Kabul edilebilir risk tanımı nedir?

Kabul Edilebilir Risk: Ne Demek ve Nasıl Belirlenir?

Kabul edilebilir risk, en basit tabirle, bir işi yaparken göze alabildiğin risk seviyesidir. Bunu anlamak için önce “risk” dediğimiz şeyin ne olduğunu netleştirelim. Risk, potansiyel bir olumsuz sonucun olasılığı ve bu olumsuz sonuç gerçekleşirse yaşanacak zararın büyüklüğünün birleşimidir. Yani, bir şeyin olma ihtimaliyle, olduğunda sana ne kadar zarar vereceği arasındaki dengeyi ifade eder.

Peki, “kabul edilebilir” kısmı ne anlama geliyor? İşte burası işin kişisel ve organizasyonel boyutunun girdiği yer. Bir riskin kabul edilebilir olup olmadığına karar verirken, genellikle şu soruları kendi kendine sorarsın:

• Bu risk gerçekleşirse, ne kadar bir kayıp yaşarım (maddi, manevi, zaman vb.)?
• Bu kaybı ne kadar süreyle telafi edebilirim?
• Bu riski almakla elde edeceğim potansiyel kazanç (veya önlediğim potansiyel zarar) nedir?
• Yasal veya düzenleyici bir zorunluluk var mı bu riski almakla ilgili?
• Bu riski almam, diğer insanlara (çalışanlar, müşteriler, kamu vb.) ne kadar zarar verebilir?

Deneyimlerime göre, bu soruların cevapları senin ya da çalıştığın kurumun risk toleransı, yani risk karşısındaki duruşunu belirler. Kimi kuruluşlar, finansal kayıplara karşı çok hassasken, kimileri marka itibarını veya insan sağlığını önceliklendirebilir.

Somut Örnekler ve Rakamlar

Bir örnek verelim: Yeni bir yazılım ürünü geliştiriyorsun ve bu yazılımın içinde nadiren de olsa bir veri kaybı hatası olma ihtimali var. Diyelim ki bu hatanın görülme olasılığı %0.1 (binde bir). Bu hata gerçekleştiğinde ise, etkilenen kullanıcıların verilerinin %10’unun kaybolduğunu ve bunun her bir kullanıcı için ortalama 500 TL’lik bir zarara yol açtığını varsayalım.

Eğer bin kullanıcıya ulaşırsan, bu hatadan etkilenen yaklaşık 1 kullanıcı olacaktır (1000 kullanıcı * %0.1). Bu kullanıcının kaybı ise 500 TL’nin %10’u, yani 50 TL. Bu, ortalama olarak kullanıcı başına beklenen zarar olarak düşünülebilir.

Şimdi bu rakamları senin mevcut durumunla karşılaştır. Eğer bu 50 TL’lik potansiyel kayıp, senin için çok küçük bir rakamsa, yani bu riski “kabul edilebilir” bulabilirsin. Ancak, eğer veri kaybı senin iş modelinin temelini sarsacaksa veya marka itibarını ciddi şekilde zedeleyecekse, bu risk artık kabul edilemez hale gelir. Belki de o zaman, riski azaltmak için ek geliştirme süresi ve maliyetine katlanman gerekir.

Pratik İpuçları ve Öneriler

Kabul edilebilir risk seviyeni belirlerken şunları yapabilirsin:

• Risk Kaydını Oluştur: Karşılaşabileceğin tüm potansiyel riskleri bir listeye dök. Bunları hem gerçekleşme olasılığına hem de gerçekleşirse yaşanacak etkiye göre derecelendir.
• Maliyet-Fayda Analizi Yap: Bir riski ortadan kaldırmak veya azaltmak için ne kadar harcama yapman gerekiyor? Bu harcama, riski almanın potansiyel zararıyla kıyaslandığında mantıklı mı? Örneğin, siber güvenlik önlemleri maliyetlidir, ancak bir veri ihlalinin maliyeti çok daha yüksek olabilir. Bir araştırmaya göre, ortalama bir veri ihlalinin maliyeti işletmeler için milyonlarca doları bulabilir.
• Senaryo Planlaması: "Ya şöyle olursa?" sorularını sor. En kötü senaryoyu düşün ve bu senaryoya hazırlıklı olup olmadığını değerlendir.
• Yasal ve Etik Çerçeveyi Belirle: Hangi riskler asla kabul edilemez? İşletme veya kişisel faaliyetlerini düzenleyen yasalara ve etik kurallara uyum, her zaman öncelikli olmalı. Bir şirketin mevzuatlara uymama riski, doğrudan yasal yaptırımlara ve itibar kaybına yol açar.
• Düzenli Gözden Geçirme: Kabul edilebilir risk seviyen sabit değildir. Pazar koşulları, teknolojinin gelişimi, yasal düzenlemeler ve kendi hedeflerin değiştikçe, risk toleransını da gözden geçirmen gerekir.

