Birçok SaaS satın alımındaki sorun, sözleşmeyi imzaladığınız anda ortaya çıkmaz. Aylar sonra, sağlayıcı söz verdiği gibi yanıt vermeyi bıraktığında, koşulları değiştirdiğinde, veri aktarımını zorlaştırdığında ya da sizin olduğunu düşündüğünüz sorumlulukları size yüklediğinde ortaya çıkar. O noktada, başlangıçtaki düşük fiyat ortadan kalkar. Geriye ise operasyonel durma, hukuki risk ve çıkış maliyeti kalır.
Bir KOBİ’yi yönetenler bunu çok iyi bilir. Ticari demo her zaman kusursuzdur, ancak sözleşme pek öyle değildir. Ve tedarikçi, verilere, kritik süreçlere veya satış akışlarına müdahale ettiğinde, yanlış bir seçim sadece BT ile sınırlı kalmaz. Bu durum, idari işler, uyumluluk, müşteri hizmetleri ve iş sürekliliği alanlarını da etkiler.
GDPR, Avrupa faturalandırması, gerçek destek ve şartların tek taraflı olarak değiştirilmesi konularında şeffaf olmayan sağlayıcılarla somut anlaşmazlıklar yaşamış bir girişimci olarak konuşuyorum. Buradan çıkarılacak ders basit: Sağlayıcı due diligence’ı, satın alma sürecinde sadece bir formalite değildir. Bu, bir tedarikçinin bir güç kaynağı mı yoksa yapısal bir risk mi olabileceğini değerlendirmenin yoludur.
Burada, bir hizmet sağlayıcıyı bir iş ortağı gibi değerlendirmek için pratik bir çerçeve bulacaksınız. Sadece fiyat ve işlevsellik değil, aynı zamanda sözleşme, güvenlik, işlerlik, taşınabilirlik ve sürekli izleme de dikkate alınmalıdır.
Site, olabilecek en kötü günde çökmüş durumda. Siparişler takılıyor, satış ekibi üç farklı kanalda mesajlar yazıyor, müşteri hizmetleri ekibi müşterilere ne diyeceğini bilemiyor. SaaS sağlayıcınıza “öncelikli” bir destek talebi açıyorsunuz ve otomatik bir yanıt alıyorsunuz. Teknik destek yok, net bir sorun eskalasyon süreci yok, gerçek zamanlı çözüm süresi yok.
İşte o anda, aslında ne satın aldığını anlıyorsun.
Sadece bir hizmet satın almadınız. O tedarikçinin olayları, sorumlulukları, verileri, sözleşmeyi ve hizmetten ayrılma sürecini nasıl yönettiğini de satın aldınız. Bu hususları önceden kontrol etmediyseniz, operasyonel bir yük biriktirmiş olursunuz. Bu durum demoda görülmez, fiyat listesinde yer almaz, ancak tedarikçi işin yükünü kaldıramadığında hepsi birden ortaya çıkar.
Bir hizmet sağlayıcı kritik bir anda başarısızlığa uğradığında, sorun sadece teknik nitelikte değildir. Aynı gün içinde ticari, hukuki ve itibar sorununa dönüşür.
Birçok girişimci, hizmet sağlayıcıya ilişkin durum tespiti sürecini sadece idari bir işlem olarak görür. Fiyatı, birkaç işlevi, belki de ana sayfadaki bir sertifikayı kontrol ederler, sonra da imzalarlar. Bu yaygın bir hatadır. Asıl önemli sorular şunlardır: Verilerden kim sorumludur, veriler nerede saklanıyor, nasıl dışa aktarılabilir, size gerçekten kim destek oluyor, hizmet sağlayıcının el değiştirmesi veya sözleşme şartlarının değişmesi durumunda ne olur?
Bu soruların en can sıkıcı yanı, müzakereleri yavaşlatmalarıdır. En yararlı yanı ise, daha sonra aylarca sürecek sorunları önlemeleridir.
