Risk yönetiminin bir parçası olarak şirket, kendi faaliyet alanından ve ayrıca doğrudan tedarikçilerinden kaynaklanan insan haklarına yönelik ve çevresel risklerin tespiti için Kanuna veya Direktife uygun bir risk analizi gerçekleştirmelidir. Bu anlamda doğrudan tedarikçilerine karşı şirketin sorumluluğu büyüktür.
Analizin kapsamı, önceliklendirilmesi ve tekrarı
Şirket, doğrudan tedarikçi ilişkisini suiistimal ediyorsa veya doğrudan tedarikçiye ilişkin özen yükümlülüğünün gerekliliklerinden kaçınmak amacıyla kanunu dolanıyorsa, ara tedarikçiler de doğrudan tedarikçi olarak kabul edileceklerdir.
Risk analizlerinde tespit edilen insan haklarına yönelik ve çevresel riskler uygun şekilde ağırlıklarına göre değerlendirilmeli ve önceliklendirilmelidir.
Şirket, risk analizi sonuçlarının şirket içinde yönetim kurulu veya satın alma departmanı gibi karar verme konusunda yetkili olan kimselere iletilmesini sağlamakla yükümlüdür.
Risk analizi yılda bir kez ve belirli bir durumla ilgili olarak, şirketin tedarik zincirinde, örneğin yeni ürünlere, projelere veya yeni bir iş alanına girilmesi nedeniyle, önemli ölçüde değişen veya yaygınlaşan bir risk durumunun hesaba katılması gerektiğinde kontrol edilmelidir. Kanun m. 8/1 uyarınca bilgilerin işlenmesinden elde edilen bulgular dikkate alınmalıdır.
Düzenli risk analizine uygulamada nasıl yaklaşılmalı?
Düzenli risk analizinde hacimden çok savunulabilir bir yöntem önemlidir. İlk adımda tedarikçiler; ülke riski, sektör riski ve tedarik edilen mal veya hizmetin niteliğine göre gruplandırılır. Soyut risk puanları; denetim sonuçları, sertifikalar, medya haberleri ve alınan şikâyetler gibi şirkete özgü bilgilerle somutlaştırılır. Bulgular ağırlıklandırılmalı ve önceliklendirilmelidir; Kanun her riskin aynı anda ele alınmasını değil, önceliklendirmenin gerekçelendirilebilmesini beklemektedir.
Yıllık rutinin yanında duruma bağlı analiz de ihmal edilmemelidir: yeni ürünler, yeni tedarik pazarları veya tedarikçideki değişiklikler, tedarik zincirinin etkilenen bölümüne yeniden bakmayı gerektirir. Her analizin yöntemi, kaynakları, bulguları ve kararlarıyla belgelenmesi, şirketin uyumunu yetkili makama gösterebilmesinin dayanağıdır. Bu döngünün kurulmasında LkSG/CSDDD uyum programı hizmetimiz yapılandırılmış bir çerçeve sunar.
Analizde hangi sorular sorulmalı?
Uygulamada analizi yönlendiren sorular sınırlı sayıdadır: Hangi ülkelerde, hangi üretim veya hizmet süreçleriyle çalışıyoruz? Doğrudan tedarikçilerimiz kimler ve bu ilişkilerin hangileri yeni? Geçmiş denetimlerden, gelen şikâyetlerden veya kamuya açık kaynaklardan gelen bir bulgu var mı? Bir risk gerçekleşirse kim etkilenir ve şirketin bu risk üzerinde ne ölçüde etkisi vardır? Yanıtlar yazıya geçirildiğinde analiz, bir tablo çalışması olmaktan çıkıp sonradan izlenebilen bir karar zincirine dönüşür.
Tedarikçiden bilgi isterken
Bilgi talebi, analizin en hassas adımıdır. Talebin kapsamı tespit edilen riskle orantılı olmalı; tedarikçide hâlihazırda bulunan belgeler — denetim raporları, sertifikalar, iç politikalar — önce değerlendirilmeli ve aynı bilgi farklı departmanlarca tekrar tekrar istenmemelidir. Sorulan sorular, alınan yanıtlar ve yanıt gelmediğinde atılan adımlar kayıt altına alınmalıdır: şirketin sonradan gösterebileceği şey, tedarikçinin verdiği yanıttan çok kendi izlediği yöntemdir.
Türkiye’deki tedarikçiler için ne anlama geliyor?
Kanun, Almanya dışında yerleşik tedarikçilere doğrudan değil, alıcı şirket üzerinden dolaylı olarak ulaşır (Temmuz 2026 itibarıyla). Türkiye’deki tedarikçiler için bu, talebin bir mevzuat metni olarak değil; sözleşme hükümleri, davranış kuralları ve yıllık tedarikçi anketleri biçiminde gelmesi demektir. Hazırlık da aynı düzlemde işler: sorulması muhtemel bilgilerin önceden derlenmesi, konudan sorumlu bir kişinin belirlenmesi ve yanıtların yıldan yıla tutarlı olması, tekrar eden soru turlarını azaltır.
Bu adım, özen yükümlülüğü zincirinin ortasında durur: kurulmuş bir risk yönetimi analizin zeminini oluşturur, bulguların belgelendirilmesi ve raporlanması ise devamını.
