Yönergeler · No: 102272376
Resmî kaynak: https://kms.kaysis.gov.tr/Home/Goster/207958
1
TİCARET BAKANLIĞI KURUMSAL RİSK YÖNETİMİ YÖNERGESİ
BİRİNCİ BÖLÜM
Amaç, Kapsam, Dayanak ve Tanımlar
MADDE 1 – (1) Bu Yönergenin amacı, Bakanlığın Stratejik amaç ve hedeflerine
ulaşılmasını etkileyebilecek riskler ile faaliyet, proje, süreç ve prosedür düzeyinde oluşabilecek
risklerin belirlenmesi ve yönetilmesi amacıyla etkin bir kurumsal risk yönetimi sürecinin
uygulanmasına ilişkin usul ve esasları belirlemektir.
MADDE 2 – (1) Bu Yönerge, Bakanlık merkez, taşra ve yurtdışı teşkilatı birimleri ile
döner sermaye birimlerini kapsar.
(2) İlgili mevzuatına göre millî güvenlik, savunma ve istihbarat hizmetlerine ilişkin
devlet sırrı ve ticari sır niteliğindeki bilgiler, kurumsal risk yönetimi çalışmalarından muaftır.
MADDE 3 – (1) Bu Yönerge, 10/12/2003 tarihli ve 5018 sayılı Kamu Mali Yönetimi
ve Kontrol Kanununun 55 inci maddesi ile 31/12/2005 tarihli ve 26040 3. mükerrer sayılı Resmî
Gazetede yayımlanan İç Kontrol ve Ön Malî Kontrole İlişkin Usul ve Esaslar, Kamu İç Kontrol
Rehberi ve Kamu Kurumsal Risk Yönetimi Rehberine dayanılarak hazırlanmıştır.
MADDE 4 – (1) Bu Yönergede geçen;
a) Alt Birim: Birimlerin faaliyetlerini yerine getirebilmesi amacıyla oluş turulan,
hiyerarşik olarak birimlerin altında yer alan organizasyon yapılarını,
b) Alt Kök Neden: Kök nedenin gerçekleşmesini tetikleyen temel unsurları,
c) Artık Risk: Riskin etkisini ve/veya olasılığını azaltmak için alınan mevcut risk
yönetimi faaliyetlerinden sonra arta kalan riski,
ç) Bakanlık: Ticaret Bakanlığını,
d) Bakanlık Konsolide Risk Raporu: Birim risk yönetimi eylem planları esas alınarak,
Bakanlık Risk Yönetim Koordinasyon Ekibince hazırlanan bütünsel raporu,
2
e) Bakanlık Risk Yönetim Koordina syon Ekibi: Strateji Geliştirme Başkanlığı
bünyesinde oluşturulan koordinasyon ekibini,
f) Bakanlık Risk Koordinatörü: Strateji Geliştirme Başkanını,
g) Birim: Bakanlık merkez, taşra ve yurtdışı teşkilatı birimlerini ve döner sermaye
birimlerini,
ğ) Birim Risk Yönetim Ekibi: Birim Risk Koordinatörü dâhil birimlerde kurumsal risk
yönetim çalışmalarında görev alacak ekibi,
h) Birim Risk Koordinatörü:
1) Merkez teşkilatında; Genel Müdürlüklerde genel müdür yardımcısını,
Rehberlik ve Teftiş Başkanlığı ile İç De netim Birimi Başkanlığında başkan
yardımcısını; Strateji Geliştirme Başkanlığında daire başkanını ve Basın ve Halkla
İlişkiler Müşavirliğinde müşavirini,
2) Taşra teşkilatlarında; bölge müdürlüklerinde bölge müdür yardımcısını, ticaret
il müdürlüklerinde ticaret il müdürünü, döner sermaye işletmelerinde işletme müdürünü,
3) Yurtdışı teşkilatlarında; ticaret müşavirliklerinde ticaret müşavirini, ticaret
ataşeliklerinde ticaret ataşesini,
ı) Dış paydaş: Bakanlığın gerçekleştirdiği proje ve faaliyetlerden etkilenen veya
Bakanlığın gerçekleştirdiği proje ve faaliyetleri etkileyen Bakanlık dışındaki kişi, birim veya
kuruluşları,
i) Doğal risk: Tespit edilen risklere herhangi bir risk yönetimi faaliyeti yürütülmeden
önceki seviyesini,
j) Etki: R isk gerçekleştiği takdirde Bakanlığın stratejik amaç ve hedefleri ile proje,
faaliyet ve süreçleri üzerinde yaratacağı sonuçları,
k) Fayda-maliyet analizi: Riske yönelik alınacak karar ile risk yönetimi faaliyetlerinin
uygulanmasında fayda ve maliyetinin nitel ve/veya nicel metotlarla tespit edilmesi ve bunların
kıyaslanmasını,
l) Fırsat: Stratejik amaç ve hedefler ile proje, faaliyet ve süreçler üzerinde olumlu etki
yaratabilecek olay veya durumları,
m) İç Kontrol İzleme ve Yönlendirme Kurulu: Kurumsal Risk Yönetiminden Sorumlu
Üst Yönetici veya Bakanlık Risk Koordinatörü başkanlığında Bakanlık merkez teşkilatı Birim
Yöneticileri veya görevlendireceği bir yardımcısından oluşan Kurulu,
n) İç paydaş: Bakanlığın gerçekleştirdiği proje, faaliyet ve süreçlerden etkilenen veya
Bakanlığın gerçekleştirdiği proje, faaliyet ve süreçleri etkileyen Bakanlık içindeki kişi, birim
veya kuruluşları,
o) Kök neden: Risklerin oluşmasını tetikleyen olay ve durumları,
3
ö) Kurumsal risk yönetimi: Kurumsal amaç ve hedeflerin gerçekleşmesini, hedeflere
ilişkin faaliyetlerin sürdürülmesini ve Birimlerin yürüttüğü faaliyet, proje ve süreçleri
etkileyebilecek risklerin; belirlenmesi, ölçülmesi, analiz edilmesi, önceliklendirilmes i ve
risklerin en verimli şekilde yönetilmesinde makul güvence sağlayan kapsamlı ve sistematik
süreci,
p) Kurumsal Risk Yönetiminden Sorumlu Üst Yönetici: Strateji Geliştirme
Başkanlığının bağlı olduğu Bakan Yardımcısını,
r) Nicel veri: Riskin, etki ve ola sılığının sayısal değerler verilerek ve matematiksel
mantık yürütme yöntemleri kullanılarak ortaya konulmasını,
s) Nitel veri: Riskin belirlenmesi veya hesaplanmasında rakamsal değerler yerine çok
düşük, düşük, orta, yüksek ve çok yüksek gibi tanımlayıcı subjektif değerlerin kullanılmasını,
ş) Olasılık: Riskin belirli bir zaman periyodu içinde meydana gelme ihtimalini,
t) Risk: Stratejik amaç ve hedeflere ulaşılmasını, faaliyet, proje, süreç ve prosedürlerin
gerçekleşmesini olumlu veya olumsuz etkileyebilecek olay veya durumları,
u) Risk envanteri: Bakanlık ve birimlerin kurumsal risk yönetimi çerçevesinde
yürüttüğü faaliyetlerin takip edildiği arşivlendiği manuel/elektronik sistemi,
ü) Risk iştahı: Bakanlığın stratejik amaç ve hedefleri ile faaliyetleri düz eyinde belirli
bir zaman diliminde kabul etmeye, tolere etmeye, maruz kalmaya hazır olduğu en yüksek risk
seviyesini,
v) Risk matrisi: Belirlenen risklerin etki ve olasılık derecelerini gösteren matrisi,
y) Risk uyarı göstergesi: Riskin gerçekleşme ihtimal ini işaret eden ve söz konusu
risklerin takibinde kullanılan uyarı göstergesini,
z) Risk yönetimi eylem planı: Riskin tehdit yönünün etki ve olasılığını azaltmaya veya
fırsatların geliştirilmesine yönelik olarak; risk yönetimi faaliyetlerinin kaydedildiği ve
raporlandığı Bakanlık ve birim düzeyinde hazırlanan eylem planlarını,
aa) Tehdit: Stratejik amaç ve hedefler ile proje, faaliyet ve süreçler üzerinde olumsuz
etki yaratabilecek olay veya durumları,
ab) Üst Yönetici: Bakana doğrudan bağlı hizmet birimleri bakımından Bakanı, Bakan
Yardımcılarına doğrudan bağlı hizmet birimleri bakımından Bakan Yardımcısını,
ifade eder.
