İçindekiler
ISO 27001 Artık Risk Onay Belgesi, alınan önlemlere rağmen tamamen ortadan kaldırılamayan risklerin üst yönetim tarafından bilinçli olarak kabul edilip onaylandığı belgedir. Bu yazıda belgenin amacını, içerdiği bilgileri, tipik artık risk örneklerini ve ISO 27001 denetiminde nasıl değerlendirildiğini ele alıyoruz.
ISO 27001 Artık Risk Onay Belgesinin Amacı Nedir?
Bu belge, Varlık Belirleme ve Risk Yönetim Prosedürü kapsamında, tedbirlere rağmen kabul edilebilir seviyeye çekilemeyen risklerin üst yönetim tarafından bilinçli olarak kabul edildiğinin kaydını tutar. Gerçek dünyada hiçbir risk sıfıra indirilemez; önemli olan, kalan riskin kuruluş tarafından görmezden gelinmesi değil, üst düzeyde değerlendirilip açıkça kabul edilmesidir. Bu belge olmadan “artık risk” kavramı denetim açısından soyut bir ifade olarak kalır; belge ile birlikte her kalan risk, isimlendirilmiş ve sorumluluğu üstlenilmiş bir karara dönüşür.
Belgede Hangi Bilgiler Yer Alır?
- Artık risk kapsamındaki varlık
- Riskin kabul edilme gerekçesi
- Üst yönetimin onayı
“Riskin kabul edilme gerekçesi” alanı belgenin en kritik kısmıdır; çünkü bir riskin neden azaltılamadığının, kaçınılamadığının veya transfer edilemediğinin açıkça gerekçelendirilmesini zorunlu kılar. Gerekçesiz bir kabul, denetçi gözünde yalnızca ihmalkarlığın üstünü örten bir formalite olarak değerlendirilir.
Tipik Artık Risk Örnekleri Nelerdir?
Tipik artık risk örnekleri arasında yedekli altyapı sistemlerinin tamamen devre dışı kalma ihtimali, tekel hizmet sağlayıcısına bağımlılık veya deprem, sel gibi doğal afetler yer alır; bu tür riskler kuruluşun tam kontrolünde olmadığından sıfıra indirilemez ancak etkisi azaltılabilir ve kalan kısım bilinçli olarak kabul edilir. Denetçiler bu belgeyi incelerken genellikle gerekçenin inandırıcı olup olmadığını ve benzer risklerin gelecekteki Risk Fırsat Analiz toplantılarında tekrar gözden geçirilip geçirilmediğini sorgular; çünkü bir riskin “artık risk” olarak kabul edilmesi, o riskin bir daha hiç sorgulanmayacağı anlamına gelmez. Bu belge, ISO 27001 belgesi denetimlerinde risk kabul kararlarının şeffaf ve hesap verebilir şekilde belgelendiğinin kanıtıdır.