Saha çalışmalarımızda risk yönetimine şirketlerin çoğu zaman yanlış yaklaştığını görüyoruz. Bir şirketi çoğu zaman tek bir büyük olay yıkıp geçmez. Zamanında fark edilmeyen küçük sorunlardır şirketleri zor durumda bırakan durumlar. Tahsilatların gecikmesi, borçların yavaş yavaş artması, önemli bilgileri sadece birkaç kişinin kendi elinde bulundurması, çalışanların sorunları dile getirmekten kaçınması günlük koşuşturmalar içerisinde gözden kaçan risk birikim alanlarıdır. Bu işaretler üst üste biriktiğinde, sonradan “bu kadarını beklemiyorduk” denilen krizin zemini çoktan oluşmuştur.
Risk yönetimi, bu işaretleri erkenden görmeye, kararları sağlam bilgiye dayandırmaya ve sorumluluğu doğru kişilere vermeye yarar. İyi kurulan risk yönetimi şirketin hangi tehlikelere açık olduğunu gösterir ve daha güvenli karar almasını sağlar.
Aile şirketlerinde risk yönetimi ise daha geniş bir bakış gerektirir. Kurucunun konumu, aile bireylerinin görevleri, şirket kaynaklarının kullanımı, sahiplik düzeni, halefiyet ve aile içindeki güç dengeleri şirketin devamlılığını doğrudan etkileyebilir.
Bu yazıda risk yönetiminin aşamalarını, şirketlerde izlenmesi gereken temel riskleri ve aile şirketlerinde uygulanabilir bir risk yönetimi sisteminin nasıl kurulacağını ele alacağım.
Risk Yönetimi Nedir ve Şirkete Ne Kazandırır?
Risk yönetimi, şirketin işleyişini ve hedeflerini etkileyebilecek belirsizlikleri belirleme, önem sırasına koyma, uygun önlemleri alma ve sonuçları izleme düzenidir. Şirketin hangi riskleri taşıyacağını bilerek karar vermesini, kayıpları sınırlamasını, kaynaklarını doğru yönlendirmesini ve fırsatları daha bilinçli değerlendirmesini sağlar.
Şunu söyleyerek başlamalıyım. En büyük risklerden biri, bir riskin birikmeye başladığını öngörememek ve “Aman canım, ne olacakmış ki?” düşüncesiyle ilk işaretleri önemsememektir. Bu düşüncenin oluşturduğu sorunları sık görüyoruz.
Risk henüz gerçekleşmemiş bir ihtimaldir. Sorun, bu ihtimalin gerçekleşerek şirketi olumsuz etkilemeye başlamasıdır. Kriz ise gerçekleşen sorunun şirketin olağan karar ve çalışma düzenini zorlayacak ölçüde büyümesidir. Sağlıklı risk yönetimi, önemli belirsizlikleri sorun veya kriz hâline gelmeden önce görünür kılar.
Bir şirket bütün risklerden kaçınarak yaşayamaz. Yeni yatırım yapmak, kredi kullanmak, yeni bir pazara girmek, ürün geliştirmek ve yetki devretmek her zaman belirli riskler taşır. Bu noktada hüner, hangi riskin şirketin hedefleri açısından kabul edilebilir olduğunu ayırt etmektir. Aksi durumda ya risk endişesinden dolayı girişim ve gelişim gerçekleşmez ya da girişilen önemli işlerde oluşan büyük riskler şirkete çok büyük zararlar verir.
Şirketin hedeflerine ulaşmak için üstlenmeye hazır olduğu risk düzeyine risk iştahı denir. Kabul edilen riskin aşmaması gereken sınır ise risk toleransıdır. Bu sınırlar belirlenmediğinde yöneticilerden biri çok ihtiyatlı davranırken diğeri şirketin taşıyamayacağı kararlar alabilir.
Kurumsal risk yönetimi, riskleri yalnızca bölüm bölüm izlemek yerine şirketin stratejisi, yatırımları, bütçesi, performansı, yönetim kurulu gündemi ve raporlama sistemi içinde birlikte ele alır. COSO ERM, risk yönetimini stratejinin belirlenmesi ve performansın yönetilmesiyle bütünleştirir. ISO 31000 de risk yönetiminin yönetişim, planlama, yönetim, raporlama, değerler ve kurum kültürüyle bütünleşmesini öngörür.
