# Risk Assessment (Risk Değerlendirmesi) Nedir ve 2026'da Neden Önemlidir > Risk değerlendirmesinin ne olduğunu, adım adım nasıl işlediğini ve KOBİ'lerin 2026'da finansal ve operasyonel riski yönetme biçimini yapay zeka destekli izlemenin nasıl yeniden şekillendirdiğini öğrenin. Source: https://www.electe.net/tr/post/what-is-risk-assessment Site guide: https://www.electe.net/tr/llms.txt Risk değerlendirmesi, olası tehditleri belirleyen, bunların olasılığını ve etkisini tahmin eden ve önlem kararlarını yönlendiren yapılandırılmış bir süreçtir; böylece içgüdüyle değil kanıtla hareket edersiniz. Resmi anlamda bu, belirsizliği önceliklere dönüştürmek için tekrarlanabilir bir disiplin haline gelmiştir, tek seferlik bir değerlendirme değildir. Bir tedarikçiyi onaylarken, bir kampanya başlatırken ya da yeni bir sistemi imzalarken bunun bir versiyonunu zaten yapıyor olabilirsiniz. Fark, sezgiye mi güvendiğiniz yoksa riskleri karşılaştırmanıza, gerekçeyi belgelemenize ve koşullar değiştiğinde kararı yeniden gözden geçirmenize olanak tanıyan bir süreç mi kullandığınızdadır. ## Bugün Kullanabileceğiniz Pratik Bir Tanım Küçük bir operasyon yöneticisi bir zamanlar, isim tanıdık geldiği ve sunum sağlam göründüğü için bir tedarikçi seçmişti. Altı ay sonra, kaçırılan bir finansal beyanname, sözleşme imzalanmadan ve iş çoktan başlamadan önce fark edilebilecek bir sorunu ortaya çıkardı. **Risk assessment nedir** sorusunun kapatmayı amaçladığı boşluk tam olarak budur. Resmi bir değerlendirme, neyin ters gidebileceğini, bunun olasılığının ne kadar olduğunu, etkisinin ne kadar ciddi olacağını ve bu konuda ne yapmanız gerektiğini sorar; bu yüzden **tanımlama** ile başlar, **analiz** ve **değerlendirme**ye geçer, ardından **önlem** kararlarıyla sona erer. ### Kullanılabilir hale getiren dört unsur **Tanımlama** tehdidi adlandırır. **Analiz**, bunun nasıl gerçekleşebileceğini ve etkisinin ne büyüklükte olabileceğini tahmin eder. **Değerlendirme**, bu sonucu kriterlerinize veya risk toleransınıza göre karşılaştırır. **Önlem**, riski önlemek, azaltmak, devretmek veya kabul etmek arasında karar verir. Bu yapı önemlidir çünkü ekiplerin belirsiz bir endişeyi bir kararla karıştırmasını engeller. Aynı mantık, bir yazılım tedarikçisini gözden geçirirken, yeni bir satış kanalı açarken ya da bir pazarlama ortağını kontrol ederken de işler. [UK fleet driver risk management](https://fleetalyse.co.uk/blog/driver-risk-assessment) gibi pratik bir kaynak, aynı fikri farklı bir bağlamda gösterir; burada görev, maruziyeti önlenebilir bir kayba dönüşmeden önce belirlemektir. > **Pratik kural:** tehdidi, olasılığı, etkiyi ve alınacak aksiyonu sade bir dille açıklayamıyorsanız, henüz eksiksiz bir değerlendirmeniz yok demektir. Tekrarlanabilir bir iş akışına ihtiyaç duyan ekipler için [Electe risk değerlendirmesi](https://tools.electe.net/valutazione-rischio) sayfası aynı mantığı bir iş bağlamında yansıtır. Amaç, riski karmaşık göstermek değildir. Amaç, kararı savunulabilir kılmaktır. ## Risk Değerlendirmesi