İç Denetimde Örneklem Nasıl Seçilir? Popülasyon ve Örnek Büyüklüğü

Bir yıl içinde 400 değişiklik kaydı, 120 işe giriş ve 90 işten çıkış yaşanan bir şirkette iç denetçinin hepsine bakması ne mümkün ne de gerekli. Örnekleme, sınırlı sayıda kayıt inceleyerek popülasyonun tamamı hakkında savunulabilir bir sonuca varmanın yoludur. Yanlış kurulursa, denetim raporu yanlış bir güven verir. ISO 19011:2018 yönetim sistemi denetimlerinde örneklemeyi yargısal ve istatistiksel olmak üzere iki yaklaşımla ele alır. Aşağıda BGYS ve ITGC iç denetimlerinde popülasyonun nasıl tanımlanacağını, örneklerin nasıl seçileceğini, kaç örnek alınacağını ve istisna çıktığında ne yapılacağını adım adım anlatıyoruz.

Örneklemenin amacı ve sınırları

Amaç, bir kontrolün denetim dönemi boyunca tasarlandığı gibi çalışıp çalışmadığına dair makul güvence elde etmektir. İki sınırı baştan kabul edin:

• Makul güvence, mutlak güvence değildir. Örnekte istisna çıkmaması, popülasyonda hiç istisna olmadığını kanıtlamaz. Rapor dili de buna göre kurulur: “İncelenen 25 örnekte istisna tespit edilmemiştir.”
• Örnekleme her kontrol için uygun değildir. Yılda bir kez çalışan bir kontrol (örneğin yıllık YGG) için örneklem yoktur; tek olay incelenir. Otomatik bir kontrol (örneğin parola karmaşıklığı politikası) için genellikle yapılandırmanın bir kez doğrulanması ve o yapılandırmayı koruyan değişiklik kontrollerinin test edilmesi yeterlidir.

Örnekleme, seçilen kayıtların nasıl test edileceğinden ayrı bir konudur. Seçilen örneklerle tasarım ve işletim etkinliğinin nasıl test edildiği kontrol etkinliği testi rehberinde ele alınıyor.

Popülasyonun tanımı ve eksiksizliği

Örneklem, seçildiği listeden daha doğru olamaz. Eksik bir listeden özenle seçilmiş bir örnek, yanlış bir sonuç üretir. Popülasyonu tanımlarken şu dört unsur yazılı olmalıdır:

1. Kontrol olayı: Neyi sayıyoruz? “Onaylanmış değişiklik” mi, “üretim ortamına alınan değişiklik” mi? İkisi farklı popülasyonlardır; ikinci tanım onaysız değişiklikleri de yakalar. İlki yakalayamaz.
2. Dönem: Denetim döneminin başlangıç ve bitiş tarihi.
3. Kapsam: Hangi sistemler, lokasyonlar veya birimler dahil?
4. Kaynak: Liste hangi sistemden, hangi raporla, hangi parametrelerle alındı?

Eksiksizlik nasıl doğrulanır?

Denetlenenin e-postayla gönderdiği listeyi doğrudan kullanmak, denetimin en zayıf halkasıdır. Eksiksizliği doğrulamak için:

• Listeyi denetçinin gözü önünde, kaynak sistemden çektirin veya sorgu parametrelerinin ekran görüntüsünü isteyin.
• Bağımsız bir kaynakla mutabakat yapın: İşten çıkış listesi İK sisteminden alınıyorsa, Active Directory’de dönem içinde devre dışı bırakılan hesaplarla karşılaştırın. Değişiklik listesi ticket sisteminden alınıyorsa, sunucu veya ağ cihazı yapılandırma geçmişinden birkaç değişiklik seçip listede olup olmadığına bakın (ters yönlü test).
• Kayıt numaralarında boşluk veya mükerrerlik olup olmadığını kontrol edin.
• Dönem başı ve sonu sınır kayıtlarının dahil edildiğini doğrulayın.

Sahada ters yönlü testin en verimli olduğu yer ağ cihazlarıdır. Switch veya firewall üzerindeki yapılandırma arşivinde ya da syslog’daki yapılandırma değişikliği kayıtlarında görünen ama ticket sisteminde karşılığı olmayan bir değişiklik, kontrolün dışından geçen işi gösterir. Gece yapılan “küçük” düzeltmeler genellikle burada çıkar.

