Denetime Hazırlık: Dört Mevzuatta da İşe Yarayan Kayıt Disiplini

Denetimde sorulan soru neredeyse hiçbir zaman "bunu yaptınız mı?" değildir. Soru şudur: "yaptığınızı gösterebiliyor musunuz?" İkisi arasındaki fark, uyum işinin tamamıdır. Yapılmış ama kaydı olmayan bir iş, denetim açısından yapılmamış sayılır.

İyi haber şu: dört uyum alanı farklı mevzuatlardan doğsa da, kanıt konusunda hemen hemen aynı şeyi ister. Bu yüzden bir kez kurulan kayıt disiplini dördünde birden işe yarar.

Beş kural

1. Kayıt, işin olduğu anda ve yerde tutulur

Vardiya sonunda ofiste hatırlanarak doldurulan form, kayıt değil rekonstrüksiyondur. Saha kaydı sahada girilmelidir: ramak kala fark edildiği anda, devriye turu noktada, sayaç okuması okuma anında. Sonradan toplu doldurulan kayıtlar genellikle birbirine benzer, aynı saat aralıklarında yoğunlaşır ve denetçinin gözünden kaçmaz.

2. Her kaydın sahibi ve zamanı olur

Bir kaydın kanıt değeri taşıması için üç bilginin tartışmasız olması gerekir: kim girdi, ne zaman girdi, neye ilişkin. Ortak bir kullanıcı hesabından girilen kayıtlar bu üçlüyü bozar; "sistem yöneticisi" tarafından girilmiş yüzlerce saha kaydı, izlenebilirliği fiilen ortadan kaldırır.

3. Geçmiş silinmez, üzerine yazılır

Excel'in kanıt üretememesinin temel sebebi budur: bir hücre güncellendiğinde önceki değer kaybolur. Kanıt için gereken, değişikliğin de kayıt altına alınmasıdır — eski değer neydi, kim değiştirdi, ne zaman. Bir kaydı düzeltmek meşrudur; düzeltmenin izini bırakmamak değildir.

4. Tekrar eden iş takvime bağlanır

Periyodik kontrol, eğitim tazeleme, tatbikat, dönemsel raporlama — dört alanın da omurgası tekrar eden işlerdir. Tekrar eden bir işi hatırlamaya bırakmak, er ya da geç kaçırmak demektir. Sıklık bir kez tanımlanır, görev zamanı geldiğinde kendiliğinden düşer ve kapanmadığında görünür kalır.

5. Kayıt dışa aktarılabilir olmalı

Denetim günü sizden istenen, ekranınızda güzel görünen bir tablo değil, teslim edilebilir bir belgedir. Sistemi seçerken sorulacak soru nettir: istediğim dönemin kaydını, istediğim kırılımda dışa aktarabiliyor muyum? Bu soru sözleşme öncesinde sorulmazsa, denetim sabahı sorulur.

Sık görülen dört hata

• Toplu doldurma. Bir aylık devriye kaydının ay sonunda tek oturumda girilmesi. Zaman damgaları bunu ele verir.
• Ortak hesap. "Saha" adında tek bir kullanıcıyla çalışmak. Kolaydır, ama izlenebilirliği yok eder.
• Kayıt enflasyonu. Her şeyi kaydetmek, önemli olanı görünmez kılar. Amaçla sınırlı kayıt hem KVKK açısından doğrudur hem de denetimde işe yarar; ayrıntısı veri yönetimi yazısında.
• Dört ayrı arşiv. Aynı olayın iki farklı sistemde iki farklı anlatımı, denetimde açıklaması en zor durumdur. Kesişme noktalarını bağlantılı riskler yazısında ele aldık.

Denetimden önceki hafta değil, ilk günden

Kayıt disiplini denetimden bir hafta önce kurulamaz; kurulmaya çalışıldığında ortaya çıkan şey de zaten denetçinin aradığı şeyin tam tersidir. Disiplin ilk günden kurulursa, denetim ayrı bir hazırlık projesi olmaktan çıkar ve rutin bir dışa aktarma işine döner.

Hangi yükümlülüklerin sizi bağladığını netleştirmek için uyum haritası, dördünü tek takvimde toplamak için dört uyum riski yazımıza bakabilirsiniz. Alan bazında derinlik için FocusISG, FocusNöbet, FocusHavza ve FocusKarbon sitelerindeki rehberler var.

Denetim günü nasıl ilerler?

Denetimin biçimi alana göre değişse de akış genellikle benzerdir ve bunu bilmek hazırlığı kolaylaştırır.

Önce sistemin varlığı sorulur: bir politika, bir prosedür, bir plan var mı? Sonra uygulandığının kanıtı istenir — ki asıl aşama budur. En sonda örnekleme yapılır: belirli bir tarih ya da belirli bir çalışan seçilir ve "bu kayıt nerede?" diye sorulur.

