Apa yang Harus Dilakukan Risk Manager? Dari Risk Register hingga Sistem yang Efektif

Banyak perusahaan sudah memiliki kebijakan manajemen risiko, pedoman, aplikasi, matriks penilaian, dan risk register.

Namun dalam praktiknya, risk register terkadang hanya:

• diperbarui menjelang audit;

• disalin dari periode sebelumnya;

• berisi risiko yang terlalu umum;

• dipenuhi rencana mitigasi tanpa pemilik yang jelas;

• atau tidak digunakan ketika perusahaan mengambil keputusan.

Kondisi tersebut menimbulkan beberapa pertanyaan:

• Apa sebenarnya tugas seorang risk manager?

• Siapa yang bertanggung jawab mengelola risiko?

• Apakah risk register saja sudah cukup?

• Bagaimana membuat manajemen risiko memberikan nilai tambah?

• Bagaimana mencegah prosesnya menjadi beban administratif?

Jawaban singkatnya adalah:

Manajemen risiko bukan kegiatan mengisi dokumen. Manajemen risiko adalah cara membantu organisasi mengambil keputusan yang lebih baik dalam kondisi tidak pasti.

ISO 31000 mendefinisikan risiko sebagai efek ketidakpastian terhadap tujuan. Standar ini menekankan bahwa manajemen risiko perlu diintegrasikan ke dalam tata kelola, strategi, perencanaan, pelaporan, kebijakan, dan budaya organisasi. (ISO 31000:2018)

Artinya, pembahasan risiko harus selalu berawal dari tujuan yang ingin dicapai—bukan dari formulir yang harus diselesaikan.

Apa Tugas Utama Risk Manager?

Risk manager membantu organisasi membangun dan menjalankan sistem agar risiko dapat dikenali, dianalisis, diprioritaskan, ditangani, dipantau, dan dikomunikasikan dengan baik.

Dalam banyak organisasi, risk manager menjalankan peran sebagai:

• fasilitator, yang membantu unit kerja melakukan proses manajemen risiko;

• advisor, yang memberikan pandangan risiko kepada manajemen;

• challenger, yang menguji asumsi dan kualitas analisis secara konstruktif;

• system builder, yang membangun kerangka, metodologi, dan sistem pelaporan;

• aggregator, yang melihat hubungan serta konsentrasi risiko antarunit;

• dan coordinator, yang menghubungkan risk owner, manajemen, fungsi kontrol, serta pemberi assurance.

Risk manager bukan “polisi risiko” yang harus mengendalikan seluruh pekerjaan. Risk manager juga bukan pemilik semua risiko dalam perusahaan.

Risk Manager Tidak Sama dengan Risk Owner

Pembagian tanggung jawab merupakan fondasi sistem manajemen risiko yang efektif.

Pihak	Tanggung jawab utama
Dewan komisaris atau badan pengawas	Mengawasi tata kelola risiko dan meminta pertanggungjawaban manajemen
Direksi dan manajemen senior	Menentukan tujuan, risk appetite, prioritas, dan akuntabilitas pengelolaan risiko
Risk owner	Memiliki kewenangan serta tanggung jawab untuk mengelola risiko pada proses atau sasaran tertentu
Risk manager atau fungsi risiko	Menyusun kerangka, memfasilitasi, memberikan challenge, memantau, mengagregasi, dan melaporkan risiko
Fungsi kontrol atau kepatuhan	Memantau area tertentu dan memberikan dukungan atau assurance sesuai mandatnya
Internal audit	Memberikan assurance independen atas tata kelola, manajemen risiko, dan pengendalian internal

Pembagian tersebut sejalan dengan prinsip Three Lines Model dari The Institute of Internal Auditors. Model ini menekankan kontribusi setiap peran serta pentingnya koordinasi tanpa menghilangkan independensi internal audit. (The IIA)

Susunannya dapat berbeda sesuai struktur organisasi. Namun prinsip utamanya tetap sama:

Manajemen dan risk owner mengelola risiko. Fungsi risiko membantu membangun kerangka, memfasilitasi, memantau, dan memberikan challenge. Internal audit memberikan assurance independen.

