Deneyiminizi iyileştirmek, site trafiğini analiz etmek ve reklamları kişiselleştirmek için çerezler kullanıyoruz.
Detaylar için Gizlilik Politikası'nı inceleyebilirsiniz.
Bilgi Sistemleri: İşletmelerde planlama, kontrol, analiz ve karar verme süreçlerini desteklemek amacıyla veri toplayan, işleyen ve dağıtan; donanım, yazılım ve en kritik unsuru olan insan gücünden oluşan bütüncül sistemlerdir.
Bilgi Sistemleri Yönetişimi: Bilgi sistemlerini işletme stratejileriyle uyumlu hale getiren, riskleri yöneten ve kaynakları etkin kullanarak işe değer katmayı hedefleyen, kurumsal yönetimin bir alt kümesi olan süreçler bütünüdür.
Misyon: Bir işletmenin kuruluş amacını, neden var olduğunu, kimlere hizmet verdiğini ve temel faaliyet alanını tanımlayan, kurumsal kimliğin temelini oluşturan ve tüm çalışanlarca bilinmesi gereken yazılı ifadedir.
Vizyon: İşletmenin gelecekte ulaşmak istediği pozisyonu ve rolü ifade eden, genellikle beş yıllık bir zaman dilimini kapsayan ve dış çevre değişimlerine göre belirli aralıklarla güncellenebilen uzun vadeli hedeftir.
Strateji: İşletmenin vizyonuna ulaşmak için izleyeceği, üst yönetim tarafından geliştirilen, kurum kültürünü ve kaynaklarını dikkate alan, ortalama 3 ila 5 yıllık süreyi kapsayan dinamik ve esnek yol haritasıdır.
Temel Yetkinlik: İşletmeye rekabetçi üstünlük sağlayan; müşteri yararı, rakiplerden farklılaşma ve farklı alanlarda uygulanabilirlik özelliklerini bir arada barındıran, stratejinin temelini oluşturan beceriler bütünüdür.
Gelişme Vektörü: İşletmenin etkinlik alanını belirledikten sonra, mevcut veya yeni ürün ve hizmetlerle hangi pazarlara yöneleceğini ve hangi yönde büyüme sergileyeceğini yönetime açıklayan stratejik bir göstergedir.
Sinerji: İşletmenin sahip olduğu araç ve kaynakların hangi alanlarda başarılı olacağını belirleyen, parçaların toplamından daha büyük bir değer yaratılmasını ifade eden stratejik bir öğedir.
Bilgi Sistemleri Stratejisi: Bilgi sistemlerinin işletme hedeflerine nasıl destek vereceğini planlayan, üst yönetimin sorumlu olduğu ve mutlaka genel işletme stratejisiyle tam uyum içerisinde olması gereken fonksiyonel bir stratejidir.
Yeşil Bilişim (Green Computing): Bilgi teknolojilerinin çevreye verdiği zararı en aza indirmek amacıyla enerji tüketimi, atık yönetimi ve doğal kaynak kullanımı gibi alanlarda uygulanan çevreci ve sürdürülebilir bilişim yaklaşımlarıdır.
Kurumsal Yönetim: Şeffaflık ve hesap verebilirlik ilkeleri çerçevesinde, işletmenin hissedarlar, çalışanlar ve müşteriler gibi tüm paydaşlarıyla ilişkilerini düzenleyerek uzun vadeli ekonomik değer yaratılmasını sağlayan kurallar setidir.
Fonksiyon Stratejisi: Kurumsal stratejinin gerçekleşmesine belirli bir birim bazında nasıl destek verileceğini belirleyen, işletme stratejisinden bağımsız belirlenemeyen ve doğrudan ana stratejiye bağlı olan alt planlamadır.
Bilgi Sistemleri: Planlama, kontrol, analiz ve karar vermede kullanılmak üzere bilgiyi toplayan, işleyen, saklayan ve yayan ilişkili unsurlar bütünüdür.
İnsan Gücü: Bilgi sistemlerinin en önemli unsurudur; teknoloji bileşenlerine bütüncül anlam kazandırır.
Yönetişim (Kurumsal Yönetim): Şeffaflık, hesap verebilirlik ve etik değerler çerçevesinde paydaşlara değer yaratmayı amaçlayan kurallar setidir.
Misyon: İşletmenin varlık sebebidir; ne yaptığını ve kime hizmet ettiğini açıklar.
Vizyon: İşletmenin gelecekte kendini gördüğü yerdir; genellikle 5 yıllık bir hedefi kapsar.
Strateji: Vizyona ulaşmak için belirlenen, uzun vadeli, dinamik ve işletmeye özgü yol haritasıdır.
Bilgi Sistemleri Stratejisi: İşletme stratejisine bağlı, bilgi sistemlerinin iş hedeflerine nasıl destek vereceğini planlayan fonksiyonel stratejidir.
Sık Yapılan Hatalar
Stratejiyi sadece BT biriminin sorumluluğu olarak görmek (Aslında üst yönetimin sorumluluğundadır).
Vizyonu ilelebet değişmez bir metin sanmak (Dış çevreye göre güncellenmelidir).
Teknik başarıyı (sistemin çalışması), stratejik başarı (işe değer katma) ile karıştırmak.
Bilgi sistemlerini sadece donanım ve yazılımdan ibaret saymak (İnsan faktörü unutulmamalıdır).
Temel Kavramlar
Bilgi Sistemleri: İşletmelerde planlama, kontrol, analiz ve karar verme süreçlerini desteklemek amacıyla veri toplayan, işleyen ve dağıtan; donanım, yazılım ve en kritik unsuru olan insan gücünden oluşan bütüncül sistemlerdir.
Bilgi Sistemleri Yönetişimi: Bilgi sistemlerini işletme stratejileriyle uyumlu hale getiren, riskleri yöneten ve kaynakları etkin kullanarak işe değer katmayı hedefleyen, kurumsal yönetimin bir alt kümesi olan süreçler bütünüdür.
Misyon: Bir işletmenin kuruluş amacını, neden var olduğunu, kimlere hizmet verdiğini ve temel faaliyet alanını tanımlayan, kurumsal kimliğin temelini oluşturan ve tüm çalışanlarca bilinmesi gereken yazılı ifadedir.
Vizyon: İşletmenin gelecekte ulaşmak istediği pozisyonu ve rolü ifade eden, genellikle beş yıllık bir zaman dilimini kapsayan ve dış çevre değişimlerine göre belirli aralıklarla güncellenebilen uzun vadeli hedeftir.
Strateji: İşletmenin vizyonuna ulaşmak için izleyeceği, üst yönetim tarafından geliştirilen, kurum kültürünü ve kaynaklarını dikkate alan, ortalama 3 ila 5 yıllık süreyi kapsayan dinamik ve esnek yol haritasıdır.
Temel Yetkinlik: İşletmeye rekabetçi üstünlük sağlayan; müşteri yararı, rakiplerden farklılaşma ve farklı alanlarda uygulanabilirlik özelliklerini bir arada barındıran, stratejinin temelini oluşturan beceriler bütünüdür.
Gelişme Vektörü: İşletmenin etkinlik alanını belirledikten sonra, mevcut veya yeni ürün ve hizmetlerle hangi pazarlara yöneleceğini ve hangi yönde büyüme sergileyeceğini yönetime açıklayan stratejik bir göstergedir.
Sinerji: İşletmenin sahip olduğu araç ve kaynakların hangi alanlarda başarılı olacağını belirleyen, parçaların toplamından daha büyük bir değer yaratılmasını ifade eden stratejik bir öğedir.
Bilgi Sistemleri Stratejisi: Bilgi sistemlerinin işletme hedeflerine nasıl destek vereceğini planlayan, üst yönetimin sorumlu olduğu ve mutlaka genel işletme stratejisiyle tam uyum içerisinde olması gereken fonksiyonel bir stratejidir.
Yeşil Bilişim (Green Computing): Bilgi teknolojilerinin çevreye verdiği zararı en aza indirmek amacıyla enerji tüketimi, atık yönetimi ve doğal kaynak kullanımı gibi alanlarda uygulanan çevreci ve sürdürülebilir bilişim yaklaşımlarıdır.
Kurumsal Yönetim: Şeffaflık ve hesap verebilirlik ilkeleri çerçevesinde, işletmenin hissedarlar, çalışanlar ve müşteriler gibi tüm paydaşlarıyla ilişkilerini düzenleyerek uzun vadeli ekonomik değer yaratılmasını sağlayan kurallar setidir.
Fonksiyon Stratejisi: Kurumsal stratejinin gerçekleşmesine belirli bir birim bazında nasıl destek verileceğini belirleyen, işletme stratejisinden bağımsız belirlenemeyen ve doğrudan ana stratejiye bağlı olan alt planlamadır.
Bilgi Sistemleri: Planlama, kontrol, analiz ve karar vermede kullanılmak üzere bilgiyi toplayan, işleyen, saklayan ve yayan ilişkili unsurlar bütünüdür.
İnsan Gücü: Bilgi sistemlerinin en önemli unsurudur; teknoloji bileşenlerine bütüncül anlam kazandırır.
Yönetişim (Kurumsal Yönetim): Şeffaflık, hesap verebilirlik ve etik değerler çerçevesinde paydaşlara değer yaratmayı amaçlayan kurallar setidir.
Misyon: İşletmenin varlık sebebidir; ne yaptığını ve kime hizmet ettiğini açıklar.
Vizyon: İşletmenin gelecekte kendini gördüğü yerdir; genellikle 5 yıllık bir hedefi kapsar.
Strateji: Vizyona ulaşmak için belirlenen, uzun vadeli, dinamik ve işletmeye özgü yol haritasıdır.
Bilgi Sistemleri Stratejisi: İşletme stratejisine bağlı, bilgi sistemlerinin iş hedeflerine nasıl destek vereceğini planlayan fonksiyonel stratejidir.
Bilgi Sistemleri Stratejisi: İşletme hedeflerine ulaşmak için bilgi sistemleri önceliklerini belirleyen, kurumsal stratejiye doğrudan bağlı ve üst yönetimin sorumluluğunda olan bir fonksiyon stratejisidir.
Fonksiyon Stratejisi: Kurumsal stratejinin gerçekleşmesine belirli bir birimde nasıl destek verileceğini cevaplayan, bağımsız belirlenemeyen ve doğrudan işletme stratejisine bağlı olan strateji türüdür.
Boşluk Analizi: Bilgi sistemleri stratejisi geliştirme sürecinde, işletmenin mevcut teknolojik durumu ile varmak istediği hedef arasındaki farkların belirlenmesi amacıyla yapılan çalışmadır.
Paydaş: İşletmenin faaliyetlerinden etkilenen veya bu faaliyetleri etkileyen; yatırımcılar, müşteriler, çalışanlar, tedarikçiler ve kamu otoriteleri gibi iç ve dış tüm taraflardır.
Yönetişim (Governance): Günlük işleyişle ilgilenen yönetimden farklı olarak, tüm süreçlerin mevcut ve gelecekteki durumlarıyla ilgilenen, üst yönetimin hesap verebilirliğini sağlayan kurallar bütünüdür.
Bilgi Sistemleri Yönetişimi: IS kaynaklarının kurumsal hedefleri desteklemesini sağlayan; yapı, süreç ve liderlik unsurlarını içeren, kurumsal yönetişimin ayrılmaz bir parçası olan bütüncül anlayıştır.
Bilgi Güvenliği Yönetişimi: İşletmenin bilgi güvenliğine ilişkin yönlendirme ve gözetim faaliyetlerinin üst yönetim tarafından sahiplenildiği, iş operasyonlarının korunmasını amaçlayan süreçtir.
