DEVLET METEOROLOJİ İŞLERİ GENEL MÜDÜRLÜĞÜ

1. DEVLET METEOROLOJİ İŞLERİ GENEL MÜDÜRLÜĞÜ İÇ DENETİM BİRİMİ

2. İç Kontrol ve Kurumsal Risk Yönetimi Risk Değerlendirme ve Risk Yönetimi Fatih ATICI Ercan BÜYÜKBAŞ Burhan ORMANOĞLU İç Denetçi İç Denetçi İç Denetçi 08 Şubat 2011

3. SUNUM PLANI • RİSK KAVRAMI • RİSK YÖNETİMİ • RİSK BELİRLEME • RİSK DEĞERLEME • RİSKİ YÖNETME (RİSKE TEPKİ) • RİSK YÖNETİMİNDE İÇ DENETİM

4. 1. RİSK KAVRAMI Risk…? “ ”

5. 1. RİSK KAVRAMI Risk nedir? Sözlük anlamı; • Zarara uğrama tehlikesi • Öngörülebilir tehlikeler • Amaca ulaşmayı engelleyebilecek bir olayın ortaya çıkma olasılığı; tehlike • Belirli bir amaca veya getiriye ulaşmak için katlanılabilecek ya da amaca ulaşırken karşılaşılabilecek zarar ya da olumsuzluk olasılığı

6. 1. RİSK KAVRAMI Risk nedir? • Zarar, kayıp veya tehlikeye maruz kalma olasılığıdır. • Bir hedefe ulaşmayı engelleyecek belirsiz olaylardır. • Gelecek ile ilgili bir kavramdır, çünkü gelecek belirsizlik ifade etmektedir. • Hedefe erişime engel olacak, zarar, kayıp, dezavantaj veya her türlü negatif etki olasılığıdır. • Gelecekte karşılaşılabilecek, kuruluş içi ya da dışından kaynaklanan durum ya da olayların amaçlar üzerindeki olası etkileridir.

7. 1. RİSK KAVRAMI Dünya Riskleri: Küresel ısınma, Hava kirliliği Ülke Riskleri: Ekonomik sıkıntılar, Politik istikrarın sağlanamaması, Ülke güvenliğindeki sorunlar Şirket Riskleri: Ekonomik krizler, İş kazaları, Çevreye verilen zarar Aile Riskleri: Aile fertlerinin güvenliğindeki sorunlar, Evin geçimini sağlamaktaki sıkıntı Kişisel Riskler: Fiziksel/ruhsal sağlıkta bozulmalar

8. 1. RİSK KAVRAMI Risk nedir? • Risk:Bir işletme veya kurumun stratejik hedef ve amaçlarına ulaşma yeteneğini olumsuz şekilde etkileyebilecek tehditlerin etkisi ve gerçekleşme ihtimalidir. • Tehdit:Bir işletme veya kurumu muhtemel riske sokabilecek eylem veya olay • Kurumun stratejik, mali ve operasyonel hedeflerini gerçekleştirmesini engelleyecek, olası (belirsiz) her türlü olaylardır. Risk, etki ve olasılık dikkate alınarak ölçülür. (IIA Tanımı)

11. 1. RİSK KAVRAMI Riskin Unsurları? Riskin 2 önemli unsuru vardır: a) Risklerin gerçekleşme olasılığı : ihtimal / şans b) Risklerin etkisi: risk gerçekleştiği takdirde meydana gelecek sonuçlar Bu iki unsurun değerlendirilmesi riskin gerçekleştirilmek istenen amaca ne kadar zarar vereceğinin tespit edilmesini sağlar.

12. 1. RİSK KAVRAMI Bir riskin gerçekleşmesi için; Mutlaka bir hedefe ulaşmayı engelleyecek bir tehdidin belirli bir olasılık dahilinde gerçekleşmesi ve belirli bir etki yaratması gerekmektedir

13. 1. RİSK KAVRAMI • “Gemilerin en güvende olduğu yerler limanlardır, ancak hiçbir gemi limanda durması için yapılmamıştır”

14. 1. RİSK KAVRAMI Riskin Belirsizliği ve Sonucu Riskin belirsizliği ve sonucu bir çok etkene bağlıdır: • Riskteki varlıklar • Tehdidin türü • Sonucun süresi • Yerinde kontrolün etkinliği

15. 1. RİSK KAVRAMI Günlük Hayatta Risklerimiz? • Her sabah işe zamanında gitmek için hangi risklerimiz var ve bunları nasıl yönetiyoruz? RİSK KONTROL • Zamanında uyanamama Çalar saat • Otobüsü kaçırma Taksi ya da özel araç • Trafik sıkışıklığı Alternatif yollar • Yol yapımı Alternatif yollar • ………..

