ISO 19011:2026, 27 Mayıs 2026 tarihinde dördüncü baskı olarak yayımlandı ve ISO 19011:2018’in yerini aldı. İlk bakışta değişikliklerin uzaktan tetkik, bulut sistemleri, yapay zekâ ve siber güvenlik çevresinde toplandığı söylenebilir. Bu ifade bütünüyle yanlış değil; fakat standardın getirdiği asıl değişimi biraz gölgeliyor.
Yeni baskının temel mesajı şu: Tetkik artık fiziksel bir tesiste, dosya ve kayıt inceleyerek yürütülen faaliyetten ibaret değil. Prosesler sanal ortamlara taşındı, kanıtlar bulutta tutuluyor, görüşmeler farklı şehirlerden yapılıyor ve bazı kayıtlar yapay zekâ destekli sistemler tarafından üretiliyor. ISO 19011:2026, tetkikin bu ortamda da güvenilir kalabilmesi için yöntemi, riski ve tetkikçi yetkinliğini yeniden düşünmemizi istiyor.
Önce bir yanlış anlaşılmayı kaldıralım: ISO 19011 belgelendirme standardı değildir
ISO 19011, yönetim sistemi tetkiklerinin nasıl planlanacağı, yürütüleceği ve tetkikçilerin nasıl değerlendirileceği hakkında rehberlik verir. Kuruluşlar ISO 19011’e göre belgelendirilmez. Bu nedenle ISO 9001 veya ISO 14001 revizyonlarında gördüğümüz türden resmî bir belge geçiş süresi de bulunmaz.
Bu, yeni baskının bekletilebileceği anlamına gelmiyor. İç tetkik prosedürünüzde, tetkik programınızda veya tetkikçi eğitimlerinizde ISO 19011’i referans alıyorsanız kullandığınız yöntemi yeni baskıya göre gözden geçirmeniz gerekir. Buradaki “geçiş”, sertifikanın üzerindeki tarihi değiştirmek değil, tetkik yaklaşımını güncellemektir.
Resmî değişiklik listesi sanıldığından daha kısa
ISO 19011:2026’nın önsözü iki ana değişikliği açıkça sayıyor: ISO/IEC TS 17012’de yer alan uzaktan tetkik rehberliğinin standarda taşınarak genişletilmesi ve Ek A’nın uzaktan tetkik yöntemleri ile sanal lokasyonları kapsayacak biçimde büyütülmesi. Dolayısıyla revizyonu “yapay zekâ standarda girdi” diye özetlemek fazla iddialı kalır.
Yapay zekâ, bulut ve siber güvenlik daha çok tetkikin içinde çalıştığı yeni ortamı tarif ediyor. Yeni baskı bu ortamda kanıtın doğrulanması, mahremiyetin korunması, uygun metodun seçilmesi ve tetkikçinin yeterliliği konusunda daha güçlü bir çerçeve kuruyor.
2018 yaklaşımından 2026 yaklaşımına
| Konu | 2018’de yaygın uygulama | 2026 ile güçlenen yaklaşım |
|---|---|---|
| Uzaktan tetkik | Destekleyici bir teknik veya zorunlu durum çözümü gibi görülüyordu. | Tanımlı, planlanabilir ve saha yöntemiyle birlikte kullanılabilen bir tetkik metodudur. |
| Tetkik kapsamı | Fiziksel saha, bölüm ve faaliyetler üzerinden kuruluyordu. | Fiziksel lokasyonların yanında sanal lokasyonlar ve çevrim içi yürütülen prosesler de kapsama girer. |
| Kanıt | Kayıtların varlığı ve içeriği öne çıkıyordu. | Dijital kanıtın kaynağı, bütünlüğü, erişim yetkisi ve doğrulanabilirliği ayrıca sorgulanır. |
| Gizlilik | Bilginin yetkisiz kişilere açıklanmaması merkezdeydi. | Gizlilikle birlikte kişisel veri, ekran paylaşımı, kayıt alma ve dijital mahremiyet de değerlendirilir. |
| Tetkikçi yetkinliği | Standart, sektör, proses ve tetkik tekniği bilgisi ağırlıktaydı. | Bunlara ICT araçları, çevrim içi iletişim, dijital örnekleme ve teknoloji kaynaklı riskleri değerlendirme becerisi eklenir. |
1. Uzaktan tetkik artık “çevrim içi toplantı” değildir
Yeni tanıma göre uzaktan tetkik metodu, tetkik faaliyetlerinin tetkik edilenin lokasyonu dışındaki bir yerden yürütülmesinde kullanılan yöntemdir. Bu yöntem tek başına kullanılabileceği gibi tam ve etkili bir tetkik için saha yöntemleriyle birleştirilebilir. Tetkikçi bir tesiste bulunurken aynı kuruluşun başka bir sahasını uzaktan da tetkik edebilir.
