Firtina
New member
Kaynak: Dünya Ekonomik Forumu, Global Risks Report 2025, 15 Ocak 2025. https://www.weforum.org/publications/global-risks-report-2025/in-full/global-risks-2025-a-world-of-growing-divisions-c943fe3ba0/
Bu bulgular, risk yönetiminin toplumsal güven, bilgi paylaşımı ve iş birliğiyle yakından bağlantılı olduğunu gösteriyor. Yanlış bilgi yayılması, yalnızca iletişim sorunu değildir; insanların kararlarını, kurumlara duyduğu güveni ve krizlere verilen toplumsal tepkileri etkileyebilir.
Cinsiyet perspektifini de bu çerçevede ele almak gerekir. Erkeklerin sonuç, maliyet, hız veya teknik performans odaklı; kadınların ise ilişkiler, bakım sorumlulukları, güvenlik ve duygusal etkiler odaklı değerlendirmeler yapacağını varsaymak bilimsel açıdan doğru değildir. Bu özellikler bireyden bireye değişir ve cinsiyet, tek başına bir kişinin karar verme biçimini belirlemez.
Bununla birlikte farklı yaşam deneyimleri, risk değerlendirmesine farklı sorular kazandırabilir. Örneğin bir iş yerinde üretimin ne kadar sürede yeniden başlayacağı kadar, kriz sırasında çalışanların çocuk bakımı veya ulaşım sorunlarını nasıl çözeceği de önemlidir. Bir veri ihlalinde mali kayıp ve teknik müdahale kadar, etkilenen kişilerin mahremiyeti, kaygısı ve kuruma duyduğu güven de dikkate alınmalıdır.
Burada dengeli bir yaklaşım, insan odaklı etkileri teknik ve ekonomik ölçütlerin alternatifi olarak değil, onları tamamlayan unsurlar olarak değerlendirmektir.
Risk toplantılarında farklı görevlerdeki çalışanlara söz hakkı vermek, anonim bildirim kanalları oluşturmak ve kararların gerekçelerini açıkça paylaşmak bu açıdan değerlidir. Çünkü bir riskin varlığını ilk fark eden kişi her zaman yönetici veya uzman olmayabilir.
11. Risk Yönetiminde Sık Yapılan Hatalar
Risk yönetimi sürecinde bazı yanlış yaklaşımlar, doğru araçların bile etkisiz kalmasına yol açabilir.
Birinci hata: Bütün riskleri aynı derecede önemli görmek. Risklerin önem derecesi farklıdır. Önceliklendirme yapılmadığında kaynaklar önemsiz sorunlara harcanabilir ve kritik riskler gözden kaçabilir.
İkinci hata: Geçmişte sorun yaşanmamasını güvenlik göstergesi saymak. Bir sistemin bugüne kadar arızalanmamış olması, gelecekte de arızalanmayacağını kanıtlamaz. Özellikle nadir fakat ağır sonuçları olan olaylarda geçmiş veriler tek başına yeterli olmayabilir.
Üçüncü hata: Sadece finansal kayıplara odaklanmak. İş kazaları, çevresel zararlar, veri gizliliği ihlalleri ve çalışanların psikolojik güvenliği de risk değerlendirmesinin parçasıdır.
Dördüncü hata: Plan hazırlayıp uygulamayı takip etmemek. Sorumlusu ve son tarihi olmayan önlemlerin hayata geçirilmesi zorlaşır.
Beşinci hata: Kriz sonrasında öğrenilenleri kaydetmemek. Aynı arızanın, iletişim kopukluğunun veya süreç hatasının tekrarlanması, iyileştirme mekanizmasının yetersiz kaldığına işaret edebilir.
Bu hataların ortak noktası, risk yönetiminin yaşayan bir karar süreci yerine bürokratik bir belge olarak görülmesidir. Oysa asıl değer, elde edilen bilginin davranışları ve uygulamaları değiştirmesinden doğar.
12. Risk Yönetimi Başarısı Nasıl Ölçülür?
Bir risk yönetimi sisteminin başarılı olup olmadığını anlamak için yalnızca gerçekleşen olayların sayısına bakmak yeterli değildir. Bazı dönemlerde olay sayısı azalırken bildirim kültürü de zayıflamış olabilir. Tersine, çalışanların daha fazla ramak kala olayı raporlaması, güvenlik kültürünün geliştiğini gösterebilir.
Bu nedenle farklı göstergeler birlikte kullanılmalıdır:
- Risk azaltma önlemlerinin zamanında tamamlanma oranı.
- Tekrarlayan olayların sıklığı.
