Sude
New member
Risk Haritası Nedir? Riskleri Görmek Yetmez, Doğru Okumak Gerekir
Risk Haritası Nedir?
Risk haritası denince benim aklıma ilk olarak toplantı odasında duvara asılmış, kırmızıdan yeşile uzanan karelerden oluşan klasik tablolar geliyor. Bir dönem ben de bu tür tabloların risk yönetiminin kendisi olduğunu düşünüyordum. Bir risk kırmızıysa “önemli”, sarıysa “izlenmeli”, yeşilse “sorun yok” gibi oldukça basit bir mantıkla bakıyordum. Fakat zaman içinde şunu fark ettim: Asıl mesele haritayı oluşturmak değil, o haritanın arkasındaki varsayımları sorgulamak.
Çünkü bir risk haritası bize önemli bir şeyi gösterirken aynı zamanda bazı şeyleri gizleyebilir.
Risk haritası en basit tanımıyla, belirlenen riskleri genellikle olasılık ve etki gibi ölçütlere göre sınıflandırıp görsel olarak gösteren bir risk değerlendirme aracıdır. Kurumlar bunu finansal kayıplardan iş kazalarına, siber saldırılardan tedarik zinciri problemlerine kadar pek çok alanda kullanabilir. ISO 31000 da risk yönetimini yalnızca riskleri listelemekten ibaret görmez; risklerin tanımlanması, analiz edilmesi, değerlendirilmesi, ele alınması, izlenmesi ve iletişimini kapsayan bütünsel bir yaklaşım önerir.
Dolayısıyla risk haritasını “renkli bir tablo” olarak değil, karar vermeyi kolaylaştıran bir araç olarak görmek daha doğru.
Risk Haritası Nasıl Oluşturulur?
Tipik bir risk haritasında yatay eksende riskin gerçekleşme olasılığı, dikey eksende ise gerçekleşmesi durumundaki etkisi bulunur. Örneğin bir riskin olasılığı 1 ile 5, etkisi de 1 ile 5 arasında puanlanabilir. Bu iki değer çarpılarak veya önceden belirlenmiş bir matris mantığıyla riskin öncelik düzeyi ortaya çıkarılabilir.
Örneğin:
- Düşük olasılık + düşük etki = düşük öncelikli risk
- Yüksek olasılık + düşük etki = izlenmesi gereken risk
- Düşük olasılık + yüksek etki = kritik hazırlık gerektiren risk
- Yüksek olasılık + yüksek etki = acil müdahale gerektiren risk
Ancak burada önemli bir ayrıntı var: 5 × 5 gibi görünen matematiksel düzen, gerçekte ölçümlerin de aynı derecede kesin olduğu anlamına gelmez.
Bir siber saldırının gerçekleşme olasılığını gerçekten “4/5” olarak ölçmekle, bir depoda forklift kazası ihtimalini “4/5” olarak değerlendirmek aynı şey değildir. Verilerin niteliği, geçmiş kayıtların yeterliliği, uzman görüşünün güvenilirliği ve kullanılan varsayımlar sonucu ciddi biçimde etkileyebilir.
Bu nedenle risk haritasının sayısal görünümü, kullanıcıda olduğundan fazla kesinlik hissi yaratabilir.
Risk Haritasının En Güçlü Tarafı: Karmaşık Bilgiyi Görünür Kılması
Risk haritalarının hakkını teslim etmek gerekiyor. Özellikle büyük kuruluşlarda yüzlerce riskin bulunduğu düşünüldüğünde, bunların yöneticilerin anlayabileceği sade bir biçime dönüştürülmesi ciddi avantaj sağlar.
Örneğin bir şirketin aynı anda finansal riskleri, çalışan güvenliği riskleri, itibar riskleri, hukuki riskleri ve teknolojik riskleri olabilir. Bunların tamamını uzun raporlar halinde sunmak karar vericilerin önemli noktaları gözden kaçırmasına yol açabilir.
Harita burada bir tür filtre görevi görür.
Hangi riskler önce ele alınmalı?
Hangi riskler için daha fazla kaynak ayrılmalı?
Hangi risklerin sadece izlenmesi yeterli?
Bu sorulara hızlı bir başlangıç noktası sağlar.
ISO 31000'in yaklaşımı da risk yönetiminin kurumun stratejisi, yönetişimi, planlaması ve karar alma süreçleriyle bütünleştirilmesi gerektiğini vurgular. Yani iyi hazırlanmış bir risk haritası, tek başına duran bir belge değil, karar alma sisteminin parçası olmalıdır.
