Belgelendirme denetimine bir hafta kala kalite ofisinde şu sahne çok tanıdıktır: birisi geçen yılki dosyayı açar, tarihleri günceller ve 40 satırlık bir tabloyu bir öğleden sonrada doldurur. Satırlarda "hammadde gecikmesi", "kalifiye personel kaybı", "makine arızası" yazar; puan sütunlarında 9, 12, 16 gibi sayılar durur. Sonra aynı tabloyu denetçiye sunarsınız ve o tek bir soru sorar: "Şu 16 puanlı riske karşı ne yaptınız?" O anda tabloda cevap yoktur. İyi kurulmuş bir risk ve fırsat tablosu ise bu soruyu değil, sorunun cevabını taşır: her yüksek riskin adı konmuş bir sorumlusu, tarihi ve kapanmış ya da hâlâ açık duran bir kaydı vardır.
Standart risk yönetiminden ne ister?
ISO 9001'in 6.1.1 maddesi, kuruluş bağlamını ve ilgili tarafların beklentilerini ele alırken risk ve fırsatların belirlenmesini ister. 6.1.2 ise iki şey söyler: bu risk ve fırsatları ele almak için faaliyet planlayacaksınız ve bu faaliyetlerin etkinliğini değerlendireceksiniz. Standardın gramerine dikkat edin; "listeleyeceksiniz" demiyor, "ele alacaksınız ve etkinliğini değerlendireceksiniz" diyor. Aradaki fark, tablonun kâğıt olmasıyla sistem olması arasındaki farktır.
Otomotivde risk ve fırsat tablosu daha somut bir işe döner. IATF 16949 madde 6.1.2.1, üretim proseslerinden ve ürün gerçekleştirmeden doğan riskler için risk analizi yapılmasını, geri çağırma ve saha başarısızlıklarından çıkan derslerin bu analize dahil edilmesini ister. Madde 6.1.2.3 acil durum planlarını şart koşar: enerji kesintisi, tedarikçi başarısızlığı, siber saldırı ya da doğal afet durumunda müşteriye sevkiyatı nasıl sürdüreceğinizi yazılı hâle getirmenizi bekler. Yani otomotivde risk kaydı ile acil durum planı birbirini besler; tabloda "enerji kesintisi" satırı varsa, karşılığında test edilmiş bir jeneratör planı da bulunmalıdır. Yöntemin kendisini derli toplu görmek isterseniz risk yönetimi sayfamız bu çerçeveyi ayrıca açıyor.
Riski süreç bazında ele almak
Şirket düzeyinde tek bir risk ve fırsat tablosuna "kur riski", "salgın", "personel devri" yazmak kolaydır ama işe yaramaz, çünkü bu maddelerin sahibi yoktur. Süreç risk değerlendirmesi bunu düzeltir: kalite yönetim sisteminizde tanımlı her sürecin — satın alma, üretim planlama, pres, kaynak, boya, sevkiyat, kalibrasyon — kendi risk satırları olur ve o satırların sahibi süreç sahibidir. Kaynak sürecinin riski böylece "kaynak telinde parti değişimi sonrası nüfuziyet sapması" gibi ölçülebilir bir şeye dönüşür.
Bu ayrım risk analizi formunu tekrardan da kurtarır. Ürün ve proses seviyesindeki teknik hata modları zaten FMEA içinde ele alınır; süreç tablosunda onları yeniden yazmanın anlamı yoktur. Süreç tablosu sistemsel riskleri toplar: yetkinlik, kapasite, tedarik, altyapı, yazılım, mevzuat. İki kaydın birbirine referans vermesi yeterlidir. Kopyala-yapıştır burada tuzağa dönüşür: PFMEA satırları süreç risk tablosuna aktarıldığında iki doküman ayrı ayrı revize edilir ve bir yıl içinde birbirini tutmaz hâle gelir.
Risk ve fırsat tablosu örneği: hangi sütunlar olmalı
Sütun sayısı arttıkça tablo doldurulmaz hâle gelir. Aşağıdaki risk ve fırsat tablosu örneği, sahada gerçekten doldurulan minimum seti gösteriyor:
| Sütun | Ne yazılır | Neden gerekli |
|---|---|---|
| Süreç / bağlam | Kaynak hattı, satın alma, sevkiyat | Sahibi belli olsun |
| Risk tanımı | Olay ve sonuç birlikte yazılır | "Tedarikçi riski" gibi belirsiz ifadeyi engeller |
| Mevcut kontrol | Var olan önlem, talimat, ikinci kaynak | Puanı gerçekçi kılar |
| Olasılık (1-5) | Yazılı skalaya göre | Kişiden kişiye değişmesin |
| Etki (1-5) | Müşteri, maliyet, uygunluk etkisi | Önceliklendirme yapılabilsin |
| Puan (olasılık × etki) | 1-25 arası sayı | Eşik üstü otomatik aksiyon tetikler |
| Aksiyon kaydı | DÖF ya da iyileştirme kayıt numarası | Riski işe bağlayan tek sütun |
| Sorumlu ve termin | İsim ve tarih | Takip edilebilirlik |
| Aksiyon sonrası puan | Yeniden değerlendirme | Etkinliğin kanıtı |
Bu tablonun en kritik sütunu "aksiyon kaydı"dır. Diğer sütunlar riski tarif eder, o sütun riski işe çevirir. Boş bırakılmış bir aksiyon hücresi taşıyan yüksek risk, denetimde en hızlı bulguya dönüşen satırdır.
