dockurumsal yönetimi
download 
Şikayet Transkript
kurumsal yönetimi
MALİYE BAKANLIĞI STRATEJİ GELİŞTİRME BAŞKANLIĞI KURUMSAL YÖNETİMİ DANIŞMAN AHMET UĞUR CEBECİ HAZIRLAYAN IŞILDA ARSLAN MART 2008 İçindekiler İçindekiler ................................................................................................................... 1 Şekil ve Tablolar ......................................................................................................... 3 Tablolar ................................................................................................................... 3 Şekiller .................................................................................................................... 3 Kısaltmalar .................................................................................................................. 4 Tanımlar ...................................................................................................................... 5 Özet ........................................................................................................................... 10 Abstract ..................................................................................................................... 12 GİRİŞ ........................................................................................................................ 14 1. RİSK YÖNETİMİ............................................................................................. 16 1.1 Risk ........................................................................................................... 16 1.2 Risk Yönetimi ........................................................................................... 19 1.3 Geleneksel Risk Yönetiminden Kurumsal Risk Yönetimine Geçiş ......... 20 2. Kurumsal Risk Yönetimi .................................................................................. 25 2.1 COSO ERM Gelişimi ............................................................................... 25 2.2 Kurumsal Risk Yönetimi Tanımı .............................................................. 26 2.3 Kurumsal Risk Yönetimi Unsurları .......................................................... 29 2.3.1 İç Ortam ............................................................................................ 29 2.3.2 Hedef Belirleme ................................................................................ 30 2.3.3 Olay Tanımlama................................................................................ 31 2.3.4 Risk Değerlendirmesi........................................................................ 33 2.3.5 Riske Karşılık Verme ........................................................................ 36 2.3.6 Kontrol Faaliyetleri ........................................................................... 38 2.3.7 Bilgi ve İletişim................................................................................. 39 2.3.8 İzleme ................................................................................................ 39 2.4 Kurumsal Risk Yönetimi – İç Kontrol Karşılaştırması............................. 41 2.5 Farklılıklar ve Eleştiriler ........................................................................... 45 3. Kurumsal Risk Yönetimine Geçiş .................................................................... 48 3.1 Temel oluşturulması.................................................................................. 49 3.1.1 Ortak bir dil oluşturulması ................................................................ 49 3.1.2 İdarenin desteğini ve gözetimini elde etmek .................................... 51 3.2 Kurumsal Risk Yönetimi Dönüşüm Sürecini ........................................... 52 3.2.1 Hedeflerin belirlenmesi ..................................................................... 52 3.2.2 Mevcut durum analizi ....................................................................... 53 3.2.3 Hedef yapının tespiti ......................................................................... 54 3.2.4 Fark analizi ve planlama ................................................................... 55 3.3 Kurumsal Risk Yönetiminin Uygulanması ............................................... 55 3.3.1 Risklerin tanımlanması ..................................................................... 56 3.3.2 Risklerin analiz edilmesi ve ölçülmesi ............................................. 57 3.3.3 Risklerin önceliklendirilmesi ............................................................ 62 3.3.5 İzleme ve gözden geçirme ................................................................ 67 3.4 Güçlendirme .............................................................................................. 68 4. Uygulama Örnekleri.......................................................................................... 70 1 4.1 Kurumsal risk yönetimi uygulama önerisi ................................................ 70 4.2 Virginia Eyaleti Uygulama Aracı ............................................................. 73 4.3 Bütünleşmiş risk yönetimi çerçevesi ........................................................ 78 4.4 Risk yönetimi değerleme çerçevesi .......................................................... 81 5. Kurumsal Risk Yönetiminin Maliye Bakanlığında Uygulanması .................... 84 5.1 Stratejik Planlama ..................................................................................... 84 5.2 Stratejik Planla Uyumlu Risk Yönetimi ................................................... 87 5.2.1 SWOT Analizi .................................................................................. 88 5.2.2 Hedef Belirleme ................................................................................ 89 5.2.3 Beyin Fırtınası................................................................................... 90 5.2.4 Anketler............................................................................................. 92 5.2.5 Arama Konferansı ............................................................................. 94 5.3 Stratejik Risk Planı ................................................................................... 95 6. Sonuç................................................................................................................. 97 Kaynaklar .................................................................................................................. 98 2 Şekil ve Tablolar Tablolar 1 Risk Yönetiminden Kurumsal Risk Yönetimine ……………… 23 2 COSO – ERM Süreç Akışı ……………………………………... 40 3 Bütünleşmiş Risk Yönetimi Uygulaması ……………………… 80 4 Risk Matrisi ………………………………………………………. 95 Şekiller 1 COSO – ERM Küpü …………………………………………….. 29 2 Basit Risk / Tolerans Matrisi …………………………………… 34 3 Yapısal Risk – Artık Risk ……………………………………….. 35 4 Risk Haritası – Kalitatif Analiz …………………………………… 58 5 Risk Haritası – Yarı Kantitatif ……………………………………. 60 6 Risk Haritası – Önceliklendirme …………………………………. 63 7 Riske Karşılık Verme Seçenekleri ………………………………. 8 Basit Risk / Tolerans Matrisi ……………………………………... 95 64 3 Kısaltmalar Bakanlık: Maliye Bakanlığı COSO: Comitte of Sponsoring Organisations. Amerikan temelli 5 kuruluşun iç kontrol konusunda güvence vermek üzere oluşturduğu örgüt. ERM : Enterprise Risk Management . Kurumsal Risk Yönetimi IIA: Institute of Internal Auditors. Amerikan İç Denetim Kurumu KİMK: Kamu İç Mali Kontrolü PWC: Price Waterhouse Coopers. Kurum hesap verilebilirliği, risk yönetimi gibi alanlarda danışmanlık veren Amerikan şirketi SWOT: Güçlü yönler, zayıf yönler, tehdit ve fırsatlar analizi UK: United Kingdom. Birleşik Krallık 4 Tanımlar Artık Risk: Yönetimin gerçekleşme olasılığını ve etkisini azaltmak için aldığı önlemlerden sonra arta kalan riskleri ifade eder. Belirsizlik: Gelecekte gerçekleşmesi muhtemel olayların olasılık ölçüsünü ve etkisini önceden bilememeyi ifade eder. Dürüstlük: Güçlü ahlaki ilkelere sahip olmayı; açık, samimi ve içten olmayı; doğru işleri yapma, belli değerlere göre yaşama ve mesleğini icra etme arzusunu ifade eder. Etki: Bir olayın meydana getirdiği sonuç veya yarattığı tesiri ifade eder. Bir olaya ilişkin olarak farklı etkiler ortaya çıkabilir. Bir olayın etkisi, kurumun ilgili hedefleriyle ilişkili olarak, olumlu veya olumsuz olabilir. Faaliyetler: Hedeflerle birlikte kullanıldığında; performans ve karlılık amaçları ile kaynakların kayba karşı korunmasını da içeren kurumun faaliyetlerinin etkili ve verimli bir şekilde yürütülmesini ifade eder. Fırsatlar: Kurumsal amaçları olumlu etkileyebilecek potansiyel olayları ifade eder. Hedef Kategorisi: Kurumun dört hedefinden (1. stratejik amaçlar 2. faaliyetlerin etkinliği ve etkililiği 3. raporlamanın güvenilirliği 4. mevzuata uygunluk) birini ifade eder. Hedefler birbiri ile kesişebilir. Bu nedenle belli bir hedef birden fazla kategoriye bölünebilir. İç Kontrol: Bir kurumun yönetim kurulu, yöneticileri ve çalışanları tarafından yürütülen ve 1. Faaliyetlerin etkinliği ve verimliliği, 2. Mali raporlamanın 5 güvenilirliği, 3. Yasalara ve diğer düzenlemelere uyum amaçlarının gerçekleştirilebilmesi için makul güvence sağlayan bir süreçtir. İç Kontrol Sistemi: Kurumda uygulanmakta olan iç kontrol faaliyetlerini ve süreçlerini ifade eder. Kalıtsal Risk: Yönetim tarafından herhangi bir önlem alınmaması durumunda gerçekleşme olasılığının ve etkisinin değiştirilemeyeceği riskleri ifade eder. Kalıtsal Sınırlamalar: Kurumsal risk yönetiminin doğasında var olan sınırlamaları ifade eder. Bu sınırlar; 1) kişisel yargılar, 2) kaynak kısıtları ve bir kontrole ilişkin maliyet-fayda analizi, 3) sistemin çökmesi ihtimali, 4) yönetimin sistemi önemsememesi ve hileli davranması olarak sıralanabilir. Kontrol: 1. İsim olarak bir unsuru veya öğeyi ifade eder. Örnek: Bir kontrolün mevcudiyeti; iç kontrol sisteminin bir parçası olan politika ve prosedürler. Kontroller kurumsal risk yönetiminin sekiz unsurunda da var olabilir. 2. İsim olarak bir durumu veya koşulu ifade eder. Örnek: Kontrol etkisi; kontrol amacıyla oluşturulmuş politika ve prosedürlerin sonuçları iç kontrolün etkinliğini etkiler. 3. Fiil olarak kullanılır. Örnek: Kontrolleri etkileyen politikalar oluşturmak veya yürütmek. Kurum: Belli amaçlar için kurulmuş her tür ve büyüklükteki organizasyonları ifade eder. Örnek: Ticari işletmeler, kar amacı taşımayan organizasyonlar, hükümet kuruluşları ve akademik kuruluşlar. Organizasyon ve işletme terimleri, “kurum” ile eş anlamlı olarak kullanılmıştır. Kurumsal Risk Yönetimi Süreci: Kurumda uygulanmakta olan kurumsal risk yönetimi faaliyetlerini ifade eder. 6 Makul Güvence: Kurumsal risk yönetimi, ne kadar iyi tasarlanmış ve yürütülüyor olursa olsun, kurumsal amaçların gerçekleştirilmesi hakkına mutlak güvence sağlayamaz. Bunun sebebi kurumsal risk yönetiminin doğasında var olan (kalıtsal risk) ve önlenemeyen sınırlardır. Olasılık: Bir olayın gerçekleşme ihtimalini ifade eder. Olasılık kelimesi bazen “yüksek, orta, düşük” gibi nitel ifadelerle, bazen de “yüzde, gerçekleşme sıklığı” gibi nicel değerlerle ifade edilir. Olay: Amaçların gerçekleştirilebilmesini etkileyen, içsel ve dışsal faktörlerden kaynaklanan hadise veya oluşumları ifade eder. Ölçüt (Kriter): Kurumsal risk yönetiminin etkinliğini ölçmek için belirlenmiş standartları ifade eder. Kurumsal risk yönetiminin doğasında var olan içsel kısıtlılıklar bağlamında ele alınan sekiz bileşen, kurumsal risk yönetiminin etkinliği ve dolayısıyla dört amaç kategorisi için birer ölçüttür. Paydaş: Kurumun faaliyetlerinden etkilenen grupları (hissedarlar gibi) ve kurumun birlikte faaliyet yürüttüğü kişi ve kurumları (çalışan, müşteri ve tedarikçiler gibi) ifade eder. Politika: Yönetimin, kontrolleri etkin hale getirmek için ne yapılması gerektiğini belirten direktifleridir. Politikalar, prosedürlerin uygulama için dayanağını oluşturur. Prosedür: Politikaların yürütülmesini temin eden işlemleri ve usulü ifade eder. Raporlama: Hedef kategorilerinden birisidir. Kurumun raporlarının güvenilir olmasını ifade eder. Hem iç hem de dışarı sunulan mali olan veya olmayan tüm raporları kapsar. 7 Risk: Kurumsal amaçları olumsuz etkileyebilecek olayların gerçekleşme olasılığını ifade eder. Risk İştahı: Kurumun, sahip olduğu misyon ve vizyonu doğrultusunda kabul edebileceği geniş kapsamlı risk miktarını ifade eder. Başka bir ifadeyle yönetimin herhangi bir önlem almanın gerekliliğine hüküm vermeden önce maruz kalmaya hazır olduğu risk miktarıdır. Yönetimin kabul edilebilir olduğunu düşündüğü risk seviyesidir. Risk kapasitesi: Bir kurumun olumsuz bir olayın etkisini atlatma kabiliyetidir. Diğer bir deyişle kurumun ne kadar büyük bir sarsıntıya dayanabileceğidir. Risk kapasitesi nakit miktarıyla, diğer kaynaklarla veya kredi imkanlarıyla ölçülebilir. Bir kurumun risk kapasitesini bilmesi ne kadar riski üstlenmeye istekli olduğuna karar vermesi açısından önemlidir. Risk Toleransı: Belirli bir amacın başarılmasına yönelik olarak kabul edilebilecek risk miktarını ifade eder. Başka bir ifadeyle risk toleransı hedefler etrafındaki kabul edilebilir bir değişkenliği belirtir. Risk iştahı da, risk toleransı da risk almayla ilgili sınırları belirtir ancak risk iştahı daha geniş kapsamlıdır. Stratejik Hedef: Hedef kategorilerinden birisidir. Kurumun misyon ve vizyonunu destekleyen ve bunlarla uyumlu olan üst düzey hedefleri ifade eder. Tasarım: 1. Amaç. Kurumsal risk yönetiminin tanımında “amaç” anlamında kullanılmıştır: Kurumsal risk yönetimi, hedefleri elde etmekte makul bir güvence sağlamak için kurumu etkileyebilecek muhtemel olayları tespit etmek ve riskleri risk alma iştahı sınırları içinde kalacak şekilde yönetmek amacındadır. 2. Plan. Bir sürecin tasarlandığı gibi yürümesi. 8 Unsur: Kurumsal risk yönetiminin sekiz unsuru vardır; 1. İç ortam 2. Hedef belirleme 3. Olay tanımlama 4. Risk değerlendirmesi 5. Riske karşılık verme 6. Kontrol faaliyetleri 7.Bilgi ve iletişim 8.İzleme. Uygunluk: Amaç kategorilerinden birisidir. İş ve işlemlerin, kurumun uygulamak zorunda olduğu mevzuata uygun olarak yürütülmesini ifade eder. Yetersizlik (deficiency): Kurumsal risk yönetiminin, dikkat edilmesi gereken, farkına varılmış, potansiyel ve gerçek eksikliklerini ifade eder. Yetersizlikler kurumsal risk yönetiminin güçlendirilmesi suretiyle kurumsal amaçlara ulaşabilme olasılığını artıracak fırsatlar olarak da değerlendirilebilir. Yönetim Süreci: Kurumsal faaliyetlerin devamlılığı için yönetim tarafından gerçekleştirilen birtakım eylemleri ifade eder. Kurumsal risk yönetimi, yönetim sürecinin bir parçası ve bileşenidir. Yürütmek: ERM ile kullanıldığında: Kurmak ve sürdürmek 9 Özet Bu tezin amacı kurumsal risk yönetimi için bir bakış açısı oluşturmak ve konunun anlaşılmasına katkıda bulunmaktır. Bilindiği gibi 5018 Kamu Mali Yönetim ve Kontrol Kanunu ile getirilen reformlar kapsamında kamuda bir değişim yaşanmaktadır. Bu süreçte mevzuatımıza giren bir takım kavramların herkes tarafından aynı şekilde anlaşılması ve doğru bir biçimde uygulanabilmesi, bu kavramların derinlemesine incelenip çok iyi anlaşılmasına bağlıdır. Bu tez bu kavramlardan biri olan risk yönetiminin AB ve Amerika’da kullanılan en son hali olan “Kurumsal Risk Yönetimine” ışık tutmaktadır. Risk yönetiminin en doğru şekilde anlaşılabilmesi için öncelikle risk ve risk yönetimi kavramları açıklanacak, geleneksel risk yönetiminden kurumsal risk yönetimine geçişin nasıl olduğu anlatılacaktır. Daha sonra kurumsal risk yönetimine odaklanılacak; gelişimi, tanımı ve unsurlarından bahsedilecektir. Kurumsal risk yönetiminin iç kontrol ile ilişkisi ele alınacaktır. Teori kısmından sonra kurumsal risk yönetiminin uygulaması aşamalarının anlatımına geçilecektir. Kurumsal uygulanabilmesi için altyapının oluşturulması, risk risklerin yönetimi tanımlanması, ölçülmesi ve risklere karşılık verilmesi gibi uygulama adımları ve uygulamanın izlenmesi gibi unsurlardan bahsedilecektir. Kurumsal risk yönetiminin unsurlarını bilmek, uygulamak için yeterli değildir. Kurumsal risk yönetimi çok geniş kapsamlı bir çerçeve olup bu çerçeveyi her kurumun kendine uygun bir biçimde modellemesi gerekmektedir. Modellemenin uygun bir biçimde yapılabilmesi için iyi 10 uygulama örneklerinin incelenmesi şarttır. Bunlar göz önüne alınarak bir sonraki bölümde uygulama örneklerine yer verilecektir. Son olarak bu kavramın Bakanlığımızda uygulanmasının yapılmasına dair bir öneride bulunulacaktır. 11 Abstract The purpose of this paper is to create a new scope for the term risk management and contribute to the understanding of the subject. Due to the new Financial Law 5018 there has been a great change in the public entities. This new law brings forth some new concepts that need common understanding in order to be executed properly. This paper is about one of these concepts, risk management as it is used by European Union and USA in the new form “enterprise risk management”. In the paper first the concept risk and risk management will be noted, and then the transmission from risk management to enterprise risk management will be explained. Secondly, the paper will be focused on enterprise risk management. It’s development, definition and components will be examined. The relationship between enterprise risk management and internal control will be specified. Thirdly, the steps needed to be taken to implement enterprise risk management will be represented. The execution steps such as constitution of infrastructure, identification and measurement of risks and risk responses that are used in the risk management and the fallow up steps such as monitoring the practice and improving will be emphasized. It is not enough to know the components of enterprise risk management to practice it efficiently. Enterprise risk management is a wide ranging framework that the entities should tailor the model for themselves. In order to tailor the model properly, studying the best practices has a crucial importance. In this sense, the next chapter will give the examples of the practices across the globe. 12 And lastly, the paper will hold a proposal fort he implementation of enterprise risk management in the Ministry of Finance. 13 GİRİŞ 1990’lı yılların ortalarında dış piyasalarda yaşanan ve dünyada şirketlerin iflas etmesiyle sonuçlanan gelişmeler piyasaların sorgulanmaya başlanmasına neden oldu. Şirketlerin başarısızlığı sonucu büyük kayıplar yaşayan hissedarlar, yatırımcılar ve toplumun bu kayıplarının etkilerini azaltmak için çareler aranmaya başlandı. Hem kayıpların etkilerinin azaltılması hem de aynı tip kayıpların yeniden yaşanmaması için şirket yönetimi önemli bir kavram olarak görülmeye başlandı. Kurumların yönetimlerini güçlendirmeleri için yol göstermek amacıyla birçok standart geliştirildi, rehberler basıldı, birçok kural oluşturuldu. Tüm bu rehberler, standartlar, kurallar birbirlerinden farklı olmalarına ve değişik kökenlere sahip olmalarına rağmen ortak bir yönleri vardı; hepsi iyi bir yönetimin temelinde etkin ve fonksiyonel bir sistem olan iç kontrolün bulunduğunu belirtmekteydi. Ve iç kontrolün en önemli unsuru ise hiç şüphesiz ki risk değerlendirmesiydi. Günümüzde kurumların içinde bulunduğu ortam çok daha karmaşıktır. Kurumların karşı karşıya olduğu küreselleşme, yeni kurumsal ortaklıklar, iş dünyasında hareketliliğin artması, sürekli değişim gibi durumlar; karşılaştıkları risklerin de çoğalmasına neden oldu. Çok önceden beri var olan ancak belli bir standardı bulunmayan ve sadece birkaç uzmanın insafına bırakılmış olan risk yönetimi klasik mali yönetim anlayışı olarak yetersiz kalmaya başladı. Risk yönetiminin artık, karşılaşılan tüm riskler için kullanılabilen bir araç olabilmesi için strateji, operasyon, itibar, yasal düzenlemeler ve bilgiyi de içeren çok geniş meseleleri kapsar hale getirilmesi gerekliydi. Böylece kurumsal risk yönetimi anlayışı doğdu. 