Apa Saja yang Seharusnya Dilakukan Risk Manager?

1. Memahami tujuan organisasi

Risiko hanya dapat dinilai apabila tujuannya jelas.

Risk manager perlu memahami:

• sasaran strategis;

• target operasional;

• proyek dan investasi;

• kewajiban hukum;

• kebutuhan pemangku kepentingan;

• serta asumsi yang mendasari rencana bisnis.

Pernyataan seperti “risiko kegagalan operasional” terlalu umum jika tidak dikaitkan dengan sasaran, proses, lokasi, atau layanan yang dapat terdampak.

2. Membangun kerangka manajemen risiko

Risk manager membantu menyusun dan memperbarui:

• kebijakan;

• metodologi;

• taksonomi risiko;

• kriteria kemungkinan dan dampak;

• matriks penilaian;

• risk appetite;

• batas toleransi;

• tata cara eskalasi;

• format pelaporan;

• dan pembagian tanggung jawab.

Kerangka tersebut perlu disesuaikan dengan ukuran, industri, regulasi, serta tingkat kematangan organisasi.

3. Memfasilitasi identifikasi dan penilaian risiko

Risk manager dapat memimpin lokakarya, wawancara, analisis data, atau diskusi lintas fungsi untuk membantu risk owner memahami:

• apa yang dapat terjadi;

• mengapa peristiwa itu dapat terjadi;

• apa dampaknya;

• kontrol apa yang sudah tersedia;

• dan tindakan tambahan apa yang dibutuhkan.

Risk manager boleh membantu menyusun narasi, tetapi isi penilaian harus dipahami serta disepakati oleh risk owner.

4. Memberikan challenge yang konstruktif

Risk manager perlu mempertanyakan analisis yang terlalu optimistis, tidak konsisten, atau tidak memiliki bukti.

Contoh pertanyaannya:

• Apakah kemungkinan kejadiannya didukung data?

• Apakah seluruh penyebab utama sudah dipertimbangkan?

• Apakah kontrol yang dicatat benar-benar berjalan?

• Apakah residual risk sudah memperhitungkan efektivitas kontrol?

• Apakah rencana penanganannya memiliki pemilik dan batas waktu?

• Bagaimana jika asumsi utama tidak terpenuhi?

• Apakah risiko tersebut saling berkaitan dengan risiko lain?

Tujuannya bukan mencari kesalahan, melainkan meningkatkan kualitas keputusan.

5. Melihat risiko secara portofolio

Risk owner biasanya melihat risiko pada unitnya sendiri. Risk manager perlu melihat gambaran yang lebih luas.

Beberapa risiko yang terlihat kecil secara individual dapat membentuk konsentrasi besar apabila memiliki:

• pemasok yang sama;

• infrastruktur yang sama;

• sistem teknologi yang sama;

• lokasi yang sama;

• atau faktor eksternal yang sama.

Risk manager harus mengidentifikasi ketergantungan, korelasi, dan potensi efek berantai tersebut.

6. Memantau perubahan profil risiko

Risk register tidak seharusnya hanya diperbarui setahun sekali.

Risk manager perlu memantau perubahan:

• lingkungan bisnis;

• regulasi;

• kondisi operasional;

• proyek;

• harga komoditas;

• teknologi;

• kondisi pemasok;

• dan indikator risiko utama.

Frekuensi pemantauan perlu disesuaikan dengan tingkat risiko. Risiko yang bergerak cepat mungkin membutuhkan pemantauan harian atau mingguan, sedangkan risiko lain cukup dibahas bulanan atau triwulanan.

7. Mengintegrasikan risiko ke dalam keputusan

Nilai terbesar manajemen risiko muncul ketika analisisnya digunakan untuk:

• perencanaan strategis;

• keputusan investasi;

• pemilihan kontraktor;

• pengadaan;

• perubahan proses;

• peluncuran produk;

• proyek teknologi;

• ekspansi pasar;

• dan penghentian kegiatan.

