Risk bilinçli kurum: risk kültürü ve liderlik nasıl kurulur?

Risk kültürü nedir, risk yönetim sisteminden farkı ne?

Risk kültürü, bir kurumda insanların riskle ilgili karar alırken, risk gördüklerinde ve bir hata yaptıklarında fiilen nasıl davrandığının toplamıdır. Yazılı politikalar, risk matrisleri ve komiteler sistemin iskeletidir; kültür ise bu iskeletin gerçek hayatta işleyip işlemediğini belirler. Aynı politika farklı kurumlarda tamamen farklı sonuç verebilir: birinde çalışanlar sorunu erken söyler, diğerinde sessiz kalır.

Finansal İstikrar Kurulu'nun (FSB) risk kültürü rehberi bunu açık söyler: sağlam bir risk kültürü, bir kurumun kararlaştırılmış stratejisini belirlenmiş risk iştahı içinde başarıyla yürütüp yürütemeyeceğinin önemli bir belirleyicisidir. Rehber finansal kuruluşları denetleyenler için yazılmıştır, ancak göstergeleri, riskle karşılaşan her kurum için uyarlanabilir bir çerçeve sunar.

Kültür oluşturmak bu yüzden bir eğitim kampanyası ya da bir poster değildir. Liderlerin davranışını, hesap verebilirliği, açık konuşma ortamını ve ödüllendirme düzenini birlikte değiştirmeyi gerektirir.

Sağlıklı risk kültürünün göstergeleri

FSB rehberi sağlıklı bir risk kültürünü şu göstergeler üzerinden değerlendirir ve bunların bir kontrol listesi değil, birbirini güçlendiren unsurlar olduğunu vurgular. Göstergeleri günlük kurumsal pratiğe şöyle çevirebilirsiniz:

• Üst yönetimin tavrı (tone from the top): Yönetim kurulu ve üst yönetim, temel değerleri ve risk beklentilerini belirleyen başlangıç noktasıdır ve kendi davranışı bu değerlerle örtüşmelidir. Rehber, personelin dürüst davranmasını ve gözlemlediği uyumsuzlukları hızla bildirmesini ("sürpriz olmasın" yaklaşımı) temel bir değer olarak sayar.
• Hesap verebilirlik (accountability): Her kademede çalışanlar kurumun değerlerini ve risk yaklaşımını anlar, rollerini yerine getirecek yetkinliktedir ve risk alma davranışlarından sorumlu tutulacaklarını bilir.
• Etkili iletişim ve itiraz (communication and challenge): Karar süreçleri farklı görüşleri teşvik eder, mevcut uygulamaların sınanmasına izin verir, çalışanlarda olumlu ve eleştirel bir tutum geliştirir.
• Teşvikler (incentives): Performans ve yetenek yönetimi, kurumun istediği risk yönetimi davranışını pekiştirir; finansal ve finansal olmayan teşvikler değer ve kültürle uyumludur.

Bu göstergeleri izole değerlendirmek yanıltıcıdır. Örneğin açık konuşmayı teşvik eden ama sonuç odaklı ödüllerle tersini ödüllendiren bir kurumda, söylem ile fiili davranış ayrışır.

Liderin günlük davranışları: kültür burada kurulur

Çalışanlar politikadan çok liderin yaptıklarına bakar. Risk kültürü kurmak isteyen bir yönetici şu davranışlara dikkat etmelidir:

• Kötü haberi getireni cezalandırmamak. İlk tepki öfke ise bir sonraki sorun gizlenir. Tepkinizi "teşekkürler, birlikte nasıl çözeriz" biçiminde tutarlı hale getirin.
• Karar toplantılarında risk sorusunu rutin yapmak: bu kararın en kötü sonucu nedir, bu sonuçtan erken hangi işaretle haberimiz olur, kim bu işi durdurabilir?
• Hedef baskısıyla risk uyarısı çatıştığında kararın nedenini şeffaf ve yazılı biçimde vermek. Örneğin bir satış yöneticisi hedef için kontrolü atlatmak isteyen ekibe "hedef önemli ama bu adım atlanamaz" diyorsa ve bu söz tüm ekibe duyuluyorsa, kural gerçek hale gelir.
• Kontrol fonksiyonlarının (risk, uyum, iç denetim) toplantılara katılmasını ve itirazını rahatça dile getirmesini sağlamak. FSB rehberi bu fonksiyonların iş birimleriyle eşit statüde olmasını, bağımsız çalışmasını ve yönetim kuruluna doğrudan erişimini bir kültür göstergesi olarak sayar.
• Kendi hatasını açıkça konuşmak: yönetici bir risk kararında yanıldığını anlatırsa, ekibine hata bildirmenin güvenli olduğunu gösterir.

Kültür değişimi çoğunlukla bu küçük ve tekrar eden davranışların tutarlılığıyla ilerler; bir kerelik büyük bir duyurudan çok daha etkilidir.

Hesap verebilirlik ve rol netliği

Riskin sahibi belirsiz olduğunda kimse sahiplenmez. Her önemli risk için bir sahip atanmalı, sahibin yetkisi ve raporlama hattı yazılmalıdır. Pratik bir ayrım: riski doğuran işi yapan iş birimi onu sahiplenir ve günlük yönetir; risk fonksiyonu yöntem koyar ve bağımsız izler; iç denetim ise bu düzenin çalıştığına güvence verir. Bu ayrım çalışanlara "risk bizim işimiz değil, risk bölümünün işi" yanılgısına düşmemelerini söyler.

