Risk Matrisi Kontrol Kriterleri Nasıl Kurulur?

Risk matrisi kontrol kriterleri, risk bazlı uyum yönetimi sürecinde risklerin gerçekten doğru sınıflandırılıp sınıflandırılmadığını ve şirketin risk iştahına uygun karar alınıp alınmadığını ölçmelidir. Bu kriterler ürün bazlı mevzuat maddelerini tekrar etmek yerine kontrol listesi, iç denetim planı, örneklem kaydı, bulgu sınıflandırması ve yönetim onayı üzerinden denetlenebilir kanıt üretmelidir.

Risk matrisi kontrol kriterleri hangi soruya cevap vermeli?

Risk bazlı uyum yönetiminde temel soru, her ürün veya sürecin aynı yoğunlukta kontrol edilip edilmediği değildir. Doğru soru şudur: Risk seviyesi hangi gerekçeyle belirlendi, bu seviye şirketin risk iştahına uygun mu, karar hangi belgeyle alındı ve aksiyon hangi kanıtla kapatıldı? Risk matrisi kontrol kriterleri bu dört sorunun tamamını ölçmelidir.

Risk matrisi, yalnız “düşük, orta, yüksek” renklerinden oluşan bir sunum tablosu olarak kullanılırsa denetim değeri sınırlı kalır. Denetlenebilir bir matris; risk kaynağı, olasılık, etki, mevcut kontrol, artık risk, karar eşiği, aksiyon sahibi, kapanış tarihi ve kanıt belgesini içermelidir. Risk iştahı ise bu tablonun yönetim tarafından kabul edilen sınırını oluşturur.

ISO 31000 provides principles, a framework and a process for managing risk.

ISO 31000:2018, ISO official standard page

Risk yönetimi bakımından bu çerçeve, matrisin tek başına yeterli olmadığını gösterir. Prensip, süreç ve yönetim çerçevesi birlikte kurulmadığında risk puanı hesaplanır; ancak karar standardı ve izleme disiplini oluşmaz.

Risk matrisi hangi belge setiyle denetlenebilir olur?

Risk matrisi kontrol kriterleri, tek bir Excel tablosuna veya rapor görseline bırakılmamalıdır. Orta gelişim seviyesindeki bir şirket için asgari belge seti şunlardan oluşmalıdır: Risk Değerlendirme Formu, Risk Matrisi, Risk İştahı Beyanı, Risk Bazlı Kontrol Listesi, İç Denetim Planı, Örneklem Kaydı, Bulgu Sınıflandırma Rehberi ve Aksiyon Kapanış Formu.

Risk Değerlendirme Formu, riskin nereden doğduğunu açıklar. Risk Matrisi, risk seviyesinin nasıl belirlendiğini gösterir. Risk İştahı Beyanı, şirketin hangi riski hangi seviyede kabul edebileceğini sınırlar. Kontrol Listesi, aynı risk sınıfındaki dosyaların tutarlı kontrol edilmesini sağlar. İç Denetim Planı ve Örneklem Kaydı ise bu sistemin gerçekten uygulanıp uygulanmadığını test eder.

Saha uygulamasında iç denetçi çoğu zaman risk matrisinin kendisinden başlamaz. Önce yüksek riskli dosya evrenini, açık aksiyon listesini veya son dönemde satışa açılan ürünleri alır. Sonra seçilen dosyada risk değerlendirme formu, kontrol listesi, yönetim onayı ve kapanış kanıtını arar. Matris üzerindeki renk, dosya içindeki karar iziyle doğrulanmadıkça güçlü kanıt sayılmaz.

Risk iştahı hangi karar eşiklerine bağlanmalı?

Risk iştahı, şirketin hedeflerine ulaşırken hangi tür ve seviyedeki riski kabul edebileceğini belirleyen yönetim sınırıdır. Risk iştahı ticarette ve kurumsal risk yönetiminde kullanılan yerleşik bir kavramdır; ancak yalnız genel bir politika cümlesi olarak yazılırsa uygulamada ölçülemez.

Risk appetite is the types and amount of risk, on a broad level, an organization is willing to accept in pursuit of value.

COSO Enterprise Risk Management Framework

Bu tanım, risk iştahının yalnız uyum ekibinin teknik değerlendirmesi olmadığını anlatır. Şirket değer yaratırken hangi riski kabul edeceğine yönetim seviyesinde karar verir; uyum fonksiyonu bu sınırı dosya, kontrol ve raporlama diline çevirir.