Peki Risk Haritalarının Zayıf Tarafları Neler?
Bence en kritik problem, risk haritalarının bazen gerçekliği olduğundan daha düzenli göstermesi.
Hayat düzenli bir 5 × 5 matris değildir.
Bir riskin gerçekleşme ihtimali ile etkisi her zaman bağımsız değildir. Bir risk gerçekleştiğinde başka riskleri tetikleyebilir. Örneğin büyük bir siber saldırı yalnızca bilgisayar sistemlerini etkileyebilir diye düşünürken olay aynı zamanda müşteri kaybına, hukuki sorunlara, operasyonel kesintilere ve itibar zararına dönüşebilir.
Burada “tek tek riskler” yerine riskler arasındaki bağlantıları düşünmek gerekir.
İkinci problem ise düşük olasılıklı ama çok yüksek etkili olayların nasıl değerlendirileceğidir. Deprem, büyük bir siber saldırı veya kritik bir tedarikçinin tamamen devre dışı kalması her gün yaşanmayabilir. Fakat meydana geldiğinde sonuçları son derece ağır olabilir.
Bu nedenle yalnızca geçmişte kaç kez gerçekleştiğine bakmak yeterli değildir.
Üçüncü sorun da verinin kalitesidir. Eğer bir riskin puanı büyük ölçüde kişisel tahmine dayanıyorsa, ortaya çıkan renkli tablo bilimsel görünse bile temelde öznel olabilir.
Risk haritasının en tehlikeli hali belki de budur: Belirsizliği ölçmüş gibi göstermek.
Risk Haritası ile Risk Gerçekliği Aynı Şey Değildir
Bir noktayı özellikle ayırmak gerektiğini düşünüyorum: Risk haritası gerçekliğin kendisi değildir; gerçekliğe ilişkin bir modeldir.
Modeller yararlıdır çünkü gerçek dünyanın bütün karmaşıklığını aynı anda yönetemeyiz. Fakat modelin basitleştirme yaptığını unuttuğumuz anda sorun başlar.
Örneğin bir fabrikada iş kazası riskinin “sarı” olarak gösterildiğini düşünelim. Bu, kazanın önemsiz olduğu anlamına gelmez. Sadece belirlenen kriterlere göre belirli bir seviyede değerlendirildiğini gösterir.
Aynı şekilde yeşil renk “güvenli” demek değildir.
Yeşil renk çoğu zaman “belirlenen eşiklerin altında” anlamına gelir.
Bu ikisi arasında çok büyük fark var.
Risk yönetiminde amaç bütün riskleri sıfırlamak da değildir. ISO 31000 yaklaşımı risk yönetimini kurumun amaçlarına ulaşmasını destekleyen sürekli bir süreç olarak ele alır.
Erkekler ve Kadınlar Riskleri Aynı Şekilde mi Değerlendirir?
Bu konuya değinirken dikkatli olmak gerekiyor. “Erkekler stratejiktir, kadınlar empatiktir” şeklinde kesin cümleler kurmak hem bilimsel açıdan zayıf hem de bireysel farklılıkları görmezden gelen bir yaklaşım olur.
Bununla birlikte araştırmalarda bazı ortalama cinsiyet farklılıkları gözlemlenmiş durumda. Örneğin geniş bir meta-analizde erkeklerin risk alma ve heyecan arama davranışlarında ortalama olarak daha yüksek puanlara sahip olabildiği, kadınların ise ceza duyarlılığında daha yüksek ortalama gösterdiği bulunmuştur. Ancak bu sonuçlar bireyleri tek tek tanımlamak için kullanılabilecek bir “kişilik şablonu” değildir.
Daha da önemlisi, 50 binden fazla kişinin yer aldığı 97 örneklemi inceleyen bir meta-analiz, erkeklerde risk, zaman ve sosyal tercihler açısından daha yüksek değişkenliğe ilişkin kanıtlar bulmuştur. Bu bulgu aslında ortalamalara bakmanın neden yetersiz olabileceğini gösteriyor: Aynı cinsiyet grubunun içinde de çok büyük farklılıklar var.
Bu yüzden risk toplantısında erkek çalışanların daha stratejik, kadın çalışanların ise daha empatik olduğunu varsaymak yerine, ekibin farklı düşünme biçimlerinden yararlanmak daha sağlıklı.
