Standart nedir
ISO 31000, kuruluş genelinde risk yönetimi için ilkeler, çerçeve ve süreç tanımlar. Mevcut baskı 2018'dir. Risk tanımı dikkat çekicidir: belirsizliğin hedefler üzerindeki etkisi — ve bu etki olumsuz da olumlu da olabilir.
Bu tanım kasıtlı olarak geniştir. Riski yalnızca "kötü şey olma ihtimali" diye okuyan bir kuruluş, fırsat tarafını kaybeder. ISO 9001'in 6.1 maddesinin başlığının "riskler ve fırsatlar" olması bu yüzdendir.
Neden belgelendirilemez
ISO 31000 metninde "shall" değil "should" kullanılır; yani şart koymaz, tavsiye eder. Belgelendirme denetimi ancak denetlenebilir şartlar üzerinden yürütülebildiği için bu standarda göre kuruluş belgesi verilmesi mümkün değildir. Standardın değeri de zaten belgede değil, sağladığı ortak yöntem ve terminolojidedir.
Faydası şudur: bu beş standardın hepsi risk yönetimi ister ama nasıl yapılacağını anlatmaz. ISO 31000, hepsi için ortak bir yöntem ve terminoloji sağlar — böylece kuruluşta beş ayrı risk kütüğü değil, tek bir yapı kurulur.
İlkeler, çerçeve, süreç
Standart üç katmanlıdır ve karıştırılmamalıdır.
| Katman | Sorusu | İçeriği |
|---|---|---|
| İlkeler | Neden? | 8 ilke: bütünleşik, yapılandırılmış, özelleştirilmiş, kapsayıcı, dinamik, en iyi bilgiye dayalı, insan ve kültür faktörü, sürekli iyileştirme |
| Çerçeve | Kim, nasıl? | Liderlik taahhüdü, entegrasyon, tasarım, uygulama, değerlendirme, iyileştirme |
| Süreç | Ne yapılır? | Kapsam belirleme, risk değerlendirme (tanımlama–analiz–değerlendirme), risk işleme, izleme, iletişim, kayıt |
Çerçeve ile süreç karıştırılırsa tipik sonuç şudur: kuruluş bir risk kütüğü tablosu oluşturur (süreç), ama kimin sahibi olduğu, ne sıklıkla gözden geçirileceği ve karar yetkisinin kimde olduğu tanımsız kalır (çerçeve eksik). Bir yıl sonra kütük güncellenmemiş halde durur.
Risk yönetimi süreci
| # | Adım | Ne yapılır |
|---|---|---|
| 1 | Kapsam ve bağlam | Hangi hedefler, hangi sınırlar, hangi kriterler |
| 2 | Risk tanımlama | Ne olabilir, neden, nasıl — kaynak, olay, sonuç |
| 3 | Risk analizi | Olasılık ve etkiyi belirle, risk düzeyini hesapla |
| 4 | Risk değerlendirme | Hesaplanan düzeyi kriterle karşılaştır, karar ver |
| 5 | Risk işleme | Kaçın, azalt, aktar, kabul et — ya da fırsatsa peşinden git |
| 6 | İzleme ve gözden geçirme | Risk düzeyleri değişti mi, önlemler işledi mi |
Üçüncü ve dördüncü adımlar sıklıkla tek bir iş sanılır, oysa farklı sorular sorarlar. Analiz riskin büyüklüğünü hesaplar ve sayısal bir sonuç üretir; değerlendirme ise o büyüklüğün kuruluş için kabul edilebilir olup olmadığına karar verir. Kabul kriterinin veriye bakılmadan önce yazılmış olması gerekir, aksi halde değerlendirme her seferinde o anki karar vericinin eğilimine göre değişir.