Risk İştahı Beyanı içinde en az dört karar eşiği bulunmalıdır. Düşük risk bölüm içinde kapatılabilir. Orta risk uyum onayı veya ek belge gerektirebilir. Yüksek risk uyum komitesi veya ilgili yönetici onayına çıkmalıdır. Kritik riskte sipariş, ithalat, satış, lansman veya sistem kullanımı durdurulmalıdır. Risk iştahı, kabul edilebilir risk kadar kabul edilemez riski de açıkça yazmalıdır.

Risk seviyesi	Kontrol kriteri	Gerekli kanıt
Düşük	Bölüm içi kontrol yeterli mi?	Standart kontrol listesi
Orta	Ek belge veya ikinci göz kontrolü gerekli mi?	Uyum kontrol kaydı
Yüksek	Komite veya yönetici onayı gerekiyor mu?	Karar tutanağı
Kritik	Faaliyet durdurulmalı veya ertelenmeli mi?	Durdurma kararı
Artık risk	Risk azaltma sonrası seviye kabul edilebilir mi?	Aksiyon kapanış formu
Tekrarlayan risk	Aynı bulgu yeniden oluşmuş mu?	Tekrar eden bulgu raporu

Risk matrisi kontrol kriterleri nasıl puanlanmalı?

Risk matrisi puanlaması sade ve tutarlı olmalıdır. Olasılık ve etki için 1–5 arası ölçek kullanılabilir; ancak her puanın açıklaması yazılı olmalıdır. “5 yüksek etki” demek yeterli değildir. Yüksek etki; güvenlik riski, yasal bildirim, satış durdurma, ciddi müşteri zararı, yüksek otorite riski veya yönetim kararı gerektiren durumlarla tanımlanmalıdır.

Risk Puanlama Talimatı içinde en az şu kriterler yer almalıdır: insan sağlığı ve güvenliği etkisi, mevzuata aykırılık ihtimali, finansal etki, operasyonel kesinti, müşteri etkisi, tedarikçi kaynaklı tekrar riski, dijital güvenlik etkisi ve itibar etkisi. Ürün bazlı mevzuat maddeleri ayrı dosyada değerlendirilebilir; risk matrisi ise bu maddelerin şirkette doğurduğu karar seviyesini ölçmelidir.

Örneğin test raporu eksikliği düşük risk değildir; ürün grubu ve pazara göre yüksek veya kritik risk olabilir. Dijital unsurlu bir üründe güvenlik güncelleme süreci yoksa risk seviyesi yalnız “bilgi teknolojileri eksikliği” olarak görülemez. Yapay zekâ fonksiyonu bulunan bir sistemde risk yönetim kaydı yoksa bu durum ayrı bir risk tetikleyicisi olmalıdır.

Kontrol listesi risk iştahına göre nasıl ayrılmalı?

Risk Bazlı Kontrol Listesi, her dosyaya aynı yoğunlukta uygulanmamalıdır. Düşük riskli dosyada ürün tanımı, tedarikçi beyanı ve hedef pazar kontrolü yeterli olabilir. Orta riskli dosyada test raporu, etiket, kullanım talimatı ve ürün modeli eşleşmesi aranmalıdır. Yüksek riskli dosyada mevzuat etki analizi, yönetim onayı, aksiyon planı ve kapanış kanıtı bulunmalıdır.

Kontrol listesinde “uygun” veya “uygun değil” kutusu tek başına yeterli değildir. Her kritik sorunun yanında belge adı, belge tarihi, kontrol eden kişi, karar sonucu, açık aksiyon ve son tarih alanı bulunmalıdır. Kontrol listesi, işaretleme formu değil, karar kaydı üretmelidir.

Uygulama örneği olarak yeni tedarikçiden gelen elektrikli ve dijital unsurlu bir ürün, düşük riskli standart satın alma dosyası gibi ilerlememelidir. Ürün tanımı, test raporu, yazılım güncelleme bilgisi, tedarikçi teknik desteği, müşteri şikayet yönetimi ve satış sonrası güvenlik bildirimi ayrı kontrol alanları olarak açılmalıdır.

İç denetim planı risk matrisi kontrol kriterleri için neyi test etmeli?

İç denetim planı, risk matrisinin varlığını değil uygulamadaki doğruluğunu test etmelidir. Denetim sorusu şu olmalıdır: Yüksek risk gerçekten yüksek risk olarak sınıflandırıldı mı, risk iştahı eşiği aşıldığında yönetim onayı alındı mı, aksiyonlar zamanında kapatıldı mı ve artık risk kabul kararı yazılı mı?

