Ilay_34
New member
Risk Yönetimi Hangi Departmana Bağlı Olmalı? Şirketlerde Risk Yönetiminin Gerçek Yeri ve Sorumlulukları
Bir şirkette risk yönetiminin hangi departmana bağlı olması gerektiği konusu, ilk bakışta organizasyon şemasında yapılacak basit bir tercihmış gibi görünebilir. Ancak işin içine girdiğinizde meselenin yalnızca bir departmanın adından ibaret olmadığını fark ediyorsunuz. Asıl soru, şirketin karşılaşabileceği tehlikeleri kimin belirleyeceği, bu tehlikelere karşı kimin önlem alacağı ve işler ters gittiğinde kimin hesap vereceğidir.
İş hayatına dair gözlemlerimde dikkatimi çeken önemli noktalardan biri, bazı kurumların risk yönetimini gerçekten karar alma süreçlerinin bir parçası olarak görmesi, bazılarının ise bunu rapor hazırlamak ve prosedürleri tamamlamakla sınırlı tutmasıdır. Özellikle işler yolundayken risk yönetiminin önemi kolayca göz ardı edilebiliyor. Fakat beklenmedik bir mali kayıp, veri güvenliği ihlali, tedarik zinciri sorunu veya mevzuata aykırılık ortaya çıktığında, daha önce konuşulmayan sorumluluklar bir anda gündemin merkezine yerleşiyor.
Bence risk yönetimiyle ilgili en büyük yanılgı, bu işin yalnızca finans departmanının ya da iç denetimin sorumluluğunda olduğunu düşünmek. Risk yönetiminin bağımsız bir koordinasyon işlevine ihtiyacı var; ancak riskleri günlük faaliyetlerinde ortaya çıkaran ve bunları yönetmek için karar alan birimler de sorumluluk üstlenmeli. Konuyu biraz daha ayrıntılı inceleyelim.
1. Risk Yönetimi Hangi Departmana Bağlıdır?
Risk yönetiminin bağlı olduğu departman, şirketin faaliyet alanına, büyüklüğüne, yasal yükümlülüklerine ve kurumsal yönetim yapısına göre değişir. Her kuruluş için geçerli tek bir organizasyon modeli bulunmaz.
Genel olarak risk yönetimi aşağıdaki birimlerle ilişkilendirilebilir:
- Risk yönetimi departmanı: Kurumsal risklerin belirlenmesini, değerlendirilmesini, izlenmesini ve raporlanmasını koordine eder.
- Finans departmanı: Kur, faiz, likidite, nakit akışı, kredi ve bütçe risklerini yönetir.
- İç denetim departmanı: Kontrollerin ve risk yönetimi süreçlerinin yeterliliğini, etkinliğini ve kurallara uygunluğunu bağımsız biçimde değerlendirir.
- Hukuk ve uyum departmanı: Mevzuat, sözleşmeler, etik ilkeler ve düzenleyici yükümlülüklerle ilgili risklere odaklanır.
- Bilgi teknolojileri ve bilgi güvenliği birimleri: Siber güvenlik, veri kaybı, sistem kesintileri ve teknolojik altyapı risklerini ele alır.
- İnsan kaynakları departmanı: İş gücü planlaması, çalışan güvenliği, yetenek kaybı, iş sürekliliği ve kurum kültürüyle ilgili risklere katkıda bulunur.
- Operasyon departmanları: Üretim, kalite, tedarik zinciri, lojistik ve hizmet sunumuyla ilgili günlük riskleri yönetir.
Burada önemli bir ayrım var: Bir departmanın belirli riskleri yönetmesi, kurumsal risk yönetiminin tamamının o departmana ait olduğu anlamına gelmez.
Örneğin finans departmanı nakit akışını etkileyen riskleri yönetebilir. Ancak şirketin itibarını zedeleyebilecek bir müşteri şikâyeti, üretim hattındaki güvenlik açığı veya kritik bir tedarikçinin faaliyetlerini durdurması yalnızca finans departmanının çözebileceği sorunlar değildir.
Bu nedenle risk yönetiminin doğru konumlandırılması, yalnızca kime bağlı olduğuna değil, şirket genelinde ne kadar yetkiye ve iş birliği kapasitesine sahip olduğuna göre değerlendirilmelidir.
2. Risk Yönetimi Neden Üst Yönetime Yakın Olmalıdır?
Kurumsal risk yönetiminin önemli işlevlerinden biri, yöneticilerin kararlarını yalnızca beklenen kazanç üzerinden değil, olası kayıplar ve belirsizlikler üzerinden de değerlendirmesini sağlamaktır. Bu görev, risk yönetiminin karar alma mekanizmalarına erişebilmesini gerektirir.
