Sermaye Piyasasında Bilgi Sistemleri Bağımsız Denetim Faaliyeti

Halka açık ortaklıklar, sermaye piyasası kurumları, borsalar ve öz düzenleyici kuruluşların günümüz koşullarında faaliyetlerinin etkin ve verimli bir şekilde sürdürmesinde bilgi teknolojileri önemli bir rol oynamaktadır. Önceleri altyapı ve destek faaliyeti olarak işlev gören bilgi sistemleri faaliyetleri, artık işin asli unsurlarından biri haline gelmiş ve sermaye piyasası faaliyetleri için bilgi sistemlerine yönelik riskler oluşmuştur. Bilgi sistemlerinin, sermaye piyasası faaliyetlerinin bir gereği olarak sermaye piyasalarındaki aktörler tarafından yoğun bir şekilde kullanılması ve risklerinin anılan faaliyetlerin sürekliliğine etkileri, bu alanın düzenlenmesi gereğini doğurmuştur. Nitekim, aracı kurumların iç kontrol sistemine, kaldıraçlı alım satım faaliyetinin yürütülmesinde bilgi işlem altyapısına ilişkin ilkeler ile portföy aracılığı ve genel saklama faaliyetlerine ilişkin düzenlemelerde doğrudan olmasa da dolaylı olarak bilgi sistemlerine ilişkin esaslar belirlemiştir.

Bilgi teknolojilerinin sermaye piyasası faaliyetleri için öneminin artmasının bir sonucu olarak bilgi sistemlerinin yönetimine ilişkin olarak 6362 sayılı Sermaye Piyasası Kanunu’nun 62’nci maddesinin ikinci fıkrası, 72’nci maddesinin üçüncü fıkrası ile 128’inci maddesinin birinci fıkrasının (c) ve (h) bentleri uyarınca Kanun’a tabi kurum, kuruluş ve ortaklıkların bilgi sistemlerinin işletimine, denetimine ve bu denetimi yapacak kuruluşlara ilişkin usul ve esasları belirleme yetkisi Kurul’a verilmiştir. Bu yetki kapsamında VII-128.9 sayılı “Bilgi Sistemleri Yönetimi Tebliği” ile III-62.2 sayılı “Bilgi Sistemleri Bağımsız Denetim Tebliği” 05.01.2018 tarih ve 30292 sayılı Resmi Gazete'de yayımlanarak yürürlüğe girmiştir.

Bilgi sistemleri bağımsız denetimi, bilgi sistemleri yönetimi ve işletimi kapsamında yer alan faaliyet, yazılım ve donanım gibi bilgi sistemi unsurları ile bu sistem dâhilinde tesis edilen kontrollerin VII-128.9 sayılı “Bilgi Sistemleri Yönetimi Tebliği”nde düzenlenen bilgi sistemleri yönetim ilkeleri doğrultusunda değerlendirilmesi sonucunda görüş oluşturulması ve rapora bağlanması aşamalarından oluşan süreçtir.

Bilgi sistemleri bağımsız denetiminin temel amacı denetlenen Kurum, Kuruluş ve Ortaklıkların bilgi sistemlerinin ve bu sisteme ilişkin iç kontrollerinin VII-128.9 sayılı “Bilgi Sistemleri Yönetimi Tebliği”nde düzenlenen bilgi sistemleri yönetim ilkeleri doğrultusunda uyumluluk, etkinlik ve yeterliliği hakkında görüş oluşturulmasıdır.

Bilgi sistemleri denetçisi, bilgi sistemleri kapsamında inceleyeceği sistem, faaliyet ve kontrol mekanizmalarını, risk odaklı bir bakış açısıyla ve önemlilik kriterini esas alarak yazılı bir plan dahilinde belirler. Bununla birlikte bilgi sistemleri denetçisi, önemlilik kriteri çerçevesinde belirlediği denetimlerin kapsamının, bu Tebliğ kapsamında oluşturacağı denetim görüşüne makul güvence sağlamak için yeterli denetim kanıtı elde edecek şekilde olmasını temin eder.

