Risk yönetimi stratejileri: Kuruluşunuzun ihtiyaç duyduğu tırmanma ipi

Uygun bir ip, emniyet kemeri, kendinden kilitlenen cihaz ve yukarı ve aşağı inmenize yardımcı olacak bir partner olmadan bir kayaya tırmanmaya cesaret edebilir misiniz? Muhtemelen hayır. Düşmeyecek kadar iyi olsanız bile, riskler göz ardı edilemeyecek kadar yüksektir. Serbest solo tırmanış diye bir şey olsa da, bunu sadece riske karşı büyük bir iştahı olan en ileri düzeydeki tırmanıcılar yapar. Bir organizasyonu yönetmek her zaman kolay değildir. Piyasada yükselirken karşılaşabileceğiniz tehlikeleri göz önünde bulundurmanız gerekir. Ve bu tehlikeleri azaltmak için uygun ekipmana, yani doğru risk yönetimi stratejilerine ihtiyacınız vardır.

Etkili bir risk yönetimi planı, hem finansal hem de itibar kayıplarını önlemenizi, yasal düzenlemelere uymama durumunu önlemenizi ve güven kazanmanızı sağlayabilir.

Yönetmeliklere uyumu teşvik etme

Risk yönetimi stratejisi bazı sektörlerde bir tercih meselesi değildir. Örneğin, AB (Avrupa Birliği) içindeki finans kurumları, ICT (Bilgi ve İletişim Teknolojisi) risk yönetimi konusunda sıkı düzenlemeler içeren DORA (Dijital Operasyonel Dayanıklılık Yasası) ile uyumlu olmalıdır. Yasal gerekliliklere uyulmaması önemli bir tehdit haline gelmiştir. Bu şaka değildir, çünkü düzenleyiciler ihlalcilere para cezası vermekten çekinmemektedir. Equifax örneğinde, şirketin veritabanı bilgisayar korsanlarının istismarına açık olduğu için 150 milyon tüketicinin kişisel ve finansal bilgilerinin kaybolması nedeniyle 575 milyon dolar para cezası ödemesi gerekmiştir.

İtibar kaybını ortadan kaldırma

Delta Havayolları'nın operasyon merkezi 2016 yılında beş saat boyunca felç oldu. Bu durum, havayolu şirketinin yaklaşık bin uçuşu iptal etmek ve bin uçuşu iptal etmek zorunda kalması nedeniyle şirkete 150 milyon dolarlık bir zarara mal oldu. Bu, sadece kayıplarla ilişkili olmayan risk yönetimi örneklerinden biridir. Delta, her zaman zamanında uçan ve uçuşları iptal eden bir havayolu olarak kendini pazarlıyordu. Muhtemelen, itibar kaybı, uçuşların iptali ve yere indirilmesine kıyasla havayolu için daha pahalıdır.

Sonuçları güvence altına almak

Kuruluşlar hazırlıksız yakalandıklarında, bu durum çok pahalıya mal olabilir. Veri ihlallerinin sonuçları milyonlarca dolarlık para cezalarına yol açabilir. Ani arızalar veya hizmetin kullanılamaması, gelir kaybına neden olur. Örnek olarak uyumluluk riskini ele alalım. Meta (Facebook), AB veri koruma kurallarını ihlal ettiği için 1,2 milyar avro para cezası ödeyen ilk şirket oldu.

Sorunlar büyük hasara yol açmadan önce önleme

İyi bir risk yönetimi yaklaşımı, risk yönetimiyle sınırlı değildir. Aynı zamanda, gerçekleşen gerçek riskleri belirleme ve bunlar önemli mali kayıplara yol açmadan önce bunlarla başa çıkma yapısını da oluşturur. Örnek olarak, olası güvenlik ihlallerini erken aşamada tespit etmeyi sağlayan güçlü bir otomatik anomali tespit sistemi kurmak sayılabilir.

Müşterilerin ve yatırımcıların bize güvenmesini sağlamak

Etkili bir risk yönetimi çerçevesi, yatırımcılarınıza her şeyin kontrol altında olduğu konusunda net bir mesaj verir. Risklere maruz kalma düzeyinin düşük olması ve kaçınılmaz risklerin uygun şekilde yönetilmesi, yatırımcıların finansal kayıplara ve itibar kaybına karşı korunmasını sağlar. Müşteriler, risklerini, özellikle kişisel verileri doğru bir şekilde yöneten bir şirkete daha fazla güvenme eğilimindedir. Müşteri bilgilerinin güvenliğini sağlamak, tüketiciler arasında bir işletmeye güven uyandıran en önemli unsurdur.

