TS ISO/IEC 15504 SPICE Yazılım Süreç Değerlendirme ve Danışmanlık (ISO/IEC 33000)

Kısa Yönetici Özeti (TL;DR): TS ISO/IEC 15504 (SPICE) ve güncel geçiş ailesi ISO/IEC 33000 (TS ISO/IEC 33061); yazılım ve sistem geliştirme kuruluşlarının mühendislik, proje yönetimi ve kalite güvence kabiliyetlerini Seviye 0'dan Seviye 5'e kadar derecelendiren uluslararası yazılım süreç olgunluk standardıdır. Türkiye'de kamu bilişim ihaleleri, Sağlık Bakanlığı Kayıt Tescil Sistemi (KTS), savunma sanayii alt yükleniciliği ve Ticaret Bakanlığı / HİB yazılım ihracatı teşviklerinde en az SPICE Seviye 2 (Yönetilen) sertifikası temel teknik yeterlilik kriteri olarak aranır; proje hazırlık ve belgelendirme süreci ortalama 8 ila 16 hafta sürer.

TS ISO/IEC 15504 (SPICE) Nedir ve Kurumsal Yazılım Firmaları İçin Neden Kritik Bir Eşiktir?

SPICE (Software Process Improvement and Capability Determination), Uluslararası Standardizasyon Örgütü (ISO) ile Uluslararası Elektroteknik Komisyonu (IEC) ortaklığında geliştirilen ve Türk Standardları Enstitüsü (TSE) tarafından TS ISO/IEC 15504 Bölüm 1–10 seti olarak Türk standardı statüsüne kazandırılan yazılım süreç değerlendirme çerçevesidir. Standart ailesi küresel ölçekte ISO/IEC 33000 serisi (özellikle ISO/IEC 33001 kavramlar, ISO/IEC 33002 değerlendirme kuralları, ISO/IEC 33020 ölçüm çerçevesi ve TS ISO/IEC 33061 yazılım yaşam döngüsü değerlendirme modeli) ile güncellenmiş olmakla birlikte, Türkiye'deki kamu ihale şartnamelerinde her iki standart kodu da birlikte veya eşdeğer referansla talep edilmektedir.

2009 yılından bu yana Başdenetçi ve Genel Müdür Abdulkerim Subaşı liderliğinde Ankara Genel Merkezimiz ve İstanbul Bölge Şubemizle yürüttüğümüz SPICE danışmanlık projelerinde temel farkımız; yazılım mühendislerinizi yavaşlatan yüzlerce sayfalık statik Word şablonları yerine, doğrudan kullandığınız Jira, Azure DevOps, GitLab, GitHub, Bitbucket ve Confluence ortamları üzerinde denetimden ilk seferde geçen yaşayan bir mühendislik mimarisi kurmamızdır.

Türkiye'de Kamu İhaleleri, Mevzuat ve Sektörel Şartnamelerde ISO 15504 Zorunluluğu

Türkiye'de TS ISO/IEC 15504 SPICE Seviye 2 (veya uluslararası eşdeğeri olarak kabul edilen CMMI Level 2 / Level 3) belgesi yalnızca prestij amacıyla değil, doğrudan Resmi Gazete tebliğleri ve idari şartnameler uyarınca ihaleye katılım vizesi olarak talep edilmektedir:

• Kamu İhale Kurumu (KİK) Bilişim İhaleleri ve DPT Kamu BİT Kılavuzu: Bakanlıklar, genel müdürlükler, büyükşehir belediyeleri ve KİT'lerin açtığı özel yazılım geliştirme, entegrasyon ve bakım ihalelerinde, eski Devlet Planlama Teşkilatı (DPT) / Cumhurbaşkanlığı Strateji ve Bütçe Başkanlığı Kamu Bilgi ve İletişim Teknolojileri Projeleri Hazırlama Kılavuzu ilkeleri doğrultusunda yüklenici firmalardan TS ISO/IEC 15504 Seviye 2 veya CMMI Seviye 3 belgesi istenir.
• Sağlık Bakanlığı Kayıt Tescil Sistemi (KTS) ve HBYS / PACS Üreticileri: Hastane Bilgi Yönetim Sistemi (HBYS), Aile Hekimliği Bilgi Sistemi (AHBS) ve Tıbbi Görüntüleme (PACS) yazılımı geliştiren firmaların Sağlık Bakanlığı KTS listesinde aktif kalabilmesi için ISO/IEC 27001 BGYS ile birlikte TS ISO/IEC 15504 SPICE Seviye 2 sertifikasını ibraz etmeleri zorunludur.
• Yazılım Yetki Belgesi ve Savunma Sanayii (SSB) Tedarik Zinciri: Kamu kurumlarına kurumsal yazılım teslim eden firmaların Yazılım Yetki Belgesi süreçlerinde ve ASELSAN, HAVELSAN, ROKETSAN, TUSAŞ gibi ana entegratörlerin onaylı alt yüklenici değerlendirmelerinde yazılım yaşam döngüsü olgunluğu doğrudan puanlanır.
• Ticaret Bakanlığı Bilişim İhracatı (5447 Sayılı Karar / HİB / E-Turquality) ve KOSGEB Teşvikleri: Hizmet İhracatçıları Birliği (HİB) üyesi yazılım ve oyun şirketlerinin uluslararası pazara girişte aldığı TS ISO/IEC 15504 / ISO 33000 danışmanlık ve belgelendirme giderleri Ticaret Bakanlığı ve KOSGEB destek programları kapsamında yüksek oranda hibe ile desteklenmektedir.