Risk Yönetimi Aşamaları Nelerdir?
Risk yönetimi, şirketin büyüklüğüne göre farklı ayrıntı düzeylerinde kurulabilir. Buna rağmen temel işleyiş dört yalın aşamada toplanabilir.
- Riskleri belirleme. Şirketin hedeflerini, işleyişini ve devamlılığını tehdit edebilecek durumlar somut biçimde ortaya konur.
- Riskleri değerlendirme. Her riskin gerçekleşme ihtimali ve doğuracağı zarar birlikte ele alınarak önem sırası belirlenir.
- Önlem alma. Öncelikli risklerin nasıl azaltılacağı, kim tarafından yönetileceği ve hangi durumda müdahale edileceği netleştirilir.
- İzleme ve gözden geçirme. Alınan önlemlerin işe yarayıp yaramadığı takip edilir. Değişen şartlara ve edinilen tecrübeye göre düzen güncellenir.
Risk yönetiminin işlemesi için her önemli riskin bir sahibi bulunmalıdır. Bir risk görüşülürken yalnızca alınacak önlem değil, süreci kimin liderliğinde yürüteceği de açıkça belirlenmelidir. Bu kişi gelişmeleri takip etmekten, ilgili kişileri bir araya getirmekten, önlemlerin uygulanmasını sağlamaktan ve gerekli durumlarda konuyu daha üst karar organına taşımaktan sorumludur; riski tek başına ortadan kaldırmakla yükümlü değildir.
Bununla beraber bu düzen sözlü takiple yürütülmemelidir. Bir aşamadan sonra şirketin önemli riskleri yazılı bir risk envanterinde toplanmalı, her risk için gerçekleşme ihtimalinin oluşacağu durumlar, muhtemel etkisi, alınacak önlemler, sorumlu kişi, izleme göstergeleri ve gözden geçirme tarihi kaydedilmelidir. Risk envanteri, yeni yatırımlar, finansal gelişmeler, personel değişiklikleri ve şirketin içinde bulunduğu şartlar doğrultusunda düzenli olarak güncellenmelidir.
Önlem alma aşamasında riskten kaçınma, riski azaltma, riski paylaşma veya kabul etme yollarından biri seçilebilir. Seçim, riskin büyüklüğü kadar alınacak önlemin maliyetine, şirketin risk iştahına ve ilgili riskten sorumlu yöneticinin değerlendirmesine de bağlıdır.
Şirketlerde Hangi Riskler Yönetilmelidir?
Her şirketin risk yapısı faaliyet alanına, büyüklüğüne, borçluluğuna, müşteri dağılımına ve yönetim biçimine göre değişir. Buna rağmen şirketlerde karşılaşılan temel risk alanları büyük ölçüde ortaktır.
| Risk alanı | Şirkette nasıl görünür | Erken uyarı işareti |
|---|---|---|
| Stratejik risk | Yanlış yatırım, pazar veya büyüme kararı | Satış büyürken kârlılığın ve nakdin zayıflaması |
| Finansal risk | Nakit, borç, döviz, faiz ve tahsilat sorunu | Alacak vadelerinin uzaması, borç yükünün artması |
| Operasyonel risk | Süreç, kalite, kapasite ve teslimat sorunları | Tekrarlanan hatalar, iadeler ve gecikmeler |
| Pazar ve müşteri riski | Müşteri kaybı, fiyat baskısı ve yoğunlaşma | Cironun büyük bölümünün birkaç müşteriye bağlı olması |
| İnsan ve kilit kişi riski | Kritik bilgi ve ilişkilerin birkaç kişide kalması | Önemli çalışan ayrıldığında işin aksaması |
| Teknoloji ve siber risk | Sistem kesintisi, veri kaybı ve yetkisiz erişim | Yedeklerin sınanmaması, erişim yetkilerinin kontrol edilmemesi |
| Hukuk, uyum ve itibar riski | Sözleşme, mevzuat, etik ve itibar sorunları | Tekrarlanan şikâyetler ve çözülemeyen uyuşmazlıklar |
| Tedarik ve iş sürekliliği riski | Malzeme, enerji, lojistik ve üretim kesintisi | Tek tedarikçiye veya tek tesise bağımlılık |
Bu alanları birbiriyle ilişkili olarak da görmek gerekli. Bir siber saldırı operasyonu durdurabilir, mali kayıp yaratabilir, hukuki sorumluluk doğurabilir ve şirketin itibarını zedeleyebilir. Bir kilit çalışanın ayrılması müşteri kaybına, üretim sorununa ve bilgi güvenliği açığına dönüşebilir.
