Sevval
New member
Örneğin küçük bir işletmenin yılda birkaç kez yaşanabilecek düşük maliyetli bir sistem kesintisi için çok pahalı bir yedek altyapı kurmaması ekonomik açıdan mantıklı olabilir.
Fakat burada ince bir çizgi var.
“Bu riski kabul ediyoruz” ile “Bu riskle ilgilenmedik” aynı şey değildir.
İlkinde bilinçli karar vardır. İkincisinde ise ihmal söz konusu olabilir.
Bana göre iyi risk yönetimini kötü risk yönetiminden ayıran noktalardan biri tam olarak budur.
6. COSO'daki “Fırsatı Takip Etme” Yaklaşımı Neden Önemli?
Risk kavramını yalnızca kötü sonuçlarla ilişkilendirmek de eksik bir yaklaşım.
COSO'nun 2017 ERM çerçevesinde risk yanıtları arasında “pursue” yaklaşımı da bulunuyor. Burada kuruluş, daha yüksek bir performans veya fırsat elde etmek için kontrollü biçimde daha fazla risk üstlenebiliyor. COSO
Yeni bir ürün geliştirmek, yeni bir pazara girmek veya yenilikçi bir teknolojiye yatırım yapmak buna örnek olabilir.
Burada risk yönetiminin amacı “ne pahasına olursa olsun riski azaltmak” değil, risk ile hedeflenen değer arasında bilinçli bir denge kurmak oluyor.
Bence modern risk yönetiminin geleneksel yaklaşımlardan ayrıldığı noktalardan biri de bu. Fazla risk almak kadar hiç risk almamak da stratejik bir hata olabilir.
Kadınların ve Erkeklerin Risk Yaklaşımı Üzerinden Yapılan Tartışmalara Eleştirel Bakış
Risk yönetimi konuşulurken zaman zaman “erkekler daha stratejik ve çözüm odaklı, kadınlar daha empatik ve ilişkisel davranır” şeklinde genellemeler yapılıyor. Bu yaklaşımı oldukça dikkatli değerlendirmek gerekiyor.
Bazı araştırmalar kadın ve erkeklerin ortalama olarak risk alma davranışlarında farklılıklar gösterebildiğini ortaya koysa da, bu sonuçların bireysel davranışları açıklamak için doğrudan kullanılabileceği anlamına gelmiyor. Cinsiyet içindeki farklılıklar, cinsiyetler arasındaki ortalama farklılıklardan çok daha önemli olabilir.
Dolayısıyla bir risk toplantısında erkek bir yöneticinin “Önce maliyet ve uygulanabilirlik açısından bakalım” demesi veya kadın bir yöneticinin “Bu karar çalışanları ve müşterileri nasıl etkiler?” diye sorması mümkündür. Fakat bunun cinsiyetten kaynaklandığını varsaymak doğru olmaz.
Aynı stratejik, analitik ve çözüm odaklı yaklaşımı kadınlar da gösterebilir; aynı empatik ve ilişkisel bakış açısına erkekler de sahip olabilir.
Hatta iyi bir risk ekibinin tam olarak bu perspektif çeşitliliğine ihtiyacı vardır.
Sadece maliyet hesabına odaklanan bir ekip, kararın çalışanlar üzerindeki etkisini kaçırabilir. Sadece ilişkileri önemseyen bir ekip ise finansal sürdürülebilirliği gözden kaçırabilir.
Benim için ideal yaklaşım şu iki soruyu birlikte sorabilmek:
“Bu kararın rakamsal sonucu nedir?”
ve
“Bu karar insanları nasıl etkileyecek?”
Risk yönetiminin kalitesi, bu iki soruyu birbirinin alternatifi değil tamamlayıcısı olarak görebilmekle yükseliyor.
Risk İşleme Seçeneğini Belirlerken Nelere Bakılmalı?
Tek başına riskin büyüklüğüne bakmak yeterli değil. Bir risk için hangi işlemenin uygulanacağı belirlenirken en azından şu unsurlar birlikte değerlendirilmelidir:
Riskin gerçekleşme olasılığı: Bu olayın meydana gelme ihtimali ne kadar?
Etkisi: Gerçekleşirse finansal, operasyonel, hukuki, itibari veya insani sonuçları ne olur?
Risk iştahı: Kurum bu seviyedeki riski kabul etmeye hazır mı?
Maliyet: Riski azaltmak veya transfer etmek için harcanacak kaynak ne kadar?
