Risk Yönetimi Süreci

Risk Yönetimi Süreci

Risk yönetimi süreci ister bir ilişki geliştirmek, ister bir projeye başlamak veya bir etkinlik düzenlemek olsun, her karar verdiğimizde dikkate alınması gereken gerekli bir unsurdur ve iyi kalitede sonuçlar için gereklidir. Faaliyetlerimizi ve karar alma süreçlerimizi, stratejik hedeflerimize ulaşmamıza veya operasyonel planlarımızı başarıyla uygulamamıza yardımcı olan amaç ve sonuçlarla yapıcı bir şekilde uyumlu hale getirmeliyiz.

Risk Yönetimi Sürecinin Adımları

Kaynaklarda belirtilen risk yönetimi süreci aşağıdaki adımları içerir:

Bağlamın Kurulması (Establish the context)

• • Bu aşama, risk analizinin gerektirdiği faaliyetin, kararın, projenin, programın veya sorunun kapsamını ve hedeflerini tanımlamayı içerir. Neyi değerlendirdiğinizi belirleyerek risk değerlendirmesinin kapsamını belirlersiniz (yeni bir faaliyet, ortaklık, program, proje veya bir etkinlik olabilir).
  • Geniş hedefleri tanımlayın. Risk değerlendirmesinin nedenini belirleyin (yasa değişikliği, dış denetçi veya düzenleyiciden gelen bir talep, operasyonel bir değişiklik veya inceleme olabilir).
  • İlgili paydaşları belirleyin. Sürecin başından itibaren uygun şekilde kapsayıcı olmayı hedefleyin; etkilenen veya etkilenebilecek alanları belirlediğinizden ve girdilerini aldığınızdan emin olun. Bu erken aşamada bile uygun yetki devirlerinin yapıldığından emin olun.
  • İç ve/veya dış ortamı/faktörleri göz önünde bulundurun. Stratejik ve operasyonel bağlamı mümkün olduğunca değerlendirerek eksiksiz bir resim elde edin.
  • Arka plan bilgisi toplayın. Doğru bilgiye sahip olmak önemlidir. Doğru kişilere sorun ve mevcut bilgileri belirleyin. Bazen hemen mevcut olmayan ancak gerekli olabilecek bilgileri belirlemek de faydalı olabilir. Stratejik ve iş planlarını, personelin kişisel deneyimlerini, kurumsal bilgiyi, önceki olay incelemelerini veya raporlarını, önceki faaliyetleri/ziyaretleri, anketleri, soru formlarını ve kontrol listelerini, sigorta talep raporlarını, yerel veya uluslararası deneyimleri ve uzman görüşlerini (üniversite içi ve/veya dışı uzmanlık) göz önünde bulundurun.

Riskin Tanımlanması (Risk identification)

• • Üniversitenin veya ilgili Fakülte, Yüksekokul, Şube, bölüm veya kuruluşun ya da faaliyetin hedefleri üzerinde etkisi olabilecek riskleri belirleyin.
  • Risk kaynaklarını, etki alanlarını, olayları (koşullardaki değişiklikler dahil) ve bunların nedenlerini ve potansiyel sonuçlarını belirleyin. Amaçlarınıza ulaşmayı yaratabilecek, geliştirebilecek, engelleyebilecek, kötüleştirebilecek, hızlandırabilecek veya geciktirebilecek faktörleri açıklayın. Bir fırsatı takip etmemeyle ilişkili sorunları, yani hiçbir şey yapmama ve bir fırsatı kaçırma riskini de tanımlamayı hedefleyin.
  • Riskleri tanımlarken şu tür soruları göz önünde bulundurun:
    • Ne olabilir: Neler ters gidebilir veya ilgili hedef veya amaçlara ulaşmayı ne engelleyebilir? Hangi olaylar veya durumlar amaçlanan sonuçları tehdit edebilir?
    • Nasıl olabilir: Risk hiç ortaya çıkma veya tekrar etme olasılığına sahip mi? Eğer öyleyse, risk olayının tekrar etmesine veya buna katkıda bulunmasına ne neden olabilir?
    • Nerede olabilir: Risk herhangi bir yerde veya herhangi bir ortamda/yerde ortaya çıkma olasılığına sahip mi? Yoksa konuma, fiziksel alana veya aktiviteye bağlı bir risk mi?
    • Neden olabilir: Riskin gerçekleşmesi veya tekrar etmesi için hangi faktörlerin mevcut olması gerekir? Bir riskin neden ortaya çıkabileceğini veya tekrar edebileceğini anlamak, riskin yönetilmesi açısından önemlidir.
    • Etkisi ne olabilir: Risk gerçekleşirse, bunun ne gibi etkisi veya sonuçları olabilir? Etki yerel mi hissedilecek yoksa tüm Üniversiteyi mi etkileyecek? Etki alanları arasında eğitim veya araştırma programı/faaliyeti; insani etki; hizmet sunumu; finansal sonuçlar; yasal veya sözleşme uyumunda aksama; ve stratejik hedeflerimize ulaşmadaki başarısızlık nedeniyle marka ve itibar üzerinde olumsuz etki yer alır.
    • Bu ortaklığı, programı, projeyi veya etkinliği kim veya neler etkileyebilir? Ne kadarı Üniversitenin kontrolü veya etkisi altındadır? Yetki, kontrol, etki, kaynak ve bütçeye sahip olanların en azından bilgilendirildiğinden, aktif olarak dahil edilmese bile emin olun.

