Tek tedarikçiden alınan bir hammadde, aylardır sorunsuz geliyordu. Sonra bir sabah o tedarikçinin fabrikasında yangın çıktı ve sevkiyat durdu; hattın üç gün içinde duracağı belli oldu. Kimse bunu öngörmemişti, çünkü "iyi gidiyordu". İşte risk temelli düşüncenin sorduğu soru tam da budur: iyi gittiği için görmezden geldiğimiz şey bizi nereden vurabilir? ISO 9001:2015, önleyici faaliyeti ayrı bir madde olmaktan çıkarıp tüm sisteme risk temelli düşünce olarak yaydı. Bir kalite yönetim sistemi artık sadece olan hatayı düzeltmek değil, olmadan öngörmek zorunda. Bu yazıda madde 6.1'in ne istediğini, riski nasıl belirleyip önceliklendireceğinizi ve bir kalite yönetim yazılımı ile risk kaydını canlı tutmayı anlatıyoruz.
Risk temelli düşünce nedir?
Risk temelli düşünce, her prosesi ve kararı planlarken "ne ters gidebilir ve hangi fırsatı kaçırabiliriz?" sorusunu sistematik biçimde sormaktır. ISO 9001:2015 bu yaklaşımı standardın omurgasına yerleştirdi; eski sürümlerdeki ayrı "önleyici faaliyet" maddesi kaldırıldı, çünkü artık tüm sistem baştan önleyici olmalıdır. Önemli bir nokta: standart, riski her zaman olumsuz görmez. Risk hem tehdit hem fırsat içerir; madde 6.1 ikisini birlikte ele almanızı ister.
Madde 6.1 tam olarak ne ister?
ISO 9001 madde 6.1 "risk ve fırsatları ele alan faaliyetler" başlığını taşır ve dört şeyi bekler:
- Kuruluş bağlamından (madde 4.1) ve ilgili taraf beklentilerinden (madde 4.2) doğan risk ve fırsatları belirlemek.
- Bunları ele almak için aksiyon planlamak.
- Bu aksiyonları KYS proseslerine entegre etmek.
- Aksiyonların etkinliğini değerlendirmek.
Dikkat edilecek nokta: madde 6.1 dokümante bir risk prosedürü veya belirli bir yöntem (FMEA, matris vb.) zorunlu kılmaz. Riski ele aldığınızı kanıtlamanız yeterlidir. IATF 16949 ise bu esnekliği daraltır; otomotivde risk, FMEA ve acil durum planlarıyla (madde 6.1.2.3) somutlaşmak zorundadır. Bağlam ve prosesin ilişkisini süreç yaklaşımı yazımızda ele aldık.
Risk ve fırsat nasıl belirlenir?
Risk belirleme, boş bir sayfaya "risklerimiz neler?" diye bakmakla olmaz; bir girdiden beslenmelidir. En sık kullanılan girdiler:
- SWOT / PESTLE: Kuruluş bağlamı analizinden çıkan iç ve dış konular.
- Proses bazlı risk: Her prosesin turtle analizinde "ne aksarsa çıktı bozulur?" sorusu.
- Geçmiş veri: Müşteri şikayetleri, uygunsuzluklar, tekrarlayan DÖF'ler.
- Tedarik zinciri: Tek kaynak bağımlılığı, tedarikçi performansı.
- İlgili taraf beklentileri: Yasal değişiklikler, müşteri özel şartları.
Otomotivde ürün ve proses riski için FMEA ana araçtır. Kurumsal ve süreç riskleri içinse risk değerlendirme matrisi daha uygundur.
Risk değerlendirmesi tablolarının çoğu bir kere doldurulur ve bir daha açılmaz. Oysa risk statik değildir. Yeni bir müşteri, yeni bir tedarikçi, bir mevzuat değişikliği veya sahadan gelen tekrarlayan bir şikayet, risk tablosunu değiştirir. Risk kaydını "yıllık ödev" gibi görürseniz, tıpkı yangın çıkan tedarikçi örneğindeki gibi, en kritik risk hep listenin dışında kalır.
Risk nasıl önceliklendirilir ve ele alınır?
Her risk aynı ağırlıkta değildir; kaynağı en çok işe yarayacak yere yönlendirmek gerekir. En yaygın araç risk matrisidir: olasılık ve etki puanlanır, çarpımı risk seviyesini verir.
| Risk seviyesi | Olasılık × Etki | Ele alma yaklaşımı |
|---|---|---|
| Yüksek | Büyük çarpım | Önce aksiyon; kaçın, azalt veya kontrol ekle |
| Orta | Orta çarpım | İzle, planlı iyileştirme, sorumluluk ata |
| Düşük | Küçük çarpım | Kabul et, periyodik gözden geçir |
Riski ele almanın dört klasik yolu vardır: kaçınmak, azaltmak (kontrol eklemek), paylaşmak (sigorta/ikinci kaynak) ve bilinçli kabul etmek. Önemli olan kararın gerekçesiyle kayıt altına alınmasıdır.
Denetçi risk tablosuna baktığında iki şeyi kontrol eder: riskler gerçekten sizin bağlamınızdan mı çıkmış, yoksa internetten kopyalanmış genel bir liste mi? Ve belirlenen yüksek risklerin aksiyonu var mı, o aksiyon kapandı mı? Madde 6.1'in en sık bulgusu, dolu görünen ama hiçbir aksiyona bağlanmamış, ilgili taraf beklentileriyle (madde 4.2) ilişkisi kurulmamış risk kayıtlarıdır. Aksiyonsuz risk, farkındalık değil dekordur.
Riski bir kalite yönetim yazılımıyla canlı tutmak
Risk temelli düşüncenin en zor yanı, riski canlı tutmaktır. Excel'deki bir risk tablosu doldurulduğu gün ölür; kimse ne gözden geçirir ne de yeni bir olayla ilişkilendirir. Bir kalite yönetim yazılımı tüm riskleri tek risk kaydında toplar, her riske sorumlu, aksiyon ve termin bağlar, gözden geçirme tarihini hatırlatır. Daha da önemlisi, bir müşteri şikayeti veya uygunsuzluk açıldığında ilgili riski otomatik olarak yeniden gözden geçirmeye düşürür. Böylece madde 6.1 kağıt üstünde değil, günlük işleyişte yaşar. Fırsat ve risk takibini fırsat-risk takip sistemi yazımızda ayrıntılandırdık. Bir kalite yönetim sistemi ancak risk canlı kaldığında gerçekten önleyici olur; PaKalite bu takibi ücretsiz sunar.