İç denetim soru listesini fazla karmaşık hale getirmeden nasıl tasarlıyorsunuz

Son iki iç denetimde aynı soruyla karşılaştım: kontrol listemiz gerçekten denetimi kolaylaştırıyor mu, yoksa yalnızca daha fazla kutucuk işaretlememize mi neden oluyor? Özellikle birden fazla süreç ve sorumlunun bulunduğu yapılarda, soru listesi uzadıkça denetçi görüşmesi parçalanıyor; kritik kanıtlar görünmez hâle gelirken ekip de denetimi bir “form tamamlama” çalışması olarak algılıyor.

Bu nedenle mevcut listeyi azaltmadan önce, her sorunun hangi kararı desteklediğine baktık. Soru; sürecin amacı, riskleri, sorumluluğu veya performans sonucu hakkında anlamlı bir kanıt üretmiyorsa onu ya birleştirdik ya da denetim notlarına taşıdık. Böylece liste daha kısa olmakla kalmadı, denetim konuşmasının akışı da belirgin biçimde iyileşti.

Soru sayısını değil, karar kalitesini tasarlamak

İyi bir iç denetim soru listesi, standart maddelerini art arda sıralayan bir kontrol formu değildir. Denetçiye; sürecin nasıl çalıştığını, hangi riskleri yönettiğini ve hangi kanıtların güvenilir olduğunu hatırlatan bir çalışma aracıdır. Biz bu nedenle her bölümü üç temel başlıkta topluyoruz:

• Amaç ve beklenen çıktı: Süreç hangi ihtiyacı karşılıyor, başarı nasıl anlaşılıyor?
• Uygulama ve sorumluluk: İş adımları kim tarafından, hangi kuralla ve hangi kayıtla yürütülüyor?
• İzleme ve iyileştirme: Sonuçlar hangi göstergelerle izleniyor, bir sapma görüldüğünde ne yapılıyor?

Bu çerçeve aynı zamanda soru tekrarlarını yakalamayı da kolaylaştırıyor. Örneğin doküman güncelliği, kayıt erişimi ve sorumluluk ataması için ayrı ayrı sorular sormak yerine; ilgili sürecin çalışan tarafından güncel dokümana erişilerek ve tanımlı sorumlulukla yürütüldüğünü tek bir kanıt zinciri içinde değerlendirebiliyoruz.

Denetimden önce kısa ama hedefli hazırlık

Hazırlık aşamasında önce önceki denetim bulgularını, düzeltici faaliyetleri ve süreç performansını gözden geçiriyoruz. Ardından denetlenecek birimin son dönemde yaşadığı değişiklikleri soruyoruz: yeni bir yazılım, değişen sorumluluklar, yoğun dönemler, tedarikçi değişimi veya yeni müşteri beklentileri gibi. Bu bilgi, soru listesindeki vurguyu belirliyor.

Her denetim için aynı uzun kontrol listesini kullanmak yerine, ortak çekirdek soruların yanına en fazla beş adet süreç özelinde soru ekliyoruz. Çekirdek bölüm; politika, rol, kayıt, risk ve performans takibini kapsıyor. Sürece özel bölüm ise o dönemdeki gerçek risklere odaklanıyor. Böylece denetim planı standartla uyumlu kalırken, konuşma günlük işleyişten kopmuyor.

Hazırlık notunda ayrıca üç belge veya kaydı önceden seçiyoruz. Denetim sırasında tüm arşivi istemek yerine, bu kayıtları başlangıç noktası kabul edip ilgili kişinin çalışma akışını takip ediyoruz. Çoğu durumda asıl faydalı bulgu, kayıtların varlığından çok kayıt ile sahadaki uygulama arasındaki farktan çıkıyor.