Nasıl Resmi Bir Disiplin Haline Geldi Pratik bir değerlendirme yönetim kurullarında başlamadı. Başarısızlığın görünür sonuçları olduğu yerlerde, güvenlik, mühendislik ve halk sağlığında başladı, ardından kuruluşlar bir riski diğeriyle karşılaştırmanın tekrarlanabilir bir yoluna ihtiyaç duydukça politika, finans ve operasyonlara yayıldı. Önemli bir dönüm noktası, National Research Council'ın **1983** tarihli _Risk Assessment in the Federal Government: Managing the Process_ raporuydu; genellikle **Red Book** olarak anılır. Bu rapor, modern uygulamayı hâlâ şekillendiren adımların tanımlanmasına yardımcı oldu [PubMed summary of the Red Book's historical role](https://pubmed.ncbi.nlm.nih.gov/10380179/). İş sağlığı alanında, **ISO 1999** de bu alanın, maruziyet verilerinden gürültüye bağlı işitme kaybını tahmin etmek için daha yapılandırılmış, nicel yöntemlere doğru nasıl ilerlediğini gösterdi. Daha sonra NIOSH, _NIOSH Practices in Occupational Risk Assessment_ adlı resmi bir kılavuz yayımladı; bu da yöntemin doğaçlama olmaktan çıkıp yerleşik hale geldiğini gösterdi. ### Bu değişim işletmeler için neden önemli Modern kılavuzlar, risk değerlendirmesini risk kaynaklarını, tehditleri, tehlikeleri ve fırsatları belirleyen, bunların nasıl gerçekleşebileceğini tahmin eden ve önemini ilgili kriterlere göre değerlendiren sistematik bir süreç olarak tanımlar [SRA fundamental principles](https://www.sra.org/wp-content/uploads/2020/04/SRA-Fundamental-Principles-R2.pdf). Bu, risk çalışmasını bir sezgi kontrolü değil, bir iş akışına dönüştürür. Aynı ilkeler, değerlendirmeyi bağlam belirleme, tanımlama, analiz, tepki planlaması ve izlemeden oluşan daha geniş bir döngünün içine yerleştirir. İstatistiksel ve Bayesyen yöntemleri bu sürecin olağan araçları olarak ele alırlar. İşletmeler için pratik nokta basittir. Herkesin karardan memnun olup olmadığını sormuyorsunuz. Hangi kanıtın bu kararı desteklediğini ve yeni kanıt geldiğinde görüşünüzün neye göre değişeceğini soruyorsunuz. Risk değerlendirmesi, boşluk analizi (gap analysis) ile aynı şey değildir. Boşluk analizi, mevcut performansın bir hedefin ne kadar gerisinde kaldığını sorar. Risk değerlendirmesi, neyin olabileceğini, bunun olasılığının ne kadar olduğunu ve gerçekleşmesi durumunda etkisinin ne kadar büyük olacağını sorar. Bir perakendecinin mevcut ve istenen raporlama arasında net bir boşluğu olabilir, ancak gerçek risk ödeme dolandırıcılığında, tedarikçi yoğunlaşmasında ya da müşteri veri sızıntısında bulunabilir. İzleme sürekli hale geldikçe bu fark daha da önem kazanır. Yıllık değerlendirmeler bir anlık görüntü gibi hissedilebilir. Yapay zeka destekli izleme süreci canlı sinyallere dönüştürür; bu da KOBİ'lerin çalışma biçimine uyar: değişen tedarikçiler, kayan talep ve daha hızlı kararlar. Aşağıdaki zaman çizelgesi, disiplinin ilk resmi çalışmalardan günümüze nasıl ilerlediğini gösterir [A timeline graphic showing the evolution of risk assessment as a formal discipline from the 1900s to