Risk Yönetimi Sürecinin İlk Adımı Nedir? Bilimsel Yaklaşımla Riskleri Tanımlamak ve Anlamak
Giriş: Risk Yönetimine Nereden Başlamalıyız?
Günlük hayatımızda, iş dünyasında, sağlık hizmetlerinde ve teknolojik gelişmelerde sürekli olarak belirsizliklerle karşılaşıyoruz. Bir işletmenin yatırım kararı alması, bir hastanenin hasta güvenliğini sağlaması veya bir projenin zamanında tamamlanması, gelecekte ortaya çıkabilecek risklerin doğru değerlendirilmesine bağlıdır. Risk yönetimi konusuna bilimsel açıdan yaklaştığımda beni en çok düşündüren sorulardan biri şu oluyor: Bir riski yönetebilmek için öncelikle neyi bilmemiz gerekir? Tehlikenin büyüklüğünü mü ölçmeliyiz, olasılıkları mı hesaplamalıyız, yoksa kararlarımızı etkileyen belirsizlikleri mi belirlemeliyiz?
Bu soruların yanıtı, risk yönetiminin temelini oluşturan ilk aşamada saklıdır: Risk yönetimi sürecinin ilk adımı, bağlama ve kullanılan yönteme göre kapsam, bağlam ve ölçütlerin belirlenmesiyle birlikte risklerin tanımlanmasıdır. ISO 31000 standardı risk yönetimini sistematik, yapılandırılmış ve kurumsal karar alma süreçleriyle bütünleşik bir yaklaşım olarak ele alır. Bu çerçevede, riskleri değerlendirmeye başlamadan önce kuruluşun hedeflerinin, faaliyet alanının, iç ve dış koşullarının ve risk kabul ölçütlerinin açıklığa kavuşturulması gerekir.
Bununla birlikte, risk yönetiminin ilk adımını yalnızca tehlikeleri listelemek şeklinde yorumlamak eksik bir yaklaşım olur. Bilimsel ve sistematik bir değerlendirme için önce hangi hedeflerin korunacağını ve hangi belirsizliklerin önemli olduğunu anlamalıyız. Gelin, bu konuyu güvenilir kaynaklar, araştırma yöntemleri ve farklı bakış açıları üzerinden birlikte inceleyelim.
1. Risk Yönetiminin İlk Aşaması: Bağlamı Belirlemek ve Riskleri Tanımlamak
Risk, genel olarak belirsizliğin hedefler üzerindeki etkisi şeklinde tanımlanır. Uluslararası Standardizasyon Örgütünün ISO 31000:2018 standardı, risk yönetiminin farklı sektörlerde uygulanabilmesi için ortak ilkeler ve bir çerçeve sunar. Bu yaklaşım, riskin yalnızca olumsuz sonuçlarla sınırlı olmadığını da hatırlatır. Belirsizlik bazı durumlarda kayıp yaratabilirken bazı durumlarda fırsatlar doğurabilir.
Örneğin, bir üretim işletmesi yeni bir otomasyon sistemine yatırım yapmayı planladığında makine arızası, siber saldırı, çalışanların yeni sisteme uyum sağlayamaması ve yatırım maliyetlerinin beklenenden yüksek çıkması gibi risklerle karşılaşabilir. Ancak otomasyon, aynı zamanda verimliliği artırabilir, insan kaynaklı hataları azaltabilir ve uzun vadeli rekabet avantajı sağlayabilir.
Bu nedenle ilk aşamada üç temel soruya yanıt aranmalıdır:
- Hangi hedefleri gerçekleştirmeye çalışıyoruz?
- Bu hedeflerin gerçekleşmesini engelleyebilecek veya destekleyebilecek belirsizlikler nelerdir?
- Hangi koşullarda bir riski kabul edilebilir, önemli veya kritik olarak değerlendireceğiz?
Bu soruların yanıtları, sonraki aşamalarda yapılacak olasılık hesaplamalarının ve etki analizlerinin doğruluğunu belirler. Çünkü hedefler açıkça tanımlanmamışsa bir olayın gerçekten ne ölçüde risk oluşturduğunu değerlendirmek de güçleşir.
