Emre
New member
Risk Yönetim Çalışmaları Nasıl Yapılır? Belirsizlikleri Kontrol Altına Almanın Akıllıca Yolları
Giriş: Risk Dediğin Kapıyı Çalmadan Önce Bir Kahve İçelim!
Geçen gün sabah işe giderken kendi kendime düşündüm: Hayatta neden her şey tam da planladığımız gibi gitmiyor? Sabah alarmı çalmıyor, trafik felç, bilgisayar güncelleme yapmak için en önemli toplantıyı bekliyor, bir de üstüne kahve bardağı masaya dökülüyor. İnsan ister istemez düşünüyor: Acaba hayatımızın da bir risk yönetim departmanı mı var ve bu departman sürekli öğle molasında mı?
Aslında risk yönetimi tam olarak burada başlıyor. Elbette kahve lekesini önlemek için şirket kurmaya gerek yok ama olası sorunları önceden görmek, meydana geldiklerinde etkilerini azaltmak ve işler ters gittiğinde ne yapacağını bilmek hayatı ciddi anlamda kolaylaştırıyor.
İş dünyasında, küçük işletmelerde, büyük şirketlerde, projelerde, hatta günlük yaşamda risk yönetimi yalnızca kötü ihtimalleri düşünmek anlamına gelmiyor. Aynı zamanda fırsatları fark etmek, kaynakları doğru kullanmak ve belirsizlik karşısında hazırlıklı olmak demek.
Peki risk yönetim çalışmaları nasıl yapılır? Bunun için gökten uzman inmesini veya masaya kalın bir dosya bırakılmasını beklemeye gerek yok. Biraz gözlem, mantıklı analiz, açık iletişim ve düzenli takip ile oldukça etkili bir sistem kurulabilir.
Üstelik risk yönetimi, yalnızca kriz çıktığında toplantı yapan insanların işi de değildir. Asıl başarı, henüz ortada kriz yokken doğru soruları sorabilmektir.
1. Risk Yönetimi Nedir ve Neden Önemlidir?
Risk yönetimi, belirlenen hedefleri etkileyebilecek belirsizlikleri sistemli biçimde tanımlama, analiz etme, değerlendirme ve uygun önlemlerle yönetme sürecidir. Buradaki önemli ayrıntı, riskin yalnızca zarar ihtimaliyle sınırlı olmamasıdır. Belirsizlik bazen beklenmedik bir fırsat da yaratabilir.
Örneğin küçük bir e-ticaret işletmesi düşünelim. İşletmenin internet sitesinin yoğun kampanya döneminde çökmesi ciddi bir risktir. Ancak aynı kampanyaya hazırlık yaparken müşteri talebinin beklenenden yüksek çıkması, doğru yönetildiğinde büyüme fırsatına dönüşebilir.
Risk yönetimi bu nedenle üç temel soruya dayanır:
- Ne ters gidebilir veya hangi fırsat ortaya çıkabilir?
- Bunun gerçekleşme ihtimali ve etkisi nedir?
- Gerçekleşmeden önce veya gerçekleştikten sonra ne yapabiliriz?
Uluslararası Standardizasyon Örgütünün ISO 31000:2018 standardı, farklı sektörlerde uygulanabilecek risk yönetimi ilkeleri ve süreçleri sunar. Standart; kapsamın belirlenmesini, risklerin değerlendirilmesini, müdahale seçeneklerinin seçilmesini, izleme ve gözden geçirmeyi, ayrıca iletişim ve kayıt faaliyetlerini kapsar.
Burada önemli olan, standardın adını rapora yazmak değil, mantığını günlük işleyişe yerleştirmektir. Çünkü en güzel risk yönetimi dosyası bile kimsenin açmadığı bir klasörde duruyorsa yalnızca dijital bir dekorasyondur.
2. İlk Adım: Riskleri Gerçekçi Biçimde Belirlemek
Risk yönetiminin temelini doğru risk tanımlaması oluşturur. Bir sorunu önlemek için önce o sorunun ne olduğunu anlamak gerekir.
Diyelim ki bir yazılım şirketinde yeni bir proje başlatılıyor. İlk toplantıda herkes hedefleri konuşuyor, teslim tarihleri belirleniyor ve kahveler içiliyor. Fakat kimse şu soruları sormuyor:
- Projede görevli kişi işten ayrılırsa ne olacak?
