İhlallerin yarısından fazlası tedarikçinizin kapısından geçer; denetim disiplini bu kapıyı kapatır.
Supplier Audit Training; üçüncü taraf risk ynetimi (TPRM) çerçevesinde tedarikçi seçimi, soru listesi tasarımı, yerinde denetim yntemi, bulgu sınıflandırma ve sürekli izleme süreçlerini ele alır. ISO 27001 Annex A 5.19-5.23, KVKK veri işleyen, BDDK ve EBA dış kaynak ynetimi gereklilikleri bütünleşik olarak işlenir. Eğitim, klasik soru listesi yaklaşımının tesine geçerek modern bir denetim metodolojisi sunar.
Tedarikçi denetimi, soru listesi gndermek değildir; bir kontrol ekosistemi kurmaktır.
Pek çok kurumda tedarikçi denetimi, yıllık olarak gnderilen ve ortalama 200 maddelik bir Excel soru listesinin tedarikçi tarafından doldurulup geri gnderilmesi şeklinde yürütülür. Bu yaklaşım, dokümantasyon yükümlülüğünü karşılayabilir; ancak gerçek riski lçemez. Cevapların doğru olup olmadığı, tedarikçinin kapısından içeri girilmediği sürece bilinemez.
Modern tedarikçi denetimi; risk bazlı yaklaşımla başlar, soru listesini kuruma zel uyarlar, critical supplierlerde yerinde denetim yapar, kanıt toplar, bulguyu sınıflandırır, kapanış izlemesi yürütür ve tedarikçinin durumunu yıl boyu sürekli izler. Bu eğitim; ISO 27001 Annex A 5.19-5.23, KVKK veri işleyen yükümlülükleri, BDDK ve EBA dış kaynak ynetimi düzenlemeleri ile sahada gerçekten işleyen denetim metodolojisini bir araya getirir.
Bu eğitim, klasik soru listesi denetiminin üzerine modern bir TPRM metodolojisi ekler.
Pek çok tedarikçi denetim eğitimi 2010’ların yaklaşımı üzerine kuruludur: bir tedarikçi soru listesi gnderilir, geri dnen formlar arşivlenir. Bu yaklaşım dokümante eder ama korumaz. Modern TPRM ise bütüncül bir kontrol ekosistemi kurar.
Klasik Supplier Denetim Yaklaşımı Soru listesi odaklı, dokümantasyon merkezli
- 200 maddelik aynı Excel formu her tedarikçiye
- Tek seferlik yıllık değerlendirme
- Tedarikçi cevabı kabul edilir, kanıt istenmez
- Kritik ve düşük riskli tedarikçi aynı muameleye tabi
- Yerinde denetim yapılmaz veya seyrek yapılır
- Bulgu izlemesi takip edilmez
- 4. taraf riski gz ardı edilir
- Sonuç: dokümante edilmiş risk, korunmamış kurum
Modern TPRM Metodolojisi Risk bazlı, kanıt odaklı, sürekli izleme
- Tedarikçi sınıflandırmasına gre farklı soru setleri
- Yaşam dngüsü boyunca sürekli izleme
- Kritik tedarikçide yerinde denetim ve kanıt toplama
- SIG, CAIQ, ISO 27001, SOC 2 gibi standart referanslar
- Szleşmeye bağlı denetim hakkı ve süre yükümlülükleri
- Bulgu kapanış takibi ve eskalasyon
- 4. taraf grünürlüğü ve SBOM disiplini
- Sonuç: lçülebilir kontrol, denetlenebilir süreç
Katılımcılar tedarikçi denetimini risk ynetimi, mevzuat ve kanıt disiplini ekseninde birlikte değerlendirmeyi ğrenir.
Eğitim, tek bir denetim aracını veya platformunu ğretmez. Risk bazlı denetim metodolojisini ve hangi kurumda hangi yaklaşımın doğru olacağını gerçek vakalarla aktarır.
Tedarikçileri kritikliğe gre sınıflandırır.
Veri hassasiyeti, sistem erişimi, finansal bağımlılık ve operasyonel kritiklik faktrlerine gre tedarikçileri sınıflandırma; her sınıfa farklı denetim derinliği uygulama.
- Kritiklik kriterleri matrisi
- Veri sınıflandırma ile bağ
- Sınıf bazında denetim derinliği
Tedarikçiye gre uyarlanmış soru listesi kurar.
SIG, CAIQ, ISO 27001 Annex A, KVKK ve sektrel referansları kullanarak tedarikçiye zel, gerçek bilgi alan, atlanamayan sorulardan oluşan denetim formu tasarımı.
- SIG ve CAIQ kullanımı
- Standart referans haritalama
- Sektrel uyarlama
Sahada nasıl denetim yapılır, ne aranır.
Yerinde denetim hazırlığı, açılış toplantısı, kanıt toplama, mülakat tekniği, sistem incelemesi, kapanış toplantısı ve denetim raporu yazımı disipliniyle çalışılır.
