01

Bilgi Sistemleri Yönetişimi ve Strateji

▾

• BS Yönetişimi vs Yönetim: Yönetişim (Governance) — paydahların ihtiyaçlarını değerlendirip yön belirleme ve performans izleme (üst yönetim/yönetim kurulu sorumluluğu). Yönetim (Management) — yönetişim tarafından belirlenen hedeflere ulaşmak için faaliyetleri planlama, yürütme ve izleme (yöneticiler sorumluluğu).
• BS Stratejisi: İşletmenin genel stratejisiyle uyumlu, uzun vadeli bilgi sistemleri hedefleri. Strateji belirleme: durum analizi → seçenekler → karar → uygulama → değerlendirme.
• BS Yönlendirme Komitesi: Üst yönetim, iş birimleri ve BS liderlerinden oluşur. BS stratejisi ve bütçe kararları, projelerin önceliklendirilmesi, performans izleme.
• Bilgi Güvenliği Yönetişimi: Gizlilik (Confidentiality), Bütünlük (Integrity), Erişilebilirlik (Availability) — CIA üçgeni. Bilgi güvenliği politikaları üst yönetim tarafından onaylanır.
• Kurumsal mimari: İş mimarisi, işlevsel mimari, veri/bilgi mimarisi, teknik mimari katmanlarından oluşur. TOGAF, Zachman gibi çerçeveler kullanılır.

02

Bilgi Sistemleri Yönetimi — Organizasyon ve Roller

▾

• CIO (Chief Information Officer): BS'den sorumlu üst düzey yönetici. BS stratejisini iş stratejisiyle uyumlaştırır, BS bütçe ve kaynaklarını yönetir.
• Görevler Ayrılığı (Segregation of Duties — SoD): Tek bir kişinin bir işlemi baştan sona yürütememesi — hata ve sahtekârlığı önler. İşlem başlatma, yetkilendirme ve kaydetme farklı kişilerde olmalı.
• BS Fonksiyonları: Uygulama geliştirme, sistem operasyonları, ağ/altyapı yönetimi, bilgi güvenliği, kullanıcı desteği (help desk), veritabanı yönetimi.
• Risk Yönetimi adımları: Belirleme → Analiz → Değerlendirme → Yanıt (kabul, azaltma, transfer, kaçınma) → İzleme. Risk = Tehdit × Açıklık × Varlık Değeri.
• Kalite Yönetimi: CMMI, ISO 9001. Kalite güvencesi (süreçlerin doğruluğu) ile kalite kontrolü (ürünlerin test edilmesi) ayrımı.
• Dış Kaynak (Outsourcing): Risk: bağımlılık, veri güvenliği, kontrol kaybı. Hizmet Seviye Anlaşması (SLA — Service Level Agreement) zorunlu. İşletme dış kaynakları denetleme sorumluluğunu devredemez.

03

Bilgi Sistemleri Denetimi — Kavramlar ve Denetim Türleri

▾

• BS Denetimi tanımı (ISACA): Bilgisayar sisteminin varlıklarının korunup korunmadığını, veri bütünlüğünün sağlanıp sağlanmadığını, sistem hedeflerinin gerçekleştirilip gerçekleştirilmediğini ve kaynakların etkin kullanılıp kullanılmadığını değerlendirme.
• Denetim türleri: Finansal (mali tablolar), uyum (mevzuat), faaliyet/performans, BS denetimi (genel kontroller + uygulama kontrolleri). Ayrıca: çağdaş (concurrent), paralel simülasyon, gömülü denetim modülleri.
• Kontrol alanları: Genel BS Kontrolleri (ITGC — IT General Controls): erişim kontrolü, değişim yönetimi, yazılım geliştirme, iş sürekliliği. Uygulama Kontrolleri: girdi, işleme, çıktı kontrolleri.
• Kontrol türleri: Önleyici (preventive), tespit edici (detective), düzeltici (corrective). Ayrıca: manuel, otomatik, fiziksel, mantıksal.
• Denetimde Önemlilik ve Risk: Doğal risk (inherent), kontrol riski (control), tespit riski (detection). Denetim riski = Doğal risk × Kontrol riski × Tespit riski.

