Risk yönetimi kurumların sınırlı finans kaynaklarının en etkin ve faydalı şekilde kullanılmasını ve bilgiye dayalı karar vermeyi desteklemek için oluşturulmuş bir yönetimdir (Gök ve Balcı, 2006).

Risk yönetimi, problem haline gelmeden, tehlikeye dönüşmeden önce risklerin belirlenmesi, risklerin oluşma olasılığı veya etkisini en aza indirgeyen faaliyetlerin planlanması ve yürütülmesini kapsar. Maliyet, kâr ve performans parametreleri arasında en uygun dengenin kurulmasını sağlar (Bostancı ve Demir, 2008).

Risk yönetiminin temel hedefi, karar verme mekanizmaları için riskleri görünür ve ölçülebilir hale getirmek, subjektifliği azaltmaktır.

Risk yönetiminin amacı, kurumun kararlılık içerisinde faaliyetine devamı için gerekli düzenlemeleri sağlamak ve organizasyondaki mal ve kişilerin korunması ile kurumun kazanma gücünü korumaktır. Bu sebeple de risk yönetimi, organizasyonda oluşabilecek beklenmeyen kayıpların en düşük maliyetle kontrol altına alınması için gerekli kaynakların ve faaliyetlerinin planlanması, organizasyonu, yönetilmesi ve kontrol edilmesi olarak tanımlanabilir (Emhan, 2009; Örge, 2010).

Riskin potansiyel zarar kadar fırsat da içerdiği felsefesine dayalı etkin bir risk yönetimi, dört aşamada (4T yaklaşımı) ele alınabilir (Arslan, 2008)

• Tespit: Kurumun stratejik ve operasyonel hedeflerinin analizini takiben temel risklerin tespiti, tehlikelerin belirlenmesi aşamasıdır. Belirsizlik tanımlanır, çözümlenir ve tepki verme süresi gözden geçirilir.
• Tahlil: Orta ve üst kademe yönetiminin katılımı ile workshop’lar, olasılık-etki analizleri ve anketler uygulayarak risklerin tahlili ve önceliklendirilmesi aşamasıdır. Tehlikelerden
kaynaklanan riskler değerlendirilir ve risk derecesi ya da büyüklüğü sayısallaştırılır ve kabul edilebilir risk düzeyi, eşik değer ya da risk toleransı belirlenir.
• Tedbir: Mevcut risk yönetimi seviyesinin belirlenmesi ve gerekirse yeni risk karşılama
stratejilerinin oluşturulması aşamasıdır. Risklerin önlenmesi veya en düşük seviyelere
düşürülmesi için gerekli kontrol tedbirler alınır, fırsatlar ortaya çıkarılır ve tehditlerin etkisi azaltılır.
• Takip: Risk politikaları ve prensipleri de dâhil olmak üzere şeffaf ve güvenilir risk yönetim yapısının uygulanması suretiyle risk karşılama etkinliğinin periyodik ve sistematik takibi aşamasıdır. Alınan tedbirlerin etkinliği izlenir ve sürekli hale getirilir (Arslan, 2008). 

Risk yönetimi kavramı ilk kez 1950’li yılların sonlarında Amerika Birleşik Devletleri’nde kullanılmaya başlanmıştır (Tüzün, 2002; Emhan, 2009; Örge, 2010).

Risk yönetimi iki açıdan gereklidir. Birincisi, problemlerin oluşmadan önlenerek ya
da sonuca olumsuz etkileri en aza indirgenerek performans, maliyet ve çizelgede belirlenen hedeflere ulaşmaktır. İkinci ise, büyük risklerin temel nedenlerinin belirlenerek, önleme çalışmaları ile atılım niteliğinde kazançlara ulaşmaktır (Fıkırkoca, 2003).