14 Bu konuda pek çok rehber ve standart çıkmasına rağmen belirli bir teknik ya da uygulama bulunmamaktaydı. Bu durum kurumsal risk yönetiminin anlaşılmasını güçleştirirken farklı uygulamalar farklı sonuçlar doğurmakta, iyi örneklerden çıkarım yapılmasını imkansız hale getirmekte, kısacası ortak bir dil oluşturulamamaktaydı. Bu karmaşıklık “ABD’de Ulusal Hileli Finansal Raporlama Komisyonu”1na sponsor olarak 1985’de kurulan COSO tarafından 2004’de yayınlanan “Kurumsal Risk Yönetimi” rehberi ile ortadan kaldırılmış, böylece birbirinden farklı risk yönetimi teknikleri sürekliliği olan ve kapsamlı bir imaj kazanmıştır. ERM bir kontrol döngüsü uygulanırken fark edilebilir yapısal ve personel düzenlemeleri de gerektirmektedir. Türkiye’de kamuda mali bir reform gerçekleştirilmiş ve 1927 yılında yürürlüğe giren 1050 sayılı Muhasebe-i Umumiye Kanunu kaldırılarak yerine 5018 sayılı Kamu Mali Yönetimi ve Kontrol Kanunu getirilmiştir. Söz konusu kanunun reform niteliğindeki gereklerinden biri de kamuda iç kontrol uygulamasıdır. İç kontrolden beklenen verimin alınabilmesi ve kamu kaynaklarının etkili, ekonomik ve verimli kullanılabilmesi için kurumsal risk yönetimi mantığının ve uygulamasının kamu kurumlarına yerleştirilmesi gerekmektedir. Avrupa birliği ile yapılan müzakereler çerçevesinde mali sistemimizin AB uygulamaları ile uyumunun sağlanması söz konusudur. Avrupa Komisyonunun yayınladığı “Kamu İç Mali Yönetimi”nde açıkça belirtildiği gibi AB kamu kurumlarında KİMK’in geliştirilmesinde kullanılan uluslar arası standartlar “Kamu Sektöründe İç Kontrolün Geliştirilmesi İçin Intosai Rehberi”dir. Intosai rehberin giriş kısmında metodolojinin COSO “İç Kontrol Standartları Çerçevesi”nin gözden geçirilmiş hali olduğu belirtilmektedir. 1 National Commission on Fraudulent Financial Reporting 15 1. RİSK YÖNETİMİ Risk Her kurumun var oluşunun bir amacı vardır. Özel sektörde var oluş amacı paydaş değerini yükseltmek olarak genellenebilirken kamu sektöründe amaç genellikle bir hizmetin yerine getirilmesi veya kamu yararına olacak faydalı bir sonucun elde edilmesidir.2 Kurumun yönetilmesinin tanımı bu amacı gerçekleştirmek için koyulan hedeflere ulaşmaktır. Amaç ne olursa olsun hedeflere ulaşmak demek, her türlü riskle karşı karşıya kalmak demektir. Hal böyleyken yönetimin görevi, amaca ulaşma olasılığını en üst düzeye çıkaracak şekilde risklere karşılık vermektir. 3 Risk insan faaliyetlerinin olduğu her yerde kaçınılmazdır. Kişilerin kendi faaliyetlerinde, özel sektörde ve kamu sektöründeki faaliyetlerde kendini gösterir. Temel bir kavram olarak risk çeşitli şekillerde tanımlanabilir. • IIA4 riski şöyle tanımlamıştır: “Hedeflere ulaşmak üzerinde bir etkisi olabilecek bir olayın oluşmasına dair belirsizliktir.” • Riski yönetmek için Avusturya ve Yani Zelanda Kamu Sektörü Rehberi riski şöyle tanımlar “Hedefler üzerinde etkisi olacak bir şeyin olma ihtimalidir. Sonuç ve olasılığa dayalı ölçülür.” 2 The Orange Book, Management of Risk Priciples and Concepts, October 2004, HM Treasury, United Kingdom (UK) 3 Management of Risk, A Strategic Overview, January 2001, HM Treasuty, UK, s.2 4 Institute of Internal Auditors: www.theiia.org 16 • Kanada İmtiyazlı Muhasebeciler Enstitüsü riski şöyle tanımlar: “Bir veya birden fazla kişinin veya kurumun bir olay veya durumdan kaynaklanan olumsuz sonuçları yaşama olasılığıdır.” • Kanada Standartları Derneği Risk Yönetimi: Karar Vericiler için Rehber riski şöyle tanımlar: “Sağlığa, mülke, çevreye veya değeri olan şeylere olan etkinin ve olasılık ve öneminin ölçüsü şeklinde tanımlanan yaralanma veya kayıp ihtimalidir.” • Uluslar arası Standardizasyon Kurumu (ISO)’nun 1 Kasım 2000 tarihli Risk Yönetim Terminolojisi’nde risk “Bir olayın olma ihtimali ve bunun sonuçlarının kombinasyonu; Not 1: Bazı durumlarda risk beklenenden sapmadır” şeklinde tanımlanmıştır.5 Buna göre risk gelecekte olacak olayları ve getirileri sarmalayan belirsizliktir. Bu belirsizliğin iki anlamı vardır. Bunlardan biri oluşması belirsiz olan olayın etkisinin olumlu olmasıdır. Olumlu etkisi olan olaylar fırsat olarak adlandırılır ve bunlar doğru şekilde yönetilip hedefe ulaşma faaliyetlerine kanalize edilmelidir. Olumsuz etkisi olan olaylar basit bir biçimde risk olarak adlandırılır ve bunların etkilerinin kurumu hedefe ulaşma yolundan saptırmaması için gerekli önlemlerin alınması gerekir. Riskler yukarıdaki gibi kurumun stratejik planlarındaki hedeflere ve var oluş amaçlarına göre sınıflandırılabileceği gibi, değişimin ortaya çıkardığı sonuçlara göre aşağıdaki gibi de sınıflandırılabilir:6 • Ortalama Sonuç Olarak Risk: Sigorta uzmanları olayların riskini, söz konusu olaylardan beklenen sonuç olarak ifade etmektedirler. 5 Integrated Risk Management Framework, April 2001, Treasury Board of Canada Secreteriat, Canada s.7 6 TÜSİAD, Kurumsal Risk Yönetimi, Aralık 2006, s.10 17 Faaliyetler için genellikle söz konusu sonuç “zarar” olmaktadır. Ortalama sonuç kavramı potansiyel sonuçların nerelere kadar uzanabileceği konusunda oldukça sınırlı bir bilgi vermektedir. Başka bir ifade ile bu anlamda risk sadece beklenen sonuçların gerçekleşip gerçekleşmemesi ile ilgilidir. • Sonuçlar Arasındaki Farklılık Olarak Risk: Risk ile ilgili genel tanımlama, riskin, olaylarla ilgili sonuçların istatistiksel değişimini veya standart sapmasını ifade ettiğidir. Bu tanım çerçevesinde risk yönetiminin amacı; beklentiler ile potansiyel sonuçlar arasındaki farklılığı mümkün olduğu derecede aza indirgemektir. • Kayıp Olarak Risk: Riskin en dar kapsamlı tanımlamalarından biri riskin kayıp olarak kabul edilmesidir. Bu tanımlamaya göre risk; müşterilerin neden olduğu zararlar, yolsuzluk veya doğal sebeplerden veya insan hatalarından meydana gelen problemler gibi büyük olumsuz etkiye sahip olayların meydana gelmesidir. • Potansiyel Kazanç Faktörü Olarak Risk: Genellikle üzerinde çok fazla durulmayan bir nokta, riskin kazanç sağlamak için bir araç olarak kullanılıyor olmasıdır. İş dünyası risk alma işidir. “Risk” ve “Kazanç” birbirlerini tamamlayan kavramlardır. İş dünyasında başarının anlamı; doğru zamanda doğru risklerin alınması ve bu risklerin kazanca dönüştürülmesidir. Risklerin sadece kayıp olarak görülmesi kazanç haline dönüşebilecek risklerin zamanında ve doğru olarak tespit edilmesini zorlaştırmaktadır. • İlgili Oldukları Alanlara Göre Risk: Riskleri çok genel olarak dahi belli bir sınıflandırmaya tabii tuttuğumuzda birbirinden farklı onlarca riski ortaya koymak mümkündür. Bunlar piyasa riskleri, kredi riskleri, faaliyet riskleri, yasal riskler, bilgi riski, çevresel riskler, ülke 18 riski, temel iş ile ilgili riskler, fiyat riskleri, doğal riskler, finansal raporlama riskleri, kontrol riski v.b. olarak sınıflanabilir. Hepsi birbirinden farklı olan bu riskler farklı risk tanımlamalarına sahiptir, çünkü beklenen sonuç her bir faaliyet için farklıdır. • Kurum ile İlgili Taraflar Açısından: Farklı menfaat grupları, kurum ile ilgili riskleri tanımlama, anlama ve yorumlama açısından farklı bakış açılarına sahip olabilmektedir. Üst yöneticiler, orta sınıf yöneticiler, yönetim kurulları, büyük hissedarlar, küçük yatırımcılar, kredi sağlayan kuruluşlar, yatırımcı danışmanlık ve aracılık kuruluşları gibi kurum ile ilgili farklı hedefleri, planları ve beklentileri olan gruplar riskleri de farklı şekilde tanımlamaktadırlar. Tüm bunlar dikkate alındığında risklerle baş edebilmek, geleceğin belirsiz olaylarını her açıdan analiz edip fırsatlarla riskleri birbirinden ayırabilmek, fırsatları kurum stratejisi içine katıp innovasyon ve teknolojik atılımlar yapabilmek için bunları kullanmak, risklerin ayrıntılı değerlendirmesini yapıp bunlar karşısında takınılacak tavrı belirleyebilmek için kurumların yapması gereken şey bu riskleri yönetebilmektir. Risk Yönetimi Risk; kurumların hedeflerine ulaşmasını tehlikeye düşüren, beklenmedik olaylar olarak tanımlanabilir. Risklerin kaynağı, kurumun faaliyet gösterdiği çevredeki belirsizlikler ve gelecekteki bilinmeyen olaylardır. Bu olayların kurum için olumlu ya da olumsuz etkileri olabilmektedir. Bu nedenle her kurum faaliyetlerini sürdürebilmek için bu olayları öngörmek, olumlu etkisi olan fırsatları kurumun lehine kullanmak, olumsuz etkisi olan riskleri ise çeşitli yöntemlerle yöneterek kurumu hedefleri 19 doğrultusunda ilerledikleri yolda tutmak zorundadır. Günümüzde yönetime en fazla güçlük çıkaran sorun, değer yaratma sürecinde kurumun ne kadar risk üstlenmeye hazır olduğuna karar verebilmektir. Bu kararı verebilmek için kurumun iyi bir risk yönetim sürecini yerleştirmiş olması gerekmektedir. Risk sonucun tahmin edilemez olmasıdır ve iyi bir risk yönetimi kuruma şunları sağlar: • Kurumun istediği sonucu elde etmesine artan güven • Tehditleri kabul edilebilir seviyede sınırlamak • Fırsatlardan yararlanma konusunda elde edilen gerekli bilgiye dayanarak kararlar almak • Paydaşların kurumun yönetimine ve hüküm verme yeteneklerine olan güvenlerinin artması Risk yönetimi, iyi yönetimin ve karar almanın ayrılmaz bir unsurudur. Tüm kurumlar fark etseler de etmeseler de risk yönetimi yaparlar. Kimi kurumlar risk yönetimini daha ciddiye alır ve sistematik bir biçimde uygular. Bazıları ise bir sistem olarak algılamamakla birlikte günlük kararları alırken ve kurumu yönetirken riskleri de yönetirler. Geleneksel Risk Yönetiminden Kurumsal Risk Yönetimine Geçiş Risk yönetimi gittikçe daha fazla önem kazanmaya başlayan bir konu haline gelmiştir. Risk yönetiminin önemi arttıkça geleneksel risk yönetimi yöntemlerinin, riski tanımlama, değerlendirme ve yönetmede yetersiz olduğu görülmüştür. Geleneksel risk yönetimi yöntemleri, kurumun hedeflerine ulaşmasını kolaylaştırmak ve kurumun değer yaratma sürecine katkıda bulunmaktan çok, kayıpları engellemeye yönelik olduğundan çoğu kurum 20 risk yönetimini yeniden tanımlamak zorunda kalmıştır. Bu yeni tanımı ile risk yönetimine kurumsal risk yönetimi denilmektedir. Kurumsal risk yönetiminin odaklandığı konu risk yönetimi süreci ile var olan yönetim sürecini kaynaştırmak, pozitif veya negatif etkisi olabilecek gelecekteki olayları tanımlamak, kurumun bu olaylardan ne kadar etkileneceğini gösteren “olaylara maruz kalma oranını” belirleyip yönetmek için etkili stratejiler geliştirmektir. Kurumsal risk yönetiminin altındaki dayanak noktası her kurumun paydaşlarına değer sağlamak için var olduğudur. Her kurum belirsizlikle karşılaşır ve yönetimin yapması gereken şey; hissedar değerini büyütmeye çabalarken ne kadar belirsizlik kabul edileceğine karar vermektir. Belirsizlik değeri azaltma veya güçlendirme potansiyeline sahip riskleri ve fırsatları içerir. Kurumsal risk yönetimi kurumun belirsizlikle ve bununla birlikte risk ve fırsatlarla etkili ve verimli bir biçimde başa çıkarak değer yaratma kapasitesini güçlendirmesini sağlar. Değer; yönetim büyüme, hedeflerin getirileri ve alakalı riskler arasında bir denge bulmak için strateji ve hedefler oluşturduğunda ve kurum hedeflerine ulaşmak için faaliyette bulunurken, kaynakları etkili ve verimli olarak dağıttığında en yüksek seviyeye ulaşır. Risk yönetimini riski değerlendirmek ve riskin politik etkisini kontrol etmek için alınan önlemler olarak tanımladığımızda risk yönetiminin uygarlığın başından beri uygulandığını söyleyebiliriz. Ancak risk yönetimini bilinçli kurumsal bir uygulama olarak aldığımızda tarihi çok yenidir. Bu anlamda risk yönetimi teriminin ilk başlangıcı 1950 ve 1960’lara rastlamaktadır. Risk yönetimiyle ilgili ilk adımlar sigortacılık sektöründe atılmıştır. 1967’de Edward Lloyd7 Londra’da bir kahve dükkânı açtı. Bu dükkân gemicilikle ilgili bilginin değiş tokuş edildiği bir merkez haline geldi. 1696’da Lloyd Listesinin oluşturulması ile bu bilgi aktarımı resmi bir boyut kazandı. 7 BERNSTEİN Peter L. , Tanrılara Karşı, Riskin Olağanüstü Tarihi: s.108–109 21 Böylece Lloyd’un kahve dükkânı dünyanın denizcilik sigortasının merkezi olarak gelişti. Zamanla Lloyd daha büyük risk havuzları oluşturarak ve risklerin kapsadığı alanları genişleterek tüm sigortacılık sektöründe lider konumuna yerleşti. 1970’lere8 gelindiğinde risk yönetimi terimi iş âleminde daha geniş kabul görmeye başladı. Risklerin kapsadığı alanlar krediler ve kayıptı. Bretton Woods anlaşmasının sona ermesi ve 1970’lerin sonundaki petrol krizleri gibi gelişmeler sonunda riski oranlama (rating) ve riski değerlendirme danışma hizmetlerinin ilk adımları atılmaya başlandı. 1980’lerde risk kapsamında kredi riski, kayıp riski ve piyasa riskleri bulunmaktaydı. 1990’lara gelindiğinde riskin en önem verdiği konu artık dış hasarın en aza indirilmesi değildi. Yöneticiler artık kararlarının beklenmeyen sonuçları için daha fazla güvence ile önemli kararları verirken karşı karşıya oldukları riskler hakkında daha fazla bilgi talep etmeye başladılar. Risk yönetimi, piyasadaki artan rekabetten doğan risklerin değerlendirilmesi ve kurumların büyümesini hedefleyen “iş risk yönetimine” kaymaya başladı. Kurumlar artık iflasa neden olabilecek riskler hakkında endişelenmeye başladılar. 1990’ların sonundaki çalışmalar kurumların yönetmek için kapsama aldığı risklerin çoğaldığını, zamanla da kapsamın genişlemeye devam ettiğini göstermekteydi. Bu genişleme risk yönetiminin ortaya çıkmasına taban oluşturmuştur. 2000’lerde kurumsal risk yönetimi artık tüm kurumların riski yönetmek için kullandığı bir araç haline gelmişti. Riskin kapsamı en geniş halini aldı. Artık sadece kayıp ve finansal riskler değil, stratejik ve faaliyet riskleri de kapsama alındı. Risk artık belirli bir birimde veya 8 NON A. J. Are we Ready for Enterprise Wide Risk Management? slayt 8-11 http://www.picpa.com.ph/articles/erm.pdf 22 fonksiyonda değil, kurumun genelinde bir bütün halinde yürütülmeye başlandı. Kurumsal risk yönetimi, geleneksel risk yönetimi yaklaşımlarından; objektif, ölçek, odak, vurgu ve uygulama kavramları bakımından ayrılır. Kurumsal risk yönetimi; strateji, insanlar, süreç, teknoloji ve bilgiyi içerir. Vurgu strateji üzerindedir ve uygulama alanı kurumun genelidir. Tablo 1: Risk yönetiminden kurumsal risk yönetimine9 --- Risk Yönetimi İşletme Risk Yönetimi Odak Finansal ve tehlike riskleri ve iç kontrol İşletme riski ve iç kontroller, risk- risk yaklaşımı Objektif İşletme değerini korumak İşletme değerini korumak Ölçek Hazine, sigorta ve ilgili İşletme yöneticilerinin faaliyetler sorumluluğu (risk-risk) Vurgu Uygulama Finans ve faaliyet Yönetim Seçilen riskli alanlar, Seçilen riskli alanlar, birimler ve süreç birimler ve süreç Şimdiki Durum Kapasitesi ---- Kurumsal Risk Yönetimi İşletme riski ve iç kontroller, kurum genelinde risklerin tanımlanması yaklaşımı İşletme değerini korumak ve güçlendirmek Her seviye ve birimi kapsayacak şekilde kurum genelinde uygulama Strateji yerleştirme İşletme genelinde tüm değer kaynakları Gelecekteki Durum Vizyonu Peki, neden kurumsal risk yönetimi kuruma yerleştirilmelidir? Bunun en büyük nedenlerinden biri geleneksel risk yönetimi yöntemlerinin büyük kayıplara engel olamaması ve kendilerinden bekleneni karşılayamamasıdır. Kurumsal risk yönetimi geleneksel risk yönetiminden farklı olarak riskleri azaltmaktan çok onları oluşturmaya önem verir. yönetmeye odaklanır. Oluşturduğu Yönetim stratejiler için kurumun strateji en üst kademelerinden başlar ve en küçük göreve kadar iner. İşletme strateji oluşturmadan faaliyetlerini gerçekleştirdiğinde günlük işler peşinde koşarken 9 http://www.knowledgeleader.com/iafreewebsite.nsf/content/InternalAuditEnterpriseRiskManageme ntPracticalImplementationIdeas!OpenDocument 23 attığı her adımla ve yönetimin aldığı her kararla değer; yaratılır, saklanır veya aşındırılır. Kurumsal risk yönetimi değerin aşındırılmasının önüne geçerek belirsizlik yaratan gelecekteki olaylarla daha etkili başa çıkmak ve kayıplara neden olacak olayların olma olasılığını azaltıp, kazanç sağlayacak olayların olma olasılığını arttırmak konularında yönetime yardımcı olarak değer yaratılmasını destekler. Geleneksel risk yönetimi bölümler içinde uygulanarak sadece o bölümün karşılaşacağı riskleri bertaraf etme amacıyla hareket ettiğinden bir bölümdeki risk yönetimi çok iyi işlerken kurumun diğer bölümleri bu konuda başarısız olabilmektedir. Kurumsal risk yönetimi tüm kurumu kapsayan bir sistem olduğundan kurum genelinde risk standartları koyarak tüm birimlerin risk yönetiminden etkili bir biçimde yararlanmasına imkân sağlar. Böylece kurum hedeflerine ulaşmak için çalışırken karşılaşacağı belirsizlikleri değerlendirmek, kabul etmek ve yönetmek için daha etkili ve öncelikli bir süreç kurumun genel yapısının içine yerleştirilmiş olur. Kurumsal risk yönetiminin üç önemli avantajı vardır. İlki kurumun yeterliliğini sürdürebilmesine yardımcı olmasıdır. İkincisi bu süreç kullanıldığında riski yönetme maliyetleri optimumdur. Üçüncüsü ise sürecin yönetime iş performansını arttırmakta yardımcı olmasıdır. 24 2. Kurumsal Risk Yönetimi COSO ERM Gelişimi 2000’li yıllarda Amerika Birleşik Devletlerinde büyük kayıplara neden olan iş skandalları, ekonominin yavaşlamasının işlerde kayıplara neden olması ve dünyadaki gelişmelerin yeni riskleri ortaya çıkarması ile herkes risk yönetiminin öneminin farkına vardı. O döneme kadar kullanılan pek çok risk yönetimi tekniği bulunmaktaydı. Ancak yukarıdaki bölümde de anlatıldığı gibi bunlar yetersiz kalmaya başlamıştı. Kurumların karşı karşıya olduğu her risk alanını kapsamıyordu. Yapılarının uyumsuzluğu nedeniyle farklı alanları kapsayan risk yönetimi modellerinin bir arada kullanılması da pek çok probleme neden oluyordu. Riski tartışmak, tanımlamak, değerlendirmek ve yönetmek için ortak bir modele ihtiyaç vardı. Böyle bir modelin oluşturulması projesine COSO tarafından 2001 yılında başlandı. COSO, PWC ile birlikte yöneticilerin kurumlarının kurumsal risk yönetimini değerlendirebilecekleri ve güçlendirebilecekleri hazır bir model geliştirmek amacıyla böyle bir çalışmaya start verdi. Çalışma birçok kaynaktan edinilen bilgilerle geliştirildi, birçok farklı tarafı temsil eden birçok kişiden anketler ve diğer yöntemlerle görüşler alındı ve bu sayede edinilen bilgiler de modele girdi oluşturdu. COSO’nun yetki verdiği bir danışma kurulu da sürece katkı sağladı ve rehberlik etti. 2004’ün sonunda model basıldı.10 10 COSO Enterprise Risk Management – Integrated Framework, September 2004 25 Kurumsal Risk Yönetimi Tanımı Kurumsal risk yönetimi şunları ihtiva eder: • Risk kapasitesi ve stratejisini sıralamak: Yönetim stratejik alternatifleri değerlendirerek, ilgili hedefler koyarak ve ilişkili riskleri yönetmek için mekanizmalar geliştirerek kurumun risk kapasitesine karar verir. • Risklere verilecek karşılık kararlarını güçlendirmek: Kurumsal risk yönetimi riske verilecek karşılık alternatiflerini; riskten kaçma, riski azaltma, paylaşma ve kabullenme; tanımlamayı ve seçmeyi sağlar. • Faaliyetle ilgili sürprizleri ve kayıpları azaltmak: İşletmeler potansiyel olayları tanımlayıp onlara verecekleri karşılıkları belirleyerek, sürprizleri ve bunlarla ilişkili maliyet ve kayıpları azaltarak, kapasitelerini güçlendirirler. • Çoklu ve kesişen kurumsal riskleri tanımlamak ve yönetmek: Her kurum, kurumun farklı bölümlerini etkileyen çok sayıda riskle karşılaşır ve kurumsal risk yönetimi birbiri ile alakalı bu risklerin kurum üzerindeki etkilerine göre uygun karşılık vermeyi kolaylaştırır. Birbirini etkileyen çoklu (multiple) riskler için verilecek karşılıklar bütüne yönelik olduğunda çok daha etkilidir. • Fırsatları değerlendirmek: Potansiyel olayları tüm olasılıklarıyla değerlendirerek yönetim, fırsatları tanımlayacak ve inisiyatifi ele alarak gerçekleştirecek pozisyonda olur. 26 • Sermayenin gelişimini güçlendirmek: Risk ile ilgili sağlam bilgi elde etmek kurumun genel sermaye ihtiyacını etkili bir biçimde değerlendirmesini ve sermaye tahsisini güçlendirmesini sağlar. Değer yaratımını veya korunmasını etkileyen risk veya fırsatlarla uğraşan kurumsal risk yönetimi şu şekilde tanımlanır: Kurumsal risk yönetimi kurum genelinde olan ve oluşturulan stratejileri uygulayan; kurumun yönetim kurulu, yönetimi ve diğer personelinden etkilenen; kurumun hedeflerini elde etmesi için makul bir güvence sağlamak için kurumu etkileyebilecek potansiyel olayları tanımlamak ve risk kapasitesi içinde yönetmek amacıyla tasarlanmış bir süreçtir. Bu tanımın kapsamı çok geniştir. Sürecin kurum genelinde etkili olması ve kurumda yer alan her kademedeki kişilerden etkilenmesi, her birimin kurumun risk kapasitesi dâhilinde karşılaşılan riskleri yönetmekte sorumluluk üstlenmesi kapsamın ne kadar geniş olduğu hakkında bir fikir verebilecek kavramlardır. Riski yönetmede kullanılabilecek kaynaklar sınırlıdır ve bu nedenle riske en uygun karşılığı vermeyi başarma hedefi, risklerin gelişimine uygun olarak şekillenmektedir. Risk kaçınılmazdır ve her kurum, tolere edebileceği düzeydeki riski yönetmek için harekete geçmelidir. Kabul edilebilir ve mazur görülebilir olarak değerlendirilen risk miktarı, risk kapasitesidir. Riskin tolere edilebilirliği ve risk kapasitesi arasındaki fark ise her ikisi de kurumun ne kadar risk üstlenebileceğine dair sınırlar koymasına rağmen, risklerin tolerasyonunun daha dar kapsamlı olmasıdır. Risk toleransı hedefler etrafında kabul edilebilir bir değişkenlik kurarken, risk kapasitesi daha yüksek seviyeli bir kavram olup yönetimin kabul edilebilir farz ettiği risk seviyelerini daha geniş olarak değerlendirir. 