IATF 16949’da BT Hizmet Sağlayıcıları Nasıl Kontrol Edilir?

ERP bulutta çalışıyor, MES sunucuları bir veri merkezinde barındırılıyor, ağ ve sunucu desteği bir hizmet firmasından geliyor. Orta ölçekli bir otomotiv tedarikçisinde bu tablo olağandır. Bu hizmetlerden biri durduğunda sevkiyat, etiket baskısı veya izlenebilirlik kaydı da durur. IATF 16949 açısından bu, BT tedarikçilerinin satın almanın listesindeki bir isimden ibaret olmadığı, ürün uygunluğunu ve kesintisiz tedariki etkileyen dış kaynaklı prosesler olarak kontrol edilmesi gerektiği anlamına gelir. Aşağıda sınıflandırmadan seçim kriterlerine, SLA göstergelerinden çıkış planına kadar sahada çalışan bir çerçeve var.

Dış kaynaklı proses olarak BT hizmetleri

IATF 16949’un 8.4 (Dışarıdan sağlanan proses, ürün ve hizmetlerin kontrolü) bölümü, dış kaynaklı proseslerin kuruluşun müşteriye uygun ürün sağlama yeteneğini olumsuz etkilememesini ister. Tamamlayıcı madde 8.4.1.1 kapsamı müşteri gerekliliklerini etkileyen tüm ürün ve hizmetlere genişletir; 8.4.1.2 tedarikçi seçim sürecini, 8.4.2.1 kontrolün türü ve kapsamını, 8.4.2.4 tedarikçi izlemeyi düzenler.

Standart bu maddelerde BT hizmetlerini ayrıca saymaz. Belirleyici soru şu: Bu hizmet kesilir veya hatalı çalışırsa ürün uygunluğu, teslimat veya müşteriye karşı yükümlülükler etkilenir mi? Cevap evetse hizmet 8.4 kapsamında kontrol edilir. MES barındırması izlenebilirlik kayıtlarını, EDI hizmeti müşteri çağrılarını ve sevk bildirimlerini, bulut ERP sevkiyat belgelerini doğrudan etkiler. Ofis yazıcılarının bakımı genellikle bu kapsama girmez. Ama etiket yazıcıları girer.

Bu bakış, aynı tedarikçilerin bilgi güvenliği riski açısından değerlendirilmesinden farklıdır. Bilgi güvenliği tarafı tedarikçi bilgi güvenliği risk değerlendirmesi rehberinde anlatılıyor; burada odak, kalite yönetim sistemi açısından tedarikçi kontrolü. İki değerlendirme aynı tedarikçi kaydında birleştirilebilir ve birleştirilmelidir; aksi halde aynı firma için iki ayrı dosya, iki ayrı sonuç çıkar.

Üretime etkisine göre tedarikçi sınıflandırma

Her BT tedarikçisine aynı kontrol yoğunluğunu uygulamak hem gereksiz iş yükü yaratır hem de kritik olanları gözden kaçırır. Üç seviyeli bir sınıflandırma çoğu kuruluş için yeterli:

Sınıf	Tanım	Örnekler	Kontrol yoğunluğu
A – Üretime doğrudan etkili	Kesinti üretimi veya sevkiyatı kısa sürede durdurur	MES barındırma, bulut ERP, EDI, etiket sistemi desteği	Yazılı SLA, aylık izleme, yıllık değerlendirme, çıkış planı
B – Dolaylı etkili	Kesinti üretimi zorlaştırır ama geçici yöntemle sürdürülebilir	Ağ ve sunucu destek firması, yedekleme hizmeti	SLA, üç aylık izleme, yıllık değerlendirme
C – Etkisiz	Üretim ve teslimata etkisi yok	Kurumsal web sitesi barındırma, ofis donanım bakımı	Standart satın alma kontrolü

Sınıflandırma, iş etki analizi ve BT acil durum planlarıyla tutarlı olmalıdır. IATF 16949 madde 6.1.2.3 acil durum planlarını isterken dış kaynaklı ürün, proses ve hizmetlerdeki kesintileri de risk kaynakları arasında sayar. A sınıfı bir BT hizmeti acil durum planında yoksa, denetçi bunu iki madde arasında tutarsızlık olarak yazar. Sahada en sık gördüğümüz durum budur: tedarikçi listesi bir yerde, acil durum planı başka yerde, ikisi birbirinden habersiz. Kritik tedarikçilerin süreklilik güvencesi için kritik tedarikçilerde iş sürekliliği rehberi tamamlayıcıdır.

