İhlallerin yarısından fazlası tedarikçinizin kapısından geçer; denetim disiplini bu kapıyı kapatır.
Tedarikçi Denetim Eğitimi; üçüncü taraf risk yönetimi (TPRM) çerçevesinde tedarikçi seçimi, soru listesi tasarımı, yerinde denetim yöntemi, bulgu sınıflandırma ve sürekli izleme süreçlerini ele alır. ISO 27001 Annex A 5.19-5.23, KVKK veri işleyen, BDDK ve EBA dış kaynak yönetimi gereklilikleri bütünleşik olarak işlenir. Eğitim, klasik soru listesi yaklaşımının ötesine geçerek modern bir denetim metodolojisi sunar.
Tedarikçi denetimi, soru listesi göndermek değildir; bir kontrol ekosistemi kurmaktır.
Pek çok kurumda tedarikçi denetimi, yıllık olarak gönderilen ve ortalama 200 maddelik bir Excel soru listesinin tedarikçi tarafından doldurulup geri gönderilmesi şeklinde yürütülür. Bu yaklaşım, dokümantasyon yükümlülüğünü karşılayabilir; ancak gerçek riski ölçemez. Cevapların doğru olup olmadığı, tedarikçinin kapısından içeri girilmediği sürece bilinemez.
Modern tedarikçi denetimi; risk bazlı yaklaşımla başlar, soru listesini kuruma özel uyarlar, kritik tedarikçilerde yerinde denetim yapar, kanıt toplar, bulguyu sınıflandırır, kapanış izlemesi yürütür ve tedarikçinin durumunu yıl boyu sürekli izler. Bu eğitim; ISO 27001 Annex A 5.19-5.23, KVKK veri işleyen yükümlülükleri, BDDK ve EBA dış kaynak yönetimi düzenlemeleri ile sahada gerçekten işleyen denetim metodolojisini bir araya getirir.
Bu eğitim, klasik soru listesi denetiminin üzerine modern bir TPRM metodolojisi ekler.
Pek çok tedarikçi denetim eğitimi 2010’ların yaklaşımı üzerine kuruludur: bir tedarikçi soru listesi gönderilir, geri dönen formlar arşivlenir. Bu yaklaşım dokümante eder ama korumaz. Modern TPRM ise bütüncül bir kontrol ekosistemi kurar.
Klasik Tedarikçi Denetim Yaklaşımı Soru listesi odaklı, dokümantasyon merkezli
- 200 maddelik aynı Excel formu her tedarikçiye
- Tek seferlik yıllık değerlendirme
- Tedarikçi cevabı kabul edilir, kanıt istenmez
- Kritik ve düşük riskli tedarikçi aynı muameleye tabi
- Yerinde denetim yapılmaz veya seyrek yapılır
- Bulgu izlemesi takip edilmez
- 4. taraf riski göz ardı edilir
- Sonuç: dokümante edilmiş risk, korunmamış kurum
Modern TPRM Metodolojisi Risk bazlı, kanıt odaklı, sürekli izleme
- Tedarikçi sınıflandırmasına göre farklı soru setleri
- Yaşam döngüsü boyunca sürekli izleme
- Kritik tedarikçide yerinde denetim ve kanıt toplama
- SIG, CAIQ, ISO 27001, SOC 2 gibi standart referanslar
- Sözleşmeye bağlı denetim hakkı ve süre yükümlülükleri
- Bulgu kapanış takibi ve eskalasyon
- 4. taraf görünürlüğü ve SBOM disiplini
- Sonuç: ölçülebilir kontrol, denetlenebilir süreç
Katılımcılar tedarikçi denetimini risk yönetimi, mevzuat ve kanıt disiplini ekseninde birlikte değerlendirmeyi öğrenir.
Eğitim, tek bir denetim aracını veya platformunu öğretmez. Risk bazlı denetim metodolojisini ve hangi kurumda hangi yaklaşımın doğru olacağını gerçek vakalarla aktarır.
Tedarikçileri kritikliğe göre sınıflandırır.
Veri hassasiyeti, sistem erişimi, finansal bağımlılık ve operasyonel kritiklik faktörlerine göre tedarikçileri sınıflandırma; her sınıfa farklı denetim derinliği uygulama.
- Kritiklik kriterleri matrisi
- Veri sınıflandırma ile bağ
- Sınıf bazında denetim derinliği
Tedarikçiye göre uyarlanmış soru listesi kurar.
SIG, CAIQ, ISO 27001 Annex A, KVKK ve sektörel referansları kullanarak tedarikçiye özel, gerçek bilgi alan, atlanamayan sorulardan oluşan denetim formu tasarımı.
- SIG ve CAIQ kullanımı
- Standart referans haritalama
- Sektörel uyarlama
Sahada nasıl denetim yapılır, ne aranır.
Yerinde denetim hazırlığı, açılış toplantısı, kanıt toplama, mülakat tekniği, sistem incelemesi, kapanış toplantısı ve denetim raporu yazımı disipliniyle çalışılır.
