|
BİLGİ SİSTEMLERİ BAĞIMSIZ DENETİM
TEBLİĞİ
(III-62.2)
BİRİNCİ BÖLÜM
Amaç, Kapsam, Dayanak ve Tanımlar
Amaç
MADDE 1 – (1) Bu Tebliğin amacı, 2 nci
maddede sayılan Kurum, Kuruluş ve Ortaklıkların bilgi sistemlerinin
bağımsız denetimi ile bu faaliyette bulunacak bağımsız denetim
kuruluşlarının yetkilendirilmesine ve denetim sonuçlarının raporlanmasına
ilişkin usul ve esasları belirlemektir.
Kapsam
MADDE 2 – (1) Bu Tebliğ, aşağıdaki Kurum,
Kuruluş ve Ortaklıkların bilgi sistemlerinin bağımsız denetiminde
uygulanır:
a) Borsa İstanbul A.Ş.,
b) Borsalar ve piyasa işleticileri ile
teşkilatlanmış diğer pazar yerleri,
c) Emeklilik yatırım fonları,
ç) İstanbul Takas ve Saklama Bankası A.Ş.,
d) Merkezi Kayıt Kuruluşu A.Ş.,
e) Portföy saklayıcısı kuruluşlar,
f) Sermaye Piyasası Lisanslama Sicil ve Eğitim
Kuruluşu A.Ş.,
g) Sermaye piyasası kurumları,
ğ) Halka açık ortaklıklar,
h) Türkiye Sermaye Piyasaları Birliği,
ı) Türkiye Değerleme Uzmanları Birliği.
i) (Ek:RG-13/3/2025-32840)[1] Kripto Varlık
Hizmet Sağlayıcılar.
(2) (Değişik:RG-13/3/2025-32840)1 Birinci fıkrada sayılan Kurum, Kuruluş ve
Ortaklıklardan, 6/12/2012 tarihli ve 6362 sayılı Sermaye Piyasası Kanununun
136 ncı maddesi uyarınca banka ve sigorta şirketleri ile 21/11/2012 tarihli
ve 6361 sayılı Finansal Kiralama, Faktoring, Finansman ve Tasarruf
Finansman Şirketleri Kanunu uyarınca finansal kiralama, faktoring,
finansman ve tasarruf finansman şirketlerinin bilgi sistemlerinin kendi
özel mevzuatında belirlenen ilkeler çerçevesinde denetlenmesi, bu Tebliğde
öngörülen yükümlülüklerin yerine getirilmesi hükmündedir. Söz konusu Kurum,
Kuruluş ve Ortaklıklar, kendi özel mevzuatına aykırı olmamak kaydıyla bilgi
sistemleri bağımsız denetimi raporlarının Kurula sunulmasında bu Tebliğ
hükümlerine tabidirler.
(3) Bilgi sistemleri bağımsız denetimi, Kurul
tarafından sermaye piyasasında bilgi sistemleri bağımsız denetimi yapmakla
yetkilendirilmiş bağımsız denetim kuruluşları tarafından gerçekleştirilir.
Dayanak
MADDE 3 – (1) Bu Tebliğ, 6362 sayılı
Kanunun 62 nci maddesinin ikinci fıkrası, 72 nci maddesinin üçüncü fıkrası
ile 128 inci maddesinin birinci fıkrasının (c) ve (h) bentlerine
dayanılarak hazırlanmıştır.
Tanımlar ve kısaltmalar
MADDE 4 – (1) Bu Tebliğde geçen;
a) BDS: Kamu Gözetimi, Muhasebe ve Denetim
Standartları Kurumu tarafından yürürlüğe konulmuş olan Türkiye Denetim
Standartları ile bunlara ilişkin ek ve yorumları,
b) Bilgi sistemleri denetçisi: Yetkili kuruluş
tarafından görevlendirilmiş ve 15 inci maddede belirtilen unvanlarına yer
verilen denetçileri,
c) BSY Tebliği: Kurul’un VII-128.9 sayılı Bilgi
Sistemleri Yönetimi Tebliği’ni,
ç) Kanun: 6362 sayılı Kanunu,
d) KGK: Kamu Gözetimi, Muhasebe ve Denetim
Standartları Kurumunu,
e) Kontrol: Bilgi sistemleri süreçleriyle ilgili
olarak gerçekleştirilen ve iş hedeflerinin gerçekleştirilmesi, istenmeyen
olayların engellenmesi, belirlenmesi ve düzeltilmesine ilişkin yeterli
derecede güvenceyi oluşturmayı hedefleyen politikalar, prosedürler,
uygulamalar ve organizasyonel yapıların tamamını,
f) Kurul: Sermaye Piyasası Kurulunu,
g) Kurum, Kuruluş ve Ortaklıklar: 2 nci maddenin
birinci fıkrasında sayılan kurum, kuruluş ve ortaklıkları,
ğ) Seri:X No:22 Tebliği: 12/6/2006 tarih ve 26196
Mükerrer sayılı Resmî Gazete’de yayımlanan Seri:X No:22 sayılı Sermaye
Piyasasında Bağımsız Denetim Standartları Hakkında Tebliğini,
h) Sermaye Piyasası Kurumları: Kanunun 35 inci
maddesinde sayılan kurumları,
ı) Yetkili kuruluş: Sermaye piyasasında bilgi
sistemleri bağımsız denetimi faaliyetinde bulunmak üzere Kurulca
yetkilendirilmiş bağımsız denetim kuruluşunu,
ifade eder.
İKİNCİ BÖLÜM
Bilgi Sistemleri Bağımsız Denetim
Faaliyetlerine İlişkin Genel Esaslar
Bilgi sistemleri bağımsız denetiminin amacı ve
kapsamı
MADDE 5 – (1) Bilgi sistemleri bağımsız denetimi,
bilgi sistemleri yönetimi ve işletimi kapsamında yer alan faaliyet, yazılım
ve donanım gibi bilgi sistemi unsurları ile bu sistem dâhilinde tesis
edilen kontrollerin BSY Tebliğinde düzenlenen bilgi sistemleri yönetim
ilkeleri doğrultusunda değerlendirilmesi sonucunda görüş oluşturulması ve
rapora bağlanması aşamalarından oluşan süreçtir.
(2) Bilgi sistemleri bağımsız denetiminin temel
amacı denetlenen Kurum, Kuruluş ve Ortaklıkların bilgi sistemlerinin ve bu
sisteme ilişkin iç kontrollerinin BSY Tebliğinde düzenlenen bilgi
sistemleri yönetim ilkeleri doğrultusunda uyumluluk, etkinlik ve
yeterliliği hakkında görüş oluşturulmasıdır.
(3) Bilgi sistemleri denetçisi, bilgi sistemleri
kapsamında inceleyeceği sistem, faaliyet ve kontrol mekanizmalarını, risk
odaklı bir bakış açısıyla ve önemlilik kriterini esas alarak yazılı bir
plan dahilinde belirler. Bununla birlikte bilgi sistemleri denetçisi,
önemlilik kriteri çerçevesinde belirlediği denetimlerin kapsamının, bu
Tebliğ kapsamında oluşturacağı denetim görüşüne makul güvence sağlamak için
yeterli denetim kanıtı elde edecek şekilde olmasını temin eder.
Önemlilik ve denetim riski
MADDE 6 – (1) Önemlilik, mesleki bilgi ve
tecrübeye dayalı bir mütalaa konusu olup; kontrol zayıflıkları sonucu
ortaya çıkan ya da çıkabilecek hataların, ihmallerin, prosedürlere
aykırılıkların ve hukuka aykırı fiillerin, denetlenen Kurum, Kuruluş ve
Ortaklıkların finansal verilerini raporlamalarına, güvenli ve kesintisiz
hizmet sağlamalarına olan ya da olabilecek etkisinin değerlendirilmesidir.
(2) Bilgi sistemleri bağımsız denetiminde
önemlilik kavramı, denetimin planlanması, gerekli alanlarda
yoğunlaştırılması, bulguların değerlendirilmesi ve raporlanması için
kullanılabilir. Başta finansal veriler olmak üzere denetlenen açısından hassasiyet
arz eden verilerin bütünlüğü, tutarlılığı, güvenilirliği, gereken
durumlarda gizliliği ve faaliyetlerin sürekliliği önemlilik kavramı
kapsamında dikkate alınması gereken temel unsurlardır.
