Bir tedarikçinin fabrikasında çıkan yangın, aynı hafta üç ayrı OEM'in montaj hattını durma noktasına getirdiğinde, o tedarikçiye bağımlı firmaların kalite müdürleri aynı soruyla uyandı: "Tek kaynağa bağlı bu parça için bir B planımız var mıydı?" Çoğunun cevabı hayırdı. İşte IATF 16949'da risk bazlı düşünme tam da bu sabahı önceden yaşamakla ilgilidir. Standart, kötü senaryoyu gerçekleşmeden önce masaya yatırmanızı, olasılığını ve etkisini tartmanızı ve bir aksiyon bağlamanızı ister. Bu yazıda kavramı denetimde nasıl sorgulandığıyla birlikte, kâğıt üstünde kalmadan nasıl uygulanacağını anlatıyoruz.
Önleyici faaliyetten risk bazlı düşünmeye
Eski otomotiv standardında "önleyici faaliyet" diye ayrı bir madde vardı. Amacı iyiydi ama pratikte çoğu firmada bir formun doldurulup dosyalanmasına indirgeniyordu. ISO 9001:2015 ve onun üzerine kurulan IATF 16949 bu maddeyi kaldırdı; yerine tüm sisteme yayılan bir risk bazlı düşünme anlayışı koydu. Fark inceydi ama önemliydi: artık risk, ayrı bir form değil, her kararın ve her prosesin doğal bir parçası olmalı.
Bu değişikliğin geçiş projelerindeki karşılığını ISO/TS 16949'dan IATF 16949'a geçiş yazımızda ayrıntılandırıyoruz. Kısaca: risk artık bir bölümün değil, tüm kuruluşun düşünme biçimidir.
Risk üç seviyede yaşar
IATF 16949'da risk bazlı düşünmeyi anlamanın en pratik yolu, riski üç ayrı seviyede görmektir. Bunlar birbirinden bağımsız değil, iç içedir:
| Seviye | Kapsam | Tipik araç |
|---|---|---|
| Kurumsal risk | Pazar, tedarik zinciri, afet, siber, insan kaynağı | Risk kaydı, bağlam analizi |
| Proses riski | Her sürecin kendi tehdit ve fırsatı | Risk matrisi, KPI izleme |
| Ürün / proses hatası | Tasarım ve üretimde hata modları | DFMEA, PFMEA |
Birçok firma sadece en alttaki satırı, yani FMEA'yı yapar ve risk yönetimini tamamladığını sanır. Oysa denetçi üstteki iki seviyeyi de sorar: "Tek kaynak riskiniz için ne yaptınız? Bu prosesin performans riski nasıl yönetiliyor?" FMEA güçlü bir araçtır ama bütünün yalnızca bir parçasıdır.
Bağlam analizi: riskin başladığı yer
Risk bazlı düşünme, kuruluşun bağlamını anlamakla başlar. Firmanızı etkileyen iç ve dış etkenler nelerdir? Hangi tarafların (müşteri, tedarikçi, çalışan, yasal merci) beklentileri sizi bağlar? Bu soruların cevabı, riskleri ve fırsatları belirlemenin zeminini kurar. Bağlam analizi olmadan yapılan risk değerlendirmesi havada kalır; çünkü neyin sizin için gerçekten tehdit olduğunu bilmeden riski önceliklendiremezsiniz.
Bağlamı analiz ettikten sonra riskleri bir yapıya oturtmak gerekir. Burada bir risk değerlendirme matrisi devreye girer: her riski olasılık ve etki ekseninde tartar, yüksek olanları öne çıkarır. Böylece kısıtlı kaynağınızı en çok fark yaratacak yere ayırırsınız.
Risk kayıtlarının en sık düştüğü tuzak, "her şey orta risk" tablosudur. Bir firmanın risk kaydında yirmi maddenin on sekizi orta seviyedeydi. Böyle bir tablo hiçbir işe yaramaz, çünkü öncelik vermez. Riski dürüstçe puanlayın; bazıları gerçekten yüksek, bazıları gerçekten düşük olmalı. Aksi halde matris bir dolgu malzemesine dönüşür.
Risk ile FMEA'nın bağı
Proses ve ürün seviyesinde risk bazlı düşünmenin en güçlü aracı FMEA'dır. FMEA, bir ürün ya da proseste ortaya çıkabilecek hataları, nedenlerini ve etkilerini önceden belirleyip önceliklendirir. IATF 16949'un risk yaklaşımıyla FMEA doğal olarak birbirine bağlanır: kurumsal risk kaydında beliren bir tehdit, çoğu zaman proses FMEA'sında bir hata moduna karşılık gelir.
