ISO 31000 Kurumsal Risk Yönetim Sistemi ve Uyum Rehberi

Kur, faiz ve likidite hareketleri; kritik tedarikçilerin devre dışı kalması; siber saldırılar; enerji kesintileri; mevzuat değişiklikleri ve itibar kayıpları aynı anda birden fazla iş birimini etkileyebilir. Bir departmanın kabul edilebilir gördüğü risk, şirketin nakit akışını, üretim kapasitesini veya yatırım hedeflerini tehdit eden bir kurumsal riske dönüşebilir.

ISO 31000:2018 Kurumsal Risk Yönetimi Kılavuzu, riskleri yalnızca gerçekleşme olasılıklarına göre sıralamak yerine, kurumun hedefleri ve karar mekanizmalarıyla ilişkilendiren sistematik bir yaklaşım sunar. Bu yaklaşımın amacı, risk kayıtlarını çoğaltmak değil; sermaye tahsisini, yönetim kararlarını, kontrol faaliyetlerini ve iş sürekliliğini ölçülebilir bir risk perspektifiyle desteklemektir.

ISO 31000, kuruluşların hedeflerini etkileyebilecek belirsizlikleri sistematik olarak yönetmeleri için hazırlanmış uluslararası risk yönetimi kılavuzudur. ISO tarafından yayımlanan ISO 31000:2018 Risk Management — Guidelines, risk yönetimini tek bir departmanın sorumluluğuna indirgemez; yönetişim, liderlik, strateji, operasyonlar ve karar alma süreçleriyle bütünleştirmeyi amaçlar.

Bu yaklaşımın temelinde riskin, hedefler üzerindeki belirsizliğin etkisi olarak ele alınması bulunur. Dolayısıyla risk yalnızca olumsuz sonuç ihtimali değildir. Belirsizlik, uygun şekilde değerlendirildiğinde bir fırsatın ortaya çıkmasına da neden olabilir. Yeni bir pazara giriş, üretim teknolojisinin değiştirilmesi veya tedarik zincirinin yeniden yapılandırılması hem fırsatlar hem de yönetilmesi gereken tehditler oluşturur.

ISO 31000:2018 standardının temel yapısı

ISO 31000 yaklaşımı üç temel bileşen üzerine kuruludur:

ISO 31000, her kuruluş için aynı risk matrisi, aynı eşik değerleri veya aynı prosedür setinin kullanılmasını zorunlu kılmaz. Yöntem; kuruluşun ölçeğine, faaliyetlerine, risk karmaşıklığına, karar yapısına ve yasal yükümlülüklerine göre tasarlanır. Bu esneklik, standardın farklı sektörlerde uygulanabilmesini sağlar.

ISO 31000 bir belgelendirme standardı mıdır?

Bununla birlikte kurumlar, risk yönetimi uygulamalarını ISO 31000 kılavuzuna göre değerlendirebilir; mevcut süreçlerinin güçlü ve zayıf yönlerini belirleyebilir ve bağımsız bir değerlendirme sonucunda uygunluk veya denetim raporu talep edebilir. Raporun adı, kapsamı, kriterleri ve sonuçları gerçekleştirilen çalışmaya uygun biçimde tanımlanmalıdır. Böyle bir rapor, ISO tarafından verilmiş bir sertifika anlamına gelmez.

Stratejik, finansal, operasyonel ve itibar riskleri

Kurumsal risk analizi metodolojisi, farklı risk türlerini ayrı ayrı incelemekle yetinmemeli; bunların birbirleri üzerindeki etkilerini de değerlendirmelidir.

