Bilim ve Teknoloji Yüksek Kurulu Kararları Üzerine:

Bilim, Sanayi ve Teknoloji Bakanı Nihat Ergün, Başbakan Recep Tayyip Erdoğan başkanlığında 15.01.2013 tarihinde gerçekleştirilen Bilim ve Teknoloji Yüksek Kurulu'nun (BTYK) 25. toplantısında alınan kararların Bilişim sektöründe çalışan herkes tarafından sektöre ilişkin dinamikleri daha iyi okuyabilmek adına bilinmesi ve yorumlanması gerektiğini düşünüyorum. Gelecek vadede sektöre ilişkin çizilecek stratejilerde sektörde yer alan her aktör bir şekilde pozisyonunu almak durumunda kalacaktır. Bu açıdan alınan kararları okumak sektöre yönelik herkesin kendine düşen payı bilmesi açısından da önemsenmeli diye düşünüyorum.

Öncelikle Bilim ve Teknoloji Yüksek Kurulu'nun kimlerden oluştuğunu ve aldığı kararların ne kadar bağlayıcı olabileceğini değerlendirelim kısaca. Bilim ve Teknoloji Yüksek Kurulu, başbakanın başkanlığında, aralarında dört Başbakan Yardımcısının yanı sıra 10 Bakanın da bulunduğu 90’dan fazla üst düzey yetkilinin görev aldığı bir kuruldur. Ülkenin bilim ve teknoloji ile ilgili stratejilerinin belirlendiği, stratejilere ilişkin kararların alındığı bir kuruldur Bilim ve Teknoloji Yüksek Kurulu.

Gelelim kararlara...

Alınan kararlara tam metin olarak aşağıdaki listeden erişebilirsiniz.

·   Üstün Yetenekli Bireyler Stratejisi‘nin İzlenmesi [2013/101]

·   e-Devlet Organizasyonu Yönetim Modeli Çalışmalarının Yapılması [2013/102]

· e-Devlet Uygulamaları Hizmet Alımları için Firma Belgelendirme Sistemi Oluşturulması [2013/103]

·   Ulusal Veri Merkezi Çalışmalarının Yapılması [2013/104]

·   Kurumların İhtiyaç Duyduğu Paket Program Çözümlerinin Toplu Alım Yöntemi ile Tedarik Edilmesi [2013/105]

·   Sağlık Alanının Öncelikli Alan Olması [2013/106] 

Üstün Yetenekli Bireyler Stratejisinin izlenmesi kararına göre kurulun 19. toplantısında almış olduğu Üstün Yetenekli Bireyler Stratejisinin devamına karar verilmiştir. Karara göre ülkemizde üstün yetenekli bireylerin eğitiminin iyileştirilmesine yönelik olarak Milli Eğitim Bakanlığı koordinasyonunda hazırlanan önceki planın 2013-2017 yılları için de uygulanmasına karar verilmiştir. Bilim ve Teknolojinin ülkemizde gelişmesi adına üstün yetenekli bireylerin bilim ve teknoloji iş gücüne tam katılımının sağlanmasının önemsendiği yorumu bu karardan yapılabilir.
 

e-Devlet Organizasyonu Yönetim Modeli Çalışmaları kararına göre Ulusal Bilgi Toplumu Stratejileri doğrultusunda e-Devlet ile ilgili eylemlerin hedeflenen sürelerde hayata geçirilmesi için gerekli koordinasyonu sağlayabilecek, kamunun katılım ve sahiplenmesini de temin edecek üst seviye bir yapının oluşturulması kararlaştırılmıştır.  Son yıllarda kamu kurum ve kuruluşlarında e-Devlet dönüşüm projeleri kapsamında kat edilen mesafe malumunuzdur. Eskiden filmlerde gördüğümüz ve bizim ülkemizde ne zaman gerçekleşir ki acaba dediğimiz çoğu hizmet teknolojinin gelişmesi ve bilişim sektöründeki aktörlerin yetkinliklerinin artması ile gerçekleşmeye başlamıştır. Kurumsal sahiplenmenin de sağlanması adına her kurumda bu konuya ilişkin üst düzey bir temsilcinin belirlenmesi kararlaştırılmıştır. Bakanlıkların e-Devlet projelerindeki üst düzey danışmanlık ihtiyaçlarını karşılaması, kurumlar üstü ortak altyapı ve projelerde e-Devlet Koordinasyon Kuruluna teknoloji danışmanlığı sağlamak üzere teknik danışmanlık biriminin oluşturulmasına ve konuyla ilgili yetkin ve tecrübe sahibi kamu kaynaklı kurum ve kuruluşlardan destek alınmasına da ihtiyaç vardır şeklinde bir açıklama ile karar gerekçelendirilmiştir.
 

e-Devlet Uygulamaları Hizmet Alımları için Firma Belgelendirme Sistemi Oluşturulması kararına göre e-Devlet ihalelerine kabul edilecek firmalara yönelik Bilim, Sanayi ve Teknoloji Bakanlığı tarafından bir belgelendirme sisteminin oluşturulmasına, gerekli olması halinde ihtiyaç duyulacak olan mevzuatın oluşturulması kararlaştırılmıştır. Bu karara göre devlet kurumları kendilerine hizmet sunacak firmaları seçerken değerlendirmesi tek bir merkezden, ortak kriterlere göre yapılan belgelendirme sonuçlarını kullanabilecekler. Geçmişte ihale şartnamelerinde ön koşul olarak sunulan yeterlilikler, farklı otoriteler tarafından sağlanan farklı kıstaslarla değerlendirilen çeşitli sertifikasyonlardan ziyade ilgili bakanlık tarafından belirlenen ortak kıstaslara göre firmalar değerlendirileceği için yetkinlik ve yeterlilik değerlendirmesi anlamında ortak bir bakış ve değerlendirme süreci işletilebilecektir. Firmalar için oluşturulacak belgelendirme sistemi ile e-Devlet projelerinde ihtiyaç duyulan donanım, yazılım ve hizmet temini süreçlerinde kalite artışı sağlanacak olması kararın gerekçesi olarak sunulmaktadır.
 

