Ask
New member
Risk İşleme Yöntemleri Nelerdir? Gerçek Hayattan Örneklerle Risk Yönetimine Yakından Bakış
Bir işletmede, projede, fabrikada, hastanede ya da günlük hayatta risk konuşulduğunda çoğu kişinin aklına ilk olarak “Bu riski nasıl ortadan kaldırırız?” sorusu geliyor. Oysa risk yönetiminin en önemli tarafı, her riski tamamen yok etmenin mümkün olmadığını kabul etmek. Asıl mesele, hangi riskin ortadan kaldırılacağına, hangisinin azaltılacağına, hangisinin başka bir tarafa aktarılacağına ve hangisinin belirli koşullarda kabul edilebileceğine doğru karar vermek.
Bu konu yalnızca finans veya sigorta şirketlerinin meselesi de değil. İş sağlığı ve güvenliği, siber güvenlik, tedarik zinciri, iklim değişikliği, proje yönetimi, mühendislik ve hatta kişisel finans aynı mantıktan yararlanıyor. NIST'in risk yanıtı yaklaşımında da temel seçenekler kabul etme, kaçınma, azaltma, paylaşma ve transfer etme olarak sıralanıyor. NIST CSRC+1
Peki bunların arasındaki fark nedir? Daha önemlisi, gerçek hayatta hangi durumda hangisini seçmek mantıklıdır?
Risk İşleme Nedir? Önce “Risk” ile “Risk İşleme”yi Ayırmak Gerekir
Risk işleme, tespit edilen bir riskin kurumun veya kişinin kabul edebileceği seviyeye getirilmesi için alınan karar ve önlemlerin tamamıdır.
Basit bir örnek verelim. Bir şirketin tüm satışlarını tek bir tedarikçiden aldığı bir ürüne bağladığını düşünelim. Tedarikçinin üretimi durdurması ihtimali riskin kendisidir. Şirketin ikinci bir tedarikçi bulması ise risk işleme faaliyetidir.
Burada önemli bir ayrım var: Risk işlemek, her zaman “riski sıfırlamak” anlamına gelmez. NIST'in yaklaşımında da riskin kabul edilmesi dahi bilinçli bir risk yanıtı olarak değerlendiriliyor. nvlpubs.nist.gov
Dolayısıyla iyi risk yönetimi aslında şu soruyu sorar:
“Bu risk gerçekleşirse ortaya çıkacak sonuçla yaşamak mı daha mantıklı, yoksa bugünden para, zaman ve kaynak harcayıp riski değiştirmek mi?”
Bu soru bizi temel risk işleme yöntemlerine götürüyor.
1. Riskten Kaçınma: Riski Ortaya Çıkaran Faaliyeti Bırakmak
Riskten kaçınma, riskin kaynağını ortadan kaldırmak için ilgili faaliyeti yapmamak, değiştirmek veya sonlandırmaktır.
Örneğin bir şirket, güvenlik açısından ciddi açıklar taşıyan eski bir yazılımı kullanmayı tamamen bırakabilir. Bir fabrika, çalışanların yüksekten çalışmasını gerektiren bir üretim yöntemini yeniden tasarlayarak işi zeminde gerçekleştirebilir.
Bu yaklaşım özellikle riskin potansiyel zararı çok yüksek olduğunda anlamlıdır.
NIST'in risk azaltma yaklaşımında kaçınma; riskin nedenini veya ortaya çıkarabileceği sonucu ortadan kaldırmak, hatta gerektiğinde sistemin belirli fonksiyonlarından vazgeçmek şeklinde açıklanıyor. nvlpubs.nist.gov
Fakat burada kritik bir nokta var: Riskten kaçınmanın da bir maliyeti vardır.
Bir şirket yüksek siber saldırı riski nedeniyle çevrim içi satış sistemini tamamen kapatırsa siber riski azaltabilir ama bu kez satış kaybı yaratır. Yani “riskten kaçındım” demek, “en iyi kararı verdim” demek değildir.
Bence riskten kaçınma kararlarında en sık yapılan hata tam olarak burada ortaya çıkıyor. İnsanlar bazen yalnızca tehlikeye bakıyor, vazgeçmenin oluşturacağı fırsat maliyetini hesaba katmıyor.
2. Risk Azaltma: Olasılığı veya Etkiyi Düşürmek
Risk azaltma, günlük hayatta en sık karşılaştığımız yöntemlerden biri.