Risk puanlama yöntemi ve eşikler
Olasılık ve etki skalalarını yazılı tanımlamadan puanlama yapmayın. "3 nedir?" sorusuna üç kişi üç farklı cevap veriyorsa tablo tutarsızdır. Somut tanım şöyle olur: olasılık 1 "son üç yılda hiç yaşanmadı", 3 "yılda birkaç kez", 5 "ayda bir ya da daha sık". Etki 1 "iç kayıp, müşteriye ulaşmaz", 3 "hat durdurmadan müşteri şikâyeti", 5 "müşteri hattını durdurur veya emniyet karakteristiğini etkiler". Bu tanımlar tablonun başında dururken puanlar birden anlam kazanır.
Eşiği de yazılı belirleyin. Çoğu otomotiv tedarikçisinde şu bölümleme oturur: 1-6 kabul edilebilir ve yalnızca izlenir, 8-11 izlenir ve azaltma değerlendirilir, 12 ve üzeri aksiyon zorunludur. Etki 5 ise puan ne olursa olsun aksiyon açılır, çünkü emniyetle ilgili bir konu düşük olasılıkla bile geçiştirilmez. Bu kuralı yazdığınız anda tablo kendi kendine iş üretmeye başlar.
Puanların üç yıl boyunca hiç değişmemesi, denetçiye "bu dosya kopyalanıyor" mesajı verir. Aksiyon aldıysanız puan düşmeli; yeni bir müşteri şikâyeti geldiyse ilgili satırın olasılığı yükselmeli. Bir firmada 62 satırlık listenin üç yıllık revizyonlarında tek bir puan bile değişmemişti; denetçi başka hiçbir şeye bakmadan madde 6.1.2 üzerinden bulgu yazdı.
Her yüksek riski bir aksiyona bağlamak
Risk aksiyon takibinin özü şudur: eşiği aşan satır tabloda kalmaz, sorumlusu ve termini olan bir kayda dönüşür. Bu kayıt illa DÖF olmak zorunda değildir. DÖF gerçekleşmiş bir uygunsuzluğa açılır, risk ise henüz gerçekleşmemiş bir olasılıktır; önleyici bir iyileştirme kaydı, yatırım talebi ya da eğitim planı da olabilir. Önemli olan, aksiyonun risk satırından doğrudan ulaşılan ayrı bir kayıt olmasıdır.
Aksiyon kapandığında iş bitmez. Standardın istediği etkinlik değerlendirmesi, riskin yeniden puanlanmasıdır. Somut örnek: tek kaynaklı bir yüzey kaplama tedarikçisi için puan 20'ydi; ikinci tedarikçi onaylanıp PPAP'ı alındıktan sonra olasılık 4'ten 2'ye indi ve puan 10'a düştü. Bu iki satır arasındaki fark, sistemin çalıştığının en temiz kanıtıdır. Puan düşmediyse alınan aksiyon işe yaramamış demektir; bunu yazmak da bir kayıttır ve denetimde dürüstlüğün lehinize işlediği az sayıdaki yerden biridir.
Fırsat tarafı neden hep boş kalır?
Tabloların fırsat bölümü çoğu firmada üç satırdan ibarettir ve genelde "verimliliği artırmak" gibi genel cümleler taşır. Sebep basit: fırsat, riskin aynadaki görüntüsü sanılıyor. Oysa fırsat, belirsizliğin olumlu tarafını bilerek değerlendirmektir ve tıpkı risk gibi sahibi, termini ve ölçütü olmalıdır. Ölçüm cihazına bağlanan otomatik veri toplamayla kontrol süresini parça başına 40 saniyeden 12 saniyeye indirmek bir fırsattır. İki numaralı preste kalıp değişim süresini SMED ile yarıya indirmek de öyle.
Yukarıdaki risk ve fırsat tablosu örneğinde fırsat satırları da aynı sütunları kullanır; tek fark, puanın tehdidin değil kazancın büyüklüğünü ölçmesidir. Fırsat kayıtlarının işlemesi için tek şart, fayda ölçütünün baştan yazılmasıdır: "hurda oranı yüzde 1,8'den yüzde 1,0'a", "sevkiyat hazırlık süresi 6 saatten 3 saate". Ölçüt yoksa fırsat kaydı kapanmaz, sadece unutulur. Bu kalemleri yalın üretim çalışmalarıyla aynı listede tutmak ikisinin birbirini tekrar etmesini de önler.