Ulusal Veri Merkezi Çalışmalarının Yapılması kararına göre Kamu kurumlarının veri merkezlerinin birleştirilmesine yönelik hukuki, teknik ve idari yapılanma modelinin oluşturulmasına ve Türkiye Kamu Entegre Veri Merkezi’nin kurulması çalışmalarının yapılmasına karar verilmiştir. Her kurum tarafından kendi imkanları ile farklı özelliklerde gerçekleştirilen veri merkezi çalışmalarının ortaklaştırılması ve ortak bir veri merkezinin oluşturulması ile amaçlanan kurumların tek merkezden yönetilen, ortak kalitede bir veri merkezinden hizmet almalarını sağlamak, böylelikle hem ölçek ekonomisinden faydalanarak kurum maliyetlerinin düşürülmesini sağlamak, hem de veri merkezi işletim maliyetlerinden kurumları kurtarmanın amaçlandığı düşünülebilir. Buradaki maliyet sadece alt yapı maliyeti olarak algılanmamalıdır, veri yedekleme ve gerekli güvenlik alt yapısını sağlamada yetersiz kalıp, verilerini kaybedecek olan bir kurumun maliyetleri paranın ötesinde olabilir. Dünyadaki eğilimin de bu doğrultuda olduğu, gelişmiş ülkelerde de büyük hacimlerde veri merkezlerinin kurulduğu ve böylelikle hem alt yapı, hem de işletim maliyetlerinin düşürüldüğü ve siber saldırılara karşı daha güvenli bir yapının kurulup, işletilebildiği açıklaması ile karar gerekçelendirilmiştir. Kararı yorumlarsak gelecek vadede bahsi geçen veri merkezinin oluşturulması, işletilmesi, belki merkeze yönelik yazılım ürünlerinin tedarik edilmesine yönelik kamu ihtiyaçlarının doğacağı bir gerçek.

Kurumların İhtiyaç Duyduğu Paket Program Çözümlerinin Toplu Alım Yöntemi ile Tedarik Edilmesi kararına göre kamu kurum ve kuruluşları tarafından kullanımı tercih edilen ortak yazılım ürünlerinin tedariği sürecinin ortak bir şekilde işletilmesi kararlaştırılmıştır. Bu noktada kurumların ihtiyaçlarını ortaya koyan yazılım envanterinin oluşturulması ve toplu alım modelinin geliştirilerek gerek mükerrer yatırımların engellenmesi, gerekse maliyetlerin düşürülmesi hedeflenmektedir. Bu noktada bilişim sektöründe faaliyet gösteren müteşebbisler geliştirdikleri yazılımların envantere girebilmesi için hem ürün kalitelerini yüksek tutmak, hem de kamu kurumlarının ihtiyaçlarını daha yakından takip etmek durumunda kalacaklar, bu da uzun vadede sektörün gelişmesini tetikleyecektir diye düşünüyorum. Uluslar arası yazılım şirketleri ise alımlar tek merkezden olacağı için belki de satış operasyonlarını yeniden yapılandırmak durumunda kalacaklardır. 

Sağlık Alanının Öncelikli Alan Olması kararına göre AR-GE faaliyetlerinde sağlık alanı öncelikli alan olarak ilan edilmiştir. Gerekçe kısmında yapılan açıklama ile ülkemizin sağlık alanındaki ithalatının ihracatından oldukça yüksek olduğu, sağlık alanında gerçekleştirilecek AR-GE faaliyetleri ile ihracat rakamlarının artırılabileceği ve dengenin sağlanabileceği vurgulanmaktadır. Bu noktada devletten teşvik almayı düşünen girişimci arkadaşların sağlık alanına yönelik fikirler geliştirmelerini önerebilirim. 

Alınan kararları bilişim teknolojilerindeki aktörlerden, girişimci adaylarına, bilişim çalışanlarından, üniversite öğrencilerine genel bir kitlenin değerlendirmesi gerektiğini düşünüyorum. 

Özetle e-Devlet projeleri için üst düzey bir yönetim metodunun geliştirileceği ve projelerin kurum ölçeğinde sahiplenmesinin sağlanması adına oluşturulacak kurulun, kurumlar içerisinde üst düzeyde temsil edileceği, 

Oluşturulacak olan ulusal veri merkezi ile kurumların yükleri ve maliyetleri azaltılacak ve merkezi işletim sağlanacağı için kurumlar bireysel kaynaklarla veri merkezine yönelik bir işletim sağlama yükünden kurtulacaklardır. Girişimci ve sektörde faaliyet gösteren aktörler açısından okunabilecek ise oluşturulacak ulusal veri merkezine yönelik iş fırsatlarının doğabileceği ve sürecin yakından takip edilmesinin avantajlı olabileceğidir. 

Kurumların yazılım ihtiyacının büyük ihtimalle DMO gibi bir ortak kurum üzerinden sağlanması, kurumlar açısından gereksiz yatırımların önlenmesi ve daha uygun maliyetler ile ihtiyaçların giderilebilmesi imkanın sağlayacaktır. Girişimcilerin ilgili envanterde yerlerini alabilmeleri için belirli kalite standartlarını oluşturmaları ve envantere girebilmek adına gerekli süreci takip etmeleri gerekecektir diye düşünüyorum. Uluslar arası yazılım sağlayan güçlü firmaları ise ortak bir müzakere süreci beklemektedir. Belki de bu kuruluşlar satış operasyonlarını yeniden organize etmek durumunda kalacaklardır. 
 

Sağlık alanının yatırım yapılacak öncelikli alan olarak ilan edilmesi girişimci adayları tarafından doğru okunmalı, üzerinde düşündükleri inovatif fikirleri sağlık bilişim ya da sağlık teknolojileri alanın yönlendirmelerinin faydalı olabileceği şeklinde okunabilir.

Destek Hizmetleri Yönetmeliği

Türk finans sektöründe 05 Kasım 2011 tarihinde yayınlanan Destek Hizmetleri Alımına İlişkin Yönetmelik ile Türk Bankacılık sistemi düzenleyicisi BDDK, bankaların temel faaliyetlerini destekleyen satın alımlara ilişkin risklerinin yönetilmesini hedeflemektedir. Bir sonraki yazımızda yönetmeliği detayları ile inceleyeceğimiz notunu buraya düştükten sonra genel hatları ile Destek Hizmetleri uygulamasından bahsedelim.

BDDK, 1 yıllık intibak süresi sonunda bütün bankaların destek hizmetleri alımlarını yönetmeliğe uygun hale getirmelerini yönetmelikte belirtmiştir.

