Risk yönetimi günah keçisi mi?

Risk yönetimi alanında önemli çalışmalara imza atan değerli akademisyen Do. Dr. Coşkun Küçüközmen, Yeni Asır İnsan Kaynakları okurları için kaleme aldı:
Bankaların sermaye yeterlilik seviye ve koşullarının belirlenmesine yönelik Basel-II süreci ile hız kazanan risk yönetimi süreci son on yılda büyük gelişme göstermiştir. Ancak bu gelişmelere rağmen riskler de çeşitlenerek artmış ve neticede kürsel kriz karşısında risk yönetimi adeta günah keçisi haline gelmiştir.
Kurumun bakış açısı
Ancak işin bilinmesi gerek tarafı maalesef dikkatlerden kaçmıştır. Risk yönetimi profesyonelce yapılması ve yine aynı şekilde denetlenmesi gereken bir süreçtir. Risk yönetimi durağan değil dinamiktir ve riskli her durumu yeni gelişmeler ışığında tekrar tekrar analiz etmek gereklidir. Diğer taraftan bu iş için gerekli olan teknolojik donanım ve nitelikli insan kaynağı ciddi bir maliyet unsuru olmaktadır.
Risk yönetimi sürecini belli bir standarda bağlamak kolay değildir. Böyle bir girişim özellikle bilimsel açıdan ihtimal hesabını düzenlemeye çalışmak gibi beyhude bir çabaya benzetilebilir. Örneğin matematik deterministik (ispata dayalı, belli) kurallar üzerine kuruluyken istatistik ise tamamen stokastik (ihtimallere, olasılıklara dayalı) kurallar ve varsayımlar üzerine kuruludur.
Dünya kamuoyunda ISO31000 olarak bilinen Risk Yönetim Standardı belgesinde "risk yönetimi gittikçe artan önemde bir iş fonksiyonu olup paydaşlar, riskleri hakkında her geçen gün daha çok endişelenmektedirler" ifadesi yer almaktadır. Yine aynı belgeye dayalı olarak bu çerçevede yapılan değerlendirmede ise "risk, stratejik kararların arkasında, organizasyondaki belirsizliğin bir sebebi ya da bir organizasyonun aktivitelerinin içine yerleşmiş olabilir. Risk yönetimine karşı kurum genelinde uygulanan bakış açısı kurumun karşılaşabileceği her tip riskin her süreç, aktivite, paydaş, ürün ve servisler üzerindeki potansiyel etkilerini dikkate almalarını sağlar.
Hedef tanımlaması
Kapsamlı bir yaklaşım ile yapılan uygulama bir kurumun 'üst risk' (riskin iyi yönü) den faydalanmasıyla sonuçlanacaktır" ifadeleri yer almaktadır. Bu ifadeler kısaca şunu söylemektedir: Risk kolay görünmez ve kolayca fark edilemez, bir yerlerde gizlenmiştir, birbirini tetikleyebilir, kısa sürede zincirleme reaksiyon bir anda sizi batma noktasına getirebilir. Yani, bakış açınız önemlidir.
Halen etkileri devam eden küresel finansal kriz, risk yönetiminin önemini bir kez daha ön plana çıkarmıştır. Bu çerçevede ISO 31000 'Risk Yönetimi Kuralları ve Rehberi' de dahil olmak üzere yeni risk yönetimi standartları yayınlamıştır. Bu çalışmalar Kurumsal Risk Yönetimi (KRY) uygulamasına da yapısal bir bakış açısı getirmektedir. Riskin ve risk yönetiminin birçok tanımı vardır. ISO Rehber 73'te ortaya konulan risk tanımında 'belirsizliklerin hedeflerin üzerindeki etkisi 'şeklinde ifade edilmektedir. Bu tanımın uygulamasını desteklemek için Rehber 73 aynı zamanda bu etkinin pozitif, negatif veya beklenenden sapma olabileceğini; riskin genellikle olaylar, durumdaki değişimler veya sonuçlar tarafından betimlendiğini belirtmiştir. Söz konusu standartların yer aldığı belge yapılan bu tanımda riski hedeflerle ilişkilendirmiştir. Son derece yerinde bir yaklaşımla "bu yüzden riskin tanımı ancak şirketin hedefleri detaylı ve tamamen tanımlandığında kolaylıkla uygulanabilir" ifadesine yer verilmiştir. Hedefler tamamen tanımlandığında bile, bu hedefler ve temel varsayımların risk yönetim süreci dahilinde test edilmesi gerekmektedir.
Getirilen yenilikler
Basel-II'nin getirdiği en önemli yenilik bankaların sermaye yeterlik hesabına operasyonel riski de dahil etmeleri zorunluluğu olmuştur. Basel Komitesi tarafından bu risk için her ne kadar standart/basit türde sermayeye esas teşkil edebilecek yöntemler önerilmiş olsa da, bu konu son derece karmaşık ve anlaşılması güç unsurlar içerdiği aşikardır. Gerek yeterli verinin olmaması, gerekse hesabında uygulanacak yöntemlerin karmaşıklığı ve güçlüğü nedeniyle operasyonel riskler maalesef bugüne kadar yeterince ele alınmamıştır. Operasyonel risk sınıfına giren temel riskler insan kaynaklı riskler (dolandırıcılık, zimmete para geçirme, bilerek zarar verme gibi), teknoloji kaynaklı riskler (sistem çökmesi, virüs, bugging vb.) ve doğal afetler (deprem, sel, hatta yangın ve terörist saldırılar da bu sınıfta yer alıyor.