:quality(85))
Bu makale, Z2Data CEO'su Mohammad Ahmad'ın tedarikçi risk analizinin şirketler açısından nasıl değiştiğini ve yarı iletken tedarikçileri için başarılı risk değerlendirmelerinin üreticiler tarafından nasıl gerçekleştirilmesi gerektiğini ele alan iki bölümlük bir serinin ilk bölümüdür. İkinci bölümü, Yarı İletken Tedarik Zinciri için Risk Modeli Geliştirme ve Uygulama başlığıyla buradan okuyabilirsiniz.
2020'de başlayıp 2023’e kadar süren yarı iletken kıtlığı, neredeyse tüm ölçütlere göre bir tedarik zinciri felaketiydi. Bu tarihi aksama, üretimi durma noktasına getirdi ve çok çeşitli büyük ölçekli endüstrilerde arz-talep dengesini bozdu; yalnızca 2021 yılında ABD ekonomisine 200 milyar doların üzerinde kayba yol açtı, binlerce iş kaybı ve esas ürünlerde büyük ölçüde geri döndürülemez fiyat artışlarına neden oldu.
Birçok organizasyon için bu deneyim ve son dört yılda tedarik ve satın alma süreçlerinde yaşanan diğer zorluklar, tedarikçi riskinin artan gücünü ve yaygınlığını temsil etti. Daha önce kesintileri gayri resmi ve anlık yöntemlerle ele almakla yetinen şirketler, artık tedarik zincirlerinden ve onu ayakta tutan şirketlerden kaynaklanan tehditleri değerlendirmede daha proaktif, öngörülü bir yaklaşım benimsemenin aciliyetini—hatta stratejik gerekliliğini—fark etmeye başladılar. Bunun sonucunda şirketler, riski bir fabrika kapanışı, bir mevzuat sorunuyla ya da kullanım ömrü sonu (EOL) kriziyle operasyonlarını sekteye uğratmadan önce tanımlayabileceğinin, değerlendirebileceğinin ve azaltabileceğinin kolektif olarak farkına vardılar.
Tedarikçi Risk Analizi Nedir?
Neyse ki, tedarikçileri arasındaki riski analiz etmek isteyen üreticiler, ithalatçılar ve diğer paydaşların başvurabileceği köklü bir geçmiş mevcut. Tedarikçi risk analizleri bir biçimiyle onlarca yıldır uygulanmaktadır. Risk analizi—veya risk değerlendirmesi—belirli bir tedarikçiden kaynaklanan riskleri tanımak ve değerlendirmek için kullanılan bir çerçeve veya kriterler bütünüdür. Bu yapılandırılmış değerlendirmeler, tedarik zinciri risk yönetimi alanının kritik bir unsurudur; National Institute of Standards and Technology (NIST), tedarik zinciri risk yönetimini şu şekilde tanımlar: “Tedarik zinciri genelinde hassasiyetleri, zafiyetleri ve tehditleri tanımlayarak, bu tehditlere karşı azaltım stratejileri geliştirmeyi amaçlayan sistematik bir süreç.”
Risk analizi—veya risk değerlendirmesi—belirli bir tedarikçiden kaynaklanan riskleri tanımak ve değerlendirmek için kullanılan bir çerçeve veya kriterler bütünüdür.
Tedarikçi risk değerlendirmeleri, etkin tedarik zinciri risk yönetiminin temel taşlarından biridir. Bu odaklı değerlendirmeleri geliştirip uygulayarak, şirketler potansiyel tedarikçilerini standartlaştırılmış bir ön inceleme sürecinden geçirebilir ve belirli tarihsel zafiyetlerin nasıl tekrarlanabileceğini kapsamlı ve kesin bir şekilde öngörebilirler. Ayrıca bunlar, tedarik zincirinizle daha dinamik ve çevik bir ilişki kurmanın en etkili yollarından biridir.
“Bu çok önemlidir; çünkü sonuçta tedarik zincirinizi ve dolayısıyla nihai ürününüzün teslimatını veya üretimini etkileyebilecek potansiyel sorunların önünde olmanızı sağlar,” diyor tedarik zinciri risk yönetimi platformu Z2Data'nın CEO'su Mohammad Ahmad. Ancak Ahmad'ın açıkladığı gibi, bu değerlendirmeler yalnızca risk profilleri olmanın ötesinde işlev görür. Aynı zamanda, çok çeşitli senaryolarda kritik karar almaya yardımcı olabilecek, tedarikçilerle ilgili kapsamlı bilgi dosyalarıdır. “Şu anda en büyük zorluklardan biri şu: Tedarikçilerinizi ne kadar iyi tanıyorsunuz?” diyor. “Herkes tedarikçilerine dair görünürlük istiyor.”
