BT Departmanı Denetimi: Yetkinlik ve Harcamanın Yerindeliği

Bir şirketin geçen yıl bilgi teknolojilerine ne harcadığını muhasebe iki dakikada söyler. Karşılığında ne aldığını söyleyebilen kurum sayısı çok daha az.

Finansal tablolar her yıl bağımsız denetimden geçiyor, üretim hattı periyodik kontrol görüyor, iş güvenliği düzenli denetleniyor. Şirket bütçesinin yüzde beşini yöneten bilgi işlem tarafı ise genelde tek bir mekanizmayla ölçülüyor: şikâyet sayısı. Şikâyet azaldıysa iyi çalışıyor sayılıyor. Oysa şikâyetin azalması, kullanıcıların artık şikâyet etmeyi bırakmış olmasından da kaynaklanabilir.

Denetimin iki ekseni neden ayrılamıyor?

BT denetimi dendiğinde akla çoğunlukla güvenlik geliyor. Halbuki karar vericinin cevabını aradığı iki ayrı soru var:

Ekip yetkin mi? Doğru insanlar, doğru sayıda, doğru şeylerle mi uğraşıyor?

Para doğru yere mi gidiyor? Harcanan bütçe kurumun gerçek ihtiyacına mı, geçmişten devralınan alışkanlıklara mı hizmet ediyor?

Bu iki soru birbirinden bağımsız görünse de dışarıdan bakan biri için aynı belirtiyi üretiyorlar. Yetkin bir ekibe yetersiz bütçe verilmiş kurum ile şişkin bütçeyi doğru kullanamayan kurum, dışarıdan bakıldığında birbirinin aynısıdır: ikisinde de sistemler yavaş, ikisinde de proje gecikiyor, ikisinde de yönetim “bu kadar para harcıyoruz, hâlâ neden böyle” diye soruyor. Tanı koymadan tedavi yazmak, çoğu kurumda bütçeyi artırıp sorunu büyütmekle sonuçlanıyor.

Sertifika denetimi ile saha denetimi arasındaki fark

Standart tabanlı denetimler değerli, ama farklı bir soruyu yanıtlıyorlar. ISO 27001 ya da benzeri bir çerçeve, esas olarak dokümanın varlığını ve sürecin tanımlı olup olmadığını sorgular. Politika yazılmış mı, prosedür onaylanmış mı, kayıt tutuluyor mu.

Saha bilgisiyle yapılan denetim ise bir adım öteye geçip sistemin gerçekten çalışıp çalışmadığını arar. Aradaki fark, pratikte şuna benziyor:

Doküman denetimi sorar	Saha denetimi sorar
Yedekleme politikanız var mı?	Son geri dönüş provası ne zaman yapıldı, kaç saat sürdü, kim yaptı?
Erişim yetkilendirme prosedürünüz var mı?	Son ayrılan beş çalışanın hesapları hangi gün kapandı?
Varlık envanteriniz güncel mi?	Envanterdeki cihaz sayısı ile ağa bağlanan cihaz sayısı arasındaki fark kaç?
Yama yönetimi süreciniz tanımlı mı?	Bugün itibarıyla kaç sunucu üç aydan eski durumda?
Felaket kurtarma planınız var mı?	Ana sunucu odası bu sabah su alsaydı, ilk siparişi kaçıncı saatte girebilirdiniz?
Tedarikçi sözleşmeleri arşivde mi?	Bu yıl kendiliğinden yenilenen kaç sözleşme var, hangileri kullanılmıyor?

Sağdaki soruların ortak özelliği, cevabın kanıtla verilmek zorunda olması. “Var” demek yetmiyor; tarih, süre, kayıt, ekran görüntüsü gerekiyor. Kanıt üretilemeyen her madde, denetim raporunda beyan olarak değil bulgu olarak yer alıyor.

Bu yaklaşımın bir avantajı daha var: kurumun bir standarda hazırlanması gerekmiyor. Sertifikasyon denetiminde kurum aylarca doküman hazırlar, denetim gününe kadar boşlukları kapatır ve denetim büyük ölçüde o hazırlığı ölçer. Saha denetimi hazırlıksız girilen bir sınav gibi çalışır, dolayısıyla gerçek durumu gösterir.

