Bir önceki makalemde "Belirsizlikleri Yönetmenin Güçlü Aracı, Risk Analizi" başlığı altında, kurumların karşı karşıya oldukları riskleri nasıl belirlemeleri ve değerlendirmeleri gerektiğini ele almıştım. Yazının yayımlanmasının ardından birçok okuyucudan benzer nitelikte geri bildirimler aldım. Özellikle, "Risk analizini tamamladıktan sonra süreç nasıl devam etmeli?" sorusu öne çıktı. Aslında bu soru, risk yönetiminin en önemli noktasına işaret ediyor. Çünkü risk analizi tek başına bir amaç değil, daha kapsamlı bir yönetim sürecinin başlangıcıdır.

Bu makalede, risk analizinden sonra izlenmesi gereken adımları, kurumsal risk yönetimi bakış açısıyla değerlendirmeye çalışacağım. Ancak şunu özellikle vurgulamak isterim ki burada ele alınan hususlar da sürecin tamamını ifade etmemektedir. Risk yönetimi; sürekli izlenen, geliştirilen ve kurumsal değişimlere göre güncellenen dinamik bir yapıdır. Dolayısıyla bu yazı, risk yönetimi yolculuğunun yalnızca ikinci aşamasını ele alan bir devam yazısı niteliğindedir.

Bir kurumun karşı karşıya olduğu riskleri doğru şekilde belirlemesi önemli bir başarıdır. Ancak bu başarı, tek başına kurumu daha güvenli, daha dirençli veya daha sürdürülebilir hâle getirmez. Çünkü risk yönetiminde asıl değer, risklerin tespit edildiği anda değil; bu tespitlerin yönetsel kararlara, iş süreçlerine ve kurum kültürüne yansıtıldığı noktada ortaya çıkar.

Uygulamada ise çoğu zaman farklı bir tabloyla karşılaşılmaktadır. Aylar süren çalışmalar sonunda hazırlanan risk analizleri üst yönetime sunulmakta, gerekli onaylar alınmakta ve raporlar dosyalanarak süreç tamamlanmış kabul edilmektedir. Oysa risk analizi, kurumsal risk yönetimi yolculuğunun son durağı değil, ilk adımıdır. Raporların raflarda kaldığı bir organizasyonda riskler de yerinde durmaz; değişir, büyür ve çoğu zaman beklenmedik sonuçlar doğurur.

Son yıllarda yaşanan ekonomik dalgalanmalar, küresel tedarik zincirlerinde meydana gelen kırılmalar, siber güvenlik tehditleri, doğal afetler ve hızla değişen düzenlemeler, kurumların yalnızca mevcut risklerini değil, gelecekte karşılaşabilecekleri belirsizlikleri de yönetmelerini zorunlu hâle getirmiştir. Bu nedenle risk yönetimi artık yalnızca finans kuruluşlarının veya büyük ölçekli şirketlerin gündeminde yer alan teknik bir konu olmaktan çıkmış; tüm kurumların stratejik yönetim anlayışının ayrılmaz bir parçasına dönüşmüştür.

Uluslararası kabul gören COSO Kurumsal Risk Yönetimi (ERM) çerçevesi ile ISO 31000 Risk Yönetimi Standardı da bu bakış açısını benimsemektedir. Her iki yaklaşımın ortak noktası, risk yönetimini belirli dönemlerde hazırlanan raporlardan ibaret görmemesi; karar alma süreçlerini destekleyen, sürekli gelişen ve kurumsal hedeflerle bütünleşen dinamik bir sistem olarak ele........

© Hürses