Risk yönetim fonksiyonunun üstlendiği faaliyetler ise şunları içermektedir (Fıkırkoca, 2003; Aydeniz,2008):
• Risk yönetiminin planlanması,
• Risklerin belirlenmesi,
• Risk politika ve stratejilerinin belirlenmesi,
• Risklerin oluşma olasılığı ve sonuca etkilerinin belirlenmesi,
• Risklerin önem derecesinin belirlenmesi,
• Risklerin incelenmesi,
• En kritik risklerin belirlenmesi,
• Risklerin temel nedenlerinin belirlenmesi,
• Stratejik ve faaliyet sürecinde risk yönetiminin yaygınlaştırılması,
• Kurum içerisinde risk kültürünün oluşturulması,
• Risklerin en aza indirgeyecek faaliyetlerin ve önlemlerin planlanması, uygulanması,
• Risk azaltma ve yönetim faaliyetlerinin etkinliğinin izlenmesi,
• Risk yönetim sisteminin sürekli iyileştirilmesi,
• Kurul ve ortaklar için risk raporlarının hazırlanması.

Risk yönetiminin yararları şu şekilde belirtilmektedir (Yılmaz, 2005):
• Sürpriz ve kayıpları en aza indirir.
• Hızlı ve etkili karar almaya yardımcı olur.
• Zaman tasarrufu sağlar.
• Kaynak israfını önler.
• Risklerin makul seviyelerde tutulmasını sağlar.
• Kişileri, yeniliklere açık olma hususunda cesaretlendirir (Derici ve diğ., 2007).
• Kaybın şiddeti ve olasılığı karşısında beklenen faydalar dikkatlice hesaplandığında, cesur ve hatta riskli eylemlerde bile bulunulabilir.
• Mevcut uygulamaların analizini sağlar.
• Kabul edilen riskleri azaltabilir.
• Uygun risk analizi, birimlerin güçlü ve zayıf taraflarının daha açık bir resmini verir (Yılmaz, 2005).

Risk yönetiminin uygulanmasında üç seviye bulunmaktadır (Yılmaz, 2005):
1. Kritik zamanlı risk yönetimi: Zorunlu olarak bilgiyi kaydetmeksizin temel risk yönetimi yöntemlerinin kullanıldığı, devamlı olarak zihinsel veya fiili durum değerlendirmesidir. Risk yönetiminin bu kritik zamanlı uygulaması, zamanın sıkışık olduğu bir durumda kararlar alınırken, riskin değerlendirilmesinde personel tarafından kullanılabilir. Bu seviyedeki risk yönetimi; eğitim ve operasyonların yürütülmesi esnasında olduğu kadar, kriz sırasındaki planlama ve uygulama safhalarında da kullanılmaktadır (Yılmaz, 2005).
2. Derinlemesine risk yönetimi: Derinlemesine risk yönetimi, sürecin tam olarak uygulanmasıdır. Tehlikeleri saptamak ve kontrolleri geliştirmek için öncelikle, tecrübeyi ve ayrıntılı yapılan teknik toplantıları kullanır. Bu yüzden grup halinde yapıldığında en etkin yoldur. Derinlemesine risk yönetim programı, yakın gelecekte tahmin edilen operasyon planlarını, standart operasyonların gözden geçirilmesini, bakım veya eğitim prosedürlerini ve zarar kontrolünü veya felaket ve afet sorunlarının planlarını içerir (Yılmaz, 2005).
3. Stratejik risk yönetimi: Sistem veya operasyonla ilişkili tehlikelerin uzun sürede farkında olmayı veya resmi test yapmayı, analiz araçlarının diyagramının kullanımını, elde edilebilir bilgi araştırmasını içeren risk değerlendirmesi ve tehlikelerin belirlenmesi süresince çok iyi düşünülerek kararın verildiği yöntemdir. Kompleks bir operasyondaki veya sistemdeki tehlikeleri ve tehlikelerle alakalı riskleri çalışmak için kullanır. Stratejik risk yönetimi, en öncelikli veya en muhtemel risklerin üzerinde kullanılmalıdır (Yılmaz, 2005).

Dışsal riskten korunma teknikleri forward, futures, swap ve opsiyon sözleşmeleri gibi türev ürünlerinin kullanımını kapsamaktadır.

KRY’ nin temel önermesi, tüm kurumların kâr amaçlı olsunlar ya da olmasınlar, ortakları için değer yaratmak üzere var olduklarıdır.

