Otellerde Risk Yönetimi Nasıl Yapılır? Risk Register, Önleme ve Erken Uyarı Sistemi

Otelcilikte kriz yönetiminin en başarılı hali, krizi iyi yönetmek değildir. Daha güçlü olan, mümkün olan krizlerin önemli bölümünü daha ortaya çıkmadan engellemek; engellenemeyenleri erken fark etmek ve ciddi bir olaya dönüşmeden müdahale edebilmektir.

Bir elektrik panosunun sürekli sigorta atması, aynı noktada tekrar eden su kaçağı, jeneratör testinde görülen düzensizlik, çalışanlara gelen phishing e-postalarının artması veya kritik bir tedarikçinin sürekli gecikmeye başlaması tek başına büyük kriz gibi görünmeyebilir. Fakat bunların her biri gelecekteki daha büyük bir problemin erken sinyali olabilir. Bu nedenle risk yönetiminin temel sorusu yalnızca şu değildir:

“Başımıza ne gelebilir?”

Asıl sorular şunlardır:

Hangi riskler bizim otelimiz için gerçekten önemli? Ne kadar olasılar? Gerçekleşirlerse etkileri ne olur? Ne kadar hızlı büyürler? Ne kadar erken fark edilebilirler? Hangi sistemlere yayılabilirler? Bugün bu risklere ne kadar hazırız?

Bu sorular sistematik biçimde cevaplandığında otelin gerçek Risk Profile’ı ortaya çıkar. Ve bu profil doğru yönetildiğinde kriz yönetimi reaktif bir fonksiyon olmaktan çıkar. Şu zincire dönüşür:

Risk Management → Prevention → Early Detection → Early Intervention → Crisis Prevention

1. Risk Yönetimi Kriz Yönetiminden Önce Başlar

Kriz yönetimi çoğu zaman olay gerçekleştikten sonra görünür hale gelir. Risk yönetimi ise olay gerçekleşmeden önce çalışır. İki sistem arasındaki fark basitçe şöyle ifade edilebilir:

• Risk Management: “Ne yanlış gidebilir ve bunun olasılığını veya etkisini nasıl azaltabiliriz?”
• Crisis Management: “Risk gerçekleşti ve ciddi bir olaya dönüştü; şimdi ne yapacağız?”

Bu nedenle kurumsal sistem şu şekilde çalışmalıdır:

Risk Identification → Assessment → Prevention → Detection → Preparedness → Response → Recovery → Learning

Risk yönetimi bu zincirin ilk savunma hattıdır.

2. Risk ile Kriz Aynı Şey Değildir

Risk henüz gerçekleşmemiş bir olasılıktır. Örneğin şunlar birer risktir:

• yangın çıkması,
• PMS’nin çökmesi,
• kritik tedarikçinin hizmet verememesi,
• veri ihlali,
• su kesintisi,
• kilit yöneticinin ani kaybı

Bu risklerden biri gerçekleştiğinde önce incident oluşabilir. Etkisi büyürse emergency veya crisis seviyesine ulaşabilir. Dolayısıyla şu zincir mümkündür:

Risk → Trigger → Incident → Escalation → Crisis

Risk yönetiminin amacı mümkün olduğunca bu zinciri erken aşamada kırmaktır.

3. Önce Otelin Risk Evrenini Görün

Risk yönetiminin ilk adımı puanlama yapmak değildir. Önce “Neleri puanlayacağız?” sorusunun cevaplanması gerekir. Bunun için otelin Risk Universe’ü oluşturulmalıdır. Modern bir otel aynı anda şunları yönetir:

• insan,
• bina,
• teknik altyapı,
• gıda,
• teknoloji,
• veri,
• para,
• tedarik zinciri,
• çalışan,
• itibar,
• hukuk,
• destinasyon

Dolayısıyla risk haritası yalnızca yangın, deprem ve sağlık acil durumundan oluşamaz.

4. Doğal Afet ve Çevresel Riskler

Bu gruba örneğin şunlar girebilir:

• deprem,
• sel,
• aşırı yağış,
• fırtına,
• aşırı sıcak,
• aşırı soğuk,
• orman yangını,
• heyelan

Buradaki önemli ayrım şudur:

Tehlikeyi önleyememek, etkisini azaltamayacağınız anlamına gelmez.