- Olaylara müdahale ve hizmetleri yeniden başlatma süresi.
- Kritik sistemlerin yedeklerinin başarıyla geri yüklenebilme oranı.
- Çalışanların risk bildirimlerine verilen yanıtların niteliği.
- Gerçekleşen kayıpların, başlangıçta belirlenen sınırlar içinde kalıp kalmadığı.
Örneğin bir şirketin 20 risk azaltma önleminden 18'ini zamanında tamamladığını düşünelim. Tamamlanma oranı 18/20 × 100 = yüzde 90'dır. Ancak bu oran, bütün risklerin yüzde 90 oranında azaltıldığı anlamına gelmez. Tamamlanan önlemlerin etkisi ve kalan iki önlemin önemi ayrıca değerlendirilmelidir.
Başarı ölçümünde bu ayrım özellikle önemlidir. Faaliyetleri tamamlamak ile riski gerçekten azaltmak aynı şey değildir.
13. Günlük Hayatta Risk Yönetimi Nasıl Uygulanabilir?
Risk yönetimini günlük hayata uyarlamak için büyük bütçelere veya karmaşık yazılımlara ihtiyaç yoktur. Basit bir örnek üzerinden ilerleyelim: Bir kişi işinden ayrılarak kendi işini kurmayı planlıyor.
İlk aşamada hedefini belirler: Belirli bir sürede sürdürülebilir gelir elde etmek.
İkinci aşamada riskleri listeler: Müşteri bulamama, beklenmeyen giderler, sağlık sorunları, ödeme gecikmeleri ve gelir kaybı.
Üçüncü aşamada riskleri analiz eder: Her olayın olasılığını, olası mali etkisini ve ne kadar hızlı müdahale gerektirdiğini değerlendirir.
Dördüncü aşamada önlemleri seçer: Bütçe oluşturur, başlangıç giderlerini sınırlar, müşteri talebini küçük ölçekte test eder ve mümkünse acil durum birikimi ayırır.
Beşinci aşamada planı uygular ve takip eder: Gelir-gider dengesini düzenli kontrol eder, müşteri geri bildirimlerini inceler ve belirlenen hedeflerden sapma olduğunda yeni kararlar alır.
Son aşamada deneyimlerinden öğrenir: Hangi varsayımların doğru çıktığını, hangi giderlerin öngörülemediğini ve hangi önlemlerin işe yaradığını değerlendirir.
Bu örnekte risk yönetimi, kişinin girişimcilik cesaretini ortadan kaldırmaz. Aksine, daha kontrollü denemeler yapmasına ve hataların maliyetini sınırlamasına yardımcı olur.
Aynı yaklaşım aile bütçesinde, eğitim planlamasında, iş değiştirmede veya bir topluluk etkinliği düzenlerken de kullanılabilir. Önemli olan geleceği kusursuz biçimde tahmin etmek değil, farklı sonuçlara hazırlıklı olmaktır.
Sonuç: Risk Yönetimi Bir Kez Yapılan İş Değil, Sürekli Öğrenme Sürecidir
Risk yönetiminin temel aşamaları; kapsamın belirlenmesi, risklerin tanımlanması, analiz edilmesi, değerlendirilmesi, uygun önlemlerin seçilmesi, planın uygulanması, izleme ve iletişim faaliyetleri ile sürekli iyileştirmeden oluşur. Bu aşamalar birbirinden tamamen bağımsız değildir. Yeni bir bilgi ortaya çıktığında önceki değerlendirmelere dönmek ve planı güncellemek gerekir.
ISO 31000 standardı bu sürecin karar alma ve yönetim faaliyetleriyle bütünleşmesini destekler. NASA'nın Apollo 13 deneyimi ise krizlere hazırlıklı olmanın, ekipler arasında etkili iletişim kurmanın ve yaşanan olaylardan ders çıkarmanın önemini somut biçimde gösterir. Dünya Ekonomik Forumu'nun küresel risk araştırmaları da ekonomik, çevresel, teknolojik ve toplumsal risklerin birbirleriyle bağlantılı olduğunu hatırlatır.
Bana göre etkili risk yönetiminin en önemli ölçütü, hiç sorun yaşanmaması değildir. Belirsizlikleri zamanında fark edebilmek, öncelikleri doğru belirlemek, olumsuz sonuçları sınırlamak ve hata yapıldığında aynı hatayı tekrarlamamak çok daha gerçekçi ölçütlerdir.
Forumda bu konuyu tartışmaya açmak için birkaç soru bırakmak istiyorum:
- Çalıştığınız yerde riskler gerçekten ortaya çıkmadan mı değerlendiriliyor, yoksa sorun yaşandıktan sonra mı önlem alınıyor?