Tedarikçi due diligence’ı, hizmetle birlikte hangi risk unsurlarını üstlendiğinizi anlamaya yarar. Buradaki amaç, imza aşamasında iç huzuru sağlamak için belge toplamak değildir. Asıl amaç, bir aksaklık yaşandığında, şirket yapısında bir değişiklik olduğunda, destek hizmetleri yetersiz kaldığında ya da ileride acilen ilişkiyi sonlandırmanız gerektiğinde, o tedarikçinin size gerçekte ne kadara mal olacağını önceden tahmin etmektir.
Zorunlu bir geçiş sürecini ya da kötü yönetilen bir olayı daha önce yönetmiş olanlar bunu çok iyi bilir. Sorun nadiren sadece tedarikçiyle sınırlı kalır. İç süreçlere sızar, ticari faaliyetleri durdurur, teknik ekibin zamanını alır, hukuki şüpheler doğurur ve görünüşte uygun bir lisans ücretini gizli bir işletme borcuna dönüştürür.
Bu nedenle, ciddi bir durum tespiti dört somut aşamada yürütülür:
Pratik kural: Tedarikçi, veriler, ödemeler, müşteri hizmetleri veya kritik bir süreçle ilgileniyorsa, durum tespiti idari bir işlem olarak değil, iş sürekliliği denetimi olarak ele alınmalıdır.
İtalya bağlamında, riski hafife almak daha da pahalıya mal oluyor; çünkü tedarik zinciri büyük ölçüde küçük ve orta ölçekli işletmelerden oluşuyor ve bu işletmeler genellikle üçüncü taraflara büyük ölçüde bağımlı. İşletmeler ve Made in Italy Bakanlığı’nın verilerine göre, KOBİ’ler faal işletmelerin %99,9’unu oluşturuyor ve özel sektördeki çalışanların yaklaşık %76,5’ini istihdam ediyor. Böyle bir sistemde, tedarikçinin maruz kaldığı risk hızla müşteriye de sıçrar.
Ayrıca sıkça rastlanan bir hata daha var. Birçok şirket, aslında ne satın aldıklarını – altyapı, platform, uygulama yazılımı ya da bu üçünün bir kombinasyonu – önceden netleştirmeden bir hizmet sağlayıcıyı değerlendiriyor. Bu analizi en başından doğru bir şekilde yapmak istiyorsanız, bulut hizmetlerindeki farklılıklardan yola çıkmak en iyisidir.
Tedarikçi due diligence sürecini hafife almak, bir iş ortağını bir gider kalemi gibi ele almak anlamına gelir. İşte tam da bu noktada, sunumlarda kimsenin bahsetmediği sorunlar ortaya çıkar: tedarikçiye uygun şekilde uyarlanmamış iç süreçler, ortadan kaldırılması zor teknik bağımlılıklar, ancak bir kaza sonrasında farkına vardığınız sorumluluklar ve pazarlık marjınızın en düşük olduğu anda ortaya çıkan çıkış maliyetleri.
İyi yapılmış bir değerlendirme, sürprizleri azaltır. Kötü yapılmış bir değerlendirme ise sürprizleri sadece erteler.
Ciddi sorunların çoğu teknik bir arızadan kaynaklanmaz. Geç okunan bir maddeye dayanır. Sözleşme, bir şey bozulduğunda oyunun kontrolünün kimde olduğunu belirtir.
Bir hizmet sağlayıcıyı değerlendirirken, fiyat en son dikkate alınması gereken unsurdur. Öncelikle ilişkinin hukuki kapsamı gelir.
Şu bölgelerden yola çıkın:
Birçok girişimci, sözleşmeyi hizmet sağlayıcının kendini korumaya yönelik bir belge olarak görür. Bu doğrudur. Bu nedenle sözleşme, hizmet sağlayıcının teşviklerini gösteren bir harita olarak okunmalıdır.