today.](https://cdnimg.co/85090d81-5416-479f-9444-1cb2ebf077ae/00a2d6ba-375e-4469-9f44-61f50b79ac92/what-is-risk-assessment-risk-timeline.jpg) ## Her Değerlendirmenin İçindeki Üç Temel Adım Yeni bir çevrimiçi satış kanalı planlayan orta ölçekli bir perakendeci, somut bir örnek oluşturuyor. Ekip, lansmanı etkileyebilecek riskleri belirleyerek işe başlıyor, ardından bunları sırayla ele alıyor. ### Birinci adım, tanımlama Perakendeci, **tedarikçi yoğunlaşması**, **ödeme dolandırıcılığı**, **kur riski**, **mevzuat değişikliği** ve **müşteri verisi sızıntısı** gibi somut risk kaynaklarını listeler. Bu liste risk envanteridir, sonuç değildir. ISO 31000, kuruluş kapsamı, bağlamı ve kriterleri tanımladıktan sonra bunu risk değerlendirmesinin ilk aşaması olarak ele alır ISO 31000 çerçeve genel bakışı. Önemli bir risk hiç listeye girmezse, sonraki analiz yalnızca yanlış yönde hızlanır. ### İkinci adım, analiz ve değerlendirme Riskler adlandırıldıktan sonra ekip, her birinin nasıl meydana gelebileceğini ve neye mal olabileceğini tahmin eder. ISO 31000 tabanlı rehberlik, analizin risk kaynağını, etki alanını, olayı, nedenlerini ve sonuçlarını, kaynağın iç mi dış mı olduğunu, olasılığı ve zaten mevcut olan kontrolleri dikkate alması gerektiğini belirtir [ISO 31000 risk yönetimi temelleri](https://riskonnect.com/business-continuity-resilience/the-basics-of-iso-31000-risk-management/). Değerlendirme bundan sonra gelir. Ekip, hangi risklerin işlem gerektirdiğine ve hangilerinin kabul edilebileceğine karar verebilmek için sonuçları yasal ve düzenleyici gereklilikler dahil resmi kriterlerle karşılaştırır [ISO 31000 çerçeve genel bakışı](https://secportal.io/frameworks/iso-31000). Sırayı net tutmanın basit bir yolu şudur: 1. **Tanımlayın**: yeni kanalla bağlantılı riskleri belirleyin. 2. **Analiz edin**: her birinin olasılığını ve sonucun ne kadar kötü olacağını değerlendirin. 3. **Değerlendirin**: sonucu risk iştahı, uyumluluk ihtiyaçları ve iş önceliklerine göre kıyaslayın. Bu sıralama önemlidir çünkü keşfi yargıdan ayırır. Risk kaydı bir yapılacaklar listesi değildir. O bir karar haritasıdır; oysa boşluk analizi tamamen farklı bir soru sorar: mevcut performans bir hedeften nerede geri kalıyor. ## Riski Harekete Geçirebileceğiniz Bir Puana Dönüştürmek Bir puan, bir riski diğeriyle karşılaştırmanıza yardımcı olduğunda işe yarar. Bu yüzden birçok ekip, **olasılık** ve **sonucu** basit bir derecelendirmede birleştiren bir matris kullanır. ### Puan pratikte nasıl işler Fikir basittir. Bir eksende, olayın ne kadar olası olduğunu derecelendirirsiniz. Diğerinde, sonucun ne kadar şiddetli olacağını derecelendirirsiniz. Pratik risk matrisleri genellikle **4 puanlık veya 5 puanlık ölçekler** kullanır ve bu birleşimi önceliklendirmeyi destekleyen sıralı bir puana dönüştürür [FMEA tabanlı risk değerlendirmesi genel bakışı](https://ohsonline.com/articles/2025/04/07/optimizing-safety-through-fmea-based-risk-assessments.aspx). Örneğin, borç hesapları memuruna ulaşan bir kimlik avı e-postası, sel kontrolleri zaten güçlüyse ve kimlik avı yolu