Ekranda 46 satırlık bir risk tablosu var. 41'i sarı boyalı, "orta" seviyede ve hiçbirine aksiyon açılmamış. Tabloyu hazırlayan mühendise soruyorum: "Olasılık 3 ne demek?" Odada üç kişi var ve üçü de farklı cevap veriyor — biri "ara sıra olur" diyor, biri "yılda birkaç kez", biri de "emin değilim, geçen sefer böyle vermişiz". Tablo dolu ama skala boş. Risk değerlendirme matrisi nasıl yapılır sorusunun cevabı, matrisi çizmekle değil, bu üç cevabı tek cevaba indirmekle başlıyor.
Önce skala, sonra matris
Risk matrisi bir çarpım tablosudur; asıl iş, çarpılan iki sayının ne anlama geldiğini yazmaktır. Skala tanımlanmadan doldurulan tablolarda puanlar kişiye göre değişir, bir sonraki gözden geçirmede aynı risk farklı puan alır ve tablo güvenilirliğini kaybeder. Skalayı yazmak yarım gün sürer; yazmamak yıllarca sürer.
ISO 9001'in 6.1 maddesi risk ve fırsatları belirlemeyi, bunları ele alacak faaliyetleri planlamayı ve etkililiğini değerlendirmeyi ister. Standart size matris veya puanlama yöntemi dayatmaz — istediği şey, riskleri belirlediğinizi, bir şey yaptığınızı ve yaptığınızın işe yarayıp yaramadığına baktığınızı gösterebilmenizdir. IATF 16949 bunun üstüne risk analizini geçmiş sahayla, geri çağırmalarla ve denetim sonuçlarıyla beslemenizi ve beklenmedik durum planları hazırlamanızı ekler.
Matris zorunlu değil ama işe yarıyor; çünkü onlarca riski aynı ölçüyle sıralamanın en ucuz yolu. Risk değerlendirme matrisi nasıl yapılır diye sorulduğunda cevabın ilk maddesi her zaman aynı: iki skalayı yazın, sonra tabloya geçin.
Olasılık skalası: hisse değil sıklığa bağlayın
Olasılık kademelerine "nadiren", "bazen", "sık" gibi kelimeler yazarsanız hiçbir şey tanımlamış olmazsınız. Her kademeye ölçülebilir bir aralık koyun. Kendi kayıtlarınızdan gidin; son on iki ayın uygunsuzluk, duruş ve şikayet kayıtları bu aralıkları belirlemek için genelde yeterli veriyi barındırır.
| Puan | Olasılık kademesi | Sayısal karşılığı | Örnek |
|---|---|---|---|
| 1 | Çok düşük | Son 3 yılda hiç olmadı | Ana besleme trafosu arızası |
| 2 | Düşük | Yılda 1 defadan az | Tedarikçi fabrika yangını |
| 3 | Orta | Yılda 1–3 defa | Kalıp kırılması kaynaklı duruş |
| 4 | Yüksek | Ayda 1 civarı | Sac rulo sertlik sapması |
| 5 | Çok yüksek | Haftada 1 ve üzeri | Ölçü aleti kalibrasyon süresi aşımı |
Bu tabloyu doldurmanın en zor tarafı, kademelerin kendi işletmenize oturmasıdır. Yılda üç kez kalıp kırılan bir preshane için 3 puan doğrudur; aynı olay bir montaj hattında yılda bir kez olur ve 2 puandır. Skala evrensel değil, size özeldir. Bir kez yazıp süreç dokümanınıza ek yapın ve her gözden geçirmede aynı tabloyu kullanın.
Şiddet skalası: kimin canı yanıyor
Şiddet tarafında en sık yapılan hata, tek bir boyuta bakmak. Bir riskin şiddeti müşteriye, üretime, kişiye ve mevzuata farklı yansır. Ben dört kolonlu bir şiddet tanımı kullanıyorum ve puanı en yüksek kolondan alıyorum. Böylece "üretimi az etkiliyor ama iş kazası riski var" diyen bir olay hak ettiği puanı alıyor.
| Puan | Müşteriye etki | Üretime etki | İSG / mevzuat |
|---|---|---|---|
| 1 | Fark edilmez | Duruş yok | Etki yok |
| 2 | İç şikayet, sevkiyat etkilenmez | 1 saatten az duruş | Ramak kala |
| 3 | Müşteri şikayeti, sıralama gerekir | 1–8 saat duruş | Kayıp günsüz kaza |
| 4 | Hat durdurma, sevkiyat gecikmesi | 1–3 gün duruş | Kayıp günlü kaza |
| 5 | Geri çağırma, emniyet karakteristiği | 3 günden uzun duruş | Yasal yaptırım, ağır yaralanma |
Emniyetle ilgili ve yasal şartlara bağlı karakteristikler için puanı otomatik olarak 5 verin, tartışmayın. Bu kural bir kere yazıldığında toplantı süresini yarıya indiriyor. Şiddeti 5 olan bir riskin, olasılığı 1 bile olsa aksiyon listesine girmesi gerekir; buna birazdan geleceğiz.
