Risk Kabul Kriterleri ve Risk İştahı Nasıl Belirlenir?

Risk matrisinde 12 puan alan bir risk kabul edilebilir mi? Cevap matriste değil, kuruluşun önceden yazdığı risk kabul kriterlerindedir. Kriter yoksa karar, o gün toplantıda kimin sesi yüksekse onun kararıdır. ISO/IEC 27001:2022 madde 6.1.2 a) risk kabul kriterlerinin ve risk değerlendirmesi yapma kriterlerinin oluşturulmasını açıkça ister; madde 6.1.3 f) ise kalıntı risklerin risk sahiplerince kabul edilmesini şart koşar. Aşağıdaki adımlar, risk iştahını, ölçek tanımlarını, matris eşiklerini ve onay yetkisini tek tutarlı kurguda birleştirmek isteyen BGYS sorumluları için.

Risk iştahı, tolerans ve kabul kriteri

Bu üç kavram sürekli karıştırılır. Oysa farklı seviyelerde çalışırlar:

Kavram	Soru	Sahibi
Risk iştahı	Hedeflerimiz için ne tür ve ne kadar riski üstlenmeye hazırız?	Üst yönetim / yönetim kurulu
Risk toleransı	Belirli bir hedef veya alanda kabul edilebilir sapma nedir?	Üst yönetim, iş birimleri
Risk kabul kriteri	Bu risk puanı hangi koşulda, kim tarafından kabul edilebilir?	BGYS yönetimi, risk sahipleri

Risk iştahı nitel bir cümleyle başlar ama ölçülebilir hale getirilmeden işe yaramaz. “Müşteri verisinin gizliliği konusunda düşük risk iştahımız vardır” cümlesi tek başına hiçbir kararı yönlendirmez. Yanına şu kural eklenmelidir: “Müşteri verisinin gizliliğini etkileyen ve etkisi 4 veya üzeri olan hiçbir risk, işleme planı olmadan kabul edilmez.” İştah ifadesi böylece kabul kriterine dönüşür. Konu bazında farklı iştah tanımlamak normaldir. Bir üretim şirketi kısa süreli ofis BT kesintisine karşı yüksek, üretim hattı duruşuna karşı düşük iştaha sahip olabilir. Tek iştah cümlesi her şeyi kapsamaz.

Olasılık ve etki ölçeklerini tanımlamak

Kriterlerin tutarlı uygulanması, ölçeğin herkes tarafından aynı okunmasına bağlıdır. “Yüksek”, “orta” gibi etiketler tek başına yetmez; her seviyenin somut bir tanımı ve gözlenebilir bir göstergesi olmalıdır. Sahada en sık gördüğümüz sorun, sistem yöneticisinin “3” dediği olasılığı finans müdürünün “1” diye okumasıdır. Aynı risk, iki ayrı puan.

Olasılık ölçeği

Seviye	Tanım	Gösterge
1 – Çok düşük	Olağanüstü koşullar dışında beklenmez	Sektörde bilinen örneği yok
2 – Düşük	Birkaç yılda bir olabilir	Sektörde örneği var, kurumda yok
3 – Orta	Yılda bir civarında olabilir	Kurumda geçmişte yaşandı
4 – Yüksek	Yılda birkaç kez olabilir	Son 12 ayda yaşandı veya girişim tespit edildi
5 – Çok yüksek	Sürekli veya ayda bir kez ya da daha sık	Düzenli olarak gözleniyor

Etki ölçeği

Etkiyi tek boyutta tanımlamayın. Aşağıdaki örnekte dört boyut var; bir risk, en yüksek puanı aldığı boyutun değerini alır. Değerler örnektir; finansal eşikleri kuruluş kendi ölçeğine göre doldurur.

Seviye	Operasyonel	Yasal / sözleşmesel	Müşteri / itibar
1	Kritik olmayan hizmette saatlik kesinti	Etki yok	Kurum içinde kalır
2	Kritik hizmette RTO altında kesinti	İç politika ihlali	Tek müşteri şikâyeti
3	Kritik hizmette RTO aşımı	Sözleşme ihlali uyarısı	Birden fazla müşteride bilgi talebi
4	Üretimde vardiya kaybı	KVKK kapsamında bildirim gerektiren ihlal	Müşteri denetimi veya sipariş askıya alma
5	Günlerce süren üretim duruşu	İdari para cezası, dava	Müşteri kaybı, kamuoyuna yansıma

Operasyonel boyutu iş etki analizindeki RTO değerlerine bağlamak, iki çalışmanın birbiriyle çelişmesini önler. İş etki analizinde ERP için 8 saat RTO yazıp risk ölçeğinde 8 saatlik ERP kesintisini “2” saymak, denetçinin ilk yakaladığı tutarsızlıklardandır. Finansal boyutu da tabloya ekleyecekseniz eşikleri finans biriminden alın; uydurma tutarlar bir sonraki yıl tartışma konusu olur.