Seçim ve onay kriterleri

IATF 16949 madde 8.4.1.2 dokümante bir tedarikçi seçim süreci ister ve dikkate alınacak unsurları sayar: tedarikçinin ürün uygunluğu ve kesintisiz tedarik açısından riski, kalite ve teslimat performansı, kalite yönetim sisteminin değerlendirilmesi, çok disiplinli karar verme ve uygulanabiliyorsa yazılım geliştirme yetenekleri. Maddede finansal istikrar, değişiklik yönetimi süreci, iş sürekliliği planlaması ve müşteri hizmetleri gibi değerlendirilebilecek diğer kriterler de anılır.

BT hizmetlerine ve IATF 16949 BT gerekliliklerine uyarlanmış seçim kontrol listesi:

• Hizmet sürekliliği: Barındırma altyapısının yedekliliği, felaket kurtarma yeteneği ve test edildiğine dair kanıt
• Değişiklik yönetimi: Platform güncellemelerinin önceden bildirilip bildirilmediği, bakım pencerelerinin üretim takvimine göre ayarlanabilmesi
• Destek modeli: Vardiyalı üretime uygun destek saatleri, öncelik tanımları ve eskalasyon yolu
• Veri sahipliği ve erişim: Verinin kime ait olduğu, hangi formatta ve ne sürede dışa aktarılabileceği
• Kayıt ve denetim izi: Hizmetin, IATF kayıt saklama sürelerini karşılayacak şekilde log ve kayıt tutabilmesi
• Bilgi güvenliği güvencesi: ISO/IEC 27001 sertifikası, SOC 2 raporu veya TISAX etiketi gibi bağımsız güvenceler ve bunların kapsamının hizmeti gerçekten içerip içermediği
• Finansal ve kurumsal istikrar: Uzun süreli bağımlılık oluşturan hizmetlerde tedarikçinin sürdürülebilirliği

Destek modeli maddesine özellikle bakın. Üç vardiya çalışan bir tesis için mesai saatlerinde telefon açan destek firması, gece 02:00’de etiket sunucusu düştüğünde yoktur. Sözleşmede bu boşluk yazılı değilse, ilk gece kesintisinde öğrenirsiniz.

Seçim kararı tek bir birimin değil; BT, kalite, üretim ve satın almanın katıldığı çok disiplinli bir değerlendirmenin sonucu olmalı ve imzalı form olarak saklanmalıdır.

SLA ve performans izleme göstergeleri

Madde 8.4.2.4, tedarikçi performansının belirlenmiş göstergelerle izlenmesini ister. Standart, üretim tedarikçileri için teslim edilen ürün uygunluğu, müşteri tesisindeki aksaklıklar ve teslimat performansı gibi göstergeler sayar. BT tedarikçileri için karşılığı, üretim etkisini ölçen hizmet göstergeleridir:

Gösterge	Ölçüm yöntemi	Neden önemli
Üretim saatlerinde erişilebilirlik	İzleme sisteminden, vardiya takvimine göre	Gece bakımı ile vardiya kesintisi aynı değildir
Kritik olay yanıt ve çözüm süresi	Destek kayıtlarından, öncelik bazında	Hat duruş süresini doğrudan belirler
Plansız değişiklik sayısı	Bildirimsiz yapılan güncellemeler	Doğrulanmamış değişiklik üretim riskidir
Hizmet kaynaklı üretim duruşu	Üretim duruş kayıtlarında neden kodu	Kalite etkisinin asıl ölçüsü
Geri yükleme testi sonucu	Periyodik test raporu	Yedeğin işe yaradığının kanıtı
Raporlama zamanında yapıldı mı	Aylık hizmet raporunun teslim tarihi	Kontrolün sürekliliği

En sık yapılan hata, erişilebilirliği takvim zamanı üzerinden ölçmektir. Gece yarısı yapılan dört saatlik planlı bakım ile sabah vardiyası başındaki yarım saatlik kesinti üretim açısından aynı ağırlıkta değildir. Rapor yeşil, hat kırmızı. Bu yüzden sözleşmedeki “erişilebilirlik” tanımı üretim takvimine bağlanmalı, hizmet kaynaklı duruşlar üretimin kendi duruş kayıtlarından da izlenmelidir. Tedarikçinin raporu ile kendi duruş kayıtlarınız arasındaki fark, aylık gözden geçirmenin ilk gündem maddesi olmalıdır.

Hedef değerler sözleşmede yazılı olur; hedef karşılanmadığında madde 8.4.2.5’teki tedarikçi geliştirme yaklaşımına benzer şekilde düzeltici faaliyet talep edilir ve kapanışı izlenir.

