Risk Analizi: Genel Bakış

Giriş

Neredeyse her kuruluşun karşılaştığı en büyük risklerden biri dolandırıcılıktır (fraud). Dolandırıcılık riski, finansal kurumlar, hukuk ve vergi firmaları, kâr amacı gütmeyen kuruluşlar, devlet yardım kuruluşları (‘Medicaid’i yönetenler gibi), büyük şirketler ve küçük işletmeler gibi her türlü kuruluşu finansal risk altına sokar. İstatistikler, dolandırıcılık riskinin önümüzdeki yıllarda da artacağını göstermektedir.

Günümüzün sürekli değişen ekonomisinden hemen hemen her kuruluş etkilenmektedir. Yapay zekânın (artificial intelligence) yükselişi dolandırıcılığın durdurulmasını zorlaştırabilir. Ana cadde üzerindeki anne ve babalar bile artan faiz oranları, küresel tedarik zinciri sorunları, tüketici davranışındaki ani değişiklikler, işgücü piyasasındaki sıkıntılar (son dönemdeki grev dalgası ve yakın grev dalgası), hatta siber saldırılar ve diğer dijital dolandırıcılık türlerinden aniden kendilerini incinmiş halde bulabilirler. Daha büyük şirketler yalnızca bu endişelerle değil, yasal uyum ve denizaşırı satıcılar ve söyledikleri kişi olmayabilecek müşteriler gibi diğer endişelerle de uğraşmak zorundadır.

Başka bir deyişle, tüm kuruluşların riski yönetmesi gerekmektedir. Bunu yapabilmek için de bu risklerin ne olduğuna ve potansiyel etkilerinin neler olabileceğine dair net bir resme ihtiyaç vardır.

Risk analizi işte tam da burada devreye girmektedir. Risk analizi, risk değerlendirmesinin bir bileşeni olup; genel terim, belirli bir proje veya operasyonel faaliyetle ilişkili risklerin tanımlanması, analiz edilmesi ve değerlendirilmesi sürecinin tamamını kapsar. Kuruluşların kendi operasyonlarına, sektörlerine ve pazarlarına bağlı olarak risk analizi yapabilmelerinin çok sayıda olası yolu mevcuttur. Neyi seçerse seçsin, bir şirketin karşılaşabileceği riskleri analiz etme konusunda titiz olması gerekir. Bir işletmenin kârlılığı ve hatta belki de hayatta kalması buna bağlıdır.

1. Risk analizi

Risk analizinin amacı, her bir riskin düzeyini tanımlamak, temel kurumsal girişimlere veya kritik projelere zarar verebilecek “risk hadiseleri” (risk events) ile sonuçlanabilecek tüm potansiyel tehditleri belirlemek ve değerlendirmektir. Risk analizi, riskleri olasılıklarına ve zarar potansiyellerine göre önceliklendirmektedir. Bu risklerin kapsamlı bir değerlendirmesi ve her birinin etki analizi yoluyla kuruluş, bunları yönetmek için önlemler alabilir.

Risk analizi, risk yönetiminin genel çerçevesi için etkili bir risk değerlendirme sürecinin önemli bir parçasıdır. Ayrıca kuruluşlara onları daha verimli ve kârlı hale getirmeye yardımcı olabilecek çok sayıda fayda sağlayabilir ki, bu faydalar şunları içerir:

