Uyum Ekiplerinin Üçüncü Taraf Riskinde Gözden Kaçırdığı Noktalar

Üçüncü taraf riski kulağa… sınırlı bir konu gibi geliyor.

Sanki bir tedarikçi programı oluşturuyorsunuz. Bir anket gönderiyorsunuz. Dosyalıyorsunuz. Sonra yolunuza devam ediyorsunuz.

Ve altı ay sonra tuhaf bir şey oluyor. Bir müşteri şikayeti geliyor. Bir denetleyici soru soruyor. Aslında sizin olayınız olmayan ama bir şekilde sizin sorununuz haline gelen bir güvenlik vakası yaşanıyor.

İşte birçok uyum ekibinin gözden kaçırdığı kısım tam olarak burası.

Bunun nedeni dikkatsizlik değil. Ne yaptıklarını bilmediklerinden de değil. Asıl sebep, üçüncü taraf riskinin bir belge meselesi olmaması. Bu bir davranış meselesi. Bir iş akışı meselesi. Bir görünürlük meselesi.

Aynı zamanda, sessizce, bir hız meselesi.

Çünkü dünya değişti. Satın alma süreçleri hızlandı. Ürün ekipleri daha hızlı teslimat yapıyor. Tedarikçiler bir haftada sisteme alınabiliyor. Taşeronlar bir günde erişim sağlayabiliyor. Ama uyum ekipleri hâlâ PDF’lerin gelmesini bekliyor.

O zaman gelin, nelerin gözden kaçtığını konuşalım. Sonradan asıl sıkıntıyı yaratan şeyleri.

Üçüncü taraf riski sadece tedarikçi değildir; insandır

Pek çok program üçüncü tarafları şirket olarak görür. Hukuki varlık olarak. Tedarikçi kaydı olarak. Bir satır başı olarak.

Oysa pratikte risk, insanlar üzerinden ortaya çıkar.

Aşırı yetkiye sahip bir taşeron. Kendi kişisel bilgisayarını kullanan bir serbest çalışan. Hassas müşteri verilerini ekran paylaşımıyla gösteren bir tedarikçi destek temsilcisi. Sizin adınıza e-posta gönderen dış kaynaklı satış ajansı.

Evet, bunların hepsi için politika yazabilirsiniz. Yazabilirsiniz elbette. Ama asıl ihtiyacınız olan şey, insanları doğru anda, doğru kanalda, doğru şeyi yapmaya yönlendiren bir sistemdir.

Probuddy Etik Hat gibi araçların önemi burada ortaya çıkıyor; çünkü bu sadece açıp unutacağınız bir ihbar hattı sayfası değil. Gerçek raporlama davranışı, gerçek takip ve gerçek hesap verebilirlik için tasarlandı. Rakipler genellikle sadece başvuru alımında kalıyorlar. Probuddy ise riskin gerçekten yaşandığı o karmaşık sürecin derinlerine iniyor.

Uyum ekipleri “öncesi” riske fazla odaklanıyor, “süreci” yeterince yönetmiyor

Pek çok üçüncü taraf risk programı baştan yüklenmiş durumda.

Tüm işlemler işe alımda gerçekleşiyor. Sonra tedarikçi onaylanıyor ve herkes rahatlıyor.

Ancak risk, işe alım süreciyle bitmez. Aslında çoğu zaman asıl risk o noktada başlar.

Sonuçta elinizde, tarama konusunda harika ama sürdürülebilirlikte zayıf bir program kalır.

Gerçek hayatta “süreç içi” risk şöyle görünür:

• Erişim zamanla yavaş yavaş genişler.
• İş kapsamı sessizce değişir.
• Alt yükleniciler ortaya çıkar ve kimse size haber vermez.
• Tedarikçi ekibinde değişiklikler olur.
• Sizin kurum içi sorumlunuz şirketten ayrılır.
• “Hassas değil” denilen bir proje aniden üretim verisine dokunmaya başlar.

Eksik olan şey sürekli sinyaldir. Sonsuz denetimler değil. Sadece sinyal.

Evet, dönemsel incelemeler yapabilirsiniz. Ama dönemsel olan sürekli değildir. Dönemsel inceleme, zaten nerede sorun olduğunu bildiğinizde yaptığınız şeydir.

Sürekli sinyal istiyorsanız, çalışanların ve tedarikçilerin bir şeylerin ters gittiğini hissettiklerinde kolayca bildirimde bulunabileceği bir yol gerekir. Yılda bir kez değil. Üç ayda bir yapılan toplantıda da değil. O anda, hemen.