Depremi otel yönetimi önleyemez. Ama şu zincirle etkisini azaltabilir:

Yapısal Güvenlik → Ekipman Sabitleme → Tahliye → Acil Aydınlatma → Guest Accountability → Alternatif İletişim → Business Continuity

5. Yangın ve Fiziksel Tesis Riskleri

Otel yapısının özellikleri yangını kritik risklerden biri haline getirir. Risk kaynakları şunlar olabilir:

• elektrik tesisatı,
• mutfak,
• teknik odalar,
• çamaşırhane,
• ekipman arızaları,
• misafir davranışları

Risk yönetimi burada yalnızca yangın söndürme cihazlarının varlığını kontrol etmek değildir. Asıl yaklaşım şu olmalıdır:

Kaynağı Azalt → Erken Tespit Et → Yayılmayı Sınırla → Müdahaleye Hazırlan

6. Teknik Altyapı Riskleri

Bir otel görünmeyen teknik sistemlere son derece bağımlıdır. Örneğin şunlar kritik altyapı olabilir:

• elektrik,
• jeneratör,
• su,
• sıcak su,
• HVAC,
• asansör,
• yangın sistemi,
• pompa,
• kanalizasyon,
• anahtar/kilit sistemi

Teknik risk yönetiminin merkezinde Preventive Maintenance bulunur. Çünkü teknik krizlerin önemli bir bölümü tamamen sürpriz olmayabilir. Arıza öncesinde titreşim, sıcaklık, ses, performans düşüşü, alarm ve tekrarlayan küçük arıza gibi sinyaller oluşabilir.

7. Teknoloji ve Siber Riskler

Modern otelde teknoloji yalnızca ofis bilgisayarlarından ibaret değildir. Operasyon PMS, POS, booking engine, channel manager, ödeme sistemi, e-posta, Wi-Fi, cloud sistemleri ve dijital kilitler üzerinden çalışabilir. Bu nedenle tek bir siber olay şu zincire dönüşebilir:

Cyber Risk → System Outage → Operational Disruption → Data Risk → Financial Loss → Reputation Risk

Riskler departman sınırlarına saygı göstermez. Bu yüzden risk yönetimi de yalnızca departman bazlı düşünülmemelidir.

8. İnsan ve Organizasyon Riskleri

Risk yalnızca makine veya teknoloji değildir. Örneğin şunlar da ciddi riskler yaratabilir:

• kritik çalışana bağımlılık,
• yetersiz eğitim,
• yüksek turnover,
• görev ayrımı eksikliği,
• tek kişinin bildiği süreçler,
• yetki belirsizliği

Özellikle küçük bağımsız otelde Key Person Risk çok önemlidir. Bir işlemi yalnızca tek çalışan biliyorsa o çalışan organizasyon açısından bir Single Point of Failure haline gelebilir.

9. Gıda Güvenliği Riskleri

F&B bulunan işletmelerde şunlar kritik risk alanlarıdır:

• soğuk zincir,
• çapraz bulaşma,
• saklama sıcaklıkları,
• tedarikçi güvenilirliği,
• alerjen yönetimi,
• hijyen

Burada risk yönetiminin amacı yalnızca olay olduğunda müdahale etmek değil, kontrol noktalarını olaydan önce yönetmektir.

10. Tedarik Zinciri Riskleri

Bazı oteller tek tedarikçiye yüksek derecede bağımlı olabilir. Örneğin çamaşırhane, teknik bakım, internet, PMS, güvenlik, kritik gıda ürünleri ve temizlik kimyasalları tek kaynaktan geliyor olabilir. Risk sorusu şudur:

Bu tedarikçi yarın hizmet veremezse ne olur?

Cevap “operasyon durur” ise yüksek bağımlılık vardır.

11. Finansal Riskler

Risk Register yalnızca fiziksel güvenlik risklerini içermemelidir. Örneğin şunlar işletmenin devamlılığını tehdit edebilir:

• likidite yetersizliği,
• borç servisi baskısı,
• yüksek sabit maliyet,
• tek satış kanalına bağımlılık,
• büyük müşteri kaybı,
• uzun süreli operasyon kesintisi

12. İtibar Riskleri

Otelcilik güvene dayalı bir hizmet sektörüdür. Bir olay Google, OTA, sosyal medya ve haber siteleri üzerinden çok hızlı yayılabilir. Bu nedenle bazı itibar risklerinde klasik olasılık-etki değerlendirmesine ek olarak Risk Velocity özellikle önemlidir.

13. Hazır Risk Listesini Kopyalamayın

Bütün oteller için ortak risk kategorileri olabilir. Ama bütün otellerin risk profili aynı değildir. Bir resort için havuz, deniz, büyük mutfak ve yoğun F&B önemli olabilir. Şehir otelinde güvenlik, insan sirkülasyonu, internet, teknoloji ve iş sürekliliği daha kritik olabilir. Küçük butik otelde ise tek teknik personel, tek internet hattı, tek PMS ve kilit çalışan bağımlılığı daha büyük kırılganlık yaratabilir.