Sermaye Piyasasında Bilgi Sistemleri Bağımsız Denetimine Tabi İşletmeler

Sermaye piyasası mevzuatı kapsamında bilgi sistemleri bağımsız denetimine tabi işletmeler III-62.2 sayılı “Bilgi Sistemleri Bağımsız Denetim Tebliği”nin 30’uncu maddesinde düzenlenmiş olup, bu kapsamda;
- Borsa İstanbul A.Ş., İstanbul Takas ve Saklama Bankası A.Ş., Merkezi Kayıt Kuruluşu A.Ş., borsalar ve piyasa işleticileri, teşkilatlanmış diğer pazar yerleri, merkezi takas kuruluşları, merkezi saklama kuruluşları ve veri depolama kuruluşları yılda bir kez,
- Kısmî ve Geniş Yetkili Aracı Kurumlar, asgari özsermaye yükümlülüğü 5 Milyon TL’den fazla olan portföy yönetim şirketlerinin 2 yılda bir kez,
- Asgari özsermaye yükümlülüğü 5 Milyon TL ve az olan portföy yönetim şirketleri ve Sermaye Piyasası Lisanslama Sicil ve Eğitim Kuruluşu A.Ş. üç yılda bir kez,
bilgi sistemleri bağımsız denetimi yaptırmak zorundadır.

Portföy yönetim şirketlerine ilişkin asgari özsermaye yükümlülük tutarları, 2/7/2013 tarihli ve 28695 sayılı Resmî Gazete’de yayımlanan Portföy Yönetim Şirketleri ve Bu Şirketlerin Faaliyetlerine İlişkin Esaslar Tebliği (III-55.1)’nin 28 ve 41 inci maddeleri kapsamında Kurulca yeniden değerleme kapsamında güncellenmektedir.

Kurum, Kuruluş ve Ortaklıklardan, 6/12/2012 tarihli ve 6362 sayılı Sermaye Piyasası Kanununun 136 ncı maddesi uyarınca banka ve sigorta şirketleri ile 21/11/2012 tarihli ve 6361 sayılı Finansal Kiralama, Faktoring ve Finansman Şirketleri Kanunu uyarınca finansal kiralama, faktoring ve finansman şirketlerinin bilgi sistemlerinin kendi özel mevzuatlarında belirlenen ilkeler çerçevesinde denetlenmesi, III-62.2 sayılı “Bilgi Sistemleri Bağımsız Denetim Tebliği”nde öngörülen yükümlülüklerin yerine getirilmesi hükmündedir. Söz konusu Kurum, Kuruluş ve Ortaklıklar, kendi özel mevzuatlarına aykırı olmamak kaydıyla bilgi sistemleri bağımsız denetimi raporlarının Kurul’a sunulmasında bu Tebliğ hükümlerine tabidirler.

Dar yetkili aracı kurumlar, halka açık ortaklıklar, kolektif yatırım kuruluşları, varlık kiralama şirketleri, emeklilik yatırım fonları, konut finansmanı fonları, varlık finansmanı fonları, ipotek finansmanı kuruluşları, bağımsız denetim, derecelendirme ve değerleme kuruluşları, Türkiye Sermaye Piyasaları Birliği ve Türkiye Değerleme Uzmanları Birliği ve kuruluş ve faaliyet esasları Kurulca belirlenen diğer sermaye piyasası kurumları bu Tebliğ kapsamında periyodik olarak bilgi sistemleri bağımsız denetimi yaptırmak zorunda değildir.

Kurul’un 08.03.2018 tarih ve 2018/10 sayılı Bülteninde yayınlanan kararı kapsamında halka açık ortaklıklara tedrici olarak, bu ortaklıkların büyüklük ve tabi olduğu pazarlar dikkate alınarak, bilgi sistemleri bağımsız denetim yükümlülüğü getirilmesi planlanmaktadır.