Bu nedenle şirketin risk envanteri hazır listelerden kopyalanmamalıdır. Riskler şirketin hedeflerinden, çalışma biçiminden ve zayıf noktalarından çıkarılmalıdır. Öncelik, şirketin devamlılığını veya önemli hedeflerini gerçekten etkileyebilecek risklere verilmelidir.
Aile Şirketlerinde Riskler Neden Geç Fark Edilir ve Büyür?
Aile şirketlerinde risklerin büyümesinin temel nedeni, risklerin konuşulmasını, ölçülmesini ve sorumlularının belirlenmesini engelleyen kişiye bağlı yönetim düzenidir. Bu nedenle esasen kurumsallaşma, başlıbaşına bir risk yönetim biçimi, saymakla bitmeyecek pek çok olası soruna önlemdir.
Kurucunun bütün önemli kararları tek başına aldığı bir şirket ilk dönemlerde hızlı çalışır. Fakat şirket büyüdükçe, bu yönetimi bir alışkanlık haline getirmek, bu hızın bedelini ortaya çıkarır. Müşteriler, bankalar, tedarikçiler, çalışanlar ve kritik bilgiler tek kişide toplanır. Kurucu olmadığında kararlar yavaşlar, insanlar sorumluluk almaktan çekinir ve şirketin gerçek durumu tam olarak görülemez.
Aile bireylerinin şirketteki konumu da bazı risklerin açıkça konuşulmasını zorlaştırabilir. Bir aile üyesinin performans sorunu sıradan bir yöneticinin performansı gibi ele alınamaz. Profesyoneller konuyu dile getirdiklerinde aile ilişkilerine zarar vermekten veya kendi konumlarını kaybetmekten çekinebilir. Sorun devam ederken raporlar yumuşatılır, sorumluluk belirsiz kalır.
Şirket parası ile aile parasının birbirine karışması, ortak cari hesapları, kefaletler, temettü beklentileri ve aile üyelerine sağlanan imkânlar mali riskleri büyütür. Hisse oranları, oy hakları ve ortaklıktan çıkış yolları belirgin değilse yönetim riski zamanla mülkiyet sorununa dönüşebilir. Bu alanın ayrıntıları aile şirketlerinde hisse devri konusu içinde ayrıca ele alınmalıdır.
Kurucunun ani vefatı, ağır hastalığı veya görev yapamaz hale gelmesi de risk yönetiminin zorunlu konularındandır. Böyle bir durumda şirketi geçici olarak kimin yöneteceği, imza ve banka yetkilerinin nasıl kullanılacağı, çalışanlara ve müşterilere kimin güven vereceği önceden belirlenmelidir. Halefiyet planlamasında acil durum senaryoları hazırlanmadığında aile yas tutarken şirket aynı anda bir karar boşluğuna düşebilir.
Aile şirketinin büyüklüğü arttıkça kişisel güvenin yanına ölçüm, raporlama, denetim ve hesap verme düzeni eklenmelidir. Güven kıymetlidir. Güvenin sistemle korunması ise şirketi kişilere bağımlı olmaktan çıkarır.
Risk Yönetimi Departmanı Ne Zaman Kurulmalıdır?
Risk yönetimi dünyada yerleşmiş bir yönetim disiplini olsa da sahadaki şirketlerin önemli bir bölümünde bu adla yürütülen düzenli bir çalışma bulunmuyor. Geçmişte hizmet verdiğim, ailelerini tanıdığım veya yönetim düzenlerini yakından bildiğim birçok şirkette riskler konuşuluyordu. Fakat bütün risklerin aynı masada toplandığı, önceliklendirildiği ve düzenli olarak izlendiği bir sistem kurulmuyordu.