14. Risk Bağlama Göre Değişir

Aynı olay farklı otellerde farklı sonuç yaratır. Risk profili şu faktörlere bağlıdır:

Location + Size + Guest Profile + Seasonality + Physical Structure + Technology Dependency + Operational Model

Örneğin sezonluk bir otelde yüksek sezonun iki haftasının kaybedilmesi, düşük sezondaki aynı süreyle ekonomik olarak aynı değildir. Dolayısıyla risk skoru yalnızca olayın kendisini değil, olayın işletme bağlamındaki sonucunu ölçmelidir.

15. Küçük Otel Küçük Risk Demek Değildir

Altı odalı bir otelde iki odanın su hasarı nedeniyle satış dışı kaldığını düşünelim. Kapasite kaybı:

2 / 6 = %33,3

200 odalı otelde aynı iki odanın kaybı:

2 / 200 = %1

olur. Mutlak olay aynıdır. İşletme üzerindeki etki tamamen farklıdır. Bu nedenle:

Risk Severity Must Be Relative to Business Exposure.

16. Risk Register Nedir?

Risk Register, işletmenin önemli risklerini tanımladığı, değerlendirdiği, sorumluluk atadığı, kontrollerini belirlediği ve izlediği yaşayan yönetim kaydıdır. Basit haliyle:

Ama iyi Risk Register burada bitmez.

17. Risk Register Bir Risk Listesi Değildir

Daha olgun bir Risk Register şu soruların cevaplarını içermelidir:

Böylece şu bağlantı kurulur:

Risk Register → Prevention → Detection → Preparedness → Response → Recovery

Risk Register artık tablo değil, kriz yönetim mimarisinin başlangıç noktasıdır.

18. Probability × Impact Modeli

En temel risk değerlendirme modeli şudur:

Risk Score = Probability × Impact

Örneğin 1–5 skalasında Probability = 4 ve Impact = 5 ise:

Risk Score = 4 × 5 = 20

olur. Bu model önceliklendirme için yararlıdır. Ama yeterli değildir.

19. Neden Yalnızca Probability × Impact Yetmez?

İki riskin skoru aynı olabilir. Ama birincisi aylar içinde gelişirken, ikincisi 20 dakika içinde büyüyebilir. Bir risk çok kolay fark edilirken diğeri haftalarca gizli kalabilir. Bir risk yalnızca bir sistemi etkilerken diğeri şu zinciri oluşturabilir:

Technical → Operational → Financial → Reputation

Bu nedenle olgun risk yönetimi daha fazla boyut kullanmalıdır.

20. Risk Velocity

Velocity, risk gerçekleştiğinde ne kadar hızlı ciddi sonuca dönüşebileceğini gösterir. Örneğin:

Yavaş Velocity

Uzun vadeli nakit akışı bozulması.

Orta Velocity

Kritik tedarikçinin hizmet kalitesinin düşmesi.

Yüksek Velocity

Yangın.

Çok Yüksek Velocity

Viral sosyal medya krizi veya bazı siber olaylar.

Yüksek velocity riski için daha hızlı detection + daha hızlı escalation gerekir.

21. Detectability

Detectability şu sorudur:

Risk gerçekleşmeye veya büyümeye başladığında bunu ne kadar erken görebiliyoruz?

Örneğin jeneratör arızası düzenli testle fark edilebilir. Ama bazı veri ihlalleri uzun süre fark edilmeyebilir. Dolayısıyla düşük detectability daha güçlü monitoring gerektirir.

22. Interdependency

Bir risk başka hangi sistemleri etkiliyor? Örneğin Internet Failure yalnızca Wi-Fi problemi olmayabilir. Şunları etkileyebilir:

• PMS,
• ödeme,
• rezervasyon,
• telefon,
• cloud sistemleri,
• misafir deneyimi

Bu nedenle interdependency yüksekse riskin sistemik etkisi de büyür.

23. Preparedness

Aynı risk iki otelde aynı değildir. Birinci otelde backup var, çalışan eğitimli, Action Card mevcut, sistem test edilmiş. İkinci otelde hiçbir hazırlık yok. Olayın olasılığı aynı olsa bile işletmenin kırılganlığı aynı değildir. Bu nedenle risk değerlendirmesinde Preparedness Level ayrı bir değişken olarak görülmelidir.

