Denetim Bulgusu Nasıl Yazılır? Kriter, Durum, Neden ve Etki

“Erişim yönetimi yetersiz.” Bu cümle ne düzeltilebilir ne de itiraz edilebilir. Denetleneni savunmaya iter, düzeltici faaliyeti belirsiz bırakır ve kapanış toplantısını kanıt tartışmasına çevirir. Bir denetimin değeri, sahada toplanan kanıttan çok raporda yazılan bulgunun kalitesiyle ölçülür. Aşağıda iç denetçiler ve BGYS sorumluları için kriter–durum–neden–etki–öneri yapısını, sık yapılan ifade hatalarını düzeltilmiş halleriyle, derecelendirme ölçeğini ve bulgunun denetlenenle mutabakatını anlatıyoruz.

İyi bir bulgunun unsurları

ISO 19011:2018 denetim bulgusunu, toplanan denetim kanıtının denetim kriterlerine göre değerlendirilmesinin sonucu olarak tanımlar. Tanım, bulgunun iki zorunlu bileşenini zaten verir: bir kriter ve kanıta dayalı bir durum. İç denetim mesleğinde yaygın kabul gören yapı bunu beş unsura genişletir:

Unsur	Yanıtladığı soru	Zorunlu mu?
Kriter	Ne olmalıydı?	Evet
Durum	Ne bulundu? Hangi kanıtla?	Evet
Neden	Fark neden oluştu?	Önerilir; DÖF için kritik
Etki	Bu fark hangi riski doğuruyor?	Önerilir; derecelendirmenin dayanağı
Öneri	Ne yapılması düşünülebilir?	İsteğe bağlı; danışmanlık sınırına dikkat

Kriter ile durum arasındaki fark bulgunun kendisidir. Neden ve etki ise bulguyu bir “tespit” olmaktan çıkarıp yönetimin karar verebileceği bilgiye dönüştürür. Neden yoksa DÖF yanlış yere gider. Etki yoksa derece keyfidir.

Kriter: hangi gerekliliğe dayanıyor?

Her bulgu, denetlenenin gösterebileceği yazılı bir gerekliliğe dayanmalıdır. Kriter kaynakları:

• Standart maddesi veya kontrol (ISO/IEC 27001 madde 9.2, Annex A 5.18 gibi)
• Kuruluşun kendi politika, prosedür ve talimatları
• Yasal ve sözleşmesel yükümlülükler (KVKK, müşteri sözleşmesindeki güvenlik eki)
• Kuruluşun kendi belirlediği hedef veya eşik değerler

Kriteri yazarken mümkün olan en özel kaynağı gösterin. “ISO 27001 Annex A 5.18’e aykırı” demek yerine, “Erişim Kontrol Prosedürü (rev. 3) madde 4.2: ‘Yetkili hesaplar üç ayda bir sistem sahibi tarafından gözden geçirilir’” demek, denetlenenin itiraz alanını daraltır ve düzeltici faaliyeti netleştirir. Kuruluşun kendi prosedürü standarttan daha sıkı bir gereklilik koymuşsa, bulgu o prosedüre dayanır. Sahada sık karşılaşılan durum budur: prosedür danışman şablonundan kopyalanmış, kimsenin uygulayamayacağı sıklıklar yazılmıştır. Bulgu yine o prosedüre dayanır; çözüm ise ya uygulamayı ya da prosedürü gerçekçi hale getirmektir.

Durum ve kanıt referansı

Durum, denetçinin gördüğü şeyin olgusal tanımıdır. Yorum, sıfat ve genelleme içermez. İyi bir durum ifadesinde şunlar bulunur:

• Kapsam ve popülasyon: Hangi sistem, hangi dönem, kaç kayıt?
• Test ve sonuç: Kaç örnek incelendi, kaçında sapma bulundu?
• Kanıt referansı: Çalışma kâğıdı numarası, rapor adı, ekran görüntüsü kodu.

Örnek: “2026 yılının ilk iki çeyreği için ERP sistemindeki 14 yetkili hesabın gözden geçirme kayıtları talep edilmiştir. Birinci çeyreğe ait gözden geçirme kaydı mevcut olup (ÇK-07/1), ikinci çeyreğe ait gözden geçirmenin yapıldığına dair kayıt sunulamamıştır.” Sayı, dönem, kanıt referansı ve eksik olan şey açıktır. İtiraz edilecek yer kalmaz. Örneklemin nasıl kurulduğu bulgunun inandırıcılığını doğrudan etkiler; ayrıntılar için iç denetimde örneklem yöntemi rehberine bakabilirsiniz.

