Ekranda risk tablosu açıktı. Yedinci satırda "tek tedarikçiye bağımlılık" yazıyordu, aksiyon sütununda "alternatif tedarikçi bulunacak", termin ise sekiz ay önceye tarihliydi. Denetçi sadece sonucu sordu: alternatif tedarikçi bulundu mu? Mühendis dosyayı sağa kaydırdı, kaydırdı; "etkinlik" sütunu bomboştu. Aksiyon ne kapanmıştı ne de iptal edilmişti, sadece unutulmuştu. ISO 9001 madde 6.1 risk ve fırsat maddesinden yazılan bulguların büyük çoğunluğu risk listesinin yokluğundan değil, listedeki aksiyonların akıbetsiz kalmasından doğar.
Madde 6.1 ne ister, ne istemez
Standart 6.1.1'de, kalite yönetim sistemini planlarken 4.1'deki bağlam konularını ve 4.2'deki ilgili taraf şartlarını dikkate almanızı ve ele alınması gereken riskleri ve fırsatları belirlemenizi ister. Amaç dört başlıkta toplanır: sistemin amaçlanan sonuçlara ulaşacağına güvence vermek, istenen etkileri artırmak, istenmeyen etkileri önlemek veya azaltmak, iyileştirme sağlamak.
6.1.2 ise işin ikinci yarısını anlatır: bu risk ve fırsatları ele alacak aksiyonları planlamak, bunları süreçlere entegre edip uygulamak ve etkinliğini değerlendirmek. Aksiyonlar, ürün ve hizmet uygunluğu üzerindeki potansiyel etkiyle orantılı olmalıdır. Yani her riske aynı ağırlıkta aksiyon yazmak da gerekmez.
Standardın istemediği şeyleri de söyleyelim, çünkü sahada gereksiz iş buradan doğuyor: biçimsel bir risk yönetimi metodolojisi zorunlu değil, olasılık-şiddet puanlaması zorunlu değil, ayrı bir "risk prosedürü" zorunlu değil ve dokümante edilmiş bir risk kaydı da açıkça istenmiyor. Ama zinciri kanıtlamanız isteniyor; bunun en kolay yolu da bir tablo tutmak. Risk kavramının sistemdeki yerini risk yönetimi sayfamızda toparladık.
Bir noktayı da netleştirelim: ISO 9001 madde 6.1 risk ve fırsat maddesi "önleyici faaliyet" başlığının yerini aldı. 2008 sürümündeki ayrı önleyici faaliyet maddesi kaldırıldı, çünkü sistemin tamamı zaten önleyici bir mantıkla kuruldu. Hâlâ ayrı bir önleyici faaliyet formu döndüren firmalar var; yanlış değil ama gereksiz iş. Aynı işi risk kaydı üzerinden yürütmek hem daha az form hem daha izlenebilir bir zincir üretiyor.
İyi bir risk satırında ne var?
Aşağıdaki tablo, bir metal işleme tedarikçisinin risk kaydından alınmış dört satır. Sütun başlıklarına dikkat edin: her satır bir kaynağa dayanıyor ve her satırın sonunda etkinlik değerlendirmesi var.
| Risk / fırsat | Kaynağı | Tepki ve aksiyon | Sorumlu / termin | Etkinlik değerlendirmesi |
|---|---|---|---|---|
| Tek tedarikçiye bağımlılık (özel çelik kalitesi) | Bağlam — tedarik zinciri | Kaynağı azalt: ikinci tedarikçi onayı, numune ve PPAP süreci | Satın Alma Müdürü / 30.06.2025 | Ekim 2025: ikinci tedarikçiden iki parti alındı, giriş kontrolü uygun. Risk düşük seviyeye indi. |
| Kilit personelin ayrılması (CMM operatörü tek kişi) | Bağlam — insan kaynağı | Etkiyi azalt: iki kişiye çapraz eğitim, ölçüm programlarının yedeklenmesi | Kalite Müdürü / 31.03.2025 | Temmuz 2025: ikinci operatör bağımsız ölçüm yaptı, sonuçlar teyit edildi. Kapalı. |
| Müşteri özel şartlarının portalda değişmesi | İlgili taraf — ana müşteri | Olasılığı azalt: portal aylık kontrol, değişikliğin doküman listesine işlenmesi | Kalite Mühendisi / süreklilik | Aylık kontrol kaydı tutuluyor; son altı ayda iki değişiklik yakalandı. |
| Yeni müşteri segmenti (tarım makineleri) — fırsat | Bağlam — pazar | Fırsatı değerlendir: numune yeteneği çalışması, kapasite analizi | Genel Müdür / 31.12.2025 | Aralık 2025: iki teklif verildi, biri onaylandı. Fırsat gerçekleşti. |
Bu tabloda dikkat edeceğiniz iki şey var. Birincisi "kaynağı" sütunu; risk gökten inmez, bağlam analizinden veya ilgili taraf şartlarından gelir. Kaynağını yazamadığınız risk muhtemelen uydurulmuştur. İlgili taraf tarafını ilgili taraflar matrisi yazımızda ele almıştık. İkincisi etkinlik sütunu: içinde tarih ve somut bir gözlem var, "yapıldı" yazmıyor.