Burada amaç riski tamamen yok etmek değil; risk gerçekleşme ihtimalini, gerçekleştiğinde ortaya çıkacak zararı veya her ikisini birden azaltmaktır.
Örneğin bir e-ticaret şirketi siber saldırıyı tamamen engelleyemeyebilir. Fakat çok faktörlü kimlik doğrulama, erişim yetkilerinin sınırlandırılması, yedekleme, saldırı tespit sistemleri ve çalışan eğitimleriyle saldırının gerçekleşme ihtimalini ve olası zararını azaltabilir.
İş güvenliğinde ise bu yaklaşım daha da somut görülüyor. OSHA'nın “kontrol hiyerarşisi” yaklaşımında tehlikeleri kontrol etmek için önce ortadan kaldırma, ardından ikame, mühendislik kontrolleri, idari kontroller ve son olarak kişisel koruyucu donanım sıralanıyor. İş Sağlığı ve Güvenliği İdaresi+1
Burada önemli bir ders var: Sadece çalışanlara “dikkatli olun” demek, çoğu zaman güçlü bir risk kontrolü değildir.
Örneğin gürültülü bir makinenin yanındaki çalışana kulaklık vermek riski azaltabilir. Fakat makineyi daha sessiz hale getirmek, sesi izole etmek veya çalışanı gürültüden fiziksel olarak ayırmak daha üst düzey bir kontrol olabilir. OSHA da kişisel koruyucu donanımı diğer kontroller yetersiz kaldığında kullanılan son savunma hattı olarak tanımlıyor. İş Sağlığı ve Güvenliği İdaresi+1
Bu ayrım bana göre risk yönetiminin en önemli prensiplerinden biri:
“İnsana daha dikkatli olmasını söylemek” ile “sistemi hata yapıldığında bile güvenli olacak şekilde tasarlamak” aynı şey değildir.
3. Risk Transferi: Finansal Sonucu Başka Bir Tarafa Aktarmak
Risk transferinde riskin kendisi her zaman ortadan kalkmaz; ancak risk gerçekleştiğinde ortaya çıkabilecek finansal yükün bir kısmı veya tamamı başka bir tarafa aktarılır.
Sigorta bunun en klasik örneğidir.
Bir şirketin fabrikası deprem nedeniyle zarar görebilir. Depremi engellemek mümkün değildir. Şirket uygun bir sigorta poliçesiyle zararın finansal sonuçlarının belirli bir bölümünü sigorta şirketine aktarabilir.
Ancak “sigorta yaptırdım, risk bitti” demek doğru değildir.
2023 Kahramanmaraş merkezli Türkiye-Suriye depremleri bunun çok çarpıcı bir örneği. Swiss Re Institute'a göre depremin sigortalı kaybı yaklaşık 6,2 milyar dolar oldu; ancak ekonomik kayıpların yaklaşık %90'ı sigorta kapsamında değildi. Swiss Re+1
Buradaki rakamın anlamı çok önemli: Sigorta, toplam ekonomik zararı ortadan kaldırmadı. Yalnızca sigortalanmış kısmın finansal yükünü paylaşmaya yardımcı oldu.
Dolayısıyla risk transferinde şu sorular sorulmalı:
- Hangi risk gerçekten transfer ediliyor?
- Poliçe veya sözleşmede istisnalar neler?
- Muafiyet ne kadar?
- Karşı tarafın ödeme kapasitesi yeterli mi?
- Risk gerçekleştiğinde itibar, insan sağlığı veya müşteri kaybı gibi sigortalanamayan sonuçlar ne olacak?
Özellikle son soru çoğu zaman ihmal ediliyor.
4. Risk Paylaşımı: Riski Tek Bir Noktada Toplamamak
Risk paylaşımı, riskin sonuçlarının veya yükünün birden fazla taraf arasında dağıtılmasıdır.
Ortak girişimler, konsorsiyumlar, tedarikçi çeşitlendirmesi, reasürans ve bazı sözleşme modelleri bu mantıkla çalışabilir.
Doğal afetlerde reasürans bunun güçlü bir örneğidir. Swiss Re'nin 2025 tarihli araştırmasına göre 2024'te doğal afetlerin dünya çapındaki ekonomik kayıpları yaklaşık 318 milyar dolar, bunun 137 milyar doları sigortalı idi. Yani yaklaşık 181 milyar dolarlık bir koruma açığı bulunuyordu. Swiss Re
Bu rakamları yalnızca sigorta sektörünün finansal problemi olarak görmek eksik olur. Bir afet sonrasında evini, işyerini veya fabrikasını yeniden kuramayan insanlar için risk doğrudan sosyal ve ekonomik bir probleme dönüşüyor.
