Risk toplantısında masanın etrafında altı kişi var ve elinizde otuz iki maddelik bir tehdit listesi. Herkes kendi bölümünün riskini en acil olan gibi anlatıyor: üretim tezgâh arızasını, satın alma tek kaynağa bağımlılığı, kalite müşteri şikâyetini öne çıkarıyor. Bir saat sonra hâlâ hangisinin önce ele alınacağına karar veremediniz; çünkü hepsi kelimelerle "önemli". İşte risk değerlendirme matrisi, bu tartışmayı hislerden çıkarıp ortak bir ölçeğe oturtmak için var. Her tehdidi iki basit soruyla puanlar: Bu ne kadar sık olur? Olursa ne kadar kötü olur? İki cevabı bir tabloda birleştirdiğinizde, otuz iki madde birden kendiliğinden sıralanır ve "önce neye bakalım?" sorusunun rakamsal bir cevabı olur.
Risk değerlendirme matrisi nedir?
Risk değerlendirme matrisi, bir riskin olasılığını ve şiddetini iki eksende puanlayıp bunların kesişiminden bir risk seviyesi üreten görsel bir araçtır. Yatay eksen bir olayın gerçekleşme sıklığını, dikey eksen ise gerçekleşirse yaratacağı etkinin büyüklüğünü gösterir. İki puanın çarpımı risk skorunu verir ve matris bu skoru genellikle yeşil, sarı ve kırmızı bölgelerle renklendirerek hangi riskin ne kadar acil olduğunu bir bakışta anlatır.
Aracın gücü, karmaşık ve öznel bir tartışmayı tek bir sayfaya sığdırmasında. Farklı bölümlerden gelen, birbiriyle kıyaslanması zor riskleri aynı ölçeğe koyar. Böylece "makine arızası mı daha acil, tedarikçi gecikmesi mi?" sorusu bir tahmin oyunu olmaktan çıkar, ortak kriterlerle cevaplanabilir hale gelir.
Olasılık ve şiddet: iki eksen
Matrisin tamamı bu iki kavrama dayanır, bu yüzden ölçeklerini net tanımlamak gerekir. Her ikisi de 5x5 bir matriste 1 ile 5 arasında puanlanır.
| Puan | Olasılık | Şiddet |
|---|---|---|
| 1 | Çok düşük — yılda birden az | Önemsiz — küçük aksama, müşteriye ulaşmaz |
| 2 | Düşük — yılda birkaç kez | Küçük — sınırlı yeniden işleme |
| 3 | Orta — ayda bir civarı | Orta — hat durması, müşteri şikâyeti |
| 4 | Yüksek — haftada bir | Ciddi — sevkiyat durması, sözleşme cezası |
| 5 | Çok yüksek — neredeyse her gün | Kritik — geri çağırma, güvenlik veya yasal etki |
Bu ölçeklerin sözlü karşılıklarını firma olarak baştan yazmak, matrisin en önemli adımıdır. "Yüksek olasılık" herkes için farklı bir şey ifade eder; ama "haftada bir" dediğinizde tartışma biter. Şiddet tarafında güvenlik ve yasal etkiyi her zaman en üst basamağa koymak, matrisin sizi tehlikeli bir riski hafife almaktan koruması için şarttır.
5x5 risk matrisi ve risk skoru
İki eksen kesiştiğinde risk skoru ortaya çıkar: Risk = Olasılık × Şiddet. 5x5 bir matriste bu skor en düşük 1, en yüksek 25 olur. Aşağıdaki tablo, olasılık (satırlar) ile şiddetin (sütunlar) kesiştiği her hücrenin skorunu gösterir:
| Olasılık ↓ / Şiddet → | 1 | 2 | 3 | 4 | 5 |
|---|---|---|---|---|---|
| 5 | 5 | 10 | 15 | 20 | 25 |
| 4 | 4 | 8 | 12 | 16 | 20 |
| 3 | 3 | 6 | 9 | 12 | 15 |
| 2 | 2 | 4 | 6 | 8 | 10 |
| 1 | 1 | 2 | 3 | 4 | 5 |
Tablonun sağ üst köşesi (yüksek olasılık, yüksek şiddet) kırmızı bölgedir; sol alt köşe (düşük olasılık, düşük şiddet) yeşildir. Aradaki geniş sarı kuşak ise izlemeye alınacak orta riskleri kapsar. Skoru okurken bir noktaya dikkat edin: 5 puanlık şiddete sahip bir risk, olasılığı düşük bile olsa asla göz ardı edilmemelidir; güvenlik riskleri düşük olasılıkla bile kırmızıya çekilmelidir.