Üç Ana Konuda Odaklan: Finansal, Operasyonel ve İtibari Riskler

Genel olarak kabul edilebilir riskleri üç ana başlık altında toplayabiliriz. Bu, konuyu daha somut hale getirmene yardımcı olur.

1. Finansal Riskler

Burada, doğrudan para veya mal varlığı kaybı potansiyelini değerlendirirsin. Örneğin, bir yatırım yaparken karşılaşabileceğin para kaybı, bir ürünün beklenenden düşük satılması veya tedarik zincirindeki aksaklıklar nedeniyle ortaya çıkan ek maliyetler.

• Olasılık x Etki: Örneğin, %5 ihtimalle 100.000 TL kayıp yaşama riski mi, yoksa %50 ihtimalle 5.000 TL kayıp yaşama riski mi senin için daha kabul edilebilir? Deneyimlerime göre, çoğu zaman daha küçük ama daha sık meydana gelen kayıplar, büyük ama nadir kayıplar kadar rahatsız edici olabilir.
• Örnek: Bir e-ticaret sitesi, stok maliyetlerini düşürmek için daha az ürün stoklayabilir. Bu, stok tutma maliyetini düşürürken, talep arttığında ürün yetiştirememe riskini artırır. Kabul edilebilir risk seviyesi, o şirketin pazar payı ve müşteri sadakati gibi faktörlere bağlı olarak değişir.

1. Operasyonel Riskler

İş süreçlerinin aksaması, hatalar, insan kaynaklı veya sistem kaynaklı sorunlar operasyonel riskleri oluşturur. Üretimdeki duraksamalar, proje teslim tarihlerinin kaçırılması, sistem çökmesi gibi durumlar bu kategoriye girer.

• Süreç Analizi: Kendi iş akışlarını analiz et. Hangi adımlar daha kırılgan? Bir adımda yaşanacak bir sorun, tüm süreci nasıl etkiler?
• Örnek: Bir yazılım geliştirme ekibi, kritik bir teslimat öncesinde test süreçlerini hızlandırmak için bazı adımları atlayabilir. Bu, kısa vadede zaman kazandırabilir ama uzun vadede daha büyük bir hata ve müşteri memnuniyetsizliği riski taşır. Eğer hata oranı %2’den %5’e çıkarsa, bu senin kabul edilebilir riskin dışında kalıyor olabilir.

1. İtibari Riskler

Bu belki de en soyut ama en güçlü risktir. Marka imajına, güvenilirliğine veya müşteri ilişkilerine zarar verebilecek her şey itibari risktir. Skandallar, sosyal medya krizleri, yanlış pazarlama iletişimi bu gruba girer.

• Müşteri Algısı: Müşterilerin seni nasıl gördüğü, senin belirlediğin risk seviyesini doğrudan etkiler. Tek bir olumsuz deneyim, binlerce olumlu deneyimi gölgeleyebilir. Bir ankete göre, tüketicilerin %80’i olumsuz bir müşteri deneyimi yaşadıklarında bir daha o markadan alışveriş yapmıyor.
• Örnek: Bir gıda firmasının ürünlerinde nadiren de olsa bir alerjen kalıntısı bulunma ihtimali, finansal olarak küçük bir kayıp gibi görünebilir. Ancak bu durum kamuoyuna yansıdığında, şirketin tüm ürünlerine karşı bir güvensizlik doğurarak itibarını ciddi şekilde zedeleyebilir. Bu tür bir risk genellikle kabul edilemez olarak değerlendirilir.