Lisanslı ödeme ve elektronik para kuruluşları için faaliyet izni, sürekli bir denetim ve raporlama döngüsünün başlangıcıdır. Bilgi sistemleri denetimleri, bağımsız finansal denetimler ve TCMB'ye yapılan dönemsel raporlamalar; hazırlığı son dakikaya bırakıldığında operasyonu zorlayan, iyi planlandığında ise kurumsal olgunluğu gösteren süreçlerdir. Bu yazıda denetim ve raporlama dönemlerine hazırlık için pratik bir kontrol listesi sunuyoruz.
Çerçeve: hangi denetimler ve raporlar?
- Bilgi sistemleri denetimi: TCMB'nin bilgi sistemleri ve veri paylaşım servislerine ilişkin tebliği, ödeme ve elektronik para kuruluşlarının bilgi sistemlerinin yetkilendirilmiş bağımsız denetim kuruluşlarınca denetlenmesine ilişkin usul ve esasları düzenler. Bu denetimler, BDDK'nın bilgi sistemleri denetimi yapmaya yetkili bağımsız denetim kuruluşları listesinde yer alan firmalarca yürütülür.
- Bağımsız finansal denetim: 6493 sayılı Kanun uyarınca ödeme ve elektronik para kuruluşlarının bağımsız denetimi, Kamu Gözetimi, Muhasebe ve Denetim Standartları Kurumu (KGK) mevzuatı çerçevesinde yapılır. TCMB, bağımsız denetim raporlarının formatına ilişkin ayrıca düzenleme yayımlamıştır.
- Dönemsel raporlama: TCMB, üç aylık, altı aylık ve yıllık raporlama formlarına ilişkin talimatlar yayımlar ve bunları zaman zaman günceller.
- TCMB denetimleri: TCMB, gözetim ve denetim yetkisi kapsamında kuruluşlardan bilgi ve belge isteyebilir, gerektiğinde yerinde inceleme yapabilir.
Denetim dönemleri, kapsamı ve raporların iletilme tarihleri için ilgili düzenlemelerin güncel hâli esas alınmalıdır. Talimatların güncellenebildiği göz önünde bulundurularak raporlama takvimi her yıl yeniden teyit edilmelidir.
Bu başlıklar birbirinden bağımsız değildir: Bilgi sistemlerindeki bir kontrol zafiyeti, raporlanan verinin güvenilirliğini de doğrudan etkileyebilir. Bu nedenle denetim ve raporlama sorumluluklarının tek bir yönetim çerçevesinde koordine edilmesi önerilir.
Bilgi sistemleri denetimine hazırlık kontrol listesi
Yönetişim ve politika
- Bilgi sistemleri ve bilgi güvenliği politikaları yönetim kurulunca onaylanmış ve güncel mi?
- Bilgi sistemleri stratejisi ile iş stratejisi arasındaki bağ yönetim düzeyinde değerlendiriliyor mu?
- Roller, sorumluluklar ve görevler ayrılığı belgelenmiş mi?
- Bilgi sistemlerine ilişkin kapsamlı risk değerlendirmesi, önemli değişikliklerden önce ve en az yılda bir kez yapılmış mı?
Erişim ve kimlik yönetimi
- Kullanıcı yetkileri düzenli olarak gözden geçiriliyor, işten ayrılanların erişimleri zamanında kapatılıyor mu?
- Ayrıcalıklı hesaplar için ek kontroller ve kayıt izleme uygulanıyor mu?
- Uzaktan erişimler ve üçüncü taraf erişimleri ayrıca kontrol ediliyor mu?
- Müşteri işlemlerinde güçlü kimlik doğrulama gereklilikleri karşılanıyor mu?
Değişiklik, güvenlik ve süreklilik
- Değişiklik yönetimi kayıtları (talep, test, onay, canlıya alma) eksiksiz mi?
- Sızma testleri en az yılda bir kez yapılmış ve bulgular için aksiyon planları takip ediliyor mu?
- Siber olayların yönetimi ile ilgili taraflara ve düzenleyici otoriteye bildirim akışı tanımlı mı?
- Bilgi sistemleri süreklilik planı, kabul edilebilir kesinti süreleri ve veri kayıpları belirlenerek hazırlanmış ve test edilmiş mi?
- Yedeklerden geri dönüş testleri düzenli olarak yapılıyor ve sonuçları belgeleniyor mu?
- Birincil ve ikincil sistemler ile yedekler yurt içinde mi?
Kayıt ve izlenebilirlik
- Kritik sistemlerde işlem ve erişim kayıtları değiştirilemeyecek biçimde tutuluyor ve düzenli olarak inceleniyor mu?
- Kayıtların saklama süreleri mevzuat gereklilikleriyle uyumlu mu?
- Olay incelemelerinde ihtiyaç duyulacak kayıtlara hızla erişilebiliyor mu?
Dış hizmet alımı
- Dış hizmet sağlayıcıların listesi, risk değerlendirmeleri ve sözleşmeleri güncel mi?
- Sözleşmelerde denetim, erişim ve gizlilik hükümleri yer alıyor mu?
- Kritik tedarikçiler için çıkış planları ve alternatif senaryolar hazır mı?