24. Safety Override

Bazı riskler matematiksel skor düşük çıksa bile yüksek öncelikli kabul edilmelidir. Örneğin can güvenliği, yangın, yapısal güvenlik, ciddi sağlık olayları ve kritik veri güvenliği yalnızca Probability × Impact formülüne teslim edilmemelidir. Çünkü düşük olasılıklı ama katastrofik sonuçlu riskler vardır. Bu nedenle iyi risk sistemi şu birlikteliği kullanmalıdır:

Risk Score + Management Judgment + Safety Override

25. Owner Olmayan Risk Yönetilmez

Risk Register’ın en önemli sütunlarından biri Risk Owner alanıdır. Her kritik riskin bir sahibi olmalıdır. Örneğin:

26. Risk Owner Ne Yapar?

Risk Owner’ın görevi krizi tek başına yönetmek değildir. Görevi şunlar olabilir:

• riski izlemek,
• kontrollerin uygulanmasını sağlamak,
• hazırlık seviyesini takip etmek,
• değişiklikleri raporlamak,
• gerekli iyileştirmeleri başlatmak

Önemli ayrım:

Risk Ownership ≠ Crisis Command

Risk gerçekleşip ciddi krize dönüştüğünde Crisis Management Team devreye girer.

27. “Herkes Sorumlu” Aslında Kimse Sorumlu Demektir

Bir riskin karşısında “Management” yazması bazen yeterli değildir. Daha iyi soru şudur:

Bu riskin kontrol sisteminin çalıştığını doğrulamaktan hangi rol sorumlu?

Net sahiplik hesap verebilirlik yaratır.

28. Risk Yönetiminin En Değerli Alanı Önlemedir

Risk tanımlandıktan sonra ilk soru şu olmalıdır:

Bunun gerçekleşme olasılığını nasıl azaltabiliriz?

Bunlara Preventive Controls denebilir.

29. Preventive Control Örnekleri

Yangın

Elektrik bakımı, mutfak kontrolleri, ekipman bakımı, housekeeping kontrolleri.

Siber Risk

MFA, erişim yetkileri, güncellemeler, çalışan farkındalığı, backup.

Teknik Arıza

Preventive maintenance, periyodik test, yedek parça.

Gıda Güvenliği

Tedarikçi kontrolü, sıcaklık takibi, hijyen prosedürleri.

İnsan Riski

Cross-training, SOP, görev yedekleme.

Temel soru şu olmalıdır:

Krizi yönetmeden önce riski azaltmak için ne yapıyoruz?

30. Bakım Bir Risk Yönetim Sistemidir

Preventive maintenance yalnızca teknik departmanın maliyet kalemi değildir. Doğru kullanıldığında Risk Reduction Tool haline gelir. Örneğin jeneratör kriz sırasında çalışması gereken bir backup sistemidir. Fakat düzenli test edilmiyorsa şu durum oluşabilir:

Backup System → False Sense of Security

Bu nedenle şu zincir kurulmalıdır:

Maintenance → Test → Finding → Corrective Action → Verification

31. Tekrarlayan Arıza Normalleşmemelidir

Aynı sigorta sürekli atıyor. Her seferinde tekrar kaldırılıyor. Sistem çalışmaya devam ediyor. Bu “Problem çözüldü.” anlamına gelmez. Asıl soru şudur:

Neden sürekli atıyor?

Tekrarlayan küçük olaylar çoğu zaman sistemik zayıflığın erken sinyalidir.

32. Her Risk Önlenemez

Bazı risklerin gerçekleşmesini tamamen engellemek mümkün değildir. Bu durumda ikinci savunma hattı Detective Controls olur. Amaç olayı mümkün olduğunca erken fark etmektir.

33. Detection Örnekleri

Teknik

Alarm, sıcaklık sensörü, basınç göstergesi, bakım inspection.

Siber

Login alert, security monitoring, unusual access.

Finans

Cash variance, overdue payments, liquidity dashboard.

Operasyon

Complaint trend, incident reports, recurring defects.

Tedarik

Delivery delays, quality failure, service SLA deterioration.

34. Erken Uyarı Sistemi Nedir?

Early Warning System geleceği kesin olarak tahmin eden bir sistem değildir. Görevi normal davranıştan anlamlı sapmaları erken görünür hale getirmektir. Böylece yönetim olay büyümeden önce müdahale edebilir.

35. Early Warning Chain

Pratik sistem şöyle çalışabilir:

Signal → Detection → Threshold → Alert → Review → Action → Escalation

Sinyal vardır. Ama kimse bakmıyorsa değersizdir. Bakılıyor ama eşik yoksa yorum belirsizdir. Eşik aşılmış ama aksiyon yoksa yine işe yaramaz. Dolayısıyla erken uyarı ölçüm değil, karar sistemidir.

36. KRI Nedir?

Key Risk Indicator — KRI, riskin yükselmeye başladığını gösterebilecek ölçüdür. KPI ile aynı şey değildir.

