Sürekli Denetim Teknolojisi. S.M.M.M. Prof. Dr. Birol YILDIZ

Transkript

1 Sürekli Denetim Teknolojisi S.M.M.M. Prof. Dr. Birol YILDIZ

2 2 Bugün İş hayatı giderek hızlanıyor: Rakibin fiyat değişikliğine yaklaşık 2 dakika içinde tepki verilmekte Bir alım-satım web üzerinde 120 milisaniyede gerçekleşmekte İşletmeler çok çeşitli risklerle karşı karşıya. İşletmeler 7/24 risk altında. Ekonomik işlemler çok miktarda ve yüksek değerli olarak gerçekleşebiliyor. Birçok işlem dijital ortamda başlıyor ve sonuçlanıyor.

3 İşletmeniz bir felaketten birkaç tık uzakta olabilir (!). 3

4 4 Sonra, Çok Geç Bugünün dünyasında sonra yapılan iç denetim, çok geç yapılmış olabilir. Bu koşullarda iç denetimin de dijital ortamda ve hızla yerine getirilmesi kaçınılmaz hale gelmiştir. Bugün sürekli denetim ve izleme bir seçenek değil, bir zorunluluktur.

5 5 Sürekli Denetimin Teknolojik Altyapısı Hazırdır Sürekli denetim için gerekli teknoloji elimizin altında: Nesnelerin interneti Büyük veri Yapay zeka Uygun maliyet

6 6 Nesnelerin İnterneti = Bilgisayarın Gözü Kulağı Nesne: makine, araç, lamba, kapı, musluk, «hemen her şey», Nesnelerin internet üzerinden haberleştikleri ağ (IoT). Bilgisayarın algılama sistemi Küçük bir bilgisayar (single board computer) Küçük, ucuz ve az enerji tüketmeleri Raspberry Pi Zero Raspberry Pi 3

7 7 Dijital Ortamda Veri ve Kanıt Toplama Nesnelerin interneti ile ihtiyaç duyduğumuz her alanda, gerçek zamanlı veri/kanıt, uygun bir maliyetle toplanabilir. Nesnelerin interneti teknolojisi ile elde edebileceğimiz yeni veri ve kanıtlara örnekler : bir makinenin kaç saat çalıştığı, bir musluktan kaç lt su geçtiği, bir noktadan kaç kişinin geçtiği ve kimlerin geçtiği, prizden ne kadar elektrik akımı çekildiği, kapının kaç defa açıldığı, konum, sıcaklık, ses, görüntü, vb.

8 8 Sunucusuz Bilgiişlem Sunucusuz yazılımlar (Serverless Computing), belli koşullar gerçekleşinceye kadar bulutta pasif bir halde beklerler, bir tetikleyici işlemin gerçekleşmesi ile aktive olur ve görevlerini yerine getirirler. Nesnelerden veri/kanıt toplamak için Örneğin: çalışanlar mesai saatleri içinde işyerlerini veya konumlarını terk ettiklerinde bunu bir Excel satırı olarak kaydet, bir müşteri sosyal medyada olumsuz bir paylaşımda bulunduğunda bunu bir veri tabanına yaz, belli bir bölgede hava yağmurlu olduğunda o bölgeye şu ürünleri sevk et, kapıdan kızgın bir müşteri çıktığında bana sms at vb.

9 9 Büyük Verinin 3 Özelliği Çok miktarda veri (>1 TB ve üstü), adlandırmak için büyük veri kavramı kullanılmaktadır. Çok çeşitli (yapısal olmayan) verinin ağırlıkta olduğunu rahatlıkla söyleyebiliriz. Metin, ses, video, Tweet, SMS, Çok hızlı veri (frekansı yüksek veri) yığınıdır. Borsa işlemleri, haberler, müşteri şikayetleri,

10 10 Alternatif (Dış) Veri Sürekli güvence açısından, büyük veri kavramı sadece işletme içinde üretilen veri olarak algılanmamalıdır. Büyük veri aynı zamanda, alternatif veri olarak adlandırılan, dış verileri de içermektedir. Örneğin normalde düşük frekanslı olarak yayınlanan enflasyon, işsizlik, büyüme, ihracat gibi verileri daha yüksek frekanslı (belki gerçek zamanlı) ulaşıp kullanabiliriz.

