Risk, ISO 31000 tanımıyla belirsizliğin hedefler üzerindeki etkisidir. Bu etki olumsuz (tehdit) veya olumlu (fırsat) olabilir. Kurumsal risk yönetimi, bu belirsizlikleri tek tek yangın söndürür gibi değil, ortak bir dil, ortak kriterler ve tek bir kayıt üzerinden yönetmeyi hedefler. ISO 9001'in 6.1 maddesi, ISO 27001 ve ISO 45001 gibi yönetim sistemi standartları da risk ve fırsatların belirlenmesini ve ele alınmasını ister; iyi kurulmuş bir risk kaydı bu gereklilikleri tek yerde karşılar.
Bu rehberdeki tabloları kendi risk kaydınızın şablonu olarak kullanabilir, kontrol listelerini işaretleyerek kurulum adımlarını ekibinizle takip edebilirsiniz.
ISO 31000 süreç çerçevesi
ISO 31000:2018 risk yönetimini ilkeler, çerçeve ve süreç olarak üç katmanda tanımlar. Sahada en çok ihtiyaç duyulan katman süreçtir: kapsam ve kriterleri belirleyin, riskleri değerlendirin, ele alın ve bu döngüyü iletişim, izleme ve kayıtla destekleyin. Standart sertifikasyon amaçlı değildir; bir kılavuzdur ve her ölçekte kuruma uyarlanabilir.
- 01Kapsam ve kriterler
- 02Tanımlama
- 03Analiz
- 04Değerlendirme
- 05Ele alma
- 06İzleme ve gözden geçirme
- 01
Kapsam, bağlam ve risk kriterleri
Risk değerlendirmesine başlamadan önce hangi hedeflerin, birimlerin ve süreçlerin kapsamda olduğunu yazın. Ardından olasılık ve etki ölçeklerini tanımlayın. Ölçeğin her kademesinin anlamı somut olmalıdır; “yüksek etki” herkes için aynı tutarı, aynı duruş süresini veya aynı itibar sonucunu ifade etmelidir.
| Puan | Olasılık | Etki (örnek: finansal / operasyonel) |
|---|---|---|
| 1 | Çok düşük: 5 yılda bir veya daha seyrek | Önemsiz: bütçenin %0,1'inden az, duruş yok |
| 2 | Düşük: 2–5 yılda bir | Küçük: %0,1–0,5, birkaç saatlik aksama |
| 3 | Orta: yılda bir | Orta: %0,5–2, bir günlük duruş veya müşteri şikâyeti |
| 4 | Yüksek: yılda birkaç kez | Büyük: %2–5, bir haftalık aksama, sözleşme cezası |
| 5 | Çok yüksek: ayda bir veya daha sık | Kritik: %5'ten fazla, uzun duruş, yasal yaptırım veya ciddi itibar kaybı |
Risk skoru genellikle olasılık × etki olarak hesaplanır ve bir ısı haritasında gösterilir. Kurumun risk iştahı, hangi skorların kabul edilebilir, hangilerinin mutlaka ele alınması gerektiğini belirler. Bu sınırları üst yönetim onaylamalıdır.
| Skor aralığı | Seviye | Beklenen tepki |
|---|---|---|
| 1–4 | Düşük | Kabul edilir, yıllık gözden geçirilir |
| 5–9 | Orta | Risk sahibi izler, gerekirse aksiyon planlanır |
| 10–16 | Yüksek | Aksiyon planı zorunlu, üç aylık raporlanır |
| 20–25 | Kritik | Derhal üst yönetime bildirilir, acil aksiyon |
Risklerin tanımlanması
Risk tanımlamada en yaygın hata, riski bir sorun veya kontrol eksikliği olarak yazmaktır. İyi bir risk ifadesi neden, olay ve sonuç içerir: “Tek tedarikçiye bağımlılık nedeniyle (neden) kritik hammaddenin tedarikinde gecikme olması (olay) üretim planının kaymasına ve teslim gecikmesine yol açabilir (sonuç).” Bu yapı, hem doğru kontrolü seçmeyi hem de riskleri birleştirmeyi kolaylaştırır.
- Süreç yürüyüşleri ve süreç haritaları üzerinden atölye çalışmaları
- Geçmiş olaylar, uygunsuzluklar, müşteri şikâyetleri ve denetim bulguları
- SWOT ve PESTLE gibi bağlam analizleri
- Hata türü ve etkileri analizi (FMEA) sonuçları
- Mevzuat değişiklikleri, sözleşme yükümlülükleri ve sektör raporları
- Bilgi güvenliği varlık envanteri ve tehdit listeleri
Sık yapılan hatalar: Riski “eğitim eksikliği” gibi bir kontrol eksikliği olarak yazmak; çok genel ifadeler kullanmak (“ekonomik kriz”); her birimin aynı riski farklı adla kaydetmesi; riskin sahibini bir birim olarak bırakıp bir kişiye atamamak.