Bu nedenle risk paylaşımı yalnızca “zararı kim ödeyecek?” sorusundan ibaret değil. “Zarar gerçekleştiğinde toplumun hangi kesimi ne kadar etkileniyor?” sorusu da önemli.
5. Risk Kabulü: Her Riski Kontrol Etmeye Çalışmamak
Risk kabulü kulağa ilk başta sorumsuzca gelebilir. Oysa profesyonel risk yönetiminde tamamen normal bir yöntemdir.
Çünkü her risk için kontrol uygulamak ekonomik olarak mantıklı değildir.
Örneğin bir işletmenin 500 TL'lik bir ekipman arızası ihtimali için her yıl 10.000 TL harcayarak özel bir sistem kurması mantıklı olmayabilir. Eğer riskin olasılığı ve etkisi düşükse şirket riski bilinçli biçimde kabul edebilir.
Fakat burada “kabul etmek” ile “riski görmezden gelmek” birbirinden tamamen farklıdır.
Gerçek risk kabulü şu anlama gelir:
“Bu riski tespit ettik, olasılığını ve etkisini değerlendirdik, maliyetini biliyoruz ve mevcut koşullarda ek önlem almamanın bilinçli bir karar olduğuna karar verdik.”
NIST de risk kabulünü, potansiyel riski kabul ederek faaliyete devam etmek veya riski kabul edilebilir seviyeye indirmek için kontroller uygulamak şeklinde ele alıyor. nvlpubs.nist.gov
Gerçek Hayattan Çok Önemli Bir Ders: Sigorta Tek Başına Yeterli Değil
Doğal afet verileri risk işleme yöntemlerinin neden birlikte kullanılması gerektiğini çok iyi gösteriyor.
Swiss Re'ye göre 2023 yılında doğal afetler dünya genelinde 280 milyar dolarlık ekonomik kayba neden oldu. Bunun 108 milyar doları sigortalıydı. Aynı yıl 142 sigortalı kayba yol açan doğal afet gerçekleşti ve bu rekor seviyedeydi. Swiss Re+1
Daha dikkat çekici olan ise kayıpların uzun dönemli eğilimi. Swiss Re, 1994-2023 arasında doğal afetlerden kaynaklanan enflasyona göre düzeltilmiş sigortalı kayıpların yıllık ortalama %5,9 arttığını, küresel GSYH artışının ise %2,7 olduğunu belirtiyor. Swiss Re
Bu iki oran arasındaki fark bize şunu söylüyor: Risk yalnızca “sigorta yaptırarak” yönetilebilecek bir noktada değil.
Bina standartlarını iyileştirmek risk azaltmadır.
Riskli bölgelerde yapılaşmayı sınırlamak riskten kaçınmadır.
Sigorta yaptırmak risk transferidir.
Devlet, özel sektör ve sigorta şirketlerinin yükü paylaşması risk paylaşımıdır.
Küçük ve yönetilebilir zararları bütçede karşılamak ise risk kabulüdür.
Yani gerçek hayatta bu yöntemler genellikle tek tek değil, birlikte kullanılır.
Erkekler ve Kadınlar Açısından Risk Algısı: Basit Klişelerden Daha Karmaşık Bir Konu
Risk tartışmalarında erkeklerin daha çok sonuç, maliyet, hız ve uygulanabilirlik; kadınların ise güvenlik, ilişkiler, çalışanların veya ailelerin etkilenmesi gibi sosyal ve duygusal boyutlara dikkat ettiği şeklinde genellemelerle karşılaşabiliyoruz.
Bunları değişmez biyolojik özellikler gibi görmek doğru olmaz. İnsanların risk algısını eğitim, meslek, kültür, yaş, deneyim ve içinde bulunduğu sorumluluklar ciddi biçimde etkileyebilir.
Bununla birlikte farklı bakış açılarını aynı masada toplamak risk yönetimi açısından gerçekten değerlidir.
Örneğin bir yönetici “Bu önlem 2 milyon TL'ye mal oluyor, buna değer mi?” diye sorabilir.
Başka bir çalışan ise “Peki bu sistem arızalandığında çalışanların üzerindeki stres ne olacak? Müşteriler güvenini kaybederse ne olur?” diye sorabilir.
İki soru da gereklidir.
