4. Proses Manajemen Risiko 3j3f2g

Proses Manajemen Risiko Mengacu pada ISO31000

Arsitektur SNI ISO 31000 C. Proses

B. Framework

B.2 Perancangan framework untuk mengelola risiko

B.5 Perbaikan berkesinambungan atas framework

B.3 Penerapan Manajemen Risiko

B.4 Pemantauan dan review atas framework yang telah dilaksanakan

C.2 Menentukan konteks

C.3 Risk Assessment : C.3.1 Identifikasi Risiko

C.3.2 Analisis Risiko

C.3.3 Evaluasi Risiko

C.4 Penanganan Risiko

C.5 Pemantauan dan Review

• Memberi nilai tambah • Bagian terpadu dari proses • Bagian dari pengambilan keputusan • Menangani aspek ketidakpastian • Sistematis, terstruktur dan tepat waktu • Berdasarkan informasi terbaik dari yang ada • Diselaraskan (Tailored) • Mempertimbangkan faktor manusia dan budaya • Transparan dan inklusif • Dinamis, berulang dan responsif terhadap perubahan • Memfasilitasi perbaikan yang berkesinambungan dan peningkatan Perusahaan.

B.1 Komitmen dan Mandat

C.1 Komunikasi dan konsultasi

A. Prinsip-prinsip

=

Proses manajemen risiko sesuai dengan SNI ISO 31000 adalah: Aplikasi sistematis dari kebijakan manajemen, prosedur dan praktek untuk kegiatan berkomunikasi, konsultasi, menetapkan konteks, dan mengidentifikasi, menganalisis, mengevaluasi, mengobati, pemantauan dan mengkaji risiko. [ISO Guide 73:2009, definisi 3.1] Setiap penerapan adalah khas dan unik. Langkah penerapan adalah similar, tetapi konteks, teknik dan substansinya berbeda, oleh karena itu banyak sekali penerapan proses manajemen risiko dalam suatu organisasi, tetapi berada dalam satu kerangka kerja

Setiap tahapan proses manajemen risiko menghasilkan informasi yang harus dikonsolidasikan dan didokumentasikan dalam suatu format standard yaitu "risk “ Apabila manajemen risiko belum dianggap sebagian bagian yang tidak terpisahkan dari manajemen, maka hal ini perlu ditangani, misalnya melalui pelatihan, workshop, benchmarking, studi kasus, dlsb. Singkatnya, proses manajemen risiko harus menjadi: Bagian yang terpadu dari proses organisasi dan manajemen

Melekat pada budaya dan praktik organisasi

Khas untuk proses bisnis organisasi

Komunikasi dan Konsultasi

Komunikasi:

Konsultasi

• Proses penyampaian informasi dan pendapat yang mencakup multi-pesan mengenai isu-isu tertentu terkait risiko dan manajemen risiko dan berlangsung dua arah.

• Proses komunikasi antara perusahaan dengan para stakeholder mengenai isu-isu tertentu terkait dan bertujuan mencari solusi atau pengambilan keputusan.

Komunikasi dengan stakeholder internal dan eksternal merupakan dasar bagi penerapan manajemen risiko yang efektif; Komunikasi yang efektif, penting untuk memastikan pemahaman yang sama atas keputusan penanganan risiko yang diambil.

Komunikasi dan Konsultasi

Tujuan komunikasi dan konsultasi antara lain: • • • • • •

Menentukan konteks dengan benar; Memahami kepentingan seluruh stakeholder dan dipertimbangkan dengan baik; Mendapatkan manfaat dari berbagai macam keahlian (multi disiplin); Membantu memastikan bahwa semua risiko telah teridentifikasi dengan baik; Membantu proses manajemen perubahan; Memperoleh dukungan dan persetujuan untuk tindakan Penanganan risiko

Komunikasi dan Konsultasi Contoh Komunikasi Internal

Contoh Komunikasi Eksternal

Komunikasi dan Konsultasi Checklist Monitoring dan review proses komunikasi dan konsultasi

No. 1 2 3

Monitoring dan review proses komunikasi dan konsultasi Apakah semua stakeholders internal dan eksternal telah tendentifikasi secara lengkap? Apakah semua aspirasi dan kepentingannya telah didengarkan dan diakomodasi sehingga tidak mengganggu proses pencapaian sasaran organisasi? Apakah hal-hal krusial yang mungkin timbul dari stakeholders telah dikonsultasikan dan dicarikan solusi terbaiknya (win-win solution)

4

Apakah semua rencana komunikasi dan konsusltasi telah cukup komprehensif dan mencakup semua stakeholders internal dan ekstemal?

