Müşteri TISAX İstediğinde: Tedarik Zincirinde Talep Yönetimi

Otomotiv tedarikçilerinin çoğu TISAX ile bir müşteri e-postası veya sözleşme maddesiyle tanışır. O ilk talep yanlış okunursa aylar süren hazırlık yanlış yöne gider: yanlış etiket ya da seviye seçilir, değerlendirme biter ve müşteri sonucu yetersiz bulur. Aşağıda OEM veya Tier-1 müşteriden gelen talebin nasıl çözümleneceğini, müşteriyle neyin yazılı netleştirileceğini ve talebin alt tedarikçilere nasıl yansıtılacağını satın alma, kalite ve bilgi güvenliği sorumluları için anlatıyoruz.

Talep mektubunu doğru okumak

TISAX talebi farklı kılıklarda gelir: genel tedarikçi duyurusu, bir projenin şartname maddesi, sipariş koşullarına eklenmiş bir cümle veya müşterinin tedarikçi portalında açılan bir görev. Biçim ne olursa olsun talepten şu bilgiler çıkarılmalıdır:

Bilgi	Nerede aranır	Eksikse yapılacak
Etiket adları	Talep metni, şartname, tedarikçi portalı	Müşteriden yazılı liste isteyin
Değerlendirme seviyesi	Etiketle birlikte belirtilir	Etiketle ilişkisini teyit edin
Lokasyon	Sipariş veya proje adresi	Hangi tesis için istendiğini sorun
Son tarih	Talep metni, sözleşme	Ara kanıt koşullarını birlikte sorun
Paylaşım bilgisi	Müşterinin ENX katılımcı bilgisi	Sonucu kime paylaşacağınızı sorun

Etiket adları sürümler arasında değişebilir. Eski bir şablonla gönderilmiş talepteki etiket adı, güncel katalogda başka bir adla karşılanıyor olabilir. Etiketlerin hangi koruma hedefine karşılık geldiği TISAX etiketleri yazısında, seviyelerin yöntem farkı TISAX AL1, AL2 ve AL3 farkları yazısında açıklanıyor.

Sahada en sık gördüğümüz hata, talep e-postasındaki “TISAX” kelimesini görüp en yaygın etiketle başvuruya geçmektir. Etiket tahminle seçilmez. Tablodaki beş satırın her biri müşteriden yazılı gelmeden değerlendirme sağlayıcısından teklif istemeyin.

Müşteriyle netleştirilecek konular

Talep metni yorum gerektiriyorsa yorumu siz yapmayın; müşteriye sorun ve yanıtı yazılı alın. Bu yazışma, kapsamın neden böyle seçildiğini gösteren bir kanıt da olur. Netleştirilmesi gereken başlıca konular:

• Hangi bilgi, hangi projeler? Talep bütün iş ilişkisini mi, yalnız belirli bir projeyi mi kapsıyor? Proje bazlı taleplerde prototip etiketleri sıkça gündeme gelir.
• Hangi lokasyon? Birden fazla tesisi olan tedarikçide müşteri yalnız kendi işinin yürüdüğü tesisi bekler. Lokasyon kararının ayrıntıları TISAX kapsamı ve lokasyon seçimi yazısında.
• Mevcut sonuç yetiyor mu? Başka bir müşteri için alınmış etiketler varsa bu talebi karşılayıp karşılamadığını sorun; ek etiket gerekebilir.
• Ara dönemde ne kabul edilir? Kayıt bilgisi, planlanmış değerlendirme tarihi veya öz değerlendirme sunulabilir mi?
• Muhatap kim? Satın alma, bilgi güvenliği sorularını genellikle müşterinin bilgi güvenliği birimine yönlendirir. Teknik soru doğru kişiye giderse yanıt günler önce gelir.

Talebi şirket içinde sahiplendirmek

Talep genellikle satışa veya satın almaya gelir, ama gerekliliklerin büyük kısmı BT, bilgi güvenliği, İK, tesis yönetimi ve mühendislikte karşılanır. E-posta zincirinde dolaşan talebin sahibi yoktur. Sahibi olmayan iş yürümez. Talep geldiği hafta şu kararlar alınmalıdır:

• Sahip: Müşteri yazışmasını ve iç hazırlığı tek elden yürütecek kişi (çoğunlukla bilgi güvenliği sorumlusu veya kalite yöneticisi).
• Yönetim sponsoru: Bütçe, değerlendirme sağlayıcısı seçimi ve birimler arası önceliklendirme kararını verecek üst yönetici.
• Birim temsilcileri: Fiziksel güvenlik, kimlik ve erişim yönetimi, İK süreçleri ve mühendislik veri yönetimi için birer sorumlu.
• Ticari etki: Talep karşılanmazsa hangi sipariş veya teklifin etkileneceği; yönetimin önceliklendirme kararı bu bilgiye dayanır.