zayıf kontrol ediliyorsa, sunucu odası selinden daha yüksek öncelikli bir bantta yer alabilir. Puan bir hüküm değildir, ilk önce nerede harekete geçmeniz gerektiğine karar vermenize yardımcı olan sinyaldir. OlasılıkSonuçBirleşik PuanGerekli Kontrol SeviyesiDüşükDüşükDüşükİzleyin ve gözden geçirinDüşükYüksekOrtaMümkün olan yerlerde kontrolleri güçlendirinYüksekOrtaYüksekHedefe yönelik kontrolleri hızla ekleyinYüksekYüksekKritikMümkün olan en güçlü kontrolle derhal işleme alın ### Puan neden kontrol seçimine götürür İş güvenliği, tepkileri **ortadan kaldırma** ve **ikame**'den **mühendislik kontrollerine**, **uyarılara**, **idari kontrollere** ve **KKD**'ye kadar sıralayan bir kontrol hiyerarşisi kullanır [ASSP ve CCOHS hiyerarşi özeti](https://aeasseincludes.assp.org/professionalsafety/pastissues/050/05/030505as.pdf). Bu sıralama önemlidir çünkü en güvenli kontrol genellikle tehlikeyi kaynağında ortadan kaldıran kontroldür. > Önce riski puanlayın, ardından hangi kontrol seviyesinin buna uyduğunu sorun. Zaten sahip olduğunuz kontrolle başlamayın. Senaryo tabanlı puanlamanın arkasındaki mekaniği anlamak isteyen ekipler için [Monte Carlo simülasyonunun nasıl çalıştığı](https://www.electe.net/post/monte-carlo-simulation) faydalı bir sonraki adımdır çünkü olasılıksal düşüncenin daha ayrıntılı kararları nasıl destekleyebileceğini gösterir. Ancak çoğu KOBİ'de, acil maruziyetleri yönetilebilir olanlardan ayırmak için basit bir matris yeterlidir. ## Risk Değerlendirmesi ve Boşluk Analizi Karşılaştırması Kafa karışıklığının çoğu, insanların **risk değerlendirmesi** ve **boşluk analizi** terimlerini sanki aynı anlama geliyormuş gibi kullanmasıyla başlar. Oysa aynı değildirler. Bir GDPR örneği farkı net bir şekilde ortaya koyar. Risk değerlendirmesi, elinizdeki verilerle başlar ve neyin yanlış gidebileceğini, bunun ne kadar olası olduğunu ve etkisinin ne kadar ciddi olacağını sorar. Bu size önceliklendirilmiş bir liste verir; belki bir müşteri veritabanı ihlali, belki şifrelenmemiş bir dizüstü bilgisayarın kaybolması, belki de zayıf bir üçüncü taraf işleyici. ### Aynı senaryo, farklı soru Boşluk analizi, GDPR gereksinimleriyle başlar ve hangi kontrollere zaten sahip olduğunuzu, nelerin eksik olduğunu sorar. Çıktı farklı görünür. Bir tehdit listesi yerine, atanmamış bir VKG (Veri Koruma Görevlisi) veya eksik bir saklama politikası gibi bir düzeltme listesi elde edersiniz. Olgun programların her ikisini de kullanmasının nedeni budur. Risk değerlendirmesi **ileriye dönük** ve **tehdit odaklıdır**. Boşluk analizi ise **standart odaklı** ve **geriye dönüktür**. Biri size maruziyetin nerede olduğunu söyler. Diğeri ise kontrollerinizin nerede yetersiz kaldığını söyler. > En önemli şeyin ne olduğuna karar vermeniz gerektiğinde risk değerlendirmesini kullanın. Neyin eksik olduğunu kanıtlamanız gerektiğinde boşluk analizini kullanın. Hangisiyle başlayacağınızdan emin değilseniz şu kuralı kullanın: **önce riski değerlendirin, ardından en önemli kontrol boşluklarını test edin**. Bu