İç Denetim Bulgusu ile Dış Denetim Bulgusu QMS'te Aynı mı?

Belgelendirme denetçisi ikinci günün sabahında iç denetim raporlarını istiyor. Raporlar geliyor, bulgular okunuyor, sonra tek bir soru soruluyor: "Bu yedi bulgunun kapanış kanıtlarını görebilir miyim?" Odada kimse cevap veremiyor. Dış denetim bulguları her hafta toplantıda konuşuluyor, iç denetim bulguları ise bir Excel dosyasında bekliyor. İç denetim bulgusu ile dış denetim bulgusu farkı standartta değil, sizin takibinizde ortaya çıkıyor ve denetçi bunu tam olarak burada yakalıyor.

Standart bu ayrımı yapıyor mu?

Yapmıyor. ISO 9001'in 10.2 maddesi uygunsuzluk ortaya çıktığında ne yapılacağını anlatır; uygunsuzluğun nereden geldiğine dair bir ayrım koymaz. Denetimden de gelse şikâyetten de gelse aynı şey istenir: sapma kontrol altına alınacak, sonuçları ele alınacak, tekrarını önlemek için faaliyete gerek olup olmadığı değerlendirilecek ve bütün bunlar kayıt altına alınacak.

Buradaki incelik "gerek olup olmadığı değerlendirilecek" ifadesinde. Standart her uygunsuzluk için düzeltici faaliyet açmanızı istemiyor; değerlendirme yapmanızı ve kararınızı kaydetmenizi istiyor. Yani küçük bir iç bulguyu yerinde düzeltip faaliyet açmamayı seçebilirsiniz. Seçemeyeceğiniz şey, bu kararı hiç kaydetmemek. ISO 9001 tarafında en sık atlanan nokta bu.

Gerçek bir fark var elbette: dış bulgunun kapanışını sizden başka biri onaylar ve bu onayın bir takvimi vardır. İç bulguda ise hem yazan hem kapatan aynı çatı altındadır. Ama bu, bulgunun kendisini hafifletmez. İç denetim bulgusu ile dış denetim bulgusu farkı sapmanın ağırlığında değil, dışarıdan gelen baskının varlığındadır; sistemin sağlığı da tam olarak o baskı yokken nasıl davrandığınızla ölçülüyor.

Neden iç bulgular gevşek takip ediliyor?

Sebep insani ve anlaşılır. Dış bulgunun bir sahibi vardır: karşınızda bir denetçi, bir belge riski, bir müşteri var. İç bulgunun sahibi ise sizsiniz. Kendi yazdığınız bulguyu kendi kendinize hatırlatmak zorundasınız ve acil işler arasında bu her zaman son sıraya düşüyor.

İkinci sebep, iç bulgunun yazılış biçimi. İç denetimde bulgular çoğu zaman aceleyle, kısa notlar hâlinde yazılıyor: "eğitim kayıtları eksik". Bu cümle üç ay sonra kimseye bir şey söylemiyor. Hangi eğitim, hangi kişi, hangi tarih? Belirsiz yazılmış bir bulgu takip edilemez; edilemediği için de kapanmaz. Dış denetçi ise bulguyu şart, kanıt ve sapma olarak yazar; o cümle bir yıl sonra da anlaşılır.

Üçüncü sebep de kültürel. Bazı yerlerde iç denetim, gerçek bir sorgu değil belgeye hazırlık ritüeli olarak görülüyor. Böyle bir yerde bulgu yazmak "arkadaşı zora sokmak" sayıldığı için kimse derine inmiyor ve rapor birkaç zararsız gözlemle kapanıyor. Bu firmalarda iç bulgu sayısı düşük olur ve denetçi bu düşüklüğü olgunluk değil, denetim derinliğinin eksikliği olarak okur.

Bu üç sebebin ortak noktası şu: hiçbiri standarttan kaynaklanmıyor. Hepsi kendi kurduğunuz düzenin sonucu. İyi haber de bu; üçü de kurumsal bir karar ve birkaç form değişikliğiyle düzeltilebilir. Kötü haber, kimse istemeden düzelmemesi.