3x3 matris hızlı görünür ama ayrım gücü zayıftır; birbirinden çok farklı riskler aynı hücrede toplanır ve önceliklendirme anlamını yitirir. Diğer uçta, 7x7 ya da 10x10 gibi büyük matrisler sahte bir hassasiyet yaratır: hiç kimse bir riskin olasılığını gerçekten 6 mı 7 mi diye ayırt edemez. 5x5, çoğu imalat ortamı için pratik ile isabet arasındaki en dengeli noktadır.
Aksiyon eşikleri: skordan karara
Risk skoru tek başına bir sonuç değildir; asıl mesele o skorun bir karara dönüşmesidir. Bunun için firma önceden aksiyon eşikleri tanımlar. Örnek bir eşik yapısı şöyle olabilir:
- 15-25 (Yüksek / Kırmızı): Kabul edilemez. Zorunlu aksiyon, sorumlu ve termin atanır; riski düşürmeden devam edilmez.
- 8-12 (Orta / Sarı): İzlemeye alınır. Makul önlemler planlanır, düzenli gözden geçirilir.
- 1-6 (Düşük / Yeşil): Mevcut haliyle kabul edilebilir. Kayıt altında tutulur ama ek aksiyon gerekmez.
Bu eşikleri belirleyen şey firmanın risk iştahıdır; yani ne kadar riskle yaşamaya razı olduğu. Otomotiv ana sanayiye çalışan bir firmanın kırmızı eşiği, düşük hacimli bir atölyeninkinden çok daha aşağıda olur. Önemli olan bu eşiği baştan yazıp herkesin aynı kuralla oynamasıdır.
ISO 9001 ve risk temelli düşünme
ISO 9001'in en çok yanlış anlaşılan beklentilerinden biri risk temelli düşünmedir. Standart belirli bir matris ya da yöntem şart koşmaz; sizden istediği, riskleri ve fırsatları sistematik biçimde belirleyip ele aldığınızı gösterebilmenizdir. Risk matrisi bu beklentiyi karşılamanın en pratik yoludur çünkü hem düşünce sürecini görünür kılar hem de denetçiye somut bir kanıt sunar.
Matrisin mantığı, ürün ve proses risklerini inceleyen FMEA yöntemiyle de aynı köke dayanır: bir riski, gerçekleşme ihtimali ile etkisinin büyüklüğü üzerinden değerlendirmek. Matris kurumsal ve süreç risklerinde geniş bir resim çizerken, FMEA aynı düşünceyi tek tek hata türleri düzeyinde derinleştirir. İkisi birbirini besler.
Bir denetçi risk matrisine baktığında dolu olmasına değil, yaşamasına bakar. Kırmızı bölgedeki risklerin aksiyonu var mı, bu aksiyonlar kapandı mı, kapandıktan sonra risk yeniden puanlanıp düştü mü? En sık rastlanan bulgu, matrisin bir kez doldurulup rafa kaldırılması ve yıl boyunca hiç güncellenmemesidir. Aksiyonu olmayan kırmızı bir hücre, riski görüp hiçbir şey yapmadığınızın kaydıdır.
Riskleri bir yazılımla yönetmek
Matrisi Excel'de kurmak kolaydır; zor olan onu canlı tutmaktır. Aksiyonların terminini kim takip edecek, risk yeniden puanlandığında matris otomatik güncellenecek mi, geçen yıl kapatılan riskler bu yıl geri açıldı mı? Onlarca risk ve yüzlerce aksiyon biriktiğinde tablo yönetilemez hale gelir. Bir kalite yazılımı, her riski olasılık ve şiddet puanıyla kaydeder, skoru ve renk bölgesini otomatik hesaplar, aksiyonları sorumlu ve termin ile bağlar ve önlem sonrası artık riski yeniden puanlamaya zorlar. PaKalite'nin risk yönetimi modülü matrisi statik bir tablo olmaktan çıkarıp riskin doğduğu andan kapandığı ana kadar izlenen canlı bir kayda dönüştürür; böylece risk toplantısı tartışmayla değil, verilerle başlar.