Bengu
Yeni Üye
Risk İşleme Seçenekleri Nelerdir?
Risk yönetimi üzerine konuşurken benim en çok dikkatimi çeken nokta, insanların “risk işleme” kavramını çoğu zaman yalnızca riski ortadan kaldırmakla eş anlamlı görmesi. Oysa işin içine gerçekten girdiğinizde bunun böyle olmadığını görüyorsunuz. Bir işin, projenin veya yatırımın başında “Bu risk var, o zaman bunu tamamen yok edelim” demek kulağa güvenli geliyor; fakat gerçek hayatta çoğu risk ne tamamen ortadan kaldırılabiliyor ne de ortadan kaldırılması ekonomik olarak mantıklı oluyor.
Benim açımdan risk yönetiminin en sağlıklı tarafı da burada başlıyor: Amaç risksiz bir dünya yaratmak değil, hangi riskin hangi yöntemle ve hangi seviyeye kadar yönetileceğine bilinçli biçimde karar vermek.
NIST'in risk yönetimi yaklaşımında temel risk yanıtları kabul etme, kaçınma, azaltma, paylaşma ve transfer etme olarak sıralanıyor. COSO'nun kurumsal risk yönetimi yaklaşımı ise kabul etme, kaçınma, azaltma, paylaşma ve fırsat niteliğindeki riskler için “pursue” yani fırsatı takip etme yaklaşımını da kapsıyor. NIST CSRC+1
Bu seçenekleri yalnızca teorik başlıklar olarak değil, günlük iş hayatındaki karşılıklarıyla değerlendirmek gerektiğini düşünüyorum.
1. Riskten Kaçınma: “Bu İşi Hiç Yapmamak”
Riskten kaçınma, riski meydana getiren faaliyetten vazgeçmek anlamına gelir. Yeni bir pazara girmekten vazgeçmek, yüksek riskli bir ürünü piyasaya sürmemek veya güvenlik açısından kabul edilemez bir teknolojiyi kullanmamak buna örnek olabilir.
COSO'ya göre kaçınma, riski meydana getiren faaliyeti sonlandırmakla gerçekleştirilebilir. Örneğin bir şirket yüksek riskli gördüğü bir coğrafi pazara genişlememeyi seçebilir. hpmgroup.co
Bu seçenek ilk bakışta en güvenlisi gibi görünüyor. Fakat önemli bir dezavantajı var: Riskten kaçınırken fırsattan da vazgeçebilirsiniz.
Bir şirket siber saldırı ihtimali nedeniyle tamamen dijitalleşmekten vazgeçerse güvenlik riskini azaltabilir; fakat dijitalleşmenin sağlayacağı verimlilik, müşteri erişimi ve rekabet avantajını da kaybedebilir. Dolayısıyla “risk yoksa sorun yok” yaklaşımı her zaman doğru değil.
Burada kendimize şu soruyu sormak gerekiyor:
Bir riski ortadan kaldırmak için vazgeçtiğimiz fırsatın değeri, gerçekten riskin maliyetinden daha mı düşük?
Bence riskten kaçınma özellikle insan hayatı, ciddi güvenlik tehditleri veya hukuki açıdan kabul edilemez durumlar söz konusu olduğunda güçlü bir seçenektir. Ancak sırf belirsizlik var diye her belirsizlikten kaçmak, uzun vadede şirketleri aşırı muhafazakâr hale getirebilir.
2. Riski Azaltma: Olasılığı veya Etkiyi Düşürmek
Günlük hayatta en fazla karşılaştığımız yöntemlerden biri risk azaltmadır. Burada faaliyet tamamen bırakılmaz; riskin gerçekleşme ihtimali veya gerçekleştiğinde yaratacağı zarar azaltılmaya çalışılır.
Örneğin bir şirket:
- çalışanlara siber güvenlik eğitimi verebilir,
- çok faktörlü kimlik doğrulama kullanabilir,
- yedekleme sistemleri kurabilir,
- kalite kontrol süreçlerini artırabilir,
- kritik tedarikçiler için alternatif kaynaklar oluşturabilir,
- iş sürekliliği planları hazırlayabilir.
NIST de risk azaltmayı temel risk yanıtlarından biri olarak kabul ediyor ve risk yanıtlarının belirli sorumlular, etkinlik ölçütleri, zaman çizelgeleri ve izleme mekanizmalarıyla uygulanmasını vurguluyor. nvlpubs.nist.gov
Buradaki kritik nokta şu: Risk azaltmak, riski sıfırlamak değildir.
