View
7
Download
0
Category
Preview:
Citation preview
GTAG®
GLOBAL TEKNOLOJİ DENETİM KILAVUZU
UMUÇ - Uygulama Kılavuzu
Bilgi Teknolojisi
Riskler ve Kontroller
2. Baskı
İç Denetim
Enstitüsü
Global Teknoloji Denetim Kılavuzu (GTAG®) 1
Bilgi Teknolojisi
Riskler ve Kontroller
2. Baskı
Mart 2012
İçindekiler
Yönetici Özeti ................................................................................................................... 5
1. Giriş .............................................................................................................................. 6
2. BT Bağlantılı Kurumsal Risk ve Kontrollerin Esasına Giriş ........................................... 9
3. İç Paydaşlar ve BT Sorumlulukları ................................................................................ 14
4. Risklerin Analizi ........................................................................................................... 16
5. BT Değerlendirmesi - Genel Bakış ................................................................................ 21
6. BT Kontrollerin Öneminin Anlaşılması ......................................................................... 25
7. BT Denetim Yeterlilikleri ve Becerileri ......................................................................... 39
8. Kontrol Çerçevesinin Kullanımı ................................................................................... 40
9. Varılan Sonuç ................................................................................................................ 43
10. Hazırlayanlar ve Kontrol Edenler ................................................................................ 45
11. Ek: BT Kontrol Çerçevesi Kontrol Listesi .................................................................... 46
Yönetici Özeti
Bu GTAG, Bilgi Teknolojileri (Information Technology - BT) yöneticileri için değil, üst
düzey yöneticiler için yazılmış olan kaynakları temin etmek suretiyle, İç Denetim
Yöneticilerinin [İDY] (Chief Auditing Executives – CAE) ve iç denetçilerin sürekli değişen
ve zaman zaman da karmaşıklaşan BT dünyasına ayak uydurmasına yardımcı olur. Hem
yönetim hem de Kurul, iç denetim faaliyetinin, BT uygulamalarıyla ortaya çıkan veya zemin
hazırlanan önemli risklerin tümüne karşı güvence sağlaması yönünde bir beklenti içindedir.
GTAG serisi, İDY’lerin ve iç denetçilerin teknolojiyi çevreleyen risk, kontrol ve yönetişim
sorunları hakkında daha fazla bilgi sahibi olmasına yardımcı olur. Bu GTAG’in amacı, iç
denetçilerin genel BT kontrolleri konusuna daha fazla hakim olmasına yardımcı olmaktır;
böylece bu konuda kendi Kurullarında daha rahat söz alabilirler ve Bilgi Sistemleri
Yöneticisiyle [BSY](Chief Information Officer - CIO) ve BT yönetimiyle riskler ve bunların
kontrolleri hakkında fikir alışverişinde bulunabilirler. Bu GTAG, yürütme kurullarının
üyelerinin, üst düzey yöneticilerin, BT profesyonellerinin ve iç denetçilerin BT’yle ilgili
önemli risk ve kontrol sorunlarına karşı uyguladıkları hareket tarzını tarif eder ve ayrıca, BT
risk ve kontrollerinin değerlendirilmesi için ilgili çerçeveleri sunar. Hatta, belirli BT
konularını ve bunlarla bağlantılı görev ve sorumlulukları daha ayrıntılı olarak ele alan başka
GTAG’lar için de zemin hazırlar.
Bu kılavuz, GTAG serisinin Mart 2005’te yayımlanan GTAG 1: Bilgi Teknolojisi Kontrolleri
başlıklı ilk bölümünün ikinci baskısıdır. Amacı, BT’yle ilgili riskler ve kontroller konusunda
genel bir bilgi vermektir.
1. Giriş
Bu GTAG’ın amacı, BT risklerini ve kontrollerini, İDY’lerin ve iç denetçilerin güçlü BT
kontrollerine olan ihtiyacı anlamasına ve anlatmasına olanak sağlayan bir formatta
açıklamaktır. Okuyucunun, BT kontrollerinin değerlendirilmesi için çerçeve dahilinde
ilerlemesine ve ihtiyaçlar temelinde belirli hususları ele almasına olanak sağlayacak şekilde
düzenlenmiştir. Bu GTAG, BT kontrol değerlendirmesinin kilit unsurları hakkında genel bilgi
verir ve organizasyon içinde BT kaynaklarının yönetişimine yön verebilecek kilit elemanların
görev ve sorumluluklarını vurgular. Bazı okuyucular bu GTAG’ta yer alan bazı konulara
aşina olabilir, fakat bazı bölümler de BT risk ve kontrollerinde uygulanacak yaklaşımlar
hakkında yeni perspektifler sunar. Bu GTAG’ın ve seride yer alan diğer kılavuzların bir amacı
da, BT risk ve kontrollerinin ne olduğu konusunda ve etkin bir BT kontrol ortamı oluşturmak
ve sürdürmek için yönetim ve iç denetim personelinin neden temel BT risk ve kontrollerine
dikkat etmesi gerektiği hakkında diğer personele eğitim vermek için BT kontrol
değerlendirme bileşenlerinin kullanılabilmesidir.
Teknoloji büyüme ve gelişme için olanaklar sunmasına rağmen, bozgunculuk, hilekarlık,
hırsızlık ve sahtecilik gibi tehlikeleri de beraberinde getirir. Araştırmalar göstermiştir ki, dış
saldırılar organizasyonlar için tehdit oluşturmakla birlikte, güvenilir personelin içeriden bilgi
sızdırması çok daha büyük bir tehlikedir. Neyse ki, bu kılavuzda da gösterildiği gibi, teknoloji
aynı zamanda tehditlere karşı koruma sağlayabilir. Üst düzey yöneticiler, sorulması gereken
doğru soruların neler olduğunu ve bunların cevaplarının ne anlama geldiğini bilmelidir.
Örneğin:
Neden BT risklerini ve kontrollerini anlamam gerekiyor? İki kelime: güvence ve
güvenilirlik. Üst düzey yöneticiler, bilgi güvenilirliğini güvence altına almada kilit rol
oynar. Güvence esas olarak bir dizi bağımsız iş kontrolüyle ve kontrollerin sürekli ve
yeterli olduğuna dair kanıtlarla sağlanır. Yönetim, kontrollerle ve denetimlerle elde edilen
kanıtları değerlendirmeli ve makul güvence temin ettiği sonucuna varmalıdır.
Ne korunmalıdır? Güven korunmalıdır, çünkü işi ve etkinliği garanti eder. Kontroller
sıklıkla gözle görülmemesine rağmen güvenin temelini teşkil eder. Teknoloji pek çok -
belki de çoğu - iş kontrolünün temelini teşkil eder. Finansal bilgi ve süreçlerin
güvenilirliği - ki günümüzde pek çok organizasyon için zorunludur - güvenin ne olduğunu
tam olarak ortaya koyar.
BT kontrolleri nerelerde uygulanır? Her yerde. BT, teknoloji bileşenlerini, süreçleri,
insanları, organizasyonu, mimariyi ve yanı sıra bilginin kendisini içine alır. Pek çok BT
kontrolü teknik niteliklidir ve BT pek çok iş kontrolü için gereken araçları temin eder.
Kim sorumludur? Herkes. Ancak, kontrol yetkisi ve sorumlulukları yönetim tarafından
tanımlanmalı ve dağıtılmalıdır. Aksi takdirde, kimse sorumlu olmaz ve sonuçları da
oldukça yıkıcı olabilir.
BT risk ve kontrollerinin değerlendirmesi ne zaman yapılmalıdır? Her zaman. BT, süreç
ve organizasyon değişimlerini teşvik eden, hızlı değişen bir ortamdır. Birdenbire yeni
riskler ortaya çıkmaktadır. Kontrollerin etkinliği sürekli kanıtlarla doğrulanmalı ve bu
kanıtlar daima değerlendirmeye tâbi tutulmalıdır.
Ne kadar kontrol yeterli kabul edilir? Yönetim, risk alma isteği, tolerans ve zorunlu
yönetmelikler temelinde karar vermelidir. Kontroller hedef değildir, iş hedeflerine
ulaşılmasına yardımcı olmak için vardır. Kontroller iş yapmanın maliyetlerinden biridir ve
pahalı olabilir, fakat yetersiz kontrollerin yaratacağı muhtemel sonuçlar kadar pahalı
olamaz.
Mal varlıklarını, müşterileri, ortakları ve hassas bilgileri korumak, güvenli, etkin ve etik
davranış sergilemek ve markayı, ünü ve güveni korumak için BT kontrolleri zorunludur.
Günümüzün küresel pazarında ve düzenleyici ortamında bunlar yitirilmesi çok kolay
şeylerdir. Bir İDY, bir organizasyonun çerçevesini ve iç denetim uygulamalarını BT risk ve
kontrolü, uyumluluk ve güvence açısından değerlendirmek için bu kılavuzu esas alabilir. Bu
kılavuz, sürekli değişim, artan karmaşıklık, hızla evrim geçiren tehditler ve etkinliği artırma
gereksinimi gibi zorlu koşulları karşılamak için de kullanılabilir.
BT kontrolleri tek başına bulunmaz. Birbirlerine bağlı halkalar halinde bir koruma sürecini
oluştururlar, fakat zayıf halkalardan dolayı bu sürecin tehlikeye düşmesi de söz konusu
olabilir. BT kontrolleri, basit seviyeden yüksek düzeyde teknik seviyeye kadar değişen
hatalara ve yönetimin engellemelerine maruz kalabilirler ve dinamik bir ortamda bulunurlar.
BT kontrolleri iki önemli elemana sahiptir: iş kontrolleri otomasyonu (iş yönetimini ve
yönetişimini destekler) ve BT ortam ve işlemlerinin kontrolü (BT uygulamalarını ve
altyapılarını destekler). İDY her iki elemanı da dikkate almalı ve değerlendirmelidir. İDY, iş
ve BT denetim becerilerinin bir entegre denetim kapasitesi kapsamında bir arada çalıştığı
kontroller olarak otomasyonlu iş kontrollerini izleyebilir. İDY, daha fazla teknik uygulama,
altyapı ve işlemi değerlendirmek için gereken teknik beceri ve uzmanlık temelinde genel BT
kontrollerini veya Genel Bilgisayar Kontrollerini (General Computer Controls - GCC’ler)
ayırmayı isteyebilir. Örneğin, bir Kurumsal Kaynak Planlaması (Enterprise Resource
Planning - ERP) uygulaması, ERP veri tabanı yapılarıyla, kullanıcı erişimiyle, sistem
konfigürasyonuyla ve finansal raporlamayla ilgili kontrolleri anlamak ve değerlendirmek için
daha fazla teknik bilgi birikimi gerektirir. İDY, ağlar, yönlendiriciler, güvenlik duvarları ile
kablosuz ve mobil cihazlar gibi altyapıların değerlendirilmesinin özel beceri ve deneyim
gerektirdiğini görür. BT kontrollerinde iç denetçinin rolü güçlü bir kavramsal anlayışla başlar
ve risk ve kontrol değerlendirmelerinin sonuçlarının elde edilmesiyle sona erer. İç denetim,
kontrol sorumluluğuna sahip mevkilerdeki insanlarla önemli düzeyde etkileşim içerir ve yeni
teknolojiler ortaya çıktıkça ve organizasyondaki olanaklar, kullanım alanları, bağımlılıklar,
stratejiler, riskler ve gereksinimler değiştikçe sürekli öğrenme ve yeniden değerlendirme
gerektirir.
BT kontrolleri, bilginin ve bilgi hizmetlerinin güvenilirliğiyle ilgili güvence temin eder. BT
kontrolleri, organizasyonun teknoloji kullanımıyla bağlantılı risklerin azaltılmasına yardımcı
olur. Bu kontroller, şirket politikalarından, bunların düzenlenen talimatlar dahilinde fiziksel
uygulamalarına; faaliyet ve işlemleri takip etme yeteneği vasıtasıyla fiziksel erişimin
korunmasından, bunlardan sorumlu bireylere ve yüksek hacimli veriler için otomatik
düzenlemelerden, mantıklılık analizlerine kadar değişirler.
Aşağıda, kilit kontrol kavramlarına ait örnekler verilmiştir:
Güvence, şirket içi kontrol sistemi dahilindeki BT kontrolleriyle sağlanır. Bu güvence
sürekli olmalı ve bir dizi güvenilir kanıt temin etmelidir.
İç denetçinin güvencesi, BT’yle ilgili kontrollerin amaçlandığı gibi yürütüldüğüne dair
bağımsız ve objektif bir değerlendirmedir. Bu güvencenin esası, risklerle ilgili kilit
kontrollerin anlaşılması, incelenmesi ve değerlendirilmesi ve yanı sıra kontrollerin uygun
şekilde tasarlanmasını ve etkin ve sürekli şekilde çalışmasını sağlamak için yeterli
testlerin yapılmasıdır.
BT kontrollerini ve bunların hedeflerini sınıflandırmak için pek çok çerçeve mevcuttur. Bu
kılavuz, her organizasyonun, BT risklerini ve kontrollerini sınıflandırmak ve değerlendirmek
için, mevcut çerçevelerin ilgili bileşenlerini kullanmasını tavsiye eder.
2. BT Bağlantılı İş Riskleri ve Kontrollerinin Esasına Giriş
2.1 Kilit Kavramlar
Organizasyonlar sundukları ürün ve hizmetleri geliştirmek için teknolojinin sürekli değişen
yeteneklerini desteklemeye devam etmekte ve bu da iç denetim çalışmalarını zora
sokmaktadır. İç Denetim Enstitüsünün (Institute of Internal Auditors - IIA) hazırladığı
‘Profesyonel İç Denetim Uygulamaları için Uluslararası Standartlar’ (Standartlar), iç
denetçilerin, organizasyon içinde çalışan bilgi sistemlerine ait risk ve kontrolleri
değerlendirmesi gerektiğini özellikle belirtir. IIA, ilave GTAG’lar vasıtasıyla, BT risk ve
kontrollerinin değerlendirilmesi hakkında bir başka perspektif ortaya koymuştur. GTAG 4:
BT Denetim Yönetimi, BT risklerini ve ortaya çıkan BT risk ortamını ele alır, GTAG 11: BT
Denetim Planının Geliştirilmesi ise, iç denetçilerin, teknolojinin desteklediği iş ortamını ve
BT denetim ortamının potansiyel özelliklerini değerlendirmesine yardımcı olur. Ek olarak,
GTAG 8: Denetim Uygulaması Kontrolleri, uygulama kontrollerinin spesifik denetim
özelliklerini ve iç denetçilerin kontrolleri değerlendirirken kullanabileceği yaklaşımı kapsar.
Bu GTAG’da kullanılan kurul terimi Standartlar dokümanının terimler sözlüğünde
tanımlanmıştır: “bir kurul; yönetim kurulu, denetim kurulu, bir dairenin veya yasama
organının başkanı, bir sivil toplum kurumunun yürütme kurulu veya mütevelli heyeti, ya da
organizasyonun tayin edilmiş başka herhangi bir kurulu (örneğin, iç denetim direktörünün
görev bakımından bağlı olabileceği denetim komitesi) gibi, organizasyonu yöneten bir
kuruldur.”
Bu GTAG tarafından daha ayrıntılı olarak inceleneceği gibi, BT risk ve kontrollerinin
tanımlanması için yapılacak yerinde değerlendirme, oluşturulan iş süreçi ortamıyla ve
organizasyonun üst düzey yöneticileri ve Kurul tarafından açıklandığı şekilde ulaşılması
gereken spesifik organizasyon hedefleriyle bağlantılı olmalıdır. BT riskleri; insanlar, süreçler,
altyapı ve mevcut kurum risk ortamı arasındaki toplam karmaşık bağlantı olanaklarının sadece
bir parçasını oluşturur ve organizasyon tarafından bir bütün halinde yönetilmelidir.
İç denetçilerin, BT risklerinin azaltılması için kullanılabilecek kontrolleri anlaması gerekir.
Kontrollerin, kontroller arasında işletim etkinliği sağlayan bağlantılar üzerine ve yanı sıra bir
kontrol grubunun başarısız olmasının diğer kontrol gruplarına daha fazla güvenilmesine ve o
kontrol gruplarında ihtiyaç duyulan incelemelerin yapılmasına sebep olabileceği gerçeği
üzerine kurulu bir hiyerarşi içinde var olduğu düşünülebilir. Bu dokümanda, BT kontrolleri,
organizasyon içinde onları uygulayanın ve idame ettirenin kim olduğuna bağlı olarak
yönetişim, yönetim, teknik ve uygulama gibi terimlerle birlikte anılır.