• Stratejik riskler: Pazar payı kaybı, yanlış yatırım kararı, yeni pazarlara girişte başarısızlık, iş modelinin değişen koşullara uyum sağlayamaması ve rekabet avantajının zayıflaması.
• Finansal riskler: Kur ve faiz oynaklığı, nakit akışı yetersizliği, müşteri temerrütleri, kredi yoğunlaşması, sermaye maliyetinin artması ve finansmana erişimin daralması.
• Operasyonel riskler: Makine arızaları, üretim duruşları, insan hataları, kritik personel kaybı, tedarikçi kesintileri, kalite problemleri ve bilgi sistemlerindeki aksaklıklar.
• Uyum ve hukuki riskler: Mevzuat ihlalleri, sözleşme yükümlülüklerinin yerine getirilememesi, veri koruma ihlalleri ve düzenleyici yaptırımlar.
• İtibar riskleri: Ürün güvenliği sorunları, müşteri şikâyetleri, etik ihlaller, veri sızıntıları ve paydaş güveninin zedelenmesi.

Örneğin, tek bir kritik tedarikçinin üretimi durdurması ilk aşamada operasyonel bir risk gibi görünür. Ancak kesintinin uzaması teslimat performansını düşürebilir, sözleşme cezalarına neden olabilir, işletme sermayesi ihtiyacını artırabilir ve müşteri güvenini zayıflatabilir. Kurumsal risk yönetimi, bu zincirleme etkileri görünür hâle getirerek yönetimin yalnızca ilk olaya değil, toplam iş etkisine göre karar almasını sağlar.

ISO 31000 kapsamında etkili bir risk değerlendirmesi, riskleri bir tabloya yazmaktan ibaret değildir. Her riskin hangi hedefi etkilediği, hangi nedenlerden kaynaklandığı, mevcut kontrollerin ne ölçüde çalıştığı, kalan riskin kabul edilebilir olup olmadığı ve ek önlemlerin sorumluluğunun kimde bulunduğu açıklanmalıdır.

Uygulanacak kurumsal risk analizi metodolojisi, kararın niteliğine ve eldeki verinin güvenilirliğine göre seçilir. Nitel ve nicel yöntemler birbirinin alternatifi olmak zorunda değildir; çoğu kurumsal yapıda birbirlerini tamamlarlar.

Nitel risk analizi ve 5x5 olasılık-etki matrisi

Nitel risk analizi, özellikle çok sayıda riskin ortak kriterlerle karşılaştırılması ve yönetim önceliklerinin belirlenmesi için kullanılır. Yaygın yöntemlerden biri, olasılık ve etki boyutlarının beş seviyede puanlandığı 5x5 risk matrisidir.

Olasılık seviyeleri, kuruluşun faaliyet yapısına göre çok düşükten çok yükseğe; etki seviyeleri ise sınırlı sonuçlardan kritik iş sonuçlarına kadar tanımlanabilir. İki boyutun puanları birleştirilerek başlangıç risk seviyesi veya belirlenen metodolojiye göre risk skoru hesaplanır.

Örnek: Kritik bir üretim hattında yaşanabilecek ve yüksek olasılıkla meydana geleceği değerlendirilen bir kesinti, 4 × 5 = 20 puanla öncelikli risk olarak sınıflandırılabilir. Ancak puanın tek başına karar vermek için yeterli olduğu varsayılmamalıdır. Yasal yükümlülükler, insan sağlığına etkiler, kontrol zafiyetleri ve riskler arasındaki bağımlılıklar ayrıca ele alınmalıdır.

Nicel risk analizi ve finansal etki modellemeleri

Nicel risk analizi, belirsizliğin finansal veya operasyonel sonuçlarını sayısal veriler üzerinden değerlendirmeyi amaçlar. Özellikle büyük ölçekli üretim işletmeleri, holdingler, bankalar ve yüksek sermayeli yatırım projelerinde, kararın mali sonuçlarını anlamak için kullanılabilir.

