Duru
New member
Bu nedenle riskleri birbirinden bağımsız kutular gibi değerlendirmek yerine, aralarındaki ilişkileri anlamak gerekir. Sistem düşüncesi ve süreç analizi bu noktada oldukça faydalıdır.
6. Risklere Müdahale: Önleme, Azaltma, Aktarma ve Kabul Etme
Risk değerlendirmesinden sonra uygun müdahale yöntemi seçilir. Genel olarak dört temel yaklaşım bulunur.
Riskten kaçınma: Riskin kaynağı olan faaliyetten vazgeçmek veya faaliyeti değiştirmektir. Bir şirket, güvenlik standartlarını karşılayamayan bir pazara giriş kararını erteleyebilir.
Riski azaltma: Gerçekleşme olasılığını veya etkisini düşürecek önlemler almaktır. Yedekleme sistemleri kurmak, çalışanlara eğitim vermek ve makinelerin bakımını düzenli yapmak bu kapsamdadır.
Riski aktarma veya paylaşma: Sigorta, sözleşmeler ya da uygun iş ortaklıkları aracılığıyla finansal yükün veya sorumluluğun bir bölümünü başka taraflarla paylaşmaktır. Ancak sözleşme yapmak, bütün operasyonel ve itibari sonuçları ortadan kaldırmaz.
Riski kabul etme: Riskin düzeyi kabul edilebilir olduğunda ve ek önlemin maliyeti sağlayacağı faydayı aştığında riskin bilinçli olarak üstlenilmesidir. Bu kararın gerekçesi ve koşulları kayıt altına alınmalıdır.
Örneğin küçük bir işletmenin bütün bilişim sistemlerini en pahalı güvenlik altyapısıyla donatması ekonomik açıdan mantıklı olmayabilir. Bununla birlikte düzenli yedekleme, çok faktörlü kimlik doğrulama, yazılım güncellemeleri ve çalışan eğitimi gibi önlemler makul maliyetle önemli koruma sağlayabilir.
Buradaki kritik nokta, en fazla önlemi almak değil, riskin niteliğine uygun önlemleri seçmektir. Ayrıca sigorta veya dış hizmet kullanımı, riskin tamamının ortadan kalktığı anlamına gelmez. Sigortalanmış bir iş yerinde bile üretim durabilir, müşteri güveni zarar görebilir ve sözleşmeler aksayabilir.
7. Risk Yönetimi Planının Hazırlanması ve Sorumlulukların Belirlenmesi
Risklere müdahale yöntemleri belirlendikten sonra bunların nasıl uygulanacağı açıklanmalıdır. İyi hazırlanmış bir risk yönetimi planı; yapılacak işleri, sorumluları, gerekli kaynakları, tamamlanma tarihlerini ve başarı ölçütlerini içermelidir.
Örneğin bir şirketin müşteri bilgilerinin çalınması riskini azaltmak istediğini düşünelim. Yalnızca “siber güvenlik güçlendirilecek” şeklinde bir karar almak yeterli değildir. Bunun yerine şu adımlar planlanabilir:
- Bilgi teknolojileri ekibi 30 gün içinde bütün hesaplarda çok faktörlü kimlik doğrulamayı etkinleştirir.
- Sistem yöneticisi haftalık yedekleme işlemlerinin başarı durumunu kontrol eder.
- İnsan kaynakları birimi çalışanlara oltalama saldırılarını tanıma eğitimi verir.
- Yönetim, üç ay sonra güvenlik kontrollerinin etkinliğini değerlendirir.
- Bir güvenlik olayı yaşanırsa kimin müdahale edeceği ve müşterilere nasıl bilgi verileceği önceden belirlenir.
ABD Ulusal Standartlar ve Teknoloji Enstitüsünün (NIST) 2025 yılında yayımladığı SP 800-61 Rev. 3 belgesi, siber güvenlik olaylarına müdahalenin risk yönetiminin bütününe entegre edilmesini ele alır. Bu yaklaşım, olay meydana geldikten sonra harekete geçmek kadar hazırlık, tespit ve iyileştirme çalışmalarının da önemli olduğunu ortaya koyar.
Kaynak: NIST, Incident Response Recommendations and Considerations for Cybersecurity Risk Management, 2025. https://csrc.nist.gov/pubs/sp/800/61/r3/final
Planın başarısı, belgelerin ne kadar ayrıntılı olduğundan çok, görevlerin gerçekten yerine getirilip getirilmediğiyle ölçülür. Sorumlusu belli olmayan bir önlem, çoğu zaman uygulanmayan bir temenniden ibarettir.