4
İKİNCİ BÖLÜM
Görev, Yetki ve Sorumluluklar
MADDE 5 – (1) Kurumsal risk yönetiminden sorumlu üst yönetici;
a) Bakanlığın kurumsal risk yönetimi sisteminin kurulmasından, uygulanmasının
sağlanmasından, etkinliğinin ve işleyişinin gözetilmesinden,
b) Bakanlık politika ve prosedürleri doğrultusunda kurumsal risk yönetiminin
geliştirilmesi konusunda gerekli desteğin sağlanmasından,
c) Kurumsal risk yönetiminin uygulanması için gerekli yapıların oluşturulması, rol ve
sorumluluklarının belirlenmesinden,
ç) Bakanlık Risk Yönetimi Eylem Planının onaylanmasından,
d) İç Kontrol İzleme v e Yönlendirme Kurulu veya Bakanlık Risk Koordinatörü
tarafından sunulan ve stratejik düzeyde değerlendirilmesi önerilen risklere ilişkin kararın
verilmesinden,
e) Bakanlık Risk Yönetimi Eylem Planında yer alan ilave risk yönetimi faaliyetlerinin
gerçekleştirilmesi yönünde gerekli tedbirlerin alınmasının sağlanmasından,
f) İç Kontrol İzleme ve Yönlendirme Kurulu tarafından sunulan değerlendirme ve
öneriler doğrultusunda gerekli önlemlerin alınmasının sağlanmasından,
g) Kurumsal risk yönetimine ilişkin eğitim takviminin onaylanmasından,
ğ) Kurumsal risk yönetiminin uygulanması sırasında belirlenen risklere yönelik altı
aylık dönemlerde izleme ve değerlendirme toplantılarının gerçekleştirilmesinden, bu
toplantılarda risklerin izlenmesi ve raporlanması süreçlerinin etkin yönetilmesinden,
h) Paydaşlar ve kamuoyuna karşı risklerin yönetilmesinde ve değerlendirilmesinde
gerekli hassasiyetin ve katılımcılığın sağlanmasından,
ı) Gerekli gördüğü hallerde İç Kontrol İzleme ve Yönlendirme Kurulunun toplantıya
çağırılmasından,
sorumlu ve yetkilidir.
MADDE 6 – (1) İç Kontrol İzleme ve Yönlendirme Kurulu;
a) Bakanlığın kurumsal risk yönetimi sisteminin geliştirilmesi ve iyileştirilmesinden,
b) Bakanlığın kurumsal risk yönetimi sürecinin etkili işleyip işlemediğinin Kurumsal
Risk Yönetiminden Sorumlu Üst Yöneticiye raporlanmasından,
c) Bakanlığın risk yönetiminin geliştirilmesine ilişkin politika ve prosedürler
oluşturarak Kurumsal Risk Yönetiminden Sorumlu Üst Yöneticinin onayına sunulmasından,
5
ç) Bakanlığın risk yönetiminin geliştirilmesine ilişkin b elirlenen politika ve
prosedürlerin birimlere bildirilmesinden,
d) Bakanlık Risk Koordinatörü tarafından sunulan risklerden stratejik düzeyde önemli
gördüğü risklerin değerlendirilerek Kurumsal Risk Yönetiminden Sorumlu Üst Yöneticiye
sunulmasından,
e) Bakanlık Risk Yönetim Koordinasyon Ekibi tarafından hazırlanan ek-15’te yer alan
plandaki kritik ve öncelikli risklerin belirlenmesinden ve takip edilmesinden,
f) Bakanlık Risk Yönetim Koordinasyon Ekibi tarafından hazırlanan ek-16’da yer alan
Raporun değerlendirilmesinden,
g) Paydaşlarla ortak yürütülmesi gereken kurumsal risklerin belirlenmesinden ve
gerekli önlemlerin alınmasının sağlanmasından,
ğ) Kurumsal risk yönetimi eğitim takvimini değerlendirilerek Kurumsal Risk
Yönetiminden Sorumlu Üst Yöneticiye sunulmasından,
sorumludur.
MADDE 7 – (1) Bakanlık Risk Koordinatörü;
a) Kurumsal risk yönetimi yaklaşımının etkili bir biçimde uygulanıp uygulanmadığına
dair değerlendirmelerde bulunulmasından,
b) Birim Risk Koordinatörleri tarafından bildirilen risklerde n stratejik seviyede ele
alınması gerekenleri İç Kontrol İzleme ve Yönlendirme Kuruluna ve Kurumsal Risk
Yönetiminden Sorumlu Üst Yöneticiye sunulmasından,
c) Bakanlık Risk Yönetim Koordinasyon Ekibinin oluşturulmasından ve Bakanlık
Risk Yönetim Koordinasyon Ekibi tarafından hazırlanan veya revize edilen ek -15’te yer alan
eylem planını ve ek -16’da yer alan raporun İç Kontrol İzleme ve Yönlendirme Kuruluna ve
Kurumsal Risk Yönetiminden Sorumlu Üst Yöneticiye sunulmasından,
ç) İç Kontrol İzleme ve Yönlendirm e Kurulu tarafından alınan görüş, tavsiye ve
kararları Kurumsal Risk Yönetiminden Sorumlu Üst Yöneticiye sunulmasından,
d) İç Kontrol İzleme ve Yönlendirme Kuruluna gerektiğinde başkanlık yapılmasından,
Kurulun toplantıya çağrılmasından ve toplantı gündeminin belirlenmesinden,
e) Risk yönetimine yönelik eğitim ihtiyaçlarının tespit edilmesinden, eğitim
içeriklerinin ve katılımcılarının belirlenerek İç Kontrol İzleme ve Yönlendirme Kuruluna ve
Kurumsal Risk Yönetiminden Sorumlu Üst Yöneticiye sunulmasından,
f) Paydaşlar ile birim risk yönetim koordinatörleri arasında koordinasyonu
sağlanmasından,
sorumludur.
6
MADDE 8 – (1) Bakanlık Risk Yönetim Koordinasyon Ekibi;
a) Stratejik amaç ve hedeflere yönelik olarak yapılacak risk yönetimi çalıştayları ile
birim faaliyet, proje, süreç ve prosedürler seviyesindeki risklerin belirlenmesi ve
değerlendirilmesine yönelik çalıştaylara teknik destek sağlanmasından,
b) Birimlerde yürütülen faaliyet, proje, süreç ve prosedürlere ilişki n iç kontrol
çalışmaları sonucunda tespit edilen ve stratejik amaç ve hedeflerine ulaşılmasını etkileyebilecek
risklerin Bakanlık Risk Koordinatörüne sunulmasından,
c) Birimlerden alınan ek-14’te yer alan birim risk yönetimi eylem planı esas alınarak
ek-15’te yer alan planın ve ek-16’da yer alan raporun hazırlanmasından, revize edilmesinden
ve Bakanlık Risk Koordinatörüne sunulmasından,
ç) Bakanlık Risk Koordinatörü tarafından verilen diğer görevleri yerine getirmekten,
d) Kurumsal risk yönetimi eğitim takviminin hazırlanmasından,
sorumludur.
MADDE 9 – (1) Birim Risk Koordinatörü;
a) Kurumsal risk yönetim çalışmalarında görev alacak birim risk yönetim ekibinin
oluşturulmasından,
b) Birimin hedeflerini etkileyebilecek risklerin tespit edilmesinin koordine
edilmesinden ve rehberlik sağlanmasından, tespit edilen risklerin alt birimler in bilgi ve
uzmanlıklarından yararlanılarak faaliyetleri ile eşleştirilmesinden ve tüm önemli konuların ele
alınmasının sağlanmasından,
c) Birimin hedeflerine ilişkin risklerden stratejik amaç ve hedeflerle ilgili olan ve
stratejik seviyede ele alınması g erekenlerin belirlenmesinden ve birim yöneticisinin uygun
görüşünün alınarak Bakanlık Risk Koordinatörüne sunulmasından,
ç) Birimlerde yürütülen faaliyet, proje, süreç ve prosedürlere ilişkin iç kontrol
çalışmaları sonucunda tespit edilen, stratejik amaç v e hedeflerle ilgili risklerin birim
yöneticisinin uygun görüşünün alınarak Bakanlık Risk Koordinatörüne sunulmasından,
d) Risklere yönelik mevcut risk yönetim faaliyetlerinin etkin ve yeterli olup olmadığını
belirlemekten,
e) Birim risk yönetimi ekibi tar afından ek-14’te yer alan planın güncel tutulmasının
sağlanmasından ve birim yöneticisinin onayının alınarak Bakanlık Risk Koordinatörüne
raporlanmasından,
f) Bakanlık Risk Koordinatörü tarafından talep edilen bilgi ve belgelerin
verilmesinden,
7
g) Kurumsal risk yönetimi çalışmaları kapsamında birim düzeyinde eğitim
ihtiyaçlarının tespit edilmesinden ve Bakanlık Risk Koordinatörüne bildirilmesinden,
sorumludur.
MADDE 10 – (1) Birim Risk Yönetim Ekibi,
a) Birim düzeyindeki risklerin tespit edilmesinden ve değerlendirilmesinden,
b) Birim düzeyinde belirlenen risklerin konsolide edilerek ek-14’teki planı Birim Risk
Koordinatörüne sunulmasından,
c) Birim düzeyinde belirlenen risklerin ek-14’te yer alan plana işlenmesinden, güncel
tutulmasından ve gerçekleşme sonuçlarının Birim Risk Koordinatörüne raporlanmasından,
ç) İlgili yıl içerisinde birimin proje, faaliyet ve süreçlerine yönelik tespit edilen yeni
risklerin, değişen risk seviyelerinin ve bunları azaltmakta kullanılan ilave risk yöne timi
faaliyetlerinin etkinliğinin sürekli izlenmesinden, gözden geçirilip değerlendirilerek Birim Risk
Koordinatörüne raporlanmasından,
sorumludur.
MADDE 11 – (1) Strateji Geliştirme Başkanlığı;
a) Kurumsal risk yönetimi süreçlerinin, Bakanlığın tüm birimlerinde etkin bir şekilde
uygulanmasını sağlamak üzere gerekli eğitim, teknik danışmanlık ve rehberlik hizmetinin
verilmesinden,
b) İç Kontrol İzleme ve Yönlendirme Kurulunun sekretarya görevinin
yürütülmesinden,
sorumludur.