Matris eşiklerini belirlemek

5×5 bir matriste olasılık × etki çarpımı 1 ile 25 arasında 14 farklı değer alabilir (1, 2, 3, 4, 5, 6, 8, 9, 10, 12, 15, 16, 20, 25). Eşikler bu değerler üzerinden kurulur. Örnek bir kurgu:

• Düşük (1–4): Rutin izleme yeterli; risk sahibi kabul edebilir.
• Orta (5–9): İşleme seçeneği değerlendirilir; gerekçeli kabul mümkündür.
• Yüksek (10–16): İşleme planı zorunludur; kabul ancak üst yönetim onayıyla ve süre sınırıyla yapılır.
• Kritik (20–25): Kabul edilmez; acil işleme veya faaliyetten kaçınma gerekir.

Saf çarpımın bilinen bir zaafı var: düşük olasılıklı ama yıkıcı etkili riskleri olduğundan küçük gösterir. Olasılığı 1, etkisi 5 olan bir senaryo 5 puanla “orta” görünür. Bunu dengelemek için matrise etki tabanlı bir kural eklemek yaygın pratiktir: “Etkisi 5 olan her risk, puanından bağımsız olarak en az Yüksek seviyede değerlendirilir.” Bu kural, risk iştahı ifadesindeki düşük iştahlı alanlarla tutarlı olmalıdır. Çarpım tek başına karar vermez.

Risk kabul yetki matrisi

Kabul kriteri “hangi risk kabul edilebilir?” sorusu kadar “kim kabul edebilir?” sorusunu da yanıtlamalıdır. Yetki matrisi yoksa sahada tipik tablo şudur: BT ekibi yüksek bir riski kendi kendine kabul eder, çünkü işleme aksiyonu kendi iş yükünü artıracaktır. Bu bir çıkar çatışmasıdır.

Seviye	Kabul yetkisi	Azami kabul süresi	Gözden geçirme
Düşük	Risk sahibi	Bir sonraki yıllık değerlendirme	Yıllık
Orta	Risk sahibi + BGYS yöneticisi	12 ay	Yıllık
Yüksek	Üst yönetim (genel müdür veya yetkilendirdiği kişi)	6 ay	Çeyreklik
Kritik	Kabul edilmez; istisnai durumda yönetim kurulu kararı	Yalnızca geçici, en kısa süre	Aylık

Süreler örnektir; esas olan her kabulün bir bitiş tarihi taşımasıdır. Süresiz kabul, riskin unutulmasıdır. Kabul süresi dolan risk otomatik olarak yeniden değerlendirme listesine düşmelidir; bunu takvim hatırlatmasına değil, risk kaydının kendisine bağlayın. Bu yapı politika istisnası yönetimi ile aynı mantıkta çalışır; ikisini tek onay akışında birleştirmek idari yükü azaltır.

Kalıntı risk kabul kaydı

Madde 6.1.3 f) gereği kalıntı riskin kabulü kayıt altına alınır. “Tamam, kabul ediyorum” yazan bir e-posta tek başına zayıf kanıttır. Kayıtta en azından şu alanlar bulunmalıdır:

Risk No            : R-2026-014
Risk tanımı        : Eski sürüm işletim sistemiyle çalışan ölçüm cihazı
                     PC'leri üretim VLAN'ında; üretici yükseltmeyi desteklemiyor
Risk sahibi        : Kalite Müdürü
Başlangıç riski    : O 4 x E 4 = 16 (Yüksek)
Uygulanan işleme   : Ayrı VLAN, yalnız MES sunucusuna izinli erişim,
                     USB portları kapatıldı, ağ izleme kuralı eklendi
Kalıntı risk       : O 2 x E 4 = 8 (Orta)
Kabul gerekçesi    : Cihaz değişimi sonraki yatırım dönemine planlandı
Kabul eden / tarih : Genel Müdür / 2026-10-15
Kabul bitiş tarihi : 2027-04-15
Yeniden değerlendirme tetikleyicisi: segmentasyon kuralında değişiklik,
                     cihazla ilgili güvenlik olayı