İç Denetim Planı şu alanları içermelidir: denetim dönemi, süreç evreni, örneklem kriteri, risk sınıfı, test edilen kontrol, kanıt kaynağı, bulgu seviyesi, aksiyon sahibi ve kapanış tarihi. Örneğin “son 12 ayda yüksek veya kritik risk olarak açılan 40 dosyadan 12 dosya test edildi” ifadesi denetim yöntemini görünür kılar.

Denetimde pratik akış genellikle şöyledir: İç denetçi önce risk matrisinden yüksek ve kritik dosyaları seçer. Sonra her dosyada risk değerlendirme formu, kontrol listesi, komite kararı, yönetim onayı, açık aksiyon ve kapanış kanıtını inceler. Risk iştahı dışında kalması gereken bir dosya bölüm içinde kapatılmışsa bulgu açılır. Bu yöntem, risk bazlı yönetimin sunumda değil dosya üzerinde çalışıp çalışmadığını gösterir.

Örneklem kaydı hangi dosyaları önceliklendirmeli?

Örneklem kaydı, risk bazlı uyum yönetiminin iç denetimdeki en önemli belgelerinden biridir. Örneklem yalnız kolay kapanmış veya eksiksiz dosyalardan seçilirse güvence değeri düşer. Risk bazlı örneklem yaklaşımı, zor ve etkisi yüksek dosyalara öncelik vermelidir.

Örneklem Kaydı içinde evren tanımı, seçim gerekçesi, risk sınıfı, dosya sahibi, test edilen kontrol, bulgu sonucu ve kapanış durumu yer almalıdır. Öncelikli örneklem alanları şunlardır: yüksek riskli ürün dosyaları, yeni tedarikçiler, yeni pazar açılışları, ciddi müşteri şikayetleri, test raporu reddedilen dosyalar, dijital unsurlu ürünler, yapay zekâ fonksiyonu içeren sistemler ve mevzuat değişikliğinden etkilenen ürün aileleri.

İyi bir örneklem, sürecin en düzgün dosyalarını değil gerçek risk temasını gösterir. Gecikmiş aksiyonlar, risk iştahı sınırına yaklaşmış dosyalar, komiteye çıkması gerekirken çıkmamış kararlar ve tekrar eden bulgular mutlaka test edilmelidir. Örneklem kaydı, denetçinin neden o dosyayı seçtiğini açıklamalıdır.

Bulgu sınıflandırması risk iştahıyla nasıl uyumlu olmalı?

Bulgu sınıflandırması, risk iştahı ile aynı karar mantığına bağlanmalıdır. Her eksiklik aynı seviyede raporlanırsa yönetim raporu kalabalıklaşır ve kritik riskler görünmez hale gelir. Bu nedenle Bulgu Sınıflandırma Rehberi, kritik, yüksek, orta ve düşük bulgu tanımlarını risk etkisine göre belirlemelidir.

Kritik bulgu; risk iştahı dışında kalan bir riskin yönetim onayı olmadan kabul edilmesi, güvenlik kanıtı olmayan ürünün satışa açılması, yasal bildirim gerektiren olayın raporlanmaması veya yüksek riskli yapay zekâ sistemi için risk yönetim kaydının bulunmaması gibi durumlarda kullanılmalıdır. Yüksek bulgu; risk matrisinde yanlış sınıflandırma, test raporu–ürün eşleşme hatası, açık aksiyonun gecikmesi veya komite kararının eksikliği için uygundur.

Economic operators shall place or make available on the market only safe products.

Regulation (EU) 2023/988, Article 5

GPSR’deki güvenli ürün yükümlülüğü, güvenlik kanıtı eksikliğinin neden kritik bulguya dönüşebileceğini açıklar. Böyle bir eksiklik yalnız belge düzeni sorunu değildir; pazara arz kararının hukuki temelini zayıflatabilir.

GPSR, ESPR, AI Act ve CRA risk matrisine nasıl bağlanmalı?

Risk matrisi kontrol kriterleri, GPSR, ESPR, AI Act ve CRA metinlerini puan tablosuna doğrudan kopyalamamalıdır. Daha doğru yöntem, her düzenlemeyi risk tetikleyicisine, kanıt belgesine ve karar eşiğine çevirmektir. Böylece mevzuat takibi teknik dosyada kalmaz; risk matrisi, iç denetim ve yönetim raporuna bağlanır.

GPSR için risk tetikleyicisi güvenli ürün kanıtıdır. ESPR (Ecodesign for Sustainable Products Regulation / Sürdürülebilir Ürünler İçin Eko Tasarım Tüzüğü) için ürün verisi, sürdürülebilirlik bilgisi ve dijital ürün pasaportu hazırlığı ayrı risk alanıdır. AI Act (Artificial Intelligence Act / Yapay Zekâ Tüzüğü) için yüksek riskli yapay zekâ sistemi olasılığı ve risk yönetim kaydı kontrol edilmelidir. CRA (Cyber Resilience Act / Siber Dayanıklılık Tüzüğü) için dijital unsurlu ürünlerde güvenlik güncellemesi, zafiyet bildirimi ve tedarikçi teknik destek kanıtı risk matrisine girmelidir.

