İçindekiler
ISO 27001 Bağlam Risk Fırsat Etki Değerlendirme Planı, kuruluştaki tüm proseslerin risk ve fırsatlarını olasılık-şiddet puanlamasıyla değerlendiren, doldurulmuş bir uygulama örneğidir. Bu yazıda planın amacını, örnek bölüm bazlı değerlendirmeleri ve ISO 27001 denetiminde nasıl değerlendirildiğini ele alıyoruz.
ISO 27001 Bağlam Risk Fırsat Etki Değerlendirme Planının Amacı Nedir?
Bu plan, Risk Fırsat Analiz Prosedürü kapsamında her prosesin risk ve fırsatlarının tek bir tabloda toplanarak sistematik şekilde izlenmesini sağlar; imalat/ihracat yapan bir kuruluşun somut uygulama örneğidir. Planın en büyük faydası, kuruluşun farklı bölümlerindeki onlarca riski tek bir referans noktasında görünür kılmasıdır; bu sayede üst yönetim hangi bölümün hangi risklerle karşı karşıya olduğunu tek bir dokümandan takip edebilir.
Planda Hangi Örnek Değerlendirmeler Yer Alır?
- Satın Alma / Tedarikçiler: Tek tedarikçiye bağımlılık riski; alternatif tedarikçilerle çalışılarak ve tedarikçi çeşitliliği artırılarak azaltılır.
- Personel / Yeterlilik: Tecrübesizlik riski; etkin işe alım ve sürekli eğitim planlarıyla yönetilir, deneyimli kadronun uzun süreli istihdamı fırsata dönüştürülür.
- İhracat / Gümrük: Mevzuat değişikliği ve siyasi gelişmelerden kaynaklanan gümrük aksama riski; gümrük müşaviriyle aktif iletişim ve düzenli takiple yönetilir.
- Üretim / Kalite Kontrol: Uygunsuz ürün oluşma riski; kalite kontrol aşamasında ayırma, düzeltici faaliyet ve kök neden analiziyle azaltılır.
- Üst Yönetim / Finans: Döviz kurundaki anormal artış riski; ihracat çeşitlendirmesi ve yabancı dil bilen personel istihdamıyla fırsata çevrilir.
Bu örneklerin ortak noktası, her birinin aynı zamanda bir fırsat boyutu taşımasıdır; örneğin döviz kuru riski gibi görünüşte tamamen olumsuz bir etken bile, doğru stratejiyle rekabet avantajına dönüştürülebilir. Bu yaklaşım, risk yönetimini yalnızca “kötü şeylerden kaçınma” değil, aynı zamanda “fırsatları yakalama” disiplini haline getirir.
Plandaki Alanlar ve Denetimde Değerlendirme
Her satırda risk/fırsat tanımı, iç-dış husus, olasılık, şiddet, risk puanı, mevcut durum, hedef, aksiyon planı, sorumlu ve aksiyon sonrası yeni risk puanı yer alır. Bu son alan özellikle önemlidir; çünkü aksiyon öncesi ve sonrası risk puanlarının karşılaştırılması, alınan önlemin gerçekten etkili olup olmadığının somut ölçüsünü verir. Denetçiler bu planı incelerken genellikle örneklerin kuruluşun gerçek faaliyetlerine özgü olup olmadığını, jenerik bir şablon doldurmaktan öteye geçip geçmediğini sorgular. Bu plan, ISO 27001 belgesi denetimlerinde kuruluş genelinde risk-fırsat yönetiminin uçtan uca ve somut şekilde uygulandığının kanıtıdır.