Bilgi Sistemleri Yönlendirme Komitesi: Yönetim kurulu tarafından kurulan, IS yatırımlarını önceliklendiren ve projelerin performansını gözetleyen, teknoloji değil iş odaklı çalışan üst düzey kuruldur.
Bilgi Sistemleri Strateji Komitesi: Çok büyük işletmelerde yönetim kurulu üyeleri ve uzmanlardan oluşan, IS inisiyatifleri hakkında yönetim kuruluna öneri sunan ve yönlendirme komitesine görev veren yapıdır.
Bilgi Sistemleri ve İş Uyumu: Bilgi sistemleri faaliyetlerinin iş hedeflerine katkı sağlaması, teknoloji birimi ile iş birimlerinin aynı dili konuşarak ortak hedefler doğrultusunda hareket edebilmesidir.
Kurumsal Mimari: Kişiler, süreçler, uygulamalar ve teknoloji arasındaki ilişkiyi gösteren, IS altyapısını iş hedefleriyle uyumlu hale getirmek için standartlaştıran bütüncül bir mimari plandır.
Veri Mimarisi: İşletme fonksiyonları incelenerek verinin nereden elde edildiği, nasıl kullanıldığı ve sonuçta nereye iletildiğinin açıkça tanımlandığı kurumsal mimari alt bileşenidir.
Bilgi Sistemleri Stratejisi: BS'nin iş hedeflerine nasıl katkı sağlayacağını belirleyen, işletme stratejisine bağlı fonksiyonel plan.
Bilgi Sistemleri Yönetişimi: BS kaynaklarının kurumsal hedefleri desteklemesini sağlayan bütüncül yapılar, süreçler ve liderlik bütünü.
Kurumsal Mimari: Kişiler, süreçler, uygulamalar ve veri arasındaki ilişkiyi gösteren stratejik yapı ve plan.
BS Yönlendirme Komitesi: BS önceliklerini belirleyen, yatırımları ve projeleri gözeten, yönetim kuruluna rapor veren üst düzey komite.
İş Uyumu (Alignment): Bilgi sistemleri faaliyetlerinin ve hedeflerinin iş birimlerinin hedefleriyle tam örtüşmesi durumu.
Sık Yapılan Hatalar
Stratejiyi sadece BT biriminin sorumluluğu olarak görmek (Aslında üst yönetimin sorumluluğundadır).
Vizyonu ilelebet değişmez bir metin sanmak (Dış çevreye göre güncellenmelidir).
Teknik başarıyı (sistemin çalışması), stratejik başarı (işe değer katma) ile karıştırmak.
Bilgi sistemlerini sadece donanım ve yazılımdan ibaret saymak (İnsan faktörü unutulmamalıdır).
Hata: Bilgi sistemleri stratejisinin sadece bilgi teknolojileri birimi tarafından belirlenmesi. Doğrusu: Üst yönetim sorumlu olmalı ve tüm paydaşlarca üzerinde anlaşılmalıdır.
Hata: Yönetim ve yönetişim kavramlarının eş anlamlı kullanılması. Doğrusu: Yönetim günlük işleyişle, yönetişim ise gelecekteki durum ve hesap verebilirlik mekanizmalarıyla ilgilenir.
Hata: Bilgi sistemleri hedeflerinin 'en iyi' veya 'en hızlı' gibi soyut ifadelerle tanımlanması. Doğrusu: Stratejik hedefler mutlaka ölçülebilir metriklerle belirlenmelidir.
Hata: Bilgi güvenliğinin sadece teknik bir destek süreci olarak görülmesi. Doğrusu: Bilgi güvenliği, iş operasyonlarının korunması anlamına gelen stratejik bir yönetişim unsurudur.
Hata: Kurumsal mimarinin sadece büyük işletmelerde bulunduğunun sanılması. Doğrusu: Her işletmede bir mimari vardır; ancak tanımlanmamış mimariler genelde verimsiz ve karmaşıktır.
BS stratejisini işletme stratejisinden bağımsız bir 'teknoloji listesi' olarak görmek.
Yönetişim sorumluluğunu sadece teknik personele (BS birimine) bırakmak.
Performans ölçümünde sadece teknik metrikleri (hız, kapasite) kullanıp iş etkisini (kâr, verimlilik) göz ardı etmek.
Kurumsal mimariyi bir kez yapılıp bitirilen bir proje olarak algılamak.
Temel Kavramlar
Bilgi Sistemleri Stratejisi: İşletme hedeflerine ulaşmak için bilgi sistemleri önceliklerini belirleyen, kurumsal stratejiye doğrudan bağlı ve üst yönetimin sorumluluğunda olan bir fonksiyon stratejisidir.
Fonksiyon Stratejisi: Kurumsal stratejinin gerçekleşmesine belirli bir birimde nasıl destek verileceğini cevaplayan, bağımsız belirlenemeyen ve doğrudan işletme stratejisine bağlı olan strateji türüdür.
Boşluk Analizi: Bilgi sistemleri stratejisi geliştirme sürecinde, işletmenin mevcut teknolojik durumu ile varmak istediği hedef arasındaki farkların belirlenmesi amacıyla yapılan çalışmadır.
Paydaş: İşletmenin faaliyetlerinden etkilenen veya bu faaliyetleri etkileyen; yatırımcılar, müşteriler, çalışanlar, tedarikçiler ve kamu otoriteleri gibi iç ve dış tüm taraflardır.
Yönetişim (Governance): Günlük işleyişle ilgilenen yönetimden farklı olarak, tüm süreçlerin mevcut ve gelecekteki durumlarıyla ilgilenen, üst yönetimin hesap verebilirliğini sağlayan kurallar bütünüdür.
Bilgi Sistemleri Yönetişimi: IS kaynaklarının kurumsal hedefleri desteklemesini sağlayan; yapı, süreç ve liderlik unsurlarını içeren, kurumsal yönetişimin ayrılmaz bir parçası olan bütüncül anlayıştır.
Bilgi Güvenliği Yönetişimi: İşletmenin bilgi güvenliğine ilişkin yönlendirme ve gözetim faaliyetlerinin üst yönetim tarafından sahiplenildiği, iş operasyonlarının korunmasını amaçlayan süreçtir.
Bilgi Sistemleri Yönlendirme Komitesi: Yönetim kurulu tarafından kurulan, IS yatırımlarını önceliklendiren ve projelerin performansını gözetleyen, teknoloji değil iş odaklı çalışan üst düzey kuruldur.
Bilgi Sistemleri Strateji Komitesi: Çok büyük işletmelerde yönetim kurulu üyeleri ve uzmanlardan oluşan, IS inisiyatifleri hakkında yönetim kuruluna öneri sunan ve yönlendirme komitesine görev veren yapıdır.
Bilgi Sistemleri ve İş Uyumu: Bilgi sistemleri faaliyetlerinin iş hedeflerine katkı sağlaması, teknoloji birimi ile iş birimlerinin aynı dili konuşarak ortak hedefler doğrultusunda hareket edebilmesidir.
Kurumsal Mimari: Kişiler, süreçler, uygulamalar ve teknoloji arasındaki ilişkiyi gösteren, IS altyapısını iş hedefleriyle uyumlu hale getirmek için standartlaştıran bütüncül bir mimari plandır.
Veri Mimarisi: İşletme fonksiyonları incelenerek verinin nereden elde edildiği, nasıl kullanıldığı ve sonuçta nereye iletildiğinin açıkça tanımlandığı kurumsal mimari alt bileşenidir.
Bilgi Sistemleri Stratejisi: BS'nin iş hedeflerine nasıl katkı sağlayacağını belirleyen, işletme stratejisine bağlı fonksiyonel plan.
Bilgi Sistemleri Yönetişimi: BS kaynaklarının kurumsal hedefleri desteklemesini sağlayan bütüncül yapılar, süreçler ve liderlik bütünü.
Kurumsal Mimari: Kişiler, süreçler, uygulamalar ve veri arasındaki ilişkiyi gösteren stratejik yapı ve plan.
BS Yönlendirme Komitesi: BS önceliklerini belirleyen, yatırımları ve projeleri gözeten, yönetim kuruluna rapor veren üst düzey komite.
İş Uyumu (Alignment): Bilgi sistemleri faaliyetlerinin ve hedeflerinin iş birimlerinin hedefleriyle tam örtüşmesi durumu.
Kurumsal Mimari: İşletmenin bilgi sistemleri altyapısını iş hedefleriyle uyumlu hale getirmek için standartlaştırdığı, strateji gibi işletmeye özgü ve değişen çevre koşullarına göre güncellenmesi gereken bir süreçtir.
İş Mimarisi: İşletmenin esas işini, misyonunu ve ürünlerini kapsayan; iş birimlerinin amaçlarına ulaşması için uygulanacak temel süreçleri belirleyen kurumsal mimari bakış açısıdır.
İşlevsel Mimari: İşletmenin ürün veya hizmet üretirken kullandığı uygulamaları ve bu uygulamaların birbirleriyle olan ilişkilerini, iş süreçleri bağlamında tanımlayan mimari katmandır.
Veri Mimarisi: İşletmenin stratejik veri gereksinimlerini, veri varlıklarını ve veri yönetimi kaynaklarının yapısını tanımlayan; verinin toplanması, saklanması ve dolaşımıyla ilgili kuralları belirleyen modeldir.
Altyapı Mimarisi: İş süreçlerini ve uygulamaları destekleyen donanım, yazılım ve iletişim altyapısı gibi bilgi sistemleri bileşenlerini belirleyen teknik mimari katmanıdır.
Hedef Mimari: İşletmenin vizyonunu gerçekleştirmek için orta vadede (3-5 yıl) ihtiyaç duyacağı bilgi sistemlerini temsil eden, mevcut durumdan ziyade gelecekteki stratejik resme odaklanan tasarımdır.
İç Kontrol: Risklerin azaltılması, hedeflere ulaşılması ve yasal uyumun sağlanması amacıyla oluşturulan; işletmenin asıl faaliyetlerine yedirilmiş ve tüm çalışanları kapsayan geniş bir yapıdır.
Kontrol Ortamı: Üst yönetimin kontrollere yaklaşımını ve etik değerlere desteğini yansıtan; kurum kültürünü ve çalışanların kontrol bilincini şekillendiren iç kontrolün temel bileşenidir.
Politika: Yönetimin niyetini ve beklentilerini ifade eden, karar alma süreçlerinde çalışanlara rehberlik eden ancak işin detayına girmeyen üst seviye ve sınırlayıcı bir dokümandır.
Prosedür: Belirli bir işin standartlara uygun şekilde nasıl yapılacağını adım adım tarif eden, süreçlerin tekrar edilebilir ve ölçülebilir olmasını sağlayan kontrol aktivitesi niteliğindeki dokümandır.
Talimat: Prosedürden daha detaylı olan, uygulama adımlarını yorum gerektirmeyecek netlikte belirleyen ve genellikle kullanılan ekipman veya sisteme yüksek derecede bağımlı olan belgedir.
Yönetim: Ortak bir hedef doğrultusunda bir grup insanı ve kısıtlı kaynakları; planlama, örgütleme, yönlendirme ve kontrol fonksiyonlarını kullanarak etkin ve verimli şekilde çalıştırma sürecidir.
Kurumsal Mimari (EA): İş stratejileri ile bilgi sistemleri altyapısını uyumlu hale getirme sürecidir.
Veri Mimarisi: Kurumsal veri varlıklarının, akışının ve yönetim kurallarının modellenmesidir.
Kontrol Ortamı: Üst yönetimin kontrollere yaklaşımı ve kurumdaki etik değerler iklimidir (Tone at the top).