Bundan yaklaşık yirmi yıl kadar önce, Türkiye’nin en büyük 500 sanayi kuruluşu arasına girmiş bir aile şirketinde düzenli yönetim kurulu toplantıları yapılıyordu. Buna rağmen şirketin bütün risklerini ele alan kapsamlı bir çalışma yapıldığını hatırlamıyorum. Şirketi büyüten kurucunun disiplini, ısrarı ve sert karar gücü aynı zamanda önemli bir kilit kişi riski oluşturuyordu. Kurucu bu riski kabul etmiyor, kendi kararlarını sorgulatmaya yanaşmıyordu. Şirket sonraki yıllarda önemli ölçüde küçüldü. Bu küçülmeyi tek bir nedene bağlamak doğru olmaz. Yine de şirketi büyüten özelliklerin zaman içinde aynı şirketi kırılgan hale getirebildiğini gördük.
Bu örnek pek istisna sayılmaz. Satış, üretim, tahsilat, sevkiyat ve personel sorunlarının her gün kapıya dayandığına şahit olursunuz. Henüz gerçekleşmemiş bir ihtimalinin ise kolayca ertelendiğini görürsünüz. Üstelik ciddi bir risk çalışması yalnızca dışarıdan gelecek tehlikeleri ortaya çıkarmakla kalmaz. Şirketin kişilere bağımlılığını, yanlış yatırım kararlarını, kontrolsüz borçlanmasını, aile içindeki gerilimleri ve yönetimin sorgulamak istemediği alışkanlıkları da görünür hale getirir.
Halka açık büyük şirketlerde ve düzenlemeye tabi sektörlerde riskin erken saptanması komiteleri, risk raporları, iç kontrol sistemleri ve uzman birimler bulunur. Ne yazık ki çoğu şirkette bunlar mevzuatın gerektirdiği bir formalite olarak görülüyor.
Her şirkette ayrı bir risk yönetimi departmanı kurulması gerekmiyor. Bunun için şirketin karmaşıklığı, taşıdığı risklerin büyüklüğü ve böyle bir birimi sürekli olarak finanse edebilecek maddi gücü birlikte değerlendirilmelidir. Ayrı bir departmanın maliyeti, şirketin toplam risk maruziyeti ve önleyebileceği muhtemel kayıplar karşısında anlamlı olmalıdır.
Tek şirketli, tek tesisli ve sınırlı yönetim kadrosuna sahip bir işletmede risk departmanı gereksiz bir yük oluşturabilir. Bu düzeyde yılda bir kez kapsamlı risk toplantısı yapılması, önemli risklerin yönetim toplantılarında gözden geçirilmesi ve her riskin mevcut yöneticilerden birine bağlanması yeterli bir başlangıçtır. Riskle ilgili görevler küçük yapılarda mevcut yönetim görevleriyle birleştirilebilir. Şirket büyüdükçe bunların uzman rollere ayrılması mümkündür. Uluslararası İç Denetçiler Enstitüsünün (IIA) Üç Hat Modeli, riskin yönetilmesinde birinci ve ikinci hat rollerinin şirketin yapısına göre birleştirilebileceğini veya ayrıştırılabileceğini, ikinci hat görevlerinin gerektiğinde uzmanlara verilebileceğini belirtir. Bu nedenle küçük yapılarda riskle ilgili görevler mevcut yönetim rolleri içinde yürütülebilir, ihtiyaç ve karmaşıklık arttıkça uzman rollere ayrılabilir.
Birden fazla tesise, iş koluna veya ülkeye yayılan şirketlerde risklerin yalnızca yöneticilerin kişisel dikkatiyle izlenmesi zorlaşır. Borçluluk, yatırımlar, mevzuat, teknoloji, siber güvenlik, tedarik ve insan kaynağı riskleri birbirini etkilemeye başlar. Bu aşamada finans, strateji veya yönetim ofisi içinde bir risk sorumlusu görevlendirilebilir. Şirketin ihtiyacına göre bu görev zamanla bir yönetici ve bir analistten oluşan küçük bir birime dönüştürülebilir.
Grup yapısına ulaşan, büyük yatırımlar yapan, yüksek borç taşıyan, halka açık olan veya tek bir olay sonucunda faaliyetleri ciddi biçimde durabilecek şirketlerde ayrı bir risk yönetimi departmanı kurulmalıdır. Bu departman riskleri diğer yöneticilerden devralmaz. Finansal risk CFO’nun, üretim riski ilgili yöneticinin, bilgi güvenliği riski teknoloji yönetiminin sorumluluğunda kalır. Risk departmanı ortak yöntemi kurar, bilgileri toplar, yöneticileri sorgular, alınan önlemleri takip eder ve sonuçları yönetim kuruluna taşır.