Rastgele, sistematik ve yargısal örneklem

Yöntem	Nasıl seçilir?	Güçlü yanı	Sınırlaması
Rastgele	Her kayda eşit seçilme şansı; tekrarlanabilir rastgele sayı	Tarafsız, savunulabilir	Yüksek riskli kayıtları kaçırabilir
Sistematik	Aralık k = N ÷ n; rastgele başlangıçtan her k’ıncı kayıt	Dönemi eşit kapsar	Listede periyodik desen varsa yanılır
Yargısal	Denetçi riske göre seçer	Yüksek riskli alanlara odaklanır	Popülasyon geneline genelleme zayıf

BGYS iç denetimlerinde yargısal örneklem yaygındır ve ISO 19011 bunu kabul eder; ancak seçim gerekçesi yazılmalıdır. En savunulabilir yol iki yöntemi birleştirmektir: örneğin değişiklik kayıtlarından 20 adedini rastgele, 5 adedini de yargısal olarak (hafta sonu yapılan değişiklikler, acil değişiklikler, yetkili hesap değişiklikleri) seçmek. Rastgele kısım genelleme hakkı verir. Yargısal kısım riski avlar.

Tekrarlanabilir rastgele seçim

Rastgele seçimin bir başkası tarafından yeniden üretilebilmesi için sabit bir tohum (seed) değeri kullanın ve bu değeri çalışma kâğıdına yazın. PowerShell ile CSV’den seçim:

$pop = Import-Csv .\degisiklikler_2026.csv
$pop.Count   # popülasyon sayısını çalışma kağıdına yazın
$pop | Get-Random -Count 25 -SetSeed 20261110 |
    Sort-Object KayitNo |
    Export-Csv .\orneklem_degisiklik.csv -NoTypeInformation -Encoding UTF8

Aynı işlem Python ile:

import csv, random
with open("degisiklikler_2026.csv", encoding="utf-8") as f:
    pop = list(csv.DictReader(f))
random.seed(20261110)
orneklem = random.sample(pop, 25)
print(len(pop), [r["KayitNo"] for r in orneklem])

Aynı tohum ve aynı girdi dosyasıyla aynı araç her çalıştırıldığında aynı örnekleri getirir. Farklı araçlar (PowerShell ve Python) aynı tohumla aynı sonucu üretmez. Hangi aracın ve hangi sürümünün kullanıldığını da kaydedin (örneğin $PSVersionTable.PSVersion veya python --version çıktısı); rastgele sayı üretecinin davranışı sürümler arasında değişebilir. Girdi dosyasının özet değerini (örneğin Get-FileHash veya sha256sum çıktısı) çalışma kâğıdına eklemek, popülasyonun sonradan değişmediğini gösterir. Hash yoksa, dosyanın değişmediğini kanıtlayamazsınız.

Kontrol sıklığına göre örnek büyüklüğü

Yönetim sistemi iç denetimlerinde istatistiksel örnek büyüklüğü hesaplamak nadiren gerekir. Yaygın pratik, kontrolün çalışma sıklığına göre önceden belirlenmiş bir rehber tablo kullanmaktır. Aşağıdaki değerler BT kontrol denetimlerinde sıkça başvurulan aralıklardan derlenmiş örnek değerlerdir; kuruluşun denetim metodolojisinde onaylanarak kullanılmalıdır.

Kontrol sıklığı	Yıllık olay sayısı	Örnek büyüklüğü (örnek)
Yıllık	1	1
Çeyreklik	4	2
Aylık	12	2–5
Haftalık	52	5–15
Günlük	yaklaşık 250–365	20–40
Günde birden çok / olay bazlı	yüzlerce ve üzeri	25–60

Aralığın hangi ucunun seçileceği risk değerlendirmesine bağlıdır. Üst uç şu durumlarda tercih edilir: kontrol yüksek riskli bir alanı korur, önceki denetimde istisna bulunmuştur, kontrol manuel ve karmaşıktır ya da kontrolü yürüten kişi dönem içinde değişmiştir. Dönem içinde kontrol tasarımı değiştiyse (örneğin onay akışı e-postadan ticket sistemine taşındıysa) eski ve yeni tasarım iki ayrı popülasyon olarak ele alınır ve her birinden örnek seçilir.

Küçük popülasyonlarda (örneğin dönem içinde 8 işten çıkış) tablodaki sayı popülasyonu aşıyorsa tüm kayıtlar incelenir. Bu örnekleme değil, tam incelemedir ve çalışma kâğıdında öyle adlandırılmalıdır.

