İŞG102U-YÖNETİM SİSTEMLERİ VE RİSK YÖNETİMİ
Ünite 8: Risk Yönetimi Standartları
Giriş
İş sağlığı ve güvenliği risklerini idare edebilmek için risk yönetimi sürecinin nasıl uygulanacağı üzerinde pratik tavsiyeler sağlarlar. Diğer risklerde olduğu gibi, iş sağlığı ve iş güvenliğinin yönetimi için, bir risk yönetimi yaklaşımının kabulü ve bunun yönetimce taahhüdü gerekir. Organizasyonun ve ona ait risklerin yönetimi için İSG standartları bütünleşmiş sistemin bir parçası olmalıdır. Genel olarak risk yönetimi için yöntemler ve özellikle İSG riski, diğer planlama ve iş ve süreçlerle birleştirilmelidir. İş sağlığı ve güvenliği standartlar ile diğer uyumlu standartların süreçleri birleştirilirse kaynakların gereksiz olarak tekrar tekrar kullanımı önlenecektir.
Bir kuruluşta risk yönetimi uygulanıyorsa, bilinen risklerin ve gelecekte olması muhtemel risklerin analizi yapılıyor, riskleri değerlendiriyor ve bu risklerin meydana gelmesi durumunda zararların boyutları bugünden öngörülüyor ve bu risklerin etkilerini ortadan kaldırmaya ya da etkilerini en aza indirmeye çalışılıyor amacı taşıdığının göstergesi demektir. Riskleri, tehlikeyi kaynağında yok etmek veya tehlikelerin ortaya çıkmasını sistematik bir şekilde önlemeye çalışmak risk yönetiminin temelini oluşturmaktadır. Risk değerlendirmesi sürecinden elde edilen bilgiler karar aşaması için kaynak durumundadır.
Günümüzde başarılı organizasyonlar, belirsizlik ortamından kaçınma yollarını aramak gibi bir çaba yerine, risklerden fırsatlar elde etmeye odaklanmaktadır. Bunun sonucu olarak da geleneksel bakış açısıyla uygulanan risk yönetimi mevcut koşullarda yetersiz kalmaktadır. Buradan hareketle organizasyonlar farklı risk türlerini de operasyonel ve stratejik riskler gibi, dikkate almaya ve bunları aktif olarak yönetmeye başlamışlardır. Bir organizasyon mevcut risklerini yönetirken birbirinden tamamen farklı olan iki tür yol izleyebilir. Birincisi, mevcut risklerini birer birer ele alıp yönetmek; ikincisi ise tüm risklerini sistemin bir parçası olarak görüp, onları bir risk yönetimi programı çerçevesinde bütün olarak yönetmektir. İkinci yöntem genel olarak kurumsal risk yönetimi olarak adlandırılır. Organizasyonların kurumsal risk yönetiminden beklenilen faydaları elde edebilmeleri iyi işleyen kurumsal risk yönetim yapısı ve etkin kurumsal risk yönetim uygulamaları ile mümkündür. Bu amaçla hazırlanmış olan ISO 31000 Kurumsal Risk Standardı herhangi bir riski yönetmek için ana esasları ve ilkeleri belirlemektedir.
Riskin Kavramsal Çerçevesi ve Kurumsal Risk Yönetimi
Kurumsal risk yönetim sisteminin temel prensipleri şu şekilde özetlenebilir: Firmaların risklerini yönetmek ve faaliyetlerini bu risklerden zarar görmeden sürdürmelerine olanak yaratmak. Kuruluşlar için sadece bir kerelik değil, tutarlı ve tekrarlanabilir risk yönetim planları yapmak ve uygulamak. Kuruluş için değer oluşturmak ve o değeri korumanın yanı sıra kuruluşa bulunduğu ortamda başarı
kazandırmak. Risk yönetim süreçlerinin, kuruluşun günlük iş süreçlerinin bir parçası olmasını sağlamak.
Günümüzde artık birçok kurum ve kuruluş risk değerlendirme tekniklerini içeren ISO 31000, ISO 31010, ISO 31004, ISO 73, ICMM gibi ilke ve standartları göz önünde bulundurarak risk yönetimi için tutarlı ve bütüncül yaklaşımlar benimsemeye ve risk yönetiminin, kuruluşun tabandan üst yönetime kadar tamamen bütünleşmesinin içeren bir yönetim süreci olduğu kanaatine taşımaya ve kabul etmeye başlamıştır.
Riskin Diğer Kavramlarla İlişkisi
Risk kavramının tanımı ve çeşitlerinin oldukça geniş bir yelpazede ele alınabilmesinin bir getirisi olarak risk kavramı, pek çok benzer kavramla iç içe geçmiştir. Riskin kaynağı, riskin ortaya çıkmasına sebep olan temel nedeni ifade eder. Risk kaynağının belirlenmesi ile riskin oluşmasına neden olabilecek etkenler engellenerek riskin ortaya çıkması önlenebilir.
Risk, Tehlike ve Etki
Genel anlamda risk, herhangi bir tehlikenin meydana gelme olasılığı ile bu tehlike ile meydana gelen sonuçların bileşkesi şeklinde ifade edilmektedir. Diğer bir deyişle olası risk derecesinin, tehlikenin büyüklüğü ve tehlikeden etkilenenlerin savunmasızlığı ile orantılı olduğu anlaşılmaktadır
Risk ve Olasılık
Risk; olasılık hesaplamalarında kullanılmakta, bir ve sıfır arasında değişen sayısal değerlerle ifade edilmektedir. Bir sayısı; risk düzeyinin yüzde yüz olduğunu, sıfır sayısı ise; risk düzeyinin sıfır olduğunu belirtmektedir. Riske sayısal olarak bir değer biçilemediği durumlarda risk düzeyi; ‘yüksek risk’, ‘düşük risk’, ‘kabul edilebilir risk’, ‘ihmal edilebilecek kadar düşük risk’ gibi sözcüklerle tanımlanmaktadır.
Risk Analizi ve Risk Değerlendirme
“Risk analizi ve risk değerlendirme; risklerin belirlenmesi ve kontrol altına alınabilmesi için gerçekleştirilen risk tanımlama yaklaşımlarının genel adı olarak ifade edilebilmektedir. Risk analizi risklerin tanımlanabilmesi için bir sistem analizi yöntemini gerektirmektedir. Risk analizi; güvenlik kavramının en önemli parçası olmasının yanı sıra başlangıcı olarak da ifade edilebilmektedir.
Risk ve Karar Alma
Karar verme, sunulan çeşitli seçenekler içerisinden seçim ve tercih yapmak şeklinde tanımlanmaktadır. Sorun çözme ve çevrenin sunduğu fırsatları tanımlama süreci olarak belirtilen karar verme, kişinin herhangi bir konuyla ilgili olarak yaptığı seçim eylemidir. Karar verme sürecine katkı sağlayacak bilgilerin toplanması doğrultusunda karar verme, çeşitli alternatifler arasından seçim yapmakla ilgili bedensel ve zihinsel çabaların toplamı şeklinde ifade edilebilir. Kurumsal açıdan karar verme süreci, kurumun amaçları doğrultusundaki çalışmaları etkileyen engelleri
yok etmek, olumsuz koşulları ortadan kaldırmak ve bunların yerine olumlu olanlarını bulmak konusunda birtakım önlemler alınması evrelerini kapsamaktadır.
Risk ve Yarar
Risk, kurumlar için sadece istenmeyen bir olay, tehlike ya da tehdit durumunu temsil etmenin yanı sıra fırsatları da içerdiği için, risk ve yarar birbirleriyle ilişkilidir.
Risk, Değişkenlik ve Karmaşıklık
Değişkenlik, riskleri belirleyen en önemli faktörlerden birisidir. Hedeflenen değere her zaman tamamen ulaşılması mümkün değildir ve risk, hedeflenen değerden sapma durumu şeklinde de ifade edilir.
Risk Sınıflamaları
1. Tanımlanmış Risk 2. Tanımlanamayan Risk 3. Kabul Edilebilir Risk 4. Kabul Edilemeyen Risk 5. Toplam ve Artık Risk
Risk Yönetiminin Entegrasyonu
Risk yönetimi, hem stratejik hem de operasyonel seviyelerde kuruma/kuruluşa ait felsefe ve kurumsal kültürün; mevcut yönetişim politikalarının ve planlamalarının, raporlamaların ve karar verme yapılarının içerisine oturtulmalı veya entegre edilmelidir. Risk yönetimi ile yönetişimin başarılı şekilde hizalanması dört adet temel etkeni gerektirmektedir: (1) Kurumsal Müdahale, (2) Kurumsal Yönlendirme, (3) Karar Verme Yapıları, (4) Kurumsal Kapasite ve Kabiliyet,
Kurumsal Yönetim Sistemleri
Kamu sektöründen olsun özel sektörden olsun her kuruluş hedeflerine ulaşmak için azami bir gayret içerisindedir. Ancak bu hedeflere ulaşma konusunda belirsizlik oluşturacak iç veya dış çok sayıda etkenlerin varlığı kaçınılmazdır. Kuruluş için belirsizlik oluşturan bu unsurlar her zaman risk doğurur. Belirsizliğin olduğu ortamlarda mutlaka risk vardır. Risk: (a) Genellikle tam ve net olarak bilinemez ya da öngörülemez (belirsizlik), (b) Zamanla değişir, (c) Yönetilebilir bir olgudur, (d) Sonuç üzerinde olumsuz etkileri vardır. Riskin oluşma olasılığının ve oluşması durumunda sonuca etkisinin değerlendirilmesi ile riskin büyüklüğü belirlenir.
Hangi sektörde faaliyet gösteriyor olursa olsun, kuruluşların mal veya hizmet üreten faaliyetleri her zaman bir risk altındadır. Uluslararası Standartlar Organizasyonu tarafından 2009 yılında hayata geçirilen, ISO 31000 Kurumsal Risk Yönetim Sistemi standartları, işte bu sistematik ve mantıksal işlemleri detaylandırmaktadır. Bu standartlar, risk yönetiminin genel esaslarını ve ilkelerini düzenler. ISO 31000 standartları, bir kuruluşun var olduğu sürece yürüttüğü çeşitli faaliyetlerine uygulanabilir.
Kurumsal Risk Yönetimi Norm ve Standartları
Risk kavramının oluşturulması ve kültür hâline gelmesi, nesnel ve verimli teknikler ile yönetimin sürdürülebilir
olması açısından kurumsal risk yönetimi uygulamasının, süreçlerinin, organizasyon yapısının resmileştirilmesi, sistematik, temel prensip ve ilkelerin belirlenmesine yönelik çalışmalar norm ve standartlar ile ancak oluşturulabilmektedir.
Risk Değerlendirme Standartları
Kurumsal Risk Yönetimi’nin uygulanmasına rehberlik yapmak üzere norm ve standartların oluşturulmuş olması, risk yönetim süreçlerinin resmi hâle getirilmesine ve Kurumsal Risk Yönetimi’nin uluslararası bir disiplin hâline dönüşmesini sağlamıştır. Ulusal standardizasyon kuruluşları ve sivil toplum kuruluşları kurumsal risk yönetimine yönelik standart yaklaşımların geliştirilmesine ve kullanılmasına katkıda bulunmuşlardır. Bu çerçevede dünya genelinde seksenden fazla risk yönetim çerçevesi geliştirilmiştir. Dünya genelinde en yaygın uygulanan ve genel kabul görmüş KRY çerçevelerine ilişkin örnekler, aşağıdaki Tablo(sayfa-297) 8.1’de gösterilmiştir.
Risk Analiz Kararları
Kantitatif risk değerlendirmesinin başarılı bir şekilde uygulanması gerekli verilerin mevcudiyetine ve sürecin yönetilmesi ve gerekli uzmanlığın sağlanmasına yönelik kurumun/kuruluşun kapasitesine ve içeriğine bağlıdır.
Kantitatif analiz; içerik oluşturulurken, sonuçlara ve onların olasılıklarına yönelik pratik değerler tahmin eder ve belirli birimlerde tanımlanmış risk seviyesi değerleri oluşturur. Sayısallaştırma, istatiksel olarak mantıklı ve geçerli bir dayanak gerektirir.
Yarı kantitatif yöntemler; sonuç ve ihtimal için sayısal değerlendirme ölçeği/skalası kullanır ve bu değerleri bir formülle risk seviyesini belirlemek için bir araya getirir. Ölçekler, doğrusal veya logaritmik olabilir ya da başka ilişkiler içerebilir.
Kalitatif değerlendirme; ‘yüksek/büyük’, ‘orta’ ve ‘düşük/küçük’ gibi önem seviyeleri kullanarak, sonuç, ihtimal ve risk seviyesini tanımlar ve kalitatif kriterlere göre elde edilen risk seviyesini değerlendirir
Risk Analiz Teknik ve Yöntemleri
İş yerinde meydana gelmesi muhtemel tehlikeler ilk adımda belirlenmektedir. Eğer tanımlanan tehlikelerden kaynaklı risklere karşı ulusal veya uluslararası standart, mevzuat ve normlar var ise; öncelikli olarak bu hükümler değerlendirmeye alınmalıdır.
Kurum ve kuruluşlarda risklerin belirlenmesi ve değerlendirilmesinde çok sayıda teknik ve yöntem kullanılmaktadır. Bu teknik ve yöntemlerin ortak özellikleri sistematik bir alt yapıya sahip olmaları ve olabildiğince bireysel (sübjektif) olmayan, tamamen kanıtlanabilir yargılara bağlı olmaları zorunluluklarıdır. Risk değerlendirme sürecinde yapılan ‘risk analizi’ belirlenen tehlikeler için risk düzeyinin hesaplanabilir hâle getirilmesi olarak ifade edilebilmektedir. Uluslararası düzeyde geçerliliğe sahip çok sayıda ‘Risk Analiz Teknik
ve Yöntemleri’ olmasına rağmen, bunlardan bazıları bu kısımda derlenerek verilmiştir. Bunlar; Ön Tehlike Analizi (Preliminary Hazard Analysis-PHA); İş Güvenlik Analizi (Job Safety Analysis-JSA); Olursa Ne Olur? (What İf..?); vb.
Risk Yönetimi Katmanlı Yaklaşımı
Kademeli risk kültürü değişimi, yönetim, alt yükleniciler, çalışanlar ve tedarikçiler olmak üzere herkesin tanımlanmış sürece dahil olmasını sağlayarak sistematik bir yaklaşım gerektirir. Sürecin gelişimi, geçmişten gelen belirgin dönüm noktalarına sahiptir. 2000’li yılların başlarında, Avustralya, Queensland Üniversitesi tarafından yönlendirilen özgün bir süreç başlatılmıştır. Bu süreç, risk yönetimi faaliyetlerini uygun katmanlara yerleştirmek ana amacı ile kollektif (paylaşımcı) bir yöntem olarak geliştirilmiştir. Bu kısımda verilen süreç, bu özgün yönteme dayanmaktadır.
Katmanlı Olgunluk Analizi
Katmanlı yaklaşımın ilk adımı, kurumun (kuruluşun) mevcut durumunun, belirlenmiş standartlara dayanarak analiz edilmesi sürecidir. Önceki başlık altlarında da bahsedildiği gibi, kullanılan bu standart, 6 insani ve 17 sistem bileşenleri olmak üzere toplam 23 unsuru içermektedir. Bu tür uygulanacak mevcut durum çalışması risk yönetimi çerçevesini ve uygulama planlarının ana unsurlarını oluşturacaktır. Kuruluş, risk yönetimini destekleyecek çerçeveyi kendi risk mimarisine, stratejisine, iş yeri politikasına uygun olacak şekilde kendisi uyarlayabilir.
1. Adım: Riskin olgunluğuna ilişkin bir analizin gerçekleştirilmesi, birden fazla faaliyet için esas teşkil etmektedir; Değerlendirilen her bir unsurun uygulama eylem planını oluşturulmalıdır. Her bir unsur, 5 olgunluk seviyesinin herhangi bir basamağındaki kriterlerini içeren bir seviyede olabilir. Değerlendirme bağımsız bir risk uzmanı tarafından gerçekleştirilmelidir. Bu uygulamanın ardından her bir unsura ilişkin iyileştirme (gelişim) planı yapılmalı; bu plan, hedeflere ilgili eksiklikleri kapsayacaktır. Bu hedefler spesifik, ölçülebilir, ulaşılabilir, konu ile ilgili olmalı ve uygulama zamanlaması çok iyi olmalıdır.
2. Adım: Mevcut durum analizi ile ortaya çıkan eksiklerin katmanlı yaklaşım uygulamalarıyla geliştirilmesinin takibi ve endüstrideki en iyi uygulamalarla uygunluğunun değerlendirilmesi için ikinci bir mevcut durum ve olgunluk analizi yapılması gerekli olabilir. Katmanlı risk değerlendirmesi prensiplerini bilen ve hakim olan bağımsız bir risk uzmanı tarafından, içerisinde standartları da bulunduran resmi bir dokümantasyon kullanılacaktır. Bunu iyileştirme ve uygulama planının geliştirilmesi takip edecektir.