Bu nedenle risk yönetiminin başarısı, yalnızca kaç riskin kaydedildiğiyle ölçülmemelidir. Alınan önlemlerin zamanında uygulanması, kritik risklerin azaltılması, olaylardan öğrenilmesi ve iş sürekliliğinin korunması da değerlendirilmelidir.
Bir başka önemli sorun, çalışanların olumsuz haberleri yönetime iletmekten çekinmesidir. Hata bildiren kişilerin cezalandırıldığı veya sorunları dile getiren çalışanların kariyerlerinin zarar görebildiği bir ortamda riskler geç fark edilir. Etkili bir risk kültürü oluşturmak için çalışanların sorunları güvenli biçimde bildirebilmesi ve yöneticilerin bu bildirimleri ciddiye alması gerekir.
9. Küçük İşletmeler ile Büyük Şirketler Aynı Modeli mi Kullanmalı?
Risk yönetimi yapısının şirketin büyüklüğüne göre değişmesi doğaldır. Büyük bir bankanın, uluslararası bir üretim grubunun ve on çalışanlı bir işletmenin aynı organizasyon şemasını kullanması beklenemez.
Küçük işletmelerde ayrı bir risk yönetimi departmanı kurmak yüksek maliyetli olabilir. Bu durumda risk sorumlulukları mevcut yöneticiler arasında paylaştırılabilir. Ancak görev dağılımının yazılı olması, önemli risklerin düzenli değerlendirilmesi ve kritik kararların işletme sahibine veya üst yönetime raporlanması gerekir.
Büyük kuruluşlarda ise farklı risk alanlarının uzmanlaşmış ekipler tarafından yönetilmesi ve bunların ortak bir kurumsal çerçevede birleştirilmesi daha anlamlı olabilir. Özellikle karmaşık düzenlemelere tabi sektörlerde bağımsız raporlama kanalları ve açık yetki sınırları daha fazla önem taşır.
Burada kritik ölçüt, departmanın büyüklüğü değil, sistemin işlevselliğidir. Ayrı bir risk yönetimi departmanı kurmuş olmak, tek başına olgun bir risk yönetimi sistemine sahip olunduğunu kanıtlamaz. Tersine, ayrı bir departmanı bulunmayan küçük bir şirket de sorumluluklarını net biçimde tanımlayarak risklerini sistematik şekilde yönetebilir.
Şirketin ölçeği ne olursa olsun, risklerin belirlenmesi, sorumluların atanması, önlemlerin uygulanması ve sonuçların izlenmesi için sürdürülebilir bir yöntem bulunmalıdır.
10. Risk Yönetiminin Başarısı Nasıl Ölçülmeli?
Risk yönetimi faaliyetlerini değerlendirirken yalnızca rapor sayısına, toplantı sıklığına veya oluşturulan risk listelerinin uzunluğuna bakmak yanıltıcı olabilir. Bunlar sürecin yürütüldüğünü gösterebilir; fakat risklerin gerçekten kontrol altına alındığını kanıtlamaz.
Daha anlamlı göstergeler arasında şunlar yer alabilir:
- Kritik riskler için belirlenen önlemlerin zamanında tamamlanma oranı.
- Risk sınırlarının aşıldığı durumlara müdahale süresi.
- Tekrarlayan olayların ve kayıpların sıklığı.
- İş sürekliliği testlerinin sonuçları.
- Kritik tedarikçilerin alternatiflerinin bulunma durumu.
- Çalışanların risk bildirimlerine yönelik güven düzeyi.
- Denetim bulgularının giderilme süresi.
- Önleyici kontrollerin etkinliğini gösteren test sonuçları.
Bu göstergeler şirketin sektörüne ve risk profiline göre seçilmelidir. Her kuruluş için aynı ölçütleri kullanmak doğru olmaz. Örneğin bir finans kuruluşunda likidite ve kredi riski göstergeleri öne çıkarken bir üretim tesisinde iş kazaları, ekipman arızaları ve kalite hataları daha belirleyici olabilir.
Ayrıca ölçülebilen her şeyin önemli, ölçülemeyen her şeyin önemsiz olduğu düşüncesinden kaçınmak gerekir. Kurum kültürü, çalışanların sorunları bildirme isteği ve yöneticilerin kötü haberlere verdiği tepki gibi unsurlar da risk yönetiminin gerçek performansını etkiler.
