Bir KOBİ bunu en basit ve en maliyetli şekilde fark edebilir: bir iş siparişi gecikir, bir sipariş askıya alınır, bir dosya kaybolur, bir kontrol atlanır. O anda operasyonel risk yönetimi artık sadece teorik bir kavram olmaktan çıkar; sorunun üstesinden gelinmesi ile sorunun tekrarlanması arasındaki farka dönüşür. Bu nedenle, bunu sadece bir kaza sonrasında ortaya çıkarılan bir kontrol listesi olarak değil, sürekli bir süreç olarak ele almak daha mantıklıdır.
Pratik anlamda, operasyonel risk; süreçlerin, kişilerin, sistemlerin veya dış olayların olması gerektiği gibi işlev görmemesi nedeniyle para, zaman veya itibar kaybı yaşama riskidir. İtalyan düzenleyici kurumlar, İtalya Merkez Bankası’nın nicel ve önleyici mantığına dayalı, iç veriler, dış veriler, senaryolar, operasyonel bağlam faktörleri ve iç kontroller üzerine kurulu yapılandırılmış bir yaklaşımı halihazırda benimsemiştir. Bir KOBİ için bunun anlamı basittir: iş akışının nerede aksadığını, bunun size ne kadara mal olduğunu ve bunu nasıl daha erken fark edebileceğinizi bilmelisiniz.
Depoda meydana gelen bir hata bir sevkiyatı tehlikeye atar, yönetim yazılımındaki bir arıza faturalandırmayı durdurur, yetkisiz bir erişim ise hassas verileri riske atar. İşte bu, operasyonel risk yönetiminin en somut halidir: işin devamlılığının nerede kesintiye uğrayabileceğini gözlemlemek ve zarar yapısal hale gelmeden önce harekete geçmek.
Bir KOBİ için temel sorun kaynakları hemen fark edilir. İnsanlar hata yapar, süreçler tıkanır, sistemler çöker, dış ortam oyunun kurallarını değiştirir. Sınıflandırma, her şeyi “genel sorun” olarak nitelendirmenizi engelleyerek ve sizi bir veri girişi hatası, zayıf bir prosedür ile bir bilgi teknolojisi arızası arasında ayrım yapmaya zorlayarak faydalıdır.
İtalya Merkez Bankası, AMA çerçevesi içinde dört temel bileşene dikkat çekmektedir: iç kayıp verileri, dış kayıp verileri, senaryo analizi ve İtalya Merkez Bankası’nın operasyonel ortam ile iç kontrollerine ilişkin faktörler. Bir KOBİ için bu, sadece geçmişle sınırlı kalmayan, aynı zamanda gelecekte neler olabileceğine ve iç kontrollerin gerçekte ne kadar dayanıklı olduğuna da odaklanan bir vizyon oluşturmak anlamına gelir.
Pratik kural: Bir olay, kimse tarafından zamanında fark edilmeden tekrarlanabiliyorsa, bu zaten kötü yönetilen bir operasyonel risktir.
Bu yaklaşım, günlük deneyimleri karar alma sürecine dönüştürdüğü için işe yarar. Bir prosedürün yeniden yazılması gerektiğini anlamak için büyük bir kaybı beklemek gerekmez; çoğu zaman tekrarlayan küçük aksaklıklar, olağandışı gecikmeler ve iş akışlarındaki anormallikler yeterlidir. Operasyonel risk yönetimi, tam da bu tür aksaklıklara, kâr marjını ve güveni eritmeden önce öncelik vermek için vardır.
Net bir sınıflandırma, iki yaygın hatayı önler: sıradan göründükleri için “zararsız” riskleri hafife almak ve sadece gürültü çıkardıkları için daha göze çarpan riskleri abartmak. İşletme uygulamalarında en yararlı sınıflandırma, kişileri, süreçleri, sistemleri ve dış olayları birbirinden ayıran sınıflandırmadır. Bu sınıflandırma, bir bölüm müdürü tarafından kullanılabilecek kadar basit, ancak gerçek bir risk haritasını destekleyecek kadar sağlamdır.
