Bu ayrımın pratikte önemli sonuçları vardır.
Risk yönetimi departmanı bir risk değerlendirme sistemi kurduğunda, iç denetim bu sistemin gerçekten işleyip işlemediğini inceleyebilir. Örneğin şirket, kritik tedarikçileri düzenli olarak değerlendirdiğini raporluyor olabilir. İç denetim ise değerlendirmelerin zamanında yapılıp yapılmadığını, belirlenen sorunların giderilip giderilmediğini ve kayıtların gerçeği yansıtıp yansıtmadığını test edebilir.
Peki risk yönetimi doğrudan iç denetime bağlanırsa ne olur?
İç denetim hem risk yönetimi sürecini yürütüp hem de daha sonra kendi yürüttüğü süreci denetlemek durumunda kalabilir. Bu durum bağımsızlık ve nesnellik açısından sorun yaratabilir.
Dolayısıyla risk yönetiminin iç denetimden ayrı bir yönetim işlevi olarak konumlandırılması çoğu durumda daha sağlıklıdır. İç denetimle yakın iletişim kurulmalı, fakat görevler birbirine karıştırılmamalıdır.
5. Kurumsal Risk Yönetimi Departmanı Kime Rapor Vermeli?
Büyük ve karmaşık şirketlerde kurumsal risk yönetimi işlevinin doğrudan genel müdüre, yönetim kuruluna bağlı bir risk komitesine veya uygun bir üst yönetim makamına raporlama yapması düşünülebilir. En doğru yapı, kurumun hukuki çerçevesine ve yönetişim modeline göre belirlenmelidir.
Burada iki konu birbirinden ayrılmalıdır: İdari bağlılık ve işlevsel gözetim.
Risk yöneticisi idari açıdan genel müdüre veya başka bir üst yöneticiye bağlı olabilir. Ancak önemli risklerin, yönetimin kısa vadeli ticari hedefleriyle çelişse bile, uygun bir yönetim kurulu komitesine iletilebilmesi gerekir.
Örneğin bir satış yöneticisi, yüksek gelir getiren bir müşterinin sözleşmesindeki hukuki riskleri küçümsemek isteyebilir. Risk yöneticisi bu değerlendirmeyi üst yönetime aktaramıyorsa, organizasyon şemasında bağımsız görünse bile gerçekte etkisiz kalabilir.
Bu nedenle risk yönetimi yöneticisinin görev tanımı, raporlama kanalları ve gerektiğinde üst yönetimle doğrudan iletişim kurma yetkisi açık olmalıdır.
Ayrıca risk yönetimi ekibinin yalnızca rapor hazırlayan bir birim olarak çalışması da eleştirilmelidir. Yönetim kuruluna yüzlerce sayfalık risk raporu sunulması, tek başına etkili risk yönetimi yapıldığını göstermez. Asıl mesele, rapordaki kritik bulguların kararlara nasıl yansıdığı ve alınan önlemlerin sonuçlarının takip edilip edilmediğidir.
6. Erkeklerin Stratejik, Kadınların Empatik Olduğu Görüşü Ne Kadar Doğru?
Risk yönetimi tartışmalarında bazen erkeklerin daha stratejik ve çözüm odaklı, kadınların ise daha empatik ve ilişkisel davrandığı yönünde genellemelerle karşılaşıyoruz. Bu tür ifadeler ilk bakışta ekiplerin farklı güçlü yönlerini anlamaya yardımcı olacakmış gibi görünse de bilimsel açıdan dikkatli değerlendirilmelidir.
Cinsiyete dayalı bu tür kesin yargılar, bireyler arasındaki farklılıkları göz ardı eder. Stratejik düşünme, empati, analitik beceri, iletişim ve karar verme yetenekleri yalnızca cinsiyetle açıklanamaz. Eğitim, mesleki deneyim, kişilik, çalışma ortamı, liderlik kültürü ve bireyin içinde bulunduğu koşullar da önemlidir.
Örneğin bir erkek risk yöneticisi, finansal göstergeleri çok iyi analiz etmesine rağmen çalışanların güvenlik kaygılarını yeterince dikkate almayabilir. Bir kadın yönetici ise aynı anda hem maliyetleri hem de çalışanların güvenliğini değerlendirebilir. Bunun tersi örnekler de mümkündür. Belirleyici olan kişinin cinsiyeti değil, becerileri ve karar alma yaklaşımıdır.
Bununla birlikte risk yönetiminde stratejik düşünme ile empatik yaklaşımın birlikte bulunması gerçekten değerlidir.
Bir üretim işletmesinde iş kazası riskini ele alalım. Stratejik ve çözüm odaklı yaklaşım; kaza sıklığını, maliyetleri, makine güvenliğini ve önleyici yatırımları analiz eder. Empatik ve ilişkisel yaklaşım ise çalışanların neden prosedürleri uygulamadığını, üretim baskısının güvenli davranışları nasıl etkilediğini ve çalışanların sorunları yönetime rahatça bildirip bildiremediğini araştırır.