11 11 Bulut Bilgiişlem Büyük veri ile çalışırken, bu kadar çok verinin depolanması ve işlenmesi sorunu bulut bilgiişlem ile çözülmektedir. Bulut bilgiişlem, çok miktardaki veriyi işleyecek yazılımları da sağlamaktadır. GCP: Google Cloud Platform, AWS:Amazon Web Services, Microsoft Azure

12 12 Sürekli Denetim Büyük Veri Aralıklarla yapılan iç denetim faaliyetinde örnekleme yapmak, zorunlu olarak uyguladığımız bir yoldu. Oysa sürekli denetimin hedefinde tüm işlemler vardır. Sürekli denetim ve sürekli izleme ile sürekli güvence sağlanması söz konusu olduğunda, ortaya çıkan veri kesinlikle büyük veridir.

13 13 Görselleştirme: Bir resim bin kelimeye eşittir. İnsan beyninde zekanın kaynağı olarak kabul ettiğimiz neo-korteksin yarısından fazlası görsel algıya ayrılmış durumdadır. Görselleştirme veriyi kısa zamanda, kolaylıkla ve daha iyi anlamamızı sağlar, verinin içindeki ilişkileri yakalamamıza yardımcı olur. Veriyi görselleştirme için kullanılan yazılımlara örnekler: Tableau, Qlik Sense, Microsoft BI, Tibco Spotfire,

14 Tableau 14

15 15 Veri Bilimi (Data Science) Verinin bulunup, elde edilmesinden, analiz edilip işletme veya kurum için yararlı bilgiler elde edilmesine kadar, uçtan uça gerçekleştirilen iş, veri bilimi olarak adlandırılmaktadır. Veri biliminin yolu, Python ve/veya R programlama dillerinden geçmektedir. Python ve R programlama dilleri, özellikle veri bilimi için çok yararlı kütüphaneler ile genişletilebilirler. Python ve R, ücretsiz, açık kaynak kodlu yazılım ve kütüphanelerden oluştukları için, şeffaf ve denetime uygun platformlardır.

16 16 Yapay Zeka ve Makine Öğrenmesi Yapay zeka, öğrenme, yaratıcılık, sezgi gibi yetenekleri, bir insan düzeyinde sergileyebilecek sistemleri tanımlar. Bu tür bir sistemden henüz uzak olduğumuzu söylemek gerekir. Makine öğrenmesi algoritmaları, dar bir konuda, veriden (örneklerden) öğrenme yeteneği gösterirler. Bu algoritmalar zaman içinde performanslarını geliştirebilirler. Yapay Zeka Makine Öğrenmesi Derin Öğrenme

17 17 Derin Öğrenme Derin Öğrenme, bir makine öğrenmesi algoritmasıdır. Derin öğrenme, bazı alanlarda insandan daha iyi performans sergiler hale gelmiştir. Derin öğrenme, Dünya Go şampiyonunu yenen AlphaGo adlı sistemi, Facebook un yüz tanıma, Google un konuşma tanıma ve otonom araçlar gibi birçok başarılı uygulamanın arkasında yer alan algoritmadır.

18 18 Makine Öğrenmesi Türleri Gözetimli Öğrenme Makine Öğrenmesi Gözetimsiz Öğrenme Destekli Öğrenme

19 19 Gözetimli Öğrenme: Makinenin, öğrenmesini istediğimiz ilişkiye ait girdi ve çıktı örneklerinin sisteme verildiği bir öğrenme yoludur.

20 20 Gözetimsiz Öğrenme: Bu öğrenme türünde sadece girdiler kullanılır. Algoritma, girdilerin birbirleri ile ilişkisini öğrenir. Girdiler arasındaki örüntüler keşfedilir ve bizim görmediğimiz birçok ilişki ortaya çıkartılabilir.

21 21

22 22

23 23

24 24

25 Sürekli Denetim Teknolojisi 25

26 26 Birinci ve ikinci savunma hattı, spesifik amaçlar için gerekli kontrolleri oluşturur ve bu kontrolleri izler. Ancak birinci ve ikinci savunma hattının çıktılarında, kontrollerdeki zayıflıklar nedeniyle uygunsuzluklar ve riskler bulunabilir. Üçüncü savunma hattını oluşturan iç denetim, birinci ve ikinci savunma hatlarının çıktıları olan veriler ve iç kontrol sistemi üzerinde denetim gerçekleştirir.

