Deneyimli bir risk yöneticisine bu işte iyi olmayı neyin sağladığını sorun; madde numaralarını ezbere sayabilmekten söz eden pek çıkmaz. Anlatacakları şey muhakemedir: hangi riskin önemli olduğunu, hangi kontrolün maliyetine değdiğini, bir bulgunun ne zaman ciddi, ne zaman önemsiz olduğunu bilmek. Ne var ki yönetişim, risk ve uyum alanındaki pek çok mesleki sınav hâlâ bunun tam tersi bir beceriyi ödüllendiriyor. Adaylardan bir tanımı, bir listeyi ya da bir gerekliliğin metnini hatırlamalarını istiyor.
Bu fark önemlidir. Sertifikalı bir profesyoneli işe alan işveren aslında bir öngörü satın alır: Bu kişinin, sınavın hiç tarif etmediği durumlarda da sağlıklı kararlar vereceği öngörüsünü. Ezbere dayalı bir sınav bu konuda çok az şey söyler.
Ezber soruları neyi ölçer?
Ezber sorusunun tek bir doğru cevabı vardır ve bu cevap kaynak metinde kelimesi kelimesine yer alır. "ISO/IEC 27001'in hangi maddesi iç denetimi kapsar?" "Üç savunma hattı nelerdir?" Bu tür soruları yazmak ucuz, puanlamak kolaydır. Gerçek bir şeyi de ölçerler: alanın terminolojisine aşinalığı.
Zayıf yanları ise uygulamayla hiçbir ilgisi olmayan bir hazırlıkla geçilebilmeleridir. Bir soru bankasını ezberlemiş bir aday, hiç risk değerlendirmesi yapmadan yüksek puan alabilir. Üstelik bu sorular GRC işinin en zor kısmı hakkında hiçbir şey söylemez: birden fazla çerçeveyi aynı anda, karmaşık ve kendine özgü bir duruma uygulamak.
Senaryo tabanlı soru neye benzer?
Senaryo tabanlı soru, adaya kısa ve gerçekçi bir durum sunar ve ne yapacağını sorar. Örneğin:
Bir ödeme kuruluşu, müşteri kabul süreçlerini destekleyen bulut hizmet sağlayıcısının işleme faaliyetlerini sessizce yeni bir alt yükleniciye kaydırdığını fark ediyor. Sözleşmeler yürürlükte, hizmet normal şekilde çalışıyor ve herhangi bir olay yaşanmamış. Risk fonksiyonu ilk olarak ne yapmalıdır?
Seçeneklerin her biri makul bir kişinin yapabileceği bir şeyi tarif ediyor olabilir: konuyu yönetim kuruluna taşımak, sözleşmeyi feshetmek, BİT hizmet düzenlemeleri kaydını güncellemek ya da sağlayıcıdan alt yüklenici bilgilerini talep edip riski yeniden değerlendirmek. Ancak eldeki olgular ışığında en doğru ilk adım yalnızca biridir. Onu seçebilmek için adayın önemlilik, düzenleyici yükümlülükler ve orantılılığı birlikte tartması gerekir. İşin kendisi de tam olarak budur.
İyi senaryo tabanlı sorular nasıl hazırlanır?
Senaryo tabanlı soruları iyi yazmak, ezber sorularını yazmaktan daha zordur. GRCP'de her soru aynı süreçten geçer:
- Önce sınav planı. Her soru, yayımlanmış bir sınav alanındaki belirli bir hedefe göre yazılır ve her hedef bir standarda ya da düzenlemeye dayanır. Bir hedefle eşleştirilemeyen soru kullanılmaz.
- Uygulayıcılar tarafından yazılır. Soru yazarları, GRCP eğitimi vermeyen ve sahada aktif olarak çalışan profesyonellerdir. Senaryoları, gerçekte karşılaştıkları türden kararlardan yola çıkarak hazırlarlar.
- Bağımsız gözden geçirme. İkinci bir konu uzmanı; savunulabilir tek bir en doğru cevap bulunduğunu, yanlış seçeneklerin akla yatkın ama açıkça daha zayıf olduğunu ve sorunun ayrıntı bilgisine ya da okuma hızına bağlı olmadığını kontrol eder. Türkçe sınav formları makine çevirisiyle değil, Türkçe bilen konu uzmanları tarafından uyarlanır ve gözden geçirilir.
- Puanlanmadan önce pilot uygulama. Yeni sorular önce canlı sınavlarda pilot (puanlanmayan) soru olarak yer alır. Yalnızca iyi performans gösteren, yani güçlü adayların genellikle doğru cevapladığı sorular puanlanan sorulara dönüşür.
- Sürekli gözden geçirme. Her sınav döneminin ardından soru istatistikleri incelenir; zayıf kalan ya da fazla kullanılıp yıpranan sorular kullanımdan kaldırılır.
Savunulabilir bir geçme notu belirlemek
"%70" gibi bir geçme notu tek başına bir anlam taşımaz; anlamı tamamen soruların zorluk derecesine bağlıdır. GRCP, geçme notlarını Angoff yöntemine dayanan yapılandırılmış bir uzman görüşü yöntemiyle belirler. Uygulayıcılardan oluşan bir panel her soruyu ele alır ve asgari yeterliliğe sahip bir profesyonelin o soruda nasıl bir performans göstereceğini tahmin eder. Pilot sorulardan elde edilen verilerle sınanan bu değerlendirmeler standardı belirler. Amaç, sınavı geçmenin bir sınav formundan diğerine aynı anlamı taşımasıdır.
Adaylar için ne anlama geliyor?
Senaryo tabanlı sınavlar, işini iyi yapan kişiler için daha zor değildir. Zorlandıkları kişiler, yalnızca sınava hazırlanmış olanlardır. En iyi hazırlık, sizi işinizde de daha iyi kılan hazırlıktır: Bir standardın neyi neden istediğini anlayın, çerçeveleri gerçek vakalara uygulama pratiği yapın ve bir kararın ardındaki ödünleşimleri rahatça açıklayabilir hale gelin.
Sertifikanın amacı da budur. GRCP unvanına sahip bir profesyonel, işverenin daha önce karşılaşılmamış bir sorunu gönül rahatlığıyla teslim edebileceği biri olmalıdır. İşveren, alacağı yanıtın orantılı, sağlam gerekçelere dayanan ve kurumun tabi olduğu çerçevelerle uyumlu olacağından emin olabilmelidir.
Bu yazı genel bilgilendirme amaçlıdır; hukuki veya mesleki danışmanlık niteliği taşımaz.