Oynaklık, belirsizlik, karmaşıklık ve muğlaklığın arttığı VUCA döneminde, risk yönetimi firmalarımız için en öncelikli konulardan biri haline geldi. Bu dönemde iş risklerinizi etkin bir şekilde yönetebilmeniz ve bir fırsata çevirebilmenize yardımcı olma amacıyla BURCA olarak kurumsal risk yönetimi faaliyetlerinizin etkinlik analizi gerçekleştiriyoruz.
Bu amaçla öncelikle kurumunuzdaki risk yönetimiyle ilgili mevcut tüm yapı ve aktivitelerin durumunu analiz ediyoruz. Bu çerçevede; kurumsal risk yönetimiyle ilgili organizasyonel yapılanmanız, yapılan raporlamalar, varsa riskin erken saptanması komitesi ve denetim komitesi çalışmaları, bu komitelerin yönetmelikleri, iç denetim fonksiyonunun risk yönetimine ilişkin faaliyetleri, risk yönetimiyle ilgili kullanılan teknolojiler vb. tüm faaliyetlerinizin mevcut durumu inceleyerek dünya çapında iyi uygulamalar ve uluslararası kurumsal risk yönetimi standartlarına göre boşluk analizi yapmaktayız. Kurumsal risk yönetimi organizasyonu ve süreçlerinin yapılandırılmasında ISO 31000 veya COSO Kurumsal Risk Yönetimi Çerçevesinde belirtilen ilkeleri dikkate alıyoruz. İlgili iyi uygulamalar çerçevesinde kurumsal risk yönetimi organizasyonu ve ilgili politika ve prosedürlerin oluşturulmasını sağlıyoruz.
Eğer kurumunuzda kurumsal risk yönetimi aktivitelerine başlanmış ancak, istenilen düzeyde değer sağlamadığını düşünüyorsanız benzer şekilde öncelikle mevcut durumunuz analiz ederek dünya çapındaki iyi uygulamalara göre eksik olan ya da iyileştirilmesi gereken alanları tespit ediyoruz. Tespit ettiğimiz iyileştirme alanlarıyla ilgili olarak kurumunuzun; yapısını, ihtiyaçlarını ve önceliklerini dikkate alan çözüm önerileri geliştirmekteyiz. Belirlenen aksiyon planlarının geliştirilmesinde yönetim birimlerinize yardımcı olmaktayız. Örneğin ilgili politika ve prosedürlerin gözden geçirilmesi, yazılması, risk değerlendirmelerinin yapılması gibi kurumunuz ihtiyacına uygun olacak şekilde sizlere destek oluyoruz.
Sorularınız mı var?
Kurumların, stratejik amaç ve hedeflerini gerçekleştirmelerini etkileyebilecek olay veya durumları; bütüncül bir bakış açısıyla; belirlemeleri, etki ve olasılıklarını değerlendirmeleri, önem derecelerine göre önceliklendirmeleri, risklere yönelik alınacak kararları belirlemeleri ile riskleri izleme ve raporlamalarına dayanan kapsamlı, tekrar eden ve sistematik bir süreçtir.
Etkin bir şekilde uygulanan kurumsal risk yönetimin bazı faydalarını şöyle ifade edebiliriz:
Kurumsal risk yönetimi alanında, tüm dünyada, yaygın olarak kullanılan iki çerçeve/rehber var: Biri COSO (The Committee of Sponsoring Organizations of the Treadway Commission) diğeri ise ISO (The International Oranization for Standardization) tarafından yayımlanan rehber.
COSO, 2004 yılında yayımladığı ilk çerçeveyi 2017 yılında revize ederek, COSO-Kurumsal Risk Yönetimi- Riskin Strateji ve Performansla Uyumlaştırılması (COSO-Enterprise Risk Management- Aligning Risk with Strategy and Performance) adıyla yayımlamıştır.
ISO ise, ilk olarak 2009 yılında yayımladığı rehberin ikinci versiyonunu, ISO 31000-Risk Yönetimi Rehberi (ISO 31000-Risk Management – Guidelines) adıyla, 2018 yılında güncellemiştir.
Kurumsal risk Yönetiminde bazı kritik başarı faktörleri şunlardır:
Kurumsal risk yönetiminde yapılan en önemli bazı hataların şunlar olduğu görülmektedir:
- Risk yönetiminin, risklerin listesinin çıkarılması olarak görülmesi, karar alma mekanizmalarında kullanılmaması,
- Risk yönetimin risk birimin yaptığı bir iş olarak görülmesi, yönetim birimlerinin risklerini yönetmede yeterli farkındalığının oluşmaması,
- Üst yönetimin desteğinin yetersiz olması,
- Risk yönetiminin stratejik hedeflerle uyumlu olmaması,
- Risk kültürünün oluşturulamaması,
- Risklerin dinamik yapısının göz ardı edilmesi,
- İç kontrol mekanizmalarıyla bağlantının kurulamaması,
- Raporlama eksiklikleri ve şeffaflık sorunları,
- Sadece tehditlere odaklanılması fırsatlara odaklanılmaması.
Risk yönetimi sürecini dört aşamalı olarak açıklayabiliriz.