COSO Modeli: İç kontrol için 5 bileşenden (Kontrol ortamı, Risk değ., Kontrol faal., Bilgi-İletişim, İzleme) oluşan çerçeve.
Politika vs Prosedür: Politika üst seviye ilkeleri, prosedür ise işin nasıl yapılacağını adım adım belirler.
Sık Yapılan Hatalar
Hata: Bilgi sistemleri stratejisinin sadece bilgi teknolojileri birimi tarafından belirlenmesi. Doğrusu: Üst yönetim sorumlu olmalı ve tüm paydaşlarca üzerinde anlaşılmalıdır.
Hata: Yönetim ve yönetişim kavramlarının eş anlamlı kullanılması. Doğrusu: Yönetim günlük işleyişle, yönetişim ise gelecekteki durum ve hesap verebilirlik mekanizmalarıyla ilgilenir.
Hata: Bilgi sistemleri hedeflerinin 'en iyi' veya 'en hızlı' gibi soyut ifadelerle tanımlanması. Doğrusu: Stratejik hedefler mutlaka ölçülebilir metriklerle belirlenmelidir.
Hata: Bilgi güvenliğinin sadece teknik bir destek süreci olarak görülmesi. Doğrusu: Bilgi güvenliği, iş operasyonlarının korunması anlamına gelen stratejik bir yönetişim unsurudur.
Hata: Kurumsal mimarinin sadece büyük işletmelerde bulunduğunun sanılması. Doğrusu: Her işletmede bir mimari vardır; ancak tanımlanmamış mimariler genelde verimsiz ve karmaşıktır.
BS stratejisini işletme stratejisinden bağımsız bir 'teknoloji listesi' olarak görmek.
Yönetişim sorumluluğunu sadece teknik personele (BS birimine) bırakmak.
Performans ölçümünde sadece teknik metrikleri (hız, kapasite) kullanıp iş etkisini (kâr, verimlilik) göz ardı etmek.
Kurumsal mimariyi bir kez yapılıp bitirilen bir proje olarak algılamak.
Kurumsal mimariyi bir amaç olarak görmek; doğrusu mimari bir amaç değil, işletme hedeflerine ulaşmak için kullanılan stratejik bir araçtır.
Kurumsal mimariyi sadece bilgi sistemleri biriminin projesi olarak yürütmek; doğrusu iş birimlerinin ve üst yönetimin sürece dahil edilmediği projeler başarısızlığa mahkumdur.
Süreç ve kontrol kavramlarını karıştırmak; süreç bir işin adım adım tarifiyken, bu adımlar içindeki risk azaltıcı her türlü faaliyet kontrol olarak tanımlanır.
Politika ve prosedürü aynı hiyerarşide değerlendirmek; politika genel çerçeveyi ve ilkeleri belirlerken, prosedür işin teknik olarak nasıl yürütüleceğini belirler.
Kontrollerin bir kez tanımlanmasının yeterli olduğunu düşünmek; doğrusu kontrollerin etkinliği denetimle ölçülmeli ve değişen risklere göre periyodik olarak güncellenmelidir.
Kurumsal mimariyi sadece bir IT projesi olarak görüp iş birimlerini sürece dahil etmemek.
Kontrol dokümantasyonunu sadece 'uyum' için hazırlayıp güncel ve uygulanabilir tutmamak.
Mevcut durumu tam analiz etmeden doğrudan karmaşık hedef mimari tasarımlarına geçmek.
Temel Kavramlar
Kurumsal Mimari: İşletmenin bilgi sistemleri altyapısını iş hedefleriyle uyumlu hale getirmek için standartlaştırdığı, strateji gibi işletmeye özgü ve değişen çevre koşullarına göre güncellenmesi gereken bir süreçtir.
İş Mimarisi: İşletmenin esas işini, misyonunu ve ürünlerini kapsayan; iş birimlerinin amaçlarına ulaşması için uygulanacak temel süreçleri belirleyen kurumsal mimari bakış açısıdır.
İşlevsel Mimari: İşletmenin ürün veya hizmet üretirken kullandığı uygulamaları ve bu uygulamaların birbirleriyle olan ilişkilerini, iş süreçleri bağlamında tanımlayan mimari katmandır.
Veri Mimarisi: İşletmenin stratejik veri gereksinimlerini, veri varlıklarını ve veri yönetimi kaynaklarının yapısını tanımlayan; verinin toplanması, saklanması ve dolaşımıyla ilgili kuralları belirleyen modeldir.
Altyapı Mimarisi: İş süreçlerini ve uygulamaları destekleyen donanım, yazılım ve iletişim altyapısı gibi bilgi sistemleri bileşenlerini belirleyen teknik mimari katmanıdır.
Hedef Mimari: İşletmenin vizyonunu gerçekleştirmek için orta vadede (3-5 yıl) ihtiyaç duyacağı bilgi sistemlerini temsil eden, mevcut durumdan ziyade gelecekteki stratejik resme odaklanan tasarımdır.
İç Kontrol: Risklerin azaltılması, hedeflere ulaşılması ve yasal uyumun sağlanması amacıyla oluşturulan; işletmenin asıl faaliyetlerine yedirilmiş ve tüm çalışanları kapsayan geniş bir yapıdır.
Kontrol Ortamı: Üst yönetimin kontrollere yaklaşımını ve etik değerlere desteğini yansıtan; kurum kültürünü ve çalışanların kontrol bilincini şekillendiren iç kontrolün temel bileşenidir.
Politika: Yönetimin niyetini ve beklentilerini ifade eden, karar alma süreçlerinde çalışanlara rehberlik eden ancak işin detayına girmeyen üst seviye ve sınırlayıcı bir dokümandır.
Prosedür: Belirli bir işin standartlara uygun şekilde nasıl yapılacağını adım adım tarif eden, süreçlerin tekrar edilebilir ve ölçülebilir olmasını sağlayan kontrol aktivitesi niteliğindeki dokümandır.
Talimat: Prosedürden daha detaylı olan, uygulama adımlarını yorum gerektirmeyecek netlikte belirleyen ve genellikle kullanılan ekipman veya sisteme yüksek derecede bağımlı olan belgedir.
Yönetim: Ortak bir hedef doğrultusunda bir grup insanı ve kısıtlı kaynakları; planlama, örgütleme, yönlendirme ve kontrol fonksiyonlarını kullanarak etkin ve verimli şekilde çalıştırma sürecidir.
Kurumsal Mimari (EA): İş stratejileri ile bilgi sistemleri altyapısını uyumlu hale getirme sürecidir.
Veri Mimarisi: Kurumsal veri varlıklarının, akışının ve yönetim kurallarının modellenmesidir.
Kontrol Ortamı: Üst yönetimin kontrollere yaklaşımı ve kurumdaki etik değerler iklimidir (Tone at the top).
COSO Modeli: İç kontrol için 5 bileşenden (Kontrol ortamı, Risk değ., Kontrol faal., Bilgi-İletişim, İzleme) oluşan çerçeve.
Politika vs Prosedür: Politika üst seviye ilkeleri, prosedür ise işin nasıl yapılacağını adım adım belirler.
Sık Yapılan Hatalar
Kurumsal mimariyi bir amaç olarak görmek; doğrusu mimari bir amaç değil, işletme hedeflerine ulaşmak için kullanılan stratejik bir araçtır.
Kurumsal mimariyi sadece bilgi sistemleri biriminin projesi olarak yürütmek; doğrusu iş birimlerinin ve üst yönetimin sürece dahil edilmediği projeler başarısızlığa mahkumdur.
Süreç ve kontrol kavramlarını karıştırmak; süreç bir işin adım adım tarifiyken, bu adımlar içindeki risk azaltıcı her türlü faaliyet kontrol olarak tanımlanır.
Politika ve prosedürü aynı hiyerarşide değerlendirmek; politika genel çerçeveyi ve ilkeleri belirlerken, prosedür işin teknik olarak nasıl yürütüleceğini belirler.
Kontrollerin bir kez tanımlanmasının yeterli olduğunu düşünmek; doğrusu kontrollerin etkinliği denetimle ölçülmeli ve değişen risklere göre periyodik olarak güncellenmelidir.
Kurumsal mimariyi sadece bir IT projesi olarak görüp iş birimlerini sürece dahil etmemek.
Kontrol dokümantasyonunu sadece 'uyum' için hazırlayıp güncel ve uygulanabilir tutmamak.
Mevcut durumu tam analiz etmeden doğrudan karmaşık hedef mimari tasarımlarına geçmek.
Temel Kavramlar
Kurumsal Mimari: İşletmenin bilgi sistemleri altyapısını iş hedefleriyle uyumlu hale getirmek için standartlaştırdığı, strateji gibi işletmeye özgü ve değişen çevre koşullarına göre güncellenmesi gereken bir süreçtir.
İş Mimarisi: İşletmenin esas işini, misyonunu ve ürünlerini kapsayan; iş birimlerinin amaçlarına ulaşması için uygulanacak temel süreçleri belirleyen kurumsal mimari bakış açısıdır.
İşlevsel Mimari: İşletmenin ürün veya hizmet üretirken kullandığı uygulamaları ve bu uygulamaların birbirleriyle olan ilişkilerini, iş süreçleri bağlamında tanımlayan mimari katmandır.
Veri Mimarisi: İşletmenin stratejik veri gereksinimlerini, veri varlıklarını ve veri yönetimi kaynaklarının yapısını tanımlayan; verinin toplanması, saklanması ve dolaşımıyla ilgili kuralları belirleyen modeldir.
Altyapı Mimarisi: İş süreçlerini ve uygulamaları destekleyen donanım, yazılım ve iletişim altyapısı gibi bilgi sistemleri bileşenlerini belirleyen teknik mimari katmanıdır.
Hedef Mimari: İşletmenin vizyonunu gerçekleştirmek için orta vadede (3-5 yıl) ihtiyaç duyacağı bilgi sistemlerini temsil eden, mevcut durumdan ziyade gelecekteki stratejik resme odaklanan tasarımdır.
İç Kontrol: Risklerin azaltılması, hedeflere ulaşılması ve yasal uyumun sağlanması amacıyla oluşturulan; işletmenin asıl faaliyetlerine yedirilmiş ve tüm çalışanları kapsayan geniş bir yapıdır.
Kontrol Ortamı: Üst yönetimin kontrollere yaklaşımını ve etik değerlere desteğini yansıtan; kurum kültürünü ve çalışanların kontrol bilincini şekillendiren iç kontrolün temel bileşenidir.
Politika: Yönetimin niyetini ve beklentilerini ifade eden, karar alma süreçlerinde çalışanlara rehberlik eden ancak işin detayına girmeyen üst seviye ve sınırlayıcı bir dokümandır.
Prosedür: Belirli bir işin standartlara uygun şekilde nasıl yapılacağını adım adım tarif eden, süreçlerin tekrar edilebilir ve ölçülebilir olmasını sağlayan kontrol aktivitesi niteliğindeki dokümandır.
Talimat: Prosedürden daha detaylı olan, uygulama adımlarını yorum gerektirmeyecek netlikte belirleyen ve genellikle kullanılan ekipman veya sisteme yüksek derecede bağımlı olan belgedir.
Yönetim: Ortak bir hedef doğrultusunda bir grup insanı ve kısıtlı kaynakları; planlama, örgütleme, yönlendirme ve kontrol fonksiyonlarını kullanarak etkin ve verimli şekilde çalıştırma sürecidir.
Kurumsal Mimari (EA): İş stratejileri ile bilgi sistemleri altyapısını uyumlu hale getirme sürecidir.
Veri Mimarisi: Kurumsal veri varlıklarının, akışının ve yönetim kurallarının modellenmesidir.