COSO juga menekankan pentingnya mengintegrasikan enterprise risk management dengan strategi dan kinerja. (COSO)

Risk manager tidak mengambil alih keputusan bisnis. Ia membantu pengambil keputusan memahami ketidakpastian, pilihan respons, konsekuensi, dan trade-off.

8. Melakukan eskalasi secara tepat

Risk manager perlu memastikan bahwa risiko material, pelanggaran batas toleransi, kegagalan kontrol, atau perubahan eksposur dilaporkan kepada pihak yang memiliki kewenangan.

Eskalasi sebaiknya tidak hanya menyampaikan masalah, tetapi juga mencakup:

• penyebab;

• dampak potensial;

• status kontrol;

• pilihan respons;

• kebutuhan keputusan;

• dan batas waktu tindakan.

9. Membangun budaya sadar risiko

Budaya risiko bukan berarti semua orang menjadi takut mengambil keputusan.

Budaya yang sehat ditandai oleh:

• keberanian melaporkan masalah;

• diskusi risiko yang terbuka;

• tidak menyembunyikan insiden;

• kesediaan mempelajari kegagalan;

• serta pemahaman bahwa risiko juga dapat mengandung peluang.

Risk manager dapat mendukungnya melalui pelatihan, komunikasi, studi kasus, dan keterlibatan dalam proses bisnis.

Apa yang Bukan Tugas Risk Manager?

Risk manager seharusnya tidak:

• mengisi seluruh risk register atas nama unit kerja;

• menjadi pemilik semua rencana mitigasi;

• mengambil alih keputusan operasional;

• menyetujui setiap kegiatan kecil;

• menjamin bahwa perusahaan tidak akan mengalami kerugian;

• menggantikan fungsi internal audit;

• atau menambah kontrol tanpa mempertimbangkan biaya dan manfaat.

Jika risk manager mengerjakan seluruh tugas risk owner, organisasi justru kehilangan akuntabilitas.

Risk owner dapat merasa bahwa risiko adalah urusan fungsi risiko, padahal risiko muncul dari keputusan dan proses yang berada dalam kewenangannya.

Risk Register: Alat Penting, tetapi Bukan Sistem Manajemen Risiko

Risk register adalah media untuk mendokumentasikan informasi utama tentang risiko.

Risk register membantu organisasi:

• menyusun profil risiko;

• menentukan prioritas;

• menetapkan tindakan;

• memantau perubahan;

• dan melaporkan eksposur.

Namun risk register hanya merupakan salah satu alat. Dokumen tersebut tidak akan menghasilkan nilai apabila isinya tidak digunakan.

Isi risk register yang efektif

Risk register sebaiknya memuat informasi berikut:

Komponen	Penjelasan
Tujuan	Sasaran yang terpengaruh oleh risiko
Risk event	Peristiwa tidak pasti yang dapat terjadi
Penyebab	Faktor yang dapat memicu peristiwa
Dampak	Konsekuensi terhadap tujuan
Risk owner	Pihak yang memiliki kewenangan mengelola risiko
Inherent risk	Tingkat risiko sebelum mempertimbangkan kontrol
Existing control	Pengendalian yang sudah diterapkan
Control owner	Pihak yang menjalankan kontrol
Control effectiveness	Penilaian efektivitas desain dan pelaksanaannya
Residual risk	Tingkat risiko setelah kontrol yang ada
Risk appetite atau toleransi	Batas penerimaan risiko
Risk treatment	Tindakan tambahan untuk mengubah risiko
Action owner dan target date	Penanggung jawab serta batas waktu
KRI	Indikator untuk memantau perubahan eksposur
Target risk	Tingkat risiko yang diharapkan setelah tindakan selesai
Status dan tren	Perkembangan risiko naik, tetap, atau menurun

Menulis risiko dengan jelas

Pernyataan risiko sebaiknya menjelaskan hubungan:

Penyebab → Peristiwa risiko → Dampak terhadap tujuan

Contoh yang terlalu umum:

Risiko gangguan pasokan.

