Etik İlke ve Kurallar (Bağımsız Denetçiler İçin Etik Kurallar ve ISACA'nın Etik Kuralları) Konu Anlatımı

Bilgi sistemleri denetiminde etik, teknik denetim prosedürlerinin üstüne eklenen soyut bir meslek süsü değildir.

Denetçinin hangi bilgiyi kullanabileceği, hangi ilişkiyi sürdürebileceği, hangi çıkar karşısında işi reddetmesi gerektiği, gizli bilgileri nasıl koruyacağı ve rapor sonucunu hangi bağımsızlık içinde oluşturacağı etik kurallarla belirlenir.

Kaynak metin, bilgi sistemleri denetçilerine yönelik olarak mevzuatla KGK’nın Bağımsız Denetçiler İçin Etik Kuralları’nın zorunlu kılındığını, ayrıca ISACA tarafından yayımlanan etik kurallar bulunduğunu belirtir.

Bu iki set aynı amaca hizmet eder, fakat kaynakları ve vurgu alanları farklıdır.

Bağımsız Denetçiler İçin Etik Kurallar, IESBA tarafından oluşturulan uluslararası etik kodun Türkçe tercümesine dayanır ve bilgi sistemleri denetçilerine kıyasen uygulanır.

Kuralların çıkış noktası kamu yararıdır.

Denetçinin sorumluluğu yalnız müşterinin veya işverenin ihtiyacını karşılamak değildir; denetim mesleğinin güven üretme işlevi kamu yararıyla bağlantılıdır.

Bu nedenle denetçi, mevzuata daha kısıtlayıcı hükümler koyulmuşsa bu hükümlere uyar; bazı etik hükümler mevzuat nedeniyle uygulanamıyorsa başta mevzuat olmak üzere diğer etik kurallara bağlı kalır.

Beş temel etik ilke denetçinin davranış sınırlarını çizer.

Dürüstlük, mesleki ve iş ilişkilerinde açık, doğru ve güvenilir olmayı gerektirir; denetçi yanıltıcı bilgi içeren rapor veya yazışmalarla bilerek ilişkilendirilmemelidir.

Tarafsızlık, önyargı, çıkar çatışması veya başkalarının etkisiyle mesleki muhakemenin bozulmasına izin vermemektir.

Mesleki yeterlilik ve özen, güncel teknik ve mesleki standartlar ile mevzuata uygun hizmet verecek bilgi ve beceriyi kazanmayı, sürdürmeyi ve işi dikkatli, derinlemesine, zamanında yürütmeyi içerir.

Sır saklama ilkesi bilgi sistemleri denetiminde özel ağırlık taşır; çünkü denetçi sistem mimarisi, erişim yetkileri, zayıflıklar, olay kayıtları, müşteri verileri ve iş sürekliliği planları gibi hassas bilgilere ulaşabilir.

Gizli bilgiler yasal veya mesleki hak ya da görev bulunmadıkça denetim şirketi dışında açıklanamaz ve denetçinin veya üçüncü kişilerin çıkarı için kullanılamaz.

Bu yükümlülük müşteri ilişkisi sona erdikten sonra da devam eder.

Mevzuatın açıklamayı zorunlu tuttuğu, yetkili mercilerin inceleme yaptığı veya teknik ve mesleki standartlara uyumun gerektirdiği durumlarda açıklama ihtimali ayrıca değerlendirilir.

Mesleğe uygun davranış ilkesi, ilgili mevzuata uymayı ve denetim mesleğinin itibarını zedeleyecek tutumlardan kaçınmayı gerektirir.

Denetçi sunabileceği hizmetler, nitelikleri ve deneyimi konusunda abartılı iddialarda bulunamaz; başkalarının çalışmalarına yönelik mesnetsiz kötüleme veya karşılaştırma yapamaz.

Etik ilkeler çatıştığında denetçi yalnız kişisel kanaatine dayanmak yerine mesleki muhakeme kullanır, gerektiğinde denetim kuruluşundaki kişiler, üst yönetimden sorumlu olanlar, yetkili merciler, düzenleyici otorite veya hukuk müşavirine danışmayı değerlendirir.

Danışma almak, çatışmayı çözme sorumluluğunu ortadan kaldırmaz.

Kavramsal çerçeve, temel ilkelere yönelik tehditleri belirleme, değerlendirme ve ele alma yöntemidir.

