SPK VII-128.10 Uyum Danışmanlığı — Gayrimenkul Değerleme Kuruluşları

Değerleme kuruluşları VII-128.10 kapsamında mı?

Evet, ancak azaltılmış kapsamda. Sermaye Piyasası Kurulu’nun Bilgi Sistemleri Yönetimine İlişkin Usul ve Esaslar Tebliği (VII-128.10), 13 Mart 2025 tarihli ve 32840 sayılı Resmî Gazete’de yayımlandı ve 30 Haziran 2025’te yürürlüğe girdi; 2018 tarihli VII-128.9 sayılı tebliğin yerini aldı. Tebliğin kapsam maddesi sermaye piyasası kurumlarını sayar ve sermaye piyasasında değerleme faaliyetinde bulunmak üzere Kurul listesine alınmış gayrimenkul değerleme kuruluşları bu kapsamdadır. Bununla birlikte 30 uncu maddenin birinci fıkrası, bağımsız denetim, derecelendirme ve değerleme kuruluşlarını bir dizi hükümden açıkça muaf tutar. Uyum çalışmasının ilk adımı bu ayrımı yazılı hâle getirmektir; aksi hâlde kuruluş, kendisini bağlamayan maddeler için gereksiz maliyet üstlenir ya da bağlayan maddeleri atlar.

Muafiyet tam olarak neyi kapsam dışı bırakıyor?

Değerleme kuruluşları, 30 uncu maddenin birinci fıkrası uyarınca 8 inci maddenin beşinci, altıncı ve yedinci fıkralarını, 10 uncu maddenin altıncı ve yedinci fıkralarını, 12, 13, 14, 15, 16, 17, 18, 22, 24 ve 25 inci maddelerin belirli fıkralarını, 26 ncı maddeyi bütünüyle, 27 nci maddenin bazı fıkralarını, 28 inci maddeyi ve 29 uncu maddeyi bütünüyle uygulamak zorunda değildir. Uygulamadaki en önemli üç sonucu şudur: yıllık sızma testi zorunluluğu yoktur, uygulama güvenliği ve değişiklik yönetimi maddeleri uygulanmaz, bilgi sistemleri iç denetimi yükümlülüğü doğmaz. Bu, güvenlik önlemi almaya gerek olmadığı anlamına gelmez; tebliğin çekirdek hükümleri yürürlüktedir.

Yine de uygulanması zorunlu olan hükümler nelerdir?

Muafiyet listesi dışındaki her madde uygulanır. Bilgi sistemleri yönetiminin oluşturulması, yazılı ve yönetim tarafından onaylanmış bir bilgi güvenliği politikası, üst yönetimin gözetim ve sorumluluğu, varlık yönetimi, görevler ayrılığı ilkesi, fiziksel ve çevresel güvenlik, kimlik ve erişim yönetiminin genel hükümleri, kayıt mekanizmasının kurulması, zaman senkronizasyonu, bilgi güvenliği ihlali yönetimi, üçüncü taraflarla bilgi değişimi ve bilgi sistemlerine ilişkin dışarıdan hizmet alımı bunlar arasındadır. 7 nci maddenin beşinci fıkrası uyarınca üst yönetime doğrudan raporlayan, çatışan görevleri bulunmayan ve alanında en az beş yıl deneyimli bir bilgi güvenliği sorumlusunun görevlendirilmesi de aranır. Küçük kadrolu değerleme kuruluşlarında bu görevlendirmenin nasıl kurgulanacağı projenin en çok tartışılan başlığıdır.

22 nci maddeye göre denetim izleri asgari beş yıl saklanır. 24 üncü maddenin dördüncü fıkrası, kritik operasyonları kesintiye uğratacak veya veri sızıntısıyla sonuçlanacak potansiyeli belirlenen olaylarda Kurul’un, müşterilerin ve ilgili diğer kurumların derhal bilgilendirilmesini ister. 19 uncu madde, dışarıdan alınan bilgi sistemleri hizmetlerinde gözetim mekanizması kurulmasını ve sözleşmelere hizmet seviyesi, sözleşme sonunda verilerin iadesi veya güvenli imhası, ihlallerin derhal bildirimi, gizlilik ile denetim ve izleme hükümlerinin konulmasını zorunlu kılar. Değerleme yazılımını, arşiv sistemini veya sunucu barındırmayı dışarıdan alan kuruluşlar için bu madde projenin merkezindedir.

Sistemler yurt içinde mi bulundurulmalı?