MADDE 12 – (1) İç Denetim Birimi Başkanlığı; Üst Yöneticilere kurumsal risk
yönetiminin yeterliliği ve etkinliği ile ilgili olarak, değerlendirmeler yapılmasından ve
önerilerde bulunulmasından sorumludur.
MADDE 13 – (1) Bakanlık personeli;
a) Görev ve sorumlulukları çerçevesinde belirlenen risklere ilişkin gerekli bilgi ve
belgelerin sağlanmasından,
8
b) Bakanlık veya birim düzeyinde hazırlanan Kurumsal Risk Yönetimi Eylem
Planında yer alan eylemlerin görev ve sorumlulukları çerçevesinde yerine getirilmesinden,
sorumludur.
ÜÇÜNCÜ BÖLÜM
Kurumsal Risk Yönetimi Süreci
MADDE 14 – (1) Kurumsal Risk Yönetimi süreci;
a) Mevcut durumun analiz edilmesi ve birim/alt birim faaliyet hedeflerinin
belirlenmesi,
b) Risk kategorilerinin belirlenmesi,
c) Risk iştahının belirlenmesi,
ç) Risklerin belirlenmesi ve tanımlanması,
d) Risklerin değerlendirilmesi,
e) Risklerin önceliklendirilmesi,
f) Risklere yönelik alınacak kararın ve uygulanacak ilave risk yönetim
faaliyetlerinin belirlenmesi,
g) Risk yönetim sürecinde bilgi ve iletişimin sağlanması,
ğ) Risk yönetim sürecinin sürekli izlenmesi, gözden geçirilmesi ve raporlanması,
adımlarından oluşan, kapsamlı, tekrar eden ve sistematik bir süreçtir.
MADDE 15– (1) Mevcut durum analizi, Bakanlığın; “misyonu, vizyonu, amaçları,
stratejileri, hedefleri, sorumlu olduğu mevzuat, insan kaynakları, görev ve sorumlulukları,
süreçlerin karmaşıklık düzeyi, kurum kültürü, risk iştahı, teşkilat yapısının büyüklüğü, hizmet
sunduğu coğrafi alan, iç ve dış paydaşları ya da görevlerini gerçekleştirmesi sırasında işbir liği
içerisinde olduğu ulusal ve uluslararası kurum ve kuruluşlar ve hizmet sunduğu grupların
yapısı” gibi unsurlar dikkate alınarak yapılır.
(2) Birinci fıkrada belirtilen unsurlar kapsamında, birim yöneticisi tarafından birim/alt
birim faaliyet hedefleri belirlenir.
MADDE 16 – (1) Risklerin belirlenmesinde, olası risk kaynaklarının tüm yönleriyle
belirlenmesi amacıyla iç ve dış risk kategorileri on başlıkta belirlenmiş olup;
9
a) Stratejik risk: Gerçekleşmesi halinde Bakanlığın stratejik amaç ve hedeflerini
doğrudan etkileyebilecek riskleri,
b) Operasyonel risk: Faaliyet, süreç ve prosedürlerin mevzuata uygun, zamanında,
etkili, ekonomik ve verimli bir şekilde yürütülmesini etkileyebilecek riskleri,
c) Uyum riski (y asal risk): Bakanlığın iç ve dış düzenlemelere uygun işlemler
yapmasını etkileyebilecek riskleri,
ç) Mali risk: Bakanlığın mali yapısını ve kaynaklarını olumlu veya olumsuz
etkileyebilecek riskleri,
d) İtibar riski: B akanlığa duyulan güveni, kurum hakkındaki görüşleri veya kurum
imajını etkileyebilecek riskleri,
e) Teknolojik risk: Bakanlığın kullandığı teknolojilerden veya dış teknolojik
gelişmelerden kaynaklanan riskleri,
f) Proje riski: Bakanlığın, amaç ve hedefleri ni gerçekleştirmek amacıyla uygulamayı
planladığı projelere ilişkin riskleri,
g) Güvenlik riski: Kurumun değerlerinin çalınmasından veya yok edilmesinden,
insanların fiziki güvenliğini tehdit eden tehlikelere karşı yürütülen güvenlik faaliyetlerinin
yetersizliğinden veya iyi yönetilememesinden ve insan sağlığını ve hayatını tehdit etmesinden
kaynaklanan riskleri,
ğ) Politik risk: Uluslararası konjonktürden kaynaklı ikili ve çok taraflı ilişkilerde veya
ulusal düzeyde meydana gelen etik, yasal, kültürel, politik nedenlerden oluşan riskleri,
h) Jeopolitik risk: Uluslararası ilişkilerde devletler ve diğer aktörler arasındaki savaş,
terörizm ve gerilimlerden kaynaklanan riskleri,
ifade eder.
(2) Birinci fıkrada belirlenen risk kategorilerinin dışında uygulamada ihtiyaç duyulan
kategoriler, “yeni kategori adı ve tanımı” ile birlikte ilgili birimin talebi üzerine Strateji
Geliştirme Başkanlığı’nın uygun görüşü ve Kurumsal Risk Yönetiminden Sorumlu Üst
Yöneticinin onayı üzerine kullanılabilir. Bu çerçe vede uygun görülen yeni risk kategorileri
Strateji Geliştirme Başkanlığı tarafından diğer birimlere duyurulur.
MADDE 17 – (1) Risk iştahı, kurumun kabul etmeye hazır olduğu en yüksek risk
seviyesini belirlemede araç olarak kul lanılır. “Düşük”, “Orta” ve “Yüksek” olmak üzere üç
seviyede belirlenir. İştah seviyeleri;
a) Düşük seviye; Risk alma isteğinin düşük,
b) Orta seviye; Risk alma isteğinin orta,
c) Yüksek seviye; Risk alma isteğinin yüksek,
10
olduğunu ifade eder.
(2) Risk iştahı; 16 ncı maddede belirtilen kategoriler, farklı faaliyet alanları veya birim
ve alt birimler seviyesinde belirlenebilir.
(3) Birimlerde yapılan kurumsal risk yönetimi çalışmalarında;
a) Stratejik amaç ve hedeflere ilişkin risk iştahı üst yönetici,
b) Birimlerde yürütülen faaliyet, proje, süreç ve prosedürlere ilişkin iç kontrol
çalışmaları sonucunda tespit edilen risklere ilişkin risk iştahı birim yöneticisi,
tarafından belirlenir.
MADDE 18 – (1) Riskin tehdit ve fırsat yönünün doğru bir şekilde değerlendirilmesi
veya yönetilmesi suretiyle; Bakanlığın stratejik amaç ve hedeflerine ulaşması, birimlerin
görevlerini yerine getirmesi, birim hedeflerine ulaşılması, birimlere bağlı alt birimlerin
faaliyetlerinin yönetilmesinin kolaylaşması ve kuruma katma değer sağlaması amaçlanır.
(2) Riskler belirlenirken ek-2’de yer alan sorular dikkate alınır.
(3) Riskler tanımlanırken;
a) Açık, net ve anlaşılır olarak ifade edilmesi,
b) Kök nedeni içermesi,
c) Riskin gerçekleşmesi halinde oluşacak sonuçları içermesi,
gerekir.
(4) Riskler hiyerarşik olarak;
a) Bakanlık stratejik amaç ve hedefleri (stratejik),
b) Birimlerin görevlerini gerçekleştirmesi ve sorumlu olduğu stratejik hedeflere
ulaşması için hedef, proje ve faaliyet (performans, program, proje),
c) Alt birimlerin görev ve sorumlulukları çerçevesinde yürüttüğü faaliyet, süreç ve
prosedürler (faaliyet, operasyonel),
düzeyinde tespit edilir.
(5) Risklerin belirlenmesi konusunda uygulanacak yöntem aşağıdaki şekildedir;
a) Ek-2’de yer alan sorular veya birim risk yönetim ekibinin uygun gördüğü sorulardan
faydalanılır.
b) Risklerin tanımlanmasında birim faaliyetlerine hâkim personelin katılımıyla
yapılacak çalıştaylarda ek-3’te yer alan form kul lanılır. Form, “alt kök neden”, “kök neden” ,
“risk” ve “sonuç” ilişkisini içerecek şekilde düzenlenir.
c) Riskler, bu maddenin dördüncü fıkrasında yer alan düzeylerle ilişkilendirilir.
11
ç) Bu fıkranın (b) bendinde belirlenen riskler, 16 ncı maddede yer alan uygun risk
kategorisi ve 17 nci madde kapsamında belirlenen risk iştahı ile birlikte, ek-14’te yer alan plana
işlenir.
MADDE 19 – (1) Risk değerlendirme; tehditlerin kabul e dilebilir düzeye indirilmesi
veya fırsatların istenilen düzeye çıkarılması amacıyla yapılan her türlü değerlendirme yöntemi
olarak kabul edilmektedir. Bu aşamada, ek -4, ek-5 ve ek -6’da yer alan tablolardaki kriterler
dikkate alınarak, belirlenmiş olan risklerin etkileri, gerçekleşme olasılıkları ve sonuçları analiz
edilir, ölçümlenir ve önceliklendirilir.
(2) Riskin etki ve olasılığı ek -9 ve ek -10’da yer alan 5x5 risk matrisinde
değerlendirilerek ölçülür.
