SAP DanışmanlıkVeri ve kontrol
SAP GRC - Erişim Kontrolü
Governance, Risk and Compliance
SAP GRC Access Control, SAP sistemlerinde kimin hangi yetkiyi taşıdığını iş riski üzerinden yönetir. Tedarikçi kaydını değiştiren kişinin aynı tedarikçiye ödeme de yapabilmesi gibi çakışmalar rol verilmeden önce görülür; kaçınılamayanlar bir azaltıcı kontrole bağlanır.
Süreç
SAP GRC'de kural setinden gözden geçirmeye
Risk bir kez tanımlanır; erişim talebi, acil erişim ve yıllık gözden geçirme aynı kural setine bakar.
- 01Kural setiRule setGRAC_RA_RULESET_S4HANA_ALL
Şirkete göre daraltılır
- 02Risk analiziAccess risk analysisRisk Simulation
Değişiklikten önce simülasyon
- 03İş rolüBusiness role managementBRM · PFCG
Onaylanınca PFCG'de üretilir
- 04Erişim talebiAccess requestMSMP
Onaydan önce risk analizi
- 05Acil erişimEmergency accessGRAC_EAM · /GRCPI/GRIA_EAM
Her işlem loglanır
- 06Yetki gözden geçirmeUser access reviewUAR · SoD review
Reddedilen yetki geri alınır
Karar noktası
Talepte SoD kontrolü
Yeni rol, kullanıcının mevcut yetkileriyle birlikte kural setine karşı sınanır; sonuç onay yolunu belirler.
- Talep edilen rolyeni eylemler ve izinler
- Mevcut yetkilerkullanıcının bugünkü rolleri
- Kural setiçakışan işlev çiftleri
SoD risk analizikullanıcı ve rol düzeyi
- Çakışma yok, onaya devamOnaydan sonra otomatik tanımlama
- SoD riski, risk sahibine giderTalep daraltılır ya da reddedilir
- Kaçınılmazsa azaltıcı kontrolKontrol ve sahibi kayda geçer
S/4HANA'da [FAPP] ve [SVC] eylemleri kural setinde yoksa Fiori çakışmaları raporda çıkmaz.
Kapsam
SAP GRC projelerinde üstlendiğimiz işler
SoD kural seti
S/4HANA başlangıç setinden şirkete özgü risklere; Fiori uygulaması [FAPP] ve OData servisi [SVC] eylemleri dahil.
Risk ayıklama ve azaltıcı kontrol
Süreç sahipleriyle kritiklik kararı, kaçınılmaz riskler için kontrol kataloğu ve her kontrole bir sahip.
Erişim talebi ve iş rolleri
Roller iş diliyle tasarlanıp PFCG'de üretilir; talepler MSMP iş akışında onaydan önce risk analizinden geçer.
Acil erişim (firefighter)
Firefighter kimlikleri, sahip ve denetçi atamaları, gerekçe kodları ve log inceleme adımı.
Periyodik yetki gözden geçirme
UAR ve SoD gözden geçirmesi rol düzeyinde; kullanılmayan yetkiler kullanım verisiyle önceden ayıklanır.
GRC for SAP HANA geçişi
HANA veritabanı ve S/4HANA Foundation ön koşulları, lisans dönüşümü, hub ya da gömülü mimari kararı.
Güncel durum
S/4HANA ve GRC 2026 ile değişenler
- S/4HANA'da yetki işlem kodunun yanında Fiori uygulaması ve OData servisiyle de verilir; izinler servise bağlıdır. SAP'nin GRAC_RA_RULESET_S4HANA_ALL seti ikisini de kural setine ekler.
- Müşteri ve tedarikçi bakımı Business Partner'a taşındı; XK01, FK01 ya da XD01 üzerine kurulu SoD riskleri BP işlemleriyle yeniden yazılmalıdır.
- Access Control, Process Control ve Risk Management 12.0'ın ana bakımı 31.12.2027'de bitiyor. Halefi SAP GRC for SAP HANA 6 Mart 2026'da ilk müşterilere açıldı; bakımı 2040'a kadar planlı.
- Yükseltme "for S/4HANA" lisansında ek ücretsiz, "classic" lisansta önce dönüşüm gerekiyor. SAP Identity Management'ın ana bakımı da 2027'de bittiği için IdM'li tanımlama yeniden kurulur.
Yerelleştirme
SPK ve BDDK'nın yetki beklentileri
SPK VII-128.10 tebliği
Halka açık ortaklıkları da kapsar: görevler ayrılığı, rol tabanlı yetki, onaya bağlı hesap açma ve yetkilerin yılda en az bir kez gözden geçirilmesi.
Halka açık ortaklık muafiyeti
Acil durum yetkisi (md. 16(9)) ve ayrıcalıklı hesapta çok faktörlü doğrulama (md. 15(7)) hükümleri uygulanmaz; ayrı ayrıcalıklı hesap ve iz kaydı (md. 16(7)) geçerli.
BDDK bilgi sistemleri yönetmeliği
Kritik işlem tek kişi tarafından başlatılıp onaylanıp tamamlanamaz (md. 11(5)); geliştirici kodunu üretime kendisi taşıyamaz (md. 22(1)).
