KURUMSAL RİSK YÖNETİMİ Prof. Dr. RAMAZAN AKTAŞ

1. KURUMSAL RİSK YÖNETİMİProf. Dr. RAMAZAN AKTAŞ

2. KURUMSAL RİSK YÖNETİMİ KURUMSAL YÖNETİM Kurumsal Yönetimin amacı, şirketin iş yapma şekilleri, hesap verebilme, sosyal sorumluluk, şeffaflık, yatırımcıların haklarının korunması, kurumsallaşma, kontrol, risk yönetimi gibi birçok yönetim kalitesi kriteri açısından en ideal ortamı elde etmesini sağlamaktır. Bu tanımlama şirketin ana sermayedarlarının, diğer ortakları ve yatırımcıları en az kendileri kadar hak sahibi olarak görmeleri sonucunu içermektedir. Prof. Dr. Ramazan Aktaş

3. KURUMSAL YÖNETİM İLKELERİ •Şeffaf ve etkin piyasaları teşvik etmek, kanunlara uygun olmak ve denetim, düzenleme ve yürütme arasında sorumluluk dağılımını açıkça yapmak, •Hissedarlık haklarını korumak ve bu hakların kullanılabilmesini kolaylaştırmak, •Azınlık ve yabancı hissedarlar da dahil, bütün hissedarlara eşit muamele yapılmasını güvence altına almak, •Menfaat sahiplerinin haklarını yasalarda veya ikili anlaşmalarda belirtildiği şekilde tanımak, •Şirketin mali durumu, performansı, mülkiyeti ve idaresi dahil olmak üzere şirketle ilgili bütün maddi konularda doğru ve zamanında açıklama yapılmasını sağlamak, •Şirketin stratejik rehberliğini, yönetim kurulu tarafından yönetimin etkin denetimini ve yönetim kurulunun, şirkete ve hissedarlara karsı hesap verme yükümlülüğü taşımasını sağlamaktır. Kaynak: OECD, Kurumsal Yönetim İlkeleri, 2004

4. Kurumsal Yönetimin Temel Bileşenleri • İş Ahlakı • Şeffaflık • Hesap Verilebilirlik, Hesap Sorulabilirlik • Sorumluluk • Etkinlik • Uzlaşma Arayışı • Eşitlik • Katılımcı Demokrasi • Hukukun Üstünlüğü • Stratejik Vizyon • Kontrol • Denetim • Risk Yönetimi

5. Değişen Dünya Dinamiklerinde Başarının Yolu • Girişimci olmak • Değişimi yönetmek • Riskleri yönetmek • Stratejiyi yenileyebilmek • Çok hızlı ve esnek olabilmek

6. RİSK NEDİR? • Risk, hedeflerimize ulaşmamızı etkileyen iç ve dış kaynaklı tüm olaylar

7. RİSK NEDİR?

8. RİSK NEDİR?

9. RİSK NEDİR? Temel bir kavram olarak risk çeşitli şekillerde tanımlanabilir. Değişimin ortaya çıkardığı sonuçlara göre, farklı risk tanımlamaları üretmek mümkündür: • Ortalama Sonuç Olarak Risk: Sigorta uzmanları olayların riskini, söz konusu olaylardan beklenen sonuç olarak ifade etmektedirler. Faaliyetler için genellikle söz konusu sonuç, “zarar” olmaktadır.

10. Sonuçlar Arasındaki Farklılık Olarak Risk: Risk ile ilgili genel tanımlama, riskin, olaylarla ilgili sonuçların istatistiksel değişimini veya standart sapmasını ifade ettiğidir. • Kayıp Olarak Risk: Belki de riskin en dar kapsamlı tanımlamalarından birisi, riskin kayıp olarak kabul edilmesidir. Bu tanımlamaya göre risk; müşterilerin neden olduğu zararlar, yolsuzluk veya doğal sebepler gibi büyük olumsuz etkiye sahip olayların meydana gelmesidir.

11. İlgili Oldukları Alanlara Göre Risk: Riskleri çok genel olarak dahi belli bir sınıflandırmaya tabii tuttuğumuzda birbirinden farklı onlarca riski ortaya koymak mümkündür: Piyasa riskleri, kredi riskleri, faaliyet riskleri, yasal riskler, bilgi riski, çevresel riskler, ülke riski, temel iflas ile ilgili riskler, fiyat riskleri, doğal riskler, finansal raporlama riskleri, kontrol riski v.b.. Hepsi birbirinden farklı olan bu riskler farklı risk tanımlamalarına sahiptir, çünkü beklenen sonuç her bir faaliyet için farklıdır.

