HAKAN UREM- systematized body of knowledge

Free Will and Determinism

2019-03-11T09:58:00.000+02:00

The debate about free will and determinism has been going on for centuries. It affects all our ideas about human actions or human choices in economics. Can we have "science of choice" that does not fall under this scheme ? This is the question that Professor James M. Buchanan fails to analyse in his book "What should economists do ?" in Page 40.

He says "the old age issue (an old age philosophical dilemma)". "I prefer to think that the subject and discussion itself not illusory". He also says that "I am neither competent nor interested in detailed etymological inquiry".

Is it possible in economic theory to predict what will happen in the future, does this mean that we are not free?

Determinate World:

No Choice (Not Allow Freedom, Coerced Choices): Choice predictable. No Choosing or deciding process. No free will.

Indeterminate World:

Choice (Allow Freedom). Choice is not predictable. Free Choice/Free will. Unconstrained/Free Choices (of average or representative person).

Free will:

Where there is free choice (a) Person is the sole author of the act of choice (b) Person could have chosen otherwise.

Financial Crimes-Forensic Accounting

2019-03-11T09:36:00.005+02:00

Fraud generally refers to harms, damages, injury caused by any kind of deception or financial crimes affecting not only what one has but also what one is. Therefore, what is true for financial crimes, it is also true for financial transactions. There are all sort of fraud in market exchanges among human beings. What we have here is a highly sensitive area in between disintegration and systemic fraud and lying all around the world. I'm not going into explanation and evaluation of the classical crime theories. Main questions are the following:

We can calculate financial fraud, but how do we measure bad faith in financial transactions ?
How can we evaluate the words of the Hebrew that refers to "fraud" in financial transactions ?
Do we need to rethink and reconsider the status of fraud in the modern world ?

ÜÇLÜ SAVUNMA SİSTEMLERİ

2019-03-07T09:39:00.002+02:00

Vücudun Savunma Sistemleri-Bankacılık Savunma Modeli

Konuyu dahiliye Uzmanı Dr. açısından da değerlendirmek gerekiyor. Dahiliye uzmanı Dr. devam eder ve aşağıda belirtilen “bağışıklık/savunma sistemleri” hususunda önemli tezler ortaya koyar:

“Dünyadaki tüm canlılar kendilerinden olmayan doku, hücre moleküllere, virüs veya enfeksiyona, karşı savunma sistemlerine sahiptir. Canlılardaki savunma sistemlerine rağmen, insanoğlu hastalık kapabilmekte ve bunlara karşı savunma sistemleri geliştirmektedir. Savunma mekanizması dinamik ve sürekli gelişen bir çerçevede ele alınmakta ve gelişim evrelerinden geçmektedir. İnsan vücudunun her alanında bağışıklık sistemi/savunma sistemi özel işlevlere sahip çok sayıda hücre ve molekül içermektedir. İnsan vücudunda yeni organlar ve savunma sistemleri keşfedilmeye devam edilmektedir. Bu konudaki çalışmalar, bankacılıktaki üçlü savunma mekanizmasından farklı değildir”. Vücudun hastalıklara neden olan mikropları durdurmak için üç savunma hattı bulunmaktadır".

Vücudun 3’lü savunma sisteminde;
(1-SH) Mikropların vücuda girmesini durdurmak (Solunum Sistemi, Gözler ve Cildimiz) Bunlar, mikropların vücudumuza girmesini, mikropların akciğerlerimize girmesini engeller. Gözyaşları enzimler adı verilen kimyasalları oluşturarak, gözümüz üzerindeki mikropları öldürürler. Patojenlerin vücuda girmesini engellemek ilk savunma hattının görevidir.

(2-SH) Özel Beyaz Kan Hücreleri bulunmaktadır. Bu hücreler hücreleri fagositler olarak da adlandırılır. Genellikle birinci savunma hattını aşan “yabancı” herhangi bir şeyi yakalarlar. Mikropları yerler ve sindirirler. Tüm patojenler yok edildikleri zaman antikorlar kan içerisinde hastalık yaratan mikroplarla savaşmak için hazır bulunurlar. Bu şekilde vücut daha önce savaştığı hastalıklara karşı bir bellek oluşturarak daha önce geçirdiğimiz hastalıklara karşı bağışıklık kazanırlar. Eğer patojenler tekrar vücuda saldırırlarsa hazır olan ve çabucak üretilebilen antikorlar enfeksiyon savaşına hazır olurlar.

(3-SH) Özel olmayan Beyaz Kan Hücreleri bulunmaktadır. Söz konusu hücreler, hangi antikorları üreteceğine karar verdiği zaman, onları çok kısa bir sürede üretirler. Bu antikorlar daha sonra derhal işgalci mikropları yok edilmeleri için işaretlemeye başlarlar. Enfeksiyon sona erdikten sonra kan içinde kalarak, enfeksiyon tekrar geldiğinde savaşmaya hazır olurlar. Bu nedenle vücudun daha evvel geçirdiği hastalıklara karşı bağışıklık kazanırlar. Ve hangi antikorları çabucak üreteceklerini bilirler. Bütün bunlar doğru hücrelerin bölgeye gitmelerini ve enfeksiyonla mücadele etmelerini sağlarlar (risk esaslı savunma).

Sonuç itibariyle, Bankacılık 3’lü savunma hatları, insan vücudunun üçlü savunma sistemi gibi çalışmaktadır. İkisi arasındaki çok yakın benzerlikler hiç de tesadüfi değildir. İlk önce vücudun savunma sistemleri keşfedildi; daha sonra bunlar, benzer metodoloji ve modeller ile Bankacılık işine entegre edildi. Bunun da adına “üçlü-savunma hattı” diye tanımlama yapıldı: (1-BH) işi yapanlar, (2-BH) İşi yönetenler (3-BH) İşi denetleyenler. Ancak bu modelin çok fazla eksiklikleri ve 4-5 savunma Hattı ile birlikte güncellenmesi ve yenilenmesi gereken konuları vardır.”

Hile ve Suistimal

2018-10-18T12:41:00.003+03:00

NEDENLER, SONUÇLAR VE ÖNLEMLER

Banka hilelerinin en önemli sonucu müşteri güveninin kaybolmasıdır. Banka hileleri, bankaların büyümesini tehlikeye atmakta, fon sahiplerinin mevduatlarını kaçırmakta, bankaların sermaye tabanını eritmekte, sonuçta gelir, müşteri ve itibar kaybı yer almaktadır.

Hilenin neden olduğu kayıplar, Kurum itibarını ve markasını olumsuz yönde etkiler ve Bankacılık mevzuatına uyum gittikçe zorlaşır. Bankacılık hilelerinin temel nedenleri arasında şunlar yer almaktadır:

1. Yetersiz iş eğitimi,
2. Personel üzerinde aşırı iş yükü,
3. Yoğun rekabet ve agresif pazarlama eğilimleri,
4. Yasa ve düzenlemelerine “düşük” uyum düzeyi,
5. Yetersiz iç kontrol ve risk yönetim sistemleri,
6. Kontrol ve risk farkındalığının içselleştirilmesinde yaşanan sorunlar,
7. Görevli personelin yolsuzluğa eğilimli olması,
8. Uygunsuz İK ve istihdam politikaları.

Bankacılık mevzuatı açısından, hilenin yapılmasının ana nedeni, görevli personel tarafından yerleşik (dahili) sistem ve kurallara uyulmasında yaşanan "gevşeklik veya ihmâl" olarak değerlendirilmektedir. Bu konuyu biraz daha detaylandırmak gerekirse:

Kayıtsızlık ve bilgi açığı/farkındalığı ise, kurallara uymamanın iki temel nedeni durumundadır. Rekabet etme zorunluluğu ise gelenekselleşmiş ve sınanmış sistem ve kuralların gevşetilmesine neden olmuştur. Yoğun rekabet, görevli banka çalışanlarını gevşetilmiş sistem ve kurallar ile çalışmaya zorlamıştır. Sistemin gevşetilmesine ve kuralların esnetilmesini fark eden "etik dışı" banka içi ve dışı hilekarlar bu durumu kötüye kullanabilmektedir.

Yetersiz (niteliksiz ve deneyimsiz) insan gücü (personel) bankaya iş planlaması ve görevlerin dağıtımında sorunlar çıkarmakta ve bu durum bankanın günlük işlemlerinde hilekarlar tarafından kötüye kullanılabilmektedir.

Yetersiz iç kontroller banka çalışanı, müşterisi ya da müşterisi olmayanlar tarafından kötüye kullanılabilecek bir zayıflık oluşturmaktadır.

Banka çalışanlarının bankacılık faaliyetlerinin hem teorik, hem de teknik yönleri konusunda yeterli biçimde eğitilmemesi ya da sürekli eğitimden geçirilmemesi bankaların genel olarak performansını düşürmekte ve bu da hilekarlar tarafından kolaylıkla kötüye kullanılabilecek bir "kontrol ortamı" yaratmaktadır.

Hesapların ve defterlerin düzenli biçimde tutulmaması ve dönemsel hesap mutabakatlarının yapılmaması, özellikle banka çalışanları tarafından kötüye kullanılabilmektedir.

Hile risk faktörleri arasında, anne-babalardan çocuklara “kalıtım yoluyla geçen özellikler”,

Banka personelinin payına düşen “ücret” ve “benzeri ödemelerin” yetersiz düzeyde olması,

Hileli bir şekilde el konulan malların paraya çevrilmesinin hızlı ve kolay olması.

Konulan ilke ve kurallara uyulmamasının cezasız ve yaptırımsız kalması.

Banka varlıklarını ve çıkarlarını korumakla görevli olan ilişkili kurumların gizlice anlaşması.

Olumsuz çalışma koşulları.

Çalışanların yoksul ve sadakatsiz olması gibi diğer önemli nedenler vardır.

Hilenin yol açtığı kayıplar sadece finansal nitelikte olmayıp "itibar" ve "güven" kaybı nedeniyle düşen satışlar ve dahili huzursuzluklar da bu kapsamda değerlendirilmesi gerekmektedir.

Kredi Hilelerinin Nedenleri

1. Kurumsal yönetim yapısının yetersiz bir düzeyde tasarlanması ve uygulanması,
2. Kurumsal yönetim sistemlerinin doğru düzgün çalışmaması,
3. Kredilerle ilgili entegre sistemin olmaması,
4. Kredi analiz, derecelendirme ve uyarı sistemlerinin yetersiz kalması,
5. Kredilerle ilgili verilerin yetersiz ya da amaca uygun bir düzeyde olmaması,
6. Etkin iç/dış denetim personel yokluğu ya da eksikliği,
7. Üst-orta kademe yöneticilerin sık sık değişmesi (hızlı devir),
8. Önemli denetim ve finans görevlerine niteliksiz/tecrübesiz personel atanması,
9. Müşterilerin istenen bilgi ve finansal tabloları sağlamakta gönülsüz olması ile fiktif veya çelişkili veriler sunması gibi nedenler (faktörler) vardır.

İster anlayın, ister anlamayın; ister uygulayın ister uygulamayın; ister uyuyun, ister uyumayın; ister oynayın, ister oynamayın..... İnsanın doğası hile ve suistimallere çok yakındır.

Hile ve suistimaller, gizlilik ve gizlenme üzerine kuruludur. İç kontrol boşluklarını her zaman suistimaller doldurur düşüncesiyle, hile ve suistimal ile mücadelede Bankalar (Kurumlar) için önerilebilecek en temel reçete aşağıda belirtilmektedir;

Bankacılık kontrol tanım ve uygulamalarını iyice anlamak ve bunları iş süreçlerine yerleştirmek,
Yönetimin hile ve suistimallere karşı tutumu, geri bildirimi ve bu konudaki iletişimi ve kurum içinde politika belgelerini oluşturmak,
Güçlü ve yeterli bir iç kontrol sistemine sahip olmak,
Görevler ayrılığı kuralına göre iç kontrolleri işlevsel faaliyet alanlarına doğru bir şekilde yerleştirmek,
Tüm alan ve faaliyetlerde mutlak suretle, veri girişini yapan, veriyi onaylayan, çıktının sayısını, kalitesini ya da performansını kontrol eden, mutabakatı sağlayan kişileri ayrı ayrı görevlendirmek (Diğer bir ifadeyle, işi baştan sona tek bir kişinin yetki ve sorumluluğuna bırakmamak),
Personel sayısı yetersizliği nedeniyle görevler ayrılığı uygulamasında sorun yaşanmasını engellemek,
Kritik öneme sahip faaliyetleri ve görevleri öncelikli olarak belirlemek ve bu görevlerin ayrıştırılmasına özen göstermek,
Kurum çalışanlarını (kuruma yakın tedarikçileri) yakından tanımak,
Mutabakatlar, habersiz teftişler yine suistimaller için caydırıcı kontrol ve uygulamalar yaratmak,
Tüm işlerin detaylı şekilde tanımlanmış ve dokümante edilmiş olması ve işlerde belirli zamanlarda rotasyonların yapılmasını sağlamak.
Risk değerlendirme, hile ve suistimalle mücadelenin vageçilmez bir unsurudur. Kurum içinde tüm karar ve faaliyetlere ilişkin süreçler üzerinde yapılacak sürekli risk değerlendirme ve izleme çalışmaları ile kontrol boşluklarını kapatmak,

Doğru yer ve zamanda, doğru kontroller, hile ve suistimalleri önemli ölçüde azaltmada veya meydana gelmiş bir suistimali tespit ederek kayıpları azaltmada önemlidir.

Hiçbir zaman risk ve kayıplar "sıfır" olmaz. İşin de en derin (en kritik) ve en geniş boynuzlu doğası da işte budur. Hile ve suistimal ile mücadelenin en zor yanı, suistimalin insan davranışından kaynaklanıyor olmasıdır. İster anlayın, ister anlamayın; hile ve suistimalin bir şekli ya da kimliği yoktur. Bunlar değişik yer ve zamanda önünüze çıkabilir...Peki bu konuda ne yapılmalıdır?

BANKACILIK KONTROL STANDARTLARI (KURMAK, İŞLETMEK VE YÖNETMEK, TASARLAMAK VE UYGULAMAK)

İç Kontrol Sisteminin Amacı:

Banka varlıklarının korunması,
Faaliyetlerin etkin ve yeterli bir şekilde Yasa ve ilgili diğer mevzuata, banka içi politika ve kurallara ve bankacılık teamüllerine uygun olarak yürütülmesi,
Muhasebe ve raporlama sisteminin güvenilirliğini, bütünlüğünü ve bilgilerin zamanında elde edilebilirliğini sağlamak,
Hile ve suistimal ile mücadelede yardımcı olmaktır.

KONTROL SİSTEMİ (KONTROL STANDARTLARI)

Kontrol ortamı, iç kontrolün diğer unsurlarına temel teşkil eden genel bir çerçeve olup, kişisel ve mesleki dürüstlük, yönetim ve personelin etik değerleri, iç kontrole yönelik destekleyici tutum, mesleki yeterlilik, organizasyonel yapı, bilgi teknolojileri, insan kaynakları politikaları ve uygulamaları ile yönetim felsefesi ve iş yapma tarzına ilişkin bileşenleri kapsar.

