Ödeme kuruluşlarının faaliyetlerinin büyük bölümü artık fiziksel şubelerden değil; mobil uygulamalar, internet siteleri, API bağlantıları, sanal POS altyapıları, veri merkezleri ve bulut sistemleri üzerinden yürütülmektedir. Bu nedenle bir ödeme kuruluşunun finansal açıdan güçlü olması tek başına yeterli değildir. Kuruluşun ödeme işlemlerini gerçekleştiren bilgi sistemlerinin güvenli, kesintisiz, izlenebilir ve denetlenebilir biçimde çalışması da faaliyet izninin devamlılığı açısından temel önem taşımaktadır.

Türkiye’de ödeme ve elektronik para kuruluşlarının bilgi sistemlerine ilişkin temel düzenleme, Ödeme ve Elektronik Para Kuruluşlarının Bilgi Sistemleri ile Ödeme Hizmeti Sağlayıcılarının Ödeme Hizmetleri Alanındaki Veri Paylaşım Servislerine İlişkin Tebliğdir. Yürürlükteki Tebliğ; ödeme kuruluşlarının bilgi sistemlerinin yönetimini, bilgi güvenliğini, risk yönetimini, erişim kontrollerini, sızma testlerini, iş sürekliliğini, dış hizmet kullanımını ve bilgi sistemlerinin bağımsız denetimini ayrıntılı biçimde düzenlemektedir.

Bu nedenle ödeme kuruluşlarında bilgi sistemleri denetimi, yalnızca birkaç yılda bir bağımsız denetçinin şirkete gelerek hazırladığı teknik rapordan ibaret değildir. Kuruluşun yıl boyunca yürütmek zorunda olduğu risk değerlendirmeleri, güvenlik testleri, erişim kontrolleri, siber olay yönetimi, iş sürekliliği testleri ve düzenli TCMB raporlamaları da bu sistemin parçalarıdır.

Ödeme Kuruluşlarında Bilgi Sistemleri Denetimi Nedir?

Bilgi sistemleri bağımsız denetimi, kuruluşun TCMB bilgi sistemleri mevzuatına uyumunun değerlendirilmesi amacıyla; süreç, faaliyet, yazılım, donanım ve bunlara bağlı iç kontrollerin yetkili bağımsız denetim kuruluşu tarafından incelenmesi ve bu kontrollerin etkinliği, yeterliliği ve mevzuata uygunluğu hakkında görüş oluşturulması sürecidir.

Dolayısıyla denetim yalnızca şu soruya cevap aramaz:

“Sistem çalışıyor mu?”

Asıl olarak şu sorular da değerlendirilir:

• Sisteme kimlerin erişebildiği,
• erişim yetkilerinin gereğinden geniş olup olmadığı,
• müşteri bilgilerinin nasıl korunduğu,
• işlem kayıtlarının sonradan izlenip izlenemediği,
• siber saldırılara karşı gerekli önlemlerin bulunup bulunmadığı,
• hizmet kesintisi hâlinde sistemin ne kadar sürede yeniden çalıştırılabileceği,
• dış hizmet sağlayıcıların yeterince kontrol edilip edilmediği,
• tespit edilen güvenlik açıklarının zamanında giderilip giderilmediği.

Bu nedenle bilgi sistemleri denetimi, ödeme kuruluşunun teknoloji departmanından ibaret bir inceleme değildir; yönetim kurulu, iç kontrol, risk yönetimi, bilgi güvenliği, operasyon ve dış hizmet süreçlerini birlikte ilgilendiren bir kurumsal uyum denetimidir. Tebliğ, bilgi sistemlerinin mevzuata uygun yönetilmesinden yönetim kurulunu sorumlu tutmakta ve iç kontrol sistemi içerisinde bilgi sistemleri uyumunu kontrol edecek fonksiyon oluşturulmasını istemektedir.

Ödeme Kuruluşlarının Bilgi Sistemlerini Kim Denetler?

Bilgi sistemleri bağımsız denetimini herhangi bir yazılım veya siber güvenlik şirketi gerçekleştiremez.

Tebliğe göre denetimin esas olarak, Kamu Gözetimi, Muhasebe ve Denetim Standartları Kurumu tarafından yetkilendirilmiş bağımsız denetim kuruluşları arasından BDDK tarafından yayımlanan Bankalarda Bilgi Sistemleri Denetimi Yapmaya Yetkili Bağımsız Denetim Kuruluşları listesinde yer alan kuruluşlar tarafından yapılması gerekir. TCMB, gerekli gördüğü durumlarda bu konuda farklı bir bağımsız denetim kuruluşunun kullanılmasına veya listede bulunan belirli bir kuruluşun kullanılmamasına karar verme yetkisine sahiptir.

