Denetim toplantısında en zor soru “bu kontrol var mı?” değil. Kontrol vardır. Zor olan hemen arkasından geliyor: “Nasıl gösterirsiniz?”
Bu soruya hazırlıksız girmenin bedeli genellikle eksik kontrol bulgusu değil. Bedeli, üç kişinin bir hafta boyunca ekran ekran kanıt aramasıdır. Kontrol yerinde duruyordur; nerede kayıtlı olduğunu kimse hatırlamıyordur.
Hazırlığı kolaylaştıran şey bu yüzden bir araç değil, bir eşleme: hangi soru, hangi modülün kaydından cevap alıyor?
Erişim sorusunun kanıtı nerede durur
“Kimde hangi kritik erişim var?” sorusunun karşılığı AccessGuard tarafında: senkronize edilmiş kullanıcı, rol, profil ve yetki verisi; kritik erişim ve görevler ayrılığı kurallarına göre üretilmiş bulgular; bulgu durumu — açık, kabul edilen risk, telafi edilmiş ya da yanlış pozitif — ve bulguya eklenen mitigasyon notu ile risk sahibi bilgisi.
Bir ayrıntı bu tabloyu güçlendiriyor: iki tarama sonucu karşılaştırılabildiği için yeni, düzeltilen, devam eden ve kabul edilmiş bulgular ayrı ayrı görünür. “Geçen dönemden bu döneme ne değişti?” sorusuna cevap veren kanıt tam olarak budur.
“Bu raporu kim görebiliyor?” sorusunda kanıt iki yerden çıkıyor: rapor alanlarının yetki nesnesi eşlemesi ve BI tarafındaki klasör, görünüm, nesne ve veri yetkileri.
Veri dışarı çıkarken hangi kayıt kalıyor
“Bu veri dışarı nasıl çıktı?” sorusunun cevabı akışa göre değişiyor. Giden API servislerinde istek ve yanıt kayıtları, süreler ve hata ayrıntıları bulunur. Aktarım projelerinde çalışma geçmişi, satır sayıları ve paket bilgileri saklanır. E-posta tarafında gönderim geçmişi ve alıcı özeti, dosya tarafında ise dosya işlem kayıtları var.
“Bu tanım ne zaman değişti?” için değişiklik denetim kayıtları ve uygulama günlükleri kullanılır. SAP tarafına giden üretimlerde transport isteği ayrı bir kanıt zinciri kuruyor: hangi kod, hangi istekle, hangi sistemde aktifleştirildi.
Kod kalitesi tarafında da bir zincir var: CPA anlık görüntüleri ve bulgu karşılaştırmaları, bir geliştirmenin hangi dönemde hangi bulgularla ilerlediğini gösteriyor. Denetçinin sorduğu “süreç işliyor mu?” sorusunun karşılığı, tek bir rapor değil bu karşılaştırma oluyor.
Bir soru ise ürün kayıtlarının dışına çıkıyor: “Kim yetkilendirdi?” Ürün ne zaman ve neyin açıldığını gösterir; neden açıldığını kaydetmek sizin işiniz. Bu boşluğu kapatmanın en pratik yolu, erişimi açarken gerekçeyi bulgunun yanına yazmak.
Kanıt ile saklama süresi arasındaki bağ
Kanıt listesinin görünmeyen sınırı saklama süresi. Belirli tarihten eski istek ve günlük kayıtları kontrollü olarak temizlenebiliyor; temizleme penceresini denetim döngünüzden kısa tutmak cevaplanamayan sorular üretir. Bu ayarı denetim takviminizle hizalamak, sonradan yapılamayan bir düzeltme.
Bir sınırı da baştan kabul etmek gerekiyor: bu kayıtların varlığı bir uyum sertifikası değil. Denetimde işe yarayan şey iddia değil izlenebilirlik — hangi kararın nerede durduğunu gösterebilmek.
Önümüzdeki denetimden önce yapılacak en iyi hazırlık bir tatbikat: geçen dönemden üç soru seçin ve kanıtı bulmak için geçen süreyi ölçün. Bu tatbikatı sizin sorularınızla yürütebiliriz; çıkan eşleme tablosu denetim gününden çok daha uzun süre işinize yarar.