ISO 31000, her büyüklükteki ve her sektördeki kuruluşun risklerini yönetmesi için ilkeler, bir çerçeve ve bir süreç tarif eden uluslararası kılavuz standarttır. Standart riski "belirsizliğin amaçlar üzerindeki etkisi" olarak tanımlar; bu etki olumsuz olabileceği gibi olumlu da olabilir. Uluslararası Standardizasyon Örgütü'ne (ISO) göre yürürlükteki sürüm ISO 31000:2018'dir ve 2023'te yeniden gözden geçirilip teyit edilmiştir.
Standart yenileniyor: ISO kataloğuna göre 3. baskı taslağı ISO/DIS 31000, 3 Kasım 2026'da taslak uluslararası standart olarak kaydedildi ve ISO üyelerinin görüşüne açıldı; yeni sürüm yayımlanana kadar 2018 baskısı geçerlidir. Riskin nasıl değerlendirileceğine dair teknikler ise ayrı bir belgede, 2019 tarihli IEC 31010'da anlatılır.
Kısaca:
- ISO 31000 bir kılavuzdur, şartname değildir; ISO'ya göre belgelendirme amacıyla kullanılamaz.
- Süreç; iletişim ve danışma, kapsam ve bağlam, risk değerlendirme, risk işleme, izleme ve gözden geçirme, kayıt ve raporlama adımlarından oluşur.
- IEC 31010, ISO 31000 sürecinin değerlendirme adımı için teknikleri 10 grupta toplar; HAZOP, FMEA, papyon analizi ve risk matrisi bunlardan bazılarıdır.
ISO 31000 nedir, sertifikası alınır mı?
ISO 31000, ISO'nun risk yönetimi teknik komitesi ISO/TC 262 tarafından hazırlanır. Kapsam maddesine göre belge sektöre özgü değildir; kuruluşun ömrü boyunca ve her düzeydeki karar alma dâhil her faaliyette kullanılabilir. Standart, risk yönetimini de riske ilişkin olarak bir kuruluşu yönlendirmek ve kontrol etmek için yürütülen koordineli faaliyetler diye tanımlar.
Sık sorulan soru belgelendirmedir. ISO'nun katalog sayfası açıktır: ISO 31000 iyi uygulama kılavuzu sunar ama belgelendirilebilir bir risk yönetimi standardı değildir. Bu nedenle "ISO 31000 sertifikası" ifadesi, olsa olsa kişisel eğitim sertifikalarını anlatabilir; kuruluşun bu standarda göre belgelendirilmesi söz konusu değildir.
ISO'nun önsözüne göre 2018 baskısı 2009 baskısının yerini alırken risk yönetiminin başarısı için temel ölçüt olan ilkeleri gözden geçirdi, üst yönetimin liderliğini ve risk yönetiminin yönetişimle bütünleşmesini öne çıkardı ve sürecin yinelemeli yapısına daha fazla vurgu yaptı. ISO'nun tanıtım broşürü, terimlerin bir kısmının ayrı bir sözlük belgesine, ISO Guide 73'e taşındığını da belirtir.
ISO 31000 risk yönetimi süreci hangi adımlardan oluşur?
Standardın 6. maddesi süreci tarif eder. İçindekiler tablosuna göre adımlar şöyledir:
| Adım | İçerik |
|---|---|
| İletişim ve danışma | Paydaşlarla bilgi alışverişi ve görüş alma |
| Kapsam, bağlam ve kriterler | Kapsamın tanımlanması, dış ve iç bağlam, risk kriterlerinin belirlenmesi |
| Risk değerlendirme (risk assessment) | Risk tanımlama, risk analizi, risk derecelendirme (risk evaluation) |
| Risk işleme (risk treatment) | İşleme seçeneklerinin seçilmesi, işleme planlarının hazırlanması ve uygulanması |
| İzleme ve gözden geçirme | Süreç ve sonuçların düzenli kontrolü |
| Kayıt ve raporlama | Sonuçların belgelenmesi ve ilgililere iletilmesi |
Süreç tek başına çalışmaz. 5. madde, sürecin oturduğu çerçeveyi tarif eder: liderlik ve taahhüt, kuruluşa entegrasyon, tasarım (bağlamın anlaşılması, rollerin ve yetkilerin atanması, kaynak ayrılması), uygulama, değerlendirme ve iyileştirme. "Kapsam, bağlam ve kriterler" adımı bu yüzden önemlidir: hangi riskin kabul edilebilir olduğu baştan tanımlanmazsa sonraki derecelendirme kişiden kişiye değişen bir yoruma dönüşür.
Türkçe terimlerde dikkat gerekir: İngilizcede "risk assessment" tanımlama, analiz ve derecelendirmeyi kapsayan üst adımdır; "risk evaluation" ise bu üst adımın son halkasıdır. Kurum içi dokümanlarda iki kavramı ayrı adlarla yazmak karışıklığı önler.