Dolayısıyla ödeme kuruluşunun yıllardır çalıştığı mali müşavir veya klasik finansal bağımsız denetim şirketinin bilgi sistemleri raporunu da otomatik olarak hazırlayabileceği varsayılmamalıdır.

Finansal bağımsız denetim ile bilgi sistemleri bağımsız denetimi farklı denetimlerdir.

6493 sayılı Kanun ödeme ve elektronik para kuruluşlarını bağımsız denetime tabi tutarken bilgi sistemlerinin denetimi için ayrıca özel düzenlemeler bulunmaktadır.

Bilgi Sistemleri Denetimi Kaç Yılda Bir Yapılır?

Yürürlükteki TCMB Tebliğine göre ödeme ve elektronik para kuruluşlarında bilgi sistemleri bağımsız denetimi iki yılda bir gerçekleştirilir. Bununla birlikte TCMB gerekli gördüğü hâllerde denetimin kapsamını ve sıklığını değiştirme yetkisine sahiptir.

Bu nedenle;

“Bilgi sistemleri denetimi yalnızca iki yılda bir yapılır ve aradaki dönemde hiçbir yükümlülük bulunmaz.”

şeklinde bir yaklaşım doğru değildir.

Bağımsız denetimin periyodu iki yıl olmakla birlikte ödeme kuruluşunun yıl boyunca yerine getirmesi gereken çok sayıda bilgi sistemleri kontrolü ve raporlama yükümlülüğü bulunmaktadır. Örneğin yıllık risk değerlendirmesi, sızma testi, bilgi güvenliği gözden geçirmesi ve iş sürekliliği testi gibi yükümlülükler bağımsız denetim döneminden farklı periyotlarda uygulanmaktadır.

Yeni Lisans Alan Ödeme Kuruluşunun İlk Bilgi Sistemleri Denetimi Ne Zaman Yapılır?

Yeni faaliyet izni alan ödeme veya elektronik para kuruluşları bakımından özel bir kural bulunmaktadır.

Tebliğe göre ilk bilgi sistemleri bağımsız denetimi, faaliyet izninin verildiği yılı takip eden yılı kapsayacak şekilde gerçekleştirilir.

Örneğin bir ödeme kuruluşunun 2026 yılında faaliyet izni aldığını varsayalım.

İlk bilgi sistemleri bağımsız denetimi, Tebliğdeki bu özel hüküm uyarınca faaliyet iznini takip eden yıl olan 2027 dönemini kapsayacak şekilde planlanmalıdır.

Bu nedenle yeni lisans alan fintech şirketlerinin bilgi sistemleri bağımsız denetimini yıllar sonra düşünülecek bir konu olarak görmemesi gerekir.

Lisans alınırken kurulan teknik altyapının daha ilk faaliyet yılından itibaren denetlenebilir nitelikte olması gerekir.

Bilgi Sistemleri Bağımsız Denetim Raporu TCMB’ye Ne Zaman Verilir?

Tebliğe göre bağımsız denetim sonucunda hazırlanan raporun, denetim dönemini takip eden yılın Şubat ayı sonuna kadar TCMB ile paylaşılması zorunludur. TCMB, kuruluşun talebi üzerine gerekli gördüğü durumlarda ilave süre verebilir ve raporlamanın elektronik yöntemle yapılmasını isteyebilir.

TCMB ayrıca 2025 yılında Ödeme Kuruluşları Denetim Takip Sistemi – OKDS uygulamasını üretime almış; bilgi sistemleri bağımsız denetim raporları başta olmak üzere Tebliğ kapsamında yapılması gereken raporlamaların elektronik ortamda iletilmesi ve takibine yönelik sistem oluşturmuştur.

Bu gelişme, bilgi sistemleri denetiminin yalnızca şirket ile denetçi arasında kalan özel bir çalışma olmadığını; TCMB gözetim sisteminin doğrudan parçalarından biri olduğunu göstermektedir.

Bilgi Sistemleri Denetiminde Yönetim Beyanı Nedir?

Ödeme kuruluşunun denetim sürecinde yalnızca bağımsız denetçi rapor hazırlamaz.

Kuruluşun kendisinin de yönetim beyanı hazırlaması gerekir.