Yönetmelik kapsamındaki temel işlemler aşağıdaki gibidir:

Yıllık destek hizmetlerine ilişkin bir risk programının hazırlanması, alımı planlanan destek hizmetine ilişkin risk analiz çalışmasını yapılması ve denetim komitesine sunulması, destek hizmeti alımına karar verilen destek hizmeti kuruluşuna yönelik BDDK'dan talep edildiği takdirde kuruma sunulacak olan teknik yeterlilik raporunun hazırlanması ve denetim komitesine 3'er aylık periyotlarla destek hizmeti kuruluşunun taşıdığı risklere ilişkin rapor sunulması.

Yönetmelik kapsamında yerine getirilmesi gereken bu temel işlemlerde destek hizmetlerinden faydalanan paydaşa ek olarak risk programının oluşturulması, risk analiz raporlarının oluşturulması sürecinin koordine edilmesi ve denetim komitesine sunulan raporların oluşturulması gibi işlemlerin İç Sistemlerde yer alan paydaşların sorumluluğunda olduğu aşikardır. Yönetmelik içerisinde bu sorumlulukların sahibi direkt adreslenmemekle birlikte Riske ilişkin işlemlerden sorumlu paydaş ağırlıklı olarak Risk Yönetim Başkanlıkları, denetim komitesine sunulan raporların oluşturulması sürecinde ise İç Kontrol Başkanlıkları ve Teftiş Kurulları olmaktadır.

Bir sonraki yazımızda yönetmeliği daha detaylı incelemekle birlikte BDDK'nın bankalardan destek hizmetlerine yönelik işletilmesini istediği temel süreçler özetle aşağıdaki gibidir:

1-Yıllık Risk programının hazırlanması
2-Yönetmelik kapsamında giren destek hizmetine ilişkin risk analiz raporlarının oluşturulması
3-Satın alıma yönelik yönetim kurulunun bilgilendirilmesi ve görüşünün alınması
4-Alım kararı verilen destek hizmeti kuruluşuna yönelik teknik yeterlilik raporunun oluşturulması
5- 3'er aylık periyotlarla denetim komitesine destek hizmeti kuruluşuna ilişkin risklere yönelik değerlendirmenin yapılması (29.01.2013 tarihinde yönetmelikte yapılan değişiklikle birlikte denetim komitesine en az yılda bir değerlendirme raporu sunulacağı belirlenmiştir.) 

Yönetmelik kapsamında ele alınan çoğu sürecin kaynağının COBIT DS.02 sürecinden aldığını söylemek de yanıltıcı olmayacaktır.

İlkeler Tebliği ve COBIT5

Bankacılık sektöründe Bilgi Teknolojileri Denetimi konusunda özellikle regulatör kuruluş rolündeki BDDK'nın 2006'dan bu yana yürüttüğü çalışmalar neticesinde Türk Bankacılık Sektörü Bilgi Teknolojileri Hizmetlerinin bankanın ana faaliyetlerine ilişkin stratejilerini destekleme rolünün, bilgi güvenliği, süreklilik ve kurumsallaşma gibi başlıkları da göz önünde bulundurarak geliştirdiği önemli bir gerçektir. Özellikle 2006 yılından günümüze olan süreçte bankalar teftiş kurullarında Bilgi Sistemlerinin denetlenmesine yönelik gerek organizasyonel yapılanma gerekse kurumsal bilgi birikimine yönelik büyük yatırımlar yapmışlardır.

BDDK tarafından yayınlanan ve sektörde İlkeler Tebliği olarak bilinen Bankalarda Bilgi Sistemleri Yönetiminde Esas Alınacak İlkelere İlişkin Tebliği içerisinde Bilgi Teknolojileri denetiminin ISACA tarafından yayınlanan çerçeve olan COBIT'in en güncel versiyonu ile yapılacağından bahsedilmektedir. 2006 yılından bu yana bankalar ve bankaları denetleyen bağımsız denetçiler tarafından temelde kontrol oldaklı olan CobIT 4.1 sürümü kullanılmış, bankaların Bilgi Teknolojileri faaliyetlerinde rol alan aktörleri iş süreçlerini ve yapılanmalarının CobIT 4.1'e uygun organize etmişlerdir.

Haziran 2012 ayında ISACA COBIT'in yeni versiyonu COBIT5'i yayınlamış, çerçeve tanıtım ve uygulama rehberi dokümanlarını yayınlamış, gelecek vadede yayınlanacak doküman setinin üyelerini de açıklamıştır.

Şimdi kafalardaki soru, Bilgi Teknolojileri Denetimi faaliyetlerinin tebliğde bahsi geçtiği gibi COBIT'in en güncel sürümü olan COBIT5 ile mi yapılacağı, yoksa bu konuda bir uyum sürecinin BDDK tarafından bankalara tanınıp, tanınmayacağıdır. Kaldı ki bu uyum sürecindeki en önemli aşamanın bankaların teftiş kurullarının COBIT5'e uygun denetim yapacak bilgi ve uygulama birikimine sahip olmalarından ziyade banka Bilgi Teknolojileri süreç sahiplerini yönettikleri süreçleri COBIT5'e uygun hale getirmeleri olacağı aşikardır. Bilgi Teknolojileri süreç sahiplerine bu geçiş ve uyum süreci tanınmadığı takdirde 2006'dan bu yana süregelen uygulamalarla CobIT 4.1 hükümlerine göre uyarlanan BT süreçlerinin COBIT5 hükümlerine göre teftiş kurulları tarafından denetlenmesi neticesinde elde edilenin bulgu üreten bir mekanizmadan öteye gidemeyeceği bir gerçektir.

Akıllardaki bu önemli soru geçen Çarşamba günü katıldığım bir toplantı esnasında ilgili daire başkanı Ahmet Turkay Varlı'ya yöneltilmişti. Ahmet Bey cevabında tebliğde bahsedilen güncel Cobit sürecinden kastın belirli bir olgunluğa erişmiş, dokümanlarının önemli bir kısmının tamamlandığı hali ile olduğunu, denetimlerde önemli bir kılavuz olan Assurance Guide for COBIT5'in 2013 yılı içerisinden yayınlanmasının öngörüldüğünü, bu sebeple 2014 yılından önce teftiş kurullarının COBIT 5 kapsamında denetim yapmalarının mümkün olmadığını, BDDK tarafında bu geçişe ilişkin bir takvimin henüz var olmadığını belirtmiştir.