Hesap verebilirlik ceza değil açıklıktır. Çalışanlar neyi bilmeleri, neyi yapmaları ve neyi bildirmeleri gerektiğini bilmelidir. Bunun için rol tanımlarında risk sorumluluğu açıkça yer almalı, yeni gelenlere risk beklentileri işe başlarken anlatılmalıdır. Hata durumunda ise amaç, sorumluyu bulmaktan önce nedeni anlamaktır; ancak kasıtlı ihlal ile iyi niyetli hata birbirinden ayrılmalıdır. Bu ayrım, "adil kültür" denilen yaklaşımın özüdür ve çalışanların bildirim yapma cesaretini belirler.

Teşvikler ve performans yönetimi

Kültürü en hızlı değiştiren şey, kimin terfi aldığı ve kimin ödüllendirildiğidir. Yalnızca satış, hacim ya da hız gibi kısa vadeli sonuçları ödüllendiren bir düzende risk uyarıları görünmez maliyet olarak algılanır.

FSB'nin ücretlendirme ilkelerine atıf yapan rehber, çalışanın ücretinin üstlendiği riskleri ve kurumun risk, uyum ve diğer önemli politikalara uyum performansını hesaba katması gerektiğini söyler. Ayrıca henüz gerçekleşmemiş potansiyel riskleri de gerçekleşmiş risk sonuçlarının yanında dikkate almayı önerir. Performans değerlendirmeleri ve terfiler de açık ve belgelenmiş süreçlerle desteklenmelidir.

Pratikte şunlar uygulanabilir: performans değerlendirmesine risk davranışı ölçütü eklemek; hedefleri yalnızca sonuca değil sonuca nasıl ulaşıldığına bağlamak; erken uyarı veren ya da süreci durduran çalışanları görünür biçimde takdir etmek; kurallara uymayan ama hedefi aşan çalışanı ödüllendirmemek. Finansal olmayan teşvikler (takdir, sorumluluk, gelişim fırsatı) de aynı mesajı taşımalıdır.

Risk kültürünü nasıl ölçer ve izlersiniz?

FSB rehberi risk kültürünü değerlendirmenin karmaşık olduğunu, bu yüzden bir dizi beceri ve yöntem gerektirdiğini belirtir. Tek bir sayı ya da anket sonucu yeterli değildir; birkaç kaynaktan gelen kanıtı birleştirmek gerekir:

• Çalışan anketleri ve odak görüşmeleri: Sorun bildirmenin güvenli olduğuna, yöneticilerin itirazı dinlediğine inanılıp inanılmadığı.
• Olay ve ramak kala kayıtları: Bildirimlerin zamanında yapılıp yapılmadığı, ramak kala olayların bildirilip bildirilmediği, bildirimin konusunun yalnızca küçük olaylarla sınırlı kalıp kalmadığı.
• Karar dosyaları: Önemli kararlarda risk değerlendirmesinin bulunup bulunmadığı, risk fonksiyonunun itirazının kayıtlı olup olmadığı ve nasıl karşılandığı.
• Tekrarlayan bulgular: İç denetim veya uyum bulgularının aynı kök nedenle tekrar etmesi, kültürün düzeltici eylemi yeterince benimsemediğini gösterir.
• Eskalasyon davranışı: Sorunlar üst kademelere nasıl ve ne kadar çabuk ulaşıyor, kim engelliyor?

İzleme düzenli olmalı ve sonuçlar üst yönetimle paylaşılmalıdır; rehber, liderliğin risk kültürünü teşvik etmesi, izlemesi ve değerlendirmesi gerektiğini belirtir. Ölçümün kendisi bir ceza aracı gibi algılanırsa insanlar cevapları yumuşatır ve veri bozulur.

Sık hatalar ve risk liderliği eğitimi

• Kültürü eğitimle sınırlamak: Eğitim farkındalık verir, ödüllendirme ve liderlik davranışı değişmezse etki geçicidir.
• Risk kültürünü uyum bölümünün işi saymak: Sahiplik iş birimlerinde kalmalıdır.
• Söylemle davranış arasında açıklık: "Açık konuşun" diyen ama itiraz edeni kenara iten yönetici, tüm mesajı geçersiz kılar.
• Yalnızca kriz sonrası harekete geçmek: Kültür çalışması olay yaşandıktan sonra değil, sakin dönemde başlamalıdır.
• Sonuç ölçütlerini tek başına kullanmak: Hiç olay bildirilmemesi iyi kültür değil, bildirmeme işareti olabilir.

Mindset'in Risk Bilinçli Liderlik eğitimi, risk tespiti ve haritalama, karar vermede risk entegrasyonu, stratejik risk yönetimi, itibar ve uyum riski, risk kültürü oluşturma ve süreklilik planlaması gibi konuları liderlik perspektifiyle ele alır. Üst Yönetim için Risk Liderliği eğitimi ise stratejik boyut, risk haritası ve önceliklendirme, teknoloji ve yasal uyum riskleri, risk yönetişimi ve raporlama ile proaktif risk kültürü oluşturma modüllerinden oluşur. Risk Bilinçli Liderlik yönetici ve ekip liderleri, Üst Yönetim için Risk Liderliği ise üst yönetim ve yönetim kurulu düzeyindeki karar vericiler için uygundur; kurumsal ekipler ortak bir risk dili oluşturmak için her iki kademeyi birlikte planlayabilir.