The information requirements shall provide that products can only be placed on the market or put into service if a digital product passport is available in accordance with the applicable delegated acts adopted pursuant to Article 4 and with Articles 10 and 11.

Regulation (EU) 2024/1781, Article 9

ESPR tarafındaki bu hüküm, ürün verisi eksikliğinin risk matrisinde ayrı tetikleyici olmasını gerektirir. Ürün verisi sahibinin belli olmaması, tedarikçi verisinin alınamaması veya ürün ailesiyle veri eşleşmesinin yapılamaması risk seviyesini artırabilir.

A risk management system shall be established, implemented, documented and maintained in relation to high-risk AI systems.

Regulation (EU) 2024/1689, Article 9

AI Act bakımından kontrol kriteri doğrudan risk yönetim sisteminin belgelenmesine bağlanır. Yüksek riskli sistem için risk kaydı, sorumlu rol, güncelleme süreci ve kapanış kanıtı yoksa risk matrisi düşük seviyede kapatılamaz.

The CRA entered into force on 10 December 2024. The main obligations introduced by the Act will apply from 11 December 2027, with reporting obligations to apply as of 11 September 2026.

European Commission, Cyber Resilience Act

CRA geçiş takvimi, 2026 iç denetim planında hazırlık kontrollerinin bulunmasını gerektirir. Dijital unsurlu ürün envanteri, güvenlik güncelleme süreci, zafiyet bildirimi ve tedarikçi teknik destek kanıtı risk matrisi içinde izlenmelidir.

Risk iştahı yönetim raporuna nasıl taşınmalı?

Risk iştahı yalnız politika dosyasında kalmamalıdır. Yönetim raporu, risk iştahı sınırına yaklaşan veya bu sınırı aşan dosyaları açıkça göstermelidir. Yönetimin görmesi gereken bilgi tüm kontrol listesi değil; karar gerektiren riskler, geciken aksiyonlar ve kabul edilemez artık risklerdir.

Risk Yönetim Raporu içinde açık yüksek risk sayısı, kritik risk dosyaları, risk iştahı dışında kalan kararlar, geciken aksiyonlar, tekrar eden bulgular, satış durdurma veya lansman erteleme kararları, tedarikçi blokajları ve mevzuat geçiş tarihleri bulunmalıdır. Her satırda risk etkisi, önerilen karar, aksiyon sahibi ve kapanış tarihi yer almalıdır.

Yönetim raporu şu soruya cevap vermelidir: Şirket kabul edilebilir risk sınırını aşıyor mu? Cevap evetse risk azaltma, faaliyet durdurma, ek bütçe, tedarikçi değiştirme, satış erteleme veya teknik dosya tamamlama kararı alınmalıdır. Risk iştahı, yönetim raporunda karar eşiğine dönüşmediği sürece operasyonel değer üretmez.

Risk matrisi kontrol kriterleri için kapanış kontrolü nasıl yapılmalı?

Kapanış kontrolü, riskin yalnız aksiyon atanarak değil kanıtla kapatıldığını göstermelidir. Aksiyon Kapanış Formu içinde ilk risk seviyesi, alınan önlem, sorumlu kişi, tamamlanma tarihi, doğrulama kanıtı, artık risk seviyesi ve kabul kararı bulunmalıdır. Artık risk şirketin risk iştahı dışında kalıyorsa dosya kapatılamaz.

İç denetim kapanış testinde yalnız “aksiyon tamamlandı” ifadesine güvenmemelidir. Test raporu yenilendi mi, tedarikçi beyanı düzeltildi mi, satış blokajı kaldırıldı mı, dijital güvenlik süreci tanımlandı mı, komite kararı alındı mı, yönetim onayı var mı? Kapanışın belgeyle doğrulanması gerekir.

Risk matrisi kontrol kriterleri için son kontrol şu zinciri izlemelidir: risk tanımı, puanlama gerekçesi, risk iştahı eşiği, kontrol listesi, örneklem testi, bulgu sınıflandırması, aksiyon kapanışı ve yönetim raporu. Bu zincir eksiksiz kurulursa risk bazlı uyum yönetimi yalnız prosedür olarak değil, denetlenebilir karar sistemi olarak çalışır.

