Bir tedarikçiden aynı hata üst üste geldiğinde ya da yeni bir kritik parçayı devreye almadan önce, e-posta trafiği bir yere kadar iş görür; bir noktada tedarikçinin sahasına gidip prosesini kendi gözünüzle görmeniz gerekir. İşte bu ziyaretin adı ikinci taraf denetimidir. IATF 16949, tedarikçi yönetiminin en somut aracı olarak bunu masaya koyar. Ama sahada çok denetim, aslında bir güvence çalışması değil, önceden hazırlanmış bir kontrol listesini imzalatma töreni gibi geçer. Bu yazıda ikinci taraf denetimini bulgu toplama telaşından çıkarıp gerçek bir risk azaltma aracına çeviren yaklaşımı, tetikleyicisinden bulgu takibine kadar anlatıyoruz.
İkinci taraf denetimi nedir?
Denetimler üç tarafa ayrılır ve bu ayrımı bilmek karışıklığı önler. Birinci taraf denetim, firmanın kendi sistemini kendisinin denetlemesidir; iç denetim budur. Üçüncü taraf denetim, bağımsız bir belgelendirme kuruluşunun sizi denetlemesidir; IATF 16949 belgesini bu denetim verir. İkinci taraf denetim ise ikisinin arasındadır: siz, müşteri sıfatıyla, kendi tedarikçinizi denetlersiniz.
| Taraf | Kim denetler | Kimi |
|---|---|---|
| Birinci | Firmanın kendisi | Kendi sistemi (iç denetim) |
| İkinci | Müşteri | Tedarikçisi |
| Üçüncü | Belgelendirme kuruluşu | Belge başvuran firma |
İkinci tarafın kendine has yanı, arada gerçek bir ticari ilişki olmasıdır. Amacınız tedarikçiyi not vermek değil, sizin şartlarınızı gerçekten karşıladığını yerinde görmek ve karşılamadığı yerleri kapatmaktır. Bu yüzden ikinci taraf denetimi, tedarikçi geliştirmenin en güçlü girdilerinden biridir.
Denetimi ne tetikler?
IATF 16949 madde 8.4.2.4.1, ikinci taraf denetimlerini risk temelli planlamanızı ister. Yani "her tedarikçiye yılda bir denetim" gibi düz bir kural değil, denetimi hangi durumda, hangi tedarikçiye yapacağınızı belirleyen bir mantık kurmanız beklenir. Sahada en sık görülen tetikleyiciler şunlardır:
- Yeni bir tedarikçinin ya da yeni bir kritik parçanın devreye alınması.
- Performansın bozulması: yükselen PPM, tekrar eden hata, geciken teslimatlar.
- Müşteriye kadar giden bir şikâyet ya da saha olayı.
- Tedarikçide önemli bir değişiklik: yer değişimi, proses değişimi, sahiplik değişimi.
- Tedarikçinin belge durumu: IATF belgesi olmayan tedarikçide daha yakın gözetim.
Bu tetikleyicileri bir tedarikçi izleme ve PPM sistemine bağladığınızda, denetim planınız keyfî olmaktan çıkar; veriye dayanır. Denetime "en son ne zaman gittik" diye değil, "veri neyi gösteriyor" diye karar verirsiniz.
Yıllık denetim planını takvime yayıp "bu yıl 20 tedarikçiye gideceğiz" demek kulağa sistematik gelir ama çoğu zaman kaynağı yanlış yere harcatır. Bir yıl, performansı gayet iyi üç tedarikçiyi denetlerken, PPM'i üç aydır tırmanan tek kaynaklı bir tedarikçiyi listeye hiç koymamıştık. Denetimi takvime değil riske göre planladığımızda, aynı sayıda ziyaretle çok daha fazla sorunu önceden yakaladık.
Denetime hazırlık: kontrol listesi değil, senaryo
İyi bir denetim, denetçinin sahaya boş bir zihinle değil, hazırlıkla gitmesiyle başlar. Gitmeden önce o tedarikçinin geçmişi masaya konur: son PPM eğilimi, açık düzeltici faaliyetler, geçmiş denetim bulguları, hangi parçaların kritik olduğu. Denetim, jenerik bir soru listesini baştan sona okumak değil; bu geçmişin işaret ettiği riskli noktalara odaklanan bir senaryodur.
Proses yaklaşımıyla denetim yapmak burada fark yaratır. Bir kontrol maddesini "var/yok" diye işaretlemek yerine, bir parçanın izini prosesin girişinden çıkışına kadar sürersiniz: hammadde nasıl kabul ediliyor, kontrol planı sahada gerçekten uygulanıyor mu, bir hata çıktığında tepki planı işliyor mu? Bu yaklaşım, tedarikçinin cilalı sunumunun altındaki gerçek prosesi görmenizi sağlar. Denetim mantığının temelini denetim yaklaşımınızla bütünleştirmek, iç ve ikinci taraf denetimlerinin aynı dili konuşmasını sağlar.