8. Uygulama ve Gerçek Hayattan Bir Örnek: Apollo 13
Risk yönetiminin önemini anlamak için yalnızca işletmelere bakmak zorunda değiliz. NASA'nın Apollo 13 görevi, kriz yönetimi ve sistem güvenliği açısından son derece öğretici bir örnektir.
11 Nisan 1970'te fırlatılan Apollo 13'ün Ay'a iniş yapması planlanıyordu. Ancak 13 Nisan'da uzay aracındaki oksijen tanklarından birinde meydana gelen patlama görevin hedefini değiştirdi. Astronotların hayatı tehlikeye girdi ve NASA ekipleri onları güvenli biçimde Dünya'ya döndürmek için çalışmaya başladı.
NASA'nın yayımladığı tarihsel kayıtlara göre ekip, uzay aracının hasar görmesinden sonra mevcut kaynakları korumak, yaşam destek sistemlerini yönetmek, uygun dönüş rotasını belirlemek ve gerekli prosedürleri yeniden düzenlemek zorunda kaldı. Astronotlar 17 Nisan 1970'te güvenli biçimde Dünya'ya döndü.
Bu olayın önemi, bütün risklerin önceden ortadan kaldırılmış olmasında değil, kritik bir arıza ortaya çıktığında ekiplerin durumu analiz edip uygulanabilir çözümler geliştirebilmesindedir.
Kaynak: NASA, Apollo 13: The Successful Failure. https://www.nasa.gov/missions/apollo/apollo-13-the-successful-failure/
Apollo 13 örneğinden çıkarılabilecek dersleri risk yönetiminin aşamalarıyla eşleştirebiliriz:
Risk belirleme: Sistemlerdeki arıza ihtimallerini ve yaşam destek sistemlerinin birbirine bağımlılığını anlamak.
Risk analizi: Bir arızanın enerji, oksijen, haberleşme ve dönüş kabiliyeti üzerindeki etkilerini değerlendirmek.
Risklere müdahale: Mevcut kaynakları korumak, alternatif sistemlerden yararlanmak ve dönüş için yeni prosedürler oluşturmak.
İzleme ve kontrol: Yeni koşulları sürekli takip ederek planı güncellemek.
Öğrenme ve iyileştirme: Olayın nedenlerini araştırmak ve sonraki görevlerde benzer sorunların ortaya çıkma ihtimalini azaltmak.
NASA'nın Apollo 13 incelemesi, oksijen tankı patlamasının bir dizi hata ve yetersiz tasarımın birleşimiyle meydana geldiğini ortaya koydu. Sonraki görevler için tank sistemi yeniden tasarlandı; elektrik kablolarının korunması ve ilgili sistemlerin incelenmesi gibi önlemler önerildi.
Bu örnekte benim dikkat çekici bulduğum nokta şu: Risk yönetiminin kalitesi yalnızca kriz sırasında verilen kararlarla ölçülemez. Krizin ardından sistemin nasıl değiştirildiği de en az ilk müdahale kadar önemlidir. Aynı olay tekrar yaşanabiliyorsa, yaşanan deneyim kurumsal öğrenmeye yeterince dönüştürülmemiş demektir.
9. İzleme, Kontrol ve Erken Uyarı Mekanizmaları
Risk yönetimi bir kez tamamlanıp rafa kaldırılacak bir süreç değildir. Ekonomik koşullar, teknolojiler, çalışanlar, mevzuat ve müşteri beklentileri değiştikçe risklerin niteliği de değişebilir. Bu nedenle risklerin düzenli olarak izlenmesi ve mevcut önlemlerin etkinliğinin değerlendirilmesi gerekir.
Bu aşamada temel performans göstergeleri ve temel risk göstergeleri birbirinden ayrılmalıdır.
Performans göstergeleri, bir işin ne kadar başarılı yürütüldüğünü gösterir. Örneğin zamanında teslimat oranı bir performans göstergesidir.
Risk göstergeleri ise olumsuz bir olayın yaklaşmakta olduğuna işaret edebilir. Örneğin kritik bir tedarikçinin teslimat sürelerinin sürekli uzaması, gelecekte üretim kesintisi yaşanabileceğini gösterebilir.
Bir işletmenin son altı ayda 100.000 siparişin yüzde 98'ini zamanında teslim ettiğini varsayalım. Bu oran ilk bakışta başarılı görünür. Ancak son üç haftada teslimat performansı yüzde 98'den yüzde 90'a gerilemişse, toplam altı aylık ortalama sorunun ciddiyetini gizleyebilir.
