SPL Bilgi Sistemleri Yönetimi ve Denetimi Konu Anlatımı

Bilgi sistemleri stratejisinin geliştirilmesi, teknolojiyi tek başına bir satın alma kalemi gibi değil, işletmenin hedeflerini gerçekleştiren yönetsel bir kapasite gibi planlamaktır. Bu nedenle çalışma misyon, vizyon ve değerlerden başlar; işletmenin kimliği, gitmek istediği yön ve kabul ettiği ilkeler bilgi sistemleri hedeflerini sınırlar. Bilgi sistemleri stratejisi işletme stratejisine bağlı bir fonksiyon stratejisidir; bağımsız bir teknik ajanda gibi hazırlanamaz. Süreçte iş hedefleri, süreçler, veri akışları, mevcut uygulamalar, eksikler, boşluklar, kaynak ihtiyacı, öncelikler ve ölçüm metrikleri birlikte ele alınır. Sağlam bir strateji yazılıdır, üst yönetimce onaylanır, iş ve bilgi sistemleri tarafının katılımıyla hazırlanır, personele anlatılır, izlenir ve gerektiğinde güncellenir. Denetimde aranacak ana iz, her bilgi sistemleri hedefinin görünür biçimde bir işletme hedefine bağlanmasıdır.

Bilgi sistemleri yönetiminin unsurları, yönetişim ile yönetim ayrımından başlayarak iş hedeflerine değer katma, kaynakları etkin kullanma, riskleri gözetme ve performansı ölçme düşüncesi etrafında kurulur. Paydaş kavramı bu yapının merkezindedir; yatırımcılar, müşteriler, çalışanlar, tedarikçiler, iş ortakları ve kamu otoriteleri bilgi sistemleri kararlarından etkilenebilir. Yönetişim, günlük işleyişten daha geniş biçimde bugünü ve geleceği, üst yönetim sorumluluğunu, hesap verebilirliği, ilişkileri ve kuralları kapsar. Bilgi sistemleri yönetişimi, kurumsal yönetişimin ayrılmaz parçası olarak bilgi sistemleri kaynaklarının kurumsal strateji ve hedefleri desteklemesini sağlar. Bu çerçevede bilgi güvenliği yönetişimi, yönlendirme komitesi, bilgi sistemleri-iş uyumu, kaynak yönetimi, risk yönetimi ve performans yönetimi temel unsurlar haline gelir. Denetimde farkındalık, yazılı süreçler, rol ve sorumluluklar, üst yönetim gözetimi ve strateji bağlantısı aranır.

Bilgi sistemleri denetimi, bilgi sistemleri altyapısında tasarlanan ve uygulanan kontrollerin kanıt toplanarak ve değerlendirilerek incelenmesidir. Denetçi, bu değerlendirme sonunda bilgi sistemlerinin varlıkları koruyup korumadığı, veri bütünlüğünü sürdürüp sürdürmediği, kuruluş amaçlarına etkin ve verimli biçimde hizmet edip etmediği hakkında görüş oluşturur. BSBD Tebliği çerçevesinde süreç; bilgi sistemleri yönetimi ve işletimi kapsamındaki faaliyet, yazılım, donanım ve kontrollerin yönetim ilkeleri doğrultusunda değerlendirilmesi, görüş oluşturulması ve rapora bağlanması aşamalarından oluşur. Kavramlar birbirine bağlıdır: kontroller riskleri yönetmek için kurulur, risk tabanlı denetim kaynakları öncelikli alanlara yöneltir, önemlilik kapsamı ve kanıt ihtiyacını etkiler, yeterli ve uygun kanıt ise raporlanacak görüşün dayanağını oluşturur. Genel kontroller altyapı güvenliğini, uygulama kontrolleri veri girişinden çıktıya kadar işlem güvenilirliğini destekler; üçüncü taraf hizmetleri ve adli bilişim incelemeleri de sistem dışına taşan kanıt ve sorumluluk alanlarını denetim kapsamına dahil eder.

