SPL Bilgi Sistemleri Yönetimi ve Denetimi Konu Anlatımı

Bilgi sistemleri stratejisinin geliştirilmesi, teknolojiyi tek başına bir satın alma kalemi gibi değil, işletmenin hedeflerini gerçekleştiren yönetsel bir kapasite gibi planlamaktır. Bu nedenle çalışma misyon, vizyon ve değerlerden başlar; işletmenin kimliği, gitmek istediği yön ve kabul ettiği ilkeler bilgi sistemleri hedeflerini sınırlar. Bilgi sistemleri stratejisi işletme stratejisine bağlı bir fonksiyon stratejisidir; bağımsız bir teknik ajanda gibi hazırlanamaz. Süreçte iş hedefleri, süreçler, veri akışları, mevcut uygulamalar, eksikler, boşluklar, kaynak ihtiyacı, öncelikler ve ölçüm metrikleri birlikte ele alınır. Sağlam bir strateji yazılıdır, üst yönetimce onaylanır, iş ve bilgi sistemleri tarafının katılımıyla hazırlanır, personele anlatılır, izlenir ve gerektiğinde güncellenir. Denetimde aranacak ana iz, her bilgi sistemleri hedefinin görünür biçimde bir işletme hedefine bağlanmasıdır.

Bilgi sistemleri yönetiminin unsurları, yönetişim ile yönetim ayrımından başlayarak iş hedeflerine değer katma, kaynakları etkin kullanma, riskleri gözetme ve performansı ölçme düşüncesi etrafında kurulur. Paydaş kavramı bu yapının merkezindedir; yatırımcılar, müşteriler, çalışanlar, tedarikçiler, iş ortakları ve kamu otoriteleri bilgi sistemleri kararlarından etkilenebilir. Yönetişim, günlük işleyişten daha geniş biçimde bugünü ve geleceği, üst yönetim sorumluluğunu, hesap verebilirliği, ilişkileri ve kuralları kapsar. Bilgi sistemleri yönetişimi, kurumsal yönetişimin ayrılmaz parçası olarak bilgi sistemleri kaynaklarının kurumsal strateji ve hedefleri desteklemesini sağlar. Bu çerçevede bilgi güvenliği yönetişimi, yönlendirme komitesi, bilgi sistemleri-iş uyumu, kaynak yönetimi, risk yönetimi ve performans yönetimi temel unsurlar haline gelir. Denetimde farkındalık, yazılı süreçler, rol ve sorumluluklar, üst yönetim gözetimi ve strateji bağlantısı aranır.

Bilgi sistemleri denetimi, bilgi sistemleri altyapısında tasarlanan ve uygulanan kontrollerin kanıt toplanarak ve değerlendirilerek incelenmesidir. Denetçi, bu değerlendirme sonunda bilgi sistemlerinin varlıkları koruyup korumadığı, veri bütünlüğünü sürdürüp sürdürmediği, kuruluş amaçlarına etkin ve verimli biçimde hizmet edip etmediği hakkında görüş oluşturur. BSBD Tebliği çerçevesinde süreç; bilgi sistemleri yönetimi ve işletimi kapsamındaki faaliyet, yazılım, donanım ve kontrollerin yönetim ilkeleri doğrultusunda değerlendirilmesi, görüş oluşturulması ve rapora bağlanması aşamalarından oluşur. Kavramlar birbirine bağlıdır: kontroller riskleri yönetmek için kurulur, risk tabanlı denetim kaynakları öncelikli alanlara yöneltir, önemlilik kapsamı ve kanıt ihtiyacını etkiler, yeterli ve uygun kanıt ise raporlanacak görüşün dayanağını oluşturur. Genel kontroller altyapı güvenliğini, uygulama kontrolleri veri girişinden çıktıya kadar işlem güvenilirliğini destekler; üçüncü taraf hizmetleri ve adli bilişim incelemeleri de sistem dışına taşan kanıt ve sorumluluk alanlarını denetim kapsamına dahil eder.