Örneğin güçlü bir siber güvenlik sistemi saldırı ihtimalini azaltabilir ama “artık saldırıya uğramayız” anlamına gelmez. Aynı şekilde iş sağlığı ve güvenliği eğitimi kazaları azaltabilir ama bütün kazaları imkânsız hale getirmez.
Bu nedenle “Kontrol koyduk, risk çözüldü” düşüncesi bana göre risk yönetiminin en tehlikeli yanılgılarından biridir.
Kontrolün gerçekten işe yarayıp yaramadığını ölçmek gerekiyor. Kaç olay yaşandı? Olayların maliyeti değişti mi? Kontrolün kendisi yeni bir risk oluşturdu mu? Harcanan kaynak elde edilen risk azalmasına değdi mi?
COSO yaklaşımı da seçilen risk yanıtının mutlaka maliyetler, riskin seviyesi ve kurumun risk iştahı açısından değerlendirilmesi gerektiğine dikkat çekiyor. COSO
3. Riski Transfer Etme: “Başkasına Devretmek” Gerçekten Mümkün mü?
Risk transferi, riskin finansal veya operasyonel sonuçlarının belirli bir bölümünün başka bir tarafa aktarılmasıdır.
Sigorta bunun en anlaşılır örneklerinden biridir. Bir işletme yangın riskini ortadan kaldırmaz; yangının meydana gelmesini de engellemez. Fakat belirli mali sonuçları sigorta şirketine aktarabilir.
Benzer şekilde bazı riskler sözleşmeler, hizmet sağlayıcılar veya uzman kuruluşlar aracılığıyla paylaşılabilir.
Burada önemli bir ayrım var: Riskin transfer edilmesi, riskin ortadan kalkması anlamına gelmez.
NIST'in yaklaşımı da paylaşma ve transferin risk üzerindeki potansiyel etkinin başka taraflara aktarılması veya dağıtılması yoluyla ele alınabileceğini belirtiyor. nvlpubs.nist.gov
Örneğin bir şirket BT altyapısının bir bölümünü dış hizmet sağlayıcıya devrettiğinde operasyonel yük azalabilir. Ancak bu kez hizmet sağlayıcının güvenilirliği, sözleşmenin yeterliliği, veri güvenliği ve üçüncü taraf bağımlılığı gibi yeni riskler ortaya çıkar.
Bu yüzden “Dışarıya verdik, risk artık bizim değil” demek oldukça hatalı bir yaklaşım.
Özellikle veri güvenliği gibi alanlarda dış kaynak kullanımı sorumluluğu tamamen ortadan kaldırmayabilir. Hatta tedarikçi riski ayrıca izlenmesi gereken yeni bir risk kategorisine dönüşebilir.
4. Riski Paylaşma: Tek Bir Tarafın Üzerinde Yoğunlaşmasını Önlemek
Risk paylaşımı transferle yakın ilişkilidir ancak birebir aynı değildir. Burada riskin tamamından kurtulmak yerine yükün birden fazla taraf arasında dağıtılması söz konusudur.
COSO, risk paylaşımına örnek olarak uzman hizmet sağlayıcılarla çalışma, sigorta ve hedging işlemleri gibi yöntemleri gösteriyor. hpmgroup.co
Tedarik zinciri bunun güzel bir örneğidir. Bir şirket kritik bir ürünü yalnızca tek bir tedarikçiden alıyorsa tedarikçi kaynaklı kesinti riski çok yüksektir. İki veya üç alternatif tedarikçiyle çalışmak maliyeti artırabilir ama tek noktaya bağımlılığı azaltabilir.
Burada da bir denge problemi var.
Fazla sayıda tedarikçi yönetmek operasyonel karmaşıklığı artırır. Az sayıda tedarikçiyle çalışmak ise bağımlılığı yükseltir.
Yani risk yönetiminde çoğu zaman “en güvenli seçenek” diye tek bir seçenek yoktur. Daha dengeli bir risk profili vardır.
5. Riski Kabul Etme: Hiçbir Şey Yapmamak mı?
Bence en fazla yanlış anlaşılan seçenek risk kabulüdür.
Risk kabul edildiğinde bu, yöneticilerin riskin farkında olmadığı anlamına gelmez. Tam tersine, bilinçli bir kabul söz konusuysa risk değerlendirilmiş, maliyet ve faydalar karşılaştırılmış ve mevcut risk seviyesinin kabul edilebilir olduğuna karar verilmiştir.