(3) Finansal raporları etkileyen kontrollerin
değerlendirilmesinde, süreç veya sistem tarafından yürütülen finansal
işlemin değeri, işlem sıklığı gibi öğeler kullanılırken, finansal işlemlere
ilişkin olmayan kontrollerin değerlendirilmesinde ise iş sürecinin
kritikliği, sistem ve operasyonların maliyeti, hataların muhtemel
sonuçlarının büyüklüğü, bir zaman aralığında gerçekleşen işlem/sorgu
sayısı, tutulan dosyaların ve üretilen raporların niteliği, zamanlaması ve
kapsamı, hizmet seviyesi anlaşmalarının gerekleri ve ceza maddelerindeki
para cezası tutarları gibi öğeler kullanılır.
(4) Denetim riski, bilgi sistemleri denetçisinin
aşağıdaki risklere bağlı olarak doğru görüş vermemesi olasılığıdır:
a) Yapısal risk: Kontrolün olmaması nedeniyle, en
azından kayda değer olan bir kontrol eksikliğinin var olması riskini ifade
eder.
b) Kontrol riski: Kontrolün layıkıyla çalışmaması
sebebiyle, en azından kayda değer olan bir kontrol eksikliğini
önleyememesi, ortaya çıkaramaması veya zamanında düzeltememesi riskini
ifade eder.
c) Tespit riski: Bilgi sistemleri denetçisinin, denetlenen
Kurum, Kuruluş ve Ortaklıkların bilgi sistemlerinde yer alan en azından
kayda değer olan bir kontrol eksikliğini ortaya çıkaramaması riskini ifade
eder.
(5) Önemli veya kayda değer kontrol eksikliği
riski: Denetlenen Kurum, Kuruluş ve Ortaklıkların bilgi sistemlerinde en
azından kayda değer olan bir kontrol eksikliğinin bulunması riskini ifade
eder. Önemli ya da kayda değer kontrol eksikliği riski, yapısal risk ve
kontrol riskinden kaynaklanır.
(6) Bilgi sistemleri denetçisi, denetim riskini
makul düzeye indirebilmek için, önemli veya kayda değer kontrol eksikliği
riskinin yüksek olduğu alanlarda tespit riskini düşürecek şekilde uygun
denetim tekniklerini kullanır.
Kriterler
MADDE 7 – (1) Bilgi sistemleri denetçisi,
incelemeleri neticesinde ulaştığı tespitlere konu kontrol zayıflıkları ve
eksikliklerini önemlilik kavramına göre tasnif etmede aşağıda belirtilen
kriterleri kullanır:
a) Kontrol zayıflığı: Bir kontrolün tasarımının
veya işletilmesinin, hataları zamanında önleme ve tespit etmeye olanak
sağlamaması durumudur.
i) Tasarımdaki kontrol eksikliği, bir kontrol
hedefinin gerçekleşmesini sağlayacak kontrolün bulunmaması ya da var olan
bir kontrolün tasarlandığı şekilde çalışıyor olsa bile tasarımındaki
hatalardan dolayı kendisinden beklenen kontrol hedefini gerçekleştirememesi
durumudur.
ii) İşletimdeki kontrol eksikliği, düzgün
tasarlanmış bir kontrolün tasarlandığı şekilde çalışmaması ya da kontrolü
gerçekleştiren personelin, kontrolün etkin bir şekilde yerine getirilmesi
için gerekli yetki ve yeterliliğe sahip olmaması durumudur.
b) Kayda değer kontrol eksikliği: Denetlenen
Kurum, Kuruluş ve Ortaklıkların verilerinin bütünlüğünün, tutarlılığının,
güvenilirliğinin ve gereken durumlarda gizliliğinin sağlanmasına,
faaliyetlerinin devamlılığının teminine olumsuz etki yapması muhtemel bir
kontrol zayıflığı veya birkaç kontrol zayıflığının bir araya gelmesi sonucu
oluşan önemsiz sayılamayacak eksiklik olarak tanımlanır. Denetlenen Kurum,
Kuruluş ve Ortaklıkların finansal verilerinin güvenilir bir şekilde genel
kabul görmüş muhasebe standartlarına uygun olarak kaydedilmesi, kayıtların
yetkilendirilmesi, işlenmesi veya raporlanması sırasında oluşan hataların
ve ihmallerin önlenmesine olumsuz etki yapması muhtemel eksiklikler de bu
kapsamda değerlendirilir.
c) Önemli kontrol eksikliği: Denetlenen Kurum,
Kuruluş ve Ortaklıkların dönemsel olarak yaptığı finansal raporlamalarda
önemli bir yanlışlığın önlenmesini veya düzeltilmesini engelleyecek veya
denetlenen Kurum, Kuruluş ve Ortaklıkların bünyesinde yürütülen
faaliyetlere ilişkin bilgilerin bütünlüğünün ve tutarlılığının,
güvenilirliğinin, devamlılığının ve gereken durumlarda gizliliğinin
sağlanmasına önemli olumsuz etki yapması kuvvetle muhtemel bir veya birkaç
kontrol zayıflığının bir araya gelmesidir.
Etkinlik, yeterlilik ve uyumluluk
MADDE 8 – (1) Bir kontrolün tasarımının
etkin olarak kabul edilebilmesi için, tasarımdaki kontrol eksikliğinin bu
kontrol bünyesinde bulunmaması veya bulunsa dahi önemli kontrol eksikliğine
sebebiyet vermemesi gerekir.
(2) Bir kontrolün işletiminin etkin olarak kabul
edilebilmesi için, işletimdeki kontrol eksikliğinin bu kontrol bünyesinde
bulunmaması veya bulunsa dahi önemli kontrol eksikliğine sebebiyet
vermemesi gerekir.
(3) Bilgi sistemleri kontrollerinin yeterli
olması, önemlilik ilkesi çerçevesinde denetime tabi tutulan tüm
kontrollerin tasarımlarının etkin olduğunu ve bu kontrollerin iş hedefleri
çerçevesinde kendilerinden beklenen sonucu üretebilecek ve maruz
kalınabilecek riskleri telafi edebilecek şekilde tasarlandıklarını ifade
eder.
(4) Bilgi sistemleri kontrollerinin etkin olması,
önemlilik ilkesi çerçevesinde denetime tabi tutulan tüm kontrollerin
işletimlerinin etkin olduğunu ve bu kontrollerin, kendilerinden beklenen
işlevleri ve kontrol hedeflerini yerine getirdiklerini ifade eder.
(5) Bir kontrolün uyumlu sayılabilmesi için
kontrole ilişkin Kanun ve bu Kanuna istinaden yayımlanan alt düzenlemeler
ve talimatlarda yer alan hususların ve yükümlülüklerin tamamının
karşılanması gerekir. Bilgi sistemleri kontrollerinin uyumlu olması,
önemlilik ilkesi çerçevesinde denetime tâbi tutulan tüm kontrollerin uyumlu
olduğunu ifade eder.
Bilgi sistemleri bağımsız denetimi ile
bağımsız denetimin ilişkisi
MADDE 9 – (1) Bağımsız denetim ile bilgi
sistemleri bağımsız denetimi, birbirlerinin kapsam ve sonucunu etkileyecek
hususlar ihtiva etmeleri nedeni ile etkileşimli bir yaklaşım içinde
planlanır ve uygulanır.
(2) Bilgi sistemleri denetçisi, bilgi sistemleri
bağımsız denetiminin kapsamını belirlerken ve bu kapsamdaki çalışmalarını
yürütürken; denetim görüşünü destekleyecek düzeyde yeterli denetim kanıtı
elde edilmesinin yanı sıra, bağımsız denetime ilişkin denetim riski
değerlendirmelerini desteklemek için de denetim kanıtı elde edilmesini
gözetir.
(3) Bilgi sistemleri bağımsız denetimine ilişkin
görüşün “şartlı”, ”olumsuz” ya da “görüş bildirmekten kaçınma” şeklinde
olması durumunda; görüş ve görüşe esas teşkil eden tespitler bağımsız
denetçiye yazılı olarak iletilir. Bu husustaki sorumluluk Kurum, Kuruluş ve
Ortaklıkların yönetim kuruluna aittir.
(4) Bağımsız denetçi tarafından, bağımsız denetim
çalışmalarında kullanılmak üzere bilgi sistemleri ve denetimine ilişkin
talep edilen bilgi ve belgelerin, bilgi sistemleri denetçisi tarafından
bağımsız denetçiye iletilmesi esastır.
İç kontrol ve iç denetim sistemine ilişkin
değerlendirme
MADDE 10 – (1) Bilgi sistemleri
denetçisinin bilgi sistemleri kontrolleriyle sınırlı olmak üzere denetlenen
Kurum, Kuruluş ve Ortaklıkların iç kontrol ve iç denetim sistemleri
bünyesinde önemlilik kriteri çerçevesinde yürüttüğü çalışmalara ilişkin
olarak BDS 315 İşletme ve Çevresini Tanımak Suretiyle Önemli Yanlışlık
Risklerinin Belirlenmesi Standardı ile BDS 610 İç Denetçi Çalışmalarının
Kullanılması Standardında yer alan hükümler kıyasen uygulanır.