A. KONTROL ORTAMI STANDARTLARI

Standart-1: Etik Değerler ve Dürüstlük

Standart-2: Misyon, Organizasyon Yapısı ve Görevler

Standart-3: Personelin Yeterliliği ve Performansı

Standart-4: Yetki Devri

B. RİSK DEĞERLENDİRME STANDARTLARI

Standart-5: Planlama, Programlama ve Uygulama

Standart-6: Risklerin Belirlenmesi,Değerlendirilmesi,İzlenmesi ve Raporlanması

C. KONTROL FAALİYETLERİ STANDARTLARI

Standart-7: Kontrol Stratejileri ve Yöntemleri

Standart-8: Prosedürlerin Belirlenmesi,Belgelendirilmesi ve Güncellenmesi

Standart-9: Görevler Ayrılığı

Standart-10: Hiyerarşik Kontroller

Standart-11: Bilgi Sistemleri (BT) Kontrolleri

Ç. BİLGİ VE İLETİŞİM STANDARTLARI

Standart-12: Bilgi Güvenlik ve İletişim

Standart-13: Raporlama

Standart-14: Kayıt ve Dosyalama Sistemi

Standart-15: Hile/Usulsüzlük ve Yolsuzlukların Bildirilmesi

D. İZLEME STANDARTLARI

Standart-16: İç Kontrollerin İzlenmesi ve Değerlendirilmesi

Standart-17: İç Denetim Sistemi ve İç Denetim Faaliyetleri

Hileyi büyük bir orman gibi düşünmek gerekmektedir. Çünkü hilenin içinde ayni zamanda; “kasıt”, “hata”, “yarar sağlama”, “haksız kazanç”, “görev ihmali”, “bilerek görmezden gelme”, “uyumsuzluk”, “anlamsız işlem ve ilişkiler” gibi bileşenler vardır.

Hile en çok tesadüfle ve ihbar sonucu ortaya çıkar. Ancak, hile belirtileri dediğimiz olayları, çalışanların tümünün bilmesi gerekir ki, bir belirti ile karşılaşıldığında tepkisini koyup denetim mekanizmasını harekete geçirsin. Hilenin ortaya çıkmasında herkese görev düşer. Bu nedenle, hileyi ortaya çıkarmak yalnızca hile denetçilerinin görevi değil, kurum içinde çalışan herkesin görevidir. Kurum içinde etkin ve verimli çalışan eğitim ve personel yetkinlik modeli çok önemlidir.

Diğer Önemli Konular:

Hile en çok "tesadüfle" ve "ihbar sonucu" ortaya çıkar.
Ekonomik kriz ortamlarında yapılan hileler normal ekonomik dönemlere kıyasla daha fazladır.
Hilenin özünde güven vardır çünkü güven başladığında (güven pozisyonununa geçildiğinde) hile ile ilgili fırsat en uygun zamanda yakalanır (Güven ver- Fırsat yakala gibi). Yani, güven yoksa, hile de yoktur veya hile çok daha azdır.
Güvenmek bir işlem değil bir duygudur. Şirketlerde; güven ama kontrol et, güven ama incele denilen bir süreç var ki, bunu şirket yöneticileri pek de iyi beceremiyor.
Fırsat, baskı ve ihtiyaç gibi bileşenler hile eylemi gerçekleştirmede çok önemlidir. Haklı gösterme de bu zincirin önemli bir noktasıdır.
Hile ile ilgili mücadelede "bilinç" ve "farkındalık" konusu çok daha önemli. Bir çürük elma bile sepeti bozabilir.
Son Söz: Dünü Anla, Bugünü Değerlendir, Geleceği Planla ve Denetle. Oku, Anla, Uygula, Geliştir ve Değişkenleri Yakından Takip Et.
Merak etmeyin. Hile günün birinde orada bir yerde rasgele önünüze çıkacaktır.
Tecrübeler,Teoriye; Teoriler, Eyleme dönüşür.

KEDİYİ BASTILAR

"Hile eylemine karşı hiç kimsenin elinde sihirli değnek yoktur".

BİLGİ GÜVENLİĞİ YÖNETİM SİSTEMİ (BGYS)

2018-05-09T12:37:00.002+03:00

ISO 27001 BİLGİ GÜVENLİK YÖNETİM SİSTEMİ (BGYS)

Genel

27001 BGYS, Firma finansal verilerini, fikri mülkiyetlerini ve hassas müşteri bilgilerini korumalarına yardımcı olan uluslararası bir çerçevedir. Kişi ve kurumları, bilgiye ulaşmasında, saklanmasında, depolanmasında bir yerden bir yere taşınmasında önemli bir rol oynamaktadır. Bu açıdan bilgi, "güvenli ve "sürekli saklanabilir" olmalıdır.

Güvenlik Açığı
Güvenli noktalar/Güvenlik açığı olan noktalar.

Bilgi elektronik ortamda nasıl korunmalıdır? Bu günümüzde en yaygın olarak aklımıza gelen sorulardan birisidir. Özel ve Kamu kuruluşlarında elektronik "yedekleme" ve "saklama" gibi güvenlik standartları (BGYS 27001) olmalıdır. Bilginin gizliliğine ve korunmasına karşı, güven ortamı oluşturulmalıdır. Çünkü yaşanan güvenlik sorunlarının bedeli çok ağır ve zahmetli bir süreç içermektedir. Örneğin;

Pazar kaybı,
Müşterilere karşı güvensizlik,
İş süreklilik kesintisi,
İdari ve yasal yaptırımlar vb gibi sorunlar ortaya çıkabilmektedir.

Bunların kazanılması, yine bunların yitirilmesi karşısında alınacak önlemlerden daha pahalı olduğu için BGYS ISO 27001 iyice anlaşılması ve buna göre "Bilgi Güvenlik Politikası" oluşturulması gerekmektedir.

1. BİLGİ NEDİR ?
Tüm ticari varlıklar gibi firma için değeri olan ve dolayısıyla korunması gereken bir varlıktır. Kurum ve Kuruluş faaliyetlerinin devamı için büyük bir öneme sahiptir.

Tek başına maddi bir değeri olmamasına rağmen, korunması veya ihlal edilmesi durumunda, maddi kayıplara neden olabilecek bir varlıktır.

2. BİLGİ GÜVENLİĞİ NEDİR ?

Birçok biçimde kullanılan bir varlıktır. Örneğin bilgi, format ve kullanım türüne göre sınıflandırılabilir. Buna göre bilgi;

Kağıt üzerinde olabilir,
Elektronik ortamda saklanıyor olabilir,
Bir yerden diğer bir yere gönderiliyor olabilir (Posta/E-posta),
Sözel bir biçimde olabilir (insanlar arasında olabilir).

Bilgi bu biçim ve formatlarda nasıl korunmalı ve güvence altına alınmalıdır?

Bilgi güvenliğini nasıl sağlanabilir?

Bu sorulara yanıt "güvenli ortam" ile birlikte BGYS gereksinimlerini yerine getirmekle karşılayabiliriz.

Bilgi güvenliği, bir kurum veya kuruluşun bilgi varlıklarının korunmasıdır.

Bilgi varlıklarının korunması 3 temel güvenlik unsurundan oluşur. Güvenlik unsurlarından herhangi birinin zarar görmesi güvenlik zafiyetine neden olur.

Bilgi Güvenlik Unsurları
Güvenlik unsurları aşağıda belirtilmiştir.

(1) Gizlilik (Bilginin sadece yetkili olan kişilerce erişebilmesi özelliğidir).
(2) Bütünlük (Varlıkların doğruluğunun ve eksikliğinin güvence altına alınması özelliğidir).
(3) Kullanabilirlik-Erişebilirlik (Yetkili bir kurum veya kuruluş talebi üzerine bilgiye ve ilişkili kaynaklara erişime sahip olabilme hakkının garanti edilebilmesi özelliğidir).

Müşterilere, bilgilerin güven altında olduğu güvencesi vermektir. Kazanılması, yitirilmesinden daha pahalı olduğu düşünüldüğünde, teknoloji çağında sürekli olarak "bilgi güvenlik ortamı" yaratabilmeliyiz.

3. ISO 27001 KİMİ İLGİLENDİRİR?

Uluslararası ve denetlenebilir "tek standart" olma özelliğine sahiptir.

Tüm sektör ve ülkeler, Kamu/Özel Kurum ve Kuruluşları, büyük ve küçük firma ayırt etmeksizin bunların hepsini ilgilendirir.
Bilginin korunması gereken tüm alanlarda daha önemlidir.
Bilgiyi başkası açısından yönetenler için de çok önemlidir.

Örneğin, tedarikçi ve taşeron şirketler.

Risk Sınıflama/Risk Gruplama:

(1) DÜŞÜK

Tarım

İnşaat

Emlak

Gıda ve Tütün

Maden

Endüstriyel Ekipman

(2) ORTA

Otomativ

Kimya

Enerji

Nakliyat

(3) YÜKSEK

Kamu Kuruluşları

Savunma Teknolojileri

Havacılık

Bankacılık

Finans

Elektronik

Bilgi güvenlik açığını (bilgi kaybını) hızlıca
"engellemek", "önlemek", "korumak" ve "kontrol altına almak" gerekir.

4. BGYS İLE İLGİLİ YANLIŞ BİLİNENLER VE DOĞRULARI

Ülkemizde yasal eksiklik/yasal zorunluluk olmaması sebebiyle kurum ve kuruluşlarda yanlış algılamaya neden olan birçok konu vardır.

Bilgi teknolojisi projesidir. Bilgi teknolojileri projesi değildir.
Bir bilgi güvenlik projesidir. Kurumun tüm birim ve süreçleri ile ilgisi vardır.
Güvenlik teknolojileri ile ilişkisi vardır. Güvenlik teknolojilerinden yararlanılır.
Yazılım, donanım ve servis tedarik projesidir.
Yazılım, donanım ve servis tedarikçiye yaptırılabilir, başka bir kuruma yaptırılabilir, başka bir kurum tarafından danışmanlık hizmeti alınabilir. Ancak, BGYS kurması gereken asıl kurumun kendisidir.
Kapsamı nihai olarak kurumun tamamıdır, tek olarak bilgi işlem birimi değildir.
Kurmak ve yürütmekten sorumlu ÜDY, bilgi işlem başkanıdır.
Kurmak ve yürütmekten sorumlu yönetici, kurumun en üst düzey yöneticisidir.

5. ISO 27001 BGYS KURMANIN FAYDALARI (YARARLARI)
BGYS kurmanın faydaları aşağıda belirtilmektedir.

Bilgi varlıklarının farkına varılması,
İş sürekliliğinin sağlanması,
Tedarikçi/müşteri güveni kazanılır,
Firma saygınlığı yükselir,
Yaşayan bir süreç olduğundan, performans izleme ve geliştirmede yardımcı olur,
Felaket durumunda, işe devam edebilme yeterliliği sağlar,
Bilgi varlıklarına hedef olan risklere karşı önlemler alır,
Yasal takipleri önler,
Müşteri değerlendirme işlemini rakiplerine kıyasla daha iyi yapar,
Yasal alanda yükümlülüklere uyum kolaylaşır (yasal uyum)
Kurum genelinde bilinç ve farkındalık oluşur,
Müşteri/çalışan motivasyonu sağlar,
Rekabet anlamında avantaj sağlar (rekabet üstünlüğü elde edilmesi).

Özetle BGYS: Kurmak, geliştirmek, uygulamak, takip etmek, ölçmek, sürdürmek ve iyileştirmek ve bir method oluşturmak amacıyla oluşturulmuştur.

6. ISO 27001 STANDARDI VE SÜREÇLERİ
Bilgi güvenlik yönetim standardıdır. 14 Ekim 2004 tarihinde yayınlandı.
Firmalar BGYS,

Kurmak
Geliştirmek
Uygulamak
Takip Etmek
Ölçmek
Sürdürmek
İyileştirmek
Method oluşturmak, amacıyla oluşturulmuştur.

Bir sürecin çıktısı, bu süreci izleyen başka bir sürecin girdisini oluşturur.

SÜREÇ GİRDİSİ-----SÜREÇ YAKLAŞIMI---SÜREÇ ÇIKTISI
(Girdi-Oluşum-Çıktı).

Bilgi güvenlik Yönetimi, sürekli devam eden bir gelişim sürecidir. Bu tanımların ve bunların yönetimi ile ilgili oluşan sürecin, sistematik bir şekilde uygulanmasına "süreç yaklaşımı" denir. Bunun için PUKÖ modeli benimsenmiştir.
Bu konuda BGYS metodu ve süreç yaklaşımı süreklilik arz eden bir konudur.
Sürekli devam eder;

PLANLA
UYGULA
KONTROL ET
ÖNLEM AL

PUKÖ MODELİ İLE İLGİLİ AŞAMALAR

1-AŞAMA: ÖNLEM AL

Yönetimin gözden geçirme sonuçlarına dayanarak, "düzeltici ve önleyici" faaliyetlerin gerçekleştirildiği aşamadır. Standardın 4.2.4-BGYS sürekliliğinin sağlanması ve iyileştirilmesi başlığına karşılık gelir.

2-AŞAMA: KONTROL ET
BGYS politikası, amaçları ve süreç performansının değerlendirildiği, uygulanabilen yerlerde ölçüldüğü ve sonuçların rapor edildiği aşamadır. Standardın 4.2.3 BGYS "izlenmesi ve gözden geçirilmesi" başlığına karşılık gelir.

3-AŞAMA: UYGULA

BGYS politikası, "kontrol süreçleri ve prosedürlerin" gerçekleştirilip işletildiği aşamadır. Standardın 4.2.2-BGYS nin gerçekleştirilmesi ve işletilmesi başlığına karşılık gelir.

4-AŞAMA: PLANLA

BGYS politikası, amaçlar, hedefler, "süreç ve prosedürlerin geliştirildiği" aşamadır. Standardın 4.2.1-BGYS kurulması başlığına karşılık gelir.

7. ISO 27001 BGYS KURMA AŞAMALARI

Bu aşamada firma gereksinimlerinin yanısıra, tüm bilgi varlıkları değerlendirilmelidir.

Bu varlıkların sahip olduğu zayıflıklar ve karşı karşıya oldukları tehditleri göz önünde olan bir risk analizi yapılmalıdır.
Firma kendisine bir risk yönetim şekli seçmelidir.
Risk işleme için bir plan hazırlanmalıdır.
Risk işleme için standartlarda belirtilen kontrol ve kontrol hedeflerinden seçimler yapılmalı ve uygulanmalıdır.

Varlıkların risk seviyesi "kabul edilebilir" bir düzeye gelene kadar çalışmalar devam ettirilmelidir.

ISO 27001 İle İlgili Gereklilikler
Firmaların öncelikle gereksinimleri aşağıda belirlenmektedir.

Risk Yönetimi ve Risk İşleme Planları
Görev ve Sorumluluklar,
İş Devamlılık Planları,
Acil Durum ve Olay Yönetim prosedürleri hazırlama,
Uygulamada veya başlangıçta seçilen kontrollerin/kontrol hedeflerinin ölçülebilir olması gerekmektedir.
Belirli dönemlerde amaca uygunluğu ve performansı kontrol edilmelidir.
Yaşayan bir süreç olarak BGY, yönetimin aktif desteği ve personelin katılımcığıyla başarılabilir.
Firma içerisinde bu çalışmaları yürütecek bir ekip kurulmalı ve bu ekip üyelerinin BGY konusunda "eğitimli" olmaları gerekmektedir.

Kurma Aşamasında,

Başlangıçta seçilen kontrollerin/kontrol hedeflerinin ölçülebilir olması gerekmektedir.
Belirli dönemlerde amaca uygunluğu ve performansı kontrol edilmelidir.
Firma içerisinde bu çalışmaları yürütecek bir ekip kurulmalı ve
Ekip üyelerinin BGYS konusunda iyi eğitimli olması beklenmektedir.
Risk yönetimi, politika oluşturma, güvenlik süreçlerinin hazırlanması, uygun kontrollerin seçilip uygulanması aşamalarında "uzman desteği" (danışmanlık) alınabilir.