İnsanlar, gerekli beceriler eksik olduğunda, roller net olmadığında ya da dolandırıcılık ve tekrarlanan hatalara yol açan boşluklar oluştuğunda risk yaratır. Örneğin perakende ve e-ticaret sektörlerinde, yanlış girilen bir manuel işlem stok, fiyat veya iadeleri etkileyebilir ve bu hata hızla yayılabilir.
Süreçler, çok uzun prosedürler, gereksiz onaylar veya belgelenmemiş aşamalar söz konusu olduğunda kırılgan hale gelir. Operasyonel risk değerlendirme metodolojilerine ilişkin İtalyan kılavuzları, basit bir muhasebe mantığından, kontroller, uyarı sinyalleri ve zayıf noktaların haritalandırılmasına dayanan daha analitik bir mantığa geçişten bahsetmektedir ( LIUC belgeleri). Bir KOBİ için bu, sürecin sadece “kağıt üzerinde doğru” olmakla kalmayıp, tekrarlanabilir olacak şekilde tasarlanması gerektiği anlamına gelir.
Sistemler, yazılım, altyapı ve siber güvenliği kapsamaktadır. FINMA, risk toleransı tanımlanarak ve FINMA’nın kullanılabilirlik, gizlilik ve bütünlük ilkelerine özen gösterilerek kritik donanım ve yazılımların kapsamlı bir envanterinin çıkarılması gerektiğini vurgulamaktadır. Bir şirket için bu, “Hangi varlıkların bir saat bile durmasına izin verilemez?” şeklinde somut bir soruya dönüşmektedir.
Dış etkenler arasında tedarik aksaklıkları, mevzuat değişiklikleri ve lojistik kesintiler yer alır. Bir e-ticaret işletmesinde, kritik öneme sahip bir iş ortağının gecikmesi veya ödeme akışındaki bir değişiklik bile, şirket içinden kaynaklanmayan ancak sonuçlara anında yansıyan bir riskin ortaya çıkmasına yeter.
İyi bir risk haritası şık olmak zorunda değildir, işlevsel olmalıdır. Bir madde dört kategoriden hiçbirine açıkça girmiyorsa, bu genellikle yeni bir risk değil, kötü tanımlanmış bir risktir. Bu konuda düzen sağlamak, değerlendirmeden izlemeye kadar geri kalan her şeyi kolaylaştırır.
Bir KOBİ’de risk değerlendirmesi, somut kaldığı zaman en iyi şekilde işler. Basit araçlarla başlanır, güvenilir işaretler toplanır ve analiz düzeyi yalnızca maliyetler, operasyonel süreklilik veya itibar üzerinde gerçek bir etkisi olan riskler için yükseltilir. Olasılık ve etki matrisi, genellikle ilk adımdır; çünkü çok karmaşık bir sistem kurulmasını beklemeden hızlı kararlar alınmasına olanak tanır.
Niteliksel matris, ekibin değerlendirmelerine bir düzen getirmek amacıyla kullanılır. Olasılık, etki ve operasyonel öncelik dereceleri belirlenir; böylece acil müdahale gerektiren riskler, gözlem altında tutulabilecek risklerden ayırt edilir.
Bir KOBİ için avantaj, pratiklikte yatmaktadır. İyi tanımlanmış bir risk günlük iş akışına dahil olur; kötü tanımlanmış bir risk ise belirsiz bir algı olarak kalır ve zaman ile bütçenin nereye ayrılacağına karar vermede yardımcı olmaz.
Avrupa temel yöntemine ilişkin İtalyan belgeleri, Ekonomi ve Maliye Bakanlığı’nın ilgili göstergesinin %15’i kadar bir sermaye gereksinimi belirtmektedir. Bir KOBİ için önemli olan, bu hesaplamayı aynen kopyalamak değil, temel mantığını kavramak, operasyonel riski karşılaştırılabilir bir ölçüye dönüştürmek ve bunu tutarlı öncelikler belirlemek için kullanmaktır.
Ölçülmemiş bir risk küçük değildir, sadece pek göze çarpmaz.
