Bilgi Sistemleri Denetim Faaliyeti Konu Anlatımı

Bilgi sistemleri denetim faaliyeti, teknolojik varlıkların yalnız var olup olmadığını sayan bir inceleme değildir.

Faaliyetin merkezinde, bilgi sistemleri altyapısı içinde tasarlanan ve uygulanan kontrollerin değerlendirilmesi bulunur.

Denetçi bilgi sistemleri, uygulamalar ve operasyonlarda kontrollerin nasıl tasarlandığına ve nasıl işlediğine ilişkin kanıt toplar.

Bu kanıtlar değerlendirildikten sonra bilgi sistemlerinin varlıkları koruyup korumadığı, veri bütünlüğünü sürdürüp sürdürmediği ve kuruluşun amaçlarına etkin ve verimli biçimde hizmet edip etmediği hakkında görüş oluşturulur.

Bu nedenle bilgi sistemleri denetimi teknik inceleme, kontrol testi, risk değerlendirmesi ve raporlama yönlerini birlikte taşır.

Sermaye piyasası düzenlemesinde bilgi sistemleri bağımsız denetimi, bilgi sistemleri yönetimi ve işletimi kapsamındaki faaliyet, yazılım ve donanım gibi bilgi sistemi unsurları ile bu sistem içinde tesis edilen kontrollerin bilgi sistemleri yönetim ilkeleri doğrultusunda değerlendirilmesi sonucunda görüş oluşturulması ve rapora bağlanması süreci olarak açıklanır.

Temel amaç, denetlenenin bilgi sistemlerinin ve bu sisteme ilişkin iç kontrollerinin uyumluluk, etkinlik ve yeterlilik bakımından değerlendirilmesidir.

Bu tanım üç ayrı boyutu birleştirir: bilgi sistemi unsurları, bunlara bağlanan kontroller ve yönetim ilkelerine göre ulaşılan denetçi görüşü.

Bilgi sistemleri denetimi iç veya dış denetim biçiminde yürütülebilir.

İç denetimin parçası olarak bağımsız uzman bir grup tarafından yapılabileceği gibi finansal ve uygunluk denetimleriyle bütünleşik şekilde de ele alınabilir.

Dışarıdan bir kişi veya kuruluş tarafından bilgi sistemleri denetim hizmeti verilmesi de mümkündür.

Bu çeşitlilik, faaliyetin yalnız bilgi işlem biriminin kendi kendini kontrol etmesi anlamına gelmediğini gösterir.

Denetimin organizasyonel konumu değişebilir; fakat kanıta dayalı değerlendirme, kontrollerin incelenmesi ve görüş oluşturma mantığı değişmez.

Bilgi sistemleri denetimi diğer denetim türleriyle karıştırılmamalıdır.

Finansal denetim mali kayıtların ve bilgilerin doğruluğunu, finansal tabloların düzenlemelere ve muhasebe ilkelerine uygunluğunu değerlendirir.

Operasyonel denetim işletme operasyonlarının etkinliği, verimliliği ve stratejilere uyumuyla ilgilenir.

Uyum denetimi belirli yasalara, düzenlemelere ve uygulamalara uyumu inceler.

Bütünleşik denetim ise finansal, operasyonel ve bilgi sistemleri denetimi süreçlerini risk odaklı yaklaşımla birlikte yürütür.

Bilgi sistemleri denetimi bu türlerle örtüşebilir; ancak ayırt edici odağı bilgi sistemleri ve onlara ilişkin kontrollerdir.

Kontrol kavramı bilgi sistemleri denetiminin temel aracıdır.

İşletmeler, bilgi sistemlerinden beklenen işlevselliği iş hedeflerine katkı sağlayacak biçimde elde etmek için kontroller kullanır.

Kontrol; riskleri yönetmek için idari, teknik, yönetimsel veya yasal nitelikte politika, prosedür, kılavuz, uygulama veya organizasyon yapısı olarak düşünülebilir.

Etkili kontrol, olması muhtemel olayı önleyen, tespit eden veya sınırlayan ve risk olayından kurtulmayı sağlayan kontroldür.

İç kontroller, iş hedeflerinin gerçekleşeceğine ve istenmeyen olayların önleneceğine, tespit edileceğine ya da düzeltileceğine ilişkin makul güvence sağlamak üzere geliştirilir.

Kontrollerin birincil sorumluluğu yönetimdedir.

Kaynak, belirlenen iş hedeflerine yönelik çalışmanın her çalışanın görevi olduğunu, fakat birincil sorumluluğun üst yönetimde bulunduğunu açıklar.

Yönetim kurumsal hedeflerin gerçekleştirilmesi için planlama, organizasyon ve yönlendirme yapar; gerekli kontrolleri oluşturur ve sürekli izler.

