Bilgi teknolojileri yönetişimi, risk ve uyum model önerisi ve bir bankada uygulaması

Bilgi ve ilgili teknolojilerindeki hız kesmeyen gelişmeler bu alanın etkin yönetişiminim önemini her geçen gün artırmaktadır. BT (Bilgi Teknolojileri) yönetişimini tek başına ele almak yerine geliştirilen en önemli yaklaşımlardan birisi yönetişim, risk ve uyumun bir arada değerlendirildiği GRC (Governance, Risk ve Compliance, Yönetişim-Risk ve Uyum) yaklaşımıdır. GRC kurum genelinde uygulanan bir model olmakla birlikte bir alt küme olarak BT GRC modelleri de geliştirilmekte ve BT süreçlerinin daha etkin bir şekilde yönetilmesi hedeflenmektedir. BT yönetişimi, etkin bir yönetim gözetimi sağlayabilmek adına işletme stratejileri ile BT stratejilerini eş düzeyleme, BT hedeflerini kurumsal hedefler ile ilişkilendirme, işletme hedeflerine uyumlu BT hedefleri tespit etme ve sürekli izleme faaliyetlerini kapsamaktadır. BT risk yönetimi ise işletmelerin BT temelli işleyen süreçlerinin karşılaşabileceği olumlu/olumsuz risklerine karşı cevap stratejileri geliştirmeyi, risklerin artan veya azalan etkilerini gözlemeyi, gerçekleşme olasılıklarına göre sürekli iyileştirme süreçlerini içermektedir. Bilgi teknolojileri temelli çalışan işletmeler için BT riskleri, siber tehditlerden kaynaklanan riskleri de içerdiği düşünülürse BT risklerinin etkin yönetimi ve gözetiminin önemi anlaşılacaktır. BT mevzuat uyum süreçleri ise yoğun mevzuat gereksinimi gösteren sektörlerde faaliyet gösteren işletmeler için önemi artabilen, etkin yönetilmez ise mevzuat uyumsuzlukları karşısında kanun koyucu/mevzuat otoritesi tarafından ağır cezalara çarptırılabilecektir. Gerek iç denetim ve kontrol faaliyetleri gerekse dış denetim ve düzenleyicinin bizatihi yaptığı denetimler işletmenin etkin bir GRC modeli işletmesi ile rahatlıkla yürütülebilecek süreçler haline gelebilmektedir. Tez kapsamında, BT süreçlerinden geliştirilmesi ve olgunluk seviyesinin yükseltilmesi gereken süreçleri belirlemek için bir BT GRC modeli oluşturulması amaçlanmaktadır. Bu model tüm işletmelerde kullanılabildiği için özellikle sıkı düzenlemelere tabi olan ve sürekli denetlenen bankacılık sektöründe örnek bir uygulama yapılmıştır. Uyum boyutunda, Türk bankalarının BT süreçlerinde uyması zorunlu olan en güncel mevzuat hükümlerinin modele dahil edilerek BT GRC sürecinin tamamlanması hedeflenmiştir. Türkiye'de BDDK (Bankacılık Düzenleme ve Denetleme Kurumu), bilgi teknolojileri süreç yönetiminde kullanılmak üzere Cobit'i (Bilgi ve İlgili Teknolojiler için Kontrol Hedefleri) mevzuatta referans kaynak olarak sunmaktadır. ISACA'nın (Information Systems Audit and Control Association) en güncel iyi uygulamalar bütünü "Cobit 2019", terzi dikimi bir yönetişim modeli kurulumu amacıyla oluşurulmuştur, ancak Cobit tasarım kılavuzu, işbirlikçi bir yaklaşım için uygun olmayan bir yöntem önermektedir. Tez kapsamında, Cobit 2019'un işletmenin yönetim organları tarafından işbirliği içinde uygulanması için bir model önermektedir. Örnek bankanın BT yönetişim ekibini hedef alan, Cobit 2019 temelli, ortaklaşa yapılan bir nicel araştırma sonucunda, 10 tasarım faktörü ve önceliklendirilmiş süreçlerin sonuçlarını içeren bir model tasarlanmıştır. Akademik alanda ilk kez Cobit 2019 tasarım kılavuzu yardımıyla terzi dikimi özel bir IT GRC modeli oluşturulmuştur. BDDK'nın 2021 yılında yenilenen BT ile ilgili mevzuatı "Banka Bilişim Sistemleri ve Elektronik Bankacılık Hizmetleri" yayımlanmıştır. Bu yönetmelik sektör için zorunlu hale gelmiştir. Cobit'in 1202 uygulamasının yasal karşılıklarını veya ilişkilerini bulmak için BDDK'nın 214 mevzuat hükümleri arasındaki ilişki latent semantik analiz metodolojisi ile ortaya konulmuş ve 1202*214 matrisi aracılığıyla oluşturulan bu veri seti ile Power BI v.2.87 uygulamasının yardımıyla raporlama gösterge tabloları oluşturulmuştur. Sonuçlar, belirlenen modele göre örnek bankanın en önemli (veya önce ele alınması gereken) 5 sürecinin; • DSS 05, Yönetilen Güvenlik Hizmetleri (Managed Security Services) • DSS 04, Yönetilen Süreklilik (Managed Continuity) • APO 12, Yönetilen Risk (Managed Risk) • APO 13, Yönetilen Güvenlik (Managed Security) • EDM 03, Garanti Edilmiş Risk Optimizasyonu (Ensured Risk Optimization) Bu süreçler bir arada değerlendirildiğinde bankanın güvenlik ve süreklilik yönetimine yönelik işletilen süreçlerinde olgunluk seviyesini artırabilmek üzere iyi uygulamalar baz alınarak ve mevzuat gereksinimleri gözetilerek çalışmalar gerçekleştirmesi önerilmektedir. Bu 2 ana sürece ek olarak BT risklerini hem yönetişim hem de organizasyon seviyesinde etkin yönetimine önem vermesi gerektiği sonuçlarına ulaşılmıştır. Önerimize uygun pratikler ve mevzuat hükümleri de LSA temelli veri setinden modellenerek bankanın kullanımına sunulmuştur. En düşük önem seviyesine göre belirlenen süreçlere göre banka; BT strateji ve inovasyon yönetiminde, bütçe ve maliyet yönetiminde, kaynak optimizasyonunda, portföy/program ve proje yönetiminde ve servis seviye anlaşmaları süreçleri yönetiminde olgun süreçler işletmektedir ve yeni pratikler uygulamak zorunluluğu görülmemiştir. Bu süreçler için mevzuat uyumsuz alanları bulunabilir ve en iyi uygulama ile uyum sağlamak için Cobit eylemleri tanımlanabilir. Bu sürecin yardımıyla regülasyon boşlukları bulunabilir ve ardından en iyi uygulama ile uyum sağlamak için Cobit aksiyonları tanımlanabilir. Sonuç olarak bu model ve uygulama ile Bankaların regülasyona ve uluslararası iyi uygulamalara uyum konusunda kolaylık sağlanmıştır. Oluşturulan ilişki matrisi ile işletme gerek model kapsamında öncelik sırası belirlenmiş tüm domainlerde regülasyona tabi olduğu noktaları inceleyebilir, gerekse regülasyondan yola çıkarak hangi pratikleri/aksiyonları uygulaması gerektiğini belirleyebilir. Tüm bankacılık sektöründe kullanılabilir olan bu yöntem, regülasyon ve iyi uygulamalar arasında ilişki bulma yolunda akademi için de sonraki çalışmalar için fayda sağlayacaktır. Anahtar Kelimeler: Cobit, IT GRC, LSA, BT Yönetişimi