Risk Analizi Nedir?

Risk Analizi Nedir? Nasıl Yapılır? Yöntemler ve Örnek

Risk analizi, bir kurumun hedeflerini etkileyebilecek belirsizlikleri belirleme, bu belirsizliklerin gerçekleşme olasılığını ve yaratabileceği etkileri inceleme, riskleri önceliklendirme ve uygun aksiyonları planlama sürecidir. Etkili bir risk analizi yalnızca sorun çıkma ihtimalini değil, hedeflere ulaşmayı kolaylaştırabilecek fırsatları da değerlendirir.

ISO 31000 yaklaşımında risk, belirsizliğin hedefler üzerindeki etkisi olarak ele alınır. Bu etki olumsuz olabileceği gibi olumlu da olabilir. Bu nedenle risk analizi yalnızca “Neler yanlış gidebilir?” sorusuna değil, “Hangi gelişmeler hedeflerimizi beklenenden daha olumlu etkileyebilir?” sorusuna da yanıt arar.

Risk Analizi Sürecinin Kısa Özeti

Aşama	Temel soru
Kapsamı belirleme	Hangi hedef, süreç veya karar analiz ediliyor?
Riskleri belirleme	Ne olabilir, neden olabilir ve sonucu ne olur?
Kontrolleri inceleme	Riski azaltan mevcut önlemler nelerdir?
Olasılık ve etkiyi değerlendirme	Riskin gerçekleşme ihtimali ve sonucu ne düzeydedir?
Önceliklendirme	Hangi risklere önce müdahale edilmelidir?
Aksiyon planlama	Riskten kaçınılacak, risk azaltılacak, paylaşılacak veya kabul mü edilecek?
İzleme	Riskin düzeyi ve alınan aksiyonların etkisi nasıl takip edilecek?

Risk Analizi Nedir?

Risk analizi; hedefler, süreçler, projeler veya kararlar üzerinde belirsizlik yaratabilecek olayların sistematik biçimde incelenmesidir. Analiz sırasında riskin kaynakları, olası nedenleri, mevcut kontrolleri, gerçekleşme olasılığı ve yaratabileceği sonuçlar değerlendirilir.

İyi tanımlanmış bir risk ifadesi üç bileşenden oluşur:

1. Neden: Riski ortaya çıkarabilecek koşul veya kaynak
2. Belirsiz olay: Gerçekleşip gerçekleşmeyeceği kesin olmayan gelişme
3. Etki: Olay gerçekleşirse hedeflerde oluşabilecek sonuç

Örneğin “Tedarik riski vardır” ifadesi yeterince açık değildir. Bunun yerine şu yapı kullanılabilir:

Tek bir tedarikçiye bağımlılık nedeniyle kritik ham madde teslimatları gecikebilir; bu durum üretimin durmasına ve müşteri teslimatlarının aksamasına neden olabilir.

Bu ifade riskin kaynağını, belirsiz olayı ve iş sonucunu birlikte gösterdiği için daha sağlıklı değerlendirilebilir.

Risk Analizi, Risk Değerlendirmesi ve Risk Yönetimi Arasındaki Fark Nedir?

Bu kavramlar günlük kullanımda birbirinin yerine kullanılsa da teknik olarak farklı kapsamları ifade eder:

• Risk belirleme: Hedefleri etkileyebilecek risklerin ortaya çıkarılmasıdır.
• Risk analizi: Belirlenen risklerin niteliğinin, olasılığının, etkisinin, mevcut kontrollerinin ve belirsizliklerinin incelenmesidir.
• Risk değerlendirmesi: Risklerin analiz edilmesi ve belirlenen kriterlerle karşılaştırılarak önceliklendirilmesidir.
• Risk yönetimi: Kapsamın oluşturulmasından risklerin belirlenmesine, değerlendirilmesine, işlenmesine, izlenmesine ve iletişimine kadar tüm sistemi kapsar.

İngilizcede kullanılan risk assessment ifadesi genellikle risklerin belirlenmesi, analiz edilmesi ve değerlendirilmesi aşamalarının tamamını anlatır. Risk yönetimi ise bu aşamalara ek olarak aksiyonların uygulanmasını, sorumlulukların atanmasını ve sonuçların izlenmesini de içerir.