Bu örnekte kalıntı risk “orta” seviyededir ve yetki matrisine göre risk sahibi ile BGYS yöneticisinin onayı yeterli olabilirdi. Ancak başlangıç riski yüksek olduğu için onay üst yönetimden alınmıştır. Bu kuralı (“başlangıç riski yüksek olan kabullerde üst yönetim onayı”) metodolojiye açıkça yazın; karar anında tartışma çıkmaz. Kalıntı riske giden işleme aksiyonlarının planlanması risk işleme planı rehberinde ele alınıyor.

Kriterlerin gözden geçirilmesi

Kabul kriterleri bir kez yazılıp rafa kaldırılacak bir doküman değildir. Şu durumlar gözden geçirme tetikleyicisidir:

• Yeni bir yasal yükümlülük veya müşteri gerekliliği (örneğin bir müşterinin TISAX etiketi talep etmesi)
• İş modelinde veya kapsamda değişiklik: yeni lokasyon, yeni ürün, bulut geçişi
• Kabul edilmiş bir riskin gerçekleşmesi; bu, ölçeklerin veya eşiklerin gerçeği yansıtmadığının işaretidir
• Risk kaydında tüm risklerin aynı seviyede toplanması; ölçek ayırt edici değil demektir

Son madde sahada sanıldığından sık çıkar. Kayıttaki riskler “9” ile “12” arasına yığılmışsa, ölçek karar üretmiyor demektir. Yeniden kalibre edin.

Yıllık gözden geçirmenin doğal yeri yönetimin gözden geçirmesi toplantısıdır: risk değerlendirmesi sonuçları ve risk işleme planının durumu ISO/IEC 27001 madde 9.3 kapsamında zaten YGG girdisidir. Eşik aşımlarını erken gösteren anahtar risk göstergeleri tanımlamak, kriterlerin yılda bir kez değil sürekli işlemesini sağlar.

Kontrol listesi

• Risk iştahı ifadesi üst yönetimce onaylandı ve en az bir ölçülebilir kurala bağlandı
• Olasılık ve etki ölçeklerinin her seviyesi için somut tanım var
• Etki ölçeği RTO ve yasal yükümlülüklerle tutarlı
• Matris eşikleri ve etki tabanlı istisna kuralı yazılı
• Yetki matrisi her seviye için kabul yetkisini ve azami süreyi belirtiyor
• Her kalıntı risk kabulünün tarihli, imzalı ve bitiş tarihli kaydı var

Kabul kriterlerinin kuruluşa göre tasarlanması ve mevcut risk kaydına uygulanması, bilgi güvenliği risk değerlendirmesi çalışmasının parçasıdır. Gereklilik metninin kendisi için ISO/IEC 27001 standart sayfasına başvurabilirsiniz.

Sık sorulan sorular

Risk kabul kriteri ile risk iştahı aynı şey mi?

Hayır. Risk iştahı, kuruluşun hedefleri için üstlenmeye hazır olduğu riskin türünü ve miktarını anlatan üst düzey bir ifadedir. Risk kabul kriteri bu ifadeyi uygulanabilir kurala çevirir: hangi puandaki risk, hangi koşulda ve kimin onayıyla kabul edilebilir.

Kritik seviyedeki bir risk hiç kabul edilemez mi?

Metodolojide kritik risklerin kabul edilmeyeceği yazılabilir, ancak sahada işlemenin mümkün olmadığı geçici durumlar olur. Böyle bir durumda kabul en üst yetki seviyesinde, kısa süre sınırıyla ve telafi edici önlemlerle birlikte kayda alınır.

Kalıntı risk kabulü için e-posta onayı yeterli mi?

E-posta kanıt olarak kullanılabilir, ancak risk numarasını, kalıntı puanı, gerekçeyi ve bitiş tarihini içermiyorsa zayıf kalır. Bu alanları taşıyan bir kabul kaydı oluşturup onayı bu kayda bağlamak daha sağlam yöntemdir.

Risk kabul kriterleri ne sıklıkla güncellenmelidir?

En az yılda bir, yönetimin gözden geçirmesinde değerlendirilmeli; ayrıca kapsam değişikliği, yeni yasal yükümlülük veya kabul edilmiş bir riskin gerçekleşmesi gibi tetikleyicilerde ara gözden geçirme yapılmalıdır.