5

Apakah semua sumber daya untuk proses komunikasi dan konsultasi telah tersedia termasuk dukungan dari Manajemen Puncak? Catatan Untuk Nilai 1: Bukti sangat minim yang sesuai dengan kebutuhan 2: Bukti memenuhi sekitar setengah dari kebutuhan 3: Bukti memenuhi sebagian besar /semua persyaratan

Y/T

Evidence

Nilai (1-3)

Menentukan Konteks

Mengartikulasikan sasaran organisasi

Identifikasi stakeholders dan kepentingannya (lingkungan eksternal) Artikulasi lingkungan internal dan implikasinya Artikulasi konteks penerapan proses manajemen risiko Tujuan dan lingkupnya

Struktur

Menetapkan kriteria risiko

Sumber daya, metoda dan teknik yang digunakan

Menentukan Konteks Mengartikulasikan sasaran organisasi

Sasaran harus jelas dan spesifik (SMART), untuk dapat dilakukan kajian risikonya;

Apabila sasaran ini mempunyai sasaran di tingkat yanag lebih atas dan tingkat di bawahnya, perhatikan keselarasan (congurency) sasaran-sasaran tersebut. Ketidakselarasan itu sendiri akan menimbulkan risiko; Apabila terdapat beberapa sasaran, perhatikan saling keterkaitannya.

Apakah ini dapat diperlakukan menjadi satu kajian risikonya atau sebagai satu kelompok sasaran.

Menentukan Konteks Identifikasi stakeholders dan kepentingannya (lingkungan eksternal)

Menentukan Konteks Identifikasi stakeholders dan kepentingannya (lingkungan eksternal) Contoh Stakeholder PLN Supplier ATK Pelanggan

Kepentingan Stakeholder

Kepentingan Perusahaan

Menjual daya listrik dan Mendapatkan supply pembayaran tepat listrik yang stabil dan waktu konsisten Kebutuhan ATK Mendapatkan order tercukupi Mendapatkan Pelayanan yang handal

Mendapatkan revenue

Dampak Gagal

Kritis Ya/Tidak

Gangguan opersional

Ya

Kekurangan ATK Berkurangnya revenue dan pindah ke perusahaan lain

Bargaining power of stakeholders

Note: Final result: all low -> bargaining power LOW "1" aspect high -> bargaining power HIGH

Tidak Ya

Menentukan Konteks Artikulasi lingkungan internal dan implikasinya

Risk Breakdown Structure

Menentukan Konteks Artikulasi lingkungan internal dan implikasinya

Risk Breakdown Structure RBS LEVEL 0

RBS LEVEL 1

RBS LEVEL 2 1.1. Scope defi ni tion

8

1.2. Techni ca l i nterfa ce

4

1. Technical content 1.3. Tes t a nd a cceptance 27 risks 1.4. Bus i nes s proces s es

Project risks 63 risks 2. Management 29 risks

3. Commercial 7 risks

# RISKS

10 2

1.5. Devel opment l i fe cycl e

4

1.6. Ha rdwa re a cqui s i tion

1

2.1. Suppl i er/cus tomer rel a tions hi p

3

2.2. Res ourci ng

8

2.3. Communi ca tion

2

2.4. Progra m ma na gement orga ni za tion

8

2.5. Fa ci l i ties a nd i nfra s tructure

3

3.1. Contra ct ma na gement

5

3.2. Subcontra ct

2

Menentukan Konteks Artikulasi lingkungan internal dan implikasinya

Proses Bisnis Dalam setiap proses bisnis, terdapat potensi risiko yang menghalangi pencapaian sasaran proses bisnis tersebut dan berpengaruh pada pencapaian sasaran organisasi

Menentukan Konteks Artikulasi konteks penerapan proses manajemen risiko

Untuk konteks manajemen risiko perlu ditentukan: Lingkup penerapan manajemen risiko (project, proses, produk, unit kerja, dll.)

Siapakah risk owner-nya (akuntabilitas dan responsibilitas terkait)

Metodologi yang akan digunakan

Ukuran kinerja yang digunakan

Sumber daya yang diperlukan

Hal-hal di atas sifatnya unik dan khas untuk tiap penerapan konteks manajemen risikonya (tailored)

Menentukan Konteks Menetapkan kriteria risiko

Kriteria proses manajemen risiko: Kriteria penerapan manajemen risiko:

• • • •

Kriteria kemungkinan (likelihood) Kriteria dampak (consequences) Kriteria peringkat risiko (risk level) Kriteria efektifitas pengendalian risiko (risk control effectiveness)

• Toleransi risiko (risk tolerance) • Selera risiko (risk appetite)

Menentukan Konteks Menetapkan kriteria risiko Kriteria risiko - kriteria kemungkinan (likelihood)

No

Kriteria Kualitatif

Kriteria Kuntitatif

Rating

Probabilitas

Frekuensi

Sebutan

Kode

Nilai

1

Cenderung tidak mungkin terjadi

< 10%

1 x dalam 10 tahun

Sangat kecil

SK

1

2

Kemungkinan kecil terjadi

10%<x<40%

1 x dalam 5 tahun

Kecil

K

2

3

Sama kemungkinan terjadi atau tidak terjadi

40% < x < 60%

1 x dalam 3 tahun

Sedang

4

Kemungkinan besar terjadi

60% < x < 80%

Min 1 x dalam setahun

Besar

B

4

5

Sangat mungkin terjadi

80% < x

1 x dalam 3 bulan

Sangat besar

SB

5

S

3

Menentukan Konteks Menetapkan kriteria risiko Kriteria risiko - kriteria dampak (consequences)

No. No.