Risk Analizi Neden Önemlidir?

Risk analizi, karar vericilerin belirsizlikleri görünür hâle getirmesine yardımcı olur. Böylece kaynaklar yalnızca sorun ortaya çıktıktan sonra değil, sorun oluşmadan önce daha bilinçli biçimde kullanılabilir.

Etkili bir analiz kurumlara şu katkıları sağlar:

• Stratejik kararların olası sonuçlarını önceden değerlendirme
• Operasyonel kesintileri ve beklenmeyen maliyetleri azaltma
• Kaynakları en kritik risklere yönlendirme
• Yasal ve düzenleyici yükümlülüklere uyumu destekleme
• Proje bütçesi ve takvimindeki sapmaları erken fark etme
• Tedarik zinciri ve iş sürekliliği dayanıklılığını artırma
• Karar alma sürecindeki varsayımları test etme
• Yeni fırsatları daha sistematik biçimde değerlendirme

Risk analizi özellikle bütçe, yatırım, likidite ve kaynak tahsisi kararlarının olası sonuçlarını anlamak açısından önemlidir. Bu kararların işletme performansıyla ilişkisini daha kapsamlı incelemek içinfinans yönetiminin işletme kararlarındaki rolü hakkında bilgi edinmek yararlı olabilir.

Bununla birlikte risk analizi karar vericinin yerine geçen bir mekanizma değildir. Analiz, kararın dayandığı varsayımları ve belirsizlikleri görünür hâle getiren bir karar destek aracıdır.

Risk Analizi Nasıl Yapılır?

Risk analizi kurumun büyüklüğüne, sektöre, ele alınan sürece ve kararın önemine göre değişebilir. Bununla birlikte kurumsal bir uygulama genel olarak yedi temel aşamadan oluşur.

1. Amaç, Kapsam ve Risk Kriterleri Belirlenir

Analize başlamadan önce hangi hedefin, sürecin, projenin veya kararın incelendiği açıkça tanımlanmalıdır.

Bu aşamada şu sorular yanıtlanır:

• Analizin temel amacı nedir?
• Hangi iş birimleri ve süreçler kapsamdadır?
• Hangi zaman dönemi incelenecektir?
• Kimler karar sürecine katılacaktır?
• Olasılık ve etki hangi ölçütlerle değerlendirilecektir?
• Kurum hangi düzeye kadar belirsizliği kabul edebilir?
• Analizde hangi veri kaynakları kullanılacaktır?

Risk kriterleri analizden önce belirlenmezse ekipler aynı riski farklı ölçütlerle değerlendirebilir. Örneğin bir milyon liralık etki küçük bir işletme için kritik, çok büyük bir kuruluş için ise yönetilebilir olabilir.

2. Riskler Belirlenir

Risk belirleme aşamasının amacı, hedefleri etkileyebilecek belirsizliklerin mümkün olduğunca sistematik biçimde ortaya çıkarılmasıdır.

Kullanılabilecek bilgi kaynakları şunlardır:

• Çalışan ve yönetici görüşmeleri
• Süreç haritaları
• Geçmiş olay ve kayıp kayıtları
• Müşteri şikâyetleri
• Denetim bulguları
• Finansal ve operasyonel veriler
• Tedarikçi performans kayıtları
• Yasal ve teknolojik değişiklikler
• Rakip ve pazar analizleri
• Senaryo çalışmaları
• Uzman atölyeleri

Riskler yalnızca geçmişte yaşanan olaylara bakılarak belirlenmemelidir. Daha önce gerçekleşmemiş ancak gerçekleşmesi hâlinde yüksek etki yaratabilecek gelişmeler de değerlendirilmelidir.

3. Mevcut Kontroller İncelenir

Bir riskin düzeyi değerlendirilirken hâlihazırda uygulanan kontroller dikkate alınmalıdır. Kontrol; riskin ortaya çıkma olasılığını azaltan, etkisini sınırlayan veya olayın daha erken fark edilmesini sağlayan her türlü politika, süreç, sistem veya uygulamadır.