Kişisel çıkar tehdidi, denetçinin finansal veya finansal olmayan çıkarının yargısını etkilemesi riskidir.

Kendi kendini denetleme tehdidi, denetçinin önceki bir faaliyetinin sonucunu cari denetimde değerlendirmesiyle doğar.

Taraf tutma tehdidi, müşterinin pozisyonunu tarafsızlığı zedeleyecek biçimde desteklemektir.

Yakınlık tehdidi uzun süreli veya yakın ilişki nedeniyle eleştirel mesafenin kaybolmasıdır.

Yıldırma tehdidi ise baskı veya tehdit altında tarafsız davranamama riskidir.

Tehdit kabul edilebilir düzeyde değilse denetçi bunu ortadan kaldırmalı, kabul edilebilir seviyeye indiren önlemler almalı veya ilgili faaliyeti reddetmeli ya da sonlandırmalıdır.

Bağımsızlık standartları bu çerçevenin özel bir görünümüdür.

Esasta bağımsızlık, denetçinin dürüstlük, tarafsızlık ve mesleki şüphecilikle görüş açıklamasını engelleyen etkilerden arınmış olmasıdır.

Şekilde bağımsızlık ise makul ve bilgi sahibi üçüncü kişilerde bağımsızlıktan ödün verildiği izlenimi yaratacak durum ve davranışlardan kaçınmayı gerektirir.

Denetim dönemi boyunca bağımsızlık sürdürülmelidir.

ISACA’nın etik kuralları, bilgi sistemleri denetçileri ve sertifika sahipleri için daha doğrudan bilgi sistemleri mesleği odağı taşır.

Üyeler ve sertifika sahipleri, kurumsal bilgi sistemleri ve teknolojisinin yönetişimi ve yönetimi için uygun standart ve prosedürlerin uygulanmasını destekler; görevlerini mesleki standartlara uygun, tarafsız, gereken özen ve mesleki titizlikle yerine getirir; yasal ve dürüst biçimde paydaşların çıkarına hizmet eder.

Görev sırasında elde edilen bilgilerin gizliliğini korur, bu bilgileri kişisel çıkar için kullanmaz ve uygunsuz taraflara vermez.

ISACA setinde yetkinlik ve iletişim de açık etik yükümlülüklerdir.

Denetçi kendi alanındaki yeterliliğini sağlar ve sürdürür; yalnız bilgi, beceri ve yeterlilikle tamamlamayı makul olarak beklediği işleri üstlenir.

Yapılan işin sonuçları hakkında uygun tarafları bilgilendirir; açıklanmaması denetim sonuçlarının yanlış anlaşılmasına yol açabilecek önemli hususları saklamaz.

Ayrıca paydaşların kurumsal bilgi sistemleri ve teknolojisinin yönetişim ve yönetimine ilişkin anlayışını geliştirmede mesleki eğitimi destekler.

Böylece KGK etik kuralları bağımsız denetim etiğinin genel ve bağlayıcı çerçevesini, ISACA kuralları ise bilgi sistemleri denetim mesleğinin uzmanlık davranışını tamamlar.

Etik kuralların bilgi sistemleri denetimindeki somut değeri, denetçinin eriştiği teknik bilgilerin kötüye kullanılmasını ve denetim sonucunun ilişkilerle bozulmasını önlemesidir.

Bir sistem zafiyetinin, erişim yetkisi matrisinin, olay müdahale planının veya dış hizmet sağlayıcı sözleşmesinin içeriği, yanlış kişilere açıklandığında denetlenen işletme için güvenlik riski doğurabilir.

Aynı şekilde denetçinin geçmişte kurduğu sistemi denetlemesi, müşteriden önemli hediye kabul etmesi, düşük ücret nedeniyle işi gerekli standartta yürütememesi veya yönetim baskısı altında bulguyu yumuşatması etik tehdidin denetim kalitesine nasıl dönüştüğünü gösterir.

KGK çerçevesi ile ISACA kuralları birlikte okunduğunda iki tamamlayıcı düzey ortaya çıkar.

KGK kuralları temel ilkeleri, bağımsızlığı, tehditleri ve önlemleri düzenleyen genel bağımsız denetim etiğini sağlar.

