Kurumunuz hangi seviyedeWhich level is your organisation at

Kurumunuzda kural var, ama kuralın yaşadığı yer sistem değil, insanlar.Your organisation has rules. They live in people rather than in a system.

Bu şu demek: işlerin doğru yapılması, o gün kimin nöbette olduğuna bağlı. Bir kişi ayrıldığında kuralın bir kısmı da gider. Denetimde sorulan soruların cevabı hafızadan verilir.In practice: whether things are done correctly depends on who is on duty that day. When a person leaves, part of the rule leaves with them. In an audit, answers come from memory.

Sonraki adım: kuralı yazmak değil. İşleri tek bir yerden geçirmek. Yazılı kural, geçmediği sürece kural olmaz.Next step: not writing the rule down. Routing the work through one place. A written rule is not a rule until work passes through it.

Parçaların hepsi var ve hepsi çalışıyor. Hiçbiri diğerini bilmiyor.All the parts exist and all of them work. None of them knows about the others.

Bu şu demek: yatırımlarınız doğruydu, eksik olan araç değil. Denetçi geldiğinde birden fazla sistemden ekran görüntüsü toplanıyor ve bu iş bir kişinin haftasını alıyor.In practice: your investments were right. What is missing is not a tool. When an auditor arrives, screenshots are gathered from several systems and it costs someone a week.

Sonraki adım: parçaları birbirine bağlayan ortak bir kayıt. Onayın hangi kurala dayandığının kaydın içinde durması buradan başlar.Next step: a shared record that connects the parts. It begins with the approval carrying the rule it rested on.

Kural yazılı. Sistem zorlamıyor.The rule is written down. The system does not enforce it.

Bu şu demek: süreç belgeniz ile gerçek arasında bir fark olduğunu zaten biliyorsunuz. Bu fark normal zamanlarda küçük, acele edildiğinde büyük. Denetimde en zor savunulan seviye budur, çünkü belge var ama uygulandığının kanıtı yok.In practice: you already know there is a gap between your process document and reality. The gap is small on a normal day and wide under pressure. This is the hardest level to defend in an audit, because the document exists and the proof of compliance does not.

Sonraki adım: kuralın uygulanmasını insan iradesinden çıkarmak. Atlanabilen adım, atlanacaktır.Next step: take enforcement out of human willingness. A step that can be skipped will be skipped.

Kural sistemde ve acil durumda bile iz bırakıyor. Kanıt hâlâ kendi sisteminizin sözüne dayanıyor.The rule lives in the system and leaves a trail even in an emergency. The evidence still rests on your own system's word.

Bu şu demek: iç denetim için yeterlisiniz. Dış denetimde veya bir olay sonrasında "bu kaydın değiştirilmediğini ne gösteriyor" sorusu geldiğinde cevabınız yine aynı sistemin içinden geliyor.In practice: you are sufficient for internal audit. In an external audit, or after an incident, the question "what shows this record was not altered" is answered from inside the same system.

Sonraki adım: kanıtın dışarıdan doğrulanabilmesi ve kapsamın tamamlanması. Kapsam listenizde eksik yol varsa önce o kapanır.Next step: evidence that can be verified from outside, and complete scope. If your scope list has a missing path, close that first.

Kanıt işin yan ürünü. Kapsam tam.Evidence is a by product of the work. Scope is complete.

Bu şu demek: denetim hazırlığı diye bir işiniz yok. Bir işlemin hangi kurala göre yapıldığı, kural sonradan değişse bile okunabiliyor.In practice: audit preparation is not a task you have. Which rule an action followed can still be read even after the rules change.

Sonraki adım: bu seviyede kalmak. Kural seti sürümlenmediğinde seviye sessizce düşer, çünkü eski kayıtlar yeni kuralla okunmaya başlar.Next step: staying here. Without a versioned rule set the level drops quietly, because old records start being read against new rules.