Risk yönetimi yöntemlerini seçmeye başlamadan önce, bir kurumsal risk yönetimi ekibi kurmanız gerekir (henüz kurmadıysanız). Bu ekip, riskleri sürekli olarak tespit edip izleyecek, bunlarla ilgilenecek ve ortaya çıkan risklere göre stratejiyi optimize edecektir. Bir kurumsal risk yönetimi ekibi şunları bir araya getirir:

• Yönetim kurulu, temsilci veya yönetim kurulu düzeyinde bir komite olarak ekibe kurumsal denetim sağlar
• Ekip, stratejinin uygulanmasını ve sürekli iyileştirmeyi denetleyen risk yönetim müdürü (CRO) tarafından yönetilir.
• Operasyon müdürü (COO), tüm günlük operasyonlara kuşbakışı bir bakış açısı sunar ve risk yönetimi eksikliklerinin fark edilmesine ve risklerin ortadan kaldırılmasına yardımcı olur.
• Finans müdürü (CFO), gelir ve karlılık riskleri, sigorta riskleri (varsa) ve gelir ve karlılık riskleri ile ilgili görüşlerini bildirir.
• Baş hukuk müşaviri, kuruluşun hukuki sorunları ve sorumluluk olasılığı hakkında görüşünü bildirir.
• Uyum sorumlusu, yönetim kuruluna tam uyumun sağlanmasını ve siber güvenlik yoluyla çalışanların güvenliğini sağlar.
• Bilgi teknolojileri direktörü (CIO), BT risklerini yönetir ve bu risklerin ortaya çıkması durumunda iş sürekliliğini iyileştirir.
• İnsan kaynakları başkanı (CHRO) işgücü risklerini yönetir
• İletişim müdürü, ortaya çıkabilecek itibar riskleri hakkında bilgi verir.
• Risklerin sahipleri olarak atanan bölüm başkanları, kendi iş bölümlerindeki riskler hakkında pratik fikirler verir.

Riskten kaçınma, risk azaltma, risk paylaşımı, risk transferi ve risk tutma en yaygın kullanılan risk yönetimi yöntemleridir.

Riskten kaçınma

Böyle bir risk yönetimi stratejisi, yüksek riskli ve kuruluşa zarar verebilecek faaliyetlerin bulunmadığını ima eder. Bunu kullanma ihtiyacının yaygın bir göstergesi nedir? Risklerin olası faydalar tarafından aşılmadığını belirleyin. Alternatif olarak, kuruluşa varoluşsal bir tehdit oluşturabilecek tehditler de olabilir.

Kayıp önleme/risk azaltma

Bazı riskler ortadan kaldırılamaz. Örneğin, olumsuz hava koşullarının tehdidini tamamen ortadan kaldırmak mümkün değildir. Kaybı önlemek veya azaltmak dışında yapabileceğiniz bir şey yoktur. Örneğin, sel hasarlarını azaltmak için sel havalandırma delikleri ve su pompaları yerleştirerek risk azaltma sağlanabilir. Sağlık sektöründe risk minimizasyonu genellikle önleyici bakım olarak gerçekleştirilir.

Risk paylaşımı

Riski önleyemiyor veya azaltamıyor musunuz? Riskleri paylaşmak, maruz kalma riskini azaltabilir. Bu risk yönetimi yaklaşımında, riskin gerçekleşmesi durumunda, kayıplar çeşitli taraflar arasında paylaşılır ve her bir tarafın maruz kaldığı etki hafifletilir. Risk paylaşımının iyi bir örneği hisse sahipliğidir: şirket kar elde edemediği takdirde, zararlar şirketin yatırımcıları arasında paylaşılır.

Risk transferi

Bu, riskin üçüncü bir tarafa devredildiği bir risk aktarım stratejisidir. Riskin, kuruluşların kayıpları yönetemeyeceği kadar büyük olduğu durumlarda uygun bir risk yönetimi yöntemidir. Risk transferi genellikle doğal afetlere veya davalara karşı sigorta yaptırmayı ifade eder. Bir hizmet sözleşmesi ayrıca riski bir alt yükleniciye devretmenize de olanak tanır.

