ISO 31000 Kurumsal Risk Yönetim Sistemi

ISO 31000 Kurumsal Risk Yönetim Sistemi programı, belirsizliğin hedefler üzerindeki etkisini yönetmek için ilkeler, bir çerçeve ve bir süreç öneren ISO 31000:2018 rehber standardını anlatan 120 saatlik bir eğitimdir. Standardın en ayırt edici yanı, riski yalnız kötü olasılık olarak görmemesidir: bir hedefe ulaşmayı engelleyebilecek tehditlerin yanında, hedefi aşmayı sağlayabilecek fırsatlar da risk yönetiminin konusudur. Kısa ve genel yazılmış bir metin olduğu için, asıl emek onu kuruluşun kendi yapısına uyarlamaktadır.

Kurumsal risk yönetimi finans, operasyon, proje, tedarik zinciri, bilgi teknolojileri ve itibar gibi farklı alanlardaki riskleri tek bir dil ve tek bir önceliklendirme mantığıyla bir araya getirir. Bu yaklaşım yönetim kurullarına sunulan risk raporlarında, iç kontrol ve iç denetim birimlerinde, büyük yatırım ve proje kararlarında, kamu kurumlarının stratejik planlarında ve sigorta, bankacılık gibi riskin iş modelinin merkezinde olduğu sektörlerde kullanılır.

Eğitim İçeriği

1. Risk Kavramı ve Standardın Üç Katmanı

• Riskin tanımı: belirsizliğin hedefler üzerindeki etkisi
• Risk kaynağı, olay, sonuç ve olasılık kavramları
• İlkeler, çerçeve ve süreç arasındaki ilişki
• Rehber standart olmanın anlamı ve belgelendirme sorusu

2. Risk Yönetimi İlkeleri

• Bütünleşik, yapılandırılmış ve kapsamlı, kuruluşa uyarlanmış olmak
• Kapsayıcılık ve paydaşların zamanında katılımı
• Dinamiklik ve eldeki en güncel, güvenilir bilgiyle çalışma; bilginin sınırlarını açıkça belirtme
• İnsan ve kültür faktörleri, sürekli iyileştirme

3. Risk Yönetimi Çerçevesi

• Liderlik ve taahhüt: risk politikasının ve sorumlulukların belirlenmesi
• Risk yönetiminin karar süreçlerine ve bütçe döngüsüne entegrasyonu
• Çerçevenin tasarımı, uygulanması, değerlendirilmesi ve iyileştirilmesi
• Risk iştahı, risk toleransı ve risk kapasitesi kavramları
• Üç savunma hattı modeli ile rollerin ayrımı

4. Risk Değerlendirme Süreci

• Kapsam, bağlam ve risk kriterlerinin belirlenmesi
• Risk tanımlama: beyin fırtınası, kontrol listeleri, senaryo çalışması, süreç haritası
• Risk analizi: nitel, yarı nicel ve nicel yaklaşımlar
• Olasılık-etki matrisinin kurulması ve sınırları
• Risk değerlendirmesi: analizi kriterlerle karşılaştırıp karar verme

5. Risk İşleme ve Değerlendirme Teknikleri

• İşleme seçenekleri: kaçınma, kaynağı ortadan kaldırma, olasılığı ya da sonucu değiştirme, paylaşma, üstlenme
• Risk işleme planı ve kalıntı risk
• IEC 31010'da ele alınan teknikler: papyon (bow-tie) analizi, hata türü ve etkileri analizi, Delphi, Monte Carlo simülasyonu
• Kilit risk göstergelerinin (KRI) belirlenmesi

6. İzleme, İletişim ve Raporlama

• İletişim ve danışmanın sürecin her aşamasına yayılması
• Risk kaydı (risk register) yapısı ve güncel tutulması
• Yönetim kuruluna ve üst yönetime risk raporu
• Gözden geçirme sıklığı ve ortaya çıkan risklerin izlenmesi
• Gerçekleşen olaylardan ve ramak kala durumlarından risk kaydına geri besleme

Bu Eğitimle Neler Yapabilirsiniz?

• Kuruluşunuz için olasılık ve etki ölçeklerini tanımlayan, eşik değerleri net bir risk kriterleri belgesi hazırlayabilirsiniz.
• Bir proje ya da süreç için sahibi, mevcut kontrolü ve işleme kararı belli bir risk kaydı oluşturabilirsiniz.
• Kritik bir olay senaryosunu papyon diyagramıyla nedenleri, önleyici bariyerleri ve sonuç bariyerleriyle çizebilirsiniz.
• Üst yönetim için en önemli riskleri, eğilimlerini ve işleme planlarının durumunu gösteren tek sayfalık bir rapor tasarlayabilirsiniz.
• Risk iştahı beyanının taslağını yazıp karar süreçlerine nasıl bağlanacağını önerebilirsiniz.

Kimler Katılabilir?

• Risk yönetimi, iç kontrol ve iç denetim birimlerinde çalışanlar
• Strateji, planlama ve proje yönetim ofisi ekipleri
• Finans, hazine ve sigorta alanında görev alan uzmanlar
• Kamu kurumlarında stratejik plan ve iç kontrol çalışmalarını yürütenler

Ön koşul yoktur; basit tablo hesaplarını yapabilmek nicel analiz örneklerini takip etmeyi kolaylaştırır.

Çalışırken İpucu

Kuruluşunuzun bu yıl için belirlediği üç hedefi alın ve her birinin altına "bunu gerçekleştirmemizi ne engelleyebilir, ne hızlandırabilir" sorusunun yanıtlarını yazın. Böylece risk listesi hedeften bağımsız bir tehlike sayımı olmaktan çıkar. Ardından her risk için kimin sahip olduğunu ve hangi göstergeyle izleneceğini ekleyerek kaydı eğitim boyunca büyütün.

Sık Sorulan Sorular

ISO 31000 belgesi alınabilir mi?

Hayır. ISO 31000 bir rehber standarttır, şart içermez ve belgelendirmeye konu edilmez. Kuruluşlar onu kendi risk yönetimi uygulamalarını tasarlamak ve olgunlaştırmak için kullanır.

ISO 9001 ya da ISO 27001'deki risk yaklaşımıyla nasıl bağlantılı?

Bu yönetim sistemleri riskin ele alınmasını şart koşar ama yöntemini ayrıntılandırmaz. ISO 31000 süreci, bu sistemlerdeki risk değerlendirmelerinin ortak bir metodolojiyle yapılması için kullanılabilir.

Nicel risk analizi için istatistik bilgisi gerekir mi?

Temel düzeyde yeterlidir. Monte Carlo gibi teknikler mantığı ve ne zaman kullanılacağı açısından anlatılır; ileri istatistik hesabı beklenmez.

Risk kaydı ile risk raporu arasındaki fark nedir?

Risk kaydı tüm risklerin ayrıntılı çalışma listesidir. Risk raporu ise bu listeden karar vericilerin ihtiyaç duyduğu önemli riskleri ve değişimleri özetler.