COSO'nun Kurumsal Risk Yönetimi çerçevesi, risklerin strateji oluşturma ve performansla bütünleştirilmesi gerektiğini vurgular. Bu yaklaşımda risk, yalnızca meydana gelmesi muhtemel olumsuz olaylardan ibaret değildir; kurumun hedeflerine ulaşmasını etkileyebilecek belirsizliklerle de ilgilidir.
Bu bakış açısı, risk yönetiminin neden yalnızca operasyonel düzeyde bırakılmaması gerektiğini açıklıyor.
Örneğin bir şirket yeni bir ülkede yatırım yapmayı planlasın. Finans departmanı yatırımın maliyetini ve beklenen getirisini hesaplayabilir. Hukuk departmanı yerel düzenlemeleri inceleyebilir. Operasyon ekibi lojistik koşullarını değerlendirebilir. İnsan kaynakları ise nitelikli çalışan bulma konusunda yaşanabilecek sorunları belirleyebilir.
Ancak bütün bu bilgilerin şirketin genel stratejisi açısından bir araya getirilmesi gerekir. Yatırımın beklenen getirisi yüksek olsa bile siyasi belirsizlik, döviz dalgalanmaları, tedarik sorunları veya yasal engeller toplam riski kabul edilemez bir seviyeye çıkarabilir.
Risk yönetimi bu noktada üst yönetime anlamlı bir karar desteği sunmalıdır.
Bununla birlikte üst yönetime yakın olmak, risk yönetiminin her karara müdahale etmesi veya şirketin bütün faaliyetlerini yavaşlatması anlamına gelmemelidir. İyi bir risk yönetimi, yalnızca tehlikeleri sıralayan değil, risklerin hangi koşullarda kabul edilebileceğini ve hangi önlemlerin uygulanabileceğini de gösteren bir yapıdır.
3. Risk Yönetimi Finans Departmanına mı Bağlanmalı?
Risk yönetiminin finans departmanına bağlanması, özellikle küçük ve orta ölçekli işletmelerde anlaşılabilir bir tercihtir. Finansal risklerin ölçülebilir olması, bütçe ve nakit akışı verilerinin finans ekibinde bulunması ve ayrı bir risk yönetimi ekibinin maliyet yaratması bu tercihi destekleyebilir.
Ancak bu modelin ciddi sınırlamaları da vardır.
İlk sorun, risk kavramının finansal risklerle eş tutulmasıdır. Oysa işletmelerin karşılaşabileceği riskler finansal kayıplardan çok daha geniştir. İş sağlığı ve güvenliği, çevresel etkiler, müşteri memnuniyeti, bilgi güvenliği, çalışan bağlılığı ve itibar gibi alanlar da kurumsal risk yönetiminin parçasıdır.
İkinci sorun ise çıkar çatışması ihtimalidir. Finans departmanı, belirli bir yatırımın kârlılığını savunuyor olabilir. Aynı yatırımın risklerini bağımsız biçimde değerlendirmekle de görevlendirildiğinde, kararın ticari faydasına öncelik verme baskısı hissedebilir. Bu her finans yöneticisinin taraflı davranacağı anlamına gelmez; ancak organizasyon yapısının böyle bir riski azaltacak şekilde tasarlanması gerekir.
Üçüncü sorun, diğer departmanların sorumluluktan uzaklaşmasıdır. Risk yönetimi finans departmanına bırakıldığında üretim, satış veya bilgi teknolojileri ekipleri kendi faaliyetlerindeki risklerin başka bir birim tarafından çözüleceğini düşünebilir.
Bana göre finans departmanının risk yönetimine önemli katkı sağlaması gerekir, fakat bütün kurumsal risklerin tek sahibi olması doğru bir yaklaşım değildir. Şirket küçükse finans bünyesinde bir risk sorumlusu bulunabilir. Bununla birlikte önemli riskler düzenli olarak üst yönetime raporlanmalı ve her operasyon biriminin kendi risklerinden sorumlu olduğu açıkça belirtilmelidir.
4. Risk Yönetimi İç Denetime mi Bağlı Olmalı?
Bu konuda en sık karşılaşılan karışıklıklardan biri, risk yönetimi ile iç denetimin aynı görev olduğu düşüncesidir. İki işlev birbiriyle yakından ilişkilidir, ancak amaçları farklıdır.
Risk yönetimi, risklerin belirlenmesine, değerlendirilmesine, önceliklendirilmesine ve uygun yanıtların geliştirilmesine yardımcı olur. İç denetim ise kurumun yönetişim, risk yönetimi ve kontrol süreçlerinin ne kadar etkili çalıştığını bağımsız biçimde değerlendirir.
Uluslararası İç Denetçiler Enstitüsünün (IIA) Üç Hat Modeli, yönetim sorumluluklarıyla bağımsız güvence işlevi arasındaki ayrımın önemini ortaya koyar. Modelin temel yaklaşımına göre yönetim riskleri ele alır; iç denetim ise yönetim ve gözetim organlarına bağımsız güvence sağlar.