Kriteria Kriteria Kualitatif Kualitatif

KATEGORI KATEGORI INVESTASI INVESTASI % % dari dari investasi investasi

KATEGORI KATEGORI REVENUE REVENUE % % dari dari revenue revenue

PENILAIAN PENILAIAN DAMPAK DAMPAK Kriteria Kriteria

Nilai Nilai Rating Rating

1 1

Nilai Nilai kerugian kerugian tidak tidak berarti berarti

5% 5%

5% 5%

RS RS (Ringan (Ringan Sekali) Sekali)

1 1

2 2

Nilai Nilai kerugian kerugian kecil kecil

5-<10% 5-<10%

5-<10% 5-<10%

R R (Ringan) (Ringan)

2 2

3 3

Nilai sedang Nilai kerugian kerugian sedang

10-<20% 10-<20%

10-<20% 10-<20%

SS (Sedang) (Sedang)

3 3

4 4

Nilai kerugian besar Nilai kerugian besar

20 20 -- << 40 40 % %

20 20 -- << 40 40 % %

B B (Berat) (Berat)

4 4

5 5

Nilai Nilai kerugian kerugian sangat sangat besar besar

>> 40 40 % %

>> 40 40 % %

SB SB (Sangat (Sangat Berat) Berat)

6 6

Menentukan Konteks Menetapkan kriteria risiko Kriteria risiko - kriteria dampak (consequences)

Menentukan Konteks Menetapkan kriteria risiko Kriteria risiko - kriteria peringkat risiko (risk level)

Menentukan Konteks Menetapkan kriteria risiko Kriteria risiko - kriteria peringkat risiko (risk level)

Menentukan Konteks Menetapkan kriteria risiko Kriteria risiko - kriteria control effectiveness

Menentukan Konteks Menetapkan kriteria risiko Kriteria risiko - kriteria selera risiko (risk appetite)

Examples of qualitative risk appetite articulation:

• The organization has zero appetite for fraudulent activity; • The company has a very low appetite for health and safety risk exposure. While it is recognized that inherent health and safety risk is high due to the nature of the business, the company will always need to take all steps possible to minimize the likelihood of adverse health and safety impact from all possible sources; • The company has a low operational risk appetite. Where operational risks arise, these should be mitigated and controlled, as long as the cost of controlling the risk does not exceed the benefits derived from the lower risk level

Menentukan Konteks Menetapkan kriteria risiko Kriteria risiko - kriteria selera risiko (risk appetite)

Examples of quantitative risk appetite articulation: • Limit: Total annual operational risks losses raising from expected and unexpected events, is not to exceed $ xyz Million; • Threshold: Description OHS Risks Operational risk events quarterly Operational risk loss - % budget

Acceptable

Tolerable

Light injuries

Hospitalized

Fatalities

1 event

2-4 events

More than 4

Less than 5%

5-10%

More than 10%

Untolerable

• Risk Indicator using risk parameter and treated as threshold but plus escalation report and corrective action to control risks Source: LLOYDS, Risk management toolkit, 2011

Menentukan Konteks Menetapkan Kriteria Risiko Kriteria Risiko - Kriteria Selera Risiko Kuantitatif (Risk Appetite)

Checklist Penetapan Konteks No. 1

2

3

4 5

6

Proses Identifikasi Risiko

Y/T

Evidence

Apakah ada perubahan strategi organisasi yang mempengaruhi konteks organisasi, khususnya penentuan risk appetite? Apakah terjadi perubahan lingkungan eksternal yang perlu mendapatkan perhatian dalam menetukan konteks organisasi? Apakah ada perubahan internal, seperti misalnya struktur organisasi, kepemilikan saham (merger dan akuisisi), perubahan portfolio bisnis, perubahan pejabat kunci, dll yang akan mempengaruhi konteks internal organisasi? Apakah diadakan workshop tiap tahun untuk memastikan konteks organisasi, terutama dalam menentukan kriteria risiko? Apakah kebijakan manajemen risiko telah dipahami dengan baik oleh seluruh internal stakeholders? Apakah terjadi komunikasi dan konsultasi yang lebih intens agar internal stakeholders dapat mendukung pelaksanaan manajemen risiko secara umum dan penerapan konteks manajemen risiko secara khusus? Catatan Untuk Nilai 1: Bukti sangat minim yang sesuai dengan kebutuhan 2: Bukti memenuhi sekitar setengah dari kebutuhan 3: Bukti memenuhi sebagian besar /semua persyaratan

No. 1

Proses Identifikasi Risiko Stakeholders mana saja yang memerlukan komunikasi dan konsultasi yang lebih intens guna menentukan konteks manajemen risiko?