ÜÇÜNCÜ BÖLÜM
Bilgi Sistemleri Bağımsız Denetim
Faaliyetinde Bulunma Şartları
Yetkilendirilecek kuruluşlarda aranan şartlar
MADDE 11 – (1) Bilgi sistemleri bağımsız
denetimi yapmak üzere yetkilendirilecek bağımsız denetim kuruluşlarının;
a) Sermaye piyasasında bağımsız denetimle yetkili
kuruluşlar listesinde yer alması,
b) Bilgi sistemleri bağımsız denetimi
faaliyetlerini yürütecek düzeyde yeterli sayı ve nitelikte bilgi sistemleri
denetçisi istihdam etmesi,
c) Yeterli teknik donanım, belge ve kayıt
düzenine sahip olması,
şarttır.
Bilgi sistemleri denetçisine ilişkin şartlar
MADDE 12 – (1) Bilgi sistemleri bağımsız
denetimi yapmak üzere görevlendirilecek denetçi yardımcısı dışında kalan
denetçilerin;
a) Bilgi Sistemleri Bağımsız Denetim Lisans
Belgesi veya Bilgi Sistemleri Denetim ve Kontrol Birliği (ISACA) tarafından
verilen Bilgi Sistemleri Denetçisi Sertifikasına (CISA) sahip
olmaları,
b) Bilgi sistemleri bağımsız denetimi için
yeterli mesleki bilgi ve 15 inci maddede belirtilen mesleki tecrübeye sahip
olmaları,
c) Müflis olmamaları, yüz kızartıcı ve
bilişim alanındaki bir suçtan mahkûm bulunmamaları,
ç) Sermaye piyasası mevzuatı veya diğer mevzuat
uyarınca bağımsız denetim veya bilgi sistemleri bağımsız denetim yapma
yetkisi iptal edilmiş olan kuruluşlarda yetki iptaline neden olan bağımsız
denetim faaliyetlerinde sorumluluklarının tespit edilip bağımsız denetim
faaliyetinde bulunmaktan sürekli olarak yasaklanmamış ve bağımsız denetim
faaliyetinde bulunması süreli olarak yasaklananların ise yasaklarının
süresi sonunda Kurulca kaldırılmış olması,
d) Faaliyet yetki belgelerinden biri veya birden
fazlası iptal edilmiş yahut borsa üyeliği iptal edilmiş kuruluşlarda
iptalde sorumluluğu bulunan kişilerden olmaması,
e) Mülga 2499 sayılı Sermaye Piyasası Kanunu ve
Kanuna muhalefetten dolayı haklarında verilmiş mahkûmiyet kararının
bulunmaması,
f) Türkiye'de yerleşik olmaları,
g) İlgili mevzuat çerçevesinde sermaye
piyasalarında işlem yapmalarının yasaklanmış olmaması,
ğ) Çalışılan bağımsız denetim kuruluşunda tam
zamanlı görev yapmaları,
şarttır.
(2) Bilgi sistemleri denetçi yardımcılarının
birinci fıkranın (c), (ç), (d), (e), (f), (g) ve (ğ) bentlerinde sayılan
koşullara sahip olmaları ve 4 yıllık lisans mezunu olmaları zorunludur.
Kurula başvuru ve yetkilendirme
MADDE 13 – (1) Sermaye piyasasında bilgi
sistemleri bağımsız denetimi faaliyetlerinde bulunmak isteyen bağımsız
denetim kuruluşları aşağıda yazılı hususları içeren bilgi ve belgeler ile
Kurul’a başvururlar:
a) Bilgi sistemleri bağımsız denetiminde görev
alacak bilgi sistemleri denetçilerinin mesleki tecrübelerini, lisans
belgelerini, denetimle ilgili aldıkları eğitimleri, varsa katılmış olduğu
denetim çalışmaları ve bu çalışmalarda almış oldukları görevleri de içeren
ayrıntılı özgeçmişleri, ikametgah adresine, adli sicil kaydının
bulunmadığına, müflis olunmadığına ve mesleki faaliyetler dışında ticari
hiçbir işle uğraşılmadığına ilişkin beyan, lisans ve/veya lisansüstü
eğitimlerine ilişkin diplomalarının/mezuniyet belgelerinin birer örneği,
b) Bilgi sistemleri ve bilgi bağımsız sistemleri
denetimine ilişkin aldığı veya verdiği eğitimlere ilişkin belgelerin birer
örneği,
c) Bilgi sistemleri bağımsız denetimlerinde
görevlendirilecek denetim kadrosunun unvan bazında dağılımına ilişkin
liste,
ç) Bilgi sistemleri bağımsız denetimi faaliyeti
sırasında bağımsızlıklarının ortadan kalkması durumunda verilen denetim
hizmetinden çekileceğini taahhüt etmesine yönelik yazılı taahhüt belgesi,
d) Donanım, belge ve kayıt düzenine ilişkin bilgi
ve belgeler,
e) Merkezi yurtdışında bulunan bir başka şirket
ile hukuki bir bağlantının bulunması durumunda söz konusu şirket ile
yapılan sözleşmenin bir örneği,
f) Bilgi sistemleri bağımsız denetiminden
doğabilecek zararları karşılamak amacıyla mesleki sorumluluk sigortası
yaptırılacağına ilişkin beyan.
(2) Sermaye piyasasında bilgi sistemleri bağımsız
denetimi yapma yetkisi almak üzere başvuruda bulunan bağımsız denetim
kuruluşlarının birinci fıkrada belirtilen bilgi ve belgeler kapsamında
değerlendirilerek mesleki ve teknik açıdan yeterliliklerinin tespitine
yönelik olarak Kurul tarafından yerinde incelemede bulunulması neticesinde,
faaliyet konularını yürütebilecek yeterliliğe sahip oldukları kanaatine
varılması halinde, söz konusu bağımsız denetim kuruluşlarına Kurulca
sermaye piyasasında bilgi sistemleri bağımsız denetimi yapma yetkisi
verilir.
(3) Kurul, başvuruların değerlendirilmesi
sırasında, gerekli görülmesi halinde ek bilgi ve belge isteyebilir. Kurulca
eksikliği tespit edilen veya ek olarak istenen bilgi ve belgelerin,
kuruluşa bildirim tarihini müteakip en geç bir ay içerisinde Kurula
gönderilmesi zorunludur. Belirtilen sürenin aşılması halinde ilgili
kuruluşun başvurusu işlemden kaldırılır.
(4) Bu Tebliğ kapsamında bilgi sistemleri
bağımsız denetimi yapma yetkisinin verilmesine ilişkin koşulların sürekli
olarak sağlanması zorunludur. Kurul gerekli gördüğü durumlarda bu
koşulların sağlanıp sağlanmadığını kontrol edebilir.
(5) Bu Tebliğ kapsamında bilgi sistemleri
bağımsız denetimi yapma yetkisi verilen bağımsız denetim kuruluşlarının
unvanları Kurul internet sitesinde duyurulur.