Tebliğe göre kuruluş, bilgi sistemleri kapsamında kurduğu iç kontroller hakkında denetim dönemi itibarıyla güvence veren ve yönetim kurulu ile genel müdür tarafından onaylanan yönetim beyanını her denetim döneminde hazırlamakla yükümlüdür.

Bağımsız denetçi bu beyanı ve beyanın dayandığı çalışmaları inceler.

Yönetim beyanında yanlışlık veya eksiklik bulunması hâlinde bu durum bağımsız denetim raporunda bulgu olarak yer alabilir. Kuruluşun yönetim beyanını vermeyi reddetmesi ise şartlı görüş, görüş bildirmekten kaçınma veya denetimden çekilme gibi daha ağır sonuçlara kadar ilerleyebilir.

Bu nedenle yönetim beyanı yalnızca genel müdürün imzaladığı standart bir form olarak görülmemelidir.

Beyan, kuruluşun bilgi sistemleri kontrollerinin gerçekten işletildiğini ortaya koyabilecek kanıt ve kayıtlarla desteklenmelidir.

Bilgi Sistemleri Denetiminde Hangi Görüşler Verilebilir?

Bağımsız denetim sonucunda denetçi dört temel sonuçtan birine ulaşabilir:

• olumlu görüş,
• şartlı görüş,
• olumsuz görüş,
• görüş bildirmekten kaçınma.

Önemli kontrol eksikliği bulunmuyor ve denetim kapsamında ciddi sınırlamayla karşılaşılmıyorsa olumlu görüş verilebilir. Önemli fakat bütün sistemin büyük kısmını etkilemeyen kontrol eksiklikleri veya yeterli denetim kanıtına ulaşılmasını sınırlayan belirli durumlarda şartlı görüş gündeme gelebilir. Kontrol eksikliklerinin bilgi sistemlerinin veya ödeme süreçlerinin büyük bölümünü etkilemesi hâlinde olumsuz görüş verilebilir. Denetim faaliyetinin görüş oluşturmayı engelleyecek ölçüde sınırlandırılması hâlinde ise görüş bildirmekten kaçınılabilir.

Bu nedenle ödeme kuruluşu açısından hedef yalnızca “raporu almak” olmamalıdır.

Asıl hedef olumsuz veya şartlı görüşe yol açabilecek kontrol eksikliklerini denetim başlamadan önce tespit edip gidermektir.

TCMB Denetimi ile Bağımsız Bilgi Sistemleri Denetimi Aynı Şey midir?

Hayır.

Bağımsız denetim kuruluşunun yaptığı bilgi sistemleri denetimi ile TCMB’nin düzenleyici gözetim ve denetim faaliyetleri birbirinden farklıdır.

TCMB, ödeme ve elektronik para kuruluşlarının yetkilendirilmesi, denetlenmesi ve gözetiminden sorumlu kamu otoritesidir.

Dolayısıyla bağımsız denetim raporunun olumlu olması;

“TCMB artık şirketi denetleyemez.”

anlamına gelmez.

TCMB kendi gözetim ve denetim faaliyetlerini yürütmeye devam eder ve gerektiğinde ilave bilgi, belge ve açıklama talep edebilir. Nitekim TCMB’nin 2025 yılı gözetim ve denetim faaliyetleri sonucunda 72 kuruluşa toplam 373.243.560,30 TL idari para cezası uygulanmış, 29 kuruluşa uyarı verilmiş, 14 kuruluşun faaliyet izni geçici olarak durdurulmuş ve 7 kuruluşun faaliyet izni iptal edilmiştir.

Bu rakamlar, ödeme kuruluşlarında mevzuata uyumun yalnızca teorik bir yükümlülük olmadığını göstermektedir.

Bilgi Sistemleri Denetiminde Risk Yönetimi Nasıl İncelenir?

Ödeme kuruluşları bilgi sistemleri için düzenli risk değerlendirmesi yapmak zorundadır.

Tebliğe göre kuruluş, bilgi sistemlerinde önemli bir değişiklik yapılmadan önce ve ayrıca yılda en az bir defa kapsamlı bilgi sistemleri risk değerlendirmesi gerçekleştirmelidir.

Bir önceki yıla ilişkin risk değerlendirmesi ve alınacak aksiyonları içeren raporun her yıl Ocak ayı sonuna kadar yönetim kuruluna ve TCMB’ye sunulması gerekir.

