kapsam ifadesi
Denetçi yetkinliği	Kalite denetçisi güvenlik kontrollerini yüzeysel denetliyor	Ekipte her disiplin için yetkin denetçi
Tek kişiye bağımlılık	Tüm sistemler bir yöneticinin elinde	Disiplin bazında süreç sahipleri
Takvim çakışması	Bir sistemin aksaması tüm denetimi erteliyor	Program esnekliği, ayrı kapanış takibi

Entegrasyon her kuruluş için doğru tercih değildir. Standartların sahipleri farklı birimlerdeyse ve kapsamlar büyük ölçüde ayrışıyorsa, yalnız destek süreçlerini (doküman kontrolü, DÖF, eğitim) ortaklaştırıp risk ve operasyon katmanını ayrı tutmak daha yönetilebilir olabilir. Karar vermeden önce şu kontrol sırasını izleyin:

• Kapsamlar ne kadar örtüşüyor?
• Süreç sahipleri ortak mı?
• Belgelendirme kuruluşu tüm standartlar için akredite mi?
• Doküman yönetim altyapısı ortak kullanıma uygun mu?

Otomotiv tedarik zincirinde TISAX da tabloya giriyorsa, ISO 27001 ile ortak kontrolleri TISAX ve ISO 27001 farkları yazısında karşılaştırdık; bu tür çok çerçeveli yapılar için TISAX, ISO 27001 ve IATF 16949 entegre uyum programı sayfamıza, BGYS’yi mevcut bir kalite sistemine eklemek için BGYS kurulumu hizmetimize bakabilirsiniz. Yönetim sistemi standartlarının ortak yapısı hakkında genel bilgi ISO yönetim sistemi standartları sayfasında yer alır.

Sık sorulan sorular

Entegre yönetim sistemi için ayrı bir standart var mı?

Entegre yönetim sistemi için belgelendirilebilir ayrı bir ISO standardı yoktur. Entegrasyon, standartların ortak üst yapısından yararlanarak kuruluşun kendi tasarladığı bir yaklaşımdır; belgelendirme her standart için ayrı yapılır.

ISO 9001 ve ISO 27001 için tek bir politika yeterli mi?

Yeterli olabilir; ama metin her standardın politika maddesinin istediği taahhütleri ayrı ayrı içermelidir. ISO 27001 ayrıca konuya özgü bilgi güvenliği politikaları da beklediğinden, entegre üst politika bunların yerine geçmez.

Kapsamları farklı olan standartlar entegre edilebilir mi?

Evet. Destek süreçleri ve yönetim mekanizmaları ortak kurulur, her standardın kapsam ifadesi ayrı yazılır. Denetim programı ve kayıtlar, hangi faaliyetin hangi standardın kapsamında olduğunu açıkça göstermelidir.

Entegre iç denetimi tek bir denetçi yapabilir mi?

Denetçi tüm ilgili standartlarda yetkinse ve denetlediği alandan bağımsızsa mümkündür. Yetkinlik tek kişide toplanmıyorsa denetim ekibi farklı disiplinlerden denetçilerle kurulmalıdır.