Burak Ekşi / Baş Denetçi & Kıdemli Danışman

Artık Risk Kavramı Neden Kritik?

Risk yönetimi tartışma forumlarında ve kurumsal denetimlerde bu soruyla karşılaşma sıklığı, artık risk teriminin çoğu uzman ve uygulayıcı tarafından hâlâ farklı şekillerde yorumlandığını ortaya koyuyor. Birçok yönetici ve idari direktör, farklı risk değerlendirme safhalarının farkında olmamakta; kontroller yürürlüğe girdiğinde riskin tamamen ortadan kalktığını varsayabilmektedir.

Bilgi güvenliği ve kurumsal risk yönetiminin temel gerçeği şudur: Hiçbir güvenlik kontrolü riski mutlak sıfıra indirmez. Bu nedenle yöneticilerin ve denetçilerin karar alma masasında güvendiği asıl metrik, risk işleme faaliyetlerinden sonra organizasyonda fiilen varlığını sürdüren risktir.

Uluslararası Çerçevelerde Artık Risk Tanımları

Artık risk kavramı küresel standartlarda ve kurumsal yönetim çerçevelerinde şu şekilde tanımlanır:

• ISO/IEC 27000:2018 (Madde 3.64) ve ISO Guide 73:2009 (Madde 3.8.1.6): “Risk işlemeden (risk treatment) sonra geride kalan risk.” (Not: ISO 31000:2018 standardı bağımsız bir terim tanımı maddesi açmak yerine bu kavramı risk işleme ve izleme döngüsünün doğal bir aşaması olarak ele alır; standardın Madde 3.8 başlığı ise kontrol tanımına ayrılmıştır).
• COSO Kurumsal Risk Yönetimi (ERM): COSO çerçevesi artık riski, yönetimin risklere karşı aldığı hafifletici aksiyonlar, iç kontroller ve yönetim müdahaleleri devreye alındıktan sonra arda kalan net risk olarak nitelendirir. 2017 revizyonunda ise risk, kurumun stratejik hedefleri ve kabul edilebilir performans değişkenliği sınırları ekseninde bütünleşik bir süreç olarak değerlendirilmektedir.

Pratik yönetim diliyle ifade edersek: Artık risk, iç kontroller uygulandıktan sonra sistemde fiilen varlığını sürdüren risktir.

Burada kritik metodolojik ayrım şudur: Artık riskin organizasyondaki fiili varlığı ile yönetimin yaptığı risk ölçümünün veya tahmininin güvenilirlik düzeyi ayrı kavramlardır. Kontroller sahada uygulandığı anda nesnel bir artık risk zaten mevcuttur; denetim, test ve izleme faaliyetlerinin amacı riski var etmek değil, kağıt üstündeki risk tahmininin sahadaki gerçek durumu ne derece yansıttığını objektif kanıtlarla doğrulamaktır.

Kavramsal Sınırlar: Kurumsal Risk Yönetiminde 4 Temel Terim

Kurumsal yönetimde risk kavramları sıklıkla birbiri yerine kullanılabilmektedir. Ancak her organizasyonun benimsediği çerçeveye (ISO, COSO, BDDK, SPK vb.) ve kurumsal olgunluğuna göre bu terimlerin hiyerarşisi farklılık gösterebilmekle birlikte, genel yönetim pratiğinde şu ayrımlar öne çıkar:

1. Risk İştahı (Risk Appetite): Kuruluşun üst yönetiminin ve yönetim kurulunun, kurumsal stratejik hedeflerine ulaşırken almayı arzu ettiği ve önceden kabul ettiği genel, geniş kapsamlı risk miktarı ve türüdür (Stratejik yönetişim seviyesi).
2. Risk Toleransı (Risk Tolerance): Kuruluşun veya operasyonel birimlerin, hedeflerine ulaşırken kabul edilebilir gördüğü risk iştahından belirli ölçülebilir sapma sınırlarıdır (Taktiksel sınır).
3. Risk Kabul Kriterleri (Risk Acceptance Criteria): ISO/IEC 27001 Madde 6.1.2 ve ISO/IEC 27005 Madde 7 doğrultusunda; artık bir riskin ek bir hafifletici kontrol uygulanmaksızın kabul edilip edilemeyeceğine karar vermek üzere kurumca onaylanmış nesnel karar kurallarıdır (Operasyonel karar eşiği).
4. Artık Risk (Residual Risk): Güvenlik kontrolleri işletildikten sonra sistemde kalan fiili risk seviyesidir. Yönetimin hedefi; yapılan güvenilir risk değerlendirmeleri sonucunda artık riskin, tanımlanmış risk kabul kriterlerinin (veya tolerans sınırlarının) altında kaldığını doğrulamaktır.

Değerlendirme Riski ve Doğal Risk Kavramı

Artık riski ölçmeden önce elimizdeki ham durumu doğru analiz etmek gerekir. Ben buna literatürdeki popüler adının ötesinde değerlendirme riski demeyi tercih ediyorum; çünkü bu, böylesi bir çalışma için yetkin bir uzman (risk yöneticisi, baş denetçi veya idari direktör) tarafından yapılan ilk durum tespitini izleyen risk seviyesidir.

Metodolojik Ayrım: ISO 31000 ve COSO ERM

• COSO ERM Yaklaşımı: Doğal riski (inherent risk), yönetimin riski hafifletmek veya kontrol altına almak adına atabileceği özel aksiyonların yokluğu varsayımı altındaki risk olarak açıklar.
• ISO 31000 Yaklaşımı: Uluslararası standartlaştırma kılavuzu ISO 31000:2018, doğrudan yalın “risk” (belirsizliğin hedefler üzerindeki etkisi) tanımını kullanır. Çünkü pratik işletme gerçekliğinde hiçbir kurum mutlak bir kontrolsüzlük vakumunda faaliyet göstermez; yazılı olmayan kurallar, yönetsel alışkanlıklar ve asgari bir kontrol zemini her zaman mevcuttur.

“Artık Risk = Doğal Risk” Eşitliği Hangi Koşulda Geçerlidir?

Literatürde bazen karşılaşılan aşağıdaki eşitlik, evrensel bir kural veya doğa kanunu değil, teorik bir modelleme varsayımıdır:

$$\text{Artık Risk} = \text{Doğal Risk} \quad \text{(Yalnızca Başlangıç Analitik Modellemesinde)}$$

Bu eşitlik yalnızca şu özel varsayım altında geçerlidir: Kuruluş ilgili varlık veya sürece dair henüz hiçbir ek, özel veya özgül risk işleme tedbiri tanımlamamışsa ve mevcut temel kontrollerin etkisi analitik olarak henüz sıfır kabul ediliyorsa, başlangıç anındaki analitik referans noktası olarak kabul edilir. Gerçek hayatta hiçbir kurum tam anlamıyla sıfır kontrolle çalışamayacağından, bu eşitlik yalnızca analiz masasında ham başlangıç seviyesini temsil eden bir çıkış noktasıdır.

Risk Hesaplama Mantığı ve Metodolojik Esneklik

Risk değerlendirmesinde en yaygın kullanılan yarı-kantitatif yöntem iki temel bileşenin çarpımıdır:

$$\text{Risk Skoru} = \text{İhtimal (Olasılık)} \times \text{Sonuç (Etki / Zarar)}$$

• İhtimal (Likelihood): Bir tehdidin mevcut güvenlik zafiyetini istismar etme olasılığı veya frekansı.
• Sonuç / Etki (Impact): İstenmeyen olayın gerçekleşmesi halinde kuruluşun operasyonel sürekliliğine, finansal varlığına, itibarına veya yasal uyumuna vereceği hasar.

:::callout{type=“warning” title=“Önemli Metodolojik Uyarı: ISO 31000 Tek Bir Formülü Dayatmaz”} Yukarıdaki $\text{İhtimal} \times \text{Etki}$ formülasyonu, ISO/IEC 27005 rehberinde ve endüstri pratiğinde sıkça tercih edilen örnek bir matris yaklaşımıdır.

