Bir ülkede risk dağıtılarak değil, tek elden yönetilir. Herkesin ayrı ayrı risk çalıştığı yerde; herkes risk konuşur, kimse riski yönetmez. Bir süre önce, bütün risk kategorilerini tek çatı altında toplayan bir Ulusal Risk Yönetimi Ofisi (URYO) önerisinde bulunmuştum. Temel tez şuydu: risk; siber, afet, finans diye parçalanarak değil, genel bir risk yapılanması içinde yönetilmeli.

5 Mayıs: bir kritiklik haritası.

5 Mayıs’taki gelişme bu tezi bir kez daha gözler önüne serdi. Siber Güvenlik Kurulu ilk toplantısında 15 sektörü “kritik altyapı” ilan etti:

Dikkatli bakın: bu liste siber’in değil. Bu sektörler siber saldırı için kritik — evet. Ama aynı zamanda deprem, kuraklık, finansal sistemik kriz, tedarik kesintisi ve jeopolitik şok için de kritik.

Yani Kurul, fiilen bir ulusal kritiklik haritası üretti. Sonra onu tek bir klasöre koydu: “siber”.

Üç katmanlı gizli maliyet.

Oysa aynı kritik altyapı, sektör kritikliği ve senaryo çalışmaları; afet yönetiminden finansal istikrara kadar farklı kurumlarda, farklı merceklerle yeniden üretiliyor. Sonuç üç katmanlı bir maliyet:

URYO: iki katmanlı çözüm.

İşte URYO önerisinin çözmek istediği tam da buydu. Genel risk yapılanması iki katmanlıdır:

Kritiklik, bir riskin değil; ulusal risk envanterinin özelliğidir. Siber, afet, finans — bunlar yalnızca o envanterin mercekleridir.

Biçim / öz: kurullar kuruldu.

Biçim: kurullar kuruldu. Öz: risk hâlâ genel bir yapılanma içinde, tek elden yönetilmiyor. Risk yönetimi tek elden ve genel bir yapı içinde kurgulanmadıkça, her toplantı riskle açılır; hiçbir süreç riskle yönetilmez.