Onlarca şirketten oluşan ve birbirinden farklı sektörlerde faaliyet gösteren holdinglerde yalnızca küçük bir departman da yetersiz kalabilir. Bu ölçekte holding yönetim kuruluna bağlı çalışan, operasyon şirketlerinden bağımsız hareket edebilen ayrı bir risk yönetimi yapısı kurulması gerekebilir. Grup yeterince büyükse bu yapı ayrı bir şirket olarak örgütlenebilir. Yüzlerce yöneticinin, milyarlarca Dolarlık yatırımın ve birbirine bağlı risklerin bulunduğu bir grupta böyle bir yapılanma lüks sayılmamalıdır.
Yine de en büyük risklerden biri, bu sistemler dahiliyle görünür hale getirilen riskin gözardı edilmesi, umursanmamasıdır.
Aile Şirketlerinde Risk Yönetimi Sistemi Nasıl Kurulur?
Bir risk yönetimi sistemi çalışmasında, önce şirketin devamlılığını ve temel hedeflerini etkileyebilecek sınırlı sayıdaki kritik risk ele alınır. Sistem işledikçe kapsam genişletilir.
Risk yönetimi, aile şirketlerinde kurumsallaşma sürecindeki rol, yetki, raporlama, iç kontrol ve şirket yönetişimi düzeniyle birlikte kurulmalıdır.
Riskleri Görünür Hale Getirmek
İlk iş, şirketin karşı karşıya olduğu riskleri açık cümlelerle dile getirmektir. Geçmiş kayıplar, geciken tahsilatlar, müşteri şikâyetleri, üretim hataları, bütçe sapmaları, çalışan ayrılıkları, hukuki uyuşmazlıklar ve daha önce son anda önlenen olaylar önemli bilgi kaynaklarıdır.
Risk ifadesi belirsiz bırakılmamalıdır. “Müşteri riski var” demek yeterli değildir. “En büyük üç müşteriden birinin kaybedilmesi halinde nakit akışımız ve üretim kapasitemiz ciddi ölçüde etkilenecektir” gibi sebebi ve sonucu gösteren bir cümle kurulmalıdır.
Her risk kaydında etkilenen hedef, riskin sebebi, gerçekleşme ihtimali, muhtemel etkisi, mevcut önlemler, risk sahibi, yapılacak iş, tamamlanma tarihi ve izlenecek gösterge yer almalıdır.
Saha notu
Şirketlerde sık gördüğümüz “fırça kültürü”, daha doğru ifadeyle kötü haberi cezalandıran yönetim dili, risklerin görünmesini engeller. Patronun her olumsuzlukta sesini yükseltmesi, sorunu getiren kişiyi küçük düşürmesi veya önce suçlu araması çalışanları susmaya alıştırır.
Bir süre sonra çalışanlar sorunu erkenden haber vermek yerine saklar, erteler veya daha hafif gösterir. Şirketin tepesine ulaşan bilgiler iyi haberlere doğru süzülür. Risk ortadan kalkmaz. Yönetimin görüş alanından çıkar.
Yönetici, kötü haberi getiren kişiyle kötü habere sebep olan kişiyi birbirinden ayırmalıdır. Sorunu erkenden haber veren çalışan korunmalı, doğru davranış gösterdiği kendisine açıkça söylenmelidir. Hata, ihmal ve kötü niyet daha sonra ayrı biçimde değerlendirilir.
Şeffaflık da bu aşamada kıymetlidir. Şeffaflık önemli bilginin doğru kişiye, zamanında ve karar alınabilecek açıklıkta ulaşmasını sağlar. Kurumsal yönetim ilkeleri içinde yer alan şeffaflık, hesap verebilirlik ve sorumluluk anlayışı risklerin saklanmasını zorlaştırır.