Örnek kontroller:

• Yetki ve onay mekanizmaları
• Yedekleme sistemleri
• Alternatif tedarikçiler
• Stok güvenlik seviyeleri
• Görevler ayrılığı
• Bakım programları
• Eğitimler
• Sözleşme hükümleri
• Otomatik uyarılar
• Denetim ve kontrol listeleri

Sadece kontrolün var olup olmadığına değil, doğru tasarlanıp tasarlanmadığına ve uygulamada gerçekten çalışıp çalışmadığına da bakılmalıdır.

4. Olasılık ve Etki Değerlendirilir

Her risk için iki temel boyut incelenir:

• Olasılık: Riskin belirlenen zaman aralığında gerçekleşme ihtimali
• Etki: Risk gerçekleştiğinde hedefler üzerinde yaratacağı sonuç

Etki yalnızca parasal kayıpla sınırlandırılmamalıdır. Finansal sonuçların yanında şu boyutlar da değerlendirilebilir:

• Müşteri deneyimi
• Operasyonların devamlılığı
• Çalışan sağlığı ve güvenliği
• Yasal uyum
• İtibar
• Bilgi güvenliği
• Çevresel etkiler
• Stratejik hedeflere ulaşma
• Proje takvimi ve kalite

Veri kısıtlıysa düşük, orta ve yüksek gibi nitel ölçekler kullanılabilir. Yeterli veri bulunduğunda parasal kayıp aralıkları, zaman gecikmeleri, olasılık dağılımları veya simülasyonlardan yararlanılabilir.

5. Riskler Önceliklendirilir

Analiz edilen riskler kurumun belirlediği kriterler ve kabul sınırlarıyla karşılaştırılır. Böylece hangi risklerin acil aksiyon gerektirdiği, hangilerinin izlenebileceği ve hangilerinin mevcut düzeyde kabul edilebileceği belirlenir.

Önceliklendirme yalnızca elde edilen sayısal değere göre yapılmamalıdır. Aşağıdaki unsurlar da dikkate alınmalıdır:

• Etkinin geri döndürülebilir olup olmaması
• Yasal yükümlülükler
• İnsan sağlığı ve çevre üzerindeki sonuçlar
• Risklerin birbirini tetikleme ihtimali
• Riskin ne kadar hızlı ortaya çıkabileceği
• Mevcut verinin güvenilirliği
• Yönetimin belirlediği kabul sınırları

Gerçekleşme ihtimali düşük fakat sonucu çok ağır bir risk, yalnızca olasılığı düşük olduğu için göz ardı edilmemelidir.

6. Risk Yanıtları Belirlenir

Tehdit niteliğindeki riskler için dört temel yaklaşım kullanılabilir:

• Kaçınma: Riski doğuran faaliyet veya yöntemin değiştirilmesi
• Azaltma: Olasılığın ya da etkinin yeni kontrollerle düşürülmesi
• Paylaşma veya devretme: Riskin bir bölümünün sözleşme, iş ortaklığı veya benzeri yöntemlerle başka bir tarafla paylaşılması
• Kabul etme: Riskin mevcut koşullarda bilinçli biçimde izlenmesi

Riskin fırsat yönü bulunuyorsa fırsattan yararlanma, fırsatın olasılığını artırma, bir iş ortağıyla paylaşma veya mevcut hâliyle kabul etme seçenekleri değerlendirilebilir.

Seçilen aksiyonun maliyeti ile sağlayacağı risk azalması arasında makul bir denge kurulmalıdır. Bir kontrolün maliyeti, ortadan kaldırmaya çalıştığı etkiden daha büyük olabilir.

7. Sorumluluklar Atanır ve Sonuçlar İzlenir

Her önemli risk için bir risk sahibi belirlenmelidir. Risk sahibi, riski tek başına ortadan kaldırmak zorunda olan kişi değil; riskin izlenmesini, aksiyonların yürütülmesini ve gerekli raporlamanın yapılmasını koordine eden sorumludur.