Jawaban

Nilai (1-3)

Identifikasi Risiko Merupakan proses untuk menemukan, mengenali, menguraikan dan menggambarkan risiko. Secara lebih spesifik menemukan "sumber risiko", apa "pemicu” yang menimbulkan terjadinya "peristiwa berisiko" dan apa "potensi dampaknya" terhadap sasaran organisasi;

Tujuan dari identifikasi risiko adalah menghasilkan sebanyak mungkin risiko yang dapat menghambat pencapaian sasaran organisasi. Ini penting karena risiko yang tidak teridentifikasi, tidak akan diproses dalam tahap berikutnya (analisis dan evaluasi risiko).

Secara singkat meliputi proses untuk menentukan "apa, dimana, bilamana, mengapa dan bagaimana sesuatu dapat terjadi" yang mempunyai dampak pada pencapaian sasaran organisasi;

Apa yang Perlu Diperhatikan dalam Identifikasi Risiko Proses identifikasi risiko harus mengikuti proses penentuan konteks proses manajemen risiko. Dengan mengikuti setiap tahapan dalam proses penentuan konteks akan dapat ditemukenali berbagai macam risiko yang mungkin terjadi, baik dari konteks eksternal, konteks internal dan konteks penerapan manajemen risiko itu sendiri; Informasi historis yang terdokumentasi, maupun yang tidak terdokumentasi merupakan salah satu sumber risiko yang perlu diperhatikan; Gunakan teknik dan metoda yang tersedia untuk menggali dan menemukenali risiko-risiko yang mungkin terjadi yang menghambat pencapaian sasaran (FMEA, HAZOP, Bow Tie, RCSA, dll.) Menggali dan mengidentifikasi risiko berdasarkan kategori-kategori risiko yang dilaksanakan oleh organisasi tersebut (finansial, strategis, operasional, atau proses bisnis utama, proses bisnis pendukung, proses bisnis penunjang, dlsb.) Lakukan dokumentasi proses identifikasi risiko; Dokumentasikan hasil identifiikasi risiko dalam dokumen yang disebut Risk . Perhatikan, uraian risiko haruslah jelas dan mudah dimengerti bagi siapapun yang tidak terlibat dalam proses tersebut.

Identifikasi Risiko

Identifikasi Risiko Dokumentasi proses identifikasi risiko Risk description format:

Cause (Fact or condition)

Risk (Uncertainty)

Effect (Possible Result)

Threats / Negative risk The unique hardware is a that may not be new development delivered on time

Due to heavy rain the night before the footing were to be poured

forcing a schedule delay and potential deviation from design control approach

The excavation may fill up with water, which Which would delay the would need to be start of the foundation pumped out

Do to a missing out in The final value of the "zeroing" in pricing while contract price may be bidding too low

Resulting the targeted profit margin is not achieved

Identifikasi Risiko Dokumentasi proses identifikasi risiko Risk identification template (example): No

1.

2

Process / Area of concern

Risk event / Cause/ Contributing description factors (what could go wrong) Foundation The excavation • Heavy rain; was filled up with • No protection water against rain; • Water pump not available on-site Assembling Some part were • Delay from supplier process not delivered on due to late payment; time • Transport accident in delivering goods • Bad procurement planning

Impact / Threat/ Primary effect Opportunity objective (what happen if risk occurs) Delay in Threat Time schedule foundation construction

Delay in product Threat completion

Time schedule

Identifikasi Risiko Dokumentasi proses identifikasi risiko Risk format (example):

Checklist Proses Identifikasi

No. 1 2 3

Proses Identifikasi Risiko

Y/T

Evidence

Adakah ada pemeriksa keandalan sumber informasi yang digunakan dalam proses identifikasi risiko? Apakah terjadi perubahan situasi yang dapat mempengaruhi sifat dari risiko yang telah teridentifikasi? Apakah perubahan tersebut juga mempengaruhi proses identifikasi risiko di masa depan? Catatan Untuk Nilai 1: Bukti sangat minim yang sesuai dengan kebutuhan 2: Bukti memenuhi sekitar setengah dari kebutuhan 3: Bukti memenuhi sebagian besar /semua persyaratan

No.

Proses Identifikasi Risiko

1

Siapa sajakah stakeholders utama yang perlu mendapatkan informasi mengenai hasil proses identifikiasi risiko?

2

Stakeholder mana sajakah yang perlu diajak berkonsultasi dengan hasil identifikasi risiko dan kemungkinan proses tindak lanjutnya?

