İlgili Diğer Mevzuat ve Uluslararası Düzenlemeler Konu Anlatımı

Bilgi sistemleri denetimiyle ilgili mevzuat alanı, tek bir düzenleyicinin tek bir metninden ibaret değildir.

Kaynak metin, bilgi sistemlerinin öneminden dolayı farklı kamu kurumlarınca mevzuatla düzenlendiğini belirtir ve bu nedenle bilgi sistemleri denetçisinin hem sermaye piyasası düzenlemelerini hem de bankacılık ve diğer sektör düzenlemelerini tanıması gerektiğini gösterir.

Bu yapı, denetimde uyumun yalnız teknik kontrol listesi olmadığını ortaya koyar.

Denetçi, denetlenen işletmenin tabi olduğu düzenleyici çevreyi belirler, hangi sistem ve süreçlerin kapsama girdiğini anlar, raporlama ve gizlilik yükümlülüklerini ayırır.

BDDK düzenlemeleri, bilgi sistemleri bağımsız denetimi bakımından üç ana hattı görünür kılar: denetimin kendisi, denetimin raporlanması ve bilgi sistemleri yönetim ilkeleri.

Eski düzenlemelerde COBIT’e açık referanslar varken yeni yönetmelik, bilgi sistemleri denetiminin kendi hükümleri kapsamında yapılmasını esas almış ve COBIT referansını kaldırmıştır.

Bu değişim önemlidir; çünkü COBIT bir çerçeve olarak denetçiye yöntemsel bakış sunabilir, fakat yürürlükteki yönetmelik doğrudan hukuki yükümlülük kaynağıdır.

Denetçi, iyi uygulama çerçevesi ile bağlayıcı mevzuatı birbirine karıştırmamalıdır.

BDDK kapsamındaki bilgi sistemleri bağımsız denetimi, bilgi sistemleri yönetimi kapsamındaki süreç, faaliyet, yazılım, donanım gibi unsurlar ile faaliyet süreçleri içinde kurulan iç kontrollerin değerlendirilmesi sonucunda görüş oluşturulması ve rapora bağlanması süreci olarak ele alınır.

Genel kontroller, bilgi sistemlerinden beklenen fonksiyonların doğru yerine getirilmesini, istenmeyen olayların engellenmesini, belirlenmesini ve düzeltilmesini, iş süreçleri üzerindeki kontroller için güvenilir ortam oluşmasını hedefler.

Kontrol hedefi ise belirli bir bilgi sistemi aktivitesi içinde ulaşılmak istenen sonucu açıklar.

Böylece mevzuat, denetçiden yalnız sistem varlığını değil, kontrol tasarımını, işleyişini, etkinliğini, yeterliliğini ve uyumluluğunu değerlendirmesini bekler.

BDDK düzenlemelerinde yetkilendirme ve sorumluluk ayrımı da belirgindir.

Bankalar, risk merkezi ve bilgi alışverişi kuruluşlarında iş süreçleri ile bilgi sistemleri birlikte denetlenirken bazı diğer kuruluşlarda yalnız bilgi sistemleri denetimi öne çıkar.

Yetkili kuruluşlarda yeterli sayı ve nitelikte denetçi, etkin bilgi sistemi ve kalite kontrol politikaları aranır.

Dış hizmet alımı yapılması, bağımsız denetim kuruluşunun nihai sorumluluğunu ortadan kaldırmaz.

Denetçi unvanları, mesleki tecrübe şartları, sicil ve veri güvenliği yükümlülükleri, denetimin yalnız teknik uzmanlık değil kurumsal yetkinlik meselesi olduğunu gösterir.

Kontrol zayıflıklarının sınıflandırılması mevzuatın kanıt ve raporlama boyutunu bağlar.

Denetçi her kontrol zayıflığını tek başına ve birlikte oluşturabileceği kombinasyonlarla değerlendirir; kayda değer kontrol eksikliği veya önemli kontrol eksikliği ayrımını nitel ve nicel yöntemlerle yapar.

Mevzuata ilişkin alt düzenleme ve talimatların yerine getirilmesine dair kontroller, sahteciliği önleyen kontroller, yıl sonu finansal raporlama süreci gibi alanlardaki zayıflıkların en az kayda değer eksiklik sayılması gerekir.