• Bilgiye dayalı karar verme (informed decision-making): Risk analizinin sağladığı ayrıntılı bilgiler, karar vericilerin bilinçli ve proaktif seçimler ve planlar yapmasına olanak tanır.
• Daha etkili bütçeleme ve planlama (more effective budgeting and planning): Kuruluşlar potansiyel riskleri anlayarak kaynakları daha iyi tahsis edebilir ve acil durum planları geliştirebilir.
• Yasal uyum yükümlülüklerini karşılama (meeting compliance requirements): Birçok sektörde, bu sektörleri denetlemeyi amaçlayan düzenlemeler risk analizini zorunlu kılar. Böylece kuruluşların uyumlu kalmasına ve önemli yasal veya mali cezalardan kaçınmasına yardımcı olur.
• Organizasyon sürekliliği (organization continuity): Risk analizi, organizasyonu karşılaştığı riskleri daha iyi yönetmeye hazırlayarak organizasyon operasyonlarının hayatta kalmasını sağlamaya yardımcı olur.
• Artan paydaş güveni (increased stakeholder confidence): Titiz bir risk analizi yapmak, bir kuruluşun sağlam bir risk yönetimi sürecine sahip olduğunu gösterir. Bu, yatırımcılar, müşteriler ve çalışanlar da dâhil olmak üzere paydaşların kuruluşun öngörüsü ve dayanıklılığına olan güvenini artırabilir.

2. Risk analizi türleri

Her sektör risk analizini aynı şekilde yapmaz. Her bir kuruluş, çeşitli durumlardaki farklı risk türlerini tanımlarken, bu tür analizleri kendi özel durumuna uyacak şekilde ayarlayacaktır. Riskin önlenmesi, tespit edilmesi ve araştırılması söz konusu olduğunda, risk yönetimi sürecinin bir parçası olarak birden fazla risk analizi türüne sahip olmak, hiç yapmamaktan daha faydalıdır. Çoğu durumda kuruluşlar, karşılaştıkları riskleri daha iyi anlamak için birden fazla tür kullanır.

2.1. Risk-fayda analizi (risk-benefit analysis)

Bu neredeyse tüm kuruluşların aşina olduğu bir tekniktir. Her başarılı şirketin bildiği gibi bazı riskler alınmaya değerdir. Yeni ürünler ve pazarlar, yeni teknolojiler ve stratejik satın almalar gibi “kurumsal riskler” (enterprise risks), cirodaki büyümeyi ve kârlılığı artırabilir. Bunun aksine, “operasyonel riskler” (operational risks) potansiyel olarak bir şirketin operasyonlarını tehdit edebilir. Risk-fayda analizi, bir şirketin belirli risklerin hangi kategoriye girebileceğini belirlemesine yardımcı olur.

2.2. İş etki analizi (business impact analysis)

Etki analizinin yapılması potansiyel bir risk olayının etkilerinin ne kadar yıkıcı olabileceğini belirleyebilir. Bu tür bir analizin yararlı olabileceği çok sayıda risk türü mevcuttur. Bunlardan bazıları nispeten barizdir; örneğin arz kıtlığı ve doğal afetler. Artan faiz oranlarının etkileri ve ileri derecede uzmanlaşmış bilgiye sahip kilit çalışanların emekliliği de dâhil olmak üzere diğer risk olayları daha az belirgin olabilir.

2.3. İhtiyaç değerlendirmesi analizi (needs assessment analysis)

İhtiyaç değerlendirmesi analizi, bir kuruluşun operasyonlarındaki boşlukları veya eksiklikleri ortaya çıkarabilir. Bu tür bir risk analizi gerçekleştirerek şirket, risk azaltma kaynaklarını nereye tahsis etmesi gerektiğini daha iyi belirleyebilir.

2.4. Delphi yöntemi

Bir kuruluş Delphi yöntemini kullanırken, belirli eylemlerin ne kadar riskli olabileceğini tahmin etmek için belirli riskler hakkında derin bilgiye sahip uzmanlara danışır. Kuruluşun farklı yönleri arasında ne kadar çok bilgi paylaşılırsa, tüm potansiyel risklerin belirlenmesinde ve bunların azaltılmasında o kadar başarılı olunacaktır.

2.5. Sorun kaynağı (sorunun kökü) çözümlemesi (root cause analysis)

Bu tür risk analizinin amacı, gelecekte organizasyonda aksamalara neden olabilecek mevcut süreçleri belirlemektir. Bunun bir örneği, uzun süredir kullanılan ve güncelliğini yitirmiş olabilecek ve bu nedenle bir şirketi veri ihlaline veya daha etkili dijital araçlara sahip bir rakibe karşı savunmasız bırakabilecek bir yazılım olabilir.