- Müşteri son anda kapsam değişikliği isterse ne yapılacak?
- Teknik altyapı beklenen performansı göstermezse alternatifimiz var mı?
- Bütçe tahmin edilenden yüzde 20 daha yüksek çıkarsa hangi harcamalar ertelenecek?
İşte risk belirleme çalışması tam olarak bu sorularla başlar.
Beyin fırtınası, geçmiş proje kayıtlarının incelenmesi, çalışan görüşmeleri, kontrol listeleri, süreç analizleri ve uzman değerlendirmeleri bu aşamada kullanılabilir. Büyük projelerde senaryo analizi ve neden-sonuç incelemeleri de oldukça faydalıdır.
Ancak burada ince bir çizgi vardır: Her ihtimali aynı derecede önemli kabul etmek, risk yönetimi değil, felaket senaryoları koleksiyonu oluşturmaktır.
Örneğin ofiste kahve makinesinin bozulması can sıkıcıdır. Üretim tesisindeki kritik bir makinenin arızalanması ise üretimi durdurabilir. İkisi de risk olabilir ama öncelikleri aynı değildir.
Riskleri belirlerken yalnızca teknik konulara odaklanmamak gerekir. İnsan kaynakları, tedarik zinciri, finans, bilgi güvenliği, mevzuat, itibar ve iletişim gibi alanlar da değerlendirilmelidir.
3. Risk Analizi: Her Tehlikeye Aynı Alarmı Vermeyin
Riskleri listelemek başlangıçtır; asıl mesele hangisinin daha ciddi olduğunu anlamaktır. Bunun için genellikle gerçekleşme olasılığı ve gerçekleştiğinde ortaya çıkacak etkinin büyüklüğü değerlendirilir.
Basit bir örnek verelim. Bir işletme için iki risk belirlenmiş olsun:
Birinci risk, ofis yazıcısının arızalanmasıdır. Gerçekleşme ihtimali orta düzeydedir ve etkisi sınırlıdır.
İkinci risk, müşteri bilgilerinin bulunduğu sistemin siber saldırıya uğramasıdır. Bunun gerçekleşme ihtimali daha düşük görünse bile sonuçları hukuki, finansal ve itibari açıdan ağır olabilir.
İkinci riskin daha fazla dikkat gerektirmesi oldukça doğaldır.
Uygulamada olasılık ve etki, örneğin 1 ile 5 arasında puanlanabilir. İki puanın çarpılmasıyla basit bir öncelik skoru elde edilir. Olasılık 4, etki 5 ise skor 20 olur. Olasılık 2, etki 2 ise skor 4 çıkar.
Ancak bu yöntem tek başına kesin karar aracı değildir. Puanlama, uzman görüşü ve mevcut verilerle desteklenmelidir. Özellikle insan güvenliği, yasal yükümlülükler ve ciddi bilgi güvenliği tehditleri yalnızca sayısal skorlarına bakılarak göz ardı edilmemelidir.
Ayrıca değerlendirme yapılırken mevcut kontroller de hesaba katılmalıdır. Örneğin yedekleme sistemi bulunan bir şirketle hiç yedek almayan bir şirketin veri kaybı karşısındaki durumu aynı değildir.
Risk analizi sırasında kendimize şu soruyu sorabiliriz: Bir riskin gerçekleşme olasılığını gerçekten biliyor muyuz, yoksa yalnızca içimizden öyle mi geliyor?
Bu sorunun cevabı, tahminle veriyi birbirinden ayırmamıza yardımcı olur.
4. Erkekler ve Kadınlar Risk Yönetiminde Nasıl Birlikte Çalışabilir?
Risk yönetimi konuşulurken bazen erkeklerin daha çözüm odaklı, kadınların ise daha empatik olduğu söylenir. Ancak bu yaklaşımı değişmez bir kural gibi kabul etmek doğru değildir. İnsanların düşünme ve karar verme biçimleri cinsiyetlerinden çok deneyimlerine, eğitimlerine, kişiliklerine, sorumluluklarına ve içinde bulundukları koşullara bağlıdır.