Yönetim kaynaklı sahtecilik, etkin iç kontrol ortamının bulunmaması veya uyum fonksiyonunun etkin olmaması ise önemli eksikliğe güçlü işaret olarak ele alınır.

Uluslararası düzenlemelerde COBIT, bilgi ve ilgili teknolojiler için kontrol hedefleri yaklaşımını temsil eder.

İşletmenin iş hedefleri doğrultusunda bilgi işlem kaynaklarını kullanmasını, bilgi sistemlerinden doğan riskleri yönetmesini, kontrolleri tasarlamasını ve bu kontrollerin denetlenmesini sistematik hale getirir.

COBIT’in odağı ne yapılması gerektiğini göstermektir; uygulamanın tüm teknik ayrıntılarını yazmaz.

Zamanla denetim aracı olmaktan kontrol, yönetim, risk, katma değer ve yönetişim çerçevesine dönüşmüştür.

Bu nedenle COBIT, denetimde kontrol hedefleri, süreç olgunluğu ve bilgi teknolojisi yönetişimi için referans sağlar.

ISO/IEC 27000 standart serisi, bilgi güvenliği yönetim sistemi ailesidir.

ISO 27001 ana standart olarak bilgi güvenliği gereklerini ortaya koyar ve bilginin gizlilik, bütünlük ve erişilebilirlik unsurlarını korumaya odaklanır.

Standart yalnız teknik ürüne veya belirli teknolojiye bağlı değildir; politika, organizasyonel güvenlik, varlık sınıflaması, personel güvenliği, fiziksel güvenlik, iletişim ve operasyon yönetimi, erişim kontrolü, sistem geliştirme ve bakım, iş sürekliliği ve uyum gibi alanları kapsar.

Bu yönüyle ISO 27001, denetçiye bilgi güvenliği kontrollerinin yönetim sistemi içinde nasıl kurulduğunu değerlendirme çerçevesi verir.

ITAF ise ISACA’nın bilgi sistemleri denetim ve güvence standartları üzerine yoğunlaşan referans modelidir.

Rol ve sorumluluklar, bilgi ve beceriler, davranış, gayret, raporlama, planlama, yürütme, araç ve teknikler bakımından bilgi sistemleri güvence uzmanına yön verir.

COBIT yönetişim ve kontrol hedefleri, ISO 27001 bilgi güvenliği yönetimi, ITAF ise denetim ve güvence mesleğinin standart ve kılavuz ihtiyacı bakımından ayrılır.

Mevzuat bağlayıcı asgari yükümlülükleri belirlerken uluslararası çerçeveler denetimin sistematik, karşılaştırılabilir ve iyi uygulamayla uyumlu yürütülmesine katkı sağlar.

Sermaye piyasası alanındaki bilgi sistemleri yönetimi düzenlemeleri, denetlenen işletmenin kendi bilgi sistemlerini güvenilir ve kesintisiz yönetmesini, mevzuattan doğan yükümlülüklerini yerine getirmesini ve kontrollerini belgelendirmesini bekler.

Bu beklenti, dış denetçinin çalışmasına da temel olur; çünkü denetçi yalnız sistemin çalışıp çalışmadığına değil, yönetim tarafından tanımlanan politika, prosedür, rol, izleme ve iyileştirme mekanizmalarının mevzuatla uyumuna bakar.

Dış kaynak kullanımı varsa sözleşmeler, hizmet sağlayıcının sorumlulukları, denetim izleri, veri saklama ve erişim hakları ayrıca önem kazanır.

Denetim kanıtı da bu alanlarda yazılı politika, kayıt, log, rapor, yönetim onayı, düzeltici aksiyon ve test sonuçları gibi farklı kaynaklardan elde edilir.

Uluslararası çerçeveler denetimde aynı soruyu farklı açılardan sordurur.

COBIT, iş hedefleri ile bilgi teknolojisi hedeflerinin hizalanmasına ve kontrol hedeflerinin kurumsal yönetişim içinde yerleşmesine yardım eder.

ISO 27001, bilgi güvenliği yönetim sisteminin risk, politika, varlık, erişim, süreklilik ve uyum disiplinini kurar.