Sermaye Piyasasında Bilgi Sistemleri Bağımsız Denetime İlişkin Düzenlemeler

Sermaye piyasası mevzuatı kapsamında yürütülecek bilgi sistemleri bağımsız denetim çalışmalarının, 6362 sayılı Sermaye Piyasası Kanunu’nun 62, 72 ve 128’nci maddelerine dayanılarak çıkarılan VII-128.9 sayılı “Bilgi Sistemleri Yönetimi Tebliği” ve III-62.2 sayılı “Bilgi Sistemleri Bağımsız Denetim Tebliği” göre yapılması gerekmektedir.

Bilgi Sistemleri Bağımsız Denetim Faaliyetinde Bulunma Koşulları

Sermaye piyasalarında bilgi sistemleri bağımsız denetim faaliyetinde bulunacak kuruluşlara ve denetçi olarak görev alacakların sağlaması gereken şartlar ve yetkilendirilmek üzere Kurula yapılacak başvurularda istenen bilgi ve belgeler III-62.2 sayılı “Bilgi Sistemleri Bağımsız Denetim Tebliği”nde yer almakta olup, aşağıda temel unsurlarına yer verilmektedir.

1- Yetkilendirilme Şartları: Yetkilendirilecek Kuruluş’un,
a) Sermaye piyasasında bağımsız denetimle yetkili kuruluşlar listesinde yer alması,
b) Bilgi sistemleri bağımsız denetimi faaliyetlerini yürütecek düzeyde yeterli sayı ve nitelikte bilgi sistemleri denetçisi istihdam etmesi,
c) Yeterli teknik donanım, belge ve kayıt düzenine sahip olması.

2- Bilgi Sistemleri Denetçilerine İlişkin Şartlar:
a) Bilgi Sistemleri Bağımsız Denetim Lisans Belgesi veya Bilgi Sistemleri Denetim ve Kontrol Birliği (ISACA) tarafından verilen Bilgi Sistemleri Denetçisi Sertifikasına (CISA)  sahip olmaları,
b) Bilgi sistemleri bağımsız denetimi için yeterli mesleki bilgi ve 15 inci maddede belirtilen mesleki tecrübeye sahip olmaları,
c) Müflis olmamaları,  yüz kızartıcı ve bilişim alanındaki bir suçtan mahkûm bulunmamaları,
ç) Sermaye piyasası mevzuatı veya diğer mevzuat uyarınca bağımsız denetim veya bilgi sistemleri bağımsız denetim yapma yetkisi iptal edilmiş olan kuruluşlarda yetki iptaline neden olan bağımsız denetim faaliyetlerinde sorumluluklarının tespit edilip bağımsız denetim faaliyetinde bulunmaktan sürekli olarak yasaklanmamış ve bağımsız denetim faaliyetinde bulunması süreli olarak yasaklananların ise yasaklarının süresi sonunda Kurulca kaldırılmış olması,
d) Faaliyet yetki belgelerinden biri veya birden fazlası iptal edilmiş yahut borsa üyeliği iptal edilmiş kuruluşlarda iptalde sorumluluğu bulunan kişilerden olmaması,
e) Mülga 2499 sayılı Sermaye Piyasası Kanunu ve Kanuna muhalefetten dolayı haklarında verilmiş mahkûmiyet kararının bulunmaması,
f) Türkiye'de yerleşik olmaları,
g) İlgili mevzuat çerçevesinde sermaye piyasalarında işlem yapmalarının yasaklanmış olmaması,
ğ) Çalışılan bağımsız denetim kuruluşunda tam zamanlı görev yapmaları.

