ISO 38500 Corporate Governance of Information Technologies

COBIT 5 çerçevesinin temel aldığı standartlardan birisi olan ISO 38500, COBIT 5 çerçeve dokümanını okuduktan sonra merak ettiğim ve okuduğum, Bilgi Teknolojileri Yönetişim'e yönelik bir standarttır. Standarda ilişkin aldığım notları bu yazı aracılığı ile paylaşmak isterim.

Hedef

Standart kapsamında hedeflenen, yöneticilerin kurum içerisindeki Bilgi Teknolojileri kullanımını değerlendirme, yönetme ve izlemelerini sağlamaya yönelik rehberlik sağlayan, içerisinde prensipler barındıran ve bu prensipleri önerdiği model çerçevesinde açıklayan bir çerçeve (framework) geliştirilmesidir. 

Birçok organizasyon Bilgi Teknolojilerini temel işlerini destekleyen bir araç olarak kullanmaktadır. Temel faaliyetlerinde yürüttükleri aktivitelerde Bilgi Teknolojilerinin kendilerine sunduğu faydalardan yararlanmaktadırlar. Çoğu organizasyonun gelecek planlarını oluşturmalarında BT ve BT’nin sağladığı faydalar önemli bir faktör olarak karşımıza çıkmaktadırlar.
Bilgi Teknolojileri üzerine yapılan harcamalar, organizasyonların iş gücü ve finansal kaynaklarının kullanımı noktasında önemli bir paya sahip olmakla birlikte, çoğu zaman yapılan bu yatırımlardan sağlanabilecek maksimum fayda elde edilememektedir. Bu durumun temel sebeplerinden birisi, BT kullanımının işin bütününe sağladığı faydanın göz önünde bulundurulmasından ziyade, BT aktivitelerinin teknik, finansal ve zaman boyutuna daha çok odaklanılmasıdır. Başka bir deyişle organizasyonlar büyük resme odaklanmak yerine, ayrıntılar ile cebelleşmektedirler. Büyük resim ana hatları ile çizilmeden, resim içerisindeki objeler belirlenmeden, nesnelere verilecek gölge üzerinde çabalayan ressam, sonrasında bütünlüğü sağlamakta zorlanacaktır.

Bu çerçeve BT’nin daha etkili yönetilmesinin sağlamakta, daha üst düzeyde bir yönetim anlayışı ile gerek yasal uyumun sağlanması, gerek etik kuralların uygulanması, gerek ise BT kaynaklarının daha etkin kullanılması noktasında üst yönetimi yönlendirmektedir. Çerçeve tanımlar, ilkeler ve bir modelden oluşmaktadır.

Governance (Yönetişim) vs. Management (Yönetim)

Yönetişim, yönetimden ayrışmaktadır. Çoğu zaman birbirleri yerine kullanılan bu terimlerin arasındaki farklar framework içerisinde tanımlanmıştır. Yakın geçmişte yayınlanan COBIT 5 içeriğinde de ISO38500 standartı temel alınarak, yönetim ve yönetişim arasındaki farklar tanımlanmıştır.
Kurumun yapısından ve özelliklerinden bağımsız bir şekilde framework bütün organizasyonlarda uygulanabilir bir yapı arz etmektedir.

Çerçevenin bir diğer amacı ise yönetişimin sağlanması adına politika, proses ve süreçler tasarlayan uzmanlara rehberlik etmektir.

Kapsam, Uygulama ve Hedefler

Kapsam

Standart, BT Teknolojileri kaynaklarının organizasyon içerisinde etkin, etkili ve kabul edilebilir seviyede kullanımının sağlanması adına her düzeydeki yöneticilere rehberlik edecek ilkeleri belirlemektedir. Her düzeydeki yöneticiler; yönetim kurulu üyeleri, direktörler, orta düzey yöneticiler, ortaklar, şirket sahipleri olarak belirtilmiştir.