Risk Haritası Nedir?
Risk haritası denince benim aklıma ilk olarak toplantı odasında duvara asılmış, kırmızıdan yeşile uzanan karelerden oluşan klasik tablolar geliyor. Bir dönem ben de bu tür tabloların risk yönetiminin kendisi olduğunu düşünüyordum. Bir risk kırmızıysa “önemli”, sarıysa “izlenmeli”, yeşilse “sorun yok” gibi oldukça basit bir mantıkla bakıyordum. Fakat zaman içinde şunu fark ettim: Asıl mesele haritayı oluşturmak değil, o haritanın arkasındaki varsayımları sorgulamak.
Çünkü bir risk haritası bize önemli bir şeyi gösterirken aynı zamanda bazı şeyleri gizleyebilir.
Risk haritası en basit tanımıyla, belirlenen riskleri genellikle olasılık ve etki gibi ölçütlere göre sınıflandırıp görsel olarak gösteren bir risk değerlendirme aracıdır. Kurumlar bunu finansal kayıplardan iş kazalarına, siber saldırılardan tedarik zinciri problemlerine kadar pek çok alanda kullanabilir. ISO 31000 da risk yönetimini yalnızca riskleri listelemekten ibaret görmez; risklerin tanımlanması, analiz edilmesi, değerlendirilmesi, ele alınması, izlenmesi ve iletişimini kapsayan bütünsel bir yaklaşım önerir.
Dolayısıyla risk haritasını “renkli bir tablo” olarak değil, karar vermeyi kolaylaştıran bir araç olarak görmek daha doğru.
Risk Haritası Nasıl Oluşturulur?
Tipik bir risk haritasında yatay eksende riskin gerçekleşme olasılığı, dikey eksende ise gerçekleşmesi durumundaki etkisi bulunur. Örneğin bir riskin olasılığı 1 ile 5, etkisi de 1 ile 5 arasında puanlanabilir. Bu iki değer çarpılarak veya önceden belirlenmiş bir matris mantığıyla riskin öncelik düzeyi ortaya çıkarılabilir.
Örneğin:
- Düşük olasılık + düşük etki = düşük öncelikli risk
- Yüksek olasılık + düşük etki = izlenmesi gereken risk
- Düşük olasılık + yüksek etki = kritik hazırlık gerektiren risk
- Yüksek olasılık + yüksek etki = acil müdahale gerektiren risk
Ancak burada önemli bir ayrıntı var: 5 × 5 gibi görünen matematiksel düzen, gerçekte ölçümlerin de aynı derecede kesin olduğu anlamına gelmez.
Bir siber saldırının gerçekleşme olasılığını gerçekten “4/5” olarak ölçmekle, bir depoda forklift kazası ihtimalini “4/5” olarak değerlendirmek aynı şey değildir. Verilerin niteliği, geçmiş kayıtların yeterliliği, uzman görüşünün güvenilirliği ve kullanılan varsayımlar sonucu ciddi biçimde etkileyebilir.
Bu nedenle risk haritasının sayısal görünümü, kullanıcıda olduğundan fazla kesinlik hissi yaratabilir.
Risk Haritasının En Güçlü Tarafı: Karmaşık Bilgiyi Görünür Kılması
Risk haritalarının hakkını teslim etmek gerekiyor. Özellikle büyük kuruluşlarda yüzlerce riskin bulunduğu düşünüldüğünde, bunların yöneticilerin anlayabileceği sade bir biçime dönüştürülmesi ciddi avantaj sağlar.
Örneğin bir şirketin aynı anda finansal riskleri, çalışan güvenliği riskleri, itibar riskleri, hukuki riskleri ve teknolojik riskleri olabilir. Bunların tamamını uzun raporlar halinde sunmak karar vericilerin önemli noktaları gözden kaçırmasına yol açabilir.
Harita burada bir tür filtre görevi görür.
Hangi riskler önce ele alınmalı?
Hangi riskler için daha fazla kaynak ayrılmalı?
Hangi risklerin sadece izlenmesi yeterli?
Bu sorulara hızlı bir başlangıç noktası sağlar.
ISO 31000'in yaklaşımı da risk yönetiminin kurumun stratejisi, yönetişimi, planlaması ve karar alma süreçleriyle bütünleştirilmesi gerektiğini vurgular. Yani iyi hazırlanmış bir risk haritası, tek başına duran bir belge değil, karar alma sisteminin parçası olmalıdır.