Kontrol Ortamı: Üst yönetimin kontrollere yaklaşımı ve kurumdaki etik değerler iklimidir (Tone at the top).
COSO Modeli: İç kontrol için 5 bileşenden (Kontrol ortamı, Risk değ., Kontrol faal., Bilgi-İletişim, İzleme) oluşan çerçeve.
Politika vs Prosedür: Politika üst seviye ilkeleri, prosedür ise işin nasıl yapılacağını adım adım belirler.
Yönetim: Ortak bir amaca ulaşmak için insan ve diğer kaynakların planlama, örgütleme, yönlendirme ve kontrol süreçleri aracılığıyla minimum kaynakla ve sürdürülebilir şekilde bir araya getirilmesidir.
Planlama: Yönetimin ilk fonksiyonu olup geleceği tahmin ederek amaçlara ulaşmak için neyin, ne zaman, nasıl ve kim tarafından yapılacağının önceden kararlaştırıldığı eylem planı belirleme aşamasıdır.
Örgütleme: Belirlenen planların hayata geçirilmesi için sorumluluk ve yetkilerin atanması, görev tanımlarının yapılması, organizasyon yapısının kurulması ve kaynakların düzene sokulması işidir.
Yöneltme (Yürütme): Planlanan ve örgütlenen işlere hareket kazandıran, çalışanların motive edildiği, liderlik vasıflarının sergilenerek emir-komuta zincirinin işletildiği ve iletişimin tesis edildiği fonksiyonel aşamadır.
Denetim (Kontrol): Belirlenmiş standartlar ile fiili durumun karşılaştırıldığı, sapmaların tespit edilerek düzeltici tedbirlerin alındığı ve hedeflere ulaşılıp ulaşılmadığının ölçüldüğü yönetim sürecidir.
Stratejik Planlama: Üst yönetim tarafından gerçekleştirilen, işletmenin tamamını etkileyen uzun dönemli kararların alındığı ve dış etkenlerin (hukuk, ekonomi, müşteri) izlendiği planlama düzeyidir.
Mintzberg’in Karar Verici Rolleri: Yöneticinin girişimcilik, sorun çözme (kriz yönetimi), kaynak dağıtıcı ve arabulucu (pazarlık) şapkalarıyla işletmenin geleceğini ve kaynak kullanımını şekillendirdiği roller bütünüdür.
Kurumsal Mimari: İşletme stratejisi ve süreçlerinin teknolojik çözümlerle hayata geçirilmesini sağlayan, özellikle büyük işletmelerde tüm birimlerin katılımıyla oluşturulan bütünsel bir yapılanmadır.
Sistem ve Ağ Yönetimi: Sunucu ve ağ sistemlerinin kurulması, yapılandırılması, çalışır halde tutulması ile iş/felaket kurtarma planlarının hazırlanmasından sorumlu olan bilgi sistemleri alt fonksiyonudur.
Görevler Ayrılığı (SoD): Bir işi başlatan, gerçekleştiren ve onaylayan kişilerin farklı olması ilkesine dayanarak hata, ihmal ve suistimal risklerini önlemeyi amaçlayan temel iç kontrol mekanizmasıdır.
SoD Matrisi: Kritik iş adımları ile görev tanımlarının eşleştirildiği, hangi sorumlulukların aynı kişide birleşemeyeceğini gösteren ve personel değişikliklerinde güncellenmesi gereken Excel tabanlı dokümandır.
Telafi Edici Kontrol: Personel yetersizliği nedeniyle görevler ayrılığının uygulanamadığı durumlarda, riskleri önleyemese bile gerçekleştikten sonra fark edilmesini sağlayan (iz kaydı incelemesi gibi) ara çözümlerdir.
İz Kayıtları (Log): Kritik işlemlerde sistemi, tarih/saat bilgisini, yapılan değişikliği ve işlemi yapan tekil kullanıcıyı gösteren, denetim ve telafi edici kontrol amacıyla tutulan asgari verilerdir.
Kurumsal SOME: İkincil düzenlemelerle zorunlu tutulan, siber olaylara müdahale etmekle görevli, genellikle güvenlik veya uyum birimleri bünyesinde yer alan ve hukuk birimiyle koordineli çalışan ekiplerdir.
Yönetim Fonksiyonları: Planlama, Örgütleme, Yöneltme ve Denetimden oluşan temel süreçler.
Mintzberg Rolleri: Yöneticinin oynaması gereken 10 rol (Kişiler arası, Bilgilendirici, Karar verici).
Görevler Ayrılığı (SoD): Hata ve suistimali önlemek için kritik iş adımlarının farklı kişilere verilmesi.
Telafi Edici Kontroller: Kaynak yetersizliğinde riskleri fark etmek için kullanılan ikincil kontroller (Log inceleme gibi).
Kurumsal Mimari: İş stratejisi ile teknoloji arasındaki uyumu sağlayan yapısal fonksiyon.
Sık Yapılan Hatalar
Kurumsal mimariyi bir amaç olarak görmek; doğrusu mimari bir amaç değil, işletme hedeflerine ulaşmak için kullanılan stratejik bir araçtır.
Kurumsal mimariyi sadece bilgi sistemleri biriminin projesi olarak yürütmek; doğrusu iş birimlerinin ve üst yönetimin sürece dahil edilmediği projeler başarısızlığa mahkumdur.
Süreç ve kontrol kavramlarını karıştırmak; süreç bir işin adım adım tarifiyken, bu adımlar içindeki risk azaltıcı her türlü faaliyet kontrol olarak tanımlanır.
Politika ve prosedürü aynı hiyerarşide değerlendirmek; politika genel çerçeveyi ve ilkeleri belirlerken, prosedür işin teknik olarak nasıl yürütüleceğini belirler.
Kontrollerin bir kez tanımlanmasının yeterli olduğunu düşünmek; doğrusu kontrollerin etkinliği denetimle ölçülmeli ve değişen risklere göre periyodik olarak güncellenmelidir.
Kurumsal mimariyi sadece bir IT projesi olarak görüp iş birimlerini sürece dahil etmemek.
Kontrol dokümantasyonunu sadece 'uyum' için hazırlayıp güncel ve uygulanabilir tutmamak.
Mevcut durumu tam analiz etmeden doğrudan karmaşık hedef mimari tasarımlarına geçmek.
Yönetimin sadece 'başkalarına iş yaptırmak' olduğunu sanmak (Yöneticinin de kendine has fonksiyonel işleri vardır).
Görevler ayrılığının işi hızlandıracağını düşünmek (Aksine maliyeti ve süreyi artırır).
Telafi edici kontrollerin riski tamamen yok ettiğini sanmak (Sadece fark edilmesini sağlar).
Temel Kavramlar
Yönetim: Ortak bir amaca ulaşmak için insan ve diğer kaynakların planlama, örgütleme, yönlendirme ve kontrol süreçleri aracılığıyla minimum kaynakla ve sürdürülebilir şekilde bir araya getirilmesidir.
Planlama: Yönetimin ilk fonksiyonu olup geleceği tahmin ederek amaçlara ulaşmak için neyin, ne zaman, nasıl ve kim tarafından yapılacağının önceden kararlaştırıldığı eylem planı belirleme aşamasıdır.
Örgütleme: Belirlenen planların hayata geçirilmesi için sorumluluk ve yetkilerin atanması, görev tanımlarının yapılması, organizasyon yapısının kurulması ve kaynakların düzene sokulması işidir.
Yöneltme (Yürütme): Planlanan ve örgütlenen işlere hareket kazandıran, çalışanların motive edildiği, liderlik vasıflarının sergilenerek emir-komuta zincirinin işletildiği ve iletişimin tesis edildiği fonksiyonel aşamadır.
Denetim (Kontrol): Belirlenmiş standartlar ile fiili durumun karşılaştırıldığı, sapmaların tespit edilerek düzeltici tedbirlerin alındığı ve hedeflere ulaşılıp ulaşılmadığının ölçüldüğü yönetim sürecidir.
Stratejik Planlama: Üst yönetim tarafından gerçekleştirilen, işletmenin tamamını etkileyen uzun dönemli kararların alındığı ve dış etkenlerin (hukuk, ekonomi, müşteri) izlendiği planlama düzeyidir.
Mintzberg’in Karar Verici Rolleri: Yöneticinin girişimcilik, sorun çözme (kriz yönetimi), kaynak dağıtıcı ve arabulucu (pazarlık) şapkalarıyla işletmenin geleceğini ve kaynak kullanımını şekillendirdiği roller bütünüdür.
Kurumsal Mimari: İşletme stratejisi ve süreçlerinin teknolojik çözümlerle hayata geçirilmesini sağlayan, özellikle büyük işletmelerde tüm birimlerin katılımıyla oluşturulan bütünsel bir yapılanmadır.
Sistem ve Ağ Yönetimi: Sunucu ve ağ sistemlerinin kurulması, yapılandırılması, çalışır halde tutulması ile iş/felaket kurtarma planlarının hazırlanmasından sorumlu olan bilgi sistemleri alt fonksiyonudur.
Görevler Ayrılığı (SoD): Bir işi başlatan, gerçekleştiren ve onaylayan kişilerin farklı olması ilkesine dayanarak hata, ihmal ve suistimal risklerini önlemeyi amaçlayan temel iç kontrol mekanizmasıdır.
SoD Matrisi: Kritik iş adımları ile görev tanımlarının eşleştirildiği, hangi sorumlulukların aynı kişide birleşemeyeceğini gösteren ve personel değişikliklerinde güncellenmesi gereken Excel tabanlı dokümandır.
Telafi Edici Kontrol: Personel yetersizliği nedeniyle görevler ayrılığının uygulanamadığı durumlarda, riskleri önleyemese bile gerçekleştikten sonra fark edilmesini sağlayan (iz kaydı incelemesi gibi) ara çözümlerdir.
İz Kayıtları (Log): Kritik işlemlerde sistemi, tarih/saat bilgisini, yapılan değişikliği ve işlemi yapan tekil kullanıcıyı gösteren, denetim ve telafi edici kontrol amacıyla tutulan asgari verilerdir.
Kurumsal SOME: İkincil düzenlemelerle zorunlu tutulan, siber olaylara müdahale etmekle görevli, genellikle güvenlik veya uyum birimleri bünyesinde yer alan ve hukuk birimiyle koordineli çalışan ekiplerdir.
Yönetim Fonksiyonları: Planlama, Örgütleme, Yöneltme ve Denetimden oluşan temel süreçler.
Mintzberg Rolleri: Yöneticinin oynaması gereken 10 rol (Kişiler arası, Bilgilendirici, Karar verici).
Görevler Ayrılığı (SoD): Hata ve suistimali önlemek için kritik iş adımlarının farklı kişilere verilmesi.
Telafi Edici Kontroller: Kaynak yetersizliğinde riskleri fark etmek için kullanılan ikincil kontroller (Log inceleme gibi).
Kurumsal Mimari: İş stratejisi ile teknoloji arasındaki uyumu sağlayan yapısal fonksiyon.
Görevler Ayrılığı: İş süreçlerini hata, ihmal ve suistimalden korumak amacıyla iş adımlarının farklı çalışanlara bölünmesidir; ancak iş süresini ve personel maliyetini artıran bir unsurdur.
Telafi Edici Kontrol (Compensating Control): Kaynak yetersizliği nedeniyle görevler ayrılığının tam uygulanamadığı durumlarda, hataları önleyemese bile gerçekleştikten sonra fark edilmesini sağlayan ikame mekanizmadır.
İz Kayıtları (Log): Kritik işlemlerde kaydı oluşturan sistem, zaman, değişiklik detayı ve tekil kullanıcı bilgisini içeren, telafi edici kontrol olarak düzenli incelenmesi gereken teknik verilerdir.