Buradaki yüzde 98, zamanında teslim edilen siparişlerin toplam siparişlere oranını; yüzde 90 ise son dönemde aynı ölçütle hesaplanan oranı ifade eder. Bu iki değerin karşılaştırılması, bozulmanın ne zaman başladığını araştırmak için bir sinyal sağlar. Fakat tek başına düşüşün nedenini açıklamaz. Nedenin bulunması için tedarik, personel, stok, taşıma ve sipariş yoğunluğu verileri birlikte incelenmelidir.
İyi bir izleme sistemi, yalnızca geçmişte ne olduğunu bildirmez; hangi koşullarda müdahale edilmesi gerektiğini de tanımlar.
Örneğin stok seviyesi belirli bir sınırın altına düştüğünde satın alma ekibine otomatik bildirim gönderilebilir. Kritik yazılım sisteminde kesinti süresi belirlenen eşiği aştığında teknik ekip devreye girebilir. Ancak her gösterge için alarm üretmek de doğru değildir. Gereğinden fazla bildirim, çalışanların önemli uyarıları gözden kaçırmasına neden olabilir.
Bu nedenle ölçütlerin anlaşılır, amaca uygun ve karar almaya yardımcı olması gerekir.
10. İletişim, İnsan Faktörü ve Toplumsal Etkiler
Risk yönetimi teknik analizlerden oluşsa da insan davranışlarından bağımsız değildir. Bir çalışan, hata yaptığını söylediğinde cezalandırılacağını düşünüyorsa sorunu gizleyebilir. Bir yönetici kötü haberlerin üst yönetime ulaşmasını istemiyorsa erken uyarılar etkisini kaybedebilir. Böyle durumlarda en gelişmiş analiz araçları bile yetersiz kalabilir.
Dünya Ekonomik Forumu'nun Global Risks Report 2025 raporu, 900'den fazla uzman, politika yapıcı ve sektör liderinin görüşlerini temel alır. Araştırmada katılımcıların yüzde 23'ü devlet temelli silahlı çatışmaları 2025'te ciddi bir küresel krize yol açabilecek en önemli risk olarak seçmiştir. Bu yüzde, çatışmaların gerçekleşme olasılığını değil, ankete katılanların söz konusu riski en önemli risk olarak seçme oranını ifade eder.
Aynı raporda aşırı hava olayları katılımcıların yüzde 14'ü tarafından 2025'in en önemli acil risklerinden biri olarak gösterilmiştir. Bu oran da bir meteorolojik tahmin değil, uzmanların risk algısına ilişkin bir anket sonucudur.
6. Risklere Müdahale: Önleme, Azaltma, Aktarma ve Kabul Etme
Risk değerlendirmesinden sonra uygun müdahale yöntemi seçilir. Genel olarak dört temel yaklaşım bulunur.
Riskten kaçınma: Riskin kaynağı olan faaliyetten vazgeçmek veya faaliyeti değiştirmektir. Bir şirket, güvenlik standartlarını karşılayamayan bir pazara giriş kararını erteleyebilir.
Riski azaltma: Gerçekleşme olasılığını veya etkisini düşürecek önlemler almaktır. Yedekleme sistemleri kurmak, çalışanlara eğitim vermek ve makinelerin bakımını düzenli yapmak bu kapsamdadır.
Riski aktarma veya paylaşma: Sigorta, sözleşmeler ya da uygun iş ortaklıkları aracılığıyla finansal yükün veya sorumluluğun bir bölümünü başka taraflarla paylaşmaktır. Ancak sözleşme yapmak, bütün operasyonel ve itibari sonuçları ortadan kaldırmaz.
Riski kabul etme: Riskin düzeyi kabul edilebilir olduğunda ve ek önlemin maliyeti sağlayacağı faydayı aştığında riskin bilinçli olarak üstlenilmesidir. Bu kararın gerekçesi ve koşulları kayıt altına alınmalıdır.
Örneğin küçük bir işletmenin bütün bilişim sistemlerini en pahalı güvenlik altyapısıyla donatması ekonomik açıdan mantıklı olmayabilir. Bununla birlikte düzenli yedekleme, çok faktörlü kimlik doğrulama, yazılım güncellemeleri ve çalışan eğitimi gibi önlemler makul maliyetle önemli koruma sağlayabilir.
Buradaki kritik nokta, en fazla önlemi almak değil, riskin niteliğine uygun önlemleri seçmektir. Ayrıca sigorta veya dış hizmet kullanımı, riskin tamamının ortadan kalktığı anlamına gelmez. Sigortalanmış bir iş yerinde bile üretim durabilir, müşteri güveni zarar görebilir ve sözleşmeler aksayabilir.
