Türkiye'den Yazılım Outsourcing: Tedarikçi Seçimi

Türk bir yazılım ortağını yetkinlik uyumu, sözleşme ve veri koruması üzerinden seçin; yalnızca saat ücreti üzerinden değil: taahhüt vermeden önce ücretli bir pilot yapın, fikri mülkiyet devrini, KVKK ve GDPR yükümlülüklerini ve çıkış koşullarını yazıya dökün, kur maddeyi ekleyin — lira enflasyonu ve kur hareketleri bütçeyi projenin ortasında değiştirir; kur mekanizması olmayan bir sözleşme sessizce pahallaşır ya da ucuzlayarak teslim edilir; ikisi de planladığınız şey değildir.

Türkiye yazılım outsourcing için neden değerlendirilir?

Nearshore, tek cümleyle tanımı: saat dilimi ve seyahat mesafesi yakın bir ülkeye yapılan outsourcing; günlük iş birliği yine de çalışır. Avrupalı alıcı için Türkiye, canlı oturumların istisna değil rutin olduğu bir çalışma zamanı örtüşmesi sunar ve kimsenin jet-lag'le geçirdiği bir gün olmadan açılış veya atölye için uçuş mesafesinde. Kapatmak istediğiniz rolü ya da modülü anlatın; teklif isteyin, fikri mülkiyet, veri koruma ve çıkış maddeleri yazılı bir pilotun kapsamını çıkaralım.

Alıcıların kısa listesine almasının üç pratik nedeni:

• Saat dilimi örtüşmesi. Türk çalışma saatleri Batı ve Orta Avrupa ile Körfez ve Şam bölgesinin önemli kısmıyla örtüşür; Berlin veya Dubai'de sabah, İstanbul'da öğledendir ve soruların ertesi gün değil aynı gün yanıtlandığı pencere de orasıdır.


• Mühendislik derinliği ve dil. Türkiye, İstanbul, Ankara ve İzmir merkezli büyük bir yazılım işgücüne sahiptir ve ekipler günlük olarak İngilizce çalışır; zaman zaman yüz yüze oturum isteyen alıcılar için Almanca ve Arapça da yaygındır.


• Maliyet konumu. Ücretler tipik olarak Güneydoğu Asya offshore fiyatlaması ile Batı Avrupa ajans fiyatlaması arasında yer alır; alıcı için ilginç olan saatlik rakamın kendisi değil, o rakamın ne aldığıdır — kıdem dağılımı, inceleme disiplini, dokümantasyon alışkanlıkları.

Çalışma modelleri

Model seçimi, çevresindeki disiplinden daha az önemlidir: iyi bir değişim prosedürüne sahip sabit kapsam projesi, hiçbir şeyin değişmeyeceğini varsayan sabit kapsam projesinden iyidir; dürüst haftalık raporlama yapan bir T&M ekibi, içine göremediğiniz daha ucuz bir ekipten iyidir.

Tedarikçi nasıl seçilir? 15 maddelik kontrol listesi

1. İlgili teslim edilmiş iş — benzer ölçekte ve sektörde iki veya üç proje ve ekibin bu işlerdeki kendi rolü istenir.
2. Kodu kim yazıyor — iç ekip mi, alt yükleniciler mi; alt yükleniyor ise size sözleşmesel olarak kim sorumlu.
3. Sunulan ekip kompozisyonu — roller, kıdem dağılımı ve gündelik irtibat kim.
4. Pratikte İngilizce — profildeki iddia değil: ilk görüşmeyi İngilizce yapın ve teknik tartışmayı, küçük sohbeti değil, değerlendirin.
5. Taahhüt edilen saat dilimi örtüşmesi — canlı iş birliği için hangi saatler garanti, hangi çalışma tasarımdan itibaren asenkron.
6. Yazılı fikri mülkiyet devri — kod, dokümantasyon ve türevlerin tüm hakları, iş birliği süresince dâhil, size geçer.
7. NDA ve gizlilik — ayrıntılı teknik paylaş öncesi imzalanır; yalnızca şirketi değil personeli de kapsar.
8. Veri koruma konumu — KVKK, GDPR ya da ikisiyle mi çalışıyorlar; veri irtibatları kim; sorun, belgelerle sonra doğrulayın.
9. Güvenlik uygulamaları — ISO/IEC 27001 durumu bir soru olarak, güvenli geliştirme yaşam döngüsü, bağımlılık ve açık yönetimi.
10. Kodlama ve inceleme standartları — sürüm kontrol disiplini, kod incelemesi, otomatik testler, birleştirmeden önce "tamam" ne demek.
11. Devir ve dokümantasyon — her aşamada hangi dokümantasyon var ve nerede duruyor.
12. Aranabilecek referanslar — önceki bir müşteride adı belirtilmiş, telefonunuza çıkacak bir kişi.
13. Sözleşme koşulları — ödeme planı, kabul, sorumluluk, fesih ve geçiş yardımı.
14. Kur ve fiyat mekanizması — fiyatların hangi para biriminden sabitlendiği ve proje ortasında kur hareketlerinin nasıl ele alındığı.
15. Çıkış ve geçiş — iş biterse işin, erişimin ve bilginin geri nasıl teslim edildiği.