Risk kayıtlarında en az şu bilgiler bulunmalıdır:

• Hedef veya süreç
• Riskin nedeni, olayı ve etkisi
• Risk kategorisi
• Mevcut kontroller
• Olasılık ve etki düzeyi
• Öncelik seviyesi
• Planlanan aksiyonlar
• Risk sahibi
• Aksiyon sorumlusu
• Tamamlanma tarihi
• İzleme göstergeleri
• Kontroller sonrasında kalan risk düzeyi
• Son gözden geçirme tarihi

Riskler departmanların birbirinden bağımsız listeleri olarak değil, süreçler arasındaki bağlantılar dikkate alınarak değerlendirilmelidir. Satış, tedarik, operasyon ve finans kararlarının birbirini nasıl etkilediğini uygulamalı biçimde değerlendirenBütünsel İşletme Yönetimi ve Finansal Etkileri yaklaşımı bu bakış açısını destekler.

Risk Matrisi Nedir?

Risk matrisi, risklerin olasılık ve etki düzeylerini bir arada göstererek önceliklendirilmesini sağlayan görsel bir araçtır. En sık kullanılan yapılardan biri 5x5 matristir.

Her risk için olasılık ve etki 1 ile 5 arasında değerlendirilir:

Öncelik değeri = Olasılık × Etki

Örneğin gerçekleşme olasılığı 4, etkisi 5 olarak değerlendirilen bir risk için öncelik değeri 20 olur.

Aşağıdaki eşikler yalnızca örnektir. Her kurum kendi büyüklüğüne, sektörüne, hedeflerine ve kabul sınırlarına göre farklı eşikler kullanmalıdır.

Öncelik değeri	Örnek düzey	Genel yaklaşım
1–4	Düşük	İzlenebilir
5–9	Orta	Kontroller gözden geçirilir
10–16	Yüksek	Aksiyon planı hazırlanır
17–25	Kritik	Öncelikli yönetim müdahalesi gerekir

Risk matrisi karar vermeyi kolaylaştırır; ancak matematiksel kesinlik sağlamaz. Özellikle düşük olasılıklı fakat geri döndürülemez sonuçlara sahip risklerde yalnızca çarpım sonucuna göre karar verilmemelidir.

Risk Analizi Örneği

Aşağıdaki örnek, bir üretim işletmesindeki kritik tedarik riskinin nasıl kaydedilebileceğini gösterir:

Alan	Örnek kayıt
Hedef	Üretimin ve müşteri teslimatlarının kesintisiz sürdürülmesi
Risk nedeni	Kritik ham maddede tek tedarikçiye bağımlılık
Belirsiz olay	Tedarikçinin teslimat süresinin uzaması
Olası etki	Üretimin durması, teslimat gecikmesi ve gelir kaybı
Mevcut kontroller	Güvenlik stoku ve onaylı alternatif tedarikçi listesi
Olasılık	4 – Yüksek
Etki	5 – Çok yüksek
Öncelik değeri	20 – Kritik
Aksiyon	İkinci tedarikçiyle sözleşme yapılması ve stok politikasının güncellenmesi
Risk sahibi	Tedarik zinciri yöneticisi
İzleme göstergeleri	Ortalama teslim süresi, geciken sipariş oranı ve stok gün sayısı
Aksiyon sonrası tahmin	Olasılık 2, etki 4, öncelik değeri 8

Bu örnekte kontrol sonrasında etki tamamen ortadan kalkmamaktadır. Buna karşılık alternatif tedarikçi ve stok politikası, olayın gerçekleşme olasılığını ve yaratabileceği kesintiyi azaltmaktadır.

Nitel ve Nicel Risk Analizi Arasındaki Fark Nedir?

Risk analizleri kullanılan veri ve hesaplama düzeyine göre nitel, yarı nicel veya nicel biçimde gerçekleştirilebilir.

Özellik	Nitel analiz	Nicel analiz
Değerlendirme biçimi	Düşük, orta, yüksek gibi kategoriler	Yüzde, tutar, süre veya dağılımlar
Veri ihtiyacı	Görece düşük	Daha yüksek
Uygulama süresi	Daha kısa	Daha uzun
Kullanım amacı	İlk tarama ve önceliklendirme	Ayrıntılı modelleme ve karar karşılaştırması
Yaygın araçlar	Matris, uzman görüşü, atölye	Simülasyon, duyarlılık analizi, karar ağacı
Temel avantaj	Hızlı ve anlaşılır	Olası sonuçları daha ayrıntılı gösterir
Temel sınırlılık	Öznel değerlendirme riski	Veri ve model varsayımlarına bağımlılık

Bir yaklaşım diğerinden her zaman üstün değildir. Çok sayıda riskin bulunduğu durumlarda önce nitel analizle önceliklendirme yapılabilir; daha sonra kritik riskler için nicel yöntemler kullanılabilir.

