Warren Buffet’ın meşhur bir sözü vardır; “Risk ne yaptığını bilmemekten kaynaklanır” der Buffet. Kısmen katıldığım bir söz. Ancak buna bir ekleme yapmak istiyorum. Bazen de “ne yaptığını çok iyi bilmek veya bildiğinden emin olmak” da risktir. Kutunun dışına çıkıp düşünememeyi veya işletme körlüğünü getirir. O sebeple ne yaptığını iyi bilmek önemlidir, yaptığını sorgulamak ise daha da önemlidir. Gelişim böyle sorgulamalar sonrasında ortaya çıkar.
Koronavirüs şüphesiz ki yaşamlarımızda pek çok şeyi değiştirdi. Bunlardan bir tanesi de risk kavramı ve riske bakış olacak gibi gözüküyor. Her ne kadar COSO gibi uluslararası standartlar riske daha güncel ve sağlıklı bir bakış ortaya koysa da, hem ülkemizde hem de yurt dışında risk kavramına iki yaygın ve temel bakış açısı var.
Birincisi, riskin gerçekleşme ihtimali olan olumsuz olaylar olarak yaygın kabulü, ikincisi de riskin tespiti, önceliklendirilmesi ve yönetimi için kullanılan standart metodolojiler. Risk yönetimi, ne kadar ileri, gelişmiş tespit ve hesaplama yöntemleri kullanılırsa kullanılsın, bu iki temel ekseninde dönüyor. İşte problem de tam burada başlıyor. Çünkü dünyada yaşanan değişim ve dönüşüm, bu iki temel bakış açısını da değişmeye zorluyor.
Geleneksel risk yönetiminde, fonksiyonlar, varlıklar ve kaynaklar üzerinde oluşan tehditler ve bunlara dair maruziyetler bize risk yönetiminde bir harita veriyordu. Bu haritaya bakarak yolumuzu bulmaya çalışıyorduk. Oysa 2008′den bu yana dünyada yaşanan ve yaşanmakta olan krizler, felaketler, dijital ve teknolojik devrimler ve afetler bize gösteriyor ki, bu haritalar riski yönetmede başarısız kalıyor. Bu temeller üzerine dayalı daha fazla eğitime, modele, yazılıma, kitaba değil, bu temelleri sarsan değişimleri ortaya koyacak, bu değişimle nasıl başa çıkılacağını gösterecek ve risk yönetiminin yeni haritalarını üretecek bilgilere ihtiyacımız var.
Şu an, en gelişmiş risk yönetimi süreçlerine sahip şirketler bile, Coronavirüs ya da sonraki felaketi öngöremiyorlar. Çünkü haritaları son derece eski, ilkel. VUCA dediğimiz o yeni düzen ile uyumlu değil. Düşünsenize, elinizde belki 50-60 sene öncenin yıpranmış, soluk bir haritası var ve siz yolunuzu bulmaya çalışıyorsunuz. Oysa bize VUCA döneminde sürekli güncellenen navigasyon cihazları ve yazılımları gerekiyor.
Peki o zaman uzatmadan söyleyelim, yeni dönemin risk yönetimi temelleri hangi kabuller üzerine inşa ediliyor. Ediliyor diyorum, çünkü özellikle Amerika ve Avrupa’da bu eski haritalar çöpe atılmaya başlandı.
Birincisi, risk yönetimi artık yönetimin temel bir fonksiyonu olarak görülüyor. Planlama, Organizasyon, Yürütme ve Kontrol’ün her aşamasında olan bir temel fonksiyon. Belki 5. fonksiyon. Şirketler, tedarik zincirleri veya CRM süreçlerine yaptıkları yatırımı, risk yönetimine de yapmak zorunda olduklarını biliyorlar.
İkincisi, risk yönetimi artık süreçler, varlıklar ve kaynaklardan çok strateji, inovasyon ve liderlik ile alakalı bir konu haline geliyor. İnovasyon hızı arttıkça, strateji üretme hızı artıyor, strateji geliştirme hızı arttıkça da bunu uygulama noktasında kurumsal ikna, hızlı adaptasyon, değişime olan direncin aşılması ve performansa yansıtılması gibi liderlik konuları ön plana çıkıyor. O halde risk yönetimi artık, geleceği doğru okuyarak; 1- inovasyon yapma-yapamama, 2- strateji üretme-üretememe, 3- hızlı uygulama yapma-yapamama ve esnek bir örgüt olup olamama üzerine kurulu bir mesleki disiplin oluyor.
Üçüncüsü, risk yöneticileri artık standart metodolojiler ile riski yöneten veya yönetilmesi için var olan ikinci savunma hattı unsurları olmaktan çıkıyor, sadece temelleri belirleyen, riski en makro seviyede iç ve dış riskler olarak veri üzerinden analiz ederek izleyen, eksikleri eş zamanlı geliştirmeye yönelik anlık katkılar sağlayan koordinasyon uzmanlıklarına dönüşüyor. Diğer bir ifade ile risk yönetimi, artık tamamen şirket içindeki liderlerin ve yöneticilerin, ki artık her yönetici bir lider olmak zorunda, sorumluluk alanı. Artık bir üretim müdürü veya bir CRM direktörü, görevinde başarılı olmak istiyorsa, bugünün risk yöneticileri kadar risk kavramını ve riski bu bahsettiğim ilk iki parametre çerçevesinde yönetmeyi bilecek. Örneğin rakipleriniz sizden önce bir ürün geliştirip inovasyon yapabilir ise, sizin pazar payınızdan çalabilir ise, bu pazarlama-ürün yönetimi açısından yönetilmesi gereken bir risk olacak. Günlük operasyondaki basit riskleri değil, bu riskleri öncelikli olarak yönetmeniz lider olarak göreviniz olacak. Ya da bir üretim müdürüsünüz. Rakiplerinizden çok önce yapay zeka ve IoT’den faydalanmamak, süreçlerinizi dijitale dönüştürmemek, sizin riski yönetemediğiniz anlamına gelecek.
Eskiden risklerin peşinden risk yönetimi, iç kontrol veya iç denetim uzmanları koşardı. Şimdi liderler koşacak. Daha doğrusu arkasından değil, yanında koşacaklar. Risklere yakın ve riskler ile yaşamayı öğrenecekler. Tabi bu örgütlerde ciddi bir kültürel ve yönetsel dönüşüm gerektiriyor. Dönüşenler, Coronavirüs ve ileride oluşabilecek pek çok benzeri dış risk ile başa çıkabilecek kurumsal örgütlere ve liderlere sahip olacak. Bu yeni yaklaşıma ben “risk liderliği” diyorum. Diğer bir ifade ile, risk yönetimi bana göre risk liderliğine dönüşecek. Bu konuda birkaç yazı daha paylaşmayı düşünüyorum.