ISO 31000 Nedir? Risk Yönetimine Nereden Başlanır? Süreç, Risk Kaydı ve En Sık Yapılan Hatalar
ISO 31000 bir yönergedir, belgelendirilmez. Peki riskleri nasıl yönetirsiniz? Kapsam ve kriterlerden risk kaydına, işleme seçeneklerinden izlemeye süreci ve sahada en sık yapılan hataları anlatıyoruz.
ISO 31000'i belgelendiremezsiniz ama uygulayabilirsiniz. Sıra şu: kapsam, bağlam ve kriterleri yazın; riskleri neden, olay, sonuç cümlesiyle listeleyin; olasılık ve etkiyle skorlayın; iştahı aşanlar için işlem seçeneği, sorumlu ve termin atayın; düzenli gözden geçirin. Tek bir risk kaydı, birden fazla yönetim sistemi standardının risk maddesini birlikte karşılayabilir.
Ücretsiz eğitim videosu (10 dk, Türkçe yapay seslendirme). Örnekler kurgusaldır; ISO 31000 belgelendirilmez, set bir belge sağlamaz.
ISO 31000:2018, her tür ve ölçekteki kuruluşun kullanabileceği genel bir risk yönetimi yönergesidir. Üç parçadan oluşur: ilkeler (madde 4), çerçeve (madde 5) ve süreç (madde 6). Risk, burada belirsizliğin hedefler üzerindeki etkisi olarak ele alınır; etki olumsuz olduğu gibi olumlu da olabilir, yani fırsat yönetimi de kapsama girer.
İlkeler: sekiz başlık
Standart, risk yönetiminin değer yaratmak ve korumak için çalışması gerektiğini söyler ve sekiz ilke sayar: bütünleşik olma, yapılandırılmış ve kapsamlı yaklaşım, kuruluşa uyarlanma, kapsayıcılık, dinamik olma, mevcut en iyi bilgiyi kullanma, insan ve kültür faktörlerini dikkate alma ve sürekli iyileştirme. Pratikte bunun anlamı şu: risk yönetimi ayrı bir kalite projesi olarak değil, planlama ve karar alma süreçlerinin içinde yürümelidir.
Çerçeve: yönetimin işi
Çerçeve (madde 5), liderlik ve taahhüt, entegrasyon, tasarım, uygulama, değerlendirme ve iyileştirme başlıklarından oluşur. Burada üst yönetime düşen iş belirgindir: kaynak sağlamak, rolleri atamak, politikayı ilan etmek ve risk kriterlerini onaylamak. Çerçeve olmadan yazılan risk kayıtları genellikle ilk denetimde veya ilk krizde işe yaramadığı ortaya çıkan dosyalara dönüşür.
Süreç: altı adımda risk yönetimi
- Kapsam, bağlam ve kriterler (6.3): Neyi, hangi hedefler için değerlendiriyorsunuz? Olasılık ve etki ölçeğiniz, düzey eşikleriniz ve iştahınız nedir?
- Risk tanımlama (6.4.2): Her riski tek cümleyle yazın: "X nedeniyle Y olursa Z sonucu doğar." Tek kaynaklı tedarikçi örneğinde: tedarikçi geciktirirse hat durur ve teslimat aksar.
- Risk analizi (6.4.3): Mevcut kontrolleri düşünerek olasılık ve etkiyi puanlayın. Skorlama, tek kişinin tahmini yerine ilgili birimin ortak değerlendirmesiyle yapılmalı ve dayanağı not edilmelidir.
- Risk değerlendirme (6.4.4): Skoru kriterlerle ve iştahla karşılaştırın, önceliklendirin.
- Risk işleme (6.5): Standart seçenekleri sayar: riskten kaçınmak, fırsat için riski almak veya artırmak, risk kaynağını kaldırmak, olasılığı değiştirmek, sonucu değiştirmek, riski paylaşmak (sözleşme, sigorta) ve bilgiye dayalı kararla riski taşımak.
