Kurumsal dayanıklılık: Risk yönetiminin ikizi

Şirketlerde ‘Kurumsal Risk Yönetimi (KRY)’ dizgesinin kurulması oldukça yaygınlaşmıştır. Ancak son dönemde iş insanlarının söz dağarcıklarında risk sözcüğünden daha çok yinelenen bir kavram var ki, o da ‘dayanıklılık (resilience). Bu kavramı ‘Kurumsal Dayanıklılık’ olarak kullanmak daha açıklayıcı olacaktır. Risk Yönetimi ile ilgili standartlar (ISO 31000:2018) ve diğer düzenlemeler (COSO ERM) uygulanırken bununla birlikte Kurumsal Dayanıklılık standartları ve düzenlemelerinin de uygulanması gerektiği görüşü ve uygulaması (Garanti BBVA, Assan Alüminyum vb.) yaygın kabul görmeye başlamıştır.

KURUMSAL DAYANIKLILIK NEDİR?

ISO 31000’e uygun (ve COSO ERM Modeli uyumlu) KRY dizgesinin etkili bir biçimde kurulması ve işle(tilebil)mesi için kurumlarda ‘Kurumsal Güvenlik ve Dayanıklılık’ (Security and Resilience) yaklaşımıyla İş Sürekliliği Dizgelerinin de -Business Continuity Management Systems) kurulması ve KRY ile entegrasyonu gerekmektedir. Kurumsal dayanıklılık ‘bir örgütün ereklerine ulaşmasını, yaşamını sürdürmesini ve gelişmesini sağlamak için değişen bir çevreye uyum sağlama yeteneği’ olarak tanımlanmaktadır. Kurumsal dayanıklılık için ISO’nun yayınladığı standart ise şu:

‘ISO – TS 22300: 2025 Güvenlik ve Dayanıklılık – Sözlük’; ‘ISO 22301: 2019 Güvenlik ve Dayanıklılık – İş Süreklilik Yönetim Dizgeleri – Gereklilikler’ ve 2024’te yapılan ‘İklim Eylemi İçin Değişiklikler Eki’; ‘ISO 22313:2020 Güvenlik ve Dayanıklılık – İş Sürekliliği Yönetim Dizgeleri – ISO 22301’in Kullanımına ait Rehber’; ‘ISO 22316:2017 Güvenlik ve Dayanıklılık Kurumsal Dayanıklılık – İlkeler ve Taahhütler’; ‘ISO/TS 22318:2021 Güvenlik ve Dayanıklılık – İş Sürekliliği Yönetim Dizgeleri – Tedarik Zincirleri Sürekliliği İçin Rehber’; ‘ISO 22320: 2018 Güvenlik ve Dayanıklılık – Acil Durum Yönetimi – Olay Yanıt Gereksinimleri’; ‘ISO 22330: Güvenlik ve Dayanıklılık – İş Sürekliliği Yönetim Dizgeleri – İş Sürekliliğinin İnsan Boyutları Rehberi’; ‘ISO/WD 22333 Güvenlik ve Dayanıklılık – İş Sürekliliği Yönetimi – İş Sürekliliği Yönetim Dizgesi Süreçleri Rehberi (Henüz Taslak)’; ‘ISO TS 22361:2022 Güvenlik ve Dayanıklılık –Kriz Yönetimi Kılavuzu’; ‘ISO 22395: 2018 (2024 yılında gözdengeçirilmiş ve onaylanmış) Güvenlik ve Dayanıklılık –Toplumsal Dayanıklılık ve Acil Durumlarda Savunmasız Kişileri Desteklemek‘, ‘ISO 22397:2014 Toplumsal Güvenlik – Ortaklık Düzenlemeleri Kurma Rehberi’

KRY dizgesinin ve bütünleşik biçimde kurumsal dayanıklılığın sağlanması iş sürekliliği yönetim (İSY) dizgesinin varlığıyla olanaklıdır. ISO 22301’de İSY sistemiyle ilgili şu beş bileşene sahip bir iş sürekliliği planlama yaşam döngüsü tanımlanmaktadır:

Bir örgütü halihazırda etkileyen önemli risk unsurlarını belirlemek; Bir örgütün gereksinimlerini ve yükümlülüklerini anlamak; Örgütün iş sürekliliği yönetim dizgesini kurup, uygulamak ve sürdürmek; Kesintiye neden olan olayları yönetme konusundaki genel yeteneği ölçmek; Belirtilen iş sürekliliği siyasasına uygunluğu güvence altına almak.

Yeterli iş sürekliliği planlarının yerinde olmasını sağlamanın önemli bir parçası, bir ‘İş Etkisi Çözümlemesi’nin (BIA) tamamlanmasıdır. İEÇ’de, her bir iş işlevinin doğası, söz konusu etkinliğe yönelik kesintinin etkisinin değerlendirilmesiyle belirlenmektedir. Bu bilgi, her bir işlev için uygun süreklilik stratejilerini belirlemek amacıyla gerekli olmaktadır. İEÇ, hem bir örgütün bağlamının anlaşılmasına hem de genel risk yönetimi sürecinin bir parçası olarak gerçekleştirilen risk değerlendirmesine benzemektedir. Ancak, risk değerlendirmesinden önemli ayrım, bir İEÇ'nin vurgusunun, yalnızca bağlamı anlamak veya belirli bir işlevi güçsüzleştirebilecek olayları belirlemek yerine, her bir işlevin göreceli öneminin belirlenmesidir.

İSY’nin üç bileşeni var: İş sürekliliği planlaması / Kriz yönetimi / Felaket kurtarma (DRP). DRP’de işlemlerin daha önce olduğu gibi veya daha önce olduğundan daha iyi devam etmesini sağlamak için kurtarma önlemlerinin uygulanması planlanır.

ÇEKİRDEK DAYANIKLILIKLAR

Bunları dört öbekte toplayabiliriz:

a) Finansal dayanıklılık: Örgütler kısa ve uzun erimli amaçlarını dengelemeliler. Sıkı bir sermaye yapısı ve yeterli bir akışkanlık, örgütleri düşen gelir, artan maliyet ve yabancı kaynak bulma konularında esen rüzgarlara karşı koruyacaktır. Dayanıklı örgütler maliyetleri denetlemekten çok gelirlerini artırarak yüksek getiri oranları elde edebilirler. Ancak geleceğin örgütleri katma değer büyümesi sağlarken diğer ölçütleri gözden kaçırma pahasına işletme etkinlik getiri oranlarına kilitlenmeyeceklerdir.

b) İşlemsel dayanıklılık: Dayanıklı örgütler istemdeki değişikliklere – nitelikten ödün vermeden – üretim sığalarını korurlar. Bu amaçla dayanıklı örgütlerin tedarik zincirlerinde (doğal yıkımlar, yer-siyasal olaylar vb. nedeniyle) kesintilere karşı önetkin tutum ve izlenceleri vardır.

c) Uygulayımbilimsel dayanıklılık: Sanayi 4.0’ın getirdiği risklerin başında sanal / bilişimsel saldırılar ve kıygılardır. Dayanıklı örgütler bu konuda IS0 27000 standardına uygun dizgelerini (insan ve donanım kaynaklarına ilişkin yeterli bütçe ve zaman tahsisine dayalı biçimde) kurarak ve güncel tutarak risk yönetimi yaparlar. Bu örgütler bu bağlamda veri çalma-bozma işlemleri başta olmak üzere fidye yazılım saldırıları (ransomware), ve bilişim dizgesi kesintileri gibi konulara hazırlıklıdırlar.

d) Örgütsel dayanıklılık: Dayanıklı örgütler gelecekteki büyümeleri için önemli yetenekler için çekim özeği olma ve onları eşitçe, esnekçe ve hızlıca geliştirme konusunda iyidirler. Ekin ve istenen davranışlar kurallar ve eşölçünler ile desteklenerek, hızlı ve çevik örgüt olma yaklaşımını temel alırlar.

e) Saygınlıksal dayanıklılık: Dayanıklı örgütler risk yönetim dizgelerini önetkin ve ESG (Çevresel, Toplumsal ve Yönetişimsel) temelli kurup uygularlar. Dayanıklılık için ESG temelli ve güçlü bir uzgörü ve özgörev oluşturulmasının ardından bunun için tüm toplumsal paydaşlar (stakeholders) kapsamlı ve odaklı amaçlar ve değerler geliştirilmelidir.

f) İşletme modeli dayanıklılığı: Dayanıklı örgütler tüketici yeğleyimlerindeki değişimler, yarışma ortamındaki gelişimler, uygulayımbilimsel değişimler ve yasal düzenlemelerde ortaya çıkan yeniliklere uyum sağlayabilirler. Bunun için bir yenileşim dağarcığı ve girişimciliğe (içgirişimcilik içre) değer veren bir genyöntem gereklidir. Özellikle günümüz çoklu (poly) ve ısrarcı (perma) bunalım çağında siyah kuğular (daha önce görülmemiş bunalımlar), yeşil kuğular (iklim değişikliği gibi çevre bunalımları), sarı kuğular (Trump gibi devlet başkanları) ile karşılaşırken dayanıklı örgütler devingen ve belirsizlik koşullarına uygun modeller geliştirip uygulayabilmelidir.

SONSÖZ

Geçtiğimiz dönemde VUCA Çağına girdiğimiz konuşuluyordu: Volatility (Hızlı iniş çıkışlı devingen ortam) ; Uncertainity (Kesin olmayan, değişme olasılığı olma durumu), Comlexity (Karmaşıklık, birçok şeyin birbiriyle bağlantılı olması - bkz. Bağlantısallık -), Ambiguity (Belirsizlik, bulanıklılık).

Daha sonra VUCA kavramı yerine BANI kavramı ortaya atıldı: Brittle (Kırılgan), Kaygılı (Anxious), Doğrusal olmayan (Non-linear), Anlaşılmaz (Incomprehensive) – bkz. Palo Alto, Kaos Çağıyla Yüzleşmek adlı eseri –

Bir başka kavram da RUPT oldu: Rapid (Hızlı), Unpredictable (Öngörülemeyen), Paradoxical (Paradoksal), Tangled (Karmaşık) bkz. The Center for Creative Leadership, USA -.

Son olarak da TUNA’ya değinelim: Turbulent (Çalkantılı), Uncertain (Belli olmayan), Novel (Yeni), Ambigious (Belirsiz, bulanık).

Belki de VUCA’yı şöyle anlayabiliriz: Vision (Uzgörü), Understanding (Anlayış), Clarity (Netlik), Adaptability (Uyarlanabilirlik) – bkz. Bob Johansen-.

Uzun sözün kısası örgütlerin risk toplumunda (bkz. Ulrich Beck) ‘Kurumsal Dayanıklılık’ için dizgesel bir çalışmayı yaşama geçirmelerinden başka seçenekleri yok. Eşdeyişle TINA (There is no alternative)! Tina Turner’dan bir şarkı dinleme zamanı: River deep – Mountain high (Akarsu derin, dağ yüksek)!