RİSK YÖNETİMİ VE DEĞERLEMESİ İLE İLGİLİ TEMEL KAVRAMLAR NELERDİR? T.C. İÇİŞLERİ BAKANLIĞI İÇ DENETİM BİRİMİ BAŞKANLIĞI RİSK NEDİR? RİSK YÖNETİMİ VE DEĞERLEMESİ İLE İLGİLİ TEMEL KAVRAMLAR NELERDİR?

2.Riskin Tanımı(1) Risk, kurumun stratejik, mali ve operasyonel hedeflerini gerçekleştirmesini engelleyecek, her türlü olayın gerçekleşme olasılığıdır. (IIA Tanımı) Riskler gerçekleşme olasılığı ve risklerin gerçekleşmesi durumunda ortaya çıkacak sonuçların etkileri göz önünde bulundurularak ölçülür. Tehdit, kurumu muhtemel riske sokabilecek eylem veya olaydır. (IIA : Institute of Internal Auditors) 2

Riskin Tanımı(2) Öte yandan risk, kamu idarelerinin kuruluş amaçları ile stratejik hedeflerine ulaşmasına ve görevlerinin ifasına engel olabilecek veya beklenmeyen zararlara yol açabilecek durum ya da olaylardır[1]. [1] İç Denetçilerin Çalışma Usul ve Esasları Hakkında Yönetmelik, Madde 4 3

Riskin tanımlanabilmesi için amaçların belirlenmiş olması gerekir. Riskin Belirlenmesi Riskin tanımlanabilmesi için amaçların belirlenmiş olması gerekir. Amaçlar belirlendikten sonra amaçlara ulaşılmasını engelleyebilecek riskler tanımlanır, değerlendirilir ve alınacak tedbirler kararlaştırılır.

örnekleri yardımcı olabilir: Risklerin tanımlanmasında aşağıda verilen soru örnekleri yardımcı olabilir: Amaca ulaşma yolunda neler yanlış gidebilir? Sorun nedir? Hangi tür işlemler başarısız olmamıza neden olabilir? Zayıf olduğumuz alanlar neler? Hangi varlıkları daha çok korumalıyız? Hırsızlık ya da yolsuzluk alanları neler olabilir? Faaliyetlerimiz hangi durum ya da olaylar karşısında aksayabilir? En kritik bilgi kaynaklarımız neler? En fazla harcama yaptığımız alanlar hangileri? Takdire dayanan kritik kararlar hangileri? Hangi faaliyet ya da süreçler daha karmaşık? Cezai yaptırımlara maruz kaldığımız alanlar hangileri?

İş hayatımızdan örnekler Amacımız: Birimimizde iş sürekliliğinin sağlanması Risk: Aynı dönemde bir çok personelin yıllık izin kullanması nedeniyle işlerin aksaması Kontrol : İşlerin yoğun olduğu dönemlerde izinlerin belli bir süre önce talep edilmesi ve buna göre bir takvim çerçevesinde izin kullandırılması Sonuç: Vatandaşların ve diğer yararlanıcıların memnuniyeti

Riskin Temel Özellikleri (1) Riskin iki temel özelliği vardır. Bunlar; (1) Belirli bir sonuca ulaşamama olasılığı ya da istenmeyen bir olayın oluşma olasılığı Possibility of Occurence (Meydana Gelme İhtimali) (2) Riskin oluşması durumunda, bu durumların sonuca etkisinden oluşur. Severity of Loss (Kaybın Büyüklüğü) 7

Riskin Temel Özellikleri (2) OLASILIK NEDİR? ETKİ NEDİR? 8

Risk Değerlendirmesi: Olasılık ve Etki Analizi Orta Risk Yüksek Risk Çok Düşük Risk Yüksek Orta Düşük Etki Düşük Orta Yüksek

Risk Yönetimi Aksiyon (Önlem) Modeli Olasılık Risk Yönetimi Önlemleri Yüksek Önemli derecede risk yönetimine ihtiyaç duyulmaktadır Riskler yönetilmeli ve gözetim altında tutulmalıdır Geniş kapsamlı risk yönetimi gereklidir Orta Riskler gözetim altında olmak kaydıyla kabul edilebilir Risk, yönetim faaliyetlerine değecek düzeydedir. Risk Yönetimi faaliyetlerine ihtiyaç duyulmaktadır. Düşük Riski kabul et Riski kabul et, fakat riskleri gözlemle Riski yönet ve gözlemle Etki