Risk tanımlama aşamasında geçmiş olay kayıtları, çalışan görüşmeleri, saha gözlemleri, denetim raporları, teknik veriler ve bilimsel yayınlar kullanılabilir. Ancak yalnızca geçmiş verilere dayanmak yeterli değildir. Daha önce yaşanmamış olaylar da ciddi sonuçlara yol açabilir. Bu nedenle senaryo analizi ve uzman değerlendirmesi gibi yöntemlerin de sürece dâhil edilmesi gerekir.
2. Bilimsel Araştırmalar Risk Yönetiminin İlk Adımı Hakkında Ne Söylüyor?
Risk yönetiminin bilimsel temellerini anlamak için hakemli araştırmaların yanı sıra uluslararası standartlardan ve sistematik derlemelerden yararlanmak önemlidir. Bu kaynaklar farklı kanıt türleri sunar: Standartlar uygulama çerçevesini belirlerken hakemli araştırmalar belirli yöntemlerin hangi koşullarda işe yaradığını veya sınırlı kaldığını inceleyebilir.
Aşağıda üç önemli kaynak ve bunların risk yönetimine katkıları ele alınmıştır.
ISO 31000:2018 - Risk yönetimi ilkeleri ve uygulama çerçevesi
ISO 31000:2018, risk yönetimini kuruluşun yönetişimi, stratejisi ve karar alma süreçleriyle bütünleştiren bir standarttır. Standart, risk değerlendirmesini risklerin tanımlanması, analiz edilmesi ve değerlendirilmesi aşamalarına ayırır. Bu ayrım önemlidir: Bir riski tanımak, onun ne kadar olası veya etkili olduğunu hesaplamakla aynı şey değildir.
Örneğin bir hastane, elektrik kesintisinin yoğun bakım hizmetlerini etkileyebileceğini belirlediğinde henüz riskin tamamını ölçmüş olmaz. Kesintinin gerçekleşme olasılığı, yedek enerji sistemlerinin kapasitesi, müdahale süresi ve hasta güvenliği üzerindeki olası etkiler ayrıca analiz edilmelidir.
Kaynak: International Organization for Standardization. (2018). ISO 31000:2018 Risk management - Guidelines.
Aven (2016) - Risk değerlendirmesinde belirsizlik ve bilgi kalitesi
Terje Aven'in Risk assessment and risk management: Review of recent advances on their foundation başlıklı çalışması, risk değerlendirmesinin yalnızca olasılık ve sonuç hesabına indirgenemeyeceğini tartışır. Risk analizinin güvenilirliği, kullanılan bilginin niteliği ve belirsizliğin nasıl ele alındığıyla yakından ilişkilidir.
Bu yaklaşım, risk tanımlama aşamasında önemli bir noktaya işaret eder: Veri eksikliği, ölçüm hatası veya model belirsizliği gizlenmemeli; açıkça belirtilmelidir. Bir işletmede son beş yılda ciddi bir iş kazası yaşanmamış olması, gelecekte kaza yaşanmayacağının kanıtı değildir. Düşük olay sayısı, yetersiz kayıt tutma veya nadir gerçekleşen ancak ağır sonuçlar doğuran olaylar nedeniyle ortaya çıkmış olabilir.
Kaynak: Aven, T. (2016). Risk assessment and risk management: Review of recent advances on their foundation. European Journal of Operational Research, 253(1), 1–13.
Kaplan ve Garrick (1981) - Riskin nicel olarak tanımlanması
Kaplan ve Garrick'in On the Quantitative Definition of Risk başlıklı çalışması, riskin senaryolar, bu senaryoların olasılıkları ve sonuçları üzerinden ele alınmasını öneren önemli bir çalışmadır. Bu yaklaşım, risk analizinin yalnızca tek bir sayıdan ibaret olmadığını anlamamıza yardımcı olur.
Örneğin bir kimya tesisinde tehlikeli madde sızıntısı senaryosu değerlendirilirken sızıntının nasıl gerçekleşebileceği, gerçekleşme olasılığı ve insan sağlığı ya da çevre üzerindeki sonuçları birlikte düşünülmelidir. Aynı olasılığa sahip iki olayın sonuçları çok farklı olabileceği için yalnızca olasılığa odaklanmak doğru değildir.
Kaynak: Kaplan, S., & Garrick, B. J. (1981). On the quantitative definition of risk. Risk Analysis, 1(1), 11–27.
Bu çalışmaların ortak mesajı şudur: Güvenilir risk yönetimi, belirsizliklerin sistematik biçimde tanımlanmasını, mevcut kanıtların niteliğinin sorgulanmasını ve kararların açık varsayımlara dayanmasını gerektirir.