Çözümlü örnek
Kurumsal risk kütüğü — beklenen değer yöntemi
Risk matrisi puanlaması kategoriktir ve karşılaştırma yapmayı zorlaştırır. Finansal etkisi tahmin edilebilen riskler için beklenen değer (olasılık × etki) daha keskin bir sıralama verir.
| Risk | Olasılık | Etki (TL) | Beklenen değer | Pay % |
|---|---|---|---|---|
| Pik dönem kapasite aşımı | 0,55 | 2.400.000 | 1.320.000 | 34,7 |
| Aktarma merkezi yangını | 0,02 | 42.000.000 | 840.000 | 22,1 |
| Anahtar tedarikçi kaybı | 0,10 | 6.500.000 | 650.000 | 17,1 |
| Bilgi sistemi 24 saat kesinti | 0,15 | 3.800.000 | 570.000 | 15,0 |
| Mevzuat uyum maliyeti | 0,35 | 1.200.000 | 420.000 | 11,1 |
| Toplam | 3.800.000 | 100 |
Yangın: 0,02 × 42.000.000 = 840.000 TL · toplamın %22,1'i
İlk iki riskin kümülatif payı = %56,8
Beklenen değerin tuzağı
Bu tablo yanıltıcı olabilir ve nedenini görmek önemli:
| Pik dönem kapasite aşımı | Aktarma merkezi yangını | |
|---|---|---|
| Beklenen değer | 1.320.000 TL (1. sıra) | 840.000 TL (2. sıra) |
| Olasılık | 0,55 — neredeyse her yıl | 0,02 — 50 yılda bir |
| Tek olayın etkisi | 2,4 milyon TL | 42 milyon TL |
| Kuruluşu batırır mı | Hayır | Muhtemelen evet |
Beklenen değere göre pik dönem riski önce gelir. Ama yangın gerçekleşirse etkisi 17,5 kat büyük ve kuruluşun varlığını tehdit eder. Beklenen değer, düşük olasılıklı yüksek etkili riskleri sistematik olarak küçük gösterir.
Doğru yaklaşım ikisini birlikte kullanmaktır: beklenen değer kaynak tahsisini yönlendirir; ayrı bir felaket eşiği kuralı ise etkisi belirli bir sınırı (örneğin yıllık cironun %10'u) aşan her riski, olasılığından bağımsız olarak üst yönetim gündemine taşır. Yangın riski bu ikinci kuralla ele alınır ve karşılığı sigorta (aktarma) ile iş sürekliliği planıdır.
Risk iştahı
Risk iştahı: kuruluşun hedeflerine ulaşmak için almaya
istekli olduğu risk miktarı. Stratejik ve niteldir.
Risk toleransı: belirli bir risk kategorisinde kabul edilebilir sapma sınırı.
Operasyonel ve sayısaldır.
Aradaki fark iki örnekle netleşiyor. "Yeni pazarlara girerken orta düzeyde ticari risk alırız ama iş güvenliğinde sıfır tolerans uygularız" cümlesi bir risk iştahı beyanıdır; yön gösterir ama ölçü vermez. "Hasar oranı gönderi başına binde üçü aşamaz" ifadesi ise bir toleranstır; ölçülebilir bir sınır koyar ve aşıldığında ne olacağı sorulabilir hale gelir.
Risk iştahı yazılı değilse, her risk kararı o anki karar vericinin kişisel eğilimine kalır. Aynı büyüklükteki iki risk, iki farklı yöneticiden iki farklı karar alır — ve bu tutarsızlık denetimde de, krizde de ortaya çıkar.
Sık karşılaşılan hatalar
Belgelendirilebileceğini sanmak. ISO 31000 bir kılavuzdur ve akredite bir kuruluş belgesi üretmez. "ISO 31000 belgemiz var" cümlesi teknik olarak yanlıştır; piyasada bu adla sunulan kâğıtlar ya kişisel eğitim katılım belgesidir ya da akreditasyonsuzdur.
Riski yalnızca tehdit olarak okumak. Standardın tanımı belirsizliğin hedefler üzerindeki etkisidir ve bu etki olumlu da olabilir. Fırsat tarafını kapsam dışında bırakan bir sistem, riskin yarısını görmez.
Kabul kriterini yazmadan risk puanlamak. Kriter belirlenmeden hesaplanan bir skor tek başına bir şey ifade etmez; "yüksek risk" nitelemesinin neye göre yüksek olduğu sorusu cevapsız kalır.
Beklenen değeri tek ölçüt haline getirmek. Düşük olasılıklı ama yıkıcı etkili riskler bu yöntemle sistematik olarak küçük görünür. Bunlar için etki büyüklüğüne dayanan ayrı bir kural gerekir.
Kütüğü bir kez doldurup bırakmak. Sürecin altıncı adımı izleme ve gözden geçirmedir. Bu adım işletilmediğinde önceki beş adımın çıktısı da zamanla gerçeklikten kopar.