BT kontrollerinin bir başka yönü de genel ve uygulama kontrolleridir. Genel BT kontrolleri
tipik olarak yaygın niteliklidir ve bu kontrollere çeşitli denetim yolları üzerinden ulaşılır.
Örnekler arasında BT işlemleri, uygulama geliştirme ve bakımı, kullanıcı yönetimi, değişiklik
yönetimi, destek ve kurtarma bulunur. Uygulama kontrolleri bir başka kontrol sınıfını
oluşturur ve girdi, süreç ve çıktı çerçevesinde bir uygulama içinde yer alan kontrolleri kapsar.
Bu GTAG, aynı zamanda, altyapının, süreçlerin ve teknoloji vasıtasıyla işi destekleyen
personelin yönetim ve yönetişimi için kontrollerin kullanımını inceler. BT’nin sürekli
kullanımından ve yanı sıra yönetimin ve Kurulun artan gözetiminden dolayı, BT yönetişimi
organizasyonlar içinde gelişmeye devam etmektedir.
2.2 BT Yönetişimi
BT kontrolleri konusunu ele alırken en önemli husus, BT’nin organizasyonun genel iş
ihtiyaçlarını destekleyebilmesini sağlayan çerçeveyi temin eden BT yönetişimidr. BT
yönetiminin, organizasyonun hedeflerine ulaşmak ve üst düzey yönetimin belirlediği amaçları
yerine getirmek için organizasyonun kullandığı iş süreçleri konusunda güçlü bir anlayışa
sahip olması önemlidir. BT yönetişimi sadece tanımlanan riskleri ortadan kaldırmak için
gereken kontrollerden oluşmaz, aynı zamanda organizasyonun genel strateji ve amaçlarına
büyük ölçüde paralel olması ve bu strateji ve amaçların yerine getirilmesini sağlaması gereken
tümleşik bir BT uygulamaları ve personeli yapısıdır.
Bir İDY’nin, BT yönetişimi yapısını ve onun, organizasyon için sonuçlar ortaya koyma ve BT
faaliyetinin etkinliklerini geliştirme yeteneklerini değerlendirebilmesi gerekir. Araştırma
çalışmaları göstermiştir ki, BT yönetişimi iş performansının artmasını ve yanı sıra stratejik
hedeflere ulaşmada BT’nin daha işe paralel şekilde çalışmasını sağlamamaktadır.
BT yönetişimi liderlikten, organizasyonel yapılardan ve organizasyonun BT’sinin
organizasyonun strateji ve hedeflerini sürdürmesini ve desteklemesini sağlayan süreçlerden
oluşur.
İç denetim faaliyetinin, organizasyonun BT yönetişiminin organizasyonun strateji ve
hedeflerini destekleyip desteklemediğini değerlendirmesi gerektiğini belirten 2110.A2 sayılı
IIA Standardı uyarınca, İDY’lerin genel BT görünümünün bu kilit özelliğini değerlendirmeye
hazırlıklı olması gerekir.
BT yönetişimi ilkelerinin doğru şekilde uygulanması, tüm organizasyonu ve BT’nin işle
etkileşim şeklini etkileyebilir.
BT risklerinin tanımlanması ve yönetimi ile gelişmiş BT işlemlerinin
etkinleştirilmesi: BT yönetişimi, Kurum Risk Yönetimi (Enterprise Risk Management -
ERM) de dahil olmak üzere bir organizasyonun risk yönetimi faaliyetleriyle sıkı bağlantı
kurulmasını sağlamaya yardımcı olur. BT yönetişiminin, genel kurum risk yönetimi
çalışmalarının ayrılmaz bir parçası olması gerekir, böylece BT faaliyetlerine, risk
durumunun organizasyon vasıtasıyla önemli paydaşlara iletilmesi de dahil olmak üzere
uygun teknikler eklenebilir. Bir İDY, tüm organizasyonun kullanmakta olduğu risk
yönetim faaliyetlerini gözden geçirmeli ve BT risk yönetimi çalışmaları ile şirket risk
faaliyetleri arasında bir bağlantının mevcut olmasını ve BT risk profili için uygun dikkatin
gösterilmesini sağlamalıdır.
Kurum ile BT arasındaki ilişkinin geliştirilmesi: BT yönetişimi, BT kullanımı ile bir
kurumun genel strateji ve hedefleri arasında bağlantı kuran bir mekanizma temin eder.
Kurum ile BT arasındaki ilişki, BT kaynaklarının doğru zamanda doğru şeyler yapmaya
odaklanmasını sağlar. BT ile kurum arasındaki iletişim serbest ve bilgilendirici olmalı, BT
tarafından sunulanların ve yanı sıra bu çalışmaların durumunun anlaşılmasını
sağlamalıdır. Bir İDY, paralelliği gözden geçirmeli ve kurum ve BT organizasyonlarının
kaynak öncelikleri ve teşvikleri ile genel yatırım kararları konusunda işbirliği yapmasına
olanak sağlayan güçlü portföy yönetimi süreçlerinin bulunmasını sağlamalıdır.
BT yönetiminin hedeflerine ulaşma yeteneğinin titizlikle gözlenmesi: BT
organizasyonları, işi desteklemek için, günlük BT işlemlerinin etkin şekilde ve ödün
vermeden sunulmasının sağlamasını da kapsayan stratejileri tanımlar. Sadece BT’nin
taktik esasta işlemesine yardımcı olmak için değil, aynı zamanda personelin uygulama
tecrübelerini geliştirme faaliyetlerine yön vermek için de ölçütler ve amaçlar belirlenir.
Sonuçlar BT’nin stratejisini yürütmesini ve organizasyon liderlerinin onayıyla belirlenmiş
hedeflerine ulaşmasını sağlar. Bir İDY, BT ölçüt ve hedeflerinin organizasyonun
amaçlarına paralel olup olmadığını ve onaylanan teşvikler temelinde sağlanan ilerlemenin
bir ölçüsü haline gelip gelmediğini değerlendirmelidir. İDY, ayrıca, ölçütlerin etkin
şekilde ölçüldüğünün doğrulanmasına yardımcı olabilir ve BT işlemleri ve yönetişiminin
taktik ve stratejik esasta gerçekçi görünümlerini ortaya koyabilir.
Risklerin yönetilmesi ve iş ve BT sonuçları için sürekli geliştirme olanaklarının
tanımlanması: Risk yönetimi, bir organizasyon içindeki etkin bir BT yönetişimi yapısının
kilit bir bileşenidir. BT risklerinin tanımlanması ve yönetimi, BT faaliyetinin BT işini
daha etkin şekilde yürütmesini sağlar ve aynı zamanda uygulamalarını geliştirmek için
potansiyel olanakları tanımlar. BT riskleri, risk yönetimi çalışmalarının durumunu bütün
yönetim seviyelerine metodik olarak ileten yetki sahiplerini tanımalıdır. İDY, BT risk
ortamının devamlılığını doğrulamada önemli rol oynar ve bağımsız risk değerlendirmesi
ile denetim planlama çalışmaları için iç denetim ortamının tanımlanmasına yardımcı
olmak için bilgiyi kullanır. BT İdare Enstitüsü (BT Governance Institute - ITGI) ve
ISACA tarafından geliştirilen Risk BT Uygulama Kılavuzu, BT risklerinin tanımlanması
ve değerlendirilmesi için bir çerçeve temin eder ve aynı zamanda Bilgi ve İlgili Teknoloji
Kontrol Hedefleri (Control Objectives for Information and Related Technology - COBIT)
çerçevesine doğrudan bağlantı sunar.
BT yönetişiminin, BT’nin değişen iş ve BT ortamlarına adapte edilebilirliğini
geliştirmesi: BT yönetişimi, BT’nin sorumluluklarını daha iyi yönetmesi ve iş desteği
sunabilmesi için, tanımlanmış süreçler ve BT personelinin tanımlanmış görev ve
sorumlulukları vasıtasıyla bir temel temin eder. Bu formalite sayesinde BT, potansiyel
anormallikleri günlük esasta ve eğilim esasında daha iyi tanımlama yeteneğine sahip olur
ve böylece durumların ve sorunların ana sebeplerinin tanımlanmasını sağlar. Ek olarak,
BT, yeni veya geliştirilmiş iş yetenekleri için özel taleplere daha esnek şekilde adapte
olma yeteneğine sahiptir. Günümüz İDY’si, BT’nin bilinmeyen problemlerin çözümüne
nasıl eğildiğini belirlemek için bu gibi veri kaynaklarını (örneğin, yardım masası ve
problem yönetim etiketleri) değerlendirmeye tâbi tutabilir. İDY, ihtiyaçların önceliklerin
nasıl belirleneceğini ve organizasyonun değişen öncelikleri temelinde ihtiyaçların
önceliklerini yeniden belirlemek için esneklik bulunup bulunmadığını anlamak için BT
portföy yönetim süreçlerini de gözden geçirebilir.
İç denetim faaliyetleri organizasyonun BT yönetişim yapısını ve uygulamalarını
değerlendirdiğinden, etkin BT yönetişiminin yolunu açan aşağıdaki gibi çeşitli kilit bileşenler
değerlendirilebilir:
Liderlik. BT hedefleri ile organizasyonun mevcut/stratejik ihtiyaçları arasındaki ilişkiyi
değerlendirin. BT liderlerinin, organizasyonun stratejik amaçlarının gelişimine ve
süregelen uygulamasına katılımını değerlendirin. BT faaliyeti içinde görev ve
sorumlulukların nasıl dağıtıldığını ve personelin bu görev ve sorumlulukları tasarlandığı
gibi yerine getirip getirmediğini gözden geçirin. Ayrıca, kıdemli yönetimin ve Kurulun,
güçlü BT yönetişiminin oluşturulması ve sürdürülmesine yardımcı olmadaki rolünü
gözden geçirin.
Organizasyon yapıları. İş ve BT personelinin mevcut organizasyon yapısı içinde
birbiriyle nasıl bir etkileşim içinde olduğunu ve günümüzdeki ve gelecekteki ihtiyaçları
nasıl ilettiğini gözden geçirin. Bu, BT’nin iş ihtiyaçlarını yeterince karşılamasına izin
vermek ve aynı zamanda, resmi değerlendirme yapılması ve önceliklerin belirlenmesi
suretiyle işin gereksinimleri karşılamasına fırsat vermek için gerekli görevlerin ve ast-üst
ilişkilerinin varlığını içermelidir.
BT süreçleri. İşin ihtiyaçlarını yönetmek ve yanı sıra iş süreçleriyle ve bunların
temelindeki sistemlerle ilgili gerekli güvenceyi sağlamak için BT süreçi faaliyetlerini ve
kontrollerini yerinde değerlendirin. BT faaliyeti, BT ortamını desteklemek ve beklenen
hizmetlerin sürekli verilmesine yardımcı olmak için süreçleri kullanır. Organizasyonun bu
hedeflere ulaşmasına yardımcı olmada BT’nin nasıl ölçüleceğini belirleyin.
Risk yönetimi. BT ortamı içindeki riskleri tanımlamak, değerlendirmek ve izlemek/
azaltmak için BT faaliyetinin süreçlerini gözden geçirin. Ek olarak, personelin risk
yönetim süreçinde sahip olduğu sorumluluğu ve bu beklentilerin ne derece iyi
karşılandığını belirleyin. Uygun risk yönetim uygulamalarının yürürlükte olup olmadığını
ve risk demografisinin (örneğin, risk sıklığı, etki, azaltma teknikleri) uygun şekilde
kayıtlara geçirilip geçirilmediğini ve gerekirse olaydan sonra güncellenip
güncellenmediğini belirlemek için hangi olayların meydana geldiğini ve BT faaliyetinin
etkilediğini anlayın.
Kontrol faaliyetleri. İşi ve tüm organizasyonun desteğini yönetmek için BT tanımlı kilit
kontrol faaliyetlerini değerlendirin. İç denetim, mülkiyet, dokümantasyon ve kendi
kendini doğrulama hususlarını gözden geçirmelidir. Ek olarak, kontrol grubu, tanımlanan
riskleri hedeflemek için yeterince güçlü olmalıdır.
3. İç Paydaşlar ve BT Sorumlulukları
Bir organizasyon, BT ortamını anlamalı ve yönetmelidir. Ayrıca, iş süreçlerinin ne kadar
BT’ye bağlı olduğu ve düzenlemelere uygunluk taleplerine cevap verme ihtiyacı anlaşılmalı
ve kabul edilmelidir.
BT yönetiminde ve kullanımında başarının veya başarısızlığın bir sonucu olarak iş
olanaklarından yararlanılır veya bu olanaklar kaybedilir. Etkin BT yönetişimi, BT’nin işin
hedeflere ulaşmasını sağlaması ve kaynakların ölçülü bir şekilde kullanılması olasılığını
artırır. Aşağıdaki tablo, bir dizi muhtemel gözetim fonksiyonu ve sorumluluğu ile bunların
Kurulla, üst düzey yönetimle, kıdemli yönetimle ve iç denetçilerle bağlantılarını BT
yönetişimi açısından açıklar.
Rol Sorumluluklar
Yönetim Kurulu
Yönetim Kurulu aşağıdakileri yerine getirmelidir:• BT fonksiyonunun stratejik değerini anlamak.• Görev hakkında ve BT’nin kurum üzerindeki etkisi hakkında bilgi sahibi olmak.• Stratejik yönü belirlemek ve geri dönüşünü beklemek.• Sorumlulukların yönetim tarafından nasıl belirlediğini dikkate almak.• Dönüşümün nasıl gerçekleştiğini gözlemlemek.• Yönetimin işleyişindeki sınırlarını anlamak.• Kurumun uyumluluğunu gözetmek.• BT yoluyla ölçülebilir değer sağlamak için doğrudan yönetim.• Kurum için mevcut risklere dikkat etmek.• Öğrenmeyi, büyümeyi ve kaynak yönetimini desteklemek.
Yönetim Kadrosu
Yönetim Kadrosu aşağıdakileri yerine getirmelidir:• BT’nin rolü ve kurum üzerindeki etkisi hakkında bilgi sahibi olmak.• Kurum içindeki strateji, politika ve hedefleri aşamalandırmak ve BT organizasyonunu kurumun hedeflerine paralel hale getirmek.• Gerekli özellikleri ve yatırımları belirlemek.• Sorumlulukları belirlemek.• Mevcut işlemleri devam ettirmek.• Gerekli organizasyonel yapıları ve kaynakları temin etmek.• BT üzerinde risk yönetimi ve kontrol için kesin sorumluluklar vermek.• Performansı ölçmek.• BT’nin desteklemesi gereken ana uzmanlık alanları üzerine odaklanmak.• İş değerini artıran BT süreçlerine odaklanmak.• Bilgi ve bilgi birikimini destekleyen esnek ve uyumlu bir iş ortamı sağlamak. • Değerin ilgili yere ulaştırılmasını güçlendirmek.• BT maliyetlerini optimize edecek stratejiler geliştirmek.
Üst Düzey Yönetim
Üst Düzey Yönetim aşağıdakileri yerine getirmelidir:• BT’ye ilişkin iş ve yönetim beklentilerini yönetmek.• BT stratejilerinin geliştirilmesini teşvik ederek yönetim faaliyetlerini bunlara göre uygulamak.• BT bütçelerini stratejik amaç ve hedeflere bağlamak.• Ölçülebilir değerin zamanında ve bütçeye uygun olarak ilgili yerlere ulaştırılmasını sağlamak.• BT standartları, politikaları ve kontrol çerçevesini ihtiyaç olduğu ölçüde ve zamanda uygulamak.• Üst yönetimi BT’ye ilişkin konular hakkında bilgilendirmek ve bu yönde eğitim programlarını sağlamak.• BT’nin değer katkısının iyileştirilmesinin yollarını aramak.• BT projelerinin iyi yönetilmesini sağlamak.• İş zekasının maliyet-etkin yaratım ve paylaşımını sağlayan ve kolaylaştıran BT altyapıları temin etmek.• Hedeflere ulaşılması ve değer yaratılması için gereken uygun BT kaynak, beceri ve altyapılarının mevcut olmasını sağlamak.• Riskleri ölçüp değerlendirmek, etkin bir şekilde hafifletmek ve paydaşlara görünür kılmak.• BT risk yönetimi için kritik olan rollerin uygun tanımlanıp dağıtılmasını sağlamak.