Sadece finansal sonucu hesaplamak insan etkisini görünmez hale getirebilir. Sadece duygusal etkiye odaklanmak da kaynakların verimsiz kullanılmasına neden olabilir.
İyi risk yönetimi, ölçülebilir sonuçlarla insan deneyimini aynı değerlendirme çerçevesine koyabilendir.
Risk İşleme Kararı Nasıl Verilmeli?
Pratik bir yöntem olarak her risk için şu sırayla düşünmek mümkün:
1. Riskin kaynağı ne?
Tehlike nereden geliyor? İnsan hatası mı, teknoloji mi, tedarikçi mi, doğal afet mi, finansal piyasa mı?
2. Gerçekleşme ihtimali ne kadar?
“Olabilir” demek yeterli değil. Mümkünse geçmiş veriler, sektör istatistikleri ve olay kayıtları kullanılmalı.
3. Gerçekleşirse etkisi ne olur?
Sadece para değil; can güvenliği, müşteri kaybı, itibar, hukuki sonuçlar, operasyon kesintisi ve çalışan morali de hesaba katılmalı.
4. Riski ortadan kaldırmak mümkün mü?
Mümkünse ilk seçeneklerden biri kaçınma veya ortadan kaldırma olmalı.
5. Ortadan kaldırılamıyorsa azaltılabilir mi?
Kontrol, otomasyon, eğitim, yedeklilik, bakım ve süreç değişikliği gibi seçenekler incelenmeli.
6. Finansal sonuç transfer edilebilir mi?
Sigorta, sözleşme veya farklı risk paylaşımı modelleri değerlendirilmeli.
7. Geriye kalan risk kabul edilebilir mi?
Burada kararın yazılı ve gerekçeli olması önemli.
OSHA da kontrol seçeneklerinin yalnızca teorik olarak değil, uygulanabilirlik, etkinlik ve kalıcılık açısından değerlendirilmesini; ayrıca çalışanların çözüm tasarımına dahil edilmesini öneriyor. İş Sağlığı ve Güvenliği İdaresi+1
Asıl Mesele “En Güvenli” Seçeneği Değil, “En Uygun” Seçeneği Bulmak
Risk yönetiminde belki de en zor konu budur.
Bir çözüm teknik olarak daha güvenli olabilir ama maliyeti işletmenin kaldırabileceğinden yüksekse sürdürülebilir olmayabilir. Çok ucuz bir çözüm ise riski yeterince azaltmayabilir.
Bu yüzden risk işleme aslında mühendislik, ekonomi, hukuk, psikoloji, sigortacılık ve yönetimin kesiştiği bir alan.
Örneğin bir fabrikanın yeni bir güvenlik sistemi kurması yalnızca mühendislik kararı değildir. Muhasebe bunun maliyetini, hukuk sorumlulukları, insan kaynakları çalışan davranışlarını, yönetim ise yatırımın işletme hedeflerine etkisini değerlendirmelidir.
En iyi karar genellikle bu disiplinlerin ortak değerlendirmesinden çıkar.
Forumda Tartışmaya Değer Birkaç Soru
Sizce işletmeler riskleri azaltmak için ne kadar para harcamalı? Bir riskin gerçekleşme ihtimali çok düşük ama zararı çok yüksekse, önlem almak yine de zorunlu olmalı mı?
Sigorta yaptırmak sizce gerçekten riski yönetmek mi, yoksa yalnızca finansal sonucu başka bir tarafa aktarmak mı?
İş yerlerinde çalışanlara daha fazla eğitim vermek mi, yoksa hata yapıldığında bile sistemi güvenli hale getirmek mi daha etkili?
Bir şirketin çok düşük olasılıklı bir riski kabul etmesi sizce profesyonel risk yönetimi mi, yoksa gelecekteki probleme göz yummak mı?
Ve belki en önemlisi: Bir risk kararında finansal maliyet ile insanların yaşayacağı stres, güven kaybı veya sosyal etki nasıl aynı terazide ölçülmeli?
Bence risk yönetiminin gerçek değeri tam da burada ortaya çıkıyor. İyi bir risk yöneticisi “Hiç risk almayalım” demez. Aynı şekilde “Risk gerçekleşmez” diye de düşünmez. Hangi riski neden aldığını, hangisinden neden kaçındığını ve bir şeyler ters gittiğinde sonuçları nasıl sınırlayacağını bilir.
