Masadaki tabloda yirmi iki satır vardı ve hepsinin skoru düşüktü. Aksiyon sütunu boştu, çünkü düşük riske aksiyon yazılmaz. Aynı firmada geçen ay tek kaynaktan aldıkları bir hammaddede tedarik kesintisi yaşanmış, hat üç gün durmuştu. O risk tabloda hiç yazmıyordu. İşte bir risk değerlendirme formu örneği arayışının asıl sebebi bu: sorun formun biçiminde değil, tabloya hangi satırların girdiğinde ve puanların nasıl verildiğinde.
Hepsi düşük çıkan tablo neyi gösterir
Her satırın düşük çıkması, riskin az olduğunu değil skalanın tanımsız olduğunu gösterir. Puanı veren kişi, yüksek puan yazarsa kendisine iş çıkacağını bilir; skalanın tanımı da yoksa en rahat yer düşük kademedir. Bir yıl sonra tablo denetime hazır görünür, sahadaki hiçbir gerçek riski içermez.
ISO 9001 risk için ayrı bir yöntem ya da belge dayatmaz; 6.1 maddesi kuruluşun risk ve fırsatları belirlemesini, bunlara yönelik faaliyetleri planlamasını ve bu faaliyetlerin etkinliğini değerlendirmesini ister. Yani tablo tutmak zorunda değilsiniz, ama neyi nasıl ele aldığınızı gösterebilmeniz gerekir. Uygulamada bir tablo tutmak en kolay yoldur; yeter ki tablo gerçeği yansıtsın. Konunun çerçevesi için risk yönetimi sayfamıza bakabilirsiniz.
Satırlar nereden gelir
Risk satırlarını toplantı odasında beyin fırtınasıyla üretmek en zayıf yöntemdir; herkes aklına geleni söyler, tablo şişer, hiçbiri sahiplenilmez. Daha iyi bir yol, riskleri altı somut kaynaktan çekmektir: geçen yıl gerçekten yaşanan olaylar, müşteri şikâyetleri, düzeltici faaliyetlerin kök nedenleri, tek kaynaklı tedarikçiler ve kritik hammaddeler, kilit personelin bulunduğu görevler ve mevzuat ya da müşteri şartlarındaki bilinen değişiklikler.
Birinci kaynak en verimlisidir. Geçen yıl hattı durduran, sevkiyatı geciktiren ya da müşteriyi arattıran her olayı listeleyin. Bunlar zaten gerçekleşmiş risklerdir; tabloya girmemeleri için hiçbir gerekçe yoktur. Girişteki tedarik kesintisinin tabloda olmaması, tablonun geçmiş olaylara hiç bakmadan yazıldığının kanıtıydı.
Fırsat tarafını da unutmayın. Standart risk ve fırsatı birlikte anıyor, çoğu firma ise yalnızca risk sütunlarını dolduruyor. Fırsat, sistemde iyileştirme yapılabilecek yerler demek: yeni bir pazara girme imkânı, bir prosesteki otomasyon fırsatı, iki tedarikçiyi tek sözleşmede birleştirme imkânı. Fırsatları aynı tabloda ayrı bir bölüme yazın ve onlara da sorumlu ile termin verin; yoksa gündeme hiç gelmiyorlar.
Bir de riskleri kimin sahipleneceğine karar verin. Her satırın bir süreç sahibi olmalı ve o kişi puanı savunabilmeli. Sahibi kalite olan bir risk tablosunda bütün aksiyonlar da kaliteye düşer; iki ay sonra hiçbiri ilerlemez. Satın alma riskinin sahibi satın alma müdürüdür, bakım riskininki bakım şefi. Bu dağıtımı yaptığınız gün tablonun gerçek sahibi ortaya çıkıyor.
Risk değerlendirme formu örneği: sütunlar ve satırlar
İnternetten indirdiğiniz bir risk değerlendirme formu örneği size sütunları verir, satırları vermez; satırlar her firmada farklıdır ve asıl iş oradadır. Aşağıdaki tablo, bir sac işleme tesisinin süreç risk tablosundan alınmış bir kesittir. Sekiz sütun işi görüyor; daha fazlası tabloyu doldurulamaz hâle getiriyor. O = olasılık, Ş = şiddet, S = skor (O × Ş).