Contoh yang lebih jelas:

Keterbatasan alternatif pemasok dan gangguan jalur transportasi dapat menyebabkan keterlambatan bahan baku sehingga target produksi serta pemenuhan kontrak pelanggan tidak tercapai.

Narasi yang jelas memudahkan organisasi memilih kontrol dan indikator yang relevan.

Bedakan Inherent, Residual, dan Target Risk

Ketiga istilah ini sering tertukar.

Inherent risk

Inherent risk adalah tingkat risiko sebelum mempertimbangkan kontrol yang tersedia.

Residual risk

Residual risk adalah risiko yang masih tersisa setelah memperhitungkan kontrol yang saat ini benar-benar berjalan.

Residual risk tidak boleh turun hanya karena sebuah kontrol tertulis di dokumen. Efektivitas pelaksanaannya harus dipertimbangkan.

Target risk

Target risk adalah tingkat risiko yang ingin dicapai setelah tindakan tambahan diselesaikan dan terbukti efektif.

Membedakan ketiganya membuat manajemen dapat melihat:

• seberapa besar kontribusi kontrol;

• apakah risiko masih melampaui toleransi;

• dan apakah rencana penanganan cukup untuk mencapai target.

Risk Treatment Tidak Selalu Berarti Menambah Kontrol

Organisasi memiliki beberapa pilihan respons terhadap risiko, antara lain:

• menghindari, dengan tidak melakukan aktivitas tertentu;

• mengurangi kemungkinan, melalui tindakan pencegahan;

• mengurangi dampak, melalui proteksi atau kesiapan pemulihan;

• berbagi atau mentransfer, misalnya melalui asuransi atau kontrak;

• menerima, apabila sesuai risk appetite;

• atau mengambil risiko secara sadar, ketika peluang yang diperoleh sebanding dengan eksposurnya.

Menambah kontrol bukan selalu jawaban terbaik. Kontrol juga memiliki biaya, waktu, dan potensi menghambat proses bisnis.

Control Testing: Memastikan Kontrol Benar-Benar Berjalan

Sebagian organisasi menggunakan istilah Internal Control Testing (ICT). Karena ICT juga umum digunakan sebagai singkatan Information and Communication Technology, artikel atau dokumen untuk pembaca umum sebaiknya menuliskan istilah lengkapnya atau menggunakan istilah control testing.

Control testing bertujuan menilai apakah pengendalian:

1. dirancang dengan tepat; dan

2. dijalankan secara konsisten.

Design effectiveness

Pengujian desain menjawab pertanyaan:

Jika kontrol dijalankan sesuai rancangan, apakah kontrol tersebut mampu mencegah, mendeteksi, atau mengurangi risiko?

Kontrol dapat berjalan rutin tetapi tetap tidak efektif apabila desainnya tidak menyasar penyebab risiko.

Operating effectiveness

Pengujian operasional menjawab pertanyaan:

Apakah kontrol benar-benar dilaksanakan oleh pihak yang tepat, pada waktu yang ditentukan, dan didukung bukti yang memadai?

Metodenya dapat berupa:

• wawancara;

• observasi;

• pemeriksaan dokumen;

• pengambilan sampel;

• reperformance;

• dan analisis data.

Jika hasil pengujian menunjukkan kontrol tidak efektif, organisasi dapat:

• memperbaiki desain;

• memperjelas frekuensi;

• mengganti control owner;

• meningkatkan otomatisasi;

• menambah bukti;

• atau mengganti kontrol dengan mekanisme yang lebih sesuai.

COSO menekankan bahwa pengendalian internal mempunyai nilai yang lebih luas daripada kepatuhan dan pelaporan keuangan. Kontrol yang efektif juga mendukung strategi, tujuan, dan pertumbuhan organisasi. (COSO—Internal Control)

Siapa yang melakukan control testing?

