Ünite 3: Risk Yönetim Süreci

Günümüz yönetim disiplinleri, süreç ve sistem yaklaşımı ile ele alınır. Etkin bir risk yönetiminin de sistem ve süreçlere dayalı bir yaklaşımla yürütülmesi gerekir. Risk yönetiminin süreçlere dayalı bir yaklaşım ile uygulanabilmesi için süreçler tanımlı bir hale getirilmeli ve yapılandırılmalıdır. Risk yönetimi, işletmelerin kârlılık içerisinde faaliyetlerine devam etmesi için gerekli düzenlemeleri sağlamak, organizasyondaki mal ve kişilerin korunması ile işletmenin kazanma gücünü korumak; organizasyonda oluşabilecek beklenmeyen kayıpların en düşük maliyetle minimize edilmesi için gerekli olan kaynakların ve faaliyetlerin planlanması, organizasyonun yönetilmesi ve kontrol süreçlerini kapsamaktadır.

Risk Yönetim Süreci

Her kurum faaliyetlerini sürdürebilmek için iyi bir risk yönetimi ile bu olayları öngörmek, olumlu etkisi olan fırsatları kurumun lehine kullanmak, olumsuz etkisi olan riskleri ise çeşitli yöntemlerle yöneterek kurumu hedefleri doğrultusunda ilerledikleri yolda tutmak zorundadır.

Risk yönetiminin temel hedefi, karar verme mekanizmaları için riskleri görünür kılmak, ölçülebilen bir olgu haline getirmek ve kararlarda sübjektifliği azaltmaktır. Belirsizlik ortamında, geleceğe ilişkin stratejilerin belirlenmesi ve geleceğe hazır olmak risk yönetimi ile sağlanır.

Risk yönetimi, kurumun faaliyetlerinin devamlılığını korumak amacına yönelik olarak tüm riskleri bir arada dikkate alan bir süreç olarak değerlendirilmeli, bu süreç planlı ve sistematik olmalıdır.

• Risk yönetimi süreci içerisinde temel olarak şu faaliyetler yer almaktadır:
• Risk yönetim stratejisinin oluşturulması,
• Risk yönetiminin planlanması,
• Kritik gerekliliklerin belirlenmesi,
• Risklerin belirlenmesi,
• Risklerin listelenmesi,
• Risklerin ne zaman oluşacağının tahmin edilmesi,
• Öncelikli ve kritik risklerden başlayarak risklerin temel nedenlerinin belirlenmesi,
• Risklerin oluşma olasılığı ve sonuca etkilerinin belirlenmesi,
• Risklerin önem derecesinin belirlenmesi,
• Risklerin incelenmesi,
• En kritik risklerin belirlenmesi,
• Risklerin temel nedenlerinin belirlenmesi,
• Riskleri en aza indirgeyecek faaliyetlerin ve önlemlerin planlanması, uygulanması,
• Risklerin kabul edilebilir bir düzeye indirgenmesi,
• Risklerin oluşma olasılığını ve sonuca etkilerini en aza indirgemek, riskin temel nedenlerini ortadan kaldırmak için risk azaltma faaliyetlerinin planlanması,
• Risklerin problem haline dönüşmesi durumunda yürütülecek faaliyetlerin planlanması,
• Risk azaltma ve yönetim faaliyetlerinin yürütülmesi,
• Risk azaltma ve yönetim faaliyetlerinin etkinliğinin ölçülmesi ve izlenmesi,
• Etkin olmayan süreç ve faaliyetlerin iyileştirilmesi,
• Risk yönetim süreç ve faaliyetlerinin belgelenmesi,
• Risk yönetim sisteminin sürekli iyileştirilmesi,
• Risk yönetim eğitiminin verilmesi,
• Risk verilerinin ilgili karar mekanizmalarına geri bildirimi.

Risk yönetim süreci birbirine bağımlı işlem basamaklarından oluşur. Bu basamaklar ise şu şekilde sıralanmaktadır:

1. Risk stratejisinin belirlenmesi süreci

Risk yönetim sürecinin ilk aşamasında risk stratejisi belirlenmektedir . Bu aşama; amaçların açık bir şekilde belirlenmesi, anlaşılması ve belirli bir projeye ait gereksinmeler çerçevesinde risk yönetim sürecinin yapılandırılmasından oluşur.

Risk planlamanın amaçları: riski ortadan kaldırmak veya en aza indirgemek, alternatif çözümlergeliştirmek, kaçınılamayan riskler için ek maliyet ve zaman rezervi ayırmaktır.

2. Risklerin değerlendirilmesi süreci

Risk değerlendirmesinin temel amacı, tanımlanan riskleri belirlemek, risklerin ortaya çıkma olasılıklarını ve bu risklerin sebep olabileceği zararların boyutlarını tespit etmektir. Risk değerlendirme, riski kabul edilebilir düzeye indirebilmek amacıyla yapılan çalışmadır. Bu amaç doğrultusunda risk değerlendirme aşağıdaki sorulara cevap vermektedir.