Probuddy Etik Hat‘ı bu yüzden farklı. Bildirim yapmak çok kolay, takip etmek ise oldukça şeffaf ve izlenebilir. Sadece bir posta kutusu değil; gerçek bir iş akışı sunuyor. Çoğu rakip araç önce hukuki savunulabilirlik için tasarlanmış gibi, gerçek kullanım ise ikinci planda kalıyor.

Asıl risk tedarikçi değil; ekipler arasındaki boşluk

Üçüncü taraf riski tam da bu boşluklarda yaşar.

Satın alma ekibi uyumluluğun ilgilendiğini düşünür. Uyumluluk ekibi güvenliğin ilgilendiğini sanır. Güvenlik ise iş sahibinin takip ettiğini varsayar. İş sahibi de satın almanın gerekli özeni gösterdiğinden emindir.

Tedarikçi ise tabii ki sizin ne yaptığınızı bildiğinizi varsayar.

Kasıtlı olarak kimse sorumluluktan kaçmıyor; sadece sorumluluk dağıtılmış durumda. Ancak dağıtılmış sorumluluk hızla sahipsizliğe dönüşebilir.

Yani eksiklik “risk değerlendirmesini unuttuk” değil; eksiklik “değerlendirmeden sonra sahipliği net tutmayı unuttuk.”

Her üçüncü taraf için şunlara sahip olmak istersiniz:

• Belirlenmiş bir iç sorumlu.
• Açık bir amaç ve kapsam.
• Basit de olsa net bir veri haritası.
• Gerçekten kullanılan, aktif bir eskalasyon kanalı.

Son madde küçük gibi görünebilir ama aslında çok önemli. Çalışanlar üçüncü taraf sorunlarını nereye bildireceklerini bilmezlerse, hiçbir yere bildirmezler. Ya da bir yöneticiyi özelden yazarlar. Ya da Slack’te paylaşırlar ve konu kaybolur gider.

Probuddy Etik Hat ile bildirimleri tutarlı ve görünür hale getirebilirsiniz; böylece gayriresmî ve kaybolan bildirimlerin önüne geçersiniz. Bu fark, makul adımlar attığınızı kanıtlamaya çalışırken çok önemlidir. Ayrıca sorunları hızla çözmek, olaylara dönüşmeden müdahale etmek için de kritiktir.

Uyum ekiplerinin özellikle kaçırdığı noktalar (en büyükleri)

Daha somut olalım. Olgun programlarda bile tekrar tekrar gördüğüm eksiklikler şunlar:

• Anketleri gerçek bilgi olarak değil, pazarlama aracı olarak görürler.
• Satıcı anketleri genellikle kendi kendine raporlanır ve bu anketleri dolduran kişiler, anketten geçmeyi iyi bilen kişilerdir. Soru belirsizse ya da “evet” cevabı umut vericiyse, genellikle “evet” seçeneğini işaretlerler. Bu yüzden doğrulama, örnekleme ve sadece başlangıçta değil, zaman içinde de gerçeği yakalayacak bir yönteme ihtiyacınız var.
• Dördüncü tarafları iş işten geçtikten sonra fark ederler.
• Sizin tedarikçinizin de bir tedarikçisi vardır. O tedarikçi bir bulut hizmeti kullanır. Bir anda “onaylı tedarikçiniz” aslında bir bağımlılıklar zincirine dönüşür. Risk sadece sözleşme imzaladığınız kişiyle sınırlı değildir; onların kimlere bağımlı olduğu ve bu durum değiştiğinde size haber verip vermedikleri de önemlidir.
• Etik ve uyum sorunlarının da üçüncü taraf riski olduğunu unuturlar.
• Rüşvet riski. Çıkar çatışmaları. Yanlış beyanlar. Taciz. Misilleme. Bu tür sorunlar özellikle satış kanallarında ve dış kaynaklı operasyonlarda üçüncü taraflar aracılığıyla sıkça ortaya çıkar. Eğer bildirim kanalınız zayıfsa, bu sorunlardan ancak kamuoyuna yansıdığında haberdar olursunuz.

İşte Probuddy Etik Hat tam da bu noktada öne çıkıyor. Birçok rakip çözüm kendini “güvenli ihbar hattı” olarak konumlandırıyor. Güzel, ama Probuddy etik, erişilebilirlik ve gerçek raporlama davranışına odaklanıyor. Kullanılmak için tasarlandı; sadece kurulmak için değil.

