Yönetim Kurulları Üçüncü Taraf Riskini Neden Stratejik Bir Konu Olarak Ele Almalı?
İlker NAİMOĞLU
19 Temmuz 2024’te tek bir hatalı yazılım güncellemesi, dünya genelinde havayollarından hastanelere, bankalardan perakendecilere pek çok kurumun işleyişini aksattı. Kesintiyi tetikleyen hata, dış hizmet sağlayıcının güncellemesindeydi ve kurumların çoğu kendi sistemlerinde hiçbir hata yapmamıştı. Ortak noktaları ise, aynı kritik hizmete ve hizmet sağlayıcıya bağlı olmalarıydı.
Olay, çoğu şirketin aşina olduğu ama yeterince ciddiye almadığı bir gerçeği görünür kıldı: Bir şirketin dayanıklılığı, yalnızca kendi süreçlerinin kalitesine değil, işini emanet ettiği dış kuruluşların sürekliliğine de bağlı. Üretimden teknolojiye, lojistikten veri yönetimine kadar dış kaynak kullanımı yaygınlaştıkça, bu bağımlılık operasyonel bir ayrıntı olmaktan çıkıp stratejik bir konuya dönüşüyor ve yönetim kurullarının gündeminde de bu şekilde yer alması gerekiyor.
Yönetim Kurullarının Sorması Gereken Birinci Soru: Şirket Gerçekte Neye Bağımlı?
Çoğu şirkette üçüncü taraf listesi, satın alma kayıtlarının bir türevidir. Oysa risk, sözleşme bedeliyle orantılı değildir. Bedeli düşük bir hizmet, faaliyetin sürmesi için vazgeçilmez olabilir. Bu nedenle ilk adım, tedarikçilerin yanında teknoloji sağlayıcılarını, hizmet firmalarını ve alt yüklenicileri de kapsayan güncel bir envanter çıkarmaktır. Envanter, her ilişki için dört basit soruyu yanıtlamalıdır: Hangi süreci destekliyor? Hangi verilere erişiyor? Hizmet durursa şirket ne kadar süre çalışabilir? Ve bu ilişkiyi kim yönetiyor?
Envanterin ikinci katmanı daha az görünür ama daha önemlidir: ortak bağımlılıklar. Şirketler risk dağıtmak amacıyla birden fazla sağlayıcıyla çalışabilir. Ancak bu sağlayıcıların aynı bulut altyapısına, aynı veri merkezine ya da aynı alt yükleniciye dayandığı ortaya çıkarsa, çeşitlendirme kağıt üzerinde kalır. Üç ayrı sözleşme üç bağımsız alternatif anlamına gelmez. Tek bir arıza hepsini birden etkileyebilir.
İkinci Soru: Bu Bağımlılığın Sahibi Kim?
Üçüncü taraf ilişkileri doğaları gereği kurum içinde dağınıktır. Sözleşmeyi bir birim imzalar, hizmeti bir başkası kullanır, güvenlik değerlendirmesini üçüncü bir ekip yapar. Her birim kendi sorumluluk alanını takip etse de ilişkinin toplam riskini izleyen bir sorumlu tanımlanmadığında, bu parçalar arasında önemli boşluklar oluşabilir. Bu boşluk, sorun çıktığında genellikle aynı şekilde kapanır: Sorumluluk tedarikçiye yüklenir.
Oysa bir işi dışarıya vermek, riski yönetme yükümlülüğünü de devretmek anlamına gelmez. Tedarikçiyi işaret etmek, şirketin kendi gözetim sorumluluğunu yerine getirdiğini göstermez. Her kritik ilişkinin şirket içinde adı belli bir sahibi olmalı. Satın alma, operasyon, bilgi güvenliği ve hukuk gibi farklı bakışları bir araya getiren bir yapı, ilişkinin bütününü görmeyi kolaylaştırır.
Yönetim kuruluna düşen görev ise yönetimin yerine geçmek değil, çerçeveyi çizmektir. Hangi hizmetlerde tek sağlayıcıyla çalışmak kabul edilebilir? Hangi kontrol eksikleri giderilmeden ilişki başlamamalı? Ticari gerekçeyle bir istisna yapılacaksa bunu kim onaylar? Bu sınırlar açık olmadığında risk, günlük kararlarla ve kurulun bilgisi dışında büyür.
Raporlama da aynı mantıkla yeniden düşünülmelidir. Kurula sunulan raporlar, kritik ilişkilerdeki sorunların olası etkisini ve yönetimin önerdiği önlemleri birlikte göstermelidir. Çözülmeyen eksikler ve performans bozulmaları, karar alınabilecek kadar erken görünür hâle gelmelidir. Bir kuruluşun ilk değerlendirmede uygun bulunan risk profili, ilişki sürerken değişebilir. Kurulun bunu yıllık bir özetten değil, zamanında gelen bir bildirimden öğrenmesi gerekir.