Bilgi sistemleri denetçi yardımcılarının birinci fıkranın (c), (ç), (d), (e), (f), (g) ve (ğ) bentlerinde sayılan koşullara sahip olmaları ve 4 yıllık lisans mezunu olmaları zorunludur.
Bilgi sistemleri denetçileri, kıdem sırasına göre sorumlu bilgi sistemleri başdenetçisi, bilgi sistemleri başdenetçisi, bilgi sistemleri kıdemli denetçisi, bilgi sistemleri denetçisi ve bilgi sistemleri denetçi yardımcısı unvanlarını alırlar.
Bilgi sistemleri denetçisinin, üniversitelerin veya denkliği yetkili makamlarca kabul edilen yurtdışındaki yükseköğretim kurumlarının dört yıllık lisans programlarını tamamlamış olması, fiilen en az üç yıl mesleki tecrübeye sahip olması ve Bilgi Sistemleri Denetim ve Kontrol Birliği (ISACA) tarafından verilen Bilgi Sistemleri Denetçisi Sertifikası (CISA) veya Bilgi Sistemleri Bağımsız Denetim Lisans Belgesine sahip olmaları zorunludur.
Bilgi sistemleri kıdemli denetçisinin, bilgi sistemleri denetçisi unvanını haiz olabilmek için aranan şartlara sahip olması ve fiilen en az 6 yıl mesleki tecrübeye sahip olması zorunludur.
Bilgi sistemleri başdenetçisinin bilgi sistemleri denetçisi unvanına haiz olabilmek için aranan şartları sahip olması ve fiilen en az 10 yıl mesleki tecrübeye sahip olması zorunludur.
Bilgi sistemleri bağımsız denetimi, profesyonel bilgi sistemleri kontrolü veya güvenliği, bilgi sistemleri geliştirme ve işletimi faaliyetlerinin herhangi birinde ya da birkaçında geçirilen sürelerin toplamı III-62.2 sayılı “Bilgi Sistemleri Bağımsız Denetim Tebliği kapsamında mesleki tecrübe olarak kabul edilir.
Tecrübe şartlarının değerlendirilmesinde Bilgi Sistemleri Denetçisi Sertifikası (CISA), İç Denetçi Sertifikası (CIA) ve bilgi sistemleriyle ilgili alanlarda alınan yüksek lisans derecesi ilave 1 yıl, bilgi sistemleriyle ilgili alanlarda alınan doktora derecesi ilave 2 yıl bilgi sistemleri bağımsız denetimi tecrübesi olarak sayılır.
Yetkili kuruluşların bilgi sistemleri bağımsız denetiminde görevlendirilmiş mensuplarının tümünün, yılda en az 20 saat, 3 yılda en az 80 saat bilgi sistemleri bağımsız denetimi alanında sürekli eğitim almaları veya vermeleri zorunludur.

Sermaye Piyasasında Bilgi Sistemleri Bağımsız Denetimi ile Yetkili Kuruluşlar Listesine Alınma Başvurusunda Aranan Koşullar

Sermaye piyasalarında bilgi sistemleri bağımsız denetim faaliyetinde bulunacak kuruluşların ve bu kuruluşlarda denetçi olarak görev alacakların sağlaması gereken şartlar ve yetkilendirilmek üzere başvurularda istenen bilgi ve belgeler III-62.2 sayılı “Bilgi Sistemleri Bağımsız Denetim Tebliği”nin 11, 12 ve 13’üncü maddelerinde yer almaktadır.
Yetkilendirme başvurusuna ilişkin form ve gerekli bilgi belge listesi Başvuru Süreçleri kısmında yer almaktadır.
 
Sermaye Piyasasında Bilgi Sistemleri Bağımsız Denetim Faaliyetinde Bulunma Yetkisinin İptali

