admin
Kapsamlı Uygulama Rehberi
Yazar: Selçuk DİKİCİ, Endüstri Mühendisi
BÖLÜM I: RİSK YÖNETİMİNE GİRİŞ VE KAVRAMSAL ÇERÇEVE
1.1. Risk, Belirsizlik ve Fırsat Kavramları Arasındaki Fark
Giriş: Karar Mekanizmasının Temeli
Kurumsal dünyada yönetim, esasen bir karar verme sürecidir. Bu kararlar, gelecek hakkında sahip olduğumuz bilgi düzeyine göre şekillenir. Risk yönetimi uzmanının ilk ve en kritik görevi, elindeki bilginin niteliğine göre durumu doğru adlandırmaktır: Bu bir risk midir, yoksa basitçe bir belirsizlik mi?
Belirsizlik (Uncertainty), gelecekteki olaylar hakkında hiçbir veri veya bilgiye sahip olmama durumudur. Sonuçlarını tahmin edemediğimiz veya ölçemediğimiz bir durumdur. Finansal piyasalarda büyük ve öngörülemeyen çöküşler, siyasi istikrarsızlık gibi durumlar bu kategoriye girer. Yönetilemez, ancak esneklik ve hazırlıklı olma (resilience) ile karşılanabilir.
Risk (Risk) ise ölçülebilir belirsizliktir. Bir olay hakkında elimizde geçmiş veriler, istatistikler veya analitik modeller vardır. Risk, genellikle iki temel bileşenin ürünü olarak tanımlanır:
Risk=Olasılık×Etki
Risk yönetimi, bu olasılığı azaltmaya veya etkiyi hafifletmeye odaklanır. Endüstri Mühendisliği bakış açısıyla, risk yönetimi bir sistem optimizasyonu faaliyetidir.
Fırsat (Opportunity), riskin sadece negatif bir olay olmadığını gösterir. Risk yönetiminin modern yaklaşımları (Örn: ISO 31000 ve COSO ERM), riskin iki taraflı olduğunu vurgular. Pozitif sapmalar (fırsatlar) da negatif sapmalar (tehditler) kadar yönetilmelidir. Fırsat, belirlenen bir hedefin ötesine geçme potansiyelidir ve doğru risk iştahı ile yakalanabilir.
BÖLÜM II: RİSK SINIFLANDIRMASI VE BELİRLEME METOTLARI
3.1. Stratejik Riskler
Stratejik riskler, bir kurumun uzun vadeli hedeflerine ulaşmasını doğrudan engelleyen veya önemli ölçüde saptıran risklerdir. Bunlar, operasyonel süreç hatalarından ziyade, üst yönetimin aldığı kararların, sektör dinamiklerinin veya pazar pozisyonunun yanlış değerlendirilmesinden kaynaklanır.
Örnek Stratejik Risk Türleri:
- İtibar Riski: Marka değerinin veya kamu güveninin sarsılması.
- Pazar Riski: Pazar payının kaybedilmesi, yeni pazar trendlerine ayak uyduramama.
- Rekabet Riski: Rakip teknolojilerin veya iş modellerinin yıkıcı etkisi.
- Mevzuat ve Uyum Riski: Yeni çıkan yasalara uyum sağlayamama veya gelecekteki regülasyonları öngörememe.
Stratejik risk yönetimi, yalnızca tehditleri azaltmakla kalmaz, aynı zamanda stratejik hedeflerle uyumlu bir risk iştahı belirleyerek büyüme fırsatlarını optimize etmeyi hedefler.
BÖLÜM III: RİSK ANALİZİ VE DEĞERLENDİRMESİ
6.1. Niceliksel (Kantitatif) Risk Analizi
Niteliksel analizin (Isı Haritası) subjektif değerlendirmelerinin aksine, niceliksel risk analizi sayısal veriler, istatistiksel modeller ve finansal tahminler kullanarak risklerin parasal veya zaman bazlı etkilerini ölçer. Bu analiz, özellikle büyük projelerde, finansal kurumlarda ve sigorta sektöründe karar alma süreçlerini desteklemek için vazgeçilmezdir.