Risk Analizi Yöntemleri Nelerdir?

Risk değerlendirme yöntemi seçilirken analizin amacı, mevcut veri, sektör, kararın karmaşıklığı ve kullanılabilecek zaman dikkate alınmalıdır. IEC 31010, risk değerlendirme tekniklerinin tek bir yönteme indirgenmemesi ve bağlama göre seçilmesi gerektiğini vurgular.

Yöntem	Kullanım alanı	Güçlü yönü	Sınırlılığı
5x5 olasılık-etki matrisi	Genel kurumsal değerlendirmeler	Basit, hızlı ve kolay iletişim	Ölçekler öznel olabilir
SWIFT	Süreç, proje ve değişiklik analizleri	Yapılandırılmış “Ya şöyle olursa?” sorularıyla risk üretir	Deneyimli kolaylaştırıcı gerektirir
FMEA	Ürün, süreç ve ekipman hataları	Hata biçimi, neden ve etkileri ayrıntılı inceler	Karmaşık süreçlerde uzun sürebilir
Fine-Kinney	Özellikle iş sağlığı ve güvenliği	Olasılık, maruz kalma ve sonuç boyutlarını birlikte ele alır	Kurum kriterleri doğru tanımlanmazsa mekanik kullanıma dönüşebilir
HAZOP	Kimya, üretim ve proses güvenliği	Tasarımdan sapmaları sistematik inceler	Uzman ekip ve ayrıntılı süreç bilgisi gerektirir
Bow-tie	Kritik olay ve bariyer analizi	Nedenleri, önleyici kontrolleri ve sonuç azaltıcı kontrolleri görselleştirir	Çok karmaşık risklerde sadeleştirme gerekebilir
Senaryo analizi	Strateji ve uzun vadeli planlama	Birden fazla gelecek olasılığını karşılaştırır	Olasılıkları kesin olarak vermez
Duyarlılık analizi	Finansal modeller ve projeler	Sonucu en fazla etkileyen değişkenleri gösterir	Değişkenlerin birbirleriyle ilişkisini sınırlı ele alabilir
Karar ağacı	Alternatif karar yolları	Seçenekleri ve olası sonuçları karşılaştırır	Olasılık tahminlerinin kalitesine bağlıdır
Monte Carlo simülasyonu	Proje süresi, maliyet ve finansal belirsizlik	Tek bir sonuç yerine sonuç dağılımı üretir	Veri, araç ve modelleme yetkinliği gerektirir

SWOT analizi risklerin ve fırsatların belirlenmesine katkı sağlayabilir; ancak tek başına ayrıntılı bir risk değerlendirme yöntemi olarak görülmemelidir.

Şirketlerde Hangi Riskler Analiz Edilir?

Kurumsal risk analizi yalnızca finans bölümünün veya iş güvenliği ekibinin sorumluluğunda değildir. Farklı hedefleri etkileyen riskler birlikte değerlendirilmelidir.

Stratejik Riskler

Yanlış pazar seçimi, müşteri beklentilerindeki değişim, yeni rakipler, iş modelinin geçerliliğini kaybetmesi ve stratejik yatırımların beklenen sonucu üretmemesi bu grupta değerlendirilebilir.

Operasyonel Riskler

Üretim kesintileri, süreç hataları, kapasite sorunları, bakım eksikleri, kalite problemleri, lojistik aksamaları ve tedarikçi performansı operasyonel risklere örnektir.

Finansal Riskler

Nakit akışı dalgalanmaları, kur ve faiz değişimleri, likidite yetersizliği, maliyet artışları, bütçe sapmaları ve yatırım kararlarındaki belirsizlikler finansal riskler arasında yer alabilir.

Hukuki ve Uyum Riskleri

Mevzuat değişiklikleri, sözleşme yükümlülükleri, veri koruma kuralları, sektörel düzenlemeler ve kurum politikalarına uyumsuzluk bu kapsamda değerlendirilir.