Giriş: Risk Yönetimine Nereden Başlamalıyız?
Günlük hayatımızda, iş dünyasında, sağlık hizmetlerinde ve teknolojik gelişmelerde sürekli olarak belirsizliklerle karşılaşıyoruz. Bir işletmenin yatırım kararı alması, bir hastanenin hasta güvenliğini sağlaması veya bir projenin zamanında tamamlanması, gelecekte ortaya çıkabilecek risklerin doğru değerlendirilmesine bağlıdır. Risk yönetimi konusuna bilimsel açıdan yaklaştığımda beni en çok düşündüren sorulardan biri şu oluyor: Bir riski yönetebilmek için öncelikle neyi bilmemiz gerekir? Tehlikenin büyüklüğünü mü ölçmeliyiz, olasılıkları mı hesaplamalıyız, yoksa kararlarımızı etkileyen belirsizlikleri mi belirlemeliyiz?
Bu soruların yanıtı, risk yönetiminin temelini oluşturan ilk aşamada saklıdır: Risk yönetimi sürecinin ilk adımı, bağlama ve kullanılan yönteme göre kapsam, bağlam ve ölçütlerin belirlenmesiyle birlikte risklerin tanımlanmasıdır. ISO 31000 standardı risk yönetimini sistematik, yapılandırılmış ve kurumsal karar alma süreçleriyle bütünleşik bir yaklaşım olarak ele alır. Bu çerçevede, riskleri değerlendirmeye başlamadan önce kuruluşun hedeflerinin, faaliyet alanının, iç ve dış koşullarının ve risk kabul ölçütlerinin açıklığa kavuşturulması gerekir.
Bununla birlikte, risk yönetiminin ilk adımını yalnızca tehlikeleri listelemek şeklinde yorumlamak eksik bir yaklaşım olur. Bilimsel ve sistematik bir değerlendirme için önce hangi hedeflerin korunacağını ve hangi belirsizliklerin önemli olduğunu anlamalıyız. Gelin, bu konuyu güvenilir kaynaklar, araştırma yöntemleri ve farklı bakış açıları üzerinden birlikte inceleyelim.
1. Risk Yönetiminin İlk Aşaması: Bağlamı Belirlemek ve Riskleri Tanımlamak
Risk, genel olarak belirsizliğin hedefler üzerindeki etkisi şeklinde tanımlanır. Uluslararası Standardizasyon Örgütünün ISO 31000:2018 standardı, risk yönetiminin farklı sektörlerde uygulanabilmesi için ortak ilkeler ve bir çerçeve sunar. Bu yaklaşım, riskin yalnızca olumsuz sonuçlarla sınırlı olmadığını da hatırlatır. Belirsizlik bazı durumlarda kayıp yaratabilirken bazı durumlarda fırsatlar doğurabilir.
Örneğin, bir üretim işletmesi yeni bir otomasyon sistemine yatırım yapmayı planladığında makine arızası, siber saldırı, çalışanların yeni sisteme uyum sağlayamaması ve yatırım maliyetlerinin beklenenden yüksek çıkması gibi risklerle karşılaşabilir. Ancak otomasyon, aynı zamanda verimliliği artırabilir, insan kaynaklı hataları azaltabilir ve uzun vadeli rekabet avantajı sağlayabilir.
Bu nedenle ilk aşamada üç temel soruya yanıt aranmalıdır:
- Hangi hedefleri gerçekleştirmeye çalışıyoruz?
- Bu hedeflerin gerçekleşmesini engelleyebilecek veya destekleyebilecek belirsizlikler nelerdir?
- Hangi koşullarda bir riski kabul edilebilir, önemli veya kritik olarak değerlendireceğiz?
Bu soruların yanıtları, sonraki aşamalarda yapılacak olasılık hesaplamalarının ve etki analizlerinin doğruluğunu belirler. Çünkü hedefler açıkça tanımlanmamışsa bir olayın gerçekten ne ölçüde risk oluşturduğunu değerlendirmek de güçleşir.
Risk tanımlama aşamasında geçmiş olay kayıtları, çalışan görüşmeleri, saha gözlemleri, denetim raporları, teknik veriler ve bilimsel yayınlar kullanılabilir. Ancak yalnızca geçmiş verilere dayanmak yeterli değildir. Daha önce yaşanmamış olaylar da ciddi sonuçlara yol açabilir. Bu nedenle senaryo analizi ve uzman değerlendirmesi gibi yöntemlerin de sürece dâhil edilmesi gerekir.