Bilgi sistemleri denetim faaliyeti, bilgi sistemleri altyapısı içindeki kontrollerin incelenmesine dayanır. Denetçi; bilgi sistemleri, uygulamalar ve operasyonlarda tasarlanan ve uygulanan kontrollerin tasarımına ve işleyişine ilişkin kanıt toplar, bu kanıtları değerlendirir ve sistemlerin varlıkları koruyup korumadığı, veri bütünlüğünü sürdürüp sürdürmediği, kuruluş amaçlarına etkin ve verimli şekilde hizmet edip etmediği hakkında görüş oluşturur. Sermaye piyasası düzenlemesindeki bilgi sistemleri bağımsız denetimi de bilgi sistemi unsurları ile bu sistemde tesis edilen kontrollerin yönetim ilkeleri doğrultusunda değerlendirilmesi, görüş oluşturulması ve rapora bağlanması süreci olarak açıklanır. Faaliyet iç denetim, dış denetim veya finansal ve uygunluk denetimleriyle bütünleşik biçimde yürütülebilir. Denetimin odağında genel kontroller, uygulama kontrolleri, risk, önemlilik ve denetim kanıtı vardır. Genel kontroller güvenli ortamı kurarken uygulama kontrolleri girdinin, transferin, işlemin ve çıktının tam, doğru, zamanında ve yetkili biçimde gerçekleşmesini destekler.

Sermaye piyasasında bağımsız denetim standartları, bilgi sistemleri bağımsız denetimiyle özellikle planlama, risk değerlendirme, iç kontrol, kanıt toplama, bağımsızlık ve raporlama bakımından bağlantılıdır. Kaynak, Uluslararası Denetim Standartlarının esas olarak finansal tablo denetiminde kullanıldığını, ancak işletmenin kontrol ortamı, denetimin planlanması, raporlanması, örnekleme ve denetim prosedürleri bakımından bilgi sistemleri denetimine benzerlik taşıdığı için kıyasen uygulanabileceğini açıklar. Sermaye piyasası bilgi sistemleri denetiminde Kurul düzenlemelerinde ISA ifadeleri ve atıfları bulunur. ISA 240 hile kaynaklı risklerde denetçinin makul güvence sorumluluğunu, ISA 265 iç kontrol eksikliklerinin üst yönetime bildirilmesini, ISA 300 planlama sorumluluğunu, ISA 315 işletme ve iç kontrolü anlayarak önemli yanlışlık risklerini belirlemeyi, ISA 330 değerlendirilen risklere karşı prosedür tasarlamayı, ISA 402 dış hizmet sağlayıcı kontrollerinin etkisini ele alır. BSBD rapor örnekleri olumlu, şartlı, olumsuz ve görüşten kaçınma seçeneklerini sorumluluk, doğal kısıt ve görüş bölümleriyle yapılandırır.

VII-128.10, sermaye piyasası kapsamındaki kurum, kuruluş ve ortaklıkların bilgi sistemlerini nasıl kuracağı, işleteceği, yöneteceği ve kullanacağına ilişkin yönetim çerçevesini verir. Temel mantık, bilgi sistemlerinden doğan risklerin kurum hedeflerini zedelemeyecek biçimde yönetilmesi ve bilginin gizlilik, bütünlük ve gerektiğinde erişilebilirlik niteliklerinin korunmasıdır. Bu çerçevede sorumluluk yalnız teknik ekibe bırakılmaz; bilgi sistemleri stratejisi, güvenlik politikası, organizasyon, risk değerlendirmesi, varlık envanteri, personel eğitimi, yasal uyum ve sürekli izleme yönetim kontrolünün parçasıdır. VII-128.10 ayrıca bağımsız denetim raporlarında denetlenen yönetimin sorumluluk alanını belirginleştirir. Kontrollerin tebliğdeki usul ve esaslara uygun oluşturulması, etkin işletilmesi ve yeterli kontrol ortamının tesis edilmesi yönetimin görevidir. Denetçi bu kontrol ortamının etkin, yeterli ve uyumlu olup olmadığına ilişkin kanıt toplar ve görüşünü bu ayrım üzerinden kurar. Ayrıca uygulama kontrolleri ile genel kontrollerin birlikte çalışması, VII-128.10 kapsamında yönetimin kontrol ortamını sadece politika düzeyinde değil işlem düzeyinde de işletmesi gerektiğini gösterir.