Ticari toplantılarda açık sözlü olmak en iyisidir. Hukukçu gibi konuşmanın bir anlamı yoktur. Gizli maliyetlerden kaçınmak isteyen bir şirket gibi konuşmak gerekir.
Şu tür sorularla dene:
İyi bir sözleşme, her şeyi vaat eden sözleşme değildir. İlişki bozulduğunda belirsizliklere yer bırakmayan sözleşmedir.
Klasik bir uyarı işareti, ticari sorulara iyi yanıt veren ancak veri aktarımına ilişkin sorulara yetersiz yanıt veren hizmet sağlayıcıdır. Bir diğeri ise, standart bir Veri İşleme Anlaşması’nın (DPA) mevcut olmasına rağmen sorumlulukları, veri aktarımlarını ve süreleri net bir şekilde açıklamamasıdır. Günümüzde veriler, otomasyonlar veya karar destek sistemleri ile çalışıyorsanız, KOBİ’ler için Avrupa Yapay Zeka Yasası konusunu da okumaya değer; zira bu yasa, birçok şirketi yönetişim, izlenebilirlik ve tedarikçilerin rolünü daha sıkı bir şekilde resmileştirmeye yönlendiriyor.
Son bir pratik kriter. Eğer tedarikçi, veriler, sorumluluk ve taşınabilirlikle ilgili sorularınızı rahatsız edici buluyorsa, bu durum, sözleşmeyi imzaladıktan sonra kuracağınız ilişkinin nasıl olacağına dair zaten bir ipucu vermektedir.
Bir uygunluk rozeti yardımcı olur. Ancak bu yeterli değildir. Bir sertifika, bir kontrol sisteminin var olduğunu gösterir. Tek başına, o hizmet sağlayıcının sizin bağlamınıza, verilerinize ve operasyonel risklerinize uygun olup olmadığını size söylemez.
Tedarikçi yönetimi çerçeveleri, risk anketleri, finansal raporlar ve ISO 27001 ile SOC 2 gibi sertifikaların toplanmasını ve tedarikçilerin kritiklik düzeyine göre sınıflandırılmasını önermektedir. Yüksek riskli tedarikçiler için ise yerinde denetimler ve dış saldırı yüzeyinin incelenmesi de eklenmektedir; Mitratech, tedarikçi durum tespiti kılavuzunda bunu özetlemektedir.
Bu nokta, bir tedarikçiyi değerlendirme şeklini değiştirir. Asıl soru “Sertifikası var mı?” değildir. Asıl soru “Sertifikanın yanı sıra bana hangi operasyonel kanıtları sunuyor?”dur.
Örneğin, şu soruyu sormak mantıklıdır:
Alan Neler sorulmalı Neden önemli Barındırma Verilerin bulunduğu bölge ve altyapı alt tedarikçileri Yargı yetkisi ve mevzuata uygunluk üzerinde etkisi vardır Yedekleme Politikalar, sıklık, geri yükleme testi Test edilmemiş yedekleme sadece bir umuttur Erişimler Ayrıcalıklı hesap kontrolleri İç riski ve suistimali azaltır Olay müdahalesi Belgelenmiş olay yönetimi süreci Baskı altında kimin ne yapacağını belirtir Güvenlik açıkları Maruz kalan yüzeyin inceleme bulguları Sağlayıcının ne kadar görünür ve saldırıya açık olduğunu anlamaya yarar
Verilerin yargı yetkisi, çoğu kişinin sandığından daha önemlidir. Hizmet sağlayıcı, verileri sizin varsaydığınız sınırların dışında barındırıyor veya aktarıyorsa, yükümlülükler, değerlendirmeler ve genellikle olayları ve resmi talepleri yönetme şekliniz de değişir.
Bir de daha az göz alıcı, daha somut bir konu var: Yedekleme ve felaket kurtarma. Bunların var olup olmadığını sormakla yetinmeyin. Bunların nasıl kontrol edildiğini, nasıl belgelendiğini ve veri bozulması ya da hizmetin kullanılamaması durumunda kimlerin müdahale edeceğini sorun.
