Dünyada şu sıralar çok tartışılan bir konu risk yönetimi ve misyonu. Bir grup, risk yönetimini diğer yönetim disiplinlerinden birisi gibi görüyor, ayrı bir alan olarak tanımlıyor, risk yönetimi “riski yönetmektir” diyor. Bu şekilde işletmeye fayda sağlanır görüşündeler. Diğer bir grup, risk yönetimi riski yönetmek değil, “kurumsal amaç ve hedefleri yönetmektir” diyor. Esas amaç kurumsal başarıdır diyor. Risk yönetimini ayrı bir alan veya disiplin değil, yönetimin bir aracı olarak görüyorlar. Birinci grup, risk yönetimini dolaylı, diğer grup doğrudan bir katkı olarak tanımlıyor. Birinci gruba göre risk yönetimi başlı başına bir iş. Diğer gruba göre, risk yönetimi “standalone” bir iş değil, yönetsel diğer tüm faaliyetler, karar verme süreçleri, operasyonlar ve stratejilerin bir uzantısı, bir parçası. Bir sürü parçasından bir tanesi.
Ben bu tartışmada, ikinci gruba yakın bir yerde duruyorum. Risk yönetimi bana göre sadece “riski yönetmek için yapılmamalı”. Bana göre risk yönetimi, doğru yönetmek için gerekli bir araç ve metodlar bütünü. Risk yönetimine bu şekilde baktığınızda, uygulama felsefeniz ve metodolojiniz değişiyor.
Risk yönetimi, stratejik yönetim, operasyon, performans yönetimi, iç kontrol, inovasyon, iş geliştirme, mali süreçler, ERP’ ler ile entegre bir konu olmalı. Risk yönetimi görev tanımları içine girmeli. Şirketin rutin yönetim faaliyetlerinden bir tanesi olmalı. Yöneticilere şirket içinde iç denetçiler veya risk yönetimi departmanı tarafından zorlanan değil, yöneticilerin gönüllü olarak kullandıkları bir yönetim aracı olmalı. Görev ve performansın doğal bir uzantısı olmalı.
Örneğin, bir satış yöneticisi, 12 ayrı bölgeye bakıyor olsun. 12 bölgeden yıl sonu gerçekleştirilen satışlar sonucu %30 büyüme hedefini tutturmuş olsun. Şirkete para kazandırdı, hedefleri tutturdu, büyüme sağladı. Bu yönetici başarılıdır. İyi bir primi hak eder. Öte yandan aynı yöneticinin ve alt ekiplerinin, seyahat limitlerine uymadığını, seyahat beyannamelerini eksik verdiklerini, uçak ve otellerde son dakika alımları yaptıklarını, şirket içi iletişimde başarılı olmadıklarını, sahanın sesini planlama veya pazarlamaya iletmekte yetersiz olduklarını, yeni ürün geliştirmeye o sene için fazla veri aktarmadıklarını, satışları arttırdıkları için şirket içinde kendilerini ayrıcalıklı gördüklerini, bazı bölge müdürlerinin bölgelerinde müşterilere rüşvet verdiklerini, planlama yapmadan saha ziyareti yaptıklarını, rakipleri izlemek ve istihbarat için vakit harcamadıklarını, iş geliştirme amaçlı yemek faturalarını gerçekte yemek yememiş olsalar bile şirketten tahsil ettiklerini, bütçelerini aştıklarını, rekabet hukukuna aykırı anlaşmalar içinde olduklarını, üst yönetime yaptıkları satış raporlamalarında hatalar olduğunu söylesek. Bu başarı şimdi nasıl gözüküyor?
Pek çok riski yönetmekte yetersiz kaldıklarını açıkça görürüz.
Şimdi patronlar bu yönetici ve ekibini hedefi tutturdukları için tebrik edecek, ödüllendirecek, ancak ya iç kontrol ve risk yönetimi? Şirkette başarı pahasına bunlar baltalanmış olacak. Kurum içine bu mesaj verilecek. Bu risk yönetimi zafiyetleri dalga dalga diğer departmanlara yayılacak. Şirket kültürü bu şekilde olumsuz etkilenecek.
Şirketin risk yönetimi birimi, ellerinde satış süreçlerinin RKM’ leri, eylem planları, bu yönetici ve ekibinin peşinde koşacak. İç denetçiler sürekli bu olumsuz durumlar ile ilgili tespitler yapıp üst yönetime iletecek. Aksiyon planları havada uçuşacak. Sonuç: hep satışın kendisi kazanacak. Risk yönetimi kaybedecek. Satış ekibi, risk yönetimini gereksiz, bürokratik bir ayak bağı olarak görmeye devam edecek. Patron da büyüme ve satış KPI’ ından başkasını değerli bulmadığından, bu aksiyon planları hep satış süreçlerinin öncelik listesinde en alt sıralarda kendisine yer bulabilecek.
Oysa bu satış yöneticisi ve alt ekibinin porformans kriteri, satış hedeflerine ulaşmanın yanı sıra, iyi risk yönetimi ve iç kontrole uyum olsa, bu hedefleri yakalarken, kurumsal mekanizmalara en azından asgari düzeyde riayet edecek. Görev tanımı içine risk yönetimini de koysak, performans değerlendirme kriteri veya KPI olarak risk yönetimi hedefleri belirlemiş ve kendisi ile paylaşmış olsak, durum değişir mi? Örneğin prim dağılımında, hedefleri tutturma karşılığı %80, iç kontrol ve risk yönetimi başarısı için ise %20 alsa. Yıllık 100.000 TL primin, 20.000 TL’ sini risk yönetiminden alacak olsa aynı tututmu sergileyebilir mi?
Risk yönetimi yönetim performansının ve operasyonların vazgeçilmez bir unsuru haline dönüşmeden, ki bu ancak zamanla olacaktır, verim sağlamaz. Bir kalite prosedürü gibi dokümantasyon seviyesinde kalır.
Risk yönetimi, etkili yönetimde kullanılan bir teknik olduğunda, başarı gelecektir. Yukarıdaki örnekte satış yöneticisi, kendi süreçlerinde risk yönetimini içselleştirirse, belki de %30 değil, %35’ lik bir büyüme sağlayacaktı. Belki de kaçan fırsatların arkasında, risk yönetimi var. Bunu operasyon birimlerine iyi anlatmak gerekiyor. Bence risk yönetimi veya iç kontrol sorumluluklarını bu alanda uzman departmanlara vererek hata yapıyoruz.
Farklı yaklaşımlar gerekiyor. Entregre yaklaşımlar. Risk yönetimi ile ilgili düşünce yapımızı değiştirmemiz gerekiyor.