Jawaban

Nilai (1-3)

Analisa Risiko Merupakan suatu proses untuk memahami sifatsifat risiko dan kemudian menentukan peringkat risiko. Analisis risiko merupakan dasar untuk menentukan proses evaluasi risiko dimana akan ditentukan proses penanganan risiko yang sesuai dan paling efektif;

Proses Analisis Risiko Identifikasi dan evaluasi pengendalian risiko yang ada;

Menentukan tingkat kemungkinan dan dampak risiko; Menentukan peringkat risiko;

Dokumentasi proses analisis risiko

Identifikasi dan evaluasi pengendalian risiko yang ada Efektifitas pengendalian risiko dipertimbangkan berdasarkan: • "Efektifitas desain": artinya apakah pengendalian tersebutsesuai dengan apa yang diinginkan (fit for purpose), jadi seara teoritis rancangan pengendalian tersebut memang sesuai dengan fungsi yang dikendalikan. • "Efektifitas operasional", artinya dalam praktik memang pengendalian tersebut bekerja dengan baik sesuai dengan fungsinya. Pemahaman atas peringkat "residual risk" dengan adanya existing control, merupakan dasar untuk memperkirakan tingkat efektifitas pengendalian yang ada, dan disesuaikan dengan kriteria yang telah disusun sebelumnya. Caranya dengan memperkirakan apa yang terjadi bila pengendalian risilo tidak berfungsi sama sekali (worst case scenario)

Evaluasi terhadap pengendalian risiko yang ada (existing risk control)

Menentukan tingkat kemungkinan dan dampak risiko Analisis kualitatif; Analisis semi kuantitatif; Analisis kuantitatif dengan menggunakan statistik

Dalam hal informasi tidak tersedia maka dapat digunakan perkiraan subyektif dari para pelaku industri atau risk owner ybs. Sensitivity analysis: Bila perkiraan yang dibuat melalui analisis sebelumnya dianggap kurang akurat, maka hasil analisis tersebut harus diuji coba melalui berbagai macam perubahan data variabel atau parameter, ataupun perubahan asumsi yang digunakan.

Analisa Risiko Menentukan peringkat risiko

Penentuan "severity rating“ (tingkat kegawatan) dari inherent risk. Ini digunakan untuk melakukan evaluasi terhadap pengendalian risiko (worst case scenario).

Residual risk = Existing risk level after controlled

Analisa Risiko Menentukan peringkat risiko

Analisa Risiko Menentukan peringkat risiko

Dokumentasi proses analisis risiko Dalam dokumentasi harus tercatat hal-hal sebagai berikut: Asumsi dan keterbatasan yang ada;

Sumber informasi yang digunakan untuk menentukan nilai dampak dan kemungkinan; Analisis yang digunakan untuk menentukan nilai dampak dan kemungkinan yang digunakan; Proses perhitungan efektifitas pengendalian yang ada; Uraian dan tingkat kegawatan (level) risiko Peringkat akhir setelah pengendalian risiko Tindak lanjut disesuaikan dengan kriteria peringkat risiko yang telah ditetapkan sebelumnya; Melakukan pemutakhiran risk

Checklist Proses Analisa Risiko No.

Proses Analisa Risiko

1

Apakah proses untuk melakukan analisis risiko cukup dapat diandalkan dan sesuai dengan konteks organisasi ataupun konteks penerapan manajemen risiko?

2

Apakah monitoring efektifitas pengendalian risiko dan cara pengkajiannya telah dijalankan secara konsisten dan sesuai dengan jenis risiko dan bentuk pengendaliannya ?

3

4

5

6

Apakah cara menentukan besaran "kemungkinan" dan "dampak" untuk masing-masing risiko cukup releva dan efektif? Apakah para stakeholders utama yang terkait sudah diidentifikasi dan dilaporkan hasil analisis risiko yang diperoleh? Apakah ada hal-hal yang perlu dikonsultasikan dengan mereka sebelum hasil akhir dilaporkan? Apakah ada perubahan lingkungan yang mempunyai dampak terhadap proses analisis risiko yang perlu dikomunikasikan atau dikonsultasikan dengan stakeholders internal maupun eksternal? Catatan Untuk Nilai 1: Bukti sangat minim yang sesuai dengan kebutuhan 2: Bukti memenuhi sekitar setengah dari kebutuhan 3: Bukti memenuhi sebagian besar /semua persyaratan

Y/T

Evidence

Nilai (1-3)

Evaluasi Risiko Merupakan suatu proses yang membandingkan hasil analisis risiko dengan kriteria risiko untuk menentukan apakah suatu risiko dapat diterima atau tidak. Hasil dari proses ini adalah prioritas risiko yang memerlukan penanganan risiko dan juga jenis penanganan risiko yang akan dilakukan.