“Şu anda en büyük zorluklardan biri şu: Tedarikçilerinizi ne kadar iyi tanıyorsunuz?” diyor. “Herkes tedarikçilerine dair görünürlük istiyor.”
Tedarikçi risk analizi yeni bir uygulama değildir. Ancak etkili tedarik zinciri risk yönetiminin ayrılmaz bir parçası olarak görülme eğilimi giderek artmaktadır. 2020’ler gibi katmanlı ve çalkantılı bir on yılda, riskleri tespit edip analiz edebilen ve böylece tedarikçileriyle şeffaflık sağlayabilen şirketler, kritik bir avantaja sahip oluyor.
Tedarikçi Risk Analizinde En Önemli Kriterler
Tarihsel olarak, üreticiler risk analizini tedarikçilerinin birkaç temel yönüne odaklanarak gerçekleştirdi: şirket mali durumu, ürün kalitesi ve itibar. Şirketler tedarikçilerinin maruz kalabileceği risk seviyesini değerlendirir ve tedarikçinin genel risk profilini doğru şekilde yansıtmayı amaçlayan bir birleşik skor üretirdi.
Günümüzde, üretici ve tedarik zinciri risk ortamı çok daha yoğun ve zorludur. Yukarıda sıralanan köklü tehditlerin yanı sıra, çevresel ve jeopolitik koşullara özgü yeni endişeler de riski artırmaktadır; insan faktörü ve doğa güçleri bir araya gelerek oynaklığı daha da büyütüyor. Sonuç olarak, şirketler artık risk kriteri listelerine mevzuat uyumu geçmişi ve coğrafi konumlar gibi faktörleri de eklemek zorundadır. Özellikle coğrafi konumlar kritik hale gelmiştir; çünkü bu kriter, tedarikçinin doğal afetler, jeopolitik sorunlar ve ticari anlaşmazlıklar gibi ilişkili tehditlere ne kadar açık olduğunu gösterir.
Günümüzde, üretici ve tedarik zinciri risk ortamı çok daha yoğun ve zorludur.
Şirketler her zaman tedarikçilerinin, tayfun, kasırga ve sel gibi aşırı hava koşullarından etkilenme olasılığıyla yüzleşmek zorunda kalmıştır. Ancak iklim değişikliğinin etkisiyle, bu tür felaketlerin sıklığı gitgide artmaktadır. Birleşmiş Milletler Afet Riskini Azaltma Ofisi’ne (UNDRR) göre, dünya genelinde her yıl yaşanan “büyük ölçekli afetlerin” sayısı yüzyıl başından bu yana üç kattan fazla arttı ve şu anda yıllık 350 ila 500 arasında. Mevcut iklim projeksiyonlarının birçoğu ise bu sayıların önümüzdeki yıllarda daha da yükseleceğine işaret ediyor.
Son beş yılda, önde gelen devletler ve etkili uluslararası kuruluşlar, şirketleri artan sıcaklıklar ve iklim değişikliğindeki rollerinden dolayı daha fazla sorumlu tutmak adına önemli adımlar atmaya başladı. Sürdürülebilirlik ve ESG (çevresel, sosyal ve yönetişim) alanındaki hareketler, giderek tüm dünyada somut ve yasal olarak bağlayıcı yönetmeliklere dönüşüyor. Bu artan sayıda yeni regülasyon, üreticiler ve diğer tedarik zinciri paydaşları için yeni bir risk kategorisi doğuruyor; artık çok sayıda yeni sürdürülebilirlik zorunluluğuna da uyum sağlamak zorundalar. CSRD, CS3D ve SEC’in yeni iklim raporlama gereksinimleri gibi düzenlemeler dünya genelinde yürürlüğe girdikçe, tedarikçiler kendilerini yeni bir zafiyet alanında buluyor.
CSRD, CS3D ve SEC’in yeni iklim raporlama gereksinimleri gibi düzenlemeler dünya genelinde yürürlüğe girdikçe, tedarikçiler kendilerini yeni bir zafiyet alanında buluyor.
Tüm bunların yanı sıra, siber güvenlik risklerinin hızla ortaya çıkışı söz konusu. Bu yeni tehdit, son dönemdeki benzersiz ölçek ve kapsamda bazı siber saldırılarla çarpıcı şekilde ortaya çıktı. 2020’de Rusya merkezli operatörlerce gerçekleştirilen SolarWinds saldırısı ve 2021’de Çin Halk Cumhuriyeti Devlet Güvenlik Bakanlığı’yla ilişkili bir hacker grubunun Microsoft Exchange’e yönelik veri hırsızlığı, son on yılda siber savaşın nasıl bir boyut kazandığını gösteriyor. Bu son derece sofistike hacker grupları ve onların güçlü devlet destekçileri giderek daha cüretkâr ve iddialı hale geldikçe, dünyanın dört bir yanındaki çok uluslu şirketler veri sızıntısı, kötü amaçlı yazılım saldırıları ve kapsamlı güvenlik açıkları tehlikesiyle daha fazla karşı karşıya kalıyor.