Artık risk: Uygulanan önlemlerden sonra geriye ne kadar risk kalıyor?
Fırsat maliyeti: Riski azaltmak için vazgeçilen fırsat ne?
Paydaş etkisi: Çalışanlar, müşteriler, tedarikçiler ve toplum bu karardan nasıl etkileniyor?
NIST, risk yanıtlarının yalnızca seçilmesini değil, sorumlularının belirlenmesini, etkinlik kriterlerinin oluşturulmasını, uygulama takviminin belirlenmesini ve sonuçların izlenmesini de önemli görüyor. nvlpubs.nist.gov
Bu nedenle risk işleme aslında tek seferlik bir karar değil, sürekli tekrarlanan bir süreç.
En Büyük Hata: Her Riski Aynı Yöntemle Yönetmeye Çalışmak
Risk yönetiminde bana göre en büyük problem, tek bir yöntemin bütün risklere uygulanmaya çalışılması.
Her riski azaltmaya çalışmak çok pahalı olabilir. Her riski transfer etmek mümkün değildir. Her riski kabul etmek ise zamanla ciddi kayıplara yol açabilir. Her riskten kaçınmak da şirketin gelişmesini engelleyebilir.
NIST de risk yanıtlarının tek bir yöntemle sınırlı olmadığını ve bazı durumlarda kabul, kaçınma, azaltma, paylaşma veya transfer seçeneklerinin birlikte kullanılabileceğini belirtiyor. nvlpubs.nist.gov
Örneğin bir şirket siber güvenlik riskini aynı anda azaltabilir, belirli finansal sonuçları sigorta yoluyla paylaşabilir, bazı yüksek riskli uygulamalardan kaçınabilir ve düşük seviyeli riskleri kabul edebilir.
Bu bana göre çok daha gerçekçi bir yaklaşım.
Çünkü gerçek dünyadaki riskler birbirinden izole değildir.
Sonuç: Risk Yönetimi Aslında Bir Tercih Yönetimidir
Risk işleme seçeneklerini kısaca toparlarsak karşımıza şu tablo çıkıyor:
Kaçınma: Riski doğuran faaliyetten vazgeçmek.
Azaltma: Riskin gerçekleşme ihtimalini veya etkisini düşürmek.
Transfer: Riskin belirli sonuçlarını başka bir tarafa aktarmak.
Paylaşma: Riskin yükünü farklı taraflar arasında dağıtmak.
Kabul: Risk seviyesini bilinçli biçimde üstlenmek.
Fırsatı takip etme: Daha yüksek değer elde etmek için kontrollü biçimde risk almak.
Bence burada asıl mesele “En güvenli seçenek hangisi?” sorusu değil.
Daha doğru soru şu:
“Bu hedefe ulaşırken hangi risk seviyesini, hangi maliyet karşılığında ve hangi sonuçları göze alarak kabul ediyoruz?”
Çünkü risk yönetimi belirsizliği ortadan kaldırmıyor. Belirsizlik altında karar verme kalitesini artırıyor.
Üstelik iyi bir risk kararı yalnızca Excel'deki olasılık ve maliyet hesabından oluşmuyor. İnsanların güvenliği, çalışanların beklentileri, müşterilerin güveni, kurumun itibarı ve gelecekte ortaya çıkabilecek fırsatlar da kararın parçası.
Bu nedenle iyi bir risk yöneticisinin yalnızca “Ne kadar kaybederiz?” diye sorması yeterli değil.
“Ne kazanabiliriz, kim etkilenir, hangi varsayıma güveniyoruz ve bu varsayım değişirse ne yapacağız?” sorularını da sorması gerekiyor.
Forum açısından tartışmaya değer birkaç soru da burada ortaya çıkıyor: Bir kurum hangi noktada riskten kaçınmak yerine riski azaltmayı tercih etmeli? Maliyeti yüksek bir kontrol gerçekten gerekli mi, yoksa kurum gereksiz güvenlik hissi mi satın alıyor? Sigorta yaptırmak riski yönetmek mi, yoksa yalnızca finansal sonucunu paylaşmak mı? Ve belki de en önemlisi: Risk almamak gerçekten güvenli olmak anlamına geliyor mu?
Bence bu soruların tek bir evrensel cevabı yok. Zaten risk yönetimini zorlaştıran ve aynı zamanda değerli kılan şey de tam olarak bu. İyi karar, en az riskli karar değil; amaçlarla, risk iştahıyla, kaynaklarla ve insan üzerindeki etkilerle en tutarlı karar olabilir. COSO+1
Fakat burada ince bir çizgi var.