Bu iki yaklaşım birbirinin alternatifi değildir. Veriler olmadan empati, etkili önlemler geliştirmek için yetersiz kalabilir. Çalışanların gerçek deneyimleri anlaşılmadan yapılan teknik analizler de sorunun temel nedenini kaçırabilir.
Dolayısıyla şirketler ekiplerini cinsiyete ilişkin kalıplara göre değil; analitik düşünme, iletişim, etik muhakeme, problem çözme ve iş birliği becerilerine göre geliştirmelidir. Farklı deneyimlere sahip kişilerin karar süreçlerine katılması, grup içindeki kör noktaların fark edilmesine yardımcı olabilir. Ancak çeşitlilik tek başına başarı garantisi değildir; kapsayıcı bir çalışma kültürü ve açık tartışma ortamı da gerekir.
7. Risk Yönetimi Hangi Departmanlarla Birlikte Çalışmalı?
Risk yönetiminin etkinliği, departmanlar arasındaki iş birliğine bağlıdır. Bunun için öncelikle her riskin sahibi ve risk karşısında alınacak önlemler açıkça belirlenmelidir.
Örneğin:
- Finans: Likidite, kredi, kur, faiz ve bütçe risklerini takip eder.
- Operasyon: Üretim kesintileri, kalite sorunları, iş süreçleri ve tedarik zinciri risklerini yönetir.
- İnsan kaynakları: Kritik pozisyonların boş kalması, çalışan kaybı, yetkinlik eksiklikleri ve iş gücüyle ilgili riskleri ele alır.
- Bilgi teknolojileri: Siber saldırılar, erişim yönetimi, veri kaybı ve sistem sürekliliği için kontroller geliştirir.
- Hukuk ve uyum: Mevzuat ihlalleri, sözleşmeler ve düzenleyici yükümlülüklerle ilgili riskleri değerlendirir.
- Üst yönetim: Kurumun ne ölçüde risk alabileceğine ilişkin kararları verir ve kaynak tahsis eder.
Bu modelde risk yönetimi departmanı koordinasyon ve gözetim işlevi üstlenir. Ancak günlük risklerin sahibi, ilgili işi yürüten yöneticidir.
Burada risk iştahı kavramı da önemlidir. Risk iştahı, kurumun hedeflerine ulaşmak için kabul etmeye hazır olduğu risk düzeyini ifade eder. Her riskin sıfırlanması ne mümkündür ne de ekonomik açıdan her zaman anlamlıdır. Önemli olan, hangi risklerin hangi sınırlar içinde kabul edilebileceğini belirlemek ve bu sınırların aşıldığını gösteren işaretleri takip etmektir.
Örneğin bir şirket yeni bir ürün geliştirirken belirli bir ticari başarısızlık ihtimalini kabul edebilir. Ancak çalışanların hayatını tehlikeye atan bir güvenlik eksikliğini aynı şekilde değerlendiremez. Risklerin etkisi, yasal sınırlar ve etik sorumluluklar dikkate alınarak karar verilmelidir.
8. Risk Yönetiminde Kâğıt Üzerindeki Sistem ile Gerçek Hayat Arasındaki Fark
Risk yönetimi sistemlerinin en zayıf noktalarından biri, prosedürlerin uygulanmasından çok belgelenmesine önem verilmesidir. Kurumlar risk envanterleri hazırlayabilir, risk puanları hesaplayabilir ve düzenli toplantılar yapabilir. Ancak bunlar gerçek tehlikeleri azaltmıyorsa süreç biçimsel bir faaliyete dönüşmüş demektir.
ISO 31000 risk yönetimi standardı, risk yönetiminin kurumun yönetişimi, liderliği, karar alma süreçleri ve faaliyetleriyle bütünleştirilmesini esas alır. Bu yaklaşım, risk yönetiminin yalnızca belirli dönemlerde hazırlanan raporlara indirgenmemesi gerektiğini gösterir.
Örneğin bir işletme tedarik zinciri risklerini yüksek olarak sınıflandırmış olabilir. Buna rağmen alternatif tedarikçi geliştirmiyor, kritik stok seviyelerini belirlemiyor ve tedarikçilerin mali durumlarını takip etmiyorsa risk değerlendirmesi tek başına yeterli değildir.
Benzer bir durum siber güvenlikte de görülür. Şirketin siber riskleri raporlanabilir; fakat yazılımlar güncellenmiyor, çalışanlara yönelik farkındalık çalışmaları yapılmıyor ve yedekleme sistemleri test edilmiyorsa risk yönetimi işlevini yerine getiremiyor demektir.
