ERM Süreci Nedir ve 5 Adımda Nasıl İşler?

ERM süreci, kurumsal risk yönetiminin (Enterprise Risk Management) uygulamaya döktüğü, birbirini izleyen adımlardan oluşan sürekli bir döngüdür. Bu döngü, riski tek seferlik bir değerlendirme olmaktan çıkarır ve şirketin nefes alıp veren bir yönetim rutinine dönüştürür. Uluslararası çerçevelerde farklı adlarla anılsa da özü aynıdır: riskleri tespit et, analiz et, önceliklendir, onlara müdahale et ve sürekli izle. Bu yazı, ERM sürecinin beş temel adımını her birinin somut çıktısı, kimin katıldığı ve en sık yapılan hatalarıyla birlikte uygulamalı biçimde ele alır; böylece süreci kavramsal olarak değil, gerçekten kurabilecek düzeyde anlamanızı hedefler.

ERM sürecinin bütünsel çerçevesini kurumsal risk yönetimi bakışı sayfasında bulabilir, süreç içinde kritik rol oynayan önceliklendirme aracını ise risk matrisi oluşturma rehberinde inceleyebilirsiniz.

ERM Süreci Nedir?

ERM süreci, bir şirketin karşılaştığı belirsizlikleri düzenli ve tekrarlanabilir bir yöntemle yönetmesini sağlayan çerçevedir. Buradaki anahtar sözcük "süreç"tir; çünkü risk yönetimi bir kereye mahsus bir proje değil, dönüp duran bir çevrimdir. Her tur, bir öncekinin öğrettikleriyle daha olgun hale gelir. Bir turda tespit edilen riskler, izleme aşamasında güncellenir; ortadan kalkanlar çıkarılır, yeni ortaya çıkanlar eklenir.

Bu döngüsel yapı, sürecin en önemli özelliğidir. Çünkü riskler durağan değildir: bugün önemsiz görünen bir risk, koşullar değiştiğinde kritik hale gelebilir. Sabit bir fotoğraf yerine sürekli güncellenen bir film gibi çalışan ERM süreci, şirketin risk resmini her zaman güncel tutar.

Sürecin Başlangıcı: Bağlamı Anlamak

Beş adıma geçmeden önce, iyi kurulmuş her ERM süreci bir hazırlık aşamasıyla başlar: bağlamı anlamak. Bu aşamada şirketin hedefleri, iş modeli, dış çevresi ve risk iştahı netleştirilir. Çünkü bir risk, ancak bir hedefe göre risktir; hedef belli değilse neyin tehdit olduğu da belirsiz kalır. Bağlamı doğru kurmak, sürecin geri kalanının isabetini belirler.

Bu aşamada ayrıca sürecin nasıl işleyeceği de kararlaştırılır: hangi ölçekler kullanılacak, riskler kime raporlanacak ve döngü hangi sıklıkla dönecek. Bu zemin bir kez kurulduğunda, beş adım çok daha tutarlı işler.

Adım 1: Risk Tespiti

Süreç, şirketi bekleyen riskleri görünür kılmakla başlar. Tespit aşamasında; süreçler, hedefler, dış çevre ve geçmiş olaylar taranarak olası riskler bir envanterde toplanır. Bu aşamada eleme yapılmaz, amaç kapsamlı olmaktır. Kullanılan yöntemler arasında birim yöneticileriyle atölye çalışmaları, geçmiş olay kayıtlarının incelenmesi ve senaryo analizleri yer alır. Tespitin çıktısı, şirketin risk envanteridir; sürecin geri kalanı bu listeye dayanır. Görülmeyen risk hiçbir adımda yönetilemez, bu yüzden tespitin geniş tutulması kritiktir.

Tespiti güçlü kılan, farklı bakış açılarını bir araya getirmesidir. Satış, üretim, finans ve bilgi teknolojileri birimlerinin gördüğü riskler birbirinden farklıdır; süreç yalnızca tek bir masadan yürütüldüğünde, o masadan görünmeyen tehditler baştan gözden kaçar. Her riskin tek cümlelik açık bir tanımla, nedeni ve olası sonucuyla birlikte yazılması, sonraki adımlarda yapılacak analizi de kolaylaştırır.

Adım 2: Risk Analizi

Tespit edilen her risk, bu adımda daha yakından incelenir. Riskin kaynağı, nasıl gerçekleşebileceği, olası etkisi ve gerçekleşme olasılığı değerlendirilir. Analiz, bir riskin gerçek bir tehdit mi yoksa ihmal edilebilir bir olasılık mı olduğunu ayırt etmeyi sağlar. Bu aşamada nitel değerlendirmeler kadar, veri elverdiğinde nicel yöntemler de kullanılır. Analizin kalitesi, doğrudan mevcut verinin ve katılan uzmanların bakış açısının zenginliğine bağlıdır.