Kendime not bağlamında paylaşmak isterim.

CobIT 4.1: AI.06 Manage Changes / Değişlikleri Yönet

CobIT 4.1 Edinim ve Kurulum temel alanı içerisinde yer alan, mevcut tasarlanmış, kullanılan sistemler ve süreçler üzerinde tasarım ve/veya fonksiyonellik anlamında meydana gelen ve diğer sistemleri de etkileme olasılığı bulunan değişikliklerin kontrollü bir şekilde yönetilerek hayata geçirilmesini öneren süreçtir. Üretim ortamındaki alt yapı ve uygulamalara ilişkin bütün değişikliklerin resmi bir süreç yardımıyla, kontrollü olarak yönetilmesi önerilmektedir. Bu değişikliklere planlanmış ve takvimi belirlenmiş değişikliklerin yanı sıra acil duruma ilişkin değişiklikler ve rutin, periyodik yama uygulamaları da dahildir. Tasarlanmış ve işletilmekte olan prosedürler, süreçler, sistemler ve hizmeti etkileyebilecek bütün değişiklikler uygulama öncesinde kayıt altına alınmalı, değerlendirilmeli, etkilenen ilgili taraflarca onaylanmalı ve uygulama sonrası da planlanan sonuçlara göre gözden geçirilmelidir. Böylelikle üretim ortamında bütünlüğü ve sürekliliği olumsuz yönde etkileyecek risklerin azaltılması ve risklerin oluşması durumunda, değişiklik aşamaları kayıt altına alındığı, geri dönüş planlamaları yapıldığı için risk faktörü kolaylıkla ortadan kaldırılabilecektir.

BT Yönetişim alanlarından Değer üretimi alanı ile birincil, kaynak yönetimi alanı ile ikincil dereceden ilişkili olarak tanımlanmaktadır.

Değişiklik Yönetimi, hizmet talep edilen değişikliklerin tanımlanmış ve standartlaştırılmış bir şekilde bildirimini, değişikliklere ilişkin etki değerlendirmesi, önceliklendirme çalışmalarının yapılması ve bu sürecin onay mekanizması ile işlemesini ve her aşamanın kayıt altına alınmasını önermektedir. Süreçle ilgi karşımıza çıkan önemli kavramlardan birisi Acil Değişiklik kavramıdır. Acil Değişiklik kavramı, diğer sistemleri ve işleyişleri de etkileme olasılığı olan her hangi bir aksama gibi duruma ilişkin değişiklik talebinin farklı yaklaşımla ele alınmasına ilişkin bir kavramdır. Acil değişiklik olarak ayrıca etiketlenen bu değişikliklerin ivedi bir şekilde ele alınması önerilmektedir. Acil değişikliğe ilişkin dokümantasyon gibi zaman alıcı aşamalarının kısa süreli olarak atlanarak, değişikliğin sebep verdiği kesintinin anlık ve dolayısıyla geçici çözümlerle giderilmesi, atlanılan aşamaların sonradan gerçekleştirilmesi önerilmektedir. Değişiklik durumlarının takip edilmesi ve belirli aralıklarla gerçekleştirilen değişikliklere ilişkin bilgilerin üst yönetim ve ilgili paydaşlara sunulmasını, talep edilen değişikliğin giderilmesi sonrasında değişikliğe ilişkin bilgilerin dokümante edilmesini süreç kapsamında önerilen önemli adımlardır.
Peki BT birimlerinden hizmet alan paydaşlar hangi konularda değişiklik talepleri ile gelebilirler ya da talepleri hangi konularda değişiklik yapılmasını gerektirebilir? Uygulamalar, prosedürler, işletilen süreçler, sistem ve hizmetlere ilişkin parametreler değişikliklerden nasibini alabilirler.
AI.6.1 Değişiklik Standartları ve Prosedürleri:
Değişikliklerin operasyonel sistem ve bu sistemin işlevselliği üzerindeki etkileri organize bir şekilde değerlendirilmelidir. Değişikliklere yönelik bütün taleplerin hızlıca değerlendirilmesinin ve değişikliğe ilişkin aksiyonun alınmasının sağlanması için değişikliklere ilişkin taleplerin standart hale getirilmesini sağlayacak süreçler tasarlanmalıdır.
AI.6.2 Etki Değerlendirmesi, Önceliklendirme ve Onaylama
Talebi yapılan tüm değişikliklerin hali hazırda çalışan sistem ve bu sistemin işlevselliği üzerindeki etkileri belirlenmiş standartlar ışığında değerlendirilmelidir. Bu değerlendirme değişikliklerin sınıflandırılması ve önceliklendirilmesine zemin hazırlamalıdır. Değişiklikler üretim ortamına aktarılmadan ve kullanılmaya başlamadan önce değişiklik talebi yapan ve değişiklikten etkilenen paydaşlar tarafından onaylanmalıdır.
AI.6.3 Acil Durum Değişiklikleri
Acil değişiklik olarak tanımlanabilecek, diğer sistemlere ve kuruluşun temel iş yapışına etkisi büyük, hatta sistemler ve süreçler üzerinde kesinti boyutuna varacak kadar önemli olabilecek sorunlara ilişkin değişikliklerin ivedi olarak ele alınması gerekmektedir. Acil değişikliklerde değişikliğe ilişkin aksiyonun gecikmesi maliyeti yüksek olarak addedilmektedir. Bu sebeple değişikliğe ilişkin dokümantasyon ve bütün paydaşların değişikliğe ilişkin katılımını alma gibi süreçler daha hızlı yönetilmek adına geçici olarak atlanmakta ya da daha az paydaş ile değerlendirilmektedir. Fakat acil durum değişikliği sonrası atlanan bu aşamalar giderilmekte ve/veya katkısı alınamayan paydaşlar bilgilendirilmektedirler. Mevcut değişiklik yönetim süreci kapsamında ele alınamayacak olan bu değişikliklerin tanımlanması, değerlendirilmesi ve onaylanması süreçleri farklı tasarlanmalıdır. Acil değişikliklerin öncelikli olarak değişikliğe ilişkin aksiyonun yapılması ve dokümantasyon gibi süreçlerin sonrasında yerine getirilmesi şeklinde süreçlerden geçirilmesi önerilmekte, acil değişikliğe ilişkin test aşamaları ise önemsenmektedir. Çünkü aksiyonu ivedi olarak yerine getirmek, belirli süreçleri atlamak riskliliği artıracaktır.
AI.6.4 Değişiklik Durumlarını Takip Etme ve Raporlama
Değişikliklerin durumları hakkında değişiklikle ilişkili bütün paydaşların bilgi almasını sağlayacak bir raporlama mekanizması kurulması önerilmektedir. Değişiklikler hakkında güncel bilgi alınması bir raporlama ve takip etme sistemini kurulması önemsenmektedir.
AI.6.5. Değişikliklerin Kapanması ve Dokümante Edilmesi
Değişikliğe ilişkin aksiyonlar yerine getirildiğinde ve değişiklik uygulandığında değişiklikten etkilenen süreç adımları ve dokümantasyonun güncelliğinin sağlanması önerilmektedir. Değişikliklerin tam ve eksiksiz olarak uygulamaya alındığından emin olunması adına gözden geçirme süreci tasarlanmalıdır.
COBIT 5 kapsamında,
Sürece ilişkin çok büyük değişiklikler yapılmamıştır. Değişiklik Yönetim Süreci COBIT 5 kapsamında BAI 6 Manage Changes süreci kapsamında aynı isim altında ele alınmaktadır.
Özetle;