Neden ve etki analizi

Neden

Neden, farkın oluşmasına yol açan koşuldur ve genellikle denetlenenle yapılan görüşmeden çıkar. Denetçi kesin kök neden analizi yapmak zorunda değildir; o, düzeltici faaliyet sürecinde denetlenenin işidir. Ama gözlemlenen nedeni yazmak, DÖF’ün doğru yere odaklanmasını sağlar. Yukarıdaki örnekte neden şu olabilir: “Gözden geçirmeyi yürüten sistem sorumlusunun Mart ayında görev değiştirmesi sonrası görev yeni sorumluya devredilmemiştir; gözden geçirme takvimi kişisel takvimde tutulmaktadır.” Bu cümle sorunun kişiden değil süreçten kaynaklandığını gösterir. Sahada tekrarlayan bulguların çoğu böyle çıkar: kontrol bir kişinin ajandasına bağlıdır, kişi gidince kontrol de gider. Kök neden analizinin yürütülmesi DÖF’te kök neden analizi rehberinde ele alınıyor.

Etki

Etki, farkın hangi riski doğurduğunu iş diliyle anlatır: “Gözden geçirilmeyen yetkili hesaplar, görevi değişen veya ayrılan kişilerin ERP’de finansal kayıt değiştirme yetkisini koruması riskini doğurur.” Etkiyi abartmayın ve gerçekleşmiş bir zarar gibi yazmayın. “Veri sızıntısına neden olmuştur” ifadesi, kanıt yoksa yazılamaz; “neden olabilir” ifadesi ise somut bir yolla desteklenmelidir. Spekülasyon bulguyu zayıflatır.

Zayıf ve düzeltilmiş bulgu örnekleri

Sorun	Zayıf ifade	Düzeltilmiş ifade
Muğlak	“Yedekleme süreci yetersizdir.”	“Yedekleme Prosedürü madde 5 çeyreklik geri yükleme testi öngörmektedir; 2026 için yapılmış geri yükleme testi kaydı sunulamamıştır.”
Kişiyi hedef alan	“Sistem yöneticisi değişiklikleri onaysız yapmaktadır.”	“İncelenen 25 değişiklikten 3’ünde (ÇK-12) CAB onayı kaydı bulunmamaktadır; üçü de acil değişiklik olarak açılmıştır.”
Kanıtsız	“Kullanıcılar parolalarını paylaşıyor gibi görünmektedir.”	Kanıt yoksa bulgu yazılmaz; gerekirse sonraki denetimde test edilecek konu olarak not edilir.
Genelleyen	“Hiçbir sunucuda log tutulmamaktadır.”	“Örneklenen 6 sunucudan 2’sinde güvenlik olay günlüğü merkezi log sistemine iletilmemektedir (ÇK-15).”
Çözümü dayatan	“X marka PAM ürünü satın alınmalıdır.”	“Yetkili hesap kullanımının kayıt altına alınması için bir yöntem belirlenmesi önerilir.”

Ortak ilke: bulgu, okuyan herkesin denetçiyle aynı kanıta bakarak aynı sonuca varabileceği kadar somut olmalıdır. Sıfatlar (“yetersiz”, “zayıf”, “ciddi”) bulgu metninde değil derecelendirmede yer alır.

Beş unsurun bir arada kullanıldığı örnek

Kriter: Erişim Kontrol Prosedürü (rev. 3) madde 4.2, yetkili hesapların üç ayda bir sistem sahibi tarafından gözden geçirilmesini öngörür.
Durum: ERP’deki 14 yetkili hesap için 2026’nın ilk iki çeyreğine ait gözden geçirme kayıtları talep edilmiştir; birinci çeyrek kaydı mevcuttur (ÇK-07/1), ikinci çeyreğe ait kayıt sunulamamıştır.
Neden: Görevi yürüten sorumlunun Mart ayında görev değiştirmesinden sonra iş devredilmemiş; takvim kişisel ajandada tutulmaktadır.
Etki: Görevi değişen veya ayrılan kişilerin finansal kayıt değiştirme yetkisini koruması riski bir çeyrek boyunca izlenmemiştir.
Öneri: Gözden geçirme görevinin kişiye değil role atanması ve kurumsal bir takip aracında planlanması değerlendirilebilir.

Bu biçimde raporu okuyan yönetici bulguyu tek paragrafta anlar, DÖF sahibi de neyi düzelteceğini görür. Uzun açıklamaya gerek kalmaz.