ABD'li üreticiler ve çoklu tedarikçiye ve alt katmanlara bağımlı diğer işletmeler bugün çok net bir gerçekle karşı karşıya: tedarik zinciri risk yönetimi bariz biçimde evrim geçirdi. Kendi tedarikçi risk analizini oluşturmak isteyenlerin, onlarca yıldır tedarik zincirlerini tehdit eden bozucu etkilerinin ötesine bakması gerek. Kurumlar, artık birçok üretim ağında yaygın hale gelen yeni tehdit kümelerini de tanımalıdır.
ABD'li üreticiler ve çoklu tedarikçiye ve alt katmanlara bağımlı diğer işletmeler bugün çok net bir gerçekle karşı karşıya: tedarik zinciri risk yönetimi bariz biçimde evrim geçirdi.
Günümüzde, kapsamlı bir risk analizine dahil edilmesi gereken en az yarım düzine tedarik zinciri riski bulunmaktadır:
- Finansal sağlık ve/veya iflas riski
- Aşırı hava olayları ve iklimle ilgili olaylar
- Jeopolitik kaygılar
- ESG ve sürdürülebilirlik
- Siber güvenlik
- Ticaret uyumluluğu
- Veri şeffaflığı
Risk Değerlendirme İçin Veri Toplama
Şirketler, tedarikçileri arasında risk tespitinin ve hangi risk kategorilerinin analiz edilip değerlendirilmesi gerektiğinin değerini kavradıklarında, artık değerlendirmeyi uygulamaya hazırdır. Risk analizi yapmanın ilk ve muhtemelen en önemli adımı, tedarikçileriniz hakkında veri toplamaktır. Bu bilgileri bir araya getirmek için çeşitli stratejiler vardır ve organizasyonların tek bir yaklaşıma tümüyle bağlı kalmaması gerekir. Aksine, bilgi toplamada farklı yöntemlerden yararlanılmalı ve ilk olarak kamuya açık kaynaklara erişilmelidir. Bu tür bilgiler; finansal veriler, genel merkez ve üretim tesislerinin coğrafi konumları, ESG raporlaması (önümüzdeki aylarda ve yıllarda giderek daha fazla kamuya açık hale gelecektir) gibi unsurları içerebilir.
Mevcut tüm kamuya açık veriler toplandıktan sonra, şirketler bilgi boşluklarının nerede olduğunu değerlendirmeli ve kendi başlarına elde edemedikleri ek veriler için tedarikçilerle doğrudan iletişime geçmelidir. Kurumlar genellikle bu ikinci adımı, tedarikçilere güvenlik kontrolleri, risk azaltım önlemleri ve tedarik zinciri yönetimine dair çok çeşitli sorular yönelttikleri anketler aracılığıyla gerçekleştirir.
Örneğin Shared Information Gathering (SIG) anketi, Shared Assessments organizasyonu tarafından geliştirilmiş bir üçüncü taraf risk yönetimi aracıdır. 21 temel alanda pratik içgörüler sunmak üzere tasarlanmış yüzlerce soru içerir; bu alanlardan bazıları:
- Uyumluluk Yönetimi
- Çevresel, Sosyal ve Yönetişim (ESG)
- Kurumsal Risk Yönetimi
- Siber Olay Yönetimi
- Ağ Güvenliği
- Operasyonel Dayanıklılık
Anketler bilgi toplamada vazgeçilmez bir unsur olsa da, tedarikçinizle ilgili veri edinmede tek başına yeterli olmamalıdır. “Sadece buna güvenmemeniz gerektiğini düşünüyorum,” diyor Ahmad. “Kararınızı risk bazlı verebilmek adına, elinizde birden fazla bilgi kaynağı olmalı; böylece daha derine inmeniz gerekip gerekmediğine karar verebilirsiniz.”
Kapsamlı Bir Risk Değerlendirme Süreci İnşa Etmek: Bölüm 2
Risk alanlarını tespit etmek ve bu risklere ilişkin tüm ilgili verileri toplamak, genel risk değerlendirme sürecinin yalnızca ilk adımlarıdır. Üreticiler bu aşamayı başarıyla tamamladıktan sonra, risk modeli nasıl geliştirilir ve risk değerlendirmesi fiilen nasıl uygulanır?
Bu soruların yanıtlarını—ve yarı iletken tedarik zincirine özgü en yaygın risklerin bazılarını da—makalemizin ikinci bölümü olan Yarı İletken Tedarik Zinciri için Risk Modeli Geliştirme ve Uygulama başlığında ele alıyoruz.
