SPK denetim hazırlığı nedir?

SPK denetim hazırlığı; mevzuat gereklilikleri ile kurumun gerçek uygulamaları arasında izlenebilir bağ kurulması, kontrol kanıtlarının düzenlenmesi, eksiklerin aksiyon planına alınması ve denetim sırasında sunulacak kayıtların güncel tutulması çalışmasıdır.

SPK denetiminde sadece politika ve prosedürler yeterli midir?

Hayır. Politika ve prosedürlerin yanı sıra uygulandıklarını gösteren yönetim kararları, kullanıcı ve yetki kayıtları, risk ve varlık envanterleri, yedekleme ve geri dönüş testleri, log kayıtları, olay ve tedarikçi kayıtları gibi kanıtlar gerekir.

Denetim hazırlığı ne zaman başlamalıdır?

En sağlıklı yaklaşım denetim tarihini beklemeden sürekli kanıt üretmek ve periyodik iç gözden geçirme yapmaktır. Denetim yaklaştığında ise açık aksiyonlar, kanıt tamlığı ve güncellik yeniden kontrol edilir.

Uyum danışmanlığı ile bağımsız denetim aynı hizmet midir?

Hayır. Uyum danışmanlığı kurumun kontrol, doküman, uygulama ve kanıt yapısını oluşturmasına destek olur. Bağımsız denetim ise yetkili denetim kuruluşu tarafından bağımsızlık ilkeleri çerçevesinde yürütülen ayrı bir faaliyettir.

Ön Görüşme

SPK VII-128.10 • Denetim Hazırlığı

SPK Denetimine Hazırlık Kanıt, Kayıt ve Aksiyon Yönetimi

Denetim hazırlığını son anda belge toplama işi olarak değil; mevzuat gereklilikleri, gerçek uygulamalar ve denetim kanıtları arasında izlenebilir bağ kuran sürekli bir çalışma olarak ele alıyoruz.

Ön Değerlendirme Talep Edin Kanıt Rehberini Okuyun

Yaklaşım

Denetimde asıl soru: “Bu kontrol gerçekten uygulanıyor mu?”

Bir politikanın mevcut olması önemlidir; ancak denetimde politikanın onaylandığını, duyurulduğunu, uygulandığını ve düzenli gözden geçirildiğini gösteren kayıtların bulunması gerekir.

Bisod yaklaşımında her gereklilik için madde → kontrol → kanıt → durum → aksiyon zinciri kurulur. Böylece eksikler yalnızca listelenmez; sorumlu ve hedef tarihle birlikte izlenir.

Denetim Hazırlık Kontrolü

Kontrol uygulanıyor mu?
Kanıt mevcut ve güncel mi?
Sorumlu kişi belli mi?
Açık aksiyonların termini var mı?
Yönetim gözetimi kanıtlanabiliyor mu?

Kanıt Alanları

Denetim öncesinde hangi başlıklar gözden geçirilir?

Yönetim ve Görevlendirmeler

Yönetim kararları, politika onayları, Bilgi Güvenliği Sorumlusu ataması, görev tanımları ve raporlama kayıtları.

Kullanıcı ve Yetkiler

Güncel kullanıcı listeleri, işe giriş-çıkış kayıtları, ayrıcalıklı hesaplar, yetki onayları ve periyodik erişim gözden geçirmeleri.

Varlık ve Risk

Varlık envanteri, sahiplik ve sınıflandırma; risk envanteri, risk işleme planı ve açık aksiyonlar.

Yedekleme ve Süreklilik

Yedekleme kayıtları, geri dönüş testleri, iş sürekliliği planı, test sonuçları ve iyileştirme aksiyonları.

Log, Olay ve Zafiyet

Log kayıtları, güvenlik olayları, zafiyet/güncelleme takibi, kök neden ve düzeltici faaliyet kayıtları.

Tedarikçi ve Dış Hizmet

Sözleşmeler, erişim yetkileri, gizlilik, hizmet seviyeleri, olay bildirim koşulları ve tedarikçi değerlendirmeleri.

Çalışma Modeli

Denetim hazırlığı dört aşamada yürütülür

Kanıt Matrisi

Kontrol noktaları ve beklenen kanıtlar eşleştirilir.

Kanıt Toplama

Mevcut kayıtlar, ekran görüntüleri, listeler, raporlar ve yönetim kararları düzenlenir.

Eksik ve Aksiyon

Eksikler önem derecesine göre önceliklendirilir, sorumlu ve hedef tarih atanır.

Prova ve Son Kontrol

Kanıt güncelliği, erişilebilirlik ve anlatım bütünlüğü son kez gözden geçirilir.

Önemli Ayrım

Danışmanlık ≠ Bağımsız denetim

Bisod; kurumun kontrol yapısını, dokümantasyonunu, kanıtlarını ve aksiyon takibini denetime hazır hale getirmesine destek olur. Bağımsız bilgi sistemleri denetimi ise yetkili denetim kuruluşu tarafından ayrı ve bağımsız bir faaliyet olarak yürütülür.

Genel SPK Hizmetini İnceleyin

İlgili Rehberler

Denetim hazırlığını besleyen temel çalışmalar

Gap Analizi

Varlık Envanteri

Risk Analizi

BGS / vCISO

Sık Sorulan Sorular

SPK denetim hazırlığı

Denetim tarihini beklemeden, yıl boyunca düzenli kanıt üretmek ve periyodik kontrol yapmak en sağlıklı yöntemdir.

Hayır. Politikaların onayı, duyurusu, uygulanması ve gözden geçirilmesini gösteren kayıtlar da bulunmalıdır.

Kanıtların mevzuat maddesi veya kontrol noktasıyla eşleştirilmesi, güncel versiyonlarının saklanması ve sorumlu kişilerin bilinmesi denetimde izlenebilirliği kolaylaştırır.

Denetim Öncesi Kontrol

Kanıtlarınızı ve açık aksiyonlarınızı birlikte gözden geçirelim

Mevcut dokümanlar, kayıtlar, teknik kanıtlar ve açık aksiyonlar üzerinden denetim hazırlık seviyenizi değerlendirelim.

Ön Görüşme Talep Edin