Yaşadığımız çağın en büyük özelliklerinden birisi teknolojik gelişmelerin baş döndürücü bir hızla ilerlemesidir. 2024’ün ikinci ayında olduğumuz bu günlerde en çok konuşulan teknoloji konularının başında Apple’ın çıkarmış olduğu sanal gerçeklik gözlüğü Vision Pro gelmekte. Yine diğer bir konu ise yapay zekânın her geçen gün gelişen ve değişen özellikleriyle hayatımıza daha çok dâhil olması. Bütün bu gelişmeler esasen insanlığın hayatını kolaylaştırmakta ve iş dünyasının da gidişatını her anlamda değiştirmekte. Öte yandan her bir gelişme ve ilerleme beraberinde bazı riskleri de getirmekte. Şu kesin ki riskleri sıfırlayamayız, önemli olan da bu risklerle ilerlemeyi bilmek ve riskleri yönetebilmek. Bu yazımda denetim dünyasında son zamanlarda sıklıkla ele alınan ‘Üçüncü Taraf Risk Yönetimi’ – TPRM (Third Party Risk Management) konusunu aktarmaya çalışacağım.

Üçüncü Taraf Risk Yönetimi (TPRM), bir kuruluşun üçüncü taraf ürün ve hizmetlerinden kaynaklanan risklerini değerlendirmek ve yönetmek için kullandığı bir programdır. Bir örnek ile açıklayacak olursak; bir şirketin verilerinin üçüncü tarafın tesislerinde depolandığı bir sözleşmeyle ilgili olarak, bu şirketin veri güvenliği riskini değerlendirmesi gerekir. Düzgün işleyen bir TPRM programı, şirketin bilgi güvenliği yöneticisini sözleşme yapılmadan önce satın alma sürecine dâhil edecektir. Bunu yaparken şu konular belirlenebilir:

– Üçüncü tarafın, kuruluşun verilerine nasıl erişeceği, depolayacağı veya ileteceği.

– Kuruluşun beklentilerini karşılayan veya geliştirilmesi gereken bir kontrol ortamına sahip olup olmadığı.

– Özel şartların sözleşmede müzakere edilmesi gerekliliği.

Ek olarak, üçüncü taraf hizmet sağlayıcısının bir mali suç veya yaptırım ihlali riski oluşturup oluşturmadığını tespit edebilecek olan uyum departmanı sürece dâhil edilebilir. Sözleşme imzalandıktan sonra, kuruluşun TPRM programı, ilişki yönetimin devamlılığına, üçüncü tarafın performansına ve üçüncü tarafın kontrol ortamı beklentileriyle uyumluluğunun sürekli olarak kontrol edilmesine odaklanmalıdır. (1)

Üçüncü Taraf Risk Yönetimi (TPRM), esasen üçüncü taraf satıcılara veya hizmet sağlayıcılara dış kaynak kullanımıyla ilişkili risklerin analiz edilmesi ve en aza indirilmesi sürecidir. Üçüncü taraf risk kategorisinde birçok dijital risk türü vardır. Bunlar finansal, çevresel, itibar ve güvenlik risklerini içerebilir. Bu riskler, satıcıların fikri mülkiyete, hassas verilere, kişisel olarak tanımlanabilir bilgilere ve korunan sağlık bilgilerine erişebilmesi nedeniyle mevcuttur. (2)

Üçüncü taraf, şirketinizin birlikte çalıştığı herhangi bir kişi ya da kurumdur. Üçüncü taraflara tedarikçiler, üreticiler, hizmet sağlayıcılar, iş ortakları, bağlı kuruluşlar, distribütörler, satıcılar ve acenteler örnek olarak verilebilir. Bu saydıklarımız yukarı yönde (tedarikçiler ve satıcılar) ve alt yönde (dağıtıcılar ve satıcılar) olabilir ve sözleşmeye bağlı olmayan kuruluşları içerebilir. (2)

Üçüncü Taraflar Ne Tür Risklere Yol Açabilir? (2)

Siber Güvenlik Riski: Bir siber saldırı, güvenlik ihlali veya diğer güvenlik olaylarından kaynaklanan açığa çıkma veya kayıp riskidir. Siber güvenlik riski genellikle bir anlaşmaya katılmadan önce bir durum tespiti süreci ve satıcının yaşam döngüsü boyunca sürekli izleme yoluyla azaltılabilir.