ISACA kuralları ise bilgi sistemleri ve teknolojisinin yönetişimi, kontrolü, güvenliği ve risk yönetimi alanında çalışan uzmanın davranışına mesleki yön verir.

Denetçi hem kamu yararına ve bağımsızlığa bağlı kalmalı hem de yalnız yetkin olduğu işleri üstlenmeli, sonuçları uygun taraflara açık biçimde aktarmalı ve paydaşların bilgi sistemleri yönetişimi anlayışını geliştirmeye katkı vermelidir.

Etik bu nedenle denetim raporundan önce başlayan ve rapordan sonra gizlilik yükümlülüğüyle devam eden sürekli bir meslek disiplinidir.

Kavramsal çerçevenin bilgi sistemleri denetimine uygulanması, tehditleri yalnız finansal çıkarla sınırlamamayı gerektirir.

Denetçinin denetlenen işletmenin siber güvenlik ekibiyle uzun süreli yakın ilişki kurması yakınlık tehdidi doğurabilir; daha önce tasarladığı erişim kontrol yapısını denetlemesi kendi kendini denetleme tehdididir; kritik bir bulgunun rapordan çıkarılması için baskı görmesi yıldırma tehdididir.

Müşteri verilerine erişim sayesinde kişisel veya ticari avantaj elde etme ihtimali kişisel çıkar tehdididir.

Bu tehditler kabul edilebilir düzeyde değilse görev dağılımını değiştirmek, bağımsız gözden geçirme yaptırmak, işi reddetmek veya ilişkiden çekilmek gerekebilir.

ISACA kuralları, denetçinin bilgi sistemleri alanındaki yetkinliğini etik bir zorunluluk haline getirir.

Karmaşık bulut mimarisi, dış hizmet sağlayıcı zinciri, olay müdahale kayıtları veya kimlik yönetimi süreçleri denetlenirken yeterli bilgi ve beceri olmadan güvence vermek paydaşları yanıltabilir.

Bu yüzden denetçi yalnız tamamlayabileceğini makul olarak beklediği işleri kabul etmeli, çalışma sonuçlarını uygun taraflara anlaşılır biçimde aktarmalı ve açıklanmaması sonucun yanlış anlaşılmasına yol açacak önemli hususları saklamamalıdır.

Etik davranış burada raporun dili, kanıtın korunması, yeterliliğin dürüst değerlendirilmesi ve paydaşların doğru bilgilendirilmesiyle somutlaşır.

Bağımsızlık hükümleri etik ilkelerin bilgi sistemleri denetimindeki en keskin uygulamasıdır.

Esasta bağımsızlık, denetçinin dürüstlük, tarafsızlık ve mesleki şüphecilikle görüş açıklamasını engelleyen etkilerden arınmasıdır.

Şekilde bağımsızlık ise makul ve bilgi sahibi üçüncü kişilerde bağımsızlıktan ödün verildiği izlenimi yaratacak durumlardan kaçınmayı gerektirir.

Bir denetçinin fiilen tarafsız olduğunu düşünmesi yeterli değildir; ilişkiler, ücretler, hediyeler, aile bağları, geçmiş hizmetler ve müşteriyle yakın iş ilişkileri dışarıdan bakıldığında da güveni zedelememelidir.

Bu ayrım, etik sorularında niyet ile görünümün birlikte sınanmasını sağlar.

Tehdit kategorileri somut olaylara uygulanarak öğrenilmelidir.

Müşteride finansal çıkar bulunması, işi standartlara uygun yürütmeyi zorlaştıracak kadar düşük ücret teklifi veya gizli bilgileri kişisel kazanç için kullanma ihtimali kişisel çıkar tehdididir.

Önceden kurulan finansal veya bilgi sistemi üzerinde güvence raporu vermek kendi kendini denetleme tehdididir.

Müşterinin pozisyonunu savunur gibi hareket etmek taraf tutma tehdididir.

Uzun süreli ilişki, aile yakınlığı veya müşteriye fazla yakın kabul edici yaklaşım yakınlık tehdididir.

Sözleşmenin sonlandırılması, terfinin engellenmesi veya hediye kabulünün açıklanması baskısıyla karşılaşmak yıldırma tehdididir.

Bilgi sistemleri denetiminde gizlilik, genel etik ilkenin ötesinde operasyonel güvenlik değerine sahiptir.