(3) Risklerin etki ve olasılık durumu ek-4’te yer alan tablo ile ek-5’te yer alan tablodaki
kriterlere göre 1 ila 5 arasında puanlandırılır. Matriste ‘5’ çok yüksek etki/olasılık derecesini,
‘1’ ise çok düşük etki/olasılık derecesini ifade eder.
(4) Birim faaliyetlerine hâkim personelin katılımıyla yapılaca k çalıştaylarda ek-7’de
yer alan form kullanılarak 18 inci maddenin beşinci fıkrasının (ç) bendi kapsamında ek-14’e
işlenen riskler oylanır. Oylanan risklerin etki ve olasılık puanlarının ağırlıklı ortalaması
hesaplanır. Her bir risk için ortalama etki ve ortalama olasılık puanı belirlenir. Ek-11’deki etki
ve olasılık çarpımına göre belirlenen doğal risk puanları önem derecesin e göre en yüksek
puandan başlamak üzere sıralanarak önceliklendirilir.
(5) Risklerin önem sırasına göre önceliklendirilmesinde,
a) Kaynak tahsisinde etkinlik,
b) Risk iştahı sınırına yaklaşması,
c) Risklerin birbiriyle etkileşim halinde olması,
dikkate alınır.
(6) Ancak birimlerce önem düzeyi yüksek bulunan faaliyet ve projelere ait risklerin
çok yüksek etki ve çok düşük olasılığa sahip olduğu durumlarda, risk puanları dikkate
alınmadan önceliklendirmede üst sıralara alınabilir.
(7) Risklerin değerlendirilmesinde diğer risklerle ilişkisi gözetilir.
(8) Risklere uygulanan mevcut risk yönetimi faaliyetler i tespit edilir. Faaliyetler, 18
inci maddenin beşinci fıkrasının (b) bendinde tespit edilen alt kök nedenler ile ilişkilendirilir.
(9) Sekizinci fıkrada bel irlenen mevcut risk yönetimi faaliyetlerinin etkinliği ve
yeterliliği ek -12’de yer alan tablo kullanılarak birim risk koordinatörü tarafından belirlenir.
Tehditlere ilişkin artık risk seviyesinin belirlenmesi amacıyla ek -13’te yer alan formül
kullanılır. Tespit edilecek seviyeye ilişkin katsayı ile doğal risk puanının çarpımı sonucu artık
12
risk puanı hesaplanır, mevcut risk yönetimi faaliyetlerinin riskin etkisi, olasılığı veya her ikisi
üzerinde ne ölçüde bir azalmaya neden olduğu belirlenir ve ek -14’te yer alan plana işlenir. Bu
fıkra kapsamında yapılan çalışmalar fırsat tipli riskler için uygulanmaz.
(10) Bu Yönergenin 18 inci maddesinde yer alan risklerin belirlenmesi ve
tanımlanması aşamasında, risklerin gerçekleşmesini tetikleyen olaylar olarak belirlenen kök
nedenler değerlendirilerek artık risk seviyesi yüksek ve çok yüksek olarak tanımlanan riskl er
için risk uyarı göstergeleri (RUG) belirlenir. Risk uyarı göstergelerinin belirlenmesinde
stratejik plan, performans programı gibi politika belgelerinde yer alan göstergelerden ve
risklerin izlenmesinde somut verilerden yararlanılır. Belirlenen risk uya rı göstergesinin
sorumlusu, alarm seviyesi, raporlama periyodu, sapmalara karşı gerçekleştirilecek faaliyetleri
ek-14’teki plana işlenir.
MADDE 20 – (1) Bu aşamada risklerin önceliklendirilmesine göre, riske yönelik
alınacak karar (riske karşı nasıl cevap verileceği) belirlenir.
(2) 16 ncı maddede yer alan uygun risk kategorisi ve risk iştahı çerçevesinde riske
verilecek cevap, fayda-maliyet analizi dikkate alınarak, ek-8/A’da yer alan yöntemlerden biri
ek-8/B’de yer alan matristen yararlanılarak belirlenir ve ek-14’te yer alan plana işlenir.
(3) İkinci fıkrada yer alan değerlendirmeler sonucunda risklerin yönetimine ilişkin
ilave risk yönetimi faaliyetlerinin gerçekleştirilmesine karar verilmesi halinde;
a) Riske Yönelik Alınacak Karar
b) İlave Risk Yönetim Faaliyeti
c) İlgili Alt Kök Neden
ç) Faaliyetten Sorumlu Birim
d) İş Birliği Yapılacak Birim
e) Faaliyet Başlangıç Tarihi
f) Faaliyet Tamamlanma Tarihi
g) İlave Risk Yönetimi Faaliyet Kaynak İhtiyacı
ğ) Faaliyet Durumu
h) Açıklama / Revize
ı) Revize Faaliyet Tarihi
belirlenerek ek-14’te yer alan plana işlenir.
(4) Riskin gerçekleşmesi halinde;
a) Uygulanacak Faaliyet
b) Tahmini Maliyet
13
c) Sorumlu Personel Adı, Soyadı ve İletişim Bilgileri
belirlenerek ek-14’te yer alan plana işlenir.
DÖRDÜNCÜ BÖLÜM
İzleme ve Değerlendirme Süreci
MADDE 21 – (1) Risklerin, zaman içerisinde çeşitli koşulların değişmesi veya
uygulanan risk yönetim faaliyetleri sonucu etki ve olasılık yönünden değişiklik gösterebilmesi
nedeniyle tespit edilen risklerin ve risk yönetim sürecinin her yönüyle sürekli izlenmesi ve
gözden geçirilmesi gerekir.
(2) İzleme sürecinde en az aşağıdaki sorular dikkate alınır;
a) Riskler, Bakanlığı aynı şekilde etkilemeye devam ediyor mu?
b) Değişen yönetim ve süreç yapısı, teknolojik gelişmeler, mevzuat değişiklikleri ve
ekonomik gelişmelerin risklere olan etkileri nelerdir?
c) Risklerin etkilerini ve olasılıklarını değiştirebilecek bir olay meydana geldi mi?
d) Risk için uygulanan risk yönetim faaliyetleri yararlı veya yeterli oldu mu?
e) Riskin etkisinin artması durumunda, hangi ilave r isk yönetim faaliyetlerine ihtiyaç
duyulur?
f) Riskin etkisinin azalması durumunda, risk yönetim faaliyetlerinde hafifletilme
yapılabilir mi?
(3) Her yıl ek -17’de yer alan bakanlık risk yönetim takvimine uygun olarak veya
olağanüstü gelişmeler üzerine Ba kanlık Risk Koordinatörünün duyurusu üzerine
gerçekleştirilecek olan izleme ve değerlendirme sürecinde:
a) Birim risk yönetimi eylem planları birimlerce periyodik olarak gözden geçirilir ve
güncellenir.
b) Birimler tarafından Bakanlık Risk Koordinatörüne gönderilen Birim Risk Yönetimi
Eylem Planları konsolide edilerek ek -15’te yer alan eylem planı ve ek-16’da yer alan rapor
hazırlanır. Hazırlanan plan ve rapor Bakanlık Risk Koordinatörü tarafından;
1) Kritik ve öncelikli risklerin belirlenmesi, değerlendirilmesi ve takip edilmesi
amacıyla İç Kontrol İzleme ve Yönlendirme Kuruluna,
2) Kurulun değerlendirmesini müteakip o naylanmak üzere Kurumsal Risk
Yönetiminden Sorumlu Üst Yöneticiye,
sunulur.
14
c) Kurumsal Risk Yönetiminden Sorumlu Üst Yönetici tarafından onaylanan eylem
plan ve rapor uygulanmak üzere tüm birimlere duyurulur ve düzenli olarak izlenir.
(4) Birim Risk Koord inatörü tarafından stratejik amaç ve hedefler ile faaliyet, proje,
süreç ve prosedürleri etkileyebilecek yeni tespit edilen riskler için ek -18/A ve değişen riskler
için ek -18/B Bakanlık Risk Koordinatörüne, gerçekleşen riskler için ek -18/C formu
düzenlenerek en kısa sürede Üst Yönetici ve Bakanlık Risk Koordinatörüne bildirilir. Yeni
tespit edilen ve değişen risklerin birden fazla birimi ilgilendirmesi durumunda Birim Risk
Koordinatörü tarafından düzenlenecek ve ilgili birim yöneticilerinin katılımıyla yapı lacak
toplantıda risk değerlendirilir ve riske yönelik kararlar alınır.
(5) Gerek duyulması halinde ek-17’de yer alan Bakanlık Risk Yönetim Takvimi ;
Bakanlık Risk Koordinatörünün teklifi, İç Kontrol İzleme ve Yönlendirme Kurulunun uygun
görüşü ve Kurumsal Risk Yönetiminden Sorumlu Üst Yöneticinin onayıyla güncellenir.
BEŞİNCİ BÖLÜM
Çeşitli ve Son Hükümler
MADDE 22 - (1) Bu Yönergenin uygulanmasında ortaya çıkabilecek tereddütleri
gidermeye Strateji Geliştirme Başkanlığı yetkilidir.
MADDE 23- (1) Bu Yönergede hüküm bulunmayan hallerde, 5018 sayılı Kanun ve
ilgili mevzuat hükümlerine uyulur.
MADDE 24 - (1) Bu Yönerge ile 28/04/2020 tarihli ve 54125082 sayılı Ticaret
Bakanlığı Kurumsal Risk Yönetimi Yönergesi yürürlükten kaldırılmıştır.
