Kurumsal Risk Yönetimi ve Risk Farkındalığı: Risk Belirleme, Ölçüm, Risk Haritası, Doğal ve Artık Risk, Risk Kontrol Matrisi, Risk Envanteri ve İzleme Sistemi

Kurumsal Risk Yönetimi Nedir? Risk Farkındalığı Neden Önemlidir?

Kurumsal risk yönetimi, bir kurumun amaç ve hedeflerine ulaşmasını etkileyebilecek belirsizlikleri, birimler ve süreçler bazında değil kurumun bütününde, ortak bir dil ve yöntemle belirleme, ölçme, önceliklendirme, kontrol etme ve izleme yaklaşımıdır.

Kurumsal olmasının anlamı, riskin birim sınırlarını aşmasıdır: bir birimin kabul ettiği risk başka bir birimin hedefini tehdit edebilir, aynı risk farklı birimlerde farklı puanlanabilir ve kurum düzeyinde önceliklendirme yapılmadan kaynak doğru yere gitmez.

Bu programın amacı, idarenin iç kontrol sisteminin oluşturulmasına destek olmak üzere risk envanterini çıkarmak, risklere yönelik kontrol faaliyetlerini tanımlamak, risk iyileştirme eylem planı hazırlamak, risk izleme ve değerlendirme sistemini kurmak ve kurumsal risk yönetimi konusunda farkındalık oluşturmaktır. Kamu İç Kontrol Rehberi'ndeki süreç, roller ve risk strateji belgesi için kamu idarelerinde risk yönetimi rehberi, iç kontrol sisteminin bütünü için iç kontrol mevzuatı ve eylem planı rehberi ayrıca hazırlanmıştır.

Risk Belirleme ve Tanımlama: Riskleri Görmeyi Öğrenmek

Risk belirleme, farkındalığın ilk sınavıdır; çoğu birim ilk çalışmada ya hiç risk bulamaz (her şey yolunda) ya da her sorunu risk sayar (her şey risk). Doğru yöntem, riski hedefe bağlamaktır: her stratejik hedef, performans hedefi ve kritik süreç için "bu hedefe ulaşmayı ne engelleyebilir ya da bu süreçte ne yanlış gidebilir" sorusu sorulur.

• Yapılandırılmış risk çalıştayları (birim yöneticisi ve çalışanlarla, kolaylaştırıcı eşliğinde).
• Süreç akış analizi (her adımda hata, gecikme, yetki, veri ve dış bağımlılık riskleri).
• Geçmiş olay analizi (gerçekleşmiş hatalar, kayıplar, şikâyetler, denetim bulguları; Sayıştay ve iç denetim raporları en zengin risk kaynağıdır).
• Kontrol listeleri ve risk kütüphaneleri, paydaş ve anket yöntemleri, senaryo analizi (mevzuat değişirse, sistem çökerse, kilit personel ayrılırsa), SWOT ve PESTLE çerçeveleri ve dış kaynak taraması.

Farkındalık açısından kritik nokta, çalışanların riski bildirmesinin teşvik edilmesidir: risk bildirimi kanalı (form, sistem, toplantı), bildirimin değerlendirilip geri bildirim verilmesi ve bildirenin suçlanmaması, risk kültürünün ilk göstergeleridir.

Risk Ölçümü ve Risk Değerlendirme: Olasılık, Etki ve Durum Analizi

Risk ölçümü, belirlenen her riskin iki boyutta puanlanmasıdır: gerçekleşme olasılığı (belirli dönemde riskin gerçekleşme ihtimali) ve etki (gerçekleştiğinde hedef üzerindeki zarar; mali kayıp, hizmet kesintisi, mevzuat ihlali, itibar kaybı, can ve mal güvenliği).

Kalitatif ölçüm çoğu kamu idaresi için yeterlidir; mali ve bilgi teknolojileri risklerinde kantitatif yöntemler (beklenen kayıp, senaryo bazlı tutar hesabı) eklenebilir.

Risk değerlendirme (durum değerlendirme ve analizi), ölçüm sonuçlarının yorumlanmasıdır: puanların birimler arasında tutarlılığı (kalibrasyon toplantısı), aynı riskin farklı birimlerdeki puanlarının karşılaştırılması, risk iştahıyla karşılaştırma, risklerin birbirine bağımlılığı ve kök neden analizi (aynı sebepten doğan risklerin gruplanması; tek kontrol çok riski azaltabilir).

Risk Haritası Nasıl Oluşturulur? Yapısal (Doğal) Risk ve Kalan (Artık) Risk Hesaplama

Risk haritası nasıl oluşturulur: risk haritası (ısı haritası), risklerin olasılık ve etki eksenlerinden oluşan bir matris üzerinde konumlandırılmasıdır; yatay eksen olasılık, dikey eksen etki, hücreler risk düzeyine göre renklendirilir (yeşil düşük, sarı orta, turuncu yüksek, kırmızı çok yüksek).