İç Denetim Birimi
İç denetim birimi aşağıdakileri yerine getirmelidir:• Departmanda yeterli bir BT denetimi uzmanlık tabanı sağlamak.• BT’nin planlanma sürecine BT değerlendirmesini de dâhil etmek.• Kurum dâhilinde BT yönetişiminin strateji ve hedefleri sağlayıp destekleyip desteklemediğini değerlendirmek.• Kurumun bilgi sistemlerine ilişkin risk tehlikelerini tanımlayıp değerlendirmek.• Kurumun bilgi sistemlerindeki risklere yönelik kontrolleri değerlendirmek.• Denetim Departmanı’nın görevlerini (angajman) yerine getirmeye yetecek BT uzmanlığına sahip olduğunu kontrol etmek.• Uygun hâllerde teknoloji tabanlı denetim tekniklerinin kullanımını göz önünde bulundurmak.
İç paydaşlara ek olarak, dış denetçiler, ulusal otoriteler, toplum beklentisi ve uluslararası
standardizasyon kurumları gibi dış tarafların göz önünde bulundurulması da önem arz
etmektedir.
4. Risklerin Analiz EdilmesiBT kontrolleri başa çıkmaları için geliştirildikleri riskler esas alınarak seçilip uygulanırlar.
Riskler tanımlandığında, uygun risk yanıtları (müdahaleleri) belirlenir ki bu yanıtlar hiçbir şey
yapmamak ve riski iş (ticaret) yapmanın bir maliyeti olarak kabul etmekten geniş bir
yelpazede çeşitlenen spesifik kontroller uygulamaya kadar değişmektedir. Bu bölümde BT
kontrollerinin ne zaman uygulanacağına ilişkin konular anlatılmaktadır.
Her kurumda uygulanması gereken tavsiye edilen BT kontrollerinin bir listesini yapmak
oldukça kolay ve yerinde olurdu. Ancak, her kontrolün kurum ve sektör türü göz önünde
bulundurulduğunda maliyet-etkinlik açısından gerekçelendirilemeyebilecek spesifik bir
maliyeti vardır. Nitekim hiçbir kontrol listesi tüm kurum türlerinde genel geçer kabul görüp
uygulanamaz. Her ne kadar uygun kontrollerin seçimine ilişkin birçok iyi ve makul tavsiye
bulunsa da iyi bir muhakemenin yapılması şarttır. Kontrollerin kurumun karşılaştığı risk
düzeyine uygun olmalıdırlar. İDY, denetim komitesine, iç kontrol çerçevesinin güvenilir
olması ve kurumun risk iştahına uygun düzeyde güvence sağlaması gerektiğini tavsiye
edebilmelidir. Bu bağlamda, Treadway Komisyonu'nun Sponsor Kurumlar Komitesi (COSO)2
risk iştahını aşağıdaki gibi tanımlamaktadır:
“… bir şirket veya kurumun hedeflerine ulaşmak uğruna kabul etmeyi göze aldığı geniş
kapsamlı risk düzeyi. Yönetim, kurumun risk iştahını önce stratejik alternatiflerin
değerlendirilmesinde, daha sonra da seçilen stratejiye uygun hedeflerin belirlenmesinde ve
ilgili risklerle başa çıkacak mekanizmaların geliştirilmesinde göz önünde bulundurur.”
Risk iştahının yanı sıra, İDY’nin risk toleransını da hesaba katması gerekmektedir. COSO risk
toleransını şu şekilde tanımlar:
“… hedeflere ulaşılması doğrultusunda kabul edilebilir değişkenlik düzeyi. Spesifik risk
toleranslarını belirlerken, yönetim ilgili hedeflerin önemini göz önünde bulundurur ve risk
toleranslarını kurumun risk iştahına uygun hâle getirir.”
Dolayısıyla, İDY’nin aşağıdakileri göz önünde bulundurması gerekmektedir:
• Kurumun BT ortamının aynı kurumun risk iştahına uygun olup olmadığı
• İç kontrol çerçevesinin kurum performansının belirtilen risk toleransları dâhilinde
kalmasını sağlamak için yeterli olup olmadığı
4.1 BT Kontrollerinin Yeterliliğinin Tespitinde Risk Mülahazaları2 Treadway Komisyonu’nun Sponsor Kurumlar Komitesi, “Hileli Finansal Raporlama Komisyonu’nun Sponsor Kurumlar Komitesi.” www.coso.org
Risk yönetimi, yalnızca BT uygulamalarında değil, bir kurum bünyesinde gerçekleştirilen
tüm faaliyetlerde uygulanır. BT tek başına ele alınamaz. Aksine, BT’ye tüm iş süreçlerinin
ayrılmaz bir parçası gözüyle bakılmalıdır. BT kontrollerinin seçilmesi yalnızca en iyi
uygulamalar olarak tavsiye edilenlerin uygulanması demek değildir; kontrollerin riskleri etkili
bir şekilde azaltarak ve verimi artırarak kuruma değer katmaları gerekmektedir. kurumun iç
kontrol çerçevesi dâhilindeki BT kontrollerini yeterliliğini değerlendirirken, İDY’nin,
yönetim tarafından aşağıdakilerin tespiti için belirlenen süreçleri göz önünde bulundurması
gerekmektedir:
• Bilginin kullanımı (işe yararlığı), değeri ve kritikliği
• Her birim ve iş süreci için kurumun risk iştahı ve toleransı
• Kurum ve kurumun kullanıcılara sağladığı hizmet kalitesinin karşılaştığı BT riskleri
• BT altyapısının karmaşıklığı (kompleks yapısı)
• Uygun BT kontrolleri ve onların sağladığı faydalar
Risk analizi sıklığı önemli olmakla beraber hem iç hem de dış değişikliklerden büyük ölçüde
etkilenir. Teknolojik değişimin hızı her kurumu farklı etkileyecektir. Kimi kurumlar
teknolojik değişimlerle bağlantılı risklere hızla müdahale etmek durumunda kalabilecekken,
kimileri ise bunlara daha ölçülü bir hızla müdahale etmeye karar verebilir.
4.1.1 BT Ortamı
BT’ye ilişkin risk analiz ve ölçümü karmaşık olabilmektedir. BT altyapısı; donanım, yazılım,
iletişim, uygulamalar, protokoller (yani kurallar) ve verilerin yanı sıra bunların fiziksel alan
ve kurumsal yapı dâhilinde ve kurumla kurumun dış çevresi arasında uygulanmasından
oluşmaktadır. Altyapı ayrıca sistemlerin fiziksel ve mantıksal elemanlarıyla etkileşim
hâlindeki kişileri de kapsar.
Göz önünde bulundurulması gereken diğer hususlar arasında projeyle bağlantılı riskler ve
hizmet sağlayıcısıyla (tedarikçi) bağlantılı riskler bulunmaktadır. Projeyle bağlantılı risklere
örnek olarak yetersiz bütçe, yetersiz kaynak, yetersiz proje yönetimi ve yetersiz teknik
beceriler verilebilir. Tedarikçi ve satıcılarla bağlantılı üçüncü şahıs risklerine gelince, BT
denetçisinin kararlılık, mali güç, BT kontrollerinin gözden geçirilmesi ve denetim hakları gibi
konuları incelemesi gerekmektedir.
BT altyapı bileşenlerinin envanteri BT çevresinin zayıf yanlarına ilişkin temel bilgiler
içermektedir. Bir örnekle açıklamak gerekirse, internet bağlantısı bulunan iş sistem ve ağları,
internet bağlantısına ihtiyaç duymayan özerk sistem ve ağlarda bulunmayan tehditlere açıktır.
İnternet bağlantısı çoğu iş sistem ve ağı için temel bir bileşen olduğundan, kurumların, sistem
ve ağ yapılarının temel güvenliği sağlayan esaslı kontrolleri içerdiğinden emin olmaları
gerekmektedir.
Kurumun BT donanım, yazılım, ağ ve veri komponentlerinin eksiksiz envanteri BT
altyapısındaki zafiyetlerin değerlendirilmesinin temelini oluşturur. Sistem mimari şemaları
altyapı komponenetlerinin uygulanışıyla birlikte bu komponentlerin hem kurum içinde hem
de kurum dışındaki diğer kompoenetlerle birbirlerine ne şekilde bağlandıklarını da
göstermektedir. Bilgi güvenliği uzmanı için, güvenlik kontrol ve teknolojilerinin
yerleştirilmesinin de dâhil olduğu BT altyapı envanter ve mimarisi, potansiyel zafiyetleri
gösterir. Ancak, ne yazık ki, bir sistem veya ağa ilişkin bilgiler potansiyel bir saldırgana da
zafiyetleri gösterebileceğinden, bu bilgilere erişim izni yalnızca ihtiyacı olanlara verilmelidir.
Düzgün ve olması gerektiği gibi konfigüre edilmiş bir sistem ve ağ ortamı muhtemel
saldırganlara sağlanan bilgileri en aza indirgeyecektir ki güvenli görünen bir ortam da zaten
saldırganlara daha az cazip görünecektir.
4.1.2 Kurumun Karşılaştığı BT Riskleri
İDY, BT risk konularını BSY (Bilgi Sistemleri Yöneticisi) ve süreç sahipleri ile tartışarak tüm
ilgililerin kurumun BT kullanımı yüzünden karşı karşıya olduğu teknik risklerin yanı sıra bu
ilgililerin etkili kontrollerin uygulanıp sürdürülmesindeki rollerine ilişkin yeterli farkındalık
ve kavrayış düzeyine sahip olup olmadıklarını değerlendirir.
4.1.3 Risk İştahı ve Toleransı
BT riskleriyle ilgili bilgilerle donanmış olan denetçi, kurumun BT’ye ilişkin belirlenmiş risk
iştahı ve risk toleransının karşılanması için gereken etkili kontrollerin varlığını doğrulayabilir.
Denetçinin değerlendirmeleri yönetim kadrosundan ve – muhtemelen – Yönetim Kurulu’ndan
birçok üyeyle yapılacak karşılıklı görüşmeleri içerecektir. Bu görüşmelerin ayrıntı seviyesine
BSY, Bilgi Sistemleri Güvenlik Yöneticisi (BSGY) ve süreç sahiplerinden edinilen bilgilerle
karar verilebilir.
Bir kurum KRY (Kurumsal Risk Yönetimi) yöntemini kullandığında, bu, sürecin bir parçası
olarak BT risklerini de içermelidir. KRY, risklerin yönetilmesinde ve kurumsal hedeflere
ulaşmaya yarayacak fırsatların yakalanmasında yararlanılacak yöntem ve süreçleri
içermektedir. Genellikle kurumsal hedeflere ilişkin belirli olay ve durumların (örn. veri ihlali
riskleri) tanımlanması, bu olay ve durumların olasılık ve etki büyüklüğü açısından
değerlendirilmesi (örn. bir veri ihlalinin teşkil ettiği yapısal risk ile beraber bu riskin yarattığı
etki de yüksek olarak derecelendirilmektedir), verilecek yanıtın belirlenmesi (örn. kurumsal
verilerin güvenliğini artıracak yeni politikalar) ve bu yanıtların uygulanmasındaki (örn. veri
ihlallerini önlemek için BT biriminin yeni güvenlik önlemlerini uygulamaya koyması)
ilerlemelerin izlenmesi ile başlar. Risk ve fırsatları tanımlamak ve ileriye dönük olarak ele
almak suretiyle, kurumlar paydaşları için var olan değeri korumaya ve yeni değer yaratmaya
daha uygun hâle geleceklerdir. Bu yolla, KRY tüm kurum için önemli risklerin anlaşılmasında
İDY’ye yardımcı olur. Bunun ardından, İDY bu perspektifi denetim önceliklerini belirlemede,
denetim projesi etkinliklerine karar vermede ve risk iştahı ile toleransını belirlemede
kullanabilir.3
4.1.4 Bir Risk Analizinin Yapılması
Risk analizi, Risk Yöneticisi (RY), İDY, BT birimi ve iş temsilcilerinin dâhil olduğu, bir
kurum bünyesindeki çeşitli pozisyon ve departmanların katılımıyla gerçekleştirilmelidir.
Risk değerlendirme sürecine ilişkin temel soruların arasında aşağıdakiler bulunmaktadır:
• Hangi BT varlıkları (bu varlıklar hem maddi hem de bilgi veya itibar gibi gayrimaddi
varlıkları kapsamaktadır) risk altındadır ve bu varlıkların gizlilik, bütünlük ve
mevcudiyetlerinin değeri nedir?
• Bilginin varlık değerini olumsuz etkileyebilecek ne olabilir (tehdit olayı)? Bu soru
zafiyet analizini ve tehdit zafiyetlerinin ve etkilenmesi muhtemel bilgi varlıklarının
haritalandırılmasını da kapsamaktadır.
• Bir tehdit olayının vuku bulması hâlinde, etkisi ne kadar kötü olabilir?
• Bu olayın ne sıklıkla meydana gelmesi olması beklenir (meydana gelme sıklığı)?
• İlk dört soruya verilen cevapların kesinlik derecesi nedir (belirsizlik analizi)?
• Riskin azaltılması için ne yapılabilir?
• Bunun maliyeti nedir?
• Maliyet-etkin bir yöntem midir?
İşlenen ve saklanan bilginin değerinin tespit edilmesi, değer kavramının çok yönlü
doğasından ötürü kolay bir iş değildir. İDY, BT ile ilişkili risklerin koordinasyonu ve belirli
bir düzene sokulması konusunda RY ile işbirliği yapmayı yararlı bulacaktır. Kurumun
büyüklüğü ve risklerine bağlı olarak, İDY ve RY riskleri nasıl öncelik sırasına koyduklarını,
bu riskleri ne şekilde karşıladıklarını veya kaynakları nasıl etkili kullandıklarını paylaşmak
istemeyebilirler.
3 COSO, Stratejik Avantaj İçin Kurumsal Risk Yönetimini Güçlendirmek, 4 Kasım 2009.
4.2 Risk Hafifletme Stratejileri
Riskler tanımlanıp analiz edildiklerinde, bu riskleri karşılamak için kontrollerin uygulamaya
konması her zaman için uygun bir seçenek değildir. Kimi riskler meydana gelmeleri hâlinde
çok küçük etkiler yaratabilecekken kimilerinin meydana gelme olasılığı bile son derece azdır;
dolayısıyla, pahalı kontrol süreçlerinin uygulamaya konması maliyet-etkin bir seçenek
olmayabilir.
Genel itibariyle, risklerle başa çıkmanın birkaç yolu bulunmaktadır:
• Riski kabul etmek. Yönetimin birincil görevlerinden biri risk yönetimidir. Bazı riskler
etkileri ve meydana gelme olasılıkları az olduklarından küçük risklerdir. Böyle bir
durumda, riski iş yapmanın bir maliyeti olarak bilinçli bir şekilde kabul etmenin yanı
sıra bu riskin etkisinin düşük seviyede kaldığından emin olmak için periyodik kontroller
yapmak da uygun olacaktır.
• Riski ortadan kaldırmak. Bir riski belirli bir teknoloji, tedarikçi veya satıcıdan
yararlanılmasıyla ilişkilendirmek mümkündür. Söz konusu risk, mevcut teknolojinin
daha dayanıklı ürünlerle değiştirilmesi ve daha donanımlı tedarikçi ve satıcıların
bulunması yoluyla ortadan kaldırılabilir.
• Riski paylaşmak. Risk hafifletme yaklaşımları iş ortakları ve tedarikçilerle
paylaşılabilir. Altyapı yönetiminin dışarıdan tedarik edilmesi (dış kaynak/taşeron
kullanımı) buna iyi bir örnektir. Bu gibi bir durumda, ana şirketten daha donanımlı
olması ve beceri düzeyi daha yüksek elemanları çalıştırma imkânı sayesinde, tedarikçi,
BT altyapısının yönetimiyle ilişkili riskleri hafifletir. Risk ayrıca bir sigorta
sağlayıcısına devredilerek de hafifletilebilir.