Kurumsal risk yönetimi aşağıdakileri kapsar (http-3):
• Risk iştahı ve stratejiyi birleştirme: Yönetim, stratejik alternatifleri, ilişkili hedefleri
oluştururken ve ilişkili riskleri yönetirken geliştireceği mekanizmaları oluştururken kurumun risk iştahını göz önüne almalıdır.
• Risk yanıt kararlarının geliştirilmesi: Kurumsal risk yönetimi riskten sakınılması, riskin
azaltılması, paylaşılması ve kabulü gibi alternatif risk yanıt seçenekleri arasından uygun olanın seçilmesi sağlar.
• Faaliyet istisna ve kayıplarının düşürülmesi: Kurumlar, sürprizleri ve maliyet ve kayıpları azaltarak potansiyel olaylara ve bunlara verilecek yanıtlara karşı kapasitelerini arttırırlar.
• Çoklu ve çapraz kurumsal risklerin yönetilmesi: Her kurum çeşitli departmanlarını ilgilendiren çok çeşitli risklerle karşılaşır ve kurumsal risk yönetimi bağlantılı sonuçlara etkili çözümler ve çoklu risklere bütünleşmiş çözümler üretir.
• Fırsatları ölçüleme: Yönetim potansiyel olayların hepsini dikkate alarak proaktif olarak
fırsatların gerçekleştirilmesi için çaba sarf etmelidir.
• Sermayenin geliştirilmesi: Sağlam risk bilgisinin elde edilmesi yönetime sermaye ihtiyaçlarını etkili şekilde değerlendirme ve sermaye tahsisini geliştirmeye yardım eder.

Kurumsal risk yönetiminin literatürdeki bazı özellikleri ise şunlardır (Küçük Yılmaz, 2007; Saltı, 2007):
• Bütün kurumda devam eden, kurumun tamamına yayılmış ve sürekli işleyen bir süreçtir.
• KRY’nin başlangıç noktası, her organizasyonun belirsizlik yaratan etkenlerle mücadele etmek zorunda olmasından kaynaklanır.
• Kurumun her seviyesindeki personel tarafından etkilenir.
• Strateji oluşturmada kullanılır.
• Kurumun tamamında, her seviye ve birimde ve kurum seviyesinde riskleri dikkate alır.
• Risk ve fırsatlara ilişkin daha açık ve geliştirilmiş stratejik iş kararlarının verilmesini gerektirir.
• Kurumun her seviye ve bölümünde uygulanır ve riskin kurumsal derecelerini içerir.
• Kurumu etkileyebilecek potansiyel olayları belirler ve kurumun risk iştahı oranında riskleri yönetmek için tasarlanmıştır.
• Kurumun yöneticileri ve yönetim kuruluna makul bir oranda güvence sağlar. •Olumsuz olayların gerçekleşme ihtimalini azaltır ve fırsatlardan olabildiğince yararlanarak kurum itibarının korunup geliştirilmesini amaçlar.
• Kurum hedeflerini bir veya daha fazla sayıda fakat birbiriyle örtüşen kategorilere ayırır.
• Bir veya daha fazla kategori içindeki hedefleri başarmaya yönelmiştir. Kendisi bir sonuç değildir, sonuca ulaşmak için bir araçtır.
• KRY, organizasyonlarda ortaya çıkan belirsizlikleri en etkili biçimde yönetme becerilerini geliştirir.
• KRY, tek bir olayla veya durumla sınırlı değildir.
• Daha etkin uygulamalarla kurumsal verimliliğin artırılmasını sağlar.
• Birbirinden farklı fakat örtüşen kategorilerle hedeflere ulaşmayı sağlar.

KRY’nin yararları ise şu şekilde belirtilmektedir (Küçük Yılmaz, 2007):
• KRY risk yönetimi açısından silo ile yönetim yaklaşımından ziyade kurumsal bir yaklaşım sunmaktadır.
• KRY kurumların risk farkındalığını ve bilgisini artırmaya olanak verir dolayısıyla kurumların en doğru kararı alma ve amaçlarını gerçekleştirebilme olasılığını artırır.
• Hazırlanan raporlar doğrultusunda risk şeffaflığı artmaktadır.
• KRY kurumların kurumsal gelişimine katkı sağlamakta ve iş performansını artırmaktadır.
• KRY, kurumların oluşumları belirleme, büyüme ve kazanç hedeflerine göre riskleri değerleme ve risk toleranslarını ayarlama kapasitesini arttırmaktadır.
• Yönetimin kaynakları daha etkin planlaması yoluyla sermaye ihtiyacının azaltılması ve sermaye tahsisini geliştirmektedir.
• Yönetime, olumlu oluşumların getirdiği avantajları belirlemekte ve yakalamakta daha hızlı ve verimli olması için destek sağlamaktadır.
• KRY organizasyonların potansiyel olumsuz oluşumları tanımasına, riskleri değerlemesine ve gerekli tepkileri oluşturmasına yardım etmekte ve bu yolla beklenmedik durumlardan kaynaklanan maliyetleri ve kayıpları engellemektedir.
• Makul ve ilgili kurum içi ve dışı bilgilerin, vaktinde hazırlanması sağlamaktadır.
• Yasa ve düzenlemelere uygunluğun güven altına alınmasının desteklenmesi ve uyumsuzluk risklerinin belirlenmesini desteklemektedir.

