A ntalya , Nisan 2007

1. Bağımsız Bilgi Sistemleri Denetimi Antalya, Nisan 2007

2. İçerik • BBSD Kapsamı • COBIT • Uygulama Kontrolleri • Denetimde Karşılaşılan Güçlükler • Öneriler

3. Bağımsız Bilgi Sistemleri Denetimi Alanları (1/1) Denetim alanları • Denetimin kapsamı • Genel Bilgi Sistemleri Süreçleri ( COBIT) • Uygulama Kontrolleri Denetimi • İç Kontrol/Denetim faaliyetlerinin Değerlendirilmesi COBIT denetimi 2 yılda 1 kez olmak üzere tekrarlanacak, uygulama kontrolleri denetimi ise her yıl tekrarlanacak, Denetim Periyodu Kapsanan Kurumlar 2006 yılından itibaren bankalar ve 2007 yılından itibaren bankalarla mali konsolidasyona giren şirketler kapsam dahilinde, Denetim Sorumlusu Bu denetimlerden bankalarda bağımsız mali denetim yapan şirketler sorumlu,

4. İçerik • BBSD Kapsamı • COBIT • Uygulama Kontrolleri • Denetimde Karşılaşılan Güçlükler • Öneriler

5. Genel Bilgi Sistemleri (1/3) COBIT Denetim Alanları Planlama ve Organizasyon Faaliyetlerinin Denetimi Tedarik ve Uygulama Faaliyetlerinin Denetimi Hizmet Sunumu ve Destek Faaliyetlerinin Denetimi • İzleme ve • Değerlendirme • Faaliyetlerinin Denetimi

7. Genel Bilgi Sistemleri (3/3) Olgunluk Seviyesi Denetimlerdekontrol alanlarının altında yer alan ve önemlilik kriterine göre seçilen her bir kontrol hedefini sağlamaya yönelik oluşturulmuş süreç veya süreçlerin tümünün değerlendirilmesiyle elde edilen kontrol hedefine ilişkin olgunluk seviyesi belirlenmiştir.

8. İçerik • BBSD Kapsamı • COBIT • Uygulama Kontrolleri • Denetimde Karşılaşılan Güçlükler • Öneriler

9. Uygulama Kontrolleri Tanım • Kurum içerisinde finansal verilerin işlem gördüğü tüm uygulamalar ve bu uygulamaların desteklediği iş süreçlerinin;otomatik ve manuel kontroller açısından denetiminin gerçekleştirilmesi Sınıflandırma • Bu kontroller; • Veri oluşturma ve yetkilendirme • Bilginin akışı ve uygulamalara girilmesi • Veri İşleme ve Onaylar • Üretilen bilgi ve Raporlama • akışında tespit edilen kontrollerin Uygunluk, Bütünlük ve Saklama • Niteliğine göre sınıflandırılması ile ifade edilmelidir.

10. Uygulama Kontrolleri Uygulama kontrollerinin belirlenmesi Global anlamda ‘benchmark’ karşılaştırması Denetim Yaklaşımı Kontrol eksikliklerinin belirlenmesi Kullanıcılarla görüşmeler Mevcut kontrollerin testi Mevcut İş Akışı Dokümantasyonu Kontrol Ortamının Değerlendirilmesi

11. Uygulama Kontrolleri Süreç Yaklaşımı • Süreç Sahibi • Denetimin organizasyonel olarak farklı Genel Müdürlük iş birimlerini ve şubeleri içermesi • Örnek bir süreç: Pazarlama Fon Yönetimi Muhasebe Mevduat Süreci Organizasyon

12. İç Kontrol/Denetim süreci Performans • Uygulama kontrolleri ile birlikte, bankaların finansal raporlama sistemi ile ilgili iç kontrollerinin yeterliliği ve yöneticilerin bu iç kontrollerin yeterliğini ve etkinliğini ölçmedeki performansının değerlendirilmesi Kapsam • Kurumda mevcut İç kontrol sisteminin denetlenmesi sürecinde; • Planlama, • Yönetimin gerçekleştirdiği iç kontrollerle ilgili değerlendirme süreci, • İç kontrollerle ilgili genel değerlendirme süreci, • İç kontrollerin tasarımının test edilmesi, etkinliğinin ve yeterliliğinin değerlendirilmesi, • İç kontrollerin uygulanmasının test edilmesi, etkinliğinin ve yeterliliğinin değerlendirilmesi, • İç kontrollerin etkinliği ve yeterliliği ile ilgili görüşün oluşturulması,