Sonuç: Risk Yönetimi Bir Departmanın Değil, Kurumun Sorumluluğudur
Risk yönetiminin hangi departmana bağlı olması gerektiği sorusuna tek bir isimle cevap vermek, konunun önemli bir bölümünü gözden kaçırmak olur. Küçük işletmelerde finans departmanı bünyesinde yürütülen bir yapı yeterli olabilir. Büyük ve karmaşık kuruluşlarda ise üst yönetime erişimi olan, farklı birimlerle koordinasyon kurabilen ve önemli riskleri bağımsız biçimde raporlayabilen bir kurumsal risk yönetimi işlevi daha uygun olabilir.
Bununla birlikte temel ilke değişmez: Risk yönetimi ile iç denetim birbirine karıştırılmamalı, operasyonel risklerin sorumluluğu ilgili yöneticilerde kalmalı ve üst yönetim risklerin kabul edilebilir sınırlarını belirlemelidir.
Benim bu konudaki temel değerlendirmem, risk yönetiminin başarısının organizasyon şemasındaki konumundan çok, kurum içindeki gerçek etkisiyle ölçülmesi gerektiğidir. Risk yöneticisi önemli bir tehlikeyi tespit ettiğinde bunu karar vericilere aktarabiliyor mu? Yönetim, kısa vadeli kazanç uğruna kritik riskleri görmezden geliyor mu? Çalışanlar sorunları çekinmeden bildirebiliyor mu? Alınan önlemlerin gerçekten işe yarayıp yaramadığı takip ediliyor mu?
Bu soruların cevapları, departmanın adından çok daha fazla şey anlatır.
Forum üyelerine birkaç soru bırakmak istiyorum:
1. Sizce risk yönetimi doğrudan genel müdüre mi, finans departmanına mı, yoksa yönetim kuruluna bağlı bir komiteye mi raporlamalıdır?
2. Risk yönetiminin finans departmanına bağlanması maliyet ve verimlilik açısından avantaj sağlarken bağımsız değerlendirme açısından hangi sorunları doğurabilir?
3. İç denetim ile risk yönetimi arasındaki görev sınırları sizce şirketlerde yeterince açık mı?
4. Risk yönetimi raporları hazırlanan, ancak önerileri uygulanmayan bir şirkette asıl sorumluluk kimdedir: risk yöneticisinde mi, üst yönetimde mi, yoksa kurum kültüründe mi?
5. Cinsiyet, mesleki geçmiş ve farklı yaşam deneyimleri bakımından çeşitlilik gösteren ekiplerin riskleri daha kapsamlı değerlendirebilmesi için şirketler nasıl bir çalışma ortamı oluşturmalıdır?
Bence tartışmanın en önemli noktası şu: Bir şirketin risk yönetimi departmanı bulunması mı daha değerlidir, yoksa risklerin gerçekten sahiplenildiği bir kurum kültürü oluşturması mı? İdeal olan elbette ikisini bir araya getirmektir. Ancak birini seçmek zorunda kalsaydık, risklerin açıkça konuşulabildiği, sorumlulukların net olduğu ve yönetimin uyarıları dikkate aldığı bir kurum kültürünün, yalnızca kâğıt üzerinde var olan bir departmandan çok daha anlamlı sonuçlar doğuracağını düşünürdüm.
Kaynaklar ve Yararlanılabilecek Temel Çerçeveler
1. COSO – Enterprise Risk Management: Integrating with Strategy and Performance (2017): Risk yönetiminin strateji, performans ve kurumsal kararlarla bütünleştirilmesine ilişkin temel çerçeve.
2. ISO 31000:2018 – Risk Management: Guidelines: Risk yönetiminin ilkeleri, çerçevesi ve süreçlerine ilişkin uluslararası standart.
3. The Institute of Internal Auditors (IIA) – The IIA’s Three Lines Model (2020): Yönetim, risk gözetimi ve bağımsız iç denetim arasındaki sorumluluk ayrımını açıklayan model.
4. OECD – G20/OECD Principles of Corporate Governance (2023): Yönetim kurullarının gözetim sorumlulukları, kurumsal hesap verebilirlik ve risk yönetimiyle ilişkili yönetişim ilkeleri.
Bu kaynaklar, risk yönetiminin yalnızca belirli bir departmanın teknik görevi olmadığını; kurumsal yönetişim, karar alma, sorumluluk paylaşımı ve bağımsız gözetimle birlikte ele alınması gerektiğini anlamak için güvenilir bir başlangıç noktası sunmaktadır.