• Riski kontrol etmek/hafifletmek. Diğer seçeneklerin yerine – veya bunlarla birlikte –,
kontroller riskin ortaya çıkmasını engellemek, bu ortaya çıkma olasılığını sınırlamak
veya etkilerini en aza indirgemeye yönelik olarak tasarlanıp uygulamaya onulabilirler.
5. BT’nin Değerlendirilmesi — Genel BakışRisklerin kontrol altına alınması veya hafifletilmesi sırasında BT kontrollerinin uygulamaya
konması en uygun seçenektir. BT kontrollerinin ilgili risklere karşı bu amaçla uygulamaya
konması gerekirken, bir de temel düzeyde bir BT kontrolünün sağlanması için uygulamada
olması gereken bir dizi temel kontrol vardır.
BT kontrollerinin; BT hizmetlerinin planlaması, organizasyonu, alınması, değişiklikleri ve
verilmesinin yanı sıra BT destek ve takibiyle de ilişkili ana BT süreçlerinin bir parçası olması
gerekmektedir. Bu BT süreçlerinin oldukça büyük bir kısmını destekleyen kontroller,
genellikle, ağ kontrolleri, veritabanı kontrolleri, işletim sistemi kontrolleri ve donanım
kontrolleri gibi alanları kapsayan BT altyapısı kontrolleri olmaktadır. Uygulamaları ve, çoğu
durumda, önemli iş alanlarını kapsayan BT kontrollerinin arasında girdi düzenleme
kontrolleri, süreç tamamlama veya uyumlaştırma kontrolleri ve kural dışı durum raporu
kontrolleri sayılabilir. BT risk ve kontrollerini anlamanın ilk adımı olarak, İDY’nin önemli
kontrollere ve bu kontrollerin hangi iş süreçlerini desteklediğine ilişkin genel bir bakış açısı
edinmesi gerekmektedir. Süreç tanımları ve organizasyon şemaları bu türden bir genel bilgi
birikimi ve görüş elde etmek için kullanılabilecek araçlardan bazılarıdır. Buna ilâveten, BT
altyapısı ve uygulamalarının belirli bir zaman aralığında nasıl değişebildiğini kavramak için,
İDY’nin anahtar BT önceliklerini anlaması ve bunlar hakkında bilgi sahibi olması
gerekmektedir. Bu bilgi, İDY’nin daha derin bir analize olanak tanıyan bir ilk risk
değerlendirmesi yapabilmesini sağlayacaktır.
Kontrol çevresi değerlendirilirken ve uygun bir kontrol dizisi seçilirken bazı soruların
üzerinde durulabilir.
• BT politikaları – BT kontrolleri de dâhil – mevcut mu?
• BT ve BT kontrollerine ilişkin sorumluluklar tanımlandı, atandı ve kabul edildi mi?
• Kontrol etkili bir şekilde tasarlandı mı?
• Kontrol etkili bir şekilde işliyor mu?
• Kontrol hedeflenen sonuca ulaştırıyor mu?
• Önleyici, tespit edici ve düzeltici kontrollerden oluşan kombinasyon etkili işliyor mu?
• Kontrol parametreleri aşıldığında ya da kontroller başarısız olduğunda kontroller
bunlara ilişkin herhangi bir delil sunuyor mu? Yönetim başarısızlıklara karşı ne şekilde
yarılıyor ve hangi adımların atılması bekleniyor?
• İlgili deliller saklanıyor mu (örn. denetim izi)?
• BT Altyapısı ekipman ve araçları mantıksal ve fiziksel olarak emniyette mi?
• Erişim ve kimlik doğrulama kontrol mekanizmaları kullanılıyor mu?
• Faaliyet ortamını ve verileri virüslerden ve diğer kötü amaçlı yazılımlardan koruyacak
kontroller mevcut mu?
• Güvenlik duvarıyla ilişkili kontroller uygulanıyor mu?
• Güvenlik duvarı politikaları mevcut mu?
• İç ve dış zafiyet değerlendirmeleri tamamlandı mı ve riskler gerektiği gibi tanımlanıp
çözüme kavuşturuldu mu?
• Değişiklik ve konfigürasyon yönetimi ve kalite güvence süreçleri mevcut mu?
• Yapısal izleme ve hizmet ölçüm süreçleri mevcut mu?
• Dış kaynaklı (taşeron) hizmetlerden kaynaklanan riskler göz önünde bulunduruldu
mu? (Bu konuya ilişkin detaylı bilgiler için bkz. GTAG 7: BT İçin Dış Kaynak
Kullanımı)
Ödeme kartları sektörü daha geniş ve yaygın bir kullanım alanına sahip veri güvenliği
standartlarından birini – PCI Veri Güvenliği Standartları (PCI DSS) – yayınlamaktadır. İlk
kez 2006 yılında toplanan PCI Güvenlik Standartları Konseyi, PCI DSS’ler, Ödeme
Uygulamaları Veri Güvenlik Standardı (PA-DSS) ve PIN İşlem Güvenliği (PTS)
gereksinimlerinin de dâhil olduğu PCI Güvenlik Standartlarının gelişim ve yönetiminden ve
bu standartlarına ilişkin eğitim ve farkındalık düzeyinin artırılmasından sorumludur.
İDY, kurum için belirli güvenlik faaliyetlerinin göz önünde bulundurulmasının gerekip
gerekmediğine karar vermek için PCI DSS’leri üst düzeyde kullanabilir (bkz. aşağıdaki PCI
Veri Güvenlik Standartlarına Üst Düzey Genel Bakış).
PCI Veri Güvenlik Standardı – Üst Düzey Genel Bakış
Bir Güvenli Ağ Oluşturup Bakımının Yapılması
1. Kart sahibine ait verilerin korunması için bir güvenlik duvarı indirilip bakımı yapılır.2. Sistem parolaları ve diğer güvenlik parametreleri için satıcının atadığı varsayılan ayarlar kullanılmaz.
Kart Sahibi Verilerinin Korunması3. Saklana kart sahibi verileri korunur.4. Kart sahibi verilerinin halka açık ağlardan transferi şifrelenir.
Bir Zafiyet Yönetim Programının Bakımının Yapılması
5. Anti-virüs yazılım veya programları kullanılır veya düzenli olarak güncellenir.6. Güvenlik sistem ve uygulamaları geliştirilip bakımları yapılır.
Güçlü Erişim Kontrol Önlemlerinin Alınması7. Kart sahibi verilerine erişim yalnızca işi gereği bu verilere sahip olması gerekenlerle kısıtlanır.8. Bilgisayar erişimi olan herkese benzersiz birer ID atanır.9. Kart sahibi verilerine fiziksel erişim kısıtlanır.
Ağların Düzenli Takip ve Test Edilmesi10. Ağ kaynakları ve kullanıcı verilerine tüm erişimler izlenip takip edilir.11. Güvenlik sistem ve süreçleri düzenli olarak test edilir.
Bir Bilgi Güvenliği Politikasının Geliştirilip Sürdürülmesi
12. Tüm personel için bilgi güvenliği konularına eğilen bir politika geliştirilip sürdürülür.
Giriş ve PCI Veri Güvenlik Standardına Genel Bakış
Ödeme Kartları Sektörü (PCI) Veri Güvenlik Standardı (DSS) kart sahibinin veri güvenliğinin
teşvik edilmesi ve iyileştirilmesi ve küresel çapta birbiriyle tutarlı veri güvenliği önlemlerinin
geniş bir alana yayılmasının kolaylaştırılması için geliştirilmiştir. PCI DSS, kart sahibine ait
verilerin korunması için tasarlanmış temel teknik ve operasyonel gereksinimleri sunar. PCI
DSS ödeme kartı işlemlerine müdahil olan tüm gerçek ve tüzel kişiler için geçerlidir ve kart
satıcı, işleyici, alıcı ve ihraççıları ile hizmet sağlayıcılarının yanı sıra kart sahibi verilerini
saklayan, işleyen veya aktaran tüm kişiler bu kişilerin arasında sayılmaktadır. PCI DSS, kart
sahibi verilerinin korunması için minimum bir dizi gereksinimlerden oluşur ve risklerin daha
da azaltılması için kullanılacak ek kontrol ve uygulamalar yardımıyla iyileştirilebilir. Aşağıda
12 PCI DSS gereksinime bir üst düzey genel bakış verilmektedir.
4
BT kontrollerinin değerlendirilmesi süreğen bir süreçtir. Teknoloji değişip gelişmeye devam
ettikçe iş prosedürleri de sürekli değişir ve yeni zafiyetler keşfedildikçe tehditler ortaya çıkar.
İç denetçiler kurumsal hedefleri destekler nitelikteki BT kontrolüyle ilgili hususların en üst
düzey önceliğe sahip olduğu bir yaklaşım benimsedikçe denetim yöntemleri de
iyileşmektedir. Yönetim BT kontrol ölçüm ve raporları sunar, denetçiler de bunların doğruluk
ve geçerliliklerini tasdik edip değerlerine ilişkin fikirlerini beyan ederler. İç denetçinin
raporlama için sunulan ölçüm ve güvencelerin geçerlilik ve etkililikleri konusunda 4 PCI DSS Gereksinimleri ve Güvenlik Değerlendirme Prosedürleri, V2.0, Telif Hakkı 2010 PCI Güvenlik Standartları Konseyi LLC
mutabakata varmak için tüm düzeylerden yönetim kadrosuyla irtibata geçip birlikte hareket
etmesi gerekmektedir.
İç denetim süreci iç kontrol sisteminin tamamındaki BT kontrollerine eğilinmesi için formel
bir yapı sunmaktadır. Şekil 1 – BT Denetiminin Yapısı’nda, ilgili değerlendirme, mantıksal
bir dizi adıma ayrılmıştır.
Şekil 1 – BT Denetiminin Yapısı
BT
Kon
trol
leri
nin
Değ
erle
ndir
ilmes
i
BT Kontrollerinin Anlaşılması
Yönetişim – Yönetim – Teknik
Genel Uygulama
Engelleme, Tespit Etme, Doğrulama
Bilgi – Güvenlik
BT Kontrollerinin ÖnemiGüvenilirlik ve Etkililik
Rekabet Avantajı
Mevzuat ve Tüzük
Roller ve SorumluluklarYönetişim
Yönetim
Denetim
Risk Odaklı
Risk Analizi
Risk Tepkisi
Temel Kontroller
İzleme ve Teknikler Kontrol Çerçevesi
Sıklık
DeğerlendirmeMetodolojiler
Denetim Komitesi Arayüzü
BT kontrollerinde iç denetçinin rolü bu riskleri kavramsal olarak iyice ve sağlam şekilde
anlamakla başlayıp, risk ve kontrol değerlendirmelerinin sonuçlarını sunmakla son bulur.
Yeni teknolojiler ortaya çıktıkça ve bağımlılıklar, stratejiler, riskler ve gereksinimler
değiştikçe, İDY’nin sürekli öğrenme ve yeniden değerlendirme gidişatını gözetmesi
gerekmektedir.
6. BT Kontrollerinin Değerinin Anlaşılması
Bu GTAG yalnızca BT risk ve kontrolleriyle ilgili olsa da, BT kapsamındaki kontrol ortamı
da (örn. BSY’nin yönetim yaklaşımı [tone at the top], etik iklim, yönetim felsefesi ve yönetim
tarzı gibi) kritik öneme sahiptir ve değerlendirmeye alınmalıdır. BT kapsamındaki kontrol
ortamı değerlendirilirken, bu GTAG’in yanı sıra IIA’nın Uygulama Rehberi’ne de (Kontrol
Ortamının Denetimi) başvurulmalıdır.
COSO iç kontrolü şu şekilde tanımlamaktadır: “Bir kurumun yönetim kurulu, yönetim
kadrosu ve diğer ilgili personeli tarafından başlatılan bir süreç. Bu süreç aşağıdaki alanlarda
hedeflere ulaşılması konusunda makul güvence sağlamak üzere tasarlanmıştır:
• Faaliyetlerin etkililik ve verimi.
• Finansal raporlamanın güvenilirliği.
• Yürürlükteki yasa ve mevzuata uygunluk.”
BT kontrolleri, bilgi ve bilişim hizmetleri için güvence sağlayan ve bir kurumun teknoloji
kullanımıyla ilişkili risklerin kontrol altına alınması veya hafifletilmesine yardımcı olan
süreçleri kapsamaktadır. Bu kontroller; yazılı kurumsal politikalardan bu politikaların
kodifiye edilmiş talimatlar kapsamında uygulanmasına, fiziksel erişim korumasından hareket
ve işlemlerin izini bunlardan sorumlu olan kişilere kadar sürebilme yeteneğine ve otomatik
düzeltmelerden büyük veri gruplarına yönelik makuliyet analizine kadar çeşitlilik
göstermektedir.
İDY’nin, sürecin tamamı veya teknik detaylar da dâhil olmak üzere, BT kontrolleri hakkında
her şeyi bilmesine gerek yoktur. Bu kontrollerin çoğu,sistemlerin ve ağ altyapısının ayrı ayrı
her bir komponentiyle ilişkili spesifik riskleri yöneten uzmanların alanına girmektedir.
6.1 BT Genel Kontrolleri ve Uygulama Kontrolleri
Kontroller, amaçlarının ve iç kontrol sisteminin genelinde nereye uyduklarının anlaşılmasına
yardımcı olmak için sınıflandırılabilirler (Bkz. Şekil 2 – Kontrol Sınıflandırmalarından
Bazıları). Bu sınıflandırmaları anladıklarında, kontrol analisti ve denetçi kontrol
çerçevesindeki pozisyonlarını daha iyi belirleyebilir ve şu gibi kilit sorulara yanıt verebilirler:
Tespit edici kontroller önleyici kontrollerin es geçebileceği hataları tespit etmek için yeterli
mi? Düzeltici kontroller tespitedilen bu hataları düzeltmek için yeterli mi? BT kontrollerinin
yaygın bir sınıflandırma modeli de genel kontrollere karşılık uygulama kontrolleridir. BT ile
ilgili kontrollere ilişkin daha detaylı bilgi için bkz. GTAG 8: Uygulama Kontrollerinin
Denetimi.
Şekil 2 – Kontrol Sınıflandırmalarından Bazıları
6.1.1 BT Genel Kontrolleri
Genel kontroller, belirli bir kurum ya da sistem çevresinin tüm sistem komponentleri,
süreçleri ve verileri için geçerlidir. Bu kontroller arasında, bunlarla da sınırlı kalmamak
kaydıyla, BT yönetişimi, risk yönetimi, kaynak yönetimi, BT faaliyetleri, uygulama geliştirme
ve bakımı, kullanıcı yönetimi, mantıksal güvenlik, fiziksel güvenlik, değişiklik yönetimi,
yedekleme ve geri yükleme ve iş sürekliliği bulunmaktadır. Bazı genel kontroller işletmeyle
ilgili kontrollerken (örn. görevler ayrılığı veya yönetişim görevlendirmeleri gibi), diğer
kontroller oldukça teknik kontrollerdir (örn. sistem yazılım kontrolleri ve ağ yazılım
kontrolleri gibi) ve ilgili altyapıyla ilgilidirler. BT kontrol ortamının temelini
oluşturduklarından, genel kontroller iç denetim birimi tarafından kontrol edilirler. Genel
kontrollerin zayıf ve güvenilmez olması hâlinde (örn. değişiklik ve erişim kontrolü gibi),
denetçinin bu ilgili alanlara karşı test yaklaşımını deiştirmesigerekebilir.
6.1.2 Uygulama Kontrolleri
Uygulama kontrolleri5 münferit iş süreçleri ve uygulama sistemlerinin kapsamına girerler ve
girdi, işleme ve çıktı ile ilgili bir uygulama kapsamındaki kontrolleri de içerirler. Uygulama
kontrolleri ayrıca veri düzeltme, iş fonksiyonlarının ayrılması (örn. işlem başlatmaya karşılık
kimlik doğrulama), işlem toplamlarının denkleştirilmesi, işlem kaydı ve hata raporlamayı da
içermektedir.
5 PCI Güvenlik Standartları Konseyi LLC, Ödeme Kartları Sektörü (PCI) Data Güvenlik Standardı Gereksinimleri ve Güvenlik Değerlendirme Prosedürleri, Versiyon 2.0., Ekim 2010.