Bilgi sistemleri bağımsız denetim yetkisinin
kaldırılması
MADDE 14 – (1) Kanunun ilgili hükümleri
çerçevesinde, aşağıda yer alan aykırılıkların varlığı halinde yetkili
kuruluşun, sermaye piyasasında bilgi sistemleri bağımsız denetimi yapma
yetkisi Kurulca iptal edilebilir:
a) 11 inci maddede yer verilen yetkilendirilecek
kuruluşlarda aranan şartların kaybedilmesi,
b) Görev kabulüne ve değişimine ilişkin standart,
ilke ve kurallara uyulmaması,
c) Denetim planı ve çalışma kağıtları ile bunları
destekleyici diğer bilgi ve belgelerin denetim çalışmasını kanıtlayacak
düzeyde bulunmaması,
ç) Denetimlerde Kurula bildirilen bilgi
sistemleri bağımsız denetim sözleşmesinde ve bilgi sistemleri bağımsız
denetim kadrosunda yer alanlar dışında fiilen başka denetçilerin
görevlendirilmesi,
d) Uygun denetim tekniklerinin kullanılmaması
nedeniyle gerekli denetim kanıtlarının elde edilememesi,
e) Yetkili kuruluşun bilgi sistemleri bağımsız
denetimini yaparken, denetlenen Kurum, Kuruluş ve Ortaklıkların
varlıklarının korunmasını, faaliyetlerin Kanuna ve ilgili diğer mevzuata
uygun olarak yürütülmesini, muhasebe ve finansal raporlama sisteminin
güvenilirliğini, bütünlüğünü ve bilgilerin zamanında elde edilmesini önemli
ölçüde olumsuz etkileyecek hususları tespit edemediğinin Kurulca tespit
edilmesi halinde, yetkili kuruluşun bu hususların tespit edilememesinde
kusurlu olmadığını kanıtlayamaması,
f) Yapılan bilgi sistemleri bağımsız denetim
çalışmalarında, sorumlu bilgi sistemleri başdenetçisi dahil denetim
ekibinin dürüstlük, tarafsızlık, mesleki yeterlilik ve özen, bağımsızlık,
güvenilirlik ve mesleki davranış gibi etik ilkelere uymaması,
g) Bildirim yükümlülüklerinin zamanında, tam ve
doğru olarak yerine getirilmemesi ya da Kurulca veya Kurul tarafından
görevlendirilenlerce istenen bilgi ve belgelerin zamanında, istenildiği
şekilde tam ve doğru olarak verilmemesi,
ğ) Hatalı, eksik, yanıltıcı ve gerçeğe aykırı
bilgi sistemleri bağımsız denetim raporu düzenlenmesi,
h) Mesleki sorumluluk sigortasının bilgi
sistemleri bağımsız denetimini de kapsayacak şekilde yaptırılmaması,
ı) Kesintisiz olarak 5 yıl süreyle fiilen bilgi
sistemleri bağımsız denetim faaliyetinde bulunulmamış olması.
(2) Birinci fıkranın (f) bendinde belirtilen
hususlarda bir sorumluluk tespit edilmesi halinde, sorumluluğun içeriğine
göre, Kurul sadece ilgili sorumlu bilgi sistemleri başdenetçi ve/veya bilgi
sistemleri başdenetçi ve/veya bilgi sistemleri kıdemli denetçi ve/veya
bilgi sistemleri denetçilerinin sermaye piyasasında bilgi sistemleri
bağımsız denetimi yapmasını 2 yıldan az olmamak kaydı ile süreli veya
süresiz olarak yasaklayabilir. Bu fıkra kapsamında sermaye piyasasında
bilgi sistemleri bağımsız denetimi yapması yasaklanan denetçiler, söz
konusu yasağın süresi sonunda yasağın kaldırılması için Kurul’a
başvurabilirler; aksi takdirde yasak süresiz olarak uygulanır. Sermaye
piyasasında bilgi sistemleri bağımsız denetimi yapması süreli olarak
yasaklanan denetçilerin yasak süresi sonunda yasağın kaldırılması için Kurula
yapacakları başvurular, ilgili hakkında devam etmekte olan bir inceleme
olup olmadığı da dikkate alınarak Kurulca değerlendirilerek karara
bağlanır. Yasak süresi içerisinde yasağın kaldırılması amacıyla Kurul’a
yapılacak başvurular dikkate alınmaz.
(3) Yetkinin süreli veya süresiz olarak
kaldırılmasından önce ilgili yetkili kuruluşun ve/veya bilgi sistemleri
denetçisinin savunması alınır. Savunma istendiğine ilişkin yazının tebliğ
tarihinden itibaren bir ay içinde savunma verilmemesi halinde savunma hakkından
feragat edildiği kabul edilir.
(4) Yetkili kuruluşun bilgi sistemleri bağımsız
denetimi yapma yetkisinin kaldırılması, bağımsız denetim yapma yetkisinin
de kaldırıldığı anlamına gelmez. Yetkili kuruluşun bağımsız denetim yapma
yetkisinin kaldırılması halinde ise, bilgi sistemleri bağımsız denetimi
yapma yetkisi de hiçbir işleme gerek kalmaksızın kaldırılmış sayılır.
Denetçi unvanları
MADDE 15 – (1) Bilgi sistemleri
denetçileri, kıdem sırasına göre sorumlu bilgi sistemleri başdenetçisi,
bilgi sistemleri başdenetçisi, bilgi sistemleri kıdemli denetçisi, bilgi
sistemleri denetçisi ve bilgi sistemleri denetçi yardımcısı unvanlarını
alırlar.
(2) Bilgi sistemleri denetçisinin,
üniversitelerin veya denkliği yetkili makamlarca kabul edilen yurtdışındaki
yükseköğretim kurumlarının dört yıllık lisans programlarını tamamlamış
olması, fiilen en az üç yıl mesleki tecrübeye sahip olması ve Bilgi
Sistemleri Denetim ve Kontrol Birliği (ISACA) tarafından verilen Bilgi
Sistemleri Denetçisi Sertifikası (CISA) veya Bilgi Sistemleri Bağımsız
Denetim Lisans Belgesine sahip olmaları zorunludur.
(3) Bilgi sistemleri kıdemli denetçisinin, bilgi
sistemleri denetçisi unvanını haiz olabilmek için aranan şartlara sahip
olması ve fiilen en az 6 yıl mesleki tecrübeye sahip olması zorunludur.
(4) Bilgi sistemleri başdenetçisinin bilgi
sistemleri denetçisi unvanına haiz olabilmek için aranan şartları sahip
olması ve fiilen en az 10 yıl mesleki tecrübeye sahip olması zorunludur.
(5) Dördüncü fıkradaki şartları taşıyanlar
Kurulca yapılan değerlendirmeler sonucunda uygun görülmesi halinde sorumlu
bilgi sistemleri başdenetçisi unvanına sahip olurlar. Kurulca yapılacak
değerlendirmede sorumlu bilgi sistemleri başdenetçisinin denetim
raporlarını şirket adına imzalama yetkisi ve sorumluluğu olduğuna dair
beyan ve taahhütleri içeren yönetim kurulu kararı aranır.
(6) Sorumlu bilgi sistemleri başdenetçisi,
bağımsız denetim kuruluşunda bilgi sistemleri başdenetçi unvanını haiz ve
bilgi sistemleri bağımsız denetim çalışmasını kuruluş adına kendi kişisel
sorumluluğu ile yürüten ve kuruluş adına denetim raporlarını imzalamaya
yetkili olan gerçek kişidir.
(7) Bilgi sistemleri bağımsız denetimi,
profesyonel bilgi sistemleri kontrolü veya güvenliği, bilgi sistemleri
geliştirme ve işletimi faaliyetlerinin herhangi birinde ya da birkaçında
geçirilen sürelerin toplamı bu Tebliğ kapsamında mesleki tecrübe olarak
kabul edilir.
(8) Tecrübe şartlarının değerlendirilmesinde
Bilgi Sistemleri Denetçisi Sertifikası (CISA), İç Denetçi Sertifikası (CIA)
ve bilgi sistemleriyle ilgili alanlarda alınan yüksek lisans derecesi ilave
1 yıl, bilgi sistemleriyle ilgili alanlarda alınan doktora derecesi ilave 2
yıl bilgi sistemleri bağımsız denetimi tecrübesi olarak sayılır.
(9) Sorumlu bilgi sistemleri başdenetçiliği
unvanı haricindeki diğer unvanlara yapılan terfiler yetkili kuruluşlar
tarafından yapılır. Bilgi, yetenek ve liyakatleri bir üst kıdemin
gerektirdiği nitelikte olmayanlar tecrübe şartını sağlasalar dahi bir üst
unvana terfi ettirilemezler.
(10) Bu Tebliğ kapsamındaki yetkili kuruluşların
bilgi sistemleri bağımsız denetiminde görevlendirilmiş mensuplarının
tümünün, yılda en az 20 saat, 3 yılda en az 80 saat bilgi sistemleri
bağımsız denetimi alanında sürekli eğitim almaları veya vermeleri zorunludur.
Ekip çalışmasında görev, yetki ve sorumluluk
dağılımı
MADDE 16 – (1) Her bir denetim için en az
biri asil ve biri yedek olmak üzere iki kişiden oluşan bir denetim ekibi
oluşturulur ve her bir denetim en az bir kişi olmak üzere işin gerektirdiği
sayı ve nitelikte denetçilerden oluşan ekip tarafından gerçekleştirilir.
