Şirketlerin faaliyetlerini yalnızca kendi çalışanları ve kaynaklarıyla yürüttüğü dönem büyük ölçüde geride kaldı. Günümüzde üretimden bilgi teknolojilerine, lojistikten mali işlemlere kadar birçok kritik süreç tedarikçiler, taşeronlar, dış hizmet sağlayıcılar ve danışmanlar üzerinden yürütülüyor.
Dış kaynak kullanımı maliyet ve uzmanlık avantajı sağlayabilmekte; ancak bir işin üçüncü tarafa verilmesi, o işe ilişkin sorumluluğun da tamamen devredildiği anlamına gelmez. Tedarikçinin hizmet kesintisi yaşaması, hassas verileri koruyamaması, etik dışı uygulamalara karışması veya sözleşme koşullarını yerine getirememesi halinde ortaya çıkan sonuçların sorumluluğu asıl şirkete yansır. Bu nedenle üçüncü taraf yönetimi artık yalnızca satın alma veya hukuk departmanlarının konusu değildir. Kurumsal yönetim, risk yönetimi, bilgi güvenliği, mali kontrol ve iç denetimi birlikte ilgilendiren bir güvence alanıdır (İngilizce kaynaklarda “vendor risk management” olarak da adlandırılır).
IIA’nın yeni gerekliliği ne getiriyor?
IIA’nın Üçüncü Taraf Konusal Gerekliliği (Third-Party Topical Requirement) 15 Eylül 2026’da yürürlüğe girecek. Düzenleme; üçüncü taraflara ilişkin yönetişim, risk yönetimi ve kontrol süreçlerinin değerlendirilmesi için iç denetçilere asgari bir çerçeve sunuyor.( IIA’nın Gereklilik Sayfası )
Burada önemli nokta: Yeni gereklilik, her iç denetim biriminin mutlaka ayrı bir “tedarikçi denetimi” planlamasını zorunlu kılmıyor. Ancak üçüncü taraf riskleri bir güvence çalışmasının konusu veya kapsamının parçası olduğunda gerekliliğin uygulanabilir maddelerinin değerlendirilmesi gerekiyor. Danışmanlık çalışmalarında ise kullanılması tavsiye ediliyor ancak zorunlu tutulmuyor ( IIA Topical Requirements Açıklaması ). Ayrıca uygulanmayan maddeler için gerekçelerin çalışma kağıtlarında belgelenmesi/açıklanması bekleniyor.
Bu gereklilik, iç denetimin üçüncü tarafları doğrudan denetlemesini zorunlu kılmaz. Odak noktası, şirketin üçüncü taraf yönetişimi, risk yönetimi ve kontrol süreçlerinin tasarımı ile etkin işleyişinin değerlendirilmesidir. Yani, denetimin konusu tedarikçinin kendisi değil; şirketin tedarikçilerini nasıl yönettiğidir. Bu ayrımın İç Denetim tarafından en başta netleştirilmesi, hem denetim kapsamının doğru şekilde belirlenmesi hem de üst yönetim beklentilerinin etkin biçimde yönetilmesi açısından önem taşır.
Üçüncü Taraf Kimdir?
Üçüncü taraf kavramı yalnızca mal satın alınan tedarikçilerle sınırlı değildir. Şirketin iş süreçlerinin kesintisiz yürütülmesi için iş ilişkisi kurduğu, veri paylaştığı veya hizmet aldığı tüm dış paydaşları kapsar. Bir şirketin veya kurumun eko sisteminde yer alan başlıca üçüncü taraflar şunlardır:
- Tedarikçiler ve Satıcılar: Ürün, ham madde veya ticari mal sağlayan firmalar.
- Hizmet Sağlayıcılar: Lojistik, depolama, bakım, güvenlik ve temizlik gibi operasyonel süreçleri üstlenen şirketler.
- BT ve Dijital Çözüm Ortakları: Bilgi teknolojileri ve bulut hizmeti sunan şirketler.
- Danışmanlar ve Uzmanlar: Hukuk, finans, denetim, strateji veya teknik alanlarda dışarıdan destek alınan profesyoneller.
- Alt Yükleniciler ve Taşeronlar: Belirli bir projenin veya tedarikçinin kullandığı kritik alt süreçleri yürüten taraflar.
Üçüncü Taraf Yaşam Döngüsü
Sağlıklı bir üçüncü taraf yönetimi, yalnızca sözleşmenin imzalanmasından ibaret değildir. IIA yaklaşımı ilişkiyi beş aşamada ele alıyor:
- Seçim: İhtiyacın belirlenmesi, alternatiflerin değerlendirilmesi ve durum tespiti.