Niceliksel analiz, şu sorulara net cevaplar arar:
- Bu risk gerçekleşirse, projenin bütçesine veya şirketin gelirine kesin olarak ne kadar maliyeti olur?
- Projenin tamamlanma süresi, bu riskten dolayı yüzde kaç olasılıkla Tmax süresini aşacaktır?
Bu analizde kullanacağımız başlıca araçlar: Beklenen Parasal Değer (EMV), Hassasiyet Analizi ve Monte Carlo Simülasyonlarıdır.
BÖLÜM IV: RİSK YANITLARI, KONTROLLER VE İZLEME
8.2. Riski Azaltma (Mitigation): Kontrol Faaliyetlerinin Tasarımı
Riski azaltma, belirlenen bir tehdidin olasılığını veya etkisini kabul edilebilir bir seviyeye indirmeyi amaçlayan en yaygın yanıtlama stratejisidir. Bu stratejinin merkezinde Kontrol Faaliyetlerinin (Control Activities) tasarımı yer alır.
Bir Endüstri Mühendisi olarak, kontrol tasarımında verimlilik ve maliyet etkinliğine odaklanmalıyız. Bir kontrol faaliyeti, riskin maliyetinden daha pahalı olmamalıdır.
Kontrol Faaliyetlerinin Sınıflandırılması:
| Sınıflandırma Kriteri | Kontrol Tipi | Tanım ve Örnek |
| Zamanlama | Önleyici (Preventive) | Olay gerçekleşmeden önce riski önler (Örn: Yetkilendirme, Parola Güvenliği). |
| Tespit Edici (Detective) | Olay gerçekleşirken veya hemen sonra tespit eder (Örn: Mutabakat, Denetim, CCTV). | |
| Düzeltici (Corrective) | Olayın etkilerini geri döndürmeye çalışır (Örn: Veri Yedekleme ve Geri Yükleme). | |
| Uygulama Şekli | Manuel | İnsan eliyle yürütülen kontroller (Örn: Çift imza kuralı). |
| Otomatik | Bilgi sistemleri tarafından yürütülen kontroller (Örn: Sistem tarafından reddedilen hatalı giriş). |
Etkin bir azaltma stratejisi, riskin doğasına uygun, çok katmanlı (önleyici ve tespit edici) kontrollerin bir kombinasyonunu gerektirir.
BÖLÜM V: RİSK İZLEME, RAPORLAMA VE İYİLEŞTİRME
11.2. Risk Performans Göstergeleri (KRI) ve Erken Uyarı Sistemleri
Risk Yönetim Sürecinin son aşaması, belirlenen risklerin ve uygulanan kontrollerin etkinliğini sürekli olarak izlemektir. Bu izleme faaliyeti, bize bir riskin gerçekleşme olasılığının veya etkisinin değişip değişmediğini gösterir.
Bu izlemede kullandığımız ana araç, Anahtar Risk Göstergeleridir (Key Risk Indicators – KRI).
KRI Nedir? KRI’lar, potansiyel bir risk olayının gerçekleşme olasılığını veya etkisini gösterebilecek geleceğe yönelik ölçütlerdir. Bir arabanın hız göstergesi gibidirler; kaza (risk olayı) gerçekleşmeden önce tehlikenin yaklaştığını bildirirler.
| Risk Alanı | Potansiyel Risk | İlgili KRI Örneği |
| Finans | Likidite Krizine Girme | Hızlı Oran (Quick Ratio) / 30 Günlük Tahsil Edilemeyen Alacak Oranı |
| Operasyonel | Yüksek Hata Oranı | Üretimdeki Hatalı Ürün Sayısı / Çalışan Başına Kayıp Gün Sayısı |
| Siber | Veri İhlali | Giriş Başarısızlığı Deneme Sayısı / Kimlik Avı (Phishing) Testlerine Tıklanma Oranı |
KRI’lar belirlenirken, eşik seviyeleri (kırmızı, sarı, yeşil) tanımlanmalı ve bu eşikler aşıldığında hangi eylem planlarının tetikleneceği netleştirilmelidir. Bu, proaktif bir risk yönetimi sistemi kurmanın temelidir.