• Tehlikeler nelerdir?
• Potansiyel etki ve sonuçlar nelerdir ve bunlar kabul edilebilir midir?
• Bu etki ve sonuçların meydana gelme olasılıkları nedir?
• Riskin kabul edilebilir durumunun devam ettirilebilmesi için kontrol ve koruma çalışmaları yeterli midir?

Risklerin Tanımlanması ve Belirlenmesi: Riskler tanımlanmadan ve belirlenmeden değerlendirilemez veya yönetilemez.

Risk yönetiminde, riskin tanımlanması en önemli basamaklardandır. Bu aşamada yapılacak işlemler:

• Konu analizi: Kurumun karşılaşabileceği tehlikelere neden olan dört faktör analiz edilir. Bu faktörler; insan faktörü, çevre faktörü, yönetim faktörü ve kullanılan malzeme faktörüdür.
• Tehlikelerin listelenmesi: Yapılacak faaliyetlerle ilgili yukarıdaki dört faktörden kaynaklanabilecek olası tehlikeler sıralanır.
• Tehlike sebeplerinin listelenmesi: Olası tehlikelerin nedenlerinin listelenmesidir.

Potansiyel riskler şu yöntem ve faaliyetlerle belirlenmektedir:

• Beyin fırtınası,
• Standart anketler,
• Risk listeleri ve dökümanları,
• Süreç analizi,
• Çalışma grupları,
• Görüşmeler,
• Tek tek zararların analizi,
• Program yönetiminin değerlendirilmesi,
• Dokümantasyonun gözden geçirilmesi,
• Sözleşmelerin gözden geçirilmesi,
• Geçmiş programların ve verilerin değerlendirilmesi.

Risklerin Analizi : Belirlenen risklerin oluşma olasılığı ve etkisi nicelenmeli ve derecelendirilmelidir. Risk tanımlandığında, risk yöneticileri onu değerlendirmeli yani analiz etmelidir.

Risk analiz sürecinde, her risk aşağıdaki faktörlerle analiz edilir:

• Olasılık: Riskin oluşma olasılığı,
• Etki: Risk probleme dönüştüğünde oluşturacağı kayıp,
• Zaman çerçevesi: Riskin oluşabileceği zaman aralığıdır.

Genel olarak risk analizinde nicel ve nitel olmak üzere iki temel yöntem vardır. Bunlar:

Nitel risk analizi: Tanımlanmış risklerin gerçekleşme olasılığının ve etki gücünün değerlendirdiği süreçtir.

Nicel risk analizi , geçmişten dersler alınarak daha sayısal değerlerle risklerin tehdit oranının belirlenmesi çalışmasıdır.

3. Risklerin Yönetilmesi Süreci

Risklerin değerlendirilmesi sonuçları üzerine risklerin yönetilmesi inşa edilmektedir. Bu aşamada belirlenen kantitatif riskler ve tehditler kurumun risk stratejisine göre ortadan kaldırılmaya veya azaltılamaya çalışılmaktadır.

Risk azaltma sürecinde aşağıdaki temel faaliyetler yürütülür.

• Risklere neden olabilecek temel nedenlerin belirlenmesi,
• Risklerin oluşma olasılığını ve sonuca etkisini en aza indirgeyecek önlemlerin planlanması,
• Riski en aza indirgeme faaliyetlerinin planlanması,
• Önlem planlarının hazırlanması,
• Risk azaltma planlarının hazırlanması,
• Risk azaltma planlarının uygulanmasıdır.

Riske cevap verme ve azaltma yöntemleri genelde şu başlıklar altında toplanmaktadır:

1. Riskten Kaçınma Yöntemi: Riskin ortaya çıkmasına veya artmasına sebep olan faaliyetlere başlanılmaması veya son verilmesi şeklinde riskten kaçınmak mümkündür.
2. Riski Kabullenme/Üstlenme Yöntemi: Kabullenme de bir risk yanıtlama planıdır. Tanımlanan risklerin tümüne önlem almaya çalışmak bütçeyi bir hayli zorlayabilir.
3. Riski Transfer Etme/Paylaşma Yöntemi: Riski bir başka kuruma veya kişiye devretme. Bu uygulamada risk yok edilmiş olmaz, sadece riskin sorumluluğunun başkası tarafından yüklenilmesi sağlanır.
4. Riski Azaltma/Ortadan Kaldırma/İyileştirme Yöntemi: Risk azaltma stratejisi, riskin olasılığını ya da etkisini en aza indirgeyerek, projeler ya da kurum açısından riski daha kabul edilebilir hale getirebilmek için riskin boyutlarını küçültme durumudur.
5. Riski Sigortalama Yöntemi: Kişiler veya organizasyonlar, karşılaşacakları zararın ve gelir kaybının ekonomik sonuçlarından kendilerini korumak için belli bir prim karşılığında risklerini devir etmek için tercih ettikleri pratik ve en çok kullanılan metottur.
6. Bilgi ve Araştırma: Bilgi ve araştırma, gerçek bir risk azaltma tekniği değildir, sunulan değerli bilgilerle diğer tekniklere kaynak sağlar.