Yetkinlik ekseni: ekip neyi ne kadar iyi yapıyor?

Yetkinliği sertifika listesiyle ölçmek yanıltıcı. Sertifikası olmayan çok iyi sistem yöneticileri de var, duvarı sertifika dolu olup üretim ortamına dokunamayanlar da. Ölçüm, çıktının kendisine bakmalı.

Tek kişiye bağımlılık. Denetimdeki en açıklayıcı soru genelde şu oluyor: “Ekipteki en kritik kişi iki hafta izne çıksa ne durur?” Cevap “hiçbir şey” ise ya ekip gerçekten olgun ya da soru ciddiye alınmamıştır; ikisi ayırt edilebiliyor. Cevap net bir liste ise, elinizde risk haritasının ilk sayfası var demektir. Bilginin tek bir kafada durması bir suç değil, bir yapı hatasıdır ve düzeltmesi genelde birkaç haftalık iştir.

Tepkisel iş ile önleyici iş oranı. Ekip zamanının ne kadarını arıza kapatarak, ne kadarını arızayı önleyerek geçiriyor? Bunun kaba ama işe yarar bir göstergesi, aynı kök nedenden tekrar eden çağrıların oranı. Aynı yazıcı ayda dört kez arızalanıyorsa, dördü de “çözüldü” olarak kapatılmış olabilir; hiçbiri gerçekten çözülmemiştir.

Kadro büyüklüğünün karşılığı. Uluslararası karşılaştırmalarda BT kadrosu genelde 100 kullanıcı başına 0,7 ile 4,3 kişi arasında değişiyor, ortanca değer 1,6 civarında. Yardım masası tarafında yaygın referans, teknisyen başına 70-100 kullanıcı. Bu rakamlar hedef değil, sapmayı görmek için ölçüt. 40 kişilik bir şirkette üç kişilik bilgi işlem varsa sorulacak soru “fazla mı” değil, “bu üç kişi neyle meşgul” olmalı.

Karar kalitesi. Son üç büyük satın alma kararının gerekçesine bakmak, çoğu teknik testten daha çok şey anlatıyor. Alternatifler değerlendirilmiş mi, karar bir ihtiyaç analizine mi yoksa tedarikçinin sunumuna mı dayanıyor, karardan sonra beklenen fayda ölçülmüş mü?

Tedarikçiyi kim yönetiyor? Sağlıklı bir yapıda bilgi işlem tedarikçiyi yönetir. Tersine döndüğünde belirti bellidir: sözleşme yenileme tarihleri tedarikçiden öğrenilir, sorunun teşhisi tedarikçinin beyanıyla sınırlı kalır, alternatif teklif alınmaz. Bu, ekibin beceriksizliğinden çok yetki ve zaman yokluğundan kaynaklanır; denetimin işi bunu ayırt etmek.

Yazılı olan ile bilinen arasındaki mesafe. Ağ şeması güncel mi, sunucu parolaları nerede duruyor, kritik uygulamanın tedarikçi iletişim bilgisi kimde? Bu üçünden ikisi “sorayım” cevabı alıyorsa, kurumun BT bilgisi kurumda değil kişilerde duruyor demektir.

Harcama ekseni: bütçe nereye gidiyor?

Harcama denetiminde amaç maliyeti kısmak değil, harcamanın kurumun ihtiyacıyla örtüşüp örtüşmediğini görmek. Üretimi durduran ucuz bir altyapı, pahalı bir altyapıdan çok daha maliyetlidir.

Başlangıç noktası iki karşılaştırma:

Ciro payı. Sektör ortalamalarında BT harcaması ciroya oran olarak yaklaşık %2 ile %10 arasında dağılıyor; genel ortalama %5,7 civarında ölçülüyor. İmalat ve benzeri sermaye yoğun sektörler alt bantta (%2-5), finans üst bantta (%7-10) yer alıyor. Küçük ölçekli kurumlarda oran doğal olarak yükseliyor, çünkü sabit maliyetler daha az kullanıcıya bölünüyor.