Jawabannya bergantung pada struktur organisasi.

Pengujian dapat dilakukan oleh:

• unit kerja melalui self-assessment;

• fungsi kontrol atau fungsi risiko;

• fungsi kepatuhan;

• quality assurance;

• atau internal audit untuk memberikan assurance independen.

Tingkat independensi dan tujuan pengujian harus dinyatakan dengan jelas agar hasilnya tidak disalahartikan.

KRI dan Dashboard: Memantau Perubahan Sebelum Menjadi Insiden

Risk register memberikan gambaran pada titik waktu tertentu. Sementara risiko dapat berubah setiap hari.

Karena itu, organisasi membutuhkan Key Risk Indicator (KRI).

KRI adalah indikator yang memberikan sinyal mengenai peningkatan atau penurunan eksposur risiko.

Contohnya:

• persentase keterlambatan pemasok;

• tingkat persediaan minimum;

• jumlah kegagalan peralatan;

• kapasitas sistem yang tersisa;

• tingkat pergantian karyawan kritis;

• jumlah percobaan serangan siber;

• atau perubahan harga komoditas.

KRI berbeda dari KPI

KPI mengukur pencapaian kinerja.

KRI mengukur perubahan eksposur atau kondisi yang dapat menghambat pencapaian kinerja.

Satu indikator dapat berfungsi sebagai KPI dan KRI dalam konteks berbeda, tetapi tujuan penggunaannya harus jelas.

Dashboard tidak harus real-time

Tidak semua risiko membutuhkan pemantauan real-time. Frekuensi harus mengikuti kecepatan perubahan risiko.

Dashboard yang baik setidaknya menunjukkan:

• posisi terhadap batas;

• tren;

• status tindakan;

• kegagalan kontrol;

• insiden;

• dan kebutuhan eskalasi.

Dashboard tidak memberikan manfaat apabila penuh dengan indikator tetapi tidak memiliki ambang batas dan prosedur tindakan.

BCMS: Ketika Pencegahan Tidak Lagi Cukup

Kontrol preventif tidak dapat menghilangkan seluruh kemungkinan gangguan.

Ketika insiden besar terjadi, organisasi membutuhkan Business Continuity Management System (BCMS).

ISO 22301 membantu organisasi mempersiapkan, merespons, serta pulih dari insiden yang mengganggu kelangsungan produk dan layanan. (ISO 22301:2019)

BCMS umumnya mencakup:

• business impact analysis;

• risk assessment;

• strategi kelangsungan;

• business continuity plan;

• struktur respons insiden;

• sumber daya pemulihan;

• komunikasi krisis;

• latihan;

• dan evaluasi.

Risk assessment dan BIA tidak sama

Risk assessment menilai ketidakpastian, penyebab, kemungkinan, dan dampak risiko.

Business Impact Analysis (BIA) menilai dampak gangguan dari waktu ke waktu dan menentukan prioritas pemulihan aktivitas.

BIA dapat membantu menentukan:

• aktivitas kritis;

• Maximum Tolerable Period of Disruption;

• Recovery Time Objective;

• Recovery Point Objective;

• kebutuhan minimum sumber daya;

• dan ketergantungan utama.

BCMS melengkapi manajemen risiko. Risk register membantu organisasi mengelola ketidakpastian, sedangkan BCMS membantu organisasi mempertahankan dan memulihkan layanan ketika gangguan material benar-benar terjadi.

Scenario Analysis dan Stress Testing

Penilaian risiko sering bergantung pada asumsi. Karena itu, organisasi perlu menguji apa yang terjadi jika asumsi tersebut berubah.

Pertanyaan skenario dapat berupa:

• Bagaimana jika pemasok utama berhenti selama satu bulan?

• Bagaimana jika harga bahan baku naik 40%?

• Bagaimana jika sistem teknologi tidak tersedia selama dua hari?

