Risk Matrisi: Riskleri Olasılık ve Etkiye Göre Sıralamak

Risk matrisi nedir?

Risk matrisi, belirlenen risklerin gerçekleşme olasılığı ile gerçekleşirse yaratacağı etkiyi aynı tabloda gösteren görsel bir değerlendirme aracıdır. Olasılık bir eksende, etki diğer eksende yer alır; her riskin kesişim noktası, o riskin öncelik düzeyini belirler. Bu nedenle "olasılık etki matrisi" adıyla da anılır.

Amaç, sınırlı zaman ve kaynağı en önemli risklere ayırmaktır. Her riskle aynı yoğunlukta ilgilenmek mümkün olmadığı için matris, hangilerine hemen müdahale edileceğini, hangilerinin yalnızca izleneceğini görünür kılar. Proje yönetimi, iş sağlığı ve güvenliği, kurumsal risk yönetimi ve bilgi güvenliğinde yaygın biçimde kullanılır.

Nasıl oluşturulur?

Matrisin hazırlanması şu adımlarla ilerler:

• Ölçekleri tanımlayın: Olasılık için çok düşük ile çok yüksek arasında, etki için ise önemsiz ile yıkıcı arasında kademeler belirlenir. Her kademenin ne anlama geldiği açıkça yazılır; örneğin etki kademeleri maliyet, süre ve itibar açısından tarif edilir.
• Riskleri belirleyin: Beyin fırtınası, kontrol listeleri ve geçmiş proje dersleri kullanılarak risk listesi çıkarılır.
• Her riski puanlayın: Ekip, riskin olasılığını ve etkisini ortak ölçeğe göre değerlendirir.
• Matrise yerleştirin: Her risk, olasılık ve etki değerinin kesiştiği hücreye konur.
• Bölgeleri renklendirin: Genellikle düşük, orta ve yüksek öncelik bölgeleri farklı renklerle gösterilir ve her bölge için beklenen aksiyon yazılır.

Bu sonuçlar risk kayıt defterine aktarılır ve düzenli olarak güncellenir.

Örnek: bir yazılım projesinde risk matrisi

Örneğin bir yazılım projesinde ekip şu riskleri belirliyor: kilit bir geliştiricinin projeden ayrılması, müşterinin kapsamı geç aşamada büyütmesi ve dış tedarikçiden alınan bir servisin sözleşmeden geç devreye girmesi. Ekip her risk için olasılık ve etkiyi tartışıp değerlendiriyor.

Kapsam büyütme riski yüksek olasılık ve yüksek etki hücresine düşüyor; bu nedenle hemen önlem alınıyor: değişiklik kontrol sürecinin başlangıçta müşteriyle netleştirilmesi gibi. Geliştirici ayrılığı düşük olasılık ve yüksek etki alanında kalıyor; bilgi paylaşımı ve yedek kişi planıyla hazırlık yapılıyor ama sürekli odak gerekmiyor. Servis gecikmesi orta düzeyde izlenmeye alınıyor. Matris burada tartışmayı kişisel kanıdan ortak bir sıralamaya çevirmiş oluyor.

Risk matrisinin sınırları

Matris kullanışlıdır ama kusursuz değildir. Puanlama özneldir; farklı kişiler aynı riske farklı kademe verebilir. Bu yüzden ölçeklerin yazılı tanımı ve değerlendirmenin grup halinde yapılması önem taşır.

Başka bir sınır, riskler arası bağımlılıkları göstermemesidir. Tek başına küçük görünen riskler birlikte gerçekleştiğinde büyük etki yaratabilir. Ayrıca nitel bir araç olduğu için riskin parasal ya da süre bazlı büyüklüğünü vermez; bunun için nicel analiz (örneğin simülasyon) gerekir. Matris bu yüzden risk yönetiminin başlangıç filtresi olarak görülmelidir, tek başına karar aracı olarak değil.

Sık yapılan hatalar

En sık hata ölçekleri tanımlamadan puanlamaya geçmektir; kademelerin ne anlama geldiği belirsizse sonuçlar tutarsız çıkar. Diğer bir hata matrisi bir kez çizip bırakmaktır: riskler proje boyunca değişir ve matris güncellenmezse eskir.

Bunlara ek olarak şu tuzaklar görülür: • Her riski yüksek önceliğe koymak, böylece hiçbirini önceliklendirememek. • Fırsatları (olumlu riskleri) hiç değerlendirmemek. • Matrisi bir rapor süsü olarak hazırlayıp aksiyon ve sorumlu atamamak. • Risk iştahını, yani kurumun kabul edebileceği riski hesaba katmadan bölge sınırlarını belirlemek.

İlişkili kavramlar ve Mindset bağlamı

Risk matrisi, risk kayıt defteri ile birlikte kullanılır: kayıt defteri riskleri tanımlar ve sahiplerini listeler, matris ise onları önceliklendirir. Risk iştahı matrisin bölge sınırlarını etkiler; risk yanıt stratejileri (kaçınma, azaltma, aktarma, kabul) ise önceliklendirmeden sonra seçilir.

Mindset kataloğunda Proje Risk Uzmanlığı Sertifika Programı risk yönetim planı, risk tanımlama teknikleri, risk kayıt defteri, nitel risk analizi ve önceliklendirme, nicel analiz ve risk yanıt stratejileri modüllerini; Risk Yönetimi (PMI-RMP Hazırlık) programı ise nitel analiz ve önceliklendirme dahil risk yönetimi süreçlerini işler.