COSO, riskin kurumun risk iştahı içerisinde olması durumunda kabul seçeneğinin uygun olabileceğini belirtiyor. Ayrıca kabul edilen riskin arkasındaki varsayımların izlenmesi gerektiğini, koşullar değiştiğinde farklı bir yanıt gerekebileceğini vurguluyor. docs.wbcsd.org
Risk yönetimi üzerine konuşurken benim en çok dikkatimi çeken nokta, insanların “risk işleme” kavramını çoğu zaman yalnızca riski ortadan kaldırmakla eş anlamlı görmesi. Oysa işin içine gerçekten girdiğinizde bunun böyle olmadığını görüyorsunuz. Bir işin, projenin veya yatırımın başında “Bu risk var, o zaman bunu tamamen yok edelim” demek kulağa güvenli geliyor; fakat gerçek hayatta çoğu risk ne tamamen ortadan kaldırılabiliyor ne de ortadan kaldırılması ekonomik olarak mantıklı oluyor.
Benim açımdan risk yönetiminin en sağlıklı tarafı da burada başlıyor: Amaç risksiz bir dünya yaratmak değil, hangi riskin hangi yöntemle ve hangi seviyeye kadar yönetileceğine bilinçli biçimde karar vermek.
NIST'in risk yönetimi yaklaşımında temel risk yanıtları kabul etme, kaçınma, azaltma, paylaşma ve transfer etme olarak sıralanıyor. COSO'nun kurumsal risk yönetimi yaklaşımı ise kabul etme, kaçınma, azaltma, paylaşma ve fırsat niteliğindeki riskler için “pursue” yani fırsatı takip etme yaklaşımını da kapsıyor. NIST CSRC+1
Bu seçenekleri yalnızca teorik başlıklar olarak değil, günlük iş hayatındaki karşılıklarıyla değerlendirmek gerektiğini düşünüyorum.
1. Riskten Kaçınma: “Bu İşi Hiç Yapmamak”
Riskten kaçınma, riski meydana getiren faaliyetten vazgeçmek anlamına gelir. Yeni bir pazara girmekten vazgeçmek, yüksek riskli bir ürünü piyasaya sürmemek veya güvenlik açısından kabul edilemez bir teknolojiyi kullanmamak buna örnek olabilir.
COSO'ya göre kaçınma, riski meydana getiren faaliyeti sonlandırmakla gerçekleştirilebilir. Örneğin bir şirket yüksek riskli gördüğü bir coğrafi pazara genişlememeyi seçebilir. hpmgroup.co
Bu seçenek ilk bakışta en güvenlisi gibi görünüyor. Fakat önemli bir dezavantajı var: Riskten kaçınırken fırsattan da vazgeçebilirsiniz.
Bir şirket siber saldırı ihtimali nedeniyle tamamen dijitalleşmekten vazgeçerse güvenlik riskini azaltabilir; fakat dijitalleşmenin sağlayacağı verimlilik, müşteri erişimi ve rekabet avantajını da kaybedebilir. Dolayısıyla “risk yoksa sorun yok” yaklaşımı her zaman doğru değil.
Burada kendimize şu soruyu sormak gerekiyor:
Bir riski ortadan kaldırmak için vazgeçtiğimiz fırsatın değeri, gerçekten riskin maliyetinden daha mı düşük?
Bence riskten kaçınma özellikle insan hayatı, ciddi güvenlik tehditleri veya hukuki açıdan kabul edilemez durumlar söz konusu olduğunda güçlü bir seçenektir. Ancak sırf belirsizlik var diye her belirsizlikten kaçmak, uzun vadede şirketleri aşırı muhafazakâr hale getirebilir.
2. Riski Azaltma: Olasılığı veya Etkiyi Düşürmek
Günlük hayatta en fazla karşılaştığımız yöntemlerden biri risk azaltmadır. Burada faaliyet tamamen bırakılmaz; riskin gerçekleşme ihtimali veya gerçekleştiğinde yaratacağı zarar azaltılmaya çalışılır.
Örneğin bir şirket:
- çalışanlara siber güvenlik eğitimi verebilir,
- çok faktörlü kimlik doğrulama kullanabilir,
- yedekleme sistemleri kurabilir,
- kalite kontrol süreçlerini artırabilir,
- kritik tedarikçiler için alternatif kaynaklar oluşturabilir,
- iş sürekliliği planları hazırlayabilir.
NIST de risk azaltmayı temel risk yanıtlarından biri olarak kabul ediyor ve risk yanıtlarının belirli sorumlular, etkinlik ölçütleri, zaman çizelgeleri ve izleme mekanizmalarıyla uygulanmasını vurguluyor. nvlpubs.nist.gov
Buradaki kritik nokta şu: Risk azaltmak, riski sıfırlamak değildir.
Örneğin güçlü bir siber güvenlik sistemi saldırı ihtimalini azaltabilir ama “artık saldırıya uğramayız” anlamına gelmez. Aynı şekilde iş sağlığı ve güvenliği eğitimi kazaları azaltabilir ama bütün kazaları imkânsız hale getirmez.