Örneğin ödeme kuruluşunun;

• yeni mobil uygulama çıkarması,
• altyapısını buluta taşıması,
• yeni API sistemi kurması,
• kritik dış hizmet sağlayıcısını değiştirmesi,
• yeni elektronik para veya ödeme ürünü geliştirmesi

bilgi sistemleri risk değerlendirmesinin yeniden ele alınmasını gerektirebilir.

Bu nedenle bilgi sistemleri denetiminde denetçi yalnızca teknik yapılandırmaları değil, şirketin riskleri tespit etme, derecelendirme, yönetim kuruluna raporlama ve aksiyona dönüştürme sistemini de değerlendirir.

Bilgi Güvenliği Yönetim Sistemi Kurulması Zorunlu mudur?

Evet.

Ödeme kuruluşunun bilgi sistemlerinin gizliliğini, bütünlüğünü ve kullanılabilirliğini koruyacak bilgi güvenliği yönetim çerçevesi ve buna uygun bilgi güvenliği yönetim sistemi oluşturması gerekir.

Bilgi güvenliği yönetim sisteminin yılda en az bir kez gözden geçirilmesi ve gerektiğinde güncellenmesi; bilgi varlıklarının sınıflandırılması, erişim haklarının belirlenmesi, olayların izlenmesi ve bilgi güvenliğine ilişkin görev ve sorumlulukların açık biçimde tanımlanması zorunludur.

Bu nedenle yalnızca ISO sertifikası alınması veya şirket içerisinde bir “Bilgi Güvenliği Politikası” dosyasının bulunması tek başına yeterli değildir.

Politikanın gerçek sistemlerde uygulanması gerekir.

Ödeme Kuruluşlarında Sızma Testi Zorunlu mudur?

Evet.

TCMB Tebliğine göre ödeme kuruluşunun bilgi sistemleri, bilgi güvenliği görevlerinde yer almayan ve sızma testi konusunda ulusal veya uluslararası belgeye sahip kişiler tarafından yılda en az bir kez iç ve dış tehditleri kapsayan senaryolarla sızma testine tabi tutulmalıdır.

Sızma testi yalnızca bir yazılım firmasının sisteme saldırı simülasyonu yapması anlamına gelmez.

Test sonucunda bulunan açıkların;

• önem seviyelerinin belirlenmesi,
• risklerinin değerlendirilmesi,
• mümkün olan en kısa sürede giderilmesi ve
• yönetim kurulunca onaylanmış bir eylem planıyla takip edilmesi

gerekir.

Dolayısıyla denetimde yalnızca;

“Pentest raporu var mı?”

sorusuna bakılmaz.

Asıl önemli husus:

“Pentestte bulunan kritik açıklar kapatılmış mı?”

sorusudur.

Zafiyet Taraması ile Sızma Testi Aynı Şey midir?

Hayır.

TCMB Tebliği iki ayrı güvenlik kontrolü öngörmektedir.

Kuruluşun sistemle ilişkili sunucu ve iletişim ağları, ilk işletime alınmadan önce ve daha sonra düzenli olarak yılda en az altı kez zafiyet taramasına tabi tutulmalıdır. Buna karşılık kapsamlı sızma testinin en az yılda bir kez gerçekleştirilmesi gerekir.

Bu nedenle;

“Yılda bir pentest yapıyoruz, başka güvenlik testi gerekmiyor.”

yaklaşımı mevzuat açısından yeterli değildir.

Güvenlik Açıkları TCMB’ye Bildirilir mi?

Kuruluşun gerçekleşen güvenlik ihlallerini, sızma testi sonuçlarını ve tespit edilen kritik güvenlik açıklarını; bunların giderilmesine yönelik aldığı tedbirler ve sonuçlarıyla birlikte içeren raporu yılda en az bir kez TCMB’ye sunması gerekir.

Ayrıca önemli veri paylaşım servisi olaylarının TCMB’ye ivedilikle raporlanmasına yönelik özel hükümler de bulunmaktadır.

Bu nedenle bilgi güvenliği olaylarının yalnızca teknik ekibin Jira kaydında kapatılması yeterli olmayabilir.

Olayın niteliğine göre hukuk, uyum, bilgi güvenliği ve üst yönetim seviyesinde ayrıca değerlendirilmesi gerekir.

Denetim İzleri Ne Kadar Süre Saklanmalıdır?

Ödeme kuruluşları, müşteri bilgilerine ve bilgi sistemlerine fiziksel veya mantıksal erişimleri, yetkisiz erişim teşebbüslerini ve ödeme faaliyetlerine ilişkin işlemleri takip etmeye imkân sağlayacak denetim izi sistemi oluşturmak zorundadır.