İş Rotasyonu: Belirli bir iş adımının geçici olarak asıl görevlisinden farklı birine atanmasıdır; bu yöntem hem süreçteki aksaklıkları tespit eder hem de işletmede iş gücü yedekliliği sağlar.
Zorunlu Tatil: Çalışanın işletmeden bir süre uzaklaştırılmasıyla yerine başkasının bakması sağlanarak, gizli kalmış suistimal veya hataların ortaya çıkarılmasını amaçlayan bir denetim yöntemidir.
SoD Matrisi: Hangi görevlerin birbiriyle çakışmaması gerektiğini gösteren, yönetimce onaylı olması ve sahadaki yetki tanımlarıyla örtüşmesi gereken kritik bir kontrol dokümanıdır.
Kaynak Yönetimi: İnsan, finans, zaman ve teknoloji gibi kısıtlı unsurların, en yüksek örgütsel faydayı elde etmek amacıyla stratejik hedeflere uygun şekilde tahsis edilmesi ve izlenmesi sürecidir.
Risk İştahı: Bir işletmenin hedeflerine ulaşmak için göze alabildiği ve tolere edebildiği azami risk seviyesidir; kurumun yapısına ve sektörüne göre üst yönetim tarafından belirlenir.
Risk Kapasitesi: İşletmenin mevcut finansal, ekonomik ve hukuki ortamı dikkate alındığında, iflas veya büyük zarar yaşamadan alabileceği en üst düzeydeki risk miktarını ifade eder.
Riski Azaltma (Mitigation): Çeşitli kontrol mekanizmaları hayata geçirilerek riskin olasılığının veya etkisinin kabul edilebilir seviyelere düşürülmesi amacıyla en sık tercih edilen risk işleme seçeneğidir.
Riski Transfer Etme: Riskin yarattığı mali zararın sigorta veya dış kaynak kullanımı yoluyla üçüncü taraflara aktarılmasıdır; bu yöntem riskin gerçekleşme ihtimalini değil, sadece sonucunu etkiler.
Riski Engelleme (Avoidance): Kontrollerle kabul edilebilir seviyeye indirilemeyen riskli bir ürün, süreç veya faaliyetin kullanımına tamamen son verilerek riskin kökten ortadan kaldırılmasıdır.
Zafiyet (Vulnerability): Değerli bir varlığın veya sistemin yapısında mevcut bulunan, tehdit unsurları tarafından kötüye kullanıldığında zararlı etki yaratabilecek her türlü zayıflık veya açıktır.
En İyi Uygulama Örnekleri (Best Practices): Bir iş sürecinin etkinliğini iyileştiren, çok denenmiş ve genel kabul görmüş yöntemlerdir; ancak körlemesine değil, işletmenin özel durumuna göre yorumlanarak uygulanmalıdır.
Görevler Ayrılığı (SoD): Hata ve suistimali önlemek için bir iş sürecinin farklı adımlarının farklı kişilere atanması.
Telafi Edici Kontroller: Yetersiz kaynak durumunda görevler ayrılığının yerini tutan (log takibi gibi) ikincil kontroller.
Risk İştahı: İşletmenin hedefleri doğrultusunda kabul etmeye hazır olduğu risk seviyesi.
Risk Kapasitesi: İşletmenin finansal ve hukuki olarak dayanabileceği maksimum risk miktarı.
İş Rotasyonu: Personelin görev yerlerinin değiştirilerek olası hataların veya suistimallerin fark edilmesini sağlayan yöntem.
Önemli Formüller
Risk Değeri Hesaplaması
$Risk Değeri = Olasılık \times Etki$
Olasılık: Tehdidin zafiyeti kullanarak gerçekleşme ihtimali
Etki: Tehdit gerçekleştiğinde ortaya çıkacak muhtemel zarar veya kayıp
Örnek: Bir sistem sızıntısı olasılığı 3 (orta) ve yaratacağı finansal etki 5 (yüksek) ise, risk değeri 15 olarak puanlanır.
Sık Yapılan Hatalar
Yönetimin sadece 'başkalarına iş yaptırmak' olduğunu sanmak (Yöneticinin de kendine has fonksiyonel işleri vardır).
Görevler ayrılığının işi hızlandıracağını düşünmek (Aksine maliyeti ve süreyi artırır).
Telafi edici kontrollerin riski tamamen yok ettiğini sanmak (Sadece fark edilmesini sağlar).
Hata: Personel sayısı az olan küçük işletmelerde görevler ayrılığı ilkesinden tamamen vazgeçmek. Doğru: Personel kısıtlıysa telafi edici kontroller (log takibi, rotasyon) uygulanarak risk yönetilmelidir.
Hata: Riski transfer etmenin (sigorta vb.) riskin gerçekleşme ihtimalini ortadan kaldırdığını düşünmek. Doğru: Transfer sadece finansal sonuçların telafisine yöneliktir, olayın gerçekleşme olasılığını değiştirmez.
Hata: Kaynak planlaması yaparken sadece çalışan sayısını yeterli görmek. Doğru: İnsan kaynağı planlamasında sayı kadar, personelin yetkinlik ve yeterlilik seviyesi de hesaba katılmalıdır.
Hata: Bir çalışanın üzerinde çok fazla aktif iş olmasını yüksek verimlilik göstergesi saymak. Doğru: Bu durum verimlilikten ziyade bir planlama hatasına veya çıktı kalitesinin düşeceğine işaret edebilir.
Hata: Risk iştahını birim yöneticilerinin kendi inisiyatiflerine göre belirlemesi. Doğru: Risk iştahı ve kabul edilebilir risk seviyesi, kurumun vizyonu ve stratejisine göre üst yönetim tarafından belirlenmelidir.
Telafi edici kontrollerin (log inceleme vb.) işi yapan kişi tarafından yapılması (Kontrol zafiyeti yaratır).
Risk iştahının üst yönetim yerine alt birimler tarafından belirlenmesi.
Gereksinimlerin hiç değişmeyeceğini varsayarak katı kaynak planlaması yapmak.
7
Bilgi Sistemlerinde Görevler Ayrılığı, Kaynak ve Risk Yönetimi
Temel Kavramlar
Görevler Ayrılığı: İş süreçlerini hata, ihmal ve suistimalden korumak amacıyla iş adımlarının farklı çalışanlara bölünmesidir; ancak iş süresini ve personel maliyetini artıran bir unsurdur.
Telafi Edici Kontrol (Compensating Control): Kaynak yetersizliği nedeniyle görevler ayrılığının tam uygulanamadığı durumlarda, hataları önleyemese bile gerçekleştikten sonra fark edilmesini sağlayan ikame mekanizmadır.
İz Kayıtları (Log): Kritik işlemlerde kaydı oluşturan sistem, zaman, değişiklik detayı ve tekil kullanıcı bilgisini içeren, telafi edici kontrol olarak düzenli incelenmesi gereken teknik verilerdir.
İş Rotasyonu: Belirli bir iş adımının geçici olarak asıl görevlisinden farklı birine atanmasıdır; bu yöntem hem süreçteki aksaklıkları tespit eder hem de işletmede iş gücü yedekliliği sağlar.
Önemli Formüller
Risk Değeri Hesaplaması: $Risk Değeri = Olasılık \times Etki$
Tüm ders notlarına erişmek için ücretsiz kayıt olun
Bilgi Sistemlerinde Görevler Ayrılığı, Kaynak ve Risk Yönetimi • Bilgi Sistemlerinde Risk, Kalite, Performans ve Dış Kaynak Yönetimi
Temel Kavramlar
Görevler Ayrılığı: İş süreçlerini hata, ihmal ve suistimalden korumak amacıyla iş adımlarının farklı çalışanlara bölünmesidir; ancak iş süresini ve personel maliyetini artıran bir unsurdur.
Telafi Edici Kontrol (Compensating Control): Kaynak yetersizliği nedeniyle görevler ayrılığının tam uygulanamadığı durumlarda, hataları önleyemese bile gerçekleştikten sonra fark edilmesini sağlayan ikame mekanizmadır.
İz Kayıtları (Log): Kritik işlemlerde kaydı oluşturan sistem, zaman, değişiklik detayı ve tekil kullanıcı bilgisini içeren, telafi edici kontrol olarak düzenli incelenmesi gereken teknik verilerdir.
İş Rotasyonu: Belirli bir iş adımının geçici olarak asıl görevlisinden farklı birine atanmasıdır; bu yöntem hem süreçteki aksaklıkları tespit eder hem de işletmede iş gücü yedekliliği sağlar.
Önemli Formüller
Risk Değeri Hesaplaması: $Risk Değeri = Olasılık \times Etki$
Basit Risk Değeri: $Risk Değeri = Olasılık \times Etki$
Tüm ders notlarına erişmek için ücretsiz kayıt olun
Bilgi Sistemlerinde Risk, Kalite, Performans ve Dış Kaynak Yönetimi
Temel Kavramlar
Risk Değerlendirme: Varlığın yapısındaki bir zafiyet ile bu zafiyeti istismar edebilecek bir tehdidin birleşimiyle oluşan, olasılık ve etki düzeyine göre risk değerinin belirlenmesi sürecidir.
Riski Azaltma (Mitigation): Çeşitli kontroller yardımıyla riskin kabul edilebilir seviyeye düşürülmesini amaçlayan ve işletmeler tarafından en çok tercih edilen risk işleme seçeneğidir.
Riski Engelleme (Avoidance): Kontrollerle kabul edilebilir seviyeye indirilemeyen risklerin, riske sebep olan ürün veya sürecin kullanımına tamamen son verilerek ortadan kaldırılmasıdır.
Riski Transfer Etme: Riskin yarattığı zararın sigorta veya dış kaynak kullanımı yoluyla üçüncü taraflara aktarılmasıdır; riskin gerçekleşme ihtimalini değil, sonuçların telafisini hedefler.
Önemli Formüller
Risk Değeri Hesaplaması: $Risk Değeri = Olasılık \times Etki$
Basit Risk Değeri: $Risk Değeri = Olasılık \times Etki$
Tüm ders notlarına erişmek için ücretsiz kayıt olun
Bilgi Sistemlerinde Risk, Kalite, Performans ve Dış Kaynak Yönetimi • Dış Kaynak Kullanımı, Sözleşme Yönetimi ve Bilgi Sistemleri Denetimi
Temel Kavramlar
Risk Değerlendirme: Varlığın yapısındaki bir zafiyet ile bu zafiyeti istismar edebilecek bir tehdidin birleşimiyle oluşan, olasılık ve etki düzeyine göre risk değerinin belirlenmesi sürecidir.
Riski Azaltma (Mitigation): Çeşitli kontroller yardımıyla riskin kabul edilebilir seviyeye düşürülmesini amaçlayan ve işletmeler tarafından en çok tercih edilen risk işleme seçeneğidir.
Riski Engelleme (Avoidance): Kontrollerle kabul edilebilir seviyeye indirilemeyen risklerin, riske sebep olan ürün veya sürecin kullanımına tamamen son verilerek ortadan kaldırılmasıdır.
Riski Transfer Etme: Riskin yarattığı zararın sigorta veya dış kaynak kullanımı yoluyla üçüncü taraflara aktarılmasıdır; riskin gerçekleşme ihtimalini değil, sonuçların telafisini hedefler.