4. Risk İzleme ve Kontrol Süreci

Risk izleme, tasarım ve yapılanma sürecinde yerleştirilmiş ölçümler yoluyla risk yönetimi uygulaması faaliyetinin performansını sistematik olarak değerlendirmek ve izlemek için uygulanan sürekli bir süreçtir.

Risk izleme günlük bir faaliyet olarak düşünülmeli ve sürekli yürütülmelidir. Bu faaliyet hem risklerin iyi yönetilip yönetilmediğini hem de risklerin belirlenen asgari düzeyde tutulup tutulmadığını değerlendirmek amacıyla yapılır. Bu çerçevede risk izleme faaliyetinin temel hedefleri şunlardır:

• Mevcut risk yönetiminin, politika ve süreçlerine uygun çalışılmasını denetlemek,
• Yeni riskler varsa bunları tespit etmek,
• Risklerin gerçekleşme olasılığını değerlendirmek,
• Risk azaltma çalışmalarını gözden geçirmek.

Risk kontrolü, işletme faaliyetinin akışı içerisinde risk olaylarına tepki vermek amacıyla yapılan uygulamaların risk yönetim planına uygunluğunun araştırılmasıdır.

Risk yönetimi bağlamında bütün kontrol prosedürleri aşağıdaki dört kategoriden birine girmektedir.

Önleyici kontroller: Riskin gelişmesi ve istenmeyen sonucun gerçekleşmesi olasılığını sınırlamak üzere tasarlanır.

Yönlendirici kontroller: Belirli bir sonuca ulaşılmasını sağlamak üzere tasarlanır.

Ortaya çıkarıcı kontroller: “Olaydan sonra” arzu edilmeyen sonuçların vuku bulmuş olup olmadığını belirlemeyi hedefler.

Düzeltici kontroller: Ortaya çıkmış arzulanmayan sonuçları düzeltmeyi amaçlar.

5. Risk Raporlama Süreci

Risk yönetim sürecini tamamlayan önemli adımlar olan raporlama, sistemin etkinliğini ölçmek için gerçekten çok önemlidir. Bu nedenle, risk yönetim sistemi, kurumun karşılaştığı riskleri etkin bir biçimde değerlendirebileceği ve kendi risk standartlarına uyup uymadığını görebileceği bağımsız bir raporlama sistemine sahip olmaktadır.

Risklerin raporlanmasında amaç, belirlenen, analiz edilen risklerin ve bu risklere karşı alınan önlemlerin rapor olarak sunulmasıdır. Raporlamanın görevi ilgili birimlere veya kişilere önemli riskler ve fırsatlar hakkında düzenli olarak bilgi sunmaktır. Raporun içeriği şu şekildedir:

• Risklerin belirlenmesi, analizi ve değerlendirilmesi,
• Risklere karşı alınan önlemlerin planlanması, yönetilmesi ve uygulanması,
• Risk denetiminin sonuçları.

Risk raporu kurum içerisinde yönetici, risk komitesi, yönetim ve denetleme kurulu açısından, kurum dışında ise denetim şirketleri, hissedarlar, analistler, derecelendirme şirketleri ve alacaklılar için önemlidir. Bu yüzden kurum, iç ve dış olmak üzere iki farklı risk raporlama sistemi hazırlamaktadır.

İç raporlamada bir firma içerisinde değişik birimler, risk yönetim sürecinde farklı bilgilere ihtiyaç duymakta ve kurumun, risk yönetim sürecinde onlardan olan beklentileri farklı olmaktadır. Risk raporlamasına iç raporlamaya ilişkin yönetim kurulunun ihtiyaç duyduğu bilgiler şu şeklide belirtilmektedir.

• Kurumun karşılaştığı önemli risklerin belirlenmesi,
• Beklenen performans değerlerindeki değişimin olası etkilerinin belirlenmesi,
• Riske ilişkin kurum içerisinde bilgi alma düzeyinin sağlanması,
• Kurum ile ilişkili paydaşların organizasyona olan güvenlerinin öneminin kavranılması,
• Risk yönetim sürecinin etkili bir şeklide yürütüldüğünden emin olunması,
• Risk yönetim politikasının yayınlanmasıdır.

Dış raporlama sisteminin amacı, kurum dışı bilgi akışını sağlamaktır. Dış raporlama ile paydaşlara risk konusunda düzenli bilgi aktarılmaktadır.

Risk yönetiminin resmi olarak raporlanmasına yönelik düzenlemeler, açık bir şekilde belirlenmeli ve paydaşların erişimine açık olmalıdır. Dış raporlama ise aşağıdaki konuları içermelidir:

• Yönetimin risk yöntemi konusundaki sorumlulukları,
• Risk yönetiminde kullanılan süreçler ve bunların risk yönetimi sistemleri tarafından nasıl ele alındığı,
• Önemli riskleri yönetmekte kullanılan başlıca kontrol sistemleri,
• Uygulanan izleme ve gözden geçirme sistemleri.