MADDE 25- (1) Bu Yönerge onaylandığı tarihte yürürlüğe girer.
MADDE 26- (1) Bu Yönerge hükümlerini Ticaret Bakanı yürütür.
15
Ek-1: Kurumsal Risk Yönetimi Organizasyon Şeması
Kurumsal Risk
Yönetiminden Sorumlu
Üst Yönetici
Kurumsal Risk
Yönetiminden Sorumlu
Üst Yönetici
İç Kontrol İzleme ve
Yönlendirme Kurulu
İç Kontrol İzleme ve
Yönlendirme Kurulu
Bakanlık Risk
Koordinatörü
Bakanlık Risk
Koordinatörü
Birim Risk
Koordinatörü
Birim Risk
Koordinatörü
Birim Risk Yönetim
Ekibi
Birim Risk Yönetim
Ekibi
Bakanlık Risk
Yönetim
Koordinasyon Ekibi
Strateji Geliştirme
Başkanlığı
16
Ek-2: Risklerin Belirlenmesinde Yardımcı Olabilecek Sorular
NO RİSKLERİN BELİRLENMESİNDE YARDIMCI OLABİLECEK SORULAR
1 Hedeflerin başarıya ulaşmasına engel olabilecek durum mevcut mu? Hedeflere ulaşma
yolunda neler yanlış gidebilir?
2 Hedeflere ulaşma yolunda neler yanlış gidebilir?
3 Faaliyetler hangi olay veya durum karşısında aksayabilir?
4 Süreçlerdeki faaliyetler sade mi? karmaşık veya değişken mi?
5 Faaliyetlerin sürekliliğini engelleyen sebepler nelerdir?
6 Faaliyetlerin sürekliliğini hangi durum ya da olaylar sağlar?
7 Kritik proje ve faaliyet alanları nelerdir ve bu alanlar hangi durum ve olaylardan etkilenir?
8 En kritik bilgi kaynaklarımız nelerdir?
9 Proje ve faaliyetlerin uygulanmasında zayıf olduğumuz alanlar nelerdir?
10 Proje ve faaliyetlerin uygulanmasında güçlü olduğumuz alanlar nelerdir?
11 Faaliyetlere ilişkin geçmiş yıllarda karşılaşılan sorunlar nelerdir?
12 İç ve dış paydaşların proje ve faaliyetler üzerindeki rolü nedir?
13 Dış faktörlerde (çevresel, politik, teknolojik vb.) meydana gelen değişimler
faaliyetlerimizi olumsuz yönde etkiledi mi?
14 Dış faktörlerde meydana gelen değişimler faaliyetlerimizi olumlu yönde etkiledi mi?
15 Yasal yaptırımlar ile karşı karşıya kalabileceğimiz durumlar nelerdir?
16 En fazla harcama yaptığımız alanlar hangileridir?
17 Kaynak kısıtları (mali, beşeri, teknolojik) nelerdir?
18 Kaynakların verimli ve ekonomik kullanılmasına engel olabilecek durumlar nelerdir?
19 Kaynakların verimli ve ekonomik kullanılmasını sağlayacak durumlar nelerdir?
20 Bilişim sistemindeki herhangi bir değişikliğin faaliyetler üzerinde olumlu bir etkisi oldu
mu?
21 Bilişim sistemindeki herhangi bir değişikliğin faaliyetler üzerinde olumsuz bir etkisi oldu
mu?
22 Sistem/donanım/yazılım vb. aksaklıkların faaliyetlerimizin üzerindeki etkisi
nelerdir/olumsuz bir etkisi oldu mu?
23 Kurum içi ve dışı iletişimi kesintiye uğratacak durumlar nelerdir?
24 Hangi proje ve faaliyetler kurum imajını olumsuz etkiler?
25 Hangi proje ve faaliyetler kurum imajını olumlu etkiler?
26 Yolsuzluğa veya usulsüzlüğe meydan verebilecek faaliyet ve durumlar mevcut mu?
27 Kritik seviyede izlenen risklerde gerçekleşme oldu mu?
28 Teknik uzmanlık gerektiren iş ve süreçler nelerdir?
29 Mevzuatta köklü değişiklikler yapıldı mı?
30 Mali ve cezai yaptırıma maruz kalınabilecek alanlar nelerdir?
31 Bakanlığın ve birimin organizasyon yapısında değişiklikler var mı?
32 Dış paydaşlardan Kuruma risk devredilebilir mi?
17
Ek-3: Papyon Analizi1
HEDEF/FAALİYET/PROJE/SÜREÇ ADI:
ALT KÖK NEDEN KÖK NEDEN RİSK SONUÇ
1 Bir Hedefi/Faaliyeti/Projeyi/Süreci etkileyebilecek riskin alt kök neden/ kök neden ve sonuç ilişkisini gösteren diyagramdır.
SONUÇ
KÖK NEDEN
RİSK
18
Ek-4: Risk (Tehdit) Etki Değerlendirme Tablosu
ETKİ
PUANI
ETKİ
SEVİYESİ AÇIKLAMA
5
ÇOK YÜKSEK
• Riskin gerçekleşmesi, birim amirlerinin ve/veya üst yöneticinin
istifa etmesini ya da görevden alınmasını gerektiren bir etkiye
sahiptir.
• Mevzuattan kaynaklanan uyulması gereken çok önemli
sorumluluklar bulunmaktadır.
• Riskin gerçekleşmesi halinde kurum itibarı üzerinde kritik
düzeyde itibar kaybı yaratır.
• Riskin gerçekleşmesi, birden fazla birimin faaliyetlerinin kesinti
veya durma yaşanmasına neden olacak etkiye sahiptir.
4
YÜKSEK
• Riskin gerçekleşmesi, kamuoyunun üst yönetici hakkındaki
memnuniyet düzeyi üzerinde olumsuz etkiye sahiptir.
• Mevzuattan kaynaklanan uyulması gereken önemli
sorumluluklar bulunmaktadır.
• Riskin gerçekleşmesi halinde kurum itibarı üzerinde önemli
seviyede itibar kaybı yaratır.
• Riskin gerçekleşmesi, bir birimin faaliyetlerinin kesinti veya
durma yaşanmasına neden olacak etkiye sahiptir.
3
ORTA
• Riskin gerçekleşmesi, personel ve orta düzey yönetici
memnuniyeti üzerinde olumsuz etkiye sahiptir.
• Mevzuattan kaynaklanan uyulması gereken sorumluluklar
bulunmaktadır.
• Riskin gerçekleşmesi halinde kurum itibarı üzerinde olumsuz
etkileri bulunmaktadır.
• Riskin gerçekleşmesi, birden fazla birimin faaliyetleri üzerinde
olumsuz etkiye sahiptir.
2
DÜŞÜK
• Riskin gerçekleşmesi, personel ve orta düzey yönetici
memnuniyeti üzerinde olumsuz etkiye sahiptir.
• Mevzuattan kaynaklanan uyulması gereken sınırlı ölçüde
sorumluluklar bulunmaktadır.
• Riskin gerçekleşmesi halinde kurum itibarı üzerinde sınırlı
etkileri bulunmaktadır.
• Riskin gerçekleşmesi, bir birimin faaliyetleri üzerinde olumsuz
etkiye sahiptir.
1
ÇOK DÜŞÜK
• Riskin gerçekleşmesi, personel ve orta düzey yönetici
memnuniyeti üzerinde etkisi yoktur.
• Mevzuattan kaynaklanan sorumluluklar üzerinde doğrudan bir
etkisi bulunmamaktadır.
• Riskin gerçekleşmesi halinde kurum itibarı üzerinde hiçbir etkisi
olmaz.
• Riskin gerçekleşmesi, kurum faaliyetleri üzerinde bir etkisi
yoktur.
19
Ek-5: Risk (Tehdit/Fırsat) Olasılık Değerlendirme Tablosu
OLASILIK
PUANI
OLASILIK
DÜZEYİ AÇIKLAMA
5
NERDEYSE
KESİN • Riskin öngörülen sürede gerçekleşme olasılığı kesin olan
olay veya durumlardır.
• Risk durumu birçok kez gerçekleşti ve şu anda da
gerçekleşiyor.
• Riskin meydana geleceği neredeyse kesindir.
4
YÜKSEK
OLASILIK • Riskin öngörülen sürede gerçekleşme olasılığı yüksek
olan muhtemel olay ve durumlardır.
• Risk durumu birçok kez gerçekleşti.
• Benzer kurum/bölüm/süreçlerde gerçekleşti.
• Ortam gerçekleşmesi için son derece uygundur ve riskin
meydana gelme ihtimali yüksektir.
3
OLASI
• Riskin öngörülen sürede gerçekleşme olasılığı mümkün
olan olay veya durumlardır.
• Risk ancak belirli durumlarda gerçekleşebilir.
• Benzer kurum/bölüm/süreçlerde belirli durumlarda
gerçekleşti.
• Ortam gerçekleşmesi için uygun olabilir ve riskin
meydana gelme ihtimali de orta derecededir.
2
ZAYIF OLASILIK • Riskin öngörülen sürede gerçekleşme olasılığı düşük
olmakla birlikte imkansız olmayan olay veya durumlardır.
• Risk durumu ancak çok özel koşullar altında söz konusu
olabilir.
• Benzer kurum/bölüm/süreçlerden ancak çok özel
durumlarda gerçekleşebilir.
• Ortam gerçekleşmesi için uygun değil ve riskin meydana
gelme ihtimali düşük.