Adım 3: Risk Değerlendirme ve Önceliklendirme

Analiz edilen riskler, bu adımda etki ve olasılık eksenlerinde bir matrise yerleştirilerek önceliklendirilir. Amaç, sınırlı kaynağı önce en kritik risklere yönlendirmektir. Bu adımın çıktısı, risklerin öncelik sırasına dizildiği bir risk haritasıdır. Önceliklendirme yalnızca teknik bir hesap değildir; şirketin risk iştahıyla da uyumlu olmalıdır. Risk iştahının bu kararı nasıl şekillendirdiğini risk iştahının belirlenmesi yazısında ele alıyoruz.

Adım 4: Riske Müdahale (İşleme)

Önceliklendirilen her risk için bir yanıt kararı verilir. Riskten kaçınmak, olasılığını ya da etkisini azaltmak, mali yükünü transfer etmek ya da bilinçli olarak kabul etmek arasından, riskin niteliğine uygun bir strateji seçilir. Bu adımda asıl önemli olan, seçilen stratejinin somut bir eyleme, bir sorumluya ve bir termine bağlanmasıdır. Kararın kâğıt üzerinde kalmaması için, her müdahale bir aksiyon planına dönüştürülür ve maliyeti getirisiyle birlikte tartılır. En pahalı azaltma çözümü her zaman en doğrusu değildir; müdahalenin maliyeti, önlediği riskle orantılı olmalıdır.

Adım 5: İzleme ve Gözden Geçirme

Son adım, aslında döngüyü yeniden başlatan adımdır. Riskler ve kontroller düzenli olarak izlenir; müdahalelerin işe yarayıp yaramadığı ölçülür, koşullar değiştikçe risk haritası güncellenir. Yeni riskler envantere eklenir, kapanan riskler çıkarılır. İzleme, ERM sürecini canlı tutan halkadır; bu adım ihmal edildiğinde süreç bir kez çalışıp donar ve kısa sürede gerçeği yansıtmaz hale gelir.

Her Adımın Somut Çıktısı

Bir sürecin gerçekten işlediğini, her adımın ürettiği elle tutulur çıktıdan anlarsınız. Aşağıdaki tablo, beş adımın her birinin sonunda elinizde ne olması gerektiğini özetler; bu çıktılar yoksa ilgili adım henüz tamamlanmamış demektir.

Süreci Kim Yürütür: Roller ve Üç Savunma Hattı

ERM süreci bir kişinin ya da tek bir birimin işi değildir; sorumluluk şirket geneline yayılır. Bu dağılımı düzenlemenin en yaygın yolu, üç savunma hattı modelidir. Birinci hat, riski günlük olarak üstlenen operasyonel birimlerdir; kendi süreçlerindeki riskleri tespit etmek ve kontrolleri uygulamak onların sorumluluğundadır. Riski en iyi bu birimler tanır, çünkü onunla her gün yüzleşirler.

İkinci hat, risk ve uyum fonksiyonlarıdır. Bu hat riski bizzat üstlenmez; sürecin tutarlı işlemesini gözetir, ortak ölçekleri belirler, birimlerden gelen riskleri bir araya getirir ve üst yönetime raporlar. Üçüncü hat ise iç denetimdir. İç denetim ne riski üstlenir ne de süreci yürütür; bunun yerine ERM sürecinin gerçekten çalışıp çalışmadığına dair yönetim kuruluna bağımsız güvence sunar. Bu üç hattın üzerinde ise yönetim kurulu ve üst yönetim yer alır; risk iştahını belirleyen, tonu tepeden veren ve sürecin çıktısına sahip çıkan katman burasıdır. Roller net biçimde ayrıldığında süreç hem hızlı hem hesap verebilir işler.

Süreci Çalıştıran İki Yatay Unsur: İletişim ve Kayıt

Beş adım, iki yatay unsur olmadan tam işlemez. Birincisi iletişimdir: riskler ilgili tüm taraflarla, özellikle yönetim kurulu ve üst yönetimle düzenli olarak paylaşılmalıdır. İkincisi kayıttır: her adımın çıktısı bir risk kaydında belgelenmelidir. Bu iki unsur, sürecin şeffaf ve izlenebilir olmasını sağlar. İletişim eksik olduğunda riskler görünmez kalır; kayıt eksik olduğunda ise sürecin nasıl ilerlediği takip edilemez.

ERM Sürecinde Sık Yapılan Hatalar

• Süreci bir kez çalıştırmak: Tespit ve analizi yapıp izlemeyi atlamak, envanteri kısa sürede güncelliğini yitiren bir belgeye çevirir.
• Bağlamı atlamak: Şirket hedefleri netleştirilmeden yapılan risk tespiti, önemli riskleri gözden kaçırır.
• Müdahaleyi aksiyona bağlamamak: Strateji seçilip sorumlu ve termin atanmadığında karar hayata geçmez.
• Sadece bir birimin katılımı: Süreç yalnızca risk biriminin işi sayıldığında, diğer birimlerin gördüğü riskler dışarıda kalır.
• Kayıt tutmamak: Belgelenmeyen bir süreç, izlenemez ve olgunlaşamaz.

Sıkça Sorulan Sorular