Güvenlik ve uyum soru formlarını (vendor questionnaire) yanıtlamak

Perşembe öğleden sonra. Altı aydır yürüyen bir fırsatta imza aşamasına gelinmişken alıcının bilgi güvenliği ekibinden bir e-posta düşüyor: ekte iki yüz on dört satırlık bir tablo, teslim için beş iş günü. Temsilci dosyayı geliştirici ekibe iletiyor; onlar sprint ortasında oldukları için satırların bir kısmına evet yazıyor, bir kısmını uygulanabilir değil diye geçiyor, otuz kadarı boş kalıyor. On gün sonra alıcının hukuk tarafı, tablo ile sözleşme taslağı arasında on bir noktada çelişki buluyor. Anlaşma bir sonraki çeyreğe kayıyor ve kaybedilen şey bir haftalık mühendislik zamanından çok daha fazlası.

Güvenlik ve uyum soru formu (vendor questionnaire), kurumsal alıcının tedarikçi riskini kendi kayıtlarına geçirme biçimidir; satışın son metrelerinde ortaya çıkar ve hazırlıksız yakalanan ekipleri haftalarca oyalar. Bu yazıda sırasıyla şunları ele alıyoruz: formun aslında neyi ölçtüğü, sahipliğin kimde olması gerektiği, yanıt havuzunun nasıl kurulacağı, soru tiplerinin nasıl ayrıştırılacağı, hangi belgelerin önceden hazırlanacağı, hayır demenin doğru yolu, formdaki cümlelerin sözleşmedeki ağırlığı, sertifikası olmayan bir ekibin bu süreçten nasıl geçeceği, formun satış döngüsünün neresine konulacağı ve hangi göstergelerin izleneceği.

Soru formu aslında neyi ölçer?

İlk yanılgı, formun sizin güvenliğinizi ölçtüğünü sanmaktır. Ölçtüğü şey büyük ölçüde başkadır: karşı taraftaki risk sorumlusunun, sizi kendi yönetimine yazılı olarak savunabilme kapasitesi. O kişinin çıktısı bir puan değil, birkaç paragraflık bir değerlendirme notudur ve o notu yazacak cümleleri sizden bekler. Formu bu gözle doldurduğunuzda cevaplarınız kısalır, netleşir ve gerçekten işe yarar.

İkinci yanılgı, bütün soruların tek tek dikkatle okunduğunu sanmaktır. Okunan şey genellikle tutarsızlıklardır: aynı konuda iki farklı yanıt, formda söylenip sözleşmede geçmeyen taahhüt, teknik ekibin var dediği ama hiçbir belgede görünmeyen kontrol. Bu yüzden bir formun kalitesi cevapların iddialı olmasıyla değil, birbiriyle ve belgelerinizle uyumlu olmasıyla ölçülür. Prosedürel alıcının genel çalışma mantığını satın alma departmanıyla müzakere yazısında ayrıca ele alıyoruz.

Formu kim sahiplenir?

En yaygın kurgu aynı zamanda en kötüsüdür: form satışa gelir, satış onu teknik ekibe iletir, teknik ekip müsait olduğunda doldurur. Bu düzende üç şey birden bozulur. Teslim süresi öngörülemez hâle gelir, cevaplar o gün kim doldurduysa ona göre değişir ve hiç kimse geçen sefer ne yazıldığını hatırlamaz. Formun tek bir sahibi olmalıdır; bu kişinin teknik uzman olması gerekmez, sürecin sahibi olması gerekir.

Sahibin işi cevapları yazmak değil, cevapları toplamak ve tutarlılığı korumaktır. Teknik sorular teknik ekibe, sözleşmesel sorular sözleşmeyi yöneten kişiye, süreç soruları ilgili birime gider; sahip bunları birleştirir, çelişkileri ayıklar ve tek elden teslim eder. Bu işin kişiye bağımlı olmaktan çıkarılması, süreç dokümantasyonu ve SOP mantığının en somut uygulama alanlarından biridir.

