ISO 19011:2026 Yayımlandı — 2018 Revizyonundan Farkları ve İç Denetçilere Etkileri

ISO 19011:2026, yönetim sistemi denetimleri için uluslararası rehber standardın dördüncü baskısıdır. Mayıs 2026'da yayımlandı ve 2018 tarihli üçüncü baskının yerini aldı. ISO 19011 bir gereklilik standardı değil, rehberdir: maddeleri "yapılmalıdır" değil "önerilir" düzeyinde yazılmıştır ve hiçbir kuruluş ISO 19011'e göre belgelendirilmez. Buna rağmen AS9100, ISO 9001, ISO 14001, ISO 45001 ve ISO/IEC 27001 kapsamındaki iç denetim ve tedarikçi denetimi prosedürlerinin çoğu bu rehbere dayanır. Standardın önsözü iki ana değişikliği sayıyor: uzaktan denetim yöntemlerine ilişkin rehberliğin ISO/IEC TS 17012:2024'teki rehberlik standarda taşınarak genişletilmesi ve Ek A'nın uzaktan denetim yöntemlerini ve sanal lokasyonları kapsayacak şekilde genişletilmesi. Bu yazıda bu değişikliklerin maddelere nasıl yansıdığını ve kuruluşların neyi gözden geçirmesi gerektiğini anlatıyoruz.

Standart ağırlıklı olarak birinci taraf (iç) denetimlere ve kuruluşların tedarikçilerine yaptığı ikinci taraf denetimlere odaklanır. Üçüncü taraf belgelendirme denetimlerinin gereklilikleri ISO/IEC 17021-1'dedir; havacılıkta belgelendirme kuruluşları ayrıca AS9101'e göre denetler. 2026 baskısında terimler bölümüne ISO/IEC TS 17012'den alınan "uzaktan denetim yöntemi" tanımı eklendi: denetim faaliyetlerinin, denetlenen kuruluşun bulunduğu yer dışındaki herhangi bir yerden yürütülmesi. Tanımın notları üç durumu açıkça anıyor: uzaktan yöntemlerin yerinde yöntemlerle birlikte kullanılması, işin fiziksel yerden bağımsız olarak çevrim içi bir ortamda yürütüldüğü sanal lokasyonların denetlenmesi ve denetçinin kuruluşun bir sahasından başka bir sahasını denetlemesi. Denetim kapsamı tanımında da fiziksel ve sanal lokasyonlar birlikte anılıyor.

Madde 4'teki yedi denetim prensibi aynı kaldı: dürüstlük, adil sunum, mesleki özen, gizlilik, bağımsızlık, kanıta dayalı yaklaşım ve risk temelli yaklaşım. Prensiplere dijital kanıt ya da yapay zekâ gibi yeni başlıklar eklenmedi. Uzaktan denetimde bu prensiplerin anlamı değişmiyor, değişen kanıtın toplanma yolu. Ekrandan gösterilen bir kaydın doğrulanabilir olması (kanıta dayalı yaklaşım) ve paylaşılan bilginin korunması (gizlilik) bu yüzden uzaktan denetimde daha fazla dikkat ister.

Madde 5 (denetim programının yönetimi) uzaktan yöntemleri programın olağan bir parçası olarak ele alıyor. Programda yer alması önerilen bilgiler arasında, uzaktan yöntemler dahil kullanılacak denetim yöntemleri sayılıyor (5.1). Kuruluşun bağlamı değerlendirilirken dijital araçlar gibi teknolojilerin kullanımı ile bilgi güvenliği ve gizlilik gereklilikleri de dikkate alınıyor. Program riskleri arasında denetim yönteminin seçimi ve güvensiz ya da yetersiz bir iletişim platformunun seçilmesi var (5.3). Kapsam ve kaynaklar belirlenirken bant genişliği, donanım ve yazılım gibi bilgi ve iletişim teknolojisi olanakları gözetiliyor (5.4.3, 5.4.4). Madde 5.5.3, denetimlerin yerinde, uzaktan ya da ikisi bir arada yapılabileceğini ve yöntemlerin riskler ve fırsatlar gözetilerek dengelenmesini öneriyor. "Hibrit" ayrı bir denetim tipi olarak tanımlanmıyor: denetim tipleri yine birinci, ikinci ve üçüncü taraf ayrımıyla anlatılıyor; yerinde ve uzaktan ise denetim yöntemleri.

Madde 6'daki denetim akışı büyük ölçüde aynı: denetimin başlatılması, hazırlık, yürütme, rapor, tamamlama ve takip. Denetimin yapılabilirliği değerlendirilirken gerekli kaynaklar arasında uygun bilgi ve iletişim teknolojisine erişim de sayılıyor (6.2.3). Uzaktan yürütülecek bir denetimin pratik hazırlığı ise Ek A'da anlatılıyor.