Standart, Bilgi ve iletişim teknolojilerine ait hizmetlerin yönetim faaliyetlerinin düzenlenmesini sağlamaktadır. Bu hizmetler, organizasyon bünyesinde yer alan BT uzmanları tarafından ya da dış kaynaklı bir ortak tarafından yürütülüyor olabilir.

Standart, farklı fonsiyonları yürüten, farklı paydaşlara da rehberlik etmektedir. Bu paydaşlar;

·         Orta düzey yöneticiler,

·         Kurum kaynaklarının kullanımını değerlendiren grupların üyeleri

·         Dış denetim ve düzenleme kurumları gibi dış kaynaklı paydaşların uzmanları

·         Donanım, yazılım gibi BT kaynakları üreticileri

·         İç ve Dış kaynaklı hizmet sağlayıcılar

·         BT Denetçileri

Uygulama

Standart, organizasyonun kamu ya da özel sektörde olması, kar amaçlı ya da kar amacı gütmeyen kuruluş olması, büyüklüğü gibi özelliklerden bağımsız olarak bütün organizasyonlara uygulanabilir yapıdadır.

Hedefler

Standardın amacı BT’nin sunduğu olanakların ve faydalarının etkin, etkili ve kabul edilebilir düzeyde kullanımın sağlanmasını desteklemektir. Bu amacı gerçekleştirmeyi aşağıdaki maddelerde bahsedilen hedeflerle gerçekleştirmektedir:

1.       BT Yönetişiminin kurumda sağlayacağı faydalara bütün paydaşlar tarafından güvenin sağlanması

2.       BT’nin kullanımının geliştirilmesi hususunda karar verici paydaşların bilgilendirilmesi ve bu paydaşlara rehberlik edilmesi

3.       BT’nin yönetişiminin sağlanması için bir temel ve ortak anlayış oluşturulması

Standardın Faydaları

Standart, karar verici paydaşların karar verirken BT’nin sunduklarının kullanımı sonucu oluşan riskler ve olanaklar arasında dengeli karar verebilmeleri konusunda yol gösterici olmaktadır.

Organizasyonun Performansı

·         BT varlıklarının kabul edilebilir düzeyde kullanımı

·         BT kaynaklarının kullanımı ve tedariğinde sorumlulukların ve hesap verilebilirliklerin açık ve net tanımlanması

·         İş sürekliliği ve sürdürülebilirliği

·         BT kaynaklarının iş ihtiyaçlarına cevap verebilecek şekilde tahsisi ve kullanımı

·         Hizmetlerdeki yenilikçilik

·         Paydaşlarla ilişkilerin iyi yönetilmesi

·         Maliyetlerin düşürülmesi

·         Her yatırımdan ön görülen faydanın elde edilmesi

Bazı Önemli Tanımlar

BT Yönetişim: Organizasyonun temel faaliyetlerinin desteklenmesi için BT kaynaklarının kullanımının geliştirilmesi ve yönlendirilmesi, eş zamanlı olarak BT olanaklarının kullanımın planları gerçekleştirilmesini teminen sürekli izlenmesi olarak tanımlanabilir.

BT: Bilginin elde edilmesi, işlenmesi, saklanması ve yayılması amacıyla ihtiyaç duyulan kaynakların bütününü ifade eden bir terimdir.

Yatırım: İş gücü, sermaye gibi kaynakların tanımlanmış bir hedefe yönelik olarak temin edilmesidir.

Politika: Clear and measurable statements of preferred direction and behaviour to condition the decisions made within an organization. (İngilizcesini direkt paylaşmanın daha anlamlı olacağını düşündüm.)

Kaynaklar: İnsanlar, prosedürler, yazılım, bilgi, ekipman, alt yapı, sermaye, zaman, operasyonu destekleyen fonlar.

Risk: Bir olayın gerçekleşme olasılığı ve organizasyona etkisinin kombinasyonu olarak tariflenmektedir. Alışıldık olumsuz anlamının yanı sıra, fırsatları sunması anlamına da sahiptir.