Risk kabulü/tutma

Diğer tüm risk yönetimi stratejileri tükenmişse, risk kabulü masadaki son seçenektir. Riski kabul etmek, a) riskten kurtulmanın imkansız olduğu veya b) alternatif stratejileri kullanmanın maliyetinin kazançları aştığı anlamına gelir. Risk tutmayı uygulamak için, bu kalıntı riskin etkilerini ele almak için gerekli olan bütçe ve diğer kaynakları bir kenara ayırmanız gerekir. Bu risk, düzenli müşteri şikayetleri veya küçük operasyonel aksaklıklar şeklinde olabilir, örneğin

Bir sigorta şirketi, örneğin bir teknoloji girişimine kıyasla çeşitli risklere de maruz kalmaktadır. Potansiyel etkilerini analiz etmek genellikle aşağıdaki risk değerlendirme yöntemlerinin bir kombinasyonunu içerir.

Nicel risk değerlendirmesi

Nicel risk değerlendirmesi, her bir riskin potansiyel maliyetini sayısallaştırmanıza ve riskleri buna göre önceliklendirmenize olanak tanır. Nicel risk analizinin cazip olmasının nedeni, sonuçlarının ölçülebilir ve objektif olması, anlaşılması ve karşılaştırılması kolay olmasıdır. Ancak, nicel risk değerlendirmesi herkese uyan tek bir çözüm değildir. Olası kayıplara ilişkin tahminlerde bulunmak için kaliteli bilgiye sahip olmayan kuruluşlar da vardır. İtibar kaybı gibi bazı etkiler hiç ölçülemeyebilir. Yaygın nicel risk analizi teknikleri şunlardır:

• Üç noktalı tahmin: En iyi, en olası ve en kötü senaryoların en iyi tahminlerini ortaya koyarak en iyi tahminleri elde etmek
• Karar ağacı analizi: Karar verme seçeneklerinin olası etkisini gösteren bir diyagram çizmeyi içeren bir tekniktir.
• Beklenen para değeri: Acil durum parası ve süresini belirleme
• Duyarlılık analizi: Bir süreci veya projeyi en önemli şekilde etkileyecek riski tahmin etme
• Monte Carlo simülasyonu: Rastgele değişkenleri içeren bir süreçte çeşitli sonuçların olasılığını belirleme
• Hata ağacı analizi: Sistem arızasına neden olabilecek faktörleri belirlemek için bir diyagram oluşturmak

Niteliksel risk değerlendirmesi

Bu risk değerlendirme tekniğinde, daha fazla analiz yapılması gereken yerleri belirleyebilir ve bunları pratik olarak yönetebilirsiniz. Bu teknik, bir organizasyon içindeki bireyleri risk ve olası etkileri hakkında bir tartışmaya dahil eder. Nitel yöntemler şunlardır:

• Çok Basit Tutun (KISS): Risk olaylarını basit bir ölçekte (çok yüksek) ila (çok düşük) arasında sıralayın.
• Olasılık/Etki: Bir riskin meydana gelme olasılığını ve etkisini iki boyutlu bir grafikte 1 ila 10 veya 1 ila 5 arasında derecelendirin.

Niteliksel risk değerlendirmesi, nicel olarak ölçülmesi zor faktörleri dikkate alır. Tersine, kişisel duygulara ve görüşlere dayanır ve önyargılarla kirlenebilir.

Varlık temelli risk değerlendirmesi

Bu yöntem, ekipman, mülk ve fikri mülkiyet dahil olmak üzere kuruluşun varlıklarını etkileyebilecek riskleri tanır. Bu yöntem şunları içerir:

• Mevcut tüm varlıkların bir listesini hazırlayın
• Mevcut risk kontrollerinin verimliliğini değerlendirme
• Varlık sahiplerinin yardımını isteyerek her varlık için potansiyel riskleri listeleyin.
• Riskleri belirlemenin yanı sıra, risklerin olasılık ve etki yoğunluğu açısından önceliklendirilmesi de yapılmalıdır.

Varlık temelli risk değerlendirmeleri anlaşılması kolay sonuçlar üretse de, kuruluşun politikalarına veya süreçlerine özgü belirli riskleri dikkate almazlar.