Sorumlu bilgi sistemleri başdenetçisi başkanlığında, bilgi sistemleri
başdenetçisi, bilgi sistemleri kıdemli denetçisi veya bilgi sistemleri
denetçisinden oluşan ekiplerdeki görev, yetki ve sorumluluk dağılımı
aşağıdaki kıstaslara göre yapılır:
a) Sorumlu bilgi sistemleri başdenetçisi,
denetçilerin görev, yetki ve sorumluluklarına ilave olarak, bilgi
sistemlerinin BSY Tebliğine uygunluğu konusunda karar vermekle yükümlüdür.
b) Bilgi sistemleri başdenetçisi ve bilgi
sistemleri kıdemli denetçisi, denetim faaliyetlerinin planlanması,
yürütülmesi, çalışma kağıtlarının incelenmesi, gereken revizyonların
yapılması ve denetlenen Kurum, Kuruluş ve Ortaklıkların yetkilileri ile
görüşülmesi gibi konularda denetçilerin sorumluluklarını paylaşır, önemli
durumlarda son kararı vermesi için sorumlu bilgi sistemleri başdenetçisine
başvurur.
c) Bilgi sistemleri denetçisi, denetim
programının hazırlanması gibi işin ayrıntılı çalışmalarından sorumludur.
Bilgi sistemleri denetçisi, denetçi yardımcılarını işe tahsis etmek,
onların çalışmalarına nezaret etmek ve hazırladıkları çalışma kağıtlarını
incelemek, işin daha karmaşık ve zor bölümlerini bizzat yürütmek, çalışma
programında gereken değişiklikleri yapmak ve çalışmaları süresince Kurum,
Kuruluş ve Ortaklıklarla olan görüşmeleri yürütmek gibi konularda yetkili
ve yükümlüdür.
Yetkili kuruluşlar ve denetçilerin uyacakları
etik ilkeler
MADDE 17 – (1) KGK tarafından yayımlanan
Bağımsız Denetçiler İçin Etik Kurallar yetkili kuruluşlar ve bilgi
sistemleri denetçilerinin uyacakları etik ilkeler bakımından kıyasen
uygulanır.
DÖRDÜNCÜ BÖLÜM
Bilgi Sistemleri Bağımsız Denetim
Faaliyetlerine İlişkin
Yükümlülükler ve Denetim
Metodolojisi
Denetlenen Kurum, Kuruluş ve Ortaklıkların
yükümlülükleri
MADDE 18 – (1) Denetlenen Kurum, Kuruluş
ve Ortaklıklar, bilgi sistemleri dokümantasyonunu ve bu dokümantasyonla
ilgili her türlü kayıt, bilgi, belge, yapı ve sistemlerini denetime uygun
ve hazır hale getirmek zorundadır.
(2) Denetlenen Kurum, Kuruluş ve Ortaklıklar,
bilgi sistemleri denetçisinin bilgi sistemleri bağımsız denetimine yönelik
talep ettiği her türlü bilgi ve belgeyi vermekle yükümlüdür.
(3) Kurum, Kuruluş ve Ortaklık, varsa bilgi
sistemleri denetçisi tarafından talep edilen iç denetim raporlarının bir
örneğini denetçiye iletir ve bilgi sistemleri denetçisi ile denetlenen
Kurum, Kuruluş ve Ortaklıkların iç denetçileri arasındaki işbirliğinin
sağlanması için gerekli tedbirleri alır. İç denetçilerin yetkili kuruluşun
denetçileri tarafından yöneltilen soruları zamanında yanıtlamalarını ve
açıklık getirmelerini sağlar.
(4) Bilgi sistemleri denetçilerince yapılacak
tespitler hakkında denetlenen Kurum, Kuruluş ve Ortaklıklar yönetim
kurulunun bilgilendirilmesi ile denetçiler ile yönetim kurulu üyeleri ve
denetlenen Kurum, Kuruluş ve Ortaklıklar personeli arasında koordinasyonun
sağlanması denetlenen Kurum, Kuruluş ve Ortaklıkların yönetim kurulunun
sorumluluğundadır.
(5) Denetlenen Kurum, Kuruluş ve Ortaklıklar,
bilgi sistemlerine ilişkin iç kontrolleri hakkında denetim dönemi
itibariyle güvence veren ve yönetim kurulu tarafından onaylanmış olan
yönetim beyanını bilgi sistemleri denetçisine sunmakla yükümlüdür. Yönetim
beyanı, Tebliğin 1 numaralı ekinde yer verilen hususları içerecek şekilde
hazırlanır.
(6) Denetlenen Kurum, Kuruluş ve Ortaklıklar,
denetim raporunda ortaya konulan tespitlerin çözümlerine ilişkin
taahhütlerini bir aksiyon planı ile karara bağlar ve uygularlar. Aksiyon
planının yürütülmesinin ve bu planda yer alan taahhütlerin zamanında ve
eksiksiz olarak yerine getirilmesinin sağlanmasından denetlenen Kurum,
Kuruluş ve Ortaklıkların yönetim kurulu sorumludur.
(7) Denetlenen Kurum, Kuruluş ve Ortaklıkların
faaliyet gösterdiği alana ilişkin özel mevzuat hükümleri saklıdır.
Yetkili kuruluşların ve denetçilerin
yükümlülükleri
MADDE 19 – (1) Bilgi sistemleri
denetçileri mesleğin zorunlu kıldığı mesleki ilkelere ve etik ilkelere
uymak, bilgi sistemleri içerisinde yer alabilecek riskleri ve zayıflıkları
dikkate alarak ve mesleki şüphecilik çerçevesinde bir denetim planı
hazırlamak, denetlenene sunmak ve uygulamak, yöneticilerin açıklamalarını
yeterli denetim kanıtı olarak kabul etmemek ve denetim raporunu oluşturmak
ile yükümlüdür.
(2) Seri:X, No:22 Tebliği hükümleri uyarınca
bağımsız denetim kuruluşlarınca tesis edilmesi gerekli olan kalite güvence
sistemi, yetkili kuruluşlar tarafından yapılan bilgi sistemleri bağımsız
denetim çalışmalarını ve bilgi sistemleri bağımsız denetim raporlarını da
kapsayacak şekilde yürütülür.
(3) Bilgi sistemleri denetçisi, ortaya çıkan hata
ve suiistimaller hakkında denetlenenin yöneticilerine ve denetlenen Kurum,
Kuruluş ve Ortaklıkların denetimden sorumlu komitesine her aşamada yazılı
olarak bilgi vermek zorundadır.
(4) 13 üncü maddede belirtilen belge ve
beyanlardaki değişikliklerin altı işgünü içerisinde Kurula bildirilmesi
zorunludur. Denetim kadrosunda meydana gelen değişiklikler, gerekçeleri ile
birlikte Kurul’a bildirilir.
(5) Yetkili kuruluşlar, istihdam ettikleri bilgi
sistemleri denetçilerinin süreklilik arz edecek şekilde eğitim
programlarına katılmalarını sağlamakla yükümlüdür.
(6) Bilgi sistemleri bağımsız denetim faaliyeti
sırasında, esas alınan mevzuat hükümlerine uymayan işlemlerin veya olumsuz
görüş oluşturmaya veya görüş vermemeye yol açabilecek herhangi bir
gelişmenin tespit edilmesi durumunda, denetlenen Kurum, Kuruluş ve
Ortaklıklar bunları gidermiş olsa dahi, bu hususun öğrenildiği tarihten
itibaren on işgünü içinde bilgi sistemleri denetçisi tarafından Kurul’a
yazılı olarak bildirilmesi zorunludur. Kanuna ve diğer kanunlara göre
konusu suç teşkil eden hallerde durumun ivedi olarak yetkili mercilere
intikali sağlanır ve ayrıca Kurul’a yazılı olarak bilgi verilir.
(7) Bilgi sistemleri denetçisi, bilgi sistemleri
bağımsız denetimi sırasında ortaya çıkan, aşağıda belirtilen konular da
dâhil olmak üzere, önemli bulduğu her konuda denetlenen Kurum, Kuruluş ve
Ortaklıkları veya yöneticilerini, yazılı veya sözlü olarak derhal
bilgilendirir:
a) Muhtemel kısıtlamalar ve ilave çalışmalar da
dâhil olmak üzere bilgi sistemleri bağımsız denetiminin genel yaklaşımı ve
kapsamı,
b) Bilgi sistemleri üzerinde önemli bir etkisi
olan ya da olabilecek politika oluşturma süreci ile ilgili aksaklıklar,
politika uygulamalarındaki sorunlar ya da politika uygulamalarındaki
değişiklikler,
c) Denetlenen Kurum, Kuruluş ve Ortaklıkların
faaliyetlerinin sürekliliği üzerinde şüphe uyandırabilecek belirsizlikler,
ç) Bilgi sistemlerine veya denetim raporuna
önemli etkisi olabilecek konularda denetlenen Kurum, Kuruluş ve Ortaklık
yöneticileri ile olan görüş ayrılıkları,
d) Bilgi sistemleri içerisinde yer alan önemli
zayıflıklar ve riskler.