Saat dilimi, dil ve iletişim rutinleri

Saat dilimi örtüşmesi bir kaynaktır, garanti değil: aynı gün yanıtlar üretmesi, iş birliğinin bunu kullanacak biçimde kurulmasına bağlıdır. Farkı yaratan üç rutin:

• Sabit örtüşme penceresi. Her zaman canlı olacak saatleri, iki saat diliminde de, başlangıçta yazılı olarak anlaşın.


• Demo ritmi. Çalışan yazılımın sabit bir ritimle gösterilmesi yön hatalarını ucuzken yakalar; durum raporları yakalamaz.


• Tek yazılı kayıt. Kararlar, ekibin yarısının kaçırdığı toplantılarda değil, paylaşılan bir belgede; karışık dilli bir ekip için bu aynı zamanda denetim izidir.

Hukuk ve veri: sözleşmeler, fikri mülkiyet, KVKK ve GDPR

Çoğu işi üç hukuki araç yapar ve her birinin tek bir işi vardır:

• NDA — ilişki henüz yokken açıklamayı korur. Ayrıntılı teknik ve ticari paylaşımdan önce imzalanır.


• Sözleşme — kapsam, fiyat, kabul, sorumluluk, fesih ve geçişi belirler. Sabit kapsam ya da T&M ticareti özünü değiştirir, geri kalanın gerekliliğini değil.


• Fikri mülkiyet devri — üretilenin mülkiyetini size devreden maddedir. Kod, dokümantasyon, konfigürasyon ve türevleri kapsamalı ve yalnızca son ödeme değil, yaratılıştan itibaren geçerli olmalıdır.

Güvenlik beklentileri

Güvenlik, güven ifadesi yerine doğrulanabilir sorular dizisi olarak ele alındığında daha iyi yönetilir:

• ISO/IEC 27001 — tedarikçinin belgeye sahip olup olmadığını ve sertifika kapsamının neyi kapsadığını sorun; teslim ekibini değil satış ofisini kapsayan bir belge size özgü bir şey söyler. Yoksa yazılı olarak hangi eşdeğer kontrollerin var olduğunu sorun.


• Güvenli geliştirme yaşam döngüsü — güvenliğin tasarım, kod incelemesi ve testte nerede durduğu; bağımlılık ve açık yönetiminin rutin olup olmadığı.


• OWASP Top 10 — yaygın web uygulaması güvenlik risklerinin kullanılan kontrol listesi; incelemelerinin parçası olup olmadığını sormak, belirsiz bir "güvenli mi?" sorusundan daha somut ve yanıtlanabilir bir sorudur.


• Erişim kontrolü — depolarınıza, ortamlarınıza ve verinize kim erişebilir; erişim nasıl verilir, kaydedilir ve biri ayrıldığında kaldırılır.

Pilot proje ve kilometre taşları

En güvenilir seçim aracı küçük ve ücretli bir pilottur: gerçek iş, gerçek kod, gerçek son tarih, gerçek fatura. Amacı teslimatın büyüklüğü değil; spesifikasyon eksikken, bir soru belirsizken ve bir tarih kaydığında ekibin nasıl çalıştığını gözlemlemektir.