sıralama, yüksek etkili bir maruziyet hâlâ canlı kalırken düşük öncelikli boşlukları kapatmak için zaman kaybetmenizi önler. ## Finans ve Perakendede Risk Değerlendirmesi İster para ödünç veriyor olun ister giysi satıyor olun, aynı mantık işler. Detaylar değişir ama yapı değişmez. ### Finans, yöntemi kredi maruziyetine uygular Bölgesel bir kredi kooperatifi, tüketici portföyünü inceler ve makroekonomik sinyaller değiştikten sonra serbest meslek sahibi borçlular arasında artan temerrüt olasılığını fark eder. Ekip, kredilendirme eşiklerini sıkılaştırır ve maruziyet limitlerini gözden geçirir, çünkü değerlendirme kayıplar belirginleşmeden önce onlara net bir sinyal vermiştir. Resmi değerlendirme, kredilendirme ekibini maruziyeti adlandırmaya, bunu tolerans düzeyine göre sıralamaya ve buna bir sahibi ve bir gözden geçirme tarihi olan bir eylem eklemeye zorlayarak değerini kanıtlar. Bu yapı olmadan, tartışma belirsiz kalır ve yanıt çok geç gelir. ### Perakende, envanter ve promosyonlar için aynı mantığı kullanır Bağımsız bir moda perakendecisi, aynı yaklaşımı **envanter** ve **promosyonlara** uygular. Sezonluk ürün hatlarında stok tükenmesi ve fazla stok riskini belirler, geçen yılın satış verilerini ve tedarikçi teslim sürelerini analiz eder, ardından hangi SKU'ların daha yüksek güvenlik stoğunu, hangilerinin ise daha derin indirimleri hak ettiğini değerlendirir. Kazanım pratiktir. Ekip, farklı bir operasyonel ortamda aynı karar yapısını kullanır; risk değerlendirmesinin fonksiyonlar arasında bu kadar iyi işlemesinin nedeni tam olarak budur. Ortak nokta basittir: - **Riski tanımlayın**, tartışmaya başlamadan önce. - **Olasılığı ve etkiyi puanlayın**, çözümü tartışmadan önce. - **Aksiyonu atayın**, konu bir sonraki toplantıda kaybolmadan önce. ## Yapay Zeka Risk İzlemeyi Nasıl Yeniden Şekillendiriyor Geleneksel değerlendirmeler genellikle üç aylık veya yıllık bir döngüde yapılır. Bu, istikrarlı ortamlarda işe yarar; ancak işlemler, tedarikçiler, müşteriler ve sistemler her gün değiştiğinde boşluklar bırakır. Yapay zeka ve otomasyon, risk değerlendirmesini periyodik bir incelemeden sürekli bir sinyale dönüştürerek bu boşluğu daraltır. ### Veri akışı sürekli hale geldiğinde ne değişir Canlı veri alımı, örüntü tespiti ve anormallik işaretlemesiyle bir ekip, işlemleri, kredi risklerini, tedarikçi performansını ve müşteri davranışını gerçek zamanlı olarak izleyebilir. Statik elektronik tablolar hacim arttıkça sinyal kaybeder, çünkü bir kişi örüntü değişimini fark edecek kadar hızlı bir şekilde her satırı tekrar tekrar kontrol edemez. İnsan denetiminin hâlâ önemli olduğu nokta da burasıdır. Yapay zeka uyarıları sıralayabilir ve olağandışı etkinlikleri vurgulayabilir; ancak birinin işareti doğrulaması, bağlamı yorumlaması ve sorunun gerçek bir risk mi yoksa sadece gürültü mü olduğuna karar vermesi gerekir. Model ve kullanım endişelerine daha derinlemesine bakmak isteyenler için [analitikte LLM riski](https://querio.ai/articles/the-risks-of-using-llms-in-business-intelligence) hakkındaki