Risk Yönetimi Denetim Gereklilikleri

Kapsam

Bu doküman, Risk Yönetimi pratiğinin kurumdaki uygulanma düzeyinin sahada değerlendirilmesinde kullanılan gereklilik setini içerir. Kapsam; risk kapasitesi ve risk iştahının yönetişim düzeyinde tanımlanmasından başlar, risklerin tanımlanması, analiz edilmesi, işlenmesi, kayıt altına alınması ve izlenmesini içerir, uygulanan kontrollerin fiilen çalışıp çalışmadığının doğrulanmasına kadar uzanır. Stratejik, program ve proje ile operasyonel seviyelerin tamamı kapsanır. Bilgi güvenliği, hizmet sürekliliği, problem ve proje yönetimi gibi diğer pratikler altında yürütülen tek tek risk azaltma faaliyetlerinin kendi içindeki teknik yeterliliği bu dokümanın konusu değildir; bu faaliyetler yalnızca risk kaydına, kontrol envanterine ve yükseltme kararlarına yansımaları üzerinden incelenir. Her madde, kurumun beyanı değil ürettiği kayıt esas alınarak değerlendirilir; kanıtın gösterilememesi maddenin karşılanmadığı biçiminde raporlanır.

Değerlendirme yöntemi

Maddeler dört seçenekle değerlendirilir: karşılıyor, kısmen karşılıyor, karşılamıyor, kapsam dışı. "Karşılıyor" sonucu için maddeye karşılık gelen kaydın var olması yeterli değildir; kaydın güncel olması, kurumun kendi tanımladığı sıklığa uygun üretilmiş olması ve incelenen örneklemde tutarlı biçimde bulunması gerekir. "Kısmen karşılıyor", düzenin tanımlı olduğu ancak uygulamanın kapsam veya süreklilik bakımından eksik kaldığı durumları belirtir. "Kapsam dışı" yalnızca yazılı gerekçe ile kullanılır. Her madde için örneklem büyüklüğü, inceleme yöntemi (doküman incelemesi, sistem kaydı sorgusu, görüşme, kontrolün yeniden uygulanması) ve kanıt referansı bulgu dosyasına işlenir. Gözden geçirme aralıkları bu dokümanda sabitlenmemiştir; ölçüt, kurumun onaylı politikasında tanımladığı aralığa fiilen uyup uymadığıdır. Doküman bir belgelendirme aracı değildir; sonuçlar olgunluk profilindeki seviye tespitlerine dayanak oluşturur.

Durum işaretleriKarşılıyorKısmen karşılıyorKarşılamıyor