13. İçerik • BBSD Kapsamı • COBIT • Uygulama Kontrolleri • Denetimde Karşılaşılan Güçlükler • Öneriler

14. Denetimde Karşılaşılan Güçlükler Denetim Esnasında Yaşanan Güçlükler • Dokümantasyon eksikliği • Politika, İş akışları, Prosedür ve Görev Tanımlarının mantıksal bütünlüğünün bulunmaması • Denetimin amacının anlaşılmaması • Yönetmeliğin iyi yorumlanmaması • İş hedefleri ve denetim çalışmalarının getirdiği yoğunluk • Görüşmelerin uzaması • Hıyerarşik yaklaşım • Elde edilecek faydanın daha sonra farkedilmesi • COBIT metodolojisinin yorumlanması

15. Denetimde Karşılaşılan Güçlükler İş Süreçler • Süreç sorumlularının atanmasındaki gecikme • Süreç sahiplerinin doğru atanmaması • Süreçten sorumlu olan ve hesap verebilen gerçek sahibinin aranması ihtiyacı ortaya çıkmıştır. • Süreçlerin muhataplar tarafından sahiplenilmemesine yol açmıştır. • Kontrol kavramı eksikliği • BBSD kapsamı ve yönetmelik hakkında bilgi eksikliği Kurum Yapısı • Bazı kurumlarda, bilgi ve belge ihtiyacında sürekli olarak hiyerarşideki üst yöneticilerden onay alınmasının talep edilmesi • Bazı kurumlarda BT organizasyonunun karmaşıklığı ve fonksiyonel olarak yaygınlığı • Yapıların kontrol noktalarınının belirlenmesine uygun olmayışı

16. Denetimde Karşılaşılan Güçlükler Denetimlerin başlangıç tarihlerindeki gecikmeler Temel Güçlükler Denetim kapsamının daha net tanımlanmaması Kapsamın genişliği Olgunluk seviyelerinin belirlenmesindeki yöntemin bilinmemesi Yönetmeliğin isminden içeriğinin anlaşılamaması, denetimlerin sadece Bilgi Teknolojisi birimleri ile kısıtlı olduğunun algılanması

17. Denetimde Karşılaşılan Güçlükler COBIT Önceki sürümdeki gibi Denetim Kılavuzları’nın (Audit Guidelines) bulunmaması Farklı organizasyon ve sistem yapıları olan kuruluşların aynı detay kriterlere göre değerlendirilmesi COBIT 4.0’a yapılan adreslemelerin bütünsel ve tutarlı olmaması, kontrol hedefleri arasında sınırların kesin olarak belirlenmemesi Olgunluk Modelinde; Üst Düzey Kontrol Hedefleri, Detaylı Kontrol Hedefleri ve Yönetim Kılavuzları adımlarında tutarsızlıklar COBIT Detay Kontrol Hedefleri adımlarında, genel kabul gören ve bilinen uygulamalara yer verilmemiş olması

18. Denetimde Karşılaşılan Güçlükler Risklerin tanımlanmasında net bir tanım oluşturamama Hazırlık çalışmalarının istenilen ölçüde tamamlanamaması Dokümantasyonun içinde tekrarların olması Denetimi ilk defa gerçekleştirmenin getirdiği tecrübe eksikliği Rapor formatının geç oluşturulmasi Denetim Denetim planlarının oluşturulmasındaki gecikmeler Eleman eksikliği ve kayıpları Yönetmelik öncesinde Yeterli ve deneyimli kadroların istihdam edilememesi

19. İçerik • BBSD Kapsamı • COBIT • Uygulama Kontrolleri • Denetimde Karşılaşılan Güçlükler • Öneriler

20. Öneriler • Hayata geçirmek için zaman tanınmalı • Denetim kapsamı standardize edilmeli • Denetim yöntemi standardize edilmeli • Kapsamda rotasyon uygulanmalı • Yönetmeliğin adı ve denetçi ünvan kriterleri tekrar düzenlenmeli • İş akışları tamamlanmalı • Sözleşmeler onaya tabi olmalı • Rapor formatı basitleştirilmeli • Risk matrisi uygulamaya alınmalı • İştirakler için minimum kapsam belirlenmeli • Olgunluk seviyesi belirlenmesi zorunlu olmamalı