Bilgi sistemleri denetim faaliyeti, bilgi sistemleri altyapısı içindeki kontrollerin incelenmesine dayanır. Denetçi; bilgi sistemleri, uygulamalar ve operasyonlarda tasarlanan ve uygulanan kontrollerin tasarımına ve işleyişine ilişkin kanıt toplar, bu kanıtları değerlendirir ve sistemlerin varlıkları koruyup korumadığı, veri bütünlüğünü sürdürüp sürdürmediği, kuruluş amaçlarına etkin ve verimli şekilde hizmet edip etmediği hakkında görüş oluşturur. Sermaye piyasası düzenlemesindeki bilgi sistemleri bağımsız denetimi de bilgi sistemi unsurları ile bu sistemde tesis edilen kontrollerin yönetim ilkeleri doğrultusunda değerlendirilmesi, görüş oluşturulması ve rapora bağlanması süreci olarak açıklanır. Faaliyet iç denetim, dış denetim veya finansal ve uygunluk denetimleriyle bütünleşik biçimde yürütülebilir. Denetimin odağında genel kontroller, uygulama kontrolleri, risk, önemlilik ve denetim kanıtı vardır. Genel kontroller güvenli ortamı kurarken uygulama kontrolleri girdinin, transferin, işlemin ve çıktının tam, doğru, zamanında ve yetkili biçimde gerçekleşmesini destekler.

Seri:X No:22 tarihsel bağımsız denetim çerçevesidir; güncel sermaye piyasası bilgi sistemleri düzeni 5 Ocak 2018'de yürürlüğe giren VII-128.9 Bilgi Sistemleri Yönetimi Tebliği ile III-62.2 Bilgi Sistemleri Bağımsız Denetim Tebliği üzerine kuruludur. III-62.2, özel hüküm bulunmayan alanlarda niteliğe uygun düştüğü ölçüde Seri:X No:22 veya Bağımsız Denetim Standartları hükümlerinden kıyasen yararlanmaya izin verir; eski tebliği tek başına güncel yetki kaynağı yapmaz. Denetim; kapsam ve önemlilik belirleme, risk değerlendirmesi, kontrol tasarımı ve işleyişinin test edilmesi, yeterli-uygun kanıt, bulgu değerlendirmesi ve görüş/rapor aşamalarını izler. Bağımsızlık, mesleki şüphecilik, yetkin ekip, belgelendirme ve kalite yönetimi sürecin tamamında korunur.

VII-128.10 sayılı Tebliğ, bilgi sistemleri yönetimini teknik birim işi değil kurumsal yönetimin parçası sayar. Kapsam; borsalar ve piyasa işleticileri, Takasbank, MKK, portföy saklayıcıları, sermaye piyasası kurumları, halka açık ortaklıklar, ilgili birlikler ve kripto varlık hizmet sağlayıcıları gibi işletmeleri içerir. Bilgi sistemleri stratejisinin iş hedefleriyle uyumu, yazılı ve yılda en az bir kez gözden geçirilen bilgi güvenliği politikası, yönetim kurulunun nihai sorumluluğu, üst yönetimin gözetimi ve yeterli kaynak tahsisi temel çerçevedir. En az beş yıl ilgili tecrübeye sahip ve uygulama görevinden ayrıştırılmış bilgi güvenliği sorumlusu üst yönetime raporlar. Yıllık risk analizi ve bağımsız sızma testi; varlık, erişim, ağ, veri, dış hizmet, kayıt, olay, süreklilik, geliştirme ve değişiklik kontrolleri birlikte işletilir. Bilgi sistemleri iç denetimi yılda en az bir kez, dışarıdan hizmet alınmadan ve tasarım ya da işletim görevi olmayan lisanslı kişilerce yapılır; bulgular rapor ve aksiyon planına bağlanır. VII-128.10 yönetimin kontrol kurma yükümlülüğünü, III-62.2 ise bağımsız denetçinin bu yapıya ilişkin güvence çalışmasını düzenler.