Risk kaydı şablonu
Risk kaydı, tüm risklerin aynı alanlarla tutulduğu tek bir listedir. Elektronik tabloyla başlanabilir; ancak risk sayısı ve paydaş arttıkça sürüm, yetki ve geçmiş takibi için bir risk yönetim yazılımına geçmek gerekir.
| Alan | Açıklama |
|---|---|
| Risk no | Benzersiz kimlik (örn. OPS-014) |
| Kategori | Stratejik, operasyonel, finansal, uyum, bilgi güvenliği, İSG, çevre |
| Risk ifadesi | Neden – olay – sonuç yapısında |
| Risk sahibi | Riskten hesap verebilir tek kişi |
| Mevcut kontroller | Bugün uygulanan önlemler ve etkinlikleri |
| Doğal / artık skor | Kontroller öncesi ve sonrası olasılık × etki |
| Ele alma stratejisi | Kaçınma, azaltma, transfer, kabul (fırsatlar için değerlendirme) |
| Aksiyon planı | Aksiyon, sorumlu, termin, durum |
| Hedef skor | Aksiyonlar tamamlandığında beklenen skor |
| KRI | Riskin yaklaştığını gösteren ölçülebilir gösterge |
| Son gözden geçirme | Tarih ve gözden geçiren |
| Risk no | Risk ifadesi | Sahip | Artık skor | Strateji |
|---|---|---|---|---|
| OPS-014 | Tek tedarikçiye bağımlılık nedeniyle kritik hammadde gecikmesi, teslim gecikmesine yol açabilir | Satın alma müdürü | 4 × 4 = 16 | Azaltma: ikinci tedarikçi onayı |
| BG-007 | Yamalanmamış sunucular nedeniyle fidye yazılımı saldırısı, üretim sistemlerini durdurabilir | BT sorumlusu | 3 × 5 = 15 | Azaltma: yama yönetimi, yedek testi |
| UYM-003 | Mevzuat değişikliğinin geç takibi nedeniyle KVKK uyumsuzluğu idari para cezasına yol açabilir | Uyum sorumlusu | 2 × 4 = 8 | Azaltma: mevzuat takip takvimi |
Analiz ve değerlendirme
Analizde önce doğal riski (hiç kontrol yokmuş gibi), sonra mevcut kontrollerin etkinliğini dikkate alarak artık riski puanlayın. Kontrol etkinliği varsayıma değil kanıta dayanmalıdır: kontrol son ne zaman test edildi, hiç başarısız oldu mu? Değerlendirme aşamasında artık skor risk iştahıyla karşılaştırılır ve hangi risklerin ele alınacağına karar verilir.
- 01Doğal skoru belirleyin
Kontroller olmasaydı olasılık ve etki ne olurdu? Bu, kontrollerin değerini görünür kılar.
- 02Kontrolleri listeleyin
Önleyici ve tespit edici kontrolleri ayırın; her kontrolün sahibi ve test sıklığı olsun.
- 03Artık skoru hesaplayın
Kontrollerin gerçek etkinliğine göre olasılık ve/veya etkiyi düşürün.
- 04İştahla karşılaştırın
Eşiği aşan riskler için ele alma stratejisi zorunludur.
- 05Önceliklendirin
Aynı skordaki risklerde hız (riskin ne kadar çabuk gerçekleşebileceği) ve hazırlık durumu ikinci ölçüt olarak kullanılabilir.
Ele alma ve aksiyon planı
| Strateji | Ne zaman? | Örnek |
|---|---|---|
| Kaçınma | Risk, faaliyetin getirisinden büyükse | Riskli bir pazara girmekten vazgeçmek |
| Azaltma | Olasılık veya etki makul maliyetle düşürülebiliyorsa | İkinci tedarikçi, otomatik yedekleme, eğitim |
| Transfer / paylaşma | Etki üçüncü tarafa aktarılabiliyorsa | Sigorta, sözleşme maddeleri, dış kaynak |
| Kabul | Artık risk iştah içindeyse veya ele alma maliyeti çok yüksekse | Kayıt altına alıp izlemek |
Her aksiyonun tek bir sorumlusu, gerçekçi bir termini ve tamamlandığını gösteren bir kanıtı olmalıdır. Aksiyon tamamlandığında artık skor yeniden puanlanır; skor düşmüyorsa aksiyonun etkinliği sorgulanır. Bir risk gerçekleşip olaya dönüştüğünde düzeltici faaliyet süreci (CAPA) devreye girer ve öğrenilenler risk kaydına geri beslenir.
İzleme, KRI ve raporlama
Risk kaydı yılda bir güncellenen bir dosyaya dönüşürse değerini kaybeder. Anahtar risk göstergeleri (KRI), riskin yaklaştığını önceden gösteren ölçülebilir verilerdir: tek tedarikçiden gelen hammadde oranı, kritik yamalarda gecikme gün sayısı, açık denetim bulgusu sayısı gibi. Her KRI için bir eşik belirleyin ve eşik aşıldığında risk sahibine otomatik uyarı gitsin.
| Toplantı / rapor | Sıklık | Katılımcılar ve içerik |
|---|---|---|
| Risk sahibi gözden geçirmesi | Aylık | KRI'lar, aksiyon durumu, yeni riskler |
| Risk komitesi | Üç aylık | Yüksek ve kritik riskler, ısı haritası, gecikmiş aksiyonlar |
| Yönetim gözden geçirmesi | Yıllık | Risk iştahı, kriterler, çerçevenin etkinliği |
| Anlık bildirim | Olay anında | Kritik eşik aşımı veya gerçekleşen risk |
Sonuç
Etkili risk yönetimi büyük bir doküman değil, ortak kriterler, net sahiplik ve düzenli bir gözden geçirme ritmidir. Somut ölçekler tanımlayın, riskleri neden–olay–sonuç yapısında yazın, kontrollerin etkinliğini kanıtla değerlendirin ve risk kaydını olaylar ve KRI'larla besleyin. OREL RMS, risk kaydını, aksiyonları ve KRI uyarılarını tek yerde yöneterek; OREL QMS ise uygunsuzluk ve CAPA kayıtlarını risklerle ilişkilendirerek bu döngüyü sahada çalışır hâle getirir.