Tedarikçi denetim raporu nasıl hazırlanır? Bölümler, bulgu derecelendirme ve aksiyon planı
Denetimin değeri raporun kalitesiyle ölçülür. İyi bir tedarikçi denetim raporu; neyin, hangi kriterle, hangi kanıtla değerlendirildiğini gösterir ve yönetime net bir karar zemini sunar.
Tedarikçi denetim raporu; yönetici özeti, kapsam ve denetim kriterleri, yöntem, bulgular, olumlu tespitler, genel risk değerlendirmesi ve aksiyon planından oluşmalıdır. Her bulgu; ilgili kriteri, toplanan kanıtı, risk seviyesini, düzeltici aksiyon önerisini, sorumluyu ve termini içermelidir. Rapor, denetlenmeyen bir kişinin de aynı sonuca ulaşabileceği kadar kanıta dayalı ve tekrarlanabilir olmalıdır.
Rapor, denetimin karara dönüştüğü yerdir.
Tedarikçi denetimi sonunda üç farklı okuyucu vardır: sözleşme ve devam kararını verecek yönetim, bulguları kapatacak tedarikçi ve gerektiğinde süreci inceleyecek iç ya da dış denetçi. Rapor bu üç okuyucunun ihtiyacını birlikte karşılamalıdır.
Kanıtı zayıf, belirsiz ya da yalnızca “uygun / uygun değil” listesinden oluşan raporlar; bulguların kapatılmasını ve tedarikçi riskinin izlenmesini zorlaştırır.
Bir tedarikçi denetim raporunda bulunması gereken bölümler
1. Yönetici özeti
Genel risk seviyesi, en önemli 3–5 bulgu, devam ve koşul önerisi. Tek sayfayı geçmemeli.
2. Kapsam ve kriterler
Denetlenen hizmet, lokasyon, sistemler, tarih aralığı ve referans alınan standart ya da sözleşme maddeleri.
3. Yöntem
Online ve yerinde aşamalar, görüşülen roller, incelenen belge ve kayıt türleri, örnekleme yaklaşımı.
4. Bulgular
Her bulgu için kriter, tespit, kanıt, risk seviyesi, öneri, sorumlu ve termin.
5. Olumlu tespitler
İyi uygulamalar; raporun dengeli olmasını ve tedarikçi iş birliğini destekler.
6. Aksiyon planı ve ekler
Bulguların kapanış takibi için tablo; kanıt listesi ve görüşme kayıtları eklerde.
İyi yazılmış bir bulgu nasıl görünür?
Her bulgu aşağıdaki alanları içermelidir:
- Kriter: Hangi gereklilik veya kontrol değerlendirildi? (ör. sözleşmedeki erişim yönetimi maddesi, ISO/IEC 27001 kontrolü)
- Tespit: Ne görüldü? Yorum değil, gözlem.
- Kanıt: Hangi belge, kayıt, ekran veya görüşme bu tespiti destekliyor?
- Risk ve etki: Bu durum sizin veriniz veya hizmetiniz için ne anlama geliyor?
- Öneri: Uygulanabilir ve ölçülebilir düzeltici aksiyon.
- Sorumlu ve termin: Tedarikçi tarafında kim, ne zamana kadar kapatacak?
Örnek: “Destek ekibinin sisteminize uzaktan erişiminde ortak bir kullanıcı hesabı kullanıldığı ve çok faktörlü doğrulama uygulanmadığı görülmüştür (kanıt: erişim listesi ekran görüntüsü, görüşme). Bu durum yetkisiz erişimin tespit edilmesini ve sorumluluğun belirlenmesini engeller. Öneri: kişiye özel hesaplar ve çok faktörlü doğrulama; termin: 30 gün.”
Bulgular nasıl derecelendirilir?
- Kritik: Verinize veya hizmetinize doğrudan ve yakın risk; sözleşme kapsamında acil aksiyon veya geçici önlem gerektirir.
- Yüksek: Önemli bir kontrol eksikliği; kısa vadede kapatılmalı.
- Orta: Kontrol var ancak eksik veya tutarsız uygulanıyor; planlı iyileştirme yeterli.
- Düşük / gözlem: İyileştirme fırsatı; zorunlu aksiyon gerektirmeyebilir.
Derecelendirme ölçütleri raporda açıkça tanımlanmalı ve tüm tedarikçilere aynı şekilde uygulanmalıdır. Böylece tedarikçiler arasında karşılaştırma yapılabilir.
Rapordan kapanışa beş adım
Taslak rapor
Bulgular kanıtlarıyla birlikte taslak olarak hazırlanır.
Doğrulama
Tedarikçiyle olgusal hatalar için kısa bir kapanış toplantısı yapılır.
Nihai rapor
Derecelendirme ve öneriler kesinleştirilir, yönetime sunulur.
Aksiyon planı
Tedarikçi her bulgu için sorumlu ve termin belirler.
Kapanış takibi
Kapanış kanıtları incelenir; kritik bulgular yeniden doğrulanır.
Raporu zayıflatan hatalar
- Kanıtı belirtilmeyen veya “görüşmede ifade edildi” ile sınırlı kalan bulgular.
- Kriteri tanımlanmadığı için tartışmaya açık tespitler.
- Her bulgunun “yüksek” işaretlenmesi; önceliklendirmenin kaybolması.
- Termin ve sorumlu içermeyen öneriler.
- Kapsam dışında kalan alanların raporda belirtilmemesi.
- Tedarikçiye ait hassas bilgilerin raporda gereğinden fazla paylaşılması.
Tedarikçi denetim raporu hakkında sık sorulanlar
Tedarikçi denetim raporu kimlerle paylaşılır?
Genellikle yönetim, bilgi güvenliği, satınalma ve ilgili iş birimiyle paylaşılır. Bulgular ve aksiyon planı tedarikçiyle paylaşılır; tedarikçiye ait hassas bilgiler gereken kişilerle sınırlandırılmalıdır.
Rapor ne kadar sürede hazırlanmalı?
Bulguların güncelliğini korumak için denetimden sonraki kısa bir süre içinde taslak rapor hazırlanması ve tedarikçiyle doğrulanması önerilir.
Tedarikçi bulguya itiraz ederse ne yapılmalı?
İtiraz, kanıt üzerinden değerlendirilmelidir. Yeni kanıt sunulursa bulgu güncellenir; sunulmazsa bulgu ve itiraz notu raporda birlikte yer alabilir.
Kritik bulgu çıkarsa sözleşme feshedilmeli mi?
Her zaman değil. Kritik bulgular için önce geçici önlemler ve kısa terminli aksiyon planı istenir; kapatılmazsa sözleşmedeki güvenlik ve fesih hükümleri devreye girer.
Denetlediğimiz tedarikçilerin ortalama olgunluk puanı: yaklaşık 50 / 100
- Puanlanmış 11 tedarikçi denetiminin 5’inde tedarikçi 50 puanın altında kaldı.
- En sık eksik: zafiyet yönetiminin merkezi bir araçla ve kapanış takibiyle yürütülmemesi (değerlendirilen denetimlerin yaklaşık %89’u).
- En zayıf alanlar: yapay zekâ ve model güvenliği, kullanım ömrü dolmuş bileşenler ve sürekli zafiyet yönetimi.
Kritik tedarikçilerinizi denetleyelim, raporu karar verilebilir hâle getirelim.
100’ü aşkın tedarikçi denetiminden gelen birikimle kanıta dayalı denetim raporu ve kapanış takibi sağlıyoruz.