Risk iştahı: kurum hedefi için ne kadar riski göze alır?

Risk iştahı nedir?

Risk iştahı (risk appetite), bir kurumun stratejik hedeflerine ulaşmak için üstlenmeye istekli olduğu risk türü ve miktarıdır. Üst yönetimin ve yönetim kurulunun "hangi riskleri bilinçli olarak alıyoruz, hangilerinden kaçınıyoruz?" sorusuna verdiği cevabı ifade eder.

Risk iştahı risksiz olmayı değil, riski bilinçli yönetmeyi anlatır. Hiç risk almayan bir kurum büyüyemez; kontrolsüz risk alan bir kurum ise hedefini ve varlığını tehlikeye atar. İştah tanımı, farklı birimlerin aynı konuda farklı düzeyde risk almasını engelleyerek karar vermede ortak bir çerçeve sağlar.

Risk iştahı ve risk toleransı arasındaki fark

İki kavram sık karıştırılır.

Risk iştahı: Kurumun hedefleri doğrultusunda istekle üstlendiği genel risk düzeyidir. Stratejik ve yukarıdan aşağı belirlenir. Örneğin "yeni pazarlarda büyümek için ölçülü bir finansal risk alırız, ama mevzuata uyumda risk almayız" gibi bir ifade iştahı anlatır.

Risk toleransı: İştah çerçevesinde kabul edilebilen sapmanın operasyonel sınırıdır. Daha ölçülebilir ve uygulanabilir olup eşiklerle ifade edilir. Örneğin belirli bir göstergenin izin verilen sapma aralığı toleranstır.

Kısacası iştah "ne kadar almak istiyoruz", tolerans "hangi sınırı geçersek alarm veririz" sorusunun cevabıdır. İştah yönü gösterir, tolerans bu yönde ne kadar sapılabileceğini belirler.

Risk iştahı nasıl belirlenir?

Süreç genellikle stratejik hedeflerin netleştirilmesiyle başlar: hangi hedefler için hangi riskleri almaya razıyız? Ardından kurumun karşılaşabileceği risk kategorileri (stratejik, finansal, operasyonel, uyum, itibar, teknoloji gibi) belirlenir ve her biri için iştah düzeyi tartışılır.

Bu tartışmada kurumun taşıma kapasitesi hesaba katılır: finansal gücü, sermayesi, yönetim yetkinliği ve mevzuat çerçevesi. İştah, kapasiteyi aşmamalıdır. Sonuç, kurul tarafından onaylanan yazılı bir risk iştahı bildirimine dönüşür. Bildirim sade, anlaşılır ve her kategori için sınırı ya da yönü gösterir; bunun uygulamaya aktarılması için ölçülebilir toleransların tanımlanması gerekir.

Uygulamada nasıl kullanılır?

Risk iştahı kayıtta yaşamaz, kararlarda kullanıldığında anlam kazanır. Yeni bir yatırım, ortaklık ya da ürün değerlendirilirken ilgili riskin iştah içinde olup olmadığına bakılır. İştah aşılıyorsa risk azaltılır, transfer edilir ya da proje durdurulur; iştah altındaysa fırsatı değerlendirmek için daha cesur davranılabilir.

Proje yönetiminde de aynı mantık geçerlidir. Proje riskleri değerlendirilirken kurumun iştahı, risk yanıt stratejilerinin seçimini yönlendirir. Düşük iştahlı bir alanda önleme ve azaltma ağırlık kazanır; yüksek iştahlı alanda kabullenme daha makul hale gelir. Riskler düzenli izlenir, iştah aşıldığında üst yönetime raporlanır ve gerektiğinde iştah bildirimi değişen koşullara göre güncellenir.

Yapay zeka gibi yeni alanlarda risk iştahı

Yapay zeka kullanımı gibi hızla gelişen alanlarda risk iştahı özellikle önem kazanır. Kurum hangi kullanım alanlarında yapay zekaya izin verecek, hangilerinde (örneğin hassas kişisel veri içeren kararlar) çok düşük bir iştah belirleyecek? Bu sorular açık yanıtlanmazsa birimler kendi varsayımlarıyla ilerler ve tutarsız riskler oluşur.

Yönetişim çerçevelerinde risk iştahı bildirimi, hangi kullanım için hangi kontrollerin ve onayların gerektiğini belirleyen temel referanslardan biridir. İştah net olduğunda, operasyonel kontroller ve raporlama da buna göre tasarlanır.

Risk iştahı eğitimlerde nerede çalışılır?

Mindset'in Risk Yönetimi (PMI-RMP Hazırlık) programı "Risk Stratejisi ve Organizasyon Risk Kültürü" ve "Risk Yanıt Stratejilerinin Derinlemesine İncelenmesi" modüllerini içerir. Yapay Zeka Risk Yönetimi ve Yönetişim programı ise "Yapay Zeka Yönetisim Yapı ve Politikalar" ve "Risk İletişimi ve Paydaş Yönetimi" modülleriyle konuyu yönetişim bağlamında ele alır.