COBIT 5'ten COBIT 2019'a: BT yönetişimi neden ve nasıl uygulanır

COBIT (Control Objectives for Information and Related Technologies), ISACA’nın kurumsal bilgi ve teknolojinin yönetişimi ve yönetimi için yayımladığı çerçevedir. Temel sorusu şudur: BT’ye harcanan para ve emek işe gerçekten değer katıyor mu, riskler kabul edilebilir düzeyde mi ve bundan kim hesap veriyor?

Bu yazının 2020’deki ilk hâli, COBIT 5 sertifikamı aldıktan sonra tuttuğum kısa bir nottu. Aradan geçen sürede sahada kullanılan sürüm COBIT 2019 oldu; ISACA ise 2026’da COBIT’in 30. yılında, içeriğin büyük kısmının dijital sunulacağı bir güncellemeyi yıl içinde yayımlamayı planladığını duyurdu. Bu yüzden notu, COBIT 5’ten COBIT 2019’a geçişi ve orta ölçekli bir şirkette uygulamayı anlatan bir rehbere dönüştürdüm.

Neden COBIT? Eski notumdaki gerekçeler hâlâ geçerli

2020’de “Neden COBIT 5” başlığı altında beş madde yazmıştım. Bugün de aynı gerekçelerle başlıyorum:

• Katılım ve şeffaflık: Yönetim kurulu ve iş birimleri, BT kararlarının neye göre verildiğini görmek istiyor.
• Sorumlulukların netliği: Bilgi ve teknolojiyle ilgili her kararın bir sahibi olmalı; “BT halleder” bir sahiplik tanımı değil.
• Üçüncü taraflara bağımlılık: Bulut, yazılım hizmeti (SaaS) ve dış kaynak arttıkça tedarikçi riski yönetişim konusu hâline geldi.
• Şemsiye çerçeve: COBIT, farklı standartları tek bir yapı altında toplamak için tasarlandı.
• ISACA çerçevelerinin birleşimi: COBIT 5, daha önce ayrı olan Val IT ve Risk IT çerçevelerini tek çatı altına almıştı.

Bu listeye bugün bir madde eklerdim: yapay zekâ. Modeller, veri ve otomasyon kararları artık doğrudan iş sonuçlarını etkiliyor. ISACA da 2025’te COBIT’in yapay zekâ sistemlerinin yönetişiminde nasıl kullanılacağını anlatan bir rehber yayımladı. Yapay zekâ ajanlarında yetki ve denetim konusunu yapay zekâ ajanları ve MCP yazısında ele aldım.

Yönetişim ile yönetim arasındaki fark nedir?

COBIT’in en kalıcı katkısı bu ayrımdır. Yönetişim (governance) paydaş ihtiyaçlarını değerlendirir, yön verir ve sonuçları izler; sorumlusu yönetim kuruludur. Yönetim (management) ise bu yöne uygun olarak planlar, kurar, işletir ve izler; sorumlusu genel müdür ve yönetim ekibidir.

	Yönetişim	Yönetim
Soru	Doğru şeyleri mi yapıyoruz?	Şeyleri doğru mu yapıyoruz?
Sahibi	Yönetim kurulu	Genel müdür ve üst yönetim
COBIT alanı	EDM: Değerlendir, Yönlendir, İzle	APO: Hizala, Planla, Organize Et; BAI: Kur, Edin, Uygula; DSS: Sun, Hizmet Ver, Destekle; MEA: İzle, Değerlendir, Ölç
Örnek çıktı	Risk iştahı, yatırım öncelikleri	Proje planı, değişiklik takvimi, güvenlik kontrolleri

Kendi deneyimimde bu ayrımın pratik karşılığı şu: BT müdürü hem kararı verip hem uygulayıp hem de kendini denetliyorsa, orada yönetişim yoktur, yalnızca yönetim vardır.

COBIT 5: beş ilke ve yedi etkinleştirici

COBIT 5, 2012’de yayımlandı ve beş ilkeye dayanıyordu:

1. Paydaş ihtiyaçlarını karşılamak (Meeting Stakeholder Needs)
2. Kurumu uçtan uca kapsamak (Covering the Enterprise End-to-End)
3. Tek, bütünleşik bir çerçeve uygulamak (Applying a Single, Integrated Framework)
4. Bütüncül bir yaklaşımı mümkün kılmak (Enabling a Holistic Approach)
5. Yönetişimi yönetimden ayırmak (Separating Governance From Management)

Bütüncül yaklaşımın araçları yedi etkinleştiriciydi (enabler): ilkeler, politikalar ve çerçeveler; süreçler; organizasyonel yapılar; kültür, etik ve davranış; bilgi; hizmetler, altyapı ve uygulamalar; insanlar, beceriler ve yetkinlikler. Mesaj açıktı: yalnızca süreç yazarak yönetişim kurulmaz; kültür, beceri ve bilgi de aynı ağırlıkta tasarlanmalıdır. COBIT 5, bu yapıyı beş alana dağılmış 37 süreçle somutlaştırıyordu.

