SPK VII-128.10 Tebliği Uyum Hizmeti
Değerleme şirketleri için uyum, teknik yatırım değil yönetişim işidir
13 Mart 2025 tarihli SPK VII-128.10 Bilgi Sistemleri Yönetimine İlişkin Usul ve Esaslar Tebliği ile, Sermaye Piyasası Kurulu tarafından yetkilendirilen kuruluşlar için bilgi sistemleri yönetişimi ve bilgi güvenliği alanında somut yükümlülükler yürürlüğe girdi.
HAR Teknoloji olarak; gayrimenkul değerleme şirketlerinin Tebliğ kapsamında sahip olduğu muafiyetleri dikkate alarak, mevcut operasyonunuzu bozmadan ve ek teknik yatırım ihtiyacı oluşturmadan uyum sağlamanızı hedefleyen, sürdürülebilir ve uygulanabilir bir hizmet modeli sunuyoruz.
Model, değerleme sektöründe edindiğimiz saha tecrübesiyle kurgulandı: TDUB üyesi şirketlerin yükümlülüklerini pratik, ölçeklenebilir ve denetime hazır bir yapıyla yerine getirmesini sağlamak için geliştirildi.
Tebliğ kurumunuzdan ne bekliyor?
Değerleme kuruluşları teknik altyapı gerekliliklerinin bir kısmından muaf; ancak yönetişim ve risk yönetimi sorumluluğu aynen devam ediyor.
Bilgi Güvenliği Yönetişimi
Yazılı bir bilgi güvenliği politikası, bunun üst yönetim tarafından onaylanması ve kurum genelinde uygulanmasının gözetilmesi.
Bilgi Güvenliği Sorumlusu
Tebliğ, kurumda bilgi güvenliğinden sorumlu bir rolün tanımlanmasını ve bu rolün üst yönetime raporlamasını bekliyor.
Risk Yönetimi
Bilgi sistemlerine ilişkin risklerin belirlenmesi, derecelendirilmesi ve kabul edilebilir seviyeye indirilmesi için bir yöntemin kurulması.
Politika ve Prosedürler
Erişim, kimlik, varlık, değişiklik ve tedarikçi yönetimi gibi başlıklarda yazılı, uygulanabilir ve denetlenebilir prosedürler.
Loglama ve İzleme
Kayıt mekanizmasının kurulması, kayıtların bütünlüğünün korunması ve sistem saatlerinin senkronize edilmesi.
Olay Yönetimi
Bilgi güvenliği olaylarının tespiti, sınıflandırılması, müdahalesi ve kayda alınması için tanımlı bir süreç.
İş Sürekliliği
Kritik iş süreçlerinin kesinti hâlinde nasıl sürdürüleceğinin planlanması ve planın test edilmesi.
İki aşamada uyum ve sürdürülebilirlik
Birinci aşama yapıyı kurar, ikinci aşama o yapının yıl boyunca ayakta kalmasını sağlar.
Tebliğ Uyum ve Yönetişim Hizmet Süreci
Kurumunuza özel olarak tüm zorunlu uyum dokümantasyonu hazırlanır ve bilgi sistemleri yönetişim çerçevesi uçtan uca kurgulanır. Amaç, mevcut operasyonunuzu bozmadan ve gereksiz teknik yatırıma girmeden denetlenebilir bir yapı kurmak.
- Mevcut durum incelemesi ve madde bazında boşluk analizi
- Zorunlu politika ve prosedürlerin kuruma özel hazırlanması
- Risk yönetimi ve varlık envanteri çerçevesinin kurulması
- Alınması gereken aksiyonların ayrı bir rapor olarak sunulması
Dış Kaynak Bilgi Güvenliği Sorumlusu
Tebliğ kapsamında tanımlanması gereken Bilgi Güvenliği Sorumlusu rolü, HAR Teknoloji tarafından hizmet modeliyle sağlanır. Kurulan yapı yıl boyunca izlenir; kurum sürekli uyum içinde kalacak şekilde yönlendirilir.
- Kurulan yapının yıl boyunca aktif izlenmesi
- Düzenli danışmanlık ve yönlendirme
- Denetim süreçlerine hazırlık desteği
- Sistem, ağ ve siber güvenlik konularında teknoloji seçimi danışmanlığı
Tebliğ maddeleri ve uyum kapsamı
Değerleme kuruluşlarını ilgilendiren maddeler ve bunların zorunlu mu, kısmi mi olduğu. Kurumunuza özel detaylı inceleme sonucunda alınması gereken aksiyonlar ayrı bir rapor olarak sunulur.