Yaşayan bir süreç olarak kabul edilen BGYS, yönetimin aktif desteği ve personelin katılımcılığı ile başarılabilir.

ISO 27001 asıl görevi yönetim sistemi ön görmesidir. ISO 27001 size nasıl virüs bulaşmayacağı anlamına gelmez. Network ağına saldırıların nasıl engel olunacağını söylemez. Bilgi güvenliğini ve bilgi güvenliğinin nasıl yönetileceğini anlatır.

AŞAMA-1: VARLIKLARIN BELİRLENMESİ VE KAPSAM BELİRLEME
Firmanın sahip olduğu tüm varlıklar için bir envanter tutulmalıdır.

Varlık envanteri, olası herhangi bir afetten sonra normal bir standarda dönmek için gereken tüm bilgileri kapsamalıdır (varlığın türü, varlığın değeri, varlığın konumu vbg).

Varlık Envanterinde bilgi türlerine göre ayrıştırılmalıdır.
(1) BİLGİ VARLIKLARI
Veri tabanı, sözleşmeler, sistem dokümantasyonu, vb. varlıklar.
(2) YAZILIM VARLIKLARI
Uygulama, Sistem yazılımları ve buna bağlı yazılım araçlarını kapsar.
(3) FİZİKSEL VARLIKLAR
Bilgisayar ve iletişim için kullanılan araçları kapsar.
(4) PERSONAL VARLIKLARI
Nitelikleri ve tecrübeleri ile çalışan kaynağıdır.
(5) SOYUT VARLIKLAR
Kurumun piyasadaki konumu, itibarı gibi varlıkları kapsar.
(6) HİZMETE YÖNELİK VARLIKLAR
Bilgisayar ve iletişim hizmetleri, ısıtma-aydınlatma, enerji kaynağı gibi varlıkları kapsar.

AŞAMA-2: BGYS POLİTİKASI
Bu aşamada firmalar kendine özel politika belirlerler. BGYS Politikasının formatı ise aşağıda belirtildiği şekilde olmalıdır. Firma,

Hedeflerini ortaya koyan,
Kurulacak yönetim sistemine yön veren ve harekete geçiren,
Hangi risklerin değerlendirmeye alınacağını analiz eden,
Risk yönetim kapsamını ve kriterlerini belirleyen,
Yapılan işin, yerleşim yerinin, varlıklarının ve teknolojisinin özelliklerini belirten, bir formatta hazırlanmalıdır.

Bilgi Politikası oluşturduktan sonra söz konusu politika;

Dokümante edilmelidir,
Yönetim tarafından onaylanmasının ardından kurum çalışanlarına duyurulmalıdır.
Yönetim, politikada belirtilen maddelerin uygulamaya geçilmesinde kararlı ve istekli olmalıdır.
Bunu da çalışanlara hissettirecek bir yapı oluşturulmalıdır.

BGYS Kapsamındaki Verilerinin Temel Özellikleri

Bu konuda aşağıda temel veri özellikleri ve bunlara bağlı temel ilkeler yer almaktadır.
(1) Doğru olma (Doğruluk)
(2) Tam olma (Tamlık)
(3) Zamanında Erişebilir olma (Erişebilirlik)
(4) Tutarlı olma (Tutarlılık)
(5) Detaylı olma (Detaylılık)
(6) Elverişli olma (Elverişlilik) inceleme ve analize elverişli olmak gibi veri özelliklerine uygun olmalıdır.

Verilerin uygun ve doğru temel üzerine inşa edilmesi için "planlama ve ön hazırlık" aşamaları çok önemlidir.

Riskin ölçümü ve yönetimi sürecinin temel unsurlarından birisi riskle ilgili verilerdir. Bu verilerin her türlü güvenlik riskinin ölçümünde ve yönetiminde öncelikli koşuldur.

AŞAMA-3: RİSK DEĞERLENDİRME
Bu aşamada, Bilgi Güvenlik Politikası baz alınarak sistematik bir "risk değerlendirme yaklaşımı" belirlenir. Risk değerlendirme metodolojisi,

Uygun,
Karşılaştırılabilir,
Tekrarlanabilir, olmalıdır.
Kabul edilebilir riskler belirlenir ve bunlar için kıstaslar geliştirilir.

Her kurum kendine uygun bir yöntem seçebilir (belirleyebilir). Standardın bu konuda herhangi bir sınırlaması yoktur.

AŞAMA-4: RİSK BELİRLEME
Korunması gereken varlıklara karşı tehdit unsuru içeren riskler, risk değerlendirme yaklaşımında belirlenen metodlar kullanılarak belirlenir. Bu aşamada yapılacak işin temeli,

BGYS içerisindeki tüm varlıkların tanımlanması,
Varlık dökümünün listesi (varlıkların detayları, tür ve önem seviyesini belirten bir liste halinde) çıkarılır.
Bir varlığın önem seviyesini belirlemek için bu varlığın

(G)GİZLİLİĞİNE,
(K)KULLANILABİLİRLİĞİNE,
(B)BÜTÜNLÜĞÜNE, gelebilecek zararın kurum üzerinde "etki derecesi" önceden belirlenmesi gerekmektedir.

ACİL-KRİTİK-YÜKSEK-ORTA-DÜŞÜK şeklinde 5 aşamalı olarak sınıflama ve ölçüm yapılabilir. Sonrasında,

Örneğin:
G, K, B kapsamında, stratejik öneme sahip gizli bir bilginin açığa çıkması mı, yoksa önemli ayni bir bilginin kullanılamaz olması mı kuruma daha fazla zarar verir. Bu süreç içerisinde belirlenmelidir.

AŞAMA-5: RİSK ANALİZİ VE RİSK DERECELENDİRME
Firmalar, BGYS analizi yaparken birçok risk ile karşılaşırlar. Örneğin,

Raporlama süreçlerinin olmaması (Güvenlik olaylarını, zayıflıklarını ve yazılım arızalarını bildiren),
Bilgi güvenlik ile ilgili görev ve sorumluluklarının belirlenmemiş olması,
Varlık envanteri ile ilgili eksiklikler olması,
Yazılımlar için geliştirme ve test ortamlarının ayrı olmaması, direkt canlı sistemle uygulanıyor olması,
Personel eksikliği,
Görev ayrımlarının düzgün yapılmaması ve bunların düzgün bir şekilde işletilmemesi.

AŞAMA-6: RİSK İŞLEME
Bu aşamda risk değerlendirme raporu esas alınarak, belirlenen risk karşısında dört farklı yöntem uygulanabilir.

Düzeltici/Önleyici Kontroller uygulanarak riskin yok edilmesi ya da kabul edilebilir bir seviyeye indirgenmesi (RİSK AZALTMA)
Riskin olmasına neden olabilecek faktörlerin ortadan kaldırılmasını sağlayacak riskten kaçınılması (RİSKTEN KAÇINMA)
Riskin dış kurumlara aktarılması (RİSK TRANFER ETME)
Riskin bilerek kabul edilmesi (kurum politika ve risk kabul kıstaslarına uyulması şartıyla- RİSK ÜSTLENME/RİSK KABUL ETME).

Yine ayni şekilde, varlıkların risk seviyesi "kabul edilebilir" bir düzeye gelene kadar çalışmalar devam ettirilmelidir.

AŞAMA-7: KONTROL SEÇİMİ VE KONTROL UYGULAMA

Bir önceki risk işleme sonuçlarına göre uygun "kontrol ve kontrol hedefleri" seçilmelidir.

Firma isterse ek olarak başka kontroller de seçmekte serbesttir.
Kontrol amaçları ve kontroller, risk değerlendirme ve risk işleme süreçlerinde tanımlanan gereksinimleri karşılamak için seçilmelidir. Ve bunlara uygun olarak gerçekleştirilmelidir.
Kontrol seçimi ve uygulama, firma seçimine bırakılmıştır. Bu konuda sınırlama (zorunluluk) yoktur.

AŞAMA-8: ARTIK RİSK ONAYI
Risk işleme aşamasından sonra, alınan kararların uygulanmasından sonra "arta kalan riskler" olarak tanımlanır. Tamamen ortadan kaldırılamayan riskler için Yönetimin onayı alınmalıdır.
Sonrasında,

Artık risk belgesi hazırlanıp dokümante edilmelidir.
Artık risk azaltmaya yönelik bir süreç işletilmelidir.

Bu adımlar ile ilgili "iş akış şeması" aşağıda belirtilmektedir.

Kontrol Seçimi
Kontrolün Uygulanması
Risk Azaltma
Risk Tekrar Değerlendirme
Artık Risk
Artık risk (kabul/ret)
Risk İşleme Raporu.

AŞAMA-9: YÖNETİM GÖZDEN GEÇİRME VE ONAY

Risk yönetim adımları gerçekleştirdikten sonra, BGYS işletim ve uygulaması konusunda,

Tüm raporlar yönetime gözden geçirme için sunulur.
Gözden geçirmeden sonra, "onay belgesi" hazırlanır ve saklanır.

AŞAMA-10: UYGULANABİLİRLİK BİLDİRGESİ VE BELGELENDİRME
BGYS kurulumunun son aşaması olan bu maddede, risklere karşı seçilen firmaya özel kontrollerin belirtildiği bir "Uygulanabilirlik Bildirgesi" (UB) hazırlanır.

(1)UB kapsamında seçilen kontrol amaçları, kontrol nedenleri açıklanmalıdır.

(2)Kontrol amaçları ve kontroller'den hangilerinin gerçekleştirilmiş olduğu, hangilerinin kapsama dahil edilmediği ve nedenleri açıklanmalıdır.

8. BGYS GERÇEKLEŞTİRME VE İŞLETİLME

Firmanın BGYS kapsamında bilgi güvenliği risklerini yönetebilmesi için "risk önleme planı" geliştirmesi gerekir.
Risk Önleme Planı ile ilgili Kapsam
Risk önleme planı bilgi güvenlik risklerini yönetmek için
(1)Yönetim faaliyetlerini,
(2) Kaynakları,
(3) Sorumlulukları,
(4) Öncelikleri, kapsar.

Hazırlanan "risk önleme planı" çerçevesinde uygulamaya geçilir. Daha sonra, bu aşamada için yapılması gerekenler aşağıda yer almaktadır.

BGYS yönetilir ve işletilir.
Güvenlik kontrolleri uygulanır.
Kontrollerin verimliliği ve etkinliği ölçülür. Bu ölçümler planlanan kontrol amaçlarının ne kadar iyi düzeyde başarıldığına karar vermek olanağı sağlar.
Bu konuyla ilgili "eğitim programları" gerçekleştirilir.
Firmanın güvenlik olaylarını anında belirlemeye ve güvenlik ihlaline hemen yanıt verebilme yeteneğine sahip "güvenlik prosedürleri" uygulanır.
BGYS kaynakları etkin bir şekilde yönetilir.

9. BGYS METODU VE SÜREÇ YAKLAŞIMI
BGYS'nin oluşturulmasında süreç yaklaşımından faydalanılır.

Bilgi Güvenlik ile ilgili Süreç Yaklaşımı
Her faaliyet bir süreç olarak düşünülebilir.

Ölçme,
Tasarlama,
Yönetme,
İzleme,
Uygulama, aşamalarından oluşur.

Firma, görevlerini bu şekilde yapabilmesi için faaliyetlerini doğru olarak tanımlaması ve bunları iyi bir şekilde yönetmesi ve bilgi açıklarını engellemesi gerekir.

PUKÖ Modeli Nedir?

Ne yapılacağına karar verilmesi,
Kararların gerçekleştirilmesi,
Kararların çalıştığının kontrol edilmesi,
Hedeflere uygun çalışmayan kararların kontrolleridir.

ISO 27001 Kurma aşamasında aşağıda belirtilen konular dikkate alınır.
(1) Tüm bilgi varlıkları değerlendirilmelidir.
(2) Bu varlıkların sahip olduğu zayıflıkları ve karşı karşıya oldukları tehditleri göz önünde olan bir risk analizi yapılmalıdır.
(3) Kurum, kendine bir risk yönetim şekli seçmelidir.
(4) Risk işleme için bir plan hazırlanmalıdır.
(5) Risk işleme için standartta belirtilen kontrol ve kontrol hedeflerinin seçimleri yapılmalı ve uygulanmalıdır.
(6) PUKÖ modeli çerçevesinde risk yönetim faaliyetleri yürütülmelidir.

BGYS kurma aşamasında, varlıkların risk seviyesi "kabul edilebilir" bir düzeye gelene kadar, çalışmalar devam ettirilmelidir.

RİSK: (1) DÜŞÜK- (2) ORTA- (3) YÜKSEK

10. BGYS KURULMASININ PLANLANMASI (PLANLAMA SÜRECİ)
Organizasyon altyapısında bilgi toplanması aşamasıdır.

Yapılan işin niteliği,
Misyon,
Yerleşim noktaları,
Görev alacak kritik oyuncular,
Risk Yönetim sorumluları,
Kurulum nedenleri,
Operasyonel güvenlik durumu,
Kapsam belirleyecek Bilgiler (lokasyon, çalışma programı, süreç, iş fonksiyonları, işlemler, bilgi teknolojileri gibi bilgiler) belirlenir.
BGYS hedefi

Süreç belirleme aşamasında, tüm çalışmalar belirli sürelerde gözden geçirilmeli ve tekrarlanmalıdır.

Elektronik Tehditler

Bilgisayar Kullanıcısı:
---> İnsan---> Hacker-----> (Tablet, Cep Tel, Bilgisayar, WWW)

Yetkisiz olarak veya süresi dolmuş bir yetkiyle güvenlik hassasiyeti olan alanlara girilmesi,
Yasal olmayan bir şekilde elektronik haberleşmenin izlenmesi ve dinlenmesi,
Doğruluğu olmayan bir bilginin yayılmaya çalışılması, bu bilginin üçüncü şahıslardan alındığının iddia edilmesi,
Elektronik haberleşme ortamı ile ilgili alt yapının bozulması,hizmet veremez hale getirilmesi veya aksatılması,
Donanım ve yazılım unsurlarının ulusal düzenleme ile standartlar uyarınca belirtilen gereksinimlerin yerine getirilmesinin "kısmen" veya "tamamen" engellenmesi,
Kullanıcıyı yanıltarak doğru tarafla iletişimde bulunduğu izleniminin verilmesi.
Yetkisi olarak veya süresi dolmuş bir yetkiyle, örneğin:

SİLME,
EKLEME,
GÜNCELLEME,
ORTAM DEĞİŞTİRME,
TAŞIMA VEYA VERİ GİZLİLİĞİ, BÜTÜNLÜĞÜ, DEVAMLILIĞI bozacak şekilde açığa çıkarmak.

11. BGYS KAPSAMI

Yaklaşım-Risk Esaslı Yönetim

Yönetsel ve teknik seviyeden, operasyonel seviyeye doğru risk esaslı bir yaklaşım izlemektedir (Yukarıdan-Aşağıya doğru). BGYS kapsamı aşağıda belirtilen konulardan oluşmaktadır.

Güvenlik Politikası
Organizasyonel Güvenlik
Varlık Sınıflandırma ve Denetim
Personel Güvenlik
Fiziksel Çevresel Güvenlik
İletişim ve Operasyonel Yönetim
Erişim Kontrolleri
Sistemlerin Geliştirilmesi ve Sürekliliği
Olay Yönetimi
İş Sürekliliği Yönetimi
Uygunluk

Erişim hakları verilirken;
"yasaklanmayan her şey serbesttir" ilkesi değil, "izin verilmeyen herşey yasaktır" ilkesine göre verilmelidir.

