SPK VII-128.10: Değerleme kuruluşları bilgi sistemleri tebliğine nasıl hazırlanıyor?

Sermaye Piyasası Kurulu’nun 13 Mart 2025 tarihli Resmî Gazete’de yayımlanan Bilgi Sistemleri Yönetimine İlişkin Usul ve Esaslar Tebliği (VII-128.10), önceki VII-128.9 sayılı Tebliğ’in yerini aldı. Tebliğ yeni bir ürün almayı değil, bilgi sistemlerinin yönetişimden günlük işletime kadar kontrollü ve kanıtlanabilir biçimde yönetilmesini bekliyor.

Denetimde ilk sorulan: kanıt

Sahada en sık gördüğümüz sorun, yapılan işin yazılı olmaması. Yedek alınıyor ama geri dönüş testinin kaydı yok; yetkiler veriliyor ama yetki matrisi güncel değil; olay yaşanıyor ama olay kaydı tutulmuyor. Denetçi için kayıt altına alınmamış bir kontrol, yapılmamış bir kontrol demek.

SPK VII-128.10 tebliğinin ana başlıkları

• Üst yönetimin gözetimi, bilgi güvenliği politikası ve sorumlulukların atanması
• Varlık envanteri, risk değerlendirmesi ve risk işleme planı
• Kimlik doğrulama, yetkilendirme ve denetim izleri
• Dış hizmet alımlarının (bulut, yazılım, destek) risk ve sözleşme açısından yönetimi
• Olay yönetimi, yedekleme ve iş sürekliliği

Hazırlığa beş adımda başlıyoruz

• Kapsam analizi: hangi hükümler kuruluşunuza hangi ölçekte uygulanıyor, hangi muafiyet ve geçiş hükümleri geçerli?
• Mevcut durum tespiti: her başlık için var olan kontrolü ve kanıtını yan yana yazıyoruz.
• Hızlı kazanımlar: çok faktörlü doğrulama, yetki matrisi ve yedekleme testi gibi kısa sürede kapanan açıklar.
• Dokümantasyon: politika, prosedür ve kayıt şablonlarını işleyen süreçlere göre yazıyoruz, kopyala yapıştır belgeler denetimde ilk soruda dağılıyor.
• Periyodik gözden geçirme: uyum bir proje değil, takvime bağlı bir rutin.

Bankalara hizmet veren değerleme kuruluşları için aynı hazırlık, bankaların tedarikçi denetimlerinde ve bilgi güvenliği anketlerinde de karşılık buluyor. Ayrıntı için Gayrimenkul Değerleme sayfamıza bakabilirsiniz.

Bu yazı bilgilendirme amaçlıdır, hukuki görüş niteliği taşımıyor. Güncel metin için SPK Mevzuat Sistemi esas alınmalı.