İçindekiler
ISO 27001 YGG Prosedürü, BGYS’nin yılda en az bir kez üst yönetim tarafından gözden geçirilmesine ilişkin yöntem ve gündem maddelerini tanımlayan prosedürdür. Bu yazıda prosedürün amacını, gündem maddelerini ve ISO 27001 denetiminde bu toplantının neden sadece bir formalite olmaması gerektiğini ele alıyoruz.
ISO 27001 YGG Prosedürünün Amacı Nedir?
Bu prosedürün amacı, ISO 27001 Madde 9.3 kapsamında BGYS’nin yılda en az bir kez gözden geçirilerek yönetimsel plan ve hedeflerin belirlenmesidir. Bu toplantı, üst yönetimin BGYS’ye yalnızca kağıt üzerinde değil, fiilen ve düzenli olarak dahil olduğunu gösteren en somut kanıttır; Liderlik Prosedüründe tanımlanan soyut taahhütler, bu toplantıda somut kararlara dönüşür.
Toplantı Hangi Gündem Maddelerini İçerir?
- Önceki YGG’den gelen görevlerin durumu ve iç/dış konulardaki değişiklikler
- Uygunsuzluklar, düzeltici faaliyetler ve izleme/ölçme sonuçları
- Tetkik sonuçları ve bilgi güvenliği amaçlarının yerine getirilmesi
- Risk değerlendirme sonuçları ve sürekli iyileştirme fırsatları
“Önceki YGG’den gelen görevlerin durumu” maddesinin gündemin ilk sırasında yer alması, her YGG toplantısının bir öncekinin hesabını sorarak başladığını gösterir; bu, toplantının her yıl sıfırdan başlayan izole bir etkinlik değil, sürekliliği olan bir hesap verme döngüsü olduğunu garanti eder.
Bu Prosedür Denetimde Nasıl Değerlendirilir?
Toplantı her yılın Kasım-Aralık döneminde YGG Toplantı Duyuru Formu ile 1 ay önceden bildirilir; alınan kararlar Toplantı Karar Formuna işlenir. Denetçiler bu prosedürü incelerken genellikle önceki yıl alınan kararların fiilen uygulanıp uygulanmadığını ve gündem maddelerinin standartta öngörülen tüm girdileri (tetkik, risk, performans) kapsayıp kapsamadığını sorgular. Bu prosedür, ISO 27001 belgesi denetimlerinde üst yönetimin BGYS’yi düzenli ve etkin şekilde gözden geçirdiğinin kanıtıdır.