Madde 43 — İç denetim faaliyeti

MADDE 43- (1) İç denetim, kripto varlık hizmet sağlayıcıların bilgi sistemleri ile ilgili süreç ve kontroller dâhil olmak üzere iç kontrol ve risk yönetimi süreçlerinin etkinliği, yeterliliği ve uyumluluğu konusunda üst yönetime ve yönetim kuruluna güvence sağlamak amacıyla iç denetçiler tarafından gerçekleştirilen denetim faaliyetini ifade eder.

(2) İç denetim faaliyeti, kripto varlık hizmet sağlayıcının günlük faaliyetlerinden bağımsız, yönetimin ihtiyaçları ve kripto varlık hizmet sağlayıcının yapısına göre mevzuat ve politikalarına uygunluk denetimleri şeklinde iç denetçilerce gerçekleştirilen, iç kontrol sisteminin işleyişi başta olmak üzere kripto varlık hizmet sağlayıcının tüm faaliyetlerini ve birimlerini kapsayan ve bu alanlara ilişkin değerlendirme yapılmasını sağlayan, değerlendirmelerde kullanılan kanıt ve bulguların raporlama, izleme ve inceleme sonucunda elde edildiği sistematik denetim sürecini ifade eder.

(3) İç denetim faaliyeti, kripto varlık hizmet sağlayıcının tüm faaliyetlerini ve birimlerini kapsayacak şekilde yürütülür. İç denetim, kripto varlık hizmet sağlayıcı içinde tüm varlıkların, hesap ve kayıtların, belgelerin, personelin ve kripto varlık hizmet sağlayıcının güvenliğini etkileyebilecek diğer tüm unsurların yerinde inceleme ve denetleme faaliyetlerinde bulunulmasını, gerektiğinde soruşturma yapılmasını, ifade alınmasını, savunma istenmesini, belge ve bilgilere el konulmasını, gerekli görülmesi halinde sorumlu personelin inceleme sonuçlandırılıncaya kadar işten uzaklaştırılmasının kripto varlık hizmet sağlayıcı yönetim kuruluna önerilmesi gibi eylemleri kapsar. Düzenlenen raporlar ve bu raporlara esas teşkil eden belgelerin bu Tebliğin belge kayıt düzenlemelerinde belirtilen süreyle veya bu süre içinde hukuki ihtilafa konu olanların, ihtilafın sonuçlanmasına kadar saklanması zorunludur.

(4) Asgari olarak mevzuata uyum ve iş akış prosedürlerine uygunluk denetimleri yılda bir defa gerçekleştirilir ve denetim sonuçları yönetim kuruluna sunulur.

(5) Kripto varlık hizmet sağlayıcıların bünyelerinde bir iç denetim birimi oluşturmaları ve bu birimde münhasıran çalışmak üzere yeter sayıda iç denetçi istihdam etmeleri zorunludur. İç denetim birimi doğrudan yönetim kuruluna bağlı ve sorumlu olarak çalışır. Yönetim kurulu bu birime ilişkin yetkilerini, genel müdür dışında olmak üzere en az iki yönetim kurulu üyesine devredebilir.

(6) İç denetçiler yönetim kurulu kararı ile göreve başlarlar ve her türlü belgeye erişim imkanına sahip kılınırlar. İç denetçilerin kripto varlık hizmet sağlayıcı bünyesindeki tüm bilgi ve belgelere ulaşma yetkisine yazılı politikalarda açıkça yer verilir.

(7) İç denetçiler görevleri gereği eriştikleri bilgilerin gizliliğine özen gösterirler. Bu türden bilgileri hiçbir durumda kişisel fayda sağlamak amacıyla ya da yasalar, diğer hukuki düzenlemeler veya meslek etiğine aykırı biçimde kullanamazlar. Görevlerini tarafsız olarak yerine getirmelerini engelleyecek görev ya da ilişkiler içinde yer alamazlar, bu sonuca yol açabilecek görev ve sorumlulukları kabul edemezler. Faaliyetleri sırasında tarafsızlığını zedeleyebilecek bir durumun ortaya çıkması halinde iç denetçi; bu durumu birim yöneticisine iletir, ayrıca herhangi bir çalışması sırasında tarafsızlığını etkileyebilecek bir durum ortaya çıktığında, çalışma sonuçları ile birlikte tarafsızlığı bozan durumu da açıklamakla yükümlüdür.

(8) Bilgi sistemlerine ilişkin iç denetim faaliyetlerinde VII-128.10 sayılı Tebliğde belirlenen esaslar uygulanır.

İç kontrol faaliyeti ve birimi