ISO/IEC 33061 Yetenek Düzeyleri (Seviye 2 & Seviye 3), Süreç Nitelikleri (PA) ve Denetim Kanıtları

Denetim Geçme Kuralı (TL;DR): ISO/IEC 33020 ölçüm çerçevesine göre bir yazılım kuruluşunun TS ISO/IEC 33061 Seviye 2 (Yönetilen) belgesi alabilmesi için kapsamındaki her süreçte PA 1.1 Süreç Performansı niteliğinden F (Tam — %86–%100), PA 2.1 Performans Yönetimi ve PA 2.2 İş Ürünü Yönetimi niteliklerinden ise en az L (Büyük Ölçüde — %51–%85) veya F derecesi alması zorunludur. Seviye 3 (Kurumsallaşmış) için ise Seviye 1 ve Seviye 2 niteliklerinin tamamı F olmalı, PA 3.1 ve PA 3.2 en az L olarak kanıtlanmalıdır.

ISO/IEC 33020 ve TS ISO/IEC 33061 Yetenek Ölçeği (Seviye 0 – Seviye 5)

TS ISO/IEC 33061 değerlendirmesi öznel yorumlara dayanmaz. Başdeğerlendirici (Lead Assessor), seçilen örneklem projelerdeki dokümanları, kod depolarını, bilet (ticket) kayıtlarını ve ekip mülakatlarını 4 kademeli N – P – L – F ölçeğine göre puanlar:

• N — Not Achieved (Başarılamadı | %0 – %15): Sürecin veya niteliğin uygulandığına dair kanıt yoktur ya da sistematik eksiklik vardır.
• P — Partially Achieved (Kısmen Başarıldı | %16 – %50): Bazı uygulamalar mevcuttur ancak tutarsızdır ve sonuçlar öngörülemezdir.
• L — Largely Achieved (Büyük Ölçüde Başarıldı | %51 – %85): Sistematik bir yaklaşım ve somut başarı vardır; önemli bir zafiyet bulunmamakla birlikte küçük iyileştirme alanları görülebilir.
• F — Fully Achieved (Tamamen Başarıldı | %86 – %100): Tam, sistematik ve eksiksiz uygulama kanıtlanmıştır; süreçte herhangi bir anlamlı zayıflık yoktur.

Seviye 2 (Managed) ve Seviye 3 (Established) Süreç Nitelikleri Karşılaştırma Tablosu

Türkiye'de kamu ihaleleri ve Sağlık Bakanlığı KTS başvurularının %90'ında Seviye 2 aranırken; büyük ölçekli savunma sanayii, bankacılık teknolojileri ve kurumsal Ar-Ge merkezlerinde Seviye 3 tercih edilmektedir:

ISO 33061 Denetiminde En Sık Yaşanan 5 Uygunsuzluk ve Proxy Çözümü

Danışmanlık desteği almadan doğrudan denetime giren yazılım firmalarının en sık puan kaybettiği noktaları proje başında ortadan kaldırıyoruz:

• Kopuk İzlenebilirlik (Broken Traceability): Müşteri gereksinimi değiştiğinde kodun güncellenmesi ancak tasarım ve test senaryosunun eski kalması PA 1.1'i doğrudan F'den L'ye düşürür (bu da Seviye 2 kaybı demektir). Jira otomasyon kurallarıyla yetim (orphan) kayıt kalmasını engelliyoruz.
• Kanıtsız Gözden Geçirme ("Onaylandı" İmzasının Yetersizliği): PA 2.2 kapsamında bir tasarım dokümanına veya Pull Request'e sadece "LGTM / Onaylandı" yazılması denetimde zayıf kanıt sayılır; kontrol listesi bazlı inceleme bulguları ve bulguların kapatılma izi oluşturulur.
• Tahminleme Metodolojisi Eksikliği: İş sürelerinin hiçbir hesaplama tekniğine (Planning Poker, üç nokta tahmini veya geçmiş hız verisi) dayanmadan rastgele girilmesi PA 2.1 puanını düşürür.
• Bağımsız Kalite Güvence (SUP.1) Rol Çatışması: Kodu yazan geliştiricinin kendi sürecinin kalite güvence denetimini yapması tarafsızlık ilkesine aykırıdır; ekip büyüklüğüne uygun çapraz bağımsız SQA mekanizması kuruyoruz.
• Konfigürasyon Temel Çizgisi (Baseline) Karmaşası: Hangi sürümde hangi gereksinimlerin ve hangi veritabanı betiğinin çıktığının tek tıkla gösterilememesi riskini standart Release Tagging prosedürüyle çözüyoruz.

Şirketiniz İçin Seviye 2 mi Yoksa Seviye 3 mü Doğru Hedef?

İlk kez belgelendirme alacak 10 ila 60 kişilik yazılım ve Ar-Ge firmaları için en rasyonel strateji, önce sağlam bir Seviye 2 (Yönetilen) sertifikası alarak kamu ihaleleri ve KTS ön koşulunu karşılamak; kurumsal süreç kütüphanesi 6-12 ay veri biriktirdikten sonra Seviye 3'e yükseltmektir. Doğrudan Seviye 3 şartnamesine hazırlanan 50+ mühendisli kurumsal teknoloji merkezlerinde ise en baştan OSSP ve Kurumsal Varlık Kütüphanesi mimarisini kurguluyoruz. Maliyet ve takvim karşılaştırması için ISO 33061 Belgesi Fiyatı ve Devlet Destekleri rehberimizi inceleyebilirsiniz.