Proses Evaluasi Risiko Menyusun peringkat risiko berdasarkan hasil dari analisis risiko Mempertimbangkan keseluruhan profil risiko Menyusun daftar prioritas risiko untuk Penanganan risiko lebih lanjut

Menyusun Peringkat Risiko - Analisis Kualitatif Yang paling sering digunakan adalah dengan menggunakan peta risiko (Heat Map) yang telah ditentukan pada saat menentukan konteks manajemen risiko.

Menyusun peringkat risiko - analisis semi kuantitatif Severity rating dan action plan atas peringkat risiko

RISK ACTION AND ESCALATION POINTS Seve Description rity 4-5

2-3

1

Action required for risks

Risk report escalation

Report to Top Executive and Board. Control strategy to be developed and monitored by Board and Top Executive Potential action: risks that will be Managed at functional Executive Medium risk treated as long as the costs do not level Escalated to the relevant direct (M) outweigh the benefits ALARP (As low report to the Senior Executive for as reasonably practicable) Principle information No action, acceptable risks. requiring No action required Monitoring Low risk (R) no further treatment. May only within functional area or business require periodic monitoring group level Action required that risks cannot be High risk (T) accepted or tolerated and require treatment or avoid the activity

Evaluasi Risiko

Menyusun peringkat risiko - berdasarkan "heat map“ consequences

Menyusun peringkat risiko- analisis semi kuantitatif Proses dilakukan untuk setiap risiko Kriteria dan parameternya telah ditentukan pada tahapan penentuan konteks dan sesuai dengan sasarannya.

Data-data parameter diperoleh dari pengalaman yang lalu atau perkiraan secara brainstorming, bila belum ada. • Penentuan skor dilaksanakan terlebih dahulu atas dasar perkiraan /data lapangan, atau secara brainstorming; • Pembobotan dilaksanakan dengan cara yang sama; Peringkat risiko diperoleh dari penjumlahan total hasil perkalian skor dan bobot. Semaking tinggi nilai akhimya, semakin tinggi peringkat penanganannya

Contoh Kasus Sebuah kapal container berlayar meninggalkan pelabuhan Tanjung Priok dan terbakar, rusak cargonya serta tenggelam di area setelah lewat Kepulauan Seribu sekitar 3 mil laut. Minyak yang tumpah telah menimbulkan polusi yang serius untuk beberapa daerah wisata laut di sekitar kepulauan Seribu dan bangkai kapal mengganggu trafik.

Kriteria 2 : Gangguan pada aktivitas pelayanan cabang

Kriteria 1. Tingkat kegawatan LIKELIHOOD (periode 1 th) Skor Probability 5 4 3 2 1

>0.8 0.6-0.8 0.4-0.6 0.2-0.4 <0.2 Bobot

Sebutan Hampir pasti Sangat mungkin Mungkin Agak jarang Jarang : 20%

Kriteria 3 : Gangguan atas reputasi cabang

CONSEQUENCES Skor Sebutan Konsekwensi (Rp) 1 2 3 4 5

Kecil < 100 jt Minor 101 - 500 jt Sedang 501 jt - 1 Milyar Besar 1 - 5 Milyar Bencana > 5 Milyar Bobol : 40%

Skor

Uraian

Skor

Uraian

5 4 3 2 1

Terhenti lebih dari 3 hari Terhenti 1-3 hari Terhenti 12-24 jam Terhenti 6 - 12 jam Terhenti kurang dari 6 jam Bobot: 25%

5 4 3 2 1

Kerusakan fatal, sulit untuk diperbaikia Cukup rusak, perlu usaha perbaikan Rusak, masih dalam kendali untuk perbaikan Rusak sedikit mudah untuk diperbaiki Tidak ada masalah Bobot: 15%

Contoh Kasus Sebuah kapal container berlayar meninggalkan pelabuhan Tanjung Priok dan terbakar, rusak cargonya serta tenggelam di area setelah lewat Kepulauan Seribu sekitar 3 mil laut. Minyak yang tumpah telah menimbulkan polusi yang serius untuk beberapa daerah wisata laut di sekitar kepulauan Seribu dan bangkai kapal mengganggu trafik. NILAI PERINGKAT: No. Kriteria Bobot Skor Nilai 1 Konsekuensi finansial 40% 5 2 2 Probability 20% 1 0.2 3 Gangguan aktivitas 25% 5 1.25 4 Dampak atas reputasi 15% 4 0.6 TOTAL 100% 15 4.05 Nilai peringkat maksimum: 5

LEVEL KEGAWATAN (SEVERITY RATING) : 4.05 High risk- perlu perhatian Top Management Proses ini dilakukan untuksetiap risiko yang telah teridentifikasikan, sehingga diperoleh rating peringkat dari seluruh risiko dan juga tingkat kegawatannya

Risk Evaluation Using Multi Criteria Decision Making No. Criteria description Weight Score Risk A

