Madde 4 — Bilgi sistemleri yönetimine ilişkin genel hükümler
MADDE 4 – (1) Kuruluş, bilgi sistemlerine ilişkin faaliyetlerini yürütürken işleyişinden sorumlu olduğu hizmetin kesintisiz, güvenli, etkin ve verimli bir şekilde çalışması amacını öncelikli olarak gözetir.
(2) Kuruluş, bilgi sistemlerini Kanun kapsamında yürütmekte olduğu faaliyetlerin konusu, hacmi, karmaşıklığı ve kapsamı ile uyumlu ve kişisel verilerin güvenliğine yönelik gerekli idari ve teknik tedbirlere uygun şekilde tesis eder ve teknolojik gelişmeleri de dikkate alarak günceller.
(3) Kuruluş, bilgi sistemleri yönetimine ilişkin politikaları, ana strateji ve hedefleri ile uyumlu şekilde yazılı olarak oluşturur, yılda en az bir defa olmak üzere düzenli olarak gözden geçirir ve gerekli durumlarda günceller. Bilgi sistemleri yönetimine ilişkin politikaların yönetim kurulu tarafından onaylanması zorunludur.
(4) Kuruluş, Kanun kapsamındaki faaliyetleri ile ilgili her türlü yönetim faaliyetlerini bilgi sistemleri yönetimini de kapsayacak şekilde, bütüncül bir yaklaşım içerisinde ve kurumsal yönetim uygulamaları çerçevesinde gerçekleştirir ve bilgi sistemleri yönetimine ilişkin unsurları organizasyon yapısı içerisinde, kuruluşun büyüklüğü ile faaliyetlerinin karmaşıklığını gözeterek uygun yere yerleştirir.
(5) Kuruluş, bilgi sistemleri ile ilgili olarak organizasyon yapısı içerisinde yer alan birimlerin görev ve sorumlulukları ile bu birimlerdeki personelin görev tanımlarını açık, anlaşılır ve yazılı olarak oluşturur. Bu fıkra uyarınca hazırlanan dokümanlar yönetim kurulunca onaylanır. Dokümanların uygunluğu yılda en az bir defa gözden geçirilir.
(6) Bilgi sistemlerinin yönetimi konusunda görev alan personelin kendilerine atanan görev ve sorumluluklarla ilgili farkındalıklarının oluşturulması ile görev ve sorumluluklarda meydana gelecek değişikliklerden haberdar olması sağlanır.
(7) Kuruluş, bilgi sistemleri yönetimine ilişkin görev, yetki ve sorumlulukları açıkça belirler ve bilgi sistemleri yönetimi için gerekli her türlü kaynağı sağlar.
(8) Kuruluş, bilgi sistemleri yönetimine ilişkin faaliyetlerin politika, düzenleme ve genel kabul görmüş ilgili uluslararası standartlara uyumlu olduğunu kontrol etmek üzere Yönetmeliğin 26 ncı maddesi uyarınca oluşturulan iç kontrol sisteminin içerisinde gerekli fonksiyonu oluşturur. Bu konularda çalışacak personelin gerekli deneyim ve bilgi birikimine sahip olması gerekir.
(9) Bilgi sistemleri yönetiminin bu Tebliğde yer alan hükümlere uygun şekilde yürütülmesinden kuruluşun yönetim kurulu sorumludur.
(10) Yönetmeliğin 11 inci maddesi uyarınca faaliyet izni başvurusunda bulunulduğunda, nihai onay aşamasından önce olmak üzere, bilgi sistemleri altyapısından sorumlu yöneticinin atamasının yapılmış olması gerekir. Ataması yapılacak yöneticinin bilgi sistemleri sektöründe benzer ölçekteki proje ekiplerinde yer almış olması gerekir.
(11) Yönetmeliğin 11 inci maddesi uyarınca faaliyet izni başvurusunda bulunulduğunda, nihai onay aşamasından önce olmak üzere, bir yıllık iş planının gerektirdiği bilgi sistemleri altyapısının üretim ortamının kurulmuş olması gerekir.
Bilgi sistemlerine ilişkin risk yönetimi