Yine de farklı bakış açılarının bir araya gelmesi, risk çalışmalarını zenginleştirebilir.
Giriş: Risk Dediğin Kapıyı Çalmadan Önce Bir Kahve İçelim!
Geçen gün sabah işe giderken kendi kendime düşündüm: Hayatta neden her şey tam da planladığımız gibi gitmiyor? Sabah alarmı çalmıyor, trafik felç, bilgisayar güncelleme yapmak için en önemli toplantıyı bekliyor, bir de üstüne kahve bardağı masaya dökülüyor. İnsan ister istemez düşünüyor: Acaba hayatımızın da bir risk yönetim departmanı mı var ve bu departman sürekli öğle molasında mı?
Aslında risk yönetimi tam olarak burada başlıyor. Elbette kahve lekesini önlemek için şirket kurmaya gerek yok ama olası sorunları önceden görmek, meydana geldiklerinde etkilerini azaltmak ve işler ters gittiğinde ne yapacağını bilmek hayatı ciddi anlamda kolaylaştırıyor.
İş dünyasında, küçük işletmelerde, büyük şirketlerde, projelerde, hatta günlük yaşamda risk yönetimi yalnızca kötü ihtimalleri düşünmek anlamına gelmiyor. Aynı zamanda fırsatları fark etmek, kaynakları doğru kullanmak ve belirsizlik karşısında hazırlıklı olmak demek.
Peki risk yönetim çalışmaları nasıl yapılır? Bunun için gökten uzman inmesini veya masaya kalın bir dosya bırakılmasını beklemeye gerek yok. Biraz gözlem, mantıklı analiz, açık iletişim ve düzenli takip ile oldukça etkili bir sistem kurulabilir.
Üstelik risk yönetimi, yalnızca kriz çıktığında toplantı yapan insanların işi de değildir. Asıl başarı, henüz ortada kriz yokken doğru soruları sorabilmektir.
1. Risk Yönetimi Nedir ve Neden Önemlidir?
Risk yönetimi, belirlenen hedefleri etkileyebilecek belirsizlikleri sistemli biçimde tanımlama, analiz etme, değerlendirme ve uygun önlemlerle yönetme sürecidir. Buradaki önemli ayrıntı, riskin yalnızca zarar ihtimaliyle sınırlı olmamasıdır. Belirsizlik bazen beklenmedik bir fırsat da yaratabilir.
Örneğin küçük bir e-ticaret işletmesi düşünelim. İşletmenin internet sitesinin yoğun kampanya döneminde çökmesi ciddi bir risktir. Ancak aynı kampanyaya hazırlık yaparken müşteri talebinin beklenenden yüksek çıkması, doğru yönetildiğinde büyüme fırsatına dönüşebilir.
Risk yönetimi bu nedenle üç temel soruya dayanır:
- Ne ters gidebilir veya hangi fırsat ortaya çıkabilir?
- Bunun gerçekleşme ihtimali ve etkisi nedir?
- Gerçekleşmeden önce veya gerçekleştikten sonra ne yapabiliriz?
Uluslararası Standardizasyon Örgütünün ISO 31000:2018 standardı, farklı sektörlerde uygulanabilecek risk yönetimi ilkeleri ve süreçleri sunar. Standart; kapsamın belirlenmesini, risklerin değerlendirilmesini, müdahale seçeneklerinin seçilmesini, izleme ve gözden geçirmeyi, ayrıca iletişim ve kayıt faaliyetlerini kapsar.
Burada önemli olan, standardın adını rapora yazmak değil, mantığını günlük işleyişe yerleştirmektir. Çünkü en güzel risk yönetimi dosyası bile kimsenin açmadığı bir klasörde duruyorsa yalnızca dijital bir dekorasyondur.
2. İlk Adım: Riskleri Gerçekçi Biçimde Belirlemek
Risk yönetiminin temelini doğru risk tanımlaması oluşturur. Bir sorunu önlemek için önce o sorunun ne olduğunu anlamak gerekir.
Diyelim ki bir yazılım şirketinde yeni bir proje başlatılıyor. İlk toplantıda herkes hedefleri konuşuyor, teslim tarihleri belirleniyor ve kahveler içiliyor. Fakat kimse şu soruları sormuyor:
- Projede görevli kişi işten ayrılırsa ne olacak?