Kişisel girişi somutlaştır ve derinleştirAna öneriyi erken ve net biçimde ver
Kişisel girişi somutlaştır ve derinleştir
Ana öneriyi erken ve net biçimde ver
Tekrarlanan bölümleri sıkılaştır
Bir başka önemli sorun, çalışanların olumsuz haberleri yönetime iletmekten çekinmesidir. Hata bildiren kişilerin cezalandırıldığı veya sorunları dile getiren çalışanların kariyerlerinin zarar görebildiği bir ortamda riskler geç fark edilir. Etkili bir risk kültürü oluşturmak için çalışanların sorunları güvenli biçimde bildirebilmesi ve yöneticilerin bu bildirimleri ciddiye alması gerekir.
9. Küçük İşletmeler ile Büyük Şirketler Aynı Modeli mi Kullanmalı?
Risk yönetimi yapısının şirketin büyüklüğüne göre değişmesi doğaldır. Büyük bir bankanın, uluslararası bir üretim grubunun ve on çalışanlı bir işletmenin aynı organizasyon şemasını kullanması beklenemez.
Küçük işletmelerde ayrı bir risk yönetimi departmanı kurmak yüksek maliyetli olabilir. Bu durumda risk sorumlulukları mevcut yöneticiler arasında paylaştırılabilir. Ancak görev dağılımının yazılı olması, önemli risklerin düzenli değerlendirilmesi ve kritik kararların işletme sahibine veya üst yönetime raporlanması gerekir.
Büyük kuruluşlarda ise farklı risk alanlarının uzmanlaşmış ekipler tarafından yönetilmesi ve bunların ortak bir kurumsal çerçevede birleştirilmesi daha anlamlı olabilir. Özellikle karmaşık düzenlemelere tabi sektörlerde bağımsız raporlama kanalları ve açık yetki sınırları daha fazla önem taşır.
Burada kritik ölçüt, departmanın büyüklüğü değil, sistemin işlevselliğidir. Ayrı bir risk yönetimi departmanı kurmuş olmak, tek başına olgun bir risk yönetimi sistemine sahip olunduğunu kanıtlamaz. Tersine, ayrı bir departmanı bulunmayan küçük bir şirket de sorumluluklarını net biçimde tanımlayarak risklerini sistematik şekilde yönetebilir.
Şirketin ölçeği ne olursa olsun, risklerin belirlenmesi, sorumluların atanması, önlemlerin uygulanması ve sonuçların izlenmesi için sürdürülebilir bir yöntem bulunmalıdır.
10. Risk Yönetiminin Başarısı Nasıl Ölçülmeli?
Risk yönetimi faaliyetlerini değerlendirirken yalnızca rapor sayısına, toplantı sıklığına veya oluşturulan risk listelerinin uzunluğuna bakmak yanıltıcı olabilir. Bunlar sürecin yürütüldüğünü gösterebilir; fakat risklerin gerçekten kontrol altına alındığını kanıtlamaz.
Daha anlamlı göstergeler arasında şunlar yer alabilir:
- Kritik riskler için belirlenen önlemlerin zamanında tamamlanma oranı.
- Risk sınırlarının aşıldığı durumlara müdahale süresi.
- Tekrarlayan olayların ve kayıpların sıklığı.
- İş sürekliliği testlerinin sonuçları.
- Kritik tedarikçilerin alternatiflerinin bulunma durumu.
- Çalışanların risk bildirimlerine yönelik güven düzeyi.
- Denetim bulgularının giderilme süresi.
- Önleyici kontrollerin etkinliğini gösteren test sonuçları.
Bu göstergeler şirketin sektörüne ve risk profiline göre seçilmelidir. Her kuruluş için aynı ölçütleri kullanmak doğru olmaz. Örneğin bir finans kuruluşunda likidite ve kredi riski göstergeleri öne çıkarken bir üretim tesisinde iş kazaları, ekipman arızaları ve kalite hataları daha belirleyici olabilir.
Ayrıca ölçülebilen her şeyin önemli, ölçülemeyen her şeyin önemsiz olduğu düşüncesinden kaçınmak gerekir. Kurum kültürü, çalışanların sorunları bildirme isteği ve yöneticilerin kötü haberlere verdiği tepki gibi unsurlar da risk yönetiminin gerçek performansını etkiler.