COBIT kapsamında kurum içerisinden Bilgi Teknolojileri varlıkları ve süreçlerini etkileyebilecek değişiklik talepleri tanımlanmış standartlar kapsamında bildirilmeli, değişiklik ilgili taraflarca değerlendirilmeli ve onaylanmalı, değişikliğe ilişkin etki analizi ve önceliklendirme çalışması yapılmalı, değişiklikte her hangi bir aksilik durumunda geri dönüş stratejisi belirlenmeli, değişikliğe ilişkin test ve kullanıcı kabul aşamaları işletilmeli ve değişiklik gerekli dokümantasyon yapılarak kapatılmalıdır. Bu süreçler işletilirken acil değişiklikler farklı bir şekilde ele alınmalı, değişikliğin dokümantasyonu sonradan yapılabilecek şekilde değişiklik işletilmelidir. Değişiklik durumlarının ilgili paydaşlar tarafından izlenebilmesi adına ise raporlama mekanizması kurulmalıdır. Burada asıl vurgulanması gereken bir önemli nokta ise CobIT'in değişikliği sorunsuzca uygulanabilmesinden ziyade uygulama adımlarının sistematik olarak yerine getirilmesini önemsemesidir. Uygulayıcılar değişiklik adımlarını tamamlamadan, paydaşlardan gerekli katılım ve onayı almadan, aksilik durumlarında geri dönüş stratejisi belirlemeden ilerledikleri takdirde, iş sonunda değişikliği başarılı gerçekleştirseler bile süreç boyunca yüksek derecede risk taşıdıkları ve sistematik ilerlemedikleri sürece başarısız olarak değerlendirilmektedirler. 

Governance versus Management, Türkçesiyle Yönetişim vs Yönetim

COBIT 5 dokümanlarında da standardın yeni sürümünün ısrarla üzerinde durduğu bir ayrım mevcut. Governance ve Management, Türkçe anlamı ile yönetişim ve yönetim.

ISACA web sitesi üzerinde bu iki kavramdan ve farkladından bahseden kısa bir makale gördüm, hem bu makaleyi paylaşmak, hem de bu iki kavram arasındaki farktan biraz da ben bahsetmek isterim.

Makalenin orjinaline buradan ulaşabilirsiniz.

Yönetişim ve yönetim arasındaki temel farklılığın yönetişimin yönetime göre biraz daha üst seviyede konumlandığını söyleyebiliriz. Yönetişim daha çok, üst düzey kararların alındığı, biraz daha kurumsal stratejinin çizildiği bir seviyededir. Kurumun gelecekte gideceği yönü, başka deyişle rotasını çizme üzerine odaklanılır yönetişimde. Kurumun gelecek vadede nasıl bir strateji yani yol haritası ile vizyonunu gerçekleştireceğinin tanımının yapılması ile ilgilenir yönetişim. Elbette COBIT 5 kapsamında bahsedilen IT Governance kavramı, iş birimlerinin de katkısını içerecek şekilde Bilgi Teknolojileri özelindeki stratejinin haritasının çizildiği bir noktadadır. CobIT 4.1 çerçevesi kapsamında PO01 süreci kapsamında da iş birimlerinin fikirlerini alarak, Bilgi Teknolojileri Stratejisinin belirlenmesi önerilmektedir. Bunun yanında COBIT 5, iş birimlerinin stratejinin belirlenmesi, daha üst düzeyde yönün çizilmesi noktasında katkısını daha ön plana çıkarmaktadır.

Yönetim ise biraz daha operasyonel kanatta, stratejik yönü destekleyecek şekilde operasyonel süreçlerin yönetilmesini, bu esnada yönetişimin desteklenmesini içeren bir kavramdır. Bilgi Teknolojileri özelinde kurum hedeflerine ve stratejisin uygun gerekli desteklemeyi yapacak, kurumun iş yapışında katkı sağlayacak operasyonel süreçlerin yönlendirilmesi, yönetilmesi hatta bir atım ileride sürekli iyileştirilmesini içeren bir kavramdır yönetim.

İstanbulda Bankalar Birliği kapsamında katıldığım bir eğitimde ISACA kurucu başkanı sayın Murat Lostar'ın değerli affına sığınarak, kendisinin aktardığı iki örnekle durumu biraz daha somutlaştırmak isterim. Yönetişimi bir geminin kaptanının yerine getirdiği faaliyetler olarak düşünebilirsiniz, kaptan sadece ama sadece doğru rotanın belirlenmesi ile ilgilenir, aslında dümen tutmak kaptanın işi değildir, kaptan gidilecek doğru rotayı belirlemekten sorumludur. Geri kalan mürettebat ise kaptanın çizdiği rotada geminin ilerlemesi için gerekli operasyonel süreçleri işletmekten sorumludurlar. İşte bu kısım yönetim olarak açıklanabilir.