Güvenlik açığı temelli risk değerlendirmesi

Bu yöntem, her organizasyon veya sistemin zayıf noktalarını ortaya çıkarmakla ilgilidir. Güvenlik açığı temelli değerlendirmeler şunları içerir: şirketin varlıklarının bir listesiyle başlamak yerine.

• Mevcut organizasyonel/sistem zayıflıklarını ve verimsizliklerini belirlemek
• Bu zayıflıkların nasıl kullanılabileceğini belirleme
• Her bir istismarın olası etkisini değerlendirin

Bu yöntem risklere daha dengeli bir bakış açısı sunsa da, bir dezavantajı vardır: bilinen güvenlik açıklarına dayanır. Dolayısıyla, henüz giderilmemiş güvenlik açıkları tehdit olmaya devam edecektir.

Doğru risk yönetimi stratejileri kombinasyonunu seçmek, kuruluşun risklerini ve bunların potansiyel etkilerini net bir şekilde anlamayı gerektirir. Bu nedenle, bu veya bu stratejiyle ilgili evrensel risk yönetimi tavsiyesi vermek mümkün değildir. Bununla birlikte, bazı durumlarda kuruluşlar belirli stratejiler benimsemeyi tercih ederler:

• Riskin potansiyel etkisi, faaliyetin getirisinden daha büyük olduğu durumlarda riskten kaçınma stratejisi benimsenmelidir.
• Risk azaltma, bunu yapmama seçeneği olmadığında uygun bir seçenektir, ancak yine de risk kontrol önlemleri alınabilir.
• Risk paylaşımı, tek bir tarafça yönetilemeyecek kadar büyük veya karmaşık projelerle ilişkilidir.
• Risk tutma, günlük operasyonlarda normal olan düşük etkili risklerde yaygın olarak görülür.
• Risk kaydırma genellikle, bir kuruluşun üstesinden gelmesi çok pahalı olacak, yüksek etkili, büyük ölçekli risklerle uğraşırken kullanılır.

Ancak, risk seviyesi, kilit paydaşların risk iştahı ve kaynaklar, benimseyeceğiniz strateji seçimini belirleyecektir.

Risk yönetimi süreci beş adımdan oluşur: riskin belirlenmesi, risk değerlendirmesi, risk tedavi planı, uygulama, izleme ve iyileştirme.

1. Risk belirleme

Yapmanız gereken ilk şey, kuruluşunuzun maruz kaldığı tüm olası risklere genel bir bakış elde etmektir. Tespit edilen tüm riskleri, risk kaydı gibi bir belgede belgelendirin – riskler, olasılıkları ve potansiyel etkileri, risk sahipleri ve seçilen risk tedavi stratejisinin bulunduğu bir veritabanı. Tüm olası riskleri belirlemek için:

• Anketler, beyin fırtınaları ve görüşmeler yoluyla bunları ön saflarda çalışanlarla ve üst yönetimle paylaşın.
• Risklerin tarihsel olarak meydana gelme durumlarını araştırın ve nedenlerini bulun
• Veri analizi şeklinde geçmiş verilerin yardımıyla risk bilgilerini çıkarın

Bu yedi risk kategorisinde, iç ve dış riskleri dikkate alın:

2. Risk analizi

Şimdi, belirlenen her bir riskin ciddiyet düzeyini belirleme zamanıdır. Her risk için şunları belirleyin:

• Gerçekleşmesi durumunda risk olayı, kuruluş üzerinde olumsuz bir etki yaratacaktır.
• Risk olayına neden olabilecek iç ve dış faktörler
• Risk olayının meydana gelme olasılığı
• Risk olayının etkisi
• Zaman aralığı veya riskin gerçekleşme hızı

Bulgularınızı, bir eksende risk olasılığı, diğer eksende etki ciddiyeti olacak şekilde bir risk matrisinde toplayabilirsiniz. Değerlendirmeyi tamamladıktan sonra, riskleri en ciddi olandan en az ciddi olana doğru sıralayabilirsiniz.