04

BS Denetim Faaliyeti — Planlama, Uygulama ve Raporlama

▾

• Denetim planlaması: Kapsam ve amaçlar belirleme, risk değerlendirmesi, kaynak tahsisi, denetim programı hazırlama. Risk tabanlı planlama — yüksek riskli alanlar önceliklendirilir.
• Kanıt toplama yöntemleri: Mülakat, gözlem, doküman incelemesi, yeniden gerçekleştirme (reperformance), analitik prosedürler, bilgisayar destekli denetim araçları (CAAT — Computer Assisted Audit Tools).
• Örnekleme türleri: İstatistiksel örnekleme (rastgele, sistematik, katmanlı), istatistiksel olmayan. Örnekleme riski: örnek sonucunun kitle için yanıltıcı olma ihtimali.
• Denetim raporu unsurları: Amaç ve kapsam, metodoloji, bulgular, risk derecelendirmesi (yüksek/orta/düşük), öneriler, yönetim yanıtları.
• BS Bağımsız Denetim Görüşü türleri: Olumlu, şartlı, olumsuz, görüş vermekten kaçınma.

05

SPK (sermaye piyasası kurulu) Tebliğleri — BS Yönetimi ve Denetimi

▾

• BSYUE (VII-128.10) — BS Yönetimine İlişkin Usul ve Esaslar: Halka açık şirketler ve sermaye piyasası kurumları için BS yönetim gereklilikleri. BS politikaları, risk yönetimi, iş sürekliliği, değişim yönetimi, erişim kontrolü zorunlulukları.
• BSBD Tebliği (III-62.2) — BS Bağımsız Denetimi: BS bağımsız denetim kuruluşlarının yetkilendirilmesi, faaliyete ilişkin genel esaslar, denetim metodolojisi, raporlama. Genel BS kontrolleri ve uygulama kontrolleri denetim kapsamında.
• Bağımsız Denetim Standartları (Seri:X, No:22): Denetime tabi işletmeler, bağımsız denetçi nitelikleri, bağımsızlık ilkeleri, denetim sözleşmesi, raporlama standartları.
• Bağımsızlık ilkeleri: Fikir bağımsızlığı (independence in mind) ve görünürde bağımsızlık (independence in appearance). Bağımsızlığı tehdit eden durumlar: öz inceleme, savunuculuk, yakınlık, yıldırma, kişisel çıkar.
• Diğer düzenleyiciler: BDDK (bankalar), SEDD (güçlendirilmiş durum tespiti)K (sigorta/emeklilik), GİB (e-defter), TCMB (türkiye cumhuriyet merkez bankası). Her sektör için BS denetim gereklilikleri farklı.

06

Uluslararası Çerçeveler — COBIT, ISO 27001, ITIL

▾

• COBIT 2019 (Control Objectives for Information and Related Technology): ISACA tarafından geliştirilmiş BS yönetişim ve yönetim çerçevesi. 6 temel ilke: paydaş ihtiyaçlarını karşılama, uçtan uca kurumsal yönetişim, tek entegre çerçeve, bütünleşik yaklaşım, yönetişim ve yönetimin ayrıştırılması, işletme ihtiyaçlarına uyarlama.
• ISO/IEC 27001: Bilgi Güvenliği Yönetim Sistemi (BGYS/ISMS) standardı. Plan-Do-Check-Act (PDCA) döngüsü. Güvenlik kontrolleri: fiziksel, mantıksal, organizasyonel. Sertifikasyon mümkün. ISO 27002: uygulama kılavuzu.
• ITIL (IT Infrastructure Library): BT hizmet yönetimi en iyi uygulama çerçevesi. Hizmet strateji, tasarım, geçiş, operasyon, sürekli iyileştirme. ITIL 4: hizmet değer sistemi (SVS).
• COSO: İç kontrol çerçevesi. Kontrol ortamı, risk değerlendirmesi, kontrol faaliyetleri, bilgi ve iletişim, izleme. Enterpirse Risk Management (ERM) çerçevesi de COSO kapsamında.
• ISA (Uluslararası Denetim Standartları): IAASB tarafından yayınlanan denetim standartları. Türkiye'de KGK (kamu gözetimi kurumu) tarafından benimsendi. ISA 315 (risk değerlendirmesi), ISA 330 (risk yanıtları).

