BİLİŞİM SİSTEMLERİ KONTROLLERİNİN DEĞERLENDİRİLMESİ

Öğrenme Hedefi Bu bölümün sonunda katılımcılar; “Temel Düzeyde Bilişim Sistemleri Kontrollerini Değerlendirme Formu”nu kullanarak bir kurumun bilişim sisteminden kaynaklanan kontrol zayıflıklarını belirleyecek şekilde bilişim sistemleri kontrollerini değerlendirebileceklerdir.

Bilişim Sistemlerindeki Kontroller-1 Denetçi; kurumun bilişim sistemindeki işlem ve uygulamaların güvenlik ve güvenilirliğini sağlayan iç kontrolleri inceler. kurum yönetimince sistemin güvenlik ve güvenilirliğini sağlayan tedbirlerin alınıp alınmadığını ve yetkisiz erişimi engelleyecek mekanizmaların kurulup kurulmadığını temel düzeyde değerlendirir.

Bilişim Sistemlerindeki Kontroller-2 Denetçi sistem kontrollerinin yeterli olup olmadığını anlamak amacıyla, Temel Düzeyde Bilişim Sistemleri Kontrollerini Değerlendirme Formundan (Ek:6) yararlanarak; Politika ve Strateji Kontrolleri Yazılım Geliştirme ve Değişim Yönetimi Kontrolleri Fiziksel ve Çevresel Kontroller ve Mantıksal Erişim Kontrolleri ile ilgili çalışma yapar. Yapılan çalışma ile sistem kontrollerinin hiç ya da yetersiz düzeyde olduğu sonucuna ulaşılır ise kurumun maruz kalacağı riskler değerlendirilerek öneriler ile birlikte kuruma raporlanmalıdır.

Politika ve Strateji Kontrolleri Denetçi yeterli ve güvenli bir bilişim ortamının oluşturulması için yönetim tarafından belirlenen ve onaylanan uygun politika ve prosedürlerin olup olmadığını değerlendirerek olası riskleri tespit eder.

Yazılım Geliştirme ve Değişim Yönetimi Kontrolleri Bilişim sistemini güncelleyen kurumun tüm sistem ve program değişikliklerinin doğru, yerinde ve belgelerine dayandığı, test edildiği ve değişikliklere ilişkin tüm denetim izlerinin korunduğu hususlarında gerekli olan yönetim kontrolleri değerlendirilerek olası riskler tespit edilir.

Fiziksel ve Çevresel Kontroller Kurum tarafından bilişim sistemlerine yetkisiz erişimi engelleyecek ve kurum varlıklarının fiziksel ve çevresel her türlü tehlikeye karşı korunup sürekliliğini sağlayacak tedbirlerin alındığı hususlarında yapılacak çalışmalar olup denetçi olası riskleri belirler.

Mantıksal Erişim Kontrolleri Sistemi, mali uygulamaları ve öncelikli veri dosyalarını yetkisiz erişim, değiştirme veya silme girişimlerine karşı koruyacak mekanizmaların oluşturulup oluşturulmadığına ilişkin yapılan çalışma ile denetçi olası riskleri değerlendirir.

Sistem Kontrollerine İlişkin Çalışma Sonuçlarının Değerlendirilmesi Tespit dilen kontrol zayıflıkları sistemde gerçekleştirilen işlemlerin etkilediği hesap alanları açısından değerlendirilir. Denetim yaklaşımının belirlenmesinde tespit edilen riskler diğer risklerle birlikte değerlendirilir. Kontrol zaaflarına karşı kurumun telafi edici önlemler alıp almadığı belirlenir. Kontrol zaafları ve öneriler kuruma “Denetim Raporu” ile raporlanır. Kontrol zaafları mali tabloların genelini etkileyecek düzeyde önemli ise iç kontrollere ilişkin denetim görüşü olumsuzlanır.