Bu denetim izlerinin zaman damgalı, yedekli ve denetime hazır şekilde en az on yıl süreyle saklanması gerekir.

Denetim izleri;

• işlemi,
• işlem zamanını,
• ilgili kullanıcıyı,
• personeli,
• erişilen sistemi,
• IP ve port bilgilerini,
• yapılan değişiklikleri

işlemin niteliğine göre sonradan izlemeye imkân vermelidir.

Bu kayıtlar yalnızca düzenleyici denetim açısından değil, müşteri uyuşmazlıklarında ve yetkisiz ödeme işlemlerinde de son derece önemli olabilir.

Örneğin müşteri;

“Bu para transferini ben yapmadım.”

dediğinde işlemin hangi cihazdan, hangi IP üzerinden, hangi kimlik doğrulama yöntemiyle ve hangi saatte gerçekleştirildiğinin belirlenebilmesi gerekebilir.

İş Sürekliliği de Bilgi Sistemleri Denetiminin Parçası mıdır?

Evet.

Ödeme kuruluşlarının bilgi sistemleri süreklilik planı hazırlaması ve bu planın etkinliğini yılda en az bir kez test etmesi gerekir.

Tebliğe göre test, kural olarak faaliyetlerin bir günlük işleyişinin ikincil merkez üzerinden sorunsuz şekilde gerçekleştirilmesini de kapsamalıdır. Test planlarına temsilciler, şubeler, bilgi sistemlerine bağlantısı bulunan diğer kuruluşlar ve üçüncü taraf hizmet sağlayıcılar da dâhil edilmelidir.

Dolayısıyla şirketin;

“Felaket durumunda yedek sistemimiz var.”

demesi yeterli değildir.

Yedek sistemin gerçekten çalışıp çalışmadığının test edilmesi gerekir.

Örneğin ana veri merkezi devre dışı kaldığında ödeme kuruluşunun;

• kullanıcıların hesaplarına erişebilmesi,
• ödeme işlemlerini sürdürebilmesi,
• müşteri kayıtlarının kaybolmaması,
• operasyon ekiplerinin çalışmaya devam edebilmesi

beklenmektedir.

Siber Olay Müdahale Planı Test Edilmeli midir?

Evet.

Tebliğ, siber olaylara ilişkin müdahale planlarının yılda en az bir kez düzenli olarak test edilmesini ve test sonuçlarının yönetim kuruluna raporlanmasını öngörmektedir.

Bu nedenle siber olay yönetimi yalnızca şu belgenin hazırlanmasıyla tamamlanmaz:

“Siber saldırı olursa ne yapacağız?”

Planın masa başında veya teknik senaryolarla test edilmesi gerekir.

Örneğin;

ransomware saldırısı, müşteri veri tabanının sızdırılması, API anahtarının ele geçirilmesi veya ödeme uygulamasının kullanılamaz hâle gelmesi

gibi senaryolar kurumun iş modeli bakımından ayrıca değerlendirilebilir.

Dış Hizmet Sağlayıcılar da Bilgi Sistemleri Denetimine Dâhil Edilebilir mi?

Evet.

Ödeme kuruluşunun bilgi sistemlerinin önemli bölümü üçüncü taraflardan alınan hizmetlere dayanabilir.

Örneğin;

• bulut sağlayıcısı,
• veri merkezi,
• yazılım şirketi,
• siber güvenlik şirketi,
• KYC sağlayıcısı,
• fraud altyapısı

kuruluşun bilgi sistemlerinin kritik parçaları olabilir.

Tebliğe göre bağımsız denetim kuruluşu, dış hizmetlerin bilgi sistemlerine etkisini dikkate alır ve gerekli gördüğünde denetimini dış hizmet sağlayıcılarını da kapsayacak biçimde planlar.

Ayrıca dış hizmet sözleşmelerinde, kuruluşun kendi bünyesinde yapılsa bağımsız denetime tabi olacak bir faaliyetin kapsam daraltılmaksızın sağlayıcı nezdinde de denetlenebilmesini sağlayacak hükümler bulunması gerekir. TCMB, kuruluş ve bağımsız denetim kuruluşunun dış hizmet sağlayıcıdan gerekli bilgi ve belgeleri isteyebilmesine imkân veren sözleşmesel hükümler de zorunludur.

Bu nedenle ödeme kuruluşunun dış hizmet sözleşmesine;

“Tedarikçinin sistemleri hiçbir üçüncü kişi tarafından denetlenemez.”

