Bir şirketin risk haritasında kırmızı alanların bulunması tek başına kötü bir işaret değildir. Asıl sorun, o alanlar aylarca kırmızı kalırken kimin ne yapacağının belli olmamasıdır.
Sahada sık gördüğüm tablo şu: Riskler toplantıda konuşuluyor, bir listeye yazılıyor ve bir sonraki toplantıda yeniden konuşuluyor. Arada alınan karar, görevlendirilen kişi ve tamamlanma tarihi görünmüyor.
Risk kaydı, yönetim kararına dönüşmediğinde şirketi korumaz.
“Takip ediyoruz” ne anlama geliyor?
Örneğin tek bir tedarikçiye bağımlılık yüksek risk olarak kaydedilmiş olsun. Yönetim bu durumu biliyor olabilir. Fakat alternatif tedarikçi araştırmasını kim yapacak? Numune ve kalite değerlendirmesi ne zaman bitecek? Stok seviyesi hangi noktada artırılacak?
Bu soruların yanıtı yoksa risk yalnızca tanımlanmıştır; yönetilmemiştir.
Aynı durum tahsilat gecikmeleri, kritik personel bağımlılığı, bilgi güvenliği açıkları ve mevzuat yükümlülükleri için de geçerlidir. Her riskin etkisi farklıdır, fakat yönetim ihtiyacı ortaktır: sorumlu, karar, termin ve kanıt.
Yönetimin önüne nasıl gelmeli?
İşe yarayan bir risk raporu, yöneticiyi uzun bir liste içinde bırakmaz. Öncelikli her risk için şu beş bilgiyi açıkça gösterir:
Ne olabilir?
Riskin somut tanımı.
Şirketi nasıl etkiler?
Finansal, operasyonel veya itibari sonuç.
Şu anda hangi kontrol var?
Uygulanan önlem ve bunun kanıtı.
Hangi karar gerekiyor?
Kaynak, yetki veya süreç değişikliği.
Kim, ne zamana kadar tamamlayacak?
Sorumlu ve izleme tarihi.
Bir riskin puanı düşürüldüyse bunun nedeni de gösterilmelidir. Yeni bir kontrol mü kuruldu, kontrol test edilip etkili mi bulundu, yoksa yalnızca değerlendirme mi değişti? Yönetim bu ayrımı görebilmelidir.
Kırmızı alanı kapatmak hedef değildir
Risk yönetiminin amacı tabloda daha fazla yeşil hücre görmek değildir. Amaç, şirketin hangi belirsizliği taşıdığını bilerek karar vermesidir.
Bazı riskler hemen ortadan kaldırılamaz. Yönetim bunları azaltmayı, devretmeyi veya belirli sınırlar içinde kabul etmeyi seçebilir. Önemli olan bu seçimin gerekçesinin, yetkilisinin ve izleme düzeninin açık olmasıdır.
Ay sonunda sorulacak soru basittir: “Geçen ay kırmızı olan risk için bugün hangi karar alındı ve uygulandığını hangi kanıtla görüyoruz?”
Bu soruya cevap verilemiyorsa risk haritasını yeniden renklendirmek çözüm değildir. Karar ve takip düzenini kurmak gerekir.
Risk haritası karar üretsin.
İyi bir risk haritası duvarda asılı duran bir tablo değil, yönetimin harekete geçmesini sağlayan bir araçtır.
— Figen Beyazağaç Gül
Uzman Denetmen