(8) Sözlü olarak bilgilendirmenin yapıldığı
durumlarda bilgi sistemleri bağımsız denetçisi, bildirilen hususlara ve
alınan cevaplara çalışma kâğıtlarında yer verir.
(9) Bilgi sistemleri denetçileri, bilgi
sistemleri bağımsız denetimi çerçevesinde ilgililerce kendilerine tevdi
edilen dokümantasyon ve belgeleri işlerinin gerektirdiği süre içinde iyi
niyetle ve değiştirmeden muhafaza etmekle ve işin bitiminde iade etmekle
yükümlüdürler. Denetim kanıtı oluşturan dokümanların kopyaları yetkili
kuruluş tarafından saklanabilir.
(10) Yetkili kuruluşlar ve bilgi sistemleri
denetçileri, bilgi sistemleri bağımsız denetimi faaliyetleri dolayısıyla
öğrendikleri ve ilgili düzenlemelere göre sır kapsamında bulunan bilgilerin
kendi nezdlerinde korunmasına ilişkin tedbirleri alır, bu bilgileri kanunen
açıkça yetkili kılınanlardan başkasına açıklayamaz ve doğrudan veya dolaylı
şekilde kendilerinin veya başkalarının yararına kullanamazlar.
(11) Denetlenen Kurum, Kuruluş ve Ortaklıklar
tarafından bilgi sistemleri bağımsız denetimine ilişkin bilgi ve belgelerin
bilgi sistemleri denetçilerine verilmemesi halinde bu durum yetkili kuruluş
tarafından Kurula ivedilikle bildirilir.
(12) Yetkili kuruluş, bilgi sistemleri
denetiminden kaynaklanabilecek riskleri de karşılayabilecek kapsamda
mesleki sorumluluk sigortası yaptırmakla yükümlüdür.
(13) Yetkili kuruluş, istihdam ettiği bilgi
sistemleri denetçileri tarafından düzenlenecek çalışma kağıtlarını ve
denetime ilişkin her türlü bilgi ve belgeyi istenildiğinde Kurul’a
göndermek ya da Kurul’un denetime yetkili personeline sunmak zorundadır.
(14) Yetkili kuruluşlar, Seri:X No:22 Tebliği
veya BDS’lerin kıyasen uygulanacak hükümleri için yönetim kurulu onayından
geçirilmiş uygulama yönergeleri hazırlamakla yükümlüdür. Kıyasen
uygulanacak hükümlerde uygulamanın yönlendirilmesinde Kurul yetkilidir.
(15) Bilgi sistemleri denetçileri, son iki yıl
içinde fiilen bilgi sistemleri bağımsız denetim sürecine katıldıkları
Kurum, Kuruluş ve Ortaklıklarda yönetim kurulu başkan ve üyeliği, genel
müdür, müdür ve yardımcılığı ile önemli karar, yetki ve sorumluluğu taşıyan
pozisyonlarda görev alamazlar.
Bilgi sistemleri bağımsız denetim sözleşmesi
MADDE 20 – (1) Kurum, Kuruluş ve
Ortaklıklar, bilgi sistemleri bağımsız denetimini gerçekleştirecek yetkili
kuruluş ile bilgi sistemleri bağımsız denetim sözleşmesini, denetime tabi
dönemin ilk 4 ayı içerisinde imzalarlar. BDS 210 Bağımsız Denetim
Sözleşmesinin Şartları Üzerinde Anlaşmaya Varılması Standardı hükümleri,
bilgi sistemleri bağımsız denetim sözleşmesi bakımından kıyasen uygulanır.
(2) Bilgi sistemleri bağımsız denetim
sözleşmesinin herhangi bir nedenle imzalanamaması halinde, konu en geç
durumun ortaya çıktığı tarihi izleyen ilk iş gününde Kurula bildirilir.
(3) Bir yetkili kuruluşun, Kurum, Kuruluş ve
Ortaklıklara vereceği bilgi sistemleri bağımsız denetim hizmetinin azami
süresinin belirlenmesinde 13/1/2011 tarihli ve 6102 sayılı Türk Ticaret
Kanununun 400 üncü maddesinin ikinci fıkrası hükmü uygulanır.
(4) Yetkili kuruluşların imzaladıkları bilgi
sistemleri bağımsız denetim sözleşmelerini en geç 6 iş günü içinde Kurula
göndermeleri zorunludur.
(5) Yetkili kuruluş ile Kurum, Kuruluş ve
Ortaklıklar anlaşarak bilgi sistemleri bağımsız denetim sözleşmesini sona
erdiremezler. Ancak Kurum, Kuruluş ve Ortaklıklar ve yetkili kuruluşlar
Kurul tarafından onaylanacak haklı gerekçelerin varlığı halinde, yazılı
gerekçe göstermek koşuluyla bilgi sistemleri bağımsız denetim sözleşmesini
Kurul’dan izin alarak sona erdirebilirler.
(6) Sona erme durumunda, yetkili kuruluş çalışma
notlarını ve gerekli tüm bilgileri, yerine geçecek olan yetkili kuruluşa
devredilmek üzere Kurula teslim etmesi zorunludur.
Denetim planı
MADDE 21 – (1) BDS 300 Finansal Tabloların
Bağımsız Denetiminin Planlanması Standardı hükümleri, bilgi sistemleri
bağımsız denetiminin planlanması bakımından kıyasen uygulanır.
Denetim kanıtı, teknikleri, örneklemesi ve
kontrol testi
MADDE 22 – (1) BDS 500 Bağımsız Denetim
Kanıtları Standardı, BDS 520 Analitik Prosedürler Standardı ve BDS 530
Bağımsız Denetimde Örnekleme Standardı hükümleri, denetim kanıtı,
teknikleri ve örneklemesi bakımından kıyasen uygulanır.
(2) Bilgi sistemleri denetçisi, test edeceği
kontrollerin kapsamını, önemlilik ilkesini gözeterek ve test edeceği
kontrol kümesinin bilgi sistemleri ile bu sistem üzerindeki kontrollerin
bütününün etkinliği, yeterliliği ve uyumluluğu hakkında makul bir güvence
sağlayacak şekilde belirler.
(3) Bilgi sistemleri kontrollerinin etkin,
yeterli ve uyumlu olduğuna dair görüş verilebilmesi için, incelemeye tâbi
tutulan tüm kontrollerin, tasarım ve işletiminin etkinlikleri ve
uyumluluklarının test edilmesi gerekir.
(4) Bilgi sistemleri denetçisi, denetim riskini makul
düzeye indirebilmek için, test ettiği kontrolle ilişkili önemli veya kayda
değer kontrol eksikliği riskinin yüksek olduğu alanlarda tespit riskini
düşürecek şekilde testlerini detaylandırır, örneklem hacmini genişletir ve
kanıtlarının yeterlilik ve güvenilirlik seviyesini artırır.
(5) Bilgi sistemleri denetçisi kontrole ilişkin
test kapsamını belirlerken ilgili kontrolün uygulanma sıklığı, faal olma
durumu açısından güvenilen süre, kontrollerdeki sapma beklentisi gibi
kontrol karakteristiklerini dikkate alır.
(6) Bilgi sistemleri denetçisi sadece bilgi
toplama tekniğini kullanarak elde ettiği denetim kanıtıyla bir kontrolün
etkinlik, yeterlilik ve uyumluluğuna ilişkin görüş oluşturamaz.
(7) Bilgi sistemleri denetçisi, bir kontrolü test
ederken dikkate alacağı zaman boyutunu denetim döneminin bütününe ilişkin
görüş oluşturacak şekilde belirler.
BEŞİNCİ BÖLÜM
Bilgi Sistemleri Bağımsız Denetim
Sonuçlarının Raporlanmasına İlişkin Esaslar
Tespitler
MADDE 23 – (1) Bilgi sistemleri denetçisi,
yeterli ve uygun denetim kanıtlarıyla desteklemek suretiyle kayda değer
kontrol eksikliklerini ve önemli kontrol eksikliklerini sınıflandırarak
raporlar.
(2) Bilgi sistemleri denetçisi, tespitleri ifade
ederken, denetim amaçlarının gerektirdiği kadarıyla, bu tespitlerin kriter
ve durumlarına ilişkin bilgilere yer verir.
(3) Kontrol zayıflığı olarak tanımlanan
tespitler, bilgi sistemleri denetçisi tarafından denetlenen Kurum, Kuruluş
ve Ortaklık yöneticilerine yazılı olarak iletilir. Bilgi sistemleri
denetçisi böyle bir yazının denetlenen Kurum, Kuruluş ve Ortaklık
yöneticilerine iletildiği ifadesine ve kontrol hedefleri bazında tespit
ettiği kontrol zayıflıklarının sayısına raporunda yer verir.