27 Kurumsal risk yönetimi kurumun hedeflerine ulaşmasına engel olabilecek belirsizliklerin yönetilmesi olduğuna göre riskleri yönetebilmek için kurum hedeflerinin ne olduğu önemlidir. İşletmenin vizyonu veya misyonunu oluşturma bağlamında yönetim, stratejik hedefler oluşturur, stratejiyi seçer ve kurumun genelini etkileyen hedefleri oluşturur. İşletmelerin hedefleri; • Strateji: İşletmenin misyonuyla alakalı üst seviye amaçlar. • Faaliyetler: Kaynakların etkili ve verimli kullanılması • Raporlama: Raporların güvenilirliği • Uyum: Yürürlükteki yasa ve yönetmeliklerle uyum şeklinde genellenebilir. Hedefler raporların güvenilirliğine ve yürürlükteki yasa ve yönetmeliklerle uyuma bağlı olduğundan ve düzenlemeler kurumun kontrolünde olduğundan, kurumsal risk yönetimi hedeflere ulaşmada sadece makul bir güvence sağlar. Stratejik hedefler ve faaliyet hedeflerine ulaşmak kurumun her zaman elinde olmayan dış etkenlere bağlıdır; buna göre bu hedefler için, kurumsal risk yönetimi yönetimin ve üst düzeyde rolü olan yönetim kurulunun, kurumun hedefine ulaşmaya doğru ilerlerken kapsam dahilinde belli sürelerle haberdar edilmesine dair makul bir güvence sağlar. Kurumsal risk yönetimi bu dört hedefin elde edilmesi sürecinde risklerin yönetilmesi için kurumlara yardımcı olurken, faaliyetler kurumun her düzeyinde yürütülmektedir: • İşletme seviyesi • Bölüm • Şube • İş birimleri 28 Kurumların yukarıda belirtilen hedeflerine her kurum düzeyinde ulaşılabilmesi için COSO birbiriyle alakalı sekiz unsur tanımlamıştır. Kurumsal Risk Yönetimi Unsurları Şekil 1: COSO - ERM Küpü İç Ortam İç ortam bir kurumun rengidir. Risklerin kurumda çalışan kişiler tarafından nasıl görüntülenmesi ve yönlendirilmesi gerektiğine dair bir temel oluşturur. İç ortam kurum ile ilgili risk yönetimi felsefesi, risk kapasitesi, dürüstlük etik değerler ve faaliyet gösterilen çevre gibi kavramları içerir. Yetki dağılımı, yönetim biçimi, tanımlanmış rol ve sorumluluklar gibi yönetimle ilgili unsurlar da yine iç ortam içinde yer alır. COSO strateji, faaliyet, raporlama ve uyumla ilgili hedefleri içeren bir planlama süreci anlatır. Kurumsal risk yönetimi programının nasıl tasarlanacağı ve ne kadar etkili yerleştirilebileceği bu iç ortama bağlıdır. 29 Hedef Belirleme Yönetim faaliyette bulunurken, ulaşmak istediklerini elde etmesini etkileyecek riskleri tanımlamadan önce, etkilenecek hedefler var olmalıdır. Kurumsal risk yönetimi kurumun vizyonu ve misyonu ile uyumlu olan ve bu iki unsuru destekleyen strateji ve hedeflerin belirlenmesine yardımcı olmak üzere tasarlanmış bir süreçtir. Ayrıca bu strateji yürütülürken karşılaşılacak risklerin kurumun risk kapasitesi sınırları içinde olmasını sağlayan bir süreçtir. Hedef belirleme sürecinin bu iki parametre (misyona ve vizyona uyumlu olma ile hedeflerin onlara ulaşılmak için karşılaşılacak risklerin risk kapasitesi içinde kalmasını sağlayacak seviyede koyulması) dikkate alınarak yürütülmesi gerekir. Sonuç olarak hedef belirleme süreci, yönetimin risk stratejisini de göz önünde bulundurarak hedefleri belirlemesidir. Risk yönetimi için hedef belirlemenin iki önemli işlevi vardır: 1) İşletmenin risk kapasitesini biçimlendirir. Risk kapasitesi kavramı, gerçekleşirse kabul edilebilir ve mazur görülebilir olarak düşünülen riske maruz kalma seviyesini kapsar. Bu bakımdan kapasite, riski sınırlamanın maliyetini (finansal veya başka türlü) riske maruz kalma gerçekleşirse, maruz kalmanın maliyetiyle kıyaslamakla ve kabul edilebilir bir denge bulmakla ilgilidir. Fırsatları dikkate alırken bu kavram, kişinin fırsatın yararlarını elde etmek için fiili olarak ne kadar risk yüklenmeye hazırlıklı olduğunun dikkate alınmasını kapsar. Her durumda risk kapasitesi en iyi, kurumun her düzeyine, düşündükleri ister tehdit ve kontrolün maliyeti, ister fırsat ve onu elde etmeye çalışmanın maliyeti olsun, alabilecekleri risklerin limitleri konusunda rehberlik yapan, yönetim tarafından uygun bir şekilde yetki verilmiş bir dizi sınır olarak ifade edilir. 30 2) Risk toleransı risk kapasitesi ile uyumlaştırılır. Risk toleransı kurumun risk ile ilgili olan daha dar kapsamlı sınırıdır. Hedefler etrafındaki değişimlere göre kurumun ne kadar risk üstlenmeyi kabullenebileceği ile ilgilidir. Toleranslılık ters bir etki sırasında kaybedilen veya israf olan kaynaklardan, kontrolün maliyeti ve riske maruz kalma dengesinden; kazanılacak potansiyel yarar veya dayanılması gereken kayıp dengesinden yola çıkılarak belirlenir. Etkilerin yeni, gözlenemeyen ve gecikmeli olduğu bilinmeyen alanlardaki risk toleransı düşük iken, kişilerin kontrolü daha fazla ellerinde tuttukları alanlarda risk toleransı yüksektir. Olay Tanımlama Kurumun hedeflerine ulaşmasını etkileyen, risk ve fırsatlar arasında değişen iç ve dış olaylar tanımlanır. Riski etkili bir biçimde yönetebilmek için önce varlığının fark edilmesi gerekmektedir. Bu görevde etkin olabilmek için kurum yönetimi, hem iç hem de dış kaynaklı çeşitli faktörleri göz önünde bulundurmak zorundadır. Potansiyel olarak risk yaratabilecek bazı dış faktörler şunlar olabilir: Politika: Ulusal hükümet ve diğer devlet organlarının etkileri bu kategori içindedir. Ekonomi: Uluslar arası ve ulusal piyasalarda olanlar, küreselleşmenin etkileri kurum için potansiyel ekonomik dış risk alanlarıdır. Sosyal: Büyük demografik ve sosyal eğilimler, vatandaşların meşguliyet düzeyi kurumun faaliyetlerini etkiler. Teknoloji: Yeni teknolojiler, eğer kurum ayak uyduramayacaksa büyük risk yaratır. İşletmenin risk profilini etkileyen iç faktörler ise; genel yönetimin yapısı, yönetim ve hesap sorumluluğu yapısı, değer yargıları ve etik, 31 faaliyetin yürütüldüğü iş çevresi, kişi ve şirket risk kültürü ve tolerans düzeyi, var olan risk yönetimi uzmanlık ve uygulamaları, insan kaynakları kapasitesi, istenilen şeffaflık seviyesi, kurum politika, prosedür ve süreçleridir. Organizasyon riskleri ve faaliyet riskleri genellikle iç kaynaklıdır. Organizasyonel riskler kurumun genelini kapsayan risklerdir. Sorumlulukların düzenlenmesinde yapılacak hatalar, sorumlulukların kullanılmasındaki insan faktörü, iç kontrolün yetersiz olması veya iyi uygulanamaması, işlemlere ilişkin bozukluklar, bu işlemlerin güvence altına alınmaması, işlemlere hakim olunmaması veya prosedürlere uyulmaması gibi örnekler verilebilir. Operasyonel riskler kurum içinde daha küçük kısımlar olan operasyon birimlerinde görülen risklerdir. Belirli birimler ve bu birimlerde çalışan insanların faaliyetleriyle şekillenen bu risk türüne, gerçekleştirilen bazı özel operasyonların takibinin yapılmaması örnek verilebilir. Bunların yanında mali riskler ve değişim riskleri hem iç hem de dış kaynaklı olabilir. Mali riskler kurumun mali kaynaklarının taşıdıkları risklerdir. Mali işlemlerin takibinin yapılamaması, kaynakların kaybedilmesi, çalınması veya zimmete geçirilmesi gibi durumlar bu kapsamdadır. Değişim riskleri; kurumların faaliyet gösterdiği çevrede yaşanan değişimler kurumun hedeflerine ulaşıp ulaşamayacağı konusunda belirsizlik yarattığında söz konusudur ve bu haliyle dış kaynaklıdır. Kurum içinde yaşanan değişimler, hedeflerin değişmesi, yöneticilerin değişmesi, farklılaşan durumlara karşı yönetimin takınacağı tavır, kurum içindeki kişilerin değişimlere göstereceği direnç ve benzeri faktörlerin hedeflere ulaşmayı tehlikeye düşürmesi ise iç kaynaklı riskleri yansıtır. Olay tanımlama kurumun karşılaşacakları riskle ilgili anahtar kavramların farkında olmasına yardımcı olur. Bu anahtar kavramlar: Riskin tipi: Teknolojik risk, finansal risk, insan kaynakları riski (kapasite, bilgi düzeyi), sağlık riski, güvenlik riski... gibi. 32 Riskin kaynağı: Dış (politika, ekonomi, doğal afetler... gibi), iç (itibar, güvenlik, bilgi yönetimi, karar verme için bilgi... gibi) Risk altında olan nedir: Etki alanının ne olduğu, riske maruz kalmanın şekli (kişiler, itibar, program sonuçları, malzeme... gibi) Riski kontrol etme kabiliyetinin seviyesi: Yüksek (örneğin faaliyetlerde), orta (örneğin itibar), düşük (doğal afetler) Olay tanımlama ayrıca belirsizliklerin risk mi fırsat mı olduğu konusunda ayrım yapmaya imkan verir. Kurumun hedeflerine ulaşmasını tehlikeye düşüren olaylar risk olarak tanımlanır. Kurumun hedeflerine ulaşmak için yürüttüğü faaliyetler üzerinde olumsuz etki yaratan bu risklere; çeşitli yöntemlerle etkilerinin azaltılması, faaliyet devam ederken riskin kabul edilebilir bir seviyede sınırlanması (tedavi edilmesi), bertaraf edilmesi veya transfer edilmesi gibi karşılıklar verilir. Kurumların hedeflerine ulaşmalarında pozitif etkiye sahip olaylar fırsatlardır. Bu durumda kurumsal risk yönetiminin amacı fırsatlardan fayda sağlayarak belirsizliği kurumun menfaatine çevirmektir. Yönetim fırsatları strateji veya hedef oluşturma sürecine kanalize etmelidir. Olay tanımlama süreci, kurumun hangi risklerle karşılaşabileceğine odaklanmak için, kurum içindeki farklı perspektife, deneyime ve göreve sahip temsilcileri bir araya getiren işbirlikçi bir yapıya sahip olmalıdır. Risk Değerlendirmesi Riskler tanımlandıktan sonra bunların kurum üzerindeki olası etkilerinin ve meydana gelme olasılıklarının değerlendirilmesi gerekir. Risk değerlemesinin üç önemli ilkesi vardır; her risk için hem etki hem de olma olasılığının açıkça düşünülmesi ki risklerin değerlendirilmesi bu iki perspektiften yapılabilsin, risk değerlendirmesinin tesislerin izlenerek ve risk 33 öncelikleri tanımlanarak kaydedilmesi ve risklerin yapısal risk ve artık risk tabanında değerlendirilmesidir. Şekil 2: Basit risk/tolerans matrisi11 Öncelikle tanımlanan olayların sonuçları analiz edilerek yönlendirilecek kurum genelinde veya hayati öneme sahip lokal risklerin hangileri olduğuna karar verilmelidir. Daha sonra etki ve olma olasılığı olarak belirtilen riske maruz kalma oranları belirlenmelidir. Sonra da risk toleransı dikkate alınarak riskler derecelendirilmelidir. Bazı risk çeşitleri, özellikle finansal riskler rakamsal tanıya uygundurlar. Diğer riskler için, örneğin itibar riski, çok daha öznel bir bakış açısı mümkündür. Risk değerlendirmesi bu açıdan bakıldığında ayrıntılıdır. Buna rağmen riski değerlemek için bir çerçeve geliştirmek gereklidir. Hem nitel, hem de nicel değerleme yöntemlerinin kullanılmasını gerektirir. Değerleme mümkün olduğu kadar tarafsız olan bağımsız kanıt kullanmalı ve riskin nesnel değerlemesini, riskin kabul edilebilirliği yargısıyla karıştırmaktan kaçınmalıdır. Risk değerlemesinin bulundurularak 11 yapılması yapısal gereklidir. risk Risk ve artık olayların risk ve göz önünde davranışların Orange Book, age, s.19 34 sonucundaki ya olumlu fırsat ya da olumsuz tehdit şeklindeki belirsizlik olarak tanımlanır. Risk, bir şeyin olma olasılığı ve eğer gerçekleşirse ortaya çıkacak tepkinin birleşimine göre değerlendirilmelidir. Risk yönetimi risklerin (yapısal risklerin) tanımlanması ve değerlendirilmesini ve sonra bu risklere karşılık verilmesini içerir. Yapısal riskler aynı zamanda iş riski olarak da adlandırılırlar ve her kurum faaliyetinde bulunurlar. Herhangi bir faaliyetin yapısal riski fonksiyonudur. kaynaklarının 12 ve işlemin yapısının karışımının bir Riske kurumda gösterilen tepki “İç Kontrol” olarak adlandırılır. İç kontrol uygulandıktan sonra kalan riskin seviyesi artık risktir. Artık risk, riski hafifletme stratejisinde kaçınılamayan, bertaraf edilemeyen ve transfer edilemeyen risklerdir13. Şekil 3: Yapısal risk – artık risk14 12 http://www.mc2consulting.com/riskart3.htm http://www.ramprisk.com/riskglossary/glossary_p2t.asp 14 Agency Risk Management and Internal Control Standards / Appendix A: Implementation Tools, 2005, Virginia 13 35 Üzerinde durulmasında fayda olan ve risklere karşılık verilmeden önce karar verilmesi gereken bir kavram da risk alma iştahıdır. Risk alma iştahı kurumun herhangi bir harekette bulunmanın gerekliliğine hüküm vermeden önce maruz kalmaya hazır olduğu risk miktarıdır.15 Burada, risk alma iştahı ile daha önce bahsedilen risk toleransının her ikisinin de kurumun ne kadar risk almak istediğine dair sınırları koyduğuna dikkat çekmek gerekebilir. Ancak iki kavram birbirinden farklıdır. Risk alma iştahı daha geniş kapsamlıdır. Yönetimin kabul edilebilir olduğunu düşündüğü risk seviyesidir. Yönetimdeki kişiler risk almayı seviyorlarsa ve bu konuda cesurlarsa risk alma iştahının sınırları çok daha geniş olacaktır. Bunun yanında risk toleransı hedefler etrafındaki kabul edilebilir bir değişkenliği belirtir. Bu kavram istatistiki olarak varyans ile ifade edilir. Sınırları daha dar ve daha kesindir. Risk toleransı sınırları içinde kalmak yönetime risk alma iştahı sınırları içinde kalmak konusunda güvence sağlar ki bu da sonuçta kurumun hedeflerine ulaşması konusunda güvence sağlar.16 Risk değerlemesi, kurumun potansiyel olayların hedefleri etkileme büyüklüğünü anlamasını sağlar. Risklerin değerlendirilmesi ayrıca alakalı hedeflerin ölçülmesinde kullanılır. Faaliyetin gerçekleşme zamanı ile hedef ufkunu ilişkilendirir. Riske Karşılık Verme Riskler tanımlanıp değerlendirildikten sonra sıra, bu risk yığınının kurumun risk kapasitesi ve risk toleransı içinde olup olmadığının belirlenmesine gelir. Riske verilecek karşılık riskin kurumun üstlenmeye hazır olduğu seviye sınırı içinde olup olmamasına göre değişir. Riskin 15 16 Management of Risks, age, s.9 Frequently Asked Questions COSO’s Enterprise Risk Management Framework www.coso.org / COSO, s.2 36 yapısına göre verilecek karşılıklar kabul etme, kaçınma, azaltma veya paylaşma, şeklinde sınıflandırılabilir17. Maruz kalınan risk daha ileri bir davranışa gerek olmaksızın katlanılabilir olabilir. Katlanılabilir olmasa bile bazı risklerle ilgili önlem alma kabiliyeti sınırlı olabilir veya herhangi bir faaliyette bulunmanın maliyeti kazanılacak potansiyel yarara göre orantısız olabilir. Böyle durumlarda verilecek karşılık riskin var olan düzeyine katlanmaktır. Azaltma, kurumda riskin doğumuna neden olan faaliyet devam ederken riski, kabul edilebilir bir seviyede sınırlamak için kontrolde tutmaktır. Risklerin büyük çoğunluğuna verilen karşılık şekli budur. Bu tip kontroller faaliyetlerin özelliğine göre alt bölümlere ayrılabilir. Bazı riskler için en iyi karşılık onları paylaşmak olabilir. Bu geleneksel sigorta yöntemiyle riski transfer etme şeklinde yapılabilir veya üçüncü bir ajana, başka bir şekilde riski üstlenmesi için ödeme yapmak yöntemiyle yapılabilir. Bu seçenek özellikle finansal risklerin veya varlıkların riskinin azaltılması için uygundur. Riskleri transfer etme nedeni, diğer ajanın o riski yönetmekte daha yetkin olması olabileceği gibi, maruz kalınacak risk oranının paylaşım yoluyla azaltılması da olabilir. Ancak itibari risk gibi bazı risklerin transfer edilmesi mümkün değildir. Bazı risklerin etkisi ve olasılığı çok yüksektir. Bunları risk yönetimi yöntemleriyle azaltmak veya üçüncü kişilerle paylaşmak mümkün olmayabilir. Ya da mümkün olsa bile artık risk yine de tolerans sınırının üstünde kalıyor olabilir. Bunların dışında o faaliyetin riskini yönetmenin maliyeti, faaliyet gerçekleştirildiğinde kurumun edineceği kazançtan yüksek olabilir. Böyle durumlarda riske verilecek en uygun karşılık o faaliyete hiç 17 Orange Book, age, s.27 37 girişmemektir. Riskten kaçınma olarak bilinen bu karşılık da kurumun elindeki risk yönetim seçeneklerinden biridir. İşletmeler risklere ne tip karşılık vereceklerine karar verirken karşılık faaliyetinin tahmini fayda-maliyet ilişkisini göz önünde bulundururlar. En uygun karşılığı seçerek riskleri risk kapasitesi sınırları içinde tutmak, yönetimin risk yönetimi uygulama sürecinde alacağı önemli kararlardan biridir. Kontrol Faaliyetleri Risklere verilecek karşılıklar belirlendikten sonra, riskleri minimize etmek için yöntemler geliştirme safhasına geçilir. Kontrol faaliyetleri, riske verilecek karşılıkların etkili bir biçimde yerine getirilmesi, devam eden risklerin risk kapasitesi sınırları içinde yönetilmesi ve kurumun yürürlükteki yasa ve yönetmeliklerle uyumunun sürekli sağlanmasına yardımcı olmak için yerleştirilen politika ve prosedürlerdir. Bunun yanında politika ve prosedürler, diğer kurum talimatlarının da yerine getirilmesini sağlamaya yöneliktir. Tüm kurumda, her seviyede ve tüm fonksiyonlarda geçerlidir. Onaylar, izinler, soruşturmalar, anlaşmalar, performans gözden geçirmeleri, güvenlik ölçütleri ve uygun belgelerin oluşturulması ve muhafazası gibi geniş bir yelpazedeki faaliyetleri içerir. Kısacası bu faaliyetler temel kurum uygulamalarıdır. Burada yöneticilerin dikkat etmesi gereken şey riskleri en aza indirmek için yapılan bu kontrol faaliyetlerinin aşırıya kaçması en az aşırı risk kadar tehlikeli olduğudur. Gereksiz kontroller bürokrasiyi arttırır ve kontrolün etkinliğini azaltarak riskin gerçekleşme olasılığını arttırır. 38 Bilgi ve İletişim Kişilerin sorumluluklarını yerine getirmesi için ilgili bilgi belli bir biçimde ve belli zaman aralıkları ile tanımlanır, ele geçirilir ve iletilir. Kurumsal risk yönetimi gibi bir güç, riskin etkili olarak değerlendirilmesi ve yönetilmesi için zaruri olan, zengin miktarda veri kümesine ihtiyaç duyar. En uygun durumda, bu bilgi tanımlanan riskleri yönetmek, analiz etmek ve izlemekle sorumlu kişiler tarafından kullanılmak üzere uzmanlaşmış bir sistem ve/veya veri tabanında depolanır. Bu veriler, yönetim kurulu ve idarecileri de kapsayan kurumun her seviyesindeki iletişime temel oluşturur. İzleme Gelişimini ölçmek için kurumsal risk yönetiminin uygulaması izlenir ve etkinliği arttırmak için gerektiğinde ayarlamalar yapılır. İzleme devam eden yönetim faaliyetleri bazında, tek tek olaylar bazında veya her ikisinin karışımı şeklinde yapılabilir. İşletmenin ulaşmaya çalıştığı hedefler ile onlara ulaşmak için gerekli olanları temsil eden unsurlar arasında doğrudan ilişki vardır. COSO küpü bu ilişkiyi göstermek üzere tasarlanmıştır. Bir kurumda kurumsal risk yönetiminin etkin işleyip işlemediğine karar vermek, bu sekiz unsurun bulunup bulunmadığı, bulunuyor ise etkin işleyip işlemediğinin değerlendirilmesi sonucu ulaşılacak bir yargıdır. Dahası bu unsurlar etkili bir kurumsal risk yönetiminin kriterleridir. COSO’nun ERM süreci daha bir süreç şeması şeklinde de gösterilebilir. Bu gerçekleştirilmesi şemada için her neler kurumsal yapılabileceği risk yönetimi veya hangi unsurunun alanlara yönelinebileceği gösterilir. 39 Tablo 2: COSO – ERM Süreç Akışı Kurumsal risk yönetiminde bazı sınırlamalar bulunmaktadır. Karar verme sürecinde insan yargılarının hatalı olabilmesi, risklere verilecek karşılıkların ve oluşturulacak kontrollerin fayda maliyet analizi göz önünde bulundurularak oluşturulması, basit hatalar nedeniyle başarısızlıkların meydana gelmesi, yönetimin kurumsal risk yönetimi kararlarını hiçe sayması gibi durumlarda kurumsal risk yönetiminin etkinliği sınırlanır. Bu sınırlamalar 40 nedeniyle yönetim kurum hedeflerine ulaşmak konusunda mutlak değil makul bir güvenceye sahiptir. Kurumsal risk yönetimi konusunda tüm çalışanların rol ve sorumlulukları vardır. Faaliyeti yöneten üst yönetici süreç sonunda sorumludur ve süreci sahiplenmelidir. Diğer yöneticiler de kurumun risk yönetimi felsefesini desteklemeli, risk kapasitesiyle uyumlu ilerlemeli ve kendi sorumluluklarındaki alanlardaki riskleri, risk toleransı ile tutarlı olarak yönetmelidirler. Diğer kurum personeli, kurum strateji geliştirirken ve hedeflerini takip ederken, uygun davranış standartları sergilemelidirler. Yönetim ve personelin davranışları şu prensiplerle desteklenmelidir: • Karar verme sürecinde her çeşit riski göz önünde bulundurmak • Neyin birim ve kurumun bütünü için iyi olacağına karar vermek için kurumun birim seviyesindeki ve kurum seviyesindeki risklerinin profilini çıkarmak ve değerlendirmek • Kurumda, birimde veya diğer etki alanında risk ve risk yönetimi için sahiplenme ve hesap verilebilmeyi üstlenmek (Risk yönetimi hesap verilebilirliği başkalarına bırakmaz) • En iyi uygulamaya ulaşmak için çabalamak • Politika ve prosedürler ile kurumsal risk yönetimi uyumunu izlemek • Tüm risk ve risk yönetimi eksikliklerini belgelendirmek ve raporlamak • Kurumsal risk yönetiminin bir seçenek değil zorunluluk olduğunu kabul etmek Kurumsal Risk Yönetimi – İç Kontrol Karşılaştırması İç kontrol belirlenen hedef ve amaçlara ulaşmak, kaynakların etkin ve verimli kullanılması, kurumların faaliyetlerinde yer alan yapısal risklerin uygun bir biçimde kontrol edilmesi, mali ve diğer yönetim bilgilerinin 41 güvenilirliği ve doğruluğu, yasalar ve yönetmelikler, stratejiler, planlar, iç kural ve prosedürlerle uyumun sağlanması amaçlarını güden bir süreçtir. Buna göre iç kontrol mali olsun veya olmasın kurumun yönetim kurulundan, idarecilerinden ve diğer personelinden etkilenen bir süreçtir. Risk kurumun hedeflerine ulaşmasını engellemeye neden olacak olayların gerçekleşme olasılığıdır. Risk yönetimi ise kurumun hedeflerine ulaşmasını güçleştiren engellerin belirlenmesi, önceliklendirilmesi ve üstesinden gelinmesi konusundaki yeteneklerin güvenilirliğinin arttırılma sürecidir. Kurumsal risk yönetimi ve iç kontrol birbirleri ile doğrudan iletişim içinde olması gereken süreçlerdir. Bunlar birbirlerini dışlamaz veya biri diğerinin yerini almaz. Turnbull’a göre kurum hedeflerinin geliştirilmesinde risk yönetimi, kurumun iç kontrol sürecinde anahtar bir rol oynar. Sağlam bir iç kontrol sistemi kurumun maruz kaldığı risklerin doğası ve kapsamının kesintisiz ve düzenli değerlendirilmesine bağlıdır. COSO’da da risk yönetimi ve iç kontrol arasında sıkı bir ilişki vardır. COSO’da kurumsal risk yönetimi, iç kontrolü kapsayan daha geniş kapsamlı bir süreçtir. Bunu tanımları karşılaştırarak da görmek mümkündür. • İç kontrol bir kurumun yönetimi, yönetim kurulu ve diğer personelinden etkilenen; kurumun hedeflerini elde etmesi için makul bir güvence sağlamak için tasarlanmış bir süreçtir. • Kurumsal risk yönetimi kurum genelinde olan ve strateji oluşturma sırasında yerleştirilen; kurumun yönetim kurulu, yönetimi ve diğer personelinden etkilenen; kurumun hedeflerini elde etmesi için makul bir güvence sağlamak için kurumu etkileyebilecek potansiyel olayları tanımlamak ve risk kapasitesi içinde yönetmek amacıyla tasarlanmış bir süreçtir. 