Kritik fark burada başlıyor: Bir görüntülü görüşme bağlantısı kurmak, uzaktan tetkik metodunu kurmak değildir. Hangi prosesin uzaktan değerlendirilebileceği, hangi kanıtın ekrandan doğrulanabileceği, bağlantı kesildiğinde ne yapılacağı ve hangi durumda sahaya gidileceği tetkik öncesinde kararlaştırılmalı.
Metot seçiminde pratik ayrım
| Uzaktan yönteme daha uygun | Hibrit yaklaşım gerektirebilir | Saha gözlemi ağırlıklı olmalı |
|---|---|---|
| Politika, hedef, yönetimin gözden geçirmesi ve dijital kayıt incelemeleri | Satın alma, tasarım, bakım planlama ve çok lokasyonlu prosesler | Fiziksel proses kontrolü, ürün doğrulama, çevre ve İSG saha koşulları |
| Merkez ofis görüşmeleri ve bulut tabanlı iş akışları | Belgenin dijital, uygulamanın sahada olduğu kontroller | Makine koruyucuları, atık sahası, ölçüm cihazı kullanımı, acil durum altyapısı |
Bu tablo kesin bir kural değil, risk değerlendirmesi için başlangıç noktasıdır. Aynı proses kuruluşun yapısına göre farklı yöntem gerektirebilir.
2. Sanal lokasyon tetkik kapsamının gerçek bir parçası oldu
Bulut ortamı, çevrim içi çalışma alanı veya fiziksel mekândan bağımsız yürütülen bir hizmet artık yalnızca kullanılan araç değildir; prosesin gerçekleştiği sanal lokasyon olabilir. Tetkik kapsamı belirlenirken fiziksel ve sanal lokasyonlar birlikte düşünülmelidir.
Örneğin müşteri şikâyetleri tamamen bulut tabanlı bir uygulamada yönetiliyor, onaylar uzaktan çalışan ekiplerce veriliyor ve kayıtlar farklı ülkelerdeki sunucularda tutuluyorsa yalnızca merkez ofisi ziyaret etmek prosesin tamamını görmek için yeterli olmayabilir. Tetkikçi verinin nerede üretildiğini, kim tarafından değiştirilebildiğini, hangi iş akışından geçtiğini ve geriye dönük iz bırakıp bırakmadığını anlamalı.
3. Dijital kanıtta ekran görüntüsü tek başına yetmez
Tetkikin özü hâlâ aynı: Tetkik kriteri ile doğrulanabilir kanıt karşılaştırılır. Değişen şey, kanıtın biçimi ve ona ulaşma yöntemidir. Dijital ortamda bir kayıt kolayca filtrelenebilir, farklı tarihle dışa aktarılabilir, ekran paylaşımı sırasında yalnızca seçilmiş bölümü gösterilebilir veya yetkili olmayan bir kişi tarafından değiştirilebilir.
Bu nedenle tetkikçi yalnızca “kayıt gösterildi” dememeli; kaydın kaynağını, zaman damgasını, sürüm geçmişini, erişim yetkilerini ve mümkünse sistem içindeki izini kontrol etmelidir. Örnekleme de hazır gönderilmiş PDF’lerle sınırlı kalmamalı. Tetkikçi örneği kendisi seçebilmeli ve seçtiği kayda makul süre içinde ulaşabilmelidir.
