Bir önceki makalemde "Belirsizlikleri Yönetmenin Güçlü Aracı, Risk Analizi" başlığı altında, kurumların karşı karşıya oldukları riskleri nasıl belirlemeleri ve değerlendirmeleri gerektiğini ele almıştım. Yazının yayımlanmasının ardından birçok okuyucudan benzer nitelikte geri bildirimler aldım. Özellikle, "Risk analizini tamamladıktan sonra süreç nasıl devam etmeli?" sorusu öne çıktı. Aslında bu soru, risk yönetiminin en önemli noktasına işaret ediyor. Çünkü risk analizi tek başına bir amaç değil, daha kapsamlı bir yönetim sürecinin başlangıcıdır.
Bu makalede, risk analizinden sonra izlenmesi gereken adımları, kurumsal risk yönetimi bakış açısıyla değerlendirmeye çalışacağım. Ancak şunu özellikle vurgulamak isterim ki burada ele alınan hususlar da sürecin tamamını ifade etmemektedir. Risk yönetimi; sürekli izlenen, geliştirilen ve kurumsal değişimlere göre güncellenen dinamik bir yapıdır. Dolayısıyla bu yazı, risk yönetimi yolculuğunun yalnızca ikinci aşamasını ele alan bir devam yazısı niteliğindedir.
Bir kurumun karşı karşıya olduğu riskleri doğru şekilde belirlemesi önemli bir başarıdır. Ancak bu başarı, tek başına kurumu daha güvenli, daha dirençli veya daha sürdürülebilir hâle getirmez. Çünkü risk yönetiminde asıl değer, risklerin tespit edildiği anda değil; bu tespitlerin yönetsel kararlara, iş süreçlerine ve kurum kültürüne yansıtıldığı noktada ortaya çıkar.
Uygulamada ise çoğu zaman farklı bir tabloyla karşılaşılmaktadır. Aylar süren çalışmalar sonunda hazırlanan risk analizleri üst yönetime sunulmakta, gerekli onaylar alınmakta ve raporlar dosyalanarak süreç tamamlanmış kabul edilmektedir. Oysa risk analizi, kurumsal risk yönetimi yolculuğunun son durağı değil, ilk adımıdır. Raporların raflarda kaldığı bir organizasyonda riskler de yerinde durmaz; değişir, büyür ve çoğu zaman beklenmedik sonuçlar doğurur.
Son yıllarda yaşanan ekonomik dalgalanmalar, küresel tedarik zincirlerinde meydana gelen kırılmalar, siber güvenlik tehditleri, doğal afetler ve hızla değişen düzenlemeler, kurumların yalnızca mevcut risklerini değil, gelecekte karşılaşabilecekleri belirsizlikleri de yönetmelerini zorunlu hâle getirmiştir. Bu nedenle risk yönetimi artık yalnızca finans kuruluşlarının veya büyük ölçekli şirketlerin gündeminde yer alan teknik bir konu olmaktan çıkmış; tüm kurumların stratejik yönetim anlayışının ayrılmaz bir parçasına dönüşmüştür.
Uluslararası kabul gören COSO Kurumsal Risk Yönetimi (ERM) çerçevesi ile ISO 31000 Risk Yönetimi Standardı da bu bakış açısını benimsemektedir. Her iki yaklaşımın ortak noktası, risk yönetimini belirli dönemlerde hazırlanan raporlardan ibaret görmemesi; karar alma süreçlerini destekleyen, sürekli gelişen ve kurumsal hedeflerle bütünleşen dinamik bir sistem olarak ele almasıdır.
Risk analizinin tamamlanmasının ardından yapılması gereken ilk çalışma, belirlenen risklerin yeniden değerlendirilmesi ve önceliklendirilmesidir. Her risk aynı etkiye sahip değildir. Bazıları faaliyetleri kısa süreli etkilerken, bazıları kurumun mali yapısını, itibarını, hukuki yükümlülüklerini veya stratejik hedeflerini doğrudan tehdit edebilir. Bu nedenle risklerin yalnızca olasılık ve etki puanlarına göre değil, kurumun risk iştahı, stratejik öncelikleri ve faaliyet alanı dikkate alınarak ele alınması gerekir.
Bu aşamada yapılan en yaygın hatalardan biri, tüm risklere aynı düzeyde kaynak ayırmaya çalışmaktır. Oysa etkin risk yönetimi, sınırlı kaynakların en kritik alanlara yönlendirilmesini gerektirir. Yönetimin zamanı, bütçesi ve insan kaynağı sonsuz değildir. Başarılı kurumlar, her sorunu aynı anda çözmeye çalışmak yerine, en büyük etkiyi yaratacak risklere odaklanmayı tercih eder.
Öncelikler belirlendikten sonra her risk için uygun yönetim stratejisi geliştirilmelidir. Genel kabul gören yaklaşım; riskten kaçınmak, riski azaltmak, riski devretmek veya belirli koşullar altında riski kabul etmektir. Burada önemli olan, her riski ortadan kaldırmaya çalışmak değil, kurumun hedeflerine zarar vermeyecek seviyeye indirmektir. Çünkü iş dünyasında sıfır riskten söz etmek mümkün değildir. Asıl başarı, kabul edilebilir risk düzeyiyle sürdürülebilir değer üretmektir.