Üçüncü aşama, kayıt disiplini olmayan işletmelerin takıldığı yerdir. Politika hazırlanabilir, prosedür yazılabilir; ama rastgele seçilen bir günün kaydı ancak o gün gerçekten tutulduysa vardır. Bu yüzden hazırlık, belge üretmek değil kayıt alışkanlığı kurmaktır.

Kendi kayıtlarınızı test edin: beş soru

Denetçiyi beklemeden kendi sisteminizi sınayabilirsiniz. Rastgele bir tarih seçin ve şunları sorun:

1. O gün tutulması gereken kayıtların hepsi var mı? Eksik olan varsa, neden eksik olduğunu bugün öğrenmek denetim gününde öğrenmekten iyidir.
2. Kayıtların zaman damgaları makul mü? Bir günün tüm kayıtları aynı saat diliminde yoğunlaşmışsa, muhtemelen sonradan girilmiştir.
3. Kim girdi belli mi? Ortak hesap görüyorsanız izlenebilirlik yok demektir.
4. Bir kayıt değiştirilmiş mi, değiştiyse izi var mı? Değişiklik meşrudur; izsiz değişiklik değildir.
5. Bu tarihin kaydını 10 dakikada dışa aktarabiliyor musunuz? Aktaramıyorsanız denetim günü de aktaramayacaksınız.

Bu testi üç ayda bir yapmak, yıllık denetim hazırlığının büyük bölümünü ortadan kaldırır.

Yüklenici kayıtları en zayıf halkadır

Kendi personelinizin kaydı genellikle düzgündür; sorun taşeron ve ziyaretçi tarafında çıkar. Kapıdan giren bir yüklenici personelinin eğitim kaydı, giriş izni ve yaptığı işin kaydı çoğu tesiste üç ayrı yerde, bazen hiçbir yerde durur.

Pratik çözüm, yüklenici kaydını kendi personelinizle aynı disipline tabi tutmaktır: aynı lokasyon ağacı, aynı zaman damgası mantığı, aynı sorumlu ataması. Bu kesişmenin ayrıntısını bağlantılı riskler yazısında ele aldık.

Sık sorulan sorular

Kayıtları ne kadar süre saklamalıyız?

Saklama süresi kayıt türüne ve dayandığı mevzuata göre değişir; tek bir süre yoktur. Doğru yöntem, her kayıt türü için süreyi saklama ve imha politikanızda yazılı hale getirmek ve süresi dolanı gerçekten imha etmektir. Süresiz saklamak güvenli değil, ek yükümlülüktür.

Kâğıt kayıt hâlâ geçerli mi?

Geçerlidir, ama üç zayıflığı vardır: aranamaz, yedeklenmez ve değişiklik izi tutmaz. Kâğıt kullanmaya devam edecekseniz en azından tarama ve arşivleme disiplinini kurun.

Denetimden önce eksik kayıtları tamamlayabilir miyiz?

Geçmişe dönük kayıt üretmek, eksik kayıttan daha ağır bir sorundur; zaman damgaları ve tutarsızlıklar bunu genellikle görünür kılar. Doğru yaklaşım eksiği kabul edip düzeltici faaliyet başlatmaktır — denetçiler bunu, uydurulmuş bir kayıttan çok daha olumlu değerlendirir.

Eksik bulunduğunda: düzeltici faaliyet döngüsü

Denetimden eksiksiz çıkmak hedef değildir; eksikleri yönetebildiğini göstermek hedeftir. Bir uygunsuzluk tespit edildiğinde işleyen bir döngünüz varsa, bulgu bir kriz değil rutin bir kayıttır. Döngü beş adımdır:

1. Kaydet. Uygunsuzluğu tarihi, kaynağı ve kapsamıyla sisteme girin. Sözlü aktarılan bulgu, birkaç hafta içinde kaybolur.
2. Kök nedeni ara. "Unutulmuş" bir kök neden değildir; neden unutulduğu kök nedendir — hatırlatma yok muydu, sorumlu belirsiz miydi, süre gerçekçi değil miydi?
3. Sorumlu ve termin ata. Sahibi ve tarihi olmayan düzeltici faaliyet, kapanmayan düzeltici faaliyettir.
4. Uygula ve kanıtla. Yapılan işin kendi kaydını üretmesi gerekir; düzeltmenin de kanıtı olur.
5. Etkinliği doğrula. Bir sonraki dönemde aynı bulgu tekrar ediyorsa, düzeltme değil yalnızca kapatma yapılmıştır.

Son adım en sık atlanandır ve en çok şeyi anlatandır. Tekrar eden bulgular, denetçiye sistemin çalışmadığını tek başına gösterir. Aynı bulgunun ikinci kez çıkmaması, birinci kez hiç çıkmamasından daha güçlü bir işarettir.

Bu döngü dört uyum alanında da aynı şekilde işler — dördünü tek takvimde toplamanın pratik faydalarından biri de budur: tek bir düzeltici faaliyet listesi, dört alanın bulgularını birlikte taşır.