Güvenlik Politikası (GP)
Güvenlik politikası aşağıda sıralanan unsurlardan oluşmaktadır.

Organizasyonel güvenlik,
Varlık Sınıflama ve Denetim, Erişim kontrolleri,
Uygunluk,
Personel güvenliği,
Fiziksel ve Çevresel güvenlik,
Sistem geliştirilmesi ve sürekliliği, İletişim ve operasyonel yönetim,
İş sürekliliği yönetimi.

12. BGYS İÇ DENETİMLERİ (İÇ DENETİM SÜRECİ)

Tetkik sürecinin, planlama ve faaliyet şekli bakımından sistematik olması ve kurum politikasına uygun olması gerekir.

Tetkik edildiğinin sözcük anlamı:

"Bir işin doğru ve yönetim kapsamında uygun olarak yapılıp yapılmadığını incelemek, teftiş etmek, murâkebe etmek, kontrol etmektir".

BGYS kapsamında yapılan denetimlerde, istenilen verimin ve faydanın elde edilmesi için "yönetimin desteği" şarttır.
BGYS iç denetiminin yapılması ISO/IEC 27001 (6'ncı maddesi) gereğince bir zorunluluktur.

Denetimlerin temel amacı;

Firma kontrol hedeflerinin, prosedürlerinin ve süreçlerinin belirlenen güvenlik gereksinimlerini karşılayıp karşılamadığını kontrol etmek,
Yürürlükteki yasal mevzuata uyumlu olup olmadığını tespit etmek,
Kontrol hedeflerinin, kontrollerin, prosedürlerin ve süreçlerin beklendiği gibi işleyip işlemediğini (işe yarayıp yaramadığını) tespit etmektir. Bunun için
İç denetim prosedürü oluşturulmalı ve dokümante edilmelidir.
Planlanan aralıklarla yapılacak iç denetimlerin çizelgesi oluşturulmalıdır.
BGYS iç denetim kapsamı açıkça belirtilmelidir.
İç denetimlerin hangi periyotlarda ve ne sıklıkla yapılacağı belirlenmelidir.
BGYS için iç denetim yönetmelikleri tanımlanmalıdır.
BGYS için iç denetçiler seçilmeli ve İç denetimler uygulanmalıdır.

Sonrasında,

(1) İç denetimlerin hangi periyotlarda ve ne sıklıkla yapılacağı belirlenir.

(2) Planlanan aralıklarda yapılacak iç denetimlerin çizelgesi oluşturulur.

(3) Her bir BGYS nin, denetim kapsamı netleştirilir.

(4) İç denetimlerin hangi periyotlarda ve ne sıklıkla yapılacağı belirlenir.

(5) BGYS için iç denetim yöntemleri tanımlanır.

Ardından,
(1) BGYS nin iç denetimleri uygulanır.
(2) Uygulamada aşağıda belirtilen konular denetlenir.
(3) Uygulama sürecinde;

Kurumun BGYS kontrol amaçları ve hedefleri
Kurumun BGYS kontyrolleri
Kurumun BGYS süreçleri
Kurumun BGYS kontrol prosedürleri, denetlenir.

13. BGYS DENETİMLERİ

Denetim dört (4) aşamada gerçekleştirilir. Bunlar aşağıda belirtilmektedir.

(1) Açılış Toplantısı

Birim/Bölüm yönetimi katılır.
Max. 30 dk sürer.
Denetim amacı ve nedenleri belirtilir.
İç tetkik/güvenlik şartları belirtilir.
Uygunsuzlukların tanımlanması yapılır.
İç tetkik planı özetle açıklanır.
Güvenlik şartları belirlenir. Gizlilik ilkesine sadık kalınır.
Ara toplantıların zamanı belirlenir.
Sorular cevaplanır.

(2) Bilgi Toplama

Denetçilerin, çalışanlarla girdiği (oluşturduğu) süreçtir.
Evet/hayır cevaplarını imkansız kılan sorular kullanılmalıdır.
Kim/neden/ nerede/ne zaman/ neden gibi sorular denetlenen kişiyi bilgi vermeye zorlar.Yanlış anlaşılmaları önler.
Mümkün olduğunca çok kişi tarafından görüşülmelidir.
Doğru kişilere doğru sorular sorulmalıdır.
İyi gözlem yapılmalıdır. Ve her ayrıntı kayıt edilmelidir.

(3) Ara Toplantı

Eğer varsa açılış toplantısında belirlenir.

(4) Kapanış Toplantısı

Max. 35-45 dk sürer.
Yöneticiler katılır
Güvenlik ve sır tutma konusunda teyit alınır.
İyi notlar ve bulgular belirtilir.
İyileştirme odaklı konular ve tavsiyeler belirtilir.
Varsa, uygunsuzluklar belirtilir.
Bulunan uygunsuzluklarda ve düzeltici faaliyetlerde mutabakat sağlanır.
Varsa, mutabakata varılamayan konular nedenleri ile birlikte açıklanır.

Raporda Yapılması Gerekenler

Bulunan uygunsuzluklar açık ve anlaşılır bir dilde belirtilir.
Uygunsuzlukların/eksikliklerin temel kaynağına yönelik yapılacak düzeltici faaliyetler belirlenir.
Düzeltici faaliyetlerin ne zaman kapatılacağı ve takip için "denetim zamanı" belirlenir. (Takip denetimi tekrardan denetim anlamına gelmez).
Doğrulama ve rapor kapama sonuçaları kayıt altına alınır ve saklanır.

İç denetim ile ilgili bilinmesi gereken terimler

Denetçi ( Seçilmiş/atanmış kişiye denir).
Baş Denetçi (Denetim ekibini, belirli bir amaç için yönetmek üzere seçilmiş kişiye denir).
Uygunsuzluk (Bir şartın veya kuralın gereklerinin /gereksinimlerinin yerine getirilmemiş olmasıdır).
Tetkik Kriteri (TK) referans olarak belirlenen politika, prosedür, süreç ve standart ve bunların gereklerine verilen genel addır.
Tetkik Delili (TD) tetkik kriterlerini doğrulayabilecek nitelikte olan kayıt veya bilgidir.
Tetkik Bulguları (TB) tetkik sırasında toplanan delillerin değerlendirme sonucuna denir.
Tetkik Yorumu (TY) tetkik bittiğinde, tetkik ekibinin hedeflerini ve bulgularını düşünerek yapılan değerlendirme ve aldıkları kararlardır.

14. BGYS İZLEME VE GÖZDEN GEÇİRME SÜRECİ

İzleme için prosedürler ve kontroller kullanılmalıdır. İzleme aşağıda tanımlanan standart gereksinimlerini ortaya koymalıdır.

En az yılda bir defa yapılmalıdır,
BGYS izlemek için prosedürler ve kontroller kullanılmalıdır. Bu izleme sonuçlarındaki hataların belirlenmesini sağlar, ihlal olaylarını anında tanımlar.

İhlal Olayları:

Yapılan işi tehlikeye atma ve bilgi güvenliğini tehdit etme ihtimali yüksek olan istenmeyen ya da beklenmeyen bilgi güvenliği olayına denir. Yönetimin, güvenlik etkinliklerinin istenilen şekilde çalışıp çalışmadığını belirleyebilmesini sağlar.

Standardın Gereksinimleri:

BGYS gözden geçirmek için prosedürler ve kontroller kullanılır.
BGYS düzenli olarak gözden geçirilmelidir. Gözden geçirmeler; güvenlik denetimlerinin sonuçları, ihlal olayları, faaliyet ölçüm sonuçları, öneriler ve geri bildirimler değerlendirilir.
Güvenlik gereksinimlerinin yerine getirildiği doğrulanmalıdır. Bunun için kontrollerin etkinliği ve verimliliği ölçülmelidir.
BGYS İç denetimleri planlanan sürelerde düzenli olarak yapılmalıdır.
BGYS yönetim gözden geçirmeleri düzenli olarak yapılmalıdır. Böylelikle kapsamın sürekli ve geliştirilebilir kalması, BGYS süreçlerindeki iyileştirmelerin tanımlanması, sağlanır.
İzleme ve gözden geçirme faaliyetlerindeki sonuçlar incelenerek bilgi güvenlik planları güncellenir.
BGYS etkileyen olaylar ile ilgili tüm kayıtlar tutulmalı, dokümante edilmeli ve saklanmalıdır.
Risk analizi ve risk değerlendirmelerini sıklıkla gözden geçirilmelidir.
Firma, aşağıda sıralanan unsurları göz önüne alarak planlanan sıklık veya aralıklarla "kabul edilebilir" risk düzeyini gözden geçirmelidir.

Teknoloji,
İş amaçları ve süreçleri,
Tanımlanmış tehditler,
Gerçekleştirilen kontrollerin etkinliği,
Yasa ve düzenleyici ortamındaki değişiklikler,
Değiştirilmiş anlaşma/sözleşme yükümlülükleri,
Sosyal iklimdeki değişiklikler vb. gibi dış olaylardan meydana gelen değişiklikler
Artık risklerin düzenli olarak kontrol edilmelidir.

BGYS Yönetim Gözden Geçirmeleri
Yılda bir defa gözden geçirme yapılmalıdır.

(1) BGYS nin "uygun" olup olmadığı,

(2) BGYS nin "yeterli" olup olmadığı,

(3) BGYS nin "etkin" olup olmadığı, konularında değerlendirme yapılmalıdır.

Bilgi güvenlik politikasının değiştirilmesi mi yoksa iyileştirilmesi mi gerekir ?
Bilgi güvenlik amaçlarının değiştirilmesi mi yoksa iyileştirilmesi mi gerekir ?

Yönetim Gözden Geçirme Girdileri
Toplantı kağıtları (girdi kağıtları) daha önce yapılmış varsa.

BGYS denetim sonuçları, ölçüm sonuçları, düzeltici faaliyetlerin durumu gözden geçirilir.
BGYS geliştirme fırsatları gözden geçirilir.
BGYS etkileyebileceği düşünülen değişiklikler gözden geçirilir.

Yönetim Gözden Geçirme Çıktıları
Kurumun,

BGYS iyileştirme
BGYS Kapsamındaki risk değerlendirme ve risk işleme planı güncelleme,
BGYS Etkileyebilecek olaylara karşılık vermek için ilgili prosedürler ve kontrol değişkenleri,
BGYS kaynak gereksinimleri, belirlenir.

Standardın gereksinimleri aşağıda belirtilmektedir.

(1) BGYS nin; çalışması sırasında ve işletilirken ortaya çıkan hatalar tespit edilmelidir.

Başarısız ve başarılı olan güvenlik açıkları tanımlanmalıdır.
Bilgi Güvenlik olayları belirlenmelidir.
Bilgi Güvenlik (BG) ihlal olayları önlenmelidir.
Alınan önlemlerin güvenlik açıklarını giderip gidermediği ya da verimli olup olmadığı tespit edilmelidir.
Ayrıca, izleme ve gözden geçirme prosedürleri, gerçekleştirilen kontrollerin verimli çalışıp çalışmadığının ve sorumlu kişilerin risk giderme planında tasarlandığı biçimde görevlerini yapıp yapmadıklarının tespit edilmesine imkan sağlamalıdır.

Bunlar, BGYS nin çalışmasının sürdürülmesini ve geliştirilmesini sağlar.

(2) BGYS nin etkinliğinin belli periyotlarla gözden geçirme faaliyetlerinin yapılması.

BGYS nin ne kadar verimli çalışıp çalışmadığı belirlenmelidir.
Tüm faktörlerin göz önüne alındığını temin etmek için güvenlik gözden geçirmeleri (GGG) ve denetimlerinin sonuçları dikkate alınmalıdır.
Etkinlik ve verimlilik hususunda belirlenmiş herhangi bir uyumsuzluk/yetersizlik için düzeltici önlemlerin alınması gerekmektedir.

(3) Kontrol etkinliğinin ölçülmesi

Gerçekleştirilen kontrollerin verimliliğini saptanması için belli başlı konular tanımlanmalıdır.

Kontrollerin ne kadar etkin çalışıp çalışmadığı,
Hedeflere ulaşılıp ulaşılamadığı,
Tanımlanan gereksinimlerin karşılanıp karşılanmadığı gibi unsurların ölçülmesi için kullanılmalıdır.

Bu konuda uygulanacak kontroller, firmaya göre değişiklik gösterebilir. Standardın belirlediği bir zorunluluk yoktur.

(4) Planlanan sürelerde risk belirlemelerin gözden geçirilmesi

Bilgi güvenlik risklerinin yönetiminde etkin ve verimli olmak için BGYS etkileyecek değişkenlerin izlenmesi ve bunların kaydını tutmak gereklidir. Bu gözden geçirme aşağıda sıralanan tehditlerde ve etkiler de meydana gelen değişiklikleri tanımlamaktadır.

RİSK İLE İLGİLİ DEĞİŞKENLER

Risk ile ilgili değişkenler sürekli olarak kontrol edilmeli ve kontrol sonuçlarına göre önlem alınmalıdır.

DEĞİŞKEN-1: İş ortamında ya da kapsamında meydana gelebilecek değişkenler

(Yeni iş ortakları, değişen müşteri tabanı, değişik pazarlara açılma, pazar koşulları, üçüncü taraf düzenlemeleri, dış kaynaklı düzenlemeler).

DEĞİŞKEN-2: İş politikası ve hedeflerde meydana gelebilecek değişkenler
(Değiştirilen iş politikası, değişen hedefler varlık yönetim ve risk kararlarına etki edebilir).

DEĞİŞKEN-3: İş gücü, kurum yapısı, çalışma ortamında meydana gelebilecek değişkenler,

DEĞİŞKEN-4: Gerçekleştirilen kontrollerin etkinliğinde ve verimliliğinde meydana gelebilecek değişkenler,

DEĞİŞKEN-5: Teknolojinin kullanımı ve yayılmasında meydana gelebilecek değişkenler,
(Yeni sistemler ve uygulamalar, güncellemeler, genişleyen iş ağları, uzaktan erişimin artan oranda kullanımı).

DEĞİŞKEN-6:Yasal ve düzenleyici ortamda meydana gelebilecek değişkenler.

Söz konusu değişkenlerin hemen hemen hepsinin risklerin (risk yönetim sisteminin) üzerinde etkisi vardır.

Kurum, yapılan tüm değişiklikleri ve uygulanan faaliyetleri dokümante edebilir ve sonrasında ne kadar ilerlediğini tespit etmek için risk değerlendirme sonuçlarını karşılaştırabilir.

BGYS Denetimlerinin Yapılması

Denetimler gözden geçirme faaliyetinin önemli bir parçasıdır. BGYS nin, kontrol hedeflerinin, kontrollerinin, politikalarının ve prosedürlerinin belirlenen gereksinimlere uyumluluğunu sağlamak için denetim yapılmalıdır.

BGYS İzleme ve Gözden Geçirme

Kurum içinde BGYS denetimlerinin yapılması,
Prosedürlerin izlenmesi ve gözden geçirilmesi işleminin yapılması,
BGYS nin ne kadar verimli çalışıp çalışmadığının belirlenmesi, gibi konularda güvenlik gözden geçirme denetimlerinin sonuçları dikkate alınmalıdır.
BGYS nin çalışması sırasında ve işletilirken ortaya çıkan hatalar tespit edilmeli, başarısız ve başarılı olan güvenlik açıkları ayrı ayrı tanımlanmalıdır.
BGYS etkinliğinin belli periyotlarda gözden geçirilmesi faaliyetleri yapılmalıdır.
Kontrollerin etkinliği ölçülmeli ve yönetime raporlanmalıdır.