- Açılış ve kapanış disiplini
- Kanıt toplama protokolü
- Mülakat ve gözlem teknikleri
Denetim hakkını sözleşmeyle güvence altına alır.
Sözleşmeye eklenmesi gereken bilgi güvenliği maddeleri, denetim hakkı, KVKK veri işleyen sözleşmesi, ihlal bildirim süreleri ve sözleşme bitiş yükümlülükleri detaylı ele alınır.
- Bilgi güvenliği şart maddeleri
- KVKK veri işleyen sözleşmesi
- İhlal bildirim hükümleri
Yıllık denetimi sürekli izlemeye dönüştürür.
Otomatik tehdit istihbaratı, dış güvenlik puanlama servisleri, ihlal haberleri takibi, finansal sağlık izleme ve sözleşme döngüsü gibi sürekli izleme bileşenleri kurulur.
- Dış puanlama servisleri
- İhlal istihbarat takibi
- Otomatik tetikleme kuralları
Bulguyu rapora değil aksiyona dönüştürür.
Bulgu sınıflandırma kriterleri, kapanış planı talebi, sürelere bağlı eskalasyon, sözleşme yenileme kararına etkisi ve yönetim raporlamasında nasıl kullanılacağı işlenir.
- Bulgu önceliklendirme ölçütleri
- Kapanış izleme döngüsü
- Yönetim raporlama formatı
İki günlük yoğun program; envanterden sürekli izlemeye kadar tüm TPRM yaşam döngüsünü kapsar.
Program; kurumun tedarikçi olgunluğuna ve katılımcı profiline göre 1 gün özet, 2 gün uygulayıcı veya 5 gün denetçi yetkinliği biçiminde uyarlanabilir. Tüm akış pratik atölyelerle desteklenir.
Mevzuat, metodoloji ve sürekli izleme tek programda buluşur.
Eğitim, gerçek tedarikçi vakaları ve denetim raporları üzerinden öğrenmeyi kalıcı hale getirir.
Katılımcılar yalnızca dinlemez; tedarikçi sınıflandırması yapar, soru listesi uyarlar, mülakat oynar, kanıt toplar, bulgu raporu yazar ve kendi kurumları için yol haritası çıkarır.
Tedarikçi yaşam döngüsünün herhangi bir aşamasında karar veren tüm kritik roller için uyarlanabilir eğitim.
Eğitim sonunda kurumun tedarikçi denetim olgunluğu ölçülebilir ve sürdürülebilir hale gelir.
Katılımcı kazanımları
- Tedarikçi envanterini doğru kriterlerle sınıflandırabilme
- SIG, CAIQ ve özel soru listelerini etkin kullanabilme
- Yerinde denetim yapabilme ve kanıt toplayabilme
- Mülakat tekniği ile gerçek bilgi alabilme
- Bulgu sınıflandırma ve raporlama yapabilme
- Sözleşmelere bilgi güvenliği maddesi ekleyebilme
- Sürekli izleme süreci kurabilme
Kurum çıktıları
- Tedarikçi sınıflandırma matrisi şablonu
- Sınıfa özel soru listesi setleri
- Yerinde denetim kontrol listesi
- Sözleşme bilgi güvenliği maddeleri kütüphanesi
- KVKK veri işleyen sözleşmesi şablonu
- Bulgu sınıflandırma ve raporlama formatı
- Üst yönetim TPRM panosu KPI listesi
- Kuruma özel 90 günlük TPRM yol haritası
Eğitim hakkında bilmek istediğiniz her şey tek bakışta.
Süre, format, katılımcı sayısı, sertifika, içerik kapsamı ve teslim edilen materyaller netleştirilmiştir. Kuruma özel programlarda parametreler ihtiyaca göre uyarlanır.