1 2 3 4

Financial impact Operational impact Reputation impact Likelihood Total

0,4 0.25 0.15 0.2 1

5 5 4 1

No. Criteria description Weight Score Risk B

1 2 3 4

Financial impact Operational impact Reputation impact Likelihood Total

0,4 0.25 0.15 0.2 1

Point 2 1.25 0.6 0.2 4.05

Point

3 3 5 3

Alt.1

1.2 0.75 0.75 0.6 3.3

No. Criteria description Weight Score Risk A

1 2 3 4

Alt.2

Financial impact Operational impact Reputation impact Composite impacts Likelihood Total

0.4 0.35 0.25 1.00 1 1

5 5 4 1

No. Criteria description Weight Score Risk B

1 2 3 4

Financial impact Operational impact Reputation impact Composite impacts Likelihood Total

0.4 0.35 0.25 1.00 1 1

3 3 5 3

Point 2 1.75 1 4.75 1 4.75

Point 1.2 0.75 0.75 3.5 3 10.5

Mempertimbangkan Keseluruhan Profil Risiko Setelah memperoleh peringkat dari semua risiko-risiko yang memerlukan penanganan lebih lanjut, maka dilakukan "check kepantasan" di antara risiko-risiko tadi. Dengan cara sederhana bandingkan peringkat risiko yang satu dengan yang lainnya, apakah pantas risiko A lebih tinggi peringkatnya dari risiko B, bila dilihat dari dampaknya terhadap sasaran organisasi. Perlu diperhatikan adanya saling ketergantungan dari risiko-risiko yang ada. Perlu diperhatikan efek berantai dan dampak yang ditimbulkannya.

Menyusun daftar prioritas risiko adalah tujuan utama dari evaluasi risiko. Ini diperlukan untuk mengatur alokasi sumber daya, baik finansial maupun non finansial. Kriteria penyusunan prioritas dapat menggunakan peringkat risiko, dampak yang terjadi pada sasaran organisasi (strategic atau operational).

Checklist Proses Evaluasi Risiko

No. 1 2 3

4

Proses Evaluasi Risiko Bagaimanakah konsistensi penggunaan metoda untuk menyusun peringkat risiko? Bagaimanakah rationalitas proses penyusunan daftar prioritas risiko, apakah dapat dipertanggungjawabkan Apakah pihak terkait sudah diberi informasi hasil peringkat risiko yang diperoleh dan bagaimanakah umpan baliknya? Perlukah diadakan perubahan atau konsultasi lebih lanjut? Apakah daftar prioritas risiko yang diperoleh telah dikonsultasikan dengan pimpinan puncak, risk owner, dan pihak lain yang terkait, terutama dengan tindak lanjut dalam mempersiapkan perlakuan risiko yang akan diambil?

Jawaban

Penanganan Risiko Penanganan risiko adalah adalah proses mengidentifikasi, menyeleksi dan menerapkan tindak lanjut terhadap risiko-risiko yang dalam hasil evaluasi risiko tidak masuk dalam peringkat risiko yang dapat diterima atau dapat ditolerir. Tujuan dari penanganan risiko adalah menurunkan atau menghilangkan dampak dari risiko-risiko tersebut di atas yang dapat mengganggu pencapaian sasaran organisasi hingga masuk ke dalam kriteria "dapat diterima“. Penanganan risiko dilaksanakan dengan urutan sebagai berikut: Mengidentifikasi urutan prioritas risiko sesuai hasil evaluasi risiko; Menentukan strategi dan opsi pilihan Penanganan risiko; Mempersiapkan rencana Penanganan risiko; Melakukan analisis manfaat dan biaya;

Menerapkan rencana Penanganan risiko

Strategi Pemilihan Opsi Penanganan Risiko

Strategi Pemilihan Opsi Penanganan Risiko

Strategi Pemilihan Opsi Penanganan Risiko Pertimbangan untuk memutuskan opsi Penanganan risiko

Memberikan solusi yang memuaskan, walaupun tidak maksimal;

Dari segi biaya merupakan solusi yang paling "cost-effective"; Solusi yang diambil sesuai dengan norma-norma bisnis yang sehat (etis, sesuai standard industri, peraturan perundangan yang berlaku, dll.); Memberikan hasil terbaik yang dapat dicapai, dengan mempertimbangkan kondisi yang ada (teknologi, waktu, dll.) dan, Dampak risiko residual paling minimum

Strategi Pemilihan Opsi Penanganan Risiko Pertimbangan untuk opsi risk sharing/transfer

Kepada pihak lain (subcontracting/outsourcing): • Bila sumber daya (waktu, expertise, etc.) yang diperlukan tidak terdapat di dalam perusahaan atau bila proses ini di luar bisnis inti perusahaan atau tidak menambah daya saing

Kepada asuransi: • Bila kemungkinan dampak finansialnya besar dan proses bisnis ini merupakan bisnis inti perusahaan

Kriteria pihak yang menerima transfer/sharing: • Kredibel dengan track record yang baik • Pengalaman untuk pekerjaan sejenis • Kecukupan modal, re-asuransi (untuk asuransi)

Disaster Recovery Plan/Business Continuity Plan

Rencana Penanganan Risiko

Merupakan penjelasan rinci dari opsi Penanganan risiko yang diputuskan. Merupakan dokumentasi tentang bagaimana opsi Penanganan risiko yang dipilih akan diterapkan.