• Beklenen kayıp: Olasılık dağılımı ve kayıp tutarı hakkında yeterli veri bulunduğunda, belirli bir olayın beklenen finansal etkisi hesaplanabilir.
• ALE (Annualized Loss Expectancy): Özellikle bilgi güvenliği risklerinde kullanılan yıllıklandırılmış kayıp beklentisi yaklaşımıdır.
• VaR (Value at Risk): Belirli bir zaman aralığı ve güven düzeyinde, uygun istatistiksel varsayımlar altında kayıp dağılımının belirli bir kantilini tahmin eder.
• Monte Carlo simülasyonu: Değişkenlerdeki belirsizliği çok sayıda senaryo üzerinden incelemek için kullanılabilir.
• Duyarlılık ve senaryo analizi: Bir veya birden fazla değişkenin değişmesi hâlinde finansal göstergelerin nasıl etkilendiğini ortaya koyar.

Risk iştahı, kuruluşun hedeflerine ulaşmak için üstlenmeye hazır olduğu riskin genel düzeyini ifade eder. Risk toleransı ise belirli hedefler veya performans göstergeleri bakımından kabul edilebilir sapma sınırlarının tanımlanmasına yardımcı olur. Bu kavramlar birbiriyle bağlantılıdır ancak aynı anlama gelmez.

Örneğin, bir üretim işletmesi stratejik büyüme amacıyla yeni bir pazara giriş riskini kabul edebilir. Buna karşılık çalışan güvenliğini tehlikeye atan, yasal bir yükümlülüğü ihlal eden veya kritik ürün güvenliği kontrollerini devre dışı bırakan durumlar aynı şekilde kabul edilemez.

Kurumsal risk yönetimi sisteminde bu yaklaşımın çalışabilmesi için aşağıdaki unsurlar tanımlanmalıdır:

• Yönetim kurulunun veya yetkilendirilmiş yönetim organının onayladığı risk iştahı ilkeleri.
• Finansal, operasyonel, stratejik ve uyum riskleri için uygun ölçütler ve tolerans sınırları.
• Risk limitlerinin aşılması hâlinde devreye girecek bildirim, eskalasyon ve karar mekanizmaları.
• Risk sahibinin, kontrol sorumlusunun ve karar yetkilisinin görevleri.
• Limitlerin ve risk iştahının hangi sıklıkla gözden geçirileceği.

ISO 31000 ile COSO ERM, kurumsal risk yönetimini destekleyen ve birbirini tamamlayabilen iki ayrı referans çerçevesidir. Aralarındaki tercih, yalnızca hangi yaklaşımın daha iyi olduğu üzerinden değil, kuruluşun yönetişim ihtiyaçları ve mevcut kontrol altyapısı üzerinden yapılmalıdır.

Halka açık şirketler, bankalar ve holdingler için entegre model

Birden fazla referans çerçevesinin kullanıldığı kuruluşlarda amaç, her çerçeve için ayrı risk kayıtları ve mükerrer raporlama sistemleri kurmak olmamalıdır. Entegre risk yönetim sistemi, ortak risk verisi ve net sorumluluklar üzerinden tasarlanabilir.

Kurumsal risk yönetiminin etkinliği, hazırlanan doküman sayısıyla değil; risklerin iş hedefleriyle ilişkilendirilmesi, kontrollerin çalışması ve yönetim kararlarının somut kanıtlara dayanmasıyla değerlendirilmelidir.

Vertacert ile yürütülecek çalışma, kuruluşun mevcut risk yönetimi altyapısının, seçilen değerlendirme kriterlerinin ve ihtiyaç duyulan raporlama çıktılarının netleştirilmesiyle başlar. Çalışmanın kapsamı, kuruluşun büyüklüğüne, faaliyet alanına, mevcut yönetim sistemlerine ve talep edilen güvence düzeyine göre belirlenir.

Rehberlik ve bağımsız değerlendirme görevleri aynı çalışma kapsamında planlanıyorsa, tarafsızlık ve bağımsızlık koşulları açıkça belirlenmelidir. Uygunluk denetimi, uygulanabilir kriterler ve objektif kanıtlar üzerinden yürütülmeli; danışmanlık faaliyetleriyle denetim faaliyetleri arasındaki sınırlar korunmalıdır.