- Bulut hizmetlerinde, TCMB'nin topluluk bulutu hizmetlerine ilişkin rehberi gibi düzenleyici beklentiler değerlendirildi mi?
Düzenleyici raporlamada kaliteyi artırmak
Düzenleyici raporlar, otoritenin kuruluşu uzaktan izlemesinin temel araçlarından biridir. Tutarsız veya geç iletilen raporlar ek bilgi taleplerine ve yoğun yazışmalara yol açabilir. Kaliteyi artırmak için şu adımlar öne çıkar:
- Veri sözlüğü oluşturun: Her rapor kaleminin tanımını, kaynağını ve hesaplama kuralını belgeleyin.
- Kaynak sistemlerle mutabakat yapın: Rapor verilerini muhasebe ve işlem kayıtlarıyla düzenli olarak karşılaştırın.
- Otomasyonu artırın: Elle hazırlanan tabloları azaltın, üretim adımlarını kayıt altına alın.
- Dört göz prensibini uygulayın: Raporu hazırlayan ve onaylayan kişileri ayırın.
- Takvimi sahiplenin: Tüm raporlama ve bildirim tarihlerini sorumlularıyla birlikte tek bir takvimde izleyin.
- Talimat değişikliklerini izleyin: Form ve talimat güncellemelerini düzenli kontrol ederek sistemlerinize yansıtın.
- Kök neden analizi yapın: Düzeltme gerektiren rapor gönderimlerinin nedenlerini inceleyerek süreçleri kalıcı olarak iyileştirin.
Saklama süreleri ve kanıt yönetimi
Denetimlerde en sık karşılaşılan sorunlardan biri, kontrol uygulandığı hâlde kanıtın bulunamamasıdır. 6493 sayılı Kanun, belge ve kayıtların en az on yıl süreyle yurt içinde saklanmasını; MASAK mevzuatı ise ilgili belge ve kayıtların sekiz yıl süreyle muhafazasını öngörür. Farklı düzenlemelerdeki süreleri tek bir saklama politikasında birleştirmek ve kanıtları merkezi bir yapıda toplamak, denetim sürecini belirgin biçimde hızlandırır. Kanıtın kim tarafından, ne zaman ve hangi sistemden üretildiğinin izlenebilir olması da güvenilirliğini artırır.
Pratik yaklaşım: Denetimi yılda bir kez yaşanan bir olay olarak değil, yıl boyunca kanıt üreten bir süreç olarak tasarlayın. İyi kurgulanmış bir kontrol takvimi, denetim döneminin iş yükünü önemli ölçüde azaltır.
Denetim dönemi için örnek çalışma planı
Hazırlığı belirli bir takvime bağlamak, son dakika yoğunluğunu önemli ölçüde azaltır. Kuruluşun büyüklüğüne göre uyarlanabilecek örnek bir akış şöyledir:
- Planlama: Denetim kapsamının, sorumluların ve belge taleplerinin denetçiyle birlikte netleştirilmesi
- Ön değerlendirme: Kontrol listesinin iç ekiplerle doldurulması ve eksik kanıtların belirlenmesi
- İyileştirme: Tespit edilen eksiklerin önceliklendirilerek giderilmesi
- Kanıt paketi: Politika, kayıt, ekran görüntüsü ve rapor gibi kanıtların merkezi bir yapıda düzenlenmesi
- Saha çalışması: Denetçi taleplerinin tek bir koordinatör üzerinden izlenmesi ve yanıtlanması
- Kapanış: Bulgular için sorumlu ve hedef tarih içeren aksiyon planı hazırlanması ve üst yönetime raporlanması
Planın her adımı için sorumlu kişiyi ve hedef tarihi baştan belirlemek, denetçiyle iletişimi tek kanaldan yürütmek ve ilerlemeyi haftalık olarak gözden geçirmek, sürecin kontrol altında kalmasını sağlar.
Sık yapılan hatalar
- Önceki denetim bulgularının kapanışının kanıtlanamaması
- Bulgulara ilişkin aksiyon planlarında sorumlu ve tarih belirlenmemesi
- Politikalarla fiilî uygulamanın birbirinden kopması
- Dış hizmet sağlayıcı kontrollerinin denetim kapsamı dışında bırakılması
- Aynı rapor kaleminin farklı sistemlerden farklı sonuçlarla üretilmesi
- Denetim hazırlığının yalnızca bilgi teknolojileri ekibine bırakılması
Sonuç
Bilgi sistemleri denetimi ve düzenleyici raporlama, lisanslı kuruluşlar için sürekli dikkat gerektiren iki temel alandır. Yapılandırılmış bir kontrol listesi, net sorumluluklar ve merkezi kanıt yönetimi, denetim sürecini öngörülebilir hâle getirir. ADD Danışmanlık olarak Denetim ve Raporlama Hizmetleri kapsamında denetim öncesi hazırlık, iç kontrol değerlendirmesi ve raporlama süreçlerinin iyileştirilmesinde destek sunuyoruz; ayrıntılar için ön görüşme talebi oluşturabilirsiniz.
Bu içerik genel bilgilendirme amaçlıdır; hukuki veya mali görüş niteliği taşımaz. Güncel mevzuat için ilgili otoritelerin resmi yayınları esas alınmalıdır.