Verimliliği konusunda belirlenmiş herhangi bir uyumsuzluk ya da eksiklik, düzeltici önlemlerin alınmasını, BGYS nin çalışmasını, sürdürülmesini ve geliştirilmesini sağlar.

Yönetim Gözden Geçirme Toplantıları
Gündem maddeleri azaltılıp/arttırılabilir.

BGYS Denetimleri ve gözden geçirme sonuçları,
İlgili kişilerden alınan geri bildirimler,
BGYS Performans ve verimliliğini arttırmak için kullanılabilecek teknik prosedürler,
Önleyici faaliyetlerin durumu,
Faaliyetlerin ölçüm sonuçları,
BGYS etkileyebilecek değişiklik ya da iyileştirme önerileri,
Risk değerlendirme ve risk işleme planının güncellenmesi,
BGYS faaliyetlerini iyileştirme gibi konular toplantılarda ele alınır.

Yönetim gözden geçirme toplantısı yapılması yönünde bir gereksinim vardır. Fakat, bu toplantıların hangi konuları kapsadığı konusunda kısıtlama yoktur.

Gözden Geçirme Süreci
Gözden geçirme süreci PUKÖ modelindeki "Kontrol Et" aşamasında BGYS nin izlenmesi ve gözden geçirilmesi için uygun süreçlerin uygulanması amacıyla tasarlanmıştır.

Yönetim Gözden Geçirmeleri
Dinamik ve sürekli devam eden bir süreç içerisinde belirlenen "temel unsurlar" aşağıda tanımlanmaktadır.

İş süreklilik planları,
BGYS kontrol ve kontrol sistemi,
Prosedürlerin geçerli olup olmadığı,
Prosedürlerin doğru şekilde mevcut iş kapsamında kullanıldığı,
Rol ve sorumlulukların paylaşımı,
Güvenlik faaliyetlerinin beklentileri karşıladığı, gözden geçirme faaliyetinin temel bileşenleridir.

15. BGYS SÜREKLİLİĞİNİN SAĞLANMASI VE İYİLEŞTİRİLMESİ
Bu aşamada standartta yapılması gerekenler aşağıda tanımlanmaktadır.

BGYS kapsamında tanımlı olan iyileştirmeler uygulanır.
Uygun düzeltici faaliyetler uygulanır.
Uygun önleyici faaliyetler uygulanır.
Öğrenilen güvenlik deneyimlerinden alınan dersler uygulanır.
BGYS değişiklikleri ve iyileştirmeleri tüm ayrıntılarıyla ilgili gruplarla paylaşılır.

Firma, BGYS değişikliklerinin tasarlanan amaçları karşıladığından emin olmalıdır.

16. BGYS İYİLEŞTİRME SÜRECİ
Standarda göre, firma/kurum BGYS nin etkinliğini arttırmak ve devamlılığını sağlamakla yükümlüdür. Bunun için firma, etkinliği sürekli olarak iyileştirmek ve bunlara yönelik faaliyetlerde bulunmalıdır.

BGYS İyileştirme Sürecinde Bulunması Gerekenler:

Bilgi güvenlik politikası
Bilgi güvenlik hedefleri ve amaçları
Denetim Sonuçları
İzlenen Olayların Analizi
Düzeltici ve Önleyici faaliyetler
Yönetim gözden geçirmesi.

Düzeltici Faaliyet

Standarda göre düzeltici faaliyet prosedürü olmalıdır. Bu süreçlerde tespit edilen bir sorunun ortadan kaldırılması için tanımlanan işleri de kapsamalıdır.
Düzeltici faaliyet prosedürleri, yazılı doküman ve doküman güncellemesi gibi faaliyetleri de kapsamalıdır.
Uyumsuzlukların tekrarlanmasını engellemek için "düzeltici faaliyet" prosedürü oluşturulmalıdır.

Örnek-1:

Sistem odasını su basması sonucu, tabanın yükseltilmesi ve serverin yükseltilmiş taban (zemin) üzerine konulması, düzeltici bir faaliyet örneğidir.

Düzeltici Faaliyet (DF) Kapsamı

Standart kapsamında yapılması gerekenler aşağıda tanımlanmaktadır.

Gerçek uyumsuzluklar tanımlama,
Uyumsuzluk nedenleri belirleme,
Faaliyete geçmeye gerek olup olmadığını değerlendirme,
Gerektiğinde düzeltici faaliyet geliştirmeyi belirleme,
Uyumsuzlukların tekrar edilmesini önleme
Uyumsuzlukların nedenlerini yok etmeyi belirleme,
Uygulanan düzeltici faaliyetlerin sonuçlarını kaydetme,
Uygulanan düzeltici eylem sonuçlarını gözden geçirme
Düzeltici faaliyet prosedürleri belirleme.

Düzeltici Faaliyet Prosedürü

Uygunsuzlukları belirlemek
Uygunsuzluk nedenlerini belirlemek
Düzeltici eylemin gerekip gerekmediğinin değerlendirilmesi içindir.
Düzeltici faaliyet gereken durumlarda,

Düzeltici faaliyet uygulamak,
Düzeltici faaliyet geliştirmek,
Uygunsuzlukların tekrarlanmasını önlemek,
Uygunsuzlukların nedenlerini ortadan kaldırmak,
Uygulanan düzeltici faaliyetlerin sonuçlarını kaydetmek ,
Uygulanan düzeltici faaliyetleri gözden geçirmek,
Düzeltici faaliyetleri belgelendirmek, bunlar muhafaza ve ibraz edilmelidir.

Önleyici Faaliyet (ÖF)

Bir sorunun henüz meydana gelmeden öngörülmesi durumunda, bu sorunun oluşumunu engellemek için gerçekleştirilen faaliyettir.

Örnek-2:

Daha önce hiç yaşanmamışken, bir yıldırım düşmesine karşı, bina çatısına paratoner yerleştirilmesi, önleyici faaliyet (ÖF) örneğidir.

Yapılması Gerekenler:

Önleyici Faaliyet prosedürü belirlenmelidir.
Önleyici Faaliyet prosedürleri uygulanmalıdır.
Önleyici Faaliyet prosedürleri oluşturulmalıdır.

Bunlar için,

Muhtemel uyumsuzlukları tanımlama,
Muhtemel uyumsuzluk nedenlerini belirleme,
Önleyici eyleme geçip geçmemenin gereklerini değerlendirme,
Gerektiğinde önleyici eylemleri geliştirme,
Muhtemel uygunsuzlukların oluşmasını önleme,
Uygulanan önleyici faaliyet kayıtlarını kaydetme,
Uygulanan koruyucu önlem sonuçlarını gözden geçirme.

17. ISO 27001 BELGELENDİRME SÜRECİ

Öncelikle, kurum içinden seçilmiş kişilerle bilgi güvenliği koordinasyon grubu (BGKG) ekibi kurulur. Sonrasında,

Yine kurumun seçeceği bir danışman ile bu ekip birleşerek, kendi içinde yaptığı görüşmeler sonucu takvimi ve görev paylaşımını yapacak bir platform oluşturulur.
Eğitimler bu çalışma içinde karşılaştırılarak takvime bağlanır.

ISO 9001
Önceden, ISO 9001 kurulmuş değilde, öncelikle ISO 9001 tarafından sağlanması gereken prosedür ve prosesler düzenlenir. ISO 9001 için uygulanan bu süreç, ISO 27001 BGYS temel taşlarını oluşturur.

Eğer firmada, ISO 9001 (kalite yönetim sistemi) kurulmuşsa,

ISO 27001 standardının gerektirdiği bazı prosedür ve prosesleri karşılayıp karşılamadığı kontrol edilir. Eğer varsa eksiklikler belirlenir.

Kapsam ve Sınırlar

(1) ISO 9001 Kalite Yönetim Sistemi ile ilgili yapılandırmalardan sonra, kuruma ait ISO 27001 BGYS kapsam ve sınırları belirlenir.

(2) Belgelendirme sürecinde kapsam ve sınırlar, denetimin en önemli faktörleri olarak değerlendirilir.

(3) Belirlenen kapsama bağlı olarak, firmanın temel BGYS Politikası hazırlanır.

(4) BGKG ekibi ve danışmanlardan oluşan bir grup tarafından karara bağlanır.

(5) Üst yönetim bu politikayı onaylayarak tüm çalışanlara duyurulur.

(6) Diğer Politikalar, sistem kurulum sürecinde yapılandırılır.

Sonrasında, BGYS Kurulum sürecindeki tüm adımlar uygulanır. ISO 27001 BGYS Belgelendirme süreci firma içinden oluşan "üst düzey kurul" tarafından yerine getirilir.

Geliştirmek
Uygulamak
Takip etmek
Ölçmek
Sürdürmek
İyileştirmek, amacıyla hazırlanır.

18. BGYS KURULUM SÜRECİ
Varlıkların belirlenmesi ve kapsam belirleme aşamalarından oluşur. Bu süreçte;

Risk Değerlendirme Yaklaşımı
Risk Belirleme
Risk Analiz ve Risk Derecelendirme
Risk İşleme
Kontrol seçimi ve uygulama gibi faktörler yer alır.

Kontrol kriterlerinin seçilmesi ve kontrol hedeflerinin belirlenmesi aşamasından sonra standardın istediği "Uygulanabilirlik Bildirgesi" hazırlanır.

Minimum 30 günlük bir uygulama sürecinden sonra sistemin iç tetkikleri gerçekleştirilir.
İç tetkik raporları yönetim tarafından gözden geçirilir ve bunlar karara bağlanır.
Sistem istenilen seviyede çalışıyorsa belgelendirme amacı (AŞAMA-1) sürecine girilmiş olur. Bu aşamada akredite bir kuruluş tarafından (AŞAMA-1) denetimi gerçekleştirilir.
Birinci aşamada olan belgelendirme denetimi, belgelendirme kuruluşu tarafından yapılır. Eksiklikler ve uygunsuzluklar varsa tespit edilir.
Yapılan başvuru sonucu belgelendirme kuruluşunun tespit ettiği eksikliklerin ve uygunsuzlukların tamamlanması için bir süre verilir.
Eksiklik ve uygunsuzlukların tamamlanmasından sonra (veya hiçbir bulgu bulunmamasından sonra) 2-AŞAMA Belgelendirme Denetimine geçilir.
Bu aşamadaki belgelendirme denetimi asıl denetimdir.
Sistem tüm yönleriyle ve uygulamalarıyla incelenir.
Belgelendirme Denetçileri tarafından, ISO 27001 standardına göre

Mevcut Durum
Gözlem
Tavsiye
Uygunsuzluklar, tespit edilir.

Danışmanlık firması, (1-AŞAMADA) olduğu gibi eksiklik ve uygunsuzlukları giderir.
Belgelendirme kuruluşuna yapılan düzeltici faaliyetler gönderilir.
Denetimin başarıyla geçmesi durumunda, Belgelendirme Kuruluşu IS0 27001 BGYS belgesi için çıkış kararı verir.
Belge veya sertifikasyon süreci 3-yıldır.

19. ISO/IEC 27001 İLE İLGİLİ TERİM VE KAVRAMLAR

Bilgi Güvenliği

BG kurmak, geliştirmek, işletmek ve gözden geçirmek için kurulan bir sistemdir.

Risk Analizi

Kaynakları belirlemek ve riski tahmin etmek amacıyla bilginin sistematik bir şekilde değerlendirilmesi ve çözümlenmesidir.

Risk Değerlendirme

Risk analiz ve risk derecelendirilmesini kapsayan, risk ile ilgili tüm süreçleri içeren, işlerin genel adıdır.

Risk Derecelendirme

Riskin önemini belirtmek maksadıyla, tahmin edilen riskin verilen risk kriterleri ile karşılaştırılması sürecidir.

Risk Yönetim

Bir kurum veya kuruluşu risk ile ilgili kontrol etmek ve yönlendirmek amacıyla kullanılan koordineli faaliyetlerin bütünüdür.

ISO 27001, bilgi güvenlik yönetim standardıdır. ISO 27001; 27000 serisi altına eklenmiştir:

ISO/IEC 27000 BGYS- GENEL BİLGİLER VE TANIMLAR
ISO/IEC 27001 BGYS- GEREKSİNİMLERİ
ISO/IEC 27002 BGYS- UYGULAMA PRATİKLERİ VE KONTROLLERİ
ISO/IEC 27003 BGYS- RİSK YÖNETİMİ UYGULAMA REHBERİ
ISO/IEC 27004 BGYS- ETKİNLİK ÖLÇÜM REHBERİ
ISO/IEC 27005 BGYS- RİSK YÖNETİM REHBERİ
ISO/IEC 27006 BGYS- BELGELENDİRME REHBERİ
ISO/IEC 27007 BGYS- DENETİM REHBERİ
ISO/IEC 270011 BGYS-TELEKOMÜNİKASYON KURUMLARI İÇİN REHBER
ISO/IEC 270099 BGYS-SAĞLIK KURUMLARI İÇİN REHBER.

ISO/IEC 27002:2005 “Bilgi Güvenliği Yönetimi İçin Uygulama Prensipleri” en yaygın olarak kullanılan standardıdır. ISO/IEC 27001 ve ISO/IEC 27002 standartları BGYS konusunda en temel başvuru kaynaklarıdır.

Ancak bu kaynaklar, teknik ve teknoloji bağımlı standartlar değildirler. Belli bir ürün veya bilgi teknolojisi ile ilgilenmezler. Bilgi teknolojileri güvenliği dahi bu standartların içerisinde yer almaz. Tek ilgi alanı vardır, o da bilgi güvenliğidir.

İş risklerini karşılamak amacıyla ISO/IEC 27002:2005’te ortaya konan kontrol hedeflerinin kurum içerisinde nasıl uygulanacağı ve denetleneceği ISO/IEC 27001:2005’te belirlenmektedir.

20. BGYS ÖZET

Bilgi Güvenliği Yönetim Sistemi BGYS, kurumun hassas bilgilerini yönetebilmek amacıyla benimsenen sistematik bir yaklaşımdır. Bu sistem çalışanları, iş süreçlerini ve bilgi teknolojileri (BT) sistemlerini kapsar. Bu standart ayrıca dokümante edilmiş bir BGYS’ni kurumun tüm iş riskleri bağlamında kurmak, gerçekleştirmek, izlemek, gözden geçirmek, sürdürmek ve iyileştirmek için gereksinimleri kapsamaktadır.

21. BGYS İLE İLGİLİ ÖNEMLİ BAŞLIKLAR

ISO 27001 STANDARDI VE SÜREÇLERİ
BGYS Metodu ve Süreç Yaklaşımı
PUKÖ modeli

ISO 27001 KURMA AŞAMALARI

Varlıkların Belirlenmesi ve Kapsam Belirleme
BGYS Politikası
Risk Değerlendirme Yaklaşımı
Risk Belirleme
Risk Analiz ve Derecelendirme
Risk İşleme
Kontrol Seçimi ve Uygulama

ARTIK RİSK ONAYI
Yönetim Gözden Geçirme ve Onayı

UYGULANABİLİRLİK BİLDİRGESİ VE BELGELENDİRME
BGYS Gerçekleştirme ve İşletilmesi
BGYS İzleme ve Gözden Geçirme
BGYS Süreklilik Sağlama ve İyileştirme
BGYS Kurmanın faydaları (Yararları)
BGYS Kurulmasının Planlanması

BGYS KAPSAMI

BGYS İÇ DENETİMLERİ

BGYS İZLEME VE GÖZDEN GEÇİRME SÜRECİ

BGYS İYİLEŞTİRME SÜRECİ

BGYS BELGELENDİRME SÜRECİ

Kıbrıs Tarihi Hakkında Kronolojik Sıralama

2017-07-24T10:20:00.002+03:00

Kronolojik Takvim:

M.Ö ve M.S, Kimler geldi, kimler geçti bizim bu topraklardan.
(Savaş, Yıkım, Egemenlik, Sömürge,Yönetim).