Denetim sırasında kullandığım soru akışı

Görüşmeye “Bu süreçte sizin için iyi sonuç ne demek?” sorusuyla başlamak, çalışanı savunmaya geçirmeden bağlamı anlamayı sağlıyor. Sonrasında sürecin gerçek akışı üzerinden ilerliyorum. Aşağıdaki sıralama hem farklı departmanlarda tutarlı bir görüşme yapmamıza hem de notları karşılaştırmamıza yardımcı oluyor:

1. Sürecin girdisi nereden geliyor ve ilk kontrol noktası nedir?
2. Hangi durumda iş akışı normal seyrinden çıkar, bu durumda kim karar verir?
3. Çalışanın ihtiyaç duyduğu güncel talimat veya kayıt nerede bulunur?
4. Sonucun doğru, zamanında ve izlenebilir olduğunu nasıl anlıyorsunuz?
5. Son dönemde tekrar eden bir sorun oldu mu; olduysa kalıcı çözüm için ne değişti?

Soruların ardından mutlaka bir örnek olay istiyoruz. “Geçen hafta yaşanan bir talebi birlikte inceleyebilir miyiz?” yaklaşımı, genel cevapların somut kanıtlarla desteklenmesini sağlıyor. Burada amaç çalışanı hataya zorlamak değil; tasarlanan sistemin gerçek çalışma koşullarında ne kadar anlaşılır olduğunu görmek.

Kanıtları değerlendirme ve not alma biçimi

Notlarımızı doğrudan uygunsuzluk diliyle tutmuyoruz. Önce gözlemi, ardından görülen kanıtı ve varsa riski yazıyoruz. Örneğin “prosedür uygulanmıyor” yerine “görüşülen iki kayıtta güncel revizyon numarası bulunamadı; çalışanlar doğru şablonu ortak klasör yerine e-posta eklerinden açtıklarını belirtti” ifadesi daha adil ve çözüme yakındır.

Bu yaklaşım kapanış toplantısında da işleri kolaylaştırıyor. Süreç sahibi, bulgunun hangi kanıta dayandığını ve neyi iyileştirmesi gerektiğini açıkça görüyor. Denetçi içinse yorum ile kanıt arasındaki sınır korunmuş oluyor. Gözlemlerin önem derecesini değerlendirirken müşteri etkisi, mevzuat riski, tekrar olasılığı ve mevcut kontrolün etkinliği üzerinden ortak bir ölçüt kullanıyoruz.

Kısa bir liste, yüzeysel denetim anlamına gelmez. Doğru seçilmiş sorular; daha fazla görüşme, daha güçlü kanıt ve daha uygulanabilir iyileştirme fırsatı sağlar.

Kapanış ve takip için önerdiğimiz düzen

Kapanışta her bulguyu üç başlıkla özetliyoruz: mevcut durum, beklenen durum ve önerilen ilk adım. Düzeltici faaliyet sahibinin sadece bir tarih vermesi yerine, kök nedeni nasıl değerlendireceğini ve etkinliği hangi kayıtla kontrol edeceğini de planlamasını istiyoruz. Bu sayede faaliyetler “kapandı” olarak işaretlense bile öğrenme döngüsü açık kalıyor.

Bizim ekipte işe yarayan bir başka uygulama da, denetim sonrasında on beş dakikalık mini bir geri bildirim oturumu yapmak oldu. Süreç sahipleri hangi soruların anlaşılır olduğunu, hangi kanıtları bulmakta zorlandıklarını ve bir sonraki denetim için neleri iyileştirebileceğimizi paylaşabiliyor. Kontrol listesi de bu geri bildirimlerle yaşayan bir dokümana dönüşüyor.

Topluluktaki deneyimleri merak ediyorum: Siz soru listenizi süreç sahibine önceden gönderiyor musunuz, yoksa denetim sırasında mı kullanıyorsunuz? Özellikle kapsamlı ISO 9001 iç denetimlerinde tekrar eden soruları azaltmak için kullandığınız bir yöntem veya örnek şablon varsa paylaşmanız çok faydalı olur.