Tedarikçi kaynaklı güncellemelerin hangi durumda yeniden doğrulama veya müşteri bildirimi gerektirdiğine karar vermek için üretim sistemlerinde değişiklik yönetimi rehberindeki sınıflandırmayı kullanabilirsiniz.

Tedarikçi değişikliği ve çıkış planı

A sınıfı bir BT hizmetinde tedarikçi değiştirmek, bir üretim prosesini başka bir tesise taşımak kadar ciddi bir iştir. Çıkış planı ilişki iyiyken hazırlanır. İlişki bozulduktan sonra veri ve destek pazarlığı çok daha zorlaşır. Asgari içerik:

1. Verilerin hangi formatta, hangi kapsamda (geçmiş kayıtlar, ekler, denetim izleri dahil) ve ne kadar sürede teslim edileceği
2. Geçiş döneminde mevcut tedarikçinin destek yükümlülüğü ve süresi
3. Saklama süresi devam eden kalite kayıtlarının yeni sistemde veya arşivde okunabilir kalmasının yöntemi
4. Tedarikçi tarafındaki verinin silindiğine dair teyit
5. Değişikliğin müşteri bildirimi gerektirip gerektirmediğinin değerlendirilmesi

Son madde kolay kaçar. Bazı müşteriler, üretim kayıtlarının tutulduğu sistemlerdeki veya EDI altyapısındaki önemli değişikliklerin bildirilmesini müşteri özel gerekliliklerinde ister. Çıkış planını yılda bir gözden geçirmek ve veri dışa aktarımını en az bir kez gerçekten denemek, planın kâğıtta kalmadığını gösterir. Dışa aktarılan dosyanın ekleri ve denetim izini içerip içermediğini açıp kontrol edin; sahada en çok eksik çıkan kısım budur.

Denetimde gösterilecek kayıtlar

• BT tedarikçilerini içeren onaylı tedarikçi listesi ve sınıflandırma gerekçesi
• A ve B sınıfı tedarikçiler için seçim/değerlendirme formları
• Sözleşme ve SLA ekleri; gösterge tanımları ve hedefler
• Aylık veya üç aylık performans raporları ve gözden geçirme tutanakları
• Hedef karşılanmadığında açılan düzeltici faaliyetler ve kapanış kanıtları
• BT tedarikçilerini kapsayan acil durum planı bölümleri
• Çıkış planı ve veri dışa aktarım testi kaydı

Bu kayıtların genel IATF BT kanıt setiyle nasıl birleştirileceği IATF 16949 denetiminde BT kanıtları rehberinde anlatılıyor. BT tedarikçilerini hem kalite hem bilgi güvenliği açısından tek bir değerlendirme modeliyle yönetmeniz gerekiyorsa, tedarikçi ve üçüncü taraf risk yönetimi çalışmasında bu iki bakışı birleştiriyoruz. Standardın resmi yorumları ve sık sorulan soruları için birincil kaynak IATF Global Oversight sitesidir.

Sık sorulan sorular

Bulut ERP sağlayıcısı IATF 16949 kapsamında tedarikçi sayılır mı?

Hizmet ürün uygunluğunu, teslimatı veya müşteriye karşı yükümlülükleri etkiliyorsa evet. Sevkiyat belgeleri, malzeme hareketleri ve izlenebilirlik verisi bulut ERP üzerinde tutuluyorsa, sağlayıcı dış kaynaklı bir proses olarak madde 8.4 kapsamında kontrol edilir.

BT tedarikçisinin ISO 27001 sertifikası tedarikçi değerlendirmesi için yeterli mi?

Tek başına yetmez. Sertifika bilgi güvenliği yönetimini gösterir; hizmet sürekliliği, destek modeli, değişiklik bildirimi ve veri dışa aktarımı gibi kalite açısından belirleyici konuları kapsamaz. Ayrıca sertifika kapsamının aldığınız hizmeti gerçekten içerip içermediğini kontrol edin.

SLA’da erişilebilirlik hedefi nasıl tanımlanmalı?

Erişilebilirlik takvim zamanı yerine üretim takvimiyle ilişkilendirilmeli, planlı bakım pencereleri ayrıca tanımlanmalı ve hizmet kaynaklı üretim duruşları kuruluşun kendi duruş kayıtlarından da izlenmelidir. Hedef değer, iş etki analizinde belirlenen tolerans süresine göre seçilir.

Küçük bir BT destek firması için de seçim formu gerekir mi?

Firma üretime doğrudan veya dolaylı etkili bir hizmet veriyorsa, ölçeği ne olursa olsun seçim ve değerlendirme kaydı gerekir. Kontrol yoğunluğu sınıfa göre ayarlanabilir; C sınıfındaki tedarikçiler için standart satın alma kontrolü yeterli olabilir.