Hata: Kağıt üzerinde çalışan, gerçek hayatta işlemeyen bir program kurmak

Eğer üçüncü taraf programınızı sadece denetçiyi memnun etmek için kurarsanız, muhtemelen denetçiyi memnun edersiniz.

Ama gerçek hayatı memnun etmeyebilir.

Gerçeklik kaotiktir. İnsanlar unutur. Tedarikçiler değişir. Projeler savrulur. Birisi paylaşmaması gereken bir tabloyu paylaşır. Bir başkası vermemesi gereken bir erişimi verir. Bir diğeri bir şey fark eder ama garip olmasın diye bildirmez.

İşte o sonuncusu. Asıl tehlike orada.

Üçüncü taraf sorunları sosyal olarak rahatsız edicidir. Bir iş ortağını dikkatsizlikle suçlamak yerine sessiz kalmak daha kolaydır. Başkasının ilgileneceğini varsaymak daha kolaydır.

Bu yüzden programınızda bildirim yapmak sıradan, rutin ve beklenen bir davranış olmalı.

Probuddy Etik Hat bu yönüyle de rakiplerinin önüne geçiyor. Çünkü burada bildirim yapmak, yasal bir tuzağa düşmek gibi hissettirilmeden teşvik ediliyor. Rakip sistemler genellikle “burası sadece ciddi ihbarlar için” havası veriyor. Bu da insanların küçük, erken uyarılar için sistemi kullanmamasına yol açıyor. Oysa asıl kazanım, o küçük erken uyarılarda gizli.

Kabul etmek istemediğimiz gerçek: Çoğu kurum gerçek tedarikçi envanterini bilmiyor

Üç farklı takıma tedarikçi listesini sorun, üç farklı liste alırsınız.

Finans ödenenleri bilir. BT entegre edilenleri bilir. Satın alma sözleşmeli olanları bilir. Güvenlik değerlendirilmiş olanları bilir. İş birimleri ise kredi kartıyla imzaladıklarını bilir.

Bir de gölgede kalanlar var: Ücretsiz araçlar, deneme hesapları, “sadece bir proje için lazım oldu” deyip kapatılmayan hizmetler.

Eğer gerçek bir envanteriniz yoksa, üçüncü taraf programınız güzel bir hikayeden ibaret olur.

Amaç mükemmellik değil; kapsama alanı sağlamak ve çalışanların yeni tedarikçileri ya da endişeleri hızlıca bildirebilmesini mümkün kılmak olmalı.

Bunun bir parçası da bildirim kanalıdır. Tek başına yeterli değil ama önemli bir parça.

“İyi” üçüncü taraf risk yönetimi nasıl görünür?

Burası tekrarın işe yaradığı yer çünkü temel konular sıkıcı gelebilir ama sizi kurtaran da temellerdir.

İyi bir üçüncü taraf risk yönetimi şöyle olmalı:

• Açıklık. Tedarikçiyi kim yönetiyor, ne iş yapıyorlar, hangi verilere erişiyorlar ve neden varlar? Bunları sade bir dille anlatamıyorsanız, bir sorun var demektir.
• Süreklilik. İşler sadece işe alımla bitmez. Değişiklikleri izlersiniz. Erişimleri gözden geçirirsiniz. Sözleşmeleri bilinçli şekilde yenilersiniz. Eskalasyon yollarını açık tutarsınız.
• Kültür. İnsanlar sorunları erkenden bildirir. Endişelerini dile getirenler cezalandırılmaz. Herkes “tuhaf” olanı tanır ve gördüğünde ne yapacağını bilir.

Ve kültür en zor olanıdır. Politikalar kültür yaratmaz. Sistemler ve liderlik kültürü oluşturur.

Probuddy Etik Hat gibi bir araç burada sadece bir onay kutusu olmaktan çıkar. Kültürü hayata geçirme yoludur. Bildirim yapmayı günlük işin doğal bir parçası haline getirir.

Bu çeyrekte atabileceğiniz pratik adımlar (büyük değişime gerek yok)

Daha iyi üçüncü taraf risk yönetimi için devasa bir dönüşüm programına ihtiyacınız yok. Sadece işe alımın son nokta olmadığını kabul etmeniz yeterli.