SPICE Olgunluk Seviyeleri (Level 0–5), Süreç Nitelikleri (PA) ve N-P-L-F Puanlama Matrisi

SPICE değerlendirmesinde bir yazılım kuruluşunun başarısı "geçti/kaldı" şeklinde soyut bir kanaatle değil; ISO/IEC 15504-2 ve ISO/IEC 33020 standartlarında tanımlanan 4 kademeli N – P – L – F (Not Achieved, Partially, Largely, Fully) derecelendirme ölçeğiyle matematiksel olarak ölçülür. Seviye 2 belgesi alabilmek için kapsam dahilindeki tüm süreçlerin PA 1.1 niteliğinden F (Tam — %86–%100), PA 2.1 ve PA 2.2 niteliklerinden ise en az L (Büyük Ölçüde — %51–%85) veya F alması şarttır:

TS ISO/IEC 15504-5 ve ISO/IEC 12207 Kapsamında Değerlendirilen Süreç Grupları

SPICE kendi başına süreç icat etmez; TS ISO/IEC 12207 Yazılım Yaşam Döngüsü Süreçleri standardını Süreç Referans Modeli (PRM) olarak baz alır. Proxy Danışmanlık olarak firmanızın iş modeline (ürün şirketi, Ar-Ge merkezi, kamu proje yüklenicisi veya SaaS sağlayıcısı) göre en doğru süreç kapsamını kurguluyoruz:

• Mühendislik Süreç Grubu (ENG): Paydaş Gereksinimlerinin Belirlenmesi (ENG.1), Sistem Gereksinim Analizi (ENG.2), Sistem Mimari Tasarımı (ENG.3), Yazılım Gereksinim Analizi (ENG.4), Yazılım Tasarımı (ENG.5), Yazılım İnşası / Kodlama ve Birim Testi (ENG.6), Yazılım Entegrasyonu (ENG.7), Yazılım Doğrulama Testleri (ENG.8), Sistem Entegrasyonu ve Testi (ENG.9–10), Yazılım Bakımı (ENG.12).
• Yönetim Süreç Grubu (MAN): Kurumsal Hizalanma, Proje Yönetimi (MAN.3 — Kapsam, WBS, Efor Tahmini, İlerleme İzleme), Kalite Yönetimi (MAN.4) ve Proje Risk Yönetimi (MAN.5).
• Destek Süreç Grubu (SUP): Kalite Güvence (SUP.1), Doğrulama (SUP.2), Geçerleme (SUP.3), Ortak Gözden Geçirme (SUP.4), Dokümantasyon (SUP.7), Konfigürasyon Yönetimi (SUP.8), Problem Çözümü / Bug Yönetimi (SUP.9) ve Değişiklik İsteği Yönetimi (SUP.10).
• Tedarik ve Sunum Süreç Grupları (ACQ & SPL): Dış kaynak veya alt yüklenici kullanan projelerde Tedarikçi Seçimi ve İzleme (ACQ) ile ürün teslimatı ve kabul yönetimi (SPL.2 Ürün Yayını).

TS ISO/IEC 15504 SPICE vs ISO/IEC 33000 vs CMMI vs ISO 9001 Karşılaştırması

Yönetim kurullarının ve Ar-Ge direktörlerinin en sık sorduğu stratejik karar sorusu, hangi belgelendirme modelinin şirketin ihale ve ihracat hedeflerine en yüksek yatırım getirisini (ROI) sağlayacağıdır:

Agile, Scrum ve DevOps (Jira / GitLab / Azure DevOps) Ekiplerinde Bürokrasi Yaratmayan SPICE Kurulumu

Geleneksel danışmanlık firmalarının en büyük hatası, çevik (Agile/Scrum) çalışan modern yazılım takımlarına 2000'li yılların Şelale (Waterfall) şablonlarını dayatarak geliştiricileri bezdirmektir. Proxy Eğitim ve Danışmanlık metodolojisinde kod üretimi durmaz; mevcut araçlarınız SPICE kanıt motoruna dönüştürülür:

1. Jira / Azure Boards Üzerinde Çift Yönlü İzlenebilirlik (Bidirectional Traceability): Müşteri veya ürün sahibi (Product Owner) talepleri Epic → User Story / Sistem Gereksinimi → Yazılım Gereksinimi → Test Senaryosu (Xray / Zephyr / TestPlans) hiyerarşisiyle bağlanır; tek tıkla İzlenebilirlik Matrisi (RTM) üretilir.
2. Git Commit, Branch Politikası ve Pull/Merge Request Kanıtları (ENG.6 & SUP.8): Her Git dalı (branch) ve commit mesajı Jira görev anahtarıyla (ör. PRJ-142) eşleştirilir. main ve release dallarında zorunlu Code Review (Akran İncelemesi) onayları doğrudan SUP.2 Doğrulama ve PA 2.2 İş Ürünü Kontrolü kanıtı sayılır.
3. Confluence / Markdown Tabanlı Yaşayan Mimari (ENG.5): Yüzlerce sayfalık statik tasarım dosyaları yerine C4 mimari diyagramları, OpenAPI/Swagger arayüz tanımları ve veritabanı şema versiyonları sürüm kontrollü iş ürünü olarak yapılandırılır.
4. CI/CD Boru Hattı ve Sürüm Notları (ENG.7, ENG.8 & SPL.2): Otomatik birim testleri, statik kod analizi (SonarQube), entegrasyon test çıktıları ve etiketlenmiş (SemVer) sürüm paketleri denetçiye canlı ortamda şeffaf biçimde sunulur.

Doğrulanabilir Saha Tecrübemiz ve Kurumsal Vaka Kanıtlarımız

Sektörde Google aramalarında sıkça karşılaşılan "danışmanlık mağduriyeti ve denetimden geçemeyen kopya doküman" sorunlarının aksine, Proxy Eğitim ve Danışmanlık olarak farklı yazılım dikeylerinde uçtan uca başarıyla tamamladığımız gerçek projelerle konuşuyoruz:

• Sağlık Bilişimi & HBYS Vaka Kanıtı — Yeditepe Üniversitesi Hastanesi & BilMed & Softmed Yazılım: Sağlık Bakanlığı KTS uyumluluğu ve yüksek erişilebilirlikli klinik yazılım süreçlerinde gereksinim analizi, tıbbi veri güvenliği (ISO 27001 entegre) ve sürüm doğrulama adımları yapılandırılarak TS ISO/IEC 15504 SPICE Seviye 2 değerlendirmeleri başarıyla tamamlanmıştır.
• Kurumsal Yazılım & Dijital Dönüşüm — Medyasoft ve Teknokent Firmaları: Çok ekipli kurumsal yazılım geliştirme projelerinde proje yönetimi (MAN.3), değişiklik kontrolü (SUP.10) ve kalite güvence (SUP.1) mekanizmaları çevik sprint yapısına entegre edilerek denetim süreçleri sıfır majör bulguyla sonuçlandırılmıştır.

6 Adımda Anahtar Teslim SPICE Danışmanlık Yol Haritamız

1. 1. Mevcut Durum & Araç Boşluk Analizi (Hafta 1–2): Yazılım ekibinizin mevcut SDLC yapısı, Git/Jira araçları ve aday projeleri incelenerek Seviye 2 (veya Seviye 3) boşluk raporu çıkarılır.
2. 2. Süreç Mimarisi ve Yalın El Kitabı Tasarımı (Hafta 3–4): Kurumunuza özgü Yazılım Süreç El Kitabı, Konfigürasyon Yönetim Planı, Kalite Güvence Planı ve Jira/Confluence iş akışı kuralları oluşturulur.
3. 3. Uygulamalı Mühendislik Eğitimi (Hafta 5): Yazılım geliştirici, iş analisti, test uzmanı ve proje yöneticilerine rol bazlı TS ISO/IEC 15504 SPICE ve izlenebilirlik eğitimi verilir.
4. 4. En Az 2 Temsili Projede İş Ürünü ve Kanıt Tamamlama (Hafta 6–10): Denetim örneklemesine girecek projelerde gereksinimden canlı sürüme kadar tüm PA 1.1, PA 2.1 ve PA 2.2 kanıtları başdenetçi mentorluğunda tamamlanır.
5. 5. Tam Kapsamlı Ön Değerlendirme — Mock Assessment (Hafta 11–12): Resmi denetim öncesinde ekip üyeleriyle birebir mülakat provası ve N-P-L-F puanlama simülasyonu yapılarak tüm eksikler kapatılır.
6. 6. TSE veya Akredite Kuruluş Denetimi ve Sertifikasyon: Başvuru dosyasının sunulması, resmi değerlendirme sürecinin koordinasyonu ve olası bulgu kapanışlarıyla SPICE sertifikanız teslim alınır.

Uzman Notu — Abdulkerim Subaşı (Genel Müdür & Başdenetçi): “SPICE belgelendirmesinde başarının sırrı, denetçiye kağıt yığını göstermek değil; bir müşteri talebinin hangi kod satırıyla çözüldüğünü, hangi test senaryosuyla doğrulandığını ve hangi sürüm paketiyle canlıya alındığını 3 dakika içinde kesintisiz kanıtlayabilmektir.” Detaylı alt başlıklarımız için SPICE Seviye 2 Danışmanlığı, SPICE Süreçleri, SPICE Belgesi Nereden Alınır ve SPICE Belgesi Maliyeti & Teşvikler sayfalarımızı inceleyebilirsiniz.