2. Bilimsel Araştırmalar Risk Yönetiminin İlk Adımı Hakkında Ne Söylüyor?
Risk yönetiminin bilimsel temellerini anlamak için hakemli araştırmaların yanı sıra uluslararası standartlardan ve sistematik derlemelerden yararlanmak önemlidir. Bu kaynaklar farklı kanıt türleri sunar: Standartlar uygulama çerçevesini belirlerken hakemli araştırmalar belirli yöntemlerin hangi koşullarda işe yaradığını veya sınırlı kaldığını inceleyebilir.
Aşağıda üç önemli kaynak ve bunların risk yönetimine katkıları ele alınmıştır.
ISO 31000:2018 - Risk yönetimi ilkeleri ve uygulama çerçevesi
ISO 31000:2018, risk yönetimini kuruluşun yönetişimi, stratejisi ve karar alma süreçleriyle bütünleştiren bir standarttır. Standart, risk değerlendirmesini risklerin tanımlanması, analiz edilmesi ve değerlendirilmesi aşamalarına ayırır. Bu ayrım önemlidir: Bir riski tanımak, onun ne kadar olası veya etkili olduğunu hesaplamakla aynı şey değildir.
Örneğin bir hastane, elektrik kesintisinin yoğun bakım hizmetlerini etkileyebileceğini belirlediğinde henüz riskin tamamını ölçmüş olmaz. Kesintinin gerçekleşme olasılığı, yedek enerji sistemlerinin kapasitesi, müdahale süresi ve hasta güvenliği üzerindeki olası etkiler ayrıca analiz edilmelidir.
Kaynak: International Organization for Standardization. (2018). ISO 31000:2018 Risk management - Guidelines.
Aven (2016) - Risk değerlendirmesinde belirsizlik ve bilgi kalitesi
Terje Aven'in Risk assessment and risk management: Review of recent advances on their foundation başlıklı çalışması, risk değerlendirmesinin yalnızca olasılık ve sonuç hesabına indirgenemeyeceğini tartışır. Risk analizinin güvenilirliği, kullanılan bilginin niteliği ve belirsizliğin nasıl ele alındığıyla yakından ilişkilidir.
Bu yaklaşım, risk tanımlama aşamasında önemli bir noktaya işaret eder: Veri eksikliği, ölçüm hatası veya model belirsizliği gizlenmemeli; açıkça belirtilmelidir. Bir işletmede son beş yılda ciddi bir iş kazası yaşanmamış olması, gelecekte kaza yaşanmayacağının kanıtı değildir. Düşük olay sayısı, yetersiz kayıt tutma veya nadir gerçekleşen ancak ağır sonuçlar doğuran olaylar nedeniyle ortaya çıkmış olabilir.
Kaynak: Aven, T. (2016). Risk assessment and risk management: Review of recent advances on their foundation. European Journal of Operational Research, 253(1), 1–13.
Kaplan ve Garrick (1981) - Riskin nicel olarak tanımlanması
Kaplan ve Garrick'in On the Quantitative Definition of Risk başlıklı çalışması, riskin senaryolar, bu senaryoların olasılıkları ve sonuçları üzerinden ele alınmasını öneren önemli bir çalışmadır. Bu yaklaşım, risk analizinin yalnızca tek bir sayıdan ibaret olmadığını anlamamıza yardımcı olur.
Örneğin bir kimya tesisinde tehlikeli madde sızıntısı senaryosu değerlendirilirken sızıntının nasıl gerçekleşebileceği, gerçekleşme olasılığı ve insan sağlığı ya da çevre üzerindeki sonuçları birlikte düşünülmelidir. Aynı olasılığa sahip iki olayın sonuçları çok farklı olabileceği için yalnızca olasılığa odaklanmak doğru değildir.
Kaynak: Kaplan, S., & Garrick, B. J. (1981). On the quantitative definition of risk. Risk Analysis, 1(1), 11–27.
Bu çalışmaların ortak mesajı şudur: Güvenilir risk yönetimi, belirsizliklerin sistematik biçimde tanımlanmasını, mevcut kanıtların niteliğinin sorgulanmasını ve kararların açık varsayımlara dayanmasını gerektirir.