ISO 42001 iç denetimi nasıl yapılır? Planlamadan düzeltici faaliyete adım adım
İç denetim, yapay zekâ yönetim sisteminizin belgelendirme denetiminden önce gerçekten çalıştığını kanıtladığınız aşamadır. Doğru planlanan bir iç denetim, belgelendirme denetiminde sürprizleri azaltır.
ISO/IEC 42001 iç denetimi; yapay zekâ yönetim sisteminin standardın gerekliliklerine ve kurumun kendi kurallarına uygun olup olmadığını, etkin biçimde uygulanıp uygulanmadığını planlı aralıklarla doğrulamaktır. Süreç; denetim programı, kapsam ve kriterler, yetkin ve tarafsız denetçi, kontrol listesi, kanıt toplama, bulguların sınıflandırılması, rapor ve düzeltici faaliyet adımlarından oluşur. Sonuçlar yönetimin gözden geçirmesine girdi sağlar.
İç denetim neden gerekli?
ISO/IEC 42001, diğer ISO yönetim sistemi standartlarıyla aynı üst yapıyı kullanır ve kurumun planlı aralıklarla iç denetim yapmasını bekler. Belgelendirme kuruluşu, denetim sırasında iç denetimin yapıldığını, bulguların ele alındığını ve sonuçların yönetime raporlandığını görmek ister.
Daha önemlisi, iç denetim yapay zekâ politikalarının, risk ve etki değerlendirmelerinin ve kontrollerin kâğıt üzerinde kalıp kalmadığını ortaya çıkarır.
İç denetim adım adım
Program
Yıllık denetim programı; kapsam, sıklık ve süreçlerin riskine göre öncelik.
Plan
Denetim planı: kriterler, görüşülecek roller, incelenecek kayıtlar ve takvim.
Saha çalışması
Görüşme, kayıt inceleme ve örneklemeyle kanıt toplanır.
Bulgular
Uygunsuzluk, gözlem ve iyileştirme fırsatları sınıflandırılır.
Rapor ve takip
Rapor yönetime sunulur; düzeltici faaliyetler kapanışa kadar izlenir.
Denetimde odaklanılacak alanlar
Bağlam ve kapsam
Yönetim sisteminin kapsamı, yapay zekâ sistemleri ve ilgili tarafların beklentileri tanımlanmış mı?
Liderlik ve politika
Yapay zekâ politikası onaylı mı; roller, sorumluluklar ve yetkiler belirlenmiş mi?
Risk ve etki değerlendirmesi
Yapay zekâ riskleri ve kişi ile toplum üzerindeki etkiler yöntemli biçimde değerlendirilmiş mi?
Kontroller
Seçilen Annex A kontrolleri ve uygulanabilirlik kararları gerekçeli ve uygulanıyor mu?
Yaşam döngüsü ve veri
Yapay zekâ sistemlerinin tasarım, veri, doğrulama, devreye alma ve izleme süreçleri kayıt altında mı?
İzleme ve iyileştirme
Performans ölçülüyor mu; olaylar, uygunsuzluklar ve düzeltici faaliyetler yönetiliyor mu?
Hangi kanıtlar incelenir?
- Yapay zekâ politikası ve onay kayıtları
- Yapay zekâ sistemi envanteri ve sistem sahipleri
- Risk değerlendirmesi ve yapay zekâ etki değerlendirmesi kayıtları
- Uygulanabilirlik bildirgesi ve kontrol seçim gerekçeleri
- Veri kaynakları, veri kalitesi ve doğrulama kayıtları
- Tedarikçi ve üçüncü taraf yapay zekâ değerlendirmeleri
- Eğitim ve yetkinlik kayıtları
- İzleme metrikleri, olay kayıtları ve önceki denetim bulgularının kapanışı
Bulgular nasıl sınıflandırılır?
- Majör uygunsuzluk: Bir gerekliliğin hiç karşılanmaması veya sistemin amacına ulaşmasını engelleyen eksiklik.
- Minör uygunsuzluk: Gereklilik karşılanıyor ancak uygulamada münferit veya kısmi eksiklik var.
- Gözlem / iyileştirme fırsatı: Uygunsuzluk değil, ancak ileride risk yaratabilecek ya da geliştirilebilecek alan.
Her uygunsuzluk için kök neden analizi yapılmalı, düzeltici faaliyet planlanmalı ve etkinliği doğrulanmalıdır.
İç denetimi kim yapmalı?
İç denetçi, denetlediği alanda tarafsız olmalıdır; kendi işini denetlememelidir. ISO 19011 denetim yönetimi kılavuzu ve ISO/IEC 42001 gerekliliklerine hâkimiyet beklenir. Kurum içinde bu yetkinlik yoksa iç denetim dışarıdan, bağımsız bir denetçiyle yürütülebilir; bu yaklaşım ilk denetim döngüsünde özellikle faydalıdır.
ISO 42001 iç denetimi hakkında sık sorulanlar
ISO 42001 iç denetimi ne sıklıkla yapılmalı?
Standart planlı aralıklarla iç denetim bekler. Uygulamada en az yılda bir tam kapsamlı döngü yaygındır; yüksek riskli süreçler daha sık denetlenebilir.
İç denetimi kurum çalışanı yapabilir mi?
Evet; yeter ki denetçi yetkin olsun ve kendi sorumluluk alanını denetlemesin. Tarafsızlık sağlanamıyorsa dış kaynaklı iç denetim tercih edilebilir.
Belgelendirme denetiminden ne kadar önce iç denetim yapılmalı?
Bulguların kapatılmasına ve yönetimin gözden geçirmesinin yapılmasına zaman kalacak şekilde, belgelendirme denetiminden önce tamamlanmalıdır.
ISO 27001 iç denetimiyle birleştirilebilir mi?
Evet. İki standart aynı üst yapıyı kullandığı için entegre bir denetim programı kurulabilir; yapay zekâya özgü kontroller ve etki değerlendirmeleri ayrıca ele alınmalıdır.
Konuyla ilgili diğer içerikler
ISO 42001 iç denetiminizi bağımsız bir gözle yapalım.
ISO/IEC 42001 Baş Denetçi yetkinliğiyle iç denetiminizi planlayıp yürütür, bulguları belgelendirme öncesinde kapatmanıza destek oluruz.