- Sizce bir işletme için en zor risk yönetimi aşaması hangisi: riskleri belirlemek, doğru analiz etmek, yönetime kabul ettirmek veya önlemleri uygulamak?
- Apollo 13 gibi olağanüstü durumlarda başarıyı daha çok teknik hazırlık mı, ekip çalışması mı, yoksa hızlı karar alma mı belirler?
- Bir riskin maliyetini hesaplarken çalışanların güvenini, stresini ve toplumsal etkileri nasıl değerlendirmeliyiz?
- Günlük hayatınızda aldığınız hangi önlem, sonradan düşündüğünüzde büyük bir sorunu önlemiş olabilir?
Kendi deneyimlerimizi paylaşmamız, risk yönetiminin yalnızca teorik bir konu olmadığını göstermenin en iyi yollarından biridir. Belki de başka birinin anlattığı küçük bir uygulama, bizim gözden kaçırdığımız önemli bir riski fark etmemizi sağlayacaktır.
Kaynakça
1. International Organization for Standardization (ISO). ISO 31000:2018 - Risk management - Guidelines. https://www.iso.org/standard/65694.html
2. World Economic Forum. Global Risks Report 2025. 15 Ocak 2025. https://www.weforum.org/publications/global-risks-report-2025/in-full/global-risks-2025-a-world-of-growing-divisions-c943fe3ba0/
3. National Institute of Standards and Technology (NIST). Nelson, A. ve diğerleri. Incident Response Recommendations and Considerations for Cybersecurity Risk Management: A CSF 2.0 Community Profile. NIST SP 800-61 Rev. 3, Nisan 2025. https://csrc.nist.gov/pubs/sp/800/61/r3/final
4. National Aeronautics and Space Administration (NASA). Apollo 13: The Successful Failure. https://www.nasa.gov/missions/apollo/apollo-13-the-successful-failure/
5. NASA Safety and Mission Assurance. Apollo 13 - Accident Investigation and Lessons Learned. https://sma.nasa.gov/sma-disciplines/accllp/apollo-13
Yazıyı daha kısa ve odaklı hâle getirBölümleri daha tutarlı yapılandır
Yazıyı daha kısa ve odaklı hâle getir
Bölümleri daha tutarlı yapılandır
Risk yönetimi aşamalarını tek tabloda özetle
Bu bulgular, risk yönetiminin toplumsal güven, bilgi paylaşımı ve iş birliğiyle yakından bağlantılı olduğunu gösteriyor. Yanlış bilgi yayılması, yalnızca iletişim sorunu değildir; insanların kararlarını, kurumlara duyduğu güveni ve krizlere verilen toplumsal tepkileri etkileyebilir.
Cinsiyet perspektifini de bu çerçevede ele almak gerekir. Erkeklerin sonuç, maliyet, hız veya teknik performans odaklı; kadınların ise ilişkiler, bakım sorumlulukları, güvenlik ve duygusal etkiler odaklı değerlendirmeler yapacağını varsaymak bilimsel açıdan doğru değildir. Bu özellikler bireyden bireye değişir ve cinsiyet, tek başına bir kişinin karar verme biçimini belirlemez.
Bununla birlikte farklı yaşam deneyimleri, risk değerlendirmesine farklı sorular kazandırabilir. Örneğin bir iş yerinde üretimin ne kadar sürede yeniden başlayacağı kadar, kriz sırasında çalışanların çocuk bakımı veya ulaşım sorunlarını nasıl çözeceği de önemlidir. Bir veri ihlalinde mali kayıp ve teknik müdahale kadar, etkilenen kişilerin mahremiyeti, kaygısı ve kuruma duyduğu güven de dikkate alınmalıdır.
Burada dengeli bir yaklaşım, insan odaklı etkileri teknik ve ekonomik ölçütlerin alternatifi olarak değil, onları tamamlayan unsurlar olarak değerlendirmektir.
Risk toplantılarında farklı görevlerdeki çalışanlara söz hakkı vermek, anonim bildirim kanalları oluşturmak ve kararların gerekçelerini açıkça paylaşmak bu açıdan değerlidir. Çünkü bir riskin varlığını ilk fark eden kişi her zaman yönetici veya uzman olmayabilir.
11. Risk Yönetiminde Sık Yapılan Hatalar
Risk yönetimi sürecinde bazı yanlış yaklaşımlar, doğru araçların bile etkisiz kalmasına yol açabilir.