Çünkü gerçek dünyada risk sıfırlanmıyor; daha bilinçli, ölçülebilir ve dayanıklı hale getiriliyor.
Bir işletmede, projede, fabrikada, hastanede ya da günlük hayatta risk konuşulduğunda çoğu kişinin aklına ilk olarak “Bu riski nasıl ortadan kaldırırız?” sorusu geliyor. Oysa risk yönetiminin en önemli tarafı, her riski tamamen yok etmenin mümkün olmadığını kabul etmek. Asıl mesele, hangi riskin ortadan kaldırılacağına, hangisinin azaltılacağına, hangisinin başka bir tarafa aktarılacağına ve hangisinin belirli koşullarda kabul edilebileceğine doğru karar vermek.
Bu konu yalnızca finans veya sigorta şirketlerinin meselesi de değil. İş sağlığı ve güvenliği, siber güvenlik, tedarik zinciri, iklim değişikliği, proje yönetimi, mühendislik ve hatta kişisel finans aynı mantıktan yararlanıyor. NIST'in risk yanıtı yaklaşımında da temel seçenekler kabul etme, kaçınma, azaltma, paylaşma ve transfer etme olarak sıralanıyor. NIST CSRC+1
Peki bunların arasındaki fark nedir? Daha önemlisi, gerçek hayatta hangi durumda hangisini seçmek mantıklıdır?
Risk İşleme Nedir? Önce “Risk” ile “Risk İşleme”yi Ayırmak Gerekir
Risk işleme, tespit edilen bir riskin kurumun veya kişinin kabul edebileceği seviyeye getirilmesi için alınan karar ve önlemlerin tamamıdır.
Basit bir örnek verelim. Bir şirketin tüm satışlarını tek bir tedarikçiden aldığı bir ürüne bağladığını düşünelim. Tedarikçinin üretimi durdurması ihtimali riskin kendisidir. Şirketin ikinci bir tedarikçi bulması ise risk işleme faaliyetidir.
Burada önemli bir ayrım var: Risk işlemek, her zaman “riski sıfırlamak” anlamına gelmez. NIST'in yaklaşımında da riskin kabul edilmesi dahi bilinçli bir risk yanıtı olarak değerlendiriliyor. nvlpubs.nist.gov
Dolayısıyla iyi risk yönetimi aslında şu soruyu sorar:
“Bu risk gerçekleşirse ortaya çıkacak sonuçla yaşamak mı daha mantıklı, yoksa bugünden para, zaman ve kaynak harcayıp riski değiştirmek mi?”
Bu soru bizi temel risk işleme yöntemlerine götürüyor.
1. Riskten Kaçınma: Riski Ortaya Çıkaran Faaliyeti Bırakmak
Riskten kaçınma, riskin kaynağını ortadan kaldırmak için ilgili faaliyeti yapmamak, değiştirmek veya sonlandırmaktır.
Örneğin bir şirket, güvenlik açısından ciddi açıklar taşıyan eski bir yazılımı kullanmayı tamamen bırakabilir. Bir fabrika, çalışanların yüksekten çalışmasını gerektiren bir üretim yöntemini yeniden tasarlayarak işi zeminde gerçekleştirebilir.
Bu yaklaşım özellikle riskin potansiyel zararı çok yüksek olduğunda anlamlıdır.
NIST'in risk azaltma yaklaşımında kaçınma; riskin nedenini veya ortaya çıkarabileceği sonucu ortadan kaldırmak, hatta gerektiğinde sistemin belirli fonksiyonlarından vazgeçmek şeklinde açıklanıyor. nvlpubs.nist.gov
Fakat burada kritik bir nokta var: Riskten kaçınmanın da bir maliyeti vardır.
Bir şirket yüksek siber saldırı riski nedeniyle çevrim içi satış sistemini tamamen kapatırsa siber riski azaltabilir ama bu kez satış kaybı yaratır. Yani “riskten kaçındım” demek, “en iyi kararı verdim” demek değildir.
Bence riskten kaçınma kararlarında en sık yapılan hata tam olarak burada ortaya çıkıyor. İnsanlar bazen yalnızca tehlikeye bakıyor, vazgeçmenin oluşturacağı fırsat maliyetini hesaba katmıyor.
2. Risk Azaltma: Olasılığı veya Etkiyi Düşürmek
Risk azaltma, günlük hayatta en sık karşılaştığımız yöntemlerden biri.
Burada amaç riski tamamen yok etmek değil; risk gerçekleşme ihtimalini, gerçekleştiğinde ortaya çıkacak zararı veya her ikisini birden azaltmaktır.