42 COSO iç kontrol tanımındaki kavramları daha da geliştirerek ve genişleterek kurumsal risk yönetimi çerçevesini oluşturmuştur. Örneğin kurumsal risk yönetiminde hedef belirlemeyi ayrı bir unsur olarak almıştır. İç kontrolde ise hedefler önceden belirlenmiş kabul edilmektedir. Yine kurumsal risk yönetimi, iç kontrolün finansal raporlama ve risk değerlendirmesi unsurlarını daha da geliştirmiştir. Daha önce de belirtildiği gibi iç kontrol ve risk yönetimi madalyonun iki yüzüdür. Birbirinin ayrılmaz parçasıdırlar. Bunun anlamı etkili bir iç kontrol sisteminin oluşturulabilmesi için etkili bir risk yönetimi sürecinin kurumda yerleşmiş olmasının zorunlu olduğudur. İşletmenin varlığının nedeni belirli hedeflere ulaşmaksa, iç kontrol bunu başarmak için kuruma rehberlik eder ve risk yönetimi de kurumun hedeflerine ulaşmasına engel olacak olaylara müdahale ederek kurumun rotasından çıkmasını önler. İç kontrol; koruyucu, etkin ve şirket genelinde uygulanan bir kurumsal risk yönetimi sistemi ile etkilidir. İç kontrolde de, kurumsal risk yönetiminde de sistemin işleyişi bir bütün olarak kuruma yerleştirilir ve kurumun yönetimi, yönetim kurulu ve çalışanlarının her birinin sistemin işleyişinde sorumlulukları vardır. Yönetim iç kontrolden sorumludur. Sistemin iyi işlemesi için iç kontrolü yerleştirecek uygun politikalar kurmalı ve düzenli güvence sağlamalıdır. Ayrıca yönetim risk yönetiminde iç kontrolün etkili işlediğini de garantilemelidir. İç kontrol ile ilgili politikalara karar verirken yönetim; kurumun karşılaştığı risklerin doğası ve kapsamı, kurumların katlanabilir düzeyde kabul edebileceği risklerin kapsamı ve kategorileri, risklerin gerçekleşme olasılığı, gerçekleşen risklerin iş üzerindeki etkilerinin azaltılmasında kurumun yeteneği, ilgili riskleri yönetirken elde edilen yararlarla ilgili özel kontrolleri yönetmenin maliyeti gibi unsurları göz önünde bulundurmalıdır. Yönetimin rolü risk ve kontrol ile ilgili politikaları uygulamaktır. 43 İç kontrol ve kurumsal risk yönetimi süreçlerinin etkin bir biçimde yerleştirilmesi kuruma şu faydaları sağlar: • Strateji oluşturma için kurumda daha iyi bir temel oluşturur. Hedeflere ulaşmak ve bu hedeflere ulaşma yolundaki tehditlerle başa çıkılması için oluşturulacak stratejilerin daha sağlam, daha etkili ve daha hedefe yönelik olmasını sağlayarak kurumda yaratılan değerin artmasını sağlar. • Amaçlara ulaşma yönünde daha fazla olasılık sunarak o amaçların elde edilme ihtimalinin artmasını sağlar. • Doğru işlerin yapılması konusunda kurum içinde daha fazla odaklanma sağlar. Yönetimin, yapılan faaliyetlerin ve faaliyeti yerine getirme prosedürlerinin birbiriyle uyumlu olması ve yönetimin doğru bilgilere dayanarak daha geniş bir algıya dayanarak isabetli kararlar almasıyla, kurumun yönünü doğrudan hedeflere çevirmesine yardımcı olur. • Daha az ani şok ve istenmeyen sürprizlerin yaşanmasını sağlar. Kurumsal risk yönetimi süreci doğrudan bu sürprizlerin öngörülerek uygun biçimde karşılık verilmesine yönelik bir süreçtir. Kurum iç kontrol sistemlerini yerleştirir ve kurumsal risk yönetimini uygun biçimde uygularsa hedeflerine ulaşmasını tehlikeye düşürecek sürprizler minimize edilecek, böylece kurumun kendini gerçekleştirme maliyeti azalacaktır. Bu süreçlerin bir başka avantajı da kurumun bütün alanlarında, tüm hedefler için, her bir unsur hakkında güvenilir bilgi akışının sağlanmasıdır. COSO bilgiyi özellikle kimin sağlayacağını söylemez, sadece yönetimin bilgiyi alması ve bu bilgiye dayanarak hareket etmesinden bahseder. 44 Farklılıklar ve Eleştiriler Son yıllarda iç kontrol ve risk yönetimi tanımlarının kapsamı oldukça genişlerken iki kavram birbirinin yerine kullanılmaya başlandı. Kişilerin aklında her iki kavram da aynı süreci ifade etmeye başladı. Buna rağmen risk yönetiminden sorumlu olanlar ile iç kontrolden sorumlu olanların farklı geçmiş ve donanımları vardır. Risk yönetimi yöneticileri büyük sigorta veya mühendislik riskleriyle ilgilenirken iç kontrol yöneticileri küçük, iç risklerle ilgilenirler ve genelde denetim ve muhasebe geçmişine sahiptirler.18 Ancak bu farklılıklar giderek yok olmaktadır. Risk yönetimi değişerek kurumsal risk yönetimi şeklini almaya başladığından beri artık sadece belli alanlardaki riskleri değil, bir kurumda karşılaşılacak her türlü riski yönetmeye yönelik evrim geçirirken; sadece özel kurumların değil kamu kurumlarının da etkinliğini arttırmak için başvurabilecekleri bir yöntem haline gelmiştir. Dahası iç kontroller geleneksel finansal belgelerin kontrolü olmaktan çıkıp risklerin de değerlendirildiği daha dinamik bir sürece dönüşmüştür. Bu hali ile iki sistem arasında bir kopukluk bulunmazken iki süreci de aynı donanımlı kişiler yürütmeye başlamıştır. İç kontrol büyük iç denetim şirketleri tarafından ortaya atılmasına rağmen risklerin ölçümü veya kontrollerin faydalarının matematiksel veri destekli bir şekilde ölçmeye neredeyse hiç önem vermemektedir. Çoğu değerleme, “yüksek – orta – düşük” sınıflamasından ileri gitmemektedir. Bu da sistemin güvenilirliğine sekte vurmakta, kurumun hedeflerine ulaşmasını etkileyecek sürprizlerin azaltılması fonksiyonunun yeterince iyi işlememesine neden olmaktadır. Ancak gittikçe daha fazla kurum bu eksikliğin farkına varmakta, bunu gidermek için düzenlemeler yapmaktadır. Giderek daha iyi veri toplama ve ölçme yöntemleri ile sistem desteklenmektedir. Şuna da dikkat edilmelidir ki sigorta kökenli olan ve takıntıları istatistik, matematik olan risk yöneticileri riskleri puanlamakla fazlasıyla meşgulken, takıntıları 18 http://www.irmi.com/Expert/Articles/2006/Leitch01.aspx 45 yargılamak olan denetimciler riskleri kelimelere dökmekle meşguldürler. İyi bir risk yönetiminin anahtarı ise bu iki yaklaşımı kaynaştırmaktır. Hem iç kontrolün hem de risk yönetiminin en büyük handikabı bu sistemlerin insan öğesine dayanmasıdır. Yeterince iyi donanıma sahip olmayan, sürecin gereklerini anlayamamış ve o kültüre sahip olmayan kişilerle bu süreçler yürütüldüğünde insan hataları, direnç veya yöntemi doğru olarak değil, kendine uygun olarak uygulama gibi sonuçlarla karşılaşılmaktadır ki bu da sistemlerin aslında farkında oldukları, bu nedenle de mutlak değil makul güvenceden bahsettikleri bir durumdur. Bu nedenle süreçler uygulanırken bu kültürün iyice yerleşmesi için örneğin bu konu ile ilgili eğitim ve seminerlerle süreçte yer alacak kişiler bilinçlendirilmelidir. Risk yönetimi ana risklerin örtüldüğüne dair doğrulama için kontrol haritaları oluşturulur. Risk yönetiminden sorumlu olan idareciler risk yönetimini tanıtmaya genellikle buradan başlarlar. Risk kayıtları riskin iyi yönetildiğini gösterdiği sürece sorun yoktur. Sistem aksamaya başladığında da örneğin sisteme risk değerlendirmesi enjekte etmek gibi, kontrolleri iyileştirme girişimleri, esnek kaynak için politika geliştirme gibi destekleyici unsurlar sisteme ilave edilmektedir. Oysa kurumsal risk yönetiminin etkili yürütülmesi için risk kayıtlarının ötesinde bir davranış değişikliğine ihtiyaç vardır. Risk kayıtlarının iyi olması risklerin iyi yönetildiği anlamına gelmemektedir. Sorumlular belirsizliğin kurumun lehine sonuçlanacağını umarak kötü haberleri kendilerine saklıyorlarsa kurumun krizlerle karşılaşması kaçınılmazdır. Halbuki kağıt üzerinde her şey mükemmel görünmektedir. Bu durum da yine kurumsal risk yönetimi kültürünün yerleştirilmesini ve kişilerin dürüst güvenilir, sorumluluk sahibi olmalarını gerektirmektedir. Prensipte risk yönetimi ve iç kontrol sistemleri arasında bir fark kalmamıştır. Her iki sistemin genel amaçları aynıdır ve kurumun temel 46 faaliyetleri içine yerleştirilerek bir bütün olarak kuruma rehberlik etmektedirler. Her iki sistemde de risklerin değerlendirilmesi, değerlendirilen risklere verilecek karşılıkların kararlaştırılması ve yapılan faaliyetlerin düzenli olarak izlenmesi temel faaliyetlerdir. 47 3. Kurumsal Risk Yönetimine Geçiş Kurumsal risk yönetimine geçiş süreci19; kurumların risklerinin birbirlerinden bağımsız bloklar halinde yönetildiği klasik risk yönetim anlayışından, risklerin bir bütün olarak yönetildiği entegre risk yönetimine, başka bir ifade ile kurumsal risk yönetimi anlayışına geçiş sürecini ifade eder. Bu süreçte gösterilecek performans başarı için en önemli etkendir. Bu süreç basit bir proje yönetimi anlayışı ile yürütülemeyecek kadar önemli ve karmaşıktır. Kurumsal risk yönetimi uygulaması için pek çok teknik kullanılmaktadır. Ancak adımları farklı olsa da hepsinin temelinde şu üç aşama vardır. 1. Temel oluşturma 2. Dönüşüm süreci 3. Risk yönetiminin uygulanması 4. Güçlendirme Temel oluşturulabilmesi için önemli iki unsur vardır; • Ortak bir dil oluşturulması • İdarenin desteğini ve gözetimini elde etmek İdeal bir kurumsal risk yönetimi dönüşüm sürecini aşağıdaki şekilde özetlemek mümkündür; 19 • Hedeflerin Belirlenmesi • Mevcut Durum Analizi • Hedef Yapının Tespiti • Fark Analizi ve Planlama TÜSİAD, age, s.24 48 Dönüşüm gerçekleştikten sonra risk yönetimi uygulaması için temel olarak şunlar uygulanır: • Risklerin tanımlanması • Risklerin analiz edilmesi ve ölçülmesi • Risklerin önceliklendirilmesi • Risklere verilecek karşılıkların belirlenmesi ve uygulanması Güçlendirme aşamasında ise çoklu risklerin kurum genelinde değerlendirilmesi ve kurumsal performansın güçlendirilmesine önem verilir. Temel oluşturulması Kurumsal risk yönetimine geçişin başlatılabilmesi için atılması gereken ilk adımlar herkesin bu konuda aynı kavramlarla düşünmesini sağlamaya yönelik olarak ortak bir dilin oluşturulmasını sağlamak ve risk yönetim rol ve sorumluluklarını açığa kavuşturmak ve yönetime güvenilirliği arttırmak amacıyla idareden destek almaktır. Bu iki adım kurumsal risk yönetimi sürecine dönüşümün sağlanabilmesi için hayati öneme sahiptir. Zira kurumsal risk yönetiminin üstüne bina edileceği bir temel olmadığı taktide dönüşüm sonucu ortaya çıkan yapının sağlamlığı tartışılır olacaktır. Ortak bir dil oluşturulması Kurumsal risk yönetimine geçiş sürecinde riskleri yönetmeye yönelik adımlar atılmadan önce bir kurumun sorması gereken soru kurumda riskler ve risk yönetimi için ortak bir dilin bulunup bulunmadığıdır. Risk yönetiminin başarıyla gerçekleştirilebilmesi ve kurumun hedeflerine ulaşabilmesi için yönetilecek olan riskler konusunda herkesin aynı kavramlarla düşünmesi ve risk yönetimine dair aynı pencereden bakabilmesidir. Riskle ilgili olarak aynı 49 kavramın farklı biçimlerde ifade ediliyor olması, farklı risklerin hangi kategorilere sokulacağına dair belirsizliklerin bulunması, risklerin ölçümüyle ilgili birbiri cinsinden ifade edilemeyen birimlerin kullanılması, hatta ölçüm tekniklerinin belirli olmaması, risk yönetimine dair farklı bakış açılarının bulunması ve bunlar arasında bir uzlaşma olmaması ortak bir dil oluşturulmadığında her kurumun karşılaşacağı sıradan durumlardır. Ancak bu durumlar yöneticilerin yeteneğine bağlı olarak belli bir süre idare edilebilse de sonunda yerini muhakkak ki karmaşaya ve kaosa bırakacaktır. Böyle bir gelişmeye mahal vermemek ve kurumsal risk yönetimini sağlam temellere oturtmak için kurum içinde ortak bir dilin oluşturulması ve yerleştirilmesi gerekir. Ortak dilin oluşturulabilmesi için birçok unsur kullanılabilir. Bunların en başında tabiî ki kurumun işleyişiyle uyumlu bir risk modeli gelir. Bir risk modeli oluşturulduğunda bu hem üst düzey yönetim için hem de risk yönetimini gerçekleştirecek kişiler için bir rehber niteliği taşır. Model hedeflerin neler olduğunu, stratejileri, risk kategorilerini, bunların nasıl değerlendirileceğini, nasıl ölçüleceğini, hangi duruma göre nasıl karşılıkların verilebileceğini ve risk yönetiminin koşullarını, sınırlarını, adımlarını belirler. Böylece risk yönetimi ile ilgili bu anlamda olabilecek karmaşıklıklar ortadan kaldırılır. Ortak dil için olmazsa olmaz bir diğer unsur risk yönetimi sözlüğüdür. Risk yönetim sözlüğü kurumsal risk yönetimi ile doğrudan veya dolaylı kavramları kapsamalıdır. Risk yönetimi camiasında pek çok kavram kullanılmakta, bu kavramlar belirli noktalara kadar örtüşürken bir noktadan sonra ayrılmakta, birkaç kavram aynı şeyi ifade ederken, aynı kavram farklı kişiler veya farklı durumlar söz konusu olduğunda farklı anlamlara gelebilmektedir. Kavramların karışıklığa neden olmaması ve hem üst düzey yönetimin, hem riski yöneten yöneticilerin, hem de risk yönetimi ile ilgili 50 personelin aynı kavramdan aynı anlamı çıkarabilmesi açısından bu kavramların tanımlarının yapıldığı bir sözlüğün bulunması çok faydalıdır. Bu konuyla ilgili olarak başka pek çok unsur kullanılabilir. Bunlara örnek olarak süreçlerin sınıflandığı şemaları, konuyla alakalı diğer modelleri, gösterebiliriz. Bunların yanında risk ile riskin kaynakları, tetikleyicileri ve risklerin köklerinde yatan nedenlerle ilgili olarak iletişimin gelişmiş olması da ortak dilin oluşmasına katkıda bulunur. Bilginin paylaşımının sağlanması için bilgiyi paylaşma süreci organize edilmiş olmalıdır. Tüm bunların yapılması ile kurum daha sağlam ve güvenilir bir kurumsal risk yönetimi süreci oluşturabilir. Tüm risklerin tespit edilme olasılığı artar. Farklı birçok disiplindeki kişilerin konulara çok daha hızlı vakıf olmasını sağlar. İdarenin desteğini ve gözetimini elde etmek Bu konuyla ilgili olarak kurumun sorması gereken soru genel anlamda etkili bir gözetim sisteminin bulunup bulunmadığı ve konu ile ilgili faaliyetler için üst yönetimin desteğinin ne kadar elde edilmiş olduğudur. Risk yönetiminin kurumsal düzeyde genişletilmesi ve sadece belirli konuların değil kurumun var olma amacının gerçekleştirilebilmesini ve hedeflerine ulaşabilmesini tehlikeye düşüren her türlü konunun risk yönetimi kavramı içine girmesi nedeniyle risk yönetimi artık sadece belirli riskleri yöneten belirli kişilerin inisiyatifinden çıkmıştır. Kurumun tamamını ilgilendiren bir konu haline gelmiştir. Bu nedenle de kurumsal risk yönetimiyle ilgili gerekli yapılanmanın gerçekleşebilmesi idarenin desteğinin alınmasına bağlıdır. İdarenin tam destek vermediği bir kurumsal risk yönetimi dönüşüm sürecinin gerçekleştirilmesi düşünülemez. Ancak idarenin sadece destek vermesi yeterli değildir. İdare yapıya yukardan gözetlemeli ve gerektiğinde yön belirlemelidir. 51 Bu konuda yardımcı olabilecek unsurların örnekleri çeşitlidir. Genel bir risk yönetim politikasının bulunması idarenin tavrını ortaya koyarak kurumsal risk yönetimine olan güvenilirliği arttırır. Risk yönetiminin gittiği yönle ilgili üst düzeyden aşağıya doğru ve tam tersi yönde iletişimin gelişmiş olması gereklidir. Yönetim kurulunun gözden geçirdiği kurumun genel yapısına dair bir belge de kurumsal risk yönetimine temel oluşturmak için gereklidir. Risk yönetimini gerçekleştirecek olan kişilerin yukardan atanması, bununla ilgili gerekirse bir risk yönetimi gözetim kurulunun oluşturularak ya da başka bir yolla risk yönetiminin hesap verilebilirliğinin sağlanması, risk yönetimi ile ilgili olarak yukardan atanmış bir yöneticinin bulunması gibi unsurlar da idarenin gözetimini işaret eder. Bütünleşik risk yönetimi ve yönetişim süreçleri çıkarılmalıdır. Ayrıca risk yönetimiyle ilgilenen personelin fonksiyonu tam olarak tanımlanmalıdır. Kurumsal risk yönetimi dönüşüm sürecinin ilk aşamasında bunların yapılması risk yönetiminin kurum içindeki rolünün ne olduğunu açıkça ortaya koyarken risk yönetimi ile nelerin elde edilmek istendiğinin herkesçe anlaşılmasını sağlar. Kurumsal risk yönetimine olan güvenilirliği arttırır. Ayrıca, yukardan faaliyette bulunması için yetkilendirilmiş kişiler işlerin çok daha çabuk yapılmasını sağlarlar. Kurumsal Risk Yönetimi Dönüşüm Sürecini Hedeflerin belirlenmesi Kurumsal risk yönetimi açısından hedeflerin belirlenmesi iki başlık altında incelenmelidir; Genel kurum stratejileri ve risk profili. Risk profilinin seviyesinin ne olacağına karar verilebilmesi için öncelikle kurumun genel mevcut konumunu, hedeflerini ve bu hedeflerine nasıl ulaşacağını 52 tanımlayan bir kurum stratejisi ve politikası bulunmalıdır. Bu strateji bilinmeksizin kurumun risk profilinin uygunluğunu değerlendirebilmek mümkün değildir. Esasen kurumun stratejileri ve risk profili birbirlerinden etkilenen kavramlardır. Bu nedenle biri diğerinin bir sonucu olarak algılanmamalıdır. Ancak bu kavramlar birbirleri ile uyumlu olmalıdırlar. Bunun tespit edilebilmesinin tek koşulu ise bu iki kavramın da net bir şekilde bilinebiliyor olmasıdır. Bir kurumun hedefleri ve buna bağlı olarak belirlenmiş olan stratejilerinin varlığı, o kurumun değer yaratma ve risk yönetimi uygulamalarına zemin oluşturacak bir iş modelinin tanımlamasına yardımcı olacaktır. Mevcut durum analizi Hedefler belirlendikten sonra kurumun mevcut risk yönetim altyapısının ayrıntılı bir şekilde analiz edilmelidir. Altyapının incelenmesi bir yandan kurumun durumunun ne olduğunu ortaya koyarken bir yandan da fark analizinin yapılabilmesi ve hedef yapıya ulaşabilmek için şu anki yapı üzerine neler inşa edilmesi gerekliliğinin tespitinde büyük rol oynar. Bu analiz, kurumun karşı karşıya olduğu risklerden bağımsız olarak bu riskleri yönetmek için var olan sistemleri ve yeterlilikleri kapsamalıdır. Mevcut durum analizinde temel olarak, etkin bir kurumsal risk yönetimi uygulamasının yapılabilmesi için dikkate alınması gereken bazı konular vardır. Bunlardan biri risk yönetim stratejisinin belirlenmesi ve çalışma ortamının bu stratejiye uygun olarak düzenlenmesidir. Risk yönetim stratejisi kurumun risk yönetim anlayışını, temel prensiplerini, konuya verdiği önemi, kabul edilebilir asgari risk seviyelerini, genel risk alma iştahı seviyesini, temel görev ve sorumluluklar ve yetkinlikleri gibi konuları içerir. Belirlenmiş olan bu stratejilerin uygulamaya dönüştürülmemesi halinde stratejiler kurum tarafından benimsenemez ve günlük faaliyetlere yansıyamaz. 53 Mevcut durum analizinde dikkat edilmesi gereken bir diğer konu var olan sistemin bütünleşik risk yönetimi faaliyetlerini ne kadar yerine getirdiğidir. Var olan sistem, risklerin belirlenmesi, değerlendirilmesi aşamalarını ne kadar yerine getirmektedir ve bunu için nasıl bir politika uygulanmaktadır gibi soruların cevapları bu analizde bulunmalıdır. Ayrıca var olan kontrollerin, politika ve prosedürlerin kurumsal risk yönetimi stratejisi, risk alma iştahı seviyesi ve risk yönetim hedefleri ile ne kadar uyumlu olduğunu da göz önüne almak gerekir. Kurumsal risk yönetimi ile iç kontrol arasındaki sıkı bağlantı göz önüne alındığında dönüşüm sürecinde kurulacak sistemde kontrollerin ayrı bir önemi vardır. Risk yönetim faaliyetlerinin sağlıklı ve etkin bir şekilde yürütülebilmesi için ilgili kişilerin ve grupların, gerekli bilgiye, gerektiği ölçüde ve gerektiği zamanda ulaşabilmelerini garanti etmelidir. Bilgi eksikliği risklerin doğru bir şekilde tanımlanmasını, yönetilmesini ve kontrol altında tutulmasını engelleyecektir. Bu nedenle mevcut durum analizinde bilgi paylaşımı ve iletişimin seviyesi de belirlenmelidir. Hedef yapının tespiti Mevcut yapının analiz edilmesini takiben yapılması gereken, iyileştirmeler sonrasında erişilmesi arzu edilen hedef yapının belirlenmesidir. Hedef yapı belirlenirken kurumun stratejileri ve hedefleri, risk alma iştahı, faaliyet gösterilen sektörler, faaliyetlerin coğrafi dağılımı, faaliyetlerin karmaşıklık düzeyi, kurumun büyüklüğü, kurum kültürü, sektör uygulamaları, en iyi uygulamalar, yasal düzenlemeler, menfaat gruplarının yapısı gibi kriterler dikkatle analiz edilmeli ve buna göre bir hedef yapı oluşturulmalıdır. 