Uygulamadaki farklar nerede toplanıyor?

Aynı firmada iki bulgu türünün nasıl farklı muamele gördüğünü şu tablo özetliyor. Sol iki kolon çoğu firmanın mevcut durumu; sağdaki kolon olması gereken.

Beşinci satır en kritik olanı. İç bulgularda kapanış onayını çoğu zaman faaliyeti yapan kişinin kendisi veriyor. Bu, kendi ödevini kendi notlandırmak gibi. Kuralı basitçe şöyle koyun: bir bulguyu, o bulguyu yazan denetçi kapatır. Bu tek kural, iç bulgu kapanışlarının kalitesini kısa sürede yükseltiyor.

Tek bulgu havuzu nasıl kurulur?

Tek havuz, bütün uygunsuzlukların aynı listede, aynı alanlarla ve aynı akışla yönetilmesi demektir. Kaynak bir etiket olur: iç denetim, belgelendirme denetimi, müşteri denetimi, müşteri şikâyeti, tedarikçi uygunsuzluğu, süreç denetimi. Kayıt yapısı değişmez; yalnızca etiket değişir.

Bunun ilk kazancı raporlamada görünüyor. Aynı kök nedene çıkan farklı kaynaklı bulgular yan yana geldiğinde, tekil sapma gibi görünen şeylerin aslında tek bir sistemik zayıflık olduğu ortaya çıkıyor. Vardiya devrinde bilgi aktarımının kayıtsız yapılması, iç denetimden bir bulgu, müşteri şikâyetinden bir kayıt ve katmanlı süreç denetiminden üç sapma üretebilir. Ayrı listelerde bunların hiçbiri birbirini bulmaz.

İkinci kazanç iş yükünde. Tek akış demek, tek form, tek eğitim, tek raporlama demek. İki ayrı düzen yürüten firmalarda kalite ekibi aynı işi iki kez yapıyor ve ikisini de eksik yapıyor. Denetim yönetimi tarafını kurgularken bulgu havuzunu baştan tek tasarlamak, sonradan birleştirmekten çok daha kolay.

Havuzu kurarken bir tuzağa dikkat edin: bütün kaynakları tek listeye topladıktan sonra alan sayısını artırma isteği geliyor. Müşteri şikâyeti için ayrı alanlar, tedarikçi uygunsuzluğu için başka alanlar derken form kırk alana çıkıyor ve kimse doldurmuyor. Ortak alanları en fazla on beşte tutun; kaynağa özel bilgiyi ek dosya olarak taşıyın. Doldurulmayan bir alan, olmayan bir alandan daha zararlıdır çünkü raporda boşluk üretir.

Sınıflandırmayı ortaklaştırmak

Tek havuz kurarken en çok tartışılan konu sınıflandırma. Dış denetimde majör, minör ve gözlem terimleri kullanılıyor; iç denetimde ise çoğu firma hiçbir sınıflandırma yapmıyor. Aynı ölçeği iç denetime de taşımak, gereksiz bir formalite değil; kaynağı doğru yere yönlendiren bir araç.

Bu üçlüyü iç denetimde de kullandığınızda, her iç bulguya düzeltici faaliyet açma yükü ortadan kalkıyor. Küçük sapmalar gözlem olarak yazılıp yerinde kapatılıyor, ciddi olanlar ise dış bulgularla aynı disipline giriyor. Kolaylığı kanıt zorunluluğundan değil, sınıflandırmadan sağlamak doğru yaklaşım.

İç bulguları ciddiye almanın somut karşılığı

Bunun en net karşılığını gözetim denetimlerinde görüyorum. İç denetimden çıkan bulguları kapatan bir firmaya belgelendirme denetçisi geldiğinde, denetçinin bulacağı şeylerin çoğu zaten bulunmuş ve kapatılmış oluyor. Kalan bulgular da genelde küçük oluyor. Tersi durumda ise dış denetçi, iç denetimin bulup takip etmediği sapmaları buluyor ve bu kez bulgu tek başına yazılmıyor: iç denetim etkinliği de sorgulanıyor.