Sorumluluk ve Karar Düzenini Kurmak
Her önemli riskin bir sahibi bulunmalıdır. Risk sahibi, riski etkileyebilecek kararları alma, önlemleri uygulatma ve gerektiğinde konuyu bir üst makama taşıma yetkisine sahip kişidir.
| Yapı | Risk yönetimindeki temel görevi |
|---|---|
| Ortaklar kurulu | Yönetim kurulunu doğru seçmek, aileden yönetim kuruluna girecek kişilerin iyi yetişmesini sağlamak ve temel sahiplik kararlarını almak |
| Yönetim kurulu | Şirketin önemli risklerini gözetmek, risk sınırlarını belirlemek ve icra yönetimini denetlemek |
| İcra yönetimi | Genel Müdür/CEO, İcra Kurulu ve C-level yöneticiler aracılığıyla risk yönetimi sistemini işletmek, kaynak ayırmak ve düzeltici kararları uygulamak |
| Birim yöneticileri | Kendi süreçlerindeki riskleri belirlemek, kontrolleri işletmek, gelişmeleri izlemek ve üst makama raporlamak |
| İç denetim | Risk yönetimi, iç kontrol ve yönetişim düzeninin sağlıklı çalışıp çalışmadığını bağımsız biçimde değerlendirmek |
Bu görev ayrımında unvandan çok kişinin karar yetkisi, sorumluluk alanı ve hesap verdiği makam esas alınmalıdır.
İç kontrol, yönetim kurulunun gözetimi altında icra yönetimi ve birim yöneticileri tarafından her gün yürütülen yönetim vazifesidir. Ödeme onayları, yetki sınırları, mutabakatlar, stok kontrolleri, erişim yetkileri, sözleşme onayları ve kalite kontrolleri gibi pek çok fonksiyon bu düzenin parçalarıdır.
İç denetim ise kurulan sistemin yeterli ve işler olup olmadığını bağımsız biçimde değerlendirir. OECD yönetim kuruluna stratejik yönlendirme ve yönetimi gözetme sorumluluğu verir. IIA’nın Üç Hat Modeli de yönetimin risk ve kontrol sorumluluğu ile iç denetimin bağımsız güvence görevini birbirinden ayırır.
Bu görev ayrımının şirketin tepesinde nasıl kurulacağı, yönetim kurulunun görevleri içinde ayrıca ayrıntılandırılmalıdır.
İzlemek, Raporlamak ve Müdahale Etmek
Risk kaydına alınan bir konuda her kritik risk için değişimi gösterecek birkaç erken uyarı işareti belirlenmelidir. Tahsilat süresinin uzaması, müşteri yoğunlaşmasının artması, stok devir hızının düşmesi, çalışan kaybı, kalite hataları, sistem kesintileri ve bütçe sapmaları bu göstergelere örnektir.
Risk raporu yönetim kurulunu ayrıntıya boğmamalıdır. Raporda neyin değiştiği, şirket üzerindeki etkisi, belirlenen sınırın aşılıp aşılmadığı, alınan önlemlerin sonucu ve hangi kararın beklendiği açıkça görülmelidir.
Risklerin önemli bölümü mali sonuç doğurur. Bu nedenle risk raporlaması ile finansal raporlama sistemi birlikte çalışmalıdır. Nakit akışı, borçluluk, döviz pozisyonu, tahsilat, stok, kârlılık, teminatlar ve bütçe sapmaları görünür olmadan finansal riskler sağlıklı biçimde yönetilemez. Finansal raporlama riski gösterir, risk yönetimi ise bu bilgi karşısında hangi kararın alınacağını belirler.
Kritik riskler şirketin yapısına göre periyodik toplantılarda ele alınmalıdır. Alınan kararın sorumlusu ve tamamlanma tarihi kayda geçirilmeli; bir sonraki toplantıda riskin yeni durumu, önceki kararın uygulanıp uygulanmadığı incelenmelidir.
Sahadan basit bir örnek verelim. Kurucunun bütün banka ilişkilerini, büyük müşterileri ve yatırım kararlarını kendisinde topladığı bir şirkette risk yalnızca kurucunun bir gün şirkette bulunamaması değildir. Karar, bilgi, imza, itibar ve müşteri ilişkileri aynı kişide yoğunlaşmıştır. Bu risk için ikinci imza düzeni, yetki matrisi, müşteri ilişkilerinin yöneticilere paylaştırılması, önemli kararların kayıt altına alınması, düzenli yönetim ve finans raporları ile geçici liderlik planı hazırlanabilir. Böylece kurucunun oluşturduğu güç, şirketin kalıcı sistemine aktarılır.
Risk Yönetiminde En Sık Yapılan Hatalar
Risk yönetimi çoğu şirkette sistemin karmaşıklığından çok, görevlerin belirsizliği ve yönetim alışkanlıkları yüzünden aksar. En sık karşılaştığımız hatalar şunlardır.