Bir kontrolün fonksiyonu tasarımının ve etkililiğinin değerlendirilmesine büyük ölçüde
bağlıdır. Kontroller genel itibariyle önleyici, tespit edici ve düzeltici kontroller olarak
sınıflandrılmaktadır. Önleyici kontroller hataların, ihmallerin veya güvenlik tehlikelerinin
meydana gelmesini önler. Harf karakterlerinin sayısal alanlara girilmesini engelleyen basit
veri giriş düzeltmeleri, hassas verileri veya sistem kaynaklarını izinsiz kullanıcılardan
koruyan erişim kontrolleri ve karmaşık ve dinamik teknik kontroller (örn. antivirüs yazılımı,
güvenlik duvarları ve izinsiz girişim önleme sistemleri gibi) bu kontrollerin örnekleri arasında
sayılabilir.
Tespit edici kontroller önleyici kontrolleri atlatan hata veya tehlikeleri tespit eder. Bir örnekle
açıklamak gerekirse, bir tespit edici kontrol inaktif (aktif olmayan) hesapların veya şüpheli
faaliyetlerin izlenmesi amacıyla işaretlenmiş hesapların hesap numaralarını tespit edebilir.
Tespit edici kontrollerin arasında ayrıca uygunsuz kullanıma işaret edebilecek verilerde izin
verilen sınırı aşan veya bilinen örüntüleri ihlâl eden faaliyet veya olayların ortaya
çıkarılmasına yönelik izleme ve analiz faaliyetleri de sayılabilir. Hassas elektronik iletişim
faaliyetleri için, tespit edici kontroller bir iletinin çöktüğünü veya göndeici kimliğinin
doğrulanamadığını gösterebilir.
Düzeltici kontroller tspit edilen hataları, ihmalleri veya tehlikeleri düzeltir. Bu kontroller,
basit veri girişi hatalarının düzeltilmesinden izinsiz kulanıcı veya yazılımların tespit edilmesi
ve sistem veya ağlardan çıkarılmasına ve tehlike, kesinti veya çökmelerden sonra geri
yüklemeye kadar çeşitlilik gösterebilirler.
Genel itibariyle, hataların önlenmesi veya bu hataların düzeltme faaliyetinin kolaylaştırılması
için mümkün olduğunca erken tespit edilmesi en etkili ve verimli yöntemdir.
Bu belgede açıklanan diğer birçok kontrol sınıflandırması ilgili kontrollerin etkililiklerinin
değerlendirilmesi açısından yararlı olabilir. Bir örnekle açıklamak gerekirse, otomatik
kontroller manüel kontrollerden daha güvenilir olma eğilimi göstermektedir ve zorunlu (isteğe
bağlı olmayan) kontrollerin isteğe bağlı kontrollerden daha tutarlı bir şekilde uygulanması
daha muhtemeldir. Zorunlu, isteğe bağlı, tamamlayıcı, telafi edici, yedek, sürekli, talep
üzerine ve olay kaynaklı kontroller gibi başka kontrol sınıflandırmaları da mevcut
olabilmektedir.
6.2 BT Yönetişimi, Yönetimi ve Teknik Kontroller
Bir diğer yaygın kontrol sınıflandırma yöntemi de kontrollerin gereken şekilde uygulanıp
sürdürülmesini (bakımlarının yapılmasını) sağlamaktan sorumlu guruba göre sınıflandırma
yöntemidir. Rol ve sorumlulukların değerlendirlmesi amacıyla, bu kılavuz öncelikli olarak BT
kontrollerini yönetişim, yönetim, teknik ve uygulama kontrolleri olarak kategorilere
ayırmaktadır.
İlk iki kategori düzeyi – yönetişim ve yönetim – bu kılavuzun kapsamına en uygun olan
kategorilerdir. Ancak, daha yüksek düzeydeki kontrollerin spesifik olarak BT teknik ve
uygulama altyapılarında ne şekilde tesis edildiklerinin anlaşılması da faydalı olabilir. Teknik
kontrollerve uygulama kontrolleri GTAG 8: Uygulama Kontrollerinin Denetimi’nin
kapsamına girmektedir.
6.2.1 BT Yönetişim Kontrolleri
İç kontrol gözetiminin asıl sorumluluğu Yönetim Kurulu’nda ve bu Kurul’un da yönetişim
çerçevisini elinde bulundurma rolündedir. Yönetişim düzeyinde BT kontrolüne, etkili bilgi
yönetimi, ilkeleri, politikaları ve süreçlerinin gözetimi ve bunların mevcut olduğundan ve
düzgün işlediğinden emin olunması dâhildir. Bu kontroller hem kurumsal hedef ve stratejileri
hem de düzenleyici otoriteler gibi dışsal unsurlar tarafından dayatılan yönetişim kavramlarıyla
bağlantılıdır.
6.2.2 Yönetim Kontrolleri
Yönetimin iç kontrollere ilişkin sorumluluğu genel itibariyle kritik varlıklar, hassas bilgiler ve
operasyonel faaliyetlere özel ehemmiyet göstererek kurumun her alanına ulaşmayı
gerektirmektedir. Yönetimin kurumun belirlenmiş hedeflerine ulaşılması için gereken BT
kontrollerinin uygulandığından emin olması ve güvenilir ve sürekli işlemeyi temin etmesi
gerekmektedir. Bu kontroller kuruma, kurumun süreçlerine ve varlıklarına karşı ortaya çıkan
risklere tepki olarak yönetim tarafından gerçekleştirilen bilinçli faaliyetlerin bir sonucu olarak
uygulamaya konulurlar.
6.2.3 Teknik Kontroller
Teknik kontroller çoğunlukla yönetimin kontrol çerçevesinin belkemiğini oluştururlar.
Dolayısıyla, eğer teknik kontroller zayıfsa, bu kontrol çerçevesinin tamamına etki eder. Bir
örnekle açıklamak gerekirse, yetkisiz erişim ve izinsiz girişlere karşı kouma sağlamak
suretiyle, teknik kontroller bilgilerin tamlığına (bozulmamışlığına) – tüm değişikliklere ve bu
değişiklikleri yapanların kimlik doğrulamasına ilişkin deliller de dâhil – olan güvenin temelini
oluşturur. Bu kontroller kurumun BT altyapılarında hâlihazırda kullanımda olan teknolojilere
özgüdür. Teknik kontrollerin örnekleri arasında işletim sistemi kontrolleri, veritabanı
kontrolleri, kodlama ve kayıt (günlük) tutma sayılabilir.
6.2.4 Uygulama Kontrolleri
Belirtildiği ve mutabakata varıldığı üzere, uygulama kontrolleri, münferit iş süreçleri veya
uygulama sistemlerinin kapsamına girmektedir. Yapıları itibariyle teknik olabildikleri gibi,
kullanımalanlarına bağlı olarak teknik olmayan bir yapıya da sahip olabilirler. Girdi, işleme
ve çıktı kontrollerini içermektedirler. Bu belgede Bölüm 6.3.7’de, uygulama kontrolleri daha
detaylı anlatılmaktadır.
6.3 BT Kontrolleri – Ne Beklemeli?
Bir kurum bünyesindeki münferit kontroller, (Yönetim tarafından yayımlanıp Yönetim
Kurulu tarafından tasdik edilen genel yüksek düzey politika beyanlarından, uygulama
sistemlerine entegre edilmiş spesifik kontrol mekanizmalarına kadar sınıflanan) BT kontrol
hiyerarşisi içerisinde sınıflandırılabilirler.
Şekil 3 – BT Kontrol Hiyerarşisi, hem uygulanacak kontroller değerlendirmeye alınırken hem
de BT faaliyet ortamının tamamının gözden geçirilmesi sırasında iç denetim kaynaklarının
yöneltileceği alanlar belirlenirken benimsenecek mantıksal bir yukarıdan ağıya (top-down)
yaklaşım modelini temsil etmektedir. Hiyerarşinin farklı elemanları birbirlerine kapalı
değildirler, aksine birbirleriyle etkileşime geçer ve sıklıkla örtüşüp iç içe geçerler. Hiyerarşi
içerisindeki her bir kontrol türü aşağıda açıklanmaktadır.
Şekil 3 – BT Kontrol Hiyerarşisi
6.3.1 Politikalar
Tüm kurumların amaç ve hedeflerini stratejik planlar ve politika beyanlarıyla belirtmesi
gerekmektedir. açık ve net politika beyanları ve yönlendirici standartlar olmadan, kurumlar
hedeflerinden şaşıp verimsiz faaliyetlerde bulunabilirler.
Esas itibariyle, teknoloji hemen hemen tüm kurumlar için hayati öneme sahip olduğundan,
BT’nin tüm yönleriniele alan açık ve anlaşılır politika beyanları yönetim tarafından tasarlanıp
onaylanmalı, Yönetim Kurulu tarafından tasdik edilmeli ve personele duyurulmalıdır. Belli
bir kurumun boyutuna ve BT’yi ne derece kullandığına bağlı olarak birçok farklı politika
beyanına ihtiyaç duyulabilir. Daha küçük kurumlar için ise, (ilgili tüm alanları kapsaması
şartıyla) tek bir politika beyanı yeterli olabilmektedir. Daha büyük çaplı kurumlar daha detaylı
ve spesifik politika beyanlarına ihtiyaç duyacaktır.
BT politika beyanlarının örnekleri arasında, bunlarla da sınırlı kalmamak kaydıyla,
aşağıdakiler sayılabilir:
• Kurum çapında güvenlik ve gizlilik düzeyinde bir genel politika. Bu politika ilgili ulusal ve
uluslararası mevzuata uygun olmalı ve sistem ve işlenen verilerin hassasiyetine göre
gereksinim duyulan kontrol ve güvenlik düzeyini belirtmelidir.
• Bilgilerin sınıflandırılmasına ve her düzey için erişim haklarına ilişkin bir politika beyanı.
Bu politika beyanı ayrıca bu bilgilerin erişim izni verilenler tarafından kullanımına ilişkin tüm
kısıtlamaları da belirtmelidir.
• Veri ve sistem sahipliği kavramlarının yanı sıra bilgilerin oluşturulması, değiştirilmesi veya
silinmesi için gereken izni de tanımlayan bir politika beyanı. Bu beyan kullanıcıların kendi
uygulamalarını hangi ölçüye kadar oluşturuabileceklerini tanımlayan genel bir politika beyanı
olmalıdır.
• Hassas alanlarda görevli personelin uymakla yükümlü olduğu şartları tanımlayıp yürürlüğe
koyan personel politikaları. Bu politikalar yeni personel adaylarının kuruma kabul edilmeden
önce güvenlik sorgulamasından geçirilmeleri ve çalışanlara gereken kontrol, güvenlik ve
gizlilik düzeylerinin sorumluluğunu kabul ettiklerine dair sözleşme imzalama şartının öne
sürülmesini de içermektedir. Bu politikada genellikle ilgili disiplin prosedürlerinin detayları
da açıklanmaktadır.
• İş sürekliliği planlama gereksinimlerini tanımlayan politika beyanları. Bu politikalar,
beklenmedik bir olay veya olağanüstü durum meydana geldiğinde işin tüm yönlerinin göz
önünde bulundurulmasını sağlamadırlar.
6.3.2 Standartlar
Bir kurumun, genel stratejisini destekelyen ve sonuçta ortaya çıkan BT politika ve standartları
için yaklaşım tazını belirleyen bir BT şablonuna sahip olması gerekmektedir.6
Standartlar kurumsal hedeflere ulaşmak için izlenecek çalışma şekillerini tanımlar.
Standartların belirlenip yürürlüğe konulması BT faaliyet ortamında verimliliği artırıp
tutarlılığı temin eder.
Önemli kaynakları bulunan büyük kurumlar kendi standartlarını oluşturma imkanına
sahipken, daha küçük çaplı kurumlar bunun için yeterli kaynağa sahip olamayabilirler.
Standartlara ve en iyi uygulamalara yönelik birçok bilgi kaynağı mevcuttur. Bir örnekle
açıklamak gerekirse, BT yönetimnini aşağıdakileri gözetmesi gerekmektedir:
• Sistem geliştirme süreçleri: Kurumlar kendi uygulamalarını geliştirdiklerinde, sistem ve
programların tasarlanması, geliştirilmesi, test edilmesi, uygulanması ve bakımlarının
yapılması süreçleri standartlara tâbi olur. Kurumların uygulama geliştirme hizmetini dışarıdan
alması (taşeron kullanımı) veya sistemleri satıcılardan temin etmesi hâlinde, İDY’nin yapılan
sözleşmelerin tedarikçilere kurumsal standartlara uygun standartlar uygulama şartını
getirdiklerinden veya kurum açısından kabul edilebilir olduklarından emin olması
gerekmektedir.
• Sistem yazılım konfigürasyonu: Sistem yazılımları BT ortamında büyük bir kontrol
unsurunu teşkil ettiklerinden, güvenli sistem konfigürasyonlarına ilişkin standartlar lider
kurumlar ve teknoloji tedarikçileri tarafından büyük ölçüde kabul görmeye başlamıştır.
Ürünlerin (örn. işletim sistemleri, ağ yazılımları ve veritabanı yönetim sistemleri gibi)
konfigüre edilme şekilleri güvenliği artırabilir veya suiistimal edilebilecek zafiyetler ortaya
çıkabilir.
• Uygulama kontrolleri: İş faaliyetlerini destekleyen tüm uygulamaların kontrol edilmesi
gerekmektedir. kurumun kendi geliştirdiği veya satın aldığı tüm uygulamalar için standartların
belirlenmesi şarttır ve bu standartlar da iş faaliyetlerinin tamamında mevcut olması gereken
kontrol türlernin yanı sıra hassas süreçler ve bilgiler için geçerli olacak spesifik kontrolleri
tanımlamalıdır.
• Veri yapıları: Uygulamaların tamamında tutarlı veri tanımlarının bulunması birbirleriyle
benzeşmeyen sistemlerin verilere sorunsuz erişmesini ve özel ve diğer hassas veriler için
güvenlik kontrollerinin aynı şekilde uygulanabilmesini sağlar.
6 İç Denetim Mesleki Uygulaması için İç Denetim Enstitüsü Uluslararası Standartları, iç denetim biriminin BT stratejisini izlemesini sağlar. IIA Standardı 2110.A2 şunu belirtir: “İç denetim biriminin, kurumun bilgi teknolojileri yönetişiminin kurumsal strateji ve hedeflerin devamlılığını sağlayıp sağlamadığını ve bunları destekleyip desteklemediğini değerlendirmesi gerekmektedir.”
• Dokümantasyon: Standartların her uygulama sistemi ve BT kurulumunun yanı sıra farklı
uygulama, süreç ve işlem merkezi sınıfları için de gereken minimum dokümantasyon düzeyini
belirtmesi gerekmektedir.
Politika beyanlarında olduğu gibi, yazılı standartların da yönetimin onayından geçmeleri ve
bu standartları uygulayacak olan herkese bildirilmeleri gerekmektedir.
6.3.3 Organizasyon ve Yönetim
Organizasyon ve yönetim BT kontrol sisteminin tamınının yanı sıra bir kurumun
faaliyetlerinin her alanında önemli bir rol oynar. Uygun ve gerektiği gibi işleyen bir
organizasyon yapısı raporlama ve sorumluluk hatlarının tanımlanıp etkili kontrol sistemlerinin
uygulanmasına olanak tanır. Önemli kontroller genellikle birbirleriyle bağdaşmayan görevler
ayrılığı, finansal kontroller ve değişiklik yönetimini kapsar.
6.3.3.1 Görevler Ayrılığı
Görevler ayrılığı birçok kontrolün hayati önem taşıyan bir unsurudur. Bir kurumun yapısı veri
işlemenin tüm alanlarına ait sorumlulukların tek bir kişinin inisiyatifine bırakılmasına
müsaade etmemelidir. Veri oluşturma, otorize etme, girme, işleme ve kontrol etme
fonksiyonları, hiç kimseinin bir hata ya da ihmale veya başka bir uygunsuz duruma yol açıp
buna ilişkin izinleri vermemesi ve/veya delilleri karartmaması için aynı kişinin inisiyatifinde
bulunmamalıdır. Uygulama sistemleri için görevler ayrılığı kontrolleri, fonksiyonların
kullanılmasını ve bilgilere erişilmesini gerektiren iş tanımlarına uygun olarak erişim
ayrıcalıklarının tanınmasıyla uygulanırlar.