Ancak ISO 31000 standardı bu formülü evrensel veya tek zorunlu risk değerlendirme yöntemi olarak dikte etmez. ISO 31000 ve tamamlayıcı standardı olan ISO/IEC 31010 (Risk Değerlendirme Teknikleri); kuruluşların bağlamına göre senaryo analizi, Bayesyen ağlar, Monte Carlo simülasyonu, FMEA veya Bow-Tie gibi çok çeşitli nitel, nicel ve karma yöntemler kullanmasına tam özgürlük tanır. :::

Tolere Edilebilir Risk ve Kontrol Bozulması (Control Degradation)

Doğal ve artık risk değerlerini modelledikten sonra asıl yönetsel soru şudur: Risk yönetim mekanizmamız ne kadar iyi çalışıyor?

Genellikle riski yönetmenin her zaman onu azaltmak anlamına geldiği varsayılır. Bu çoğu zaman doğru olsa da her durum için geçerli değildir:

1. Kontrol Bozulmasını (Control Degradation) Önlemek: Halihazırda kabul edilebilir seviyede olan bir riski de aktif olarak izlemeyi seçebiliriz. Buradaki amaç riski daha fazla düşürmek değil; kontrollerin zamanla gevşemesini ve riskin ileride kontrol dışına çıkmasını engellemektir.
2. Ekonomik Uygulanabilirlik Sınırı: Belli bir aşamadan sonra bir riski bir birim daha azaltmanın maliyeti, korunacak varlığın değerini aşabilir.

Bu noktada devreye Kabul Edilebilir / Tolere Edilebilir Risk Eşiği girer:

Kabul Edilebilir Risk: Üst yönetimin risk kabul kriterleri çerçevesinde kurum bünyesinde kalmasına onay verdiği, iş hedeflerini tehdit etmeyen onaylanmış risk seviyesidir.

Kontrollerin Sahada Doğrulanması (Kağıt Üstü Sertifikasyon Yanılgısı)

Risk yönetiminde yapılan en kritik metodolojik hatalardan biri, kontrolleri yalnızca bir prosedür dokümanına yazmanın veya bir güvenlik yazılımı lisansı satın almanın riski otomatikman düşüreceğini varsaymaktır.

Kontrolün tasarlanmış olması (design existence), risk tahmininin güvenilir olduğunu ispatlamaz. Yapılan risk değerlendirmesinin sahici bir temele dayanması için kontrolün işletimsel etkinliğinin (operational effectiveness) sahada gözlemlenmesi, test edilmesi ve objektif denetim kanıtlarıyla incelenmesi şarttır. Aksi halde denetimden denetime yenilenen evraklar gerçek güvenlik seviyesini yansıtmaz ve risk tahminleri yanıltıcı olur.

5 Aşamalı Varsayımsal Senaryo Analizi: Çalışan Güvenliği Riski

Kavramların pratikte nasıl işlediğini modellemek amacıyla varsayımsal (hipotetik) bir eğitim senaryosunu inceleyelim.

(Not: Aşağıdaki tüm sayısal puanlar ve matris değerleri, metodolojiyi somutlaştırmak amacıyla kurgulanmış varsayımsal değerlerdir; her kuruluş kendi risk ölçeğini ve kriterlerini belirlemelidir).

1. Risk Tanımı ve Başlangıç Modellemesi (Varsayımsal)

• Tanımlanan Risk: Yetkili bir çalışanın art niyetli hareket ederek hassas kurumsal verileri sızdırması.
• Örnek Ölçüm Skalası: 1 (Çok Düşük) ile 5 (Çok Yüksek) arası standart 5x5 matris.
• İlk Durum Değerlendirmesi:
  • Doğal Risk İhtimali = 3 (Orta)
  • Doğal Risk Sonucu = 4 (Yüksek)
  • Başlangıçta özel bir kontrol tasarlanmadığı varsayımıyla: Başlangıç Risk Skoru = $3 \times 4 =$ 12 (Yüksek Risk).