- Sözleşme: Risklerin sözleşme hükümlerine dönüştürülmesi ve gerekli onayların alınması.
- İşe Başlatma: Yetki, iletişim, güvenlik ve performans beklentilerinin tanımlanması.
- İzleme: Hizmet seviyesi, mali durum, uyum ve risk göstergelerinin takip edilmesi.
- İlişkinin Sonlandırılması: Erişimlerin kapatılması, verilerin iadesi veya imhası ve alternatif hizmet planının uygulanması.
Denetimin yalnızca seçim ve sözleşme aşamalarına odaklanması; izleme ve işin sonlandırılması risklerinin gözden kaçmasına neden olabilir.
İç Denetimin Değerlendirmesi Gereken Üç Alan
1. Yönetişim
İlk olarak şirketin neden ve hangi koşullarda üçüncü taraf kullanacağına ilişkin yaklaşım değerlendirilmelidir. İç denetim şu soruların cevaplarını arayabilir:
- Üçüncü taraf kullanımına ilişkin yazılı politika bulunuyor mu?
- Kritik tedarikçi ve hizmet sağlayıcı tanımı yapılmış mı?
- Seçim, onay, izleme ve fesih sorumlulukları açık mı?
- Satın alma, hukuk, uyum, bilgi güvenliği ve operasyon arasında görev dağılımı belirlenmiş mi?
- Kritik üçüncü tarafların performans ve riskleri üst yönetime raporlanıyor mu?
- Üçüncü taraf yönetiminden sorumlu kişilerin gerekli yetkinlikleri bulunuyor mu?
Bu sorumlulukların Üçlü Hat Modeli çerçevesinde netleştirilmesi faydalıdır: Operasyon ve Satın Alma riski yönetir; Risk, Uyum ve Bilgi Güvenliği izler; İç Denetim ise yapının etkinliğine bağımsız güvence verir. Konuyla ilgili geçmişte yazdığım Üçlü Hat Modeli yazısı da faydalı olabilir.
2. Risk yönetimi
Her tedarikçinin aynı risk düzeyinde değerlendirilmesi hem verimsiz hem de yanıltıcıdır. Bir kırtasiye tedarikçisi ile şirketin müşteri verilerini saklayan bir bulut hizmeti sağlayıcısına aynı kontrol derinliğinin uygulanması doğru olmaz. Risk sınıflandırmasında şu kriterler kullanılabilir:
- Yıllık işlem ve ödeme tutarı
- Hizmetin operasyonlar açısından kritikliği
- Alternatif tedarikçi bulunabilirliği
- Kişisel veya ticari hassas verilere erişim
- Şirket sistemlerine erişim yetkisi
- Finansal bağımlılık ve tedarikçi yoğunlaşması
- Mevzuat ve sözleşme yükümlülükleri
- Alt yüklenici kullanımı
- Ülke, yaptırım ve jeopolitik vb. riskler
Bu bilgiler kullanılarak üçüncü taraflar düşük, orta, yüksek ve kritik şeklinde sınıflandırılabilir. Kontrol sıklığı ve kapsamı da bu sınıflandırmaya göre belirlenmelidir.
3. Kontroller
İç denetim, risk seviyesi yüksek üçüncü taraflarda seçim öncesi durum tespiti ve sözleşme onayından, güncel envanter ile sorumlu atamasına, hizmet/performans izlemeye ve düzeltici aksiyon takibine kadar ilişkinin her aşamasını kapsayan kontrol alanlarını değerlendirmelidir. İlişki sona erdiğinde erişimlerin kapatılması ile şirket verilerinin iadesi veya imhası da bu değerlendirmenin ayrılmaz bir parçasıdır.
Değerlendirilecek kontrol alanlarının tam listesini görüntüle
- Seçim öncesinde belgelendirilmiş durum tespiti yapılması
- İhtiyacın ve tedarikçi tercihinin gerekçelendirilmesi
- Sözleşmelerin yetkili kişilerce onaylanması
- Hukuk, uyum ve ilgili operasyon birimlerinin sözleşme incelemesine katılması
- Güncel ve eksiksiz üçüncü taraf envanteri tutulması
- Her sözleşme için sorumlu kişi atanması
- Hizmet ve performans göstergelerinin takip edilmesi
- Sözleşme bitiş ve yenileme tarihlerinin izlenmesi
- Olayların önem derecesine göre yönetime iletilmesi
- Düzeltici aksiyonların ve kök nedenlerin takip edilmesi
- İlişki sona erdiğinde sistem erişimlerinin kapatılması
- Şirket verilerinin iadesi, aktarılması veya güvenli biçimde imha edilmesi
Uygulanabilecek 12 somut denetim testi
İç denetim çalışması yalnızca politika ve sözleşme okumakla sınırlı kalmamalıdır. Tedarikçi envanteri ile ödeme kayıtlarının tutarlılığını, sözleşme tarihleriyle işlemlerin uyumunu ve onay limitleri etrafında dolaşan sipariş kalıplarını veri üzerinden kontrol etmeyi hedeflemeli. Ayrıca tedarikçiler arası gizli bağlantılar, acil ödemeler, çalışan-tedarikçi çıkar çatışması, tek kaynağa bağımlılık, kritik tedarikçi performansı ve ilişki sona erdiğinde erişim/veri kapatma adımları da yapılabilecek testlerin kapsamına giriyor. Bu denetim testlerinden elde edilen istisnalar doğrudan “suistimal vardır” anlamına gelmez; istisnalar, denetçinin ayrıntılı inceleme yapacağı riskli kayıtları gösterir.