• KPI: “Performansımız nasıl?”
• KRI: “Risk seviyemiz yükseliyor mu?”

37. Otel İçin KRI Örnekleri

38. KRI İçin Threshold Belirleyin

Ölçmek tek başına yeterli değildir. Örneğin şu gibi eşikler belirlenebilir:

• 0–2 olay = Green
• 3–4 olay = Amber
• 5+ olay = Red

Ancak eşikler her risk için işletmenin kendi verisine ve bağlamına göre oluşturulmalıdır. Amaç dekoratif dashboard değil, şu bağlantıdır:

Threshold → Action

39. Green — Amber — Red

Basit risk izleme sistemi özellikle küçük işletmelerde çok etkili olabilir.

Green

Risk normal kontrol seviyesinde.

Amber

Riskte anlamlı kötüleşme var. Ek kontrol veya yönetim ilgisi gerekli.

Red

Risk kabul edilebilir seviyenin üzerinde. Derhal aksiyon/escalation gerekli.

Bu sistem yöneticinin yüzlerce veriyi aynı anda yorumlamasını kolaylaştırır.

40. Amber Seviyesi En Değerli Bölgedir

Red seviyesinde sorun zaten büyümüş olabilir. Green seviyesinde olağan operasyon devam eder. Risk yönetiminin en değerli alanlarından biri Amber Zone olabilir. Çünkü burada işletmenin hâlâ inceleme, önleyici bakım, alternatif tedarik, eğitim ve kapasite artırma şansı vardır.

Early Warning’in amacı Red’i raporlamak değil, Amber’da müdahale etmektir.

41. Küçük Olayları Görünür Hale Getirin

Kurumsal öğrenme yalnızca büyük krizlerden başlamamalıdır. Küçük olaylar gelecekteki büyük krizin habercisi olabilir. Örneğin:

• elektrik panosunun tekrar tekrar sigorta atması,
• aynı odalarda su kaçağı,
• kartlı kilit sisteminin sık hata vermesi,
• çalışanların phishing e-postası alması

Tek tek bakıldığında küçük görünürler. Birlikte Pattern oluşturabilirler.

42. Incident Reporting Döngüsü

Basit sistem şöyle olabilir:

Olay → Kaydet → Sınıflandır → Trend Analizi → Gerekirse Escalate Et

Burada amaç çalışanlara daha fazla bürokrasi yaratmak değildir. Amaç organizasyonun unutmasını engellemektir.

43. Near Miss Nedir?

Near Miss, ciddi sonuç doğurabilecek fakat şans, zamanında fark etme veya hızlı müdahale nedeniyle sonuç doğurmamış olaydır. Örneğin elektrik panosunda aşırı ısınma fark edildi. Yangın çıkmadı. Yanlış yaklaşım “Sorun yok, yangın çıkmadı.” demektir. Doğru yaklaşım şudur:

Sistem bize ücretsiz bir uyarı verdi.

44. Near Miss En Değerli Risk Verilerinden Biridir

Gerçek kriz pahalı öğrenmedir. Near miss çok daha düşük maliyetli öğrenme fırsatıdır. Bu nedenle şu döngü kurulmalıdır:

Near Miss → Investigation → Root Cause → Corrective Action → Prevention

45. Near Miss Bildirimini Cezalandırmayın

Çalışan “Bunu bildirirsem başıma iş açılır.” diye düşünüyorsa risk görünmez hale gelir. Risk yönetimi için şu prensip daha değerlidir:

Visibility > Artificial Perfection

Hiç incident raporu olmayan işletme mutlaka risksiz değildir. Belki sadece kimse raporlamıyordur.

46. Lagging Indicator

Olay gerçekleştikten sonra ölçülen göstergedir. Örneğin:

• yangın sayısı,
• iş kazası sayısı,
• sistem kesinti süresi,
• gıda güvenliği vakası

Bunlar önemlidir. Ama geçmişi gösterir.

47. Leading Indicator

Risk oluşmadan önce sistemi gösteren ölçüdür. Örneğin:

• preventive maintenance completion,
• backup test success,
• çalışan eğitim tamamlama,
• açık kritik bakım bulguları,
• overdue corrective actions,
• tedarikçi SLA sapmaları

Risk yönetiminin amacı yalnızca “Ne oldu?” değil, “Bir şey olmak üzere mi?” sorusunu da cevaplamaktır.