Pilotu iyi tasarlayın:

• Gerçek olsun. Gerçek işin temsili bir dilimi — her zor kısmı gizleyen oyuncak bir görev değil.


• "Tamam"ı yazılı tanımlayın. Kabul kriterleri başlangıçta; aksi hâlde kapsam disiplini hakkında hiçbir şey öğrenmezsiniz.


• Bir de yol ortası değişikliği ekleyin. Ekibin değişen bir gereksinimi nasıl ele aldığını, temiz bir gereksinimden daha çok söyler.


• İletişimi izleyin. Yanıt süreleri, inşa etmeden önce sorulan sorular, demo kalitesi; bunlar ürünün kendisidir.


• Karar kuralını önceden yazın. Neyin genişletmeyi, durdurmayı gerektireceği; pilotdan önce, sonrası rasyonalize edilerek değil.

Riskler ve yönetimi

Kur riski tablonun verdiğinden bir cümle fazlasını hak eder: lira volatilitesi Türk projelerinde tanınan bir sözleşme riskidir ve iki yönde işler — yükselen lira projenizi pahallandırır, düşen lira bir tedarikçiyi artık aynı ekiple yapamadığı bir fiyatı korumak için işi kıstırmaya zorlayabilir. Ayarlama mekanizması yazılı, adlandırılmış bir sözleşme para birimi iki tarafı da korur ve bu, hakaret değil önerilmesi normal bir ticari maddedir.

Maliyetler: fiyatlandırma nasıl yapılandırılır?

Bu piyasada fiyatlandırma birkaç yolla kurulur — ayrılmış ekip için role göre aylık ücretler, T&M için gün ücretleri, sabit kapsam için kilometre taşlı ödemeler, sürekli destek için retansiyonlar — ve her biri değişim riskini farklı bir yere koyar. Bir ücretin neleri kapsadığıyla ilgili soruların tamamı maliyet ve fiyatlandırma modelleri sayfasında.

Buraya düşen, seçimle ilgili kısım: teklifleri manşet ücretle değil, değişim payı dâhil toplam iş maliyetiyle karşılaştırın ve kapsam oynadığında ticari olarak ne olduğunu sorun; bu yanıt size hangi modeli satın aldığınızı söyler.

Türkiye'ye kim outsourcing yapmamalı?

Dürüst bir yanıt; çünkü uymayan bir eşleşme iki tarafı da üzen:

• Ekipte günlük fiziksel olarak bulunmayı gerektiren projeler. Süreciniz geliştiricilerin her gün sizin ofisınızda olmasını istiyorsa nearshore uygun değildir; yerel istihdam edin.


• Kabul tanımlayamayan kurumlar. Tarafınızda "bitmiş"in ne olduğunu söyleyecek kimse yoksa hiçbir sözleşme modeli projeyi kurtarmaz; önce onu düzeltin.


• Ultra düşük bütçeli, spesifikasyonsuz inşalar. Bu pazarın en ucuz katmanı dünyanın her yerindeki en ucuz katmanla, aynı başarısızlık kalıplarıyla yarışır.


• Yargı alanını doğrulayamadığınız iş. Hukuk veya uyum ekibiniz sözleşme ve veri koşullarını nitelendiremiyorsa imzalamayın.

Sıkça Sorulan Sorular

Türkiye yazılım outsourcing için iyi bir yer mi?

Avrupalı ve Körfez alıcıları için genellikle değerlendirmeye değer: geniş saat dilimi örtüşmesi, İstanbul merkezli büyük bir mühendislik pazarı ve Asya offshore ile Batı Avrupa arasında bir maliyet konumu. Sizin için doğru olup olmadığı yukarıdaki uyum sorularına — yetkinlik, sözleşme kalitesi, veri koruma — bağlıdır; yalnızca ülkeye değil.

İlk proje için hangi çalışma modeli uygundur?