1
ÇOK
ZAYIF
OLASILIK
• Riskin öngörülen sürede gerçekleşme olasılığı pek
mümkün olamayan olay veya durumlardır.
• Risk durumunun gerçekleşmesi söz konusu değil.
• Risk çok istisnai durumlarda meydana gelebilir.
20
Ek-6: Risk (Fırsat) Etki Değerlendirme Tablosu
ETKİ PUANI ETKİ
SEVİYESİ AÇIKLAMA
5
ÇOK YÜKSEK • Kuruma sağlayacağı katma değer çok yüksektir.
• Fırsatı değerlendirmek için öngörülen faaliyetin sağlayacağı
fayda, maliyetinin çok üstündedir.
• Fırsatın değerlendirilmesi birden fazla birimin faaliyetlerinin
sürekliliğine ve verimliliğine önemli katkı sağlar.
• Fırsatın değerlendirilmesi kurum itibarı üzerinde çok önemli
derecede olumlu etkiye sahiptir.
4
YÜKSEK
• Kuruma sağlayacağı katma değer yüksektir.
• Fırsatın değerlendirilmesi bir birimin faaliyetlerinin
sürekliliğine ve verimliliğine önemli katkı sağlar.
• Fırsatı değerlendirmek için öngörülen faaliyetin sağlayacağı
fayda, maliyetinin üstündedir.
• Fırsatın değerlendirilmesi kurum itibarı üzerinde önemli
derecede olumlu etkiye sahiptir.
3
ORTA
• Kuruma katma değer sağlar.
• Fırsatın değerlendirilmesi birden fazla birimin faaliyetleri
üzerinde olumlu etkiye sahiptir.
• Fırsatın değerlendirilmesi kurum itibarı üzerinde olumlu etkiye
sahiptir.
• Fırsat değerlendirilmeden önce fayda-maliyet analizi yapılarak,
faydası maliyetinden yüksek ise fırsat değerlendirilmelidir.
2
DÜŞÜK
• Fırsat değerlendirildiğinde kurum üzerinde olumlu etkiye sahip
olmakla beraber, fırsatın değerlendirilmemesi kurum üzerinde
olumsuz etki yaratmaz.
• Fırsatın değerlendirilmesi bir birimin faaliyetleri üzerinde
olumlu etkiye sahiptir.
• Fırsatın değerlendirilmesi kurum itibarı üzerinde sınırlı etkiye
sahiptir.
• Fırsatı değerlendirmek için öngörülen faaliyetin sağlayacağı
fayda, maliyetinin altındadır.
1
ÇOK DÜŞÜK • Kuruma katma değer sağlamaz.
• Fırsatın değerlendirilmesi kurum faaliyetleri üzerinde etkiye
sahip değildir.
• Fırsatın değerlendirilmesi kurum itibarı üzerinde etkiye sahip
değildir.
• Fırsatı değerlendirmek için öngörülen faaliyetin sağlayacağı
fayda, maliyetinin çok altındadır.
21
Ek-7: Risk Oylama Formu
Etki Seviyesi Etki Seviyesi Adedi
Sıra No Risk No Belirlenen Riskler 1 2 3 4 5 6 7 8 9 10 11 12 5 4 3 2 1 Toplam Ağırlıklı
Ortalama Değeri
1
2
3
4
5
6
7
8
9
10
Olasılık Seviyesi Olasılık Seviyesi Adedi
Sıra No Risk No Belirlenen Riskler 1 2 3 4 5 6 7 8 9 10 11 12 5 4 3 2 1 Toplam Ağırlıklı
Ortalama Değeri
1
2
3
4
5
6
7
8
9
10
22
Ek-8/A: Riske Cevap Verme Yöntemleri
23
Ek-8/B: Risk İştahın, Artık Risk Seviyesi ile Riske Yönelik Alınacak Karar Matrisi
RİSK İŞTAHI ARTIK RİSK SEVİYESİ RİSKE YÖNELİK ALINACAK KARAR
YÜKSEK
5 – Çok Yüksek Riskleri yönet, ilave risk yönetim faaliyeti gerçekleştir ve izle
4 – Yüksek Riskleri izle, gerekirse ilave risk yönetim faaliyeti gerçekleştir
3 – Orta Riskleri kabul et ve izle
2 – Düşük Riskleri kabul et ve izle
1 – Çok Düşük Riskleri kabul et ve izle
ORTA
5 – Çok Yüksek Riskleri yönet, ilave risk yönetim faaliyeti gerçekleştir ve izle
4 – Yüksek Riskleri yönet, ilave risk yönetim faaliyeti gerçekleştir ve izle
3 – Orta Riskleri izle, gerekirse ilave risk yönetim faaliyeti gerçekleştir
2 – Düşük Riskleri kabul et ve izle
1 – Çok Düşük Riskleri kabul et ve izle
DÜŞÜK
5 – Çok Yüksek Riskleri yönet, ilave risk yönetim faaliyeti gerçekleştir ve izle
4 – Yüksek Riskleri yönet, ilave risk yönetim faaliyeti gerçekleştir ve izle
3 – Orta Riskleri yönet, ilave risk yönetim faaliyeti gerçekleştir ve izle
2 – Düşük Riskleri izle, gerekirse ilave risk yönetim faaliyeti gerçekleştir
1 – Çok Düşük Riskleri kabul et ve izle
24
Ek-9: Risk (Tehdit) Matrisi
OLASILIK
Neredeyse Kesin 5 10 15 20 25
Yüksek Olasılık 4 8 12 16 20
Olası 3 6 9 12 15
Zayıf Olasılık 2 4 6 8 10
Çok Zayıf Olasılık 1 2 3 4 5
Çok Düşük Düşük Orta Yüksek Çok Yüksek
ETKİ
25
Ek-10: Risk (Fırsat) Matrisi
OLASILIK
Kaçırılmaz Fırsat 5 10 15 20 25
Çok Önemli Fırsat 4 8 12 16 20
Önemli Fırsat 3 6 9 12 15
Olası Fırsat 2 4 6 8 10
Önemsiz Fırsat 1 2 3 4 5
Çok Düşük Düşük Orta Yüksek Çok Yüksek
ETKİ
26
EK-11: Doğal Risk Seviyesi Belirleme Tablosu
DOĞAL RİSK (TEHDİT) SEVİYESİ BELİRLEME TABLOSU
DOĞAL RİSK PUANI DOĞAL RİSK SEVİYESİ
20, 25 ÇOK YÜKSEK
12, 15, 16 YÜKSEK
6, 8, 9, 10 ORTA
3, 4, 5 DÜŞÜK
1, 2 ÇOK DÜŞÜK
DOĞAL RİSK PUANI HESAPLAMA FORMÜLÜ
Doğal Risk Puanı Etki X Olasılık
DOĞAL RİSK (FIRSAT) SEVİYESİ BELİRLEME TABLOSU
FIRSAT PUANI FIRSAT
SEVİYESİ
AÇIKLAMA
20, 25 ÇOK YÜKSEK
(Kaçırılmaz Fırsat)
Hemen değerlendirilmeli.
12, 15, 16 YÜKSEK
(Çok Önemli Fırsat)
Kısa dönemde değerlendirilmeli.
6, 8, 9, 10 ORTA
(Önemli Fırsat)
Uzun dönemde değerlendirilmeli
3, 4, 5 DÜŞÜK
(Olası Fırsat)
İzlenmeli
1, 2 ÇOK DÜŞÜK
(Önemsiz Fırsat)
Öncelikli olmayan fırsat.
FIRSAT PUANI HESAPLAMA FORMÜLÜ
Fırsat Puanı Etki X Olasılık
27
Ek-12: Tehditlere İlişkin Risk Yönetimi Faaliyetlerinin Etkinliği ve Yeterliliği Sınıflandırma
Tablosu
RİSK YÖNETİMİ
FAALİYETLERİNİN
ETKİNLİĞİ VE
YETERLİLİĞİ
ETKİNLİK
VE
YETERLİLİK
PUANI
AÇIKLAMA
ETKİN VE YETERLİ 0,1
• Riski yönetmek için tasarlanmış ve işletilen etkin ve
yeterli kontroller bulunmakta
• Mevcut kontrolleri gözden geçirme ve izleme
dışında daha fazla bir çalışmaya gereksinim
duyulmamakta
• Kontrollerin ekin tasarlandığı ve işletildiği
konusunda üst yönetimin güvencesi bulunmakta
• Destekleyici dokümanlar bulunmakta
KISMEN ETKİN VE
YETERLİ 0,4
• Riski yönetmek için tasarlanmış ve işletilen etkin ve
yeterli kontroller Kısmen etkin ve yeterli
• Riskin etkisi ve/veya olasılığını azaltmaya yönelik
olarak mevcut kontrollerin geliştirilmesi veya ek
önlemlerin tasarlanması gerekli
ZAYIF 0,8
• Kontroller yeterli ölçüde tasarlanmamış
• Kontroller olması gerektiği şekilde işletilmiyor
• Yönetim kontrollerin yeterliliği ve güvenilirliği
konusunda şüpheli ise
ETKİN DEĞİL VE
YETERSİZ 1
• Risk yönelik neredeyse güvenilir hiçbir kontrol yok
• Yönetim kontrollerin yeterliliği ve güvenilirliği
konusunda önemli ölçüde şüpheli ise
• Riski yönetmek üzere alına bilecek önlemler
kurumun kontrol alanı dışında olarak görülüyor
28
Ek-13: Tehditlere İlişkin Artık Risk Seviyesi Belirleme Tablosu
ARTIK RİSK
SEVİYESİ
ARTIK RİSK PUANI AÇIKLAMA
ÇOK YÜKSEK 20<= Artık Risk Puanı<=25
Çok yüksek derecede riske maruz kalınmasını
ifade eder. İlave risk yönetim faaliyetinin
gerçekleştirilmemesi durumunda Kurum
stratejik amaç ve hedeflerine/Birim
hedeflerinin ulaşılamaması, Birim Proje,
faaliyet ve süreçlerinin yürütülememesi söz
konusudur. Üst yönetimin acil dikkati ve
takibi gerekir.
