Denetim yazılımı nedir?
Denetim yazılımı; kapsam, plan, kaynak, kanıt talebi, kontrol testi, çalışma kağıdı, bulgu, aksiyon ve raporlama adımlarını ortak bir denetim izi içinde yöneten uygulamadır.
Denetim ekipleri çoğu zaman planı bir tabloda, kanıt taleplerini e-postada, çalışma kağıtlarını klasörlerde ve aksiyonları başka bir takip aracında yönetir. Bu yapı bireysel adımları tamamlayabilir; ancak bir bulgunun hangi örneklem ve kanıttan doğduğunu, kapanış kararını kimin verdiğini ve güncel risk etkisini tek bakışta göstermez.
Bu nedenle seçim sürecini özellik kutularını işaretlemek yerine gerçek bir denetim senaryosunu uçtan uca çalıştırarak yürütmek gerekir.
12 temel seçim kriteri
- Rol ve görev ayrılığı: Denetçi, denetim yöneticisi, denetlenen kullanıcı ve denetlenen yönetici aynı kayıtta farklı yetkilere sahip olmalı. Talebi oluşturan kişinin kendi yanıtını onaylayamaması gibi görev ayrılığı kuralları test edilmelidir.
- Uçtan uca denetim izi: Oluşturma, değişiklik, onay, ret, yeniden açma ve silme gibi kritik hareketler kullanıcı, zaman ve önceki değerle izlenebilmelidir.
- Kapsam ve planlama: Denetim evreni, risk değerlendirmesi, kapsam varlıkları, kilometre taşları, bütçe ve ekip atamaları birlikte yönetilmelidir.
- PBC ve kanıt akışı: İstenen bilgi veya kanıtın sahibi, dönemi, vadesi, dosyası, sürümü ve inceleme kararı aynı talep üzerinde görünmelidir. Hatırlatma ve gecikme eskalasyonu desteklenmelidir.
- Kontrol testi ve örneklem: Test prosedürü, popülasyon, örnekleme yöntemi, seçilen örnekler, istisnalar ve sonuç ayrı ama bağlantılı kayıtlar olmalıdır.
- Bulgu yaşam döngüsü: Taslaktan yönetici onayına, denetlenen yanıtından aksiyon takibine ve doğrulanmış kapanışa kadar her durumun açık sahibi bulunmalıdır.
- Aksiyon ve kapanış kanıtı: Yalnızca yüzde ilerleme yeterli değildir. Vade değişikliği, uzatma onayı, kapanış kanıtı ve bağımsız doğrulama akışı aranmalıdır.
- İlişkili GRC kayıtları: Risk, kontrol, politika, düzenleme, tedarikçi, kanıt, bulgu ve aksiyonlar birbirine bağlanabilmelidir. Aynı veri farklı raporlarda yeniden girilmemelidir.
- Raporlama ve veri dışa aktarımı: Yönetim özetleri güncel operasyon verisinden üretilmeli; ayrıntıya inilebilmeli ve gerektiğinde açık formatta dışa aktarılabilmelidir.
- Çok kiracılı güvenlik: Tenant bazlı veri izolasyonu, satır seviyesinde erişim, güçlü oturum kontrolleri, MFA ve güvenli dosya işleme somut testlerle doğrulanmalıdır.
- Entegrasyon ve API: Kimlik yönetimi, e-posta, ERP, ITSM ve dosya kaynaklarıyla entegrasyon için belgeli API, webhook ve hata yönetimi bulunmalıdır.
- Kullanılabilirlik ve erişilebilirlik: Sık kullanılan işler birkaç net adımda tamamlanmalı; klavye kullanımı, görünür odak, form etiketleri, hata mesajları ve mobil yeniden akış test edilmelidir.
Ürün demosunda çalıştırılacak örnek senaryo
Hazır sunumu izlemek yerine tedarikçiden aşağıdaki akışı canlı olarak tamamlamasını isteyin:
- Yüksek riskli bir süreç için denetim görevi oluşturun ve iki denetçi atayın.
- Denetlenen kullanıcıdan belirli dönem ve formata sahip bir erişim listesi isteyin.
- Yanlış dönemli bir dosya yükleyin; ret gerekçesinin ve yeniden gönderim geçmişinin korunmasını doğrulayın.
- Popülasyondan örnek seçin, üç istisna kaydedin ve kontrolü kısmen etkin olarak sonuçlandırın.
- Test sonucundan bulgu üretin; denetlenen yönetici yanıtı ve aksiyonu onaylasın.
- Aksiyon için süre uzatımı isteyin, yönetici onaylasın ve kapanış kanıtı yükleyin.
- Denetçi kanıtı doğrulayıp bulguyu kapatsın; bütün adımları denetim izinde geri takip edin.
- Yönetim raporunda risk, bulgu, gecikme ve kontrol etkisini güncel haliyle görün.
Bu senaryo hem ürünün veri modelini hem de ekipler arası geçişlerdeki sürtünmeyi açığa çıkarır. Bir ekranın iyi görünmesi, iş akışının güvenilir olduğu anlamına gelmez.
Kısa puanlama modeli
| Alan | Önerilen ağırlık | Kanıt yöntemi |
|---|---|---|
| İş akışı ve görev ayrılığı | %25 | Canlı uçtan uca senaryo |
| Güvenlik ve tenant izolasyonu | %20 | Mimari doküman + negatif yetki testleri |
| Kanıt, test ve bulgu modeli | %20 | Gerçek örnek kayıtlar |
| Raporlama ve izlenebilirlik | %15 | Kaynak kayda kadar drill-down |
| Entegrasyon ve veri taşınabilirliği | %10 | API ve dışa aktarım denemesi |
| Kullanılabilirlik ve erişilebilirlik | %10 | Rol bazlı görev testi |
Ağırlıkları kurumun risk profiline göre değiştirebilirsiniz. Ancak güvenlik, görev ayrılığı ve denetim izi hiçbir zaman yalnızca beyanla puanlanmamalıdır.
Tedarikçiye sorulacak kritik sorular
- Bir kullanıcının tenant dışı kayda erişmesini hem API hem arayüz seviyesinde nasıl engelliyorsunuz?
- Silinen veya değiştirilen kritik kaydın önceki değerini kim görebilir?
- Kanıt dosyalarında zararlı içerik, bütünlük ve sürüm kontrolü nasıl ele alınıyor?
- Bulgu kapanışı ile aksiyon tamamlanması arasındaki görev ayrılığı yapılandırılabiliyor mu?
- Verilerin tamamı açık ve kullanılabilir formatta dışa aktarılabiliyor mu?
- Ürün güncellemesi sonrası regresyon ve yetki testleri nasıl yapılıyor?
Doğru denetim yazılımı en çok özelliği sunan değil, kurumunuzun güvence modelini bozmadan sadeleştiren üründür.