BT bütçesi büyüdükçe yönetim kurulunun sorusu değişiyor. “Ne kadar harcıyoruz” sorusu yerini “bu harcamanın karşılığı ne, hangi riski satın aldık ve kim karar verdi” sorusuna bırakıyor.
Çoğu kurumda bu soruya cevap veren bir yapı yok. Karar var, kayıt yok. Risk var, sahibi yok. Yatırım var, ölçüsü yok.
BT yönetişimi bu boşluğu kapatır. Karar haklarını, yatırım önceliklendirmesini, risk iştahını ve performans ölçümünü tek bir çalışan sisteme bağlar.
Nerede tıkanıyor
- Yatırım kararları komitede değil koridorda alınıyor
- BT risk kaydı var ama kurumsal risk kaydıyla konuşmuyor
- Tedarikçi bağımlılığı görünmüyor
- Denetim bulguları her yıl aynı başlıklarda tekrar ediyor
- Projeler bitiyor, faydası ölçülmüyor
Çerçeve seçimi: COBIT, ISO 38500, ITIL, NIST
Doğru seçim kurumun düzenleyici yüküne ve olgunluğuna bağlı. Tek bir çerçeveyi olduğu gibi uygulamak neredeyse hiç işe yaramıyor. Biz kurumun mevcut yapısını esas alıp gereken kontrolleri seçerek birleştiriyoruz, sonra bunu tek bir kontrol kütüphanesine indiriyoruz.
Çalışma akışı
Mevcut durum, 3 hafta
Karar akışlarını, komite yapısını, risk kaydını ve denetim geçmişini inceliyoruz. Kimin neye karar verdiğini haritalıyoruz.
Hedef model, 3 hafta
Karar hakları matrisi, komite mimarisi, risk iştahı ifadesi ve yatırım önceliklendirme yöntemi tasarlanıyor.
Geçiş, 8 hafta
Kontrol kütüphanesi kuruluyor, sahiplikler atanıyor, raporlama ritmi başlatılıyor.
Somut çıktılar
- Karar hakları matrisi
- BT komite mimarisi ve yönetmelikleri
- Birleştirilmiş kontrol kütüphanesi, COBIT ve ISO 27001 ve ISO 42001 eşleştirmeli
- BT risk kaydı ve kurumsal risk kaydıyla bağlantısı
- Yatırım önceliklendirme modeli
- Yönetim kurulu BT karnesi
Sık sorulan sorular
COBIT uygulamak zorunda mıyız?
Hayır. COBIT bir referans modeldir, bir zorunluluk değil. Düzenlemeye tabi sektörlerde referans olarak kullanmak denetimde işinizi kolaylaştırır, ama kurumun ihtiyacı olan kontrol setini seçerek almak yeterlidir.
Bu çalışma BT ekibinin işini yavaşlatır mı?
Doğru kurulduğunda hızlandırır. Yavaşlatan şey yönetişim değil, kararın kimde olduğunun belirsiz olmasıdır. Belirsizlik her kararı bir üst kademeye taşır.
Nerede durduğunuzu ölçün
Ücretsiz olgunluk teşhisini başlat