| Eğitim Adı | Tedarikçi Denetim Eğitimi (TPRM — Üçüncü Taraf Risk Yönetimi) |
|---|---|
| Süre | 2 gün (14 saat). Kurumun olgunluğuna göre 1 gün özet veya 5 gün denetçi yetkinliği programı olarak uyarlanabilir. |
| Eğitim Formatı | Yüz Yüze (Kurum Lokasyonu) Online Canlı (Zoom / Teams) Hibrit |
| Eğitim Başlıkları | TPRM temelleri · Tedarikçi yaşam döngüsü · ISO 27001 Annex A 5.19-5.23 · KVKK veri işleyen yükümlülükleri · BDDK ve EBA dış kaynak yönetimi · Tedarikçi sınıflandırma matrisi · SIG ve CAIQ kullanımı · Yerinde denetim metodolojisi · Mülakat tekniği ve kanıt toplama · Sözleşme bilgi güvenliği maddeleri · Bulgu sınıflandırma · Sürekli izleme · Üst yönetim raporlama. |
| Hedef Kitle | Bilgi güvenliği ve TPRM sorumluları, iç denetim uzmanları, risk yöneticileri, satınalma ve sözleşme yönetimi, hukuk ve KVKK sorumluları, uyum birimi, BT ve sistem yöneticileri, kalite ve süreç yönetimi. |
| Ön Koşul | ISO 27001 ve KVKK hakkında temel düzeyde bilgi tavsiye edilir; ancak zorunlu değildir. İç denetim deneyimi olan katılımcılar için içerik ileri seviyede uyarlanabilir. |
| Katılımcı Sayısı | Optimum verim için 8 – 20 kişi. Kuruma özel programlarda en fazla 25 kişiye kadar grup açılabilir. |
| Sertifika | Katılım Sertifikası Eğitim tamamlandığında Secure Fors tarafından imzalı dijital katılım sertifikası verilir. Doğrulanabilir QR kod içerir. |
| Eğitim Materyali | Sunum dosyası (PDF) · Atölye çalışma defteri · Tedarikçi sınıflandırma matrisi şablonu · Sınıfa özel soru listesi setleri · Yerinde denetim kontrol listesi · Sözleşme bilgi güvenliği maddeleri kütüphanesi · KVKK veri işleyen sözleşmesi şablonu · Bulgu sınıflandırma ve raporlama formatı · Üst yönetim TPRM panosu KPI listesi · 90 günlük TPRM yol haritası şablonu. |
| Uygulama | Tedarikçi sınıflandırma atölyesi, sınıfa özel soru listesi tasarımı, yerinde denetim mülakatı canlandırması, doküman ve sistem kanıt incelemesi, bulgu sınıflandırma ve eskalasyon tartışması, 90 günlük yol haritası tasarımı atölyeleri içerir. |
| Eğitmen | ISO 27001 Lead Auditor, CEH ve TPRM alanında deneyimli kıdemli danışman. Türkiye’nin önde gelen havayolu, banka ve teknoloji şirketlerinde tedarikçi denetimleri yürütmüş; sahada uygulanabilir metodoloji odaklı. |
| Fiyatlandırma | Kuruma özel teklif. Katılımcı sayısı, format (yüz yüze / online), program süresi ve özelleştirme ihtiyacına göre fiyat oluşturulur. |
Eğitim öncesinde aklınıza takılabilecek soruların yanıtları.
Evet. Eğitim, iç denetim deneyimi olmayan katılımcılar için temel denetim tekniklerini sade bir dille aktarır. Soru listesi tasarımı, mülakat tekniği ve kanıt toplama gibi yetkinlikler sıfırdan öğretilir. Deneyimli katılımcılar varsa içerik ileri seviyede uyarlanır.
Evet. KVKK veri işleyen yükümlülükleri, BDDK ve EBA düzenlemeleri, sektörel uyum şartları ve müşteri sözleşmelerindeki yükümlülükler ISO 27001’den bağımsız olarak tedarikçi denetimini gerektirir. Eğitim, ISO 27001 olmadan da TPRM kurmayı öğretir.
Bu standart soru listeleri başlangıç için faydalıdır ancak kurumun sektörüne, tedarikçi profiline ve risk iştahına göre uyarlanması gerekir. Eğitim, bu uyarlama metodolojisini öğretir; kuruma özel uyarlanmış örnek setler ile birlikte verilir.
Hayır. Risk bazlı yaklaşımda yalnızca yüksek kritiklik sınıfındaki tedarikçilerde yerinde denetim yapılır. Orta sınıf için video konferanslı denetim, düşük sınıf için soru listesi yeterli olabilir. Eğitim, hangi sınıfta hangi yöntemin uygun olduğunu somut kriterlerle gösterir.
SOC 2 raporu güçlü bir referanstır ancak tek başına yeterli değildir. Raporun kapsamı, geçerlilik tarihi, denetim tipi (Type 1 / Type 2) ve sizinle ilgili kontrolleri kapsayıp kapsamadığı ayrı ayrı değerlendirilmelidir. Eğitim, üçüncü taraf raporlarını nasıl okuyacağınızı öğretir.
Hayır, bunlar dış görünür güvenlik durumunu ölçer; iç kontrol kalitesini ölçmez. Sürekli izleme servisleri yıllık denetim yerine değil, yıllık denetimi tamamlayıcı bir araç olarak kullanılır. Eğitim, bu servislerin doğru entegrasyonunu öğretir.
Tedarikçi denetimini soru listesi göndermekten çıkarıp ölçülebilir bir kontrol disiplinine dönüştürün.
Kurumunuzun sektörüne, tedarikçi profiline ve risk iştahına özel hazırlanan TPRM eğitimi ile denetim olgunluğunuzu sürdürülebilir hale getirin.
Referans çerçeveler: ISO/IEC 27001:2022 Annex A 5.19-5.23 Tedarikçi İlişkileri Kontrolleri · ISO/IEC 27036 Tedarikçi İlişkileri için Bilgi Güvenliği · NIST SP 800-161 Tedarik Zinciri Risk Yönetimi · 6698 Sayılı KVKK ve Veri İşleyen Yükümlülükleri · BDDK Bilgi Sistemleri ve Elektronik Bankacılık Yönetmeliği · EBA Outsourcing Arrangements Rehberi · Shared Assessments SIG · Cloud Security Alliance CAIQ.