Birinci hata: Bütün riskleri aynı derecede önemli görmek. Risklerin önem derecesi farklıdır. Önceliklendirme yapılmadığında kaynaklar önemsiz sorunlara harcanabilir ve kritik riskler gözden kaçabilir.
İkinci hata: Geçmişte sorun yaşanmamasını güvenlik göstergesi saymak. Bir sistemin bugüne kadar arızalanmamış olması, gelecekte de arızalanmayacağını kanıtlamaz. Özellikle nadir fakat ağır sonuçları olan olaylarda geçmiş veriler tek başına yeterli olmayabilir.
Üçüncü hata: Sadece finansal kayıplara odaklanmak. İş kazaları, çevresel zararlar, veri gizliliği ihlalleri ve çalışanların psikolojik güvenliği de risk değerlendirmesinin parçasıdır.
Dördüncü hata: Plan hazırlayıp uygulamayı takip etmemek. Sorumlusu ve son tarihi olmayan önlemlerin hayata geçirilmesi zorlaşır.
Beşinci hata: Kriz sonrasında öğrenilenleri kaydetmemek. Aynı arızanın, iletişim kopukluğunun veya süreç hatasının tekrarlanması, iyileştirme mekanizmasının yetersiz kaldığına işaret edebilir.
Bu hataların ortak noktası, risk yönetiminin yaşayan bir karar süreci yerine bürokratik bir belge olarak görülmesidir. Oysa asıl değer, elde edilen bilginin davranışları ve uygulamaları değiştirmesinden doğar.
12. Risk Yönetimi Başarısı Nasıl Ölçülür?
Bir risk yönetimi sisteminin başarılı olup olmadığını anlamak için yalnızca gerçekleşen olayların sayısına bakmak yeterli değildir. Bazı dönemlerde olay sayısı azalırken bildirim kültürü de zayıflamış olabilir. Tersine, çalışanların daha fazla ramak kala olayı raporlaması, güvenlik kültürünün geliştiğini gösterebilir.
Bu nedenle farklı göstergeler birlikte kullanılmalıdır:
- Risk azaltma önlemlerinin zamanında tamamlanma oranı.
- Tekrarlayan olayların sıklığı.
- Olaylara müdahale ve hizmetleri yeniden başlatma süresi.
- Kritik sistemlerin yedeklerinin başarıyla geri yüklenebilme oranı.
- Çalışanların risk bildirimlerine verilen yanıtların niteliği.
- Gerçekleşen kayıpların, başlangıçta belirlenen sınırlar içinde kalıp kalmadığı.
Örneğin bir şirketin 20 risk azaltma önleminden 18'ini zamanında tamamladığını düşünelim. Tamamlanma oranı 18/20 × 100 = yüzde 90'dır. Ancak bu oran, bütün risklerin yüzde 90 oranında azaltıldığı anlamına gelmez. Tamamlanan önlemlerin etkisi ve kalan iki önlemin önemi ayrıca değerlendirilmelidir.
Başarı ölçümünde bu ayrım özellikle önemlidir. Faaliyetleri tamamlamak ile riski gerçekten azaltmak aynı şey değildir.
13. Günlük Hayatta Risk Yönetimi Nasıl Uygulanabilir?
Risk yönetimini günlük hayata uyarlamak için büyük bütçelere veya karmaşık yazılımlara ihtiyaç yoktur. Basit bir örnek üzerinden ilerleyelim: Bir kişi işinden ayrılarak kendi işini kurmayı planlıyor.
İlk aşamada hedefini belirler: Belirli bir sürede sürdürülebilir gelir elde etmek.
İkinci aşamada riskleri listeler: Müşteri bulamama, beklenmeyen giderler, sağlık sorunları, ödeme gecikmeleri ve gelir kaybı.
Üçüncü aşamada riskleri analiz eder: Her olayın olasılığını, olası mali etkisini ve ne kadar hızlı müdahale gerektirdiğini değerlendirir.
Dördüncü aşamada önlemleri seçer: Bütçe oluşturur, başlangıç giderlerini sınırlar, müşteri talebini küçük ölçekte test eder ve mümkünse acil durum birikimi ayırır.
Beşinci aşamada planı uygular ve takip eder: Gelir-gider dengesini düzenli kontrol eder, müşteri geri bildirimlerini inceler ve belirlenen hedeflerden sapma olduğunda yeni kararlar alır.
Son aşamada deneyimlerinden öğrenir: Hangi varsayımların doğru çıktığını, hangi giderlerin öngörülemediğini ve hangi önlemlerin işe yaradığını değerlendirir.