Nicel analiz, riskin tekrarlayıcı, maliyetli veya daha kesin bir tahmin gerektiren kararlarla bağlantılı olduğu durumlarda devreye girer. İtalyan teknik literatüründe, kayıpların sıklık ve ciddiyet dağılımlarının oluşturulması ve bunların birleştirilerek toplam dağılımın elde edilmesi, Ca’ Foscari Üniversitesi tezinde 99,9. persantilin hesaplanmasıyla birlikte açıklanmaktadır. Pratikte bu, olası en kötü operasyonel günün ne kadar maliyetli olabileceğini tahmin etmeye yarar.
Ortalama, sıradan davranışları yansıtır. Yüzdelik dilim ise dağılımın uç noktasını gösterir; bu durum her gün görülmez, ancak ortaya çıktığında büyük bir ağırlığa sahiptir. Bir KOBİ için bu ayrım, ek bir denetime, yedeklemeye, süreç gözden geçirmesine veya bir otomasyon çözümüne yatırım yapıp yapmama kararını verirken yararlıdır.
Risk tahmin modelleri tam da bu aşamada yardımcı olur; çünkü hangi olayların sürekli dikkat gerektirdiğini ve hangilerinin standart kontrollerle yönetilebileceğini tahmin etmeyi kolaylaştırır. Burada yapay zeka somut bir operasyonel avantaj sağlar; çünkü büyük miktarda bildirimi inceleyebilir, tekrarlanan kalıpları ortaya çıkarabilir ve ekibi tekrarlayan manuel işlerle yüklemeden daha düzenli bir izleme sürecini destekleyebilir.
Bir KOBİ için önemli olan nokta, genel bir algıdan kararlar için yararlı bir değerlendirmeye geçmektir. Değerlendirme net olduğunda, bütçe boşa harcanmaz, kontroller gerçekten gerekli olan alanlara odaklanır ve operasyonel risk yönetimi teoriden çıkıp bir sürece dönüşür.
Bir kontrol sistemi, herkesin neyi gözlemlemesi gerektiğini ve ne zaman müdahale etmesi gerektiğini bildiği zaman işler. Basel Kom itesi’nin uluslararası uygulamaları, neredeyse tüm bankalarda iç kontrollerin ve iç denetimin, operasyonel riski yönetmek için birincil araç olduğunu göstermektedir. Bir KOBİ için bu, bankayı taklit etmek anlamına gelmez; net ve sürdürülebilir bir yapı benimsemek anlamına gelir.
Birinci hat, işi yürüten, satın alma, satış, operasyonlar ve BT birimleridir. İkinci hat ise kuralları, kontrolleri ve öncelikleri belirler; üçüncü hat ise sistemin gerçekten işlediğini bağımsız bir şekilde doğrular. Bu hatlardan biri eksik olursa, risk körleşir ya da kontrol edilemez hale gelir.
Intesa Sanpaolo’nun kendi operasyonel risk belgelerinde de belirtildiği üzere, etkili bir risk tanımlaması için operasyonel risk, BİT ve güvenlik alanlarını tanımlayacak nitel ve nicel bilgilere ihtiyaç vardır. Bu husus hayati önem taşır; zira kontrol sadece politikalarla değil, veriler, denetimler ve kayıt altına alınmış olaylarla şekillenir.
Her olayın okunabilir bir iz bırakması gerekir. Bir arıza, dolandırıcılık veya sapma olay yönetimi sürecine dahil edilmezse, yönetim bu konuyu unutur ve sorunlar başka bir adla tekrar ortaya çıkar.
Yararlı bir rapor uzun değil, anlaşılır olmalıdır. Ne olduğunu, hangi kontrolün işe yaradığını, hangisinin yaramadığını ve hangi eylemin hâlâ beklemede olduğunu belirtmelidir. Rapor süs amaçlı bir arşiv haline geldiğinde, yönetişim görünenden çok daha zayıf demektir.
Uygulamaya yönelik kural: En iyi iç denetim, belgeler değil kararlar üreten denetimdir.
Bir KOBİ’de bu yapı yalın kalabilir. Net bir şekilde tanımlanmış sorumluluklar, tutarlı bir gözden geçirme sıklığı ve kritik sorunları gecikme olmaksızın karar verebilecek kişilerin önüne getiren bir eskalasyon akışı yeterlidir.