M.Ö. 7000-3000 Yeni Taş Devri
M.Ö. 3000-1450 Bronz Çağı
M.Ö. 1450-700 Eski Mısır Egemenliği
M.Ö. 700 –545 Asurlular Egemenliği
M.Ö. 545–345 İran Pers Egemenliği
M.Ö. 345-290 Eski Yunan (Helen/Helenizm) Egemenliği
M.Ö. 290-58 Ptolemik Kırallığı Egemenliği
M.Ö. 58-M.S. 395 Romalılar Egemenliği
395-1190 Bizans Egemenliği
1190-1191 İngiliz Eğemenliği
1191-1489 Lüzinyan Egemenliği
1489-1570 Venedik Egemenliğ
1570-1878 Osmanlı Egemenliği
1878-16.08.1960 İngiliz Egemenliği
16.08.1960-21.12.1963 Kıbrıs Cumhuriyeti
21.12.1963-27.12.1967 Kıbrıs Türk Genel Komitesi-Kıbrıs Rum Yönetimi
27.12.1967-01.10.1974 Kıbrıs Geçici Türk Yönetimi -Kıbrıs Rum Yönetimi
01.10.1974-13.02.1975 Kıbrıs Türk Yönetimi -Güney Kıbrıs Rum Yönetimi
13.02.1975-15.11.1983 Kıbrıs Türk Federe Devleti-Güney Kıbrıs Rum Yönetimi
15.11.1983 Kuzey Kıbrıs Türk Cumhuriyeti (KKTC)-Güney Kıbrıs Rum Yönetimi

Kaynaklar:

(1) Cyprus History- http://www.cypnet.co.uk/ncyprus/history/

(2) KKTC Turizm Dairesi: http://www.turizmtanitma.gov.ct.tr/

Notlar:

Egemenlik, hakimiyet veya hükümranlık olarak tanımlanmaktadır.
Bir ülke ve ulusun, onun tüzel kişiliği olan devletin (adil ve bağımsız) yasama, yürütme, yargılama gibi yetkilerinin tümünü kapsamaktadır.

History of Struggle (Tragic End)

OPERASYONEL RİSK-4

2017-06-22T10:11:00.004+03:00

ÖLÇÜM VE YÖNETİM SİSTEMİ

Operasyonel risklerin ölçümü ve yönetimi ihtiyaç duyulan verilerle ilgilidir. Bu veriler,

İçsel kayıp verisi
Dışsal Kayıp verisi
Senaryo analiz verisi
İç kontroller ile ilgili veriler
Risk azaltma araçlarına ait veriler
Diğer önemli risk göstergelerine ait veriler, şeklinde sıralanıp kodlanabilir.

Söz konusu riskler nedenlerine göre de sınıflandırılabilir- SÜREÇ, SİSTEMLER, İNSANLAR, DIŞSAL ETKENLER şeklinde.

TEMEL OLAYLAR SINIFLAMA- RİSKLER VE ETKİLER (RİSK GRUBUNA GÖRE)

RİSKLER:

Banka içi hile ve dolandırıcılık olayları,
Banka dışı hile ve dolandırıcılık olayları,
İşe alma (istihdam) uygulamaları ile ilgili kayıplar,
İş yeri güvenliği ile ilgili kayıplar,
Müşteriler, ürünler ve iş uygulamalarına dair kayıp olayları,
Fiziki varlıklara verilen zararlarla ilgili kayıp olayları,
Faaliyetlerin durması ve sistem çökme ve hatalarına ait kayıp olayları,
İşlem, teslimat ve süreç yönetimine dair kayıp olayları,
Kontrol süreci yönetimine ait kayıp olayları, vbg.

ETKİLER:
Bu konu, kayıp olayı nedeniyle ortaya çıkan etkilerdir.

Varlık değerindeki azalmalar,
İade ve kaybı tazminler,
Cayma (sözünden dönülmesinden) kaynaklı kayıplar,
Yasal sorumluluklar,
Denetim otoritesi ve mevzuata uyumsuzluk nedeniyle alınan cezalar,
Aktiflerde veya aktiflere verilen hasarlardan kaynaklanan kayıplar,
K/Z tablosu ve SYR % üzerinde görülen olumsuz etkiler ve gelişimler, vbg.

OPERASYON SÜRECİNE AİT KAYIP OLAYLARI
Operasyonel kayıp olayıyla ilgili olarak toplanacak veriler asgari olarak aşağıda belirtilen bilgileri içermesi esastır:

Tanımlanan kayıp olayının türü,
Olayın gerçekleşmesine ilişkin kısa açıklama,
Olayın gerçekleştiği tarih, iş kolu, Birim/Şube veya yer,
Olayın gerçekleşmesine neden olan etkenler
Olay nedeniyle ortaya çıkan etkiler,
Kaybın finansal boyutu,
Olayın devam süresi,
Olayın tespit edilme tarihi,
Olayın gerçekleşme ve tespit edilme arasında geçen süre,
Sigorta bildirim tarihi
Takip eden yasal ve/veya idari işlemler
Eğer kayıp azalmış ise kaybın ne kadarının karşılandığı, gibi bilgilere operasyonel risk veri tabanında yer verilmelidir.

Amaç:

Meydana gelme sıklığı,
Olay sonucu ortaya çıkan kaybın boyutu ve etkileri, gibi konuları ortaya koymaktır.

Sonuç:

Banka içinde güçlü bir kontrol-ve-risk yönetim sisteminin varlığı, elde edilen bulgu ve kanıtların güvenirliğini arttırır. Kayıp olayları ile ilgili gelişmeler iç kontrollerin güvenirlik seviyesi konusunda denetçilere bilgi verir.Kontrol göstergeleri olarak adlandırılan bu durum Banka iç denetim, risk yönetim ve uyum kontrol sistemlerinin;

Kalitesine,
Etkinlik ve yeterlilik düzeyine,
Risk azaltma yeteneğine, ilişkin bilgiler veren kontrol göstergeleridir.

Kontrol göstergelerini fırsata dönüştürecek politika ve süreçler ,operasyonel risk yönetiminin etkin ve yeterli bir düzeyde karşılanması için elzemdir.

OPERASYONLARLA İLGİLİ KONTROL SİSTEMİ

Risklere karşı savunma mekanizması (dört aşamalı):

İşi yapanlar,
İşi yönetenler,
İşi kontrol edenler
İş çıktılarını (sonuçlarını) raporlayanlar.

OPERASYONEL RİSK-3

2017-06-22T09:25:00.003+03:00

VERİ TABANI TASARIM VE OLUŞTURMA

Planlama ve analiz
Kavramsal tanım ve tasarım
Mantıksal tasarım
Fiziksel tasarım
Uygulama
Geliştirme gibi aşamalardan oluşmaktadır.

VERİ TABANI SİSTEMİ

Yukarıda tanımlanan aşamalar için

Güçlü bir yazılım programı
Kurulum
Kullanım ve ihtiyaç analizi gerekmektedir.

RİSK YÖNETİM SÜRECİ

Operasyonel risk yönetim sürecinde;

Risk Tanımlama
Risk Sayısallaştırma- Ölçme
Risk İzleme,
Risk Kontrol ve
Risk Azaltma gibi süreçler bir bütün olarak "risk yönetim" temelini oluşturmaktadır.

OPERASYONEL RİSK SINIFLAMA

Sınıflama nedenlerine göre yapılabilir:

SÜREÇ
SİSTEMSEL
İNSANLAR
DIŞ ETKENLER (Yönetim kontrolünde olmayan verilerdir).

Veriler özelliklerine göre sınıflandırılıp kodlanabilir:

İş koluna göre
Faaliyet alanına göre
İşlem türüne göre
Kullanıcıya göre
Kayıp olay türüne göre
Kayıp miktarına göre
Risk (risklilik) türüne göre
Tarihlenmiş olay türüne göre....

Her ne isterse olsun, banka faaliyetlerindeki veri sınıflama; insan, sistem, süreç ve dış ekenlere göre uygun olmalıdır. Çünkü operasyonel risk yönetimindeki öncelikli ve önemli koşullardan biri verilerin nitelikli ve analize uygun olması ve verilerin sistematik bir şekilde veri tabanında toplanmasıdır.

Her çalışan veri toplam sürecinde önemli bir yer alır. Bu süreçte, veri tabanının gerçek performansının test edilmesi ve eğer varsa gerekli düzeltmelerin yapılması sağlanır.

Risklerin ölçe ve yönetme sürecinin temel unsurlarından birisi, riskle ilgili verilerdir. Bu verilerin mevcut olması her türlü riskin ölçümü ve yönetimi için ön koşuldur.

OPERASYONEL RİSK- 2

2017-06-22T07:56:00.003+03:00

VERİ TABANININ TASARIMI İLE İLGİLİ TEMEL SÜREÇLER

OLUŞTURMA SÜRECİ
Kısaca operasyonel risk veri tabanının oluşturulması süreci;

Planlama,
Kavramsal tasarım,
Mantıksal tasarım,
Fiziksel tasarım ve
Uygulamadan oluşan beş önemli aşamada ele alınmalıdır.

UYGULAMA SÜRECİ
Uygulama süreci, test ve düzeltmek aşamalarından oluşmaktadır. Bu süreç, veri tabanının gerçek performansının test edilmesine ve varsa gerekli düzeltmelerin yapılmasına imkân sağlar.

Operasyonel riskin mutlaka yönetilmesi gereken önemli bir risk olduğu konusundaki bilinç (farkındalık) henüz daha tam olarak oluşmamıştır.

Not: Eğer Türkiye'de bile operasyonel risk yönetimi tam olarak uygulanmıyorsa, KKTC'e bankacılık sektöründe bu nasıl uygulanabilsin ?

VERİ TABANI TÜRLERİ
1. Operasyonel kayıp veri tabanı
2. Diğer olaylar veri tabanı.

Verilerin uygun ve doğru temel üzerine inşa edilmesi için "planlama ve öz hazırlık" aşamaları çok önemlidir. Riskin ölçümü ve yönetimi sürecinin temel unsurlarından birisi riskle ilgili verilerdir. Bu verilerin her türlü riskin ölçümünde ve yönetiminde öncelikli koşuldur.

VERİLERİN TEMEL ÖZELLİKLERİ
Bu konuda aşağıda temel veri özellikleri ve bunlara bağlı temel ilkeler yer almaktadır.

Doğru olma (Doğruluk)
Tam olma (Tamlık)
Zamanında Erişebilir olma (Erişebilirlik)
Tutarlı olma (Tutarlılık)
Detaylı olma (Detaylılık)
Elverişli olma (Elverişlilik) inceleme ve analize elverişili olmak gibi veri özelliklerine uygun olmalıdır.

VERİ KAYNAKLARI

Uygun ve yeterli özelliğe sahip veriler aşağıda belirlenen kaynaklardan elde edilebilir:

Muhasebe
İç Kontrol
İç Denetim
Risk Yönetimi
Uyum
İK
Operasyonel Hizmetler
Operasyonel Birimler ve Şubeler
Diğer önemli faaliyet alanları.

Operasyonel riskin "etkin ve yeterli" bir düzeyde yönetilebilmesi için verilerin nitelikli, ölçüm ve analizlere uygun olması, verilerin sistematik bir veri tabanında toplanması, gerekmektedir. Tabi ki, bu süreçte:

Riskin Tanımlanması/Belirlenmesi,
Veri tabanı mimarisinin tasarlanması (Veri tabanının kullanıma hazır olması) ve
Riskin ölçülüp analiz edilmesi gerekir.

Bundan sonraki süreç, riskin izlenmesi, riskin kontrol edilmesi, riskin raporlanması ve risk konusunda önlem alınması ile ilgilidir.

Verilerin gerekli nitelikleri taşımaması, risk ölçümlerinin de sapmalı veya hatalı olmasına neden olabilmektedir. Gerçekleştirilen risk yönetimi faaliyetlerinin, yanlış veya eksik bilgilendirmeye dayanmasına neden olabilecek böyle bir durum operasyonel risk ortaya çıkarabilmektedir.

OPERASYONEL RİSK-1

2017-06-21T14:11:00.000+03:00

ÖN KOŞULLAR (OPERASYONEL RİSK YÖNETİMİ):

Operasyonel risklerin "etkin ve yeterli" bir düzeyde yönetilebilmesi için

Nitelikli ve analize uygun verilerin mevcut olması,
Verilerin sistematik bir veri tabanında toplanması, gerekmektedir.

Operasyonel risk veri tabanının oluşturulması ise operasyonel risk yönetim sisteminin kurulmasında çok önemli bir aşamadır.

VERİ TABANININ OLUŞTURULMASI SÜRECİ

Veri tabanının oluşturulması sürecindeki en temel bölüm,

Riskin ve veri tabanının tanımlanması ve
Bunlar için uygun bir tasarım gerçekleştirilmesidir.
Risk verilerinin belirlenmesi ise maruz kalınan risklerin dikkatli bir şekilde analiz edilmesini gerektirmektedir.
Süreç, risk etkenlerinin ve kaynaklarının kapsamlı taraması ile başlar ve
Yine bu süreçte operasyonel riskin ve operasyonel kayıp olayının ne olduğu açıkça tanımlanır.
Risk verilerinin sahip olması gereken temel özelliklerin tanımlanması ile birlikte ölçüm yöntemleri için gerekli risk verilerinin ve bu verilerin elde edileceği kaynakların belirlenmesi sürecine geçilir.

Banka (Yasa) amaçlarına uzun yıllar hizmet edebilmesi için operasyonel risk veri tabanının doğru ve uygun temeller üzerine inşa edilmesi gerekir.

OPERASYONEL RİSK- SONUÇ

2017-06-21T12:02:00.001+03:00

THE CASE FOR STATE OF IGNORANCE

Risk and Olasılık:

"Until we can distinguish between an event that is truly random and an event that is the result of cause and effect, we will never know whether what we see is that we'll get, nor how we got what we got from a decision we have made, though we do not know for certain what the outcome will be".

Risk Yönetimi:

"The essence of risk management lies in maximizing the areas where we have some control over the outcome while minimizing the areas where we have absolutely no control over the outcome and the linkage between effect and cause is hidden from us”.

Page 197 – Chapter 12, “The Measure of Our Ignorance” From “AGAINST THE GODS”.

Sonuç: Risk/Risk Yönetim

We have absolutely no control over the outcome and the linkage between effect and cause is hidden from us. Hence, the measure of risk is based on our total ignorance.

PROOF (STATE OF IGNORANCE)

According to the Laplace and Bayes formulation:....if evet occuring given all those already observed, then pnL()∼1. Hence, the estimate for ... N P always ( )≈( )()=1 1, , and our state of ignorance remains complete.

Tüm araştırma ve deneyimlerimizin iki zıt kutupta oluştuğunu bilmekteyim: planlı determinist ve düzenli sistemler. Bunların ise düzensiz ve tahmin edilemez sistemlerin rastgele (stokastik) dünyası arasında gidip geldiğini çok iyi bilmekteyim.