12. Potansiyel Kazanç Faktörü Olarak Risk: Genellikle üzerinde çok fazla durulmayan bir nokta, riskin kazanç sağlamak için bir araç olarak kullanılıyor olmasıdır. İş dünyası risk alma işidir. “Risk” ve “Kazanç” birbirlerini tamamlayan kavramlardır. İş dünyasında başarının anlamı; doğru zamanda doğru risklerin alınması ve bu risklerin kazanca dönüştürülmesidir. İşletme yönetimleri enerjilerinin çok büyük bir bölümünü riskleri bir kayıp olarak gördüklerinden, bunlara çare arayarak harcamaktadırlar. Bu da kazanç haline dönüşebilecek risklerin zamanında ve doğru olarak tespit edilmesini zorlaştırmaktadır.

13. RİSK YÖNETİMİ NEDİR? Risk Yönetimi, risk/kazanç dengesinin şirket üst yönetiminin risk alma profiline uygun olarak oluşturulmasıdır. Risk yönetimi risklerin belirlendiği, hangi risklerin öncelikli olarak çözümlenmesi gerektiğinin değerlendirildiği, risklerin yönetilmesi için stratejiler ve planların geliştirilerek uygulandığı sistematik bir süreçtir.

14. RİSK YÖNETİMİ NEDİR?

15. RİSK YÖNETİMİ NEDİR? Potansiyel risklerin; • Tehlikeye dönüşmeden, • Sistematik olarak, • Olası zararların etkisini azaltıcı yönde, • Verilere dayalı şekilde yönetilmesidir.

16. RİSK YÖNETİMİ NEDİR / NE DEĞİLDİR?

17. Risk Yönetiminin Amacı « Risk yönetiminin temelinde, sonuç üzerinde bazı kontrollerimizin olduğu alanların maksimizasyonu yatarken, sonuç üzerinde hiçbir kontrolümüzün olmadığı ve etki/neden ilişkisinin bilinmediği alanların minimizasyonu yatar. » Bernstein, Peter L., 1996 AgainsttheGods: TheRemarkableStory of Risk New York: John Wiley & Sons, Inc.

18. Kurumsal Risk Yönetiminin Farkı

19. KURUMSAL RİSK YÖNETİMİ KRY; şirketi etkileyebilecek potansiyel olayları tanımlamak, riskleri şirketin kurumsal risk alma profiline uygun olarak yönetmek ve şirketin hedeflerine ulaşması ile ilgili olarak makul bir derecede güvence sağlamak amacı ile oluşturulmuş; şirketin yönetim kurulu, üst yönetimi ve tüm diğer çalışanları tarafından etkilenen ve stratejilerin belirlenmesinde kullanılan, kurumun tümünde uygulanan sistematik bir süreçtir.Kaynak: COSO Enterprise Risk Management – Integrated Framework, 2004

20. KURUMSAL RİSK YÖNETİMİNİ ZORUNLU KILAN BAZI FAKTÖRLER

21. KRY’nin bu tanımı aşağıdaki temel öğeleri içerir; • Bütün kurumda süregelen ve devam eden bir süreçtir. • Kurumun her seviyesindeki insanlar tarafından etkilenir. • Kurumun iş stratejilerinin belirlenmesinde kullanılır. • Tüm kurumu ilgilendiren riskler dâhil olmak üzere kurumun her seviye ve bölümünü kapsar. • Şirketi etkileyebilecek potansiyel olayları tanımlamak ve risklerin şirketin kurumsal risk alma profiline uygun olarak yönetilmesi için tasarlanmıştır. • Şirketin hedeflerine ulaşması ile ilgili olarak kurumun yöneticilerine ve yönetim kuruluna makul bir derecede güvence sağlar. • Bir veya daha fazla fakat birbiri ile kesişen kategoriler içindeki hedeflerin başarılmasına yönelmiştir. Kendisi bir sonuç değildir, sadece sonuca ulaşmak için bir araçtır.