Riskin Analizi (Risk analysis)

• • Riskin ayrıntılı bir şekilde anlaşılmasını geliştirin. Risk tanımlandıktan ve bağlamı, nedenleri, katkıda bulunan faktörleri ve sonuçları açıklandıktan sonra, riski kontrol etmeye yardımcı olmak için tasarlanan mevcut sistemlerin ve süreçlerin güçlü ve zayıf yönlerine bakın. Hangi kontrollerin zaten mevcut olduğunu ve bunların etkili olup olmadığını bilmek, başka bir eyleme gerek olup olmadığını belirlemeye yardımcı olur.
  • Mevcut kontrolleri belirleyin – riskin etkisini azaltmak için halihazırda yürürlükte olan kontrolleri belirleyin. Kontroller, yanlış gitmesini önlemek için tasarlanan sistemler, süreçler veya prosedürlerdir. Kontroller güçlü veya zayıf olabilir; ölçülebilir ve tekrarlanabilir olabilirler. Kontroller mevzuat, politikalar veya prosedürler, personel eğitimi, görevlerin ayrılması, kişisel koruyucu önlemler ve ekipmanlar ve yapısal veya fiziksel engeller (örneğin, BT güvenlik duvarları veya makinelerin etrafına koruyucular kurmak) içerebilir.
  • Kontroller belirlendikten ve etkinlikleri analiz edildikten sonra, riskin gerçekleşme olasılığı ve risk gerçekleşirse ortaya çıkacak sonuç değerlendirilir. Bu, risk seviyesinin – veya risk derecelendirmesinin – doğru, ancak subjektif bir değerlendirmesini sağlar ve bir sonraki adımda risklerin kabul edilebilir olup olmadığını veya daha fazla işleme gerek olup olmadığını belirlemeye yardımcı olur.
  • Olasılığı değerlendirin – riskin gerçekleşme olasılığı nadir, muhtemel olmayan, mümkün, muhtemel veya neredeyse kesin olarak tanımlanır.
  • Sonucu değerlendirin – risk olayı gerçekleşirse ortaya çıkacak sonuçlar veya potansiyel etki önemsiz, küçük, orta, büyük veya aşırı olarak tanımlanır.
  • Olasılık ve sonuç değerlendirmesi çoğunlukla subjektiftir, ancak toplanan veri veya bilgi, denetimler, incelemeler, kişisel deneyim, kurumsal bilgi veya önceki olayların kurumsal hafızası, sigorta talepleri, anketler ve diğer mevcut iç ve dış bilgilerle desteklenebilir.
  • Risk seviyesini derecelendirin: Olasılık ve sonuç seviyelerini değerlendirmek için Üniversite Risk Matrisini kullanın; risk matrisi daha sonra risk derecelendirmesinin düşük, orta, yüksek veya aşırı olup olmadığını belirler. Üniversite Risk Matrisi ayrıca çeşitli risk derecelendirmeleri için gerekli yönetim eylemini de tanımlar.