Bir şirkette risk yönetiminin hangi departmana bağlı olması gerektiği konusu, ilk bakışta organizasyon şemasında yapılacak basit bir tercihmış gibi görünebilir. Ancak işin içine girdiğinizde meselenin yalnızca bir departmanın adından ibaret olmadığını fark ediyorsunuz. Asıl soru, şirketin karşılaşabileceği tehlikeleri kimin belirleyeceği, bu tehlikelere karşı kimin önlem alacağı ve işler ters gittiğinde kimin hesap vereceğidir.
İş hayatına dair gözlemlerimde dikkatimi çeken önemli noktalardan biri, bazı kurumların risk yönetimini gerçekten karar alma süreçlerinin bir parçası olarak görmesi, bazılarının ise bunu rapor hazırlamak ve prosedürleri tamamlamakla sınırlı tutmasıdır. Özellikle işler yolundayken risk yönetiminin önemi kolayca göz ardı edilebiliyor. Fakat beklenmedik bir mali kayıp, veri güvenliği ihlali, tedarik zinciri sorunu veya mevzuata aykırılık ortaya çıktığında, daha önce konuşulmayan sorumluluklar bir anda gündemin merkezine yerleşiyor.
Bence risk yönetimiyle ilgili en büyük yanılgı, bu işin yalnızca finans departmanının ya da iç denetimin sorumluluğunda olduğunu düşünmek. Risk yönetiminin bağımsız bir koordinasyon işlevine ihtiyacı var; ancak riskleri günlük faaliyetlerinde ortaya çıkaran ve bunları yönetmek için karar alan birimler de sorumluluk üstlenmeli. Konuyu biraz daha ayrıntılı inceleyelim.
1. Risk Yönetimi Hangi Departmana Bağlıdır?
Risk yönetiminin bağlı olduğu departman, şirketin faaliyet alanına, büyüklüğüne, yasal yükümlülüklerine ve kurumsal yönetim yapısına göre değişir. Her kuruluş için geçerli tek bir organizasyon modeli bulunmaz.
Genel olarak risk yönetimi aşağıdaki birimlerle ilişkilendirilebilir:
- Risk yönetimi departmanı: Kurumsal risklerin belirlenmesini, değerlendirilmesini, izlenmesini ve raporlanmasını koordine eder.
- Finans departmanı: Kur, faiz, likidite, nakit akışı, kredi ve bütçe risklerini yönetir.
- İç denetim departmanı: Kontrollerin ve risk yönetimi süreçlerinin yeterliliğini, etkinliğini ve kurallara uygunluğunu bağımsız biçimde değerlendirir.
- Hukuk ve uyum departmanı: Mevzuat, sözleşmeler, etik ilkeler ve düzenleyici yükümlülüklerle ilgili risklere odaklanır.
- Bilgi teknolojileri ve bilgi güvenliği birimleri: Siber güvenlik, veri kaybı, sistem kesintileri ve teknolojik altyapı risklerini ele alır.
- İnsan kaynakları departmanı: İş gücü planlaması, çalışan güvenliği, yetenek kaybı, iş sürekliliği ve kurum kültürüyle ilgili risklere katkıda bulunur.
- Operasyon departmanları: Üretim, kalite, tedarik zinciri, lojistik ve hizmet sunumuyla ilgili günlük riskleri yönetir.
Burada önemli bir ayrım var: Bir departmanın belirli riskleri yönetmesi, kurumsal risk yönetiminin tamamının o departmana ait olduğu anlamına gelmez.
Örneğin finans departmanı nakit akışını etkileyen riskleri yönetebilir. Ancak şirketin itibarını zedeleyebilecek bir müşteri şikâyeti, üretim hattındaki güvenlik açığı veya kritik bir tedarikçinin faaliyetlerini durdurması yalnızca finans departmanının çözebileceği sorunlar değildir.
Bu nedenle risk yönetiminin doğru konumlandırılması, yalnızca kime bağlı olduğuna değil, şirket genelinde ne kadar yetkiye ve iş birliği kapasitesine sahip olduğuna göre değerlendirilmelidir.
2. Risk Yönetimi Neden Üst Yönetime Yakın Olmalıdır?
Kurumsal risk yönetiminin önemli işlevlerinden biri, yöneticilerin kararlarını yalnızca beklenen kazanç üzerinden değil, olası kayıplar ve belirsizlikler üzerinden de değerlendirmesini sağlamaktır. Bu görev, risk yönetiminin karar alma mekanizmalarına erişebilmesini gerektirir.
COSO'nun Kurumsal Risk Yönetimi çerçevesi, risklerin strateji oluşturma ve performansla bütünleştirilmesi gerektiğini vurgular. Bu yaklaşımda risk, yalnızca meydana gelmesi muhtemel olumsuz olaylardan ibaret değildir; kurumun hedeflerine ulaşmasını etkileyebilecek belirsizliklerle de ilgilidir.