Harita, birim düzeyinde (birim risk haritası) ve kurum düzeyinde (konsolide risk haritası) çizilir; kurum haritası, birimlerin en yüksek risklerini ve kurum genelini ilgilendiren ortak riskleri gösterir ve üst yönetimin risk tartışmasının görsel zeminidir.

• Her risk için doğal olasılık ve doğal etki puanlanır ve çarpılır (doğal risk puanı).
• Mevcut kontroller listelenir ve her kontrolün etkinliği değerlendirilir (kontrol tasarımı uygun mu, fiilen işliyor mu, olasılığı mı etkiyi mi azaltıyor).
• Kontrollerin toplam azaltıcı etkisi olasılık ve etki puanlarına yansıtılır ve artık risk puanı bulunur.
• Artık risk, risk iştahıyla karşılaştırılır: iştah içinde kalan riskler kabul edilip izlenir, iştahı aşan riskler iyileştirme eylemine konu olur.

İki haritanın karşılaştırılması, farkındalık için güçlü bir araçtır: yöneticiler kontrollerin neden var olduğunu, kontrol kaldırıldığında riskin nereye çıkacağını ve hangi kontrolün gerçekten işe yaradığını görür. Hesaplama, risk kayıt formunda her risk için doğal puan, kontroller, artık puan ve gerekçe alanlarıyla belgelenir.

Kontrol Faaliyetlerinin Tanımlanması ve Risk Kontrol Matrisi Oluşturma

Kontrol faaliyeti, riskin olasılığını ya da etkisini azaltmak için tasarlanmış politika, prosedür ve uygulamalardır ve Kamu İç Kontrol Standartları'nın kontrol faaliyetleri bileşeninin konusudur.

• Önleyici — riskin gerçekleşmesini engeller; yetki ayrılığı, onay mekanizması, sistem erişim kısıtları, eğitim, kontrol listeleri.
• Tespit edici — gerçekleşmiş riski ortaya çıkarır; mutabakat, sayım, izleme raporları, denetim.
• Düzeltici — gerçekleşen riskin etkisini giderir; yedekleme, acil durum planı, sigorta, düzeltme prosedürü.
• Yönlendirici — istenen davranışı sağlar; politika, talimat, rehber.

Risk kontrol matrisi, süreç, risk ve kontrol ilişkisini tek tabloda gösteren temel belgedir: sütunlarda süreç ve süreç adımı, risk kodu ve tanımı, risk kategorisi, doğal risk puanı, kontrol kodu ve tanımı, kontrol türü, kontrol sıklığı, kontrol sorumlusu, kontrol kanıtı, kontrolün etkinlik değerlendirmesi, artık risk puanı ve varsa iyileştirme eylemi yer alır; matris, iç denetimin kontrol testlerinin ve iç kontrol izleme çalışmalarının da referansıdır.

Risk kontrol faaliyetlerinin oluşturulması ve iyileştirilmesi, matris üzerinden yapılır: etkinliği düşük kontroller yeniden tasarlanır, eksik kontroller eklenir, gereksiz ya da mükerrer kontroller kaldırılır ve değişiklikler iç kontrol eylem planına bağlanır. Kontrol faaliyetlerinin izleme ve test yöntemleri için iç denetim eğitimi rehberi tamamlayıcıdır.

Risk İyileştirme Eylem Planı: Planlama, İzleme ve Risklerin Yönetilmesi

Risk iyileştirme eylem planı, artık riski risk iştahının içine çekmek için yapılacak eylemlerin planıdır ve risk yönetiminin somut çıktısıdır. Her yüksek ve çok yüksek artık risk için risk cevap stratejisi seçilir (kabul etmek, kontrol etmek, devretmek, kaçınmak) ve kontrol etme stratejisinde iyileştirme eylemleri tanımlanır: yeni kontrol kurulması, mevcut kontrolün güçlendirilmesi, süreç değişikliği, sistem geliştirme, eğitim, kaynak tahsisi, mevzuat ya da yönerge değişikliği, iş sürekliliği planı.

İzleme: eylemlerin ilerlemesi belirli aralıklarla (üç ayda bir yaygındır) raporlanır, tamamlanan eylemlerin riski gerçekten azaltıp azaltmadığı artık riskin yeniden ölçülmesiyle doğrulanır, geciken eylemler için gerekçe ve yeni termin belirlenir ve gerçekleşen riskler kaydedilip planla ilişkilendirilir.

Risklerin yönetilmesi ve giderilmesi bir döngüdür: belirleme, ölçme, haritalama, kontrol, iyileştirme ve izleme adımları en az yılda bir tam tur tamamlanır, önemli değişikliklerde (mevzuat, organizasyon, bütçe, afet, sistem değişikliği) döngü kısmen tekrarlanır.