- Açılış ve kapanış disiplini
- Kanıt toplama protokolü
- Mülakat ve gzlem teknikleri
Denetim hakkını szleşmeyle güvence altına alır.
Szleşmeye eklenmesi gereken bilgi güvenliği maddeleri, denetim hakkı, KVKK veri işleyen szleşmesi, ihlal bildirim süreleri ve szleşme bitiş yükümlülükleri detaylı ele alınır.
- Bilgi güvenliği şart maddeleri
- KVKK veri işleyen szleşmesi
- İhlal bildirim hükümleri
Yıllık denetimi sürekli izlemeye d.
Otomatik tehdit istihbaratı, dış security puanlama servisleri, ihlal haberleri takibi, finansal sağlık izleme ve szleşme dngüsü gibi sürekli izleme bileşenleri kurulur.
- Dış puanlama servisleri
- İhlal istihbarat takibi
- Otomatik tetikleme kuralları
Bulguyu rapora değil aksiyona d.
Bulgu sınıflandırma kriterleri, remediation plan talebi, sürelere bağlı eskalasyon, szleşme yenileme kararına etkisi ve ynetim raporlamasında nasıl kullanılacağı işlenir.
- Bulgu nceliklendirme lçütleri
- Kapanış izleme dngüsü
- Ynetim raporlama formatı
İki günlük yoğun program; inventoryden sürekli izlemeye kadar tüm TPRM yaşam dngüsünü kapsar.
Program; kurumun tedarikçi olgunluğuna ve katılımcı profiline gre 1 gün zet, 2 gün uygulayıcı veya 5 gün denetçi yetkinliği biçiminde uyarlanabilir. Tüm akış pratik atlyelerle desteklenir.
Mevzuat, metodoloji ve sürekli izleme tek programda buluşur.
Eğitim, gerçek tedarikçi vakaları ve denetim raporları üzerinden ğrenmeyi kalıcı hale getirir.
Katılımcılar yalnızca dinlemez; tedarikçi sınıflandırması yapar, soru listesi uyarlar, mülakat oynar, kanıt toplar, bulgu raporu yazar ve kendi kurumları için yol haritası çıkarır.
Tedarikçi yaşam dngüsünün herhangi bir aşamasında karar veren tüm kritik roller için uyarlanabilir eğitim.
Eğitim sonunda kurumun tedarikçi denetim olgunluğu lçülebilir ve sürdürülebilir hale gelir.
Katılımcı kazanımları
- Tedarikçi inventoryni doğru kriterlerle sınıflandırabilme
- SIG, CAIQ ve zel soru listelerini etkin kullanabilme
- Yerinde denetim yapabilme ve kanıt toplayabilme
- Mülakat tekniği ile gerçek bilgi alabilme
- Bulgu sınıflandırma ve raporlama yapabilme
- Szleşmelere bilgi güvenliği maddesi ekleyebilme
- Sürekli izleme süreci kurabilme
Kurum çıktıları
- Tedarikçi sınıflandırma matrisi şablonu
- Sınıfa zel soru listesi setleri
- Yerinde denetim kontrol listesi
- Szleşme bilgi güvenliği maddeleri kütüphanesi
- KVKK veri işleyen szleşmesi şablonu
- Bulgu sınıflandırma ve raporlama formatı
- Üst ynetim TPRM panosu KPI listesi
- Kuruma zel 90 günlük TPRM yol haritası
Eğitim hakkında bilmek istediğiniz her şey tek bakışta.
Süre, format, katılımcı sayısı, sertifika, içerik kapsamı ve teslim edilen materyaller netleştirilmiştir. Kuruma zel programlarda parametreler ihtiyaca gre uyarlanır.