Denetim faaliyeti bu kontrollerin varlığını, tasarımını ve işleyişini değerlendirerek yönetimin riskleri ne kadar iyi yönettiğini anlamaya yardım eder.

Denetçi kontrolü yönetimin yerine kurmaz; kontrol ortamının denetlenebilir kanıtlarla ne gösterdiğini değerlendirir.

Kontroller alanına göre genel kontroller ve uygulama kontrolleri olarak ikiye ayrılır.

Genel kontroller, işletmenin tüm bilgi sistemleri altyapısı ve destek hizmetleri dahil faaliyetlerinin sürekliliğine yönelik politika, prosedür ve uygulamaları kapsar.

Uygulama seviyesindeki kontrollerin güvenilir çalışabilmesi, çoğu kez bu genel kontrol ortamının sağlam kurulmasına bağlıdır.

Yönetim kontrolleri, fiziksel ve çevresel kontroller, ağ yönetimi ve güvenliği, mantıksal erişim, işletim, sistem geliştirme ve değişim yönetimi, acil durum ve iş sürekliliği planlaması genel kontroller arasında yer alır.

Genel kontroller zayıfsa, uygulama kontrollerinin güvenilirliği de zarar görebilir.

Uygulama kontrolleri, bilgilerin sistemlere veya programlara eksiksiz, zamanında ve yalnız bir kez girilmesini; işlem ve süreçlerin istenilen sıra ve düzen içinde gerçekleşmesini; raporların tam ve güvenilir üretilmesini, yetkili kişilere ulaştırılmasını ve uygun biçimde arşivlenmesini sağlar.

Girdi kontrolleri verinin tam, doğru ve yetkili kişi tarafından girilmesine yönelir.

Veri transfer kontrolleri bir uçtan diğerine aktarımın tam, doğru, zamanında ve güvenli olmasını sağlar.

İşlem kontrolleri verinin iş süreçlerine uygun işlenmesi ve denetlenebilir olmasıyla ilgilenir.

Çıktı kontrolleri rapor ve çıktıların doğruluğu, zamanlaması, dağıtımı, gizliliği ve saklanması üzerinde durur.

Risk ve önemlilik, denetim faaliyetinin etkin yürütülmesi için birlikte anlaşılmalıdır.

Risk, amaç ve hedeflere ulaşmayı engelleyebilecek olaylar veya olasılık ile etkinin birleşimi olarak ele alınır.

Bilgi sistemlerinde donanım arızası, elektrik kesintisi, hırsızlık, siber saldırı, internet erişim kesintisi, kullanıcı hatalı işlemleri veya sözleşme ihlalleri risk oluşturan olaylara örnektir.

Başka bir modelde risk, bilgi sistemi varlığındaki güvenlik zafiyetinden yararlanan tehdidin zarar verme potansiyeli olarak anlaşılır.

Zafiyet işletmenin süreç, tasarım, uygulama, işletim veya iç kontrolündeki zayıflıktır; tehdit ise zararla sonuçlanabilecek nesne, kişi, madde veya olay olabilir.

Denetim riski, denetim bulgularına dayanarak yanlış sonuca varma riski olarak açıklanır.

Bu risk doğal risk, kontrol riski ve tespit riskinden etkilenir.

Doğal risk, kontroller dikkate alınmadan var olan maruz kalma düzeyidir.

Kontrol riski, iç kontrol sistemi tarafından önemli hatanın zamanında önlenememesi veya tespit edilememesidir.

Tespit riski ise bilgi sistemleri denetçisinin uyguladığı doğruluk prosedürlerinin önemli olabilecek bir hatayı yakalayamaması riskidir.

Bilgi sistemleri denetçisi, planlama ve prosedür seçiminde bu bileşenleri dikkate alarak makul güvenceye ulaşmaya çalışır.

Bilgi sistemleri denetim faaliyeti nihayetinde raporlanabilir bir görüşe yönelir.

Kanıt toplama, kontrol testleri, risk değerlendirmesi ve önemlilik düşüncesi, soyut teknik kontrol listeleri üretmek için değil, denetlenenin bilgi sistemleri kontrollerinin uyumlu, etkin ve yeterli olup olmadığını değerlendirmek için kullanılır.

Kontrollerin doğasında kısıtlar bulunduğu için hiçbir denetim tüm zayıflıkları mutlak biçimde ortaya çıkarma iddiasında değildir.

Mevcut şartların değişmesi, sistemlerde veya kontrollerde değişiklik yapılması ve kontrollerin etkinliğinin bozulması sonuçların zaman içinde değişmesine yol açabilir.