Buna paralel olarak, iş yaptığınız tarafın itibar durumunu da gözlemleyin. Gürültünün fazla olduğu bazı sektörlerde, kamuya açık uyarı veya ikaz sinyallerini kontrol etmek asgari bir güvenlik önlemidir. Bunun için iyi bir örnek, kripto para dolandırıcılıkları kara listesidir; bu liste, hizmet sağlayıcının hassas veya şeffaf olmayan alanlarda faaliyet gösterdiği durumlarda itibar taraması ve dış denetimin bir lüks değil, temel bir koruma önlemi olduğunu açıkça göstermektedir.
Eğer bir tedarikçi size sadece gösterişli PDF’ler sunuyor ve olayları, yedeklemeleri, erişimleri ve güvenlik açıklarını nasıl yönettiğine dair hiçbir kanıt sunmuyorsa, o zaman güvenlik değil, pazarlama unsurlarını değerlendiriyorsunuz demektir.
Bir sağlayıcının gerçek kalitesi, acil bir durumdayken ve zamanınız kısıtlıyken ortaya çıkar. Demo sürümünde değil. Ticari teklifte değil. “Kurumsal” sayfasında da değil.
Müşteri olmadan önce destek hizmetini denemelisiniz. Bu, neredeyse hiç kimsenin yapmadığı bir adımdır.
Bunu çok kolay bir şekilde yapabilirsiniz:
Güvenilir bir hizmet sağlayıcı, bu soruları sorarsanız gücenmez. Bunları normal kabul eder.
Mükemmel destek, her şey yolunda giderken hızlı yanıt veren destek değildir. Zorlu bir sorunu üstlenen, bunu üst kademelere iletmeyi bilen ve alınan kararların yazılı kaydını size bırakan destektir.
İşte burada, sağlayıcı due diligence sürecinin en çok göz ardı edilen kısmı yatmaktadır: kilitlenme.
Etkili bir teknik durum değerlendirmesi, üçüncü taraf yazılımların eksiksiz bir envanterini oluşturmak, bağımlılıklar arasındaki ilişkileri ve açık kaynak lisanslarını belirlemek için kod ve bağımlılıkların taranmasını içermeli; ayrıca teknik borç ve kilitlenme riskini ölçmek amacıyla mimari, API’ler ve veritabanlarının da incelenmesini kapsamalıdır. FOSSA, teknik durum değerlendirmesi kılavuzunda bunu açıklamaktadır.
Bunu iş dünyası diline çevirirsek, üç şeyi anlaman gerekir:
Eğer hizmet sağlayıcı, iş birliğine başlamayı kolaylaştırıp sonlandırmayı zorlaştırıyorsa, bu bir ortaklık değildir. Bu bir bağdır.
Kesintisiz hizmet açısından, tedarikçinin veri kurtarma ve veri kaybı konularını nasıl ele aldığını netleştirmek de önemlidir. Bu senaryoları değerlendirmek için bir operasyonel temel arıyorsanız, ELECTE’nin RTO ve RPO yönetimi konusunda sunduğu bilgiler iyi bir referans noktası olabilir.
Basit bir kriter bu konuda çok yardımcı olur: İmzalamadan önce yazılı bir işten ayrılma prosedürü isteyin. Eğer böyle bir prosedür yoksa, işten ayrılma maliyeti neredeyse kesinlikle tahmin ettiğinizden daha yüksektir.
Kontrol listelerinin sorunu, tedarikçiyi belirli bir günde olduğu haliyle yansıtmalarıdır. Oysa risk sürekli olarak değişmektedir.