Risk yönetimi departmanı bir risk değerlendirme sistemi kurduğunda, iç denetim bu sistemin gerçekten işleyip işlemediğini inceleyebilir. Örneğin şirket, kritik tedarikçileri düzenli olarak değerlendirdiğini raporluyor olabilir. İç denetim ise değerlendirmelerin zamanında yapılıp yapılmadığını, belirlenen sorunların giderilip giderilmediğini ve kayıtların gerçeği yansıtıp yansıtmadığını test edebilir.
Peki risk yönetimi doğrudan iç denetime bağlanırsa ne olur?
İç denetim hem risk yönetimi sürecini yürütüp hem de daha sonra kendi yürüttüğü süreci denetlemek durumunda kalabilir. Bu durum bağımsızlık ve nesnellik açısından sorun yaratabilir.
Dolayısıyla risk yönetiminin iç denetimden ayrı bir yönetim işlevi olarak konumlandırılması çoğu durumda daha sağlıklıdır. İç denetimle yakın iletişim kurulmalı, fakat görevler birbirine karıştırılmamalıdır.
5. Kurumsal Risk Yönetimi Departmanı Kime Rapor Vermeli?
Büyük ve karmaşık şirketlerde kurumsal risk yönetimi işlevinin doğrudan genel müdüre, yönetim kuruluna bağlı bir risk komitesine veya uygun bir üst yönetim makamına raporlama yapması düşünülebilir. En doğru yapı, kurumun hukuki çerçevesine ve yönetişim modeline göre belirlenmelidir.
Burada iki konu birbirinden ayrılmalıdır: İdari bağlılık ve işlevsel gözetim.
Risk yöneticisi idari açıdan genel müdüre veya başka bir üst yöneticiye bağlı olabilir. Ancak önemli risklerin, yönetimin kısa vadeli ticari hedefleriyle çelişse bile, uygun bir yönetim kurulu komitesine iletilebilmesi gerekir.
Örneğin bir satış yöneticisi, yüksek gelir getiren bir müşterinin sözleşmesindeki hukuki riskleri küçümsemek isteyebilir. Risk yöneticisi bu değerlendirmeyi üst yönetime aktaramıyorsa, organizasyon şemasında bağımsız görünse bile gerçekte etkisiz kalabilir.
Bu nedenle risk yönetimi yöneticisinin görev tanımı, raporlama kanalları ve gerektiğinde üst yönetimle doğrudan iletişim kurma yetkisi açık olmalıdır.
Ayrıca risk yönetimi ekibinin yalnızca rapor hazırlayan bir birim olarak çalışması da eleştirilmelidir. Yönetim kuruluna yüzlerce sayfalık risk raporu sunulması, tek başına etkili risk yönetimi yapıldığını göstermez. Asıl mesele, rapordaki kritik bulguların kararlara nasıl yansıdığı ve alınan önlemlerin sonuçlarının takip edilip edilmediğidir.
6. Erkeklerin Stratejik, Kadınların Empatik Olduğu Görüşü Ne Kadar Doğru?
Risk yönetimi tartışmalarında bazen erkeklerin daha stratejik ve çözüm odaklı, kadınların ise daha empatik ve ilişkisel davrandığı yönünde genellemelerle karşılaşıyoruz. Bu tür ifadeler ilk bakışta ekiplerin farklı güçlü yönlerini anlamaya yardımcı olacakmış gibi görünse de bilimsel açıdan dikkatli değerlendirilmelidir.
Cinsiyete dayalı bu tür kesin yargılar, bireyler arasındaki farklılıkları göz ardı eder. Stratejik düşünme, empati, analitik beceri, iletişim ve karar verme yetenekleri yalnızca cinsiyetle açıklanamaz. Eğitim, mesleki deneyim, kişilik, çalışma ortamı, liderlik kültürü ve bireyin içinde bulunduğu koşullar da önemlidir.
Örneğin bir erkek risk yöneticisi, finansal göstergeleri çok iyi analiz etmesine rağmen çalışanların güvenlik kaygılarını yeterince dikkate almayabilir. Bir kadın yönetici ise aynı anda hem maliyetleri hem de çalışanların güvenliğini değerlendirebilir. Bunun tersi örnekler de mümkündür. Belirleyici olan kişinin cinsiyeti değil, becerileri ve karar alma yaklaşımıdır.
Bununla birlikte risk yönetiminde stratejik düşünme ile empatik yaklaşımın birlikte bulunması gerçekten değerlidir.
Bir üretim işletmesinde iş kazası riskini ele alalım. Stratejik ve çözüm odaklı yaklaşım; kaza sıklığını, maliyetleri, makine güvenliğini ve önleyici yatırımları analiz eder. Empatik ve ilişkisel yaklaşım ise çalışanların neden prosedürleri uygulamadığını, üretim baskısının güvenli davranışları nasıl etkilediğini ve çalışanların sorunları yönetime rahatça bildirip bildiremediğini araştırır.