22. Kurumsal Risk Yönetimi Kapsamı

23. KRY süreci ile aşağıdaki beş temel soruya daha doğru ve etkin cevapların bulunmasına destek olunması amaçlanmaktadır: • Risklerin neler olduğu gerçekten biliniyor mu? • Bu riskleri etkin bir şekilde yöneterek, risk / kazanç dengesi lehde kullanılabiliyor mu? • Riskler için uygun kontroller var mı? • Kontroller etkili bir biçimde çalışıyor mu? • Hangi kontroller iyileştirilmek / geliştirilmek zorundadır?

24. Reel SektördeKurumsal Risk Yönetimi • ƒ Neden Kurumsal Risk Yönetimi’ne ihtiyaç var? • ƒ Türkiye’deki reel sektörde genel durum • ƒ KRY’ye yaklaşım nasıl olmalı? • ƒ Yaratacağı katma değer, faydası nedir? • ƒ Global ve Türkiye’de riskleri şekillendiren faktörler?

25. Kurumsal Risk Yönetimi İhtiyacı • Çeşitli endüstriler • Çeşitli lokasyonlar ve/veya şirketler • Büyüklük • Hizmet verilen pazarların çeşitliliği • Coğrafi çeşitlilik • Risk alma isteği • Finansal performans dışında risk değerlendirmesi • Erken uyarı sistemi • Risk transfer uygulamalarının genişletilmesi • Daha iyi kurumsal yönetim • Daha iyi iç denetim

26. Değişen dünya ile artan ve yapısı değişen riskler • Artan müşteri beklentileri • ƒ Karmaşıklaşan ürün ve servisler • ƒ Karmaşık hale gelen süreçler • ƒ Artan belirsizlikler • ƒ Değişen iş dünyası • ƒ Artan rekabet • ƒ Daha fazla risk • ƒ Azalan etik değerler • ƒ Artan krizler ve ciddi kayıp olayları • ƒ Azalan yatırımcı güveni • ƒ Artan düzenlemeler

27. Misyon, Hedefler, Risk Alma İsteği ve Risk Toleransı

28. KURUMSAL RİSK YÖNETİMİ (KRY) DÖNGÜSÜ

29. Düzenlemeler • SOX • ƒ EU 8. Direktifi • ƒ BASEL II • ƒ TTK – Halka açık şirketlerde Risk Komitesi Risk Yönetim Sistemi Faaliyet raporlarında risk bilgileri

30. TTK Tasarısı ve Risk Yönetimi • Riskin erken saptanması, önlenmesi ve yönetimi için risk yönetimi komitesi kurulmalıdır. • Risk yönetimi komitesi denetim komitesinden farklı olarak sadece risklere odaklanmalıdır. • Denetim geçmişe yönelik bir tespit iken, risk yönetimi gelecek ve geleceğin yorumu ile ilgilidir. • Amaç, yönetimi ve yönetim kurulunu devamlı uyanık tutmak ve gerektiğinde derhal önlem alınmasını sağlamaktır.

31. Türkiye’deki reel sektörde genel durum • Şirket çapında olmaması • ƒ Belirli risklere odaklanması • ƒ Entegre olmaması • ƒ Strateji, hissedar değerlerine bağlı olmaması • ƒ Süreç sahibi inisiyatifinde olması • ƒ Denetim ile kapsanmaya çalışılması • ƒ Yeterli bilgi birikimi olmaması • ƒ Gereksiz bürokrasi yaratması • ƒ Sigorta ile eşdeğer görülmesi • ƒ Üst düzey sahiplenmenin az olması • ƒ Bankacılıktaki risk yönetimi ile karıştırılması

32. KRY’de hedef ne olmalı? • Olası sürprizlerin belirlenmesi için erken uyarı • ƒSürprizlerin engellenmesi için alınan aksiyonlara danışmanlık • ƒAlınan aksiyonların etkin olmasına güvence • ƒTüm faaliyetlerdeki risklerin bir arada görülmesi için raporlama • ƒ Strateji belirleme, iş geliştirme, kaynak tahsisi, performans takibi fonksiyonlarına destek

33. KRY’ye yaklaşım nasıl olmalı • Zorla yaptırmak yerine fikrin pazarlanması • ƒ Tüm şirket fonksiyonlarını kapsayan • ƒ Tüm riskleri kapsayan • ƒ Tüm operasyonel iş süreçlerinde etkisi olan • ƒ Stratejik hedeflerden hareket alan • ƒ Strateji belirlenmesi ile entegre • ƒ Performans odaklı • ƒ Hissedarın risk alma isteği ile uyumu gözeten • ƒ Önleyici kontrollere entegre olan • ƒ Üst düzey sahiplik ve sorumluluk • ƒ Sistematik, tekrarlanabilir ve denetlenen • ƒ Gereksiz bürokrasi oluşturmayan