48. Kontrolün Var Olması Çalıştığı Anlamına Gelmez

Risk Register’da “Backup mevcut.” yazıyor olabilir. Ama restore testi başarısızsa kontrol zayıftır. “Jeneratör mevcut.” Ama otomatik devreye girmiyorsa kontrol zayıftır. “SOP mevcut.” Ama çalışan bilmiyorsa kontrol zayıftır. Dolayısıyla:

Control Exists ≠ Control Effective

49. Kontrolü Test Edin

Her kritik kontrol için şu sorular sorulabilir:

1. Kontrol gerçekten var mı?
2. Düzenli uygulanıyor mu?
3. Son ne zaman test edildi?
4. Test sonucu başarılı mıydı?
5. Eksik varsa düzeltildi mi?
6. Düzeltme doğrulandı mı?

Bu yaklaşım risk yönetimini dokümantasyondan gerçek operasyon seviyesine taşır.

50. Kontrol Öncesi ve Sonrası Risk

Yönetim açısından yararlı bir ayrım:

Inherent Risk

Hiçbir kontrol yokmuş gibi riskin doğal seviyesi.

Residual Risk

Mevcut kontroller uygulandıktan sonra kalan risk.

Örneğin yangının doğal etkisi çok yüksek olabilir. Ama detection, suppression, maintenance, training ve evacuation kontrolleri riski azaltabilir. Fakat Residual Risk sıfır olmayabilir. Risk yönetiminin amacı her riski sıfırlamak değildir. Ama kalan riskin bilinçli biçimde kabul edilebilir seviyeye indirilmesidir.

51. Her Risk Aynı Şekilde Yönetilmez

Bir risk belirlendiğinde dört temel yaklaşım düşünülebilir.

Avoid

Risk yaratan faaliyetten kaçın.

Reduce

Olasılığı veya etkisini azalt.

Transfer

Riskin finansal veya operasyonel bölümünü sigorta/sözleşme gibi mekanizmalarla aktar.

Accept

Kalan riski bilinçli olarak kabul et.

Önemli olan:

Risk Acceptance ≠ Risk Ignorance

Riskin varlığından habersiz olmakla, değerlendirip bilinçli kabul etmek aynı şey değildir.

52. Risk Register Yılda Bir Açılan Dosya Olmamalıdır

Riskler değişir. Yeni teknoloji, tedarikçi, bina, ekipman, çalışan, hizmet ve pazar koşulu yeni risk yaratabilir. Bu nedenle Risk Register düzenli gözden geçirilmelidir.

53. Hangi Durumlarda Risk Review Yapılmalı?

Risk haritası örneğin şu durumlarda yeniden değerlendirilebilir:

• periyodik yönetim toplantılarında,
• sezon öncesinde,
• büyük renovasyon sonrası,
• yeni PMS geçişinde,
• yeni tedarikçi sonrası,
• ciddi incident sonrası,
• near miss sonrası,
• büyük organizasyon değişikliğinde

54. Yönetimin Görmesi Gerekenler

Risk Dashboard çok karmaşık olmak zorunda değildir. Örneğin:

Ama dashboard’un amacı renk üretmek değil, karar üretmektir.

55. Top Risk Review

Yönetim toplantısında yüz riskin tamamını konuşmak yerine Top 10 Risks üzerinden odaklanılabilir. Her risk için şunlar gözden geçirilebilir:

• trend,
• kontrol durumu,
• açık aksiyon,
• owner,
• deadline

56. Risk Yönetiminde En Yaygın 20 Hata

1. Risk yönetimini yalnızca yangın ve deprem olarak görmek.
2. Başka otelin risk listesini kopyalamak.
3. Riskleri işletmenin bağlamına göre değerlendirmemek.
4. Yalnızca Probability × Impact kullanmak.
5. Risk Velocity’yi görmezden gelmek.
6. Detectability’yi değerlendirmemek.
7. Interdependency’yi görmemek.
8. Preparedness seviyesini hesaba katmamak.
9. Risk Owner atamamak.
10. “Management” diyerek sorumluluğu belirsiz bırakmak.
11. Kontrol varlığını kontrol etkinliği sanmak.
12. Backup’ı test etmemek.
13. Tekrarlayan küçük arızaları normalleştirmek.
14. Incident kayıtlarını analiz etmemek.
15. Near miss bildirimlerini önemsememek.
16. Çalışanı bildirim yaptığı için suçlamak.
17. Early Warning threshold oluşturmamak.
18. Risk Register’ı güncellememek.
19. Aksiyonlara deadline vermemek.
20. Corrective action’ın gerçekten çalıştığını doğrulamadan kapatmak.

57. 20 Risk Yönetimi Karar Kapısı

Risk sisteminizi bu sorularla test edin.

Karar Kapısı 1

Otelin Risk Universe’ü tanımlandı mı?

Karar Kapısı 2

Riskler otelin kendi bağlamına göre mi değerlendirildi?

Karar Kapısı 3

Risk Register mevcut mu?

