Kurumsal satın alma tarafında çalışıyorum. Son iki yılda yaşadığımız güvenlik kaynaklı aksaklıkların neredeyse tamamı kendi sistemlerimizden değil, tedarikçilerimizden kaynaklandı.
Bir tedarikçimizin sistemine erişim sağlanmıştı; bizim verimize doğrudan ulaşılmadı ama bizimle yaptığı yazışmalar ele geçti ve sonrasında bize sahte fatura gönderildi.
Bu konuyu satın alma süreçlerine nasıl yedirdiğimizi ve nerede zorlandığımızı paylaşayım, eklemeye açığım.
Çok doğru bir tespit. Tedarikçi kaynaklı risk, kurumların kendi olgunluk seviyelerinden bağımsız olarak en zayıf halkayı belirliyor.
Satın alma süreçlerine yedirilebilecek, uygulanabilir bir çerçeve önereyim.
Öncelikle tedarikçileri kritiklik seviyesine göre ayırın. Verimize erişen, sistemimize bağlanan ve yalnızca fatura kesen tedarikçiler aynı denetime tabi tutulamaz. Herkese aynı yüz maddelik soru listesini göndermek, kimsenin doğru doldurmadığı bir bürokrasi üretir.
Kritik tedarikçiler için sözleşmeye şu maddelerin konulmasını öneririm: güvenlik olaylarının belirli bir süre içinde bize bildirilmesi, alt yüklenici kullanımının bilgimize sunulması, sözleşme sonunda verimizin imha edilmesi ve bunun belgelenmesi, erişimlerin isimli hesaplarla yapılması.
Anlattığınız sahte fatura vakası ise ayrı bir başlık: bu, teknik değil süreç açığıdır. Ödeme bilgisi değişikliklerinin yalnızca yazışma üzerinden kabul edilmemesi, bilinen bir telefon numarasından ikinci kanaldan doğrulanması gerekir. Bu tek kural, en sık görülen mali kaybı önlüyor.
Finans tarafından bu son maddeyi çok destekliyorum, bizde de neredeyse aynısı yaşandı.
Uyguladığımız kural şu: hesap numarası değişikliği talebi geldiğinde, talebin geldiği kanaldan cevap verilmez. Dosyamızdaki eski telefondan aranır. E-postada yazan numaradan asla aranmaz, çünkü o numara da sahte olabilir.
Bir de tutar eşiği koyduk: belirli bir tutarın üzerindeki ilk ödemeler iki imzayla yapılıyor. Yavaşlattı, evet. Ama bir kez kurtardı ve o bir kez hepsini ödedi.
Müşteri yöneticisi tarafından, tedarikçi cephesinden bakayım, çünkü bu denetimler bize de geliyor.
Şunu belirtmeliyim: iyi hazırlanmış bir güvenlik ekinin tedarikçi için de faydası var, çünkü ne beklendiğini netleştiriyor. Zorlandığımız nokta ise her müşterinin farklı formatta, farklı kapsamda soru listesi göndermesi. Aynı bilgiyi yılda on kez farklı şablonda yazıyoruz.
Öneri olarak şunu sunayım: kabul ettiğiniz bağımsız belgelendirmeler varsa bunu baştan söyleyin. Belgesi olan tedarikçi için kısa form, olmayan için uzun form uygulayın. Hem sizin işiniz azalır hem bizim.
Uyum tarafından bir ekleme: alt yüklenici zinciri çoğu değerlendirmede gözden kaçıyor.
Tedarikçinizi denetliyorsunuz, o da işin bir kısmını başka bir firmaya veriyor ve veriniz o firmaya ulaşıyor. Sözleşmede alt yüklenici kullanımının önceden bildirilmesi ve aynı yükümlülüklerin ona da yansıtılması şartı yoksa, zincirin ikinci halkasını hiç görmüyorsunuz demektir.
Merak ettiğim bir nokta var... işte bir sorunu fark etme süreniz, o sorunun maliyetini doğrudan belirliyor.
üç ayrı görüş çıktı hepsi birbirini tamamlıyor bir de bildirim yolu uzunsa bildirim gelmiyor; gelmeyen bildirim geç fark edilen olay demek.
bizde en çok zaman kaybettiren şey kimin karar vereceğinin belli olmamasıydı sonra umarım işinize yarar.
Bu kadar açık anlatan yazı az bulunuyor. Envanter çıkarmadan alınan önlem, görmediğiniz kapıyı açık bırakıyor.
Küçük bir deneme ile başlayın, tamamını bir anda bağlamayın. Sonucu buraya yazarsanız başkalarına da faydası olur.
konuyu toparlayayım, çükü birkaç farklı cevap verildi... neyse otomatik tarama raporu ile sızma testi aynı şey değl.
yanılşım varsa düzeltin.
Konuyu toparlayayım çünkü birkaç farklı cevap verildi. valla kararı geri almak ne kdr zorsa o kadar yavaş verin.
Umarım işinize yarar.
Bir şeyi atlamayın: Yedeğin aynı ağda ve aynı kimlikle erişilebilir olması onu hedefin parçası yapıyor.
Kayıt tutmayan hiçbi süreç düzelmiyor çünkü neyi düzelteceğinizi bilmiyorsunuz. açıkçası yanlışım varsa düzeltin.
Teknik tarafını biraz açayım. İnsanlar süreci değl, alışkanlığı savunur. Direnç oradan gelir.
Olayların çoğu zafiyetten değil, sızmış bi paroladan başlıyor. Yanlışım varsa düzeltin.
ben de aynı kanıdayım bir de yani bunun cevabı sektöre göre çok değişiyor genel geçer bi kural yok.
sonucu buraya yazarsanız başkalarına da faydası olur.
konuyu toparlayayim, cuku birkac farkli cevap verildi. karar verirken en kotu searyoyu da yazin sadece iyisini deil.
ben olsam bu yodlan giderdim.
konuyu toparlayayım, çünkü birkaç farklı cevap verildi... bildirim yolu uzunsa bildirim gelmiyor; gelmeyen bildirim geç fark eddilen olay demek.
bu kdr uzattıysam kusura bakmayın.
Doki · Arayüz tasarımı · 2026
Evet, tedarik zinciri konusunda durum aynen böyle. Bunu tek başına yapmaya çalışmak en pahalı yol.
Kendi durumunuz farklıysa tabii değişir.
Bu cevabı okuyunca rahatladım, demek sadece bende değilmiş. Kararı geri almak ne kadar zorsa o kadar yavaş verin.
Acele karar, altı ay snra düzeltilen karar oluyor. Kolay gelsin.