Örneğin bir eğitim kurumunu düşünelim. Bu eğitim kurumunda yönetim kurulu ne çeşit eğitimlerin verileceğine, bu eğitimlerin içeriklerinin nasıl belirleneceğine, kurumun eğitimleri sunarken nasıl bir yaklaşım sergileyeceklerine karar verirler. İşte bu yönetişim olarak örneklenebilir. Bunun yanında sınıfın düzenlenmesinden, eğitmenin davet edilmesinden, katılımcıların karşılanmasından ve gerekli eğitim koşullarının sağlanmasından sorumlu çalışanlar ise yönetim olarak örneklenebilir.

Paylaştığım makaledeki benzetime göre ise yönetişim parlementoya, yönetim ise kamu kurum ve kuruluşlarına benzetilmektedir. Parlemanto, başkan ve parlemantoyu oluşturan paydaşların katılımı ile stratejiyi tanımlamakta, rotayı çizmekte, kurum ve kuruluşlar ise bu üst düzeyde belirlenen stratejiyi destekleyecek faaliyetleri yürütmektedirler.

Paylaştığım yazıya dönecek olursak, yönetişimi yönetime göre biraz daha liderlik olarak nitelendirmektedir yazar. COBIT 5 ile CobIT 4.1 arasındaki önemli farklılıklardan birisi yönetim ve yönetişim arasındaki farklılığın net olarak tanımlanmasıdır. COBIT 5'e göre yönetişim yönetim kurulunun sorumluluğudur. Bu kapsamda ISO38500 standardının tanımları COBIT 5 içerisinde yapılmaktadır. Yönetişime yönelik çerçevenin kurulması, iş değerinin yaratılmasının temini, bu değer yaratımı yapılırken risklerin yönetilmesi ve optimum düzeyde risklerin karşılanması, kaynakların verimli kullanılması ve paydaşlar için gerekli olan şeffaflığın sağlanması kavramları detaylandırılmaktadır.

Yönetim ise daha çok yönetişimin sağlanmasına yönelik olarak, yönetişimle uyumlu operasyonel yönetimin üzerine yoğunlaşmaktadır. Executive bir yöneticinin yönetiminde çalışan operasyonel yöneticilerin yaptığı işler yönetim kapsamında değerlendirilebilir. Politik sistem örneğimizde , parlementer düzeni destekleyen devlet kurumlarının ve ajansların yerine getirdikleri faaliyetler yönetim kavramı altında değerlendirilebilir. COBIT 5 kapsamında planlama, yapılandırma (tasarlama), uygulama ve bu faaliyetleri sürekli izleyerek, iyileştirme yönetim faaliyetleri olarak değerlendirilmektedir.

CobIT 4.1: PO2 Define the Information Architecture / Bilgi Mimarisinin Tanımlanması

CobIT 4.1 Planlama ve Organize Etme temel alanı içerisinde yer alan, güvenilir ve gizli bilginin sunulmasını sağlayarak yönetim karar alma sürecinin kalitesinin iyileştirilmesi ve bilgi kaynaklarının iş stratejilerine uygun bir sistematik ile düzenlenmesini öneren süreçtir. Süreç kapsamında, çeşitli kaynaklardan akan verilerin daha kolay ve hızlı bir şekilde bilgiye dönüştürülmesi için ortak kabul edilmiş, sistematik bir yaklaşımla bilgiye dönüştürülmesi önerilmekte, bu kapsamda kurum bilgi modelinin yaratılması önerilmektedir. Bu model de çerçeve içerisinde Bilgi Mimarisi olarak tanımlanmaktadır.

BT Yönetişim alanlarından Stratejik Uyumluluk ve Kaynak Yönetimi alanları ile birincil, Risk Yönetimi ve Değer Yönetimi alanları ile ikincil dereceden ilişkili olarak tanımlanmaktadır.

Süreç, kurum tarafından ihtiyaç duyulan güvenilir ve tutarlı bilginin çevik (agile) bir yaklaşımla iş süreçleri kullanımına sunulmasını önermektedir. Farklı uygulamalar tarafından kullanılan bilginin, oluşturulan yapılar üzerinde paylaşımının etkinliğini ve kontrolünü iyileştirmek gerekmektedir. Bu kapsamda kurum bilgi modeli oluşturulmalı, düzenli olarak güncelliği takip edilmeli, kullanımını optimize bir şekilde yönetebilmek adına uygun tanımlar yapılmalıdır. Bu kapsamda bilgi mimarisi modeli kurulmalı, veri sözlüğü ve veri dizimi kuralları oluşturulmalı ve güncelliği sağlanmalı, veri sınıflandırma yapıları tanımlanmalı, verinin bütünlüğünün sağlanmasına yönelik önlemler alınmalıdır.

PO2.1 Enterprise Information Architecture (Bilgi Mimarisi Modeli): BT Planları ile tutarlı, uygulama geliştirme sürecini ve karar vermeyi destekleyici aktiviteleri kolaylaştıracak bir kurum bilgi mimarisi modelinin kurulması ve düzenli bakımının yapılması önerilmektedir. Model, bilginin iş birimleri tarafından en iyi şekilde yaratılmasını, kullanımını ve paylaşımını kolaylaştırmalı; esnek, fonksiyonel, maliyet-etkin, uygun, güvenilir ve hata karşısında eski haline kolay döndürülebilir olmalıdır. Kurum içerisinde uygulamalara yönelik veri grupları, arayüzler ve ilişkileri Bilgi Modeli içerisinde ele alınabilir. Bu aşamada uygulamalar ile alakalı paydaşların (geliştirme yapan BT personeli örnek verilebilir) modele hakim olması sağlanmalıdır.

PO2.2 Enterprise Data Dictionary and Data Syntax Rules (Veri Sözlüğü ve Veri Söz Dizimi Kuralları): Veri söz dizimi kurallarının tanımlandığı bir kurum veri sözlüğü oluşturulmalıdır. Sözlük, uygulamalar ve sistemler arasında veri elemanlarının paylaşılmasını düzenlemekle birlikte BT ve iş birimleri arasında genel bir anlayışı teşvik etmekte ve uyumsuz veri öğelerinin yaratılmasını engellemektedir. Oluşturulan veri sözlüğü ve veri söz dizim kurallarının gözden geçirilmesi, farklı paydaşlar tarafından veri sözlüğü üzerinde yapılan ekleme ve güncellemelerin diğer paydaşlarla paylaşılmasının sağlanacağı bir yapı kurulmalıdır. Yöneticilerin bilgisayarlarında oluşturulmuş, pdf formatındaki dokümanların denetçileri güncellik durumu ve paydaşların güncelliğe hakim olması noktasında tatmin etmediği bir gerçektir. Veri Sözlüğü gibi yaşayan dokümanların ortak veri tabanları üzerinden yönetilmesi, tanımlanan belli aşamalarda (trigger) ise belirlenen paydaşları bilgilendirmesi önerilmektedir.

