Risk analizi bir rapor değil, bütçe kararıdır. Varlık, tehdit, zafiyet ve etkiyi ölçüp önceliklendiren beş adım ve tesise göre nasıl değiştiği.
Güvenlik yatırımı çoğu zaman geç ve tepkisel yapılır: bir hırsızlık olur, ertesi hafta kamera alınır; bir kavga çıkar, bir görevli daha eklenir. Risk analizi bu döngüyü kırar. Amacı, tesisin nereden ve ne kadar zarar görebileceğini olay olmadan önce ölçmek ve sınırlı bütçeyi en büyük riske yönlendirmektir.
Yöntem beş adımdan oluşur. Birinci adım varlıkların belirlenmesidir: korunacak olan insanlar (çalışan, ziyaretçi), fiziki değerler (stok, ekipman, nakit), veri (müşteri kayıtları, ticari sır) ve iş sürekliliği. İkinci adım tehditlerin listelenmesidir; hırsızlık, sabotaj, iş yeri şiddeti, yangın, doğal afet, iç kaynaklı suistimal. Üçüncü adım zafiyet tespitidir: her tehdide karşı tesisin açık noktası nedir — kontrolsüz bir arka kapı, aydınlatması olmayan bir cephe, kaydı tutulmayan ziyaretçi girişi, yıllardır değişmeyen anahtar sistemi.
Dördüncü adım önceliklendirmedir. Her risk, gerçekleşme olasılığı ile gerçekleşirse doğuracağı etki çarpılarak bir risk matrisine yerleştirilir. Düşük olasılık–yüksek etki (yangın) ile yüksek olasılık–düşük etki (küçük hırsızlık) farklı önlemler gerektirir. Beşinci adım kontrol tasarımıdır: her öncelikli risk için önleyici (bariyer, aydınlatma, erişim kontrolü), tespit edici (kamera, alarm, devriye) ve müdahale edici (protokol, tatbikat, kolluk koordinasyonu) katmanlar planlanır.
Analiz tesis tipine göre ağırlık değiştirir. Üretim tesisinde hat duruşu ve hammadde kaybı öne çıkar; erişim kontrolü ve sevkiyat denetimi ağırlıklıdır. Hastanede iş yeri şiddeti ve ilaç/narkotik güvenliği başroldedir. AVM'de kayıp önleme ve kalabalık; sitede yabancı kişi kontrolü ve otopark; enerji/altyapı tesisinde çevre güvenliği ve sabotaj. Aynı şablon her yere uygulanmaz.
Risk analizi ayrıca yasal bir zemine oturur. 6331 sayılı İş Sağlığı ve Güvenliği Kanunu kapsamında işletmelerin risk değerlendirmesi ve acil durum planı yapması zorunludur; güvenlik riskleri bu değerlendirmenin bir parçasıdır. KVKK kapsamında kamera ve ziyaretçi kayıtları için de ayrı bir veri güvenliği değerlendirmesi gerekir.
İyi bir analizin çıktısı yüz sayfalık bir dosya değil, uygulanabilir bir yol haritasıdır: hangi önlem, hangi sırayla, yaklaşık hangi maliyetle ve kim sorumlu. Plan altı ayda bir gözden geçirilir; tesis, personel ve tehdit ortamı değiştikçe güncellenir.
Ulubey Güvenlik danışmanlık çalışmasında tesisi yerinde geziyor, mevcut kayıt ve prosedürleri inceliyor, paydaşlarla görüşüyor ve risk matrisiyle birlikte önceliklendirilmiş bir eylem planı sunuyoruz. Rapor tesliminde kalmıyor, uygulamayı ve periyodik gözden geçirmeyi de takip ediyoruz.