Birçok kurum için risk yönetimi dendiğinde akla şirketin kanuni yükümlülüklerinin izlendiği ve bunlarla ilgili kontrollerinin dokümante edildiği bir dizi uygulama geliyor. Tabi değişen iş pratikleri sonucu bu fikir yavaş yavaş değişiyor. Günümüzde risk yönetimi, şirketlerin kısa ve orta vadeli stratejilerinin belirlenmesinde önemli bir yere sahip ve neredeyse her şey için risk bazlı bir strateji belirlemek mümkün.
Risk, stratejik bir bağlam kazandıkça sayısal metrikler de bir o kadar ön plana çıkıyor. Risk yönetiminde ölçülebilir metrikler derken anahtar risk göstergelerinden bahsediyorum. Bu blogda, KRI’ların (Key Risk Indicators- Anahtar Risk Göstergeleri) gerçekte ne olduğunu ve etkili bir KRI havuzu oluşturmanın şirketler için neden önemli olduğunu açıklamaya çalışacağım.
Basit bir tanımla başlayalım: KRI’lar, işletmenin maruz kaldığı risklerin olasılığını ve potansiyelini öngörebilmek için kullanılan göstergelerdir. KRI’ları tüm süreç paydaşları için bir erken uyarı sistemi olarak düşünebilirsiniz.
KRI’lar veya KPI’lar. Fark ne?
Hemen hemen herkesin bildiği gibi, KPI’lar (Temel Performans Göstergeleri), şirketlerin performanslarını takip etmeleri için çok önemli ölçütlerdir. KRI’lar bazen aynı amaca hizmet eder, bu nedenle KRI’ların ve KPI’ların yakından bağlantılı olduğunu söyleyebiliriz. Ancak genel olarak, KPI’ları ve KRI’ları nasıl ayırt edebilirsiniz? Aslında, bunu yapmak zorunda da değilsiniz. Performans, riskler ve stratejiler birbirine çok yakın kavramlardır dolayısıyla illa ki bu olguları kesin tanımlarla ayırmaya gerek yok. Yine de sadece sınırları belirlemek için aşağıdaki yaklaşımı kullanabilirsiniz;
- KPI’lar “Hedeflerimize karşı ne durumdayız?” sorusuna yanıt verir. Bu soruyu düşündüğünüzde aklınıza karlılık veya maliyetteki değişim gibi hedefler gelebilir.
- KRI’lar ise “Hedeflerimize ulaşmamızı ne engelleyebilir?” sorusunu yanıtlayacak metrikleri ölçer. Bu soruyu düşündüğünüzde müşteri iade oranları, personel devamsızlık oranları veya geç teslimat sayısı gibi muhtemelen farklı metrikler aklınıza gelecektir.
Tabi tüm bu değerler konunun değerlendirildiği bağlama bağlıdır. Bir metriğin kesinlikle bir KRI veya KPI olduğunu söyleyemeyiz. Örneğin müşteri iade oranlarını müşteri memnuniyetinin azalması riski bağlamında düşündüğümüzde bu metrik hemen bir KRI’ya dönüşüyor. Daha önce bahsettiğim gibi KRI’lar, KPI’lar veya KCI’lar (Anahtar Kontrol Göstergeleri) birbirini ikame edebilen olgulardır. Bu nedenle bağlama bağlı olarak farklı mesajlar taşıyabilirler. Burada önerebileceğimiz en iyi yaklaşım, bu ayrımı terk etmek ve tüm ölçümlerinizi bağlama bağlı olarak değerlendirmektir. Aşağıda KPI’lar ve KRI’ların kullanım alanlarına ilişkin faydalı bir görsel paylaşıyorum.
Etkili KRI’lar nasıl tasarlanır?
Etkili KRI’lar tasarlamak her zaman iyi tanımlanmış stratejiler ve hedeflerle başlamalıdır. Ardından, hedeflerinize ulaşmanızı engelleyebilecek kilit riskleri belirlemeli ve bu riskleri takip edilebilen, erken uyarı sistemi görevi görebilecek KRI’lar ile izlemelisiniz. Bu, etkin KRI tasarımına ait ilk ilke olmalıdır.
İkinci olarak, KRI’lar aynı temel nitelikleri paylaşan verilerle izlenmelidir. KRI verilerine ilişkin temel özellikleri aşağıdaki gibi listeleyebilirim:
- Ölçülebilir: Metrikler ölçülebilir olmalıdır. Veriler sayı, miktar, yüzde vb. rakamsal değerlerden oluşmalıdır.
- Öngörülebilir: Metrikler, riskler için erken uyarı sinyalleri sağlayacak nitelikte olmalıdır.
- Karşılaştırılabilir: Metrikler zaman içinde izlenebilir olmalı ve bir şirketin farklı iş birimleri veya faaliyet bölgeleri arasında karşılaştırılabilir olmalıdır.
- Bilgilendirici: Metrikler, bir riskin durumunu ölçmeli ve riskin tüm paydaşları için fikir verici olmalıdır.
Üçüncüsü, “Leading” ve “Lagging” KRI’lar arasında hassas bir denge olmalıdır. İlk olarak “Leading” ve “Lagging” KRI’lar için bir tanımlama yapalım:
- Leading KRI’lar, risk değerlendirmelerinin sıklığı, toplam iş güvenliği eğitim süresi, yıllık denetim sayısı gibi gelecekteki sonuçları iyileştirmesi beklenen indikatörlerdir.
- Lagging KRI’lar, siber saldırı sayısı, geçtiğimiz yıl hurdaya ayrılan malzemelerin toplam maliyeti veya iş kazası sayısı gibi geleceğe yönelik bir ipucu vermek için geçmiş verileri içeren veriler için kullanılır.
Son olarak, doğru sayıda KRI kullanmak da risk profesyonellerinin verilerde kaybolmaması için çok önemlidir. Elbette bir şirket için doğru sayıda risk ya da KRI yoktur ancak risk başına 2-3 KRI kullanmak risklerin geçerli olduğu süre boyunca yönetilebilir görünmektedir.
Sonuç
Konuyu özetlemek gerekirse, KRI’lar stratejik risk yönetiminin en önemli parçalarından biridir ve performans/strateji yönetimi ile giderek daha fazla entegre olmaktadır. Etkin bir KRI kütüphanesi oluşturmak, risk yönetiminde proaktif bir yaklaşım elde etmek için en önemli adımlardan biridir. Etkili bir şekilde tasarlanmış KRI’lar riskleri yönetmek, finansal performansı iyileştirmek ve risklerin kontrol altında olduğuna dair doğru düzeyde güvence sağlayabilir.
Son olarak eklemek istediğim bir konu da etkin iş birliği hususunda olacak. Temel risk göstergelerine ilişkin bütünsel bir vizyon elde etmek istiyorsanız iş, risk ve dijital dönüşüm profesyonellerinin iş birliği yapması gerekir. Aksi takdirde, sıfır otomasyonlu tonlarca KRI’nız veya tamamen otomatik ama kimsenin ilgilenmediği indikatörleriniz olabilir.