COBIT 2019’da neler değişti?

2018 sonunda yayımlanan COBIT 2019, COBIT 5’in devamıdır ama uygulama biçimini belirgin şekilde değiştirdi. ISACA’nın karşılaştırmasına göre temel farklar şunlar:

Konu	COBIT 5	COBIT 2019
Çekirdek model	37 süreç	40 yönetişim ve yönetim hedefi
Yeni hedefler	—	APO14 Yönetilen Veri, BAI11 Yönetilen Projeler, MEA04 Yönetilen Güvence
İlkeler	5 ilke	6 yönetişim sistemi ilkesi ve 3 yönetişim çerçevesi ilkesi
Yapı taşları	7 etkinleştirici	7 bileşen (component) ve odak alanları (focus area)
Uyarlama	Hedef şelalesi	Hedef şelalesi ve 11 tasarım faktörü
Yetkinlik ölçümü	ISO/IEC 15504/33000 tabanlı 0–5 ölçek	CMMI tabanlı 0–5 yetkinlik seviyeleri

40 hedef beş alana dağılır: EDM altında 5, APO altında 14, BAI altında 11, DSS altında 6 ve MEA altında 4 hedef. Her hedef tek bir sürece karşılık gelir ve o sürecin organizasyonel yapı, bilgi, beceri gibi diğer bileşenleriyle birlikte tanımlanır.

Tasarım faktörleri

COBIT 2019’un en işe yarar yeniliği, çerçevenin kuruma göre nasıl biçimleneceğini sistematik hâle getiren 11 tasarım faktörüdür: kurum stratejisi, kurum hedefleri, risk profili, BT ile ilgili sorunlar, tehdit ortamı, uyum gereksinimleri, BT’nin rolü, BT kaynak kullanım (sourcing) modeli, BT uygulama yöntemleri, teknoloji benimseme stratejisi ve kurum büyüklüğü. Örneğin kişisel veri yoğun çalışan bir perakendeci için uyum gereksinimleri yüksek puan alır ve veri ile güvenlik hedefleri öne çıkar. Yazılımı çevik yöntemlerle geliştiren bir şirkette değişiklik ve proje hedeflerinin tasarımı farklılaşır.

Yetkinlik seviyeleri

COBIT 2019, süreç etkinliklerine 0–5 arası yetkinlik seviyesi atar. Kabaca 0 temel yetkinliğin olmadığını, 1 etkinliklerin kısmen yapıldığını, 2 temel etkinliklerin eksiksiz yapıldığını, 3 sürecin tanımlı ve kurum genelinde organize olduğunu, 4 nicel olarak ölçüldüğünü, 5 ise sürekli iyileştirildiğini gösterir. Benim önerim, orta ölçekli bir şirkette ilk hedefi çoğu süreç için 2, kritik birkaç süreç için 3 olarak koymaktır. Her şeyi 4’e taşımaya çalışan program, belge üretmekten iş yapmaya vakit bulamaz.

ITIL ve ISO/IEC 27001 ile ilişkisi

Yöneticilerin en sık sorduğu soru “Hangisini seçelim?” oluyor. Cevabım: seçim değil, katmanlama.

Çerçeve	Cevapladığı soru	COBIT ile ilişkisi
COBIT 2019	Neyi yönetmeliyiz, kim hesap verir, ne kadar iyi yapıyoruz?	Şemsiye çerçeve
ITIL 4	BT hizmetleri nasıl tasarlanır, sunulur ve iyileştirilir?	Özellikle BAI ve DSS hedeflerinin operasyonel ayrıntısı
ISO/IEC 27001	Bilgi güvenliği yönetim sistemi nasıl kurulur ve belgelendirilir?	APO13 ve DSS05 ile güçlü örtüşme

ISO/IEC 27001 kurumların belgelendirilebildiği bir yönetim sistemi standardıdır. COBIT ise kurum belgelendirmesi için değil, uyarlanarak kullanılacak bir çerçeve olarak tasarlanmıştır; ISACA’nın COBIT sertifikaları bireylere yöneliktir. Bu yüzden ISO 27001 belgesi olan bir şirkette COBIT, güvenliği diğer BT alanlarıyla aynı yönetişim masasına oturtmak için kullanılabilir.