3. Risk analizine ilişkin yaklaşımlar

Hangi tür veya risk analizi türlerinin kendi durumlarına en uygun olduğunu belirledikten sonra şirketlerin her riski analiz etmek ve ölçmek için hangi yaklaşımı izleyeceklerini seçmeleri gerekir: niceliksel veya niteliksel.

Niceliksel ve niteliksel risk değerlendirme yaklaşımlarının her ikisi de risklerin kapsamlı bir analizi için önemlidir; çünkü risklerin bir proje, iş veya herhangi başka bir organizasyonel süreç üzerindeki potansiyel etkisine ilişkin farklı bakış açıları ve içyüzünü anlamayı sağlarlar.

3.1. Nicel yaklaşımlar

Bu yaklaşımlar riski değerlendirmek için matematiksel modelleri ve istatistiksel yöntemleri kullanır. Özellikle büyük, karmaşık sistemlerdeki riskleri analiz etmek ve bunların olasılığını ve potansiyel ciddiyetini belirlemek için kullanışlıdırlar. Niceliksel yaklaşımlar sayısal verilere ve modellemeye dayandığından risklerin ve olası risk olaylarının objektif bir analizini sağlayabilirler.

3.1.1. Monte Carlo simülasyonu

Önerilen bir kuruluşun kararının veya eyleminin tüm olası sonuçları nelerdir? Monte Carlo simülasyonunun tanımlamaya yardımcı olabileceği şey esasen budur. Basitçe söylemek gerekirse bu yaklaşım, karar veya eyleme dâhil olan tüm değişkenleri veya riskleri alıp bunları sayısal değerlere dönüştürerek bu tahminleri basitleştirmeyi amaçlamaktadır. Bu şekilde bir kuruluş, her bir sonucun ne kadar olası olduğunu veya olası olmadığını anlayabilir. Örneğin bir üretici, ürün bileşeni eksikliklerinin risk etkilerini değerlendirerek tedarik zinciri sorunları nedeniyle maliyet aşımları olasılığını tahmin edebilir.

3.1.2. Senaryo analizi (scenario analysis)

Senaryo risk analizi, potansiyel olarak gerçekleşebilecek varsayımsal senaryoların oluşturulmasını ve ardından her senaryo ile ilişkili risklerin ve maliyetlerin değerlendirilmesini içerir. Bu, tüm paydaşların potansiyel güvenlik açıklarını belirlemesine ve risk azaltma kaynakları için acil durum planları hazırlamasına yardımcı olabilir.

3.1.3. Karar ağacı (decision tree)

Bu yaklaşım, bir kuruluşun kararının veya stratejisinin tüm olası risklerini ve sonuçlarını tanımlaması bakımından Monte Carlo simülasyonu ile benzerlikler taşır. Her sonuca, o sonucun olasılığına ve etkisine dayalı olarak bir sayı değeri ataması bakımından bir risk değerlendirme matrisine benzemektedir. Karar ağacı, bir şirketin faaliyetleri ile ilgili olarak yapabileceği bir seçimi ve bu seçimin potansiyel riskinin ne olabileceğini gösterir.

3.2. Niteliksel yaklaşımlar

Niteliksel risk analizi, olasılık ve etki analizine (probability and impact analysis) dayalı olarak risk tanımlamaya yönelik sübjektif yaklaşımları kullanır. Niteliksel analiz, sayıları ve diğer niceliksel ölçümleri kullanmak yerine, bir risk olayının meydana gelme olasılığını etkileyebilecek daha az ölçülebilir faktörlere odaklanır. Bunlar arasında şirket liderleri, çalışanlar, yatırımcılar ve halk arasındaki duyguya dayalı karar verme, önseziler, fikir ve motivasyon farklılıkları ile bu faktörlerin yıkıcı risk olaylarına nasıl yol açabileceği yer alabilir. Böylece niceliksel yaklaşımların gözden kaçırabileceği riskleri belirleyebilir ve değerlendirebilir.