Madde 7'de (denetçilerin yetkinliği ve değerlendirilmesi) yapı aynı: kişisel davranışlar; genel, disipline ve sektöre özgü bilgi ve beceriler; denetim ekip liderinin yetkinliği. Yetkinliğe dört yeni kategori eklenmedi. Teknolojiyle ilgili beklenti iki yerde geçiyor. Gerekli yetkinlik belirlenirken, denetimi kolaylaştıran ya da yeni teknolojiye dayalı süreçleri denetlemeye yarayan yeni teknolojilerin kullanımı dikkate alınıyor (7.2.1). Genel bilgi ve beceriler arasında da bilgi ve iletişim teknolojisi araçlarını ve yapay zekâ tabanlı değerlendirme araçları gibi yeni teknolojileri denetimde kullanmanın uygunluğunu ve sonuçlarını anlamak sayılıyor (7.2.3.2). Yani beklenti yapay zekâ kullanmak değil; kullanılacaksa sınırlarını ve sonuçlarını bilmek. Ek A ayrıca uzaktan denetimde denetçinin teknolojiyi kullanacak teknik beceriye ve denetimi uzaktan etkili yürütme bilgisine sahip olmasını öneriyor.

En somut rehberlik Ek A'da. A.16 bölümü uzaktan denetim yöntemlerinin kullanımına ayrılmış: denetimin etkin yürütülmesini denetçi ile denetlenen kuruluşun ortak sorumluluğu sayıyor ve sanal lokasyonların denetiminde uzaktan yöntemlerin gerekli olabileceğini belirtiyor. Hazırlık için üzerinde anlaşılmış cihaz ve yazılımlarla bir erişim protokolü, denetimden önce teknik deneme, bağlantı kesilirse uygulanacak yedek plan ve gerekirse ek denetim süresi öneriliyor. Denetim sırasında veri güvenliği ve gizlilik, uzaktaki alanlar için kat planı ya da yerleşim şemalarının kullanılması, arka plan gürültüsünün önlenmesi, ekran görüntüsü ya da kayıt almadan önce izin istenmesi ve aralarda mikrofon ve kameranın kapatılması gibi konular sayılıyor. Yöntem tablosu (Tablo A.1) yerinde ve uzaktan yapılabilecek denetim faaliyetlerini, insan etkileşimi olan ve olmayan diye ayırarak gösteriyor. Ayrıntılar için ISO/IEC TS 17012'ye atıf yapılıyor.

AS9100 kullanan kuruluşlarda değişiklikten en çok tedarikçi denetimleri etkileniyor. Bir tedarikçinin kalite sistemi kayıtlarını uzaktan incelemek verimli olabilir; ancak özel proses, ilk ürün muayenesi (AS9102) ya da kalibrasyon gibi konularda kameradan gösterilen bir etiket ya da bir ekran görüntüsü tek başına yeterli kanıt olmayabilir. Hangi denetimlerin ve hangi konuların uzaktan yapılabileceğini risk temelli olarak programda önceden belirlemek, rehberin önerdiği dengeyi kurmanın en pratik yolu. Tasarım, konfigürasyon ve üretim kayıtlarının ERP, PLM ya da MES gibi sistemlerde tutulduğu kuruluşlarda bu sistemleri denetleyen denetçinin, kaydın nasıl oluşturulduğunu, değiştirildiğini ve onaylandığını anlayabilmesi gerekir.

ISO 19011 bir rehber olduğu için belgelendirme kuruluşlarının denetleyeceği bir geçiş takvimi yok ve mevcut iç denetçi sertifikaları geçersiz olmuyor. Yine de iç denetim prosedürünü bu rehbere dayandıran kuruluşların şunları gözden geçirmesini öneriyoruz: denetim programında her denetim için yöntemin (yerinde, uzaktan ya da ikisi bir arada) ve gerekçesinin yazılması; uzaktan denetim kuralları (platform, erişim yetkileri, ekran görüntüsü ve kayıt izni, bağlantı kesilirse ne yapılacağı); denetçi yetkinlik kriterlerine uzaktan denetim becerilerinin ve teknoloji araçlarının bilinçli kullanımının eklenmesi; tedarikçi denetimlerinde hangi konuların uzaktan kabul edilebileceğinin belirlenmesi.

AVIDEF olarak bu süreçte iki şekilde destek veriyoruz. Birincisi, iki günlük iç denetçi güncelleme eğitimi: 2018 ile 2026 baskıları arasındaki farklar, uzaktan denetim yöntemleri, uzaktan toplanan kanıtın doğrulanması ve yeni teknolojilerin denetimde kullanımının sınırları uygulamalı olarak ele alınıyor. Eğitim online bir sınavla tamamlanır; başarılı katılımcılar sertifika alır. İkincisi, prosedür revizyonu: iç denetim prosedürünüzü, denetim programı ve plan formlarınızı yeni baskıya göre güncelliyor, uzaktan denetim kurallarınızı ekibinizle birlikte yazıyoruz. ISO 19011:2026'ya geçişinizi planlamak ya da iç denetçi eğitimi için iletişim sayfamızdan bize ulaşın.