Bu kararlar ilk müşteri yanıtına da girer: sorumlunun adı ve iletişim bilgisi, müşterinin bilgi güvenliği birimiyle doğrudan çalışmayı mümkün kılar. Aynı yapı sonraki müşterilerden gelecek talep ve anketlerde yeniden kullanılır.

Zaman planı ve geçiş dönemi

Müşteri çoğu zaman bir son tarih verir ve bu tarih tedarikçinin gerçek hazırlık süresinden bağımsız belirlenmiş olabilir. Hazırlık süresi firmanın mevcut olgunluğuna, seçilen etiketlere ve sağlayıcının takvimine bağlıdır. Müşteriye planı üç parçaya bölerek sunmak gerçekçi bir konuşma zemini sağlar:

1. Hazırlık: VDA ISA öz değerlendirmesi, açıkların kapatılması, kanıt dosyası.
2. Değerlendirme: Sağlayıcının takvimine göre ilk değerlendirme ve olası düzeltici eylem planı.
3. Sonuç: Geçici veya kalıcı etiketin yayımlanması ve müşteriyle paylaşılması.

Hazırlık süresini tahmin ederken teknik açıkları ayrı sayın. Dosya sunucusunda yetki modelinin baştan kurulması, mühendislik VLAN’ının ayrılması veya merkezi log toplama gibi işler satın alma ve bakım penceresi ister; politika yazmaktan çok daha uzun sürer.

Geçiş döneminde müşteriye sunulabilecek kanıtlar genellikle ENX portalındaki kayıt, değerlendirme planı ve güncel öz değerlendirmedir. Bazı müşteriler bir süre bu kanıtlarla çalışır, bazıları etiket olmadan yeni proje vermez. Varsaymayın, sorun. Sürecin genel adımları için ENX’in yayımladığı katılımcı el kitabı birincil kaynaktır.

Alt tedarikçilere yansıtma

Müşteri bilgisini veya prototipi alt tedarikçiyle paylaşıyorsanız, müşterinin sizden beklediği koruma o noktada bitmez. VDA ISA, tedarikçi ve hizmet sağlayıcı kontrollerinde bilgi güvenliği gerekliliklerinin sözleşmeye yansıtılmasını ve tedarikçilerin uygun şekilde değerlendirilmesini bekler. Değerlendirmede bu kontrol tek bir soruyla test edilir: “Müşteri verisi hangi dış taraflara gidiyor ve onlardan ne güvence alınıyor?”

İlk adım envanterdir: müşteri verisi veya prototip hangi alt tedarikçiye, hangi amaçla, hangi kanaldan gidiyor? Tipik örnekler dış tasarım ofisleri, test ve ölçüm laboratuvarları, kalıp üreticileri, prototip taşıyan lojistik firmaları ve BT hizmet sağlayıcılarıdır. Kanalı da yazın. Kişisel e-posta, herkese açık dosya paylaşım linki veya USB bellekle giden çizim, sözleşmede ne yazarsa yazsın kontrolsüz akıştır. Listedeki her taraf için müşteri sözleşmesindeki aktarım kuralına bakın; bazı müşteriler alt tedarikçiye veri aktarımını önceden izne bağlar.

Hangi güvence yöntemi seçilirse seçilsin alt tedarikçi sözleşmesinde beklenen asgari hükümler benzerdir: gizlilik yükümlülüğü, bilginin yalnız belirtilen amaçla kullanılması, onayınız olmadan başka taraflara aktarılmaması, güvenlik olaylarının gecikmeden bildirilmesi, iş bitiminde iade veya imha ve gerektiğinde denetim hakkı. Müşterinin size yüklediği yükümlülükler bu sözleşmeye en az aynı düzeyde aktarılmalıdır.

Alt tedarikçi için seçenekler

Her alt tedarikçiden TISAX etiketi istemek orantılı olmayabilir. Seçim paylaşılan bilginin hassasiyetine, müşterinin sözleşme hükmüne ve alt tedarikçinin büyüklüğüne göre yapılır.