- Risklerin Belirlenmesi: Risklerin risk çalıştayı, swot analizi ve beyin fırtınası gibi yöntemlerle tespit edilmesidir. Riskleri tespit etmeden önce, hedeflerin tespit edilmesi gerekmektedir. Belirlenen hedeflere ulaşmayı engelleyebilecek riskler belirlenmelidir.
- Risklerin değerlendirilmesi: Hedeflere ilişkin riskler belirlendikten sonra, bu risklerin etkileri ve olasılıklarının belirlenen kriterler çerçevesinde puanlayarak, riskler önceliklendirilmelidir.
- Riske yönelik alınacak kararların belirlenmesi: Risklere verilecek cevapların belirlenmesidir.
- Risklerin izlenmesi ve raporlanması: Zaman içerisinde değişen koşullara paralel olarak, risk yönetim sürecinin tüm yönleriyle izlenmesi ve gerekli kararların alınması ve değişikliklerin yapılmasıdır.
Risklere yönelik alınacak başlıca kararlar şunlardır:
- Riskten kaçınmak: Risk yönetilemeyecek kadar büyükse ve/veya faaliyet hayati öneme sahip değilse, faaliyete girmemek şeklinde riske cevap vermedir.
- Riski devretmek: Müşteriler, tedarikçiler veya sigorta şirketleri gibi üçüncü taraflarla yapılacak sözleşmeler aracılığıyla riskin veya riske maruz kalmaya neden olan faaliyetlerin bir kısmının devredilmesi ve artık riskin üstlenilmesidir.
- Riski kabul etmek: Kurumun riski üstlenmeyi daha uygun gördüğü durumdur. Alınacak önlemlerin faydası maliyetinden yüksektir. Yönetimin kontrolü dışında olan bir husustur.
- Riski azaltmak: Riskleri kabul edilebilir seviyede tutmak için, kontrol faaliyetleri aracılığıyla risklere cevap vermektir.
Bir kurumdaki kurumsal risk yönetimi olgunluk seviyesini beş seviyede değerlendirebiliriz:
- Başlangıç: Kurumda bazı gayri resmi uygulamalar mevcut ancak sorunlar reaktif olarak ele alınıyor, ad hoc yaklaşımlar var. Politika ve prosedürler ile süreçler geliştirilmemiştir.
- Gelişen: Sistemler ve süreçler mevcuttur. Bölümlerde birbirinden ayrı risk yönetimi aktiviteleri vardır. Bazı bölümler tasarım veya operasyonel yönden etkilidir. Kısmen iş operasyonlarıyla uyumlu yaklaşımlar uygulanıyordur.
- Gelişmiş: Çerçeveler ve sistemler resmi olarak kurulmuş, yerleştirilmiş ve tanınmış standartlar içindeki beklentileri karşılayacak şekilde işletiliyordur. Ancak kuruluş genelinde görünürlük yoktur.
- Entegre: Sistemler ve süreçler entegre, işbirlikçi ve geliştirilmiştir, böylece mevcut ve ortaya çıkan risklere karşı koordineli, stratejik ve verimli bir yanıt sağlanıyordur.
- Optimize edilmiş: Sistemler, süreçler ve kültür, kilit organizasyon programlarıyla entegre edilmiştir ve doğrudan stratejik önceliklerle bağlantılıdır. Yönetişim, risk yönetimi ve izleme/raporlama süreçlerini optimize etmek için teknoloji kullanılmaktadır.
Üst yönetim riskleri yönetmekten sorumludur. Bu çerçevede aşağıdakilerden sorumludur:
- Bir risk yönetimi yaklaşımı, planı veya yol haritası teşkil eden bir beyan veya politika yayımlama;
- Risk yönetimi için gerekli kaynakların tahsis edilmesini sağlama,
- Yetki, sorumluluk ve hesap verebilirliği kuruluşun uygun düzeylerine atamak.
Yönetimin liderlik ve taahhüdü, kuruluşun aşağıda belirtilenleri yapmasına yardımcı olur:
- Risk yönetimini; kuruluşun amaçları, stratejisi ve kültürüne uyarlama,
- Tüm yükümlülüklerini ve gönüllü taahhütlerini anlama ve bunları ele alma,
- Risk kriterlerinin, kuruluşa ve paydaşlarına iletilmesini temin ederek, geliştirilmesini yönlendirmek için alınabilecek ve alınamayacak risk miktarını ve türünü belirleme,
- Risk yönetiminin kuruluşa ve paydaşlarına iletilmesi,
- Risklerin sistematik olarak izlenmesini destekleme,
- Risk yönetimi çerçevesinin, kuruluşun konu bağlamı için sürekli uygun kalmasını sağlama.
Yönetim kurulu gözetim organı olarak risk yönetimini gözetmekten sorumludur.
Bu çerçevede aşağıdaki işlemlerden sorumludur:
- Kuruluşun amaçları belirlenirken, risklerin uygun bir şekilde dikkate alınmasını sağlamak,
- Kuruluşun, amaçlarını gerçekleştirmeye çalışırken karşılaşacağı riskleri anlamak,
- Riskleri yönetmeye yönelik sistemin uygulanmasını ve etkili bir şekilde işlemesini sağlamak,
- Risklerin kuruluşun amaçları bağlamında uygun olduğundan emin olmak,
- Riskler ve bunların yönetimine ilişkin bilgilerin uygun bir şekilde kuruluş geneline bildirilmesini sağlamak.