(4) Bilgi sistemleri denetçisi, geçmiş dönemlerde
tespit edilmiş ve bir önceki dönem raporunda halen giderilmediği ifade
edilmiş olan tüm kontrol zayıflığı ve eksikliklerini raporunda
değerlendirir. Bu kontrol zayıflığı ve eksikliklerinin son durumlarına,
devam edip etmediklerine ve denetlenen Kurum, Kuruluş ve Ortaklıkların
taahhüt ettiği aksiyon planına uyumuna ilişkin açıklamalarına raporunda yer
verir.
(5) Bilgi sistemleri denetçisi, denetimlerinde
tespit ettiği bulguları bu Tebliğin 2 numaralı ekinde yer verilen yönteme
göre kodlar.
(6) Bilgi sistemleri denetçisi, topladığı denetim
kanıtlarına dayanarak sahtecilik, kanuna aykırı uygulamalar, sözleşme
ihlali, suiistimal, çift kayıt sistemi veya mükerrer bilgi sistemleri gibi
hallerden bir veya birkaçının bulunduğu kanaatine varırsa, bu hususlara
raporunda yer verir. Bu hususlar ayrıca sorumlu bilgi sistemleri
başdenetçisi tarafından yazılı olarak Kurul’a ivedilikle bildirilir.
Denetlenen Kurum, Kuruluş ve Ortaklıkların
görüşleri
MADDE 24 – (1) Bilgi sistemleri denetçisi,
tespit edilen eksiklikler, varsa bunlara ilişkin olarak yapılması planlanan
düzeltme çalışmaları ve bu çalışmaların olası sonuçları hakkında denetlenen
Kurum, Kuruluş ve Ortaklıkların görüşlerine raporunda yer verir.
(2) Bilgi sistemleri denetçisi, geçmiş dönemlerde
tespit edilmiş ve bir önceki dönem raporunda halen giderilmediği ifade
edilmiş kontrol zayıflığı ve eksikliklerine ilişkin denetlenen Kurum,
Kuruluş ve Ortaklıkların görüşlerine ve denetlenenin söz konusu zayıflık ve
eksikliğin giderilmesine ilişkin yaptığı çalışmalara raporunda yer verir.
(3) Bilgi sistemleri denetçisi, denetlenen
Kurum, Kuruluş ve Ortaklıkların görüş bildiremediği veya görüş bildirmeyi
reddettiği durumlarda, nedenleriyle birlikte raporunda yer verir.
Tespitlerle ilgili sonuç değerlendirmesi
MADDE 25 – (1) Bilgi sistemleri denetçisi,
denetim amaçları, denetim tespitleri ve varsa denetlenen Kurum, Kuruluş ve
Ortaklıkların görüşlerini yorumlayarak kendi çıkarımları ve görüşleri
doğrultusunda değerlendirmelere raporunda yer verir. Bilgi sistemleri
denetçisi, raporunda denetimde tespit edilen hususların nasıl anlaşılması
gerektiği hakkında yorum yapar.
(2) Bilgi sistemleri denetçisi, denetlenen Kurum,
Kuruluş ve Ortaklıkların görüşlerine katılmadığı veya planlanan düzeltme çalışmalarının
uygun olmadığını düşündüğü takdirde buna sonuç değerlendirmesinde ayrıca
yer verir. Bilgi sistemleri denetçisi, denetlenen Kurum, Kuruluş ve
Ortaklıkların görüşlerini haklı bulması halinde, raporda ilgili
düzeltmeleri yapar.
(3) Herhangi bir kontrol zayıflığının ve
eksikliğinin düzeltildiğine dair bir beyanın rapor tarihinden önce
denetlenen Kurum, Kuruluş ve Ortaklık tarafından bilgi sistemleri
denetçisine ulaştırılması durumunda, tespit edilen her bir husus için birer
defaya mahsus olmak koşuluyla, bilgi sistemleri denetçisi denetlenenin
beyanını doğrulamak için bu tespitin son durumunu tahlil eder, kontrol
zayıflığının ve eksikliğinin ortadan kalktığı kanaatine ulaşırsa, düzeltme
yapıldığı bilgisine raporun tespite ilişkin sonuç değerlendirmesi bölümünde
yer verir.
(4) Bilgi sistemleri denetçisi, geçmiş dönemlerde
tespit edilmiş ve bir önceki dönem raporunda halen giderilmediği ifade
edilmiş olan kontrol zayıflığı ve eksikliğine ilişkin tespitlere ait sonuç
değerlendirmesi bölümünde konunun çözümüne ilişkin denetlenen tarafından
aksiyon planına uyumla birlikte, zayıflık ve eksikliğin devam durumunu;
a) devam etmektedir,
b) kısmen düzeltilmiştir veya
c) düzeltilmiştir,
şeklinde raporunda ifade eder.
Bilgi sistemleri bağımsız denetim raporu
MADDE 26 – (1) Bilgi sistemleri bağımsız
denetim raporu, bilgi sistemleri denetçisinin denetlediği bilgi sistemleri
hakkında oluşturduğu görüşünü içerir.
(2) Denetim görüşünde bilgi sistemleri ile
bu sistem üzerindeki kontrollerin bütününün etkin, yeterli ve uyumlu olup
olmadığı hususuna açıkça yer verilir. Bilgi sistemleri denetçisi bu
husustaki kanaatini BSY Tebliği çerçevesinde oluşturur.
Bilgi sistemleri bağımsız denetim görüşünün
oluşturulması
MADDE 27 – (1) Bilgi sistemleri bağımsız
denetim raporunu imzalamaya yetkili kişiler, yapılan denetim sonucunda
herhangi bir önemli kontrol eksikliğinin bulunmaması ve denetim kapsamında
herhangi bir kısıtlama ya da engelleme ile karşılaşılmaması durumunda,
Tebliğin 3 numaralı ekinde yer alan örneğe uygun olarak olumlu görüş
bildirirler.
(2) Denetim raporunu imzalamaya yetkili kişiler;
a) Yapılan denetim sonucunda en az bir önemli
kontrol eksikliğiyle karşılaşmalarına rağmen, bu eksikliklerin denetlenen
Kurum, Kuruluş ve Ortaklıklar bilgi sistemlerinin bütününü veya büyük bir
kısmını etkilemediğini düşünmeleri,
b) Görüş bildirmekten kaçınmayı gerektirecek
önemde olmamakla birlikte, denetim faaliyetlerini sınırlayan herhangi bir
hususun varlığı veya yeni tesis edilmiş bir sistem hakkında yeterince bilgi
edinememeleri veya
c) Denetim görüşünün oluşturulması için yeterli
ve uygun denetim kanıtının elde edilememesi, durumlarında bu Tebliğin 4
numaralı ekinde yer alan örneğe uygun olarak şartlı görüş bildirirler.
(3) Denetim raporunu imzalamaya yetkili kişiler,
yapılan denetim sonucunda rastlanılan önemli kontrol eksikliklerinin tek
başlarına veya beraber değerlendirildiklerinde,
a) Denetlenen Kurum, Kuruluş ve Ortaklıkların
bilgi sistemlerinin bütününü veya büyük bir kısmını etkilediğine ilişkin
kanaat edinmeleri veya
b) Yönetim beyanı ile bilgi sistemleri
denetçisinin denetlen Kurum, Kuruluş ve Ortaklıklar bünyesinde
gerçekleştirdiği denetim sonrasında önemli bir kontrol eksikliğinin bütün
önemli taraflarıyla eksik veya yanlış aktarılmasından kaynaklanan bir
farklılık bulunması
durumlarında, bu Tebliğin 5 numaralı ekinde yer
alan örneğe uygun olarak olumsuz görüş bildirirler.
(4) Denetim raporunu imzalamaya yetkili kişiler,
denetim çalışmalarında karşılaşılan belirsizlik ve sınırlamaların görüş
belirtilmesini engelleyecek derecede önemli olduğunu düşündükleri
durumlarda, bilgi sistemleri hakkında görüş bildirmekten kaçınabilirler. Bu
durumda bu Tebliğin 6 numaralı ekinde yer alan örneğe uygun olarak görüş
bildirmekten kaçınılır. Görüş bildirmekten kaçınma durumunda düzenlenecek
raporda, kaçınmaya yol açan nedenlere ilişkin denetçi görüşlerine yer
verilmesi şarttır.
(5) BDS 705 Bağımsız Denetçi Raporunda Olumlu
Görüş Dışında Bir Görüş Verilmesi Standardı, bilgi sistemleri bağımsız
denetim raporunda şartlı veya olumsuz görüş verilmesi ya da görüş
bildirmekten kaçınılması durumlarının raporlanması bakımından kıyasen
uygulanır.
