Sık Sorulan Sorular

ISO/IEC 27001:2022 standardında iç denetim, sistemin etkinliğini test etmenin en güçlü aracıdır.
Ancak yapılan iç denetimin değeri, sonuçların ne kadar profesyonelce raporlandığıyla doğru orantılıdır.

Bu yazıda, 2025 yılına uygun formatlarla ISO 27001 iç denetim raporu nasıl hazırlanır, hangi başlıkları içermelidir, nelere dikkat edilmelidir – adım adım açıklıyoruz.

ISO 27001’de İç Denetim Raporu Neden Kritik?

• Madde 9.2 – İç Denetim gereği her yıl en az 1 kez yapılmalı

• Dış denetimlerde ilk incelenen belge: İç denetim raporları

• Sistem açıkları, uygunsuzluklar, iyileştirme alanları raporda açıkça yer almalıdır

• Rapor, üst yönetim kararlarını besleyen öncelikli girdi niteliğindedir

ISO 27001 İç Denetim Raporu Formatı (Başlıklarla)

1. Giriş (Amaç ve Kapsam)

• Denetimin amacı: ISO 27001'e uygunluğun değerlendirilmesi

• Kapsam: Denetlenen birimler, süreçler veya lokasyonlar

• Denetim tarihi ve süresi

2. Denetim Ekibi ve Görevleri

• Baş denetçi ve yardımcı denetçiler

• Tarafsızlık beyanı (göreceli bağımsızlık vurgulanmalı)

3. Denetim Kriterleri

• ISO/IEC 27001:2022 standardı

• Kuruluşun bilgi güvenliği politikası ve prosedürleri

• Önceki denetim raporları / düzeltici faaliyet kayıtları

4. Denetim Yöntemi

• Doküman inceleme

• Saha gözlemi

• Soru-cevap (çalışanlarla mülakat)

• Örneklem kontrol yöntemi

5. Gözlemler ve Bulgular

Aşağıdaki üç kategoriye ayrılarak sunulmalı:

Her bulgu için şu bilgiler olmalı:

• Bulgu no

• Denetlenen alan

• Uygulanan kriter (örnek: Madde A.9.1.1)

• Gözlem açıklaması

• Kanıt (doküman kodu, görüşme notu vs.)

6. Sonuçlar ve Özet Değerlendirme

• Sistem genel durumu: Uygun / Kısmen uygun / Uygun değil

• Toplam uygunsuzluk sayısı

• Kritik eksiklikler varsa vurgulanmalı

• Genel öneriler ve güçlü alanlar

7. Düzeltici Faaliyet Gerektiren Uygunsuzluklar

• Her NC için ayrı düzeltici faaliyet formuna referans verilmelidir

• Sorumlular ve son tarihler önerilmelidir

8. Denetim Takımı İmzası ve Onay

• Baş denetçi imzası

• Gözden geçiren yönetici onayı

• Rapor yayım tarihi ve versiyonu

Uygulamalı Kısa Örnek – Uygunsuzluk Girdisi

• Bulgu No: NC-03

• Birim: BT Departmanı

• Kriter: ISO 27001 A.8.1.1 - Varlıkların Belirlenmesi

• Gözlem: Bazı kullanıcı cihazları (mobil tabletler) envanterde yer almıyor

• Kanıt: BT Envanter Listesi v.2.1 (Tablet kaydı yok)

• Kategori: Majör uygunsuzluk

• Düzeltici Faaliyet: 30 gün içinde envanterin güncellenmesi ve prosedürün revizyonu

YYS Danışmanlık ile Denetimleriniz Güçlü ve Hazır

YYS olarak:

• ISO 27001 sisteminiz için planlı iç denetimleri organize ediyor

• Denetim raporunuzu formatlı, denetime hazır şekilde düzenliyoruz

• Gözlemden düzeltici faaliyete kadar uçtan uca raporlama desteği sağlıyoruz

Profesyonel rapor, sistemin aynasıdır.
Yazılan her satır, sistemin sürdürülebilirliğini temsil eder.