- Risk yönetimini yalnızca finans, sigorta, hukuk veya iş güvenliği konusu olarak görmek
- Uzun bir risk listesi hazırlayıp her risk için yetkili bir sorumlu ve tamamlanma tarihi belirlememek
- Bütün riskleri ortadan kaldırmaya çalışmak ve şirketin risk iştahını tanımlamamak
- İç kontrolü ayrı bir bölümün işi saymak veya iç denetimin yöneticilerin yerine kontrol yapmasını beklemek
- Kurucuyu şirketin bütün risklerinin doğal sahibi olarak bırakmak
- Kötü haberi getiren kişiyi cezalandırarak risklerin saklandığı bir yönetim kültürü oluşturmak
- Aile içindeki hassas konuları risk kaydının dışında tutmak. Ortaklık, temettü, aile bireylerinin şirkette çalışması, temsil, hisse devri ve kuşak geçişi karmaşık hale geldiğinde bu konular olgun bir aile anayasası çalışması içinde kurala bağlanmalıdır.
- Yönetim kuruluna, net kararlara bağlanmayan, uzun ve ayrıntılı risk raporları sunmak
Risk yönetiminin kalitesi denince kritik risklerin ne kadar erken görüldüğü, doğru kişiye ulaşıp ulaşmadığı ve alınan kararların uygulanıp uygulanmadığı belirleyicidir.
Sağlam bir risk yönetimi düzeni şirketin sürprizler karşısında hazırlıksız yakalanmasını engellemeye büyük yardımcıdır; karar kalitesini yükseltir ve yönetimin sorunları büyümeden ele almasını sağlar.
Risk Yönetimi Hakkında Sık Sorulan Sorular
Risk yönetiminin ilk adımı nedir?
Risk yönetiminin ilk adımı, risklerin şirketin her alanında ve her zaman doğabileceğini kabul etmektir. Ardından şirketin hedefleri, kritik faaliyetleri ve devamlılık açısından vazgeçilmez kaynakları belirlenir. Hangi hedefin ve kaynağın korunacağı bilinmeden sağlıklı bir risk listesi hazırlanamaz. Bu çerçeve kurulduktan sonra hedefleri etkileyebilecek riskler ortaya çıkarılır.
ISO 31000 risk yönetimi nedir?
ISO 31000, risk yönetimine ilişkin ilkeleri, çerçeveyi ve süreci açıklayan uluslararası bir standarttır. Kuruluşların risk yönetimini yönetişim, strateji, planlama, karar alma ve raporlama süreçlerine yerleştirmesine rehberlik eder. Her büyüklükte ve faaliyet alanında kuruluşa uyarlanabilir. Belgelendirme amacıyla hazırlanmış bir yönetim sistemi standardı değildir.
Risk yönetimi stratejileri nelerdir?
Temel risk yönetimi stratejileri riskten kaçınmak, riski azaltmak, riski sigorta veya sözleşmelerle paylaşmak ve belirlenen sınırlar içinde kabul etmektir. Hangi yöntemin seçileceği riskin gerçekleşme ihtimaline, muhtemel etkisine, alınacak önlemin maliyetine ve şirketin risk taşıma kapasitesine göre belirlenir.
Kurumsal risk yönetimi nedir?
Kurumsal risk yönetimi, şirketin stratejik, finansal, operasyonel, hukuki, insan kaynağına ilişkin ve ortaklık yapısından doğan risklerini birlikte ele alan yönetim düzenidir. Riskleri stratejiye, bütçeye, yatırımlara, performansa, raporlamaya ve yönetim kurulu kararlarına bağlar. Böylece riskler birbirinden kopuk biçimde değil, şirketin bütünü içinde yönetilir.
Aile şirketlerinin karşılaştığı en büyük risk nedir?
Aile şirketlerinin karşılaştığı en büyük risk, patronun “bize bir şey olmaz” düşüncesiyle hareket etmesi ve kurumsallaşmayı ertelemesidir. Şirket uzun süre güçlü bir kurucunun tecrübesi, ilişkileri ve kişisel kontrolüyle ayakta kalabilir. Bu durum, sistem eksikliğini görünmez hale getirir. Yetkiler, karar düzeni, finansal raporlama, halefiyet ve aile kuralları zamanında kurulmadığında küçük sorunlar büyüyerek şirketin devamlılığını tehdit eder.