Siber Güvenlik ve Veri Riskleri

Yetkisiz erişim, veri kaybı, sistem kesintileri, zayıf erişim kontrolleri ve üçüncü taraf hizmet sağlayıcılardan kaynaklanan açıklar bu gruptadır.

İnsan ve Organizasyon Riskleri

Kritik yetkinliklerin kaybı, çalışan bağlılığının düşmesi, görevlerin tek kişiye bağımlı olması, yetersiz eğitim ve iş gücü planlama sorunları organizasyonel hedefleri etkileyebilir.

İtibar Riskleri

Müşteri deneyimindeki bozulma, ürün veya hizmet sorunları, etik ihlaller, yanlış iletişim ve sosyal paydaşlarla yaşanan problemler kurumsal itibarı etkileyebilir.

İklim ve Sürdürülebilirlik Riskleri

Aşırı hava olayları, kaynak kıtlığı, enerji maliyetleri, tedarik zincirindeki çevresel etkiler ve değişen paydaş beklentileri stratejik ve operasyonel sonuçlar doğurabilir.

Risk İştahı, Risk Toleransı ve Kalan Risk Nedir?

Risk İştahı

Risk iştahı, bir kurumun hedeflerine ulaşırken kabul etmeye hazır olduğu genel risk düzeyini ifade eder. Hazine ve Maliye Bakanlığı rehberinde de kavram, kurumun stratejik hedefleri doğrultusunda kabul etmeye hazır olduğu en yüksek risk seviyesi üzerinden açıklanır.

Risk iştahı her risk türü için aynı olmak zorunda değildir. Bir kurum yenilikçi ürün yatırımlarında daha yüksek belirsizliği kabul ederken çalışan güvenliği, mevzuata uyum veya veri güvenliği konularında çok düşük kabul düzeyi belirleyebilir.

Risk Toleransı

Risk toleransı, belirli bir hedef veya performans göstergesi için kabul edilebilecek sapma sınırını ifade eder.

Örneğin bir proje için bir haftalık gecikme kabul edilebilirken bir aylık gecikme kabul sınırının dışında kalabilir. Benzer biçimde belirli bir maliyet sapması yönetilebilir, daha yüksek bir sapma ise yönetim müdahalesi gerektirebilir.

Kalan Risk

Kalan risk, mevcut veya planlanan kontroller uygulandıktan sonra devam eden risk düzeyidir. Kontroller çoğu zaman riski tamamen ortadan kaldırmaz; olasılığı veya etkiyi kabul edilebilir bir seviyeye indirmeyi amaçlar.

Risk ve Fırsat Analizi Nasıl Birlikte Yapılır?

Belirsizlikler yalnızca olumsuz sonuçlar yaratmaz. Talebin beklenenden hızlı büyümesi, yeni bir teknolojinin maliyetleri azaltması, yeni bir düzenlemenin pazara giriş engeli oluşturması veya bir iş ortaklığının yeni müşteri gruplarına erişim sağlaması fırsat yaratabilir.

Fırsatlar için şu yaklaşımlar değerlendirilebilir:

• Fırsattan doğrudan yararlanmak
• Gerçekleşme ihtimalini artırmak
• Etkisini büyütmek
• Başka bir kurumla paylaşmak
• Ek aksiyon almadan izlemek

Risk ve fırsatların birlikte değerlendirilmesi, analiz sürecinin yalnızca savunmacı bir uygulama olmasını engeller ve stratejik karar alma kalitesini artırır.

Risk Analizini Kim Yapar?

Genel kurumsal risk analizinde tek bir bölümün tüm riskleri belirlemesi doğru değildir. Süreç genellikle çok disiplinli bir ekip tarafından yürütülür.

Sorumluluklar şu şekilde dağıtılabilir:

• Üst yönetim: Risk yaklaşımını ve kabul sınırlarını belirler.
• Süreç sahipleri: Kendi süreçlerindeki riskleri ve kontrolleri değerlendirir.
• Risk yönetimi veya koordinasyon birimi: Ortak yöntem ve raporlama yapısını oluşturur.
• Alan uzmanları: Teknik, hukuki, finansal veya operasyonel değerlendirme sağlar.
• Risk sahipleri: Belirli risklerin izlenmesini ve aksiyonların yürütülmesini koordine eder.
• İç denetim: Sistemin tasarımı ve işleyişi hakkında bağımsız güvence sağlar.