| Eğitim Adı | Supplier Audit Training (TPRM — Üçüncü Taraf Risk Ynetimi) |
|---|---|
| Süre | 2 gün (14 saat). Kurumun olgunluğuna gre 1 gün zet veya 5 gün denetçi yetkinliği programı olarak uyarlanabilir. |
| Eğitim Formatı | Yüz Yüze (Kurum Lokasyonu) Online Canlı (Zoom / Teams) Hibrit |
| Eğitim Başlıkları | TPRM temelleri · Tedarikçi yaşam dngüsü · ISO 27001 Annex A 5.19-5.23 · KVKK veri işleyen yükümlülükleri · BDDK ve EBA dış kaynak ynetimi · Tedarikçi sınıflandırma matrisi · SIG ve CAIQ kullanımı · Yerinde denetim metodolojisi · Mülakat tekniği ve kanıt toplama · Szleşme bilgi güvenliği maddeleri · Bulgu sınıflandırma · Sürekli izleme · Üst ynetim raporlama. |
| Hedef Kitle | Bilgi güvenliği ve TPRM sorumluları, iç denetim uzmanları, risk yneticileri, satınalma ve szleşme ynetimi, hukuk ve KVKK sorumluları, uyum birimi, BT ve sistem yneticileri, kalite ve süreç ynetimi. |
| Ön Koşul | ISO 27001 ve KVKK hakkında temel düzeyde bilgi tavsiye edilir; ancak zorunlu değildir. İç denetim deneyimi olan katılımcılar için içerik ileri seviyede uyarlanabilir. |
| Katılımcı Sayısı | Optimum verim için 8 – 20 kişi. Kuruma zel programlarda en fazla 25 kişiye kadar grup açılabilir. |
| Sertifika | Katılım Sertifikası Eğitim tamamlandığında Secure Fors tarafından imzalı dijital katılım sertifikası verilir. Doğrulanabilir QR kod içerir. |
| Eğitim Materyali | Sunum dosyası (PDF) · Atlye çalışma defteri · Tedarikçi sınıflandırma matrisi şablonu · Sınıfa zel soru listesi setleri · Yerinde denetim kontrol listesi · Szleşme bilgi güvenliği maddeleri kütüphanesi · KVKK veri işleyen szleşmesi şablonu · Bulgu sınıflandırma ve raporlama formatı · Üst ynetim TPRM panosu KPI listesi · 90 günlük TPRM yol haritası şablonu. |
| Uygulama | Tedarikçi sınıflandırma atlyesi, sınıfa zel soru listesi tasarımı, yerinde denetim mülakatı canlandırması, doküman ve sistem kanıt incelemesi, bulgu sınıflandırma ve eskalasyon tartışması, 90 günlük yol haritası tasarımı atlyeleri içerir. |
| Eğitmen | ISO 27001 Lead Auditor, CEH ve TPRM alanında deneyimli kıdemli danışman. Türkiye’nin nde gelen havayolu, banka ve teknoloji şirketlerinde tedarikçi denetimleri yürütmüş; sahada uygulanabilir metodoloji odaklı. |
| Fiyatlandırma | Kuruma zel teklif. Katılımcı sayısı, format (yüz yüze / online), program süresi ve zelleştirme ihtiyacına gre fiyat oluşturulur. |
Eğitim ncesinde aklınıza takılabilecek soruların yanıtları.
Evet. Eğitim, iç denetim deneyimi olmayan katılımcılar için temel denetim tekniklerini sade bir dille aktarır. Soru listesi tasarımı, mülakat tekniği ve kanıt toplama gibi yetkinlikler sıfırdan ğretilir. Deneyimli katılımcılar varsa içerik ileri seviyede uyarlanır.
Evet. KVKK veri işleyen yükümlülükleri, BDDK ve EBA düzenlemeleri, sektrel uyum şartları ve müşteri szleşmelerindeki yükümlülükler ISO 27001’den bağımsız olarak tedarikçi denetimini gerektirir. Eğitim, ISO 27001 olmadan da TPRM kurmayı ğretir.
Bu standart soru listeleri başlangıç için faydalıdır ancak kurumun sektrüne, tedarikçi profiline ve risk iştahına gre uyarlanması gerekir. Eğitim, bu uyarlama metodolojisini ğretir; kuruma zel uyarlanmış rnek setler ile birlikte verilir.
No. Risk bazlı yaklaşımda yalnızca yüksek kritiklik sınıfındaki tedarikçilerde yerinde denetim yapılır. Orta sınıf için video konferanslı denetim, düşük sınıf için soru listesi yeterli olabilir. Eğitim, hangi sınıfta hangi yntemin uygun olduğunu somut kriterlerle gsterir.
SOC 2 raporu güçlü bir referanstır ancak tek başına yeterli değildir. Raporun kapsamı, geçerlilik tarihi, denetim tipi (Type 1 / Type 2) ve sizinle ilgili kontrolleri kapsayıp kapsamadığı ayrı ayrı değerlendirilmelidir. Eğitim, üçüncü taraf raporlarını nasıl okuyacağınızı ğretir.
No, bunlar dış grünür security durumunu lçer; iç kontrol kalitesini lçmez. Sürekli izleme servisleri yıllık denetim yerine değil, yıllık denetimi tamamlayıcı bir araç olarak kullanılır. Eğitim, bu servislerin doğru entegrasyonunu ğretir.
Tedarikçi denetimini soru listesi gndermekten çıkarıp lçülebilir bir kontrol disiplinine dnüştürün.
Kurumunuzun sektrüne, tedarikçi profiline ve risk iştahına zel hazırlanan TPRM eğitimi ile denetim olgunluğunuzu sürdürülebilir hale getirin.
Referans çerçeveler: ISO/IEC 27001:2022 Annex A 5.19-5.23 Tedarikçi İlişkileri Controlleri · ISO/IEC 27036 Tedarikçi İlişkileri için Bilgi Güvenliği · NIST SP 800-161 Tedarik Zinciri Risk Ynetimi · 6698 Sayılı KVKK ve Veri İşleyen Yükümlülükleri · BDDK Bilgi Sistemleri ve Elektronik Bankacılık Ynetmeliği · EBA Outsourcing Arrangements Rehberi · Shared Assessments SIG · Cloud Security Alliance CAIQ.