“Bu riski kabul ediyoruz” ile “Bu riskle ilgilenmedik” aynı şey değildir.
İlkinde bilinçli karar vardır. İkincisinde ise ihmal söz konusu olabilir.
Bana göre iyi risk yönetimini kötü risk yönetiminden ayıran noktalardan biri tam olarak budur.
6. COSO'daki “Fırsatı Takip Etme” Yaklaşımı Neden Önemli?
Risk kavramını yalnızca kötü sonuçlarla ilişkilendirmek de eksik bir yaklaşım.
COSO'nun 2017 ERM çerçevesinde risk yanıtları arasında “pursue” yaklaşımı da bulunuyor. Burada kuruluş, daha yüksek bir performans veya fırsat elde etmek için kontrollü biçimde daha fazla risk üstlenebiliyor. COSO
Yeni bir ürün geliştirmek, yeni bir pazara girmek veya yenilikçi bir teknolojiye yatırım yapmak buna örnek olabilir.
Burada risk yönetiminin amacı “ne pahasına olursa olsun riski azaltmak” değil, risk ile hedeflenen değer arasında bilinçli bir denge kurmak oluyor.
Bence modern risk yönetiminin geleneksel yaklaşımlardan ayrıldığı noktalardan biri de bu. Fazla risk almak kadar hiç risk almamak da stratejik bir hata olabilir.
Kadınların ve Erkeklerin Risk Yaklaşımı Üzerinden Yapılan Tartışmalara Eleştirel Bakış
Risk yönetimi konuşulurken zaman zaman “erkekler daha stratejik ve çözüm odaklı, kadınlar daha empatik ve ilişkisel davranır” şeklinde genellemeler yapılıyor. Bu yaklaşımı oldukça dikkatli değerlendirmek gerekiyor.
Bazı araştırmalar kadın ve erkeklerin ortalama olarak risk alma davranışlarında farklılıklar gösterebildiğini ortaya koysa da, bu sonuçların bireysel davranışları açıklamak için doğrudan kullanılabileceği anlamına gelmiyor. Cinsiyet içindeki farklılıklar, cinsiyetler arasındaki ortalama farklılıklardan çok daha önemli olabilir.
Dolayısıyla bir risk toplantısında erkek bir yöneticinin “Önce maliyet ve uygulanabilirlik açısından bakalım” demesi veya kadın bir yöneticinin “Bu karar çalışanları ve müşterileri nasıl etkiler?” diye sorması mümkündür. Fakat bunun cinsiyetten kaynaklandığını varsaymak doğru olmaz.
Aynı stratejik, analitik ve çözüm odaklı yaklaşımı kadınlar da gösterebilir; aynı empatik ve ilişkisel bakış açısına erkekler de sahip olabilir.
Hatta iyi bir risk ekibinin tam olarak bu perspektif çeşitliliğine ihtiyacı vardır.
Sadece maliyet hesabına odaklanan bir ekip, kararın çalışanlar üzerindeki etkisini kaçırabilir. Sadece ilişkileri önemseyen bir ekip ise finansal sürdürülebilirliği gözden kaçırabilir.
Benim için ideal yaklaşım şu iki soruyu birlikte sorabilmek:
“Bu kararın rakamsal sonucu nedir?”
ve
“Bu karar insanları nasıl etkileyecek?”
Risk yönetiminin kalitesi, bu iki soruyu birbirinin alternatifi değil tamamlayıcısı olarak görebilmekle yükseliyor.
Risk İşleme Seçeneğini Belirlerken Nelere Bakılmalı?
Tek başına riskin büyüklüğüne bakmak yeterli değil. Bir risk için hangi işlemenin uygulanacağı belirlenirken en azından şu unsurlar birlikte değerlendirilmelidir:
Riskin gerçekleşme olasılığı: Bu olayın meydana gelme ihtimali ne kadar?
Etkisi: Gerçekleşirse finansal, operasyonel, hukuki, itibari veya insani sonuçları ne olur?
Risk iştahı: Kurum bu seviyedeki riski kabul etmeye hazır mı?
Maliyet: Riski azaltmak veya transfer etmek için harcanacak kaynak ne kadar?
Artık risk: Uygulanan önlemlerden sonra geriye ne kadar risk kalıyor?