Risk Yönetimi Nedir? Kurumun hedeflerini gerçekleştirebilmesi için makul bir güvence sağlamak üzere, olası olay veya durumların önceden belirlenmesi, değerlendirilmesi ve kontrol edilmesinden oluşan bir süreçtir. (IIA Tanımı) Risk yönetimi, potansiyel risklerin sistematik olarak değerlendirilerek, olası zararların etkisini azaltıcı yönde, verilere dayalı karar vermeyi sağlayan yönetimi ifade eder. (İç Denetçilerin Çalışma Usul ve Esasları Hakkında Yönetmelik, Madde 4) 11

Risk Yönetimine İlişkin Görev ve Sorumluluklar Yönetim: Kurum yönetiminin temel sorumluluklarından birisi risk yönetimidir. Risk değerlendirme bir yönetim süreci olduğundan, harcama birimlerinin bu becerilere sahip olması şarttır. Strateji Geliştirme Başkanlığı:Temel risk yönetimi usulleri konusunda bilgi ve becerilerin geliştirilmesi ve bu becerilerin harcama birimlerine aktarılması için gerekli çalışmaları yapar, bilgi aktarımı ve koordineyi sağlar. Kurum personeli: Tüm çalışanlar, Kurumun amaçlarına ulaşmayı engelleyebilecek ya da hizmet sunumunu olumsuz etkileyebilecek risklerden sorumludur. Riskin herkesin sorumluluğunda olması nedeniyle, her bir çalışan görev tanımı çerçevesinde kendisine verilen iş/işlemleri etkin ve verimli bir şekilde mevzuata uygun olarak yürütmek zorundadır. Aynı zamanda, faaliyetlere ilişkin problemleri ve iyileştirme önerilerini, kurum etik değerleriyle bağdaşmayan davranışları, illegal fiil ve eylemleri üst yönetime iletmelidir. İç denetimin risk yönetimindeki rolü: idareler risklerin tespit edilmesinin iç denetçinin görevi olduğunu düşünmektedir. Aslında iç denetçinin rolü risk yönetimi sürecinin etkili olup olmadığı, risklerin gereken şekilde tespit edilip edilmediği ve gereken şekilde değerlendirilip değerlendirilmediği konularında tavsiyede bulunmaktır.

İçsel Risk ve Kalıntı Riski (Inherent & Residual Risk) Kontrol Faaliyetleri İçsel Risk Kalıntı Risk (Inherent Risk) (Residual Risk) (COSO) (IIA) 13

Kontrol politika ve prosedürleri, risklerin etkilerini minimize etmek amacıyla oluşturulan politika ve prosedürlerdir. Kontroller doğru şekilde uygulanmalı ve izlenmelidir.

Committee of Sponsoring Organisations (COSO) ENTERPRISE RISK MANAGEMENT (ERM) Hedefler Hedefler 4 kategoride ele alınabilir: Stratejik Operasyonlar Raporlama Uygunluk Çerçevenin 8 bileşeni birbiri ile ilişkilidir… 1. Kontrol ortamı, 2. Amaç belirlenmesi, 3. Hadiselerin (event) tanımlaması, 4. Risklerin değerlendirilmesi, 5. Risk cevabı, 6. Kontrol faaliyetleri, 7. Bilgi ve iletişim, 8. İzleme. Faaliyet/Birim Çerçevenin 8 bileşeni

Risk Yönetimi Uygulama Adımları Hedefler Riskler Kontroller Kurumun stratejik hedeflerinin belirlenmesi Risklerin Belirlenmesi Ne olabilir? Nasıl olabilir? Risk Analizi Olasılığın ve etkinin belirlenmesi Risk seviyesinin belirlenmesi Risklerin önceliklendirilmesi Kurumun kabul edilebilir risk profili ile karşılaştırma Kontrollerin belirlenmesi ve incelenmesi Kontrol seviyesinin belirlenmesi Kontrol seviyesinin değerlendirilmesi Bu seviye kabul edilebilir mi? Evet Uyum İzle ve Gözden geçir Hayır Evet Kaçın İyileştirme Planlarını oluştur Fayda ve maliyetleri değerlendir Kaçın Bu seviye kabul edilebilir mi? Risklerin Yönetilmesi Bir kısmını/ tümünü paylaş Bir kısmını/ tümünü paylaş İyileştirme stratejileri öner Etkisini/olasılığını azalt Etkisini/olasılığını azalt İyileştirme stratejileri seç Kabullen Kabullen Hayır