Sabit kapsamlı biçimde ücretli bir pilot, sonra pilotun ortaya koyduğuna göre ana modellerden biri: gereksinimleriniz stabil kaldıysa sabit kapsam, gelişmeye devam ettiyse T&M ya da ayrılmış ekip. İlk projede kaçınılması gereken, gözlemlenmiş çalışma alışkanlıkları olmadan açık uçlu ekip taahhüdüdür.

Kodun sahibi kim?

Sözleşme gereği siz olmalısınız: kodu, dokümantasyonu ve türevleri yalnızca son ödemede değil, yaratılıştan itibaren devreden bir fikri mülkiyet maddesiyle. Bir tedarikçi mülkiyetin "tam ödeme üzerine" geçmesini öneriyorsa pazarlayın — ve kademeli teslim edilen işin ne olduğunu tanımlayın.

KVKK ve GDPR outsourcing'i nasıl etkiler?

KVKK Türkiye'nin veri koruma rejimidir ve GDPR, işlemci nerede bulunursa bulunsun AB kişisel verisi söz konusu olduğunda size uygulanır. Alıcı için pratik sorular şunlardır: hangi veri sınır ötesine çıkıyor, hangi sözleşsel mekanizmayla, kim sorumlu kim işleyen ve alt işlemciler ile ihlal bildirimi hakkında ne yazılı. Yanıtlar için hukuk görüşü alın; sormayıp sormamak için almaya gerek yok.

ISO/IEC 27001 sormalı mıyım?

Evet, takip sorusuyla birlikte: tedarikçi bu belgeye sahip mi ve sertifikalı kapsam neyi kapsıyor? Teslim ekibini dışarıda bırakan bir belge, kodunuzu yazan insanlar hakkında kanıt değildir; belge yoksa yazılı olarak hangi kontrollerin olduğunu sorun.

Bir pilot ne kadar sürmeli?

Takvimle değil, teslimatla tanımlayın: kabul kriterleri olan temsili bir dilim, bir yol ortası değişikliği ve sonda bir demo. Belirsizliği nasıl ele aldığını göstermeyecek kadar küçük bir pilot, tasarrufuna değecek bir şey öğretmez.

Lira volatilitesini nasıl yönetirim?

Tahminle değil, sözleşmeyle: adlandırılmış bir sözleşme para birimi, kur hareketi için yazılı mekanizma ve uzun bir iş birliğinde periyodik fiyat revizyonu koşulları. Lira volatilitesi Türk projelerinde tanınan bir risktir; imzada anlaşılmış bir mekanizma, beşinci ayda yeniden pazarlıktan ucuzdur.

Mevcut ekibimle çalışabilir misiniz?

Bunu doğrudan pilota sorun: karışık ekipler — sizin insanlarınız artı tedarikçinin — yaygındır ve önemli sorular kararların nerede kaydedildiği, kodun hangi standartları izlediği ve iş birliği biçimi değiştiğinde bilginin nasıl aktarıldığıdır. Biz olarak iş birliklerini bir operasyon ekibinin kuracağı biçimde, işletmenin zaten üzerinde çalıştığı sistemler ve kısıtlar etrafında kurgularız; bir karışık düzende bu genellikle belirleyici olan taraftır.

Kaynaklar ve standartlar

• ISO — ISO/IEC 27001 (bilgi güvenliği yönetim sistemi) yayıncısı; bir belgeye dayanmadan önce geçerli basımı ve sertifika kapsamını doğrulayın.
• OWASP — bu sayfada adı geçen Top 10 web uygulaması güvenlik riski listesinin yayıncısı.
• KVKK ve GDPR uygulanabilir veri koruma çerçeveleri olarak adlandırılmıştır; bu sayfa soruları listeler, hukuki tavsiye vermez. Bu sayfada WorldwideTradeX için ücret, sertifika, müşteri adı veya performans rakamı iddia edilmez.

İlgili sayfalar

Yazılım geliştirme · Maliyet ve fiyatlandırma modelleri · Tedarikçi RFP kontrol listesi · Özel yazılım ile paket ERP · IT denetimi ve danışmanlık · Yapay zekâ çözümleri danışmanlığı · Dijital altyapı · Teklif isteyin