Önemli olan bu bağı kurmaktır. Kurumsal risk kaydı bir tarafta, FMEA'lar bambaşka bir klasörde durunca sistem parçalanır. İyi kurulmuş bir yapıda, yüksek bir kurumsal risk, ilgili prosesin FMEA'sında güçlendirilmiş bir kontrole ve bir aksiyona dönüşür. Süreç bazında risk yönetiminin ayrıntısını süreç yaklaşımı yazımızda bulabilirsiniz.
Acil durum planları: riskin somut karşılığı
IATF 16949, risk bazlı düşünmeyi soyut bırakmaz; onu acil durum planları ile sahaya indirir. Standart, üretimin kesintiye uğrayabileceği senaryolar için gerçekçi planlar ister: temel ekipman arızası, tek kaynaklı tedarikçinin durması, enerji veya hammadde kesintisi, siber olay, doğal afet, kilit personelin kaybı. Bu planlar, yazının başındaki yangın senaryosunun cevabıdır.
Denetçi bu planlara baktığında iki şey arar: gerçekçilik ve tazelik. "İş sürekliliği planı" başlıklı ama içi genel geçer cümlelerle dolu bir doküman kimseyi kurtarmaz. Planın belirli senaryolara, sorumlulara ve tetikleyici koşullara bağlı olması; ayrıca düzenli gözden geçirilip mümkünse test edilmiş olması beklenir.
Risk bazlı düşünmeyi denetlerken favori sorum şudur: "Geçen yıl gerçekleşen bir riskinizi anlatın; risk kaydınızda var mıydı, planınız işledi mi?" İyi bir firma bana somut bir olay ve sistemin nasıl devreye girdiğini anlatır. Cevap gelmezse, risk yönetiminin yaşayan bir süreç değil, denetim için hazırlanmış bir tablo olduğunu anlarım.
Fırsatları da unutmayın
Risk bazlı düşünme yalnızca tehditlerle ilgili değildir; fırsatları da kapsar. Yeni bir üretim teknolojisi, bir verimlilik iyileştirmesi, bir pazar imkânı da değerlendirilmesi gereken birer fırsattır. IATF yaklaşımı, kuruluşun bir yandan olumsuz riskleri azaltmasını, bir yandan olumlu fırsatları değerlendirmesini bekler. Sadece savunma yapan değil, ileriye de bakan bir yönetim anlayışı istenir. Kurumsal risk ve fırsat yönetiminin araç tarafını risk yönetimi yazılımı rehberimizde ele alıyoruz.
Risk kaydını sahada nasıl kurarsınız?
Teoriden sahaya inelim. İşleyen bir risk kaydı kurmak için deneyimimize göre şu sıra iyi sonuç verir:
- Kaynakları tarayın: Riskleri havadan bulmaya çalışmayın. Müşteri şikâyetleri, geçmiş uygunsuzluklar, sahadan dönen parçalar, tedarikçi performansı ve YGG kararları en zengin risk kaynaklarıdır.
- Riski somut yazın: "Kalite düşebilir" gibi cümleler işe yaramaz. "X tedarikçisi tek kaynak; durması halinde Y parçasının teslimi durur" gibi somut, senaryoya bağlı ifadeler kullanın.
- Olasılık ve etkiyi ayrı puanlayın: Her riski iki eksende değerlendirin; ikisinin birleşimi önceliği verir. Böylece nadir ama yıkıcı bir olayı, sık ama önemsiz bir olaydan ayırt edersiniz.
- Aksiyona ve sorumluya bağlayın: Puanladığınız her yüksek risk, bir sorumlusu ve termini olan bir aksiyona dönüşmeli. Aksiyonsuz risk kaydı, yalnızca bir endişe listesidir.
- Gözden geçirme ritmini kurun: Risk kaydı canlı bir dokümandır. Yeni bir olay, değişen bir tedarik koşulu ya da bir proses değişikliği kaydı güncellemenizi gerektirir.
Bu adımlar, risk yönetimini bir formu doldurmaktan çıkarıp gerçek bir karar aracına dönüştürür. Kurumsal risk ile proses riskini aynı mantıkla ele almak, sistemi hem denetimde hem sahada tutarlı kılar; bu tutarlılığı süreç yaklaşımı yazımızla birlikte okumak faydalı olur.
Riski tek platformda canlı tutmak
Kurumsal risk kaydı, proses riskleri, FMEA'lar ve acil durum planları farklı dosyalarda dağınık durduğunda risk bazlı düşünme çabuk kâğıt üstünde kalır. Bir platform üzerinde bağlam, risk matrisi, FMEA bağı ve aksiyon takibi aynı yerde tutulduğunda, yüksek bir risk otomatik olarak bir aksiyona ve sorumluya bağlanır; gözden geçirme tarihleri hatırlatılır. Böylece risk yönetimi, denetimden önce doldurulan bir tablo olmaktan çıkar ve kuruluşun gerçekten daha az sürprizle çalışmasını sağlayan canlı bir sisteme dönüşür.