Seçenek	Uygun durum	Sınırlama
Alt tedarikçiden TISAX etiketi	Müşteri bunu açıkça istiyor veya prototip paylaşılıyor	Alt tedarikçi için zaman ve maliyet yükü
VDA ISA öz değerlendirmesi ve sözleşme	Orta hassasiyetli bilgi, sınırlı paylaşım	Bağımsız doğrulama yok
Kendi denetiminiz	Kritik ama küçük tedarikçi	Denetçi yetkinliği ve kaynak gerektirir
ISO 27001 sertifikası ve kapsam kontrolü	Müşteri bunu kabul ediyor	Kapsamın ilgili hizmeti içerdiği doğrulanmalı
Veri paylaşımını sınırlama	Alt tedarikçinin tüm veriye ihtiyacı yok	İş süreçlerinde değişiklik gerektirebilir

Son seçenek sıkça unutulur. Kalıp üreticisine tüm araç modelini değil yalnız ilgili parça geometrisini göndermek, ya da dış tasarım ofisine kendi ortamınızda çalışabileceği kısıtlı bir uzak erişim vermek, riski değerlendirme yükünden önce azaltır. Göndermediğiniz veri sızmaz. Alt tedarikçi değerlendirmesinin genel yöntemi için tedarikçi bilgi güvenliği risk değerlendirmesi yazısına bakın.

Talep analiz kontrol listesi

• Talep metni ve kaynağı (e-posta, şartname, sözleşme maddesi) kayda alındı.
• Etiket adları, değerlendirme seviyesi ve lokasyon müşteri tarafından yazılı teyit edildi.
• Son tarih ve geçiş döneminde kabul edilecek kanıtlar netleşti.
• Mevcut TISAX sonuçlarının bu talebi karşılayıp karşılamadığı kontrol edildi.
• Müşterinin ENX katılımcı bilgisi ve sonucun paylaşılacağı muhatap belirlendi.
• Müşteri verisi ve prototip akışı, alt tedarikçiler ve kullanılan kanallar dahil çıkarıldı.
• Her alt tedarikçi için güvence yöntemi seçildi, sözleşme hükümleri gözden geçirildi.
• Hazırlık, değerlendirme ve sonuç adımlarını içeren plan müşteriyle paylaşıldı.

Talebin çözümlenmesi ve müşteri yazışmaları için otomotiv tedarikçi bilgi güvenliği ve müşteri denetimleri, talep netleştikten sonraki hazırlık için TISAX danışmanlığı ve değerlendirme hazırlığı hizmetlerimize bakabilirsiniz.

Sık sorulan sorular

Müşteri yalnızca “TISAX gerekli” diyorsa hangi etiketi almalıyız?

Etiketi tahminle seçmeyin. Müşteriden etiket adlarını, değerlendirme seviyesini ve hangi lokasyon için istendiğini yazılı isteyin. Çoğu OEM bu bilgiyi kendi tedarikçi portalında veya şartnamesinde yayımlar; satın alma kişisi bilmiyorsa bilgi güvenliği birimine yönlendirilmeyi isteyin.

Etiket alınana kadar müşteriye ne sunabiliriz?

Müşteriye göre değişir. Sık kabul edilen ara kanıtlar ENX portalındaki kayıt bilgisi, sağlayıcıyla planlanmış değerlendirme tarihi ve güncel VDA ISA öz değerlendirmesidir. Hangilerinin kabul edildiğini ve ne kadar süre geçerli sayılacağını müşteriyle yazılı teyit edin.

Alt tedarikçimizden de TISAX istemek zorunda mıyız?

Her durumda değil. Müşteri bilgisinin veya prototipin alt tedarikçiye gidip gitmediğine ve müşteri sözleşmesinin bunu nasıl düzenlediğine bakılır. Bazı müşteriler alt tedarikçi için de etiket ister; bazılarında risk temelli değerlendirme ve sözleşme hükümleri yeterli görülür.

ISO 27001 sertifikası TISAX talebini karşılar mı?

Genellikle hayır. TISAX isteyen müşteri sonucu ENX üzerinden ve VDA ISA temelinde görmek ister. ISO 27001 hazırlığı TISAX’i kolaylaştırır, ama etiketin yerini tutmaz; müşteri istisna tanıyorsa bunu yazılı alın.