Hizmet Yarın Durursa Ne Olacak?
Bu sorunun cevabı çoğu zaman sözleşmede aranır. Fesih hakkı, cezai şartlar, hizmet seviyesi taahhütleri vardır. Ancak sözleşmeyi feshedebilmek ile başka bir sağlayıcıya geçebilmek farklı kapasitelerdir. Geçiş aylar sürüyorsa, bu sürede işin nasıl yürüyeceği önceden düşünülmemişse, sözleşmedeki hak pratikte işe yaramaz.
Dayanıklılık, bu nedenle üç somut soruyla sınanmalıdır: Alternatif sağlayıcı hazır mı? Veri hangi biçimde ve ne kadar sürede geri alınabilir? Geçiş ne kadar sürer ve bu süre boyunca kritik süreçler nasıl sürdürülür? Daha da önemlisi, bu hazırlık hiç test edildi mi? Test edilmemiş bir süreklilik planı, bir niyet beyanından öteye geçmez.
Bu soru büyüme stratejisiyle de ilişkilidir. Şirketin büyüme planı dışarıdan sağlanan bir kapasiteye dayanıyorsa, o kapasitenin sürekliliği yatırım kararının bir parçasıdır. Üçüncü taraf risklerinin gözetimi, yatırım ve büyüme gündeminden ayrı bir başlık olarak değil, onun içinde ele alınmalıdır.
İç Denetimin Rolü: Güvence İle Taahhüdü Ayırmak
Kurullar bu soruların yanıtlarını nereden alacak? Yönetimin sunduğu bilgiler değerlidir, ancak tek başına yeterli değildir. İç denetim burada kritik bir rol oynar: şirketin üçüncü taraf risklerini nasıl belirlediğini, izlediğini ve karar vericilere nasıl aktardığını bağımsız olarak değerlendirir.
Uluslararası İç Denetçiler Enstitüsü’nün (IIA) Eylül 2026’da yürürlüğe giren Üçüncü Taraf Konu Bazlı Gerekliliği bu alandaki ilgili güvence çalışmalarında uygulanacak asgari mesleki değerlendirme çerçevesini tanımlıyor ve üçüncü taraf yönetişimini, risk yönetimini ve kontrol süreçlerini ilişkinin seçiminden sona ermesine kadar ele alıyor. Kurullar için bunun anlamı basit: Denetim komitesi, iç denetimin bu alanda hangi çerçeveye göre çalıştığını ve hangi ilişkileri kapsam dışı bıraktığını sorabilir.
İç denetimin işi, günlük ilişki yönetimini üstlenmek değildir. Bu, ilgili yöneticilerin sorumluluğunda kalmalıdır. İç denetimin görevi, yönetimin dayandığı bilginin güvenilir olup olmadığını ve kontrollerin kağıt üzerinde değil uygulamada çalışıp çalışmadığını incelemektir. Bu ayrım önemlidir, çünkü iki yaygın yanılgı ancak bu şekilde aşılır. Sözleşmede denetim hakkının bulunması, bu hakkın kullanıldığını göstermez. Tedarikçinin verdiği güvenlik taahhüdü de tek başına güvence sağlamaz.
Kurullar İçin Üç Soruluk Çerçeve
Yönetim kurulu üyelerinden her tedarikçinin operasyonuna hakim olmaları beklenmez. Beklenen, şirketin kritik bağımlılıklarını, bunlara ilişkin risk sınırlarını ve aldığı güvencelerin yeterliliğini anlayabilmeleridir. Bunun için bir sonraki kurul toplantısında yönetime yöneltilebilecek üç soru yeterli bir başlangıç sunar:
- Görünürlük: Hangi üçüncü taraflar kritik süreçlerimizi destekliyor ve bu ilişkilerin arkasında hangi ortak bağımlılıklar var?
- Sahiplik: Her kritik ilişkinin toplam riskini kim izliyor ve kabul ettiğimiz sınırların dışına çıkıldığında kurula nasıl bilgi geliyor?
- Dayanıklılık: En kritik hizmet yarın durursa ne yapacağız ve bu hazırlığı en son ne zaman test ettik?
Bu sorulara net yanıt verilemiyorsa, mesele bir tedarikçi sorunu değil, bir gözetim sorunudur. Ve gözetim, kurulların asli görevidir.
İlker NAİMOĞLU