makale, denetimin sürecin neden hâlâ bir parçası olması gerektiğini gösterdiği için faydalı bir okuma. ### KOBİ'lerin araçlardan neye ihtiyacı var KOBİ'lerin genellikle ağır bir risk departmanına ihtiyacı yoktur. Mevcut muhasebe veya POS sistemlerine bağlanan, sıralı sinyaller sunan ve neyin değiştiğini belgeleyen bir katmana ihtiyaç duyarlar; böylece inceleme e-postalarda kaybolmaz. Bu anlamda ELECTE, operasyonel veriyi otomatik raporlara, anormallik uyarılarına ve tekrarlayan risk sinyallerine dönüştürmek için diğer izleme araçlarının yanında bir seçenek olarak yer alabilir; özellikle bir ekip sürecin hafif kalmasını istediğinde. Bu fikrin pratik bir görselini görmek isteyen okuyucular için [hataları ve fırsatları belirleyen rehber](https://www.electe.net/post/ai-anomaly-detection-visualization), anormallik tespitinin daha hızlı incelemeyi nasıl destekleyebileceğini gösteriyor. Asıl önemli nokta şu ki, yapay zeka risk değerlendirmesinin yerini almıyor. Değerlendirmeyi resmi toplantılar arasında canlı tutuyor. ## Temel Çıkarımlar ve Sonraki Adımlarınız Sade bir dille **risk değerlendirmesi nedir**? Tehditleri belirlemenin, olasılık ve etkiyi tahmin etmenin, bunları kriterlerinize göre puanlamanın ve doğru aksiyonu seçmenin yapılandırılmış bir yoludur. Belirsiz bir kaygıyı savunabileceğiniz bir karara dönüştüren şey de tam olarak budur. İkinci büyük değişim operasyoneldir. Yapay zeka artık belirli bir anda yapılan incelemelerden canlı izlemeye geçmeyi mümkün kılıyor; böylece risk değerlendirmesi, düzenli bir yıllık takvimle çalışmayan KOBİ'lerle aynı hızda ilerleyebiliyor. Üçüncü ayrım da bir o kadar önemli: **risk değerlendirmesi** nelerin ters gidebileceğini sorarken, **boşluk analizi** standarda kıyasla neyin eksik olduğunu sorar. Bu hafta atabileceğiniz beş adım: 1. **En önemli on riskinizi listeleyin.** Somut tutun, örneksiz kategori olmasın. 2. **Bunlardan üçünü basit bir 4x4 matrisle puanlayın.** Olasılık ve sonucu kullanın, ardından sonucu karşılaştırın. 3. **Her yüksek riskli madde için bir önlem yazın.** Aksiyonu adlandıramıyorsanız, puanlama tamamlanmamış demektir. 4. **Bir sorumlu ve bir gözden geçirme tarihi atayın.** Hesap verebilirlik olmayan risk, arka plan gürültüsüne dönüşür. 5. **Mevcut araçlarınızı izleme potansiyeli açısından kontrol edin.** Zaten topladığınız muhasebe, POS, CRM veya iş akışı verilerini arayın. > En iyi ilk değerlendirme, ekibinizin gerçekten güncelleyeceği değerlendirmedir. Bunu hâlâ elle yapıyorsanız, bu sürecin otomasyona hazır olduğunun iyi bir işaretidir. Zaten sahip olduğunuz verilerle başlayın, ardından onu statik bir elektronik tablo yerine canlı bir risk görünümüne dönüştürmenin yollarını arayın. --- ELECTE, KOBİ'lerin işletme verilerini sıralı sinyallere, otomatik raporlamaya ve ağır bir risk programı dayatmadan sürekli izlemeye dönüştürmesine yardımcı olur. Manuel puanlamadan canlı denetime daha hızlı bir geçiş yapmak istiyorsanız, [ELECTE](https://www.electe.net)'yi ziyaret edin ve iş akışınıza nasıl uyduğunu görün.