Önemli Formüller
Risk Değeri Hesaplaması: $Risk Değeri = Olasılık \times Etki$
Basit Risk Değeri: $Risk Değeri = Olasılık \times Etki$
Tüm ders notlarına erişmek için ücretsiz kayıt olun
Dış Kaynak Kullanımı, Sözleşme Yönetimi ve Bilgi Sistemleri Denetimi • Bilgi Sistemleri Denetimi ve Kontrol Türleri
Temel Kavramlar
Yakın Dış Kaynak (Nearshore Outsourcing): İşletmenin kendisiyle aynı coğrafi bölgeden fakat farklı bir ülkeden servis sağlayıcı seçmesidir; iletişim bariyeri düşüktür ve saat dilimi farkı olmadığı için çevrim içi etkileşim kolaydır.
Uzak Dış Kaynak (Distant Outsourcing): İşletmenin çok uzak bir coğrafi lokasyondaki sağlayıcıyı seçmesidir; iş gücü maliyet avantajı büyüktür ancak kültürel ve zaman farkları nedeniyle ciddi iletişim bariyerleri oluşur.
Yerel Dış Kaynak (Onshore/Domestic): İşletmenin kendi ülkesindeki bir servis sağlayıcıyı seçmesidir; maliyet avantajı düşük olsa da yasal düzenlemelerdeki özel gereksinimler nedeniyle tercih edilen bir modeldir.
Çıkış Stratejisi (Exit Strategy): Hizmet sağlayıcı ile ilişkinin süreçleri aksatmadan sonlandırılması için hazırlanan; yazılı dokümanları, görevli personeli ve varlık transfer yöntemlerini içeren kapsamlı bir B planıdır.
Tüm ders notlarına erişmek için ücretsiz kayıt olun
Bütünleşik Denetim: Finansal denetim ile birlikte operasyonel ve bilgi sistemleri denetiminin entegre bir şekilde gerçekleştirilerek tüm süreçlerin bir arada incelenmesini sağlayan denetim türüdür.
Fonksiyonel Denetim: Bir yazılımın işlevselliği ve performansının gereksinimleri karşılayıp karşılamadığının, yazılım tesliminden hemen önce bağımsız olarak değerlendirilmesi sürecidir.
Adli Bilişim Denetimi: Yargı incelemelerinde olgusal bilgi oluşturmak amacıyla bilimsel yöntemlerin dijital medya ve kanıtlar üzerine uygulanması sürecini ifade eder.
Genel Kontroller: İşletmenin tüm bilgi sistemleri altyapısı ve faaliyetlerinin sürekliliğini sağlayan; yönetim, ağ güvenliği ve erişim gibi alanları kapsayan temel politika ve prosedürlerdir.
Tüm ders notlarına erişmek için ücretsiz kayıt olun
Bilgi Sistemleri Denetimi ve Kontrol Türleri • Bilgi Sistemleri Denetimi, Risk Yönetimi ve Örnekleme Teknikleri
Temel Kavramlar
Bütünleşik Denetim: Finansal denetim ile birlikte operasyonel ve bilgi sistemleri denetiminin entegre bir şekilde gerçekleştirilerek tüm süreçlerin bir arada incelenmesini sağlayan denetim türüdür.
Fonksiyonel Denetim: Bir yazılımın işlevselliği ve performansının gereksinimleri karşılayıp karşılamadığının, yazılım tesliminden hemen önce bağımsız olarak değerlendirilmesi sürecidir.
Adli Bilişim Denetimi: Yargı incelemelerinde olgusal bilgi oluşturmak amacıyla bilimsel yöntemlerin dijital medya ve kanıtlar üzerine uygulanması sürecini ifade eder.
Genel Kontroller: İşletmenin tüm bilgi sistemleri altyapısı ve faaliyetlerinin sürekliliğini sağlayan; yönetim, ağ güvenliği ve erişim gibi alanları kapsayan temel politika ve prosedürlerdir.
Önemli Formüller
Temel Risk Formülü: $Risk = Olasılık \times Etki$
Sistem Güvenliği Risk Modeli: $Risk = Güvenlik Zafiyeti \times Tehdit$
Tüm ders notlarına erişmek için ücretsiz kayıt olun
Bilgi Sistemleri Denetimi, Risk Yönetimi ve Örnekleme Teknikleri
Temel Kavramlar
Kontrol Hedefi: Belirli bir süreçte kontrol prosedürlerinin uygulanmasıyla elde edilecek istenen sonucun ifadesidir; operasyonel etkinlik, mevzuat uyumu ve varlıkların korunmasını hedefler.
Kontrol Önlemi: Tehdit oluşma riskini önlemek, ortadan kaldırmak veya azaltmak için uygulanan, çalışanların iş tanımlarında rol alabileceği seviyeye indirgenmiş faaliyetlerdir.
Güvenlik Zafiyeti: Sistemi tehdit olaylarına maruz bırakabilecek tasarım, uygulama veya iç kontroldeki zayıflıktır; işletme tarafından kontrol edilebilir bir iç unsurdur.
Tehdit: Bir varlığa karşı zararla sonuçlanabilecek şekilde hareket edebilecek nesne, insan veya olay gibi istenmeyen durumların potansiyel nedenidir.
Önemli Formüller
Temel Risk Formülü: $Risk = Olasılık \times Etki$
Sistem Güvenliği Risk Modeli: $Risk = Güvenlik Zafiyeti \times Tehdit$
Tüm ders notlarına erişmek için ücretsiz kayıt olun
Bilgi Sistemleri Denetimi, Risk Yönetimi ve Örnekleme Teknikleri • Denetim Örneklemesi, Test Türleri ve Bilgi Sistemleri Denetim Süreci
Temel Kavramlar
Kontrol Hedefi: Belirli bir süreçte kontrol prosedürlerinin uygulanmasıyla elde edilecek istenen sonucun ifadesidir; operasyonel etkinlik, mevzuat uyumu ve varlıkların korunmasını hedefler.
Kontrol Önlemi: Tehdit oluşma riskini önlemek, ortadan kaldırmak veya azaltmak için uygulanan, çalışanların iş tanımlarında rol alabileceği seviyeye indirgenmiş faaliyetlerdir.
Güvenlik Zafiyeti: Sistemi tehdit olaylarına maruz bırakabilecek tasarım, uygulama veya iç kontroldeki zayıflıktır; işletme tarafından kontrol edilebilir bir iç unsurdur.
Tehdit: Bir varlığa karşı zararla sonuçlanabilecek şekilde hareket edebilecek nesne, insan veya olay gibi istenmeyen durumların potansiyel nedenidir.
Önemli Formüller
Temel Risk Formülü: $Risk = Olasılık \times Etki$
Sistem Güvenliği Risk Modeli: $Risk = Güvenlik Zafiyeti \times Tehdit$
Tüm ders notlarına erişmek için ücretsiz kayıt olun
Denetim Örneklemesi, Test Türleri ve Bilgi Sistemleri Denetim Süreci • Bilgi Sistemleri Denetim Yöntemleri, Raporlama ve Mevzuat Esasları
Temel Kavramlar
Keşif Örneklemesi: Popülasyon içerisinde en az bir istisna veya hata bulmaya odaklanan, özellikle dolandırıcılık, usulsüzlük ve adli bilişim çalışmalarında kullanılan bir örnekleme yöntemidir.
Tabakalı Örnekleme: Popülasyonun niteliklerine göre homojen alt gruplara (katmanlara) ayrıldığı, popülasyonun geniş dağılım gösterdiği durumlarda nicelik örneklemesi için tercih edilen yöntemdir.
Örnekleme Riski: Denetçinin sadece örneklemi inceleyerek ulaştığı sonuçların, popülasyonun tamamına aynı test uygulandığında elde edilecek gerçek sonuçlardan farklı olması olasılığıdır.
Alfa Riski (Tip-1): Kontroller gerçekte güvenilir olduğu halde denetçinin örneklem sonucuna bakarak kontrollerin yetersiz olduğu veya önemli bir hata bulunduğu kanısına varması riskidir.
Bilgi Sistemleri Denetim Yöntemleri, Raporlama ve Mevzuat Esasları • Bağımsız Denetim Standartları, Risk ve Denetçi Nitelikleri
Temel Kavramlar
Entegre Test Tesisi (ITF): Bilgi sistemi aktif kullanımdayken, denetçi tarafından oluşturulan hayali kayıtların gerçek verilerle aynı anda işlendiği ve sonuçların karşılaştırıldığı yerleşik test ortamıdır.
SCARF/EAM Yöntemi: Bilgi sistemine yerleşik denetim modülleri kullanılarak, belirli limitlerin üzerindeki veya istisnai işlemlerin sürekli izlenmesi ve veri toplanması sürecini ifade eder.
Anlık Görüntü (Snapshots): Seçilen işlemlerin yürütülme süreci öncesi ve sonrasının özel kodlarla kayıt altına alınarak, işleme adımlarının uygunluğunun denetim izi üzerinden doğrulanması yöntemidir.
Denetim Kancası (Audit Hook): Hata veya hile durumlarını erken tespit etmek amacıyla şüpheli işlemleri belirli kriterlere göre işaretleyen ve yakalayan bilgi sistemine yerleşik denetim rutinleridir.
Önemli Formüller
Asgari Mesleki Sorumluluk Sigortası Tutarı: $Sigorta Tutarı = \max(200.000 TL, 2 \times Önceki Yıl Denetim Geliri)$
Bağımsız Denetim Riski: $AR = IR \times CR \times DR$
Tüm ders notlarına erişmek için ücretsiz kayıt olun
Bağımsız Denetim Standartları, Risk ve Denetçi Nitelikleri
Temel Kavramlar
Mesleki Şüphecilik: Denetçinin, yönetimin dürüstlüğü konusunda ön yargısız kalarak, kanıtların geçerliliğini sorgulayıcı bir yaklaşımla değerlendirmesi ve hata veya hile belirtilerine karşı her aşamada uyanık olmasıdır.
Mesleki Muhakeme: Denetçinin eğitim, bilgi ve deneyimini kullanarak; önemlilik düzeyi, denetim riski ve kanıtların yeterliliği gibi konularda standartlar çerçevesinde bilgiye dayalı kararlar alması sürecidir.
Makul Güvence: Finansal tabloların önemli bir yanlışlık içermediğine dair yüksek ancak mutlak olmayan bir güvence düzeyidir; denetimin yapısal kısıtlamaları nedeniyle mutlak güvenceye ulaşılamaz.
Önemlilik: Finansal tablolardaki eksiklik veya yanlışlıkların, kullanıcıların ekonomik kararlarını etkileyebilecek büyüklükte veya nitelikte olması durumudur; denetçi sadece bu tür hataların tespitiyle sorumludur.
Önemli Formüller
Asgari Mesleki Sorumluluk Sigortası Tutarı: $Sigorta Tutarı = \max(200.000 TL, 2 \times Önceki Yıl Denetim Geliri)$
Bağımsız Denetim Riski: $AR = IR \times CR \times DR$
Tüm ders notlarına erişmek için ücretsiz kayıt olun
Bağımsız Denetim Standartları, Risk ve Denetçi Nitelikleri • Bağımsız Denetim İlkeleri, Etik Kurallar ve Bilgi Sistemleri Yönetimi
Temel Kavramlar
Mesleki Şüphecilik: Denetçinin, yönetimin dürüstlüğü konusunda ön yargısız kalarak, kanıtların geçerliliğini sorgulayıcı bir yaklaşımla değerlendirmesi ve hata veya hile belirtilerine karşı her aşamada uyanık olmasıdır.
Mesleki Muhakeme: Denetçinin eğitim, bilgi ve deneyimini kullanarak; önemlilik düzeyi, denetim riski ve kanıtların yeterliliği gibi konularda standartlar çerçevesinde bilgiye dayalı kararlar alması sürecidir.