BT ortamında geleneksel görevler ayrılığı uygulaması sistem geliştirme ve BT faaliyetleri
arasında paylaşılmıştır.
BT faaliyetlerinin (değişiklik uygulama dışında) üretim sistemlerinin işletilmesinden sorumlu
olmaları ve geliştirme süreçlerine ilişkin ya çok az ya da hiçbir sorumluluklarının
bulunmaması gerekmektedir. Bu kontrolün kapsamına operatörlerin üretim program, sistem
veya verilerine erişimlerini veya bunlar üzerinde değişiklik yapmalarını engelleyen
kısıtlamalar girmektedir. Benzer şekilde, sistem geliştirme personelinin de üretim
sistemleriyle çok az irtibatı olması gerekmektedir. uygulama ve diğer değişiklik süreçleri
sırasına spesifik roller atanması yoluyla görevler ayrılığı ilkesi uygulamaya konulabilir.
Büyük kurumlarda, uygun görevler ayrılığının temin edilmesi için birçok fonksiyon ve
birimin göz önünde bulundurulması gerekmektedir.
6.3.3.2 Finansal Kontroller
Kurumlar BT’ye kayda değer yatırımlar yaptıklarından, teknolojinin yatırımdan elde edilmesi
hedeflenen geliri veya öne sürülen tasarrufları sağladığından emin olunması için bütçesel ve
diğer finansal kontroller gereklidir. Bu konulara ilişkin veri toplanması, analiz edilmesi ve
raporlanması için yönetim süreçlerinin mevcut ve işler durumda olması gerekmektedir. Fakat
ne yazık ki, yeni geliştirilen BT teknolojileri çoğunlukla maliyet aşımı sorunuyla karşı karşıya
kalmakta ve yanlış tahmin ve hesaplamalar veya yetersiz planlama yüzünden beklenen
maliyet tasarrufunu veya geliri sağlayamamaktadır.
6.3.3.3 Değişiklik Yönetimi
Değişiklik yönetimi7 süreçleri, BT ortamı, uygulama sistemleri ve verilerde yapılan
değişikliklerin uygun görevler dağılımının uygulanmasını sağlayacak bir şekilde
uygulanmasını ve yapılan değişikliklerin gereken şekilde işleyip uygulamaya konulmasını
sağlar ve değişikliklerin suiistimal amaçlı kullanımını engeller. Değişiklik yönetiminin
eksikliği sistem ve hizmet erişilebilirliğini ciddi ölçüde etkiler.
6.3.4 Fiziksel ve Çevresel Kontroller
BT ekipmanları birçok kurum için kayda değer bir yatırım anlamına gelmektedir. Kaza eseri
veya kasti zarar veya kayıplara karşı korunmalıdırlar. Esasen ana bilgisayarların bulunduğu
büyük veri merkezleri için geliştirilmiş olan fiziksel ve çevresel kontroller dağıtımlı istemci-
sunucu ve web tabanlı sistemlerde eşit derecede önem arz eder. Günümüzde yaygın kullanılan
ekipmanlar normal bir ofis ortamında kullanım kolaylığı gözetilerek dizayn ediliyor olsalar
da, kurum açısından değerleri ve iş süreçlerini işleten uygulamaların maliyet ve hassasiyetleri
oldukça büyük olabilmektedir.
Personelin uygulamalara erişimini sağlayan sunucu ve istasyonlar da dâhil, tüm ekipmanların
koruma altına alınması gerekmektedir. tipik fiziksel ve çevresel kontrollerden bazıları
şunlardır:
• Sunucuların erişimin kısıtlı tutulduğu odalarda kilitli tutulması.
• Belirli kişilere sunucu erişimin kısıtlanması.
• Yangın algılama ve söndürme teçhizatının temin edilmesi.
• Hassas ekipman, uygulama ve verilerin alçak su basma havzaları, uçak iniş-kalkış pistleri
veya yanıcı sıvı madde satış noktaları gibi çevresel tehlike arz eden yerlerden uzakta
konuşlandırılması.
7 Bkz. IIA’nın yayımladığı GTAG 2: Değişiklik ve Yama Yönetimi Kontrolleri: Kurumsal Başarı İçin Kritik Önemli.
Fiziksel ve çevresel güvenlik göz önünde bulundurulduğunda, olumsallık planlamasının8 da
hesaba katılması yerinde olacaktır. Bir yangın veya sel olması durumunda ya da başka
herhangi bir tehdidin ortaya çıkması hâlinde kurum ne yapacak? Faaliyetlerini nasıl
sürdürecek? Bu tür bir planlama yalnızca alternatif BT işlemlerinin faaliyetlerine devam
edebilmeleri için onlara gereken güç ve kaynağın sağlanmasından ve üretim verilerinin rutin
yedeklemesinden ibaret değildir; kurumsal faaliyetlerin tüm yönleri için gereken lojistik ve
koordinasyonu da kapsamalıdır. Sonuç olarak, gerçekçi bir simülasyonda başarılı bir şekilde
test edilmemiş bir iş sürekliliği planlamasının güvenilir olmadığı geçmişte tekrar tekrar
gösterilmiştir.
6.3.5 Sistem Yazılım Kontrolleri
Sistem yazılım ürünleri BT ekipmanlarının uygulama sistemleri ve kullanıcıları tarafından
kullanılmasını sağlar. Bu ürünler arasında işletim sistemleri (örn. Windows ve UNIX gibi), ağ
ve iletişim yazılımları, güvenlik duvarları, anti-virüs ürünleri ve veritabanı yönetim sistemleri
(VTYS) (örn. Oracle ve DB2 gibi) sayılabilir.
BT denetim uzmanlarının bu alandaki kontrolleri değerlendirmesi gerekmektedir. küçük çaplı
kurumların bu tür uzmanlara sahip olmaya yetecek kaynaklarının bulunması pek muhtemel
olmadığından, bu kurumların dış kaynak kullanımını göz önünde bulundurmaları
gerekmektedir. İster kurum bünyesinde çalışıyor olsunlar, isterse de dış kaynaklardan tedarik
edilsinler, BT denetçileri oldukça spesifik bir bilgi setine ihtiyaç duyarlar. Bu bilgilerin çoğu
deneyimler yoluyla elde edilebilse de, ilgili bilgilerin güncelliklerinin ve geçerliliklerinin
korunması için sürekli güncellenmeleri gerekmektedir.
Sistem yazılımları oldukça karmaşık bir yapıya sahip olabilmelerinin yanı sıra sistem ve ağ
çevreleri dâhilindeki komponent ve cihazlar için kullanılabilirler. İlgili yazılımlar yüksek
ölçüdeözelleşmiş ihtiyaçlara cevap vermek üzere konfigüre edilebilirler ve normalde
bakımlarının ve devamlılıklarının sağlanması için yüksek uzmanlık gerekmektedir. Bazı
uygulama sistemleri kendi erişim kontrollerini kendi bünyelerinde barındırabilseler ve izinsiz
kullanıcılara bir sisteme kaçak giriş yapmak için bir giriş yolu sağlayabilseler de,
konfigürasyon teknikleri uygulamalara mantıksal erişimi kontrol edebilir. Konfigürasyon
teknikleri ayrıca görevler ayrılığının uygulamaya konması, spesifik denetim izlerinin
oluşturulması ve erişim kontrol listeleri, filtreler ve faaliyet günlükleri yoluyla veri tamlığı
kontrollerinin uygulanması için gerekli şartları sağlar.
İyi yönetilen bir BT çevresinde mevcut olması beklenen kilit teknik kontrollerden bazıları
şunlardır:
8 Bkz. IIA’nın yayımladığı GTAG 10: İş Sürekliliği Yönetimi.
• Kurumun beyan edilen politikasına göre atanan ve kontrol edilen erişim hakları.
• Sistem yazılımları ve diğer konfigürasyon kontrolleri yoluyla uygulamaya koyulan görevler
ayrılığı ilkesi.
• Mevcut ve işler durumda olan ve sürekli takip edilen izinsiz giriş ve zafiyet
değerlendirmeleri9, önleyici ve tespit edici kontrolleri.
• Düzenli uygulanan izinsiz giriş testleri.
• Gizliliğin belirtilen bir şart olduğu durumlarda uygulanan şifreleme (kodlama) hizmetleri.
• Yapılan tüm değişikliklerin ve yamaların yazılıma, sistemlere, ağ komponenetlerine ve
verilere uygulanması için sıkı sıkıya kontrol edilen bir sürecin bulunmasını sağlamak için
mevcut ve işler durumda olan değişiklik yönetimi süreçleri – yama yönetimi de dâhil.10
6.3.6 Sistem Geliştirme ve Edinme Kontrolleri
Kurumlar tüm sistem edinme veya geliştirme süreçleri için nadiren tek bir metodoloji
benimserler. Metodolojiler belirli durum ve şartlara uygun seçilirler. BT denetçisinin bir
kurumun uygulama sistemlerini edinmek veya geliştirmek için kontrollü bir yöntem kullanıp
kullanmadığını ve uygulamalar ve bunların işlediği veriler üzerinde ve içerisinde etkili
kontroller sağlayıp sağlamadığını değerlendirmesi gerekmektedir. uygulama geliştirme
prosedürlerini incelemek suretiyle, denetçi, kontrollerin yeterli olduğuna ilişkin güvence elde
edebilir. Tüm sistem geliştirme ve edinme faaliyetlerinde bazı temel kontrol hususlarına
eğilinmesi gerekmektedir. Bu hususların örnekleri arasında aşağıdakiler sayılabilir:
• Kullanıcı gereksinimleri dokümante edilmelidir ve bu gereksinimlerin karşılanma düzeyi
ölçülmelidir.
• Sistem tasarımları, kullanıcı gereksinimlerinin ve kontrollerin sisteme uygun tasarlanmasını
sağlamak için formel bir süreci takip etmelidir.
• Sistem geliştirme faaliyetleri, gereksinimlerin ve onaylanmış tasarım özelliklerinin bitmiş
ürüne entegre edilmesini sağlamak için yapılandırılmış bir şekilde yürütülmelidir.
• Testler, münferit sistem elemanlarının olması gerektiği gibi işlemesini, sistem arayüzlerinin
beklendiği gibi çalışmasını ve sistem sahibinin hedeflenen işlevin temin edildiğini
doğrulamasını sağlamalıdır.
9 Bkz. IIA’nın yayımladığı GTAG 6: BT Zafiyetlerinin Yönetim ve Denetimi.10 Bkz. IIA’nın yayımladığı GTAG 2: Değişiklik ve Yama Yönetimi Kontrolleri: Kurumsal Başarı için Kritik Önemli.
• Uygulama bakım süreçleri, uygulama sistemlerinde yapılan değişikliklerin tutarlı bir
kontrol modelini takip etmesini sağlamalıdır. Değişiklik yönetimi, yapısal güvence validasyon
süreçlerine tâbi olmalıdır.
Sistem geliştirme hizmetinin dış kaynaklardan temin edilmesi (taşeron kullanımı) hâlinde,
taşeron veya tedarikçi sözleşmelerinde benzer kontrol şartları öne sürülmelidir. Proje yönetim
teknik ve kontrolleri, sistem geliştirme sürecinin – geliştirme faaliyetleri ister kurum
bünyesinde gerçekleştirilsin, isterse de dış kaynaklardan temin edilsin – bir parçası olmalıdır.
Yönetimin, projelerin zamanında ve bütçeye uygun tamamlanıp tamamlanmadığını ve
kaynakların etkin kullanılıp kullanılmadığını bilmesi gerekmektedir. Raporlama süreçleri,
yönetimin sistem geliştirme projelerinin mevcut durumundan haberdar olmasını ve bitmiş
ürün elde edildiğinde herhangi bir sürprizle karşılaşmamasını sağlamalıdır.11 Sistem geliştirme
veya edinme projelerinin değerlendirilmesi sırasında, IIA’nın yayımladığı GTAG 12: BT
Projelerinin Denetimi de göz önünde bulundurulmalıdır.
6.3.7 Uygulama Kontrolleri12
Uygulama sistemleri üzerindeki kontrollerin amaç ve hedefleri aşağıdaki gibidir:
• Girdi verilerinin tümünün kesin, eksiksiz, izinli ve doğru olması.
• Tüm verilerin amaçlanan şekilde işlenmesi.
• Saklanan tüm verilerin doğru, kesin ve eksiksiz olması.
• Tüm çıktıların doğru, kesin ve eksiksiz olması.
• Verilerin girilmesinden saklanmasına ve nihai çıktı evrasine kadar veri işlemlerinin
izlenmesi için bir kaydın tutulması.
Uygulama kontrollerinin gözden geçirilmesi eskiden beri uzman BT denetçisinin sorumluluk
alanına dâhildir. Ancak, artık uygulama kontrolleri iş kontrollerinin büyük bir kısmını teşkil
ettiğinden, her iç denetçinin ilgilenmesi gereken kilit konulardan biri olmalıdır.
Tüm uygulamalarda mevcut olması gereken birkaç genel (jenerik) kontrol türü bulunmaktadır.
• Girdi kontrolleri: Bu kontroller çoğunlukla, girdi kaynağı ister doğrudan personel, ister
uzaktan bir iş ortağı ya da bir web tabanlı uygulama olsun, bir iş uygulamasına girilen
verilerin tamlığının kontrol edilmesi için kullanılır. Veri girişi, belirtilen parametreler
içerisinde kalmasının sağlanması için kontrol edilir.
11 Bkz. IIA’nın yayımladığı GTAG 14: Kullanıcılar Tarafından Geliştirilen Uygulamaların Denetimi.12 Bkz. IIA’nın yayımladığı GTAG 8: Uygulama Kontrollerinin Denetimi.
• İşleme faaliyeti kontrolleri: Bu kontroller işleme faaliyetlerinin eksiksiz, kesin ve doğru
ve izinli olmasının sağlanması için otomatik araçlar sağlar.
• Çıktı kontrolleri: Bu kontroller verilerle ne yapıldığına yöneliktir. Bu kontrollerin elde
edilen sonuçları hedeflenen sonuçlarla karşılaştırmaları ve bunları veri girdileriyle
karşılaştırarak kontrol etmeleri gerekmektedir.
• Veri tamlığı kontrolleri: Bu kontroller verilerin tutarlı ve doğru kalmasının sağlanması
için işlenmekte olan ve/veya saklanan verileri görüntüleyip izleyebilirler.
• Yönetimin izleme kontrolleri: Çoğunlukla denetim izi olarak adlandırılan işlem geçmişi
kontrolleri, yönetimin yapılan işlemleri işlem kaynağından nihai sonuca kadar takip etmesini
ve sonuçlardan yola çıkarak bunların kaydettiği işlem ve olayları tanımlamak için geriye
doğru takip etmesini olanaklı kılar. Bu kontrollerin genel kontrollerin etkililiğini izleyip takip
etmek ve hataları kaynaklarına mümkün olduğunca yakın tanımlamak için yeterli olması
gerekmektedir.
6.4 Bilgi Güvenliği
Bilgi güvenliği13 BT kontrollerinin ayrılmaz bir parçasıdır. Bilgi güvenliği hem altyapı hem
de verilere uygulanır ve diğer BT kontrollerinin çoğu için güvenilirlik kaynağıdır. Kural dışı
durum kontrolleri BT’nin ve bazı proje yönetimi kontrollerinin finansal boyutuyla ilgili
kontrollerdir (örn. ROI – yatırım getirisi – ve bütçe kontrolleri gibi). Genel kabul görmüş bilgi
güvenliği unsurları şunlardır:
• Gizlilik: Gizli bilgiler yalnızca gerektiğinde ifşa edilmelidirler ve izinsiz açıklama veya
durdurma risklerine karşı korunmaldırlar. Gizlilik, mahremiyet hususlarını kapsamaktadır.
• Tamlık: Bilgilerin tamlığı verilen doğru ve eksiksiz olması anlamına gelmektedir. Tamlık,
finansal işleme ve raporlama güvenilirliğini kapsamaktadır.