Evet. 27 nci maddenin birinci fıkrası, birincil ve ikincil sistemlerin yurt içinde bulundurulmasını zorunlu kılar ve bu fıkra değerleme kuruluşları için muafiyet listesinde yer almaz. Muafiyet, 27 nci maddenin yalnızca bazı fıkralarına ilişkindir. Dolayısıyla değerleme raporlarının üretildiği ve saklandığı sistemler ile yedek ortamların Türkiye’de bulunması gerekir. Yurt dışı merkezli bir bulut hizmetine geçmeyi planlayan kuruluşların bu hükmü sözleşme aşamasından önce değerlendirmesi gerekir.

Değerleme raporları ne kadar süreyle saklanır?

Değerleme kuruluşlarını diğer sermaye piyasası kurumlarından ayıran en somut kayıt yükümlülüğü, bilgi sistemleri tebliğinde değil kendi kuruluş tebliğlerindedir. Sermaye Piyasasında Faaliyette Bulunacak Gayrimenkul Değerleme Kuruluşları Hakkında Tebliğ (III-62.3), değerleme raporlarının ve bunlara dayanak oluşturan çalışma kâğıtlarının basılı ve elektronik ortamda on yıl süreyle saklanmasını öngörür. Bu süre, VII-128.10’un 22 nci maddesindeki beş yıllık denetim izi süresinden bağımsızdır ve daha uzundur. Uygulamada bu iki farklı sürenin tek bir saklama politikasında birleştirilmesi, arşiv ve yedekleme tasarımının belirleyici kısıtıdır. On yıllık elektronik saklama, ortam ömrü, format okunabilirliği ve yedekten geri dönüş testi gerektirir; bir dosya sunucusunda klasör tutmak bu yükümlülüğü karşılamaz.

Bağımsız bilgi sistemleri denetimi zorunlu mu?

Bilgi Sistemleri Bağımsız Denetim Tebliği (III-62.2), 13 Mart 2025 tarihli ve 32840 sayılı Resmî Gazete’de yayımlanan III-62.2.b sayılı tebliğle değiştirilmiştir. Değişik 30 uncu madde, yılda bir, iki yılda bir ve üç yılda bir denetime tabi kuruluş tiplerini sayar; gayrimenkul değerleme kuruluşları bu üç grupta yer almaz. Yani değerleme kuruluşları için periyodik bir bilgi sistemleri bağımsız denetimi yükümlülüğü öngörülmemiştir. Bu, denetimsizlik anlamına gelmez: Kurul’un genel gözetim ve denetim yetkisi ile listeye alınma ve listede kalma şartlarına ilişkin incelemeler saklıdır. Bilgi sistemleri kayıtlarının her an gösterilebilir olması bu nedenle önemlidir.

Uyum takvimi nedir?

Tebliğin geçici 1 inci maddesi uyarınca kripto varlık hizmet sağlayıcılar dışındaki kuruluşlar 31 Aralık 2025 tarihine kadar mülga VII-128.9 sayılı tebliğe uymaya devam etmiş, yeni tebliğin hükümlerine bu tarihe kadar uyum sağlamakla yükümlü tutulmuştur. 29 uncu maddenin üçüncü fıkrası için tanınan süre 31 Aralık 2026’dır; ancak 29 uncu madde değerleme kuruluşları bakımından zaten muafiyet kapsamındadır. Dolayısıyla değerleme kuruluşları için belirleyici tarih 31 Aralık 2025’tir ve bu tarih geçmiştir; uyumunu tamamlamamış kuruluşların çalışmayı öncelikli işe alması gerekir.

Uyum projesi nasıl ilerliyor?

1. 01

   Kapsam ve muafiyet tespiti

   Tebliğin her maddesi için kuruluşa uygulanıp uygulanmadığı, 30 uncu maddenin birinci fıkrasına dayanılarak gerekçeli biçimde kayda geçirilir.

2. 02

   Boşluk analizi

   Uygulanan maddeler karşısında mevcut durum tespit edilir; küçük kadrolu yapılarda görevler ayrılığı ve bilgi güvenliği sorumlusu görevlendirmesi ayrıca ele alınır.

3. 03

   Politika ve prosedürler

   Bilgi güvenliği politikası, varlık yönetimi, erişim yönetimi, kayıt ve saklama, fiziksel güvenlik ile bilgi güvenliği ihlali yönetimi dokümanları hazırlanır.

4. 04

   Rapor arşivi tasarımı

   On yıllık rapor ve çalışma kâğıdı saklama yükümlülüğü ile beş yıllık denetim izi yükümlülüğü tek bir saklama ve imha politikasında birleştirilir.