• Bagaimana jika proyek terlambat satu tahun?

• Bagaimana jika permintaan turun tajam?

• Bagaimana jika dua gangguan terjadi secara bersamaan?

Scenario analysis tidak bertujuan meramal masa depan secara tepat. Tujuannya memperluas cara berpikir dan menguji ketahanan keputusan.

Shell telah mengembangkan scenario planning sejak awal 1970-an. Shell menegaskan bahwa skenario bukan prediksi atau rencana bisnis, melainkan salah satu masukan untuk memikirkan tantangan jangka panjang dan mengambil keputusan yang lebih baik. (Shell)

Risk Appetite dan Batas Toleransi Risiko

Tanpa risk appetite, organisasi sulit menentukan risiko mana yang perlu mendapat perhatian terbesar.

Risk appetite

Risk appetite menggambarkan jenis dan tingkat risiko yang bersedia diambil organisasi dalam mengejar tujuan.

Risk tolerance

Risk tolerance menerjemahkan appetite menjadi batas yang lebih operasional atau terukur.

Sebagian organisasi di Indonesia menggunakan istilah Batas Toleransi Risiko (BTR). Definisi dan metode perhitungannya dapat berbeda antarperusahaan, sehingga harus mengacu pada kebijakan internal yang berlaku.

Secara praktis, appetite dan toleransi membantu menjawab:

• risiko apa yang dapat diterima;

• risiko apa yang harus ditangani;

• kapan risiko harus dieskalasi;

• dan siapa yang berwenang menerima eksposur tersebut.

Jika residual risk berada di atas toleransi, pilihan manajemen umumnya adalah:

• menambah atau memperbaiki tindakan;

• mengubah keputusan;

• memperoleh persetujuan pihak berwenang;

• atau menghentikan aktivitas.

Bahaya Micro Risk Management

Sistem manajemen risiko dapat kehilangan nilai ketika terlalu fokus pada risiko kecil dan aktivitas administratif.

Tanda-tandanya antara lain:

• jumlah risiko terlalu banyak;

• setiap persoalan dicatat sebagai risiko terpisah;

• unit kerja mengisi banyak template yang isinya serupa;

• fungsi risiko mengulang pekerjaan risk owner;

• rapat terlalu sering tanpa keputusan;

• persetujuan risiko memperpanjang seluruh proses;

• dan laporan mengutamakan jumlah dokumen, bukan perubahan eksposur.

Dampaknya adalah:

• risk owner kehilangan waktu untuk mengelola bisnis;

• risiko material justru tenggelam;

• kualitas data menurun;

• pengelolaan risiko dianggap formalitas;

• dan unit kerja berusaha menghindari proses risiko.

Risk Management Harus Proporsional

Manajemen risiko yang baik bukan yang memiliki kontrol paling banyak. Sistemnya harus proporsional dengan:

• besarnya dampak;

• tingkat ketidakpastian;

• kecepatan perubahan;

• kewajiban regulasi;

• dan biaya pengendalian.

Gunakan pendekatan bertingkat

Organisasi dapat membagi risiko menjadi:

• risiko strategis;

• risiko utama perusahaan;

• risiko unit;

• risiko proyek;

• dan risiko rutin yang dikelola melalui prosedur operasional.

Tidak semua risiko harus dilaporkan sampai direksi.

Gunakan prinsip Pareto sebagai heuristik

Prinsip Pareto dapat digunakan sebagai cara berpikir bahwa sebagian kecil risiko sering menghasilkan sebagian besar dampak.

Namun angka 20% dan 80% bukan hukum pasti. Organisasi tetap perlu menggunakan data dan pertimbangan profesional.

Sederhanakan risk register

Risk register harus:

• mudah dipahami;

• memiliki pemilik;

• dapat ditindaklanjuti;

• menggunakan data yang relevan;

• dan mendukung keputusan.

Kolom tambahan hanya perlu dibuat jika informasi tersebut benar-benar digunakan.