İç denetimin riski doğrudan sahiplenmesi yerine, risk yönetimi sisteminin yeterliliğini bağımsız biçimde değerlendirmesi daha sağlıklı bir yönetişim yapısı oluşturur.

Risk Analizi Ne Zaman Güncellenmelidir?

Risk analizi bir kez hazırlanıp arşivlenen sabit bir belge olmamalıdır. Kurumun hedefleri, süreçleri ve dış çevresi değiştikçe riskler de değişir.

Analiz özellikle şu durumlarda gözden geçirilmelidir:

• Strateji veya iş modelinin değişmesi
• Yeni ürün, hizmet veya pazara girilmesi
• Organizasyon yapısının değişmesi
• Yeni teknoloji veya yazılım kullanılması
• Kritik tedarikçinin değişmesi
• Önemli bir olay, kesinti veya ramak kala durumunun yaşanması
• Mevzuatın değişmesi
• Yeni yatırım veya satın alma yapılması
• Performans göstergelerinin belirlenen sınırları aşması
• Mevcut kontrollerin çalışmadığının anlaşılması

Bunların dışında, riskin önemine göre aylık, üç aylık, altı aylık veya yıllık periyotlarda düzenli gözden geçirme yapılabilir. Kritik risklerin daha sık izlenmesi gerekir.

İş Sağlığı ve Güvenliği İçin Mevzuat Notu

6331 sayılı İş Sağlığı ve Güvenliği Kanunu kapsamında işveren, iş sağlığı ve güvenliği risk değerlendirmesi yapmak veya yaptırmakla yükümlüdür. İlgili yönetmelikte değerlendirmelerin çok tehlikeli, tehlikeli ve az tehlikeli işyerlerinde sırasıyla en geç iki, dört ve altı yılda bir yenilenmesi öngörülür. Taşınma, teknoloji veya üretim yöntemi değişikliği, iş kazası, meslek hastalığı, ramak kala olay ya da yeni dış tehlikeler gibi durumlarda bu süreler beklenmeden değerlendirme yenilenebilir. Bu süreler yalnızca İSG kapsamındaki yasal risk değerlendirmesi için geçerlidir.

Risk Analizinde Yapılan Yaygın Hatalar

Riski Çok Genel İfade Etmek

“Pazar riski”, “siber risk” veya “tedarik riski” gibi ifadeler aksiyon üretmek için yeterli değildir. Neden, belirsiz olay ve etki birlikte yazılmalıdır.

Olasılık ve Etki Kriterlerini Önceden Tanımlamamak

Ekip üyeleri aynı sayıları farklı anlamlarda kullanıyorsa elde edilen sonuçlar karşılaştırılabilir olmaz. Her seviye için açık açıklamalar ve mümkünse sayısal sınırlar belirlenmelidir.

Mevcut Kontrolleri Dikkate Almamak

Kontroller değerlendirilmeden yapılan analiz, riskin olduğundan yüksek veya düşük görünmesine neden olabilir. Kontrollerin yalnızca varlığı değil, uygulamadaki etkinliği de incelenmelidir.

Sadece Geçmiş Verilere Bakmak

Geçmişte yaşanmamış bir olay gelecekte de yaşanmayacak anlamına gelmez. Yeni teknoloji, düzenleme, pazar veya tedarik zinciri değişimleri için ileriye dönük senaryolar kurulmalıdır.

Düşük Olasılıklı ve Yüksek Etkili Riskleri Görmezden Gelmek

Bazı olayların gerçekleşme ihtimali düşük olsa da sonuçları geri döndürülemez olabilir. İnsan sağlığı, çevre, kritik altyapı ve kurumsal devamlılık üzerindeki etkiler ayrıca değerlendirilmelidir.

Aksiyonlara Sahip ve Tarih Atamamak

Sorumlusu ve tamamlanma tarihi belirlenmeyen aksiyonlar çoğu zaman uygulamaya geçmez. Her aksiyon için tek bir koordinasyon sorumlusu bulunmalıdır.