Risk Envanteri Oluşturma ve Risk İzleme ve Değerlendirme Sistemi

Risk envanteri, kurumun tüm birim ve süreçlerinde belirlenmiş risklerin, ölçümlerinin, kontrollerinin, sahiplerinin ve eylemlerinin tek bir yapıda toplanmış hâlidir; birim risk kayıt formlarının konsolidasyonuyla oluşur ve kurumun risk profilini gösterir.

• Ortak risk kategorileri ve ölçeklerin belirlenmesi (risk strateji belgesi).
• Birim çalıştaylarıyla risklerin belirlenmesi ve puanlanması; birim risk kayıt formlarının doldurulması.
• İdare risk koordinatörünün formları tutarlılık açısından incelemesi (aynı riskin farklı adlarla tekrarı, birimler arası puan farkları).
• Ortak ve kurum düzeyindeki risklerin ayrıştırılması, konsolide risk envanteri ve kurum risk haritasının hazırlanması.
• İKİYK'de görüşülüp üst yöneticiye sunulması ve envanterin elektronik ortamda yaşayan bir belge olarak tutulması.

Sistemin başarı ölçütleri: envanterin güncelliği, eylem planlarının tamamlanma oranı, gerçekleşen risklerin ne kadarının envanterde önceden yer aldığı (öngörü oranı), göstergelerin eşik aşımlarında karar üretilmesi ve çalışanların risk bildirimi sayısı.

Kurumda Risk Farkındalığı Oluşturma: Risk Kültürü ve İletişim

Teknik araçlar kurulduktan sonra sistemin yaşaması, risk kültürüne bağlıdır.

Farkındalık araçları: risk çalıştayları (belirleme kadar farkındalık aracıdır), kısa vaka temelli eğitimler (kurumda yaşanmış olaylar üzerinden), risk bültenleri ve intranet duyuruları, birim toplantılarında risk gündemi, olay sonrası öğrenme toplantıları (suçlama yerine neden ve ders), simülasyon ve tatbikatlar (bilgi sistemi kesintisi, afet, kritik personel kaybı) ve risk koordinatörleri ağının kurum içi iletişim kanalı olarak çalışması.

Farkındalığın ölçülmesi: risk kültürü anketleri (çalışanların risk bildirimine ilişkin algısı, kontrolleri anlama düzeyi, yönetimin tutumuna güven), risk bildirimi sayısı ve kalitesi, çalıştaylara katılım, eğitim tamamlanma oranı ve iç denetim değerlendirmeleri.

Kurumsal risk yönetimi konusunda farkındalık, bir eğitimle başlar ama yönetimin sürekliliğiyle yerleşir; bu program, başlangıç eğitimi ve sistem kurulum desteğidir, kültür ise kurumun her günkü uygulamasıyla oluşur.

Sık Yapılan Hatalar

• Riski hedefe bağlamadan belirlemek; her sorunu risk saymak ya da hiç risk bulamamak
• Riski sebep-olay-sonuç yapısında yazmamak
• Ölçek tanımı yapmadan puanlamak; kalibrasyon yapmamak
• Doğal risk ile artık riski ayırt etmemek; kontrol etkinliğini değerlendirmemek
• Riske bağlı olmayan kontroller üretmek; önemli riski kontrolsüz bırakmak
• Risk kontrol matrisi tutmamak; kontrol kanıtı tanımlamamak
• Eylem planına sorumlu, termin ve gösterge yazmamak; izlememek
• Envanteri bir kez oluşturup güncellememek; anahtar risk göstergesi kurmamak
• Risk bildirenleri suçlamak; olaylardan öğrenmemek
• Üst yönetimin risk yönetimini formalite olarak görmesi

Risk Farkındalığını Artırmaya Yönelik Risk Eğitimi Kimler İçin? Risk Farkındalığı Eğitimi, Kamuda Risk Yönetimi Eğitimi, Risk Yönetimi Eğitimi ve Risk Danışmanlığı

Risk farkındalığını artırmaya yönelik risk eğitimi aşağıdaki gruplar için uygundur:

• Kamu idarelerinin tüm yöneticileri ve birim amirleri (risk sahibi olarak), birim ve alt birim risk koordinatörleri.
• İdare risk koordinatörleri ve strateji geliştirme birimleri, İç Kontrol İzleme ve Yönlendirme Kurulu üyeleri, iç kontrol çalışma grubu üyeleri, iç denetçiler.
• Mali hizmetler ve ön mali kontrol görevlileri, bilgi işlem, insan kaynakları, satın alma ve hukuk birimleri (operasyonel ve uyum riskleri için).
• Belediye ve il özel idarelerinin strateji ve mali hizmetler müdürlükleri, üniversitelerin strateji geliştirme ve kalite birimleri, sağlık kurumlarının kalite ve hasta güvenliği birimleri, özel sektörde kurumsal risk yönetimi kurmak isteyen şirketlerin yönetim ekipleri ve iç denetim birimleri.