Madde 5 — Bilgi sistemlerine ilişkin risk yönetimi
MADDE 5 – (1) Kuruluş, bilgi sistemlerinin sorunsuz şekilde işlemesini tehlikeye sokabilecek tüm risklerin tespit edilmesini, ölçülmesini, izlenmesini ve etkin bir şekilde yönetilmesini sağlamak amacıyla risk yönetim çerçevesi ve yeterli araç zenginliğine sahip bir yapıyı tesis eder. Kuruluş, risk yönetim çerçevesi kapsamında riskleri yönetmek amacıyla uygulanması gereken önlemlere ilişkin usul ve esaslar ile tesis edilmesi gereken kontrolleri içerir politika, prosedür ve süreç dokümanlarını yazılı olarak oluşturur. Bu fıkra uyarınca hazırlanan dokümanlar yönetim kurulunca onaylanır.
(2) Kuruluş, tesis edeceği risk yönetim çerçevesini oluştururken, bilgi sistemlerine ilişkin riskleri ve ilgili mevzuat ile ulusal ve uluslararası standartları göz önünde bulundurur.
(3) Birinci fıkra uyarınca bilgi sistemlerine ilişkin riskler değerlendirilirken, Kuruluşun ana faaliyetleri ile diğer faaliyetleri, varsa temsilci ve dış hizmet sağlayıcıların faaliyetleri, üçüncü taraflara olan bağımlılıkları ve Kuruluşun diğer ödeme hizmeti sağlayıcıları ve ödeme sistemleri ile olan bağlantıları da göz önünde bulundurulur.
(4) Kuruluş, bilgi sistemlerinde meydana gelecek önemli değişikliklerden önce ve yılda en az bir defa olmak üzere bilgi sistemlerine ilişkin kapsamlı bir risk değerlendirmesi yapar ve değerlendirme sonuçlarını ve bunlara ilişkin alınacak aksiyonları içerir raporu, herhangi bir değişikliğe bağlı olmadan ve her yıl Ocak ayı sonuna kadar bir önceki yıla ilişkin olacak şekilde hazırlar ve yönetim kurulu ile Bankaya sunar.
(5) Birinci fıkra uyarınca oluşturulacak dokümanlarda yer alan önlem ve kontrollerin etkin bir şekilde uygulanabilmesi için kuruluş, organizasyon yapısı, personel ve diğer kaynaklara ilişkin gerekli tedbirleri alır ve 4 üncü maddenin beşinci fıkrası çerçevesinde oluşturulacak görev tanımlarında birinci fıkra uyarınca oluşturulacak dokümanlarda yer alan önlem ve kontrollerin uygulanmasına ilişkin sorumlulukların açık bir şekilde belirlenmesini sağlar.
Bilgi sistemleri işletimi