34. KRY’de kapsanabilecek riskler • Finansal • ƒOperasyonel • ƒStratejik • ƒDış Çevre

35. KRY Riskleri • Organizasyon riskleri ve faaliyet riskleri genellikle iç kaynaklıdır. Organizasyonel riskler kurumun genelini kapsayan risklerdir. Sorumlulukların düzenlenmesinde yapılacak hatalar, sorumlulukların kullanılmasındaki insan faktörü, iç kontrolün yetersiz olması veya iyi uygulanamaması, işlemlere ilişkin bozukluklar, bu işlemlerin güvence altına alınmaması, işlemlere hakim olunmaması veya prosedürlere uyulmaması gibi örnekler verilebilir. Operasyonel riskler kurum içinde daha küçük kısımlar olan operasyon birimlerinde görülen risklerdir. Belirli birimler ve bu birimlerde çalışan insanların faaliyetleriyle şekillenen bu risk türüne, gerçekleştirilen bazı özel operasyonların takibinin yapılmaması örnek verilebilir.

36. KRY Riskleri • Bunların yanında mali riskler ve değişim riskleri hem iç hem de dış kaynaklı olabilir. Mali riskler kurumun mali kaynaklarının taşıdıkları risklerdir. Mali işlemlerin takibinin yapılamaması, kaynakların kaybedilmesi, çalınması veya zimmete geçirilmesi gibi durumlar bu kapsamdadır. Değişim riskleri; kurumların faaliyet gösterdiği çevrede yaşanan değişimler kurumun hedeflerine ulaşıp ulaşamayacağı konusunda belirsizlik yarattığında söz konusudur ve bu haliyle dış kaynaklıdır. Kurum içinde yaşanan değişimler, hedeflerin değişmesi, yöneticilerin değişmesi, farklılaşan durumlara karşı yönetimin takınacağı tavır, kurum içindeki kişilerin değişimlere göstereceği direnç ve benzeri faktörlerin hedeflere ulaşmayı tehlikeye düşürmesi ise iç kaynaklı riskleri yansıtır.

37. Olay Tanımlama • Olay tanımlama kurumun karşılaşacakları riskle ilgili anahtar kavramların farkında olmasına yardımcı olur. Bu anahtar kavramlar:  • Riskin tipi: Teknolojik risk, finansal risk, insan kaynakları riski (kapasite, bilgi düzeyi), sağlık riski, güvenlik riski... gibi.   • Riskin kaynağı: Dış (politika, ekonomi, doğal afetler... gibi), iç (itibar, güvenlik, bilgi yönetimi, karar verme için bilgi... gibi) • Risk altında olan nedir: Etki alanının ne olduğu, riske maruz kalmanın şekli (kişiler, itibar, program sonuçları, malzeme... gibi) • Riski kontrol etme kabiliyetinin seviyesi: Yüksek (örneğin faaliyetlerde), orta (örneğin itibar), düşük (doğal afetler)

38. Olay Tanımlama • Olay tanımlama ayrıca belirsizliklerin risk mi fırsat mı olduğu konusunda ayrım yapmaya imkân verir. Kurumun hedeflerine ulaşmasını tehlikeye düşüren olaylar risk olarak tanımlanır. Kurumun hedeflerine ulaşmak için yürüttüğü faaliyetler üzerinde olumsuz etki yaratan bu risklere; çeşitli yöntemlerle etkilerinin azaltılması, faaliyet devam ederken riskin kabul edilebilir bir seviyede sınırlanması (tedavi edilmesi), bertaraf edilmesi veya transfer edilmesi gibi karşılıklar verilir. Kurumların hedeflerine ulaşmalarında pozitif etkiye sahip olaylar fırsatlardır. Bu durumda kurumsal risk yönetiminin amacı fırsatlardan fayda sağlayarak belirsizliği kurumun menfaatine çevirmektir. Yönetim fırsatları strateji veya hedef oluşturma sürecine kanalize etmelidir.

39. Olay Tanımlama Süreci • Olay tanımlama süreci, kurumun hangi risklerle karşılaşabileceğine odaklanmak için, kurum içindeki farklı perspektife, deneyime ve göreve sahip temsilcileri bir araya getiren işbirlikçi bir yapıya sahip olmalıdır.

