Türkiye açısından da benzer bir tablo söz konusu. Türkiye Yönetim Kurulu Barometresi 2026, kurumsal risk yönetimi yapılarının büyük ölçüde oluşturulmuş olmasına rağmen, yönetim kurullarının uzun vadeli risk ve dönüşüm konularına ayırdığı zamanın hâlâ sınırlı olduğunu ortaya koyuyor. YYUD
Bu tablo, yönetim kurullarının risklere yalnızca “kontrol” perspektifinden değil, stratejik dayanıklılık ve uzun vadeli değer yaratma perspektifinden yaklaşmasını gerektiriyor.
1. Yapay zekâ: Teknoloji yatırımından yönetim sorumluluğuna
Yapay zekâ artık yalnızca CIO veya teknoloji ekiplerinin konusu değil. Şirket stratejisini, iş modellerini, insan kaynağını, müşteri ilişkilerini ve karar alma süreçlerini doğrudan etkileyen bir yönetim kurulu gündemi haline geliyor.
Yapay zekânın beraberinde getirdiği başlıca riskler arasında:
- hatalı veya yanıltıcı çıktılar,
- veri gizliliği ve veri güvenliği,
- fikri mülkiyet ihlalleri,
- algoritmik önyargı,
- siber saldırıların yapay zekâ ile güçlenmesi,
- üçüncü taraf AI sağlayıcılarına bağımlılık,
- insan kararının otomatik sistemlere aşırı devredilmesi
yer alıyor.
2026 PwC araştırmasında yönetim kurulu üyelerinin %71'i, etkin gözetim için yönetim kurullarının AI yetkinliklerini geliştirmesi gerektiğini belirtiyor. PPwC
Dolayısıyla yönetim kurulunun temel sorusu artık yalnızca “Yapay zekâyı kullanmalı mıyız?” değil; “Yapay zekâdan hangi değeri yaratıyoruz ve bunu hangi kontrol mekanizmalarıyla güvenli biçimde gerçekleştiriyoruz?” olmalı.
2. Siber güvenlik ve dijital dayanıklılık
Siber risk, teknik bir IT problemi olmaktan çıkarak doğrudan şirketin sürekliliğini ve itibarını etkileyen bir yönetim riski haline geldi.
Fidye yazılımları, veri ihlalleri, kimlik bilgisi hırsızlığı, tedarikçi kaynaklı saldırılar ve yapay zekâ destekli saldırılar şirketlerin operasyonlarını durdurabilecek seviyeye ulaşabiliyor.
Türkiye'de de siber güvenlik alanındaki kurumsal ve mevzuatsal yapı güçleniyor. Siber Güvenlik Başkanlığı'nın mevzuat gündeminde 2025 tarihli Siber Güvenlik Kanunu ve 2026 yılında yayımlanan düzenlemeler bulunuyor. SSiber Güvenlik Başkanlığı
Yönetim kurulu açısından kritik olan nokta, “Sistemlerimiz güvende mi?” sorusundan ziyade şu soruların sorulmasıdır:
En kritik varlıklarımız hangileri? Bir saldırı gerçekleşirse ne kadar sürede faaliyetlerimizi sürdürebiliriz? Kriz sırasında kim, hangi yetkiyle karar verecek?
3. Jeopolitik risk ve iş sürekliliği
Jeopolitik gelişmeler artık yalnızca dış ticaret yapan şirketlerin riski değil.
Savaşlar, ticaret kısıtlamaları, yaptırımlar, enerji arzı, kritik hammaddelere erişim, lojistik hatlar ve döviz piyasalarındaki dalgalanmalar şirketlerin stratejik planlarını doğrudan etkileyebiliyor.
2026'da yönetim kurulu üyelerinin önemli bir bölümü jeopolitik çatışmaların şirketleri üzerindeki etkisinden endişe duyuyor. PPwC
Bu nedenle yönetim kurullarının tek bir “baz senaryo” üzerinden planlama yapmak yerine farklı jeopolitik ve ekonomik senaryolara karşı şirketin dayanıklılığını test etmesi önem kazanıyor.
4. Ekonomik belirsizlik ve finansal dayanıklılık
Faiz oranları, enflasyon, kur hareketleri, tüketici davranışları ve finansmana erişim koşulları şirketlerin risk profilini hızla değiştirebiliyor.
Bu ortamda yönetim kurulunun finansal tabloları geçmiş performansı değerlendirmek için incelemesi yeterli değil. Yönetim kurulu aynı zamanda geleceğe yönelik stres testlerini sorgulamalı.
Örneğin:
- Faizlerin beklenenden uzun süre yüksek kalması,
- Kurda sert hareketler,
- Talepte belirgin düşüş,
- Finansman maliyetlerinde artış,
- Ana müşterilerden birinin kaybedilmesi
gibi senaryolar şirketin nakit akışı ve sermaye yapısını nasıl etkiler?
Risk yönetiminin stratejiyle bütünleşmesi tam da bu noktada önem kazanıyor.
5. Tedarik zinciri ve üçüncü taraf riskleri
Şirketin kendi operasyonlarını güvence altına alması artık tek başına yeterli değil.