Risk Yönetimi ve İç Kontrol Risk yönetimi risklerin tespiti ve çeşitli yöntemler ile yönetilmesidir. İç kontrol sistemi ve kontrol faaliyetleri ise risk yönetimi sürecinde riskin azaltılmasına (kontrol edilmesi) yarayan araçlardır. İç kontrolün amacı genellikle finansal raporlamaların doğruluğu, operasyonların etkinliği ve verimliliği, varlıkların korunması ve mevzuat/düzenlemelere uyumun sağlanması hedeflerine ulaşıldığına ilişkin güvence sağlamak olsa da, bu amacı yerine getirirken, kurumun karşı karşıya olduğu risklerin yönetilmesi aşamasında önemli bir risk yönetim aracı rolünü de oynamaktadır. Öte yandan risk yönetimi de iç kontrolün önemli unsurlarından olan risk değerlendirmesi aşamasında iç kontrol sistemine destek vermekte, iç kontrol sisteminin önemli bir parçası olmaktadır. 17

Risk Yönetimi ve İç Kontrol Sonuç olarak, Risk Yönetimi ve İç Kontrol süreçleri birbirlerinden farklı, ancak gittikçe yakınlaşan, birbirlerine etki eden ve birbirlerinden etkilenen süreçlerdir. Örnek Risk tanımlama ve kontrol uygulaması 18

Özet (1) Risk, kamu idarelerinin kuruluş amaçları ile stratejik hedeflerine ulaşmasına ve görevlerinin ifasına engel olabilecek veya beklenmeyen zararlara yol açabilecek durum ya da olaylardır. Sağlam bir risk analizinde, sadece risk seviyesi değil, oluşabilecek hatanın türü de değerlendirilir. Risklerin sınıflandırılması süreci standart bir süreç olmayıp kurumun faaliyetlerine özgü bir nitelik taşımaktadır. Her kurum, risk yönetimi sürecini uygulamak için kendisine özgü bir yöntem seçebilir. Risk yönetimi süreçleri, bir kurumun faaliyetlerinin niteliğine uygun tasarlanmalı ve uygulanmalıdır. 19

Özet (2) Risk yönetiminin şeffaf, koordineli, kamu önünde güvenilir ve etkili olması gerekmektedir. Yöneticilerin risklere dair rollerini ve sorumluluklarını bilmeleri ve anlamaları gerekmektedir En azından risklerin teşhis edilmesi ve değerlendirilmesinde herkese düşen bir görev vardır Riskle karşı karşıya olanların sorumluluklarını kabul edip uygun önlemleri alması gerekmektedir İç Denetimin risk yönetimini incelemede ve risk yönetimi kültürünün kazandırılmasında rolü vardır. Ancak riski yönetme görevi iç denetimin değildir! 20

İç Kontrol,Risk ve Risk Yönetimi ile İlgili Kaynaklar http://www.coso.org/Publications/ERM/COSO_ERM_ExecutiveSummary.pdf TÜSİAD – Risk ve Değer Yönetimi Çalışma Grubu 59 / 61 Australian Standard 4360 Risk Management Standard: http://airmic.com/Downloads/Pubs/AIRMIC_Risk-Management-Standard.pdf The Combined Code on Corporate Governance: http://www.frc.org.uk/corporate/internalcontrol.cfm Basel II: International Convergence of Capital Measurement and Capital Standards: A Revised Framework http://www.bis.org/publ/bcbs118.htm Sarbanes-Oxley: http://www.sec.gov/rules/proposed/33-8138.htm 21

EIRM – European Institute of Risk Management http://.EIRM.com AIRMIC - Association of Insurance & Risk Managers http://www.airmic.com EIRM – European Institute of Risk Management http://.EIRM.com GARP - Global Association of Risk Professionals http://www.garp.com GARP Turkey Chapter IIA - Institute of Internal Auditors http://www.theiia.org IRM - Institute of Risk Management http://www.theirm.org PRIMA - Public Risk Management Association http://www.primacentral.org PRMIA - Professional Risk Managers’ International Association http://www.prmia.org RMA - Risk Management Association http://www.rmahq.org RIMS - Risk & Insurance Management Society http://www.rims.org SRA - Society for Risk Analysis http://www.sra.org TIDE – Türkiye iç Denetim Enstitüsü: http://www.tide.org.tr TKYD – Türkiye Kurumsal Yönetim Derneği: http://www.tkyd.org 22

Center for Risk Management – http://www.rff.org Georgia State University – Center for Enterprise Risk Management and Assurance Services http://www.cermas.gsu.edu Harvard University – Center for Risk Analysis http://www.hcra.harvard.edu London School of Economics – Centre on Risk & Regulation http://www.lse.ac.uk 23

İLGİ VE KATILIMINIZ İÇİN TEŞEKKÜR EDERİZ alaaddin.kahraman@icisleri.gov.tr