Yanıt havuzu: aynı soruyu ikinci kez yazmamak

İkinci formu doldururken fark edersiniz: soruların büyük kısmı birincisinin başka kelimelerle yazılmış hâlidir. Erişim yetkileri nasıl yönetiliyor, veri nerede saklanıyor, yedekler ne sıklıkta alınıyor, bir olay yaşandığında kime ne kadar sürede haber veriliyor. Bunları her seferinde sıfırdan yazmak yerine, konu başlıklarına göre düzenlenmiş bir yanıt havuzu kurun ve her yeni formu o havuzdan besleyin.

Bir yanıtın taşıması gereken üç parça

İşe yarayan her yanıt üç parçadan oluşur. Birincisi iddiadır: ne yapıyorsunuz, tek cümleyle. İkincisi kanıttır: bunu hangi belge, hangi ekran veya hangi ayar gösteriyor. Üçüncüsü kapsamdır: bu kontrol nerede geçerli, nerede değil. Kapsamı yazılmayan yanıtlar en çok geri dönen yanıtlardır, çünkü karşı taraf sınırı bilmeden kendi notunu yazamaz ve size bir tur daha açar.

Havuzun bakımı da en az kurulması kadar önemlidir. Her yanıtın bir sahibi ve bir gözden geçirme tarihi olmalıdır; altı aydır dokunulmamış bir yanıt, teknik ekibin bu arada değiştirdiği bir ayarı hâlâ eski hâliyle anlatıyor olabilir. Yanlış cevabın en tehlikeli türü kötü niyetli olan değil, bir zamanlar doğru olandır; kimse onu sorgulamaz.

Sorular kaç tipte gelir, hangisi kime gider?

Formu satır satır okumak yerine soruları tiplerine ayırın. Bu tek hamle teslim süresini çoğu zaman yarıya indirir, çünkü paralel çalışmayı mümkün kılar ve her uzmanın önüne yalnızca kendi alanını koyar. Beş tip, karşılaşacağınız soruların neredeyse tamamını kapsar.

Bu ayrımın en çok işe yaradığı yer erişim ve kimlik başlığıdır: kim neyi görebiliyor, yetkiler nasıl veriliyor, ayrılan çalışanın erişimi ne zaman kapanıyor. Bu sorulara net cevap verebilmek için kendi tarafınızda rol ve yetki kurgusunun yazılı olması gerekir; rol ve yetki yönetimi yazısı bu matrisin nasıl kurulacağını anlatıyor. Merkezî kimlik doğrulama beklentisi geldiğinde ise cevabınızın dayanağı tekil oturum (SSO) kurulumu olur.

Hangi belgeleri önceden hazırlamalısınız?

Formun kendisi kadar, forma eklenen belgeler de değerlendirilir; hatta çoğu değerlendirici belgeye önce bakar. Aşağıdaki set hazır olduğunda cevap yazma süresi belirgin biçimde kısalır. Hazır olmadığında her form küçük bir projeye dönüşür ve her seferinde aynı acele yaşanır.

• Bilgi güvenliği politika seti: Parola, erişim, cihaz ve tedarikçi başlıklarında birkaç sayfalık, tarihli ve onaylı metinler; uzunluk değil, güncellik ve fiilen uygulanıyor olması değerlendirilir.
• Mimari ve veri akışı şeması: Verinin hangi bileşenler arasında dolaştığını gösteren tek sayfalık bir görsel, on satırlık açıklamadan çok daha hızlı ikna eder.
• Erişim ve yetki matrisi: Hangi rolün hangi veriye eriştiği ve işten ayrılan çalışanın erişiminin ne kadar sürede kapatıldığı, formların değişmez sorusudur.
• Alt işleyen ve tedarikçi listesi: Barındırma, e-posta gönderimi, analitik gibi hizmetleri kimden aldığınız ve bunların nerede çalıştığı yazılı olmalıdır.
• Yedekleme ve kurtarma kaydı: Sıklık, saklama süresi ve en önemlisi geri dönüşün en son ne zaman denendiği; bu tarih olmadan yedek bir vaatten ibarettir.
• Olay müdahale prosedürü: Kim haber alır, kim karar verir, müşteriye kim hangi kanaldan bildirir; bu üç satır çoğu formun en ağır puanlı bölümüdür.
• Zafiyet taraması veya sızma testi özeti: Tam raporu paylaşmak zorunda değilsiniz; kapsam, tarih ve bulguların kapatılma durumunu içeren bir özet çoğu zaman yeterlidir.