ITAF, denetim ve güvence uzmanının işini planlama, yürütme ve raporlama bakımından mesleki standartlara bağlar.

Bu ayrımlar doğru kurulursa denetçi, hukuki mevzuatı uygulama zorunluluğu, kontrol çerçevesini değerlendirme aracı ve güvence mesleği rehberini birbirine karıştırmadan kullanır.

Raporlama tarafında mevzuat, denetim sonucunun kimlere, hangi gizlilik içinde ve hangi sorumlulukla iletileceğini belirler.

BDDK düzenlemelerinde bilgi sistemleri denetim raporlarının ilgili yönetim organlarına ve bazı kuruluşlarda denetim komitesine iletilmesi, raporların gizli bilgi niteliği taşıması ve yayımlanmaması gibi hükümler bulunur.

Bu, bilgi sistemleri denetim raporunun kamuya açık finansal rapor gibi düşünülmemesi gerektiğini gösterir.

Raporda kontrol zayıflıkları, sistem açıkları ve iş sürekliliği eksikleri bulunabileceği için paylaşım çevresi mevzuatla sınırlandırılır.

Uluslararası düzenlemelerin sınav bakımından ayırt edici yönü, her birinin farklı sorumluluk düzeyi yaratmasıdır.

COBIT yönetişim hedeflerinin ve kontrol süreçlerinin tasarlanmasına yardımcı olur; ISO 27001 bilgi güvenliği yönetim sisteminin kurulması ve sürdürülmesi için gereklilik dili kullanır; ITAF denetim ve güvence çalışmasının mesleki standardizasyonunu destekler.

Denetçi bu çerçeveleri kullanırken, denetlenen işletmenin tabi olduğu ulusal düzenlemeyi önce belirler, ardından uluslararası çerçeveleri kanıt toplama, kontrol değerlendirme ve raporlama kalitesini artıran referanslar olarak konumlandırır.

Böylece mevzuata uyum ile iyi uygulama değerlendirmesi aynı raporda fakat farklı hukuki ağırlıklarla yer alır.

BDDK düzenlemelerindeki raporlama ve gizlilik boyutu, bilgi sistemleri denetiminin neden yalnız teknik bulgu listesi olmadığını gösterir.

Denetim raporları ilgili yönetim organlarına ve gerekli hallerde denetim komitesine iletilir; içerik gizli bilgi niteliği taşır ve yayımlanmaz.

Bu kuralın nedeni açıktır: bilgi sistemleri denetimi sistem mimarisi, kontrol zayıflığı, erişim yönetimi ve iş sürekliliği gibi hassas alanları açığa çıkarabilir.

Raporun yanlış taraflara yayılması denetlenen kuruluş için güvenlik riski oluşturabileceğinden mevzuat raporlamayı belirli muhataplar ve sorumlular üzerinden düzenler.

Kontrol zayıflıklarının nitel ve nicel değerlendirmeyle sınıflandırılması, mevzuatın risk temelli karakterini ortaya koyar.

Denetçi bir zayıflığı tek başına ve diğer zayıflıklarla birlikte değerlendirmelidir.

Sahteciliği önleyen kontroller, mevzuata uyum kontrolleri, yıl sonu finansal raporlama süreci, rutin olmayan işlemler veya iç kontrol ortamının etkinliği gibi alanlardaki sorunlar daha ciddi sonuçlar doğurabilir.

Yönetici kaynaklı sahtecilik, uyum fonksiyonunun bulunmaması, aksiyon planlarının yerine getirilmemesi veya önemli kontrol eksikliğinin makul sürede düzeltilmemesi yalnız teknik hata değil, yönetişim ve gözetim sorunu olarak okunur.

Uluslararası çerçeveler arasında işlev ayrımı yapılmalıdır.

COBIT, bilgi ve teknoloji yönetişimi, kontrol hedefleri, risk ve değer üretimi ilişkisini sistematikleştirir.

ISO 27001 bilgi güvenliği yönetim sistemi kurulumuna ve gizlilik, bütünlük, erişilebilirlik amaçlarının yönetilmesine odaklanır.

ITAF ise bilgi sistemleri denetim ve güvence uzmanının standart, kılavuz, araç, teknik ve raporlama gereksinimlerine yön verir.