Sermaye piyasalarında bağımsız denetim faaliyetinde buluma yetkisinin iptali Sermaye Piyasası Kanunu’nun 96’ncı maddesi ile III-62.2 sayılı “Bilgi Sistemleri Bağımsız Denetim Tebliği”nin 14’üncü maddesinde düzenlenmiştir:
Sermaye Piyasası Kanunu’nun ilgili hükümleri çerçevesinde, aşağıda yer alan aykırılıkların varlığı halinde yetkili kuruluşun, sermaye piyasasında bilgi sistemleri bağımsız denetimi yapma yetkisi Kurulca iptal edilebilir:
a) Yetkilendirilecek kuruluşlarda aranan şartların kaybedilmesi,
b) Görev kabulüne ve değişimine ilişkin standart, ilke ve kurallara uyulmaması,
c) Denetim planı ve çalışma kağıtları ile bunları destekleyici diğer bilgi ve belgelerin denetim çalışmasını kanıtlayacak düzeyde bulunmaması,
ç) Denetimlerde Kurula bildirilen bilgi sistemleri bağımsız denetim sözleşmesinde ve bilgi sistemleri bağımsız denetim kadrosunda yer alanlar dışında fiilen başka denetçilerin görevlendirilmesi,
d) Uygun denetim tekniklerinin kullanılmaması nedeniyle gerekli denetim kanıtlarının elde edilememesi,
e) Yetkili kuruluşun bilgi sistemleri bağımsız denetimini yaparken, denetlenen Kurum, Kuruluş ve Ortaklıkların varlıklarının korunmasını, faaliyetlerin Kanuna ve ilgili diğer mevzuata uygun olarak yürütülmesini, muhasebe ve finansal raporlama sisteminin güvenilirliğini, bütünlüğünü ve bilgilerin zamanında elde edilmesini önemli ölçüde olumsuz etkileyecek hususları tespit edemediğinin Kurulca tespit edilmesi halinde, yetkili kuruluşun bu hususların tespit edilememesinde kusurlu olmadığını kanıtlayamaması,
f) Yapılan bilgi sistemleri bağımsız denetim çalışmalarında, sorumlu bilgi sistemleri başdenetçisi dahil denetim ekibinin dürüstlük, tarafsızlık, mesleki yeterlilik ve özen, bağımsızlık, güvenilirlik ve mesleki davranış gibi etik ilkelere uymaması,
g) Bildirim yükümlülüklerinin zamanında, tam ve doğru olarak yerine getirilmemesi ya da Kurulca veya Kurul tarafından görevlendirilenlerce istenen bilgi ve belgelerin zamanında, istenildiği şekilde tam ve doğru olarak verilmemesi,
ğ) Hatalı, eksik, yanıltıcı ve gerçeğe aykırı bilgi sistemleri bağımsız denetim raporu düzenlenmesi,
h) Mesleki sorumluluk sigortasının bilgi sistemleri bağımsız denetimini de kapsayacak şekilde yaptırılmaması,
ı) Kesintisiz olarak 5 yıl süreyle fiilen bilgi sistemleri bağımsız denetim faaliyetinde bulunulmamış olması.
(f) bendinde belirtilen hususlarda bir sorumluluk tespit edilmesi halinde, sorumluluğun içeriğine göre, Kurul sadece ilgili sorumlu bilgi sistemleri başdenetçi ve/veya bilgi sistemleri başdenetçi ve/veya bilgi sistemleri kıdemli denetçi ve/veya bilgi sistemleri denetçilerinin sermaye piyasasında bilgi sistemleri bağımsız denetimi yapmasını 2 yıldan az olmamak kaydı ile süreli veya süresiz olarak yasaklayabilir. Bu fıkra kapsamında sermaye piyasasında bilgi sistemleri bağımsız denetimi yapması yasaklanan denetçiler, söz konusu yasağın süresi sonunda yasağın kaldırılması için Kurul’a başvurabilirler; aksi takdirde yasak süresiz olarak uygulanır. Sermaye piyasasında bilgi sistemleri bağımsız denetimi yapması süreli olarak yasaklanan denetçilerin yasak süresi sonunda yasağın kaldırılması için Kurula yapacakları başvurular, ilgili hakkında devam etmekte olan bir inceleme olup olmadığı da dikkate alınarak Kurulca değerlendirilerek karara bağlanır. Yasak süresi içerisinde yasağın kaldırılması amacıyla Kurul’a yapılacak başvurular dikkate alınmaz.