• Erişebilirlik: Bilgiler, ihtiyaç duyuldukları yer, zaman ve şekilde, kuruma, kurumun
mşterilerine ve ortaklarına sağlanmaldıır. Erişilebilirlik, verilerde ve BT hizmetlerinde
meydana gelen kayıplardan, kesintilerden veya çökmelerden ve bilgilerin saklandığı yerde
meydana gelen bir yıkımdan sonra geri yükleme yapabilme yeteneğini de kapsar.
6.5 BT Kontrolleri Çerçevesi
Kurumların BT kullandığı 50 yılı aşkın bir süredir kontroller her zaman yeni sistem donanım
ve yazılımları için varsayılan şart olmamıştır. Kontrollerin geliştirilip kullanılmaları, tipik
olarak, sistemlerde ortaya çıkan risklerin ve bu tür zayıflıkları kulanan tehditlerin
tanınmasının ardından gerçekleşmiştir. Dahası, BT kontrolleri tüm sistemlerde veya bu 13 Refer to The IIA’s GTAG 15: Information Security Governance.
sistemleri kullanılan kurumlarda uygulanabilecek küresel çapta tanınmış hiçbir standartta
tanımlanmamaktdır.
Kontrol çerçevesi, bir BT çevresinin güvenliğini yeterince sağlamaya yönelik kontrollerin
kategorize edilmesi ve tanımlanmasının yapısal yoludur. Bu çerçeve formel (resmi) veya
informel (gayriresmi) olabilir. Formel bir yaklaşım, mevzuat ve anayasal şartlara tâbi
kurumlar için muhtelif mevzuat ve anayasal şartları daha kolay karşılayacaktır. Bir kontrol
çerçevesi seçme veya oluşturma sürecine, iş süreci sahipleri ve kontrolleri uygulamaktan
sorumlu tarafların da dâhil olduğu tüm ilgili taraflar müdahil olmalıdır. Kontrol çerçevesi tüm
kurum için geçerli olmalı ve tüm kurum tarafından kullanılmalıdır.
7. BT Denetim Yeterlilik ve Becerileri
UMUÇ’a göre, iç denetçilerin dört ilkeyi benimseyip savunmaları beklenmektedir: dürüstlük,
objektiflik, gizlilik ve yeterlilik. Yeterlilik ilkesi, iç denetçilerin yalnızca gerekli bilgi, beceri
ve deneyime sahip oldukları hizmetleri vermesini şart koşmaktadır. Dahası, IIA Özellik
Standardı 1210: Uzmanlık şunları belirtmektedir: “İç denetçilerin bireysel sorumluluklarını
yerine getirmeleri için gereken bilgi, beceri ve diğer yeterliliklere sahip olması gerekmektedir.
iç denetim biriminin tamamının sorumluluklarını yerine getirmek için gereken bilgi, beceri ve
diğer yeterliliklere sahip olması veya bunları elde etmesi gerekmektedir.”
İç denetçilerin kendilerine verilen görevlerin (angajman) tamamını veya bir bölümnü ifa
etmek için gereken bilgi, beceri veya diğer yeterliliklere sahip olamması hâlinde, İDY’nin
uzman tavsiye ve yardımı elde etmesi gerekmektedir. İç denetim biriminde muhafaza edilecek
gerekli yeterliliklerin tanımlanmasına yardımcı olması için, IIA bir Entegre Yeterlilik
Çerçevesi sunmaktadır. Bu yaklaşım, tanımlanan kurumsal riskleri ilgili BT süreçleriyle
eşleştirir. Dolayısıyla, İDY’nin tespit edilen kurumsal riskler üzerindeki kontrollerin
etkililiğinin denetlenmesi için hangi tür ve düzeyde BT beceri ve yeterliliklerinin gerektiğini
bilmesi gerekmektedir. Aşağıdaki tabloda kurumsal riskler ve gereken BT kontrollerinin yanı
ısra denetlemenin gerçekleştirilmesi için gereken beceriler/yeterliliklerin de
haritalandırılmasına ilişkin birkaç örnek gösterilmektedir.
Kurumsal Risk BT Kontrolleri BT Beceri ve Yeterlilikleri
Bilgi Güvenliği Yönetimi Sağlam, makul bir güvenlik kontrolü
Güvenlik yönetimi; ağ, işletim sistemi, veritabanı ve uygulama düzeylerinde erişim kontrolleri
Kritik iş kesintisi Kritik iş uygulamalarının erişilebilirliğinin sağlanması
BT fasilitelerinin (ağ altyapısı, işletim sistemleri, veritabanları ve uygulamalar gibi) iş sürekliliği ve olağanüst durumlardan (yıkım) sonra geri yükleme planlaması
Yanlış ve eksik finansal ve yönetim raporlaması
Veri gizlilik ve erişilebilirliğinin emniyet altına alınması and availability
Uygulama kontrolleri, değişiklik kontrolleri ve sistem geliştirme yaşam döngüsü (SDLC) kontrolleri.
İç denetim biriminin gereken BT beceri ve yeterliliklerine sahip olmaması hâlinde, İDY iç
denetim personelini desteklemek veya ekiskiliklerini tamamlamak için bir dış hizmet
sağlayıcısına başvurabilir (dışk veya eş kaynak kullanımı).14
8. Kontrol Çerçevesinin Kullanımı
14 Bkz. IIA Uygulama Rehberi 1210.A1-1: İç Denetim Biriminin Desteklenmesi veya İlgili Eksiğinin Tamamlanması İçin Dış Hizmet Sağlayıcılarının Kullanılması.
Her kurumun hangilerinin – veya hangi bölümlerinin – ihtiyaçlarına en iyi cevap verdiğini
belirlemesi için mevcut kontrol çerçevelerini incelemesi gerekmektedir. bir kontrol çerçvesi
seçme veya oluşturma sürecine kurum büyesinde kontrollere ilişkin doğrudan sorumlulukları
bulunan herkesin müdâhil olması gerekmektedir. İç denetim birimi bu çerçevenin yeterliliğini
değerlendirdikten sonra ilgili çerçeveyi iç denetimin işlerini planlama ve ifa etme
aşamalarında bir bağlam olarak kullanır.
İDY, BT kontrollerinin etkililik ve uygunluklarını değerlendirmek için BT risk hususlarına
ilişkin genel bir bilgi birikimine ihtiyaç duyar. İDY, iç denetim planını ve kaynakları yapısal
risk düzeylerinden ötürü dikkate değer BT alanları ve hususlarına yönlendirir. Risk analizi ve
değerlendirmesi, özellikle BT için uygulandıklarında, tek seferlik bir süreç olarak görülemez.
Teknoloji sürekli ve süratli bir şekilde değiştikçe onunla bağlantılı risk ve tehditler de aynı
şekilde değişmektedir. BT kontrollerinin kurumsal pozisyon, amaç ve işlevselliklerine göre
kategorize edilmesi kendi değer ve yeterliliklerinin yanı sıra iç kontrol sisteminin de
yeterliliğinin değerlendirilmesi açısından yararlıdır. Mevcut BT kontrollerinin genişliği ve
çeşitliliği, kontroller için tetikleyici güçler ve kurumsal rol ve sorumluluklar hakkında bilgi
sahibi olunması kapsamlı risk analiz ve değerlendirmeleri yapılabilmesine imkân tanır.
Kontrol etkililiğinin derlendirilmesinde, kontrollerin zorunlu veya gönüllü, isteğe bağlı veya
isteğe bağlı olmayan, manüel veya otomatik, birincil veya ikincil ve yönetimin baypasına tâbi
kontroller olup olmadığının anlaşılması da fayda sağlar.
Son olarak, BT kontrollerinin değerlendirilmesi sürecine test edilecek kilit kontrollerin
seçilmesi, test sonuçlarının değerlendirilmesi ve delillerin herhangi bir kontrol zfiyetine işaret
edip etmediklerinin belirlenmesi dâhildir. Ekte verilen kontrol listesi, iç denetim BT kontrol
değerlendirmeleri planlanıp yürütülürken tüm ilgili hususların göz önünde bulundurulmasını
sağlamaya yardımcı olabilir. Birkaç mevcut çerçeve ve yaklaşım, İDY ve iğer yöneticilere BT
kontrol gereksinimlerini belirlemede yardımcı olabilir. Ancak, kurumların hangisinin kendi
ihtiyaç ve kültürlerine uyduğunu belirlemek için yeterli sayıda çerçeveyi incelemeleri
gerekmektedir.
8.1 Bilgisayar Destekli Denetim Teknikleri ve Veri Analizinin Kullanımı
İDY’lerin BT risk çeversine ilişkin daha gerçek zamanlı bir perspektif kazanıp anormal
durumları tespit edebilmeleri için bilgisayar destekli denetim tekniklerini – özellikle de veri
analiz araçlarını – göz önünde bulundurmları gerekmektedir. Kurumların ve iç denetim
birimlerinin az imkânla çok şey başarmalarının gerektiği bir ortamda, veri analizi İDY’ye
kurum çapında erişilebilen tüm bilgilerden yararlanma ve risk değerlendime ve denetim
faaliyetlerinin odaklanması gereken muhtemel alanları tespit edebilme fırsatı verir. Veri
analizi, İDY’ye iç kontrollerin çalışma verimini süreki değerlendirmesi ve ortaya çıkan
(muhtemel) risklerin göstergelerini gözden geçirmesi için bir yaklaşım da sunabilir. Mevcut
veri analiz araçları bilgi denetimi ve büyük miktarda verinin verimli işlenmesi için
fonksiyonellik artışı sağlar. Ancak birkaç tane zorluk a mevcuttur: İDY’nin teknik beceriler
elde etmesi, veri analiz araçlarına erişmesi, raporlama/özetleme araçlarından faydalanması,
veri kaynaklarına erişmesi ve en yüksek kurumsal risklere odaklanan bir strateji geliştirmesi
gerekmektedir.
Sürekli denetim, veriler iç denetçi tarafından sürekli analiz edilip değerlendirildiğinden,
sürekli izlemeye benzer bir faaliyettir. Sürekli izleme biryönetim sorumluluk ve işlevini
temsil eder. İç denetim, sürekli izlemeyi test edebilir, gözden geçirebilir veya kullanabilir.
Konuyla ilgili daha detaylı bilgi için, bkz. IIA’nın yayımladığı GTAG 3: Sürekli Denetim:
Güvence, İzleme ve Risk Değerlendirme Mülahazaları.
8.2 Otomatik Risk Değerlendirme Yönteminin Kullanılması
İDY, risk değerlendirme etkinliğini güçlendirmek için sayısal puanlama veya detaylı risk
değerlendirmesine ihtiyaç olduğunu fark edebilir. Risk analiz sürecinin otomatize edilmesi
için belirli araçlar mevcuttur. Bu araçlar, diğer birçok faktörün yanında, risklerin
puanlanmasına, etkilerinin açıklanmasına ve olabilirliklerinin derecelndirilmesine imkân tanır.
Risk değerlendirme sürecinin otomatize edilmesi risklerin karşılaştırılıp önceliklendirilmesine
olanak tanır. Yapısalve artık risk faktörlerinin toplanması, İDY’ye sıcaklık haritaları veya
kurumun risk profilini karşılayan risk profilleri gibi özet bilgiler sunma imkânı verir. İç
denetim yönetiminin otomatize edilmesi kendi alanında başlı başına ayrı bir konu teşkil eder
ve bir fırsat alanı da risk değerlendirme sürecinin otomatize edilmesidir (örn. yönetime risk
derecelendirmelerini kaydetme imkânı tanımak için oylama araçlarının kullanılması).
Denetim BT Kontrollerine Ne Şekilde Katkı Sağlar?Geçtiğimiz birkaç onyılda, yönetim ve denetçilerin, bir denetim faaliyeti bir eksiklik veya hatayı ortaya
çıkardıktan sonra eklenmelerinden ziyade, uygun kontrollerin yeni sistemlere baştan entegre edilmesini
sağlamak için denetçilerin kontrol uzmanlıklarını sistem geliştirme süreçlerine ekleyerek kuruma değer
katabilecekleri konusunda uzlaşmaya vardıkları dönemler olmuştur. Bu faaliyetler ana akım denetim
çevresinde kontrol ve risk özdeğerlendirme alanlarındaki gelişmelerle aynı döneme denk gelmiştir.
Denetim danışmanlık hizmetleri ve risk odaklı denetim yaygınlaşmıştır. Siber saldırıların sayı ve şiddeti
arttıkça, 1990’lı yıllar ve sonrasında bilgi güvenliği yönetimine olan ilgide çarpıcı bir artış görülmüştür.
Bu gelişmeler BT denetçilerinin rollerinin şekillenmesine olduğu gibi iş dünyasının etkili bilgi güvenliği
yönetiminin önemini anlamasına da yardımcı olmuştur.
8.3 BT Kontrollerinin Raporlanması
İDY’lerin güvence görevlerinin sonuçları hakkında kilit konumdaki ilgililerle – örn. denetim
komitesis, üst düzey yönetici, düzenleyici otoriteler, dış denetçiler veya BSY gibi – letişime
geçmesi gerekmektedir. İDY’ler bir çok raporlama formatı kullanabilirler ve yaklaşımlar
güncellemelerden dengeli puan kartlarına (kurumsal karne) veya özel üst düzey yönetim
oturum sunumlarına kadar çeşitlilik gösterebilmektedir.
Yaklaşımlardan biri değerlendirme üzerinde basit güncellemelere başlanmasıdır. İDY’nin
öncelikle belirli kilit BT süreçleri üzerindeki yapısal risk düzeyini tayin etmesi gerekmektedir.
Bunu bir örnekle açıklamak gerekirse, İDY, BSY veya kilit konumdaki BT ilgililerine sistem
geliştirme, faaliyetler, iş süreklilik planlaması, ağ, bilgi güvenliği ve değişiklik
yönetimiüzerindeki yapısal riski sunabilir ve bunu doğrulayabilir. Yapısal risk çoğunlukla BT
stratejisine ve organizasyonuna bağlıdır. Bazı BT organizasyonları dış kaynaklı olabildikleri
gibi merkezi veya merkezi olmayan bir yapıya da sahip olabilirler. Güncellemeler, muhtelif
BT alanlarında denetim projeleri şekline bürünebilirler. İlgili güncelleme önemli bulguları
veya hususları içerebilir. Denetim önerilerinde kaydedilen ilerleme de BT güncellemesinin bir
parçası olabilir.
Diğer bir yaklaşım da bir kurumsal karne kullanılarak yapılan raporlamadır. Bu da BSY’nin
BT strateji ve faaliyetlerinin bir BT kurumsal karnesi kullanarak rapor etmesiyle örtüşür.
Kurumsal Karne Enstitüsü, BT faaliyetlerini dört perspektiften inceleyen bir şablon
sunmaktadır: finansal, iç iş süreci, öğrenme ve büyüme ve müşteri. İDY, Yönetim Kurulu,
denetim komitesi veya yönetim kadrosuna sunduğu rutin denetim raporunun bir parçası olarak
bir BT raporu sunduğunda, bu rapor genellikle bilgi güvenliği tehditleri, değişiklik yönetimi
kural dışı durumları, proje gelişim durumu, faaliyet tehdidi raporlama, sermaye harcama veya
kilit BT risk ve kontrollerini ölçen diğer parametreleri içerir. Bu tür bir yaklaşımın tek bir
formatta tüm risk ve kontrollere – kurumsal risk ve kontrollerden BT risk ve kontrolelrine
kadar – ilişkin bütünlüklü ve kapsamlı bir yaklaşım sağlaması gerekmektedir.
Bazı durumlarda İDY özel veya üst düzey yönetimin katıldığı bir oturum yapma ihtiyacı
hissedebilir. Bu tür bir rapor genellikle önemli konuları kapsar. Bir örnekle açıklamak
gerekirse, bu raporlar iç denetim ekibinin muhtelif denemelerin ardından istenilen verilere
erişememesi, kilit konumdaki BT ilgililerinin eksiksiz veya tam bilgi ifşasında bulunmaması
veya BT liderlerinin kilit öneme sahip icra kurulu toplantılarına iç denetçiyi almaması (örn.
yeterli sayıda boş koltuk bulunmaması gibi mazeretlerle) gibi konuları içerebilir. Özel bir
oturumun diğer bir zorluğu da BSY desteğinin alınamamasıdır. Bu “üst yönetim tavrı” (tone
at the top) yanlış bir kurumsal kültür yerleşmesine, hatta risk çözüm sürecinin sekteye
uğramasına veya kilit BT kontrollerinin izlenmeden yürütlmesine neden olabilir.