54 Fark analizi ve planlama Bu aşamada yapılması gereken, mevcut durum ile erişilmesi arzu edilen hedef yapı arasındaki farkın tespiti ve buna uygun olarak detaylı bir faaliyet planının oluşturulmasıdır. Faaliyet planlarında fayda – maliyet analizleri de bulunmalıdır. Bu planla görev ve sorumluluklar belirlenmeli, organizasyonel yapı hedef yapıya uygun olarak yeniden düzenlenmelidir. Başta politika belgesi olmak üzere standartların, rehberlerin ve uygulama dokümanlarının oluşturulması gerekir. önceliklendirileceği ve Risklerin risk hangi yöntem yönetim ile tanımlanacağı, çözümlerinin geliştirileceği belirlenmelidir. Dönüşümün gerçekleştirilebilmesi için kişilerin yeterlilik ve bilgi düzeyini gerekli seviyeye getirecek detaylı eğitim faaliyetleri de planda yer almalıdır. Sistemler ve uygulamalar açısından mevcut durum analizi yapıldıktan ve hedef yapı tespit edildikten sonra yapılan fark analiziyle kurumun kurumsal risk yönetimini arzu ettiği biçimde uygulayabilmesi için ne kadar yol alması gerektiği ortaya çıkar. Bundan sonra bu farkın kapatılması için iyileştirme faaliyetleri yapılır. İyileştirme faaliyetleri teknik, prosedürsel ve organizasyonel çözümleri içermelidir. Kurumsal Risk Yönetiminin Uygulanması Kurumsal risk yönetimi için altyapı oluşturulup gerekli dönüşüm faaliyetleri yerine getirildikten sonra artık sistemin işleyişine geçilir. Risklerin kurumsal olarak yürütülmesine risklerin tanımlanması ile başlanır. Kurumun muhtemelen karşılaşacağı riskler böylece tespit edilir. Tanımlanan riskler analiz edilir ve ölçülür. Bu ölçüm sayesinde risklerin şiddetleri ve kurumun bu risklere ne kadar maruz kalacağı belirlenmiş olur. Risklerin ölçüm değerleri ve kurumun maruz kalma seviyesi göz önünde bulundurularak riskler önceliklendirilir. Bu sayede kurum için en önemli risklerin hangileri 55 olduğu ortaya çıkar. Öncelikli riskler belirlendikten sonra bunlar karşısında takınılacak tavrın ne olması gerektiğine karar verilerek kararlaştırılan karşılıklar uygulamaya konur. Tüm bu süreç bir yandan izlenir, bir yandan ortaya çıkan aksaklıklar aktif olarak ortadan kaldırılır, diğer yandan da değişen koşullara göre sistem iyileştirilir. Risklerin tanımlanması Riski yönetmek için kurumun hangi risklerle karşı karşıya olduğunu bilmesi ve onları değerlendirmesi gerekir. Kurumun risk profilini çıkarmanın ilk adımı riskleri tanımlamaktır. Riskler hedeflerle ilgili olmalıdır. Riskler ancak hedeflerle ilişkilendirilerek değerlenebilir ve öncelik sırasına göre düzenlenebilir. İş hedefleri üzerinde etkisi olacak ama bu belli iş hedefi düşünüldüğünde her zaman görünür olmayabilen sosyal riski açıklarken dikkatli olunmalıdır. Bir risk tanımlanırken, tanımlanan risk kurumun birden fazla hedefiyle ilgili olabilir, riskin potansiyel etkisi farklı hedeflerle ilişkili olarak değişebilir, riski yönlendirmenin en iyi yolu farklı hedeflerle ilişkili olarak değişebilir (buna rağmen birden fazla hedefle bağlantısı olan bir riski tek bir muamelenin uygun biçimde yönlendirmesi de mümkündür). Riskler tespit edilirken, riskin kendisi gibi ortaya çıkabilecek etkilerin tespitinden kaçınmaya ve hedefleri etkilemeyen risklerin tespitinden kaçınmaya dikkat edilmelidir; basitçe hedeflerin tersi olan, açıklaması bulunan riskleri tanımlamaktan kaçınmaya da aynı derecede dikkat edilmelidir. Bir riskin açıklaması etkinin nedenini ve hedefte oluşabilecek etkiyi (neden ve sonuç) içermelidir.20 İlk olarak risk unsurlarının belirlenmesi sırasında tanımlanan hedeflerin gerçekleştirilmesi üzerinde etkisi olabilecek sebeplerin ve olayların kapsamlı 20 Orange Book, age, s.15 56 bir listesinin oluşturulması gerekmektedir. Belirlenen olaylar daha sonra olası sonuçları açısından detaylı analize tabi tutulmalıdır. Risklerin tanımlanması için kontrol listeleri, kayıtlara ve deneyimlere bağlı çıkarımlar, akış diyagramları, tartışmalar, sistem analizleri, senaryo analizleri ve sistem mühendislik teknikleri kullanılmaktadır.21 Risklerin analiz edilmesi ve ölçülmesi Risk analizi bir önceki aşamada belirlenmiş olan risklerin daha detaylı anlaşılması ile ilgilidir. Risk analizi, belirlenmiş risklere karşılık verilip verilmeyeceğine ve karşılık verilecekse fayda/maliyet dengesi açısından en uygun olan karşılığın seçilmesine yardımcı olur. Risk analizi; analiz edilecek riske, analizin amacına, erişilebilen bilgi ve kaynakların seviyesine bağlı olarak farklılık gösterecektir. Analiz duruma göre kalitatif (niteleyici), yarı-kantitatif (yarı-niceleyici), kantitatif (niteleyici) veya bunların bir birleşimi sonucunda karma bir analiz olabilir. Kalitatif analiz Kalitatif analiz, olayların potansiyel etkilerinin derecesini ve bunların ortaya çıkma ihtimallerini, kelimelerden oluşan skalalar üzerinden analizi gerçekleştirenlerin bireysel yargıları ile ortaya çıkan sonuçlar ile ifade etmektedir.22 Risklerin tanımlanması, risklerin sıralanması, olasılık ve etki ile yapılan risk haritaları, hedefler veya birimler bazında yapılan risk haritaları, risk 21 22 TÜSİAD, age, s.37 TÜSİAD, age 57 korelasyonlarının tanımlanması yöntemleri ile yapılan risk analizleri, kalitatif analizlerdir. 23 Kalitatif analize verilebilecek en iyi örnek daha önce COSO’nun ERM modelinin unsurlarından risk değerlendirilmesi anlatılırken bahsedilen basit risk matrisidir. Kurum üzerinde olumsuz etkisi olabilecek bir olayın meydana gelme olasılığı ve meydana gelirse kurum üzerindeki etkisinin şiddetini dikkate alarak oluşturulan bu matrisin kalitatif yöntem kullanılarak hazırlanan hali aşağıdaki biçimdedir: Şekil 4: Risk haritası - Kalitatif24 Bu yaklaşımın avantajları karar verme sürecini görmenin kolay olması, standart olarak belirlenen yasal düzenlemelere dahil edilmesinin kolay olması, iyileştirmelere yönelik denetimlerde temel olarak kullanılabilmesi ve değerlemeyi yapmanın kolay olmasıdır. Dezavantajları ise, bakıldığında 23 Enterprise Risk Management : An Idea Whose Time Has Come / University of Virginia http://www.kier.kyoto-u.ac.jp/fe-tokyo/symposium/sympo2007/shenkir.pdf 24 Enterprise Risk Management. age 58 hangi standartlara ulaşılmaya çalışıldığını tam olarak göstermemesi, bu nedenle de, özellikle risk analizinde acemi olanlar için anlamanın zor olmasıdır.25 Yarı-kantitatif Yarı-kantitatif kelimelerden analizde oluşan kalitatif tanımlamaların analizde yerini kullanılan rakamlar skalalardaki almaktadır. Bu yöntemde daha geniş derecelendirme skalaların uygulanmasını sağlamak amaçlanmıştır. Ancak bu yöntemde de derecelendirme analizi gerçekleştirenlerin bireysel yargıları ile belirlenmektedir. Bu nedenle riskler için skala üzerinde gerçekleştirilen derecelendirme etki ve ihtimal tahminlerinin ölçülmüş değerlerini içermemektedir. Risk etkisinin süresinin belirlenmesi, risk olasılığının süresinin belirlenmesi, risk korelasyonunun süresinin belirlenmesi, riski düzeltilmiş gelirler, kazanç/kayıp eğrileri, Tornado çizelgeleri, senaryo analizleri, kıyaslama, net cari değer, geleneksel ölçümler yarı-kantitatif analizlerdir. 26 Basit risk haritası belirli değerler verilerek yarı-kantitatif yöntem olarak da kullanılabilir. Aşağıda bu analize yönelik bir örnek verilmiştir: 25 A Code Of Practice For Risk Assessment In The Department Of Physics – Advanced Techniques, June 2001, s.2 http://www.phy.cam.ac.uk/cavendish/hands/cops/RAcopAdv.pdf 26 Enterprise Risk Management, age 59 Şekil 5: Risk Haritası – Yarı-Kantitatif27 Olasılık = Riskli bir olayın olma ihtimalidir. Derece Açıklama Yaklaşık İhtimal 1 – İmkansız, Nadir – .00 - .04 2 – Mümkün değil – .05 - .24 3 – Olası – .25 - .54 4 – Mümkün – .55 - .89 5 – Kesin – .90 – 1.00 Etki = Riskli olay meydana gelirse hedeflere göre maruz kalınan etkinin şiddetinin derecesi Derece: Açıklama 1 Önemsiz – İhmal edilebilir etki 2 Düşük – Karşılaşılabilir zorluklar 3 Önemli – Hedeflere ulaşmakta gecikmeler 4 Yüksek – Yeniden yapılanma gerekliliği 5 Katastrofik – Hedeflere ulaşamama Derecelendirme matrisi = Olasılık x Etki Derece 0-5 = Düşük Derece 6-10 = Orta Derece 12-16 = Yüksek Derece 20-25 = Aşırı Olasılık 5 Düşük Orta Yüksek Aşırı Aşırı 4 Düşük Orta Yüksek Yüksek Aşırı 3 Düşük Orta Orta Yüksek Yüksek 2 Düşük Düşük Orta Orta Orta 1 Düşük Düşük Düşük Düşük Düşük 1 2 3 4 5 Etki 27 Enterprise Risk Management Guideline; Government of British Columbia, October 2006 http://www.fin.gov.bc.ca/pt/rmb/ref/RMB_ERM_Guideline.pdf 60 Bu yöntemin avantajları bazı sonuçları ve hükümleri içermesi, belirli çözümleri tespit etmekte kullanılabilmesidir. Hükümlerde bir hata veya bir ihmal olduğunda bunun ortaya çıkarılması daha kolaydır. Riskin büyüklüğü hakkında bir değerlendirme sunar. Bu yöntemde karşılaşılabilecek problem ise, derecelendirme sübjektif olarak yapıldığından hata yapmanın kolay olmasıdır. Kantitatif analiz Kantitatif analiz, veri kaynaklarını kullanarak etki ve ihtimal tahminlerini rakamsal değerler ile ifade etmeyi amaçlamaktadır. Analiz sonuçlarının kalitesi kullanılan verinin doğruluğu ve bütünlüğü ve kullanılan modelin geçerliliğine bağlıdır. Potansiyel etkiler belirli bir olayın veya olaylar dizisinin sonuçlarının modellenmesi ile bulunabileceği gibi geçmiş çalışmalardan veya olaylardan da istatistiksel olarak çıkartılabilir. Etki; parasal, teknik, insana gelebilecek zarar veya diğer bir zarar kriteri cinsinden ortaya çıkartılabilir. Bazı durumlarda aynı olayın risk derecesinin belirlenmesi için birden fazla rakamsal değer kullanılması gerekebilir.28 Genelde riskli nakit akışı, riskli kazançlar ve kazanç dağılımı gibi olasılık içeren tekniklerde kullanılır. Bu yöntemin avantajı ayrıntılı ve objektif sonuçlar vermesi, dezavantajı ise etkilerin ve ihtimallerin belirsizlik ve değişkenliği analiz esnasında göz önünde bulundurulmadığında sonuçların hatalı olabilmesidir. 28 TÜSİAD, age 61 Risklerin önceliklendirilmesi Risklerin önceliklendirilmesinin amacı risk analizlerinin sonuçlarına bağlı olarak hangi riske öncelikli olarak müdahale edileceğine karar vermektir. Risklerin önceliklendirilmesi, risklerin analiz edilmesi ile ortaya çıkan risk önem derecesinin, önceden belirlenmiş risk kriterleri ve risk alma iştahı ile karşılaştırılmasını ve böylelikle öncelikli olarak üzerinde durulması gereken risklerin belirlenmesi sürecini içermektedir.29 Riskler önceliklendirilirken önce riskler sıklıklarına, önemlerine ve zaman içindeki etkilerine göre bir öncelik sırasına dizilir ve derece verilir. Daha sonra risklerin etkilerini grafikle detaylandıran risk haritaları geliştirilir. Öncelikli risklerin sahiplenilmesi gerçekleştirilir. Bu durum belirli bir fonksiyon veya birim tarafından atama şeklinde yapılabilir. Son olarak da riskler önemine göre risk sınıflarına sokulur; düşük, orta ve yüksek derecede önemli riskler. Yüksek derecede önemli risklerin muhtemel nedenleri araştırılır, kontrol teknikleri geliştirilir ve bunlara nasıl karşılık verilebileceğine dair öneriler sunulur.30 Risklere verilen karşılığın ne şekilde olacağı da önceliklendirmeye bakılarak kararlaştırılabilir. Çok yüksek öneme sahip risklere hemen karşılık vermek gerekirken, daha az öncelikli riskler için karşılığa karar verilir ve bir acil durum planı geliştirilir. Orta derecede önemli riskler için karşılığa karar verilirken, düşük derecede önemli riskler periyodik olarak gözden geçirilir. Burada önemli olan bir konu, sadece belirli bir öneme sahip risklerin değil önemsiz risklerin de dikkat ölçeği içinde tutulmasıdır. Önemsiz riskler 29 TÜSİAD, age AON, A Strategy for Incorporating Risk Assessment in the Compliance and Ethics Agenda, US, February 2006 http://www.aon.com/default.jsp 30 62 özellikle değişen dış olaylar ışığında sürekli olarak gözden geçirilmeli ve önemsiz olmaya devam ettiklerinden emin olunmalıdır.31 Şekil 6: Risk haritası - Önceliklendirme32 Risklerin bu şekilde değerlenmesi sürecinde kurumun hedefleri ve alternatif fırsatların potansiyel sonuçları göz önüne alınmalıdır. Hedefler ile uyumlu olan birden fazla alternatif olması durumunda, seçim yapılırken alternatiflerin potansiyel kayıpları ve kazançları objektif bir şekilde değerlenmelidir. Alternatiflerin arasında yapılacak seçim ise kurumun risk alma iştahı seviyesine uygun bir şekilde yapılmalıdır. 31 Hong Kong Institude of Certified Public Accountents, Internal Control and Risk Management Basic Framework, Hong Kong, June 2005 32 University of Virginia, age 63 Risklere verilecek karşılıkların belirlenmesi ve uygulanması Riske karşılık vermenin amacı tehditleri sınırlayarak ve fırsatlardan fayda sağlayarak belirsizliği kurumun menfaatine çevirmektir. Kurum tarafından, riski yönlendirmek için yapılan her faaliyet, “iç kontrol” olarak bilinen kavramın bir parçasını oluşturur. Riske karşılık vermenin beş temel yolu vardır: riski kabul etmek, riski azaltmak, kaçınmak ve diğerlerinin bir riski transfer etmek, riskten alternatifi olmayıp tüm risklerde değerlendirilmesi gereken fırsatların gözetilmesidir. Şekil 7: Riske Karşılık Verme Seçenekleri33 KABUL ETMEK Maruz kalınan risk herhangi bir karşılık vermeye gerek olmaksızın katlanılabilir olabilir. Katlanılabilir olmasa bile bazı risklerle ilgili önlem alma kabiliyeti sınırlı olabilir veya herhangi bir faaliyette bulunmanın maliyeti kazanılacak potansiyel yarara göre orantısız olabilir. Böyle durumlarda riske verilecek karşılık, riskin var olan düzeyine 33 Green Book, UK Treasury, London, UK http://www.hm-treasury.gov.uk./media/5/D/Green_Book_07.pdf 64 katlanmaktır. Tabi ki bu seçenek risk gerçekleşirse etkisiyle başa çıkabilmek için acil durum planlarıyla tamamlanmalıdır. Bunun dışında içinde doğası gereği belirli bir oranda tehdit bulunduran risklere diğer riske karşılık verme seçeneklerinden biri veya birkaçı uygulandıktan sonra geriye bir miktar risk kalacaktır. Artık riskler; yapısal risklere karşılık verildikten sonra kalan risk miktarıdır ve kurum her halükarda bu riskleri kabul etmek durumundadır. AZALTMAK Şimdiye kadar risklerin büyük çoğunluğu bu yolla yönlendirilmiştir. Azaltmanın amacı kurumda riskin doğumuna neden olan faaliyet devam ederken riski kabul edilebilir bir seviyede sınırlamak için harekete geçmektir. Riskleri azaltmanın iki yöntemi vardır. Risklerin olasılığının azaltılması ve/veya etkilerinin azaltılması şeklinde özetlenebilecek olan bu yöntemlerin ilkinde uygun kontroller yardımı ile olayların olumsuz etkilerinin ortaya çıkma ihtimalinin azaltılması söz konusuyken ikincisinde amaç olayların olumsuz etkilerinin büyüklüğünün azaltılmasıdır. Olumsuz etkilerin azaltılmasına yönelik kontroller olay öncesinde önlem alma veya olay olduktan sonra zararın azaltılması için plan yapılması şeklinde olabilir. PAYLAŞMAK Bazı riskler için en iyi karşılık onları transfer etmek veya riski yaymak olabilir. Bu geleneksel sigorta yöntemiyle yapılabilir veya üçüncü bir şahsa başka bir şekilde riski üstlenmesi için ödeme yapmak yöntemiyle yapılabilir. Bu seçenek özellikle finansal risklerin veya varlıkların riskinin azaltılması için uygundur. Ya maruz kalınacak risk oranını azaltmak için ya da başka bir organizasyon (belki de başka bir 65 devlet kuruluşu) riski etkili yönetmeye daha muktedir olduğundan, riskin transfer edilmesine karar verilebilir. Bazı risklerin tamamen transfer edilemeyeceğine dikkat etmek önemlidir, özellikle hizmetin yerine getirilmesi anlaşma ile başka şirkete bırakılmış olsa bile genelde itibari riskleri transfer etmek mümkün değildir. Riskin başarıyla transfer edilmesini garantilemek için riskin transfer edildiği üçüncü şahısla olan ilişkiler dikkatle yönetilmelidir. KAÇINMAK Bazı riskler sadece faaliyete son verilerek kabul edilebilir seviyede sınırlandırılabilir. Şuna dikkat edilmelidir ki faaliyete son verme seçeneği özel sektörle karşılaştırıldığında kamu sektöründe ciddi biçimde sınırlı olabilir; birkaç faaliyet kamu sektörü tarafından yürütülür çünkü bağlı riskler o kadar yüksektir ki toplum yararı için istenen çıktının veya gelirin elde edilmesinin başka yol yoktur. Bu seçenek özellikle tahmini fayda – maliyet ilişkisinin tehlikeye düşeceği açık hale gelirse proje yönetimi için önemli olabilir. FIRSATTAN FAYDALANMAK Bu seçenek yukarıdakilerin alternatifi değildir; daha çok riski kabul ederken, azaltırken veya transfer ederken dikkate alınması gereken bir seçenektir. Bunun iki cephesi vardır. İlki riskleri hafifletirken olumlu etkisinden yararlanılacak bir fırsatın aynı zamanda mı yoksa farklı zamanda mı ortaya çıktığıdır. Örneğin, büyük bir projede yüksek miktarda sermaye kaynağının riske sokulması gerekiyorsa, bununla alakalı kontroller, daha da büyük avantajlar ele geçirmek için bahsi geçen para toplamının yükseltilmesini haklı çıkarmaya yetecek kadar iyi midir? İkincisi olumlu fırsatlar sunarken tehdit içermeyen koşulların 66 ortaya çıkıp çıkmadığıdır. Örneğin malların maliyetlerindeki bir azalma yeniden yerleştirilecek kaynakları serbest bırakabilir.34 İzleme ve gözden geçirme Risklere verilen karşılıkların yerinde ve etkin olduğunu garantilemek için kurumsal risk yönetimi her yönüyle izlenmelidir. Daha önce COSO modelinde 2.3.8 başlığı altında da belirtildiği gibi izleme; devam eden faaliyetler veya tek tek değerlendirmeler ya da bunların bir kombinasyonu şeklinde yapılabilir. İzleme bilginin toplanması ve analiz edilip raporlanması faaliyetlerini de içerir. Analizler risklere en uygun karşılığın verildiğini, risk toleransı sınırlarını aşan tüm risklerin değerlendirme kapsamına alındığını ve kontrollerin riskleri azaltmak için işlediğini doğrulamak için yapılır. İzlemenin sorumluluğu hem yönetime hem de kurumda çalışan herkese aittir. Kurumun tüm bireyleri kurumun risk alanındaki değişiklikleri tespit etmek için iç ve dış ortamdaki tüm gelişmeleri sürekli izlemeli ve gerektiğinde bunu iletmelidirler. Yönetim ise riskler için hesap verilebilirliği gerçekleştirmek, sistemin sahipliğini üstlenmek ve güncellemelerin yapılabilmesini sağlamak için sistemi gözlemlemeli ve periyodik olarak gözden geçirmelidirler. Güncellemeler kurumun hedeflerindeki değişiklikleri, kurumun kullandığı sistemdeki değişiklikleri ve süreçlerdeki değişiklikleri ve kurumun bilgi teknolojilerindeki gelişmeleri içermelidir. 34 Orange Book, age 67 Güçlendirme Kurumsal risk yönetimi kurulduktan ve etkin bir biçimde işlemeye başladıktan sonra yapılması gereken sistemin güçlendirilmesidir. Sistemin güçlendirilmesi kurum performansının iyileştirilmesi, rekabet avantajı oluşturulması ve çoklu risklerin kurum genelinde rakamsal analizinin yapılması yöntemleriyle gerçekleştirilir. Kurum performansının iyileştirilmesi izlemeler sırasında ortaya çıkan aksaklıkların anında giderilmesi ve değişen ve gelişen koşullara zamanında ve doğru şekilde tepki verilerek adaptasyonun gerçekleştirilmesi ile mümkündür. Rekabet avantajı özel sektördeki kurumlar için hayati önem taşımakta, hedeflerine ulaşmaları için en büyük adım anlamına gelmektedir. Kamu kurumları çoğunlukla ürettikleri hizmetler açısından bir rekabet ortamı içinde bulunmamakla birlikte üretimlerindeki katma değeri maksimize etmek için rekabet ortamındaki bir kurum gibi düşünerek hizmetlerini en iyi şekilde vermeye uğraştıklarında hedeflerine daha etkin, etkili ve ekonomik bir biçimde ulaşırlar. Çoklu risklerin nitelenmesi çok incelikli ve profesyonellik gerektiren bir iştir. Bütün risklerin tespitinin ardından hangi riskin hangisinden ne kadar etkilendiğinin bulunması, hangi risklerin birbirini doğurduğunun, hangi risklerin birlikte olma ihtimalinin bulunduğunun, hangi riskler arasında ne gibi bir korelasyon bulunduğunun tespit edilmesi, daha sonra bunların analitik analizlerinin yapılması gereklidir. Bu analizlerin ardından çoklu risklere verilecek karşılıklar kararlaştırılır. Bu kararlaştırma sırasında bir riske verilmesi kararlaştırılan karşılığın o riskle bağlantılı diğer riskleri nasıl etkilediği dikkate alınır. Bir riskin etkisini azaltacak bir karşılığın onunla bağlantılı başka bir riskin etkisini tolerans sınırlarının dışına taşacak biçimde 68 arttırmaması gereklidir. Ya da bir riski azaltmak başka bir risk unsurundan edinilebilecek faydanın da kaybedilmesi anlamına gelebilir. Şu halde, fayda maliyet analizleri çoklu risklere göre yapılmalıdır. Tüm bunların sistematik bir biçimde yapılıp gözlenmesi ve sürekli iyileştirilmesi ile güçlendirme süreci etkin biçimde işlemeye başlamış olur. 69 4. Uygulama Örnekleri Kurumsal risk yönetimi rehberlik amacıyla genel bir çerçeve oluşturmaktadır. Kurumların bu çatıyı “rehber” olarak almaları ve kendi kurum yapılarına göre düzenlemeleri gerekmektedir. Şüphesiz ki özel kurumlar ile kamu kuruluşlarının temel hedefleri ve dikkate almaları gereken ölçütler farklıdır. Her iki kesimin de etkin bir biçimde kullanabileceği bu sürecin yerleştirilmesi kendi yapılarına, kaynaklarına, karşı karşıya oldukları risk türlerine göre şekillenmektedir. Kurumsal risk yönetimi sürecinin nasıl yerleştirileceğine dair genel geçer bir uygulama rehberi bulunmamakta; kamu olsun, özel olsun her kurum kendi uygulama rehberini kendi yapısına uygun olarak hazırlanmasında hazırlamak geçmiş durumunda uygulamaların kalmaktadır. incelenmesinin Rehberin kuruma yol göstermesi açısından büyük önemi vardır. Burada ilk olarak bağımsız risk danışma şirketi Proviti’nin kurumsal risk yönetiminin yerleştirilmesi konusundaki önerisine, daha sonra da birkaç uygulama örneğine yer verilecektir. Kurumsal risk yönetimi uygulama önerisi35 Daha geniş bir bakış açısı kullanmak isteyenler için kurumsal risk yönetimi uygulaması önem kazanmaktadır. Kurumsal risk yönetiminin kurumda kurulması bir gecede tamamlanacak bir iş değildir. Ama beş aşamalı şu süreç başlangıç için yardımcı olacaktır. 