III-62.2, sermaye piyasasında bilgi sistemleri bağımsız denetiminin kimler tarafından, hangi kapsamda ve nasıl raporlanacağına ilişkin denetçi tarafındaki çerçevedir. Bilgi sistemleri bağımsız denetimi, bilgi sistemleri yönetimi ve işletimi kapsamındaki faaliyet, yazılım, donanım ve kontrollerin bilgi sistemleri yönetim ilkeleri doğrultusunda değerlendirilmesi, görüş oluşturulması ve rapora bağlanması sürecidir. Amaç, denetlenenin bilgi sistemleri ve iç kontrollerinin uyumluluk, etkinlik ve yeterliliği hakkında görüş oluşturmaktır. Denetlenen yönetimi VII-128.10'a uygun kontrol ortamını kurar ve işletir; yetkili denetim kuruluşu III-62.2'ye uygun denetim yaparak görüş bildirir. Denetim önemli kontrol eksikliklerinin tespitine dair makul güvence sağlayacak şekilde planlanır. Rapor olumlu, şartlı, olumsuz veya görüş bildirmekten kaçınma şeklinde sonuçlanabilir. Denetim sonucu yalnız teknik bulgu listesi değildir; raporda sorumluluk ayrımı, doğal kısıtlar, kanıt yeterliliği ve görüş türü birlikte okunmalıdır.

Bilgi sistemleri denetiminde bağlayıcı BDDK ve sermaye piyasası düzenlemeleri ile iyi uygulama ve meslek çerçeveleri farklı hukuki işlev görür. Mevzuat; kapsam, yetkilendirme, kontrol eksikliklerinin sınıflandırılması, raporlama, gizlilik ve sorumluluğu belirler. Güncel uluslararası referanslarda COBIT 2019 bilgi ve teknoloji yönetişimi ile yönetimine, ISO/IEC 27001:2022 ve 2024 eki risk temelli bilgi güvenliği yönetim sistemine, ITAF 5th Edition (2026) ise bilgi sistemleri denetim ve güvence mesleğinin standart ve rehberliğine odaklanır. ISO/IEC 27001’in güncel Ek A yapısı 93 kontrolü organizasyonel, insan, fiziksel ve teknolojik olmak üzere dört temada toplar. Denetçi bağlayıcı yükümlülüğü yardımcı çerçeveden ayırır; kanıtı ve raporlamayı kuruluşun tabi olduğu güncel mevzuata göre kurar.

Bilgi sistemleri bağımsız denetiminde etik kurallar, denetçinin yalnız teknik doğrulama yapan kişi olmadığını, kamu yararı, bağımsızlık, gizlilik, mesleki özen ve dürüstlük sorumluluğu taşıdığını gösterir. Sermaye piyasasında bilgi sistemleri denetçileri için KGK tarafından yayımlanan Bağımsız Denetçiler İçin Etik Kurallar kıyasen uygulanır; bu kurallar IESBA etik kodunun Türkçe tercümesine dayanır. Beş temel ilke dürüstlük, tarafsızlık, mesleki yeterlik ve özen, sır saklama ve mesleğe uygun davranıştır. Kavramsal çerçeve, bu ilkelere yönelik tehditlerin belirlenmesini, değerlendirilmesini ve ortadan kaldırılmasını veya kabul edilebilir seviyeye indirilmesini ister. ISACA etik kuralları ise ISACA üyeleri ve sertifika sahipleri için standartlara uyum, objektif ve özenli çalışma, gizlilik, yetkinlik, uygun taraflara eksiksiz raporlama ve paydaş eğitimini öne çıkarır. Esasta ve şekilde bağımsızlık, tehdit kategorileri ve açıklanmadığında sonucu çarpıtacak önemli gerçekleri bildirme yükümlülüğü birlikte değerlendirilmelidir.