Ana Risk Göstergeleri( KRI), bir durumun kaza haline gelmeden önce kötüleşmesini tespit etmeye yarar. Bu göstergelerin gücü, operasyonel olayları kolayca anlaşılabilir sinyallere dönüştürme yeteneğinde yatmaktadır; böylece ekip, sorunu ancak hasar meydana geldikten sonra fark etmez. Sürekli izleme kültürü, BIS’in operasyonel risk alanında atıfta bulunduğu uluslararası uygulamalarda ve kılavuzlarda halihazırda yer almaktadır.
İyi bir KRI her şeyi ölçmez; arızayı önceden haber veren unsurları ölçer. Üretimde bu, plan dışı makine duruşlarının sayısı olabilir; satışta ise askıya alınan siparişlerin oranı; BT’de ise eşik değerin üzerindeki açık biletlerin sayısı veya günlüklerdeki anormalliklerin artışı olabilir.
Burada yararlı olan kural, belirli bir kontrol veya riskle bağlantılı az sayıda gösterge seçmektir. Bir KRI hiçbir zaman bir karara yol açmıyorsa, bu bir risk göstergesi değil, sadece fazladan bir veridir.
Okunabilir bir görünüm oluşturmak için uyarı seviyelerini ayırmak en uygunudur. Yeşil, durumun kontrol altında olduğunu; sarı, dikkat edilmesi gerektiğini; kırmızı ise acil müdahale gerektiğini gösterir. stratejik gösterge panellerini nasıl kullanacağınızkonusunda pratik bir referansa ihtiyacınız varsa, yalnızca eğilimleri, eşik değerleri ve gerekli eylemleri gösteren bir ekran düşünün.
Doğru gösterge paneli, yönetimi etkilemek için değil, doğru eylemi daha hızlı başlatmak için gereklidir.
En önemli nokta, veri ile sorumluluk arasındaki bağlantıdır. Sorumlusu olmayan bir KRI sadece bir rakam olarak kalırken, eşik değeri ve sorumlusu olan bir KRI ise bir yönetişim aracı haline gelir.
Bir KOBİ’de asıl mesele, bir riski tek seferde tespit etmek değil, o risk gelişirken onu yakalamaktır. Kontroller manuel olarak yapıldığında, izleme genellikle geç kalır; çünkü zayıf sinyaller e-postalar, dosyalar, biletler ve ayrı raporlar arasında kaybolur. Yapay zeka, verileri otomatik, tutarlı ve her zaman güncel bir şekilde okuduğu için operasyonel risk yönetimini daha kesintisiz hale getirir.
Yapay zeka,anomali tespitinde en iyi performansı gösterir; çünkü aylık raporlarda belirgin hale gelmeden önce normalin dışındaki davranışları tespit eder. Normalden sapan bir işlem akışı, tekrarlanan bir arıza, anormal şekilde artan bir destek talebi; bunlar, bir platformun bir sonraki denetimi beklemeden yakalayabileceği işaretlerdir.
Tahmine dayalı analiz sayesinde sistem, sorunu sadece bildirmekle kalmaz, sorun ortaya çıkmadan önce onu tahmin etmeye çalışır. Bu, müdahale gecikmesinin ilk hatadan daha ağır bastığı teknik süreçlerde ve yüksek frekanslı iş akışlarında yararlıdır. İş akışlarını AI ile iş akışlarını optimize etmek isteyenler için, asıl mesele sadece bir adımı otomatikleştirmek değil, kontrolü onu oluşturan operasyonel akışla bütünleştirmektir.
Operasyonel risklerin sürekli yönetimine ilişkin kılavuzlar, risk profillerinin ve temel göstergelerin izlenmesi ve güncellenmesi ihtiyacına özellikle dikkat çekmektedir; ancak uygulamada birçok KOBİ, bu ilkeleri gerçekten uygulanabilir bir BIS sürecine dönüştürmekte zorlanmaktadır. İşte bu noktada yapay zeka (AI) bu boşluğu doldurmaktadır, çünkü veriyi uyarıya, uyarıyı da eyleme bağlamaktadır.
Pratikteki fark, tekrarlayan ve zaman alan, dolayısıyla gerçekten hassas denetimleri ihmal edilmesine yol açan durumlarda ortaya çıkar. Sistem bir kalıbı tanırsa, bir uyarı açabilir, bunu doğru sorumlu kişiye atayabilir ve manuel bir işlem beklemeden denetimi başlatabilir.
Yapay zeka, yöneticinin karar verme sürecinin yerini almaz. Bu süreci daha hızlı, daha bilgili ve şansa daha az bağımlı hale getirir. Bir KOBİ için bu, sorunu bulmak için harcanan zamanın azalması ve sorunu çözmek için harcanan zamanın artması anlamına gelir.
Bir KOBİ, devasa bir proje başlatmadan da sağlam bir sistem kurabilir. Önemli olan, net, doğrulanabilir ve belirli bir sonuca bağlı adımlarla aşamalı olarak çalışmaktır. Pratikte, bu süreç hemen bir risk haritası, tanımlanmış sorumluluklar ve daha hızlı kararlar ile sonuçlanmalıdır. Bu yaklaşım, tanımlama, değerlendirme, kontroller, izleme ve eylem planını bir araya getiren İtalyan 4AIM metodolojileriyle uyumludur.
Her şeyden önce, riskin gerçekte nereden kaynaklandığını anlamak gerekir. Süreçleri, kişileri, sistemleri ve dış bağımlılıkları haritalandırın; ardından bir hata, gecikme veya operasyonel aksaklığın hizmet veya maliyetler üzerinde anında etki yaratacağı noktaları belirleyin.
Bu aşamada, günlük operasyonlardan gelen bilgileri toplayın. Kazalar, kıl payı kaçan olaylar, denetimler, şikayetler ve operasyonel anormallikler, tek seferlik sorunları, sürekli izleme ve belirli bir sorumlu atamayı gerektiren tekrarlayan risklerden ayırt etmenize yardımcı olur.
Her risk aynı düzeyde dikkat gerektirmez. Tolere edilebilir riskleri derhal ele alınması gerekenlerden ayırmak için bir olasılık ve etki matrisi kullanın; ardından riskleri, olası zarara ve sorunun tekrarlanma sıklığına göre öncelik sırasına göre sıralayın.
Burada, denetim mekanizmasının gerçekten işleyip işlemediğini görebiliriz. Kontrollerinin mevcut olup olmadığını, öngörüldüğü gibi çalışıp çalışmadığını ve azaltmaları gereken riski kapsayıp kapsamadığını kontrol edin. Bir kontrol eksikse ya da kontrol mevcut olmasına rağmen doğru şekilde kullanılmıyorsa, bu eksiklik açıkça ortaya konmalı ve operasyonel birim ile denetim fonksiyonu arasında herhangi bir belirsizlik kalmayacak şekilde net bir şekilde atfedilmelidir.
Son aşama, sürecin zaman içinde dinamik kalmasını sağlamaya yarar. KRI’leri, eşik değerleri, gözden geçirme sıklığını ve eskalasyon sorumluluklarını belirleyin; ardından bu unsurları kullanarak, tek seferlik bir kontrolle sınırlı kalmayan, kalan riskin seyrini takip eden bir izleme sistemi oluşturun.
Kalan risk mantığı oldukça basittir. Önemli olan sadece başlangıçtaki risk değildir; önlemler alındıktan sonra geriye kalan risktir. Bir risk çok yüksek kaldığında, bunu sonsuza dek tartışmanın bir anlamı yoktur; sorumluluk ve bir son tarih belirlemek gerekir. Bu şekilde, operasyonel risk yönetimi bürokratik bir işlemden ziyade bir öğrenme döngüsüne dönüşür.
Bir KOBİ kalite atılımı yapmak istiyorsa, yapay zeka kanıtların toplanmasından uyarıların sürekli izlenmesine kadar her aşamada destek sağlayabilir. Doğru şekilde yapılandırılmış bir sistem, tekrarlayan sinyalleri okuyabilir, anormallikleri vurgulayabilir, gösterge panellerini güncelleyebilir ve manuel işgücüne bağımlı kalmadan operasyonel raporlar hazırlayabilir. Bunun avantajı sadece hız değil, aynı zamanda tutarlılıktır: ekip, önemli sorunları daha önce fark eder ve daha az zaman kaybıyla müdahale edebilir.
.svg)
.svg)
.svg)