Derecelendirme ve mutabakat

Derecelendirme ölçeği

İç denetim bulguları, yönetimin önceliklendirme yapabilmesi için derecelendirilir. Belgelendirme denetimlerindeki majör/minör ayrımı farklı bir amaca hizmet eder; iki sınıflandırmanın karşılaştırması için majör ve minör uygunsuzluk farkı rehberine bakabilirsiniz. Örnek bir iç denetim ölçeği:

Derece	Tanım	Beklenen yanıt
Yüksek	Kontrol yok veya sistematik olarak çalışmıyor; önemli bir risk açık	Hızlı aksiyon, üst yönetime raporlama
Orta	Kontrol var ama tutarlı işletilmiyor	Planlı DÖF, belirli hedef tarih
Düşük	Münferit sapma, sınırlı etki	Süreç sahibi düzeyinde düzeltme
Gözlem / iyileştirme fırsatı	Uygunsuzluk değil, geliştirme önerisi	İsteğe bağlı değerlendirme

Derece, bulgunun etki bölümüne ve kuruluşun risk kabul kriterlerine dayanmalıdır; denetçinin genel izlenimine değil. Aynı sapmaya bir denetçi “yüksek”, öbürü “düşük” diyorsa ölçek tanımı eksiktir.

Denetlenenle mutabakat

Mutabakat, denetlenenin bulguyu kabul etmesi değil, olguların doğruluğu üzerinde uzlaşılmasıdır. Önerilen adımlar:

1. Sahada teyit: Sapmayı tespit ettiğiniz anda denetlenene gösterin; eksik kanıt varsa sunması için süre tanıyın. Kapanış toplantısında ilk kez duyulan bulgu, itirazla karşılanır.
2. Taslak paylaşımı: Kapanış toplantısından önce bulgu taslaklarını süreç sahibine gönderin.
3. Kapanış toplantısı: Her bulgu kriter ve kanıtla birlikte okunur. Olgusal hata varsa düzeltilir; yorum farkı varsa kayda geçer.
4. Yönetim yanıtı: Denetlenen, her bulgu için aksiyon, sorumlu ve hedef tarih bildirir. ISO/IEC 27001 madde 10.2 kapsamındaki düzeltici faaliyet süreci buradan başlar.
5. Uzlaşmazlığın kaydı: Denetlenen bulguya katılmıyorsa görüşü rapora eklenir. Bulgu kaldırılmaz; nihai karar denetim programından sorumlu kişiye veya üst yönetime aittir.

Yayın öncesi kontrol listesi

• Her bulguda özel bir kriter referansı var
• Durum ifadesinde dönem, popülasyon, örnek ve sapma sayısı yer alıyor
• Her bulgu en az bir çalışma kâğıdı veya kanıt koduna bağlı
• Metinde kişi adı veya suçlayıcı ifade yok
• Etki, gerçekleşmiş zarar gibi yazılmamış
• Derece, tanımlı ölçeğe göre verilmiş
• Denetlenenin yanıtı veya uzlaşmazlık görüşü eklendi

Bulgu yazımı dahil iç denetimin yürütülmesi ve DÖF takibi ISO 27001 iç denetim ve düzeltici faaliyet yönetimi hizmetinin, kontrol etkinliğinin değerlendirilmesi ise BT güvenlik denetimi hizmetinin konusudur. Denetim bulgusu tanımı ve denetim ilkeleri için ISO 19011:2018 birincil kaynaktır.

Sık sorulan sorular

Her bulguda öneri yazmak zorunlu mu?

Hayır. Kriter ve durum bulgunun zorunlu unsurlarıdır; öneri isteğe bağlıdır. Öneri yazılacaksa belirli bir ürün veya çözümü dayatmamalı, sorunun hangi yönde çözülmesi gerektiğini göstermelidir. Çözümü seçmek ve uygulamak denetlenenin sorumluluğudur.

Denetlenen bulguya itiraz ederse bulgu kaldırılır mı?

Olgusal bir hata varsa, yani sunulan yeni kanıt durumu değiştiriyorsa bulgu düzeltilir veya kaldırılır. Yalnızca yorum farkı varsa bulgu kalır ve denetlenenin görüşü rapora eklenir; nihai kararı denetim programından sorumlu kişi veya üst yönetim verir.

Neden bölümünü denetçi mi yazmalı, denetlenen mi?

Denetçi, görüşmeler ve kanıtlardan gözlemlediği nedeni yazar. Ayrıntılı kök neden analizi ise düzeltici faaliyet sürecinde denetlenenin sorumluluğundadır. Denetçinin yazdığı neden bu analize başlangıç noktası verir.

İç denetim bulgusunda majör ve minör sınıflandırması kullanılabilir mi?

Kullanılabilir, ancak bu sınıflar belgelendirme denetimi bağlamında tanımlanmıştır. İç denetimde yönetimin önceliklendirme yapabilmesi için risk temelli bir ölçek (yüksek, orta, düşük, gözlem) genellikle daha kullanışlıdır. Hangi ölçek seçilirse seçilsin denetim prosedüründe tanımlanmalıdır.