3.2.1. Risk anlatımı (risk narrative)

Bu yaklaşım, riski uzman görüşü ve şirket liderlerinin ve kilit çalışanların deneyimleri gibi öznel veya “anlatı tarzı” (narrative) kanıtlara dayanarak analiz eder. Bu yöntem, niceliksel veriler mevcut olmadığında veya bir şirket yeni veya test edilmemiş teknolojiler, satıcılar ve müşteriler ile ilişkili riskleri değerlendirmek istediğinde yararlı olabilir.

3.2.2. Risk değerlendirme matrisi (risk assessment matrix)

Risk değerlendirme matrisi, potansiyel riskleri değerlendirmek ve önceliklendirmek için görsel bir araçtır. Tipik bir risk matrisi iki eksende düzenlenir; bir eksende risk olayının olasılığı ve diğer eksende risk etkisinin ciddiyeti çizilir. Matristeki her hücre belirli bir risk senaryosunu temsil eder ve olasılık ile ciddiyetin kesişimine dayalı olarak karşılık gelen bir risk düzeyine atanır.

3.2.3. Sipariş teknikleri (ordering techniques)

Bunlar, riskleri organize etmeye yönelik niteliksel yaklaşımlar olup; risk olaylarına dönüşme olasılıklarının ne kadar olduğunu ve bu olayların kuruluş üzerinde ne kadar yıkıcı bir etki yaratabileceğini belirler ve şunları içerir:

• Risklere, yıkıcı olma olasılıklarına göre “ağırlıklar” (ağırdan hafife) veren sıralama;
• Tüm riskleri şirket tarafından belirlenen “yüksek”, “orta” ve “düşük” kategorilere ayıran derecelendirme,
• Önce hangi risklerin ele alınması gerektiğini belirlemek için kanıta dayalı bir yaklaşım kullanan tarama.

3.2.4. Papyon yöntemi (bowtie method)

Papyon temsilleri organizasyon süreçlerinin akışını ve bunların potansiyel sonuçlarını tasvir eder. İşletmelerin, risklerin bir sürecin neresine “sızabileceğini” (creep in) tespit etmelerine yardımcı olabilirler. Şirketler daha sonra belirlenen risklerin operasyonlarını aksatmasını nasıl önleyebileceklerini belirleyebilirler.

4. Risk analizi sürecinin adımları

Genel olarak etkili bir risk analizi süreci aşağıdaki adımları takip eder:

4.1. Risklerin belirlenmesi (identifying risks)

Bir kuruluşun risk analizi sürecine başlamadan önce, farklı durumlarda olası riskleri araştırarak genel risk yönetimi sürecine odaklanması gerekir. Bu, kuruluşun hedeflerine ulaşma yeteneğini etkileyebilecek risk olaylarına dönüşebilecek risklerin tanımlanmasını içerir. Bu etkiler şirketin geleceği açısından faydalı ya da zararlı olabilir. Farklı risk türlerini anlamak, bir kuruluşun hangi tür risk analizini gerçekleştirmesi gerektiğini anlamasına yardımcı olabilir.

4.2. Bir riskin etkisinin analiz edilmesi (analyzing a risk’s impact)

Risk analizi sürecinin başladığı ve bittiği yer tam da burasıdır. Etki analizi belki de risk analizi sürecinin en büyük bileşenidir. Şirketin potansiyel bir risk olayının etkisini niceliksel veya niteliksel yöntemlerle (çoğunlukla her ikisi) belirlemesini gerektirir.

Daha önce de belirtildiği üzere, niceliksel ve niteliksel risk değerlendirme yaklaşımlarının her ikisi de risklerin kapsamlı bir analizi için önemlidir; çünkü risklerin bir proje, iş veya herhangi başka bir organizasyonel süreç üzerindeki potansiyel etkisine ilişkin farklı bakış açıları ve içyüzünü anlamayı sağlarlar.

