ITGC Nedir? Erişim, Değişiklik ve Operasyon Kontrolleri

IT genel kontrolleri (ITGC), finansal raporlamayı destekleyen uygulamaların üzerinde çalıştığı BT ortamının güvenilirliğini sağlayan kontrollerdir. Bağımsız denetçiler, ERP gibi sistemlerdeki otomatik kontrollere güvenebilmek için önce ITGC’nin etkin olduğunu test eder. ITGC zayıfsa denetçi daha fazla manuel test yapmak zorunda kalır ve bulgular yönetim mektubuna yansır. Bu rehber, dört ITGC alanını, örnek kontrolleri ve denetçinin istediği kanıtları ele alır.

Dört ITGC alanı

Bir kontrolün iyi tanımı

Denetçi bir kontrolü test edebilmek için şu bilgilere ihtiyaç duyar:

• Kontrol tanımı: Ne yapılıyor? (“ERP kullanıcı yetkileri süreç sahiplerince üç ayda bir gözden geçirilir.”)
• Sahip: Kim yapıyor?
• Sıklık: Günlük, haftalık, üç aylık, olay bazlı.
• Tür: Manuel, otomatik veya BT destekli manuel.
• Kanıt: Hangi kayıt kontrolün yapıldığını gösteriyor?
• İstisna yönetimi: Sapma bulunduğunda ne yapılıyor ve nasıl kaydediliyor?

Denetçi nasıl test eder?

Denetçi önce kontrolün tasarımını (doğru kişi, doğru sıklık, doğru kapsam) değerlendirir; ardından dönem içinden örneklem seçerek işleyişi test eder. Örneklem büyüklüğü kontrolün sıklığına göre değişir: yıllık bir kontrol için tek örnek, günlük bir kontrol için çok daha fazla örnek istenir. Otomatik kontroller genellikle yapılandırma incelemesi ve bir kez yapılan test ile doğrulanır; değişiklik yönetimi etkinse bu sonuç dönem boyunca geçerli kabul edilebilir.

Örnek: erişim gözden geçirmesi kanıtı

1. Sistemden alınan tarihli kullanıcı–rol listesi (tamlığı ve doğruluğu gösterilebilir bir rapor).
2. Süreç sahibinin imzalı veya elektronik onaylı gözden geçirmesi; kaldırılacak yetkilerin işaretlenmesi.
3. Kaldırma işlemlerinin sistem kayıtları.
4. Gözden geçirmenin tamamlandığı tarih ve sapmaların açıklaması.

En sık görülen ITGC bulguları

• Ayrılan çalışanların hesaplarının geç kapatılması.
• Geliştirici veya anahtar kullanıcıların üretimde geniş yetkileri.
• Paylaşımlı yönetici hesapları ve izlenmeyen ayrıcalıklı erişim.
• Onaysız veya test kanıtı olmayan üretim değişiklikleri.
• Gözden geçirmede kullanılan listenin sistemden alındığının kanıtlanamaması.

ITGC ile ISO 27001 ve SOC 2 ilişkisi

ITGC kontrollerinin büyük kısmı ISO/IEC 27001 Ek A’daki erişim, değişiklik, yedekleme ve loglama kontrolleriyle örtüşür; SOC 2’nin güvenlik kriterleri de benzer kontrolleri test eder. Tek bir kontrol matrisi ve kanıt yapısıyla üç ihtiyaca birden yanıt verilebilir.

Sık sorulan sorular

Bulut ERP kullanıyoruz; ITGC yine gerekli mi?

Evet. Altyapı sağlayıcıya ait olsa da kullanıcı erişimi, yapılandırma değişiklikleri ve arayüzler kuruluşun sorumluluğundadır. Sağlayıcının bağımsız denetim raporları (ör. SOC 1/SOC 2) ayrıca değerlendirilir.

Görev ayrılığı sağlanamıyorsa ne yapılır?

Küçük ekiplerde telafi edici kontroller (ör. ayrıcalıklı işlemlerin loglanıp bağımsız biri tarafından incelenmesi) tasarlanır ve dokümante edilir.

ITGC bulguları finansal tabloları etkiler mi?

Doğrudan bir hata anlamına gelmez; ancak denetçinin otomatik kontrollere güvenini azaltır ve ek test gerektirebilir. Ciddi eksiklikler yönetime raporlanır.

ITGC kontrol matrisinizi kurmak ve denetim öncesi ön test yapmak için IT Genel Kontroller (ITGC) ve Denetim Hazırlığı, yetki sorunları için Erişim Yetkileri ve Kullanıcı Hesabı Denetimi hizmetlerimizi inceleyebilirsiniz.