Bu setin iki maddesi çoğu küçük ve orta ölçekli şirkette eksiktir: gerçek bir geri dönüş tatbikatının kaydı ve veri saklama sürelerinin yazılı hâli. Yedeğin alınıyor olması tek başına bir şey söylemez; geri dönüşün denendiği tarih söyler. Bu iki başlığı yedekleme ve felaket kurtarma ile veri saklama ve silme politikası yazılarında ayrıntılı ele alıyoruz.

Hayır demenin doğru yolu

Soru formlarında en çok korkulan cevap hayırdır; oysa en çok ek tur açtıran cevap uygulanabilir değildir. Boş bırakılan veya tek kelimeyle reddedilen her satır, karşı tarafın kendi notunu yazamaması demektir ve neredeyse kesin olarak bir soru turu daha üretir. Doğru kurulmuş bir hayır ise çoğu zaman tek turda kapanır.

Doğru kurulum üç cümledir: bu kontrol bizde bu biçimde yok, yerine şu telafi edici kontrol çalışıyor, ilgili riski şu şekilde sınırlıyoruz. Karşı taraftaki risk ekibi mükemmellik aramaz, kabul edilebilir ve yazıya geçirilebilir bir gerekçe arar. Küçük ekiplerin sınırlı kaynakla kurabileceği temel kontrol setini KOBİ için siber güvenlik yazısında topladık.

Formdaki cümle neden sözleşmenin bir parçasıdır?

Yanıtlanmış soru formu birçok kurumsal alımda sözleşmeye ek olarak iliştirilir ya da en azından beyan olarak referans gösterilir. Bu, satış hızlansın diye yazılmış iyimser bir cümlenin ileride operasyonel bir taahhüde dönüşmesi anlamına gelir. Kimsenin okumadığını düşündüğünüz o satır, bir olay yaşandığında ilk açılan belgedir.

Soru formundaki her cümle sözleşmenin henüz imzalanmamış bir ekidir; abartının bedelini satış değil, aylar sonra operasyon öder.

Pratik kural şudur: forma yazdığınız hiçbir taahhüt, aynısını sözleşme metnine yazmaya razı olmayacağınız bir şey olmamalıdır. Kişisel veri tarafındaki beyanlar ayrıca dikkat ister, çünkü orada verdiğiniz cevap yalnızca alıcıya değil, mevzuata karşı da durur; bu başlığın CRM tarafındaki karşılığını KVKK uyumlu CRM yazısında ele alıyoruz. Buradaki amaç mekanizmayı göstermektir; kendi durumunuza ilişkin nihai değerlendirmeyi hukuk danışmanınızla birlikte yapın.

Sertifikanız yoksa bu formdan nasıl geçersiniz?

Yaygın refleks, ilk zorlu formdan sonra doğrudan bir sertifikasyon sürecine başlamaktır. Küçük bir ekip için bu çoğu zaman yanlış ilk hamledir: sertifika uzun sürer, süreç boyunca satış devam eder ve o dönemdeki formları yine kanıtla geçmeniz gerekir. Kısa vadede sizi geçiren şey bir rozet değil, düzenli ve tutarlı bir kanıt setidir.