16. 1. RİSK KAVRAMI Günlük Hayatta Risklerimiz? Çok çeşitli risklerle iç içeyiz. Örneğin; • Çevresel riskler (Küresel ısınma, doğal felaketler) • Sağlık riski (Domuz gribi, kene ısırması) • Güvenlik riski (Yol kazaları, iş kazaları) • Kişisel riskler (Sokak suçları, fakirlik) • İş riski (İflas, işten çıkarılma) • İtibar riski (Güven sarsıcı davranışlar) Problemleri gün be gün takip edip çözüm önerileri geliştirerek risklerin etkisi azaltılabilir.

17. 1. RİSK KAVRAMI Kendi Risklerimiz? Çalıştığınız biriminmaruz kalabileceği riskler nelerdir?

18. 1. RİSK KAVRAMI • Yapısal Risk (Doğal Risk-İçsel Risk) :Yönetimin etki ve veya olasılığını değiştirmek için hiçbir şey yapmadığı, önlem almadığında kurumun karşı karşıya kaldığı risk. (COSO tanımı) • Kontrol Riski: Kontrollerin uygun olmamasından, gerektiği gibi yerine getirilmemesinden ötürü karşılaşılan risklerdir • Kalıntı Risk (Artık Risk-Bağıl Risk): Yönetimin ters bir olayın etki ve olasılığını azaltmak için aldığı kontrol aktivitelerini de içeren önlemlerden sonra kalan risk. (IIA Tanımı)

19. 1. RİSK KAVRAMI Risk - Kontroller = Riske Açıklık (Brüt Risk) (Risk Yönetimi) (Net Risk) (Yapısal Risk) (İnsan Kaynakları) (Kalıntı Risk) (İçsel Risk) (Bilgi Sistemleri) (Artık Risk) (Doğal Risk) (Geçmiş Risk Deneyimi) (Bakiye Risk)

20. 1. RİSK KAVRAMI Satın Alma Süreçlerinde Doğal Riskler Nelerdir? • Doğru/ihtiyaç duyulan malın alınmaması • Kötü kalite mal alınması • Piyasa değerinden çok yüksek fiyatla mal alımı • Malın teslim edilmemesi • Ödemenin yapılmaması • Satın almayı yapan personelin fayda sağlaması • Malın garantisinin olmaması, vs.

21. 1. RİSK KAVRAMI Kontroller? Bu doğal riskleri azaltmak için ne tür önlemler alınabilir 1.İhtiyaç duyulan malın özelliklerinin belirlenmesi 2.Piyasa araştırması yapılarak fiyat tespiti 3.Mal tesliminden sonra ödeme yapılması 4.Ödemenin doğrudan banka kanalıyla yapılması 5.Mal alımı için bir satın alma komisyonunun oluşturulması

22. 1. RİSK KAVRAMI Kalıntı/artık riskler Bu önlemlere rağmen hangi riskler halen mevcuttur? • Malihtiyaçlara tam cevap vermeyebilir(teknik şartname iyi belirlenmemiştir ya da malı talep eden kullanıcı ihtiyaçlarını doğru tespit edememiştir) • Mal yüksek fiyattan alınmış olabilir (piyasa araştırması yeterli , özenli yapılmamıştır) • Garanti olduğu halde malı üreten şirket iflas edebilir ve garanti hükümsüz kalır, vs. Burada dikkat edilmesi gereken, önlemlerin riskleri tamamen ortadan kaldırması mümkün olmasa bile, etki ve/veya olasılığı ne kadar düşürdüğüdür

23. 2. RİSK YÖNETİMİ Risk Yönetimi Nedir? Kurumun hedeflerini gerçekleştirebilmesi için makul bir güvence sağlamak üzere, olası olay veya durumların önceden belirlenmesi, değerlendirilmesi ve kontrol edilmesinden oluşan bir süreçtir. (IIA Tanımı)

24. 2. RİSK YÖNETİMİ Risk Yönetimi Nedir? Potansiyel risklerin; -Tehlikeye dönüşmeden, -Sistematik olarak, -Olası zararların etkisini azaltıcı yönde, -Verilere dayalı şekilde, yönetilmesidir.