YÜKSEK 12<= Artık Risk Puanı<20
Yüksel d erecede riske maruz kalınmasını
ifade eder. Kurum stratejik amaç ve
hedeflerine/Birim hedeflerinin ulaşılmasını,
Birim Proje, faaliyet ve süreçlerinin
yürütülmesini önemli ölçüde engelleyebilir/
geciktirebilir. Üst yönetimin dikkati ve yakın
takibi gerekir.
ORTA 6<= Artık Risk Puanı<12
Orta derecede riske maruz kalınmasını ifade
eder. Kurum stratejik amaç ve
hedeflerine/Birim hedeflerinin ulaşılmasını,
Birim Proje, faaliyet ve süreçlerinin
yürütülmesini engelleyebilir/ geciktirebilir.
Üst yönetimin belirli düzeyde takibi yeterlidir.
DÜŞÜK 3<= Artık Risk Puanı<6
Düşük derecede riske maruz kalınmasını ifade
eder. Kurum stratejik amaç ve
hedeflerine/Birim hedeflerinin ulaşılmasını,
Birim Proje, faaliyet ve süreçlerinin
yürütülmesini önemli ölçüde engellemez/
geciktirmez. Gelişiminin takip edilmesi
gerekir.
ÇOK DÜŞÜK Artık Risk Puanı<3
Çok düşük derecede riske maruz kalınmasını
ifade eder. Kurum stratejik amaç ve
hedeflerine/Birim hedeflerinin ulaşılmasını,
Birim Proje, faaliyet ve süreçlerinin
yürütülmesini çok düşük seviyede engeller/
geciktirir. Gelişiminin takip edilmesi gerekir.
ARTIK RİSK PUANI HESAPLAMA FORMÜLÜ
Artık Risk Puanı Doğal Risk X Etkinlik ve Yeterlilik Puanı
29
Ek-14: Birim Risk Yönetimi Eylem Planı*
Birim Adı: Dönem:
Stratejik Amaç ve
Hedefler/İş
Süreçleri
Stratejik Amaç No.
Stratejik Amaç Tanımı
Stratejik Hedef No./Süreç No
Stratejik Hedef Tanımı/Süreç Adı
Risklerin
Belirlenmesi
Risk No.
Risk Güncellik Durumu
Risk Kategorisi
Risk Tanımı
Kök Neden / Alt Kök Nedenler
Tipi
Risk Hiyerarşisi
Risk İştahı
Belirleme Tarihi
Risklerin
Değerlendirilmesi
Doğal Etki
Doğal Olasılık
Doğal Risk Puanı
Doğal Risk Seviyesi
Mevcut Risk Yönetimi Faaliyet No
Mevcut Risk Yönetimi Faaliyetleri
Mevcut Risk Yönetimi Faaliyetlerinin Yeterliliği **
Mevcut Risk Yönetimi Faaliyetlerinin Yeterlilik Katsayısı
**
Mevcut Risk Yönetimi Faaliyetleri Riskin Etkisini Mi
Olasılığını Mı Düşürmekte?
Artık Risk Puanı**
Artık Risk Seviyesi**
Risk Uyarı Göstergesi (RUG)**
RUG Sorumlusu**
RUG Hedefi**
RUG Raporlama Periyodu**
RUG Sapması Durumunda Gerçekleştirilecek Faaliyet**
Riske Yönelik
Alınacak
Kararların
Belirlenmesi
Riske Yönelik Alınacak Karar
İlave Risk Yönetim Faaliyeti
İlgili Alt Kök Neden
Faaliyetten Sorumlu Birim
İş Birliği Yapılacak Birim
Faaliyet Başlangıç Tarihi
Faaliyet Tamamlanma Tarihi
30
İlave Risk Yönetimi Faaliyet Kaynak İhtiyacı
İlave Risk
Yönetim
Faaliyetlerin
Takip Edilmesi
Faaliyet Durumu
Açıklama / Revize
Revize Faaliyet Tarihi
Risklerin
İzlenmesi
Doğal Risk Seviyesi Değişti mi?
Mevcut Risk Yönetimi Faaliyetleri Değişti mi?
Artık Risk Seviyesi Değişti mi?
Değişim Nedenleri
Yeni Doğal Risk Seviyesi
Yeni Artık Risk Seviyesi
Değişen Risk Seviyelerine İstinaden Yeni/İlave Faaliyet
Tanımlaması Gerekli mi?
Acil Durum Kriz
İletişim Planı
Riskin Gerçekleşmesi Halinde Tahmini Maliyet**
Riskin Gerçekleşmesi Halinde Uygulanacak Faaliyet**
Sorumlu Personel Adı Soyadı**
Sorumlu Personel Unvanı**
İş Telefon**
GSM Telefon**
e-Posta Adresi**
* Raporda yer alan bilgiler asgari düzeyde belirlenmiş olup ihtiyaca göre arttırılabilir.
** Tabloda söz konusu alanlar fırsat tipli riskler için doldurulmayacaktır.
31
Ek-15: Bakanlık Risk Yönetimi Eylem Planı*
Stratejik Amaç ve
Hedefler/İş
Süreçleri
Stratejik Amaç No.
Stratejik Amaç Tanımı
Stratejik Hedef No./Süreç No
Stratejik Hedef Tanımı/Süreç Adı
Risklerin
Belirlenmesi
Risk No.
Risk Güncellik Durumu
Risk Kategorisi
Risk Tanımı
Kök Neden / Alt Kök Nedenler
Tipi
Risk Hiyerarşisi
Risk İştahı
Belirleme Tarihi
Risklerin
Değerlendirilmesi
Doğal Etki
Doğal Olasılık
Doğal Risk Puanı
Doğal Risk Seviyesi
Mevcut Risk Yönetimi Faaliyet No
Mevcut Risk Yönetimi Faaliyetleri
Mevcut Risk Yönetimi Faaliyetlerinin Yeterliliği **
Mevcut Risk Yönetimi Faaliyetlerinin Yeterlilik Katsayısı **
Mevcut Risk Yönetimi Faaliyetleri Riskin Etkisini Mi
Olasılığını Mı Düşürmekte?
Artık Risk Puanı**
Artık Risk Seviyesi**
Risk Uyarı Göstergesi (RUG)**
(RUG) Sorumlusu**
RUG Hedefi**
RUG Raporlama Periyodu**
RUG Sapması Durumunda Gerçekleştirilecek Faaliyet**
Riske Yönelik
Alınacak
Kararların
Belirlenmesi
Riske Yönelik Alınacak Karar
İlave Risk Yönetim Faaliyeti
İlgili Alt Kök Neden
Faaliyetten Sorumlu Birim
İş Birliği Yapılacak Birim
Faaliyet Başlangıç Tarihi
Faaliyet Tamamlanma Tarihi
İlave Risk Yönetimi Faaliyet Kaynak İhtiyacı
32
İlave Risk
Yönetim
Faaliyetlerin
Takip Edilmesi
Faaliyet Durumu
Açıklama / Revize
Revize Faaliyet Tarihi
Risklerin
İzlenmesi
Doğal Risk Seviyesi Değişti mi?
Mevcut Risk Yönetimi Faaliyetleri Değişti mi?
Artık Risk Seviyesi Değişti mi?
Değişim Nedenleri
Yeni Doğal Risk Seviyesi
Yeni Artık Seviyesi
Değişen Risk Seviyelerine İstinaden Yeni/İlave Faaliyet
Tanımlaması Gerekli mi?
Acil Durum Kriz
İletişim Planı
Riskin Gerçekleşmesi Halinde Tahmini Maliyet**
Riskin Gerçekleşmesi Halinde Uygulanacak Faaliyet**
Sorumlu Personel Adı Soyadı**
Sorumlu Personel Unvanı**
İş Telefon**
GSM Telefon**
e-Posta Adresi**
* Raporda yer alan bilgiler asgari düzeyde belirlenmiş olup ihtiyaca göre arttırılabilir.
** Tabloda söz konusu alanlar fırsat tipli riskler için doldurulmayacaktır.
33
Ek-16: Bakanlık Konsolide Risk Raporu*
Bakanlık
Risk
Kodu
Sorumlu
Birim
Risk
Tanımı Tipi İzleme
Dönemi
Doğal
Risk
Puanı-
Seviyesi
Mevcut
Risk
Yönetim
Faaliyetinin
Etkinliği
Artık Risk
Puanı-
Seviyesi**
Riske
Yönelik
Alınan
Karar
İlave Risk
Yönetim
Faaliyeti
Faaliyet
İzleme
Durumu
* Raporda yer alan bilgiler asgari düzeyde belirlenmiş olup ihtiyaca göre arttırılabilir.