Skalayı yazmak yetmez; ekibin onu aynı şekilde okuduğunu görmek gerekir. Bunun için kalibrasyon oturumu yapın. Beş kişilik ekibe aynı beş riski verin, herkes tek başına puanlasın, sonra karşılaştırın. İlk turda sapma büyük çıkar — bir dövme tesisinde yaptığımız oturumda aynı riske 6 ile 20 arasında puan verildi. Farkların sebebini tartışıp skala tanımlarına birer örnek cümle eklediğimizde ikinci turda aralık 9-12'ye indi. Bu oturumu yılda bir tekrar edin, özellikle ekibe yeni katılanlarla.
5x5 risk matrisi ve aksiyon eşiği
İki skala hazırsa matris kendiliğinden çıkar. Risk puanı = olasılık × şiddet, yani 1 ile 25 arası. Aşağıdaki tablo puanların dağılımını ve her bölgenin ne anlama geldiğini gösteriyor. Renk yerine puan ve karar yazmayı tercih ediyorum; renk gördüğü an insan düşünmeyi bırakıyor.
| Olasılık ↓ / Şiddet → | 1 | 2 | 3 | 4 | 5 |
|---|---|---|---|---|---|
| 5 — Çok yüksek | 5 | 10 | 15 | 20 | 25 |
| 4 — Yüksek | 4 | 8 | 12 | 16 | 20 |
| 3 — Orta | 3 | 6 | 9 | 12 | 15 |
| 2 — Düşük | 2 | 4 | 6 | 8 | 10 |
| 1 — Çok düşük | 1 | 2 | 3 | 4 | 5 |
Eşiği nasıl koyarsınız? Kitaplarda "15 üzeri yüksek risktir" yazar; ben bunu kapasiteye bağlamayı öneriyorum. Risk kaydınızı doldurun, puanları büyükten küçüğe sıralayın ve önümüzdeki altı ayda gerçekten kapatabileceğiniz aksiyon sayısını düşünün. O sayının hizasındaki puan sizin eşiğinizdir. Kırk satıra aksiyon açıp hiçbirini kapatmaktansa, sekiz satıra açıp sekizini de kapatmak sistemi daha hızlı iyileştirir.
Eşiğin yanına iki kural daha ekleyin. Birincisi: şiddeti 5 olan her risk, puanı ne olursa olsun aksiyon listesine girer — çünkü olasılığı düşük diye emniyet riskini görmezden gelemezsiniz. İkincisi: eşiğin altında kalan riskler "kabul edildi" olarak işaretlenir ve kabul kararını süreç sahibi imzalar. Kabul de bir karardır ve kaydı olmalıdır.
Riskleri hangi başlıklarda arayacaksınız?
Boş bir sayfaya "risklerimizi yazalım" diye oturan ekip genelde beş satır yazıp tıkanır. Onun yerine başlıklarla gidin. Tedarik tarafı: tek kaynaklı malzemeler, uzun temin süreleri, tedarikçinin tek makinesi. Proses tarafı: kritik ekipman, kalıp ömrü, ölçüm sistemi yetersizliği, ayar kaynaklı sapmalar. İnsan tarafı: tek kişiye bağımlı işler, vardiya devri, yetkinlik boşlukları.
Dış taraf da unutulmasın: mevzuat değişikliği, müşteri özel şartlarında güncelleme, lojistik kesintileri, enerji ve bilgi işlem kesintisi. IATF 16949 kapsamında çalışan firmalarda beklenmedik durum planlarının bu başlıklardan beslenmesi beklenir; enerji kesintisi ve siber olay senaryosu olmayan bir plan denetimde eksik bulunur. Tedarikçi yönetimi tarafındaki riskleri ayrı bir başlıkta toplamak, satın almanın da masaya oturmasını kolaylaştırıyor. Risk değerlendirme matrisi nasıl yapılır sorusunun cevabı bu başlıklarla birlikte somutlaşır: matris hazır olsa bile doldurulacak satırı bulmak ayrı bir iştir.
Risk kaydı: matristen sonra asıl iş
Matris bir ölçüm aracı; risk kaydı ise yaşayan defter. Kayıtta her satır için şu alanlar bulunmalı: risk tanımı (olay + sebep + etki biçiminde), ilgili süreç, mevcut kontroller, olasılık, şiddet, puan, karar (aksiyon / kabul), aksiyon tanımı, sorumlu, termin ve aksiyon sonrası yeniden değerlendirilen puan. Son kolon en çok atlanan ve en değerli olanıdır; aksiyonun işe yarayıp yaramadığını yalnızca o gösterir.