Fırsat maliyeti: Riski azaltmak için vazgeçilen fırsat ne?
Paydaş etkisi: Çalışanlar, müşteriler, tedarikçiler ve toplum bu karardan nasıl etkileniyor?
NIST, risk yanıtlarının yalnızca seçilmesini değil, sorumlularının belirlenmesini, etkinlik kriterlerinin oluşturulmasını, uygulama takviminin belirlenmesini ve sonuçların izlenmesini de önemli görüyor. nvlpubs.nist.gov
Bu nedenle risk işleme aslında tek seferlik bir karar değil, sürekli tekrarlanan bir süreç.
En Büyük Hata: Her Riski Aynı Yöntemle Yönetmeye Çalışmak
Risk yönetiminde bana göre en büyük problem, tek bir yöntemin bütün risklere uygulanmaya çalışılması.
Her riski azaltmaya çalışmak çok pahalı olabilir. Her riski transfer etmek mümkün değildir. Her riski kabul etmek ise zamanla ciddi kayıplara yol açabilir. Her riskten kaçınmak da şirketin gelişmesini engelleyebilir.
NIST de risk yanıtlarının tek bir yöntemle sınırlı olmadığını ve bazı durumlarda kabul, kaçınma, azaltma, paylaşma veya transfer seçeneklerinin birlikte kullanılabileceğini belirtiyor. nvlpubs.nist.gov
Örneğin bir şirket siber güvenlik riskini aynı anda azaltabilir, belirli finansal sonuçları sigorta yoluyla paylaşabilir, bazı yüksek riskli uygulamalardan kaçınabilir ve düşük seviyeli riskleri kabul edebilir.
Bu bana göre çok daha gerçekçi bir yaklaşım.
Çünkü gerçek dünyadaki riskler birbirinden izole değildir.
Sonuç: Risk Yönetimi Aslında Bir Tercih Yönetimidir
Risk işleme seçeneklerini kısaca toparlarsak karşımıza şu tablo çıkıyor:
Kaçınma: Riski doğuran faaliyetten vazgeçmek.
Azaltma: Riskin gerçekleşme ihtimalini veya etkisini düşürmek.
Transfer: Riskin belirli sonuçlarını başka bir tarafa aktarmak.
Paylaşma: Riskin yükünü farklı taraflar arasında dağıtmak.
Kabul: Risk seviyesini bilinçli biçimde üstlenmek.
Fırsatı takip etme: Daha yüksek değer elde etmek için kontrollü biçimde risk almak.
Bence burada asıl mesele “En güvenli seçenek hangisi?” sorusu değil.
Daha doğru soru şu:
“Bu hedefe ulaşırken hangi risk seviyesini, hangi maliyet karşılığında ve hangi sonuçları göze alarak kabul ediyoruz?”
Çünkü risk yönetimi belirsizliği ortadan kaldırmıyor. Belirsizlik altında karar verme kalitesini artırıyor.
Üstelik iyi bir risk kararı yalnızca Excel'deki olasılık ve maliyet hesabından oluşmuyor. İnsanların güvenliği, çalışanların beklentileri, müşterilerin güveni, kurumun itibarı ve gelecekte ortaya çıkabilecek fırsatlar da kararın parçası.
Bu nedenle iyi bir risk yöneticisinin yalnızca “Ne kadar kaybederiz?” diye sorması yeterli değil.
“Ne kazanabiliriz, kim etkilenir, hangi varsayıma güveniyoruz ve bu varsayım değişirse ne yapacağız?” sorularını da sorması gerekiyor.
Forum açısından tartışmaya değer birkaç soru da burada ortaya çıkıyor: Bir kurum hangi noktada riskten kaçınmak yerine riski azaltmayı tercih etmeli? Maliyeti yüksek bir kontrol gerçekten gerekli mi, yoksa kurum gereksiz güvenlik hissi mi satın alıyor? Sigorta yaptırmak riski yönetmek mi, yoksa yalnızca finansal sonucunu paylaşmak mı? Ve belki de en önemlisi: Risk almamak gerçekten güvenli olmak anlamına geliyor mu?
Bence bu soruların tek bir evrensel cevabı yok. Zaten risk yönetimini zorlaştıran ve aynı zamanda değerli kılan şey de tam olarak bu. İyi karar, en az riskli karar değil; amaçlarla, risk iştahıyla, kaynaklarla ve insan üzerindeki etkilerle en tutarlı karar olabilir. COSO+1