- İzleme, gözden geçirme, kayıt ve raporlama (6.6, 6.7): Riskler yaşar. Yeni ürün, kaza, mevzuat değişikliği veya organizasyon değişikliği riskleri yeniden değerlendirmeyi gerektirir. İletişim ve danışma (6.2) ise her adımda sürer.
Yönetim sistemi standartlarıyla ilişkisi
ISO 31000 belgelendirilmez ama diğer standartların risk maddelerini uygularken ortak dil sağlar. ISO 9001:2026'da risklerin ve fırsatların belirlenmesi 6.1.1'de, riskler için eylemler 6.1.2'de, fırsatlar için eylemler yeni 6.1.3'te yer alır. ISO 14001:2026'da riskler ve fırsatlar 6.1.4, faaliyetlerin planlanması 6.1.5'tir. ISO 45001'de tehlike, risk ve fırsat belirleme 6.1.2, ISO/IEC 27001'de bilgi güvenliği risk değerlendirmesi 6.1.2 ve risk işleme 6.1.3'tür. Kategori sütunu olan tek bir risk kaydı, bu sistemlerin kayıtlarını bir araya getirebilir; ancak her standardın kendine özgü gereklilikleri (ISO 45001'de kontrol hiyerarşisi, ISO 27001'de Uygulanabilirlik Bildirgesi gibi) ayrıca karşılanmalıdır.
En sık yapılan altı hata
- İlk turda yüzlerce risk toplamak ve kaydı kimsenin izleyememesi. On beş ile otuz risk, ilk tur için yeterlidir.
- Her riske "orta" yazıp önceliklendirmeyi bozmak.
- Eylemi yazıp sorumlu ve termin atamamak.
- İşlemden sonra kalan riski hiç değerlendirmemek.
- Risk iştahını ve karar yetkisini yazılı hâle getirmemek; aynı risk bir bölümde kabul, diğerinde kabul edilemez sayılır.
- Kaydı bir kez doldurup bir daha açmamak. Gözden geçirme takvimi olmayan risk kaydı bir arşiv belgesidir.
Sık sorulan sorular
ISO 31000 için belge alınabilir mi?
ISO 31000 bir yönergedir (guidelines); gereklilik standardı değildir ve belgelendirme amacıyla hazırlanmamıştır. Sistem belgesi vaat eden ifadelere temkinli yaklaşın. Yönetim sistemi standartları (ISO 9001, 14001, 45001, 27001) ise risk maddelerini ayrıca denetler.
Küçük bir işletme için ISO 31000 fazla mı?
Yaklaşım ölçeklenebilir. On beş kişilik bir kuruluş ilk turu on, on beş riskle tek bir toplantıda yapabilir. Önemli olan kaydın yazılı olması, sorumlusunun ve teriminin bulunması ve düzenli gözden geçirilmesidir.
5x5 matris zorunlu mu?
Hayır. ISO 31000 belirli bir ölçek dayatmaz; kendi risk kriterlerinizi yönetiminizle belirlemeniz ve yazılı tutmanız beklenir. 5x5 matris yaygın ve anlaşılması kolay bir seçenektir.
Risk iştahı nedir, yazılı olması gerekir mi?
Risk iştahı, kuruluşun hedeflerine ulaşırken taşımaya razı olduğu risk miktarı ve türüdür. ISO 31000 risk kriterlerinin belirlenmesini ister; iştahı yazılı hâle getirmek, her birimin aynı riske farklı tepki vermesini önler.
Politikadan izleme raporuna, tek sistem
Risk yönetimi politikası, prosedür, formüllü Excel risk kaydı ve ısı haritası, risk iştahı beyanı, bağlam formu, standart eşleştirme tablosu ve izleme raporu. Temel, Standart ve Kurumsal paketlerle. Her belgede doldurulmuş örnek ve danışman görüşü var.
ISO 31000 Uygulama Seti →Kaynaklar
Bu yazı bilgilendirme amaçlıdır; belgelendirme, hukuki görüş veya resmi karar yerine geçmez. Madde numaralarını kullandığınız standart sürümünden teyit edin. Örnek cümleler kurgusaldır.