Analizi Bir Defalık Çalışma Olarak Görmek

Yeni tedarikçiler, çalışan değişiklikleri, ekonomik koşullar, teknoloji ve mevzuat risk görünümünü sürekli değiştirir. Risk kayıtları düzenli olarak güncellenmelidir.

Karar Verme Yanlılıklarını Göz Ardı Etmek

Ekipler ilk duydukları tahmine gereğinden fazla bağlı kalabilir, yalnızca kendi görüşlerini destekleyen bilgileri seçebilir veya baskın yöneticinin görüşüne uyabilir. Farklı uzmanlıkların sürece katılması, varsayımların açıkça yazılması ve bağımsız değerlendirmeler bu yanlılıkları azaltabilir.

Sıkça Sorulan Sorular

Risk analizi formülü nedir?

Basit bir olasılık-etki matrisinde öncelik değeri, olasılık ile etkinin çarpılmasıyla hesaplanabilir:

Olasılık × Etki = Öncelik değeri

Ancak bu formül tek başına yeterli değildir. Yasal sonuçlar, insan sağlığı, geri döndürülemez etkiler ve riskler arasındaki bağlantılar ayrıca değerlendirilmelidir.

Risk matrisi kaç çarpı kaç olmalıdır?

3x3, 4x4 veya 5x5 matrisler kullanılabilir. 5x5 matris daha ayrıntılı ayrım sağlarken daha fazla değerlendirme ölçütü gerektirir. Kurum, ihtiyacına ve değerlendirme yetkinliğine göre uygun yapıyı seçmelidir.

Risk analizi kaç aşamadan oluşur?

Kullanılan standarda ve kuruma göre aşama sayısı değişebilir. Genel olarak kapsam belirleme, riskleri belirleme, kontrolleri inceleme, analiz, değerlendirme, aksiyon planlama ve izleme aşamalarından oluşur.

Nitel mi, nicel mi risk analizi kullanılmalıdır?

Çok sayıda riskin hızlı biçimde değerlendirilmesi için nitel analiz uygundur. Kritik yatırım, proje, süre veya maliyet belirsizliklerinde nicel yöntemler daha ayrıntılı sonuç sağlayabilir. İki yaklaşım art arda da kullanılabilir.

Bütün riskler ortadan kaldırılabilir mi?

Hayır. Bazı risklerden kaçınılabilir veya riskler azaltılabilir; ancak çoğu faaliyette belirli bir belirsizlik devam eder. Amaç, riskleri kurumun hedefleri ve kabul sınırları doğrultusunda bilinçli biçimde yönetmektir.

Risk analizi ile SWOT analizi aynı mıdır?

Hayır. SWOT analizi güçlü ve zayıf yönlerle fırsat ve tehditleri genel düzeyde belirlemeye yardımcı olur. Risk analizi ise belirli belirsizliklerin nedenlerini, olasılıklarını, etkilerini, kontrollerini ve aksiyonlarını daha sistematik biçimde değerlendirir.

Risk analizi ne sıklıkla yapılmalıdır?

Riskin önemine ve değişim hızına göre periyodik gözden geçirme yapılmalıdır. Strateji, süreç, teknoloji, tedarikçi veya mevzuat değişiklikleri gibi önemli gelişmelerde planlanan dönem beklenmeden analiz güncellenmelidir.

Sonuç

Risk analizi, geleceği kesin biçimde tahmin etmekten çok, belirsizlikler karşısında daha bilinçli karar vermeyi amaçlar. Etkili bir çalışma; riskleri listelemekle kalmaz, nedenleri ve etkileri açıklar, mevcut kontrolleri değerlendirir, öncelikleri belirler, sorumluları atar ve sonuçları düzenli olarak izler.

Kurumsal risklerin finansal sonuçlara nasıl dönüştüğünü okuyabilmek; yöneticilerin bütçe, yatırım, nakit akışı ve kaynak tahsisi kararlarını daha sağlıklı vermesine yardımcı olur. Bu alandaki yetkinliklerini geliştirmek isteyen profesyoneller,Yöneticiler İçin Finans Sertifika Programı kapsamında finansal verileri yorumlama ve karar süreçlerinde kullanma becerilerini geliştirebilir.