3. Risk tedavi planı

Riskle başa çıkarken, önce stratejinizi belirlemelisiniz: kaçınma, azaltma, paylaşma, aktarma veya tutma. Aynı riski ele alırken birden fazla risk yönetimi stratejisini birleştirebilirsiniz. Ardından, her bir risk için risk yönetimi planı, risk yönetimi faaliyetleri, politikalar ve riski azaltmak için idari kontroller sunun. Ayrıca, izlenecek doğru risk ölçümlerini seçin.

4. Risk yönetimi uygulaması

Plan hazırlandıktan sonra, planı uygulamaya koymanın zamanı gelmiştir. Riskleri kilit paydaşlarınıza da ileterek, onların riskleri bilmelerini ve risk yönetimi süreçlerine uygun şekilde katılmalarını sağlayın. Bunun yanı sıra, önceki adımda belirlediğiniz risk ölçütlerini izleyecek bir sistem kurun. Ayrıca, bu tür bilgilerden içgörüler elde etmek için bir veri analizi çözümü hesaplayabilirsiniz.

5. İzleme ve iyileştirme

Risk yönetimi bir proje değildir; sürekli olarak yürütülmesi gereken bir süreçtir. Riskleri verimli bir şekilde yönetmek için:

• Risk önlemlerini sürekli izleyin, örneğin likidite oranı veya ekipman arıza süresi
• Risk kaydını düzenli olarak gözden geçirin, riskleri yeniden değerlendirin ve ortaya çıkan riskleri takip edin
• Sürekli gözetim altında tutun ve risk azaltma önlemleri alın
• Azaltma planlarınızı ve kontrollerini test edin ve revize edin
• Kilit paydaşlarla risk yönetimi uygulamalarınız hakkında tavsiye alın
• Düzenli olarak iç denetimler yapın

Analitik ve stratejik düşünme, kişilerarası iletişim ve liderlik becerileri ile düzenleyici ve finansal bilgiler, risk yönetiminde en değerli becerilerdir.

Analitik düşünme

Risk yönetimi, farklı verilerin analizini içerir. Etkili bir risk yöneticisi, toplanan bilgilere dayanarak ve nicel ve nitel faktörleri dikkate alarak akıllıca kararlar alabilir.

Stratejik düşünme

Risk yöneticileri, şirketin stratejisi ve risk yönetiminin oynadığı rol hakkında kapsamlı bir bakış açısına sahip olmalıdır. Büyük resmi görmeden ve meslektaşlarının gözden kaçırmış olabileceği fırsatları belirlemeden optimum performans gösteremezler.

İnsanlar ve iletişim becerileri

Risk yönetiminin başarılı olması için çok işlevli işbirliği gereklidir. Risk yöneticisinin rolü, önemli paydaşların bu işbirliğini sağlaması ve geri bildirim almaktır.

Bireysel yönetim ve liderlik yetkinlikleri

Risk yöneticileri, zaman zaman kuruluş içinde risk yönetimi uygulamalarını hayata geçirmek zorunda kalırlar. Bu, insanları risk azaltma çabalarına bağlı kalmaya teşvik etmenin ve riskler hakkında dürüst bir tartışma ortamı yaratmanın yollarını bilmek anlamına gelir.

Mevzuat bilgisi

Herhangi bir risk yönetimi yöntemi büyük olasılıkla çeşitli düzenlemelerle kontrol edilecektir. Bu nedenle, risk yöneticileri yasal risk yönetimi gerekliliklerini ve bunları pratik hale getirme yollarını anlamalıdır.

Finansal bilgi

Risk yöneticilerinin riskleri neredeyse günlük olarak ölçmeleri beklenir. Ağ kesintilerinin maliyeti ve ekipman arızasından kaynaklanan para kaybı konusunda kapsamlı finansal uzmanlığa sahip olmadan bunu yapamazlar.

Sonuç olarak, bir dağcının güvenliği için iplere ve emniyet kemerlerine güvenmesi gibi, bir şirket de olası tuzakları aşmak için sağlam risk yönetimi stratejileri uygulamalıdır. Riski önlemek, azaltmak, paylaşmak, aktarmak veya korumak olsun, her iki yaklaşım da finansal, operasyonel ve itibar kayıplarını azaltmak için çok önemlidir. Bu bütünsel strateji, şirketlerin güvenlik açıklarını önceden ele alma ve dayanıklılık kazanma becerisine sahip olmalarını sağlayarak uzun vadeli başarı ve sürdürülebilirliği garanti edecektir.