Örneğin bir e-ticaret şirketi siber saldırıyı tamamen engelleyemeyebilir. Fakat çok faktörlü kimlik doğrulama, erişim yetkilerinin sınırlandırılması, yedekleme, saldırı tespit sistemleri ve çalışan eğitimleriyle saldırının gerçekleşme ihtimalini ve olası zararını azaltabilir.
İş güvenliğinde ise bu yaklaşım daha da somut görülüyor. OSHA'nın “kontrol hiyerarşisi” yaklaşımında tehlikeleri kontrol etmek için önce ortadan kaldırma, ardından ikame, mühendislik kontrolleri, idari kontroller ve son olarak kişisel koruyucu donanım sıralanıyor. İş Sağlığı ve Güvenliği İdaresi+1
Burada önemli bir ders var: Sadece çalışanlara “dikkatli olun” demek, çoğu zaman güçlü bir risk kontrolü değildir.
Örneğin gürültülü bir makinenin yanındaki çalışana kulaklık vermek riski azaltabilir. Fakat makineyi daha sessiz hale getirmek, sesi izole etmek veya çalışanı gürültüden fiziksel olarak ayırmak daha üst düzey bir kontrol olabilir. OSHA da kişisel koruyucu donanımı diğer kontroller yetersiz kaldığında kullanılan son savunma hattı olarak tanımlıyor. İş Sağlığı ve Güvenliği İdaresi+1
Bu ayrım bana göre risk yönetiminin en önemli prensiplerinden biri:
“İnsana daha dikkatli olmasını söylemek” ile “sistemi hata yapıldığında bile güvenli olacak şekilde tasarlamak” aynı şey değildir.
3. Risk Transferi: Finansal Sonucu Başka Bir Tarafa Aktarmak
Risk transferinde riskin kendisi her zaman ortadan kalkmaz; ancak risk gerçekleştiğinde ortaya çıkabilecek finansal yükün bir kısmı veya tamamı başka bir tarafa aktarılır.
Sigorta bunun en klasik örneğidir.
Bir şirketin fabrikası deprem nedeniyle zarar görebilir. Depremi engellemek mümkün değildir. Şirket uygun bir sigorta poliçesiyle zararın finansal sonuçlarının belirli bir bölümünü sigorta şirketine aktarabilir.
Ancak “sigorta yaptırdım, risk bitti” demek doğru değildir.
2023 Kahramanmaraş merkezli Türkiye-Suriye depremleri bunun çok çarpıcı bir örneği. Swiss Re Institute'a göre depremin sigortalı kaybı yaklaşık 6,2 milyar dolar oldu; ancak ekonomik kayıpların yaklaşık %90'ı sigorta kapsamında değildi. Swiss Re+1
Buradaki rakamın anlamı çok önemli: Sigorta, toplam ekonomik zararı ortadan kaldırmadı. Yalnızca sigortalanmış kısmın finansal yükünü paylaşmaya yardımcı oldu.
Dolayısıyla risk transferinde şu sorular sorulmalı:
- Hangi risk gerçekten transfer ediliyor?
- Poliçe veya sözleşmede istisnalar neler?
- Muafiyet ne kadar?
- Karşı tarafın ödeme kapasitesi yeterli mi?
- Risk gerçekleştiğinde itibar, insan sağlığı veya müşteri kaybı gibi sigortalanamayan sonuçlar ne olacak?
Özellikle son soru çoğu zaman ihmal ediliyor.
4. Risk Paylaşımı: Riski Tek Bir Noktada Toplamamak
Risk paylaşımı, riskin sonuçlarının veya yükünün birden fazla taraf arasında dağıtılmasıdır.
Ortak girişimler, konsorsiyumlar, tedarikçi çeşitlendirmesi, reasürans ve bazı sözleşme modelleri bu mantıkla çalışabilir.
Doğal afetlerde reasürans bunun güçlü bir örneğidir. Swiss Re'nin 2025 tarihli araştırmasına göre 2024'te doğal afetlerin dünya çapındaki ekonomik kayıpları yaklaşık 318 milyar dolar, bunun 137 milyar doları sigortalı idi. Yani yaklaşık 181 milyar dolarlık bir koruma açığı bulunuyordu. Swiss Re
Bu rakamları yalnızca sigorta sektörünün finansal problemi olarak görmek eksik olur. Bir afet sonrasında evini, işyerini veya fabrikasını yeniden kuramayan insanlar için risk doğrudan sosyal ve ekonomik bir probleme dönüşüyor.
