SPK bilgi sistemleri bağımsız denetimi, aracı kurumlar, portföy yönetim şirketleri ve borsa gibi sermaye piyasası kuruluşlarının kullandığı bilgi sistemlerinin, kurumdan bağımsız yetkili denetçilerce belirli aralıklarla incelenmesini öngören düzenleyici bir yükümlülüktür. Denetimin amacı, yatırımcı işlemlerini yürüten sistemlerin güvenilir, izlenebilir ve dayanıklı olduğunu kurum dışından bir gözle doğrulamaktır.

Bağımsız bilgi sistemleri denetimi, sermaye piyasası altyapısının güvenliğini kurumun kendi beyanına değil, dışarıdan bir denetçinin kanıta dayalı yargısına bağlar.

Denetim Neyi Kapsar?

İnceleme, sunucu odalarındaki fiziksel erişimden alım-satım uygulamasının kod değişikliklerine, yedekleme prosedürlerinden yetkilendirme matrislerine kadar geniş bir alanı tarar. Denetçi, kurumun kendi ilan ettiği kontrollerin gerçekten çalışıp çalışmadığını örnek işlemler üzerinden test eder; örneğin bir kullanıcının işten ayrıldığında erişiminin gerçekten kapatıldığını kayıtlardan izler.

Denetimin çerçevesi büyük ölçüde SPK Bilgi Sistemleri Tebliği ile çizilir; bu düzenleme hangi kontrollerin bulunması gerektiğini, denetimin hangi sıklıkta yapılacağını ve raporun kime sunulacağını belirler. Denetçinin görevi bu çerçevedeki her başlığın kurumda karşılığının olup olmadığını somut delillerle ortaya koymaktır.

Bağımsızlık Neden Belirleyici?

Kurumun kendi ekibi de sistemleri kontrol eder, ancak bağımsız denetimin ağırlığı denetçinin kurumla çıkar ilişkisi bulunmamasından gelir. Burada İç denetim ve bağımsız denetim arasındaki fark önemlidir: iç denetim süreklidir ve yönetime bağlıdır, bağımsız denetim ise dışarıdan, belirli bir dönem için ve düzenleyiciye hesap verecek şekilde yürütülür. İki mekanizma birbirinin yerine değil tamamlayıcısı olarak çalışır.

Denetim sonunda ortaya çıkan rapor teknik bir belge değil, hukuki sonuçları olan bir güvence beyanıdır. Bu belgeyi doğru okuyabilmek başlı başına bir yetkinliktir; Bağımsız güvence raporlarının okunması konusundaki hakimiyet, raporda yer alan çekince ve sınırlamaların gerçek anlamını kavramayı sağlar.

Diğer Sektör Denetimleriyle İlişkisi

Bu denetim modeli finans sektörüne özgü değildir; yapısı ve mantığı BDDK bilgi sistemleri bağımsız denetimi ile büyük ölçüde paralel ilerler. Aynı grup içinde hem banka hem aracı kurum barındıran holdingler, her iki düzenleyicinin de beklentilerini karşılayacak ortak bir kontrol çerçevesi kurarak denetim yükünü sadeleştirebilir.

Denetime hazırlıklı girmek, eksiklerin denetçi tarafından değil kurum tarafından önceden bulunmasıyla mümkün olur. Sistem mimarisinin ve kontrol noktalarının denetim öncesinde bağımsız bir gözle taranması bu hazırlığın temelidir; Altyapı ve mimari gözden geçirme hizmetimiz denetimde karşınıza çıkacak bulguları siz henüz kontrol sizdeyken görünür kılar.