Risk tanımını yazarken tek kelimeye sıkışmayın. "Tedarikçi riski" bir risk tanımı değildir. "Tek kaynaklı sac tedarikçisinde üretim durması nedeniyle hattın 3 günden uzun durması" bir risk tanımıdır; okuyan ne olduğunu anlar, mevcut kontrolü sorabilir ve aksiyon önerebilir. Risk kaydını süreçlere bağlamayı da unutmayın; her satır süreç kartındaki bir sahibe düşmelidir, yoksa aksiyonlar sahipsiz kalır.
Kayıt ne zaman açılır: takvim değil olay
Yılda bir kez toplu doldurulan risk tablosu, kalite sisteminin en kolay ölen parçasıdır. Kaydı takvime değil olaya bağlayın. Yeni proje veya ürün başlangıcı, proses değişikliği, yeni tedarikçi devreye alma, müşteri şikayeti, iş kazası, üçüncü kez tekrar eden bir uygunsuzluk ve denetim bulgusu — bunların her biri risk kaydını açtırmalı.
Bunu Excel'de yürütmek mümkün ama tetikleyicileri işletmek insana kalır. Riskin şikayet kaydından, denetim bulgusundan ve düzeltici faaliyetten beslendiği bir yapıda tetikleme kendiliğinden olur: şikayet kapatılırken "bu risk kaydına yansıdı mı" sorusu ekranda karşınıza çıkar. PaKalite'de risk kaydı ile aksiyon takibi aynı veritabanında durduğu için termini geçen aksiyon süreç sahibine düşer. Ölçek burada belirleyici: on beş satırlık bir kayıt için tek bir tablo ve aylık on beş dakikalık bir gözden geçirme zaten yeterli sonuç veriyor. Satır sayısı yüzü aştığında ve aksiyonlar dört beş bölüme yayıldığında elle tetikleme yürümüyor.
Risk matrisi ile FMEA'yı karıştırmayın
Sık gördüğüm bir karışıklık: kurumsal risk matrisi ile PFMEA'nın aynı şey sanılması. Risk matrisi süreç ve iş seviyesindedir — tedarikçi kesintisi, yetkin personel kaybı, siber olay, mevzuat değişikliği gibi konuları kapsar. FMEA ise ürün ve proses adımı seviyesinde çalışır ve hata türü bazında ilerler. İkisi birbirinin yerine geçmez; birbirini besler.
Pratikte bağı şöyle kuruyorum: PFMEA'da aksiyon önceliği yüksek çıkan ve tek bir proses adımıyla çözülemeyen konular kurumsal risk kaydına taşınır. Tersine, risk kaydındaki bir madde belirli bir istasyonu işaret ediyorsa oradan PFMEA'ya iner. PFMEA adımlarını ayrı bir yazıda anlattık; iki dokümanı aynı toplantıda gözden geçirmek genelde iyi sonuç veriyor.
Denetçi risk tablosunun kalınlığına bakmaz. Yaptığı üç hamle şudur: skalayı ister ve bir satırın puanının nasıl çıktığını sorar; eşiğin üstündeki bir satırı seçip aksiyonun kaydını ister; kapanmış bir aksiyonun risk puanını düşürüp düşürmediğine bakar. Üçüncü hamlede takılan çok firma gördüm. Aksiyon kapanmış ama puan aynı kalmışsa, değerlendirme yapılmamış demektir ve 6.1'in "etkililiğin değerlendirilmesi" tarafı eksik kalır.
Tabloyu işe yaramaz kılan üç alışkanlık
En yaygını, her şeyi orta seviyede toplamak. Ekip çekingen davranır, uç puan vermez ve tablo baştan sona sarıya boyanır; öncelik diye bir şey kalmaz. Bunun ilacı skalaya sayısal aralık koymak ve yılda bir kalibrasyon oturumu yapmak. Bir diğeri, mevcut kontrolleri hesaba katmadan puanlamak: kontrolsüz durum puanlanınca aksiyon listesi şişer ve hiçbiri kapanmaz. Puanlama, bugünkü kontroller yerindeyken kalan riski ölçmelidir.
En sinsisi ise aksiyon tanımının "takip edilecek" olması. Takip bir aksiyon değildir. Aksiyon, kontrolü değiştiren somut bir iştir — ikinci tedarikçi onayı, poka-yoke eklenmesi, stok seviyesi artışı, talimat revizyonu, eğitim planı. Aksiyon kolonunda fiil yoksa satır kapanmaz, sadece yaşlanır. Risk değerlendirme matrisi nasıl yapılır sorusuna verilen bütün doğru cevaplar, aksiyon kolonunda fiil olmadığı sürece kâğıtta kalır.