Sağlayıcı due diligence’ında sıkça görülen bir eksiklik tam da budur: Neredeyse herkes sağlayıcıya ne sorulması gerektiğini açıklarken, çok azı zaman içinde sağlayıcının riskini nasıl yeniden hesaplayacağını açıklamaktadır. Oysa bağlam bunu gerektirmektedir. Clusit 2025 raporu, 2024 yılında İtalyan hedeflerine yönelik siber saldırı sayısının 357 olduğunu ve bu sayının 2023’teki 310’a kıyasla artış gösterdiğini, saldırıların %79’unun yüksek veya kritik ciddiyette olduğunu belirtmektedir. Ayrıca, SecurityScorecard’ın hizmet sağlayıcılar için hazırladığı kontrol listesinde belirtildiği üzere, üçüncü taraflarla ilgili güvenlik ihlalleri, şirket içi ihlallere kıyasla ortalama olarak 370.000 dolar daha fazla maliyete yol açmaktadır.
Bu, kontrol mantığını değiştirir. Sağlayıcıyı giriş aşamasında onaylamak yeterli değildir. Hangi sağlayıcıların daha fazla dikkat gerektirdiğine ve hangi işaretlerin yeniden değerlendirmeye yol açacağına karar vermelisiniz.
Risk temelli bir yaklaşım, iç sınıflandırmadan yola çıkar. Tüm tedarikçiler aynı değildir. En azından şunlar önemlidir:
Buradan yola çıkarak, veri analiz araçlarını da kullanarak faydalı bir izleme sistemi kurabilirsiniz: SLA gösterge panelleri, kritik biletlerin takibi, belgelerdeki değişikliklere ilişkin uyarılar, alt tedarikçilerde meydana gelen değişiklikler, performans veya güvenlik olaylarındaki anormallikler.
Bir tedarikçi, yalnızca bir kaza yaşadığında riskli hale gelmez. Zayıf işaretler birikip de kimse bunları bir bütün olarak değerlendirmediğinde riskli hale gelir.
Bir KOBİ için bu, verilerin pratik yönetişime dönüştüğü noktadır. Daha iyi bir bürokrasi oluşturmak için değil, daha hızlı tepki verebilmek için.
Kontrol listesinin tek bir amacı vardır: İşinizi destekleyen bir tedarikçi mi seçtiğinizi, yoksa size işletme borcu, hukuki sorunlar ve maliyetli bir çıkış bırakacak bir tedarikçi mi seçtiğinizi anlamak. Eğer bu belge size “hayır” demenize yardımcı olmuyorsa, o zaman bu yararlı bir kontrol listesi değildir.
Böylece, ancak imzalandıktan sonra ortaya çıkan türden sorunlar önlenir.
Burada önemli olan kanıtlardır. Sertifikalar yardımcı olur, ancak sağlayıcının baskı altında nasıl çalıştığını açıklamaz.
Hataların çoğu burada ortaya çıkar, sözleşmede değil.
En yaygın hata, seçim aşamasında durmaktır. Asıl risk, daha sonra ortaya çıkar: destek kalitesi düştüğünde, alt tedarikçiler değiştiğinde, ihraç edilen ürünler kullanılamaz hale geldiğinde ya da bir politika değişikliği nedeniyle dahil olduğunu sandığınız faaliyetler size devredildiğinde. İşte o noktada ikincil maliyetler ortaya çıkar.
Her şeyi tek bir pratik kuralda özetlemek istersen, şunu kullan: İş ortağını değerlendirir gibi sağlayıcıyı da değerlendir. Bir kaza, bir hukuki ihtilaf ve düzenli bir ayrılığa dayanabilmeli. Nasıl çıkacağını bilmiyorsan, yeterince kontrol etmemişsin demektir.
Tedarikçiler, SLA’lar, arızalar ve performans verilerini sürekli bir izleme sistemine dönüştürmek istiyorsanız, KOBİ’ler için yapay zeka destekli bir veri analitiği platformu olan ELECTE, dağınık sinyalleri toplayarak bunları daha hızlı ve daha iyi belgelenmiş kararlar almak için yararlı içgörülere dönüştürmenize yardımcı olur. Bu, ara sıra yapılan durum değerlendirmelerinden daha olgun bir operasyonel izleme sistemine geçmenin somut bir yoludur.
.svg)
.svg)
.svg)