Kaç satır olmalı sorusunun cevabı da burada saklı. Otuz satırlık risk tabloları genelde beyin fırtınası ürünüdür ve yarısının kaynağı yoktur. Bağlam analizinden ve ilgili taraflar matrisinden türetilen on iki on beş satır, uydurulmuş otuz satırdan hem daha savunulabilir hem de gerçekten takip edilebilir oluyor. Fırsat satırlarını da unutmayın; standart risk ile fırsatı birlikte anıyor ama sahadaki tabloların çoğunda tek bir fırsat satırı bile yok.
Etkinlik sütunu neden hep boş kalıyor?
ISO 9001 madde 6.1 risk ve fırsat maddesinin en zayıf halkası burasıdır ve sebebi insan hafızasıyla ilgilidir, disiplinsizlikle değil.
Çünkü etkinlik, aksiyon kapandıktan aylar sonra değerlendirilir ve o tarihte kimse dosyayı açmaz. Aksiyonun kapanışı ile etkinliğin ölçülmesi arasında doğal bir gecikme vardır; ikinci tedarikçiyi onayladınız diyelim, gerçekten işe yaradığını ancak ondan iki parti aldıktan sonra anlarsınız. Excel bu gecikmeyi taşıyamaz, çünkü size "üç ay sonra bu satıra dön" diyemez.
Pratik çözüm, etkinlik değerlendirmesini ayrı bir termin olarak yazmaktır. Aksiyonun terminini ve etkinlik değerlendirmesinin terminini iki ayrı sütuna koyun. Bu tek değişiklik, benim gördüğüm firmalarda boş etkinlik sütunu sorununu büyük ölçüde çözdü. Düzeltici faaliyetlerde de aynı mantık işler; bunu düzeltici faaliyet sayfamızda anlattık.
Bir risk tablosunun canlı olup olmadığı iki orana bakılarak anlaşılır. Termini geçmiş aksiyonları sayın ve toplam aksiyon sayısına bölün. Oran yüzde yirminin altındaysa sistem işliyordur. Yarıdan fazlası gecikmişse tablo artık bir takip aracı değil, bir arşiv. İkinci ölçü daha da acımasız: son altı ayda tabloya kaç yeni satır eklendi? Sıfırsa risk değerlendirmesi yılda bir kez, denetimden önce yapılıyor demektir ve denetçi bunu revizyon tarihinden zaten görüyor.
Excel mi, QMS mi? Somut karşılaştırma
Karşılaştırmayı özellik listesi üzerinden yapmanın anlamı yok. Fark, aksiyonun kendini hatırlatıp hatırlatmamasında. Aşağıdaki tablo aynı altı işin iki yöntemde nasıl yürüdüğünü gösteriyor.
| İş | Excel tablosu | Kalite yönetim sistemi yazılımı |
|---|---|---|
| Termin yaklaşınca hatırlatma | Yok, kimse bakmazsa geçer | Sorumluya otomatik düşer |
| Aksiyon kapanış kanıtı | Ayrı klasörde, bağ yok | Kaydın ekinde durur |
| Etkinlik değerlendirme tarihi | Elle takip edilir | Ayrı termin olarak açılır |
| Kim ne zaman değiştirdi | İzlenemez | Değişiklik geçmişi tutulur |
| Riskle hedef / DÖF ilişkisi | Elle referans, kopar | Kayıtlar birbirine bağlanır |
| Denetimde gösterme süresi | Dosya aranır | Ekranda filtrelenir |
Bu tablo Excel'i kötülemek için değil. Excel'in yapamadığı tek şey var: kimseye bir şey hatırlatmak. Risk yönetiminin çöktüğü yer de tam orası, çünkü risk aksiyonlarının doğası gereği termini uzundur ve uzun terminli işleri insan hafızası taşımaz.
Puanlama yapmalı mısınız?
Olasılık ve şiddet çarpımıyla puan üretmek zorunlu değil, ama önceliklendirmeyi kolaylaştırdığı için yaygın. Puanlama yapacaksanız iki şeyi baştan yazın: eşik değeri ne, eşiğin üstündeki risk için ne yapmak zorundasınız. Eşiği yazmayan firmalarda puanlar birer süse dönüşüyor; 45 puanlı satırla 12 puanlı satır aynı muameleyi görüyor.
