Risk matrisi: renklerden fazlasıRisk matrix: more than colours
5×5 matris yönetime risk anlatmanın en hızlı yolu. Ama yanlış kullanıldığında kararları kolaylaştırmak yerine bulanıklaştırıyor.The 5×5 matrix is the fastest way to explain risk to management. Used badly, it blurs decisions instead of making them easier.
Olasılık ve etkiyi 1 ile 5 arasında puanlayıp çarpmak, risk yönetiminin en tanıdık aracı. Kırmızı, sarı ve yeşil hücreler bir bakışta öncelik anlatıyor. Bu sadelik matrisin hem gücü hem de zayıf noktası.
Sık yapılan üç hata
Puanları kesin sayı gibi okumak. 4×3=12 ile 3×4=12 aynı skor, ama biri sık yaşanan orta etkili bir olay, diğeri nadir ama ciddi bir olay. İkisine aynı aksiyon planı uymaz.
Ölçekleri tanımlamamak. "Etki: 4" herkes için aynı şeyi ifade etmiyorsa, matris ortak bir dil olmaktan çıkar. Her seviye için somut karşılıklar yazılmalı: finansal tutar aralığı, etkilenen müşteri sayısı, regülatör bildirimi gerekip gerekmediği gibi.
Kontrolleri hesaba katmamak. Doğal (kontrolsüz) risk ile artık (kontroller sonrası) risk ayrı gösterilmezse, yönetim mevcut kontrollerin ne işe yaradığını göremez.
Daha iyi bir kullanım
| Adım | Ne yapılır |
|---|---|
| Ölçek tanımı | Her olasılık ve etki seviyesi için yazılı kriterler |
| İki değerlendirme | Doğal risk ve artık risk ayrı ayrı |
| Eşik kararı | Hangi skorun üzerinde aksiyon planı zorunlu |
| Gözden geçirme | Yüksek riskler için belirli aralıklarla yeniden puanlama |
Matris, tartışmayı başlatan bir araç olarak kullanıldığında çok değerli. Tartışmayı bitiren bir hesap makinesi gibi kullanıldığında ise yanlış güven veriyor.
Scoring likelihood and impact from 1 to 5 and multiplying them is the best-known tool in risk management. Red, amber and green cells show priorities at a glance. That simplicity is both the matrix’s strength and its weak point.
Three common mistakes
Reading the scores as exact numbers. 4×3=12 and 3×4=12 give the same score, but one is a frequent event with moderate impact and the other a rare but serious one. The same action plan does not fit both.
Not defining the scales. If “Impact: 4” does not mean the same thing to everyone, the matrix stops being a common language. Each level needs concrete criteria: a financial range, the number of customers affected, whether a regulator must be notified.
Ignoring controls. If inherent (uncontrolled) risk and residual (after controls) risk are not shown separately, management cannot see what existing controls are achieving.
A better way to use it
| Step | What to do |
|---|---|
| Define the scales | Written criteria for every likelihood and impact level |
| Two assessments | Inherent and residual risk, separately |
| Set thresholds | Which score makes an action plan mandatory |
| Review | Re-score high risks at set intervals |
The matrix is very valuable as a tool that starts a discussion. Used as a calculator that ends the discussion, it gives false confidence.