1) Kritik riskleri değerlendirmek ve önceliklendirmek için bir “kurumsal risk değerlemesi” yürütmek: “Kurumsal risk değerlemesi” kurumun risklerini tanımlar, öncelik sırasına koyar ve 35 http://www.knowledgeleader.com/iafreewebsite.nsf/content/InternalAuditEnterpriseRiskManageme ntPracticalImplementationIdeas!OpenDocument 70 risklere verilecek etkin karşılıkları formüle etmek için, öncelikli riskleri yönetme konusunda cari yeterlilik seviyesiyle ilgili bilgiyi de içeren kaliteli veri sağlar. Eksiklikleri tanımlamak için kurumun öncelikli risklerini tanımlamak kurumsal risk yönetiminin geliştirilmesi için temel hazırlar. Sürece başlamak için kurumsal risk yönetiminin ne olduğu konusunda sonu gelmeyen tartışmalara girmektense karşılaşılacak riskleri anlamak için kurumsal risk değerlemesi ile ilk adım atılmalıdır. 2) Risk yönetimi vizyonunu açıkça ortaya koymak: Risk yönetimi vizyonu; risk yönetiminin organizasyon içindeki rolü ve organizasyonun ana risklerini yönetmek için ihtiyaç duyulan yeteneğin birleşimidir. Yararlı olması için vizyon, risk yönetimi performansını güçlendirecek ve yönetimin belirlediği hedef ve amaçlara ulaşmasını sağlayacak belirli bir kapasite temeli üzerine kurulmalıdır. “Risk yönetimi kapasitesi” verebilmesi için kurumun gerekli olan karşılaşacakları politikaları, risklere süreçleri, karşılık yeterliliği, raporlamayı, yöntemleri ve teknolojiyi kapsar. Vizyona ayrıca kurumsal risk yönetimi altyapısı diyebiliriz. Bir başka deyişle bu altyapı, risk yönetimi kapasitesini sürekli olarak güçlendirmek ve uygun disiplinin oluşturulması için politikaların, prosedürlerin, kurum gözetiminin ve raporların yerleştirilmesidir. Kurumsal risk yönetimi altyapısı unsurlarına verilebilecek örnekler; genel bir risk yönetimi politikası, kurum genelinde risk değerleme süreci, risk yönetiminin yöneticilerin ve üst kademedeki idarecilerin gündeminde bulunması, yetki verilmiş risk yönetimi birimi, risk yönetimi rol ve sorumluluklarının açıkça belirlenmesi, risk raporlamasının ve gerekli araçlarıdır. 3) Kurumun risk yönetimi kapasitesini bir veya iki öncelikli risk için geliştirmek: Bu adım kurumun gelişmeye ihtiyacı olduğunu bildiği alanda risk yönetimi kapasitesinin geliştirilmesine odaklanır. Her 71 girişim gibi kurumsal risk yönetimi de bir yerden başlamalıdır. Bazı olası başlangıç noktaları: Yürürlükteki yasa ve yönetmeliklerle uyum Bir veya iki finansal veya faaliyet riski Öncelikli alanların belirlenmesi için kurum genelinde risk değerleme sonuçlarını değerlendirmek (bir başka deyişle kurumsal risk yönetimi ilk olarak öncelikli risklerin seçilmesi ve o riski değerlendirmekteki cari durum kapasitesinin değerlendirilmesi ile başlar). Önemli olan kurumsal risk yönetiminin yönetim ve faaliyet süreciyle bütünleşmesidir. Amerika’da birçok kamu kurumu kurumsal risk yönetiminin yerleştirilmesine uyumlaştırma ile başlamıştır çünkü bir kurumun finansal raporlamasında saydamlık olmadan sağlam bir yönetiminin olması mümkün değildir. Güvenilir finansal raporlamaya güçlü bir şekilde odaklanma kurumsal risk yönetimi kapasitesinin inşa edilmesinin iyi bir yoludur. 4) Var olan kurumsal risk yönetimi altyapı kapasitesini değerlendirmek ve geliştirmek için strateji oluşturmak: Kritik risklerin yönetimi çerçevesinde kapasiteyi geliştirmek bir disiplin gerektirir. Disiplini yerleştiren politikalar, süreçler, organizasyon ve raporlar kurumsal risk yönetimi altyapısı olarak adlandırılır. Kurumsal risk yönetiminin amacı mevcut durum ile olması gereken durum arasındaki boşluğun kapanmasıdır. Bunu gerçekleştirmek için ortak bir risk dili ve diğer çerçeveler, en iyi uygulama bilgilerinin paylaşılması, eğitim gibi unsurlar üzerinde durulmalıdır. Kurumsal risk yönetimi altyapısı, kurumsal risk yönetimi uygulamalarına güvenilmesi için üç önemli kolaylık sağlamaktadır. Kolaylıkların ilki, risk yönetimi ve risk yönetimi yeteneğinin gerçeklere dayanarak anlaşılmasını 72 sağlar. İkincisi, kritik risklerin sahiplenileceğine dair güvence verir. Üçüncüsü, boşlukların kapanmasını sağlar. 5) Risk yönetimi yeteneğini ana riskler için ilerletmek: Bu adım kurumun öncelikli risklerinin seçimi ile başlar. İlk dört adım tamamlandıktan sonra kurumsal risk yönetimini değişim için güncellemek gerekli olacaktır. Önceki adımlarda, öncelikli riskleri tanımlayıp onları yönetme yeteneğini mevcut durumdan arzu edilen seviyeye çıkarmak için düzenlemeler yapılmıştı. Bu gerçekleştikten sonra yönetim bakış açısını diğer riskleri de içerecek şekilde genişletmelidir. Risk yönetimi yeteneği, kurumun sınırlı olan kaynakları ile uyumlu biçimde tasarlanmalı ve geliştirilmelidir. Her risk için risk yönetimi yeteneği geliştirildikten sonra yönetim devamında şuna karar vermelidir: Kurum hedeflerine ulaşabilmek için ne kadar kapasite eklememiz gerekmektedir? Dahası risk yönetimi kapasitesini geliştirmek için beklenen maliyet ve yararlar nelerdir? Amaç kuruma en çok baskı yapan belirsizlikleri belirlemek ve bu belirsizlikleri yönetmek için gelişme üzerine odaklanmaktır. İşletmenin yerleştirmeyi seçtiği kurumsal risk yönetimi altyapısı, süreci bu hedeflere doğru ilerlemesini sağlar. Virginia Eyaleti Uygulama Aracı36 Risk yönetimi ve iç kontrol standartları kurumu – 2005 / Amerika “Bu araç kitapçığında risk yönetimi ve iç kontrol standartlarının yerleştirilmesi konusunda öneriler bulunmaktadır. Risk yönetimi unsurlarını yerleştirirken kurumlar stratejik bir plan oluşturmalı ve yürütmelidirler. Stratejik plan için misyon, amaçlar, değerler, hedefler, ölçütler ve stratejiler kurmak, risk yönetimi programı için temel inşa eder. Stratejik plan genel 36 http://www.doa.state.va.us/ARMICS/94.pdf 73 performansı izlemek, gerekli düzenlemeleri yapmak, hedeflerin elde edilmesini değerlendirmek için bir idareci aracı olarak hizmet verir. Burada gösterilen bazı teknikler siz kendi kurumunuzun kurumsal risk yönetimini programını kurarken düşüncenizi teşvik etmek için tasarlanmış açıklayıcı örneklerdir. Araç içinde bazı belgeler kendi kurumunuza uygulamanız için boş bırakılmıştır.” Bu giriş yapıldıktan sonra rehberde sekiz kurumsal risk yönetimi unsuru sayılmış ve her biri ayrı ayrı tanımlanarak örneklerle açıklanmıştır. İlk unsur olan iç ortamın tanımı yapıldıktan sonra, bu unsurun öğelerinden biri olan yönetim felsefesini açıklamak üzere örnek bir belge konmuştur. Bu belgede kurumsal risk yönetiminin risk yelpazesinin tümünün tanımlanması, yönetilmesi ve değerlendirilmesinde kuruma üstün yetenekler kazandırdığı belirtilmektedir. Risk değerlemesi ve risklere karşılık vermek, kurumun üst kademe yöneticilerini desteklemek, güvenilirliği güçlendirmek gibi konularda yönetime destek sağlayacaktır. Tüm personelin stratejinin geliştirilmesi sırasında risk profilleri oluşturmak, karar verme sürecinde her risk çeşidini göz önünde bulundurmak, risk profillerinin çıkarılmasında yönetimi desteklemek, risk ve risk yönetimi konusunda hesap verilebilirliği ve sorumluluğu üstlenmek ve benzeri şekilde sıralanan uygun davranış standartlarına uyacağı belirtilmiştir. İkinci bir tabloda “riskle alakalı kültürel tetkikte ölçülen nitelikler” yöneticilik ve strateji, kişiler ve iletişim, hesap verilebilirlik ve destek ile risk yönetimi ve altyapı başlıkları altında incelenmiştir. Daha sonra da ölçümle ilgili bir ankette, bu unsurların her biriyle ilgili sorulara yer verilmiştir. İç çevre ile ilgili verilen bir başka uygulama örneği ise davranış kuralları ile ilgili tanımlayıcı yapıyı kurmaya yönelik hazırlanmış ve kurumun üst yetkilisinin, hedefler ve felsefenin, çıkar çatışmalarının, ödül – ceza sisteminin, şeffaflığın kurum kaynaklarının, toplumsal sorumlulukların ve ilgili diğer konuların açıklandığı bir belgedir. 74 İkinci unsur olan hedef koymanın tanımı yapıldıktan sonra, ilk örnek kurumun misyonunun, hedeflerinin, stratejilerinin, faaliyet, raporlama ve uyumdan oluşan ilgili hedeflerin neler olduğunun ayrıntılı olarak belirlendiği bir belgeye yer verilmiştir. İkinci bir örnek kurumun risk kapasitesini ölçmeye yarayan bir ankettir. Burada sorulan sorularla kurumun ne kadar risk üstlenmeye hazır olduğu ölçülmeye çalışılmaktadır. Daha sonra bir grafik ile risk kapasitesinin sınırları gösterilmiştir. Risk kapasitesinin belirlenebilmesi için gerekli olan yapısal risk artık risk ve risk kapasitesi arasındaki ilişkiler belirtilmiştir. Üçüncü unsur; olay tanımlama tanımlanmıştır. Stratejik planlama ve risk yönetimi açısından misyon ve hedeflerle bağlantılı olaylar tanımlanmıştır. Risk yönetiminin en önemli görevi olay tanımlamaktır. Bu görevde olay genellikle “neyin yanlış gidebileceği”dir. Ancak aynı zamanda “neyin beklenenden daha iyi gidebileceği” konusunda da alarmda olmak gereklidir. Olay tanımlamanın yaratıcı aşaması; risk yönetiminin stratejik planlarda elde edilen bilgi üzerine yayılmaya başlamasıdır. Bir kurum olay tanımlamak için çeşitli tekniklere başvurabilir. Olay envanter kayıtları, kolaylaştırıcı seminerler, mülakatlar, soru kitapçıkları ve yoklamalar, süreç akım analizi, başlıca olay göstergeleri, kayıp olay veri takibi şeklinde sıralanan bu teknik örnekleri tablolarla gösterilmiştir. Potansiyel olayları analiz etmek, hedeflerin elde edilmesinde ne kadar etki edeceklerine karar vermek için olasılık ve etkilerini belirlemek olarak tanımlanan dördüncü unsur olan risk değerleme öncelikle risk yönetimi yapılmadan önce riskin olasılığı ve etkisi olarak tanımlanan yapısal riske uygulanır. Riske verilecek kabullenme, kaçınma, azaltma vb karşılıklar geliştirildikten sonra, yönetim, riske karşılık verildikten sonra kalan risk olan artık risk üzerinde düşünür. Yönetimin risk yönetimi sürecini düzenli raporlaması önemlidir. Bunun için yapısal riskler ve olası etkileri belirlenmeli, 75 sonra çeşitli yöntemlerle değerlendirilmelidir. Örneğin: sonraki çeyreğin olasılığa göre bilgisayar risklerinin dağılımı olay tanımı değerleme olanakları ve olasılığa göre tablo halinde değerlemesi, yeni bilgi sistemi yerleştirmenin risk değerleme tablosu, resmi istatistik analiz teknikleri, niteleyici risk değerlemesi tasvirleri, basit risk haritaları, niteleyici olmayan risk değerlemeleri gibi. Beşinci unsur tanımlanan ve değerlenen risklere nasıl bir tepki verilmesi gerektiğinin araştırıldığı riske karşılık vermedir. Yönetim kurumnin risk toleransı ve risk kapasitesi ile bağlantılı olarak risklere tepki geliştirir. Bunun için kurum kaçınma, paylaşma, kabullenme veya azaltma gibi risk karşılığı seçeneklerinin ayrı ayrı tablolaştırılarak hangi riskin hangi karşılığı göreceğinin yazıldığı basit risk tepki tabloları oluşturabilir, hedefler, olaylar risk değerlemesi ve risk karşılığının birbiriyle ilişkilendirildiği karma tablolar kullanabilir veya çoklu risk tepkisi tablolarına başvurabilir. Altıncı unsur, kontrol faaliyetleri, riske verilen karşılıkların etkin bir biçimde yerine getirilmesine yardımcı olmak üzere yerleştirilen plan ve prosedürlerdir. Bunun uygulaması için hedefin belirlendiği, ölçüm biriminin belirtildiği, hedeflerin, tolerans seviyesinin, risklerin ve riske verilecek karşılıkların belirtildiği bir tabloda bununla bağlantılı kontrol faaliyetlerinin neler olduğu teker teker sıralanmıştır. Yedinci unsur olan bilgi ve iletişimin tanımı yapılmış, bilgi iletişimde teknolojinin rolünün ne kadar önemli olduğu belirtilmiştir. Daha sonra kurumun risk yönetimi felsefesinin iletilmesi için neler yapılabileceğinden bahsedilmiştir ki bunlar; çalışanlara verilen brifingler, politika, standartlar, prosedürlerin istendiğinde verilmek üzere hazır bulundurulması, yeni olaylar karşısında çalışanların uygun biçimde başkalarına danışmasının desteklenmesi kurumsal risk yönetimi programının, şirket felsefesinin oryantasyonlarla anlatılması ve benzeridir. Bunun dışında kurum başkanının 76 hedef ve işleme sürecini anlattığı mesajlar da iletişim için önemli bir araçtır. Yine iletişim için kurum genelinde kullanılan e-mailler, kurum gazeteleri, tartışma grupları, kurumsal risk yönetimi tanıtımı yapan broşür ve posterler gibi çeşitli araçlar kullanılabilir. Sekizinci ve son unsur, izlemedir. İzleme kurumsal risk yönetiminin varlığını ve işlerliğini değerleme sürecidir. Gerekli olduğunda düzenlemeler yapılacaktır. İzleme; normal kurum faaliyetlerinin günlük gözden geçirilmesi yoluyla yapılabilir. Örneğin yönetim hem faaliyet hem finansal istatistikleri kapsayan ana iş faaliyetleri göstergelerini raporlayabilir, yönetim riske ne kadar maruz kalınabileceğine dair konulan limitlerin performansını gözden geçirebilir. Planlama (hedef ve gelişim ölçeğinin tanımlanması, gelişim ekibinin tanımlanması ve gelişimi yönetmek için gerekli yetkilendirme, gelişim planı üzerinde anlaşma...), performanstan (kurumun daire veya süreç faaliyetlerini anlamak, kurumun risk yönetimi sürecinin nasıl çalışması için tasarlandığını anlamak, risk yönetimi sürecine kararlaştırılan yöntemleri uygulamak...) ve faaliyetlerin düzeltilmesi ve raporlamadan (dairenin veya sürecin elde ettiği sonuçları gözden geçirmek, daireden veya süreçten yorum veya uygulama planları almak...) oluşan özel değerlemeler yapılabilir. Değerleme yöntem ve araçları çok çeşitlidir; yoklamalar, anketler, akış şemaları, risk kontrol matrisleri, kıyaslamalar, bilgisayar destekli denetim teknikleri, risk ve kontrol öz değerleme seminerleri gibi. Değerleme metodu seçerken, personelin kullanımına uygun olmasına, belirlenen ölçeğe uygun olmasına, değerlemenin doğal ve beklenen frekansına uygun olmasına dikkat edilmelidir. 77 Bütünleşmiş risk yönetimi çerçevesi37 2000 / Kanada hazinesi sekreterliği Bu çerçeve kanada hükümetinin kamu sektöründe risk yönetimi uygulamalarını güçlendirmek için geliştirilmiştir. Bunu yaparak bütünleşmiş risk yönetimi çerçevesi Kanada halkı için şu sonuçların elde edildiğinin altını çizmektedir: vatandaş odağı, değerler, sonuçlar ve harcama sorumluluğu. Bu çerçevenin tasarlanma amacı modern yönetim uygulamalarının yerleştirilmesi ve federal kamu hizmetlerinde yeniliklerin desteklenmesidir. Bu çerçeve bir kuruma farklı riskleri aynı seviyeye indirerek sürdürülebilirliği sağlamak, karşılaştırma yapmak ve tartışmak tabanında stratejik risklerin yönetilmesi için genel bir yaklaşım geliştirir. Bütünleşmiş risk yönetimi risk yönetimine kıyasla, daha çok kurumun tümünü kapsayan bir yaklaşımdır. Bu yaklaşımla kurumların ve çalışanlarının doğasını daha iyi anlamaları ve riskleri daha sistematik yönetmeleri sağlanır. Bu dört aşamada gerçekleşir: kurum risk profilini oluşturmak, bütünleşmiş risk yönetimi fonksiyonu oluşturmak, bütünleşmiş risk yönetimi uygulamak ve risk yönetiminin sürekli öğrenildiğini garantilemek. Bütünleşmiş risk yönetimi fonksiyonunun yerleştirilmesi: Bütünleşmiş risk yönetimi fonksiyonunun yerleştirilmesi için risk konularının içsel olarak anlaşılması ve iletişimin güçlendirilmesi için tasarlanan ve üst yönetime bir yön çizmek konusunda destek olan risk yönetimi altyapısı oluşturulmalıdır. Kurum risk profili kurum risk yönetiminin hedef ve strateji kurması için gerekli verileri sağlar. Etkili olmak için risk yönetimi kurumun genel hedefleri, kurumun ilgi odağı, stratejik yönü, faaliyet uygulamaları ve iç kültürü ile uyumlu olmalıdır. Risk yönetiminin etkili 37 http://www.tbs-sct.gc.ca/pubs_pol/dcgpubs/riskmanagement/rmf-cgr-PR_e.asp?printable=True 78 olabilmesi için var olan yönetim ve karar verme yapısına ve faaliyet ve strateji seviyelerine yerleştirilmesi gereklidir. Risk yönetiminin rasyonel, sistematik ve aktif bir biçimde yerleştirilmesini garantilemek için bir kurum birbiriyle ilintili üç sonuç aramalıdır: • Risk yönetimi ile ilgili yönetimin yönü (vizyonu, politikaları, faaliyet prensipleri) ilerletilmeli, anlaşılmalı ve uygulanmalıdır. • Bütünleşmiş risk yönetimini yaklaşımının var olan karar verme yapısına yerleştirilmesi gerekir • Kapasite inşa etmek: kurumda kullanılmak üzere geliştirilen planlar ve araçlar öğrenilmelidir. Risk yönetiminin uygulanabilmesi için öncelikle kurumun risk yönetimi vizyonunun, hedeflerinin ve faaliyet kriterlerinin oluşturulması ve iletilmesi gerekir. Bu araçlar kullanılarak risk yönetiminin herkesin görevi olduğu anlayışı güçlendirilmelidir. Süreç yerleştirilirken stratejik risk yönetiminin yönü belirlenmeli, iç ve dış meseleler, bakış açıları ve risk toleransı göz önünde bulundurulmalıdır. Risk yönetiminin etkili biçimde uygulanması, var olan karar verme sürecine dahil edilmesine bağlıdır. İyi yönetimin vazgeçilmez bir unsuru risk yönetimidir. Uygulamanın başarıyla yerleştirilmesi için yönetim genelinde ve ilgili daireler bazında yönetimin geri beslemesi için risk yönetimi faaliyetlerinin değerleme ve raporlama mekanizmaları oluşturulmalıdır. Sonuçlar sürekli olarak izlenmelidir. Kurumsal kapasite yaratmak bir başka önemli unsurdur. Bu, kurum risk yönetimini yerleştirdikten sonra bile yönetimi zorlayan bir görevdir. Çevre taraması ve dikkate değer yeni alanların ve faaliyetlerin dikkate alınması devam etmelidir. Bu risk yönetimi yeteneğini geliştirir ve uygulamanın başarı şansını arttırır. Her kurum karşı karşıya olduğu risklere 79 karşı kendi kapasite stratejilerini belirlemelidir. Risk kapasitesinin belirlenmesi risk profilinin çıkarılması ile daha kolaylaşacaktır. Risk profili kurumun var olan güçlü ve zayıf yanlarını tanımlar. Bütünleşmiş risk yönetimi yaklaşımını kuruma yerleştirmek yönetimin karar vermesi ve güçlü bir bağlılıkla bunu uygulamasına ve kurumsal hedeflerin gerçekleştirilmesine bağlıdır. İyi bir risk yönetimi uygulamasından şu sonuçlar beklenir: risk yönetimi sürecinin kurumun her seviyesine yerleştirilmesi, karar verme, karar vermeye yardımcı olacak araç ve metotların yerleştirilmesi, sürekli iletişimin sağlanması. Devamlı bir risk yönetimi süreci kuruma riskleri anlamak, yönetmek ve iletişimde yardımcı olur. Devamlı risk yönetiminin aşamaları şöyle bir diyagramla gösterilebilir: Kilit risk alanlarını değerlendirmek Olayları tanımlamak, şartları oluşturmak Olasılık ve etkiyi ölçmek Devamlı öğrenme ve iletişim İzleme Değerlendirme ve Uyum Bütünleşmiş risk yönetimi uygulaması Riskleri önceliklendirmek Devamlı öğrenme ve iletişim Strateji yerleştirmek Strateji seçmek Olasılıklar geliştirmek İstenilen sonuçları belirlemek Tablo 3: Bütünleşmiş Risk Yönetim Uygulaması Sonuç olarak bütünleşmiş risk yönetimi risk yönetimine daha sistematik ve bütünü kapsayan bir yaklaşımdır. Kurumdaki kişilerin ve 80 yönetimin önemini vurgulayarak dairelerin ihtiyaçlarının ve kişilerin rollerinin daha açık bir biçimde tanımlanmasını sağlar. Kurumun değerleri, öncelikleri, alınan dersleri, en iyi uygulamaları temel alan riske yönetimi vizyonunu ve hedeflerini açıklar. Risk yönetimi değerleme çerçevesi38 Daireler için bir araç – 2004 / Risk Destek Ekibi, UK Hazinesi Bu risk kontrol rehberi bir organizasyon içinde risk yönetimi standartlarının değerlendirilmesine yardımcı olmak amacıyla oluşturulmuştur. Amacı, etkin risk yönetimi kapasitesini geliştirmeye ve sürdürmeye; planlanan sonuçların elde edilmesi ve etkin risk idaresinin etkisini değerlendirmeye yardımcı olacak esnek bir araç sağlamaktır. Öncelikle cevaplanması gereken başlıca yedi soru bulunmaktadır: 1- Üst yöneticiler ve bakanlar, risk yönetimi destekliyor mu? 2- Kişiler riski iyi yönetmek için destekleniyor ve donatılıyor mu? 3- Açık bir risk politikası ve stratejisi var mı? 4- Ortaklarla risklerin yönetimi konusunda etkili düzenlemeler var mı? 5- Kurumun süreçleri etkin risk yönetimini içeriyor mu? Buraya kadar olan sorular kurumun kapasitesi ile ilgilidir. 