Makul Güvence: Finansal tabloların önemli bir yanlışlık içermediğine dair yüksek ancak mutlak olmayan bir güvence düzeyidir; denetimin yapısal kısıtlamaları nedeniyle mutlak güvenceye ulaşılamaz.
Önemlilik: Finansal tablolardaki eksiklik veya yanlışlıkların, kullanıcıların ekonomik kararlarını etkileyebilecek büyüklükte veya nitelikte olması durumudur; denetçi sadece bu tür hataların tespitiyle sorumludur.
Önemli Formüller
Asgari Mesleki Sorumluluk Sigortası Tutarı: $Sigorta Tutarı = \max(200.000 TL, 2 \times Önceki Yıl Denetim Geliri)$
Bağımsız Denetim Riski: $AR = IR \times CR \times DR$
Tüm ders notlarına erişmek için ücretsiz kayıt olun
Bağımsız Denetim İlkeleri, Etik Kurallar ve Bilgi Sistemleri Yönetimi • Bilgi Sistemleri Yönetimi ve Güvenlik Esasları (BSYUE)
Temel Kavramlar
Şekilde Bağımsızlık: Denetçinin dürüstlük ve tarafsızlığından ödün verdiği intibaını oluşturabilecek durum ve davranışlardan, üçüncü kişilerin makul kanaatini gözeterek sakınmasıdır.
Cooling Off Period: Denetçilerin denetledikleri işletmede yönetici olabilmeleri için en son rapor tarihinden itibaren geçmesi gereken, istisnası olmayan 2 yıllık bekleme süresidir.
Mesleki Özen ve Titizlik: Basiretli bir denetçinin aynı koşullarda göstereceği dikkat olup, asgari kıstası bağımsız denetim standartlarına eksiksiz uyulması ve uygun kanıt toplanmasıdır.
Reklam Yasağı: Denetim kuruluşlarının iş elde etmek için dolaylı veya dolaysız ilan vermesinin yasak olmasıdır; ancak tanıtıcı broşür ve eleman ilanı bu yasak kapsamında değildir.
Tüm ders notlarına erişmek için ücretsiz kayıt olun
Bilgi Sistemleri Yönetimi ve Güvenlik Esasları (BSYUE)
Temel Kavramlar
API: Bir yazılımın başka bir yazılımda tanımlanmış işlevleri kullanabilmesi için oluşturulmuş uygulama programlama ara yüzüdür.
Bilgi Güvenliği İhlali: Bilgi sistemlerinin veya işlenen bilginin gizlilik, bütünlük veya erişilebilirliğinin ihlal edilmesi ya da buna teşebbüs edilmesi durumudur.
Bilgi Sistemleri: Bilginin işlendiği, iletildiği ve saklandığı yazılım, donanım ve iletişim altyapısı ile bunlarla etkileşimde bulunan insan kaynağı ve süreçlerin bütünüdür.
Bilgi Varlığı: Kurumların görevlerini yerine getirirken kullandıkları veriler ile bunların üretildiği, işlendiği ve saklandığı tüm donanım ve yazılım unsurlarını kapsar.
Tüm ders notlarına erişmek için ücretsiz kayıt olun
Bilgi Sistemleri Yönetimi ve Güvenlik Esasları (BSYUE) • Bilgi Sistemleri Yönetimi, Güvenliği ve Sürekliliği
Temel Kavramlar
API: Bir yazılımın başka bir yazılımda tanımlanmış işlevleri kullanabilmesi için oluşturulmuş uygulama programlama ara yüzüdür.
Bilgi Güvenliği İhlali: Bilgi sistemlerinin veya işlenen bilginin gizlilik, bütünlük veya erişilebilirliğinin ihlal edilmesi ya da buna teşebbüs edilmesi durumudur.
Bilgi Sistemleri: Bilginin işlendiği, iletildiği ve saklandığı yazılım, donanım ve iletişim altyapısı ile bunlarla etkileşimde bulunan insan kaynağı ve süreçlerin bütünüdür.
Bilgi Varlığı: Kurumların görevlerini yerine getirirken kullandıkları veriler ile bunların üretildiği, işlendiği ve saklandığı tüm donanım ve yazılım unsurlarını kapsar.
Tüm ders notlarına erişmek için ücretsiz kayıt olun
Bilgi Sistemleri Yönetimi, Güvenliği ve Sürekliliği • Bilgi Sistemleri Yönetimi, Süreklilik ve İç Denetim Esasları
Temel Kavramlar
Görevler Ayrılığı: Yetki ve sorumlulukların, hata veya suistimal riskini azaltmak amacıyla farklı kişiler arasında paylaştırılması ve onay süreçlerine bağlanması esasıdır.
Çok Faktörlü Kimlik Doğrulama: Kritik sistemlerde kullanılan, bir faktörün ele geçirilmesinin diğerini tehlikeye atmadığı, birbirinden bağımsız bileşenlerden oluşan güvenlik mekanizmasıdır.
En Düşük Yetki İlkesi: Kullanıcılara görevlerini yerine getirmeleri için gereken asgari erişim haklarının tanımlanması ve iş gereksinimi olmayan yetkilerin verilmemesi yaklaşımıdır.
Denetim İzi (Audit Trail): Bilgi sistemlerinde gerçekleşen kritik işlemlerin, kimlik, zaman ve sonuç detaylarıyla kaydedilmesini ve 5 yıl saklanmasını sağlayan kayıt mekanizmasıdır.
Bilgi Sistemleri Yönetimi, Süreklilik ve İç Denetim Esasları • Bilgi Sistemleri Yönetimi ve Bağımsız Denetim Esasları
Temel Kavramlar
Bilgi Sistemleri Süreklilik Planı: Kritik iş süreçlerini destekleyen bilgi sistemlerinin felaket anında devreye alınmasını sağlayan, kabul edilebilir kesinti sürelerini ve azami veri kaybı değerlerini içeren üst yönetim onaylı plandır.
İkincil Sistem: Birincil sistemle aynı risklere maruz kalmayacak farklı bir coğrafi konumda tesis edilen, kritik veri ve sistem yedeklerinin kullanıma hazır bulundurulduğu yedekleme merkezidir.
Sızma Testi: Bilgi güvenliği görevi bulunmayan, ulusal veya uluslararası belgeye sahip uzmanlarca yılda en az bir kez yapılan ve sonuçları 31 Ocak'a kadar Kurul'ara iletilen güvenlik testidir.
Çok Faktörlü Kimlik Doğrulama: Kritik sistemlerde kullanılan, birbirinden bağımsız en az iki doğrulama unsurunun bir arada bulunmasını gerektiren ve bir faktörün ele geçirilmesinin diğerini tehlikeye atmadığı güvenlik mekanizmasıdır.
Bilgi Sistemleri Yönetimi ve Bağımsız Denetim Esasları
Temel Kavramlar
Bilgi Sistemleri İç Denetimi: Kurumların yılda en az bir kez, dışarıdan hizmet alımı yapmadan, sistem tasarımında görevi olmayan ve BSBD lisansına sahip personelce icra ettiği denetimdir.
Bilgi Güvenliği Sorumlusu: İç denetim raporundaki tespitlere yönelik uygulama tarihlerini içeren aksiyon planını hazırlayan ve üst yönetimin onayına sunan yetkili personeli ifade eder.
Bilgi Sistemleri Bağımsız Denetimi: Bilgi sistemleri unsurlarının ve kontrollerinin BSYUE Tebliği ilkeleri doğrultusunda uyumluluk, etkinlik ve yeterlilik açısından değerlendirilip rapora bağlanması sürecidir.
Yapısal Risk: Herhangi bir kontrol mekanizmasının bulunmaması nedeniyle, sistemde en azından kayda değer düzeyde bir kontrol eksikliğinin var olması ihtimalini ifade eden risktir.
Önemli Formüller
Portföy Yönetim Şirketi İlave Özsermaye Yükümlülüğü: $İlave Özsermaye = (Yönetilen Portföy - 72.000.000.000) \times 0,0002$
Tüm ders notlarına erişmek için ücretsiz kayıt olun
Bilgi Sistemleri Yönetimi ve Bağımsız Denetim Esasları • Bilgi Sistemleri Bağımsız Denetimi ve Denetçi Gereklilikleri
Temel Kavramlar
Bilgi Sistemleri İç Denetimi: Kurumların yılda en az bir kez, dışarıdan hizmet alımı yapmadan, sistem tasarımında görevi olmayan ve BSBD lisansına sahip personelce icra ettiği denetimdir.
Bilgi Güvenliği Sorumlusu: İç denetim raporundaki tespitlere yönelik uygulama tarihlerini içeren aksiyon planını hazırlayan ve üst yönetimin onayına sunan yetkili personeli ifade eder.
Bilgi Sistemleri Bağımsız Denetimi: Bilgi sistemleri unsurlarının ve kontrollerinin BSYUE Tebliği ilkeleri doğrultusunda uyumluluk, etkinlik ve yeterlilik açısından değerlendirilip rapora bağlanması sürecidir.
Yapısal Risk: Herhangi bir kontrol mekanizmasının bulunmaması nedeniyle, sistemde en azından kayda değer düzeyde bir kontrol eksikliğinin var olması ihtimalini ifade eden risktir.
Önemli Formüller
Portföy Yönetim Şirketi İlave Özsermaye Yükümlülüğü: $İlave Özsermaye = (Yönetilen Portföy - 72.000.000.000) \times 0,0002$
Bilgi Sistemleri Bağımsız Denetimi ve Denetçi Gereklilikleri • Bilgi Sistemleri Bağımsız Denetimi ve Raporlama Esasları
Temel Kavramlar
Sorumlu Bilgi Sistemleri Başdenetçisi: En az 10 yıl mesleki tecrübeye sahip, denetim raporlarını yetkili kuruluş adına imzalama yetkisi ve sorumluluğu bulunan, Kurul onayıyla atanan en üst düzey denetçidir.
Bilgi Sistemleri Denetçisi (CISA/BSBDL): 3 yıllık mesleki tecrübe ve ilgili sertifikalara sahip, denetim programı hazırlama ve yardımcıların çalışmalarını inceleme yetkisi olan teknik unvandır.
Yönetim Beyanı: İşletme yönetim kurulunun, bilgi sistemleri iç kontrollerinin etkinlik ve uyumluluğuna dair 1 Ocak-31 Aralık dönemi için verdiği yazılı güvencedir.
Sürekli Eğitim Zorunluluğu: Denetçilerin mesleki yetkinliklerini korumak amacıyla yılda en az 20 saat, üç yıllık dönemde ise toplam 80 saat eğitim alması veya vermesi zorunluluğudur.
Bilgi Sistemleri Bağımsız Denetimi ve Raporlama Esasları
Temel Kavramlar
Olumlu Görüş: Önemli bir kontrol eksikliği bulunmaması ve denetim kapsamında herhangi bir kısıtlama ile karşılaşılmaması durumunda bildirilen görüştür.
Şartlı Görüş: Önemli kontrol eksikliklerinin sistemin bütününü etkilemediği veya yeterli denetim kanıtı elde edilemediği durumlarda verilen görüş türüdür.
Olumsuz Görüş: Kontrol eksikliklerinin bilgi sistemlerinin büyük kısmını etkilediği veya yönetim beyanı ile denetçi tespiti arasında önemli fark olduğu durumlarda verilir.
Görüş Bildirmekten Kaçınma: Denetimdeki belirsizlik ve sınırlamaların görüş oluşturmayı engelleyecek derecede önemli olduğu durumlarda denetçinin kanaat belirtmemesidir.