| No | Süreç | Risk / etkisi | O | Ş | S | Aksiyon – sorumlu – termin | Kalan |
|---|---|---|---|---|---|---|---|
| R-01 | Satın alma | Tek kaynaklı sac tedarikçisinde kesinti – hat durur | 3 | 5 | 15 | İkinci kaynak onayı – satın alma – 31.12 | 6 |
| R-02 | Üretim | Kilit pres operatörünün ayrılması – kapasite düşer | 3 | 4 | 12 | İki kişiye çapraz eğitim – üretim – 30.11 | 4 |
| R-03 | Bakım | 400 tonluk presin hidrolik arızası – 2 hafta duruş | 2 | 5 | 10 | Kritik yedek parça stoğu – bakım – 15.11 | 4 |
| R-04 | Kalite | Kalibrasyon vadesi kaçırma – şüpheli sevkiyat | 3 | 4 | 12 | Otomatik vade bildirimi – kalite – 31.10 | 4 |
| R-05 | Bilgi sistemleri | Sunucu verisinin kaybı – kayıtlar geri gelmez | 2 | 5 | 10 | Yedek geri dönüş testi – BT – 3 ayda bir | 4 |
| R-06 | Sevkiyat | Yanlış etiketli palet – müşteride karışıklık | 3 | 3 | 9 | Barkod doğrulama – lojistik – 31.01 | 3 |
| R-07 | İnsan kaynakları | Vasıflı operatör bulamama – işe alım gecikir | 4 | 3 | 12 | Meslek lisesi iş birliği – İK – 30.06 | 8 |
Bu tabloda dikkat edilecek iki şey var. Birincisi risk tanımının hem olayı hem etkisini içermesi: "tedarikçi sorunu" değil, "tek kaynaklı sac tedarikçisinde kesinti – hat durur". İkincisi kalan risk sütununun dolu olması. R-07'de kalan risk hâlâ 8; yani aksiyon riski azaltıyor ama bitirmiyor ve bu bilinerek kabul ediliyor. Böyle bir satır, denetimde tablonun ciddiye alındığının en güçlü işaretidir.
Skalayı tanımlamadan puan vermeyin
Puanlamanın tutarlı olması için her kademenin karşılığının yazılı olması gerekir. Beşli skala yeter; önemli olan kademe tanımlarıdır. Aşağıdaki tabloyu bir sayfa hâlinde formun arkasına ekleyin, herkes puan verirken ona baksın.
| Puan | Olasılık | Şiddet |
|---|---|---|
| 1 | Yılda bir kereden az | İçeride fark edilir, etkisi yok |
| 2 | Yılda birkaç kez | Yeniden işleme gerekir |
| 3 | Ayda bir civarı | Hurdaya yol açar |
| 4 | Haftada bir civarı | Sevkiyat gecikir, müşteri bilgilendirilir |
| 5 | Her vardiya olabilir | Müşteri hattı durur, güvenlik ya da yasal etki |
Kabul sınırını da önceden yazın. Örneğin 12 ve üzeri skorlar aksiyon zorunlu, 6–11 arası izlenir, 5 ve altı kabul edilir. Şiddeti 5 olan riskler için ayrı bir kural koyun: olasılık ne olursa olsun aksiyon planı istenir. Güvenlik ya da yasal etkisi olan bir riski düşük olasılık gerekçesiyle geçmek, sonradan en pahalıya mal olan karar oluyor.
Risk tablosunu kalite biriminde doldurmayın. Her sürecin risklerini kendi sahibiyle, onun masasında ve kırk beş dakikada çıkarın. Sorunuz tek olsun: "Bu süreçte işlerin ters gittiği son üç olay neydi?" İnsanlar soyut risk konuşmakta zorlanıyor ama yaşadığı olayı anlatmakta hiç zorlanmıyor. Sonra o olayları risk cümlesine çevirmek size kalıyor. Bu yöntemle çıkan tablolar hem daha kısa hem daha gerçek oluyor.
Acil durum planları ayrı bir başlık
Otomotivde risk tablosunun yanında bir de acil durum planları duruyor. IATF 16949'un 6.1.2.3 maddesi, üretimin kesintiye uğrayabileceği durumlar için plan yapılmasını ister; altyapı kesintileri, kilit ekipman arızası, iş gücü eksikliği ve tedarik kesintileri bunların arasında. Standart aynı zamanda bu planların düzenli olarak gözden geçirilmesini ve etkinliğinin test edilmesini bekler.
Buradaki asıl mesele test etmektir. Yazılmış ama hiç denenmemiş bir acil durum planı, ihtiyaç anında telefon numaralarının güncel olmadığı ortaya çıkan bir kağıttan ibarettir. Yılda bir kez masa başı tatbikat yapın: "Bugün ana sac tedarikçimiz sevkiyat yapamıyor, ilk 24 saatte kim ne yapar?" Bu bir saatlik alıştırma, R-01 gibi satırların kalan risk değerini gerçekten düşüren şey oluyor.