şeklinde mutlak bir hüküm konulması ciddi düzenleyici sorun oluşturabilir.

Bulut Hizmeti Bilgi Sistemleri Denetiminde İncelenir mi?

Evet.

Ödeme kuruluşunun kritik sistemlerinin özel veya topluluk bulutunda çalışması durumunda bağımsız denetim bakımından bulut altyapısının da değerlendirilmesi mümkündür.

TCMB, 2025 yılı itibarıyla uygunluk verilen topluluk bulutu sağlayıcılarını ve bu hizmetlerden yararlanan kuruluşları ayrıca izlemekte; 2025 yılında dokuz ödeme ve elektronik para kuruluşuna daha topluluk bulutu kullanımı için onay vermiştir.

Dolayısıyla bulut kullanılması denetim kapsamını ortadan kaldırmaz.

Aksine;

cloud architecture + veri lokasyonu + erişim yetkileri + alt hizmet sağlayıcılar + yedekleme + iş sürekliliği

denetimin önemli konularından biri hâline gelebilir.

Bilgi Sistemleri Denetiminde Yönetim Kurulunun Rolü Nedir?

Tebliğ, bilgi sistemlerinin yönetimini yalnızca bilgi teknolojileri müdürünün sorumluluğuna bırakmamaktadır.

Bilgi sistemleri yönetiminin mevzuata uygun yürütülmesinden yönetim kurulu sorumludur.

Ayrıca;

• bilgi sistemleri politikaları,
• bilgi varlığı sınıflandırmaları,
• bazı güvenlik eylem planları,
• yönetim beyanı,
• risk değerlendirmeleri

yönetim seviyesinde ele alınmaktadır.

Bu nedenle yönetim kurulunun;

“Teknik konuları bilmiyoruz, IT departmanı ilgileniyor.”

yaklaşımı ödeme kuruluşları açısından yeterli değildir.

Yönetim kurulunun teknik detayların tamamını bilmesi beklenmese de bilgi sistemlerinden kaynaklanan önemli riskleri anlayabilecek, sorgulayabilecek ve gerekli kaynakların ayrılmasını sağlayabilecek bir kurumsal yönetim mekanizması oluşturulmalıdır.

Bilgi Sistemleri Denetiminde En Sık Karşılaşılan Risk Alanları

Ödeme kuruluşları açısından denetim öncesinde özellikle şu alanların gözden geçirilmesi önemlidir:

1. Bilgi güvenliği politikalarının güncel olmaması
2. Erişim yetkilerinin gereğinden geniş olması
3. Eski çalışanların sistem yetkilerinin kapatılmaması
4. Kritik sistemlerde ortak kullanıcı hesaplarının kullanılması
5. Yeterli denetim izi oluşturulmaması
6. Log kayıtlarının gerekli süre boyunca saklanmaması
7. Zafiyet taramalarının düzenli yapılmaması
8. Yıllık sızma testlerinin tamamlanmaması
9. Pentest bulgularının kapatılmadan uzun süre bekletilmesi
10. İş sürekliliği planının fiilen test edilmemesi
11. Dış hizmet sağlayıcıların yeterince denetlenmemesi
12. Bulut altyapısının mevzuata uygun yapılandırılmaması
13. Risk değerlendirme raporlarının yönetim kuruluna ve TCMB’ye zamanında sunulmaması
14. Yönetim beyanının gerçek kanıtlarla desteklenmemesi
15. Kritik güvenlik olaylarının yeterli şekilde kayıt altına alınmaması.

Bu risk alanlarının önemli bölümü doğrudan Tebliğdeki yıllık kontroller, sızma testi, risk yönetimi, dış hizmet ve denetim izi hükümleriyle bağlantılıdır.

Denetimden Hemen Önce Sistem Düzeltilmesi Yeterli midir?

Bilgi sistemleri denetiminin mantığı, yalnızca denetim tarihinde sistemin çalışıp çalışmadığını kontrol etmek değildir.

Denetçi ilgili dönemde kontrollerin gerçekten işleyip işlemediğini değerlendirebilir.

Örneğin politika;

“Bütün erişim yetkileri yılda bir gözden geçirilir.”

diyorsa yalnızca denetimden bir hafta önce bütün yetkilerin topluca kontrol edilmesi, sistemin yıl boyunca mevzuata uygun işletildiğini göstermeye her durumda yeterli olmayabilir.