25. 2. RİSK YÖNETİMİ Risk Yönetimi Nedir? Alınan kararların etkilerini belirleme, önceliklendirme, azaltma ve ölçmeyi mümkün kılarak organizasyonlarda istikrar sağlayan bir mekanizmadır. Risklerin belirlenmesi, değerlendirilmesi, yönetilmesi ve izlenmesi adımlarını içerir. Potansiyel risklerin sistematik olarak değerlendirilerek, olası zararların etkisini azaltıcı yönde, verilere dayalı karar vermeyi sağlayan yönetim sürecidir.

26. 2. RİSK YÖNETİMİ Kurumsal Risk Yönetimi Nedir? İdareyi etkileyebilecek riskleri tanımlamak, bunları idarenin kurumsal risk alma profiline uygun olarak yönetmek ve idarenin hedeflerine ulaşması ile ilgili makul düzeyde bir güvence sağlamak amacıyla oluşturulan ve idarenin üst yönetimi ile tüm diğer çalışanları tarafından stratejilerin belirlenmesinde kullanılan ve tüm süreçlerde yürütülen bir faaliyettir.

27. 2. RİSK YÖNETİMİ Risk yönetiminde esas olan; Riskin tümüyle engellenmesi değil, sorunlara sistematik ve dikkatli bir şekilde yaklaşılması ve almaya karar verilen risklerin dikkatli yönetimi yoluyla gereksiz kayıpların engellenmesidir Başarılı bir risk yönetimi için, kurumun varlıklarına ve hedeflerine yönelik riskleri belirlemek, analiz etmek, denetim altında tutmak ve izlemek gereklidir

28. 2. RİSK YÖNETİMİ Risk Yönetimi Basamakları • Kurumun/birimin stratejik amaç ve hedeflerinin belirlenmesi • Risklerin belirlenmesi • Risklerin değerlendirilmesi (önceliklendirilmesi) • Kök nedenlerin analizi • Eylem planları ve izleme

29. 2. RİSK YÖNETİMİ Yönetim kontrol döngüsü • Hedefler • Riskler • Kontroller • Güvence Risk yönetimi

30. 2. RİSK YÖNETİMİ COSO KURUMSAL RİSK YÖNETİMİ ÇERÇEVESİNİN UNSURLARI

31. Hedefler 2. RİSK YÖNETİMİ İyi yönetilen kurumlarda belirlenen amaçlara ulaşmayı engelleyebilecek risklerin ortaya çıkarılması ve değerlendirilmesi amacıyla kullanılan süreçler mevcuttur. Bunun üzerine kontroller de eklenerek risklerin azaltılması sağlanır. Kurum / süreçler Kontroller Risk

32. Amaçların belirlenmesi Risk tolerans seviyesinin belirlenmesi Sürekli gözlem Risk değerlendirme süreci Kontrollerin geliştirilmesi Risklerin belirlenmesi Kontrollerin değerlendirmesi Kontrollerin belirlenmesi 2. RİSK YÖNETİMİ ...Bu şekilde amaçlar, riskler ve kontroller devam eden bir sürecin parçası olarak birbirleriyle bağlantılı hale gelirler.

33. Risk Yönetim süreci Kurumun stratejik amaçları hedefler Risk analizi tamamlandıktan sonra risk değerlendirme aşaması, riskin kurum açısından önemi ve her bir riskin üstlenilip üstlenilmeyeceği ve riski bertaraf etmek için alınacak önlemler konularında karar verilebilmesi için gereklidir. Risk değerlendirmesi Risk analizi Risk tespiti Risk tanımı Risk tahmini riskler Risk değerleme Risk raporlama Tehditler ve Fırsatlar Karar Risk önlemleri kontroller Artık risk raporlama İzleme

34. 2. RİSK YÖNETİMİ Risk Yönetimi İçin Temel Sorular • Kurumun/birimin stratejik amaç ve hedefleri nelerdir? • Kurum/birim bu amaç ve hedeflerini gerçekleştirmede hangi durumlarda başarısız olabilir? • Bu başarısızlıklar nelere sebep olabilir? • Bu başarısızlıkların etkileri neler olacaktır? • Şu anda bu tür başarısızlıkları önlemek, tespit etmek veya düzeltmek için neler yapılıyor? • Bu tür bir başarısızlık riskine ne seviyede açığız? • Risklerimizi daha iyi yönetmek için uygun maliyetlerle ne tip ilave eylemler gereklidir? • Risk yönetimimizin ve kontrollerimizin etkinliği ve güvenliğine dair güvenceyi nasıl alırız?