BT’nin kullanımı: Planlama, tasarım, geliştirme, kaynak tahsis etme, operasyon yürütme, yönetim, aplikasyonlar kavramlarını içermektedir.

İyi BT Yönetişimi için Framework – ISO38500

Standart kapsamında iyi BT yönetişiminin sağlanması için 6 prensipten bahsedilmektedir. Bu prensipler;

1.       Sorumluluk

2.       Strateji

3.       Kazanç

4.       Performans

5.       Uyumluluk

6.       İnsan Davranışı

Prensip 1: Sorumluluk (Responsibility): Operasyon içerisinde faaliyet gösteren bireyler ve gruplar BT kaynaklarına yönelik talep ve arz sorumluluklarını tam olarak anlamalı ve kabul etmelidirler.

Prensip 2-Strateji (Strategy): Organizasyonun iş stratejisi şimdiki ve gelecekte hedefe yönelik öngörülen BT kapasitesini dikkate almalı, BT stratejik planı şimdiki ve gelecekteki ihtiyaçları giderebilecek yeterlilikte olmalıdır.

Prensip 3-Edinim (Acquisition): BT alımları, şeffaf ve açık karar merciini içerecek şekilde, sağlıklı analizlere dayandırılarak, geçerli sebepler için yapılmalıdır. Gerek uzun vadede, gerek kısa vadede karar verilmesi esnasında faydalar, olanaklar, maliyetler ve riskler arasında ince bir denge mevcuttur.

Prensip 4-Performans (Performance): BT, organizasyonu temel faaliyetlerinde desteklemek, organizasyonun şimdiki ve gelecekte öngörülen ihtiyaçlarını karşılayacak yeterlilikte hizmet sunma amacıyla faaliyet göstermektedir.

Prensip 5-Uyumluluk (Conformance): BT, faaliyet gösterilen alana ilişkin yönetmelik ve düzenlemelere uyumlu şekilde hizmet sunmalıdır. Politika ve prosedürler açıkça tanımlanmalı ve yürütülmelidir.

Prensip 6-İnsan Davranışı (Human Behaviour): BT politika, prosedür ve uygulamaları İnsan Davranışına güveni eksiksiz sağlayacak şekilde yapılandırılmalıdır. Süreç içerisinde insanlara şimdi ve gelişmeye bağlı olarak gelecekte oluşabilecek ihtiyacın karşılanmasına prensip kapsamında değinilmektedir.

Model

Karar vericiler, BT yönetişimini 3 temel fonksiyon ile sağlayabilirler;

1-     BT’nin şimdi ve gelecekte ön görülen kullanımının değerlendirilmesi (evaluate)

2-     İş hedeflerinin gerçekleştiriminin desteklenmesine yönelik BT kullanımının Plan ve politikaların hazırlanmasının, bu plan ve politikaların hayata geçirilmesinin yönetilmesi (direct)

3-     Politikalara uyumun ve performansın izlenmesi (monitor)

Değerlendir(Evaluate) – Yönet(Direct) – İzle(Monitor) BT Yönetişim Çerçevesinin temelini oluşturmaktadır.

Çerçevenin devamında ise ilkeler ile model eşleştirilmekte, modelde yer alan her aşama, her ilke için ayrı ayrı tanımlanmaktadır. Örnek vermek gerekirse örneğin performans ilkesi için değerlendirmenin yapılması, gerekli yönetimin ne olduğu ve izlemenin nasıl yapılacağı açıklanmaktadır.

COBIT 5 çerçevesi kapsamında da yoğun bir şekilde karşımıza çıkan standart olan ISO 38500, genel tanımları yapmakta, BT Yönetişimin ne olduğunu söylemekte fakat BT Yönetişim için ne gibi aktiviteler yapılması gerektiği, performans-başarımın nasıl ölçüleceği ile ilgili bilgi paylaşmamaktadır. IT Governance tanımlanması noktasında yol gösterici özellikte bir standarttır. COBIT içerisinde de yönetim ve yönetişim arasındaki farklar ortaya konulmaktadır.