Bu bakış açısı, risk yönetiminin neden yalnızca operasyonel düzeyde bırakılmaması gerektiğini açıklıyor.
Örneğin bir şirket yeni bir ülkede yatırım yapmayı planlasın. Finans departmanı yatırımın maliyetini ve beklenen getirisini hesaplayabilir. Hukuk departmanı yerel düzenlemeleri inceleyebilir. Operasyon ekibi lojistik koşullarını değerlendirebilir. İnsan kaynakları ise nitelikli çalışan bulma konusunda yaşanabilecek sorunları belirleyebilir.
Ancak bütün bu bilgilerin şirketin genel stratejisi açısından bir araya getirilmesi gerekir. Yatırımın beklenen getirisi yüksek olsa bile siyasi belirsizlik, döviz dalgalanmaları, tedarik sorunları veya yasal engeller toplam riski kabul edilemez bir seviyeye çıkarabilir.
Risk yönetimi bu noktada üst yönetime anlamlı bir karar desteği sunmalıdır.
Bununla birlikte üst yönetime yakın olmak, risk yönetiminin her karara müdahale etmesi veya şirketin bütün faaliyetlerini yavaşlatması anlamına gelmemelidir. İyi bir risk yönetimi, yalnızca tehlikeleri sıralayan değil, risklerin hangi koşullarda kabul edilebileceğini ve hangi önlemlerin uygulanabileceğini de gösteren bir yapıdır.
3. Risk Yönetimi Finans Departmanına mı Bağlanmalı?
Risk yönetiminin finans departmanına bağlanması, özellikle küçük ve orta ölçekli işletmelerde anlaşılabilir bir tercihtir. Finansal risklerin ölçülebilir olması, bütçe ve nakit akışı verilerinin finans ekibinde bulunması ve ayrı bir risk yönetimi ekibinin maliyet yaratması bu tercihi destekleyebilir.
Ancak bu modelin ciddi sınırlamaları da vardır.
İlk sorun, risk kavramının finansal risklerle eş tutulmasıdır. Oysa işletmelerin karşılaşabileceği riskler finansal kayıplardan çok daha geniştir. İş sağlığı ve güvenliği, çevresel etkiler, müşteri memnuniyeti, bilgi güvenliği, çalışan bağlılığı ve itibar gibi alanlar da kurumsal risk yönetiminin parçasıdır.
İkinci sorun ise çıkar çatışması ihtimalidir. Finans departmanı, belirli bir yatırımın kârlılığını savunuyor olabilir. Aynı yatırımın risklerini bağımsız biçimde değerlendirmekle de görevlendirildiğinde, kararın ticari faydasına öncelik verme baskısı hissedebilir. Bu her finans yöneticisinin taraflı davranacağı anlamına gelmez; ancak organizasyon yapısının böyle bir riski azaltacak şekilde tasarlanması gerekir.
Üçüncü sorun, diğer departmanların sorumluluktan uzaklaşmasıdır. Risk yönetimi finans departmanına bırakıldığında üretim, satış veya bilgi teknolojileri ekipleri kendi faaliyetlerindeki risklerin başka bir birim tarafından çözüleceğini düşünebilir.
Bana göre finans departmanının risk yönetimine önemli katkı sağlaması gerekir, fakat bütün kurumsal risklerin tek sahibi olması doğru bir yaklaşım değildir. Şirket küçükse finans bünyesinde bir risk sorumlusu bulunabilir. Bununla birlikte önemli riskler düzenli olarak üst yönetime raporlanmalı ve her operasyon biriminin kendi risklerinden sorumlu olduğu açıkça belirtilmelidir.
4. Risk Yönetimi İç Denetime mi Bağlı Olmalı?
Bu konuda en sık karşılaşılan karışıklıklardan biri, risk yönetimi ile iç denetimin aynı görev olduğu düşüncesidir. İki işlev birbiriyle yakından ilişkilidir, ancak amaçları farklıdır.
Risk yönetimi, risklerin belirlenmesine, değerlendirilmesine, önceliklendirilmesine ve uygun yanıtların geliştirilmesine yardımcı olur. İç denetim ise kurumun yönetişim, risk yönetimi ve kontrol süreçlerinin ne kadar etkili çalıştığını bağımsız biçimde değerlendirir.
Uluslararası İç Denetçiler Enstitüsünün (IIA) Üç Hat Modeli, yönetim sorumluluklarıyla bağımsız güvence işlevi arasındaki ayrımın önemini ortaya koyar. Modelin temel yaklaşımına göre yönetim riskleri ele alır; iç denetim ise yönetim ve gözetim organlarına bağımsız güvence sağlar.