Çalıştırma, büyütme, dönüştürme dağılımı. Bütçenin ne kadarı mevcudu ayakta tutmaya, ne kadarı kapasite artırmaya, ne kadarı yeni yetenek kazandırmaya gidiyor? Yaygın referans 70/20/10 civarında. Çalıştırma kalemi %80’i aştığında kurum artık bir yatırım değil, bir bakım gideri finanse ediyor demektir; bütçeyi artırmak da sorunu çözmez, sadece büyütür.

Denetimde tekrar tekrar aynı yerlerden para çıkıyor:

Kalem	Tipik bulgu	Karşılaştırma verisi
Kiralık yazılım abonelikleri	Alınan lisansın önemli kısmı hiç kullanılmıyor	Sektör ölçümlerinde kullanılmayan lisans oranı %36-46 bandında
Bulut kaynakları	Gereğinden büyük ayarlanmış, kapatılmayı unutmuş kaynaklar	2026 ölçümlerinde bulut harcamasının %29’u israf olarak sınıflanıyor
Kendiliğinden yenilenen sözleşmeler	Fesih penceresi kaçtığı için bir yıl daha ödenen hizmetler	—
Üst üste binen araçlar	Aynı işi yapan iki, bazen üç ayrı ürün	—
Bilgi işlem dışında alınan yazılımlar	Departmanların kendi bütçesinden aldığı, envanterde görünmeyen abonelikler	2027’de çalışanların %75’inin BT’nin görüş alanı dışında teknoloji edineceği öngörülüyor
Ölü hatlar ve donanım	Kapatılmamış hatlar, kullanılmayan cihazların bakım sözleşmeleri	—

Bu kalemlerin ortak özelliği, hiçbirinin kötü niyetten kaynaklanmaması. Hepsi zamanla birikiyor. Bir kişi ayrılıyor, lisansı iptal edilmiyor. Bir proje bitiyor, test sunucusu kapatılmıyor. Bir departman kendi aracını alıyor, kimse haberdar olmuyor. Denetimin değeri tam olarak burada: kimsenin görevi olmayan işi bir kere yapmak.

Bir uyarı da gerekli. Tasarruf başlığı altında ilk kesilen kalemler genelde yedekleme, izleme ve eğitim oluyor; çünkü üçü de kesildiğinde ertesi gün hiçbir şey olmuyor. Etkileri altı ay sonra, kötü bir günde ortaya çıkıyor. Harcama denetimi bu kalemleri savunmakla, gereksiz kalemleri ayıklamak kadar ilgilenmeli.

Denetim pratikte nasıl yürüyor?

İşleyen bir kurumsal denetim genelde bir haftalık saha çalışmasına sığıyor.

1. Talep listesi. Sahaya gitmeden önce belge istenir: envanter dökümü, sözleşme listesi, son on iki ayın BT gider dökümü, organizasyon şeması, çağrı kayıtları. Bu listenin ne kadarının kaç günde gelebildiği, denetimin ilk bulgusudur.
2. Görüşmeler. Yalnız bilgi işlemle değil. Üretim, satış, muhasebe ve satın alma tarafından üçer dörder kişiyle konuşulmadan tablo tamamlanmıyor. Aynı olayın iki farklı anlatımı, çoğu zaman raporun en değerli kısmını oluşturuyor.
3. Kanıt örneklemesi. Her iddia için rastgele seçilmiş birkaç örnek istenir. Bütün yedeklerin dönüp dönmediği test edilemez; üç tanesi seçilip denenir.
4. Ölçüm ve karşılaştırma. Rakamlar sektör bantlarıyla ve kurumun kendi geçmişiyle karşılaştırılır.
5. Rapor ve kapanış toplantısı. Bulgular para ve risk büyüklüğüne göre sıralanır, her maddeye bir sorumlu ve bir tarih önerilir.

Raporun uzunluğu bir kalite göstergesi değil. İki yüz sayfalık bir doküman genelde okunmaz. On beş bulgunun büyükten küçüğe sıralandığı, her birinin karşısında tahmini tutarın, önerilen aksiyonun ve süresinin yazdığı bir tablo, yönetim kurulunda gerçekten kullanılıyor.