Karar Kapısı 4

Kritik riskler önceliklendirildi mi?

Karar Kapısı 5

Probability değerlendiriliyor mu?

Karar Kapısı 6

Impact değerlendiriliyor mu?

Karar Kapısı 7

Velocity değerlendiriliyor mu?

Karar Kapısı 8

Detectability değerlendiriliyor mu?

Karar Kapısı 9

Interdependency değerlendiriliyor mu?

Karar Kapısı 10

Preparedness ölçülüyor mu?

Karar Kapısı 11

Safety Override uygulanıyor mu?

Karar Kapısı 12

Her kritik riskin Risk Owner’ı var mı?

Karar Kapısı 13

Preventive Controls tanımlandı mı?

Karar Kapısı 14

Detective Controls tanımlandı mı?

Karar Kapısı 15

KRI’lar mevcut mu?

Karar Kapısı 16

KRI threshold’ları aksiyona bağlı mı?

Karar Kapısı 17

Incident Reporting çalışıyor mu?

Karar Kapısı 18

Near Miss sistemi var mı?

Karar Kapısı 19

Corrective Actions takip ediliyor mu?

Karar Kapısı 20

Risk Register öğrenmelere göre güncelleniyor mu?

58. Risk Identification

• Risk Universe oluşturuldu.
• Doğal afet riskleri değerlendirildi.
• Yangın riskleri değerlendirildi.
• Teknik riskler değerlendirildi.
• Siber riskler değerlendirildi.
• İnsan riskleri değerlendirildi.
• Gıda güvenliği değerlendirildi.
• Tedarik riskleri değerlendirildi.
• Finansal riskler değerlendirildi.
• İtibar riskleri değerlendirildi.
• Destinasyon riskleri değerlendirildi.

59. Risk Assessment

• Probability değerlendirildi.
• Impact değerlendirildi.
• Velocity değerlendirildi.
• Detectability değerlendirildi.
• Interdependency değerlendirildi.
• Preparedness değerlendirildi.
• Safety Override kriterleri tanımlandı.
• Kritik riskler önceliklendirildi.

60. Ownership

• Her kritik riskin owner’ı var.
• Owner’ın sorumluluğu açık.
• Backup sorumluluk düşünüldü.
• Yönetim escalation sistemi var.

61. Prevention

• Preventive Controls tanımlandı.
• Preventive maintenance uygulanıyor.
• Kritik bakım takvimi var.
• Kritik kontroller test ediliyor.
• Control effectiveness değerlendiriliyor.

62. Early Warning

• KRI’lar belirlendi.
• Threshold’lar tanımlandı.
• Green/Amber/Red sistemi düşünüldü.
• Alert owner belli.
• Amber aksiyonları tanımlandı.
• Red escalation tanımlandı.

63. Incident & Near Miss

• Incident reporting sistemi var.
• Near miss kayıt sistemi var.
• Tekrarlayan olaylar analiz ediliyor.
• Trend analizi yapılıyor.
• Root Cause Analysis uygulanıyor.
• Corrective Actions açılıyor.
• Owner atanıyor.
• Deadline veriliyor.
• Kapanış doğrulanıyor.

64. Risk Review

• Risk Register düzenli gözden geçiriliyor.
• Yeni sistemlerde risk assessment yapılıyor.
• Büyük değişikliklerden sonra risk review yapılıyor.
• Incident sonrası risk skoru yeniden değerlendiriliyor.
• Near miss sonrası kontroller gözden geçiriliyor.
• Top Risks yönetime raporlanıyor.

65. Küçük Oteller İçin Yalın Risk Register

Küçük bağımsız otelin yüzlerce satırlık kurumsal risk dosyasına ihtiyacı olmayabilir. Bunun yerine gerçekten önemli 15–25 kritik risk belirlenebilir. Her biri için şunlar tanımlanabilir:

• Risk
• Trigger
• Probability
• Impact
• Owner
• Prevention
• Detection
• Backup
• Escalation
• Recovery

Gerçekten yönetilen 20 risk, kimsenin bakmadığı 500 satırlık Risk Register’dan daha değerlidir.

66. Seviye 1 — Reactive

Riskler olay gerçekleştikten sonra fark edilir. “Bir şey olursa çözeriz.” yaklaşımı hakimdir.

67. Seviye 2 — Listed

Risk listesi vardır. Ama aktif takip sınırlıdır.

68. Seviye 3 — Owned

Kritik riskler puanlanmış, önceliklendirilmiş ve owner atanmış durumdadır.

69. Seviye 4 — Controlled

Preventive ve Detective Controls çalışır. Risk yönetimi operasyona bağlanmıştır.