Risk tablosu ile FMEA'yı karıştırmayın
Sık gördüğüm bir hata, denetçiye risk kayıtları sorulduğunda FMEA dosyalarının gösterilmesidir. İkisi farklı seviyelerde çalışır. FMEA belirli bir proses adımındaki hata türlerine bakar, mühendislik diliyle konuşur ve ürün odaklıdır. Kurumsal risk tablosu ise iş seviyesindedir: tedarik, personel, mevzuat, bilgi güvenliği, kapasite. Aralarında bağ kurun ama birini diğerinin yerine koymayın; FMEA sayfamızda bu ayrımın ürün tarafını anlattık.
Bağ şöyle kurulur: FMEA'da yüksek öncelikli çıkan ve proses içinde çözülemeyen bir konu, risk tablosuna bir satır olarak taşınır. Tersi de olur; risk tablosundaki bir madde belirli bir prosesi işaret ediyorsa o prosesin FMEA'sı gözden geçirilir. İki dokümanın birbirine referans vermesi, denetimde sistemin bütünlüğünü gösteren en somut kanıtlardan biri.
QMS'te risk kayıtları ve denetimde sunum
Risk tablosunun Excel'de yaşaması küçük ölçekte sorun değil. Yirmi satırlık bir tabloyu yılda iki kez gözden geçirmek için yazılım gerekmez; bu ölçekte bir dosya ve takvime konmuş iki hatırlatma yeterlidir. Sorun, aksiyonların takibi ve tablonun diğer kayıtlarla bağı koptuğunda başlıyor.
Bir risk satırındaki aksiyonun sorumlusu ve termini varsa o aksiyon başka bir yerde yaşamamalı. Aynı aksiyon hem risk dosyasında hem düzeltici faaliyet listesinde duruyorsa biri güncellenir, diğeri kalır ve bir yıl sonra hangisinin doğru olduğu bilinmez. PaKalite'de risk kaydındaki aksiyon doğrudan aksiyon havuzuna girer, sorumlusunun ekranında görünür ve kapanış kanıtı yüklenmeden kapanmaz; kalan risk değeri de kapanışta güncellenir. Aksiyon takibinin genel mantığını düzeltici faaliyet sayfamızda anlattık.
Denetim tarafında iki şeye hazır olun. Denetçi tablodan bir satır seçip aksiyonunun kanıtını isteyecek, bir de tablo dışından bir olay hatırlatıp "bu neden tabloda yok" diye soracak. İkincisine karşı en iyi hazırlık, tabloyu yıllık gözden geçirmede geçmiş olaylarla karşılaştırmaktır. Risk tablosunun özeti, yönetimin gözden geçirmesinin de girdilerinden biridir; YGG gündemi yazımızdaki on birinci madde doğrudan buradan besleniyor.
Risk tablosunda ilk okunan şey satırlar değil, skorların dağılımıdır. Hepsi düşük çıkmışsa tablo ciddiye alınmamış demektir ve sorular oradan sertleşir. Sonra aksiyon sütununa geçilir: yüksek skorlu satırların aksiyonu var mı, terminleri geçmiş mi. Üçüncüsü de en can alıcı olanı: denetçi son bir yılda yaşanan bir olayı hatırlatır ve tabloda arar. Yaşanmış bir olayın tabloya girmemiş olması, tablonun canlı olmadığının en açık göstergesi.
Tabloyu canlı tutmak
Bir risk değerlendirme formu örneği ancak yaşadığınız olaylarla birlikte güncellendiği sürece işe yarar. Yılda bir kez gözden geçirmek asgari şarttır ama tek başına yetmiyor. Şu üç olayda tabloyu açın: yeni bir müşteri ya da yeni bir ürün ailesi alındığında, bir süreçte ciddi bir olay yaşandığında ve bir tedarikçi ya da mevzuat değişikliğinde. Bu üç tetikleyiciyi prosedüre yazın, yoksa tablo yılda bir hareket eden ölü bir belgeye dönüşüyor.
Son olarak satır sayısını abartmayın. Yüz satırlık bir risk tablosu kimsenin okumadığı bir dosyadır; yirmi beş satırlık, gerçek ve aksiyonlu bir tablo hem yönetilebilir hem de denetimde savunulabilir. Tabloyu her yıl uzatmak yerine, kapanan ve artık geçerli olmayan satırları arşive alın; arşiv kaydı geçmişi korur, çalışan tablo ise kısa kalır. Tedarikçi tarafındaki risklerin karneyle nasıl bağlandığını görmek isterseniz tedarikçi değerlendirme formu yazımıza göz atın.