Sonuç: Risk Yönetimi Bir Departmanın Değil, Kurumun Sorumluluğudur
Risk yönetiminin hangi departmana bağlı olması gerektiği sorusuna tek bir isimle cevap vermek, konunun önemli bir bölümünü gözden kaçırmak olur. Küçük işletmelerde finans departmanı bünyesinde yürütülen bir yapı yeterli olabilir. Büyük ve karmaşık kuruluşlarda ise üst yönetime erişimi olan, farklı birimlerle koordinasyon kurabilen ve önemli riskleri bağımsız biçimde raporlayabilen bir kurumsal risk yönetimi işlevi daha uygun olabilir.
Bununla birlikte temel ilke değişmez: Risk yönetimi ile iç denetim birbirine karıştırılmamalı, operasyonel risklerin sorumluluğu ilgili yöneticilerde kalmalı ve üst yönetim risklerin kabul edilebilir sınırlarını belirlemelidir.
Benim bu konudaki temel değerlendirmem, risk yönetiminin başarısının organizasyon şemasındaki konumundan çok, kurum içindeki gerçek etkisiyle ölçülmesi gerektiğidir. Risk yöneticisi önemli bir tehlikeyi tespit ettiğinde bunu karar vericilere aktarabiliyor mu? Yönetim, kısa vadeli kazanç uğruna kritik riskleri görmezden geliyor mu? Çalışanlar sorunları çekinmeden bildirebiliyor mu? Alınan önlemlerin gerçekten işe yarayıp yaramadığı takip ediliyor mu?
Bu soruların cevapları, departmanın adından çok daha fazla şey anlatır.
Forum üyelerine birkaç soru bırakmak istiyorum:
1. Sizce risk yönetimi doğrudan genel müdüre mi, finans departmanına mı, yoksa yönetim kuruluna bağlı bir komiteye mi raporlamalıdır?
2. Risk yönetiminin finans departmanına bağlanması maliyet ve verimlilik açısından avantaj sağlarken bağımsız değerlendirme açısından hangi sorunları doğurabilir?
3. İç denetim ile risk yönetimi arasındaki görev sınırları sizce şirketlerde yeterince açık mı?
4. Risk yönetimi raporları hazırlanan, ancak önerileri uygulanmayan bir şirkette asıl sorumluluk kimdedir: risk yöneticisinde mi, üst yönetimde mi, yoksa kurum kültüründe mi?
5. Cinsiyet, mesleki geçmiş ve farklı yaşam deneyimleri bakımından çeşitlilik gösteren ekiplerin riskleri daha kapsamlı değerlendirebilmesi için şirketler nasıl bir çalışma ortamı oluşturmalıdır?
Bence tartışmanın en önemli noktası şu: Bir şirketin risk yönetimi departmanı bulunması mı daha değerlidir, yoksa risklerin gerçekten sahiplenildiği bir kurum kültürü oluşturması mı? İdeal olan elbette ikisini bir araya getirmektir. Ancak birini seçmek zorunda kalsaydık, risklerin açıkça konuşulabildiği, sorumlulukların net olduğu ve yönetimin uyarıları dikkate aldığı bir kurum kültürünün, yalnızca kâğıt üzerinde var olan bir departmandan çok daha anlamlı sonuçlar doğuracağını düşünürdüm.
Kaynaklar ve Yararlanılabilecek Temel Çerçeveler
1. COSO – Enterprise Risk Management: Integrating with Strategy and Performance (2017): Risk yönetiminin strateji, performans ve kurumsal kararlarla bütünleştirilmesine ilişkin temel çerçeve.
2. ISO 31000:2018 – Risk Management: Guidelines: Risk yönetiminin ilkeleri, çerçevesi ve süreçlerine ilişkin uluslararası standart.
3. The Institute of Internal Auditors (IIA) – The IIA’s Three Lines Model (2020): Yönetim, risk gözetimi ve bağımsız iç denetim arasındaki sorumluluk ayrımını açıklayan model.
4. OECD – G20/OECD Principles of Corporate Governance (2023): Yönetim kurullarının gözetim sorumlulukları, kurumsal hesap verebilirlik ve risk yönetimiyle ilişkili yönetişim ilkeleri.
Bu kaynaklar, risk yönetiminin yalnızca belirli bir departmanın teknik görevi olmadığını; kurumsal yönetişim, karar alma, sorumluluk paylaşımı ve bağımsız gözetimle birlikte ele alınması gerektiğini anlamak için güvenilir bir başlangıç noktası sunmaktadır.
Kişisel girişi somutlaştır ve derinleştirAna öneriyi erken ve net biçimde ver
Kişisel girişi somutlaştır ve derinleştir
Ana öneriyi erken ve net biçimde ver
Tekrarlanan bölümleri sıkılaştır