6- Riskler iyi idare ediliyor mu? 7- Risk yönetimi istenilen sonuçları elde etmeye katkıda bulunuyor mu? Bu yedi anahtar soru kurumun türüne ve faaliyet dağılımına göre genişletilerek yardım sağlar. 38 http://www.hm-treasury.gov.uk./media/17A/81/17A8166B-BCDC-D4B3-16668DC702198931.pdf 81 Etkili risk yönetiminin kuruma yerleştirilmesi için beş seviyeli bir süreç gereklidir. Bu aşamaların ilki farkında olmak ve anlamaktır. İkincisi risk yönetimi sürecinin yerleştirme planının yapılmasıdır. Süreç hazırlanır. Üçüncü aşama planı kilit alanlara enjekte etmektir. Dördüncüsü yerleştirme ve geliştirme aşamasıdır. Sonuncusu ise mükemmel kapasitenin yerleştirilmesidir. Daha iyi uygulama için sistematik olarak toplanan kanıtlarla bilgilendirilen başlıca yedi soru kullanılabilir. İlk soru önderlikle ilgilidir. “Üst yöneticiler ve bakanlar, risk yönetimi destekliyor mu?” sorusu yukarıda belirtilen beş seviyede ayrı ayrı değerlendirilir ve; üst yöneticiler ve bakanlar kilit riskleri yargılayıp açık bir yön çiziyor mu, dairenin ne kadar risk alacağını belirleyen risk kapasitesi için kriterler ve düzenlemeler oluşturuyor mu, girişimi destekliyor mu, risk yönetimi için açık güvenilirliği garanti ediyor mu, risk yönetiminde yerleştirmenin gelişimini yönlendiriyor mu gibi başlıklar altında daha ayrıntılı sorularla liderlik değerlendirilir. İkinci soru risk strateji ve politikaları ile ilgilidir. Açık bir risk yönetimi stratejisi ve politikası var mı sorusu her beş seviye için de ayrı ayrı değerlendirilir ve; açık bir risk yönetimi stratejisi var mı sorusu, risk yönetim stratejisinin yapısını ortaya çıkaran alt sorularla açıklığa kavuşturulur. Aynı yöntem açık bir risk yönetimi politikası var mı sorusuna da uygulanmalıdır. Kalan beş soru da yine her seviye için ayrı ayrı incelendikten sonra, ana soruların altındaki alt sorularla değerlendirilir. “Kişiler riski iyi yönetmek için destekleniyor ve donatılıyor mu?” sorusunun ana soruları; kişiler kurum kültürü tarafından destekleniyor ve donatılıyor mu, sorumluluğun dağılımı açısından yapılan düzenlemeler tarafından destekleniyor ve donatılıyor mu, personelin bilinçlenmesini garantileyen düzenlemeler tarafından destekleniyor ve donatılıyor mu ve uygun risk yönetimi bilgisi, deneyimi ve yetenekleri edinmelerini garantileyen koşullar tarafından destekleniyor ve 82 donatılıyor mu şeklindedir. “Ortaklarla risklerin yönetimi konusunda etkili düzenlemeler var mı?” sorusunun ana soruları; ortaklıklarda riskin tanımlanması, değerlendirilmesi ve yönetilmesi için uygun mekanizmalar var mı, acil durum planlarının tedarik ve test edilmesi için uygun mekanizmalar var mı, risk transferi uygulamalarının tanımlanması ve yönlendirilmesi için uygun mekanizmalar var mı şeklindedir. “Kurumun süreçleri etkin risk yönetimini içeriyor mu?” sorusu; risk yönetimi kurumun işlem sürecine tamamen yerleştirildi mi, süreç yenilikleri ve fırsatların tanımlanması ve ölçülmesini kapsıyor mu, prosedürler risk yönetimi düzenleme-lerinin etkinliğini garantiliyor ve iyi uygulama imkanı sunuyor mu, risk yönetimi süreci risk tanımı ve gelişimi aşamalarını, risk değerleme kriterlerini, risk kontrol mekanizmalarını kapsıyor mu gibi ana sorulardan oluşur. “Riskler iyi idare ediliyor mu?” sorunsalı; risk yönetimi faaliyeti; stratejik risklerin yönetimi için etkili öngörüye katkıda bulunuyor mu, etkili karar verme ve politika yapımına katkıda bulunuyor mu, etkili gözden geçirme ve güvenceye katkıda bulunuyor mu, etkili planlama ve hedef oluşturmaya katkıda bulunuyor mu, daha fazla etkinliği destekliyor mu gibi ana soruların irdelenmesi ile değerlendirilir. “Risk yönetimi istenilen sonuçları elde etmeye katkıda bulunuyor mu?” sorunsalının alt sorularla değerlendirilen ana sorularından bazıları ise şunlardır: risk yönetimi faaliyeti başarılı sonuca ulaşmaya, planlanan finansal sonuçlarla uyuşmaya, kurumun itibarını yükseltmeye katkıda bulunuyor mu? 83 5. Kurumsal Risk Yönetiminin Maliye Bakanlığında Uygulanması Kurumsal risk yönetimi hakkındaki teorik bilgiler ile bu çerçevenin uygulaması hakkında detaylı bilgiler ve uygulama örneklerinin anlatılmasının ardından, bu bölümde bütünleşik bir risk yönetimi modelinin Maliye Bakanlığında nasıl uygulanabileceğine dair bir öneri sunulacaktır. Daha önce de belirtildiği gibi kurumsal risk yönetimi; kurumun üst yönetimi, yönetimi ve diğer personeli tarafından yerine getirilen; kurum genelinde olan ve strateji oluşturma sırasında dahil edilen; kurumun hedeflerini elde etmesinde makul bir güvence sağlamak için kurumu etkileyebilecek potansiyel olayları tanımlamak ve risk kapasitesi içinde yönetmek amacıyla tasarlanmış bir süreçtir. Kurumsal risk yönetimi, kurumun misyon ve vizyonu ile hedeflerinin oluşturulduğu ve birbirine bağlandığı süreçlerin bulunmasını garanti eder ve bunların kurumun risk iştahı ile uyumlu olmasını sağlar. Bu tanımdan da anlaşılacağı gibi kurumsal risk yönetimini bir kuruma yerleştirebilmek için modelin stratejinin oluşturulması aşamasında sisteme dahil edilmesi gereklidir. Maliye Bakanlığı için en elverişli uygulama için de böyle bir yöntem uygun olacaktır. Stratejik Planlama Kamu kesiminin mali ve idari sorunları dikkate alındığında kamu idarelerinin faaliyetlerini planlı bir şekilde yerine getirmeleri giderek önem kazanmaktadır. Kamu yönetimi ve kamu mali yönetimi reformları çerçevesinde, makro düzeyde bütçe hazırlama ve uygulama sürecinde mali disiplini sağlamak, kaynakları stratejik önceliklere göre dağıtmak, bu 84 kaynakların etkin kullanılıp kullanılmadığını izlemek ve bunun üzerine kurulu bir hesap verme sorumluluğu geliştirmek temel başlıklar olarak ortaya çıkmıştır. Stratejik planlama; bir kurumun gelecek yıl veya yıllarda nereye yöneldiğini, ulaşmayı umduğu hedefleri, oraya ulaşmak için kullanacağı yöntemleri ve performansının ölçütlerini belirlemek için kullandığı süreçtir. Bu planlama sürecinin nihai ürünü; kurumun genel planını paydaşlarına, yönetimine ve çalışanlarına ileten ve kuruma günlük faaliyetlerinde yol gösteren stratejik plandır39. Dahası stratejik planlama uzun dönemli planlar ve bu planlara ulaşmak için pratik yollar belirleme üzerine odaklanır. Dönem uzadıkça riskler ve fırsatlar anlamındaki belirsizlik artar. Riskler ve fırsatlar zamanla değiştiğinden yönetim plan ve süreçlerini buna uyarlamalıdırlar. Şu halde Maliye Bakanlığının kurumsal risk yönetimini oluşturabilmesi ve yerleştirebilmesi için stratejik planı yapma aşamasında risklerini tespit etmesi gerekmektedir. Türkiye’de kamu kurumlarında stratejik planlar yapılırken Devlet Planlama Teşkilatının yayımladığı “Stratejik Planlama Klavuzu” temel alınmaktadır. Aşağıdaki kısımda bu rehberin çizdiği yöntem üzerinden stratejik planlama aşamaları anlatılmakta ve bu aşamalarda risk yönetiminin yerinin ne olacağına dair ipuçları verilmektedir. Stratejik planlama bir kurumun hedeflerine ulaşmak için çizdiği bir yön olduğuna göre öncelikle kurumun o hedefe giderken nereden yola çıktığını bilmesi gerekir. Kurum nerede bulunduğunu belirlemek için plan ve programlarını inceler, paydaş analizleri yapar ve kendi güçlü ve zayıf yönlerini bulmak, karşılaşacağı fırsat ve tehditleri araştırmak için SWOT analizi yapar. (Tam bu noktada, aslında kurum risk planını oluşturmak için temel verileri de elde etmiş olur. Bu konuya daha sonra değinilecektir.) 39 James K. Kincaid, William J. Sampias, Albert J. Marcella, CSSA Certificarion in Control SelfAssessment, Florida, 2004. s. 111 85 Kurum nerede olduğunu tespit ettikten sonra nereye ulaşmak istediğine karar vermelidir. Bunun için var oluş gerekçesini bir misyon ifadesi ile ortaya koyar ve temel ilkelerini belirler. Gelecekte nerede bulunmak istediğini bir vizyon ifadesi ile duyurur. Orta vadede ulaşılabilecek amaçlarını ve somut, ölçülebilir hedeflerini belirler. Bulunulan nokta ve varılmak istenen nokta tespit edildikten sonra varılmak istenen noktaya nasıl gidileceğine dair bir yol haritasının çizilmesi gereklidir. Risklerin, kurumun varmak istediği hedefe ulaşmasının önündeki engeller olarak özetlenebileceği göz önüne alınırsa, bu engellerin kurumu nasıl etkileyeceğinin tespiti ve bunların etkilerinin nasıl en aza indirileceği ile ilgili bir sürecin kuruma yerleştirilmesinin önemi daha da açık biçimde ortaya çıkmaktadır. Stratejilerin belirlenmesi aşaması olan bu aşamada risklerin nasıl yönetileceğine de karar vermiş olmak gerekir. Stratejilerin yerine getirilmesi için faaliyetler ve projeler tanımlanır. Böylelikle detaylı iş planları, maliyetlendirme, performans programı ve bütçe kurumun hedeflerine uygun olarak ortaya çıkarılır. Tüm bu faaliyetlerle birlikte kurum artık hedefine nasıl ulaşacağını da belirlemiş olur. Son aşama başarının takip edilmesi aşamasıdır. Başarının takip edilmesi sonuçların ve diğer konuların raporlanması ile kurumun en iyi durumda olan benzer bir kurumla karşılaştırılmasını da içeren izleme faaliyetleriyle performans ölçme ve değerlendirmeyi kapsar. Performans ölçme ve değerlendirme aşamasında geri bildirim, ölçme yöntemleri, performans göstergeleri, uygulamaya yönelik ilerleme ve sonuçların değerlendirilmesi gibi araçlarla kurumun geldiği noktanın gelmek istediği nokta olup olmadığı araştırılır. Maliye bakanlığında risk yönetiminin oluşturulabilmesi için tüm bu stratejik plan aşamalarında risk odaklı olarak düşünmek ve risk yönetimi 86 mekanizmalarının stratejik plan unsurlarıyla örtüşecek şekilde kuruma yerleştirmek gerekir. Stratejik Planla Uyumlu Risk Yönetimi Daha önce de belirtildiği üzere stratejik plan kurumun hedeflerinin ve bu hedeflere ulaşmak için bir yol haritasının belirlendiği bir dokumandır. Risk yönetimi ise kurumun hedeflerine ulaşması üzerinde etkili olabilecek belirsizliklerin tespit edilmesi ve bu belirsizliklerin kurumun yolundan sapmamasını garantileyecek biçimde yönetilmesi anlamına gelmektedir. Bu iki tanım birlikte ele alındığında stratejik plan yapılırken risk planının da oluşturulması gerektiği açıkça ortaya çıkmaktadır. Bu risk planı Maliye Bakanlığının stratejik risklerini ele alacak ve Bakanlığın belirlediği hedeflere ulaşmasında üst yönetime yardımcı olacaktır. Risk iştahı geniş anlamda, bir kuruluşun hedeflerinin peşinde koşarken üstlenmeyi arzuladığı risk seviyesidir. Yönetim, kurumun risk iştahını önce stratejik alternatiflerini değerlendirirken, daha sonra da seçilen strateji ile alakalı hedefleri oluştururken ve bunlarla ilgili riskleri yönetmek için mekanizmalar geliştirirken göz önünde bulundurur. Bir başka deyişle stratejik plan yapılırken ve hedefler belirlenirken risk iştahının seviyesi buna eşlik eder. Bu seviye kurum stratejik planını yaparken belirleyeceği hedeflerin neler ve nereye kadar olması gerektiğine de yön verir. Maliye Bakanlığının misyon ve vizyon bildirileri zaten mevcuttur. Vizyon ve Misyon tanımladıktan sonra ancak hedefler tanımlanmadan önce hedefleri etkileyebilecek iç ve dış faktörleri belirlemelidir. Durum analizi süreci SWOT (Güçlü Yönler, Zayıf Yönler, Fırsatlar ve Tehditler) Analizi olarak bilinir. Risk yönetiminin yapılabilmesi için kurumun durum analizi yapılırken risklerin de göz önüne alınması gereklidir. 87 SWOT Analizi Genel anlamda SWOT, kuruluşun kendisinin ve kuruluşu etkileyen koşulların sistematik olarak incelendiği bir yöntemdir. Bu kapsamda, kuruluşun güçlü ve zayıf yönleri ile kuruluş dışında oluşabilecek fırsatlar ve tehditler belirlenir. İki analiz yapılır; kuruluş içi analiz ve çevre analizi. Kuruluş içi analiz, kurumun mevcut durumunu ve geleceğini etkileyebilecek, iç ortamdan kaynaklanan ve kuruluşun kontrol edebildiği koşulların ve eğilimlerin incelenerek güçlü ve zayıf yönlerin belirlenmesi ve değerlendirilmesidir. Güçlü yönler kuruluşun amaçlarına ulaşması için yararlanılabileceği olumlu hususlardır. Zayıf yönler ise kuruluşun başarılı olmasına engel teşkil edebilecek eksiklikler, diğer bir ifadeyle, aşılması gereken olumsuz hususlardır. Belirlenecek güçlü yönler kuruluşun hedeflerine, zayıf yönler ise kuruluşun alacağı tedbirlere ışık tutacaktır.40 Kuruluş içi analizde çeşitli unsurlar değerlendirilir. Bu unsurların değerlendirmesi risk bakış açısıyla yapılmalıdır. Devlet Planlama Teşkilatının yayımladığı kılavuz bu unsurları kuruluşun yapısı, beşeri kaynaklar, kurum kültürü, teknoloji ve mali durum olarak sıralamıştır. Bu unsurlar aynı zamanda kurumun hedeflerine ulaşmasına da engel olabilecek ya da bunu kolaylaştırabilecek unsurlar olduğundan kurumun içinden kaynaklanan riskler ve fırsatların da birer göstergesidir. Risk yönetimi için bir plan oluşturulurken bunlar başlangıç verilerini oluşturacaktır. Çevre analizi, kuruluşun kontrolü dışındaki koşulların ve eğilimlerin incelenerek, kuruluş için kritik olan fırsat ve tehditlerin belirlenmesidir. Daha önce de belirtildiği üzere fırsatlar, kuruluşun kontrolü dışında gerçekleşen ve kuruluşa avantaj sağlaması muhtemel olan etkenler ya da durumlardır. 40 Stratejik Planlama Kılavuzu. age 88 Tehditler ise, kuruluşun kontrolü dışında gerçekleşen, olumsuz etkilerinin engellenmesi veya sınırlandırılması gereken unsurlardır. Çevre analizinde; kuruluşu etkileyebilecek dışsal değişimler ve eğilimler değerlendirilir. Analiz kapsamında, ekonomik, sosyal, demografik, kültürel, politik, çevresel, teknolojik ve rekabete yönelik etkenlerin belirlenmesi gerekir. Stratejik plan oluşturulurken engellenmesi veya sınırlandırılması gereken unsurların sadece belirlenmiş olması, etkilerinin sınırlandırılması ya da yapılabiliyor ise yok edilmesi adına herhangi bir adım atılmayacak ise bir anlam ifade etmemektedir. Bu nedenle stratejik planın diğer aşamaları devam ederken risk yönetimi için bir plan oluşturulmaya da başlanmalı ve bu iki çalışma stratejik seviyede eşanlı olarak devam etmelidir. Hedef Belirleme Stratejik plan hazırlama sürecinde SWOT analizinden sonra kurumun hedefleri belirlenir. Hedef belirleme; misyon, vizyon ve değerler tanımlandıktan ve hedef belirlemeyi etkileyebilecek iç ve dış faktörler analiz edildikten sonra yapılmalıdır. Önceden değinildiği gibi hedefler bir kurumun gayesini ve misyonunda, vizyonunda ve değerlerinde belirtilen ideallerini yerine getirmek amacıyla ulaşmak zorunda olduğu amaçlardır. Bir kurumun politikaları, prosedürleri, stratejileri, öncelikleri ve çabası doğrudan hedeflerine ulaşmak doğrultusunda olmalıdır. Bu nedenle hedefleri açık, pratik, ölçülebilir ve erişilebilir aynı zamanda paydaşları kurumu çabasında desteklemeleri için motive ve ikna etmeye yetecek kadar etkileyici ve geleceğe yönelik olarak belirlemek önemlidir. Kurumun risk yönetimi ile ilgili çalışmalar devam ederken tespit edilen hedeflerin de dikkate alınması gerekir. Her hedef için o hedefe ulaşmayı 89 engelleyebilecek durumların belirlenmesi sağlanmalı, yani her hedefe denk gelecek risklerin tespit edilmesi garantilenmelidir. SWOT analiziyle muhtemel risk alanları belirlendikten ve hedefler koyulduktan sonra risklerin nasıl yönetileceğine ilişkin planın oluşturulması aşamasına geçilir. Burada beyin fırtınası, arama konferansları ve anketler gibi yöntemlerle hedeflerin önündeki risklerin tanımlanması söz konusudur. Beyin Fırtınası Beyin fırtınası belirli bir konuda çözüm arayışına yönelik grup tartışması sırasında yaratıcılığı artırmak için kullanılan yöntemlerden biridir. Yöntem, çözüm arayışında çözüm önerisi veya önerilerinin tartılıp değerlendirilmesinden ziyade olabildiğince çok sayıda çözüm üretimine ve ortaya konmasına dayanmaktadır. Temel varsayım, bir grupta, belirli bir problem hakkında ne kadar çok fikir, ne kadar çok çözüm önerisi ortaya atılırsa, söz konusu probleme en uygun çözümü bulma olasılığı o kadar artacağıdır. Yöntemin uygulanışında birkaç hususa dikkat edilir. Birincisi, grup tartışmasına katılan üyelerin hiç çekinmeden ve değerlendirilme kaygısı olmadan, zihinlerinden geçen önerileri ortaya koymaları ve önerileri maksimum kılmak esastır. İkincisi grup üyelerince ortaya atılan hiç bir öneri eleştirilemez, zira amaç değerlendirme değil, öneri sayısını artırmadır. Üçüncüsü, üyelerce önerilen tüm öneriler kişilere değil, gruba aittir ve grup tarafından geliştirilip kullanılabilir. Kişisel görüşlerin toplanmasından sonra, öneriler rasyonel bir yöntemle değerlendirilir. Daha önceki aşamada SWOT analizi sırasında tespit edilen konuların ne tür risk ve fırsatlar oluşturduğunu tespit etmek için yaratıcı bir çalışma tarzına ihtiyaç vardır. Beyin fırtınası kullanılarak bu unsurlar ele alınmalıdır. 90 Kurum içi analiz sırasında tespit edilen konular tek tek incelenmelidir. Kuruluşun yapısı ile ilgili; Maliye Bakanlığının örgüt yapısının ne gibi bir risk oluşturabileceği, ya da ne gibi fırsatlar sağlayacağına dair fikirler ileri sürülmelidir. Bakanlıkta aynı ya da benzer görevleri yapan birimlerin varlığının ne gibi sıkıntılara yol açabileceği ve yetki çakışmalarının hangi alanlarda ne gibi riskler doğurabileceği tespit edilmelidir. Bakanlığın yapısında ve görev alanlarında yapılan değişikliklerin etkilerinin ne olacağı, 5018 sayılı kanunun gerektirdiği kurumsal yapı değişikliklerinin Maliye Bakanlığı açısından hangi riskleri ve/veya fırsatları yaratacağı, Bakanlığın izleme ve değerlendirme sisteminin hangi riskleri ortaya çıkarmakta yeterli olduğu, hangilerini kapsamadığı gibi konular üzerinde durulmalıdır. Beşeri kaynaklar unsuruyla ilgili; Bakanlığın personel sayısı ve bunların dağılımı üzerinde durulabilir. Hangi alanlarda personel fazlası var ve bu durum ne gibi riskler doğurur, birimlerin personel sayılarının hedeflere ulaşmak üzerindeki etkileri nelerdir, personelin eğitim düzeyi, yeterliliği ve deneyimi yeterli midir, yetersiz ise bunun kuruma zararları nelerdir gibi açılımlar üzerinden fikir yürütülebilir. Kurum kültürüyle ilgili; Bakanlıktaki iletişim ve karar alma süreçlerinin durumu ve bu süreçlerin güçlü mü zayıf mı olduğuna dair değerlendirme SWOT analizi sırasında yapıldığına göre eğer bu süreçler Bakanlığın zayıf yönünü oluşturuyor ise beyin fırtınasında Bakanlığın iletişimin zayıf olması veya karar alma süreçlerinin problemli olması nedeniyle ne gibi risklere maruz kalacağı tartışılabilir. Yine Bakanlığın gelenekleri ve değerleri de risk bakış açısıyla değerlendirilmelidir. Teknoloji ile ilgili konularda Bakanlığın teknolojik altyapısının ve Bakanlıktaki insanların teknolojiyi kullanma düzeylerinin etkileri üzerinde durulmalıdır. 91 Mali durum ile ilgili olarak bütçe, mali kaynaklar ve Bakanlığın araç, bina envanterleri ve diğer varlıkları konuları tartışılabilir. Kurumun en kolay yönetebileceği riskler muhtemelen kurum içinden kaynaklanan risklerdir, çünkü bunların gelişimi üzerindeki etkinliği oldukça fazladır. Ancak riskler sadece kurumun faaliyetlerinden ve durumundan kaynaklanmaz. Dış çevre ve bu dış çevredeki sürekli değişim kurum için her gün biraz daha büyüyen risklere maruz kalmak anlamına gelmektedir. Bu risklerin neler olduğuna dair de bir beyin fırtınası düzenlenmelidir. Bu çalışma sırasında yine SWOT’un çevre analizinde saptanan unsurlar kullanılabilir. Beyin fırtınası sırasında ortaya çıkabilecek diğer risk unsurları da dikkate alınmalıdır. Beyin fırtınasında kurumun faaliyet gösterdiği dış ortamdan kaynaklanabilecek riskler şu alanlardan kaynaklanabilir; Bakanlığın faaliyet alanında dünyadaki durum ve gelişmeler, bakanlığın faaliyet alanında ülkemizdeki durum ve gelişmeler, dünyada ve ülkemizdeki temel eğilimler ve sorunlar arasında Bakanlığı yakından ilgilendiren kritik konular ve bu konuların Bakanlığı nasıl ve ne yönde etkileyeceği, Bakanlığı ilgilendiren mevzuattaki değişmeler ve bu değişikliklerin etkileri. Burada tespit edilen riskler kısa-orta-uzun dönemli meseleler olarak sınıflandırılır. Anketler Kurumun karşılaşabileceği risklerin tespitinde SWOT analizinin yanı sıra anketler de düzenlenebilir. Bir kurumun sorunlarını ve muhtemel risklerini o kurumda çalışanlar daha fazla fark ederler. Belirli teknikler kullanılarak hazırlanan anketler bu risklerin tespit edilmesinde kullanılabilir. 