Bu iki yaklaşım birbirinin alternatifi değildir. Veriler olmadan empati, etkili önlemler geliştirmek için yetersiz kalabilir. Çalışanların gerçek deneyimleri anlaşılmadan yapılan teknik analizler de sorunun temel nedenini kaçırabilir.
Dolayısıyla şirketler ekiplerini cinsiyete ilişkin kalıplara göre değil; analitik düşünme, iletişim, etik muhakeme, problem çözme ve iş birliği becerilerine göre geliştirmelidir. Farklı deneyimlere sahip kişilerin karar süreçlerine katılması, grup içindeki kör noktaların fark edilmesine yardımcı olabilir. Ancak çeşitlilik tek başına başarı garantisi değildir; kapsayıcı bir çalışma kültürü ve açık tartışma ortamı da gerekir.
7. Risk Yönetimi Hangi Departmanlarla Birlikte Çalışmalı?
Risk yönetiminin etkinliği, departmanlar arasındaki iş birliğine bağlıdır. Bunun için öncelikle her riskin sahibi ve risk karşısında alınacak önlemler açıkça belirlenmelidir.
Örneğin:
- Finans: Likidite, kredi, kur, faiz ve bütçe risklerini takip eder.
- Operasyon: Üretim kesintileri, kalite sorunları, iş süreçleri ve tedarik zinciri risklerini yönetir.
- İnsan kaynakları: Kritik pozisyonların boş kalması, çalışan kaybı, yetkinlik eksiklikleri ve iş gücüyle ilgili riskleri ele alır.
- Bilgi teknolojileri: Siber saldırılar, erişim yönetimi, veri kaybı ve sistem sürekliliği için kontroller geliştirir.
- Hukuk ve uyum: Mevzuat ihlalleri, sözleşmeler ve düzenleyici yükümlülüklerle ilgili riskleri değerlendirir.
- Üst yönetim: Kurumun ne ölçüde risk alabileceğine ilişkin kararları verir ve kaynak tahsis eder.
Bu modelde risk yönetimi departmanı koordinasyon ve gözetim işlevi üstlenir. Ancak günlük risklerin sahibi, ilgili işi yürüten yöneticidir.
Burada risk iştahı kavramı da önemlidir. Risk iştahı, kurumun hedeflerine ulaşmak için kabul etmeye hazır olduğu risk düzeyini ifade eder. Her riskin sıfırlanması ne mümkündür ne de ekonomik açıdan her zaman anlamlıdır. Önemli olan, hangi risklerin hangi sınırlar içinde kabul edilebileceğini belirlemek ve bu sınırların aşıldığını gösteren işaretleri takip etmektir.
Örneğin bir şirket yeni bir ürün geliştirirken belirli bir ticari başarısızlık ihtimalini kabul edebilir. Ancak çalışanların hayatını tehlikeye atan bir güvenlik eksikliğini aynı şekilde değerlendiremez. Risklerin etkisi, yasal sınırlar ve etik sorumluluklar dikkate alınarak karar verilmelidir.
8. Risk Yönetiminde Kâğıt Üzerindeki Sistem ile Gerçek Hayat Arasındaki Fark
Risk yönetimi sistemlerinin en zayıf noktalarından biri, prosedürlerin uygulanmasından çok belgelenmesine önem verilmesidir. Kurumlar risk envanterleri hazırlayabilir, risk puanları hesaplayabilir ve düzenli toplantılar yapabilir. Ancak bunlar gerçek tehlikeleri azaltmıyorsa süreç biçimsel bir faaliyete dönüşmüş demektir.
ISO 31000 risk yönetimi standardı, risk yönetiminin kurumun yönetişimi, liderliği, karar alma süreçleri ve faaliyetleriyle bütünleştirilmesini esas alır. Bu yaklaşım, risk yönetiminin yalnızca belirli dönemlerde hazırlanan raporlara indirgenmemesi gerektiğini gösterir.
Örneğin bir işletme tedarik zinciri risklerini yüksek olarak sınıflandırmış olabilir. Buna rağmen alternatif tedarikçi geliştirmiyor, kritik stok seviyelerini belirlemiyor ve tedarikçilerin mali durumlarını takip etmiyorsa risk değerlendirmesi tek başına yeterli değildir.
Benzer bir durum siber güvenlikte de görülür. Şirketin siber riskleri raporlanabilir; fakat yazılımlar güncellenmiyor, çalışanlara yönelik farkındalık çalışmaları yapılmıyor ve yedekleme sistemleri test edilmiyorsa risk yönetimi işlevini yerine getiremiyor demektir.