Kritik tedarikçi nasıl belirlenir? 5 kriter ve uygulanabilir bir puanlama modeli
Her tedarikçiyi aynı derinlikte değerlendirmek mümkün değildir. Kritiklik sınıflandırması, sınırlı kaynağı en yüksek riski taşıyan tedarikçilere yönlendirmenizi sağlar.
Kritik tedarikçi; kurumunuzun hassas verisine veya sistemlerine erişen, kesintisi iş sürekliliğinizi doğrudan etkileyen, kolayca ikame edilemeyen ya da düzenleyici yükümlülüklerinizi etkileyen tedarikçidir. Bu beş kriteri basit bir puanla değerlendirip tedarikçileri kademelere ayırmak, TPRM programının ilk ve en önemli adımıdır. Kritik kademedeki tedarikçiler kanıta dayalı ve gerektiğinde yerinde denetlenmelidir.
Kritiklik sınıflandırması olmadan TPRM ölçeklenmez.
Çoğu kurumda yüzlerce tedarikçi bulunur; ancak bunların yalnızca küçük bir kısmı verinize, sistemlerinize ya da kritik süreçlerinize doğrudan dokunur. Tüm tedarikçilere aynı uzun soru setini göndermek hem tedarikçiyi hem ekibinizi yorar, gerçek riskleri ise görünmez kılar.
Kritiklik sınıflandırması, hangi tedarikçinin hızlı bir ön değerlendirmeyle, hangisinin kapsamlı bir denetimle ele alınacağını belirler.
Kritikliği belirleyen 5 kriter
1. Veri erişimi
Tedarikçi kişisel veri, özel nitelikli veri, ticari sır veya gizli bilgiye erişiyor ya da bunları işliyor mu?
2. Sistem erişimi
Ağınıza, uygulamalarınıza veya üretim ortamına uzaktan ya da yerinde erişimi var mı; yetkileri ne düzeyde?
3. İş sürekliliği etkisi
Hizmet bir gün veya bir hafta kesilirse kritik süreçleriniz durur mu, müşteriniz etkilenir mi?
4. İkame edilebilirlik
Tedarikçi kısa sürede değiştirilebilir mi, yoksa bağımlılık ve geçiş maliyeti yüksek mi?
5. Düzenleyici etki
Tedarikçi; KVKK, sektör düzenlemeleri veya müşteri sözleşmeleri kapsamındaki yükümlülüklerinizi etkiliyor mu?
Ek sinyal
Alt yüklenici zinciri, yurt dışında veri işleme ve geçmiş olaylar kritikliği yukarı taşıyabilir.
Basit bir puanlama modeli
Her kriteri 0 ile 3 arasında puanlayın: 0 = etkisi yok, 1 = düşük, 2 = orta, 3 = yüksek. Toplam puan 0 ile 15 arasında olur.
- Kritik (11–15 puan veya veri ya da sistem erişiminden 3 puan): Kapsamlı değerlendirme, kanıt talebi, online ve yerinde denetim, sık yeniden değerlendirme.
- Yüksek (7–10 puan): Kapsamlı soru seti, kanıt talebi, gerektiğinde online denetim.
- Orta (4–6 puan): Kısaltılmış soru seti ve temel kanıtlar.
- Düşük (0–3 puan): Sözleşmesel güvenlik maddeleri ve kabul aşamasında temel kontrol.
Eşikler kurumunuzun risk iştahına göre ayarlanmalıdır. Önemli olan, kriterlerin yazılı olması ve her tedarikçiye aynı şekilde uygulanmasıdır.
Kritiklik sınıflandırması adım adım
Envanter
Tüm tedarikçileri satınalma, muhasebe ve BT kayıtlarından tek listede toplayın.
Bilgi toplama
İş birimi sahibinden hizmet, veri ve erişim bilgisini kısa bir formla alın.
Puanlama
Beş kriteri puanlayın ve kademeyi belirleyin.
Doğrulama
Bilgi güvenliği ve iş birimiyle sonuçları gözden geçirin.
Bağlama
Her kademeye değerlendirme derinliği ve yeniden değerlendirme sıklığı atayın.
Kritiklik belirlerken kaçınılması gerekenler
- Sözleşme tutarına göre sınıflandırmak: Küçük bir yazılım tedarikçisi, büyük bir lojistik tedarikçisinden daha kritik olabilir.
- Bir kez yapıp bırakmak: Hizmet kapsamı veya erişim değiştiğinde kritiklik yeniden değerlendirilmelidir.
- Yalnızca BT tedarikçilerine bakmak: Çağrı merkezi, bordro, hukuk ve pazarlama ajansları da kritik veri işleyebilir.
- Alt yüklenicileri görmezden gelmek: Kritik tedarikçinin kritik alt yüklenicisi de dolaylı olarak kritiktir.
Kritik tedarikçi hakkında sık sorulanlar
Kritik tedarikçi nedir?
Kurumun hassas verisine veya sistemlerine erişen, kesintisi iş sürekliliğini doğrudan etkileyen, kolayca ikame edilemeyen ya da düzenleyici yükümlülükleri etkileyen tedarikçidir.
Tedarikçilerin ne kadarı kritik çıkar?
Kuruma ve sektöre göre değişir; ancak genellikle tedarikçi portföyünün küçük bir bölümü kritik kademeye girer. Kriterler doğru uygulandığında kaynaklar bu küçük gruba yoğunlaştırılabilir.
Kritiklik ne sıklıkla güncellenmeli?
En az yılda bir ve hizmet kapsamı, veri erişimi veya sözleşme değiştiğinde yeniden değerlendirilmelidir.
Kritik tedarikçiler nasıl değerlendirilmeli?
Kapsamlı soru seti ve kanıt talebiyle başlanmalı, beyanlar online ve gerektiğinde yerinde denetimle doğrulanmalıdır.
Konuyla ilgili diğer içerikler
Denetlediğimiz tedarikçilerin ortalama olgunluk puanı: yaklaşık 50 / 100
- Puanlanmış 11 tedarikçi denetiminin 5’inde tedarikçi 50 puanın altında kaldı.
- En sık eksik: zafiyet yönetiminin merkezi bir araçla ve kapanış takibiyle yürütülmemesi (değerlendirilen denetimlerin yaklaşık %89’u).
- En zayıf alanlar: yapay zekâ ve model güvenliği, kullanım ömrü dolmuş bileşenler ve sürekli zafiyet yönetimi.
Tedarikçi portföyünüzü birlikte sınıflandıralım.
Kritik tedarikçilerinizi belirleyip değerlendirme derinliğini kısa bir ön görüşmede planlayalım.