Operasyonel Risk: Üçüncü bir tarafın iş operasyonlarını kesintiye uğratması riskidir. Bu genellikle sözleşmeye bağlı hizmet düzeyi anlaşmaları ve iş sürekliliği ve olay müdahale planları aracılığıyla yönetilir. Satıcının riskliliğine bağlı olarak, finansal hizmetler sektöründe yaygın bir uygulama olan bir yedek satıcının mevcut olmasını tercih edilebilir.

Yasal, Düzenleyici ve Uyumluluk Riski: Üçüncü bir tarafın yerel mevzuata, düzenlemelere veya anlaşmalara uyumunuzu etkileme riskidir. Bu özellikle finansal hizmetler, sağlık hizmetleri, devlet kurumları ve iş ortaklıkları için önemlidir.

İtibar Riski: Üçüncü bir taraftan dolayı şirketinizin kamuoyu nezdinde olumsuz etkilenmesi riskidir. Memnun olmayan müşteriler, uygunsuz etkileşimler ve kötü öneriler buzdağının yalnızca görünen kısmıdır. En zarar verici olaylar, zayıf veri güvenliğinden kaynaklanan üçüncü taraf veri ihlalleridir.

Finansal Risk: Üçüncü bir tarafın şirketinizin finansal başarısı üzerinde zararlı bir etkiye sahip olması riskidir. Örneğin şirketiniz, tedarik zinciri yönetiminin zayıf olması nedeniyle yeni bir ürün satamıyor olabilir.

Stratejik Risk: Kuruluşunuzun üçüncü taraf bir satıcı nedeniyle iş hedeflerine ulaşamama riskidir.

Aşağıdaki görselde KPMG tarafından yapılan Üçüncü Taraf Risk Yönetimine Bakış raporunda yer alan potansiyel riskler bulunmakta.

TPRM Döngüsü (3)

TPRM’nin değeri, riskleri belirleme süreciyle başlar ve şirketiniz ile tedarikçileriniz arasındaki ilişkilerin tüm yaşam döngüsü boyunca uzanır.

1- Kaynak Bulma ve Seçim – Bu aşama, her potansiyel satıcının hizmet veya çözüm gereksinimlerini karşılama becerisinin değerlendirilmesinin yanı sıra temel güvenlik, gizlilik, itibar ve finansal risklerin puanlanmasını içerir. Bu, ankete dayalı değerlendirmeler yapılarak, satıcı istihbarat veri tabanlarına erişilerek veya her ikisinin bir kombinasyonuyla gerçekleştirilebilir.

2- Alım ve Katılım – Tedarikçiler seçildikten sonra manuel veya toplu yükleme yoluyla merkezi bir veri havuzuna dâhil edilirler. Bu, iç paydaşlar tarafından doldurulan alım formları aracılığıyla, elektronik tabloların içe aktarılmasıyla veya mevcut bir satıcı yönetimi veya satın alma çözümüne bir API aracılığıyla gerçekleştirilebilir.

3- İçsel Risk Puanlaması – İçsel risk, şirketinizin gerektirdiği belirli kontrollerin hesaba katılmasından önce satıcının risk düzeyidir. Bir satıcının sistemlerinize ve verilerinize erişmesine izin vermeden önce basit bir değerlendirmeyle onun doğal riskini puanlamak en iyi uygulamadır. Bu aynı zamanda ihtiyaç duydukları durum tespiti düzeyini ve sonraki risk değerlendirmelerinin sıklığını ve kapsamını belirlemenize de olanak tanır.

4- İç Kontrol Değerlendirmesi – Kontrol değerlendirmeleri hem ilk durum tespiti sırasında hem de denetim gerekliliklerini karşılamak için periyodik olarak kullanılabilir. Değerlendirme sürecinde belirlenen riskler genellikle etki, olasılık ve diğer faktörlere göre puanlanır. Sonuçlar ayrıca ISO, NIST veya SOC 2 gibi diğer uyumluluk ve güvenlik çerçevelerindeki temel gereksinimlerle de eşleştirilebilir.

5- Harici Risk İzleme – Sürekli üçüncü taraf istihbaratının harici kaynaklarından faydalanarak, periyodik değerlendirmeler arasındaki boşlukları kapatabilir ve değerlendirme yanıtlarını harici gözlemlere göre doğrulayabilirsiniz. Risk izleme, siber istihbaratı, iş güncellemelerini, mali raporları, medya taramasını, küresel yaptırım listelerini, devlet sahibi işletme taramasını, siyasi olarak maruz kalan kişi taramasını, ihlal olayı bildirimlerini ve daha fazlasını içerebilir.