Bunun sınırını da açıkça söylemek gerekir. Bazı segmentlerde, özellikle büyük kurumsal alımlarda, kamu ihalelerinde ve finans tarafındaki bazı alıcılarda belirli bir belge kapı şartıdır; orada kanıt setiniz ne kadar iyi olursa olsun elenirsiniz. Bu durumda doğru hamle direnmek değil, koşulu erken öğrenip fırsatı niteleme aşamasında ayırmaktır.

Verinin fiziksel olarak nerede tutulduğu sorusu da bu başlıkta sık sık kapı şartına dönüşür; alıcının beklentisiyle altyapınızın örtüşüp örtüşmediğini formu beklemeden netleştirin. Konunun ayrıntısını veri ikametgahı yazısında bulabilirsiniz.

Formu satış döngüsünün neresine koymalısınız?

Soru formunun geç gelmesi tesadüf değildir; alıcı da onu son adım sanır. Oysa geç gelmesi iki tarafa birden zarar verir: siz baskı altında ve aceleyle yazarsınız, onlar da kendi kapanış tarihlerini kaçırır. Çözüm, formu satışın çok daha erken bir aşamasında gündeme getirmektir.

Bunu yapmanın en zarif yolu, teklif öncesinde tek bir soru sormaktır: sizin tarafınızda bir güvenlik değerlendirme süreci var mı, varsa kim yürütüyor ve tipik olarak ne kadar sürüyor. Bu soru üç şeyi birden sağlar; takvimi gerçekçi kılar, alıcı tarafındaki doğru kişiyi ortaya çıkarır ve sizi hazırlıklı gösterir. Değerlendirmeyi yürütecek kişiyle sürecin ortasında tanışmak, sonunda tanışmaktan her zaman ucuzdur.

Hangi göstergeleri izlemelisiniz?

Bu süreç ölçülmediğinde her form yeni bir sürpriz gibi yaşanır. Dört gösterge yeterlidir. Teslim süresi, formun gelişinden gönderilmesine kadar geçen gündür ve doğrudan kapanış tarihini etkiler. Havuzdan karşılanma oranı, kaç sorunun hazır yanıtla cevaplandığını gösterir; bu oran yükseldikçe teslim süresi kendiliğinden düşer. Tur sayısı, formun kaç kez geri döndüğüdür ve tutarsızlıkların en dürüst ölçüsüdür. Boşluk kaydındaki açık madde sayısı ve yaşı ise güvenlik tarafındaki gerçek borcunuzu gösterir.

Bu ölçümlerin çoğu, sistem üzerindeki değişikliklerin kayıt altında olmasını gerektirir; kimin neyi ne zaman değiştirdiği görünmüyorsa hem karşı tarafa cevap veremezsiniz hem de kendi içinizde doğrulama yapamazsınız. Denetim kaydı başlığının formlarda bu kadar sık tekrar etmesinin nedeni de budur.

Nereden başlamalı?

Bir sonraki formu beklemeyin. Elinizdeki en son doldurulmuş formu açın, tekrar eden yirmi soruyu ayıklayın ve her birine iddia, kanıt ve kapsam içeren üç cümlelik bir yanıt yazın. Bu yirmi yanıt bir sonraki formun yaklaşık yarısını karşılar; ikinci formdan sonra havuz kendiliğinden büyümeye başlar ve süreç ilk kez tahmin edilebilir hâle gelir.

Bunun sürdürülebilir olması için formların, sahiplerinin, teslim tarihlerinin ve açık maddelerin fırsat kaydının üstünde durması gerekir; ayrı bir tabloda tutulan liste ilk yoğun haftada güncellenmeyi bırakır. Rocketly'de fırsata bağlı görevler, hatırlatmalar, belge ekleri ve yetki kurgusu aynı yerde toplanıyor; ücretsiz hesap açarak kendi soru formu akışınızı kurabilirsiniz.