27 27 Aslında iç denetçinin denetim sürecinde yaptığı temel bir iş vardır: işlemlerde bir anomali olup olmadığını belirlemek. Bunun için gözlem yapar ve çok miktarda işleme ait verinin modellemesini zihninde oluşturur. Denetçinin zihnindeki bu model I. ve II. savunma aşmış hata ve uygunsuzlukları (anomalileri) yakalanmasını sağlar. İnsanlar haftada bir veya iki modeli iyi bir şekilde oluşturabilirken, bir makine binlerce model oluşturabilir (Thomas H. Davenport, 11 Eylül 2013, WSJ).

28 28 Temel amaç, makine öğrenmesi algoritmalarının iç denetçinin gibi davranmalarını sağlamaktır. İç denetimde makine öğrenmesinin kullanılması, bilgisayarın denetim için gerekli kuralları verilerden (örneklerden) öğrenmesi demektir. Bu yaklaşımı eğit ve kullan olarak özetleyebiliriz. Aslında, iç denetim amacıyla kullanılan bir makine öğrenmesi algoritmasının yerine getirmesi gereken temel işlev de anomali saptamadır.

29 29 Bunun için: Her bir kontrol noktasında gözetimli ve gözetimsiz öğrenme algoritmaları ile ayrı ayrı modelleme yapılması gerekir. Gözetimli öğrenme için denetçinin elinde daha önce denetim yaptığı örnek bir veri seti bulunmalıdır. Veri setinin içerdiği girdiler denetçinin denetimini yaptığı işlemler, çıktılar ise denetçinin bu işlemler üzerindeki değerlendirmeleridir.

30 30 Bu makine öğrenmesi algoritması eğitildiğinde, algoritma kontrol noktasının çıktıları üzerinde denetçinin vekili gibi davranabilir. Makine öğrenmesi algoritması, kontrol noktasının çıktılarında uygunsuzluk olasılığı taşıyan işlemleri belirleyebilir. Uygunsuzluk olasılığı taşıyan işlemler kırmızı bayrakla işaretlenerek bir rapor haline getirilebilir veya kontrol noktasının taşıdığı risk düzeyine göre bir alarmla iç denetçi hızla uyarılabilir.

31 31 Kırmızı bayrakların toplam işlem sayısına oranı kontrol noktasının riskini belirleyecektir. Gözetimli öğrenme modelinin yüksek oranda anomali tespit etmesi ve iç denetçinin bunlarda uygunsuzluk bulması, o noktada kontrolün yeterli derecede iyi tasarlanmadığının ve iyi çalışmadığının bir göstergesi olacaktır.

32 32 Kırmızı bayrakların saatlik, günlük, haftalık ve aylık vb. periyotlarda, kontrol noktalarına göre ve tüm işletme dikkate alınarak raporlanması gerekir. Bunların ayrıca işlem sayısı dikkate alınarak sıralanması, bölgelere ve örgüt içindeki yerlerine göre gruplanması gerekir. Böylelikle riskin yüksek olduğu noktalara dikkat çekilmesi sağlanabilir. Kontrol noktası ile ilgili iyileştirme öncesi ve sonrasını karşılaştırarak risklerde bir azalma olup olmadığı belirlenmelidir.

33 33 Gözetimli eğitim algoritmaları kullanılarak, sadece daha önce örnekleri görülmüş uygunsuzlukların yakalanması hedeflenebilir. Bir kontrol noktasında bilinmeyen, örneği görülmemiş uygunsuzlukların yakalanması için, gözetimsiz öğrenme algoritmalarından yararlanılması gerekir. Eğer sadece kontrol noktasının girdilerinden oluşan bir veri seti kullanılarak gözetimsiz öğrenme (unsupervised learning) algoritmaları eğitilirse, girdilerin kendi arasındaki ilişkisi modellenir. Gözetimsiz öğrenme modelinin yüksek anomali tespiti ise kontrol noktasının yüksek risk içerdiğinin, bir göstergesi kabul edilmelidir.