07

BS Kontrolleri — Erişim, Değişim ve Uygulama Kontrolleri

▾

• Mantıksal erişim kontrolleri: Kimlik doğrulama (şifre, token, biyometri), yetkilendirme (rol tabanlı erişim — RBAC), hesap yönetimi (oluşturma, değiştirme, silme, gözden geçirme). Least privilege (en az yetki) ilkesi.
• Değişim yönetimi (Change Management): Onaysız değişiklikleri önler. Adımlar: istek → analiz → onay → test → uygulama → dokümantasyon. Acil değişim (emergency change) ayrı süreç.
• Yazılım geliştirme (SDLC): Sistem geliştirme yaşam döngüsü. Aşamalar: analiz, tasarım, geliştirme, test, geçiş, bakım. Şelale, çevik (agile), DevOps modelleri.
• Uygulama kontrolleri: Girdi kontrolleri (edit check, doğrulama, yetkilendirme), işleme kontrolleri (tutarlılık, bütünlük), çıktı kontrolleri (dağıtım, mutabakat). Hash totals, kayıt sayıları, kontrol toplamları.
• İş sürekliliği / Felaket kurtarma: BCP (Business Continuity Plan) ve DRP (Disaster Recovery Plan). RTO (Recovery Time Objective), RPO (Recovery Point Objective). Yedekleme: tam, artımlı, fark.

08

Etik İlkeler — ISACA ve Bağımsız Denetçiler

▾

• Bağımsız denetçiler için temel etik ilkeler (5): Dürüstlük, Tarafsızlık, Mesleki yeterlilik ve özen, Gizlilik, Mesleki davranış.
• Bağımsızlık tehditleri: Öz inceleme tehdidi (kendi çalışmasını denetleme), savunuculuk (müşteri çıkarlarını temsil), yakınlık (kişisel ilişki), yıldırma (baskıya maruz kalma), kişisel çıkar (finansal çıkar). Her tehdit için güvence önlemleri alınmalı.
• ISACA Etik Kuralları (CISA için): Meslekle ilgili tüm faaliyetlerde dürüstlük ve tarafsızlık. Gizli bilgileri yetkisiz kişilerle paylaşmama. Kişisel çıkar için konumunu kötüye kullanmama. Yasalara ve mesleki standartlara uyma. Mesleki gelişime devam etme.
• Çıkar çatışması: Denetçinin müşterisi veya denetim konusuyla kişisel/finansal çıkar ilişkisi. Açıklama yükümlülüğü ve çekilme.

Bu sayfada Bilgi Sistemleri Yönetimi ve Denetimi konusunu 8 ana başlık altında inceleyebilirsiniz. Konu, Bilgi Sistemleri Bağımsız Denetim Lisansı sınavının önemli bölümlerinden birini oluşturmaktadır. Özeti okuduktan sonra 100 açıklamalı soru ile kendinizi test edebilirsiniz.

• Bilgi Sistemleri Yönetişimi ve Strateji
• Bilgi Sistemleri Yönetimi — Organizasyon ve Roller
• Bilgi Sistemleri Denetimi — Kavramlar ve Denetim Türleri
• BS Denetim Faaliyeti — Planlama, Uygulama ve Raporlama
• SPK (sermaye piyasası kurulu) Tebliğleri — BS Yönetimi ve Denetimi