Bu stratejilerin uygulanabilir eylem planlarına dönüştürülmesi ise sürecin en kritik aşamalarından biridir. Hazırlanan analizlerin önemli bir bölümü, somut uygulama planlarına dönüşmediği için beklenen katkıyı sağlayamamaktadır. Her faaliyet için sorumlu kişi, tamamlanma tarihi, ihtiyaç duyulan kaynaklar ve başarı kriterleri açık biçimde belirlenmelidir. Kimin neyi, ne zaman ve hangi amaçla yapacağı net olarak tanımlanmayan planlar, zaman içinde önemini yitirir.
Türkiye'deki birçok kurumda yapılan iç denetim ve kurumsal değerlendirme çalışmalarında benzer bir durumla karşılaşılmaktadır. Riskler doğru şekilde belirlenmesine rağmen, uygulama takvimi oluşturulmadığı veya sorumluluklar açıkça paylaşılmadığı için önerilerin önemli bir bölümü hayata geçirilememektedir. Böylece risk analizi, kuruma değer üreten bir yönetim aracından çok, denetim dosyalarının bir parçası olarak kalmaktadır.
Risk yönetiminin başarısını belirleyen bir diğer unsur da kontrol mekanizmalarının etkinliğidir. Mevcut kontrollerin gerçekten riski azaltıp azaltmadığı sorgulanmalı; ihtiyaç duyulan alanlarda yeni önleyici, tespit edici ve düzeltici kontroller devreye alınmalıdır. Özellikle dijitalleşmenin hız kazandığı günümüzde teknoloji destekli kontroller, manuel uygulamalara göre çok daha etkin sonuçlar verebilmektedir.
Siber güvenlik bunun en somut örneklerinden biridir. Kurumun siber risk analizini tamamlamış olması tek başına güvenli olduğu anlamına gelmez. Çok faktörlü kimlik doğrulama sistemlerinin kullanılması, erişim yetkilerinin düzenli olarak gözden geçirilmesi, çalışanlara farkındalık eğitimleri verilmesi ve olağanüstü durum senaryolarının test edilmesi gibi uygulamalar hayata geçirilmediği sürece hazırlanan analizler teorik bir çalışma olmanın ötesine geçemez.
Etkin bir risk yönetim sisteminin vazgeçilmez unsurlarından biri de risk sahipliğinin açık şekilde tanımlanmasıdır. Her kritik riskin bir sorumlusu bulunmalıdır. Uygulamada sıkça karşılaşılan "bu herkesin sorumluluğudur" yaklaşımı, çoğu zaman "kimsenin sorumluluğu değildir" sonucunu doğurur. Oysa riskler ancak sahiplenildiğinde yönetilebilir.
Bunun yanında risk yönetimi sürekli izlenmesi gereken bir süreçtir. Ekonomik koşulların, teknolojinin ve mevzuatın hızla değiştiği günümüzde dün geçerli olan bir değerlendirme bugün yetersiz kalabilir. Bu nedenle kurumlar, risk göstergelerini düzenli olarak takip etmeli ve ortaya çıkan yeni gelişmeleri analizlerine yansıtmalıdır.
Bu noktada anahtar risk göstergeleri önemli bir erken uyarı mekanizması oluşturur. Üretimde artan hata oranları, teslimat gecikmeleri, müşteri şikâyetlerindeki yükseliş, bilgi sistemlerinde yaşanan güvenlik olayları veya finansal göstergelerdeki olumsuz değişimler, gelecekte karşılaşılabilecek daha büyük sorunların habercisi olabilir. Risk yönetiminin başarısı, bu sinyallerin ne kadar erken fark edilip yönetsel kararlara dönüştürüldüğüne bağlıdır.
Sistemin sağlıklı işleyip işlemediğinin bağımsız olarak değerlendirilmesi de büyük önem taşır. Bu noktada iç denetim faaliyetleri, riskleri yönetmekten ziyade risk yönetim sisteminin etkinliğine güvence sağlayan önemli bir fonksiyon üstlenmektedir. Böylece yönetim, yalnızca risklerin varlığını değil, alınan önlemlerin gerçekten işe yarayıp yaramadığını da objektif biçimde değerlendirme imkânı bulur.
Sonuç olarak risk analizi, kurumların geleceğini güvence altına alan önemli bir yönetim aracıdır; ancak tek başına yeterli değildir. Analizin gerçek değeri, elde edilen bulguların karar alma süreçlerine yansıması, eylem planlarının kararlılıkla uygulanması, kontrollerin sürekli geliştirilmesi ve tüm organizasyonda ortak bir risk kültürünün oluşturulmasıyla ortaya çıkar.
Belirsizliklerin yeni normal hâline geldiği günümüzde kurumların başarısı, yalnızca sahip oldukları sermaye veya teknolojiyle değil; değişimi ne kadar erken okuyabildikleri ve riskleri ne kadar etkin yönetebildikleriyle ölçülmektedir. Bu nedenle risk analizi, tamamlanıp arşive kaldırılacak bir rapor değil, kurumun geleceğine yön veren canlı bir yönetim pusulası olarak görülmelidir. Çünkü geleceği şekillendirenler, riskleri hiç yaşamayanlar değil; onları doğru zamanda doğru kararlara dönüştürebilenlerdir.