Açılış ve kapanış toplantısını hafife almayın
Denetimin gövdesi sahada geçer ama başı ve sonu, denetimin ne kadar işe yarayacağını belirler. Açılış toplantısı, tedarikçiyi bir sorgu havasına sokmadan denetimin amacını, kapsamını ve planını paylaştığınız yerdir. Burada "sizi test etmeye değil, birlikte riski görmeye geldik" mesajını kurmak, karşı tarafın kapıları açmasını sağlar; savunmaya geçen bir tedarikçi, size gerçek prosesini değil, hazırladığı vitrini gösterir.
Kapanış toplantısı ise bulguların sıcağı sıcağına, ortak bir anlayışla konuşulduğu andır. Bulguyu orada net bir dille, kanıtına dayandırarak anlatmak, sonradan "biz bunu böyle anlamamıştık" itirazlarının önünü keser. İyi bir kapanış, her bulgu için tedarikçinin sorumluluk aldığı, terminin konuşulduğu ve bir sonraki adımın belirlendiği bir uzlaşıyla biter. Bu iki toplantıyı bir formalite olarak geçen denetimler, sahada ne kadar iyi olursa olsun, sonuca dönüşmekte zorlanır.
Denetçi yetkinliği neden kritik?
Bir denetimin değeri, denetçisinin gördüğü kadardır. IATF 16949, denetçilerden otomotiv proses yaklaşımına, çekirdek araçlara ve ilgili müşteri özel şartlarına hâkim olmalarını bekler. Kontrol planı ile FMEA arasındaki bağı bilmeyen bir denetçi, tedarikçinin FMEA'da tanımladığı bir kontrolün sahada hiç uygulanmadığını fark edemez; sadece iki dokümanın "var olduğunu" işaretler. Yetkinlik kadar bağımsızlık da önemlidir: o tedarikçiden doğrudan sorumlu satın alma temsilcisi, ilişkiyi tarafsız denetleyemez.
Üçüncü taraf denetçi sizi denetlerken tedarikçi denetim kayıtlarınıza bakar ve şunu sorar: denetimi kim yaptı, yetkinliği kanıtlı mı, bulgular kapandı mı, kapanışın etkinliği doğrulandı mı? En sık bulgu, bulgunun "kapandı" işaretlenip düzeltici faaliyetin etkinliğinin hiç doğrulanmamış olmasıdır. Tedarikçi "düzelttik" dedi diye kapatılan bir bulgu, denetim döngüsünü yarım bırakır.
Uzaktan denetim ne zaman yeterli olur?
Son yıllarda uzaktan denetim ciddi bir seçenek hâline geldi ve doğru yerde kullanıldığında hem zaman hem maliyet kazandırır. Ama her denetim uzaktan yapılamaz. Bir tedarikçinin doküman sistemini, kalite kayıtlarını, FMEA ve kontrol planı tutarlılığını uzaktan gözden geçirmek mümkündür; hatta canlı video ile sahayı gezdirmek de belli bir güvence verir. Buna karşın bir prosesin gerçek ritmini, operatörün kontrol planına ne kadar uyduğunu, ölçüm istasyonunun sahadaki halini yerinde olmadan tam göremezsiniz.
Kararı yine risk verir. Düşük riskli, iyi performans geçmişi olan bir tedarikçinin periyodik denetimini uzaktan yürütmek makul olabilir. Yeni bir kritik parçayı devreye alırken ya da performansı bozulan bir tedarikçiyi denetlerken ise sahaya gitmenin yerini hiçbir ekran tutmaz. Pratikte çoğu firma karma bir model kurar: doküman incelemesini önceden uzaktan yapıp saha ziyaretini yalnızca riskli noktalara ayırır. Böylece yerinde geçen sınırlı zaman, en çok işe yarayan yerde harcanır.
Bulgu takibi: denetim bittiğinde iş bitmez
Denetimin en çok ihmal edilen kısmı, denetim raporu imzalandıktan sonrasıdır. Her bulgu bir düzeltici faaliyete dönüşmeli; sorumlusu, termini ve kök nedeni yazılmalıdır. "Uygunsuzluk var" demek bulgunun yarısıdır; asıl iş, tedarikçinin sunduğu kök neden analizini incelemek ve önerilen aksiyonun gerçekten kalıcı olup olmadığına karar vermektir. Yüksek riskli bulgularda kapanışı sözle değil, yerinde ya da ilk partilerle doğrularsınız. Bulgular kapanana ve etkinliği teyit edilene kadar denetim açık sayılır.
Süreci dijital yürütmek
Denetim planları, kontrol listeleri, bulgu kayıtları ve düzeltici faaliyet takibini onlarca tedarikçi için dağınık dosyalarda tutmak, hem terminleri kaçırtır hem denetim öncesi hazırlığı zorlaştırır. Bir kalite yönetim yazılımı denetim planını riske göre önerir, geçmiş bulguları denetçinin önüne getirir, açık düzeltici faaliyetleri sorumlu ve termin ile izler ve tedarikçinin performans kartıyla ilişkilendirir. Böylece ikinci taraf denetimi, yılda bir yapılan bir formalite olmaktan çıkar; tedarikçi riskini gerçek zamanlı yöneten, IATF 16949 uyumlu bir döngüye dönüşür. Bir tedarikçinin performans kartını açtığınızda geçmiş denetimlerini, açık bulgularını ve PPM eğilimini aynı yerde görmek, bir sonraki denetime kimin ne zaman gitmesi gerektiği kararını da kendiliğinden önünüze koyar.