2. Hedef Risk Kabul Seviyesinin Belirlenmesi

Üst yönetim, veri sızıntısı riskinde 1 (Çok Düşük) haricindeki hiçbir ihtimal seviyesini kabul etmeyeceğini risk kabul kriterleriyle onaylamıştır.

• Kabul Edilebilir İhtimal Eşiği: 1 (Çok Düşük)
• Kabul Edilebilir Sonuç: 4 (Yüksek) (Bir veri ihlali meydana geldiğinde kuruma doğrudan yasal ve finansal maliyetini hafifletecek harici bir mekanizma yoksa sonuç 4 kalır; yönetimin stratejisi olasılığı 1’e indirmektir).

3. İç Kontrollerin Devreye Alınması (Risk İşleme)

Kurum ISO/IEC 27001 Ek A kontrolleri doğrultusunda şu tedbirleri planlar:

1. Rol bazlı erişim kısıtlaması ve veri sızıntısı önleme (DLP) çözümü (Teknolojik kontrol).
2. Personel özlük dosyasında güvenlik teyitleri ve gizlilik taahhütnameleri (İnsan kaynakları kontrolü).
3. Düzenli bilgi güvenliği farkındalık eğitimleri (Organizasyonel kontrol).

4. Ara Değerlendirme (Kısmi Uygulama ve Doğrulama İhtiyacı)

Kontroller sisteme kurulmuş ancak sahada tam benimsenme henüz sağlanamamıştır. Bu aşamada metodolojik tutarlılık için şu iki yaklaşımdan biri benimsenir:

• Muhafazakar Yaklaşım: Kontrollerin işletimsel etkinliği henüz kanıtlanmadığı için başlangıçtaki yüksek skor ($3 \times 4 =$ 12) aynen korunur.
• Geçici Ön Tahmin Yaklaşımı: Kontrollerin kağıt üzerindeki tasarımına dayanılarak ihtimalin geçici olarak 2’ye gerilediği varsayılabilir ($2 \times 4 =$ 8 / Orta Risk). Ancak bu 8 puan, doğrulanmış bir risk skoru değil, kanıt bekleyen geçici bir tasarım tahminidir. Risk halen kabul edilebilir sınırın üzerindedir.

5. İşletimsel Etkinliğin İncelenmesi ve Yeniden Değerlendirme

6 ay sonra yapılan doğrulama denetiminde:

• DLP loglarının düzenli incelendiği, personelin farkındalık test sonuçları ve deneme simülasyonları objektif kayıtlarla analiz edilmiştir.
• Denetim bulgularının uzmanlarca kanıt temelli yeniden değerlendirilmesi (re-assessment) sonucunda ihtimal skoru 1’e (Çok Düşük) revize edilmiştir. (Buradaki puan düşüşü otomatik bir matematiksel zorunluluk değil, toplanan denetim kanıtlarının uzmanlarca değerlendirilmesi neticesinde verilen karardır).
• Sonuç: Yapılan güvenilir değerlendirmede $\text{Artık Risk Skoru (4)} \le \text{Kabul Edilebilir Eşik (4)}$ dengesi sağlanmış, risk yönetimi hedefine ulaşmıştır.

Varsayımsal Senaryo Özet Karar Matrisi

Yönetici Özeti ve Metodolojik Kapanış

İç kontrolleri yalnızca evraka yazmak veya bir yazılım satın almak risk yönetimini tamamlamaz. Kontrollerin sahada benimsendiği, düzenli izlendiği ve test edildiği objektif kanıtlarla gösterilmedikçe risk tahminleri güvenilirlik kazanamaz.

Doğal risk, zaman içinde dış çevrenin veya tehdit aktörlerinin değişmesiyle kontrollerden bağımsız olarak da farklılaşabilir. Risk yönetimi durağan bir form doldurma işlemi değil; ISO 27001 Boşluk Analizi ve sürekli iç denetim döngüleriyle beslenen canlı bir disiplindir.