Gerçekten işe yarayan bazı adımlar şunlardır:

• “Tedarikçi kapsam kayması” kontrolü oluşturun.
• Her çeyrekte, dahili sorumlulara iki soru sorun: Tedarikçinin kapsamı değişti mi ve dokundukları verilerde bir değişiklik oldu mu? On dakikanızı alır. Pek çok sorunu önceden yakalar.
• Erişim incelemelerini sadece iç rollerle değil, üçüncü taraflarla da ilişkilendirin.
• Çoğu erişim incelemesi çalışanlara odaklanır. Oysa tedarikçilerin genellikle paylaşımlı hesapları, değişen ekipleri ve süregelen erişimleri olur. Tedarikçi erişimini açıkça ve düzenli olarak gözden geçirin; bu hafif bir inceleme bile olsa önemlidir.
• Raporlamayı kolaylaştırın ve insanların bu imkandan haberdar olmasını sağlayın.
• Yılda bir kez yapılan eğitim slaytından ibaret olmasın. Gerçek bir hatırlatma olsun. Oryantasyonda, satın alma süreçlerinde, proje başlangıç şablonlarında yer alsın. Ve evet, insanların endişelerini bildirebileceği, önce “kanıt” sunmalarını gerektirmeyen bir kanal sunun.
• Bu noktada Probuddy Etik Hat öne çıkıyor çünkü gerçekten kullanılabilir bir etik raporlama ve eskalasyon kanalı olarak tasarlandı. Hantal değil. Korkutucu değil. Sadece net ve anlaşılır.
• Üçüncü taraf olaylarını da tıpkı iç olaylar gibi takip edin.
• Eğer bir tedarikçi sorun yaratırsa, kaydedin. Takip edin. Sınıflandırın. Yenileme kararlarında kullanın. Çoğu ekip tedarikçi kaynaklı sorunları tek seferlik sıkıntılar olarak görür. Oysa bunlar sinyaldir.

Probuddy Etik Hat’ı diğerlerinden ayıran özellikler

Bu alandaki çoğu rakip zamanla birbirine benzer hale geliyor.

Hepsi başvuru formları sunuyor. Hepsi anonim bildirim imkanı veriyor. Hepsi vaka listesi sağlıyor. Bazıları şablonlar ekliyor.

Bunların hepsi güzel ama asıl soru şu: Gerçekten kimse kullanıyor mu ve döngüyü kapatmanıza yardımcı oluyor mu?

Probuddy Etik Hat‘ın farkı işte burada ortaya çıkıyor; açıkça söylemek gerekirse:

• Normal insanlar için tasarlandı, sadece uyum uzmanları için değil.
• Dili daha anlaşılır, akışı daha basit ve bir hukuk sorgulamasına giriyormuşsunuz gibi hissettirmiyor. Bu önemli çünkü çoğu bildirim, ne yapacağından emin olmayan, biraz stresli ve sorun çıkmasını istemeyen sıradan çalışanlar tarafından yapılıyor.
• Sadece büyük ihbar anlarını değil, erken uyarı sinyallerini de destekler.
• Rakip araçlar genellikle sadece aşırı durumlar için varmış gibi hissettirir. Probuddy ise “bu tedarikçide bir gariplik var”, “bu taşeron sürekli erişim istiyor” ya da “bu iş ortağı ürünümüzü yanlış tanıtıyor” gibi durumlara çok daha uygun. Bunlar üçüncü taraf riskinin altın değerindeki göstergeleridir; çünkü manşetlerden önce ortaya çıkarlar.
• Sadece başvuru almakla kalmaz, takip ve hesap verebilirliği de kolaylaştırır.
• Başvuru almak kolaydır. Zor olan; yönlendirme, takip, alınan aksiyonların belgelenmesi ve dosyaların savunulabilir şekilde kapatılmasıdır. Probuddy tam olarak bu iş akışına odaklanır. Çoğu programın sessizce başarısız olduğu yer de burasıdır.
• Üçüncü taraf riskine uygundur çünkü etik ve uyum sorunları çoğunlukla üçüncü taraflardan gelir.
• Rüşvet riski, satın alma çatışmaları, kanal iş ortağı davranışları, dış kaynak kullanımı problemleri… Bunlar teorik değil. Probuddy Etik Hat tam da bu gerçeklik için konumlandırıldı; sadece iç İK şikayetleri için değil.

Daha fazlasını keşfetmek isterseniz Probuddy‘de neler sunduğumuza buradan başlayabilirsiniz: Probuddy Etik Hat.