İçindekiler
ISO 27001 Bağlam Risk ve Fırsat Değerlendirme Talimatı, Bağlam Risk Fırsat Etki Değerlendirme Planındaki her alanın nasıl doldurulacağını adım adım açıklayan uygulama talimatıdır. Bu yazıda talimatın amacını, açıkladığı alanları ve ISO 27001 denetiminde neden önemli olduğunu ele alıyoruz.
ISO 27001 Bağlam Risk ve Fırsat Değerlendirme Talimatının Amacı Nedir?
Bu talimat, Risk Fırsat Analiz Prosedürü kapsamında hazırlanan değerlendirme planının her proses lideri tarafından tutarlı şekilde doldurulmasını sağlar. Büyük kuruluşlarda onlarca farklı bölüm kendi risklerini değerlendirirken, ortak bir talimat olmadan her bölüm riski kendi öznel yorumuyla puanlayabilir; bu da kuruluş genelinde karşılaştırılabilir olmayan, tutarsız bir risk tablosuna yol açar. Talimat, bu tutarsızlığı önleyerek tüm bölümlerin aynı kriterlerle, aynı dille risk değerlendirmesi yapmasını garanti eder.
Talimatta Hangi Alanlar Açıklanır?
- Riskin tanımı: Net, ölçülebilir ve anlaşılır şekilde ifade edilir; düzeltici faaliyet, iç/dış tetkik, kurumsal tecrübe veya paydaş geri bildirimlerinden kaynaklanabilir.
- Bağlam iç-dış husus: Riskin kaynağının kuruluş içinden mi dışından mı geldiği belirtilir.
- Olasılık ve şiddet: Riskin belirli bir zaman aralığında tekrar etme olasılığı ve gerçekleştiğinde yaratacağı etki ayrı ayrı puanlanır.
- Risk puanı ve değerlendirme: Olasılık × şiddet çarpımı ile hesaplanan puan; düşük, kabul edilebilir, yüksek veya çok yüksek sınıflarından biriyle eşleştirilir.
- İlgili prosesler: Riskin merkezindeki prosese girdi/çıktı sağlayan diğer proseslerin etki puanları belirtilir.
- Aksiyon planı, sorumlu ve yeni risk puanı: Alınan önlem, sorumlu kişi ve aksiyon sonrası düşürülen risk puanı kayıt altına alınır.
Bu alanların sırası da tesadüfi değildir: önce risk tanımlanır, sonra kaynağı ve büyüklüğü ölçülür, ardından etkilediği diğer süreçler haritalanır ve son olarak somut bir aksiyonla kapatılır. Bu akış, bir riskin yalnızca tespit edilip unutulmasını değil, mutlaka bir sonuca bağlanmasını zorunlu kılar.
Bu Talimat Denetimde Neden Önemlidir?
Denetçiler, kuruluşun farklı bölümlerinden gelen risk değerlendirmelerini karşılaştırırken genellikle bu talimatın fiilen uygulanıp uygulanmadığını, yani tüm formların aynı mantıkla doldurulup doldurulmadığını kontrol eder. Tutarsız doldurulmuş formlar, denetçi için kuruluşun risk yönetimi kültürünün henüz olgunlaşmadığının bir işaretidir. Bu talimat, ISO 27001 belgesi denetimlerinde risk değerlendirmelerinin standart bir yöntemle ve kuruluş genelinde tutarlı şekilde yapıldığının kanıtıdır.