Dijital İmza Platformu Şartnamesi: Teklif İstemeden Önce Netleştirilmesi Gereken Sorular
İki tedarikçi aynı belgeye “dijital imza” diyebilir. Birinin teklifi yalnızca bağlantı üzerinden onay toplarken diğeri nitelikli sertifikayla güvenli elektronik imza akışı sunabilir. Fiyat satırlarını yan yana koymadan önce tekliflerin aynı ihtiyacı karşılayıp karşılamadığını anlamak gerekir.
İyi bir şartname, ürün tanıtımındaki sıfatları tekrar etmez. Satın alma, hukuk, BT ve operasyon ekiplerinin sorularını tek belgede toplar. Bu sayede demo sırasında görülen akışla sözleşmede taahhüt edilen hizmet karşılaştırılabilir.
İlk sayfaya gerçek kullanım senaryolarını yazın
“Şirketimiz dijital imzaya geçecektir” cümlesi tedarikçinin kapsam çıkarmasına yetmez. Bunun yerine aylık yaklaşık belge hacmini, farklı belge türlerini, imzalayan gruplarını ve mevcut sistemleri belirtin. Örneğin tedarikçi sözleşmesinin şirket temsilcileri arasında dolaştığı, zimmet formunun vardiya çalışanına gösterildiği ve tamamlanan sözleşmenin ERP kaydına dönmesi gerektiği açıkça yazılır.
Her senaryo için kabul kriteri ekleyin. “Belge başarıyla imzalanınca doğru ERP kaydına iliştirilmeli; yanıt kaybolursa aynı belge ikinci kez üretilmemeli” ifadesi, “ERP entegrasyonu olsun” cümlesinden daha test edilebilirdir.
İmza ve kimlik sorularını ayrı sorun
Teklif, hangi işlemlerde güvenli elektronik imza, hangi işlemlerde başka bir elektronik onay sunulduğunu açıkça göstermeli. Kimlik doğrulama adımı ile imza yöntemi aynı şey değildir. SMS kodu kullanılıyorsa bu kodun neyi doğruladığı ve hangi ek kontrollerin gerektiği belirtilir. Biyometrik veriler işleniyorsa hukuki sebep, erişim ve saklama düzeni ayrıca açıklanır.
BTK'nın 5070 sayılı Kanun açıklaması, güvenli elektronik imzanın hukuki konumunu ve bazı işlemlerdeki istisnaları gösterir. Şartname, “tüm belgelerde ıslak imza eşdeğeri” gibi genel bir vaat yerine belge sınıflandırmasına dayanmalıdır.
Tedarikçiden gösterilebilir yanıt isteyin
Başlık | Sorulacak soru | Görmek istediğiniz çıktı |
Belge ve imza | Her belge türünde hangi imza veya onay yöntemi kullanılıyor? | Örnek tamamlanmış belge ve doğrulama sonucu |
Entegrasyon | Başarılı, başarısız ve yarım kalan işlemler nasıl bildiriliyor? | Test ortamında olay ve tekrar deneme örneği |
Arşiv | Dosya, ekler ve işlem kayıtları birlikte nasıl dışa aktarılıyor? | Dışa aktarım örneği ve saklama seçenekleri |
Erişim | Kim hangi belgeyi görebiliyor, rol değişince erişim nasıl kesiliyor? | Rol matrisi ve denetim kaydı |
Operasyon | Kesinti ve destek talebi sırasında kim, ne zaman yanıt veriyor? | Hizmet ve destek koşullarının yazılı özeti |
Bu çıktıların tümü ilk görüşmede hazır olmayabilir. Ama tedarikçinin “yapılabilir” dediği konu ile bugün üretimde sunduğu özelliğin ayrılması gerekir. Yol haritası, mevcut özellik gibi fiyatlanmamalı.
Şartnameye veri taşıma sorusu da ekleyin: Sözleşme süresi bittiğinde imzalı belgeleri, ekleri ve doğrulama kayıtlarını hangi biçimde alabileceksiniz? İndirilebilir bir PDF ile belgeye ilişkin işlem geçmişi aynı şey değildir. Dosyaları yeni bir arşive aktarırken ilişkiyi koruyacak alanların ve dışa aktarım ücretinin teklif aşamasında görülmesi, sağlayıcı değişimini daha öngörülebilir kılar.
Toplam maliyeti işlem üzerinden hesaplayın
Kullanıcı başına ve işlem başına fiyatlar, farklı hacimlerde farklı sonuç verir. Yıllık karşılaştırmada SMS, zaman damgası, saklama alanı, entegrasyon, destek, eğitim ve veri dışa aktarımı ayrı satırlara yazılmalıdır. Başarısız imza davetinin veya tekrar gönderimin ücretlenip ücretlenmediğini de sorun. Böylece düşük giriş fiyatının gerçek işlem maliyetini gizlemesi önlenir.
Güvenlik sorularında “KVKK uyumlu” ifadesiyle yetinmeyin. Veri kategorileri, işleme amaçları, saklama süresi, alt hizmet sağlayıcıları ve silme süreci somut olarak açıklanmalıdır. Özellikle sağlık veya biyometrik veri söz konusuysa özel nitelikli veri koşulları ayrıca ele alınır.
Satın alma kararını küçük bir pilotla sınayın
Pilot için üç belge seçin: sorunsuz tamamlanan, imzacı tarafından reddedilen ve teknik nedenle yarım kalan bir işlem. Bu üç örnekte belgenin hangi durumda kaldığını, kimin uyarı aldığını ve arşive neyin kaydedildiğini izleyin. Sonuçları şartnamedeki kabul kriterleriyle karşılaştırın.
Pilot kaydına süreyi de ekleyin. Davet gönderimi, ilk açılış, son imza ve ERP'ye aktarım zamanları görüldüğünde gecikmenin hangi adımda olduğu anlaşılır. Ancak tek bir başarılı demo, farklı imzacı sayıları veya yoğun dönemdeki davranışı göstermez. Pilot kapsamını kurumunuzdaki en yaygın iki akış ve en kritik istisna üzerinden seçin.
ArgeLabs Dijital İmza değerlendirmesinde de aynı soruları kullanabilirsiniz. Kullanım hacminizi ve belge örneklerinizi paylaşırsanız uygun akış, entegrasyon kapsamı ve teyit edilmesi gereken noktalar somut bir teklif görüşmesine dönüşür.
İlgili içerik
Kurumsal dijital imza entegrasyonu
Kaynaklar