Denetimin insan tarafı

Bu tür bir çalışmanın en kırılgan yanı teknik değil. Bilgi işlem ekibi denetimi doğal olarak bir soruşturma gibi okuyor ve savunmaya geçiyor. Savunmaya geçmiş bir ekipten kanıt toplamak çok zorlaşıyor.

Sahada işe yarayan birkaç kural var. Denetim kişiyi değil sistemi ölçtüğünü baştan söylemeli. Ekibe kendi değerlendirmesini ilk elden yazma imkânı verilmeli; çoğu ekip zaten sorunların yarısını biliyor, sadece bunu yönetime anlatacak bir dil bulamamış oluyor. Bulgular kapanış toplantısında yönetimle paylaşılmadan önce ekiple paylaşılmalı. Ve rapor, çözümü olmayan bir eleştiri listesine dönüşmemeli.

Uygulamada denetimin en sık sonucu, bilgi işlem ekibinin işten çıkarılması değil; yıllardır talep ettikleri bütçenin nihayet onaylanması oluyor. Bağımsız bir raporun ekibe sağladığı en somut fayda genelde bu.

Sıkça sorulan sorular

Bilgi işlem hizmetimizi zaten dışarıdan alıyoruz. Denetim yine anlamlı mı? Fazlasıyla. Dış kaynak modelinde denetimin odağı ekip yetkinliğinden sözleşme ve hizmet kalitesine kayıyor: verilen hizmet fatura edilenle örtüşüyor mu, yanıt süreleri sözleşmedeki taahhüde uyuyor mu, sistem yönetici parolaları ve kayıtlar kurumun elinde mi. Sonuncusu, sağlayıcı değiştirmek gerektiğinde belirleyici oluyor.

Denetim ne kadar sürer ve şirketin işini aksatır mı? Orta ölçekli bir kurumda saha çalışması tipik olarak üç ile beş gün. Aksatan kısmı görüşmeler; kişi başına yarım saat ile bir saat arası ayrılıyor. Sistemlere müdahale edilmediği için üretim tarafı etkilenmiyor.

Denetimin bedeli baştan belli mi? Hayır, çünkü kapsam kurumdan kuruma çok değişiyor. Tek lokasyonlu bir yapı ile beş şubeli, iki ayrı ERP çalıştıran bir yapı aynı işi gerektirmiyor. İşleyen sıra şu: önce talep alınır, kısa bir ön görüşmeyle işin derinliği ve kapsamı netleştirilir, teklif bundan sonra çıkarılır.

Mevcut bilgi işlem müdürümüz bu denetimi kendi yapamaz mı? Kendi yaptığı işi ölçmesi isteniyorsa sonucu peşinen belli. Bağımsızlığın değeri burada; ayrıca dışarıdan gelen kişi başka kurumlarda ne gördüğünü karşılaştırma ölçütü olarak getiriyor. İç ekibin hazırladığı öz değerlendirme, bağımsız denetimin yerine değil girdisi olarak kullanılabilir.

Rapor sonrası uygulamayı da denetimi yapan taraf mı üstlenmeli? İkisini ayırmak daha sağlıklı. Denetimi yapan tarafın kendi satacağı çözümü önermesi, raporun güvenilirliğini zedeliyor. Uygulama ayrı bir karar olarak ele alınmalı ve rapor, birden fazla sağlayıcıyla ilerlenebilecek biçimde yazılmalı.

Ne sıklıkla tekrarlanmalı? İlk denetimden bir yıl sonra bir takip çalışması, sonrasında iki yılda bir yeterli oluyor. Ara dönemde kurum içinde takip edilmesi gereken şey rapor değil, rapordaki maddelerin kapanma oranı.

Kurumunuzun bilgi işlem tarafını bu iki eksen üzerinden bağımsız olarak değerlendirmek isterseniz, kapsam ve süre üzerine bir ön görüşme talebini iletişim formundan iletebilirsiniz.