92 Büyük ve karmaşık kurumlar için tercih edilen bir yöntem olan anket, 2141 birimi bulunana Maliye Bakanlığı için de uygun bir seçenek olacaktır. Anketlerde sorular zaman boyutu dikkate alınarak hazırlanmalıdır. Risklerin stratejik seviyede değerlendirilmesi aşamasında olunduğundan kurumun uzun vadede karşılaşacağı belirsizliklere ilişkin bilgi toplanması esastır. Bu nedenle de stratejik risklerin belirlenmesi aşamasında yapılacak anket çalışmasının birim sorumlularına uygulanması gereklidir ki maliye bakanlığında bunlar daire başkanları, kurum başkanları, genel müdür yardımcıları ve genel müdürlerdir. Sorular belli bazı kurallar dikkate alınarak hazırlanmalı, stratejik riskleri ortaya çıkarabilecek kalitede olmalıdır. Sorular hazırlanırken dikkat edilmesi gerekenleri şöyle sıralayabiliriz: • Sorular olumlu olmalıdır • Sorular kısa ve net olmalıdır. • Sorular serbest bir jargonda olmalıdır, teknik terimler kullanılmamalıdır ve Bakanlığın kültürünü taşımalıdır. • Sorular soyut, muğlak ve klişe olmamalıdır. • Sorular değerlendirilen kontrol kategorileri tarafından düzenlenmelidir (kontrol ortamı, risk değerlendirmesi gibi). • Sorular belirli cevaplar için katılımcıları yönlendirmemelidir. • Çok fazla soru olmamalıdır 41 Maliye Bakanlığının Birimleri: Maliye Teftiş Kurulu Başkanlığı, Hesap Uzmanları Kurulu Başkanlığı, Mali Suçları Araştırma Kurulu Başkanlığı, Bakanlık Müşavirleri, Vergi Konseyi, Strateji Geliştirme Başkanlığı, Mali Suçlarla Mücadele Koordinasyon Kurulu, İç Denetim Birimi, Özel Kalem Müdürlüğü, Baş Hukuk Müşavirliği ve Muhakemat Genel Müdürlüğü, Bütçe ve Mali Kontrol Genel Müdürlüğü, Muhasebat genel Müdürlüğü, Milli Emlak Genel Müdürlüğü, Avrupa Birliği ve Dış İlişkiler Dairesi Başkanlığı, Personel Genel Müdürlüğü, Maliye Yüksek Eğitim Merkezi Başkanlığı, İdari ve Mali İşler Dairesi Başkanlığı, Bilgi İşlem Dairesi Başkanlığı, Basın ve Halkla İlişkiler Müşavirliği, Savunma Sekreterliği 93 Arama Konferansı Arama konferansı ortak akıl yaratmayı amaçlayan katılımlı bir planlama metodolojisidir. Bir grup iddia sahibi (stakeholder), metodolojinin ön gördüğü mantık içersinde en ideal gelecekleri ortaya çıkartacak yaratıcı stratejileri, işbirlikçi bir tutumla tasarlarlar. Ortak görüş yaratmayı, ortak sorunlara çözüm bulmayı, daha iyiye ulaşmak, gelişmek için neler yapılması gerektiğini belirlemeyi ve ortak hedefler seçmeyi sağlayan bir çalışma düzenidir. Klasik olmayan konferans düzeni içinde, ortak akıl aramak üzere 40 dolayında "iddia sahibini" 2,5-3 gün süre ile bir araya getirir. İddia sahipleri, konu ile ilgili, o konuda çalışıp bir tecrübe kazanmış karar vericiler ve bilgi birikimi olan kişiler diye tanımlanır. Aranan şey ortak akıldır. Burada ele alınacak konular beyin fırtınası sırasında tespit edilmiş olan ve anketlerden derlenen risklerin meydana gelme ihtimalleri ve eğer meydana gelirlerse Maliye Bakanlığını ne kadar etkileyecekleridir. Katılımcıların birbirlerini ikna ederek geliştirecekleri ortak akıl arama konferansının her aşamasında aranır ve bulunur. Klasik konferans düzenlerinde bir veya birkaç kişi çıkıp belirli konuları anlatır ve geri kalanlar dinler; arama konferansında ise, tam tersine, katılanların tamamı bir düzen içinde konuşarak bir sonuca ulaşır. Arama konferansının amacı, normal olarak direkt ilişkide bulunmayan kişileri bir araya getirip, onları katılımlı bir tasarım ve problem çözme süreci içine sokmasıdır. Toplantı, büyük gruptan küçük gruplara bölünerek, organik bir şekilde, konferans görevini bitirinceye kadar çalışır42. Sonuçta Bakanlığı etkileyecek olan risklerin neler olduğu ve bunların önem derecesi tespit edilmiş, risklerin bir öncelik sırasına sokulması sağlanmış olur. 42 http://www.me.metu.edu.tr/oda2k/aconfgen.htm 94 Stratejik Risk Planı Stratejik plan çalışmalarıyla eşanlı başlayan kurumsal risk yönetiminin oluşturulması süreci Bakanlığın misyon ve vizyonunun belirlenmesi ile şekillenir. Misyon ve vizyonun ardından yapılan durum analizi kurumun hangi konumda bulunduğunu belirler. Buradan hareketle stratejik plan kurumun ulaşmayı hedeflediği noktaya gidişiyle ilgili stratejileri belirlerken risk yönetimi çalışmaları ile de o noktaya varılmasının garantilenmesi sağlanmalıdır. Durum analizinin ardından hedefler konur. Her hedefin kendine ait riskleri vardır. Durum analizinden elde edilen sonuçlar da dikkate alınarak ve anket, beyin fırtınası gibi yöntemlerle her hedefe karşılık gelecek bu riskler tespit edilmelidir. Bu tespitler sonucu risk matrisleri oluşturulur. Böylece her hedefin risk(ler)inin belirlenmesi garantilenmiş olur: Risk 1 Hedef 1 Risk 2 Risk 3 Risk 4 Risk 5 Risk 6 X X X Hedef 2 X X Hedef 3 X X Hedef 4 Tablo 4: Risk Matrisi Tespit edilen bu riskler değerlendirilir. Bunarın gerçekleşme olasılıkları ve gerçekleşirse Bakanlığı ne kadar etkileyecekleri saptanır. Bu değerlendirme sonucu her risk puanlanır ve önceliklendirilir. Bu önceliklendirmede daha önce bahsedilen risk haritaları kullanılabilir: Şekil 8: Basit risk/tolerans matrisi 95 Bakanlığın risklere tolerans düzeyi de belirlenmiş olduğundan artık stratejik seviyede, hangi risklerin yönetileceğine dair süreç tamamlanmış olur. Stratejik planla eş zamanlı olarak Bakanlığın risk planı da çıkartılmış olur. Stratejik risk planı stratejik plan formunda bir belge olmayabilir. Risk yönetiminin kurulması aşamalarında yapılan çalışmalar, alınan sonuçlar ve yapılan değerlendirmeler Bakanlığın risk planını oluşturacaktır. Ayrıca stratejik plan ile risk planı arasında çok önemli bir fark vardır; stratejik plan deklare edilir, basılır ve kamuya açıktır. Risk planı ise kuruma özeldir ve kamuya açık değildir. Stratejik risk planının oluşturulması ile kurumsal risk yönetiminin Bakanlıkta yapılanmasında kritik aşama tamamlanmış olur. Son olarak şunu belirtmekte fayda görülmektedir: stratejik risk planları statik olma eğilimindedir. Stratejiler uzun dönemlidir, Maliye Bakanlığında beş yıllık bir perspektifle stratejik plan çıkarılmaktadır. Stratejik planla eş zamanlı olarak hazırlanacak olan stratejik risk planları da bu dönemi kapsayacaktır. Ancak kurumun faaliyet gösterdiği ortam ve özellikle de yürürlüğe giren 5018 sayılı mali kanunun getirdiği reform nitelikli yenilikler ile Bakanlığın iç ortamı sürekli değişmektedir. Sürekli değişim karşı karşıya olunan risklerin de sürekli değiştiği, etkilerinin ve olasılıklarının ilk ölçümlere göre farklılaştığı ve stratejik risk planı yapıldığı sırada var olmayan yeni risklerin ortaya çıktığı anlamına gelmektedir. Bu değişimi yönetmek için anahtar unsur aktivitelerdir. Risk planlarının stratejik seviyeden operasyonel seviyeye taşınabilmesi gereklidir. Bu seviyedeki aktivitelerin değişen koşullara adaptasyonu kolaydır ve risk yönetiminde günlük risklerin değişimine uyarlanabilir ki gündelik riskler nihayetinde stratejik risklere temel oluşturur. 96 6. Sonuç Görüldüğü üzere kurumsal risk yönetimi çok karmaşık ve zorlu bir yapıdır. Böyle bir yapının uygulamaya sokulması oldukça fazla çaba ve kararlılık gerektirmektedir. Kurumun tamamı üzerinde etkisi olacak şekilde tasarlanmalı ve uygulanmalıdır. Şunu da belirtmek gerekir ki bu sistemle ilgili etkili bir model bulunmaktadır ancak bu modelin her kurumda kusursuz işlemesi beklenemez. Sonuçta model genel bir çerçeve oluşturur. Bu, genel çerçevenin alınarak kuruma uygun biçimde düzenlenmesi, kurumun kendi özel yapısına, hedeflerine ve ihtiyaçlarına cevap verir hale getirilmesi gereklidir. Tüm bu zorluklara rağmen kurumsal risk yönetimi bir kurumda etkili bir şekilde işlemeye başladığında kurumun ulaşmayı hedeflediği amaçların önündeki birçok engel kaldırılmış ve belirsizlikler daha açık hale gelmiş olacaktır. Bu, başarının anahtarıdır. Bu çalışmada kurumun başarısı açısından bu kadar büyük öneme sahip olan kurumsal risk yönetimi üzerinde durulmuştur. Öncelikle riskin tanımı yapılmış, kısaca risk yönetiminin tarihsel gelişiminden bahsedilmiştir. Risk yönetiminden kurumsal risk yönetimine geçişle ilgili bilgi verilmiştir. Ardından kurumsal risk yönetimi ile ilgili en kapsamlı ve yaygın model olan COSO-ERM modeli açıklanmıştır. Kurumsal risk yönetiminin nasıl uygulanacağına dair genel yöntem incelendikten sonra yurtdışında bu sistemi uygulayan ülkelerden örnekler verilmiştir. Son olarak Maliye Bakanlığında bu sistemin nasıl kurulabileceğine dair bir öneri sunulmuştur. 97 Kaynaklar A Code of Practice for Risk Assessment in the Department of Physics – Advanced Techniques, 2001 http://www.phy.cam.ac.uk/cavendish/hands/cops/RAcopAdv.pdf A Risk Management Standard, Airmic, IRM, UK 2002 http://www.theirm.org/publications/documents/Risk_Management_Standard _030820.pdf Agency Risk Management and Internal Control Standards, Commonwealth of Virginia Office of the Comptroller, Virginia, US 2006 Agency Risk Management and Internal Control Standards Implementation Tools, Commonwealth of Virginia Office of the Comptroller, Draft, Virginia US, To be issued 2005 Applying COSO’s Enterprise Risk Management — Integrated Framework, ECIIA, 2005 http://www.iiacyprus.org.cy/conference/Presentations%20PDF/Plenary/A%2 0-%20Larry%20Rittenberg_COSO%20ERM.pdf Applying COSO’s Enterprise Risk Management — Integrated Framework, The IIA www.theiia.org Applying COSO’s Enterprise Risk Management — Integrated Framework, The IIA, 2004 http://www.theiia.org 98 Are we ready for Enterprise Wide Risk Management? http://www.picpa.com.ph/articles/erm.pdf Assessing Risks and Internal Controls / A training presentation for process owners http://www.knowledgeleader.com/KnowledgeLeader/Content.nsf/Web+Cont ent/COSOAssessingRisksandInternalControls!OpenDocument ATTEBERRY, Mick ve Ron WOERNER. Security Risk Management, Nebraska, 2005 http://www.certconf.org/presentations/2005/files/TA2.pdf BOHN, Christopher (Kip), Enterprise Risk Management Quantification – An Opportunity, Chicago USA 2006 BOWLING, David M. ve Lawrence A. RIEGER. Making Sense of COSO’s New Framework for Enterprise Risk Management, Bank Accounting and Finance 2005 http://www.msmr.com/crowe/Publications/pdfs/Making%20Sense%20of%20 COSOs%20New%20Framework%20for%20ERP_BAF_March%202005_FIN AL.pdf CAREY, Mark. COSO Enterprise Risk Management Framework Comments, 2003 http://www.delcreo.com/delcreo/free/docs/COSO%20ERM%20Framework% 20DelCreo%20Comments.pdf COHEN, Fred. Risk Management and COSO, Telebriefing of March 28-29, 2006 http://all.net/Talks/2006-03-28-COSO.pdf 99 Corporate Governance Risk Management Integrated Tool, The Conference Board of Canada, Canada COSO’s Enterprise Risk Management (ERM) Framework www.fei.org CRAWFORD, David B. ve Justina CRAWFORD. The Enterprise Risk Management Process in Higher Education, Texas USA http://www.txstate.edu/audit_compliance/files/extended_erm.ppt#256,1,The EnterpriseRiskManagementProcessinHigherEducation DeLOACH, James W. Enterprise Risk Management: Practical Implementation Ideas, Protiviti Inc. 2005 http://www.protiviti.com/portal/site/pro-us/#No.17 DiNAPOLI, Thomas P. Standards for Internal Control in New York State Government, New York, US 2007 DYKE, Randy Van. Internal Control Under Microscope, Business Officers Meeting, 2006 Enterprise Risk Analysis, University of Minnesota http://www1.umn.edu/audit/Word%20Docs/Enterprise%20Risk%20Analysis. pdf Enterprise Risk Assessment www.seattle.gov/audit/training_files/enterprise_risk_assessment.ppt Enterprise Risk Management – By the Numbers http://efocusbanking.accumepartners.com/articles/ERM_Lead%20Article_507.pdf 100 Enterprise Risk Management - Integrated Framework, COSO, Jersey City, 2004 Enterprise Risk Management / Take a Close Look at COSO’s New Internal Control Framework http://www.nysica.com/docs/coso-erm.ppt Enterprise Risk Management Corporate Business Risk Planning Risk Management Model, The City of Edmonton, 2005 http://www.edmonton.ca/citygov/Auditor/Admin/ERM-CBRP%20Model%20%20Sept%2005v2.pdf Enterprise Risk Management Framework, University of Regina, November 2006 http://www.uregina.ca/presoff/vpadmin/policymanual/general/Enterprise%20 Risk%20Management%20Framework.pdf Enterprise Risk Management Guideline, Risk Management Branch, Government of British Columbia, 2006 http://www.fin.gov.bc.ca/pt/rmb/ref/RMB_ERM_Guideline.pdf Enterprise Risk Management Practical Implementation Advice, Proviti Inc. USA, 2006 http://www.knowledgeleader.com/KnowledgeLeader/Content.nsf/dce93ca8c 1f384d6862571420036f06c/c3e7954610c1f00e882571c00081a9ac/$FILE/T he%20Bulletin%20Issue%206%20Volume%20II%20%20Enterprise%20Risk%20Management.pdf Enterprise Risk Management Specialty Guide August 30, 2005 http://www.soa.org/professional-interests/files/pdf/SPG0508ERM.pdf 101 Enterprise Risk Management Specialty Guide, 2006 http://www.soa.org/library/professional-actuarial-specialty-guides/enterpriserisk-management/2005/august/spg0605erm.pdf Enterprise Risk Management Tools and Analytics, Annual Meeting and Exhibit, New York USA, 2004 http://www.soa.org/files/pdf/rsa04v30n360ts.pdf Enterprise Risk Management, an Emerging Model For Building Shareholder Value http://www.kpmg.com.au/aci/docs/ent-risk-mgt.pdf Enterprise Risk Management: Corporate Planning Risk Management, Office of the City Auditor Edmonton 2005 http://www.edmonton.ca/citygov/Auditor/2005Reports/05142_Enterprise_Ris k_Management.pdf Enterprise-Wide Risk Management /Top 10 Things Everyone should know about Enterprise Risk Management, Information Systems Audit and Control Association, http://www.isacavictoria.ca/presentations/Feb%2006%20Steele%20Enterpri se%20risk%20management.ppt FIKIRKOCA, Meryem. Bütünsel Risk Yönetimi, Ankara 2003 Frequently Asked Questions COSO’s Enterprise Risk Management Framework, 2004 www.coso.org 102 Guide to Enterprise Risk Management / Frequently Asked Questions, Proviti Inc. USA, January 2006 http://www.knowledgeleader.com/KnowledgeLeader/Content.nsf/dce93ca8c 1f384d6862571420036f06c/68b89bbeb26f039c882571c00081a39f/$FILE/E RMFAQGuide.pdf Guidelines for Internal Control Standards for the Public Sector, Internal Control Standards Committee, Brussels Belgium http://www.intosai.org Guidelines For Managing Risk in The Western Australıan Public Sector, Ministry Of The Premier And Cabinet, The Government Of Western Australia, 1999 HAGARA, Kimberly ve Toni MESSER. Enterprise Risk Management, The University of Texas http://caseiv.org/conference/2007/presentations/adv-svcs-risk.pps HEVESI, Alan G. Standards for Internal Control in New York State Government, New York, US 2005 HUBBARD, Larry. Enterprise Risk Management: Integrated Framework / A COSO-Based Approach, 14th Annual NYS Leadership & Accountability Conference www.osc.state.ny.us/agencies/ictf/docs/hubbard_erm.ppt Integrated Management of Risk Framework, Indian and Northern Affairs Canada 2002 http://www.ainc-inac.gc.ca/mc/lnk/fram_e.pdf 103 Integrated Risk Management Framework, Treasury Board of Canada Secretariat, Canada 2001 Integrated Risk Management Framework, Treasury Board of Canada, 2001 Internal Control And Risk Management – Basic Framework, Hong Kong Institude of Public Accountants, Hong Kong 2005 Internal Control Management and Evaluation Tool, United States General Accounting Office, Washington, DC, US 2001 Kamu İdareleri İçin Stratjik Planlama Kılavuzu, DPT, Ankara 2006 KINCAID, James K. ve William J. SAMPIAS, Albert J. MARCELLA. CSSA Certificarion in Control Self Assessment, Florida, 2004 King II Report Executive Summary, UK 2002 http://www.corporatecompliance.org/international/SouthAfrica/KingCommitte eCorporateGovernanceExecutiveSummary2002.pdf Kurumsal Risk Yönetimi, TÜSİAD, Ankara 2006 LAKE, Lawrence. Using Risk Management Frameworks, Protiviti Inc.US http://www.protiviti.com/portal/site/pro-us/ LAVEY, Gary. Enterprise Risk Management Overview 2006 http://www.rmgfinancial.com/NAPCO%20Presentations%20(Jan%2006)/AN %20INDUSTRY%20OVERVIEW%20OF%20ERM%20(LAVEY).pdf 104 LEİTCH, Matthew. The Natural Method of designing internal control systems, UK 2003 http://www.internalcontrolsdesign.co.uk/bpcd/index.html MAKI, Tony. The Impact of the New COSO ERM Framework on Internal Audit, 2004 www.theiia.org Management Of Risk A Strategic Overview with Supplementary Guidance For Smaller Bodies, Hm Treasury, UK 2001 Managing Risk Across The Public Sector: Good Practice Guide, Auditor General Victoria 2004 http://www.audit.vic.gov.au/reports_better_practice/Risk_guide_final.pdf Managing Risks to the Public: Appraisal Guidance, Hm Treasury, Norwich, UK 2005 MANDL, Michael J. Enterprise Risk Management: One Institution’s Approach to Effective ERM, Emory University USA Mc CONNELL, Patrick. Measuring Operational Risk Management Systems under Basel II, USA McNAMEE, David. Risk Assessment Glossary, 1999 MIKES, Anette. Enterprise Risk Management in Action, London 2005 http://www.lse.ac.uk/collections/CARR/pdf/Disspaper35.pdf 105 MIRZAI, Bahram ve Mikhail MAKAROV. Operational Risk – COSO Reexamined, Journal of Risk Intelligence http://www.risknet.de/typo3conf/ext/bx_elibrary/elibrarydownload.php?downl oaddata=156 O’CONNELL, Patrıck. Internal Control Standards, County of Alameda 1999 Overview of Enterprise Risk Management / CAS Enterprise Risk Management Committee 2003 http://www.casact.org/research/erm/ Overview of Enterprise Risk Management, Treasury Strategies Inc. 2005 http://www.afponline.org/pub/pdf/021705VESslides.pdf PARKER, Jimmy. A Practical Approach to Enterprise Risk Management, Ernst & Young, Detroit USA 2007 PAYNE Cal. Contemplating Enterprise Risk Management (ERM): COSO's ERM Framework - Enhancing Management's Capabilities, Daily Issue Alert, 2006 http://www.allbusiness.com/periodicals/article/399454-1.html RACH, Bindesh. ERM: Getting from Theory to Practice, 24th Annual TMAC Conference, Montreal 2006 Risk Analysis Framework, Australian Government Department of Health and Ageing, Australia, January 2005 http://www.ogtr.gov.au/pdf/public/raffinal2.2.pdf 106 Risk Assessment and Internal Control Evaluations, KMG International 2007 http://www.novaga.org/Files%2020062007/Internal%20Controls/CarnahanAGAPresentation.ppt Risk Management And Internal Control - Guidelines and Strategies for Improvement: Volume 1, NSW Treasury Risk Management Approach and Risk Profile, DBS Group Holdings Ltd. Annual Report 2006 http://www.dbs.com/dbsgroup/annual2006/PDFs/risk_management_approac h.pdf Risk Management Assessment Framework - A tool for Departments, Version 2.0, HM Treasury, UK 2004 Risk management in practice: building ERM at Centrelink http://www.riskmanagementmagazine.com.au/articles/6E/0C04276E.asp?Ty pe=125&Category=1239 Risk Management Matters, TAFE Governance Program 2006 http://www.vta.vic.edu.au/docs/GovW3_RiskManagementPresentation.ppt#2 56,1,Victorian ROBERTS, Hewitt. Enterprise risk management: a long-term solution for compliance, governance and sustained growth in shareholder value, Entropy International, Lancaster UK 2005 SAKA, Tamer. Enterprise Risk Management / Sabancı Holding, The IRM Risk Forum, Keele University, Staffordshire, UK 2005 http://theirm.org/riskforum/documents/creating_ERM_non_financial_corporat ions_AON_enterprise_rm_2005.pdf 107 SCHANFIELD, Arnold ve Michael MILLER. A Sustainable Approach to ERM: As Best Practices Begin to Emerge, One Company Uses a Phased Plan to Create a Fully Functioning, Integrated Enterprise Risk Management System, Gale Group 2005 http://findarticles.com/p/articles/mi_m4153/is_2_62/ai_n13821970 SHENKIR, William G. Enterprise Risk Management: An Idea Whose Time Has Come / University of Virginia, Virginia USA 2007 http://www.kier.kyoto-u.ac.jp/fe-tokyo/symposium/sympo2007/shenkir.pdf STEINBERG, Richard M. Levering SOX Compliance to Sustainable Business Benefit, Sarbanes-Oxley Conference & Exposition, Baltimore 2005 http://www.sarboxconf.com/downloads/Enterprise%20Risk%20Management .pdf STEVENS, Martin W. COSO Enterprise Risk Management m.m. Landskonferanse 2004 TAVAN, Fred. TS 60 - ERM Tools and Analytics, 2004 SOA Annual Meeting, Canada 2004 http://www.soa.org/professional-interests/files/pdf/erm_bib.pdf The COSO Risk Framework : A Reference for Internal Control ? - Transition from COSO I to COSO II, IAS Conference http://ec.europa.eu/dgs/internal_audit/docs/ias_conferences/05/bressac.pdf The Orange Book Management of Risk - Principles and Concepts, HM Treasury, Norwich UK 2004 108 The Risk Intelligent Enterprise: ERM Done Right, Deloitte & Touche LLP, 2006 http://www.deloitte.com/dtt/cda/doc/content/us_risk_RIPOV.pdf Turnbull, İnternal Control and Wider Aspects of Risk, Certified Accountants Educational Trust, London 2000 WANG, Shaun. ERM: Myth vs. Reality http://www.casact.org/pubs/actrev/may04/ermopinion.htm Why Risk Management Matters - COSO’s Enterprise Risk Management – Integrated Framework, PriceWaterhouseCoopers, USA 2004 http://www.set.or.th/th/regulations/corporate/download/ERM-SET.pdf WIDERMAN, R.Max. Project and Program Risk Management - A Guideline to Managing Project Risks and Opportunities, Pennsylvania USA 109
Benzer belgeler
Risk Yönetimi
kökenlere sahip olmalarına rağmen ortak bir yönleri vardı; hepsi iyi bir
yönetimin temelinde etkin ve fonksiyonel bir sistem olan iç kontrolün
bulunduğunu belirtmekteydi. Ve iç kontrolün en önemli ...