Nitekim Tebliğ; bilgi güvenliği yönetiminin, risk değerlendirmelerinin, erişim yetkilerinin, dış hizmetlerin ve süreklilik planlarının periyodik olarak izlenmesini ve belgelenmesini öngörmektedir.

Bu nedenle ödeme kuruluşlarında audit readiness – denetime sürekli hazır olma yaklaşımı benimsenmelidir.

Bilgi Sistemleri Denetimine Nasıl Hazırlanılmalıdır?

Ödeme kuruluşunun bağımsız denetim başlamadan önce en azından şu yapıyı oluşturması faydalı olacaktır:

1. Bilgi sistemleri envanteri güncellenir.
2. Bilgi varlıkları sınıflandırılır.
3. Kullanıcı ve ayrıcalıklı hesap yetkileri gözden geçirilir.
4. Yıllık risk değerlendirmesi tamamlanır.
5. Zafiyet taramaları ve sızma testleri kontrol edilir.
6. Açık kalan kritik güvenlik bulguları için eylem planı oluşturulur.
7. Denetim izleri ve loglama sistemi test edilir.
8. İş sürekliliği ve ikincil merkez testlerinin kayıtları hazırlanır.
9. Dış hizmet sağlayıcı sözleşmeleri ve denetim hakları gözden geçirilir.
10. Siber olay ve veri ihlali kayıtları incelenir.
11. Yönetim kurulu karar ve raporlamaları tamamlanır.
12. Yönetim beyanına dayanak olacak kanıt dosyaları hazırlanır.

Bu hazırlığın denetimden birkaç hafta önce değil, mümkünse bütün faaliyet dönemi boyunca yürütülmesi gerekir.

Bilgi Sistemleri Denetimi Lisans Sürecinde de Önemli midir?

Evet.

Bilgi sistemleri yalnızca lisans alındıktan sonra önem kazanan bir alan değildir.

TCMB’nin faaliyet izni başvuru belgelerinde şirketin bilgi sistemleri, faaliyet sürekliliği, bilgi güvenliği ve gizlilik tedbirleri bağımsız değerlendirmeye konu edilmektedir. Güncel faaliyet izni eklerinde bilgi sistemleriyle ilgili konuların yetkili bilgi sistemleri bağımsız denetim kuruluşlarınca incelenmesine yönelik şartlar bulunmaktadır.

Dolayısıyla ödeme kuruluşu kuracak yatırımcıların;

“Önce TCMB lisansını alalım, bilgi sistemlerini daha sonra tamamlarız.”

şeklinde hareket etmesi doğru değildir.

Teknik mimarinin lisans başvurusunun nihai onay aşamasından önce denetlenebilir seviyeye ulaşması gerekir.

Bilgi Sistemleri Mevzuatına Aykırılık Faaliyet İznini Etkileyebilir mi?

Evet.

Ödeme kuruluşlarının TCMB düzenlemelerine uymaması yalnızca teknik bir eksiklik olarak görülmez.

6493 sayılı Kanun kapsamında mevzuata ve düzenleyici kararlara aykırılık idari yaptırımlara neden olabilir. TCMB’nin 2025 yılı denetim sonuçları, kuruluşlara idari para cezalarının yanında faaliyet izninin geçici durdurulması ve iptali gibi ciddi sonuçların da uygulanabildiğini göstermektedir.

Bununla birlikte her bilgi sistemleri bulgusunun otomatik olarak lisans iptali doğuracağını söylemek doğru değildir.

Yaptırım değerlendirmesinde ihlalin niteliği, ağırlığı, sürekliliği ve ilgili mevzuat hükümleri dikkate alınacaktır.

Ancak kritik bilgi güvenliği eksikliklerinin sistematik biçimde giderilmemesi, kuruluşun genel düzenleyici uyumunu ve faaliyet güvenliğini ciddi biçimde etkileyebilir.

Sıkça Sorulan Sorular

Ödeme kuruluşlarında bilgi sistemleri bağımsız denetimi zorunlu mudur?

Evet. TCMB Tebliği ödeme ve elektronik para kuruluşlarının bilgi sistemlerinin yetkili bağımsız denetim kuruluşları tarafından denetlenmesini öngörmektedir.

Bilgi sistemleri denetimi kaç yılda bir yapılır?

Kural olarak iki yılda bir yapılır. TCMB gerekli gördüğü hâllerde denetimin kapsamını ve sıklığını farklılaştırabilir.

Yeni ödeme kuruluşunun ilk denetimi ne zaman yapılır?

İlk bilgi sistemleri bağımsız denetimi, faaliyet izninin verildiği yılı takip eden yılı kapsayacak şekilde gerçekleştirilir.