Bilgi sistemleri bağımsız denetim raporlarının
temel unsurları
MADDE 28 – (1) Bilgi sistemleri
denetçisinin hazırlayacağı rapor aşağıdaki unsurları içerecek şekilde
düzenlenir:
a) Başlık,
b) Raporun sunulduğu merci,
c) Giriş paragrafı,
ç) Denetim çalışmasına ilişkin bilgi,
d) Denetlenen Kurum, Kuruluş ve Ortaklıkların
bilgi sistemleri hakkında genel bilgi,
e) Denetlenen Kurum, Kuruluş ve Ortaklıkların
bilgi sistemlerine ilişkin iç kontrol ve iç denetim yapısına ilişkin genel
değerlendirme,
f) Denetçi görüşü,
g) Kısaltmalar ve sözlük,
ğ) Ek veya dipnot dizini.
Bilgi sistemleri bağımsız denetim raporunun
kesinleşmesi ve Kurul’a bildirimi
MADDE 29 – (Değişik:RG-13/3/2025-32840)1
(1) Kurum, Kuruluş ve Ortaklıkların bilgi sistemleri
bağımsız denetim raporu, sorumlu bilgi sistemleri başdenetçisi tarafından
imzalandığında kesinleşir. Bilgi sistemleri bağımsız denetim raporu
kesinleşme tarihini izleyen ilk işgünü mesai bitimine kadar denetlenen
Kurum, Kuruluş ve Ortaklıkların yönetim kurulu başkanlığına teslim edilir.
Denetlenen Kurum, Kuruluş ve Ortaklıkların yönetim kurulu başkanlığınca
teslim alınan bilgi sistemleri bağımsız denetim raporu, ilgili denetim
döneminin bitimini izleyen ayın sonuna kadar raporun kabulüne yönelik
yönetim kurulu kararıyla birlikte Kurul’a gönderilir.
(2) Bilgi sistemleri bağımsız denetim raporlarının son
bildirim gününün resmi tatil gününe denk gelmesi halinde, resmi tatil
gününü takip eden ilk iş günü, son bildirim tarihidir.
ALTINCI BÖLÜM
Yükümlülükler, Muafiyetler,
Yürürlük ve Yürütme
Yükümlülük ve muafiyetler
MADDE 30 – (1) (Değişik:RG-13/3/2025-32840)1 Borsa İstanbul A.Ş., İstanbul Takas ve Saklama Bankası
A.Ş., Merkezi Kayıt Kuruluşu A.Ş., borsalar ve piyasa işleticileri,
teşkilatlanmış diğer pazar yerleri, merkezi takas kuruluşları, merkezi
saklama kuruluşları, veri depolama kuruluşları ve kripto varlık hizmet
sağlayıcıları yılda bir kez bu Tebliğ uyarınca bilgi sistemleri bağımsız
denetimi yaptırmak zorundadır. Bu Kurum, Kuruluş ve Ortaklıkların ilk bilgi
sistemleri bağımsız denetimini bu Tebliğin yürürlüğe girdiği yıl için, izleyen
bilgi sistemleri bağımsız denetimini ise bir öncekini izleyen yıl için
yaptırmaları zorunludur.
(2) (Değişik:RG-13/3/2025-32840)1 Kısmî
ve Geniş Yetkili Aracı Kurumlar, asgari özsermaye yükümlülüğünde 2/7/2013
tarihli ve 28695 sayılı Resmî Gazete’de yayımlanan Portföy Yönetim Şirketleri
ve Bu Şirketlerin Faaliyetlerine İlişkin Esaslar Tebliği (III-55.1)’nin 28
inci maddesinin birinci fıkrasının (ç) bendi ile ikinci fıkrasına tabi
portföy yönetim şirketleri 2 yılda bir kez bu Tebliğ uyarınca bilgi
sistemleri bağımsız denetimi yaptırmak zorundadır. Bu Kurum, Kuruluş ve
Ortaklıkların ilk bilgi sistemleri bağımsız denetimini bu Tebliğin
yürürlüğünü izleyen ikinci yıl için, izleyen bilgi sistemleri bağımsız
denetimini ise bir öncekini izleyen ikinci yıl için yaptırmaları zorunludur.
(3) (Değişik:RG-13/3/2025-32840)1 Asgari
özsermaye yükümlülüğünde 2/7/2013 tarihli ve 28695 sayılı Resmî Gazete’de
yayımlanan Portföy Yönetim Şirketleri ve Bu Şirketlerin Faaliyetlerine
İlişkin Esaslar Tebliği (III-55.1)’nin 28 inci maddesinin birinci
fıkrasının (a), (b) ve (c) bentlerine tabi portföy yönetim şirketleri ve
Sermaye Piyasası Lisanslama Sicil ve Eğitim Kuruluşu A.Ş. üç yılda bir kez
bu Tebliğ uyarınca bilgi sistemleri bağımsız denetimi yaptırmak zorundadır.
Bu Kurum, Kuruluş ve Ortaklıkların ilk bilgi sistemleri bağımsız denetimini
bu Tebliğin yürürlüğünü izleyen üçüncü yıl için, izleyen bilgi sistemleri
bağımsız denetimini ise bir öncekini izleyen üçüncü yıl için yaptırmaları
zorunludur.
(4) Dar yetkili aracı kurumlar, halka açık ortaklıklar,
kolektif yatırım kuruluşları, varlık kiralama şirketleri, emeklilik yatırım
fonları, konut finansmanı fonları, varlık finansmanı fonları, ipotek
finansmanı kuruluşları, bağımsız denetim, derecelendirme ve değerleme
kuruluşları, Türkiye Sermaye Piyasaları Birliği ve Türkiye Değerleme
Uzmanları Birliği ve kuruluş ve faaliyet esasları Kurulca belirlenen diğer
sermaye piyasası kurumları bu Tebliğ kapsamında periyodik olarak bilgi
sistemleri bağımsız denetimi yaptırmak zorunda değildir.
(5) Kurul, birinci, ikinci, üçüncü ve dördüncü
fıkralarda belirlenen yükümlülük ve muafiyetleri kısmen veya tamamen
kaldırmaya, bunların kapsam ve içeriğini Kurum, Kuruluş ve Ortaklıklar
bazında değiştirmeye yetkilidir.
(6) (Ek:RG-9/2/2020-31003) İkinci ve
üçüncü fıkralarda belirtilen asgari özsermaye yükümlülük tutarları
için, 2/7/2013 tarihli ve 28695 sayılı Resmî Gazete’de yayımlanan
Portföy Yönetim Şirketleri ve Bu Şirketlerin Faaliyetlerine İlişkin Esaslar
Tebliği (III-55.1)’nin 28 ve 41 inci maddeleri kapsamında Kurulca yeniden
değerleme kapsamında belirlenen ve ilan edilen tutarlar esas alınır.
Bu Tebliğde hüküm bulunmayan haller
MADDE 31 – (1) Bu Tebliğde hüküm
bulunmayan hallerde BDS’ler ve mesleki en iyi uygulamalarda yer alan usul
ve esaslar uygulanır.
Geçiş hükümleri
GEÇİCİ MADDE 1 – (1) Bankacılık Düzenleme
ve Denetleme Kurumu tarafından bankaların bilgi sistemleri ile bankacılık
süreçlerinin denetimi ile yetkilendirilmiş bağımsız denetim kuruluşları, bu
Tebliğin yürürlüğe girdiği tarihten itibaren 60 gün içinde Kurula başvurmak
kaydıyla sermaye piyasasında bilgi sistemleri bağımsız denetim yapma
yetkisi olmaksızın Kurum, Kuruluş ve Ortaklıkların bilgi sistemleri
bağımsız denetimini 1 yıl süreyle gerçekleştirmek üzere geçici olarak
yetkilendirilebilir. Söz konusu bağımsız denetim kuruluşlarının sonraki
yıllar için Kurul tarafından bu Tebliğ kapsamında yetkilendirilmeleri
gerekmektedir.
(2) 20 nci madde ile getirilen bilgi sistemleri
bağımsız denetim sözleşmesi imzalanmasına ilişkin 4 aylık sınırlama, ilk
denetim dönemi için uygulanmaz.
Yürürlük
MADDE 32 – (1) Bu Tebliğ yayımı tarihinde
yürürlüğe girer.
Yürütme
MADDE 33 – (1) Bu Tebliğ hükümlerini
Sermaye Piyasası Kurulu yürütür.
Ekleri için tıklayınız.
|