Risk kayıt defteri, olasılık-etki matrisinden ibaret değil

Risk yönetimi denince akla ilk gelen şey olasılık-etki matrisi (risk = olasılık × etki, kırmızı/sarı/yeşil hücreler). Ama matrisin kendisi risk yönetimi değil, bir sıralama aracı. Asıl yönetim, matristen sonra başlıyor.

Bir riski gerçekten “yönetiyor” sayabilmek için üç şeyin olması gerekiyor:

1. Risk sahibi. Her riskin bir ismi olmalı — “bu risk gerçekleşirse ilk fark eden ve harekete geçen kim”. Sahibi olmayan risk, kimsenin sorumluluğunda olmadığı için gerçekleştiğinde kimse hazır değil.
2. Yanıt stratejisi. Dört seçenek var: kaçınma (riski doğuran işi yapmamak), aktarma (sigorta, taşeron sözleşmesi), azaltma (olasılığı veya etkiyi düşürecek somut adım), kabul (bilerek göze almak, gerekirse bir bütçe payı ayırarak). “Farkındayız” bir strateji değil, kabul etmenin gizlenmiş hali.
3. Tetikleyici. Riskin “gerçekleşmek üzere” olduğunu gösteren somut bir işaret — bir tarih, bir eşik, bir olay. Tetikleyici olmadan risk yanıtı ne zaman devreye gireceği belirsiz bir plan olarak kalıyor.

Bunu neden önemsiyorum: matris tek başına iyi görünüyor ama yanıltıcı bir güvenlik hissi veriyor — “riskleri kaydettik, yönetiyoruz” sanılıyor. Oysa sahipsiz, stratejisiz bir risk kaydı, gerçekleştiğinde “biliyorduk ama kimse bir şey yapmadı” cümlesiyle sonuçlanıyor. Matris başlangıç noktası, bitiş değil.