IEC 31010 hangi risk değerlendirme tekniklerini içerir?
Uluslararası Elektroteknik Komisyonu'nun (IEC) kataloğuna göre IEC 31010:2019, belirsizlik altında karar vermeye yardım eden risk değerlendirme tekniklerinin seçimi ve uygulanması için rehberlik eder; ISO ile ortak logolu bir standarttır. 13 Haziran 2019'da yayımlanan 2. baskı, 2009 tarihli ilk baskının yerini aldı; teknik sayısı ve uygulama alanı genişletildi, ISO 31000'deki kavramlar ise tekrar edilmedi. Belge 264 sayfadır.
Standardın Ek B'si teknikleri amaçlarına göre 10 grupta özetler; içindekiler tablosunda bu gruplar altında 41 teknik başlığı yer alır:
| Grup | Örnek teknikler |
|---|---|
| Paydaş ve uzman görüşü toplama | Beyin fırtınası, Delphi, nominal grup, yapılandırılmış görüşme, anket |
| Riski tanımlama | Kontrol listeleri, FMEA/FMECA, HAZOP, senaryo analizi, SWIFT |
| Kaynak ve nedenleri belirleme | Ishikawa (balık kılçığı), sindinik yaklaşım |
| Kontrolleri analiz etme | Papyon (bow-tie), HACCP, LOPA |
| Sonuç ve olasılığı anlama | Bayes analizi, iş etki analizi, olay ağacı, hata ağacı, insan güvenilirliği analizi, Markov, Monte Carlo |
| Bağımlılık ve etkileşimleri analiz etme | Nedensel haritalama, çapraz etki analizi |
| Riskin ölçüsünü verme | Toksikolojik risk değerlendirmesi, riske maruz değer (VaR), koşullu VaR |
| Riskin önemini derecelendirme | ALARP/SFAIRP, F-N diyagramları, Pareto, güvenilirlik merkezli bakım, risk endeksleri |
| Seçenekler arasında seçim | Maliyet/fayda, karar ağacı, oyun teorisi, çok kriterli analiz |
| Kayıt ve raporlama | Risk kaydı, sonuç/olasılık matrisi (risk matrisi), S-eğrileri |
Dikkat çekici bir ayrıntı: risk matrisi, analiz teknikleri arasında değil, kayıt ve raporlama grubunda yer alır. Yani matris, analizin yerine geçen bir araç değil, analiz sonucunu görünür kılan bir sunum biçimidir.
Doğru risk değerlendirme tekniği nasıl seçilir?
IEC 31010'un 6. ve 7. maddeleri, teknik seçmeden önce değerlendirmenin planlanmasını ister: amacın ve kapsamın tanımlanması, bağlamın anlaşılması, paydaşların katılımı, insan, örgütsel ve sosyal faktörlerin dikkate alınması ve karar kriterlerinin gözden geçirilmesi. Ardından bilgi toplama ve modelleme, sonuçların doğrulanması, belirsizlik ve duyarlılık analizi gelir. Ek A'daki tablolar, her tekniğin ISO 31000 sürecinin hangi adımına uyduğunu gösterir.
Aşağıdaki pratik sorular standarttan alıntı değil, seçim için bir başlangıç önerisidir:
- Soru ne? Yeni riskleri bulmak mı, bilinen bir riskin olasılığını hesaplamak mı, iki seçenek arasında karar vermek mi?
- Veri var mı? Sayısal veri azsa uzman görüşüne dayalı teknikler, veri zenginse olasılıksal modeller daha uygundur.
- Kim katılacak? HAZOP gibi teknikler çok disiplinli bir ekip ister; ekip kurulamıyorsa yapılandırılmış kontrol listesi daha gerçekçidir.
- Sonuç kime gidecek? Yönetim kurulu için risk kaydı ve matris, mühendislik için hata ağacı ya da olay ağacı daha işlevseldir.
Sonuç: ISO 31000 bir prosedür mü, bir yönetim dili mi?
ISO 31000 kuruluşa hazır bir form vermez; riskin nasıl konuşulacağı, kimin karar vereceği ve sürecin nasıl döneceği konusunda ortak bir dil verir. IEC 31010 bu dilin "nasıl ölçeriz" tarafını tamamlar. 2018 baskısı geçerliliğini korurken 3. baskının taslak aşamasında olması, mevcut risk prosedürlerini gözden geçirmek için iyi bir zamanlamadır. Pratik ilk adım, kuruluşun risk kriterlerini yazılı hâle getirmek ve her risk için hangi tekniğin neden seçildiğini kayda geçirmektir. Uygulamalı bir örnek için tehlike analizi ve risk matrisi yazısına bakabilirsiniz.
Orient Global'in kurumsal eğitim kataloğunda ISO 31000 risk yönetimi konusu yer alıyor; ayrıntılar eğitimler sayfasında.
#interimmanagement #forwarddeployedengineering #iso31000 #riskyonetimi #iec31010