Sıkça Sorulan Sorular

Risk matrisi kontrol kriterleri neyi ölçmelidir?

Risk matrisi kontrol kriterleri, riskin doğru tanımlanıp tanımlanmadığını, olasılık ve etki puanının gerekçesini, risk iştahı eşiğinin uygulanıp uygulanmadığını ve aksiyonun hangi kanıtla kapatıldığını ölçmelidir. Matris yalnız renkli tablo değil, karar ve denetim aracıdır.

Risk iştahı risk matrisiyle nasıl bağlanır?

Risk iştahı, risk matrisindeki hangi seviyenin kabul edilebilir, hangi seviyenin yönetim onayı gerektiren veya durdurulması gereken risk olduğunu belirler. Yazılı eşik yoksa yüksek riskin kim tarafından kabul edileceği uygulamada belirsiz kalır.

İç denetim risk matrisi için hangi örneklemi seçmelidir?

İç denetim yüksek ve kritik riskli dosyaları, gecikmiş aksiyonları, yeni tedarikçileri, yeni pazarları, test raporu reddedilen dosyaları ve mevzuat değişikliğinden etkilenen süreçleri seçmelidir. Örneklem kaydında seçim gerekçesi açıkça yazılmalıdır.

Bulgu sınıflandırması risk iştahına nasıl bağlanmalıdır?

Risk iştahı dışında kalan veya yönetim onayı olmadan kabul edilen riskler kritik ya da yüksek bulgu olarak sınıflandırılmalıdır. Böylece bulgu sınıflandırması yalnız belge eksikliği listesi olmaktan çıkar ve yönetimin karar alacağı risk seviyesini gösterir.

Risk matrisi tek başına denetim kanıtı sayılır mı?

Hayır. Risk matrisi; risk değerlendirme formu, kontrol listesi, örneklem kaydı, bulgu sınıflandırması, aksiyon kapanış formu ve yönetim raporuyla desteklenirse denetlenebilir kanıt üretir. Aksi halde matris yalnız yönetim sunumu olarak kalır.

Kontrol sorusu

Risk matrisi kontrol kriterleri kapsamında risk değerlendirme formu, risk matrisi, risk iştahı beyanı, iç denetim planı, örneklem kaydı, bulgu sınıflandırması, aksiyon kapanışı ve yönetim raporu aynı karar zinciri içinde izlenebilir mi?

Kaynaklar

ISO 31000:2018 Risk management — Guidelines — ISO tarafından yayımlanan uluslararası risk yönetimi standardı sayfasıdır; risk yönetimi için prensip, çerçeve ve süreç yaklaşımını açıklar.

COSO Enterprise Risk Management — Committee of Sponsoring Organizations of the Treadway Commission tarafından yayımlanan kurumsal risk yönetimi çerçevesi sayfasıdır; risk iştahı, strateji ve performans ilişkisini kurumsal yönetim düzeyinde ele alır.

ISO 37301:2021 Compliance management systems — Requirements with guidance for use — ISO tarafından yayımlanan uluslararası standart sayfasıdır; uyum yönetim sisteminin kurulması, uygulanması, değerlendirilmesi ve iyileştirilmesi için yönetim sistemi çerçevesi sunar.

Regulation (EU) 2023/988 on general product safety — 10 Mayıs 2023 tarihli AB Genel Ürün Güvenliği Tüzüğü’dür; güvenli ürün yükümlülüğü ve ekonomik operatör sorumlulukları için temel hukuk kaynağıdır.

Regulation (EU) 2024/1781 establishing a framework for the setting of ecodesign requirements for sustainable products — 13 Haziran 2024 tarihli ESPR metnidir; ürün sürdürülebilirliği, bilgi gereklilikleri ve dijital ürün pasaportu yaklaşımı için ana düzenlemedir.

Regulation (EU) 2024/1689 laying down harmonised rules on artificial intelligence — 13 Haziran 2024 tarihli AI Act metnidir; yüksek riskli yapay zekâ sistemlerinde risk yönetimi, dokümantasyon ve yaşam döngüsü yaklaşımını düzenler.

Regulation (EU) 2024/2847 on horizontal cybersecurity requirements for products with digital elements — 23 Ekim 2024 tarihli CRA metnidir; dijital unsurlu ürünlerde siber güvenlik gereklilikleri, risk değerlendirmesi ve uygunluk yükümlülüklerini belirler.

European Commission Cyber Resilience Act — Avrupa Komisyonu’nun CRA için hazırladığı resmi sayfadır; yürürlük tarihi, uygulama takvimi, raporlama yükümlülükleri ve üretici sorumlulukları hakkında kurumsal açıklama sağlar.