4. Gizlilik artık mahremiyet ve veri güvenliğiyle birlikte ele alınmalı
Uzaktan tetkikte ekran paylaşımı, toplantı kaydı, kişisel bilgiler, müşteri verileri ve ticari sırlar aynı anda görünür hale gelebilir. Tetkik başlamadan önce hangi platformun kullanılacağı, görüşmenin kaydedilip kaydedilmeyeceği, kimlerin katılabileceği, dosyaların nasıl aktarılacağı ve tetkik sonunda geçici kopyaların ne olacağı kararlaştırılmalı.
“Gizlidir” ibaresi bu riski yönetmez. Yetkilendirme, güvenli paylaşım kanalı, saklama süresi, silme yöntemi ve olay halinde izlenecek yol tanımlı olmalı. Kuruluşun bilgi güvenliği veya kişisel veri kuralları tetkik planına sonradan eklenen bir not değil, metot seçiminin girdisidir.
5. Yapay zekâ yeni bir tetkik maddesi değil, yeni bir kanıt riski
ISO 19011:2026’yı anlatırken en kolay dikkat çeken başlık yapay zekâ. Fakat standardın resmî ana değişiklik listesinde “yapay zekâ gerekliliği” adıyla ayrı bir madde yok. Buna rağmen yapay zekâ, tetkikçinin karşısındaki kanıt ortamını ciddi biçimde değiştiriyor.
Prosedür metinleri, risk analizleri, toplantı özetleri veya düzeltici faaliyet önerileri yapay zekâ yardımıyla hazırlanabilir. Tetkikçinin sorusu belgenin güzel yazılıp yazılmadığı değil; içeriğin kuruluşun gerçek uygulamasını yansıtıp yansıtmadığıdır. Yapay zekânın ürettiği metin ile yetkili kişinin aldığı karar birbirinden ayrılmalı.
Yapay zekâ kullanılan bir proseste sorulabilecek sorular
- Model hangi girdileri kullanıyor ve bu girdilerin doğruluğundan kim sorumlu?
- Üretilen sonuç insan tarafından hangi aşamada gözden geçiriliyor ve onaylanıyor?
- Model, sürüm veya istem değiştiğinde çıktı kalitesi yeniden değerlendiriliyor mu?
- Hatalı, önyargılı ya da uydurma bir sonuç nasıl fark ediliyor?
- Gizli bilgi ve kişisel verinin sisteme girilmesini önleyen kontrol var mı?
- Nihai karar ile yapay zekâ önerisi arasında izlenebilir bir kayıt tutuluyor mu?
Burada amaç tetkikçinin yazılım mühendisine dönüşmesi değil. Prosesin riskini anlayacak kadar dijital okuryazarlığa sahip olması ve gerekirse teknik uzmandan destek istemesidir.
6. Risk odaklı yaklaşım tetkik metodunu doğrudan belirliyor
Risk odaklı yaklaşım 2018 baskısında da vardı. 2026 baskısındaki fark, teknoloji ve sanal ortam kaynaklı risklerin metot seçiminde çok daha görünür hale gelmesi. Bağlantı kalitesi, sistem erişimi, kanıtın doğruluğu, zaman dilimi, dil, veri güvenliği ve tetkikçinin dijital yetkinliği artık tetkik programı risklerinin parçasıdır.
Uzaktan yöntem daha ucuz diye seçilmemeli; tetkik hedeflerine güvenilir biçimde ulaşabiliyorsa seçilmeli. Aynı şekilde her şeyi sahada yapmak da otomatik olarak daha iyi değildir. Çok lokasyonlu bir kuruluşta merkezî dijital sürecin ekran üzerinden canlı izlenmesi, basılı çıktıların sahada incelenmesinden daha güçlü kanıt verebilir.
7. Tetkikçi yetkinliği dijital ortama göre yeniden değerlendirilmeli
İyi bir tetkikçinin standart ve proses bilgisine sahip olması hâlâ temel şart. Buna ICT araçlarını yönetme, çevrim içi görüşmede iletişimi sürdürme, dijital örnek seçme, ekran üzerinden sunulan kanıtın sınırlarını fark etme ve temel siber güvenlik risklerini sezme becerisi ekleniyor.