41. Kurumsal Risk Yönetimi – İç Kontrol Karşılaştırması • İç kontrol belirlenen hedef ve amaçlara ulaşmak, kaynakların etkin ve verimli kullanılması, kurumların faaliyetlerinde yer alan yapısal risklerin uygun bir biçimde kontrol edilmesi, mali ve diğer yönetim bilgilerinin güvenilirliği ve doğruluğu, yasalar ve yönetmelikler, stratejiler, planlar, iç kural ve prosedürlerle uyumun sağlanması amaçlarını güden bir süreçtir. Buna göre iç kontrol mali olsun veya olmasın kurumun yönetim kurulundan, idarecilerinden ve diğer personelinden etkilenen bir süreçtir. • Risk kurumun hedeflerine ulaşmasını engellemeye neden olacak olayların gerçekleşme olasılığıdır. Risk yönetimi ise kurumun hedeflerine ulaşmasını güçleştiren engellerin belirlenmesi, önceliklendirilmesi ve üstesinden gelinmesi konusundaki yeteneklerin güvenilirliğinin arttırılma sürecidir.

42. Kurumsal Risk Yönetimi – İç Kontrol Karşılaştırması • Kurumsal risk yönetimi ve iç kontrol birbirleri ile doğrudan iletişim içinde olması gereken süreçlerdir. Bunlar birbirlerini dışlamaz veya biri diğerinin yerini almaz. • Kurumsal risk yönetiminde hedef belirleme ayrı bir unsur iken iç kontrolde hedefler önceden belirlenmiş kabul edilmektedir. Yine kurumsal risk yönetimi, iç kontrolün finansal raporlama ve risk değerlendirmesi unsurlarını daha da geliştirmiştir.

43. Kurumsal Risk Yönetimi – İç Kontrol Karşılaştırması • İç kontrol ve risk yönetimi madalyonun iki yüzüdür. Birbirinin ayrılmaz parçasıdırlar. Bunun anlamı etkili bir iç kontrol sisteminin oluşturulabilmesi için etkili bir risk yönetimi sürecinin kurumda yerleşmiş olmasının zorunlu olduğudur. İşletmenin varlığının nedeni belirli hedeflere ulaşmaksa, iç kontrol bunu başarmak için kuruma rehberlik eder ve risk yönetimi de kurumun hedeflerine ulaşmasına engel olacak olaylara müdahale ederek kurumun rotasından çıkmasını önler. İç kontrol; koruyucu, etkin ve şirket genelinde uygulanan bir kurumsal risk yönetimi sistemi ile etkilidir.

44. KURUMSAL RİSK YÖNETİMİ DÖNÜŞÜM SÜRECİ KRY dönüşüm süreci, şirketin risklerin birbirlerinden bağımsız bloklar halinde yönetildiği klasik risk yönetim anlayışından, bu risklerin bir bütün olarak yönetildiği entegre risk yönetimi, başka bir ifade ile KRY anlayışına geçiş sürecini ifade eder

45. KRY UYGULAMA ADIMLARI

47. Kurumsal Risk Yönetimi Dönüşüm Süreci

48. Etkin bir KRY için organizasyonel yapı

49. Risklerin tanımlanması • Riski yönetmek için kurumun hangi risklerle karşı karşıya olduğunu bilmesi ve onları değerlendirmesi gerekir. Kurumun risk profilini çıkarmanın ilk adımı riskleri tanımlamaktır. • Riskler hedeflerle ilgili olmalıdır. Riskler ancak hedeflerle ilişkilendirilerek değerlenebilir ve öncelik sırasına göre düzenlenebilir • Bir riskin açıklaması etkinin nedenini ve hedefte oluşabilecek etkiyi (neden ve sonuç) içermelidir.

50. Risklerin tanımlanması • İlk olarak risk unsurlarının belirlenmesi sırasında tanımlanan hedeflerin gerçekleştirilmesi üzerinde etkisi olabilecek sebeplerin ve olayların kapsamlı bir listesinin oluşturulması gerekmektedir. Belirlenen olaylar daha sonra olası sonuçları açısından detaylı analize tabi tutulmalıdır. • Risklerin tanımlanması için kontrol listeleri, kayıtlara ve deneyimlere bağlı çıkarımlar, akış diyagramları, tartışmalar, sistem analizleri, senaryo analizleri ve sistem mühendislik teknikleri kullanılmaktadır