Tebliğ maddesinden risk puanına: SPK BSY'yi koda çevirmek
Bir düzenleme metni nasıl olur da kendi kendine puan üreten bir sisteme dönüşür? Pusula'da izlediğim yol.
SPK'nın Bilgi Sistemleri Yönetimi tebliği onlarca madde ve her madde için "yapılıyor mu, kanıtı var mı" sorusu demek. Excel'de yürütülen bu iş, denetim günü geldiğinde kanıt aramaya dönüşüyor. Amaç, maddeyi önce bir soruya, sonra bir puana, sonra bir işe çevirmekti.
Önce soru
Her madde, cevabı sorumlusu belli olan bir soruya dönüşüyor. Sorumlu yalnız kendi sorusunu görür, gönderemez; gönderme yetkisi değerlendirmeyi yürütende kalır. Böylece "kim ne dedi" denetim izinde tutuluyor.
Sonra puan
Cevap, olasılık ve etkiden oluşan bir risk kaydı doğuruyor. Kurum ölçeğini kendi seçiyor: 4+2 ya da 5+3. Puan ve seviye eşikleri yapılandırılabilir; matriste hangi hücrenin "kritik" olduğunu tebliğ değil kurum söyler.
Düzenleme neyi istediğini söyler, nasıl ölçeceğinizi değil. Ölçek kurumun kararı olmalı.
En sonunda iş
Belirli seviyenin üstündeki risk, sorumlusuna ticket olarak açılıyor; ticket'taki herkese açık takipler risk kaydına geri akıyor. Kabul akışı onaylayana bağlı: riski kim kabul etti, hangi tarihte, hangi gerekçeyle. Denetçi sorduğunda cevap sistemin içinden çıkıyor.
- Hazır setler: SPK BSY VII-128.10, ISO 27001, KVKK, BDDK, EPDK
- Düzenlemeler arası eşleme: tek cevap birden fazla maddeyi kapatır
- Kanıtlar GLPI dokümanı olarak, varlıklarla bağlantılı