6- SLA ve Performans Yönetimi – Değerlendirmeler ve izleme, satıcıların iş ilişkisi boyunca yükümlülüklerini yerine getirip getirmediğini belirlemek için kullanılabilir. Örneğin bu, SLA’lara uygun hizmet sunma, iyileştirme uygulama veya uyumluluk gereksinimlerini karşılama becerilerine ilişkin değerlendirmeleri içerebilir.

7- İşten Çıkarma ve Fesih – Bu aşamada, tüm nihai yükümlülüklerin yerine getirildiğinden emin olmak için değerlendirmeler kullanılır. Bu, sözleşme incelemelerini, ödenmemiş faturaların ödenmesini, sistemlere ve verilere erişimin kaldırılmasını, bina erişiminin iptal edilmesini ve gizlilik ve güvenlik uyumluluğunun incelenmesini içerebilir.

Yazının devamında Deloitte’un 2023 yılında küresel çapta yaptığı TPRM çalışmasından notlar paylaşacağım.

Küresel Üçüncü Taraf Risk Yönetimi (TPRM) Anketi 2023 (Deloitte)

Deloitte tarafından 2023 yılında yapılan ve 8.yılına girilen TPRM anketine 40 farklı ülkeden 1356 adet yanıt gelmiş. Anketin amacı iş dünyasında ve makro ekonomide yaşanan belirsizliklerin ve sınamaların TPRM pratikleri üzerindeki etkisini anlamaya çalışmak şeklinde ifade edilmiş.

Anket sonuçları TPRM’in performans üzerindeki potansiyel gücünü bir kez daha ortaya koymaktadır. Anket bulguları yüksek olgunluk seviyesine sahip TPRM süreçlerine sahip olan şirketlerin dış çevreden gelen değişimlere adapte olma konusunda daha çevik ve sağlam olduklarını göstermekte.

Raporda anket neticesinde elde edilen 5 önemli bulgu yer almakta.

1- Beklentileri ve Yetenekleri Dengelemek

Ankete yanıt verenlerin %40’ından fazlası ESG ile ilgili artan beklentileri karşılayabilme yeteneklerine ilişkin endişelerini dile getirmiş. Bunu, katılımcıların %39’unun karşılaştıkları lojistik aksamalarla ilgili endişeleri ve %34’ünün işgücü piyasasındaki eksikliklerden endişe duyması izlemiş.

Anket verileri, katılımcıların sırasıyla %61 ve %46’sı için devam eden jeopolitik zorlukların ve enflasyon eğilimlerinin, tedarik zinciri ve diğer üçüncü taraf ilişkilerinin yönetilmesinde en büyük etkiyi yaratan ilk iki olumsuzluk olarak tanımlandığını göstermekte.

Şirketlerin tedarik zinciri ve üçüncü taraf yönetimi zorluklarına karşı tepkilerini belirlemelerine yardımcı olacak uygun yetenek düzeyini belirlemeleri ve geliştirmeleri için somut eylemler önerilmekte.

2- Sürdürülebilirlik Taahhütlerinin Yerine Getirilmesinde Üçüncü Tarafların Hayati Önemi

Son üç TPRM anketi, entegre iş stratejilerinin temel unsuru olarak yönetim kurullarının ve üst düzey yöneticilerin sosyal amaca giderek daha fazla vurgu yaptığını göstermekte.

Katılımcıların % 56’sı, organizasyonel kültürlerinin, üçüncü taraf ekosistemi ile birlikte şirketlerinin ESG risklerini anlama ve yönetme konusunda çok daha destekleyici hale geldiğine inanıyor. % 16’sı bu görüşe katılmıyor, geri kalan % 28’i ise nötr cevap vermekte.

– Kurumsal etik (rüşvet ve yolsuzlukla mücadele dahil): Katılımcıların %69’unda geçen yıla göre değişiklik yok.

– İnsan hakları, sağlık ve güvenlik, çalışma kanunları/standartları da dahil olmak üzere çalışma riskleri: %50 – geçen yılki %59’dan düşüşün sebebi muhtemelen salgının sona ermesinden kaynaklanmakla birlikte diğer taraftan insan haklarına yönelik mevzuata artan odaktan da olabilir.

– Çevre sorunları: %51 – geçen yıl %50.

– İklim değişikliği: %43; Geçen yıla göre %42’ye göre küçük bir artış.