Bir de puan enflasyonu var. Aksiyon açmamak için puanı düşük tutma eğilimi insanidir ve sahada sık görülür. Bunu engellemenin yolu, puanı tek kişiye bıraktırmamak. Süreç sahibi, kalite ve bir üst yönetici birlikte puanladığında sayı gerçeğe daha yakın çıkıyor. Yarım saatlik bir toplantı, yıl boyunca yanlış önceliklendirilmiş bir tablodan iyidir.
Excel'de kalacaksanız dört kural
Eşiği aşmadıysanız Excel'de kalın; yirmi satırlık bir tablo için yazılım almak gereksiz. Ama dört kuralı işletin. Dosyanın tek sahibi olsun ve takvimde aylık tekrarlayan bir hatırlatma kurulsun. Termini geçen satırlar koşullu biçimlendirmeyle kırmızıya dönsün. Aksiyon ve etkinlik terminleri ayrı sütunlarda tutulsun. Ve tablo, yönetimin gözden geçirmesi gündeminde sabit bir madde olsun.
Dördüncüsü en çok işe yarayanı. Risk tablosunu yılda bir kez üst yönetimin önüne koymak, hem gözden geçirme kaydı üretir hem de gecikmiş aksiyonlara kaynak açtırır. Excel'in ne zaman yetmediğine dair genel eşikleri Excel mi yazılım mı yazımızda sayılarla ele almıştık; risk tarafında eşik daha erken geliyor, çünkü satır sayısı az olsa da terminler uzun.
Riskleri nereden bulacaksınız?
Boş bir sayfaya bakıp risk düşünmek en verimsiz yöntem. Elinizde zaten dört kaynak var: bağlam analizindeki iç ve dış konular, ilgili taraflar matrisindeki bağlayıcı şartlar, son iki yılın düzeltici faaliyet ve müşteri şikâyet kayıtları, bir de iç denetim bulguları. Bu dördünü tarayan bir kalite mühendisi yarım günde gerçek bir risk listesi çıkarır.
Beşinci bir kaynak daha var ve genelde atlanıyor: sahadaki insanlar. Vardiya amirlerine "işini en çok ne aksatıyor, neyin bozulmasından korkuyorsun" diye sorun. Bir tedarikçide bu soru sayesinde kompresör yedeğinin olmadığı ortaya çıkmıştı; hiçbir analiz tablosunda o satır yoktu, ama hattın tamamı o tek makineye bağlıydı.
Risk analizi FMEA değildir
Sık gördüğüm bir hata: firma denetime FMEA dosyasıyla giriyor ve 6.1'i onunla karşıladığını sanıyor. FMEA ürün veya prosese özgüdür, hata türü seviyesinde çalışır ve kontrol planına bağlanır. Madde 6.1 ise sistemin bütününe bakar; tedarik zinciri, personel, mevzuat, müşteri portföyü, altyapı. İkisi farklı katmanlardır ve biri diğerinin yerine geçmez.
Doğru kurgu şudur: sistem riskleri 6.1 tablosunda, ürün ve proses riskleri FMEA dosyasında durur; ikisi birbirini besler. FMEA'da tekrar eden yüksek riskli bir hata türü, sistem tablosuna "proses yeterliliği yetersiz" olarak yansıyabilir. Bu bağı kuran firmalarda risk yönetimi kağıt olmaktan çıkıyor.
Risk tablosunu açtığımda puanlamaya hiç bakmam. Termini geçmiş satırlara bakarım ve bir tanesini seçip sonucunu sorarım. İkinci olarak, geçen yıl yaşanmış önemli bir olayı hatırlar ve o olayın tabloda karşılığı var mı diye ararım; büyük bir müşteri şikâyeti yaşanmış ama risk tablosunda izi yoksa, tablo gerçek hayattan kopuk demektir. Üçüncüsü, kapanmış bir aksiyonun etkinlik değerlendirmesini isterim. Bu üç soru, maddenin canlı olup olmadığını on dakikada gösterir.
Kararı nerede vereceksiniz?
ISO 9001 madde 6.1 risk ve fırsat yönetimi için araç seçimi, satır sayısıyla değil termin uzunluğuyla ilgilidir. Aksiyonlarınızın çoğu bir ay içinde kapanıyorsa Excel yeter. Altı ay, bir yıl süren aksiyonlarınız varsa ve bunların etkinliğini kapanıştan aylar sonra ölçmeniz gerekiyorsa, hatırlatmayı yapan bir sisteme ihtiyacınız var. PaKalite'de risk kaydı, aksiyon ve etkinlik değerlendirmesi tek zincirde durduğu için "bu aksiyon ne oldu" sorusunun cevabı aranmıyor. Riskin hedeflerle nasıl hizalanacağını kalite hedefleri örneği yazımızda ele aldık.