Tüm ders notlarına erişmek için ücretsiz kayıt olun
Bilgi Sistemleri Bağımsız Denetimi ve Raporlama Esasları • Bankaların Bilgi Sistemleri ve Elektronik Bankacılık Hizmetleri Yönetimi
Temel Kavramlar
Olumlu Görüş: Önemli bir kontrol eksikliği bulunmaması ve denetim kapsamında herhangi bir kısıtlama ile karşılaşılmaması durumunda bildirilen görüştür.
Şartlı Görüş: Önemli kontrol eksikliklerinin sistemin bütününü etkilemediği veya yeterli denetim kanıtı elde edilemediği durumlarda verilen görüş türüdür.
Olumsuz Görüş: Kontrol eksikliklerinin bilgi sistemlerinin büyük kısmını etkilediği veya yönetim beyanı ile denetçi tespiti arasında önemli fark olduğu durumlarda verilir.
Görüş Bildirmekten Kaçınma: Denetimdeki belirsizlik ve sınırlamaların görüş oluşturmayı engelleyecek derecede önemli olduğu durumlarda denetçinin kanaat belirtmemesidir.
Tüm ders notlarına erişmek için ücretsiz kayıt olun
Bankaların Bilgi Sistemleri ve Elektronik Bankacılık Hizmetleri Yönetimi • Bilgi Sistemleri Denetimi Mevzuatı ve Uluslararası Standartlar
Temel Kavramlar
Bilgi Sistemleri: Bilginin toplanması, işlenmesi ve dağıtımına yönelik insan kaynağı, operasyonel süreçler ve etkileşimli teknolojilerin tamamını kapsayan kurumsal yapıdır.
Bilgi Varlığı: Bankacılık faaliyetlerinde kullanılan veriler ile bu verilerin taşındığı, saklandığı veya işlendiği yazılım, donanım ve ağ cihazları gibi banka için değer taşıyan unsurlardır.
Bilgi Sistemleri Strateji Komitesi: Yatırımların iş hedefleriyle uyumunu gözetmekle sorumlu, en az bir yönetim kurulu üyesinin katılımıyla yılda en az iki kez toplanan ve yönetim kuruluna rapor sunan kuruldur.
Bilgi Sistemleri Yönlendirme Komitesi: Proje önceliklerini belirleyen ve kaynak çatışmalarını çözen, yılda en az iki kez toplanarak strateji komitesine rapor sunan ve operasyonel yönlendirme yapan yapıdır.
Tüm ders notlarına erişmek için ücretsiz kayıt olun
Bilgi Sistemleri Denetimi Mevzuatı ve Uluslararası Standartlar
Temel Kavramlar
Bilgi Sistemleri Bağımsız Denetimi: Yetkilendirilmiş bağımsız denetim kuruluşları tarafından, kurumların bilgi sistemleri ve iş süreçlerinin mevzuata uygunluğunun, etkinliğinin ve güvenliğinin incelenerek raporlanması faaliyetidir.
Özel Entegratör: Vergi mevzuatı kapsamında e-Belgelerin oluşturulması, imzalanması ve saklanması hizmetlerini GİB izniyle yürüten ve 2 yılda bir bilgi sistemleri denetimi yaptırmak zorunda olan kuruluştur.
Sızma Testi (Penetration Test): Bilgi sistemlerindeki iç ve dış tehdit senaryoları doğrultusunda güvenlik açıklarını tespit etmek amacıyla yılda en az bir kez yapılması zorunlu olan teknik güvenlik testidir.
COBIT: İş ihtiyaçları ile bilgi teknolojileri arasında köprü kuran, kontrol odaklı bir yaklaşımla başlayıp zamanla bir bilgi sistemleri yönetişim çerçevesine dönüşen uluslararası standartlar bütünüdür.
Tüm ders notlarına erişmek için ücretsiz kayıt olun
Bilgi Sistemleri Denetimi Mevzuatı ve Uluslararası Standartlar • Bilgi Sistemleri Güvenliği, Denetim Çerçeveleri ve Uluslararası Standartlar
Temel Kavramlar
Bilgi Sistemleri Bağımsız Denetimi: Yetkilendirilmiş bağımsız denetim kuruluşları tarafından, kurumların bilgi sistemleri ve iş süreçlerinin mevzuata uygunluğunun, etkinliğinin ve güvenliğinin incelenerek raporlanması faaliyetidir.
Özel Entegratör: Vergi mevzuatı kapsamında e-Belgelerin oluşturulması, imzalanması ve saklanması hizmetlerini GİB izniyle yürüten ve 2 yılda bir bilgi sistemleri denetimi yaptırmak zorunda olan kuruluştur.
Sızma Testi (Penetration Test): Bilgi sistemlerindeki iç ve dış tehdit senaryoları doğrultusunda güvenlik açıklarını tespit etmek amacıyla yılda en az bir kez yapılması zorunlu olan teknik güvenlik testidir.
COBIT: İş ihtiyaçları ile bilgi teknolojileri arasında köprü kuran, kontrol odaklı bir yaklaşımla başlayıp zamanla bir bilgi sistemleri yönetişim çerçevesine dönüşen uluslararası standartlar bütünüdür.
Tüm ders notlarına erişmek için ücretsiz kayıt olun
Bilgi Sistemleri Güvenliği, Denetim Çerçeveleri ve Uluslararası Standartlar • Bilgi Sistemleri Bağımsız Denetimi: Standartlar, Riskler ve Etik İlkeler
Temel Kavramlar
Varlık Envanteri: Bilgi sistemlerine ait bilgi, yazılım, fiziksel, hizmet, personel ve soyut varlıkların tümünü kapsayan, yönetilmesi zorunlu olan ve işletmenin itibarını da içeren kapsamlı listedir.
Erişim Kontrolü: Bilgi ve iş süreçlerine erişimin 'İzin verilmedikçe her şey yasaktır' prensibiyle, hem fiziksel hem de işlevsel boyutlarda kısıtlanmasını sağlayan güvenlik politikasıdır.
ISO 27001: Teknik detaylardan ziyade kuruluşların bilgi güvenliği yönetimine odaklanan, teknoloji bağımsız ve her türlü işletme büyüklüğüne uygulanabilen uluslararası bir standarttır.
ITAF (The IT Assurance Framework): ISACA tarafından oluşturulan, bilgi sistemleri denetçilerinin standartlarını, becerilerini ve raporlama gereksinimlerini tanımlayan, uygulama odaklı kapsamlı bir referans modelidir.
Tüm ders notlarına erişmek için ücretsiz kayıt olun
Bilgi Sistemleri Bağımsız Denetimi: Standartlar, Riskler ve Etik İlkeler
Temel Kavramlar
Makul Güvence: Denetçinin, denetim standartlarına uygun olarak finansal tabloların hata veya hile kaynaklı önemli bir yanlışlık içermediğine dair elde ettiği yüksek ancak mutlak olmayan güvence seviyesidir.
Önemli İç Kontrol Eksikliği: Denetçinin denetim sırasında tespit ettiği ve üst yönetimden sorumlu olanlara zamanında ve yazılı olarak bildirmekle yükümlü olduğu, iç kontrol sistemindeki kritik aksaklıklardır.
Genel Denetim Stratejisi: Denetimin kapsamını, zamanlamasını ve yönünü belirleyen, verilerin erişilebilirliği ve bilgisayar destekli tekniklerin kullanımı gibi unsurları içeren üst düzey planlama aşamasıdır.
Yapısal Risk (Inherent Risk): İşletmenin iç kontrolleri dikkate alınmadan önce, karmaşıklık, subjektiflik veya belirsizlik gibi faktörler nedeniyle bir yönetim beyanının önemli yanlışlık içerme ihtimalidir.
Tüm ders notlarına erişmek için ücretsiz kayıt olun
Bilgi Sistemleri Bağımsız Denetimi: Standartlar, Riskler ve Etik İlkeler • Denetim Etiği, Bağımsızlık Standartları ve Bilgi Sistemleri Sızma Testleri
Temel Kavramlar
Makul Güvence: Denetçinin, denetim standartlarına uygun olarak finansal tabloların hata veya hile kaynaklı önemli bir yanlışlık içermediğine dair elde ettiği yüksek ancak mutlak olmayan güvence seviyesidir.
Önemli İç Kontrol Eksikliği: Denetçinin denetim sırasında tespit ettiği ve üst yönetimden sorumlu olanlara zamanında ve yazılı olarak bildirmekle yükümlü olduğu, iç kontrol sistemindeki kritik aksaklıklardır.
Genel Denetim Stratejisi: Denetimin kapsamını, zamanlamasını ve yönünü belirleyen, verilerin erişilebilirliği ve bilgisayar destekli tekniklerin kullanımı gibi unsurları içeren üst düzey planlama aşamasıdır.
Yapısal Risk (Inherent Risk): İşletmenin iç kontrolleri dikkate alınmadan önce, karmaşıklık, subjektiflik veya belirsizlik gibi faktörler nedeniyle bir yönetim beyanının önemli yanlışlık içerme ihtimalidir.
Önemli Formüller
Ücret Bağımlılığı Oranı: $Oran = \frac{\text{Müşteriden Alınan Ücret}}{\text{Denetim Şirketi Toplam Geliri}} \times 100$
Tüm ders notlarına erişmek için ücretsiz kayıt olun
Denetim Etiği, Bağımsızlık Standartları ve Bilgi Sistemleri Sızma Testleri • Bilgi Sistemleri Bağımsız Denetim Görüşleri ve Sorumluluklar
Temel Kavramlar
Esasta Bağımsızlık: Denetçinin dürüstlük, tarafsızlık ve mesleki şüphecilik içinde hareket etmesini teminen, muhakemesini etkileyecek tesirlerden ari olarak görüş açıklamasıdır.
Şekilde Bağımsızlık: Denetçinin, makul ve bilgi sahibi üçüncü kişilerde dürüstlük ve tarafsızlıktan ödün verdiği intibaını oluşturabilecek her türlü durumdan sakınması halidir.
Yıldırma Tehdidi: Denetçinin mesleki anlaşmazlıklar nedeniyle işten çıkarılma tehdidi alması veya uygunsuz muhasebe işlemlerini onaylaması için baskı hissetmesi durumudur.
Şarta Bağlı Ücret: Denetim işinin sonucuna veya belirli bir bulguya dayalı olarak belirlenen ve denetim şirketleri tarafından talep edilmesi kesinlikle yasak olan ücret türüdür.
Önemli Formüller
Ücret Bağımlılığı Oranı: $Oran = \frac{\text{Müşteriden Alınan Ücret}}{\text{Denetim Şirketi Toplam Geliri}} \times 100$
Tüm ders notlarına erişmek için ücretsiz kayıt olun
Bilgi Sistemleri Bağımsız Denetim Görüşleri ve Sorumluluklar
Temel Kavramlar
III-62.2 Sayılı Tebliğ: Sermaye piyasasında bilgi sistemleri bağımsız denetiminin hangi usul ve esaslar çerçevesinde yürütüleceğini belirleyen temel düzenleyici mevzuattır.
VII-128.10 Sayılı Tebliğ: Bilgi Sistemleri Yönetimine İlişkin Usul ve Esaslar Tebliği olup, kuruluşların kurması gereken kontrol ortamının standartlarını belirler.
Makul Güvence: Denetimin, önemli kontrol eksikliklerini tespit edecek şekilde planlanmasıyla elde edilen, ancak kontrollerin doğasındaki kısıtlar nedeniyle mutlak olmayan güvence seviyesidir.
Önemlilik İlkesi: Bilgi sistemleri kontrollerinin test edilmesi ve değerlendirilmesi sürecinde, sistemin güvenliğini veya işleyişini etkileyebilecek kritik unsurlara odaklanılmasını sağlayan temel denetim prensibidir.
Tüm ders notlarına erişmek için ücretsiz kayıt olun