PO2.3 Data Classification Scheme (Veri Sınıflandırma Şeması): Kurumlar bünyesinde üretilen verilerin iletilme, paylaşılma, saklanma, yedeklenme kararlarının verilmesi için verilerin sınıflandırılması önem taşımaktadır. Bu sınıflandırılmanın yapılması esnasında verinin kritikliği ve hassasiyetine göre sınıflandırma önerilmektedir. Bu şema üzerinde verinin sahibinin kim olduğu(veri sahipliği)*, gerekli güvenlik seviyeleri ve koruma kontrolleri, verinin saklanmasının kısaca açıklanması, veri yok etme şartları, verilerin kritikliği ve hassasiyeti bilgisi (gizlilik durumu gibi) gibi unsurların yer alması önerilmektedir. Veri sınıflandırma şeması; veriye erişim kontrollerinin belirlenmesi, veri arşivleme ve şifreleme gibi kontrollerin gerçekleştirilmesi için alt yapı oluşturmaktadır. Belirli aralıklarla iş birimleri tarafından güvenlik sınıflandırmasının tartışılması önerilmektedir.  

PO2.4 Integrity Management ( Bütünlük Yönetimi): Veri tabanı, veri ambarı ve veri arşivleri gibi yapılarda elektronik olarak saklanan verinin bütünlüğünün ve tutarlılığının garanti altına alınacağı prosedürler tanımlanmalı ve işletilmelidir. Bahsi geçen yapılarda tutulan verilerin kalitesi belirli aralıklarla gözden geçirilmeli, üretilmiş kalitesiz öğelerden bu yapılar arındırılmalı, yapılarda yer alan kalitesiz verinin oluşma nedenleri incelenmeli ve mümkünse kontrollerle tekrar oluşma olasılığı kontrol altına alınmalıdır.

COBIT 5 kapsamında;

CobIT 4.1 kapsamında sadece bilgi mimarisi olarak ele alınan yapı, kurumsal mimariye doğru genişlemektedir. Bir önceki sürümde sadece bilgi mimarisi olarak ele alınan süreç, COBIT 5 kapsamında TOGAF’tan da faydalanarak yapısını veri, uygulama, süreç ve altyapı/teknoloji başlıklarında da genişletmiştir. Bu süreç COBIT 5 kapsamında APO1 Define the Managemet Framework for IT ve APO3 Manage Entreprise Architecture süreçlerinde ele alınmaktadır. COBIT 5 ile öne çıkan Kurumsal mimari kavramı ile ele alınan bilgi mimarisinin ağırlığının da azaltıldığı görülmektedir. Veri sınıflandırması ve veri sahipliği başlıkları ise BT Yönetim Çerçevesinin Kurulması süreci altında ele alınmaktadır (APO1 Define the Managemet Framework for IT). İki süreç kapsamında da verinin nerede üretildiği, nasıl kullanıldığı, nasıl saklandığı, nasıl yok edildiği hususlarında yoğunlaşılır.

Özetle,

CobIT 4.1 kapsamında Sürece ilişkin önemle vurgulanan iki aşama vardır. Birincisi veri sınıflandırma, ikincisi bilgi mimarisi yönetimidir. Veri sınıflandırma çalışmasında bilgi envanterinin oluşturulması, bilgi sahiplerinin belirlenmesi, bilginin sınıflandırılması (genel uygulamalarda gizliliğe göre, sürekliliğe göre, yasal duruma göre sınıflandırmalar mevcuttur.), gerekli kontrollerin belirlenmesi, kontrollerin uygulanması ve sürekli iyileşmeye yönelik izleme mekanizmasının kurulup, işletilmesi aktiviteleri gerçekleştirilmelidir. Veri isimlendirme kurallarının belirlenmesi be veri sözlüğü tanımlanması gibi işlemlerin de bu aşamada yapılması önerilir. (Burada öne çıkan bir diğer husus ise veri sahipliğinde verinin sahibinin kim olduğuna karar verilmesidir. Verinin sahibi veriyi üreten midir, veriyi kullanan mıdır, veriyi saklayan mıdır?) İkinci aşamada ise bilginin yönetilebileceği bir Bilgi Mimarisi Yönetim standardı oluşturulmalıdır.

*Veri sahipliği neden önemlidir? Veri sahipliği verinin yönetilmesi, yedeklenmesi, yasal mevzuata uygun bir şekilde kullanılması  için sorumluların belirlenmesi noktasında önemlidir.

CobIT 4.1: PO1 Define a Strategic IT Plan / Stratejik BT Planının Tanımlanması

CobIT 4.1 Planlama ve Organize Etme temel alanı içerisinde yer alan, kurum tarafından Kurum Stratejik Planıyla (Business Strategic Plan) uyumlu bir Bilgi Teknolojileri Stratejik Planı hazırlanmasını öneren süreçtir.

BT Yönetişim alanlarından Stratejik Uyum (Strategic Alignment) alanı ile birincil, Risk Yönetimi ve Kaynak Yönetimi (Resource Management) alanları ile ise ikincil dereceden ilişkili olarak tanımlanmaktadır.

PO1.1 IT Value Management: Süreç kapsamında Stratejik Planlamanın yapılmasına zemin hazırlamak adına BT'ye yönelik bir değer yönetimi mekanizmasının geliştirilmesini ( PO1.1 IT Value Management) önermektedir. Böylelikle strateji belirlenmesi esnasında yürütülmesi planlanacak olan projeler açısından bir değerleme ve önceliklendirme mekanizmasının kurulması sağlanacaktır. Planın hazırlandığı dönem içerisinde ( yıllık ya da bir kaç yıllık planlar mümkündür) iş birimlerine ilişkin BT stratejilerinin ve Bilgi Teknolojilerinden bu stratejilere yönelik beklentilerin açık ve net tanımlanması sağlanmalı, kurum içerisindeki projelerin önceliklendirilme ve değerlendirilme kriterleri bu alt süreç ile belirlenmelidir. Denetimler esnasında geneli itibariyle bu sürece ilişkin olarak Proje Taleplerinin nasıl toplandığı, değerlendirilmesine yönelik olurluk analizinin nasıl gerçekleştirildiği, analiz dokümanlarında üst seviye yol haritası varlığı, genel maliyet hususlarının ele alınış yöntemi gibi unsurlara bakılmaktadır.