Bu nedenle “Kontrol koyduk, risk çözüldü” düşüncesi bana göre risk yönetiminin en tehlikeli yanılgılarından biridir.
Kontrolün gerçekten işe yarayıp yaramadığını ölçmek gerekiyor. Kaç olay yaşandı? Olayların maliyeti değişti mi? Kontrolün kendisi yeni bir risk oluşturdu mu? Harcanan kaynak elde edilen risk azalmasına değdi mi?
COSO yaklaşımı da seçilen risk yanıtının mutlaka maliyetler, riskin seviyesi ve kurumun risk iştahı açısından değerlendirilmesi gerektiğine dikkat çekiyor. COSO
3. Riski Transfer Etme: “Başkasına Devretmek” Gerçekten Mümkün mü?
Risk transferi, riskin finansal veya operasyonel sonuçlarının belirli bir bölümünün başka bir tarafa aktarılmasıdır.
Sigorta bunun en anlaşılır örneklerinden biridir. Bir işletme yangın riskini ortadan kaldırmaz; yangının meydana gelmesini de engellemez. Fakat belirli mali sonuçları sigorta şirketine aktarabilir.
Benzer şekilde bazı riskler sözleşmeler, hizmet sağlayıcılar veya uzman kuruluşlar aracılığıyla paylaşılabilir.
Burada önemli bir ayrım var: Riskin transfer edilmesi, riskin ortadan kalkması anlamına gelmez.
NIST'in yaklaşımı da paylaşma ve transferin risk üzerindeki potansiyel etkinin başka taraflara aktarılması veya dağıtılması yoluyla ele alınabileceğini belirtiyor. nvlpubs.nist.gov
Örneğin bir şirket BT altyapısının bir bölümünü dış hizmet sağlayıcıya devrettiğinde operasyonel yük azalabilir. Ancak bu kez hizmet sağlayıcının güvenilirliği, sözleşmenin yeterliliği, veri güvenliği ve üçüncü taraf bağımlılığı gibi yeni riskler ortaya çıkar.
Bu yüzden “Dışarıya verdik, risk artık bizim değil” demek oldukça hatalı bir yaklaşım.
Özellikle veri güvenliği gibi alanlarda dış kaynak kullanımı sorumluluğu tamamen ortadan kaldırmayabilir. Hatta tedarikçi riski ayrıca izlenmesi gereken yeni bir risk kategorisine dönüşebilir.
4. Riski Paylaşma: Tek Bir Tarafın Üzerinde Yoğunlaşmasını Önlemek
Risk paylaşımı transferle yakın ilişkilidir ancak birebir aynı değildir. Burada riskin tamamından kurtulmak yerine yükün birden fazla taraf arasında dağıtılması söz konusudur.
COSO, risk paylaşımına örnek olarak uzman hizmet sağlayıcılarla çalışma, sigorta ve hedging işlemleri gibi yöntemleri gösteriyor. hpmgroup.co
Tedarik zinciri bunun güzel bir örneğidir. Bir şirket kritik bir ürünü yalnızca tek bir tedarikçiden alıyorsa tedarikçi kaynaklı kesinti riski çok yüksektir. İki veya üç alternatif tedarikçiyle çalışmak maliyeti artırabilir ama tek noktaya bağımlılığı azaltabilir.
Burada da bir denge problemi var.
Fazla sayıda tedarikçi yönetmek operasyonel karmaşıklığı artırır. Az sayıda tedarikçiyle çalışmak ise bağımlılığı yükseltir.
Yani risk yönetiminde çoğu zaman “en güvenli seçenek” diye tek bir seçenek yoktur. Daha dengeli bir risk profili vardır.
5. Riski Kabul Etme: Hiçbir Şey Yapmamak mı?
Bence en fazla yanlış anlaşılan seçenek risk kabulüdür.
Risk kabul edildiğinde bu, yöneticilerin riskin farkında olmadığı anlamına gelmez. Tam tersine, bilinçli bir kabul söz konusuysa risk değerlendirilmiş, maliyet ve faydalar karşılaştırılmış ve mevcut risk seviyesinin kabul edilebilir olduğuna karar verilmiştir.
COSO, riskin kurumun risk iştahı içerisinde olması durumunda kabul seçeneğinin uygun olabileceğini belirtiyor. Ayrıca kabul edilen riskin arkasındaki varsayımların izlenmesi gerektiğini, koşullar değiştiğinde farklı bir yanıt gerekebileceğini vurguluyor. docs.wbcsd.org