12 testin tam listesini görüntüle
- Son 12 ayda ödeme yapılan satıcıları üçüncü taraf envanteriyle karşılaştırın.
- Envanterde olmayan fakat ödeme almış satıcıları belirleyin.
- Sözleşme tarihinden önce düzenlenen fatura ve ödemeleri bulun.
- Sözleşme bitiş tarihinden sonra devam eden işlemleri tespit edin.
- Onay limitinin hemen altında tekrarlanan siparişleri inceleyin.
- Aynı banka hesabını, adresi veya telefon numarasını kullanan farklı tedarikçileri araştırın.
- Tedarikçi banka hesabında yapılan değişiklikleri ve değişiklik sonrası acil ödemeleri test edin.
- Çalışanlarla tedarikçiler arasındaki olası çıkar çatışması göstergelerini değerlendirin.
- Tek kaynağa bağımlı ürün ve hizmetleri toplam satın alma içindeki paylarıyla analiz edin.
- Kritik tedarikçilerin performans, gecikme, iade ve kalite kayıtlarını inceleyin.
- Sözleşmesi biten hizmet sağlayıcıların sistem ve tesis erişimlerini kontrol edin.
- Feshedilen ilişkilerde şirket verilerinin iadesi veya imhasına ilişkin kanıtları arayın.
Pratik bir başlangıç noktası: Uygulanabilirlik matrisi
Gerekliliğin en çok gözden kaçan tarafı, madde bazında uygulanabilirlik değerlendirmesinin belgelenmesi zorunluluğudur. Her çalışma öncesinde basit bir uygulanabilirlik matrisi hazırlanması uygun olacaktır. Gerekliliğin her bir maddesi listelenir ve dayandığı kanıt veya özel durumlar bu matrise işlenir.
Bu matris hem çalışma kağıtlarının bir parçası olarak saklanabilir hem de etkinlik tarihinden sonra yapılacak güvence değerlendirmelerinde hızlı bir referans noktası oluşturur. IIA’nın yayımladığı User Guide ve Application Guidance dokümanları, bu değerlendirmeyi yaparken kullanılabilecek hazır bir başlangıç noktası sunuyor.
Sonuç ve sonraki adımlar
15 Eylül 2026, iç denetim fonksiyonları için yeni bir riskin ortaya çıkışından çok, zaten var olan bir riskin daha yapılandırılmış biçimde ele alınması gerektiğinin bir hatırlatıcısı. Üçüncü taraf riskleri pek çok şirketin risk evreninde zaten yer alıyor; değişen, bu risklerin nasıl güvence altına alınacağına dair beklenti standardı.
İç denetim ekiplerinin önümüzdeki zamanlarda üç adımı önceliklendirmesi faydalı olacaktır: Mevcut üçüncü taraf envanterinin ve risk sınıflandırmasının güncelliğini teyit etmek, gereklilikleri mevcut denetim programlarıyla eşleştirip bir uygulanabilirlik matrisi oluşturmak ve yukarıdaki testlerden şirketin veri altyapısına uygun olanlarını bir pilot çalışmada deneyerek süreci başlatmak.
Bu sürecin başarısı, iç denetimin tek başına sergilediği bir çabadan ziyade iki temel direğe dayanır:
- Birimler Arası İş Birliği: Birçok kontrol zaten günlük operasyonların bir parçasıdır. Bu nedenle Denetim; Hukuk, Satın alma ve Uyum gibi ilgili birimlerle sürekli dirsek temasında kalmalı ve farkındalığı canlı tutmalıdır.
- Üst Yönetim Sahiplenmesi: Yönetimin üçüncü taraf risklerini önceliklendirmesi ve iç denetime açıkça destek vermesi, elde edilen bulguların raflarda tozlanmayıp hayata geçmesi için kritik öneme sahiptir.
Denetim, İş Hayatı ve Fazlası . . . 