PO1.2 Business-IT Alignment: Cobit 4.1 hazırlanan stratejik planların, kurum stratejik planları ile uyumlu olmasını önermektedir. Bu uyumun sağlanması adına sonrasında PO04 sürecinde de ele alacağımız BT Strateji komitesinin kurulması, komitede kurum üst yönetiminin temsilinin sağlanması, belirlenen aralıklarla bu kurulun toplanması ve alınan kararları yazılı hale getirmeleri önemsenmektedir. Strateji komitesinin üyelerinin, görev, sorumluluk ve rollerinin yazılı prosedürler ile belirlenmesi ve İş stratejiyle uyumun sağlanmasına yönelik tanımların bu prosedürler içerisinde verilmesi alt süreç kapsamında değerlendirilmektedir.

PO1.3 Assessment of Current Capability and Performance: Gelecekte alınacak stratejik kararların hazırlanması, hedeflerin belirlenmesi ve o hedefe ulaşılmasına yönelik stratejilerin planlanmasına yönelik hali hazırdaki durumun ortaya konulmasına yardımcı alt süreçtir. Cobit performansın iş hedeflerine yönelik BT'nin katkısı, fonksiyonellik, sağlamlık (stability), karmaşıklık, maliyetler, güçlü ve zayıf yönler gibi alt başlıklarla değerlendirilmesini önermektedir. Hazırlanan prosedürler altında prosedürün başarımının ölçülmesine yönelik başarım kriterlerinin belirlenmesi ve yapılan ölçümlerin belirli periyotlarla raporlanması önerilmektedir.

PO1.4 IT Strategic Plan: Sürecin en can alıcı alt sürecidir. BT Hedeflerinin, İş stratejik hedeflerine nasıl katkı sağlayabileceği, ilişkili paydaşların uyumla nasıl çalışabileceği, ilgili maliyetler ve risklere plan içerisinde yer verilmesi önerilmektedir. BT yönetimi, hedeflere nasıl ulaşılacağına, başarımın ölçülmesine yönelik ölçüm kriterlerine, sağlanacak faydaların nasıl takip edileceğine ve yönetileceğini plan içerisinde yer vermelidir. Önerilen plan içerisinde; bütçenin, gerekli fon temininin, kaynak stratejisinin, satın alma stratejisinin ve yasal gerekliliklerin bulunmasıdır. BT Strateji planının detaylandırma seviyesi ise taktik planlarda detayları ile ele alınacak konuların tanımlanması düzeyinde olmalıdır. Farklı bir deyişle taktik planlar stratejik plan içerisinde yer verilen tanımların detaylandırıldığı dokümanlardır.

PO1.5 IT Tactical Plans: BT Stratejik Plan içerisinde tanımları yapılan ve genel olarak değinilen hususlar, taktik planları ile detaylandırılırlar. Taktik planlar içerisinde gerekli olan BT yetkinlikleri, ihtiyaç duyulan kaynaklar, yapılması önerilen BT yatırımlarına, BT hizmetlerine ve BT varlıklarına yer verilmektedir. Taktik Planlar proje yönetim analizi sonuçlarına göre etkin bir şekilde yönetilmelidir. Bu alt süreç içerisinde önemli olan, taktik planlarının BT stratejik planına dayandırılmasıdır.

PO1.6 IT Portfolio Management: Stratejik planın hazırlanması, beraberinde stratejik plandaki hususların taktik planlar ile detaylandırılması konuları planlama için önemlidir. Sonrasında ise belirlenen hususların hayata geçirilmesi, stratejiye yönelik projelerin yürütülmesi ile ilişkilidir. Bu noktada projelerin oluşturduğu programlar ve/veya portföylerin yönetimi önem kazanmaktadır. Proje-Program-Portföy arasında ise hiyerarşik bir yapı mevcuttur. Programlar, projelerden oluşmaktadır, portföyler ise birden fazla program ve programlardan bağımsız projeler içerebilecek yapıya sahip olabilirler. Büyüklük ve yapı tamamen ihtiyaçlara göre tasarlanabilmektedir. Programlar alakalı projeleri içerisinde barındırırken, portföy ise biraz daha genel bir gruplandırma yöntemi olabilir. Örneğin, müşteri ilişkileri geliştirilmesi programı altında yer alan müşteri ilişkileri geliştirme yazılım sisteminin geliştirilmesi projesi, satışı destekleyen projeler portföyü altında yer alabilir. Alt süreç kapsamında portföy yönetilirken, portföyde yer alan projelerin önceliklendirilmesi, tahsis edilecek kaynaklar, projelerin bağımlılıkları ve projelerin kapsamı yönetilmelidir. Projeleri belirlenen kriterlere göre puanlamak ve önceliklendirmek önemlidir. Elbette bu noktada portföy içerisindeki projelerin yönetilmesinde iş birimleri ile tam uyumun sağlanması önemsenmelidir.

COBIT 5 kapsamında;

CobIT 4.1 sürecinde alt süreç olarak ele alınan portföy yönetimi için yeni bir süreç tanımlanmıştır. APO5 Manage Portfolio süreci kapsamında portföy yönetimi daha detaylandırılmıştır. APO02 Manage Strategy süreci kapsamında ise kalan alt süreçler geneliyle korunmuştur. COBIT 5 kapsamında stratejik yönün belirlenmesi, kurumun mevcut durumunun belirlenmesi, hedefin belirlenmesi, aradaki fark analizinin yapılması, gerekli planlamanın yapılması, ilgili paydaşlara gerekli duyuruların yapılması, taktik planları kapsamında yol haritaların belirlenmesi şeklinde bir akış önerilmektedir.

Burada önemle vurgulamak gereken nokta COBIT 5 kapsamında BT Stratejik Planın ilgili paydaşlarla paylaşılması önerilmektedir. Şeffaflık anlamında bir adım ileri gidildiğini düşünüyorum. Çünkü CobIT 4.1 kapsamında değinilmediği için insiyatife bırakılan bu husus, artık paylaşılmasının önerildiği bir yapıya kavuşmuştur.