70. Seviye 5 — Predictive

KRI, trend, threshold ve early warning sistemi vardır. Yönetim yalnızca gerçekleşmiş olaylara bakmaz.

71. Seviye 6 — Adaptive

Incident, near miss, tatbikat, gerçek kriz ve teknolojik değişim Risk Register’ı sürekli geliştirir. Risk yönetimi yıllık rapor olmaktan çıkar.

Organizasyonun öğrenme sistemine dönüşür.

72. Sistem Nasıl Birbirine Bağlanır?

Olgun risk yönetiminin tam zinciri şöyle kurulabilir:

Risk Universe → Risk Identification → Risk Assessment → Prioritization → Risk Owner → Preventive Control → Detective Control → KRI → Threshold → Early Warning → Action → Escalation → Incident / Near Miss → Root Cause → Corrective Action → Verification → Risk Register Update → Stronger Prevention

Bu döngüde Risk Register başlangıç noktasıdır. Ama son nokta değildir. Asıl amaç riski görünür hale getirip yönetsel aksiyona dönüştürmektir.

Sonuç: Yönetim Tanımlamadığı Riski Yönetemez

Bir otelin risk yönetimindeki en büyük hata “Şimdiye kadar böyle bir şey olmadı.” cümlesidir. Geçmişte gerçekleşmemiş olması gelecekte gerçekleşmeyeceğini göstermez. Ama diğer uç da doğru değildir. Her ihtimali kriz ilan etmek ve yüzlerce riskten oluşan kullanılmaz tablolar hazırlamak da etkili risk yönetimi değildir. Doğru yaklaşım şu zincirdir:

Doğru Riski Tanımla → Bağlamı Anla → Önceliklendir → Owner Ata → Önle → İzle → Erken Sinyali Yakala → Müdahale Et → Öğren → Sistemi Güncelle

Risk Register’ın amacı işletmenin korkabileceği her şeyi listelemek değildir. Asıl amacı yönetimin dikkatini gerçekten önemli olan risklere yönlendirmektir. Bu nedenle otel risk yönetiminin ana prensibi şudur:

Risk önceliği yalnızca olasılık veya yalnızca etki ile belirlenemez; daha güçlü değerlendirme olasılık, etki, hız, fark edilebilirlik, bağımlılık ve hazırlık seviyesinin birlikteliğidir. Her otelin kriz listesi benzer olabilir; fakat her otelin gerçek risk profili farklıdır.

Ve sistemin en değerli noktası kriz çıktıktan sonra değil, krizden hemen önce ortaya çıkar. Elektrik panosu bir kez daha aşırı ısınıyor. Jeneratör testinde küçük bir problem görülüyor. Tedarikçi teslimat performansı kötüleşiyor. PMS kesintileri sıklaşıyor. Çalışanlara phishing e-postaları artıyor. Şikâyetlerde aynı konu tekrar tekrar görülüyor. Bunlar yalnızca küçük operasyon problemleri değildir. Doğru sistem açısından bunlar şunlar olabilir:

Early Warning Signals

İyi yönetilen otel bunları kriz olduktan sonra birbirine bağlamaz. Daha önce görür. Çünkü gerçek risk yönetiminin başarısı:

Kriz sırasında ne kadar iyi müdahale ettiğinizden önce, kaç krizin büyümesini daha başlamadan engellediğinizde ortaya çıkar.

Ayrıca okuyun: Otelde Finansal Kontrol Sistemi Nasıl Kurulur? Gelir Kontrolü, Kasa, Fraud ve Internal Control · Otellerde Acil Durum ve Kriz Yönetimi Nasıl Kurulur? Yangın, Deprem, Tahliye ve Crisis Management Rehberi

Not: Bu içerik genel bilgilendirme amaçlıdır; hukuki, mali veya teknik tavsiye değildir. Mevzuat ve uygulamalar zamanla değişebilir. Karar vermeden önce ilgili alanda yetkin bir uzmandan (avukat, mali müşavir, mühendis vb.) görüş alın.

Otel Yatırım Rehberi — Cilt VIII

Bu makale Otel Yatırım Rehberi — Cilt VIII: Büyüme ve Sürdürülebilirlik kapsamında ele alınan kriz risk haritası, Risk Register, Risk Owner, önleyici kontroller, incident reporting, near miss ve kurumsal öğrenme yaklaşımından geliştirilmiştir.

Cilt VIII; misafir sadakatinden kriz yönetimine, renovasyon ve CAPEX planlamasından ikinci otel, multi-property yönetimi ve sürdürülebilir otel markası kurmaya kadar otelin uzun vadeli dayanıklılığını ve büyüme kapasitesini sistem yaklaşımıyla ele alır.