İstisna bulunduğunda yapılacaklar

Örnekte bir sapma çıktığında ilk refleks, o kaydı “açıklanabilir durum” diye kenara koyup yerine yenisini seçmek olmamalıdır. Bu, sonucu çarpıtmaktır. Önerilen sıra:

1. İstisnayı doğrulayın: Gerçekten kontrol başarısızlığı mı, yoksa kanıt başka yerde mi? Denetlenene kanıt sunması için makul süre tanıyın.
2. Nedenini anlayın: Tek seferlik insan hatası mı, sistematik bir eksiklik mi? Sistematik bir neden varsa (örneğin acil değişikliklerde onay adımının hiç işletilmemesi), örneklemi genişletmek sonucu değiştirmez; kontrol etkin değildir.
3. Örneklemi genişletmeyi değerlendirin: İstisna münferit görünüyorsa ek örnek seçilir. Ek örnek sayısı denetim metodolojisinde önceden tanımlanmalıdır; bazı metodolojiler ilk örnek büyüklüğü kadar ek örnek alınmasını öngörür. Ek örneklerde de istisna çıkarsa kontrol etkin değil sonucuna varılır.
4. Benzer kayıtları hedefleyin: İstisna belirli bir kişiye, sisteme veya döneme bağlıysa, o alt kümeden yargısal ek örnek seçin.
5. Bulguyu yazın: İstisna sayısı, toplam örnek ve popülasyon büyüklüğü bulgu metninde açıkça yer almalıdır. Bulgunun yapısı için denetim bulgusu yazımı rehberine bakabilirsiniz.

Örneklemin belgelenmesi

İyi belgelenmiş örneklem, başka bir denetçinin aynı örnekleri seçip aynı sonuca ulaşabilmesini sağlar. Çalışma kâğıdında şu alanlar bulunmalıdır:

• Test edilen kontrol ve kontrol referansı (Annex A veya ITGC numarası)
• Popülasyon tanımı, dönem, kaynak sistem ve rapor parametreleri
• Popülasyon büyüklüğü ve eksiksizlik doğrulamasının nasıl yapıldığı
• Seçim yöntemi, tohum değeri veya yargısal seçim gerekçesi
• Örnek büyüklüğü ve rehber tablodan sapma varsa gerekçesi
• Her örnek için test sonucu ve kanıt referansı
• İstisnalar, genişletme kararı ve sonuç

Sahada sık görülen hatalar

• Popülasyonu denetlenenin e-postayla gönderdiği tablodan almak: Kaynak ve parametreler bilinmediği için eksiksizlik savunulamaz.
• Örnekleri denetlenene seçtirmek: “Bize birkaç örnek gösterin” talebi, en düzgün kayıtların sunulmasıyla sonuçlanır. Her seferinde.
• Dönemin yalnızca bir kısmından seçmek: Tüm örnekler son iki aydan seçildiyse sonuç yalnızca o iki ay için geçerlidir.
• Örnek büyüklüğünü sonradan küçültmek: Zaman yetmediği için planlanandan az örnek incelendiyse bu durum ve sonucun sınırlılığı çalışma kâğıdına yazılmalıdır.

Örneklem kararlarının denetim programı düzeyinde planlanması ISO 27001 iç denetim programı rehberinde; erişim gözden geçirme gibi sık örneklenen bir kontrolün kanıt yapısı ise erişim gözden geçirme kanıtı rehberinde ele alınıyor. Örneklem tasarımı dahil iç denetimin yürütülmesi ISO 27001 iç denetim ve ITGC denetim hazırlığı hizmetlerinin kapsamındadır. Denetim ilkeleri için birincil kaynak ISO 19011:2018 standardıdır.

Sık sorulan sorular

İç denetimde istatistiksel örneklem kullanmak zorunlu mu?

Hayır. ISO 19011:2018 hem yargısal hem istatistiksel örneklemeyi tanır; yönetim sistemi iç denetimlerinde yargısal örneklem yaygındır. Seçim yöntemi ve gerekçesi belgelenmeli, sonuç da örneklemin sınırlarına uygun bir dille raporlanmalıdır.

Otomatik kontroller için kaç örnek gerekir?

Otomatik bir kontrol aynı yapılandırmayla her seferinde aynı şekilde çalıştığı için genellikle yapılandırmanın bir kez doğrulanması yeterlidir. Ancak bu sonuç, o yapılandırmayı koruyan değişiklik ve erişim kontrollerinin de etkin olmasına bağlıdır.

Örnekte istisna çıkarsa o örneği değiştirebilir miyim?

Hayır. İstisna içeren bir örneği yenisiyle değiştirmek sonucu çarpıtır. İstisna doğrulanır, nedeni araştırılır ve gerekirse örneklem genişletilir; istisna her durumda çalışma kâğıdında kalır.

Popülasyon küçükse ne yapılmalı?

Rehber tablodaki örnek büyüklüğü popülasyona yakın veya ondan büyükse tüm kayıtlar incelenir. Bu durum çalışma kâğıdında örnekleme değil tam inceleme olarak belirtilir.