7. Risk Yönetimi Planının Hazırlanması ve Sorumlulukların Belirlenmesi
Risklere müdahale yöntemleri belirlendikten sonra bunların nasıl uygulanacağı açıklanmalıdır. İyi hazırlanmış bir risk yönetimi planı; yapılacak işleri, sorumluları, gerekli kaynakları, tamamlanma tarihlerini ve başarı ölçütlerini içermelidir.
Örneğin bir şirketin müşteri bilgilerinin çalınması riskini azaltmak istediğini düşünelim. Yalnızca “siber güvenlik güçlendirilecek” şeklinde bir karar almak yeterli değildir. Bunun yerine şu adımlar planlanabilir:
- Bilgi teknolojileri ekibi 30 gün içinde bütün hesaplarda çok faktörlü kimlik doğrulamayı etkinleştirir.
- Sistem yöneticisi haftalık yedekleme işlemlerinin başarı durumunu kontrol eder.
- İnsan kaynakları birimi çalışanlara oltalama saldırılarını tanıma eğitimi verir.
- Yönetim, üç ay sonra güvenlik kontrollerinin etkinliğini değerlendirir.
- Bir güvenlik olayı yaşanırsa kimin müdahale edeceği ve müşterilere nasıl bilgi verileceği önceden belirlenir.
ABD Ulusal Standartlar ve Teknoloji Enstitüsünün (NIST) 2025 yılında yayımladığı SP 800-61 Rev. 3 belgesi, siber güvenlik olaylarına müdahalenin risk yönetiminin bütününe entegre edilmesini ele alır. Bu yaklaşım, olay meydana geldikten sonra harekete geçmek kadar hazırlık, tespit ve iyileştirme çalışmalarının da önemli olduğunu ortaya koyar.
Kaynak: NIST, Incident Response Recommendations and Considerations for Cybersecurity Risk Management, 2025. https://csrc.nist.gov/pubs/sp/800/61/r3/final
Planın başarısı, belgelerin ne kadar ayrıntılı olduğundan çok, görevlerin gerçekten yerine getirilip getirilmediğiyle ölçülür. Sorumlusu belli olmayan bir önlem, çoğu zaman uygulanmayan bir temenniden ibarettir.
8. Uygulama ve Gerçek Hayattan Bir Örnek: Apollo 13
Risk yönetiminin önemini anlamak için yalnızca işletmelere bakmak zorunda değiliz. NASA'nın Apollo 13 görevi, kriz yönetimi ve sistem güvenliği açısından son derece öğretici bir örnektir.
11 Nisan 1970'te fırlatılan Apollo 13'ün Ay'a iniş yapması planlanıyordu. Ancak 13 Nisan'da uzay aracındaki oksijen tanklarından birinde meydana gelen patlama görevin hedefini değiştirdi. Astronotların hayatı tehlikeye girdi ve NASA ekipleri onları güvenli biçimde Dünya'ya döndürmek için çalışmaya başladı.
NASA'nın yayımladığı tarihsel kayıtlara göre ekip, uzay aracının hasar görmesinden sonra mevcut kaynakları korumak, yaşam destek sistemlerini yönetmek, uygun dönüş rotasını belirlemek ve gerekli prosedürleri yeniden düzenlemek zorunda kaldı. Astronotlar 17 Nisan 1970'te güvenli biçimde Dünya'ya döndü.
Bu olayın önemi, bütün risklerin önceden ortadan kaldırılmış olmasında değil, kritik bir arıza ortaya çıktığında ekiplerin durumu analiz edip uygulanabilir çözümler geliştirebilmesindedir.
Kaynak: NASA, Apollo 13: The Successful Failure. https://www.nasa.gov/missions/apollo/apollo-13-the-successful-failure/
Apollo 13 örneğinden çıkarılabilecek dersleri risk yönetiminin aşamalarıyla eşleştirebiliriz:
Risk belirleme: Sistemlerdeki arıza ihtimallerini ve yaşam destek sistemlerinin birbirine bağımlılığını anlamak.
Risk analizi: Bir arızanın enerji, oksijen, haberleşme ve dönüş kabiliyeti üzerindeki etkilerini değerlendirmek.
Risklere müdahale: Mevcut kaynakları korumak, alternatif sistemlerden yararlanmak ve dönüş için yeni prosedürler oluşturmak.
İzleme ve kontrol: Yeni koşulları sürekli takip ederek planı güncellemek.
Öğrenme ve iyileştirme: Olayın nedenlerini araştırmak ve sonraki görevlerde benzer sorunların ortaya çıkma ihtimalini azaltmak.