Peki Risk Haritalarının Zayıf Tarafları Neler?
Bence en kritik problem, risk haritalarının bazen gerçekliği olduğundan daha düzenli göstermesi.
Hayat düzenli bir 5 × 5 matris değildir.
Bir riskin gerçekleşme ihtimali ile etkisi her zaman bağımsız değildir. Bir risk gerçekleştiğinde başka riskleri tetikleyebilir. Örneğin büyük bir siber saldırı yalnızca bilgisayar sistemlerini etkileyebilir diye düşünürken olay aynı zamanda müşteri kaybına, hukuki sorunlara, operasyonel kesintilere ve itibar zararına dönüşebilir.
Burada “tek tek riskler” yerine riskler arasındaki bağlantıları düşünmek gerekir.
İkinci problem ise düşük olasılıklı ama çok yüksek etkili olayların nasıl değerlendirileceğidir. Deprem, büyük bir siber saldırı veya kritik bir tedarikçinin tamamen devre dışı kalması her gün yaşanmayabilir. Fakat meydana geldiğinde sonuçları son derece ağır olabilir.
Bu nedenle yalnızca geçmişte kaç kez gerçekleştiğine bakmak yeterli değildir.
Üçüncü sorun da verinin kalitesidir. Eğer bir riskin puanı büyük ölçüde kişisel tahmine dayanıyorsa, ortaya çıkan renkli tablo bilimsel görünse bile temelde öznel olabilir.
Risk haritasının en tehlikeli hali belki de budur: Belirsizliği ölçmüş gibi göstermek.
Risk Haritası ile Risk Gerçekliği Aynı Şey Değildir
Bir noktayı özellikle ayırmak gerektiğini düşünüyorum: Risk haritası gerçekliğin kendisi değildir; gerçekliğe ilişkin bir modeldir.
Modeller yararlıdır çünkü gerçek dünyanın bütün karmaşıklığını aynı anda yönetemeyiz. Fakat modelin basitleştirme yaptığını unuttuğumuz anda sorun başlar.
Örneğin bir fabrikada iş kazası riskinin “sarı” olarak gösterildiğini düşünelim. Bu, kazanın önemsiz olduğu anlamına gelmez. Sadece belirlenen kriterlere göre belirli bir seviyede değerlendirildiğini gösterir.
Aynı şekilde yeşil renk “güvenli” demek değildir.
Yeşil renk çoğu zaman “belirlenen eşiklerin altında” anlamına gelir.
Bu ikisi arasında çok büyük fark var.
Risk yönetiminde amaç bütün riskleri sıfırlamak da değildir. ISO 31000 yaklaşımı risk yönetimini kurumun amaçlarına ulaşmasını destekleyen sürekli bir süreç olarak ele alır.
Erkekler ve Kadınlar Riskleri Aynı Şekilde mi Değerlendirir?
Bu konuya değinirken dikkatli olmak gerekiyor. “Erkekler stratejiktir, kadınlar empatiktir” şeklinde kesin cümleler kurmak hem bilimsel açıdan zayıf hem de bireysel farklılıkları görmezden gelen bir yaklaşım olur.
Bununla birlikte araştırmalarda bazı ortalama cinsiyet farklılıkları gözlemlenmiş durumda. Örneğin geniş bir meta-analizde erkeklerin risk alma ve heyecan arama davranışlarında ortalama olarak daha yüksek puanlara sahip olabildiği, kadınların ise ceza duyarlılığında daha yüksek ortalama gösterdiği bulunmuştur. Ancak bu sonuçlar bireyleri tek tek tanımlamak için kullanılabilecek bir “kişilik şablonu” değildir.
Daha da önemlisi, 50 binden fazla kişinin yer aldığı 97 örneklemi inceleyen bir meta-analiz, erkeklerde risk, zaman ve sosyal tercihler açısından daha yüksek değişkenliğe ilişkin kanıtlar bulmuştur. Bu bulgu aslında ortalamalara bakmanın neden yetersiz olabileceğini gösteriyor: Aynı cinsiyet grubunun içinde de çok büyük farklılıklar var.
Bu yüzden risk toplantısında erkek çalışanların daha stratejik, kadın çalışanların ise daha empatik olduğunu varsaymak yerine, ekibin farklı düşünme biçimlerinden yararlanmak daha sağlıklı.