Orta ölçekli bir şirkette ilk 90 gün

COBIT uygulama rehberi yedi aşamalı bir yaşam döngüsü önerir: itici güçler neler, neredeyiz, nereye gitmek istiyoruz, ne yapılmalı, oraya nasıl gideriz, vardık mı ve ivmeyi nasıl koruruz. Aşağıdaki plan bu döngünün ilk turunu 90 güne sığdırır.

Gün 1–30: Neden ve neredeyiz?

1. Genel müdürü sponsor olarak netleştirin; COBIT bir BT projesi olarak başlarsa BT projesi olarak ölür.
2. Genel müdür, finans, iş birimleri ve BT’den oluşan bir BT yönetişim kurulu kurun; ayda bir toplansın.
3. Paydaşlarla görüşüp BT ile ilgili sorunları listeleyin: sık kesinti, geciken projeler, denetim bulguları, tedarikçi bağımlılığı.
4. Tasarım faktörleri atölyesi yapın: strateji, risk profili, KVKK gibi uyum gereksinimleri, dış kaynak modeli.
5. Aday hedeflerde hızlı bir mevcut durum değerlendirmesi yapın.

Gün 31–60: Nereye gitmek istiyoruz, ne yapılmalı?

1. Beş ila yedi öncelikli hedef seçin. Orta ölçekli şirketlerde sık öne çıkanlar: APO12 Risk, APO13 Güvenlik, BAI06 BT Değişiklikleri, DSS04 Süreklilik, DSS05 Güvenlik Hizmetleri, APO10 Tedarikçiler, MEA01 Performans ve Uyum İzleme.
2. Her hedef için hedef yetkinlik seviyesini ve iki-üç ölçütü belirleyin.
3. Sorumlulukları RACI tablosuyla yazın.
4. Politika setini sadeleştirin: bilgi güvenliği, değişiklik, yedekleme ve tedarikçi politikaları.

Gün 61–90: Oraya nasıl gideriz, vardık mı?

1. Görünür ilk iyileştirmeleri hayata geçirin: değişiklik takvimi ve onay toplantısı, yetki gözden geçirmesi, yedekten geri dönüş testi, kritik tedarikçi sözleşmelerinin hizmet seviyesi kontrolü.
2. Kurula ilk ölçüt panosunu sunun.
3. Sonraki 12 ayın yol haritasını ve ikinci turda eklenecek hedefleri belirleyin.

Yapay zekâ girişimlerini aynı disiplinle ele almak için CIO’lar için yapay zekâ yol haritası yazısındaki 90 günlük yaklaşım bu planla birlikte kullanılabilir.

RACI örneği

RACI; R (Responsible) işi yapanı, A (Accountable) hesap vereni, C (Consulted) danışılanı, I (Informed) bilgilendirileni gösterir. Her satırda yalnızca bir A olmalıdır. Aşağıdaki tablo COBIT’ten kopyalanmış değil, orta ölçekli bir şirket için hazırladığım bir başlangıç örneğidir; COBIT yayınlarındaki ayrıntılı RACI tablolarıyla karşılaştırıp kendi yapınıza uyarlayın.

Etkinlik (COBIT hedefi)	Yönetim kurulu	Genel müdür	CIO / BT müdürü	Bilgi güvenliği sorumlusu	İş birimi yöneticisi	İç denetim
Yönetişim çerçevesini onaylamak (EDM01)	A	R	C	C	I	C
Risk iştahını belirlemek (EDM03)	A	R	C	C	C	C
BT risk kaydını güncel tutmak (APO12)	I	A	R	R	C	I
Güvenlik politikası ve kontrolleri (APO13)	I	A	C	R	C	I
Değişiklikleri onaylamak (BAI06)	–	I	A	C	R	I
Performans ve uyumu izlemek (MEA01)	I	A	R	C	C	I
Bağımsız güvence sağlamak (MEA04)	A	I	C	C	I	R

Sonuç

COBIT’i doğru uygulamanın ölçüsü üretilen belge sayısı değil, yönetim kurulu toplantısında BT’nin artık teknik ayrıntı değil risk, değer ve öncelik diliyle konuşulmasıdır. Sahada en sık gördüğüm hata, çerçeveyi bir dokümantasyon projesine çevirmek. Benim önerim küçük başlamak: birkaç hedef, net RACI, ölçülebilir ölçütler ve düzenli toplanan bir kurul. Kurumsal BT yöneticiliğinde bu disiplinin bana ne kazandırdığını kurumsal BT yöneticiliğinden yapay zekâ girişimciliğine yazısında anlattım.