3- Paydaşlarıyla Birlikte Kuruluşlarda Dayanıklılığı Sağlamak

Ankete yanıt verenlerin % 51’i, bir yıl önce yaptıklarına kıyasla, iş stratejilerini ve üçüncü taraflarla ilgili risk yönetimini entegre etmeye daha fazla odaklandıklarını kabul ediyor. % 32’lik bir kesim ise tutarlı bir odaklanma düzeyini koruduklarını söylüyor.

Yanıt verenlerin % 44’ü, geçen yıl üçüncü tarafların ve ilgili risklerin yönetiminde daha merkezi hale geldiklerini kabul ediyor. Ayrıca %35’i, son 12 ay boyunca yaklaşımlarıyla tutarlı olarak benzer merkezileşme düzeylerini koruduklarını söylüyor.

Dayanıklılığı stratejik bir öncelik haline getirmek, yönetim kurulu ve üst yönetim seviyesinde odaklanma ve yatırım gerektirmekte. Anket sonuçları bütçelerin mevcut senaryoya uygun seviyelere yükseltilmediği, organizasyonlarda bu dönüşümü başarma konusundaki kişisel iyimserlik düzeyinin keskin bir şekilde düştüğünü göstermekte.

4- Tedarik Zincirindeki Partnerlere ve Diğer Üçüncü Taraflara Olan Güvenin Artırılması

Özellikle kritik tedarikçileri ve diğer üçüncü taraf ilişkileri yönetirken güven oluşturmak veya geliştirmek, giderek daha önemli bir konu haline geliyor. Artık daha fazla kuruluş, güvenin finansal performans ve dayanıklılıkla olan güçlü ilişkisinin farkına varıyor. Ortaya çıkan bu karşılıklı ilişki üzerine güveni inşa eden ve artıran dört temel faktör bulunmaktadır.

Şirketlerin güven inşa ederken dikkate alması gereken üç faktör vardır.

– Durum tespitinin bir parçası olarak (sorumlu ortaklıkların göstergeleri bağlamında) sorumluluk ve sürdürülebilirliğe odaklanan tüm ilgili ESG alanlarının dikkate alınması.

– Stratejik kararlar; bölgesel tedarik zincirlerine daha fazla, küresel tedarik zincirlerine daha az güvenmek, tedarikçi çeşitliliğinin sağlanması ve olaylara daha çevik ve zamanında yanıt verilmesi algısının oluşturulması.

– Teknolojinin (ideal olarak şeffaf bir yanıt sağlayan ortak bir dijital iş parçacığı aracılığıyla) mümkün kıldığı dayanıklılık ve güçlü bir kontrol ortamını gösterme isteği ve bağımsız sertifikaların/standartların sağlanması.

5- Operasyonel Mükemmellik İçin Dijital Dönüşüm

İçinde yaşadığımız zorlu zamanlar, teknolojinin yenilikçi kullanımıyla desteklenen daha akıllı, gerçek zamanlı ve çevik yaklaşımlar yoluyla yeteneklerin geliştirilmesini gerektiriyor. Bu, durum tespiti, sürekli izleme ve üçüncü taraflarla ilgili daha iyi karar alma için gerekli veriler gibi temel TPRM süreçlerini akıllı bir şekilde yenileyerek kuruluşların “temel konularda mükemmel” olmaya devam etmelerine yardımcı olacak ve aynı zamanda risk yönetimi için orantılı bir çaba sağlayacaktır.

Hızla gelişen ve birbiriyle bağlantılı üçüncü taraf riskleri, kuruluşları TPRM’de operasyonel mükemmelliğe ulaşmak için dijital dönüşümü sürdürmeye zorluyor.

Bunlar ayrıca otomasyon ve daha akıllı segmentasyon, durum tespiti ve dahili ve harici verilerin gücünden yararlanılarak yapılan izleme ile de sağlanır. Bu aynı zamanda gözetim seviyesinin ilgili risklerle orantılı olmasını da sağlar.

Farklı kaynaklardan yararlanarak TPRM sürecini açıklamaya çalıştım. Yazımın başında da belirttiğim gibi riskleri sıfıra indiremeyiz ancak olgun bir TPRM süreciyle minimize edebiliriz ve sürekli değişen ve gelişen teknolojik, jeopolitik vb. sınamalara karşı daha dayanıklı bir yapıya sahip olabiliriz.

Kaynakça

1- KPMG – Üçüncü Taraf Risk Yönetimi’ne Bakış 2020

2- https://www.upguard.com/blog/third-party-risk-management

3- https://www.prevalent.net/blog/third-party-risk-management/

4- https://www2.deloitte.com/ch/en/pages/risk/articles/third-party-risk-management-global-survey.html