İkinci karşılık müşteri denetimlerinde. Müşteri denetçisi iç denetim raporlarını isteyip bulguların kapanışına baktığında, gördüğü şey sizin kendi kendinizi ne kadar ciddiye aldığınız oluyor. İç denetim bulgusu ile dış denetim bulgusu farkını ortadan kaldıran firmalar bu bölümü hızlı geçiyor; ayrı yürütenler ise burada zaman kaybediyor.

Üçüncü karşılık ise ekibin kendisinde. İç bulgusu ciddiye alınan bir yerde denetçilik yapmak anlamlı bir işe dönüşüyor; yazdığı bulgunun bir sonuç ürettiğini gören mühendis bir dahaki sefere daha derine iniyor. Tersine, yazdığı hiçbir bulgunun kapanmadığını gören denetçi bir süre sonra yüzeyde kalmayı öğreniyor. İç denetim bulgusu ile dış denetim bulgusu farkı burada da kendini gösteriyor: biri sistemi geliştirir, diğeri yalnızca belgeyi korur.

QMS'te kurulum ve ölçüm

Yazılım tarafında bakılacak şey basit: bulgu kaydında kaynak bir alan mı, yoksa ayrı modüller mi var? Ayrı modüller varsa raporlarınız hiçbir zaman birleşmez. Aranacak ikinci özellik, kaynağa göre farklı akış tanımlanabilmesi; dış bulguda ek onay adımı, iç bulguda daha kısa akış isteyebilirsiniz, ama ikisi de aynı havuzda kalmalı.

Ölçme tarafında üç gösterge yeterli: kaynağa göre açık bulgu sayısı, kaynağa göre ortalama kapanma süresi ve iç bulgu sayısının dış bulgu sayısına oranı. Üçüncüsü en çok şey anlatan gösterge. Bu oran birin altındaysa, yani dış denetim sizin kendi denetiminizden daha çok bulgu çıkarıyorsa, iç denetim programınız yeterince derin değildir. Terminlerin yönetimi için kuracağınız hatırlatma düzenini DÖF termin gecikmesi yazımızda, kapanış kanıtlarını da bulgu kapatma kanıtı yazımızda anlattık.

Küçük bir firmaysanız ve yılda toplam on beş bulgu alıyorsanız bunun için yazılıma geçmeniz şart değil. Tek bir çizelge, ortak alanlar ve aylık on dakikalık bir gözden geçirme yeter. Elle tutulan liste, kaynak sayısı üçü geçtiği anda çatlamaya başlıyor: her yeni kaynak kendi kolonlarını istiyor, çizelge yana doğru büyüyor ve bir noktadan sonra kimse tek ekranda göremediği bir tabloyu okumuyor. Tek havuzun bütün faydası da tam orada kayboluyor.

Ölçüm tarafında son bir uyarı: bu üç göstergeyi ay ay değil, çeyrek çeyrek okuyun. İç denetim programı yıla yayıldığı için aylık sayılar denetim takvimini yansıtıyor, sistemin sağlığını değil. Denetimin yoğun olduğu ay açık bulgu sayısı zıplıyor, sessiz ayda düşüyor ve iki hareket de yönetime yanlış bir hikâye anlatıyor. Çeyreklik bakışta bu dalga düzleşiyor, geriye asıl eğilim kalıyor.

Nereden başlanır?

Yeni bir sistem kurmadan önce mevcut iki listeyi birleştirin. Son on iki ayın bütün bulgularını tek bir tabloya alın, kaynak kolonu ekleyin, eksik terminleri tamamlayın ve kapanmamış olanları işaretleyin. Bu tablo tek başına yönetime gösterilecek en iyi belgedir; çünkü iki sistemin varlığını ve maliyetini tek bakışta anlatır. Sonrasında düzeltici faaliyet akışınızı kaynaktan bağımsız hâle getirin. Bu iki adım tamamlandığında iç denetim bulgusu ile dış denetim bulgusu farkı yalnızca bir etiket farkına iner; asıl amaç da zaten budur.