Yetkinlik kaydına “uzaktan tetkik eğitimi aldı” yazmak tek başına yeterli değil. Tetkikçinin çevrim içi bir tetkiki planlaması, yürütmesi ve raporlaması gözlemlenmeli. Bağlantı sorunu yaşandığında planı uyarlayabiliyor mu? Denetlenenin seçtiği örneklerle yetinmeden kendi örneklemesini yapabiliyor mu? Gizli bilgi ekrana geldiğinde doğru müdahaleyi biliyor mu? Yetkinlik bu davranışlarla ölçülür.
8. Ek A daha genel ve güncel bir uygulama kılavuzuna dönüştü
Ek A’nın uzaktan yöntemler ve sanal lokasyonlar için genişletilmesi, yeni baskının resmî ana değişikliklerinden biri. Eğitim içeriğinde ayrıca kuruluş bağlamı, liderlik, tedarik zinciri ve uzaktan tetkik gibi alanların öne çıktığı; eski disipline özel ek yaklaşımının kaldırılarak daha genel bir yetkinlik çerçevesine geçildiği görülüyor.
Bu değişim yerinde. Yönetim sistemi standartlarının sayısı arttı ve ortak yapı yaygınlaştı. Tetkikçinin her disiplin için ezberlenmiş ayrı soru listeleri taşıması yerine, prosesi, riski, amaçlanan sonucu ve ilgili kriteri birlikte okuyabilmesi daha değerli hale geldi.
Kuruluşlar şimdi ne yapmalı?
ISO 19011:2026 uyarlama kontrol listesi
- İç tetkik prosedürü ve tetkik programındaki ISO 19011 referansını güncelleyin.
- Fiziksel ve sanal lokasyonları tetkik kapsamı belirleme yöntemine ekleyin.
- Saha, uzaktan ve hibrit yöntem seçimi için risk kriterleri oluşturun.
- Uzaktan erişim, ekran paylaşımı, kayıt alma, dosya aktarımı ve güvenli silme kurallarını tanımlayın.
- Dijital kanıtların özgünlüğü ve bütünlüğü için doğrulama adımları belirleyin.
- Tetkikçilerin ICT, dijital örnekleme, mahremiyet ve siber risk farkındalığını değerlendirin.
- Yapay zekâ kullanılan kritik proseslerde insan onayı ve karar izini tetkik programına dahil edin.
- Bir pilot hibrit tetkik yapın; bağlantı, erişim, örnekleme ve süre planını gerçek uygulama üzerinden sınayın.
Yeni baskıyı uygularken düşülen üç hata
- Her tetkiki uzaktan yapmaya çalışmak: Uzaktan yöntem saha gözleminin otomatik ikamesi değildir. Prosesin riskine göre yöntem seçilir.
- Dijital dosyayı doğrulanmış kanıt saymak: Dosyanın kaynağı, bütünlüğü ve örnekleme yöntemi doğrulanmadan güvenilir tetkik kanıtı oluşmaz.
- Tetkikçiye yalnızca platform eğitimi vermek: Toplantı yazılımını kullanmak dijital tetkik yetkinliği değildir; risk, iletişim, örnekleme ve veri güvenliği birlikte değerlendirilir.
ISO 19011:2026’nın kritik farkı yeni teknolojileri isimlendirmesinden çok, teknoloji değişse bile güvenilir tetkikin nasıl korunacağını göstermesinde. Tetkik programı yöneticisi artık “hangi bölümü ne zaman denetleyeceğiz?” sorusuyla yetinemez. Hangi metotla, hangi riskleri gözeterek, hangi kanıtın bütünlüğünü nasıl doğrulayacağımızı da planlamak zorunda.
İyi tetkik hâlâ objektif delile, bağımsız düşünceye ve doğru örneklemeye dayanıyor. 2026 baskısı bu temeli değiştirmiyor; dijital dünyanın içinde savunulabilir hale getiriyor.