Bu örnekte risk yönetimi, kişinin girişimcilik cesaretini ortadan kaldırmaz. Aksine, daha kontrollü denemeler yapmasına ve hataların maliyetini sınırlamasına yardımcı olur.
Aynı yaklaşım aile bütçesinde, eğitim planlamasında, iş değiştirmede veya bir topluluk etkinliği düzenlerken de kullanılabilir. Önemli olan geleceği kusursuz biçimde tahmin etmek değil, farklı sonuçlara hazırlıklı olmaktır.
Sonuç: Risk Yönetimi Bir Kez Yapılan İş Değil, Sürekli Öğrenme Sürecidir
Risk yönetiminin temel aşamaları; kapsamın belirlenmesi, risklerin tanımlanması, analiz edilmesi, değerlendirilmesi, uygun önlemlerin seçilmesi, planın uygulanması, izleme ve iletişim faaliyetleri ile sürekli iyileştirmeden oluşur. Bu aşamalar birbirinden tamamen bağımsız değildir. Yeni bir bilgi ortaya çıktığında önceki değerlendirmelere dönmek ve planı güncellemek gerekir.
ISO 31000 standardı bu sürecin karar alma ve yönetim faaliyetleriyle bütünleşmesini destekler. NASA'nın Apollo 13 deneyimi ise krizlere hazırlıklı olmanın, ekipler arasında etkili iletişim kurmanın ve yaşanan olaylardan ders çıkarmanın önemini somut biçimde gösterir. Dünya Ekonomik Forumu'nun küresel risk araştırmaları da ekonomik, çevresel, teknolojik ve toplumsal risklerin birbirleriyle bağlantılı olduğunu hatırlatır.
Bana göre etkili risk yönetiminin en önemli ölçütü, hiç sorun yaşanmaması değildir. Belirsizlikleri zamanında fark edebilmek, öncelikleri doğru belirlemek, olumsuz sonuçları sınırlamak ve hata yapıldığında aynı hatayı tekrarlamamak çok daha gerçekçi ölçütlerdir.
Forumda bu konuyu tartışmaya açmak için birkaç soru bırakmak istiyorum:
- Çalıştığınız yerde riskler gerçekten ortaya çıkmadan mı değerlendiriliyor, yoksa sorun yaşandıktan sonra mı önlem alınıyor?
- Sizce bir işletme için en zor risk yönetimi aşaması hangisi: riskleri belirlemek, doğru analiz etmek, yönetime kabul ettirmek veya önlemleri uygulamak?
- Apollo 13 gibi olağanüstü durumlarda başarıyı daha çok teknik hazırlık mı, ekip çalışması mı, yoksa hızlı karar alma mı belirler?
- Bir riskin maliyetini hesaplarken çalışanların güvenini, stresini ve toplumsal etkileri nasıl değerlendirmeliyiz?
- Günlük hayatınızda aldığınız hangi önlem, sonradan düşündüğünüzde büyük bir sorunu önlemiş olabilir?
Kendi deneyimlerimizi paylaşmamız, risk yönetiminin yalnızca teorik bir konu olmadığını göstermenin en iyi yollarından biridir. Belki de başka birinin anlattığı küçük bir uygulama, bizim gözden kaçırdığımız önemli bir riski fark etmemizi sağlayacaktır.
Kaynakça
1. International Organization for Standardization (ISO). ISO 31000:2018 - Risk management - Guidelines. https://www.iso.org/standard/65694.html
2. World Economic Forum. Global Risks Report 2025. 15 Ocak 2025. https://www.weforum.org/publications/global-risks-report-2025/in-full/global-risks-2025-a-world-of-growing-divisions-c943fe3ba0/
3. National Institute of Standards and Technology (NIST). Nelson, A. ve diğerleri. Incident Response Recommendations and Considerations for Cybersecurity Risk Management: A CSF 2.0 Community Profile. NIST SP 800-61 Rev. 3, Nisan 2025. https://csrc.nist.gov/pubs/sp/800/61/r3/final
4. National Aeronautics and Space Administration (NASA). Apollo 13: The Successful Failure. https://www.nasa.gov/missions/apollo/apollo-13-the-successful-failure/
5. NASA Safety and Mission Assurance. Apollo 13 - Accident Investigation and Lessons Learned. https://sma.nasa.gov/sma-disciplines/accllp/apollo-13
Yazıyı daha kısa ve odaklı hâle getirBölümleri daha tutarlı yapılandır
Yazıyı daha kısa ve odaklı hâle getir
Bölümleri daha tutarlı yapılandır
Risk yönetimi aşamalarını tek tabloda özetle