Gözden geçirme döngüsünü kurmak
Risk kayıtlarını canlı tutan şey takvim değil tetiktir. Şu beş olay ilgili sürecin risklerini otomatik olarak gözden geçirmeye açmalıdır: yeni müşteri projesi ya da APQP başlangıcı, makine veya proses değişikliği, tedarikçi değişikliği, müşteri şikâyeti veya saha başarısızlığı, mevzuat ya da müşteri özel şart güncellemesi. Buna ek olarak tüm liste yılda bir kez yönetimin gözden geçirmesine girdi olur.
Yönetimin gözden geçirmesi tutanağında risklerin adının geçmesi ayrı bir gerekliliktir. ISO 9001 madde 9.3.2, risk ve fırsatları ele almak için alınan faaliyetlerin etkinliğini gözden geçirme girdileri arasında sayar. Tutanakta "riskler görüşüldü" cümlesi yeterli değildir; hangi riskin puanının değiştiği, hangi aksiyonun kapandığı yazılmalıdır. Denetçilerin iç denetim planını risk puanlarına göre kurup kurmadığınıza bakması da yaygınlaştı: yüksek riskli süreçlerin yılda iki kez, düşük risklilerin bir kez denetlenmesi mantıklı ve savunulabilir bir eşleştirmedir.
Denetçi tabloya yukarıdan aşağı bakmaz; en yüksek üç puanı seçer ve o satırlardan aşağı iner. Aksiyon kaydı var mı, sorumlusu kim, termini geçmiş mi, kapanış kanıtı ne, kapanıştan sonra puan yeniden değerlendirilmiş mi? Bu zincir bir yerde kopuyorsa geri kalan 37 satırın ne kadar özenli yazıldığının önemi kalmaz.
Kaydı kim doldurur, kim onaylar?
Risk tablosunun kalite biriminin ödevi sayılması, bu işin en yaygın kurulum hatasıdır. Kalite yöneticisi kaynak hattının gerçek risklerini bilmez; bilse bile o riskleri azaltacak bütçeyi ve kararı verecek kişi o değildir. Doğru kurulum şudur: satırı süreç sahibi yazar, puanlamayı süreç sahibi ile kalite birlikte yapar, eşiği aşan satırlarda aksiyonu onaylayan ise ilgili bölüm müdürüdür. Kalite bu akışta hakem ve arşivci rolündedir, yazar değil.
Kaydın bir de ömrü vardır. Bir riskin puanı iki yıl üst üste 4'ün altında kaldıysa ve o süreçte hiçbir olay yaşanmadıysa satır listeden çıkarılabilir; çıkarma gerekçesi kayda yazılır. Aynı şekilde kapanmış bir aksiyonun ardından risk tamamen ortadan kalkmışsa satır arşive alınır. Listeyi sonsuza kadar büyütmek kimseye fayda sağlamaz; 40 satırın 12'si canlı, 28'i ölüyse kimse tabloyu açmaz. İşe yarayan listeler genelde 15-25 satır arasında duruyor ve her satırın son 12 ay içinde bir dokunuşu bulunuyor.
Yeni bir müşteri projesi başladığında listeye eklenen satırların APQP faz çıktılarıyla eşleşmesi de ayrı bir kolaylık sağlar. Fizibilite değerlendirmesinde "bu toleransı mevcut tezgâhla tutamayabiliriz" denmişse, bu cümle o projenin risk satırı olarak açılır ve kapanışı deneme üretimindeki proses yeterlilik sonucudur. Böylece risk kaydı proje takvimiyle aynı ritimde ilerler.
Risk kayıtlarını QMS içinde tutmanın farkı
Elektronik tabloda tutulan bir risk listesinde sorun listenin kendisi değil, bağlarının olmamasıdır. Aksiyon başka dosyada, DÖF başka klasörde, yönetimin gözden geçirmesi başka sunumdadır; birini açan diğerine ulaşamaz. Risk yönetimi yazılımı ya da bütünleşik bir kalite yönetim sistemi içindeki risk modülü kullanıldığında, eşiği aşan satır tek tıkla aksiyona dönüşür, termin yaklaşınca sorumluya bildirim gider ve aksiyon kapandığında yeniden puanlama sistem tarafından istenir. PaKalite'de risk kayıtları DÖF, denetim ve yönetimin gözden geçirmesi modülleriyle aynı veri tabanında durduğu için bir riskin hangi denetimde konuşulduğu ve hangi aksiyonla kapandığı geriye dönük tek ekranda görünür.
Bu düzen kurulduğunda internette risk ve fırsat tablosu örneği aramakla geçen denetim haftası da biter. Artık tablo doldurmazsınız; yıl boyunca üretilmiş kayıtları açar, hangi riskin puanının neden düştüğünü anlatırsınız. Denetçinin "şu 16 puanlı riske ne yaptınız?" sorusunun cevabı o ekranda, tarihleriyle birlikte durur. Kalite yöneticisinin işi de risk yazmaktan risk kapatmaya kayar.