Tujuan manajemen risiko adalah pengendalian yang optimal, bukan pengendalian maksimal.

Contoh Praktik dari Perusahaan Global

Contoh perusahaan berikut bukan berarti mereka tidak pernah mengalami kegagalan. Tujuannya adalah menunjukkan praktik tertentu yang terdokumentasi.

Toyota: Visibilitas rantai pasok dan kesiapan bencana

Setelah gempa bumi dan tsunami Jepang 2011, Toyota memperkuat business continuity dan transparansi rantai pasok.

Toyota mengembangkan sistem basis data RESCUE yang menyimpan informasi rantai pasok untuk sekitar 6.800 item dan digunakan bersama kegiatan pelatihan pemasok.

Praktik ini menunjukkan pentingnya:

• memahami pemasok berlapis;

• mengetahui titik ketergantungan;

• memiliki data sebelum krisis;

• serta melatih respons bersama mitra.

Sistem tersebut bukan sekadar daftar risiko, tetapi sarana mendukung respons dan pemulihan. (Toyota)

Shell: Skenario sebagai masukan keputusan

Shell menggunakan scenario planning untuk mengeksplorasi beberapa kemungkinan masa depan.

Pelajaran utamanya adalah bahwa keputusan strategis sebaiknya tidak hanya dibangun berdasarkan satu proyeksi.

Skenario membantu organisasi:

• menguji asumsi;

• melihat konsekuensi;

• memperluas pilihan;

• dan menyiapkan respons terhadap ketidakpastian.

AWS: Menilai trade-off dalam rancangan sistem

AWS Well-Architected Framework membantu pengguna mengevaluasi rancangan sistem berdasarkan enam pilar, termasuk reliability, security, operational excellence, dan cost optimization.

Kerangka tersebut menekankan bahwa rancangan yang andal tetap perlu mempertimbangkan biaya, keamanan, kinerja, serta keberlanjutan. (AWS)

Pelajarannya relevan untuk manajemen risiko: redundansi dan kontrol tidak boleh dinilai secara terpisah dari tujuan serta biaya bisnis.

Sistem Manajemen Risiko yang Efektif

Sistem yang efektif dapat dibangun melalui beberapa lapisan.

Lapisan 1: Tujuan dan tata kelola

Organisasi menetapkan tujuan, akuntabilitas, risk appetite, batas toleransi, serta mekanisme eskalasi.

Lapisan 2: Risk assessment dan risk register

Risiko diidentifikasi, dianalisis, diprioritaskan, dan diberikan pemilik.

Lapisan 3: Pengendalian dan risk treatment

Kontrol yang ada serta tindakan tambahan dirancang untuk mencapai tingkat risiko yang diinginkan.

Lapisan 4: Control testing

Organisasi memastikan bahwa kontrol dirancang dengan tepat dan benar-benar berjalan.

Lapisan 5: KRI dan monitoring

Perubahan eksposur dipantau menggunakan indikator, data insiden, status tindakan, dan tren.

Lapisan 6: BCMS dan crisis management

Organisasi menyiapkan respons serta pemulihan ketika gangguan besar terjadi.

Lapisan 7: Integrasi keputusan

Informasi risiko digunakan dalam strategi, investasi, proyek, anggaran, dan operasi.

Lapisan 8: Assurance dan pembelajaran

Hasil pengujian, audit, insiden, simulasi, dan pengalaman digunakan untuk memperbaiki sistem.

Bagaimana Mengukur Kinerja Fungsi Risiko?

Kinerja fungsi risiko tidak cukup diukur melalui:

• jumlah risk register;

• jumlah rapat;

• jumlah pelatihan;

• atau persentase dokumen yang selesai.

Indikator yang lebih bermakna dapat mencakup:

• persentase risiko utama yang berada dalam appetite;

• jumlah risk treatment material yang terlambat;

• tingkat keberulangan kegagalan kontrol;

• waktu eskalasi pelanggaran batas;

• kualitas dan ketepatan waktu data KRI;

• jumlah keputusan material yang menggunakan analisis risiko;

• kemampuan memprediksi perubahan eksposur;

• dan efektivitas tindakan setelah selesai.