| Tebliğ Maddesi | Başlık | Uyum Kapsamı |
|---|---|---|
| Madde 6 | Bilgi Güvenliği Politikası | Zorunlu |
| Madde 7 | Üst Yönetimin Gözetimi ve Sorumluluğu (Bilgi Güvenliği Sorumlusu) | Zorunlu |
| Madde 8 | Bilgi Sistemleri Risk Yönetimi | Zorunlu |
| Madde 9 | Bilgi Sistemleri Kontrollerinin Tesisi ve Yönetilmesi | Zorunlu |
| Madde 10 | Varlık Yönetimi (Envanter) | Kısmi |
| Madde 11 | Görevler Ayrılığı İlkesi | Kısmi |
| Madde 12 | Fiziksel ve Çevresel Güvenlik | Kısmi |
| Madde 13 | Ağ Güvenliği | Kısmi |
| Madde 14 | Bilgi Sistemlerinin İşletimi (Sistem Güvenliği) | Kısmi |
| Madde 15 | Kimlik Yönetimi | Kısmi |
| Madde 16 | Erişim Yönetimi | Kısmi |
| Madde 21 | Üçüncü Taraflarla Bilgi Değişimi | Zorunlu |
| Madde 22 | Kayıt Mekanizmasının Oluşturulması | Kısmi |
| Madde 23 | Zaman Senkronizasyonu | Zorunlu |
| Madde 25 | Bilgi Sistemleri Edinimi, Geliştirilmesi ve Bakımı | Kısmi |
| Madde 27 | Bilgi Sistemleri Sürekliliği | Kısmi |
Değerleme kuruluşlarına tanınan muafiyetler
Tebliğ'in 30. maddesi, değerleme kuruluşlarına belirli teknik altyapı gerekliliklerinde esneklik tanıyor. Ancak bu durum, bilgi güvenliği yönetişimi ve risk yönetimi sorumluluklarını ortadan kaldırmıyor.
- İleri seviye teknik altyapı gereksinimleri
- Büyük finansal kurumlara özgü sistem zorunlulukları
- Felaket kurtarma (DR) gibi ağır mimari yükler — kısmen
Yaklaşımımız, kurumun yalnızca mevzuata uyum sağlamasını değil; aynı zamanda operasyonel verimlilik ve risk görünürlüğü kazanmasını hedefler. Bu doğrultuda gereksiz teknik yatırımların önüne geçilir, minimum gereksinimle maksimum uyum sağlanır ve denetim süreçleri için hazır bir yapı oluşturulur.
Neden HAR Teknoloji
50'den fazla kuruma aktif olarak destek veriyoruz
Uyum dokümanı yazmakla kalmıyoruz. Belediyelerden değerleme şirketlerine kadar 50'yi aşkın kurumun sistem, ağ ve siber güvenlik süreçlerini fiilen yönetiyoruz; Tebliğ'in istediği kontrolleri sahada kurmuş ve işletmiş bir ekiple çalışıyorsunuz.
Sahadan gelen uzmanlık
Politika metni ile gerçek sistem arasındaki farkı bilen, kurulumu kendi yapan bir ekip.
Denetime hazır dokümantasyon
Kurumunuza özel, madde bazında izlenebilir ve denetimde savunulabilir bir yapı.
Teknoloji seçiminde yönlendirme
İhtiyacınız olmayan ürünü almamanız için bağımsız değerlendirme.
Yıl boyu süreklilik
Kurulan yapının izlenmesi; uyumun tek seferlik bir proje olarak kalmaması.
Tebliğ uyumu hakkında merak edilenler
SPK VII-128.10 Tebliği gayrimenkul değerleme şirketlerini kapsıyor mu?
Evet. Tebliğ, sermaye piyasası kurumlarını ve Türkiye Değerleme Uzmanları Birliği'ni kapsıyor; SPK listesindeki değerleme kuruluşları da yükümlülük altında. Ancak Tebliğ'in 30. maddesi, değerleme kuruluşlarına belirli teknik altyapı gerekliliklerinde muafiyet tanıyor. Muafiyet, bilgi güvenliği yönetişimi ve risk yönetimi sorumluluğunu ortadan kaldırmıyor.
Uyum için son tarih neydi?
Tebliğ 30 Haziran 2025'te yürürlüğe girdi. Geçici 1. madde uyarınca, kripto varlık hizmet sağlayıcılar dışındaki kurumların Tebliğ hükümlerine 31 Aralık 2025'e kadar, 29. maddenin üçüncü fıkrasına ise 31 Aralık 2026'ya kadar uyum sağlaması gerekiyordu. Yani genel uyum süresi dolmuş durumda; uyum çalışmasına henüz başlamamış kurumların gecikmeden harekete geçmesi gerekiyor.
Bilgi Güvenliği Sorumlusu'nu kurum içinden atamak zorunda mıyız?
Tebliğ, bilgi güvenliğinden sorumlu bir rolün tanımlanmasını ve üst yönetime raporlamasını bekliyor. Küçük ve orta ölçekli değerleme şirketlerinde bu rol çoğunlukla tam zamanlı bir istihdam gerektirmiyor; HAR Teknoloji bu rolü dış kaynak hizmet modeliyle sağlıyor.
Uyum çalışması ne kadar sürer ve yeni yatırım gerektirir mi?
Dokümantasyon ve yönetişim çerçevesinin kurulduğu birinci aşama ortalama 2–4 hafta sürüyor. Model, değerleme kuruluşlarının muafiyetleri gözetilerek kurgulandığı için çoğu kurumda ek teknik yatırım gerekmiyor; mevcut altyapı üzerinden minimum gereksinimle uyum hedefleniyor.
Hizmet bedeli nedir?
Hizmet bedeli her kuruma özel belirleniyor. Ölçeklendirme, çalışan sayısına göre değil kurum içinde kullanılan teknolojiler baz alınarak yapılıyor. Kurumunuza özel teklif için bizimle iletişime geçebilirsiniz.
Kurumunuzun uyum durumunu birlikte değerlendirelim
Kısa bir görüşmeyle hangi maddelerde eksiğiniz olduğunu çıkaralım; hizmet bedeli kurumunuzun ölçeğine göre belirlenir.
HAR Teknoloji · SPK VII-128.10 Bilgi Sistemleri Tebliği uyum ve bilgi güvenliği yönetişim hizmeti