Bu nedenle risk paylaşımı yalnızca “zararı kim ödeyecek?” sorusundan ibaret değil. “Zarar gerçekleştiğinde toplumun hangi kesimi ne kadar etkileniyor?” sorusu da önemli.
5. Risk Kabulü: Her Riski Kontrol Etmeye Çalışmamak
Risk kabulü kulağa ilk başta sorumsuzca gelebilir. Oysa profesyonel risk yönetiminde tamamen normal bir yöntemdir.
Çünkü her risk için kontrol uygulamak ekonomik olarak mantıklı değildir.
Örneğin bir işletmenin 500 TL'lik bir ekipman arızası ihtimali için her yıl 10.000 TL harcayarak özel bir sistem kurması mantıklı olmayabilir. Eğer riskin olasılığı ve etkisi düşükse şirket riski bilinçli biçimde kabul edebilir.
Fakat burada “kabul etmek” ile “riski görmezden gelmek” birbirinden tamamen farklıdır.
Gerçek risk kabulü şu anlama gelir:
“Bu riski tespit ettik, olasılığını ve etkisini değerlendirdik, maliyetini biliyoruz ve mevcut koşullarda ek önlem almamanın bilinçli bir karar olduğuna karar verdik.”
NIST de risk kabulünü, potansiyel riski kabul ederek faaliyete devam etmek veya riski kabul edilebilir seviyeye indirmek için kontroller uygulamak şeklinde ele alıyor. nvlpubs.nist.gov
Gerçek Hayattan Çok Önemli Bir Ders: Sigorta Tek Başına Yeterli Değil
Doğal afet verileri risk işleme yöntemlerinin neden birlikte kullanılması gerektiğini çok iyi gösteriyor.
Swiss Re'ye göre 2023 yılında doğal afetler dünya genelinde 280 milyar dolarlık ekonomik kayba neden oldu. Bunun 108 milyar doları sigortalıydı. Aynı yıl 142 sigortalı kayba yol açan doğal afet gerçekleşti ve bu rekor seviyedeydi. Swiss Re+1
Daha dikkat çekici olan ise kayıpların uzun dönemli eğilimi. Swiss Re, 1994-2023 arasında doğal afetlerden kaynaklanan enflasyona göre düzeltilmiş sigortalı kayıpların yıllık ortalama %5,9 arttığını, küresel GSYH artışının ise %2,7 olduğunu belirtiyor. Swiss Re
Bu iki oran arasındaki fark bize şunu söylüyor: Risk yalnızca “sigorta yaptırarak” yönetilebilecek bir noktada değil.
Bina standartlarını iyileştirmek risk azaltmadır.
Riskli bölgelerde yapılaşmayı sınırlamak riskten kaçınmadır.
Sigorta yaptırmak risk transferidir.
Devlet, özel sektör ve sigorta şirketlerinin yükü paylaşması risk paylaşımıdır.
Küçük ve yönetilebilir zararları bütçede karşılamak ise risk kabulüdür.
Yani gerçek hayatta bu yöntemler genellikle tek tek değil, birlikte kullanılır.
Erkekler ve Kadınlar Açısından Risk Algısı: Basit Klişelerden Daha Karmaşık Bir Konu
Risk tartışmalarında erkeklerin daha çok sonuç, maliyet, hız ve uygulanabilirlik; kadınların ise güvenlik, ilişkiler, çalışanların veya ailelerin etkilenmesi gibi sosyal ve duygusal boyutlara dikkat ettiği şeklinde genellemelerle karşılaşabiliyoruz.
Bunları değişmez biyolojik özellikler gibi görmek doğru olmaz. İnsanların risk algısını eğitim, meslek, kültür, yaş, deneyim ve içinde bulunduğu sorumluluklar ciddi biçimde etkileyebilir.
Bununla birlikte farklı bakış açılarını aynı masada toplamak risk yönetimi açısından gerçekten değerlidir.
Örneğin bir yönetici “Bu önlem 2 milyon TL'ye mal oluyor, buna değer mi?” diye sorabilir.
Başka bir çalışan ise “Peki bu sistem arızalandığında çalışanların üzerindeki stres ne olacak? Müşteriler güvenini kaybederse ne olur?” diye sorabilir.
İki soru da gereklidir.