35. 2. RİSK YÖNETİMİ RİSK YÖNETİMİNİN İLKELERİ Değer yaratmalı ve korumalı İş süreçlerinin bir parçası olmalı Karar alma mekanizmasının bir parçası olmalı Bilinmezliği bilinir hale getirmeli Sistematik ve planlı yapılmalı Eldeki bilgiye dayanmalı Organizasyona uyarlanmalı İnsan ve kültür faktörünü dikkate almalı Açık ve kapsamlı olmalı Dinamik, sürekli gözden geçirilen ve değişime açık olmalı Sürekli gelişimi kolaylaştırmalı

36. 3. RİSK BELİRLEME COSO - Risk Değerlendirmesi • Organizasyona yönelik risklerin belirlenmesi • Risklerin değerlendirilmesi (etki ve olasılık) • Hedefler, riskler ve kontroller arasında bağlantının sağlanması ile daha etkin • Risk bilgisinin gözden geçirilmesi ve raporlanmasına yönelik prosedürler • Kontrollerin revizyonu ya da yeni kontroller Uyum Operasyonlar Finansal Raporlama İzleme Bilgi ve İletişim Kontrol Faaliyetleri Risk Değerlendirmesi Kontrol Ortamı

37. 3. RİSK BELİRLEME Amacımız ve Riskten korumaya çalıştığımız şey ne? • Kendimiz? • Yöneticimiz? • Çalışanlarımız? • Kurumumuz? • Ortaya çıkacak ürünümüz? • İtibarımız? • Bütçemiz? • Paydaşlarımız? Risklerimiz perspektifimizle doğrudan ilişkilidir.

38. 3. RİSK BELİRLEME Risk Kategorileri Risk faktörleri belirlenerek, kurumun maruz kalacağı risklerin sınıflandırılması, riskin belirlenmesi ve analizinde kolaylık sağlar. • Finansal (mali) Riskler • Yolsuzluk Riski • İnsan Kaynağı Riskleri • İmaj-İtibar Riski • Yasal Uygunluk Riskleri • Bilgi Sistemleri Riskleri • Stratejik Riskler • Operasyonel Riskler, vs

39. 3. RİSK BELİRLEME • Her bir amaçla ilgili riski belirlerken şu soruları sormalıyız • Ne ters gidebilir? • Sürecin hangi aşamasında zayıflık var? • Hangi varlıkları korumalıyız? • Varlıklarımızı nasıl kaybedebiliriz? • Yasal olarak en zayıf noktamız nedir?

40. 3. RİSK BELİRLEME • Kurumun, riski tanımlamak için seçtiği yol özel bir önem taşımaz. Önemli olan, yönetimin riskleri arttıran ve ona katkıda bulunan faktörleri dikkatle incelemesidir. • Riski tanımlamadadikkate alınacak bazı faktörler; • hedeflere ulaşmayı engelleyen eski uygulamalar, • personelin kalitesi, • yeni düzenlemelere ve personele ilişkin kurumu etkileyecek değişiklikler, • coğrafi olarak dağınık haldeki faaliyetlerin varlığı, • faaliyetlerin kurum içi önemi ve karmaşıklığıdır.

41. 3. RİSK BELİRLEME İç ve Dış Kaynaklı Riskler • Kurum genelindeki riskler iç veya dış kaynaklı faktörlerden doğabilir. • İç Faktörlere örnek olarak: • Bilgi işlem sistemindeki bir aksaklık, • İşe alınan personelin yetkinliği, • Yönetimin sorumluluklarındaki bir değişiklik • Kurum faaliyetlerinin niteliği ve çalışanların kaynaklara bizzat erişiminin mümkün olması,kaynakların yanlış dağılımına neden olabilir. • Dış Faktörlere örnek olarak: • Yeni yasa ve düzenlemeler; • Doğal afetler; • Faaliyet ve bilişim sistemlerinde değişiklikler • Ekonomik değişkenler; finans, harcama ve araştırma-geliştirme faaliyetleri hakkındaki kararları etkiler.