5. 05

   Yurt içi sistem doğrulaması

   Birincil ve ikincil sistemlerin, yedeklerin ve varsa bulut hizmetlerinin fiziksel konumu belgelenir; sözleşmelere gerekli hükümler eklenir.

6. 06

   Dış hizmet alımı gözden geçirmesi

   Değerleme yazılımı, arşiv ve barındırma sözleşmeleri 19 uncu maddeye göre revize edilir, gözetim mekanizması kurulur.

7. 07

   Farkındalık eğitimi

   Değerleme uzmanları ve idari personel için rol bazlı bilgi güvenliği eğitimi verilir; ihlal bildirim akışı tatbik edilir.

Proje çıktıları

• Muafiyet matrisi

  Tebliğin madde ve fıkra düzeyinde uygulanabilirlik tablosu.

• Bilgi güvenliği politikası

  Yönetim onaylı, yıllık gözden geçirme takvimi tanımlı ana doküman.

• Varlık ve erişim envanteri

  Sistem, uygulama ve kullanıcı yetkilerinin kaydı.

• Saklama ve imha politikası

  On yıllık rapor arşivi ile beş yıllık denetim izi sürelerini birleştiren tablo.

• Dış hizmet alımı dosyası

  Sözleşme ekleri, tedarikçi değerlendirme formu ve gözetim kayıtları.

• Bilgi güvenliği ihlali müdahale planı

  Derhal bildirim eşiği, karar tablosu ve iletişim listesi.

• Eğitim kayıtları

  Katılım listeleri ve içerik özetleriyle birlikte.

Sıkça Sorulan Sorular

Küçük bir değerleme şirketiyiz, bu tebliğ gerçekten bizi bağlıyor mu?

Bağlıyor. Kurul listesinde yer alan değerleme kuruluşları tebliğin kapsamındadır. Ancak 30 uncu maddenin birinci fıkrası değerleme kuruluşlarını önemli sayıda hükümden muaf tutar. Çalışmanın büyüklüğü, muafiyetin doğru tespit edilmesine bağlıdır.

Yıllık sızma testi yaptırmak zorunda mıyız?

Hayır. Sızma testini düzenleyen 8 inci maddenin altıncı fıkrası, değerleme kuruluşları için muafiyet listesindedir. Yaptırmak isterseniz elbette yaptırabilirsiniz; tebliğ bunu zorunlu kılmaz.

Değerleme raporlarını yalnızca elektronik ortamda saklayabilir miyiz?

Hayır. III-62.3 sayılı tebliğ, değerleme raporlarının ve dayanak çalışma kâğıtlarının basılı ve elektronik ortamda on yıl süreyle saklanmasını öngörür. İki ortam birlikte istenir.

Değerleme yazılımımız yurt dışında barındırılıyor, sorun olur mu?

Olur. 27 nci maddenin birinci fıkrası birincil ve ikincil sistemlerin yurt içinde bulundurulmasını zorunlu kılar ve bu fıkra değerleme kuruluşları için muafiyet kapsamında değildir. Barındırma yerinin Türkiye’ye taşınması veya yurt içi bir hizmet sağlayıcıya geçilmesi gerekir.

Bilgi sistemleri bağımsız denetimi yaptırmamız gerekiyor mu?

Periyodik bir yükümlülük öngörülmemiştir. III-62.2’nin değişik 30 uncu maddesindeki yıllık, iki yıllık ve üç yıllık denetim gruplarında değerleme kuruluşları yer almaz. Buna karşılık Kurul’un genel gözetim yetkisi ve listeye alınma şartlarına ilişkin incelemeler devam eder.

Bilgi güvenliği sorumlusunu dışarıdan atayabilir miyiz?

Tebliğ, üst yönetime doğrudan raporlayan, çatışan görevleri bulunmayan ve alanında en az beş yıl deneyimli bir sorumlu görevlendirilmesini ister. Küçük kadrolu kuruluşlarda bu rolün nasıl kurgulanacağı, görevler ayrılığı ilkesiyle birlikte değerlendirilmesi gereken bir tasarım sorusudur; danışmanlık kapsamında bu tasarımı yapıyor, ancak rolü kuruluş adına üstlenmiyoruz.

Ankara’da mısınız, saha çalışması gerekiyor mu?

Merkezimiz Ankara’dadır ve Türkiye genelinde çalışıyoruz. Değerleme kuruluşlarında proje ağırlıklı olarak doküman ve sözleşme çalışmasıdır; oturumların büyük bölümü uzaktan yürütülebilir, arşiv ve fiziksel güvenlik incelemesi yerinde yapılır.