Niteliksel risk değerlendirmesi, değerlendiricilerin deneyimine, uzmanlığına ve yargısına dayalı olarak potansiyel risklerin sübjektif bir analizini içerir. Bu yaklaşım, riskleri belirlemek, önceliklendirmek ve hangi risklerin daha ayrıntılı analize ihtiyaç duyduğuna karar vermek için faydalıdır. Genellikle risklerin algılanan ciddiyetine ve gerçekleşme olasılığına göre farklı düzeylerde (örneğin, yüksek, orta, düşük) sınıflandırılmasını kapsar. Niteliksel yöntemler, kesin verilerin az olduğu durumlarda veya kolay ölçüme uygun olmayan karmaşık senaryoların değerlendirilmesinde özellikle faydalıdır.

Niceliksel risk değerlendirmesi ise risklerin olasılığını ve etkisini tahmin etmek için sayısal analizleri içerir. Bu yöntemde genellikle Monte Carlo simülasyonları, duyarlılık analizi (sensitivity analysis), senaryo analizi, beklenen değer hesaplamaları ve daha birçok araç ve model kullanılır. Niceliksel analizin faydası, riskleri anlamak için daha nesnel bir temel sağlamasıdır ki; bu, finansal kararlar alırken veya farklı riskleri veya risk azaltma stratejilerini ortak bir ölçekte karşılaştırılması gerektiğinde özellikle değerli olabilir.

Her iki yaklaşımın da sınırlamaları vardır. Niteliksel değerlendirmeler, değerlendiricilerin bakış açılarına göre önyargılı olabilirken niceliksel değerlendirmeler, bazen sınırlı veya hatalı olabilen verilerin kalitesine ve kullanılabilirliğine dayanır. Bu nedenle, her iki yaklaşımın birlikte kullanılması, karar vericilerin riskin hem incelikli, öznel yönlerini hem de daha kesin, veriye dayalı yönlerini anlamalarına olanak tanıyan daha sağlam bir risk değerlendirmesi sağlar. Bu, daha iyi risk yönetimine ve daha bilinçli karar almaya yol açabilir.

4.3. Risklerin önceliklendirilmesi (prioritizing the risks)

Bu noktada risk analizi esasen sona ermektedir. Bir kuruluşun risk değerlendirme süreci, hangi risklerin ilk önce ve derhal ele alınması gerektiğine öncelik vererek devam eder. Bu etki, sıklık, kurulum süresi, müşteri korkuları, maliyetler ve diğer puanlara dayanabilir.

4.4. Bir eylem planı oluşturulması (creating an action plan)

Riskler belirlendikten ve önceliklendirildikten sonra kuruluş öğrendiklerini kullanır ve riskin etkisini ortadan kaldırmanın veya azaltmanın yollarını yaratır. Ayrıca, risk azaltma değerini aşıp aşmadıklarını belirlemek için bu kontrol önlemlerinin maliyetlerine de bakması gerekecektir. Bazı durumlarda kuruluş, bir risk olayına meydana geldikten sonra müdahale etmenin, bu olayın meydana gelmesini önlemekten daha uygun maliyetli olduğuna karar verebilir. Bu adımlar tüm risk analizi çalışmalarında standart olmakla birlikte kuruluşların bu adımları izlerken kullanabileceği birçok yöntem ve strateji vardır. Dolayısıyla, etkili bir risk yönetimi çerçevesi oluşturmak zaman ve para gerektirse de, kuruluş uzun vadede bu çerçeveyle daha iyi olacaktır.

5. Risk analizi için en iyi uygulamalar

Risk analizi ve riskleri önceliklendirmeye geçmeden önce iyi bir işin yapıldığından emin olunması söz konusu olduğunda, en iyi uygulamalar genellikle aşağıdaki adımları içerir:

• Kapsamlı risk tanımlaması (comprehensive risk identification): Risk tanımlama adımının kapsamlı olduğundan ve olası tüm riskleri kapsadığından emin olunmalıdır. Riskleri belirlemek için çeşitli paydaş gruplarıyla beyin fırtınası yapmak, geçmiş verileri gözden geçirmek ve sektöre özgü risk faktörlerini dikkate almak da dâhil olmak üzere çeşitli yöntemler ve kaynaklar kullanılmalıdır.
• Veri doğrulama (data verification): Kantitatif analizde kullanılan veriler ile bilgiler doğruluk ve uygunluk açısından kontrol edilmelidir. Verilerin ve analiz araçlarının güncel olduğundan ve mevcut durumu yansıttığından da emin olunmalıdır. Yapay zekâyı kullanmak aynı zamanda kuruluşun korunmasına da yardımcı olabilir.
• Metodoloji kontrolü (methodology check): Bağlama uygun olduklarından ve doğru şekilde uygulandıklarından emin olmak için hem niteliksel hem de niceliksel analizler için kullanılan metodolojiler gözden geçirilmelidir ki; bu, analizde kullanılan modelleri, varsayımları ve parametreleri içerir.
• Varsayımların değerlendirilmesi (assessment of assumptions): Tüm risk analizleri belirli varsayımlara dayanmaktadır. Bu varsayımları açıkça belirtmek ve geçerliliğini değerlendirmek önemlidir. Bu varsayımlardaki değişikliklerin analizi nasıl etkileyebileceği düşünülmelidir.
• Emsal değerlendirmesi (peer review): Risk analizinin benzer bir grup veya harici bir danışman gibi başka bir tarafça incelenmesi temin edilmelidir ki; bu, analizdeki önyargıların veya hataların belirlenmesine yardımcı olabilir ve ek bir inceleme düzeyi sağlayabilir.
• Hedeflere göre doğrulama (validation against objectives): Analiz edilen risklerin kuruluşun hedefleri bağlamında değerlendirilmesi sağlanmalıdır. Riskler kuruluşun stratejik, operasyonel, finansal ve uyumluluk hedefleriyle ilgili olmalıdır.
• Paydaş geri bildirimi (stakeholder feedback): Risk analizine ilişkin geri bildirim toplamak için paydaşlarla iletişim kurulmalıdır. Paydaşlar ilk analizde dikkate alınmayan içyüzünü anlama veya perspektifler sunabilir.
• Belgeleme ve şeffaflık (documentation and transparency): Risklerin nasıl tanımlandığı, analiz edildiği ve değerlendirildiği de dâhil olmak üzere risk analizi süreci belgelendirilmelidir ki; bu da şeffaflık, analize güven oluşturulmasına yardımcı olur ve gelecekte referans olarak kullanılmak üzere bir kayıt sağlar.
• Eyleme geçilebilir çıktılar (actionable outputs): Analizin eyleme geçirilebilir çıktılar ürettiğinden emin olunmalıdır. Bu, analiz sonuçlarının, bunlara göre hareket etmesi gerekenler için açık ve anlaşılır olması ve risk önceliklendirme süreci için sağlam bir temel sağlaması gerektiği anlamına gelir.
• İnceleme ve güncelleme (review and update): Risk analizi tek seferlik bir faaliyet değildir. Yeni riskleri ve mevcut risklerdeki değişiklikleri hesaba katmak için risk değerlendirmesi düzenli olarak gözden geçirilmeli ve güncellenmelidir.

Sonuç

Bir şirketin seçtiği tür ve teknikler ne olursa olsun, risk analizi her türlü kuruluş için vazgeçilmez bir uygulamadır. Bir şirketin benimsediği yaklaşımlar, sektörüne, büyüklüğüne, rekabet ortamına, pazarına ve diğer organizasyonel hususlara bağlı olarak değişecektir. Risk analizi çalışmalarını olabildiğince etkili hale getirmek için şirketlerin dijital risk değerlendirme araçlarını da süreçlerine entegre etmeyi düşünmesi gerekir. Bu tür araçlar, dikkatli bir şekilde incelenip seçilirse, bir kuruluşun risk tanımlama, risk yönetimi ve risk azaltma da dâhil olmak üzere risk değerlendirmesinin her aşamasında daha doğru ve verimli olmasına yardımcı olabilir. Gittikçe karmaşıklaşan organizasyon ortamında şirketler, ele almaları gereken risklerin karmaşıklığını yönetmek için bu tür araçlara ihtiyaç duyuyor.