AYRINTILI AÇIKLAMA
Risk yönetimi nasıl çalışır?
Sigorta risk yönetiminin tamamı değil, araçlarından biridir. Süreç riski tanımlamakla başlar, sonra olma ihtimali ve etkisi ölçülür; ardından dört yoldan biri seçilir: riskten kaçınmak, riski azaltmak, riski üstlenmek ya da riski devretmek. Sigorta yalnızca son seçeneğin adıdır. Kurumsal tarafta bu iş ayrı bir birim tarafından yürütülür ve satın alınan poliçe kadar yangın söndürme sistemi, iş sürekliliği planı ve tedarikçi çeşitliliği de kararın parçasıdır. Doğru yönetildiğinde risk yalnızca bir tehdit değil, rakiplerin taşıyamadığı işi üstlenme imkânıdır.
Risk iştahı: kabul edilen kaybın yazılı sınırı
Kurumsal tarafta işin başlangıcı bir listede değil bir sayıda durur: şirketin bir yıl içinde katlanmayı kabul ettiği azami kayıp. Bu sınır yazılı hâle getirilmeden hangi riskin taşınacağına, hangisinin devredileceğine karar verilemez.
Sınırın altına eşikler konur: hangi büyüklükteki bir olayın kimin onayına gideceği, hangi düzeyde yönetim kuruluna raporlanacağı. Poliçedeki muafiyet ve limit tercihleri de bu tabloya bağlanır; şirketin taşımayı göze aldığı tutar, muafiyetin neden o düzeyde seçildiğini açıklar.
Risk kaydı ve ısı haritası: matrisin göremediği olaylar
Riskler tek tek yazıldıkları bir kayıtta toplanır; her satırda riskin sahibi, gerçekleşme ihtimali, etkisi ve alınan önlem bulunur. Sonuç genellikle iki eksenli bir haritada gösterilir ve dikkat, sağ üst köşedeki risklere yöneltilir.
Aracın bilinen zayıflığı şudur: ihtimali çok düşük ama etkisi yıkıcı olaylar, çarpım küçük çıktığı için haritanın alt sıralarında kaybolur. Bir deprem, büyük bir tedarikçinin çökmesi ya da bir siber olayla uzun süre kaybedilen kritik bir sistem bu tuzağın klasik örnekleridir. Harita bu yüzden tek başına değil, senaryo çalışmasıyla birlikte okunur.
Üç savunma hattı: kim ne yapıyor?
Kurumsal yapıda sorumluluk üç katmana bölünür. Birinci hat işi yapan birimlerdir; riski gerçekte üstlenen ve günlük kararlarıyla yöneten taraf onlardır. İkinci hat risk ve uyum birimidir; çerçeveyi kurar, ölçer ve raporlar ama işi kendisi yapmaz.
Üçüncü hat iç denetimdir ve ilk ikisinin gerçekten çalışıp çalışmadığını bağımsız biçimde inceler. Ayrımın anlamı şudur: bu iş bir birimin görevi değil bütün kurumun düzenidir. Risk birimini "riskten sorumlu birim" saymak, birinci hattın sorumluluğunu görünmez kılar ve düzeni kâğıt üstünde bırakır.
Senaryo ve stres testi: tek olay değil zincir
Gerçek krizler tek başlarına gelmez. Bir elektrik kesintisi soğuk zinciri bozar, bozulan ürün iadeye dönüşür, iade müşteri kaybına ve basında bir habere yol açar; tek bir olay dört ayrı kalemden zarar üretir.
Senaryo çalışması bu zinciri baştan yazar ve her halkada hangi teminatın devreye gireceğini sorar. Zincirin üretimin durmasına uzanan bölümü kâr kaybı teminatının konusudur. Çalışmanın en değerli çıktısı tazminat tahmini değil, hiçbir poliçenin devreye girmediği halkanın bulunmasıdır; oradaki boşluk ya bir yatırımla ya da bir teminatla kapatılır.
Toplam risk maliyeti
Sigortanın pahalı olup olmadığı tek başına prime bakılarak anlaşılmaz. Kurumsal tarafta hesaplanan büyüklük dört kalemin toplamıdır: ödenen prim, üstlenilen muafiyetlerin toplamı, hiç sigortalanmamış kayıplar ve riski azaltmak için yapılan yatırımlar.
Bu toplam yıldan yıla izlendiğinde kararlar karşılaştırılabilir hâle gelir; primi düşürmek için yükseltilen bir muafiyet, cepten ödenen hasarları daha çok artırdıysa tasarruf değildir. Beko Kurumsal Risk ve Sigorta Direktörü Arda Koçyan, küresel bir markada bu dengeyi nasıl kurduklarını anlatıyor.
Kimin işi, kime raporlanıyor?
Şirketin büyüklüğüne göre bu iş bir kişide, bir birimde ya da bir komitede toplanır. Sigorta satın alma tarafında brokerle çalışılır; teknik tarafta risk mühendisliği raporları, iş sürekliliği planları ve tedarikçi denetimleri devreye girer.
Raporlama hattının nereye bağlandığı, işin ciddiye alınıp alınmadığının en iyi göstergesidir. Kararların yönetim kuruluna ulaşmadığı bir yapıda sorumluluk yine de orada kalır; ihmal iddiası doğduğunda gündeme gelen başlık yönetici sorumluluk sigortasıdır. Bora Akdoğanlar, KRYD yönetim kurulu başkanı olarak bu işin şirketler için ne anlama geldiğini anlatıyor.
Sık sorulan sorular
Risk yönetimi ile iç denetim aynı şey mi?
Değildir. Risk yönetimi ileriye bakar ve olması muhtemel olayları yönetir; iç denetim geriye bakar ve kurulmuş düzenin işleyip işlemediğini bağımsız biçimde inceler. İkisinin aynı kişiye bağlanması denetimin bağımsızlığını bozar. Konunun bütünü kurumsal risk yönetimi dosyasında ele alınıyor.
Sigortalanamayan bir risk karşısında ne yapılır?
Teminat bulunamıyorsa geriye üç yol kalır: riski doğuran faaliyeti değiştirmek, olasılığı ya da etkisini azaltacak bir yatırım yapmak ve kalanı bilinçli olarak üstlenmek. Üstlenme kararının yazılı olması önemlidir; kayda geçmemiş bir üstlenme, kriz anında bir karar olarak değil ihmal olarak okunur.
Risk yöneticisi olmak için hangi yol izleniyor?
Tek bir güzergâh yoktur; alana mühendislikten, sigortacılıktan, denetimden ve finanstan gelinir. Ortak nokta iki dili birden konuşabilmektir: sahadaki teknik gerçeği ve onun bilançodaki karşılığını. Mesleğin kendi örgütlenmesi ve eğitim tarafı Türkiye'de de kurulmuş durumdadır.
Risk haritası ne sıklıkla güncellenmeli?
Takvim tek başına yeterli değildir. Yılda bir yapılan gözden geçirmenin yanında haritayı değiştiren olaylar da tetikleyici sayılır: yeni bir tesis, yeni bir ülke, büyük bir tedarikçi değişikliği ya da yaşanmış bir olay. Bir yıl boyunca hiç değişmeyen bir harita çoğu zaman güncel olduğunu değil, bakılmadığını gösterir.