9. Varılan Sonuçlar
BT risk ve kontrollerinin değerlendirilmesi – hem yeni hem de deneyimli İDY’ler açısından –
BT ortamının ve bunun kurumsal risk yönetimindeki öneminin anlaşılması sürcindeki ilk
adımlardan biridir. Bu GTAG’in okunup uygulamaya konması İDY’ler ve iç denetçilere BT
riskleri ve ilgili kontrolleri yeterli düzeyde anlamak onusunda bir kılavuz görevi görecektir.
Bu sayede, İDY kilit onumdaki ilgililerle BT risk ve kontrollerine ilişkin tartışma ve
oturumları yönlendirebilecektir.
Bir sonraki adım olan BT yönetişiminin değerlendirilip anlaşılması, İDY’ye BT ortamında
kimin neyden sorumlu olduğunu ve BT liderlerinin (diğer iş liderleriyle işbirliği içerisinde)
BT stratejisini ne şekilde kullandığını tespit etme imkânı verir. Bu bağlamda, İDY’lerin IIA
Standardı 2110.A2’nin “BT yönetişiminin değerlendirilmesi”ni öngördüğünü unutmamaları
gerekmektedir. Bu dokümanın 3.Bölümünde (İç Paydaşlar ve BT Sorumlulukları) kilit rol ve
sorumluluklara ilişkin kullanışlı bir özet sunulmaktadır.
İDY’nin BT yönetişimini değerlendirmesinin ardından, BT risklerinin analiz edilmesi süreç
dâhilinde makul bir adımdır. Ancak ne yazık ki, Bt risklerinin analiz edilmesi için genel kabul
görmüş bir ontrol listesi mevcut değildir. Her kurum – yapısı ve iş hacminin gerektirdiği
şekilde – farklı teknolojik altyapılar, uygulamalar ve ara yüzlerle çalışır ve BT staratejisine
ulaşmak çin farklı politikalar kullanır. İDY’nin risk analizini ISO 31000 Risk Yönetim
Standardizasyonu’nda belirtilen bir metdoloji gibi yapısal bir metodoloji kullanarak ve genel
kurumsal risk bağlamında kilit konumdaki BT liderlerinden (örn. BSY vey diğer üst düzey
yöneticiler gibi) edindiği bilgilerden faydalanarak gerçekleştirmesi gerekmektedir. sağlam ve
karşılıklı güvene dayalı ilişkilerin kurulması yapısal ve artık risklerin analizinde şeffaflığa
olanak sağlayackatır.
BT risklerinin analizine ilişkin birçok model ve yaklaşım bulunmaktadır ve İDY’nin de
çalıştığı kuruma en uygun modelleri seçmesi gerekmektedir. Kilit BT rol ve
fonksiyonlarından bazıları bu belgenin 6. Bölümünde (BT Kontrollerinin Öneminin
Anlaşılması) detaylarıyla anlatılmaktadır. İDY BT risk düzeylerini derecelendirerek genel
denetim planına nelerin dâhiledileceğine karar verir.
İDY’nin genel denetim planına bağlı olarak hangi teknik beceri ve yeterliliklerin gerektiğini
tespit edip değerlendirmesi gerekmektedir. İDy, bir yukarıdan aşağıya (top-down) ve risk
odaklı yaklaşım benimsemede IIA’nın yayımladığı GAIT Metdolojisini göz önünde
bulundurabilir. Bazı uzmanların ise tam zamanlı çalıştırılması her zaman maliyet-etkin bir
seçenek olmayabilir. İDY’ler kurum bünyesinde geliştirilmiş becerilerden, kiralanmış
becerilerden veya dış hizmet sağlayıcılarından yararlanabilir. Eş kaynak kullanımı her
büyüklükteki kurumlara dış kaynaklardan temin edilen uzman hizmeti kullanma ve en son BT
tendleri ile risk etikisine ilişkin perspektif kazanma fırsatı verir.
BT risk ve kontrollerinin değerlendirilmesi dikkatli ve organize bir plan gerektirir. İDY’lerin
profesyonel bir işin yapılması için yeterli zaman ve beceri kaynağı planlamaları ve sürekli
analiz için sürdürülebilir bir süreç oluşturmaları gerekmektedir.
10. Yazarlar ve Kontrol Edenler
Yazarlar:
Steve Mar, CFSA, CISA
Rune Johannessen, CIA, CCSA, CISA
Stephen Coates, CIA, CGAP, CISA
Karine Wegrzynowicz, CIA
Thomas Andreesen, CISA, CRISC
Kontrol Edenler:
Steve Hunt, CIA
Steve Jameson, CIA, CCSA, CFSA, CRMA
Diğer Emeği Geçenler:
Dragon Tai, CIA, CCSA
11. Ek: BT Kontrol Çerçevesi Kontrol Listesi
İDY’ler, kurumun tüm kontrol unsurlarını dikkate aldığından emin olmak için kullandıkları
BT kontrol çerçevelerini kontrol etmek için bu kontrol listesini kullanabilirler. Bu kontrol
listesi, İDY’lere ilgili konuları anlamalarında ve iç denetimin kontrol alanlarının tümüne
eğilmesi için planlama yapmalarında yardımcı olabilir.
FAALİYETLER SORULAR
1. Aşağıdakiler de dâhil olmak üzere, kurumun BT kontrol çevresini tanımlayınız:
a. Değerler.
b. Felsefe.
c. Yönetim tarzı.
d. BT farkındalığı.
e. Organizasyon.
f. Politkalar.
g. Standartlar.
• BT kontrollerine duyulan ihtiyacı tanımlayan kurumsal politika ve standartlar mevcut mu?
2. Aşağıda belirtilen BT kontrolünü etkileyen ilgili mevzuat ve tüzüğü tanımlayınız.
a. Yönetişim. b. Raporlama.
c. Veri koruma.
d. Mevzuata uyum.
• BT kontrollerine duyulan ihtiyacı etkileyen ne gibi tüzük veya mevzuat mevcuttur?
• Yönetim bu mevzuata uyumu sağlamak için gereken adımları attı mı?
3. BT kontrolleri için aşağıdakilerle ilgili rol ve sorumlulukları tanımlayınız:
a. Yönetim Kurulu.
i. Denetim komitesi.
ii. Risk komitesi.iii. Yönetişim komitesi. iv. Finans komitesi.
b. Yönetim. i. CEO.
ii. CFO ve kontrolör. iii. BSY.iv. Güvenlik Yöneticis (CSO). v. Bilgi Güvenliği Yöneticisi (BGY – CISO).vi. Risk Yöneticisi (RY)
c. Denetim.i. İç denetim. ii. Dış denetim.
• BT kontrolleri için ilgilisorumlulukların tümü münferit rollere dağıtıldı mı?
• Sorumluluk dağılımı, görevler ayrılığı ilkesinin uygulanması gerekliliğine uygun mu?
• BT sorumlulukları dokümante ediliyor mu?
• BT kontrol sorumlulukları tüm kuruma bildiriliyor mu?
• Bireyler BT kontrolleriyle ilişkili sorumluluklarını açık ve net bir şekilde idrak edebiliyor mu?
• Birelyerin sorumluluklarını yerine getirdiğine ilişkin ne gibi deliler mevcut?
• İç denetim birimi BT kontrol hususlarına eğilinmesi için yeterli sayıda BT denetim uzmanı çalıştırıyor mu?
FAALİYETLER SORULAR
4. Risk değerlendirme sürecini tanımlayınız.
Aşağıdaki konulara eğiliyor mu?
a. Risk iştahı
b. Risk toleransı
c. Risk analizi
d. Risklerin BT kontrolleriyle eşleştirilmesi
• Kurumun risk iştahı ve toleransı nasıl belirlenir?
• Kurumun risk iştahı ve toleransı Yönetim Kurulu düzeyinde mi belirlenip tasdikedilir?
• Risk iştahı ve toleransı BT kontrolüyle ilişkili herhangi bir sorumluluğu olan bireyler tarafından açıkça idrak edilip anlaşılıyor mu?
• Kurum formel (resmi) bir risk analiz süreci mi kullanıyor?
• İlgili süreç BT kontrolünden sorumlu olan tüm bireyler tarafından anlaşılıyor mu?
• İlgili süreç kurum çapında sürekli ve tutarlı bir şekilde kullanılıyor mu?
5. Aşağıdakiler de dâhil tüm izleme süreçlerini tanımlayınız.a. Düzenleyici.b. Normal şirket-içi.c. İç denetim haricindekiler.
• İç politika ve standartlara ek olarak ilgili mevzuata uyumun takip edilmesi için ne gibi süreçler mevcuttur?
• Yönetim iç denetimden başka izleme süreçlerinden de yararlanıyor mu?
6. Aşağıdaki bilgi ve iletişim mekanizmalarını tanımlayınız:
a. Kontrol bilgisi.
b. Kontrol başarısızlıkları.
• BT güvenliğiyle ilgili olarak Yönetim Kurulu’na, onun komitelerine ve yönetim kadrosuna ne gibi ölçüt ve parametreler sunulmaktadır?
• Yönetim Kurulu ve yönetim kadrosuna başka hangi raporlar sunulmaktadır?
• BT kontrol başarısızlıkları her meydana geldiğinde yönetime konuyla ilgili rapor sunuluyor mu?
• Yönetim Kurulu ve onun komitelerine de BT başarısızlıklarıyla ilgli benzer raporlar sunuluyor mu?
UMUÇ Hakkında
Uluslararası Mesleki Uygulamalar Çerçevesi (UMUÇ), İç Denetim Enstitüsü tarafından
yayımlanan otorite niteliğinde bir kılavuzu oluşturan kavramsal çerçevedir. UMUÇ rehberleri
aşağıdakileri kapsamaktadır:
Zorunlu Rehberİçdenetim mesleki uygulaması için zorunlu rehberde belirtilen ilkelere uyulması gerekli ve esastır. Zorunlu rehber, ilgili kişilerden girdi alınması için bir halka arz periyodunu da içeren yerleşik ve itinalı bir süreç izlenerek geliştirilir. UMUÇ’un üç zorunlu unsuru İç Denetimin Tanımı, Etik Kuralları ve İç Denetim Mesleki Uygulaması için Uluslararası Standartlar (Standartlar) olarak belirlenmiştir.
Unsur Tanımı
Tanım İç Denetimin Tanımı, iç denetimin temel amaç, yapı ve kapsamını belirtir.
Etik Kuralları Etik Kuralları, kişi ve kurumların iç denetim faaliyetlerini yürütürken sergiledikleri davranışları belirleyen ilke ve beklentileri belirtir. Spesifik faaliyetlerden ziyade, davranış kuralarına ilişkin asgari gereklilikleri ve davranışsal beklentileri açıklar.
Uluslararası Standartlar Standartlar ilke odaklıdırlar ve iç denetimin gerçekleştirilip teşvik edilmesi için bir çerçeve sunarlar. Standartlar aşağıdakilerden müteşekkil zorunlu gerekliliklerdir:
• İç denetim mesleki uygulaması için ve bunun yürütülmesinin etkililiğinin değerlendirilmesi için temel gerekliliklerin belirten beyanlar. Bu gereklilikler kurumsal ve bireysel düzeylerde uluslararası çapta uygulanabilir şartlardır.• İlgili beyanlardaki terim ve kavramları açıklığa kavuşturan açıklamalar.
Standartların doğru anlaşılıp uygulanabilmesi için hem ilgili beyanların hem de bunlara ilişkin şerhlerin (yorumlamaların) göz önünde bulundurulması gerekmektedir. Standartlarda, Sölükçe bölümünde yer alan spesifik anlamlar yüklenmiş terimler kullanılır.
Önemle Tavsiye Edilen RehberÖnemle tavsiye edilen rehber, IIA tarafından bir takım resmi onay süreçlerinden geçirildikten sonra tasdik edilir. IIA’nın İç Denetim Tanımı, Etik Kuralları ve Standarlarının etkili bir şekilde uygulanabilmeleri için gerekli uygulamaları açıklar. UMUÇ’un önemle tavsiye edilen üç unsuru Makaleler, Uygulama Önerileri ve Uygulama Kılavuzlarıdır.
Unsur Tanımı
Makaleler Makaleler, içdenetim mesleğine vakıf olmayanların da dâhil olduğu çok geniş bir ilgili kişi kitlesine önemli yönetişim, risk veya kontrol hususlarının anlaşılması ve iç denetimin ilgili rol ve sorumluluklarının tasviri konularında yardımcı olur.
Uygulama Önerileri Uygulama Önerileri, iç denetçilere İç Denetim Tanımı, Etik Kuralları ve Standartlar unsurlarını uygulama ve iyi uygulamaları teşvik etme konularında yardımcı olur. Uygulama Önerileri, süreç veya prosedürleri detaylandırmak yerine iç denetimin yaklaşımı, metodolojileri ve mülahazalarına odaklanırlar. Şunlara ilişkin uygulamaları içerirler: uluslararası hususlar veya ülke ya da sektöre özel hususlar, spesifik görev (angajman) türleri ve yasal veya mevzuatla ilgili hususlar.
Uygulama Kılavuzları Uygulama Kılavuzları, iç denetim faaliyetlerinin yürütülmesi için detaylı rehber görevi görürler. Araç ve teknikler, programlar ve adımsal (adım adım) yaklaşımlar ve ayrıca teslim edilmesi gereken ürünlerin örnekleri gibi detaylı süreç ve prosedürleri içerirler.
Bu GTAG, UMUÇ kapsamında bir Uygulama Kılavuzudur.
Diğer otorite niteliğindeki rehberlik materyalleri için lütfen www.theiia.org/guidance-standards adresini ziyaret
ediniz.
Enstitü Hakkında
1941 yılında kurulan Uluslararası İç Denetim Enstitüsü (IIA), uluslararası merkezi Altamonte
Springs, Fla., ABD adresinde bulunan bir uluslararası meslek kurumudur. IIA, iç denetim
mesleğinin küresel temsilcsi, tanınmış otoritesi, onaylı lideri, baş savunucusu ve birincil
eğitim merkezidir.
Uygulama Kılavuzları Hakkında
Uygulama Kılavuzları, iç denetim faaliyetlerinin yürütülmesi için detaylı rehber görevi
görürler. Araç ve teknikler, programlar ve adımsal (adım adım) yaklaşımlar ve ayrıca teslim
edilmesi gereken ürünlerin örnekleri gibi detaylı süreç ve prosedürleri içerirler. Uygulama
Kılavuzları, IIA tarafından yayımlanan UMUÇ’un bir parçasıdır. Kılavuzun Önemle Tavsiye
Edilen kategorisinin bir parçası olarak, bu kılavuzlara uyulması zorunlu olmasa da önemle
tavsiye edilir ve ilgili kılavuz bir dizi formel (resmi) gözden geçirme ve onay sürecinden
geçtikten sonra IIA tarafından tasdik edilir.
Global Teknolojiler Denetim Kılavuzu (GTAG), bilgi teknolojileri yönetim, kontrol veya
güvenliğiyle ilişkili güncel bir konuya değinmek için açık ve özlü bir mesleki dil kullanılarak
yazılmış bir Uygulama Rehberi türüdür.
IIA tarafından yayımlanan diğer otorite niteliğinde rehberlik materyalleri için lütfen
www.globaliia.org/standards-guidance adresini ziyaret ediniz.
Uyarı
IIA bu belgeyi yalnızca bilgi ve eğitim amacıyla yayımlamaktadır. Bu kılavuz materyalinde
öznel muhtelif durum ve olaylara kesin cevaplar verme amacı güdülmemiş olup, bu
materyalin yalnızca bir kılavuz olarak kullanılması amaçlanmıştır. IIA, doğrudan herhangi bir
öznel durumla ilgili olarak her zaman için bağımsız uzman tavsiyelerine başvurulmasını
önermektedir. IIA, bu kılavuzu tek dayank noktası olarak kabul eden hiç kimse için
sorumluluk kabul etmez.
Telif Hakları
Telif Hakkı ® 2012 İç Denetim Enstitüsü.
Yeniden basım izni için lütfen guidance@theiia.org adresinden IIA ile irtibata geçiniz.
Recommended