III-62.2, sermaye piyasasında bilgi sistemleri bağımsız denetiminin kimler tarafından, hangi kapsamda ve nasıl raporlanacağına ilişkin denetçi tarafındaki çerçevedir. Bilgi sistemleri bağımsız denetimi, bilgi sistemleri yönetimi ve işletimi kapsamındaki faaliyet, yazılım, donanım ve kontrollerin bilgi sistemleri yönetim ilkeleri doğrultusunda değerlendirilmesi, görüş oluşturulması ve rapora bağlanması sürecidir. Amaç, denetlenenin bilgi sistemleri ve iç kontrollerinin uyumluluk, etkinlik ve yeterliliği hakkında görüş oluşturmaktır. Denetlenen yönetimi VII-128.10'a uygun kontrol ortamını kurar ve işletir; yetkili denetim kuruluşu III-62.2'ye uygun denetim yaparak görüş bildirir. Denetim önemli kontrol eksikliklerinin tespitine dair makul güvence sağlayacak şekilde planlanır. Rapor olumlu, şartlı, olumsuz veya görüş bildirmekten kaçınma şeklinde sonuçlanabilir. Denetim sonucu yalnız teknik bulgu listesi değildir; raporda sorumluluk ayrımı, doğal kısıtlar, kanıt yeterliliği ve görüş türü birlikte okunmalıdır.

Bilgi sistemleri denetiminde ilgili diğer mevzuat ve uluslararası düzenlemeler, sermaye piyasası kurallarıyla sınırlı olmayan çok katmanlı bir uyum alanı oluşturur. Kaynak metin, BDDK düzenlemelerinde bilgi sistemleri ve iş süreçleri bağımsız denetiminin kapsamını, yetkilendirilmiş kuruluşları, denetçi niteliklerini, kontrol zayıflıklarının sınıflandırılmasını ve raporlama yükümlülüklerini açıklar. Sermaye piyasası düzenlemeleri ise bilgi sistemleri yönetimi, bilgi sistemleri bağımsız denetimi, denetim raporlarının iletilmesi, gizlilik ve sorumluluk boyutlarını belirler. Uluslararası tarafta COBIT bilgi ve teknolojinin yönetişimi, kontrol hedefleri, risk ve değer üretimi için çerçeve sunar; ISO/IEC 27000 ailesi bilgi güvenliği yönetim sistemi, gizlilik, bütünlük ve erişilebilirlik odağıyla çalışır; ITAF bilgi sistemleri denetim ve güvence uzmanlarının standart, kılavuz, araç ve raporlama ihtiyacına yönelir. Bu başlıkta esas ayrım, yasal yükümlülük ile iyi uygulama çerçevesinin denetimde farklı işlevler görmesidir. Denetçi, bağlayıcı mevzuatı rehber niteliğindeki çerçevelerden ayırarak kanıt ve raporlamayı buna göre kurar. Denetçi bağlayıcı mevzuatı iyi uygulama çerçevelerinden ayırmalı; BDDK düzenlemelerinde rapor gizliliği ve kontrol eksikliği sınıflandırmasını, COBIT, ISO 27001 ve ITAF tarafında ise yönetişim, bilgi güvenliği ve güvence standartları işlevlerini ayrı okumalıdır.

Bilgi sistemleri bağımsız denetiminde etik kurallar, denetçinin yalnız teknik doğrulama yapan kişi olmadığını, kamu yararı, bağımsızlık, gizlilik, mesleki özen ve dürüstlük sorumluluğu taşıdığını gösterir. Kaynak metne göre sermaye piyasasında bilgi sistemleri denetçileri için KGK tarafından yayımlanan Bağımsız Denetçiler İçin Etik Kurallar kıyasen uygulanır; bu kurallar IESBA etik kodunun Türkçe tercümesine dayanır. Beş temel ilke dürüstlük, tarafsızlık, mesleki yeterlilik ve özen, sır saklama ve mesleğe uygun davranıştır. Kavramsal çerçeve, bu ilkelere yönelik tehditlerin belirlenmesi, değerlendirilmesi ve ortadan kaldırılması ya da kabul edilebilir seviyeye indirilmesini ister. ISACA etik kuralları ise bilgi sistemleri denetçileri ve sertifika sahipleri için standartlara uyumu destekleme, objektif ve özenli çalışma, gizliliği koruma, yetkinliği sürdürme, sonuçları uygun taraflara bildirme ve paydaşların eğitimini destekleme yükümlülüklerini öne çıkarır. Etik değerlendirme, denetimin kabulünden bilgi saklama yükümlülüğünün devamına kadar bütün mesleki sürece yayılır. Özellikle esasta bağımsızlık ile şekilde bağımsızlık ayrımı, tehdit kategorilerinin somut örnekleri, gizli bilginin kullanımı ve ISACA kurallarındaki yetkinlik ile uygun taraflara raporlama yükümlülüğü birlikte değerlendirilmelidir.