- Müşteri son anda kapsam değişikliği isterse ne yapılacak?
- Teknik altyapı beklenen performansı göstermezse alternatifimiz var mı?
- Bütçe tahmin edilenden yüzde 20 daha yüksek çıkarsa hangi harcamalar ertelenecek?
İşte risk belirleme çalışması tam olarak bu sorularla başlar.
Beyin fırtınası, geçmiş proje kayıtlarının incelenmesi, çalışan görüşmeleri, kontrol listeleri, süreç analizleri ve uzman değerlendirmeleri bu aşamada kullanılabilir. Büyük projelerde senaryo analizi ve neden-sonuç incelemeleri de oldukça faydalıdır.
Ancak burada ince bir çizgi vardır: Her ihtimali aynı derecede önemli kabul etmek, risk yönetimi değil, felaket senaryoları koleksiyonu oluşturmaktır.
Örneğin ofiste kahve makinesinin bozulması can sıkıcıdır. Üretim tesisindeki kritik bir makinenin arızalanması ise üretimi durdurabilir. İkisi de risk olabilir ama öncelikleri aynı değildir.
Riskleri belirlerken yalnızca teknik konulara odaklanmamak gerekir. İnsan kaynakları, tedarik zinciri, finans, bilgi güvenliği, mevzuat, itibar ve iletişim gibi alanlar da değerlendirilmelidir.
3. Risk Analizi: Her Tehlikeye Aynı Alarmı Vermeyin
Riskleri listelemek başlangıçtır; asıl mesele hangisinin daha ciddi olduğunu anlamaktır. Bunun için genellikle gerçekleşme olasılığı ve gerçekleştiğinde ortaya çıkacak etkinin büyüklüğü değerlendirilir.
Basit bir örnek verelim. Bir işletme için iki risk belirlenmiş olsun:
Birinci risk, ofis yazıcısının arızalanmasıdır. Gerçekleşme ihtimali orta düzeydedir ve etkisi sınırlıdır.
İkinci risk, müşteri bilgilerinin bulunduğu sistemin siber saldırıya uğramasıdır. Bunun gerçekleşme ihtimali daha düşük görünse bile sonuçları hukuki, finansal ve itibari açıdan ağır olabilir.
İkinci riskin daha fazla dikkat gerektirmesi oldukça doğaldır.
Uygulamada olasılık ve etki, örneğin 1 ile 5 arasında puanlanabilir. İki puanın çarpılmasıyla basit bir öncelik skoru elde edilir. Olasılık 4, etki 5 ise skor 20 olur. Olasılık 2, etki 2 ise skor 4 çıkar.
Ancak bu yöntem tek başına kesin karar aracı değildir. Puanlama, uzman görüşü ve mevcut verilerle desteklenmelidir. Özellikle insan güvenliği, yasal yükümlülükler ve ciddi bilgi güvenliği tehditleri yalnızca sayısal skorlarına bakılarak göz ardı edilmemelidir.
Ayrıca değerlendirme yapılırken mevcut kontroller de hesaba katılmalıdır. Örneğin yedekleme sistemi bulunan bir şirketle hiç yedek almayan bir şirketin veri kaybı karşısındaki durumu aynı değildir.
Risk analizi sırasında kendimize şu soruyu sorabiliriz: Bir riskin gerçekleşme olasılığını gerçekten biliyor muyuz, yoksa yalnızca içimizden öyle mi geliyor?
Bu sorunun cevabı, tahminle veriyi birbirinden ayırmamıza yardımcı olur.
4. Erkekler ve Kadınlar Risk Yönetiminde Nasıl Birlikte Çalışabilir?
Risk yönetimi konuşulurken bazen erkeklerin daha çözüm odaklı, kadınların ise daha empatik olduğu söylenir. Ancak bu yaklaşımı değişmez bir kural gibi kabul etmek doğru değildir. İnsanların düşünme ve karar verme biçimleri cinsiyetlerinden çok deneyimlerine, eğitimlerine, kişiliklerine, sorumluluklarına ve içinde bulundukları koşullara bağlıdır.
Yine de farklı bakış açılarının bir araya gelmesi, risk çalışmalarını zenginleştirebilir.