Sadece finansal sonucu hesaplamak insan etkisini görünmez hale getirebilir. Sadece duygusal etkiye odaklanmak da kaynakların verimsiz kullanılmasına neden olabilir.
İyi risk yönetimi, ölçülebilir sonuçlarla insan deneyimini aynı değerlendirme çerçevesine koyabilendir.
Risk İşleme Kararı Nasıl Verilmeli?
Pratik bir yöntem olarak her risk için şu sırayla düşünmek mümkün:
1. Riskin kaynağı ne?
Tehlike nereden geliyor? İnsan hatası mı, teknoloji mi, tedarikçi mi, doğal afet mi, finansal piyasa mı?
2. Gerçekleşme ihtimali ne kadar?
“Olabilir” demek yeterli değil. Mümkünse geçmiş veriler, sektör istatistikleri ve olay kayıtları kullanılmalı.
3. Gerçekleşirse etkisi ne olur?
Sadece para değil; can güvenliği, müşteri kaybı, itibar, hukuki sonuçlar, operasyon kesintisi ve çalışan morali de hesaba katılmalı.
4. Riski ortadan kaldırmak mümkün mü?
Mümkünse ilk seçeneklerden biri kaçınma veya ortadan kaldırma olmalı.
5. Ortadan kaldırılamıyorsa azaltılabilir mi?
Kontrol, otomasyon, eğitim, yedeklilik, bakım ve süreç değişikliği gibi seçenekler incelenmeli.
6. Finansal sonuç transfer edilebilir mi?
Sigorta, sözleşme veya farklı risk paylaşımı modelleri değerlendirilmeli.
7. Geriye kalan risk kabul edilebilir mi?
Burada kararın yazılı ve gerekçeli olması önemli.
OSHA da kontrol seçeneklerinin yalnızca teorik olarak değil, uygulanabilirlik, etkinlik ve kalıcılık açısından değerlendirilmesini; ayrıca çalışanların çözüm tasarımına dahil edilmesini öneriyor. İş Sağlığı ve Güvenliği İdaresi+1
Asıl Mesele “En Güvenli” Seçeneği Değil, “En Uygun” Seçeneği Bulmak
Risk yönetiminde belki de en zor konu budur.
Bir çözüm teknik olarak daha güvenli olabilir ama maliyeti işletmenin kaldırabileceğinden yüksekse sürdürülebilir olmayabilir. Çok ucuz bir çözüm ise riski yeterince azaltmayabilir.
Bu yüzden risk işleme aslında mühendislik, ekonomi, hukuk, psikoloji, sigortacılık ve yönetimin kesiştiği bir alan.
Örneğin bir fabrikanın yeni bir güvenlik sistemi kurması yalnızca mühendislik kararı değildir. Muhasebe bunun maliyetini, hukuk sorumlulukları, insan kaynakları çalışan davranışlarını, yönetim ise yatırımın işletme hedeflerine etkisini değerlendirmelidir.
En iyi karar genellikle bu disiplinlerin ortak değerlendirmesinden çıkar.
Forumda Tartışmaya Değer Birkaç Soru
Sizce işletmeler riskleri azaltmak için ne kadar para harcamalı? Bir riskin gerçekleşme ihtimali çok düşük ama zararı çok yüksekse, önlem almak yine de zorunlu olmalı mı?
Sigorta yaptırmak sizce gerçekten riski yönetmek mi, yoksa yalnızca finansal sonucu başka bir tarafa aktarmak mı?
İş yerlerinde çalışanlara daha fazla eğitim vermek mi, yoksa hata yapıldığında bile sistemi güvenli hale getirmek mi daha etkili?
Bir şirketin çok düşük olasılıklı bir riski kabul etmesi sizce profesyonel risk yönetimi mi, yoksa gelecekteki probleme göz yummak mı?
Ve belki en önemlisi: Bir risk kararında finansal maliyet ile insanların yaşayacağı stres, güven kaybı veya sosyal etki nasıl aynı terazide ölçülmeli?
Bence risk yönetiminin gerçek değeri tam da burada ortaya çıkıyor. İyi bir risk yöneticisi “Hiç risk almayalım” demez. Aynı şekilde “Risk gerçekleşmez” diye de düşünmez. Hangi riski neden aldığını, hangisinden neden kaçındığını ve bir şeyler ters gittiğinde sonuçları nasıl sınırlayacağını bilir.
Çünkü gerçek dünyada risk sıfırlanmıyor; daha bilinçli, ölçülebilir ve dayanıklı hale getiriliyor.