Bilgi sistemleri risk yönetimi ve bağımsız denetim açısından işletmelerde siber güvenlik risklerinin değerlendirilmesi: Bağımsız denetim kuruluşları üzerine bir araştırma
The assessment of cybersecurity risks in businesses from the perspective of information systems risk management and independent audit: A study on audit firms
Yazar: SERKAN AKIN
Danışman: DOÇ. DR. AHMET TANÇ
Nevşehir Hacı Bektaş Veli Üniversitesi / Sosyal Bilimler Enstitüsü / İşletme Ana Bilim Dalı
Derece: Doktora, 2023
Konu: İşletme = Business Administration
Dizin: Bağımsız denetim = Independent audit ; Siber güvenlik = Cyber security

Özet:
İşletmelerin bilgi sistemlerine bağımlılık düzeyi son yıllarda çok hızlı şekilde artmış, bu durum işletmelere birtakım avantajların yanında siber güvenlik riskleri gibi dezavantajları da beraberinde getirmiştir. Bağımsız denetim firmaları tarafından ortaya konulan denetim raporlarında işletmelerin maruz kaldığı siber güvenlik risklerine de bir atıf yapılması, raporlarda ilgili risklerden bahsetmesi son zamanlarda tartışılan önemli konulardandır. Siber güvenlik risklerinin denetimi; küçük, büyük fark etmeksizin bütün denetim firmalarının dikkat etmesi gereken önemli bir konu olmuştur. Ancak farklı büyüklükteki firmalarda çalışan bağımsız denetçilerin, siber güvenlik risklerinin denetimine ilişkin faaliyetlerinin aynı yeterlilikte olup olmadığı henüz bilinmemektedir. Bu bağlamda çalışmanın amacı; siber güvenlik risklerinin denetimine yönelik faaliyetlerin etkinliği, belirlenen alt boyutlar açısından, farklı büyüklükteki denetim firmalarında çalışan bağımsız denetçiler arasında fark olup olmadığının saptanmasıdır. Bu amaç doğrultusunda "siber güvenlik risklerinin denetimi, bağımsız denetim firmalarının büyüklüğüne göre farklılık göstermekte midir?" şeklinde araştırma sorusu belirlenmiştir. Bu doğrultuda, Mayıs 2023 itibariyle Kamu Gözetimi Kurumu'na bağlı 384 adet faal denetim firmasındaki çalışanlar araştırma evreni olarak kabul edilmiş ve bağımsız denetim firmaları büyüklüklerine göre gruplandırmaya tabi tutularak "dört büyükler ve diğerleri" olmak üzere iki gruba ayrılmıştır. Buna göre PwC, KPMG, Deloitte ve Ernst&Young firmalarından "dört büyükler" olarak bahsedilmiş, geriye kalan 380 firma için "diğerleri" ifadesi kullanılmıştır. Çalışmada nicel araştırma yöntemlerinden faydalanılmış, veriler anket tekniği kullanılarak toplanmıştır. Örneklem hesaplanmasında her iki grupta da en az 28 bağımsız denetçinin yer alması gerektiği bulunmuştur. Olası kayıplar göz önünde bulundurularak her grup için minimum n=30 sayısına ulaşılması hedeflenerek araştırma başlatılmıştır. Dört büyükler için n=33 ve diğerleri için n=72 katılımcı sayısına ulaşıldığında, güç analizi yapılarak araştırmanın istatistiksel gücü %99,9 olarak tespit edildiğinde veri toplama aşaması sonlandırılmıştır. Araştırmadan elde edilen bulgulara göre; siber güvenlik risklerinin denetimine bağımsız denetim kuruluşlarının kurumsal yaklaşımı açısından, bilgi sistemleri denetimine ilişkin çevresel ve fiziksel güvenlik denetimi açısından ve araştırmaya konu olan diğer alt boyutlar açısından dört büyük firmada çalışan bağımsız denetçiler ile diğer firmalarda çalışan bağımsız denetçiler arasında anlamlı farklılık olduğu ortaya konulmuştur (p<0,001). Bu araştırma, bağımsız denetim kuruluşları çalışanlarının üzerine yapılan ve bu kuruluşların büyüklüklerine göre siber güvenlik risklerinin denetimine yaklaşımları arasındaki farklılıkları ortaya koyan bir araştırma olması sebebiyle bundan sonraki yapılacak çalışmalara önemli katkı sağlayacağı düşünülmektedir.

Abstract:
The level of dependency of businesses on information systems has rapidly increased in recent years. This situation has brought not only advantages but also disadvantages such as cybersecurity risks to businesses. Referencing cybersecurity risks faced by businesses in audit reports by independent audit firms has become a significant topic lately. The audit of cybersecurity risks has become an important issue that all audit firms, regardless of their size, need to pay attention to. However, it is not yet known whether the activities of independent auditors working in different-sized firms regarding the audit of cybersecurity risks are equally competent. In this context, the aim of the study is to determine if there is a difference in the effectiveness of activities related to the audit of cybersecurity risks among independent auditors working in firms of different sizes, in terms of identified sub-dimensions. Accordingly, as of May 2023, the employees of 384 active audit firms affiliated with the Public Oversight, Accounting and Auditing Standards Authority have been considered as the research population and grouped according to the sizes of independent audit firms into two categories: "the Big Four" and "others". Therefore, PwC, KPMG, Deloitte, and Ernst & Young firms have been referred to as "the Big Four", while the remaining 380 firms have been labeled as "others". Quantitative research methods were employed in the study, and data was collected using survey techniques. It was found that there should be a minimum of 28 independent auditors in each group for sample calculation. Considering potential losses, the research was initiated with the aim of reaching a minimum of n=30 for each group. When the number of participants reached n=33 for the Big Four and n=72 for the others, data collection was concluded after conducting a power analysis, which determined the statistical power of the research to be 99.9%. According to the findings of the research, significant differences were identified (p<0.001) between independent auditors working in the Big Four and those working in other firms in terms of the corporate approach of independent audit organizations to the audit of cybersecurity risks, information systems audit related to environmental and physical security, and other sub-dimensions addressed in the research. This study, which reveals the differences in approaches to the audit of cybersecurity risks by employees of independent audit organizations based on their sizes, is expected to make a significant contribution to future studies.