34 34 Sürekli denetimde her işlemin anlık olarak denetimi şart olmayabilir. Düşük risk içeren alanlara, belli aralıklarla tüm işlere denetim uygulanabilir. Makine öğrenmesi algoritmasının eğitimi için kullanılan veriler, denetimin amacı, risk vb. faktörler göz önüne alınarak, kontrol noktası bazında belirlenmelidir. Bir kontrol noktası için farklı amaçlarla, farklı veriler ile farklı makine öğrenmesi modelleri oluşturulmalıdır. Makine öğrenmesi modellerinin eğitiminde, hesaplar ve finansal olmayan veriler birlikte kullanılabilir.

35 35 Sürekli iç denetim yapılırken işletme dışı kaynaklardan elde edilen veriler de kullanılabilir. Örneğin şirketin elinden çıkardığı otomobiller doğru fiyattan satılmış mıdır? gibi bir sorunun cevabı için, ikinci el araç satışlarının yapıldığı sitelerden fiyat kontrolü yapılabilir. Sürekli denetim sadece uygunluk denetimi gibi algılanmamalıdır. İşletme operasyonlarının etkili ve etkin yürütülüp yürütülmediği (örneğin, kullanılan hammadde, karlılık, satış vb.) sürekli izleme altına alınmalıdır.

36 36 Sürekli güvenceyi sağlayacak modellerin doğru şekilde geliştirildiği, etkili olup olmadıklarının denetçi tarafından, değerlendirilmesi gerekir. Bu değerlendirmelerin yapılabilmesi için makine öğrenmesi alanında özel performans ölçütleri bulunmaktadır. Makine öğrenmesi modellerinin geliştirilmesinde kullanılan yazılımların açık kaynak kodlu yazılımlar olması, makine öğrenmesi modellerinin şeffaflığı ve denetimi için daha uygun bir seçim olacaktır.

37 37 Makine öğrenmesi teknolojisine dayalı bir sürekli güvence modelinin etkili ve etkin bir şekilde gerçekleştirilmesi, veri miktarı ve veri kalitesine bağlıdır. Genel olarak makine öğrenmesi algoritmaları ne kadar çok veri ile eğitilirse, o kadar başarılı sonuçlar ortaya çıkarırlar. Makine öğrenmesi algoritmalarının veriye bağımlı olmaları nedeniyle, veri güvenliği ve veri güvenirliği konuları iç denetimin en önemli görevlerinden biri haline gelmektedir.

38 38 Makine öğrenmesi algoritmaları denetçinin yeteneklerinin arttırılmasını sağlayacaktır. İç denetim her işlemi zaman kısıtı olmaksızın denetleyebilecektir. Sürekli güvence için tüm işlemlerin denetimi ve izlenmesi gerçekleştirildiğinde, aynı zamanda iç denetim biriminin etkinlik artışı sağlanacaktır. Sürekli denetimde analiz ve raporlamanın dijital ortamda olması insandan kaynaklanan riskleri azaltabilir.

39 39 İç denetim sürekli, gerçek zamanlı ve dijital bir iş haline gelmektedir. Var olan teknolojiler bize neredeyse tamamen dijital dünya içinde, etkin ve etkili bir iç denetim yapma olanağı vermektedir. İç denetim bir veri bilimi haline dönüşmektedir. Denetçilerin veri bilimi konusunda yeterlilik geliştirmeleri zorunlu hale gelmiştir.

40 40 Sonuçlar Sürekli denetim ile aşağıdaki dönüşümler gerçekleşecektir: Periyodik değerlendirmeler, sürekli değerlendirmeye, Denetimde örnekleme yaklaşımından, evrenle çalışmaya, Denetimde işletme verileri ile sınırlı kalmadan, dış verilerin de kullanılması, Fiziksel kanıtların ağırlığından, dijital kanıtların ağırlıklı olduğu bir denetim Sadece sayısal ve finansal verilerle birlikte yapısal olmayan ve finansal olmayan verilere, İnsan değerlendirmesinden makine değerlendirmesine.

41 41 Öneri Bu dönüşümler gerçekleşirken yetişmiş insan gücünde darboğaz yaşanacağı değerlendirilmektedir. Bu nedenle iç denetçilerin veri bilimi konusunda yeni yetkinlikler geliştirmeleri gerekecektir.

42 42 Ayrıntılı Bilgi İçin