42. 3. RİSK BELİRLEME Riski Tanımlama Yaklaşımları 1.Riske Maruz Kalma Yaklaşımı -Varlıkları etkileyebilecek riskler 2.Çevresel Yaklaşım -Faaliyetleri etkileyebilecek riskler 3.Tehdit Senaryoları -Yolsuzluk ve/veya afetler ile ilgili özelleştirilmiş ve uzmanlaştırılmış risklerin tanımlaması

43. 3. RİSK BELİRLEME Riske Maruz Kalma Yaklaşımı • Tesis, makine ekipman gibi Fiziksel Değerler, • Nakit, yatırımlar gibi Finansal Değerler, • Personel bilgi ve deneyimini de içeren İnsan Kaynakları, • Marka, isim hakkı, bilgi gibi Maddi Olmayan Varlıklar,

44. 3. RİSK BELİRLEME Çevresel Yaklaşım • Fiziki çevre ; Bölge, Yerleşim • Ekonomik çevre ; Mali unsurlar, Faiz Oranları, Genel Ekonomi • Yasal Mevzuat ; Kanunlar, Politikalar, Yönetmelikler • Rekabet ; Doğrudan ve Dolaylı Rekabet, Değişiklikler • Müşteriler / Ortaklar • Tedarikçi Firmalar • Teknoloji

45. 3. RİSK BELİRLEME Tehdit Senaryoları • Riske maruz kalacak değerler tanımlanmalıdır. • İlgili tehditler ve riskler sıralanmalıdır. • Tehdidin değer üzerinde oluşturabileceği sonuçlar sıralanmalıdır. • Tehdidin nasıl gerçekleşebileceği listelenmelidir. • Tehditler:Hatalar • İhmaller • Ertelemeler • Yolsuzluk

46. 3. RİSK BELİRLEME Örnek Risk Belirleme Birim: Elektronik Gözlem Sistemleri Şube Müdürlüğü Amaç/Hedef: Yüksek atmosfer gözlemlerinin güvenli ve sürekli bir şekilde yapılması Faaliyet/süreç: Balonu şişirmek için hidrojen gazı üretimi Risk: Hidrojen gazı üretimi esnasında patlama ve yangın riski Kontrol Faaliyeti: Gaz algılama ve yangın söndürme sistemlerinin kurulması ve işletilmesi Risk Sorumlusu: İMİD Başkanı, EGS Şb. Md., Bölge Md., Radyosonde İst. Md. Sonuç: Hidrojen gazı üretimi ve balon şişirme işleminin daha güvenli yapılarak, yüksek atmosfer gözleminin gerçekleştirilmesi

47. 4. RİSK DEĞERLEME Risk değerlemesi, kurum/işletme hedeflerinin elde edilmesine yönelik olan risklerin tanımlanması ve analiz edilmesidir. Risklerin nasıl yönetilmesi gerektiğinin belirlenmesine baz teşkil eder. Risklerin değerlemesi 2 temel kriter dikkate alınarak yapılır: a) riskin gerçekleşme olasılığı b) riskin etkisi Bu değerlendirme ışığında riskin önem düzeyi ve önceliği belirlenir.

48. 4. RİSK DEĞERLEME Gerçekleşme olasılığı değerlendirme Olasılığı tahmin ederken sorulabilecek sorular: • Daha önce bu kurumda/bölümde/süreçte gerçekleşti mi? • Bu kuruma/bölüme/sürece benzer kurum/bölüm/süreçlerde daha önce gerçekleşti mi? • Konuyla ilgili istatistiki bilgi var mı? • Bu risk unsurunu gerçekleştirmenin kolaylık derecesi? • Önümüzdeki hangi periyotta gerçekleşmesi öngörülüyor?

49. 4. RİSK DEĞERLEME Gerçekleşme olasılığı değerlendirme Yüksek (3): Bir yıllık zaman dilimi içinde gerçekleşme olasılığının bulunması Göstergeler • Gelecek on yıl içinde bir çok defa gerçekleşme potansiyeli • Son iki yıl içinde gerçekleşmiş olması • Dış etkenler nedeniyle kontrolün çok güç olması Orta (2): On yıllık zaman dilimi içinde gerçekleşme olasılığının bulunması Göstergeler • Gelecek on yıl içinde birden fazla gerçekleşme potansiyeli • Dış etkenler nedeniyle kontrol güçlüğü çekilmesi • Faaliyetle ilgili geçmiş deneyimler Düşük (1): On yıllık zaman dilimi içinde gerçekleşme olasılığının bulunmaması Göstergeler • Şu ana kadar hiç gerçekleşmemiş olması • Gerçekleşmesi halinde büyük şaşkınlık yaratacak olması

50. 4. RİSK DEĞERLEME Etki düzeyi değerlendirme Riskin etkisini tahmin ederken sorulabilecek sorular: • Risk gerçekleştiği takdirde, • Çalışanların uğrayabileceği fiziksel zararın boyutu? • Kurumun uğrayabileceği finansal kaybın boyutu? • Kurumun kaybedeceği itibarın boyutu? • Medyaya yansıması takdirinde lokal, ulusal ya da uluslararası haber olma durumu?