Sahadan notlar
SAP GRC projelerinde sık karşılaştıklarımız
- Fiori kullanıcısı risksiz görünüyor. Kural seti yalnız işlem kodlarını tanıyorsa işini Fiori'de yapan kullanıcının riski raporda çıkmaz. [FAPP] ve [SVC] eylemleri eklenir, GRAC_RA_RULESET_S4HANA_ALL başlangıç alınır.
- Firefighter logunu okuyan yok. Oturumlar loglanıyor ama denetçi incelemesi bir iş akışına ve süreye bağlanmamış. İnceleme adımı ve hedef süre tanımlanır; bankada BDDK md. 11(8), halka açık şirkette SPK md. 16(7) dayanak olur.
- Yetki gözden geçirme imza turuna dönüşüyor. Yöneticiye yüzlerce satırlık liste gidince onay alışkanlıkla verilir. Gözden geçirme rol düzeyine çekilir, kullanılmayan yetkiler eylem kullanım verisiyle önceden elenir.
- Lisans dönüşümü bütçede unutuluyor. GRC for SAP HANA'ya ek ücretsiz yükseltme yalnız "for S/4HANA" lisansında var; "classic" lisanslı müşteri önce dönüşüm yapar. Bu adım planda yoksa 2027 öncesi takvim sıkışır.
SSS
SAP GRC hakkında sık sorulanlar
SAP GRC nedir, Access Control ne işe yarar?
SAP GRC (Governance, Risk and Compliance), SAP'nin kurumsal kontrol, risk ve uyum ürün ailesidir. Access Control bu ailenin yetki tarafıdır: görevler ayrılığı (SoD) risk analizi, erişim talebi, iş rolü yönetimi, acil erişim ve periyodik yetki gözden geçirmesi.
SAP GRC Access Control 12.0'ın bakımı ne zaman bitiyor?
Access Control 12.0, Process Control 12.0 ve Risk Management 12.0'ın ana bakımı 31 Aralık 2027'de sona eriyor. Halefi SAP GRC for SAP HANA (2026 sürümü) SAP HANA veritabanı ve S/4HANA Foundation istiyor; ana bakımı 2040'a kadar planlanıyor.
Acil erişim (firefighter) nasıl çalışır?
Kullanıcı gerekçe girerek ayrıcalıklı bir firefighter kimliğini geçici olarak teslim alır. Oturumdaki her işlem loglanır ve log denetçinin (controller) incelemesine gider. Kimliği kimlerin kullanabileceğine sahibi (owner) karar verir.
S/4HANA'ya geçerken SoD kural setimiz yeterli olur mu?
Çoğu zaman olmaz. S/4HANA'da yetki Fiori uygulamaları ve OData servisleri üzerinden de verilir, müşteri ve tedarikçi bakımı Business Partner'a taşınır. Kural seti bu eylemleri içermezse risk analizi Fiori kullanıcılarını atlar.
SAP GRC mi, SAP Cloud IAG mi?
Access Control, 2026'dan itibaren SAP GRC for SAP HANA, yerinde ya da bulutta kurulan bir yazılımdır. SAP Cloud Identity Access Governance (IAG) benzer işlevleri hizmet olarak sunar; yerinde ve bulut sistemlerini kapsar. IAG köprüsünde Access Control ortak kullanıcı kimliğini IAG'ye gönderir; IAG bu kimlikle S/4HANA Cloud gibi bulut uygulamalarına tanımlama yapar.
SPK tebliği halka açık şirketlerden ne istiyor?
VII-128.10 halka açık ortaklıkları da kapsıyor: görevlerin ayrılmasını, rol tabanlı yetkiyi, hesap açmanın onaya bağlanmasını ve yetkilerin yılda en az bir kez bilgi varlığı sorumlusunca gözden geçirilmesini istiyor. Acil durum yetkisine ilişkin md. 16(9) halka açık ortaklıklara uygulanmıyor. Hükümlerin çoğu için uyum süresi 31.12.2025'te doldu.
Kaynaklar12 kaynakSAP Community, SAP Help Portal, SAP Learning +2
SAP Community
- GRC Tuesdays: Why Move to SAP GRC for SAP HANA community.sap.com (yeni sekmede açılır)
- SAP GRC for HANA 2026-Unified Successor for SAP Access Control 12.0, SAP Process Control 12 & More community.sap.com (yeni sekmede açılır)
- How to incorporate SAP Fiori APP[FAPP] and Service[SVC] in the ruleset community.sap.com (yeni sekmede açılır)
- Preparing for SAP Identity Management's End-of-Maintenance in 2027 community.sap.com (yeni sekmede açılır)
SAP Help Portal
- SAP Access Control with Fiori Apps for SAP S/4HANA On-Premise help.sap.com (yeni sekmede açılır)
- Using the Emergency Access Management Launchpad - SAP Access Control 12.0 help.sap.com (yeni sekmede açılır)
- Global User ID Support - SAP GRC Access Control for SAP HANA help.sap.com (yeni sekmede açılır)
- Simplification List for SAP S/4HANA 2025 - Feature Pack Stack 1 help.sap.com (yeni sekmede açılır)
SAP Learning
Resmî Gazete
Mevzuat Bilgi Sistemi
Kaynaklar Ekim 2026 itibarıyla kontrol edildi.
SAP Danışmanlık
SAP GRC geçişinizi 2027'den önce planlayalım
İlk değerlendirmede kural setinin ne kadar daraltılacağını ve geçişin hangi sırayla yapılacağını kararlaştıralım.