Yetkili kuruluşun bilgi sistemleri bağımsız denetimi yapma yetkisinin kaldırılması, bağımsız denetim yapma yetkisinin de kaldırıldığı anlamına gelmez. Yetkili kuruluşun bağımsız denetim yapma yetkisinin kaldırılması halinde ise, bilgi sistemleri bağımsız denetimi yapma yetkisi de hiçbir işleme gerek kalmaksızın kaldırılmış sayılır.

Bilgi Sistemleri Bağımsız Denetim Raporu

1- Bilgi Sistemleri Bağımsız Denetim Raporu Unsurları
Bilgi sistemleri denetçisinin hazırlayacağı rapor aşağıdaki unsurları içerecek şekilde düzenlenir:
a) Başlık,
b) Raporun sunulduğu merci,
c) Giriş paragrafı,
ç) Denetim çalışmasına ilişkin bilgi,
d) Denetlenen Kurum, Kuruluş ve Ortaklıkların bilgi sistemleri hakkında genel bilgi,
e) Denetlenen Kurum, Kuruluş ve Ortaklıkların bilgi sistemlerine ilişkin iç kontrol ve iç denetim yapısına ilişkin genel değerlendirme,
f) Denetçi görüşü,
g) Kısaltmalar ve sözlük,
ğ) Ek veya dipnot dizini.

2- Bilgi Sistemleri Bağımsız Denetim Rapor Türleri
Bilgi sistemleri bağımsız denetim raporu, bilgi sistemleri denetçisinin denetlediği bilgi sistemleri hakkında oluşturduğu görüşünü içerir. Denetim görüşünde bilgi sistemleri ile bu sistem üzerindeki kontrollerin bütününün etkin, yeterli ve uyumlu olup olmadığı hususuna açıkça yer verilir. Bilgi sistemleri denetçisi bu husustaki kanaatini VII-128.9 sayılı “Bilgi Sistemleri Yönetimi Tebliği” çerçevesinde oluşturur.

Sorumlu bilgi sistemleri başdenetçisi, yapılan denetim sonucunda herhangi bir önemli kontrol eksikliğinin bulunmaması ve denetim kapsamında herhangi bir kısıtlama ya da engelleme ile karşılaşılmaması durumunda olumlu görüş bildirir.
Sorumlu bilgi sistemleri başdenetçisi, yapılan denetim sonucunda en az bir önemli kontrol eksikliğiyle karşılaşmalarına rağmen, bu eksikliklerin denetlenen bilgi sistemlerinin bütününü veya büyük bir kısmını etkilemediğini düşünmesi, görüş bildirmekten kaçınmayı gerektirecek önemde olmamakla birlikte, denetim faaliyetlerini sınırlayan herhangi bir hususun varlığı veya yeni tesis edilmiş bir sistem hakkında yeterince bilgi edinememesi veya denetim görüşünün oluşturulması için yeterli ve uygun denetim kanıtının elde edilememesi, durumlarında şartlı görüş bildirir.

Sorumlu bilgi sistemleri başdenetçisi, yapılan denetim sonucunda rastlanılan önemli kontrol eksikliklerinin tek başlarına veya beraber değerlendirildiklerinde, bilgi sistemlerinin bütününü veya büyük bir kısmını etkilediğine ilişkin kanaat edinmeleri veya yönetim beyanı ile bilgi sistemleri denetçisinin denetlen bünyesinde gerçekleştirdiği denetim sonrasında önemli bir kontrol eksikliğinin bütün önemli taraflarıyla eksik veya yanlış aktarılmasından kaynaklanan bir farklılık bulunması durumlarında olumsuz görüş bildirirler.

Sorumlu bilgi sistemleri başdenetçisi, denetim çalışmalarında karşılaşılan belirsizlik ve sınırlamaların görüş belirtilmesini engelleyecek derecede önemli olduğunu düşündüğü durumlarda, bilgi sistemleri hakkında görüş bildirmekten kaçınabilir. Bu durumda görüş bildirmekten kaçınılır. Görüş bildirmekten kaçınma durumunda düzenlenecek raporda, kaçınmaya yol açan nedenlere ilişkin denetçi görüşlerine yer verilmesi şarttır.