Aile şirketlerinde risk yönetimi nasıl yapılır?
Aile şirketlerinde kurumsallaşma, risk yönetiminin temelidir. Yetki ve sorumlulukların yazılı olması, düzenli finansal raporlama, çalışanların kötü haberi saklamadığı açık iletişim, işleyen bir yönetim kurulu, aile kuralları ve halefiyet planı riskleri görünür ve yönetilebilir hale getirir. Aile şirketlerinde kurumsallaşma, şirketi kişilere bağımlı işleyişten düzenli, ölçülebilir ve denetlenebilir bir yapıya taşır.
Aile anayasası risk yönetiminin parçası mıdır?
Aile anayasası, aileden, mülkiyetten ve kuşak geçişinden doğan risklerin yönetilmesine katkı sağlar. Aile bireylerinin şirketteki rolleri, işe giriş koşulları, bilgi alma düzeni, temettü, temsil, hisse devri ve halefiyet gibi konuları açıklığa kavuşturur. Aile anayasası, bu alanlardaki belirsizlikleri azaltır. Operasyonel ve finansal riskler ayrıca şirketin yönetim sistemi içinde ele alınır.
Risk yönetimi ekibi kimlerden oluşur?
Risk yönetimi ekibinin yapısı şirketin büyüklüğüne, sektörüne ve taşıdığı risklerin niteliğine göre değişir. Küçük şirketlerde şirket sahibi, genel müdür ve birim sorumluları yeterli olabilir. Büyüyen şirketlerde CEO veya genel müdür, icra kurulu, C-level yöneticiler ve ilgili birim yöneticileri süreci birlikte yürütür. Daha büyük yapılarda risk yöneticisi veya risk komitesi koordinasyon sağlayabilir. Yönetim kurulu sistemi gözetir, iç denetim ise işleyiş hakkında bağımsız güvence verir.
Küçük şirketlerde risk yönetimi nasıl başlatılır?
Küçük bir şirkette risk yönetimine, şirketi durdurabilecek veya ciddi mali kayıp yaratabilecek beş ila on riskin belirlenmesiyle başlanabilir. Her risk için bir sorumlu, alınacak önlem ve gözden geçirme tarihi yazılır. Riskler aylık yönetim toplantısında kısa biçimde ele alınır. Başlangıç için ayrı bir risk birimi veya kapsamlı bir yazılım gerekmez.
Risk yönetimi ne sıklıkla gözden geçirilmelidir?
Risk yönetiminin gözden geçirilme sıklığı şirketin büyüklüğüne, sektörüne, risklerin değişim hızına ve muhtemel etkisine göre belirlenir. Küçük şirketlerde kritik riskler mümkün olduğunca kısa sürelerde yönetim toplantılarında ele alınabilir. Daha büyük ve hareketli yapılarda bazı riskler sürekli, bazıları aylık veya üç aylık izlenir. Risk envanteri en az yılda bir kez ve önemli değişikliklerden sonra bütünüyle gözden geçirilmelidir.
Risk yönetimi ile kriz yönetimi arasındaki fark nedir?
Risk yönetimi, muhtemel tehlikeleri gerçekleşmeden önce belirleyerek önlem almaya ve şirketi hazırlamaya odaklanır. Kriz yönetimi ise ciddi bir olay gerçekleştikten sonra zararı sınırlamak, karar düzenini korumak ve şirketi olağan işleyişine döndürmek için yürütülür. Sağlıklı risk yönetimi kriz ihtimalini ve yaşanabilecek krizin etkisini azaltır.
Tunç Vidinli
Tunç Vidinli, aile şirketlerinde kurumsallaşma, aile anayasası, nesiller arası sürdürülebilirlik ve profesyonel yönetim sistemleri üzerine çalışan bir danışman ve yazardır. Veliaht Akademi’nin Kurucusu ve Genel Müdürü olarak, aile şirketlerinin yönetim yapısını, aile içi karar mekanizmalarını ve gelecek kuşaklara aktarılacak kurumsal kültürünü güçlendirmeye odaklanır. Yazılarında saha deneyimini; yönetim, liderlik, sistemleşme ve aile ilişkileri başlıklarında uygulanabilir, ölçülü ve uzun vadeli bir bakış açısıyla ele alır.