Bilgi sistemleri bağımsız denetim raporu ne zaman TCMB’ye verilir?

Raporun denetim dönemini takip eden yılın Şubat ayı sonuna kadar TCMB ile paylaşılması gerekir.

Ödeme kuruluşlarında sızma testi kaç kez yapılır?

Bilgi sistemlerinin yılda en az bir kez düzenli olarak sızma testine tabi tutulması gerekir.

Zafiyet taraması kaç kez yapılır?

Sistemle ilişkili sunucular ve iletişim ağlarının düzenli olarak yılda en az altı kez zafiyet taramasından geçirilmesi gerekir.

İş sürekliliği planı test edilmek zorunda mıdır?

Evet. Bilgi sistemleri süreklilik planının etkinliği yılda en az bir defa test edilmelidir. Testin kural olarak bir günlük faaliyetlerin ikincil merkez üzerinden yürütülmesini de kapsaması gerekir.

Log kayıtları kaç yıl tutulur?

Tebliğ kapsamındaki denetim izlerinin zaman damgalı ve güvenli biçimde en az on yıl saklanması gerekir.

Dış hizmet sağlayıcı bilgi sistemleri denetimine tabi olabilir mi?

Evet. Bağımsız denetim kuruluşu, dış hizmetlerin kuruluşun bilgi sistemleri üzerindeki etkisini dikkate alarak gerekli gördüğünde denetim kapsamını dış hizmet sağlayıcılara genişletebilir.

Yönetim kurulu bilgi sistemlerinden sorumlu mudur?

Evet. Tebliğ, bilgi sistemleri yönetiminin mevzuata uygun yürütülmesinden kuruluşun yönetim kurulunu sorumlu tutmaktadır.

Sonuç: Bilgi Sistemleri Denetimi Ödeme Kuruluşları İçin Sürekli Bir Uyum Sürecidir

Ödeme kuruluşlarında bilgi sistemleri denetimi, iki yılda bir gerçekleştirilen bağımsız denetimden çok daha geniş bir sistemi ifade etmektedir.

Yürürlükteki TCMB düzenlemeleri uyarınca kuruluşun;

bilgi sistemleri risklerini değerlendirmesi, bilgi güvenliği yönetim sistemini kurması, erişim yetkilerini kontrol etmesi, yılda en az altı kez zafiyet taraması yaptırması, yılda en az bir kez sızma testi gerçekleştirmesi, iş sürekliliği planını test etmesi, denetim izlerini en az on yıl saklaması ve bağımsız bilgi sistemleri denetimini kural olarak iki yılda bir yaptırması gerekmektedir.

Ayrıca denetim dönemlerinde yönetim kurulu ve genel müdür tarafından onaylanan yönetim beyanının hazırlanması ve bağımsız denetim raporunun takip eden yılın Şubat ayı sonuna kadar TCMB’ye iletilmesi zorunludur.

Bu nedenle ödeme kuruluşlarının bilgi sistemleri uyumunu yalnızca IT departmanının teknik sorumluluğu olarak görmesi doğru değildir.

Sağlıklı bir sistem;

yönetim kurulu + bilgi teknolojileri + bilgi güvenliği + iç kontrol + risk yönetimi + hukuk/uyum + dış hizmet sağlayıcılar

arasında koordinasyon gerektirir.

Özellikle yeni kurulacak ödeme veya elektronik para kuruluşlarında bilgi sistemleri mimarisinin en baştan TCMB mevzuatına göre tasarlanması, loglama ve kanıt üretme mekanizmalarının faaliyete geçmeden kurulması ve bağımsız denetim başlamadan önce sürekli bir denetime hazır olma sistemi oluşturulması gerekir.

Bu yaklaşım yalnızca bağımsız denetim raporunda olumlu görüş alınmasını kolaylaştırmaz; aynı zamanda ödeme kuruluşunun faaliyet izninin korunması, müşteri güvenliğinin sağlanması ve TCMB gözetiminde karşılaşılabilecek düzenleyici risklerin azaltılması açısından da önem taşır. TCMB’nin 2025 yılında bilgi sistemleri bağımsız denetim raporları dâhil düzenleyici raporlamaların izlenmesi için OKDS sistemini devreye alması ve aynı yıl önemli sayıda idari ve lisans yaptırımı uygulaması, bilgi sistemleri uyumunun sektör açısından giderek daha merkezi bir denetim alanı hâline geldiğini göstermektedir.