NASA'nın Apollo 13 incelemesi, oksijen tankı patlamasının bir dizi hata ve yetersiz tasarımın birleşimiyle meydana geldiğini ortaya koydu. Sonraki görevler için tank sistemi yeniden tasarlandı; elektrik kablolarının korunması ve ilgili sistemlerin incelenmesi gibi önlemler önerildi.
Bu örnekte benim dikkat çekici bulduğum nokta şu: Risk yönetiminin kalitesi yalnızca kriz sırasında verilen kararlarla ölçülemez. Krizin ardından sistemin nasıl değiştirildiği de en az ilk müdahale kadar önemlidir. Aynı olay tekrar yaşanabiliyorsa, yaşanan deneyim kurumsal öğrenmeye yeterince dönüştürülmemiş demektir.
9. İzleme, Kontrol ve Erken Uyarı Mekanizmaları
Risk yönetimi bir kez tamamlanıp rafa kaldırılacak bir süreç değildir. Ekonomik koşullar, teknolojiler, çalışanlar, mevzuat ve müşteri beklentileri değiştikçe risklerin niteliği de değişebilir. Bu nedenle risklerin düzenli olarak izlenmesi ve mevcut önlemlerin etkinliğinin değerlendirilmesi gerekir.
Bu aşamada temel performans göstergeleri ve temel risk göstergeleri birbirinden ayrılmalıdır.
Performans göstergeleri, bir işin ne kadar başarılı yürütüldüğünü gösterir. Örneğin zamanında teslimat oranı bir performans göstergesidir.
Risk göstergeleri ise olumsuz bir olayın yaklaşmakta olduğuna işaret edebilir. Örneğin kritik bir tedarikçinin teslimat sürelerinin sürekli uzaması, gelecekte üretim kesintisi yaşanabileceğini gösterebilir.
Bir işletmenin son altı ayda 100.000 siparişin yüzde 98'ini zamanında teslim ettiğini varsayalım. Bu oran ilk bakışta başarılı görünür. Ancak son üç haftada teslimat performansı yüzde 98'den yüzde 90'a gerilemişse, toplam altı aylık ortalama sorunun ciddiyetini gizleyebilir.
Buradaki yüzde 98, zamanında teslim edilen siparişlerin toplam siparişlere oranını; yüzde 90 ise son dönemde aynı ölçütle hesaplanan oranı ifade eder. Bu iki değerin karşılaştırılması, bozulmanın ne zaman başladığını araştırmak için bir sinyal sağlar. Fakat tek başına düşüşün nedenini açıklamaz. Nedenin bulunması için tedarik, personel, stok, taşıma ve sipariş yoğunluğu verileri birlikte incelenmelidir.
İyi bir izleme sistemi, yalnızca geçmişte ne olduğunu bildirmez; hangi koşullarda müdahale edilmesi gerektiğini de tanımlar.
Örneğin stok seviyesi belirli bir sınırın altına düştüğünde satın alma ekibine otomatik bildirim gönderilebilir. Kritik yazılım sisteminde kesinti süresi belirlenen eşiği aştığında teknik ekip devreye girebilir. Ancak her gösterge için alarm üretmek de doğru değildir. Gereğinden fazla bildirim, çalışanların önemli uyarıları gözden kaçırmasına neden olabilir.
Bu nedenle ölçütlerin anlaşılır, amaca uygun ve karar almaya yardımcı olması gerekir.
10. İletişim, İnsan Faktörü ve Toplumsal Etkiler
Risk yönetimi teknik analizlerden oluşsa da insan davranışlarından bağımsız değildir. Bir çalışan, hata yaptığını söylediğinde cezalandırılacağını düşünüyorsa sorunu gizleyebilir. Bir yönetici kötü haberlerin üst yönetime ulaşmasını istemiyorsa erken uyarılar etkisini kaybedebilir. Böyle durumlarda en gelişmiş analiz araçları bile yetersiz kalabilir.
Dünya Ekonomik Forumu'nun Global Risks Report 2025 raporu, 900'den fazla uzman, politika yapıcı ve sektör liderinin görüşlerini temel alır. Araştırmada katılımcıların yüzde 23'ü devlet temelli silahlı çatışmaları 2025'te ciddi bir küresel krize yol açabilecek en önemli risk olarak seçmiştir. Bu yüzde, çatışmaların gerçekleşme olasılığını değil, ankete katılanların söz konusu riski en önemli risk olarak seçme oranını ifade eder.
Aynı raporda aşırı hava olayları katılımcıların yüzde 14'ü tarafından 2025'in en önemli acil risklerinden biri olarak gösterilmiştir. Bu oran da bir meteorolojik tahmin değil, uzmanların risk algısına ilişkin bir anket sonucudur.