İç ortam: Yönetim risk ile ilgili bir felsefe geliştirir ve kurumun risk iştahını belirler. İç ortam bir kurum için, risk ve kontrolün nasıl tesis edileceğini inceler. Yönetim, riski de kapsayan bir kurum felsefesi oluşturur ve kurumun risk iştahını oluşturur (Küçük Yılmaz, 2007). İç ortam, kurum çalışanları tarafından riskin nasıl algılandığına ve kontrollerin nasıl görüldüğüne temel oluşturur. Herhangi bir kurumun temel noktası personelin davranışları, uyumluluğu, ahlaki değerleri gibi ögelerden ve personelin çalıştığı ortamdan oluşur (http-1).

Kurumun faaliyet gösterdiği ortam veya kurumun kontrolü altında olmayan harici etkenlerle ile ilgili risklerdir. Örneğin; rekabet, yasalar ve düzenlemeler, hissedar ilişkileri, jeopolitik, ekonomik koşullar/endüstriyel eğilimler, terörizm, savaş, iklim ve toplumsal düzensizlik (Deloitte, 2009).

Yönetim kurulu, kurumun hedefleri ve risk algılamasıyla uyumlu risk yönetimi stratejileri ile risk  politikalarının onaylanmasından sorumludur. Yönetim kurulu, üst yönetimin gerekli süreçleri tesis ettiğini ve uygulamaları yürürlüğe koyduğunu gözetmelidir. Yönetim kurulu, risk yönetimi organizasyonunun kadro ihtiyacının belirlenmesi, bu kadrolarda çalışanların görev ve sorumluluklarının belirlenmesi,
icradan bağımsızlıklarının sağlanması, özlük haklarının belirlenmesi ve performanslarının değerlendirilmesinden sorumludur (TBB Çalışma Grubu, 2006).

Riskleri değerlendirmek ve risk azaltıcı tedbirleri geliştirmek, risk kontrol tedbirlerini planlamak ve gereksiz risk kontrollerini tespit etmekten sorumludurlar (Yılmaz, 2005).

Birinci olgunluk seviyesi, temel uygulamaları kapsamaktadır. Bu seviyede risk yönetimi sadece maddi kayıpların önlenmesine odaklanmaktadır.

Birinci seviye;
• Kurum iç kontrollerle uygunluğun sağlanması ve kayıpların önlenmesi,
• Subjektif/Kalitatif risk analizi çalışmaları,
• Beyanatlar ve yasalara uygunluğu içerir (Küçük Yılmaz, 2007).

KRY ikinci olgunluk seviyesi, genel uygulamaları kapsamaktadır. Bu seviyede risk yönetimi faaliyetleri kurum içinde birim bazında ve birime özel alanlarda gerçekleştirilir. Bu sayede kurum içinde risk yönetimi anlaşılırlığı sağlanmaya başlanmış ve olay bazlı bilgi akışı elde edilmiştir. İkinci seviye;
• Kurum içerisindeki biri bazında ve birimlere özel alanlarda risk yönetimi faaliyetleri,
• Farklı risk yönetimi süreçleri ve yapıları,
• Kurum genelinde anlık yaklaşımlar,
• Taktiksel risk yönetim uygulamaları,
• Kalitatif risk modelleri,
• Olay bazlı bilgi edinme ve iletişim,
• Risk sorumluluğu ile ilgili artan odaklanmayı içerir (Küçük Yılmaz, 2007).