RISK AND UNCERTAINTY
The level of uncertainty (from deterministic knowledge to total ignorance) is due to the imperfection of our knowledge. In the face of deep uncertainty, the measuring risk is based on our total ignorance. This is all about unknowns and uncertainties that the effect and cause is hidden from us.

OPERASYONEL RİSK-1

OPERASYONEL RİSK-2

OPERASYONEL RİSK-3

OPERASYONEL RİSK-4

The reasons for the banking failure of so many banks will not be discussed in this paper, but the major causes were connected lending, inadequate capital, and in some cases fraud by bank owners and employees. Fraud by bank owners and/or employees means the operational risk. The operational risk involves breakdowns in internal controls and corporate governance. Such breakdowns can lead to financial losses through error, fraud, or failure to perform in a timely manner or cause the interests of the bank to be compromised in some other way, for example, by its dealers, lending officers or other staff exceeding their authority or conducting business in an unethical or risky manner (Şafaklı, 2005; Bektaş, 2002).

Kaynak: https://journal.yasar.edu.tr/wp-content/uploads/2012/08/06-SAFAKLI-ALTUNER.pdf

BORSA PARADOKSU-5

2017-06-13T10:20:00.001+03:00

Hisse senedi analistinin, geleceği görmekte neden güçlük çektiğini açıklayan beş faktör vardır:

Rastgele olayların etkisi,
Yaratıcı muhasebe yoluyla kuşkulu kazançların bildirilmesi,
Çoğu analistin özünde yeteneksiz olması,
En iyi analistin satış masasında veya portföy yönetiminde yitirilmesi,
büyük yatırım bankacılığı işlemleri yapan firmalardaki analistleri bekleyen çıkar çatışmalarıdır.

Burada can alıcı (önemli olan !) nokta, dikiz aynasına bakarak yatırım yapmamaktır. Çağdaş ekonomilerde “altın yumurtanın” araştırılması üzerine değişik finans yöntemleri ortaya çıkmıştır. Bu yöntemler sırasıyla “temel ve teknik” analizlerdir.

Bu analiz yöntemlerini ilke edinmiş profesyoneller (bundan sonra GRAFİKÇİLER olarak adlandırılacaktır) ayni sorunu çözmeye çalışırlar. İkisi de fiyatların gidecekleri muhtemel yönü belirlemeye çalışırlar, fakat soruna değişik yönden yaklaşırlar.

Temel grafikçi (temelci) piyasa hareketlerinin (fiyatların aşağı ya da yukarı gitmesi ya da ayni kalmasına yol açan ekonomik güçlerin) nedenlerini incelerken, teknik grafikçi (teknikçi) ise piyasa hareketlerinin sonuçlarını inceler ve bu hareketler üzerinde yoğunlaşır.

Temel grafikçi, bir hisse senedinin gerçek değerini belirleyebilmek için o hisse senedinin etkileyen tüm etkenleri inceler- ekonomik, sektörel ve şirket analizleri gibi üş aşamalı yol izlerler ve eğer bir hisse senedinin gerçek değeri o andaki piyasa fiyatının altında ise o zaman hisse senedi gerçek değerinin üzerine çıkmış demektir ve satış işlemi yaparlar.

Eğer bir hisse senedinin gerçek değeri o anki piyasa fiyatının üzerinde ise o hisse senedi gerçek değerinin altına inmiş olur ve alım işlemi yaparlar. Al-satçılar (temel ve teknik grafikçiler) işte böyle çalışırlar. Piyasanın derin sularındaki dalgalanmalara değişik yönden yaklaşırlar...!

Her iki grafikçi de piyasa fiyatlarının gelecekte izleyecekleri yolu ve uygun alım-satım zamanını (stratejisini) tam olarak tahmin etmek için bir serabın peşinden koşmakla uğraşırlar.

Sonuç: bunlar altın yumurtanın araştırılmasında, çoğunlukla, bilimsellikten hayala kadar uzanan değişik türden “finans-yatırım” bozgununa uğrarlar.

BORSA PARADOKSU-SONUÇ

2017-06-13T09:38:00.002+03:00

Ezeber Bozan Sonuçlar

Sonuç: Ben etkin piyasa tezinin savunucusuyum. Benim gibi birçok iktisatçının etkinliğe inanmasının birden fazla nedeni vardır.

Yatırımın başarısı geleceği önceden öngörme yeteneğine bağlı bir kumardır.
Yatırım oyunu sevişmeye benzer. Vazgeçilmeyecek kadar eğlencelidir.
Piyasa'nın bizleri haklı çıkardığını görmek müthiş bir duygudur.
İnsanlar büyük işler yaptıkları zaman böbürlense de, büyük işler çoğunlukla büyük tasarımdan çok ŞANS eseri ortaya çıkar.
Piyasa’dan para kazanmak zor değildir. Kaçınılması zor olan şey, paramızı çabuk zengin olma umuduyla, kısa dönemli spekülatif işlemlere yatırmaktır- Rezil İnsan.

Sıfır olasılık hayaldir. Bu durum hayal edildiği kadardır. Sıfır doğru oluşturmak sonsuzluk demektir. Bizler olasılıklar arasında sonsuz yaşama potansiyeliyle dolu varlıklarız.Tüm araştırma ve deneyimlerimizin iki zıt kutupta oluştuğunu bilmekteyim: planlı determinist ve düzenli sistemler. Bunların ise "düzensiz" ve "tahmin edilemez" sistemlerin rastgele dünyası arasında gidip geldiğini çok iyi bilmekteyim.

İlk olarak, piyasaların yeni bilgiyi hızla ve çoğu kez doğru yansıtan olağanüstü başarılı araçlar olduğunu düşünmekteyim.
İkinci olarak, piyasaların hisse senedi fiyatlarını, kazanç ve kâr payı gibi esaslarla açıklanmayacak kadar büyük bir volatilite gösterdiğinde bile etkin olduğunu düşünmekteyim.
Son olarak, finans piyasalarında yatırımcıların ortalamanın üzerinde risk almadan, ortalamanın üzerinde getiriler elde etmelerine izin vermedikleri için etkin olduğuna inanmaktayım.

Yatırımın getirileri, değişen derecede, gelecekteki olaylara bağımlıdır. Yatırımın büyüsü de buradadır. Yatırımcılar tarafından (herkesçe) bilinen bu ders, her zaman gözden kaçabilir...!

BORSA PARADOKSU-4

2017-06-13T09:34:00.001+03:00

Borsa üzerinde haberlerin birbirinin ardı sıra gelmesi rastgeledir. Bir haber rastgele değilse, daha önceki bir habere bağlı ise o zaman haber olmaktan çıkar. Hiçbir sektörün durumunu önceden bilmek kolay değildir.

Değersiz hizmetlere olan bağlarınızı kesin; sürekli grafikleri okuyan ve sürekli olarak hisse senedi satmanızı öneren broker'lardan uzak durun.
Finans tahminleri, yıldız falına saygınlık sağlayacak kadar bir bilim dalıdır. Piyasa’da hangi F/K oranının uygun görüleceğini her şeye kadir tanrı bile bilmeyeceği gibi, oranların gelecekte nasıl değişeceği de tahmin edilemez. Değerleme değişmeleri kesinlikle öngörülemez.
Hisse senedi analistinin, geleceği görmekte neden güçlük çektiğini açıklayan beş faktör vardır: rastgele olayların etkisi, yaratıcı muhasebe yoluyla kuşkulu kazançların bildirilmesi, çoğu analistin özünde yeteneksiz olması, en iyi analistin satış masasında veya portföy yönetiminde yitirilmesi, büyük yatırım bankacılığı işlemleri yapan firmalardaki analistleri bekleyen çıkar çatışmalarıdır. Burada can alıcı (önemli olan !) nokta dikiz aynasına bakarak yatırım yapmamaktır.
Borsada kalıcı kalıplar olarak adlandırılan şeyler, şans oyunu oynayan bir kumarbazın şansının yaver gitmesi olasılığından daha sık gerçekleşemez.
Hisse senedi grafiklerindeki döngüler de, sıradan bir kumarbazın şanslı veya şansız olduğu anların sayısına ilişkin döngülerden daha gerçekçi değildir.

Hiçbir şey bedelsiz elde edilemez. Riskin artması daha cömet getiriler için ödenen bedeldir. Dayanma gücünüz yatırım kararında alınabilecek filli riskte önemli bir rol oynar.

BORSA PARADOKSU-3

2017-06-13T09:05:00.000+03:00

Grafikçi, uzun vade yatırımcı değil, kısa vadeci trader'dır. Herkesin aynı anda davrandığı bir noktada, hiçbir satın alma veya satış sinyali değer taşımaz.Teknik değerini yitirir.

Tekniz analiz stratejileri eğlendirici ve dinlendirici olabilir, ama gerçek anlamda hiçbir değeri yoktur.
Teknik analiz son derece değersizdir. Piyasa zamanlaması için teknik analize başvurmak özellikle tehlikelidir.
Borsa analizcileri boğacı kesilmek için her zaman bir neden bulurlar. İstenmeyen satış sözcüğünü çok ender kullanırlar, çünkü mevcut ya da gelecekteki yatırım bankacılığı ilişkilerini tehlikeye sokmayı ya da bilgi almakta güvendikleri kurumsal finans müdürlerini kırmak istemezler.
Yatırımcılar kısa yoldan zengin olma sevdasına düşünce önlerindeki her yemi kapmaya çalışırlar.
Halk aç gözlü davranmadığı takdirde manipülatörlerin hişbir şansı olmaz. Finans piyasasında ponzi düzeni (sahte reçete !) dolandırıcılık kapsamına girer.
Borsa'nın genelinde Newton Yasası (Yer Çekimi Kanunu) tam tersine işler.
Borsada, aşağı düşen tekrar yukarı çıkmak zorundadır. Ancak bu tek tek hisse senetleri için her koşulda geçerli olmamakla birlikte, genel olarak (Yer Çekimi Kanunu) borsa için doğrudur.
Finans tarihi, aşırıya kaçan, bolluk içinde yüzen tüm piyasaların sonuçta yer çekimi kanununa boyun eğeceklerini belirtir.
Borsa bir oylama sistemi değil, bir ölçüm sistemidir. Borsada, hisse senetleri gerçeklere göre değil, beklentilere göre satın alınır.
Borsa arz ve talep kanununa göre hareket eder. Medya ise, spekülatif balonların sürekli havada kalmasında önemli bir rol oynar. Para piyasasının bir özelliği de, spekülatif olanakları artıracak bir yöntem gerektiğinde, piyasanın o yöntemi kesinlikle oluşturmasıdır.
Hisse senedi ile ilgili söylentilerin toplumun ilgisini çekecek türden şeyler olduğuna karar vermek için, yanlızca, sezgimizi ve spekülatif duygularımızı kullanabiliriz.
Borsanın hafızası, varsa bile, çok kıttır. Piyasa zaman zaman bir tempo sergilese de, bu güvenilir değildir ve trend izleme stratejileri uygulanırken ortaya çıkan önemli işlem maliyetlerinin üzerine çıkacak kadar uzun sürmez.
Borsada kısa dönemli bir tempo olsa da, işlem maliyetlerini ödeyen bir yatırımcı(lar) bundan yararlanamaz. Grafik üzerindeki bir sonraki hareket, daha önce olanlar temelinde kesinlikle öngörülemez.

Tarih borsada kendini yeniler; ancak bu yenileme geçmişteki fiyat örneklerinden bilgi edinme çabalarını birbirine karıştıran değişik, şaşırtıcı yollardan gerçekleşir. Sonuç: Borsadaki spekülasyon psikolojisi, gerçek dışı bir olayın gerçek tiyatrosudur.

BORSA PARADOKSU-2

2017-06-13T08:57:00.002+03:00

Borsa deneylerinden elde edilen sonuçlara göre:

Teknik analiz yıldız falına benzer, ancak onun kadar bilimseldir.
Teknik analiz programlarının sınavı geçtiği söylenemez . Teknik yöntemler, yararlı yatırım taktikleri/stratejileri oluşturmakla elde edilemez.
Teknik analizciler, müşterilerinin yat edinmelerini değil, broker'lara yat aldıracak alım-satım işlemlerinin üretilmesine yardımcı olur. Halk bu tuzaklara düştüğü sürece, teknik analistler de revaçta olmayı sürdürürler.
Grafik okumak ile finans piyasalarından anormal kâr elde edilemez. Romalı kahinler gibi, graf okumakla piyasaları alt edilemez.
Grafikçilerin aradığı trendler, röntgen filimleri üzerindeki X-ray ışınlarını gözlemleyen cerrahın gözüyle bakmaya benzer.
Grafikçilerin yaratmış oldukları tekniklere/yöntemlere hiçbir entellektüel sempati duyulmaz.
Borsanın temelinde mantık vardır.
Grafik okumak ve istatistiksel ilişkiler kurarak yatırımcıların başarılı olması beklenmemelidir.
Piyasadan çok ender olarak görülen anormal getirilerin piyasaların etkin olmamasından mı, yoksa risk ölçüm yetersizliğinden mi kaynaklandığını bilmek olanaksızdır.
Borsa'da rastgele yazı-tura ile oluşturulan bir hisse portföyünün getirisi, yatırım profesyonellerin seçtiği bir hisse portföyü kadar iyi sonuç elde eder.
Yatırımın başarısı, geleceği önceden görme yeteneğine bağlı bir kumardır. Borsayı yenme başarısı, kumarhanede blackjack oynayıp krupiyeyi yenme başarısı kadardır.
Teknik öğreti geçici bir hevesdir.

Sonuç: Temel ve Teknikçilerin, borsada (finans piyasalarında) gerçek değer arayışı bir serabın peşinde koşmakla ayni şeydir.

BORSA PARADOKSU-1

2017-06-13T08:49:00.000+03:00

Finans kilsesinin bilmesi gereken en temel konu şudur: Hiç kimse, ne borsanın yönünü ne de bireysel hisse senetlerinin göreli çekiciliğini kalıcı bir biçimde öngöremez. Ve bu nedenle, hiç kimse sürekli olarak piyasadan daha iyi toplam getiri elde edemez.

Kuşkusuz, ara sıra kârlı işlem olanakları ortaya çıkabilir. Ancak bunlar herkes tarafından öğrenildiğinde,ansızın tükenirler. Henüz hiç kimse ya da hiç bir kurum, özellikle vergi ve işlem bedeli ödüyorsa, sürekli olarak para kazandıran, riske göre düzenlenmiş hisse senedi alım-satım fırsatları yaratabilmiş değildir.

Borsa'da (finans piyasasında) her zaman "kazan-kazan" diye birşey yoktur. Finans piyasasında, her zaman ve her yerde, birinin kazancı diğerinin kaybıdır.

BORSA PARADOKSU

2017-06-13T08:35:00.001+03:00

İÇERİK

1. Bölüm: Borsa Paradoks
2. Bölüm: Borsa Paradoks
3. Bölüm: Borsa Paradoks
4. Bölüm: Borsa Paradoks
5. Bölüm: Borsa Paradoks
6. Sonuç: Borsa Paradoks

Not: İçerikler, yayınlanmamış İngilizce lisans tezinin belli başlı yerlerinden alıntı yapılarak Türkçeye çevrilmiş. Temel içerikler tekrardan gözden geçirilip yeniden özetlenmiştir.

Urem, H. (2001),"The Paradox of Financial Markets": A Critical Review of the Financial Market Efficiency, Middlesex University, pp.1-118, London.