Kritik bir tedarikçinin siber saldırıya uğraması, stratejik bir hammaddenin bulunamaması veya önemli bir teknoloji sağlayıcısında yaşanan kesinti, şirketin faaliyetlerini doğrudan etkileyebilir.
Bu nedenle yönetim kurulu yalnızca “kaç tedarikçimiz var?” sorusunu değil, “Kritik bir tedarikçimizi kaybedersek ne olur?” sorusunu da gündeme almalıdır.
Özellikle teknoloji, bulut hizmetleri ve dış kaynak kullanımı arttıkça üçüncü taraf risklerinin yönetim kurulu seviyesinde görünür olması daha önemli hale geliyor. 2026 NACD siber risk rehberi de üçüncü taraf ve tedarik zinciri siber risklerini yönetim kurulu gözetiminin önemli alanlarından biri olarak ele alıyor. Nnacdonline.org
6. Mevzuat ve düzenleyici risk
Düzenlemelerin hızla değiştiği bir ortamda uyum, yalnızca hukuk veya uyum departmanının sorumluluğu olarak görülemez.
Özellikle yapay zekâ, veri, siber güvenlik, sürdürülebilirlik ve finansal raporlama alanlarında yeni düzenlemeler şirketlerin iş modellerini etkileyebiliyor.
Burada yönetim kurulunun sorumluluğu, bütün mevzuatı ayrıntısıyla bilmek değil; şirketin önemli düzenleyici değişiklikleri zamanında tespit edip stratejiye ve iş süreçlerine yansıtmasını sağlayacak yönetişim mekanizmasının çalıştığından emin olmak.
7. İklim, sürdürülebilirlik ve fiziksel riskler
İklim değişikliği artık yalnızca çevresel bir konu değil; finansal ve operasyonel bir risk.
Aşırı hava olayları, su stresi, enerji maliyetleri, sigorta maliyetleri, tedarik zinciri etkileri ve müşteri beklentileri şirketlerin değer yaratma kapasitesini etkileyebilir.
Bu nedenle sürdürülebilirlik başlığının yönetim kurulu gündeminde yalnızca raporlama dönemlerinde yer alması yerine, yatırım kararları ve uzun vadeli stratejiyle ilişkilendirilmesi gerekiyor.
8. İnsan kaynağı ve yönetim kurulu yetkinliği
Yeni risklerin önemli bir bölümü yeni yetkinlikler gerektiriyor.
Yapay zekâ, siber güvenlik, veri, jeopolitik risk ve yeni düzenlemeler konusunda yönetim kurulunun gerekli bilgi seviyesine sahip olması artık önemli bir yönetişim konusu.
2026 PwC araştırması, yönetim kurullarındaki uzmanlık boşluklarının arttığına işaret ediyor. PPwC
Bu nedenle yönetim kurulu değerlendirmelerinde yalnızca geçmiş deneyimlere değil, geleceğin risklerine karşı ihtiyaç duyulan yetkinliklere de bakılması gerekiyor.
Yönetim kurulunun risk gündemi nasıl değişmeli?
Günümüzün karmaşık risk ortamında iyi bir yönetim kurulu yalnızca “Risklerimiz neler?” diye sormamalı.
Daha doğru sorular şunlar:
- En kritik üç riskimiz hangileri?
- Bu risklerin gerçekleşme ihtimali ve etkisi nasıl değişiyor?
- Birden fazla risk aynı anda gerçekleşirse ne olur?
- Yönetimin erken uyarı göstergeleri neler?
- Hangi riskleri kabul ediyor, hangilerini azaltıyor ve hangilerinden kaçınıyoruz?
- Kritik bir kriz durumunda karar alma ve iletişim mekanizmamız hazır mı?
- Yönetim kurulunun sahip olması gereken yeni yetkinlikler neler?
- Risk yönetimi stratejik planlama ve sermaye tahsisiyle gerçekten entegre mi?
Sonuç: Risk yönetimi kontrol değil, stratejik dayanıklılık meselesidir
2026'nın yönetim kurulları için en önemli değişimi, risklerin birbirinden bağımsız olmamasıdır. Bir siber saldırı operasyonel kesintiye, operasyonel kesinti finansal kayba, finansal kayıp itibara ve düzenleyici sorunlara dönüşebilir. Yapay zekâ ise bu risklerin birçoğunu aynı anda hızlandırabilir.
Bu nedenle yönetim kurulunun görevi her riski ortadan kaldırmak değil; şirketin hangi riskleri hangi koşullarda alacağını belirlemek, kritik riskleri zamanında görmek ve şirketi belirsizlik karşısında dayanıklı kılmaktır.
Başarılı yönetim kurulları, risk yönetimini geçmişte yaşananları kontrol eden bir mekanizma olmaktan çıkarıp gelecekte ortaya çıkabilecek fırsat ve tehditleri birlikte değerlendiren stratejik bir yetkinliğe dönüştürecektir.
Türkiye'deki yönetim kurullarının gündeminde de bu dönüşümün hızlanması gerekiyor. Çünkü geleceğin rekabet avantajı yalnızca daha hızlı büyüyen şirketlerde değil, belirsizlik karşısında daha hızlı karar alabilen ve dayanıklılığını koruyabilen şirketlerde olacak.