** Artık risk puanı ve seviyesi sadece tehdit tipli risk için kullanılacaktır.
34
Ek-17: Bakanlık Risk Yönetim Takvimi
YÜRÜTÜLECEK EYLEM SORUMLU
BİRİM/KURUL/EKİP
ÇIKTI
DOKÜMAN SUNULACAK YER DÖNEM
1. İç Kontrol İzleme ve Yönlendirme Kurulunun
Toplantıya Çağrılması SGB Üst Yazı Tüm Birimler
I. Çeyrek
2. İç Kontrol İzleme ve Yönlendirme Kurulunun
Toplanması İKİYK Toplantı Tutanağı
Kurumsal Risk
Yönetiminden
Sorumlu Üst Yönetici
3. Bakanlık Risk Yönetimi Eylem Planının
Değerlendirilmesi İKİYK Eylem Planı
(Ek-15)
Kurumsal Risk
Yönetiminden
Sorumlu Üst Yönetici
4. Bakanlık Konsolide Risk Raporunun
Değerlendirilmesi İKİYK
Bakanlık Konsolide
Risk Raporu
(Ek-16)
Kurumsal Risk
Yönetiminden
Sorumlu Üst Yönetici
5. Kurumsal Risk Yönetimi Eğitim Takviminin
Değerlendirilmesi İKİYK Eğitim Takvimi
Kurumsal Risk
Yönetiminden
Sorumlu Üst Yönetici
6. Bakanlık Konsolide Risk Raporunun Onaylanması
Kurumsal Risk
Yönetiminden Sorumlu Üst
Yönetici
Bakanlık Konsolide
Risk Raporu
(Ek-16)
-
7. Bakanlık Risk Yönetimi Eylem Planının Onaylanması
Kurumsal Risk
Yönetiminden Sorumlu Üst
Yönetici
Eylem Planı
(Ek-15) -
8. Kurumsal Risk Yönetimi Eğitim Takviminin
Onaylanması
Kurumsal Risk
Yönetiminden Sorumlu Üst
Yönetici
Eğitim Takvimi -
9. Risk Çalıştayı’nın Organize Edilmesi Birim Risk Koordinatörü - Birim Yöneticisi
10. Risk Çalıştayı'nın Gerçekleştirilmesi Birim Risk Koordinatörü
Birim Risk Yönetim Ekibi - Birim Yöneticisi
11. Riski Azaltmak için Tanımlanan İlave Risk Yönetimi
Faaliyetlerinin Takibi ve Raporlanması
Birim Risk Koordinatörü
Birim Risk Yönetim Ekibi
Birim Risk
Yönetimi Eylem
Planı
(Ek-14)
Birim Yöneticisi II. Çeyrek
35
YÜRÜTÜLECEK EYLEM SORUMLU
BİRİM/KURUL/EKİP
ÇIKTI
DOKÜMAN SUNULACAK YER DÖNEM
12. Birim Risk Yönetimi Eylem Planının Gözden
Geçirilmesi ve Güncellenmesi
Birim Risk Koordinatörü
Birim Risk Yönetim Ekibi
Birim Risk
Yönetimi Eylem
Planı
(Ek-14)
Bakanlık Risk
Koordinatörü
13. Bakanlık Risk Yönetimi Eylem Planının Hazırlanması Bakanlık Risk Yönetimi
Koordinasyon Ekibi
Eylem Planı
(Ek-15) İKİYK
14. Bakanlık Konsolide Risk Raporunun Hazırlanması Bakanlık Risk Yönetimi
Koordinasyon Ekibi
Bakanlık Konsolide
Risk Raporu
(Ek-16)
İKİYK
15. İç Kontrol İzleme ve Yönlendirme Kurulunun
Toplantıya Çağrılması
Bakanlık Risk Yönetimi
Koordinasyon Ekibi Üst Yazı Tüm Birimler
III.Çeyrek
16. İç Kontrol İzleme ve Yönlendirme Kurulunun
Toplanması İKİYK Toplantı Tutanağı
Kurumsal Risk
Yönetiminden
Sorumlu Üst Yönetici
17. Bakanlık Risk Yönetimi Eylem Planının
Değerlendirilmesi İKİYK Eylem Planı
(Ek-15)
Kurumsal Risk
Yönetiminden
Sorumlu Üst Yönetici
18. Bakanlık Konsolide Risk Raporunun
Değerlendirilmesi İKİYK
Bakanlık Konsolide
Risk Raporu
(Ek-16)
Kurumsal Risk
Yönetiminden
Sorumlu Üst Yönetici
19. Bakanlık Konsolide Risk Raporunun Onaylanması
Kurumsal Risk
Yönetiminden Sorumlu Üst
Yönetici
Bakanlık Konsolide
Risk Raporu
(Ek-16)
-
20. Bakanlık Risk Yönetimi Eylem Planının Onaylanması
Kurumsal Risk
Yönetiminden Sorumlu Üst
Yönetici
Eylem Planı
(Ek-15) -
21. Risk Çalıştayı’nın Organize Edilmesi Birim Risk Koordinatörü - Birim Yöneticisi
22. Risk Çalıştayı'nın Gerçekleştirilmesi Birim Risk Koordinatörü
Birim Risk Yönetim Ekibi - Birim Yöneticisi
23. Riski Azaltmak için Tanımlanan İlave Risk Yönetimi
Faaliyetlerinin Takibi ve Raporlanması
Birim Risk Koordinatörü
Birim Risk Yönetim Ekibi
Birim Risk
Yönetimi Eylem
Planı
(Ek-14)
Birim Yöneticisi
IV.
Çeyrek
36
YÜRÜTÜLECEK EYLEM SORUMLU
BİRİM/KURUL/EKİP
ÇIKTI
DOKÜMAN SUNULACAK YER DÖNEM
24. Birim Risk Yönetimi Eylem Planının Gözden
Geçirilmesi ve Güncellenmesi
Birim Risk Koordinatörü
Birim Risk Yönetim Ekibi
Birim Risk
Yönetimi Eylem
Planı
(Ek-14)
Bakanlık Risk
Koordinatörü
25. Bakanlık Risk Yönetimi Eylem Planının Hazırlanması Bakanlık Risk Yönetimi
Koordinasyon Ekibi
Eylem Planı
(Ek-15) İKİYK
26. Bakanlık Konsolide Risk Raporunun Hazırlanması Bakanlık Risk Yönetimi
Koordinasyon Ekibi
Bakanlık Konsolide
Risk Raporu
(Ek-16)
İKİYK
27. Kurumsal Risk Yönetimi Eğitim Takviminin
Hazırlanması
Bakanlık Risk Yönetimi
Koordinasyon Ekibi Eğitim Takvimi İKİYK
28. Yeni Tespit Edilen ve Değişen Risklerin Bildirilmesi Birim Risk Koordinatörü
Birim Yöneticisi
Bildirim Formu
(Ek-18/A)
(Ek-18/B)
Bakanlık Risk
Koordinatörü
Her
Zaman
29. Gerçekleşen Risklerin Bildirilmesi Birim Risk Koordinatörü
Birim Yöneticisi
Bildirim Formu
(Ek-18/C)
Üst Yönetici
Bakanlık Risk
Koordinatörü
Her
Zaman
37
Ek-18/A: Yeni Tespit Edilen Riskler İçin Anlık Bildirim Formu
Aşağıda detayları yer alan yeni bir risk tarafımızca tespit edilmiştir. Gerekli değerlendirme ve
çalışmaların gerçekleştirilmesini saygılarımızla arz ederiz.
Stratejik Amaç, Stratejik Hedef, Faaliyet, Proje, Süreç, Prosedür Adı
Risk Tanımı
Risk Evreni
Ana Kök Neden (Alt Kök Nedenler)
Var İse, Riskin Fırsat Boyutu
Bildirimi Gerçekleştiren
Birim/Daire:
Unvan:
Ad ve Soyadı:
Bildirim Tarihi:
İmza:
38
Ek-18/B: Değişen Riskler İçin Anlık Bildirim Formu
Aşağıda detayları yer alan riskin değişim gösterdiği tarafımızca tespit edilmiştir. Gerekli
değerlendirme ve çalışmaların gerçekleştirilmesini saygılarımızla arz ederiz.
Stratejik Amaç, Stratejik Hedef, Faaliyet, Proje, Süreç, Prosedür Adı
DEĞİŞİKLİĞE İLİŞKİN
Kayıtlı Risk Numarası
Kayıtlı Risk Tanımı
Değişikliğe İlişkin
Açıklama
Bildirimi Gerçekleştiren
Birim/Daire:
Unvan:
Ad ve Soyadı:
Bildirim Tarihi:
İmza:
39
Ek-18/C: Gerçekleşen Riskler İçin Anlık Bildirim Formu
Aşağıda detayları yer alan riskin gerçekleştiği tarafımızca tespit edilmiştir. Gerekli değerlendirme ve
çalışmaların gerçekleştirilmesini saygılarımızla arz ederiz.
Stratejik Amaç, Stratejik Hedef, Faaliyet, Proje, Süreç, Prosedür Adı
GERÇEKLEŞEN RİSKE İLİŞKİN
Kayıtlı Risk Numarası
Kayıtlı Risk Tanımı
Açıklama
Uygulanacak Faaliyet
Tahmini Maliyet
Sorumlu Personel Adı
Soyadı /Unvanı
İletişim Bilgileri
(Telefon, e-posta)
Bildirimi Gerçekleştiren
Birim/Daire:
Unvan:
Ad ve Soyadı:
Bildirim Tarihi:
İmza: