Risk Yönetiminde İdari Adımlar
Risk yönetimi, bir kuruluş üzerindeki etkilerini en aza indirmek için riskleri belirleme, değerlendirme, kontrol etme ve izleme amacıyla tasarlanmış bir dizi süreçtir. Uygulamada, risk yönetiminin başarısı yalnızca olasılık hesaplamaları veya etki modelleri gibi teknik analizlerle değil, aynı zamanda yönetimsel güçle de belirlenir: bir kuruluşun politikaları nasıl geliştirdiği, adımları nasıl belgelediği, rolleri nasıl atadığı ve tutarlı takibi nasıl sağladığı.
Bu makale, sistematik risk yönetiminde yer alan idari adımları ele almaktadır. Bu adımlar, şirketler, devlet kurumları, okullar, hastaneler ve hatta kar amacı gütmeyen kuruluşlar gibi çeşitli organizasyon türlerine uygulanabilir; çünkü risk yönetimi temel olarak süreç düzenine ve hesap verebilirliğe önem vermektedir.
1. Risk Yönetiminin Bağlamını ve Amaçlarını Belirleyin
İlk idari adım, bağlamı oluşturmaktır. Kuruluşun risk yönetiminin nedenini, kapsamını ve ulaşmayı hedeflediği amaçları tanımlaması gerekir. Bu bağlam, tüm tarafların hangi risklerin söz konusu olduğunu ve sürecin neye hizmet ettiğini anlaması açısından çok önemlidir.
İdari olarak, bu aşamanın sonuçları genellikle aşağıdaki gibi belgelerde belirtilir:
– Risk yönetiminin amaç ve kapsamına ilişkin açıklama
– Süreç sınırları (iş birimleri, lokasyonlar, projeler veya belirli faaliyetler)
– Riskle ilgili başarı kriterleri ve performans göstergeleri
Net bir bağlam olmadan, risk yönetimi süreci karar verme aracı olmaktan ziyade bir formalite kontrol listesine dönüşme riski taşır.
2. Risk Politikaları ve Çerçevelerinin Geliştirilmesi
Hedefler belirlendikten sonra, kuruluşun bir risk yönetimi politikası geliştirmesi gerekir. Bu politika, tüm türev prosedürlerini yönlendiren temel çerçeve görevi görür. Politika ayrıca liderlik taahhüdünü, oluşturulacak risk kültürünü ve uyulması gereken ilkeleri de açıklığa kavuşturur.
İdari açıdan, risk politikaları ve çerçeveleri tipik olarak şunları içerir:
– Risk yönetimi ilkeleri (örneğin, ihtiyatlılık, şeffaflık, sürdürülebilirlik)
– Organizasyon yapısı ve risk raporlama hatları
– Terimlerin ve risk kategorilerinin tanımı
– Risk politikasının standart işletim prosedürleri (SOP) veya diğer yönetim sistemleriyle (kalite, K3, bilgi güvenliği, iç denetim) ilişkisi
Politika belgelerine kolayca erişilebilmeli, bunlar yaygınlaştırılabilmeli ve güncelliğini korumak için düzenli olarak gözden geçirilmelidir.
3. Rolleri, Sorumlulukları ve Yetkileri Belirleyin
Risk yönetimi, her bir tarafın rolleri net bir şekilde belirlendiğinde etkili olacaktır. Kuruluşlar, riskin kime ait olduğunu, kimin izlediğini, risk azaltma eylemlerini kimin onayladığını ve raporlamayı kimin sağladığını belirlemelidir.
Genel olarak atanan görevler şunlardır:
– Üst yönetim: yön belirler, politikaları onaylar, kaynak sağlar.
– Risk yönetimi birimi veya sekreterliği: süreçleri koordine eder, raporlar hazırlar, değerlendirmeleri kolaylaştırır.
– Risk sahibi: Çalışma alanındaki risklerden doğrudan sorumlu olan taraf.
– İç denetçi/risk komitesi: bağımsız incelemeler yapar ve tavsiyelerde bulunur.
Bu belirleme, bir kararname, organizasyon şeması, RACI matrisi (Sorumlu, Hesap Verebilir, Danışılan, Bilgilendirilen) veya diğer yönetim belgelerinde belirtilmelidir.
4. Yapılandırılmış Risk Tanımlaması Gerçekleştirin
Risk tanımlama, hedeflere ulaşmayı engelleyebilecek olayları veya koşulları belirleme sürecidir. İdari açıdan, sonuçların birimler ve dönemler arasında karşılaştırılabilmesi için tanımlama işleminin tutarlı yöntemler kullanılarak yapılması gerekir.
Yaygın olarak kullanılan tanımlama yöntemleri şunlardır:
– Çalışma birimleriyle hedef odaklı beyin fırtınası
– Görüşmeler ve anketler
– İş süreç analizi ve standart işletim prosedürleri (SOP)
– Meydana gelen olayların/şikayetlerin değerlendirilmesi
– İç ve dış çevre analizi
Tespit sonuçları, riskin tanımı, risk kaynağı, etkilenen alan ve sorumlu tarafı içeren bir risk kayıt defterine kaydedilmelidir.
5. Riski Değerlendirin: Olasılık, Etki ve Öncelik Düzeyi
Riskler kaydedildikten sonraki adım risk değerlendirmesidir. Yönetimsel olarak, kuruluşlar değerlendirmenin tamamen öznel olmasını önlemek için net değerlendirme kriterleri tanımlamalıdır; örneğin, olasılık ve etki için 1-5 ölçeği gibi.
Bu aşamada genellikle hazırlanan belgeler şunlardır:
– Risk matrisi
– Risk kriterleri ve her seviyenin tanımı
– Risk kayıt defterindeki her bir madde için risk değerlendirme notları
En önemli çıktı, öncelik haritasıdır: hangi risklerin derhal ele alınması gerekiyor, hangileri izlenebilir ve hangileri kabul edilebilir.
6. Risk Tedavi Stratejisinin Belirlenmesi
Risk yönetimi, olasılığı veya etkiyi azaltmak veya sonuçları yönetmek için alınan bir dizi karar ve eylemdir. Genel olarak, risk yönetimi stratejileri şunları içerir:
– Riskten kaçının: riskleri tetikleyen faaliyetleri durdurun.
– Riski azaltmak (hafifletmek): kontrolleri, prosedürleri veya sistemleri iyileştirmek
– Risk transferi: sigorta, dış kaynak kullanımı veya belirli sözleşmeler
– Riski kabul et (kabul et): denetim ve acil durum planlarıyla kabul et
İyi bir yönetim, her tedavi kararının gerekçesi, maliyeti, zaman çerçevesi ve sorumlu kişiyle birlikte kaydedilmesini gerektirir. Bu genellikle zaman çerçeveleri, göstergeler ve gerekli kaynakları içeren bir risk tedavi planında belirtilir.
7. Destekleyici Belgeleri Derleyin ve Prosedürleri Standartlaştırın
Risk kontrolleri genellikle fikrin kötü olmasından değil, standartlaştırılmamış olmasından dolayı başarısız olur. Bu nedenle, kuruluşların seçilen risk azaltma önlemlerinin açık operasyonel belgelere dönüştürülmesini sağlamaları gerekir.
Destekleyici belgelere örnekler:
– Yeni Standart İşlem Prosedürü veya revize edilmiş Standart İşlem Prosedürü
– Çalışma talimatları
– Denetim formları, kontrol listeleri ve kayıt defterleri
– Minimum hizmet standartları veya kalite standartları
– Üçüncü taraflarla yapılan sözleşme şartları
Bu standardizasyon, risk kontrollerinin bireylere bağlı olmamasını, aksine sisteme entegre edilmesini sağlamaya yardımcı olur.
8. İletişim, Sosyalleşme ve Eğitim
Risk yönetimi, etkili iç iletişimi de içerir. Riskler tek bir bölüme ait değildir; birçok risk fonksiyonlar arasıdır. Bu nedenle, risklerin belirlenmesi, önceliklendirilmesi ve azaltma planlarının ilgili taraflara iletilmesi gerekir.
Genel olarak gerçekleştirilen idari faaliyetler:
– Risk politikaları ve prosedürlerinin toplumsallaştırılması
– Risk kayıtlarının ve değerlendirme matrislerinin kullanımına ilişkin eğitim
– Kuruluşun temel risklerine ilişkin düzenli bilgilendirmeler
– Olayla ilgili iletişim ve çıkarılan dersler
Amaç, sorunların bildirilmesinin örtbas edilmesi gereken bir hata değil, iyileştirme çabası olarak görüldüğü, risk bilincine sahip bir kültür oluşturmaktır.
9. İzleme, Değerlendirme ve Periyodik Raporlama
Risk dinamiktir. Bu nedenle risk yönetimi izlenmelidir. Bu aşama, verimli raporlama yönetimini gerektirir: kim rapor verir, ne zaman ve hangi formatta?
İzleme faaliyetleri şunları içerebilir:
– Risk azaltma önlemlerinin uygulama durumu (tamamlandı, devam ediyor, gecikti)
– Kontroller uygulandıktan sonra risk seviyesindeki değişiklikler
– Çevredeki veya projedeki değişiklikler nedeniyle yeni risklerin ortaya çıkması
– Olayların, şikayetlerin veya sistem arızalarının eğilimleri
Raporlama aylık, üç aylık veya ihtiyaç duyulduğunda yapılabilir. İdeal olarak, raporlar öncelikli riskleri, engelleri, önerileri ve liderliğin alması gereken kararları vurgulamalıdır.
10. Denetim, Yönetim İncelemesi ve Sürekli İyileştirme
Son adım, genel risk yönetim sisteminin sürekli olarak iyileştirilmesini sağlamaktır. İç denetimler veya bağımsız değerlendirmeler, politika uyumluluğunu ve kontrol etkinliğini değerlendirmeye yarar. Ayrıca, yönetim incelemeleri, stratejik riskle ilgili kararlarda liderliğin katılımını sağlar.
Sürekli iyileştirme genellikle şu şekilde yapılır:
– Risk politikalarını ve kriterlerini ayarlayın.
– Tanımlama ve değerlendirme sürecini daha doğru hale getirmek için iyileştirin.
– Risk yönetimini planlama ve bütçeleme ile entegre edin.
– Teknolojiyi benimsemek (risk paneli, dijital raporlama sistemi)
Bu iyileştirme döngüsüyle, risk yönetimi bir belge olmaktan çıkıp, kurumsal bir öğrenme mekanizması haline gelir.
Kapanış
Risk yönetimindeki idari adımlar, tutarlı, hesap verebilir ve etkili bir risk sürecinin temelini oluşturur. Bağlamın oluşturulmasından, politikaların geliştirilmesine ve rollerin atanmasına, izleme ve denetlemeye kadar her şey birbirine bağlıdır ve doğru belgelendirme gerektirir.
Güçlü risk yönetimi becerilerine sahip kuruluşlar, belirsizlikle daha iyi başa çıkmaya, değişime daha hızlı yanıt vermeye ve sürdürülebilir performansı daha iyi korumaya hazır olacaktır. Sonuç olarak, risk yönetimi sadece sorunlardan kaçınmakla ilgili değildir; daha olgun, güvenli ve ölçeklenebilir bir çalışma sistemi kurmakla ilgilidir.