GOVERNANCE, INTERNAL AUDIT AND ERM PROCESSES

2016-04-21T09:42:00.000+03:00

Internal auditing is sometimes described as one of the four cornerstones of governance. The other three cornerstones are external auditing, executive management, and the board of directors.Two key contributions that the internal audit activity makes to governance are included in the definition of internal auditing:

Assurance on the effectiveness of governance, risk management, and internal control,
Advisory services for improvement for the risk management processes (RMP).

Clearly, internal auditing plays a very important role in improving the maturity of risk management with respect to effective risk management, including:

Raising the profile of risk in organizational decision-making and planning at all levels.
Providing training and guidance to other managers and staff.
Making recommendations for improvement to risk-based controls.
Keeping up-to-date with the latest thinking and serving as a source of risk expertise for the organization.
Ensuring risk management is consistent and well-coordinated on an enterprise-wide basis.
Providing assurance on risk management and its processes.
Reporting on the level of operational risk as part of routine audit work.
Championing risk and advocating enhanced risk maturity.
Leading risk identification workshops.
Providing practical tools that may assist risk management processes.
Providing training for audit committees and management on all aspects of risk.
Offer consulting services in support of those charged with risk management.
Evaluate strategic risk management by determining whether strategic risks are known, responded to appropriately, and monitored accordingly.
Develop the expertise of the internal audit function to maximize its competency in risk.
Supplement risk-related skills of the internal audit team (as required) by drawing upon third- party support.

As enterprise-wide risk management becomes established in organizations, the internal audit activity can progress from being risk-based to being ERM-based. It important for audit planning to be ERM-based rather than simply risk-based.

The chief audit executive (CAE) is responsible for developing a risk-based plan.

The chief audit executive takes into account the organization’s risk management framework, including using risk appetite levels set by management for the different activities or parts of the organization. If a framework does not exist, the chief audit executive uses his/her own judgment of risks after consideration of input from senior management and the board.
The chief audit executive must review and adjust the plan, as necessary, in response to changes in the organization’s business, risks, operations, programs, systems, and controls.
With an effective, integrated, enterprise-wide approach to risk management, internal audit no longer needs to identify the risk universe.
Management takes on that responsibility, and the internal auditors adopt it as the basis for describing the internal audit universe (the summation of all possible internal audits).
The audit universe will normally be influenced by the results of the risk management process. The CAE prepares the internal audit activity’s audit plan based on the audit universe, input from senior management and the board, and an assessment of risk and exposures affecting the organization. Of course, this assumes the internal auditors are confident about the ERM processes used to develop the risk universe.
ERM can help identify and prioritize the risks that may then direct risk-based audit planning. However, to maintain its independence and objectivity, the internal audit activity must never be wholly dependent on ERM, and the internal auditors must exercise their own judgment about internal audit priorities.

Internal audit draws upon ERM for its risk-based approach.

The internal auditors are responsible for assessing enterprise risk management—which is part of the risk universe—and providing assurance on it.

BANKACILIKTA İÇ KONTROL SİSTEMİ

2016-04-15T16:22:00.001+03:00

Faydaları sebebiyle etkin ve yeterli bir iç kontrol sistemine altı (6) noktada ihtiyaç duyulur.

Faaliyetlerin güvenli (etkin ve yeterli) bir şekilde gerçekleştirilmesi,
Stratejik amaçlara ulaşılması, Uzun dönemli karlılık hedeflerinin gerçekleştirilmesi,
Finansal /yönetsel rapor ve bilgiler üzerinde doğruluk ve güvenilirliğinin sağlanması,
Hile/Usulsüzlük önlenmesi, İtibar zedeleme riskinin azaltılması,
Düzenlemelere (Yasalara), politikalara, plan ve prosedürlere uyulmasının sağlanması,
Kurum/ amaçlarının gerçekleştirilmesi (Yasa Amacı, Yönetim Amacı, Hissedar Amacı, Çalışan Amacı, Denetim Amacı...)

İç kontrol sistemi kurum kurumsal yönetiminin önemli bir parçasıdır. Kurumsal Yönetim Tebliği:

İnsan
Sistem
Süreç
İlkeler, bütününden oluşmaktadır.

Internal Environment- Hard and Soft Controls

2016-04-08T16:02:00.004+03:00

Choices around systems, processes, structure, communication, planning, and allocation of resources each represent a potential strength or weakness, as well a source of risks or opportunities. They also may form part of the risk response, including internal controls.

Risk management processes need to fit in with the rest of the organization, and processes for identifying, analyzing, responding to, and reporting on risks are required to operate in such a way that they successfully
manage risks across all elements of the internal environment.

This is particularly useful as a tool for management when trying to bring about change. It also can serve as an indicator that risks and opportunities may arise not just within one area, but as a result of separate components working together.

Hard and Soft Elements (7S):
Hard Elements - Strategy, Structure, Systems
Activities: (Review,inspections, policies, reconciliations, structure, limits, user ID- passwords, physical counts, bank reconciliation).
Soft Elements- Style, Shared Values, Staff, Skills
People: Openness, clarity, competency, expectations, communications.

Hard elements are readily grasped and manipulated by management, and soft elements that are much less tangible and more easy to change. For example, it is relatively easy to issue a new strategy or introduce a revised system. However, to make either of these things work requires adjustments to other elements such as skills and shared values, which present a much greater challenge to manipulate.
Soft elements are more difficult to change, introduce, monitor, and manage.

RISK PSYCHOLOGY

2016-04-04T14:47:00.000+03:00

Risk psycholog is a fascinating field of research. There is an unavoidable, yet desirable, subjectivity to risk analysis and a natural inclination to focus on impact, because it is harder to comprehend likelihood in quite the same way. The result is that likelihood becomes exaggerated.
Consider the insecurities many people have about flying. The consequences of an airborne disaster are easy and somewhat unsettling to imagine. This translates into a perception that flying is more dangerous (i.e., more risky) than it is- perhaps even more risky than driving.
The fact that a passenger is more likely to suffer injury or death in the car on the way to or from the airport does not ease the psychological weight given to the risk level associated with flying. This has to do with the element of personal control. When driving a car, the driver feels—rightly or wrongly—that he can make a personal intervention to avoid an accident, but an airline passenger must rely on the pilot’s actions, someone else’s security arrangements, and the mechanical integrity of the plane.
Likewise, the psychological element is important when considering risk appetite. A group of managers may agree on the defined appetite of the organization, but each individual may vary when it comes to being either a risk taker or a risk avoider. The perceived level of acceptable risk depends on how it aligns with personal risk appetite.
In all situations, the role of “risk management” is to try to lead organizations toward an understanding of risk and objective appraisal while recognizing both the inevitability and value of subjective impressions. Armed with better information, the organization can make a more intelligent response.

Key Internal Stakeholders

2016-04-04T14:37:00.000+03:00

A stakeholder is defined as anyone who has a stake or an interest in some activity, project, or
enterprise; or in this case, the organization as a whole. Stakeholder theory offers a more enlightened
perspective, compared with a narrower focus on the immediate beneficiaries, such as shareholders.
Being aware and taking account of those interests enables managers to secure support as required and
to anticipate resistance to an initiative. This analysis is an extremely important management activity. Organizations exist to serve the needs and interests of their stakeholders by:

Delivering a sought-after service or product to customers.
Providing financial returns on an investment to investors and owners.
Paying amounts that are due in a timely fashion to suppliers.
Creating a safe, attractive work environment.
Providing accurate and timely data on pay to tax authorities.

Sometimes these interests can be in conflict. One party’s efficiency gain might be another ’s cut in income, and one party’s enhancements to product quality and service might be another ’s erosion of profit. Two primary stakeholders—the owners and management—sometimes can be in conflict, as the managers might seek personal or short-term gain, while the owners desire long-term returns on their investment. Organizational boundaries are often indistinct. For example, where does the organization end and the stakeholder begin ?

Managers are quick to realize that stakeholders wield great power. Customers may withhold their business, investors may withdraw their capital, employees may take industrial action, the government may raise taxes and increase regulation, pressure groups may lobby for greater environmental protection, and the public may demand greater transparency and ethical leadership.
Like other organizational endeavors, risk management processes should be designed to reflect a
balanced response to the needs and interests of stakeholders. This requires careful analysis, but it is
not always easy to identify the stakeholders and their interests, and even when they are known, they
may be subject to change. Often, an individual may span several stakeholder groups (an investor who
is also a customer, an owner, or shareholder who is also part of the executive team). However, despite
these problems, the analysis is still very valuable as it leads to greater sensitivity to potential sources
of conflict or opportunities for support.

Stakeholder analysis can be applied to any planned activity and development, including strategic
planning. When developing and reviewing risk management processes, asking key questions will help give due consideration to the needs and expectations of stakeholders:

Whose interests will be affected (positively or negatively) by risk management ?
What are the interests or stakes (objectives) of these stakeholder groups ?
How could these groups impact (positively or negatively) on our ability to implement risk
management ?
What strategies can we adopt to anticipate, mitigate, and exploit the reactions of stakeholders to make risk management processes more successful ?

Simple measures, like involving stakeholders in the development of "risk management processes" and keeping people informed, can deliver the greatest benefit in stakeholder management.
Stakeholders may be categorized as being internal or external. Some refer to connected
stakeholders, such as non-executive directors who cross organizational boundaries between internal
and external stakeholders, and peripheral stakeholders who only have limited and intermittent
interests.

Staff interests may be promoted by official or unofficial representatives, trade unions, and similar
kinds of associations. Managers and directors may be considered to be part of staff as employees of
the organization, but they are also likely to have other personal, financial, and professional stakes in
it. The owners in a private sector organization look for a financial return on their investment and
have an interest in seeing their vision come to fruition.

All of these groups are internal stakeholders. In the public sector, the government department, body, or agency manages the organization on behalf of the public at large or specific groups within it, and these too become internal stakeholders with a greater or lesser degree of direct influence, depending upon the decision-making structures. Risk management processes must serve the interests of the organization and enable it to achieve its objectives. It is important to understand the impact risk management processes have on internal stakeholders.

Management of Third-party Business Relationships

2016-04-04T14:31:00.000+03:00

Third parties are a stakeholder group comprising individuals or organizations that have been
engaged to undertake an activity on behalf of or in partnership with the contracting organization.There are significant benefits of working this way. Indeed, it is difficult to avoid entering into a
range of relationships with third parties. However, when working with others, the risks must be
considered carefully.
Third parties include:

Suppliers.
Contractors.
Subcontractors.
Consultants.
Strategic allies.
Business partners.
Subsidiaries.
Agents.

There should be a good reason for collaborative efforts, such as a way of increasing efficiency,

sharing risk, gaining additional capability, or exploiting new opportunities. Sometimes, however,

organizations are presented with the chance to work with another party and then attempt to create

activity to exploit the opportunity. While this can be successful, it also can result in unfocused activity

that falls outside the strategic plan, and ultimately serve as a distraction from achieving core

objectives.

Clarifying the nature of the relationship through a formal agreement or memorandum of

understanding (MOU) is one way of confirming expectations at the outset and avoiding

misunderstanding later. Such agreements may specify the period the relationship is intended to

endure, the objectives to be achieved, the roles and responsibilities of each party, how financial

commitments and rewards are to be shared, and the options for terminating the agreement.

Once initiated, such relationships rely on effective communication and good working relations. It

is important to agree on a schedule for making contact, holding meetings, sharing information, and

issuing reports.

The engagement of a third party to undertake some activity does not absolve the organization of

responsibility for risk. The organization’s own risk management processes need to extend to the

exposure to risks presented by the use of third-party contractors, subcontractors, vendors, affiliates,

and partners. While the appropriate response to any of these risks may be through various legal and

financial protections, it is important to recognize the full range of potential risks.

Third-party risks tend to be greater when:

The relationship is new.
The relationship is entered into quickly.
The services provided are critical to the organization’s operations.
The financial value of the arrangement is significant.
The duration of the relationship is extensive.
The nature of the undertaking is complex.
The third party is also engaged in other activities or relationships that may be in direct competition or conflict. There are several parties involved.
The third party is planning to subcontract some or all of the work.
The potential for risk in third-party relationships is significant, stemming from failures by the third party or of the relationship itself.

These risks include:

Operational risk due to the complexities of two or more organizations working together different systems and strategic priorities.
Reputational risk through association with another organization’s shortcomings.
Financial risk involving delays, disruptions, underperformance, and penalties.
Compliance risk where expectations are unclear and no party within the alliance has full oversight of all activities and related regulatory duties.
Legal risks arising from a partner ’s breaches in regard to regulation and statutory requirements.
Strategic risk through the potential for the relationship with the third party to soak up additional time and resources, divert the organization away from its primary goals, and result in the failure to achieve major objectives.

CONSULTING ROLE OF INTERNAL AUDITOR

2016-04-01T10:28:00.001+03:00

The internal auditors can make to risk management through consulting. While assurance engagements for ERM are generally delivered when everything needed is already in place, consultancy is likely to be required when there are no systems and processes or they are new, incomplete, or less than optimal. When serving as consultants, the internal auditors must adopt a different mindset from that of assurance, even though they will employ the same expertise and build useful knowledge.

The nature and extent of consulting to be offered by the internal audit activity must be set out clearly in the charter (in accordance with Standard ) and, like all activities undertaken by the internal audit function, must be limited to those tasks that can be performed competently by available capabilities. Standard states that:
The chief audit executive must decline the consulting engagement or obtain competent advice
and assistance if the internal auditors lack the knowledge, skills, or other competencies
needed to perform all or part of the engagement.
This is in contrast to assurance engagements, which are not to be declined if resources are lacking
internally. (In such assurance cases, resources would be secured from other sources.)
Advisory work focuses on governance, risk, and control, which form internal audit’s primary
knowledge base. Consulting can take many forms.The various kinds of consulting services the internal auditors may provide or contribute to include:

Business process improvement.
Continuous monitoring.
Control self-assessment of risk and control self-assessment.
Forensic auditing.
Governance and ethics training.
Internal control review.
Internal control training.
Participation on committees or task forces.
Readiness.
Review of a new product or service before implementation.
Risk self-assessment.

We will focus on seven types of consulting engagements related to risk management:

Assisting in the identification and evaluation of risks through an analysis of strategy and the internal and external environments.
Developing management’s capabilities in respect to risk responses by providing coaching
Helping to draw risk management activities together across the organization in a more coherent, effective, and deeply embedded fashion
Strengthening risk reporting by ensuring it is timely, relevant, and focused.
Maintaining and improving the risk management framework through a combination of testing, validation, and the offering of potential solutions to identified weaknesses .
Promoting risk management across the organization by acting as its champion (IV.F).
Advancing the progression toward greater risk maturity by developing the risk management strategy.

There are several characteristics, as well as important differences, that assurance and consulting

engagements have in common. The similarities arise from the simple fact that any activity carried out

by the internal auditors should be delivered in accordance with high standards of professional

practice. More specifically, both types of internal audit engagements must be:

Defined in the internal audit charter.
Delivered by the internal auditors with:
Due professional care.
Independence and objectivity

Internal auditors must exercise due professional care during a consulting engagement by considering the:

Needs and expectations of clients, including the nature, timing, and communication of engagement results.
Relative complexity and extent of work needed to achieve the engagement’s objectives.
Cost of the consulting engagement in relation to potential benefits.

Furthermore, if it is clear at the outset that if there are any impediments to independence or

objectivity, they must be declared before accepting the engagement. This is also evident in the

Standards:If internal auditors have potential impairments to independence or objectivity relating to proposed consulting services, disclosure must be made to the engagement client prior to accepting the engagement.

The overriding safeguard is that, under no circumstances, should the internal auditors take

responsibility for risk management. It is also clear that a consulting engagement should not be

accepted simply because management requests it. It must be relevant and planned.