Riskin Değerlendirilmesi (Risk evaluation)

• • Riskin kabul edilebilir mi yoksa kabul edilemez mi olduğuna karar verin. Gelecekteki eylemler hakkında kararlar almak için risk anlayışınızı kullanın.
  • Gelecekteki eylemlerle ilgili kararlar şunları içerebilir:
    • Etkinliği, faaliyeti, projeyi veya girişimi üstlenmemek veya devam etmemek
    • Riski aktif olarak işlemek/gidermek
    • Risk karmaşık ve tedavi gerektiriyorsa, gerekli eylemleri önceliklendirmek
    • Riski kabul etmek
  • Bir riskin kabul edilebilir veya kabul edilemez olup olmaması, riski tedavi ettikten sonra istenen hedeflere ulaşmak için riski taşıma istekliliği ile ilgilidir. Risk tutumu, iştahı ve toleransı zamanla, Üniversite genelinde ve bireysel Fakülteler, Yüksekokullar, Bölümler, Şubeler ve Kontrol Edilen Kuruluşlar için farklılık gösterebilir.
  • Bir risk aşağıdaki durumlarda kabul edilebilir veya tolere edilebilir olabilir:
    • Tedavi mevcut değilse
    • Tedavi maliyetleri aşırı yüksekse (özellikle düşük dereceli risklerle ilgili)
    • Risk seviyesi düşükse ve tedavi etmek için kaynak kullanmayı gerektirmiyorsa
    • İçerdiği fırsatlar tehditlerden önemli ölçüde ağır basıyorsa
  • Bir risk, tedavi edilmemeye karar verildiğinde (bir sonraki adım olan 5. Adım ‘Riskin İşlenmesi’ne uygun olarak) kabul edilebilir veya tolere edilebilir olarak kabul edilir. Bir riski kabul edilebilir veya tolere edilebilir olarak görmenin, riskin önemsiz olduğu anlamına gelmediğini hatırlamak önemlidir. Kabul edilebilir veya tolere edilebilir olarak kabul edilen risklerin hala izlenmesi gerekebilir.

Riskin İşlenmesi (Treat the risk)

• • Tanımlanan riskin sıklığını ve şiddetini en aza indirmek için etkili stratejilerin yürürlükte olduğundan emin olun. Riski kontrol etmeyi amaçlayan eylemler geliştirin ve tedavileri uygulayın.
  • Risk değerlendirme aşaması tamamlandıktan sonra, varsa tedavi seçeneklerini belirleyin; aksi takdirde riski tolere edin. Tedavi seçenekleri mevcut ve uygun olduğunda, bu tedavi seçeneklerini risk tedavi planının bir parçası olarak kaydedin. Bir riskin kaynağına veya temel nedenine uygulanmayan tedavi seçeneklerinin etkisiz olması ve kuruluş içinde riskin kontrol altında olduğuna dair yanlış bir inancı teşvik etmesi olasıdır.
  • Süreci şu şekildedir:
    • Belirli bir tedaviye gerek olup olmadığına veya riskin standart yönetim prosedürleri ve faaliyetleri çerçevesinde yeterince tedavi edilip edilemeyeceğine karar verin; yani tedaviyi günlük uygulamalara veya süreçlere dahil edin. Hangi tedavilerin uygulanabileceğini değerlendirirken, standart uygulamaların halihazırda bir kontrol görevi görüp görmediğini veya bu standart uygulamaların riski yeterince kontrol etmek için nasıl değiştirilebileceğini düşünmek yararlıdır.
    • Bu risk için ne tür bir tedavinin arzu edildiğini belirleyin – bu özel riski tedavi etmedeki amacın ne olduğunu belirleyin; tamamen kaçınmak mı, olasılığı veya sonucu azaltmak mı, riski (bir sigortacı veya yüklenici gibi başka birine) transfer etmek mi yoksa mevcut bilgilere dayanarak risk seviyesini kabul etmek mi? Seçilen risk tedavi türü genellikle riskin niteliğine ve bu riske karşı toleransa bağlı olacaktır.
    • Tedavi amacı bilindikten sonra tercih edilen bir tedavi seçeneğini belirleyin ve tasarlayın.
    • Tedavi seçenekleri şunlardır:
      • Bir faaliyete başlamayarak veya devam etmeyerek riskten kaçınmak
      • Bir fırsatın peşinden gitmek için riski almak veya artırmak
      • Risk kaynağını ortadan kaldırmak
      • Olasılığı değiştirmek
      • Sonucu değiştirmek
      • Sigorta, sözleşmeler, finansman yoluyla riski paylaşmak
      • Bilinçli bir kararla riski elde tutmak
  • Risk tedavi planını belgeleyin. Tedavi seçenekleri belirlendikten sonra bir risk tedavi planı hazırlanmalıdır. Tedavi planları, eylemler için sorumlulukları, uygulama zaman çizelgelerini, bütçe gereksinimlerini veya kaynak etkilerini, performans ölçütlerini ve uygun olduğunda gözden geçirme sürecini tanımlamalıdır.
  • Kabul edilen tedavileri uygulayın. Kaynak, finansman veya diğer eylemler için yetkilendirme gerektiren seçenekler onaylandıktan sonra, tedaviler sorumluluğu olanlar tarafından uygulanmalıdır. Risk için birincil sorumluluğa atanan kişi, nihayetinde riskin tedavisinden sorumludur.
  • Risk tedavi edildikten sonra, kalan risk seviyesini değerlendirin. Bir risk tedavi edilmiş ve kontroller yürürlüğe konmuş olsa bile, risk tamamen ortadan kalkmayabilir. Kalan risk seviyesi, risk tedavi edildikten sonra riskin gerçekleşme olasılığını ve sonucunu ifade eder. Uygulandığında, tedaviler kontrolleri sağlar veya değiştirir. Kalan risk derecesi genellikle orijinal risk derecesinden düşüktür, aksi takdirde kontroller etkili olmamıştır. Kalan risk belgelendirilmeli, izlenmeli ve gözden geçirilmelidir.

İzleme ve Gözden Geçirme (Monitor and review)

• • Risklerin kaynağındaki ve bağlamındaki değişiklikleri, belirli risklere karşı toleransı ve kontrollerin yeterliliğini izleyin. Riskleri düzenli olarak gözden geçirmek ve raporlamak için süreçlerin yürürlükte olduğundan emin olun.
  • Sürekli izleme: Riskler tanımlandıktan, kaydedildikten, analiz edildikten ve kabul edilen tedaviler uygulandıktan sonra, tedavinin etkili olduğuna ve artık riski kontrol etmeye yardımcı olduğuna dair güvence sağlamak için uygun bir izleme ve raporlama rejimi oluşturulması gerekir.
  • Fakülte/Yüksekokul, Bölüm/Şube veya Kontrol Edilen Kuruluş yönetimi incelemesi: Yöneticiler, sorumluluk alanlarındaki risk profillerini ve faaliyetlerini gözden geçirmek için bir süreç olduğundan emin olmalıdır.
  • İç denetim: Üniversitenin iç denetim programı, sistemlerin, politikaların ve süreç güvencesi ile uyumun gözden geçirilmesini sağlar.
  • Dış denetim: Üniversite her yıl Güney Avustralya Denetçisi tarafından denetlenir.
  • Yerel Koordinatörler veya Risk Kolaylaştırıcıları: Risklerin izlenmesi ve gözden geçirilmesinde aktif olan personel için Üniversite Risk Kayıt Defteri’ne (URR) erişebilmek ve kullanabilmek gerekebilir.
  • İzleme ve gözden geçirme, risk yönetimi sürecinin planlı bir parçasıdır.

İletişim ve Danışma (Communicate and consult)

• • Risk yönetimini uygulamaktan sorumlu olanların ve menfaat sahibi olanların, kararların hangi temelde alındığını ve belirli tedavi seçeneklerinin neden seçildiğini anlamalarını sağlamak için etkili iletişim ve danışma şarttır.
  • Risk yönetimi sürecinin herhangi bir ve tüm aşamalarında, özellikle planlar ilk düşünüldüğünde ve önemli kararların alınması gerektiğinde iç ve dış paydaşlarla iletişim kurun ve danışın.
  • Etkili iletişim ve danışma yoluyla risk yönetimi geliştirilir, böylece tüm taraflar birbirlerinin bakış açılarını anlar ve uygun olduğunda karar alma sürecine aktif olarak katılırlar.
  • İletişim ve danışma yöntemleri toplantılar, tutanakların dağıtımı, raporlar, çevrimiçi iletişim sistemleri ve öğrenme paketleri, oryantasyon paketleri, bültenler, dağıtım listeleri, akış şemaları ve personel farkındalık ve eğitim oturumlarını/personel eğitimini içerebilir.

Risk yönetimi kayıtları izlenebilir olmalıdır ve risk yönetimi sürecinde kayıtlar, yöntem ve araçlarda olduğu kadar genel süreçte de iyileştirme için temel oluşturur. Risk yönetimi sürecinin ve sonuçlarının belgelenmiş resmi bir kaydına sahip olmak, risk yönetiminin etkili olmasını sağlamak ve gösterilebilir bir risk yönetimi sisteminin kanıtını sunmak açısından önemlidir. Üniversitedeki riskleri kaydetme aracı Üniversite Risk Kayıt Defteri’dir. Risk kayıt defteri, tanımlanan risklerin, önem derecelerinin veya derecelendirmelerinin ve bunların nasıl yönetildiğinin veya tedavi edildiğinin belgelenmiş bir kaydıdır.