Penyelesaian tindakan tidak selalu berarti risiko telah menurun. Setelah tindakan ditutup, organisasi tetap perlu memverifikasi hasilnya.

Kesimpulan

Risk manager tidak hanya bertugas membuat risk register.

Peran yang lebih penting adalah membangun sistem yang membantu organisasi:

• memahami ketidakpastian;

• menentukan prioritas;

• memilih respons yang tepat;

• menguji efektivitas kontrol;

• memantau perubahan;

• mempersiapkan pemulihan;

• dan mengambil keputusan secara lebih sadar.

Risk register tetap penting, tetapi harus didukung oleh:

• risk appetite dan batas toleransi;

• control testing;

• KRI dan dashboard;

• scenario analysis;

• BCMS;

• proses eskalasi;

• serta integrasi dengan strategi dan operasi.

Risk manager bukan pemilik seluruh risiko. Risk owner tetap bertanggung jawab mengelola risiko pada proses dan sasaran yang berada dalam kewenangannya.

Manajemen risiko juga tidak bertujuan menghindari seluruh ketidakpastian. Tanpa mengambil risiko, perusahaan tidak dapat berinvestasi, berinovasi, atau tumbuh.

“Manajemen risiko yang baik bukanlah upaya menghindari semua risiko, melainkan memastikan organisasi mengambil risiko yang tepat, pada tingkat yang dapat dipertanggungjawabkan.”

Pertanyaan yang Sering Diajukan

Apa tugas utama risk manager?

Risk manager membangun kerangka, memfasilitasi penilaian, memberikan challenge, memantau profil risiko, melakukan agregasi, mendukung eskalasi, dan membantu mengintegrasikan risiko ke dalam keputusan.

Siapa yang bertanggung jawab mengelola risiko?

Risk owner bertanggung jawab mengelola risiko yang berkaitan dengan tujuan atau proses di bawah kewenangannya. Fungsi risiko memfasilitasi dan memantau, sedangkan internal audit memberikan assurance independen.

Apakah risk register sudah cukup?

Tidak. Risk register harus didukung pengendalian, control testing, KRI, monitoring, BCMS, pelaporan, serta penggunaan informasi risiko dalam keputusan.

Apa perbedaan inherent risk dan residual risk?

Inherent risk adalah tingkat risiko sebelum kontrol diperhitungkan. Residual risk adalah tingkat risiko setelah memperhitungkan efektivitas kontrol yang benar-benar berjalan.

Apa itu control testing?

Control testing adalah pengujian untuk menilai apakah suatu kontrol dirancang dengan tepat dan dilaksanakan secara konsisten berdasarkan bukti.

Apa perbedaan risk assessment dan BIA?

Risk assessment menilai ketidakpastian, penyebab, kemungkinan, dan dampak risiko. BIA menilai dampak gangguan dari waktu ke waktu serta menentukan prioritas pemulihan aktivitas.

Apa perbedaan risk appetite dan toleransi risiko?

Risk appetite menggambarkan tingkat serta jenis risiko yang bersedia diambil organisasi. Toleransi menerjemahkannya menjadi batas yang lebih operasional dan terukur.

Apakah semakin banyak kontrol semakin baik?

Tidak selalu. Kontrol harus proporsional dengan risiko dan mempertimbangkan biaya, manfaat, kecepatan proses, serta tujuan organisasi.

Referensi

• ISO 31000:2018—Risk Management Guidelines

• ISO—Risk Management and Decision-Making

• The IIA—Statements of Position and Three Lines Model

• COSO—Enterprise Risk Management

• COSO—Internal Control

• ISO 22301:2019—Business Continuity Management Systems

• Toyota—Disaster-Resilient Supply Chain

• Shell—What Are Shell Scenarios?

• AWS Well-Architected Framework