Yetkilendirilmiş Yükümlü Statüsü (YYS) ve ISO 28000 Tedarik Zinciri Güvenliği Entegrasyonu

Tedarik zinciri güvenliği; tesislere yetkisiz erişimin önlenmesinden yük bütünlüğünün korunmasına, taşıma araçlarının kontrolünden ticari verilerin güvenliğine kadar geniş bir alanı kapsar. Özellikle birden fazla taşıyıcı, alt yüklenici, antrepo ve gümrük müşavirinin yer aldığı operasyonlarda güvenlik açıkları tek bir tesisin sınırlarını aşabilir. Bu nedenle güvenlik faaliyetlerinin kişisel tecrübeye veya münferit prosedürlere bağlı kalmadan, risk temelli bir yönetim sistemi içinde yürütülmesi gerekir.

ISO 28000 Tedarik Zinciri Güvenliği Yönetim Sistemi, kuruluşların güvenlik tehditlerini tanımlamasını, riskleri değerlendirmesini, uygun kontroller oluşturmasını ve bu kontrollerin etkinliğini izlemesini sağlayan uluslararası bir standarttır. YYS'nin emniyet ve güvenlik yaklaşımıyla örtüşen bu yapı; fiziki tesis güvenliği, personel güvenliği, taşıma operasyonları, iş ortakları ve bilgi varlıkları gibi farklı kontrol alanlarını ortak bir yönetim disiplini altında birleştirir.

Burada önemli bir ayrım vardır: YYS, gümrük mevzuatına göre yetkili kamu idaresi tarafından tanınan bir statüdür. ISO 28000 ise bir yönetim sistemi standardıdır. ISO 28000 belgesi YYS sertifikasının yerine geçmez, YYS başvurusunu otomatik olarak olumlu sonuçlandırmaz ve mevzuatta aranan şartları ortadan kaldırmaz. Buna karşılık, doğru kurulmuş bir ISO 28000 sistemi YYS kapsamındaki güvenlik uygulamalarının sistematik biçimde yönetilmesine, kayıt altına alınmasına ve denetimlerde kanıtlanmasına önemli katkı sağlar.

YYS Başvurularında Emniyet ve Güvenlik Kriterleri ile ISO 28000 Örtüşmesi

Yetkilendirilmiş Yükümlü Statüsü, gümrük yükümlülüklerini yerine getiren, ticari kayıtlarını düzenli ve izlenebilir tutan, gerekli mali yeterlilik koşullarını sağlayan ve uygun emniyet-güvenlik standartlarına sahip kuruluşlara tanınır. Bu koşulların değerlendirilmesi yalnızca beyan edilen politika ve prosedürlerle sınırlı değildir. Başvuru kapsamında sunulan bilgiler, elektronik soru formu ve gerektiğinde gerçekleştirilen yerinde incelemeler üzerinden kuruluşun gerçek operasyonel uygulamaları da değerlendirilir.

YYS'nin emniyet ve güvenlik boyutu, kuruluşun kendi tesisleri kadar ticari faaliyetleriyle bağlantılı tedarik zinciri ilişkilerini de dikkate almasını gerektirir. Bina ve sevkiyat alanlarının korunması, eşyanın değiştirilmesini veya kaybolmasını önleyici kontroller, iş ortaklarının güvenilirliği, hassas görevlerde çalışan personelin güvenliği ve kayıt sistemlerinin korunması bu kapsamda öne çıkan konulardır.

ISO 28000'in katkısı, bu kontrolleri birbirinden bağımsız güvenlik tedbirleri olarak değil, birbirini tamamlayan bir yönetim sistemi olarak ele almasıdır. Kuruluş; faaliyetlerini, güvenlik tehditlerini, varlıklarını ve dış kaynaklı süreçlerini değerlendirerek kontrol önceliklerini belirler. Uygulanan önlemler sorumlularıyla tanımlanır, kayıtları tutulur, performansı izlenir ve tespit edilen uygunsuzluklar için düzeltici faaliyet yürütülür.

YYS güvenlik kriterleri ve ISO 28000 kontrol alanları

Aşağıdaki matris, YYS emniyet ve güvenlik değerlendirmesinde karşılaşılan temel konuların ISO 28000 yönetim sistemi yaklaşımıyla nasıl ilişkilendirilebileceğini gösterir. Eşleştirme, mevzuattaki her sorunun ISO 28000 içinde birebir karşılığı bulunduğu anlamına gelmez. YYS soru formunun güncel sürümü ve kuruluşun faaliyet kapsamı ayrıca değerlendirilmelidir.

ISO 28000'in 2022 baskısı, güvenlik yönetim sistemini yalnızca tedarik zincirine özgü bir uygulama olarak değil, farklı büyüklük ve sektördeki kuruluşların kullanabileceği bütüncül bir yönetim sistemi olarak tanımlar. Bu yaklaşım, lojistik hizmet sağlayıcılarının yanı sıra üreticiler, ihracatçılar, ithalatçılar ve depolama işletmeleri için de uygulanabilir. Standartta 2024 yılında yayımlanan iklim değişikliği değişikliği de kuruluş bağlamının ve ilgili taraf beklentilerinin değerlendirilmesinde dikkate alınmalıdır.

YYS emniyet ve güvenlik değerlendirmesinde dokümantasyonun önemi

Bir güvenlik önleminin sahada bulunması tek başına yeterli değildir. Denetim açısından önlemin hangi risk nedeniyle seçildiği, kim tarafından uygulandığı, ne sıklıkta kontrol edildiği ve etkinliğinin nasıl doğrulandığı da önem taşır.

Örneğin antrepo çevresinde kamera sisteminin bulunması, güvenlik kontrolünün tamamlandığını göstermez. Kameraların kritik alanları kapsaması, kayıt sisteminin çalışır durumda olması, görüntülere erişimin yetkilendirilmesi ve olay halinde kayıtların incelenebilmesi gerekir. Benzer şekilde ziyaretçi giriş defteri tutulması da tek başına yeterli kanıt değildir. Ziyaretçinin kim tarafından kabul edildiği, hangi alanlara eriştiği ve tesis dışına çıkışının nasıl kayıt altına alındığı değerlendirilmelidir.

ISO 28000 sistemi bu noktada güvenlik önlemlerini risk değerlendirmesine bağlar. Böylece kuruluş, kontrolün varlığını göstermekle kalmaz; kontrolün neden gerekli olduğunu, nasıl işletildiğini ve hangi kayıtlarla doğrulandığını da ortaya koyabilir.

Antrepo ve Lojistik Tesislerinde Fiziksel ve Dijital Güvenlik Denetim Noktaları

Antrepo ve lojistik tesislerinde güvenlik denetimi, yalnızca çevre duvarı, kamera veya güvenlik personelinin varlığı üzerinden yürütülemez. Denetçinin değerlendirmesi gereken temel konu, eşyanın tesise girişinden depolanmasına, elleçlenmesine ve sevkiyatına kadar geçen süreçte yük bütünlüğünün korunup korunmadığıdır.

Bir antrepoda yük kabul alanı, gümrüklü eşya bölümü, geçici depolama alanı, sevkiyat rampası, araç park sahası ve bilgi işlem altyapısı farklı güvenlik riskleri barındırır. Bu alanların tamamı aynı kontrol seviyesine tabi tutulmak zorunda değildir. Ancak risk seviyesi yüksek alanların belirlenmesi, erişim yetkilerinin buna göre sınırlandırılması ve kontrollerin operasyonla uyumlu yürütülmesi gerekir.

Çevre emniyeti, CCTV ve erişim kontrol sistemleri

Antrepo sahalarında fiziki güvenliğin ilk katmanı tesis çevresidir. Çevre çiti, duvar, kapı, araç giriş noktaları ve yükleme alanları; izinsiz giriş, yük hırsızlığı, sabotaj veya eşya üzerinde yetkisiz müdahale risklerine karşı değerlendirilmelidir.

Denetim sırasında özellikle şu hususlar incelenir:

• Tesis çevresinde izinsiz geçişe imkân verebilecek açıklık, hasar veya kontrolsüz giriş noktalarının bulunup bulunmadığı.
• Araç ve yaya girişlerinin birbirinden ayrılıp ayrılmadığı ve giriş yetkilerinin nasıl kontrol edildiği.
• CCTV sisteminin yük kabul, sevkiyat, araç parkı, depo girişleri ve kritik çevre noktalarını kapsayıp kapsamadığı.
• Kamera görüntülerinin yeterli kalitede olup olmadığı ve kritik alanlarda kör nokta bulunup bulunmadığı.
• Kamera sisteminin kesinti, arıza veya kayıt kaybı durumunda nasıl yönetildiği.
• Kartlı geçiş, anahtar yönetimi ve ziyaretçi kontrolünün görev bazında uygulanıp uygulanmadığı.
• Güvenlik kayıtlarına erişimin yetkilendirilip yetkilendirilmediği ve kayıtların korunup korunmadığı.

CCTV sisteminin denetiminde yalnızca kamera sayısı veya cihaz markası dikkate alınmaz. Önemli olan, güvenlik risklerinin gerektirdiği alanların izlenmesi ve sistemin olay incelemesine imkân sağlayacak şekilde çalışmasıdır. Kayıt saklama süreleri ise uygulanabilir mevzuat, veri koruma yükümlülükleri, sözleşmeler ve kuruluşun risk değerlendirmesi dikkate alınarak belirlenmelidir.

Erişim kontrolünde de aynı yaklaşım geçerlidir. Depo çalışanı, güvenlik personeli, ziyaretçi, taşıyıcı sürücü ve bakım yüklenicisinin aynı erişim yetkisine sahip olması beklenemez. Özellikle gümrüklü eşya, yüksek değerli ürün veya hassas sevkiyat alanlarına girişler görev ve ihtiyaç temelinde sınırlandırılmalıdır.

Personel arka plan doğrulaması ve ziyaretçi prosedürleri

Tedarik zinciri güvenliğinde iç tehditler, dış kaynaklı tehditler kadar dikkate alınmalıdır. Hassas görevlerde çalışan personelin yetki düzeyi, iş tanımı, tesis erişimi ve kritik operasyonlara müdahale imkânı güvenlik riskleriyle birlikte değerlendirilmelidir.

YYS güvenlik yaklaşımı kapsamında hassas pozisyonlardaki personelin güvenilirliğine yönelik uygun kontrollerin bulunması ve çalışanların güvenlik sorumlulukları konusunda bilgilendirilmesi önem taşır. ISO 28000 sistemi ise bu uygulamaların kurumsal sorumluluklara, risk değerlendirmesine ve kayıt düzenine bağlanmasına katkı sağlar.

Denetimde değerlendirilebilecek başlıca unsurlar şunlardır:

• Hassas görevlerin ve bu görevleri yürüten pozisyonların tanımlanması.
• İşe alım ve görev atama süreçlerinde hukuka uygun güvenilirlik kontrollerinin uygulanması.
• Kritik alanlara erişim yetkisinin görev değişikliği veya işten ayrılma halinde güncellenmesi.
• Güvenlik farkındalığı eğitimlerinin kayıt altına alınması.
• Ziyaretçilerin kimlik ve ziyaret gerekçesi bilgilerinin kayıt altına alınması.
• Ziyaretçilere refakat edilmesi gereken alanların belirlenmesi.
• Taşeron, bakım personeli ve geçici çalışanların erişimlerinin kontrol edilmesi.
• Güvenlik ihlali şüphesi veya olağan dışı davranış durumunda izlenecek bildirim sürecinin tanımlanması.

Personel geçmişine ilişkin doğrulama faaliyetleri yürütülürken kişisel verilerin korunması, iş hukuku ve ilgili diğer mevzuat yükümlülükleri gözetilmelidir. Kontroller, görevle bağlantılı ve hukuka uygun ölçüde yapılmalı; gereksiz kişisel veri toplanmamalıdır.

Taşıma ünitesi ve mühür (seal) yönetimi

Konteyner, dorse ve nakliye araçları, tedarik zincirinin en kritik güvenlik noktalarından biridir. Yükün tesis dışına çıkmasıyla birlikte güvenlik sorumluluğu ortadan kalkmaz; taşıma boyunca yük bütünlüğünün korunması gerekir.

Mühür yönetimi, bu bütünlüğün izlenebilirliğini sağlayan temel kontrollerden biridir. Ancak yalnızca mühür takılması yeterli değildir. Mühür numarasının doğru kaydedilmesi, mühürün uygun noktaya uygulanması, sevkiyat kayıtlarıyla eşleştirilmesi ve teslim noktasında doğrulanması gerekir.

Başdenetçi, taşıma ve mühür yönetiminde aşağıdaki kontrolleri birlikte değerlendirir:

• Sevkiyat öncesinde konteyner veya taşıma ünitesinin fiziki durumunun kontrol edilmesi.
• Kapı, kilit, bağlantı noktası ve müdahaleye açık bölgelerin incelenmesi.
• Mühür numarasının sevkiyat evrakı ve sistem kayıtlarıyla eşleşmesi.
• Mühür uygulamasının yetkili personel tarafından yapılması.
• Mühür değişikliği, hasar veya numara uyuşmazlığı durumunda izlenecek prosedürün tanımlanması.
• Taşıma sırasında gerçekleşen olağan dışı duraklama, rota değişikliği veya güvenlik olayı için bildirim mekanizmasının bulunması.
• Teslim noktasında mühür bütünlüğünün ve numarasının kontrol edilmesi.
• Taşıyıcı ve alt yüklenici sorumluluklarının sözleşmelerde açıkça belirlenmesi.

Mühür numarasının sevkiyat belgesinde bulunması, tek başına izlenebilirlik sağlamaz. Kayıtların fiilî mühür uygulamasıyla tutarlı olması ve olası uyuşmazlıkların nasıl yönetildiğinin gösterilmesi gerekir. Özellikle yüksek riskli yüklerde mühür kontrolü; araç muayenesi, yükleme kayıtları, kamera görüntüleri ve teslim teyidiyle birlikte değerlendirilmelidir.

Dijital güvenlik ve ticari kayıtların korunması

YYS ve ISO 28000 entegrasyonunda dijital güvenlik, fiziki güvenlik kadar önemlidir. Gümrük ve lojistik operasyonlarında kullanılan bilgi sistemleri; sipariş, stok, taşıma, sevkiyat, beyanname ve teslimat verilerini içerir. Bu sistemlere yetkisiz erişim, yalnızca veri kaybına değil, yük hareketlerinin manipüle edilmesine ve ticari kayıtların güvenilirliğinin zedelenmesine de yol açabilir.

Denetimde kullanıcı yetkileri, ayrıcalıklı hesaplar, sistem erişim kayıtları, yedekleme uygulamaları, dış hizmet sağlayıcı erişimleri ve olay müdahale süreçleri incelenebilir. Özellikle depo yönetim sistemi (WMS), taşıma yönetim sistemi (TMS), ERP ve gümrük işlemlerinde kullanılan uygulamalar arasındaki veri akışının güvenliği değerlendirilmelidir.

Bir kullanıcının işten ayrılmasına rağmen sistem hesabının açık kalması, ortak kullanıcı hesaplarıyla kritik işlem yapılması veya sevkiyat kayıtlarının geriye dönük iz bırakmadan değiştirilebilmesi önemli kontrol zafiyetleridir. ISO 28000 kapsamında güvenlik yönetimi, bu tür risklerin tanımlanmasını ve uygun kontrollerle yönetilmesini destekler. Bilgi güvenliği kontrollerinin ayrıntılı yönetimi için kuruluşun faaliyet kapsamına göre ISO/IEC 27001 gibi ilgili standartlarla koordinasyon kurulması da yararlı olabilir.

ISO 28000 Belgesinin Dış Ticaret ve İhale Avantajları

Uluslararası tedarik zincirlerinde güvenlik, yalnızca gümrük idarelerinin değerlendirdiği bir konu değildir. Ana sanayi kuruluşları, uluslararası alıcılar, liman işletmeleri, lojistik ağları ve sigorta kuruluşları da tedarikçilerinin güvenlik risklerini nasıl yönettiğini sorgulayabilir.

Bu nedenle ISO 28000 belgesi, belirli müşteri gruplarına ve tedarik zincirlerine hizmet veren kuruluşlar açısından ticari bir yeterlilik göstergesi hâline gelebilir. Özellikle yüksek değerli ürün, hassas ekipman, kritik yedek parça veya güvenlik riski yüksek yük taşıyan işletmelerde tedarikçi değerlendirme kriterleri arasında yer alabilir.

Ancak ISO 28000'in bütün sektörlerde ve tüm uluslararası ihalelerde zorunlu olduğu yönünde genel bir hüküm bulunmaz. Zorunluluk, ilgili müşteri şartnamesi, ihale dokümanı, sözleşme veya tedarikçi kabul prosedüründen kaynaklanabilir. Bu nedenle belgelendirme kararı alınırken hedef pazar ve müşteri gereklilikleri ayrıca incelenmelidir.

Uluslararası tedarikçi değerlendirmelerinde güvenlik yeterliliği

Ana sanayi firmaları ve uluslararası alıcılar, lojistik hizmet sağlayıcılarını değerlendirirken yalnızca fiyat ve teslimat performansına odaklanmaz. Yük kaybı, yetkisiz müdahale, sevkiyat gecikmesi, bilgi güvenliği ihlali ve alt yüklenici kaynaklı riskler de tedarikçi performansının parçasıdır.

ISO 28000 sistemi, kuruluşun bu riskleri hangi yöntemle değerlendirdiğini ve hangi kontrollerle yönettiğini gösterebilecek bir yapı sunar. Belge, müşteri denetimlerinde güvenlik yönetimine ilişkin ortak bir referans sağlayabilir. Bununla birlikte müşteri, standardın kapsamı dışında kalan özel güvenlik kontrollerini veya kendi tedarikçi değerlendirme kriterlerini ayrıca talep edebilir.

YYS denetim hazırlığında dokümantasyon ve izlenebilirlik

ISO 28000 belgesine sahip olmak, YYS başvurusundaki tüm soruların otomatik olarak karşılandığı anlamına gelmez. Bununla birlikte sistem kapsamında hazırlanmış risk değerlendirmeleri, prosedürler, görev tanımları, eğitim kayıtları, olay raporları ve performans değerlendirmeleri YYS hazırlıklarında kullanılabilecek önemli kanıtlar oluşturabilir.

Özellikle aynı kontrolün farklı tesislerde veya farklı operasyonlarda uygulanması gereken kuruluşlarda ortak dokümantasyon yapısı önemli avantaj sağlar. Güvenlik sorumluluklarının tanımlı olması, kayıtların merkezi olarak izlenmesi ve uygunsuzlukların takip edilmesi, denetim hazırlığını daha kontrollü hâle getirir.

Bu katkı, YYS değerlendirmesinin kapsamını veya sonucunu değiştirmez. Yetkili idare, başvuru sahibinin güncel mevzuat şartlarını ve ilgili soru formundaki gereklilikleri karşılayıp karşılamadığını kendi değerlendirme usulleriyle inceler.

Lojistik sektöründe belge ve standart gerekliliklerinin birlikte değerlendirilmesi için lojistik ve antrepo firmaları için zorunlu belgeler analizi içeriği de incelenebilir.

Vertacert ile ISO 28000 ve Tedarik Zinciri Denetim Hizmetleri

Tedarik zinciri güvenliği, yalnızca prosedürlerin hazırlanmasıyla sağlanamaz. Güvenlik kontrollerinin gerçek operasyonlarda uygulanması, tesis ve taşıma riskleriyle uyumlu olması, çalışanlar tarafından anlaşılması ve kayıtlarla doğrulanması gerekir. Bu nedenle ISO 28000 değerlendirmesi; kuruluşun faaliyet kapsamını, lojistik ağını, dış hizmet sağlayıcılarını ve güvenlik risklerini birlikte ele almalıdır.

Vertacert, lojistik operasyonlarınızı, antrepolarınızı ve tedarik zinciri ağlarınızı uluslararası ISO 28000 standartlarına göre bağımsız olarak denetler. Gümrük süreçlerinizde YYS uyumunuzu güçlendirmek, lojistik risklerinizi azaltmak ve küresel ticarette güvenirliğinizi göstermek için uzman denetçi kadromuzla yanınızdayız.

Vertacert'in değerlendirme yaklaşımında öne çıkan başlıklar şunlardır:

• Tesis, depo, antrepo ve sevkiyat sahalarının güvenlik risklerinin değerlendirilmesi.
• Fiziksel güvenlik, CCTV, çevre emniyeti ve erişim kontrol uygulamalarının incelenmesi.
• Personel, ziyaretçi ve taşeron güvenlik prosedürlerinin değerlendirilmesi.
• Konteyner, araç, taşıma ünitesi ve mühür yönetimi kontrollerinin incelenmesi.
• Taşıyıcı, alt yüklenici ve diğer iş ortaklarının güvenlik performansının değerlendirilmesi.
• Dijital kayıtların, operasyonel verilerin ve erişim yetkilerinin güvenlik açısından incelenmesi.
• Güvenlik olayları, acil durum hazırlığı ve düzeltici faaliyet mekanizmalarının değerlendirilmesi.

ISO 28000 standardı ve belgelendirme kapsamı hakkında ayrıntılı bilgi için ISO 28000 belgesi nasıl alınır sayfamızı inceleyebilirsiniz.

Tedarik zinciri güvenliğinin belgelendirme sürecine hazırlanmak isteyen kuruluşlar için temel hedef, yalnızca denetim günü gösterilecek dokümanlar oluşturmak değil; güvenlik kontrollerini günlük operasyonun kalıcı bir parçası hâline getirmektir.

Sıkça Sorulan Sorular