Rencana Penanganan Risiko Berisi : Sasaran residual risk yang ingin dicapai

Akuntabilitas penerapan Penanganan risiko

Analisis manfaat dan biaya

Rincian tindakan

Jadwal pelaksanaan

Sumber daya yang diperlukan

Ukuran kinerja dan hambatan yang ada — Mekanisme pelaporan

Rencana Penanganan Risiko

Analisis manfaat dan biaya 1. 2. 3. 4.

Estimasi baseline cost Estimasi residual cost Hitung total implementation cost Hitung besarnya manfaat:

Benefit = Baseline cost - Residual cost 5.

Hitung rasio manfaat-biaya:

6.

Bila rasio manfaat-biaya >100% berarti Penanganan risiko tersebut memiliki manfaat lebih besar daripada biaya sehingga layak untuk diterapkan.

Implementasi Rencana Penanganan Risiko 1) Rencana Penanganan risiko harus terintegrasi dengan rencana bisnis. 2) Jika terdapat pihak lain yang terlibat dalam penerapan rencana Penanganan risiko, maka hal ini harus dikonsultasikan kepada yang bersangkutan agar tidak menjadi hambatan. 3) Akuntabilitas penerapan harus diuraikan secara jelas. 4) Waspada terhadap adanya residual risk, biasanya munculnya risiko baru akibat pemberlan Penanganan risiko. Bila mana perlu, disiapkan Penanganan lanjutan.

Checklist Proses Penanganan Risiko

No. 1 2 3 4 5 6

Proses Penanganan Risiko Apakah sasaran penanganan risiko dapat tercapai sesuai rencana? Apakah biaya pelaksanaan penanganan risiko sesuai target atau over budget? Apakah terdapat hal-hal lain di luar rencana yang mengganggu pelaksanaan penanganan risiko? Apakah corrective action terhadap penyimpangan yang mungkin terjadi telah disiapkan? Apakah semua pihak terkait dengan rencana penanganan risiko telah dilakukan komunikasi dan konsultasi? Apakah semua pihak terkait tetap mendapatkan laporan pelaksanaan penanganan risiko dengan baik? Catatan Untuk Nilai 1: Bukti sangat minim yang sesuai dengan kebutuhan 2: Bukti memenuhi sekitar setengah dari kebutuhan 3: Bukti memenuhi sebagian besar /semua persyaratan

Y/T

Evidence

Nilai (1-3)

Monitoring & Review

Monitoring: Review:

• Proses pemantauan rutin terhadap kinerja aktual manajemen risiko terhadap rencana awalnya • Proses peninjauan dan kajian terhadap kondisi aktual tersebut atau kajian khusus terhadap dengan fokus tertentu, misalnya: risiko keuangan, risiko legal, efektifitas pengendalian risiko

Tujuan Memastikan bahwa pengendalian risiko berjalan efektif dan efisien sesuai dengan rancang bangun dan secara operasi;

Memperoleh informasi terkini guna peningkatan asesmen risiko;

Mendeteksi perubahan konteks internal maupun eksternal, termasuk perubahan kriteria risiko dan kondisi risiko itu sendiri, yang menuntut penyesuaian penanganan risiko serta kemungkinan perubhan prioritas;

Mengidentifikasi kemungkinan timbulnya risiko baru.

Mendapatkan pelajaran dari peristiwa risiko yang telah lalu, perubahan yang terjadi, trend, keberhasilan maupun kegagalan penanganan risiko;

Jenis Monitoring dan Review

Pada tingkat pelaksanaan tugas rutine: • Dilaksanakan secara terus menerus (continues monitoring) oleh pelaksa tugas untuk memastikan bahwa apa yang dia kerjakan benar dan sesuai ketentuan;

Pada tingkat fungsional atau operasional: • Dilaksanakan oleh pimpinan unit terkait secara berkala, untuk melakukan monitoring dan review setiap ada proses yang berlangsung, risiko yang mungkin terjadi dan efektifitas dan efisiensi pengendalian risiko tersebut

Pada tingkat organisasi: • Dilakukan oleh pihak yang independen untuk melakukan montoring dan review terhadap efektivitas kerangka kerja manajemen risiko, keselarasan manajemen risiko dengan strategi perusahaan, dll. Siklusnya per tahun atau per tiga tahun.

Monitoring dan Review Tingkat Organisasi 1. Asesmen terhadap ISO 31000 system requirement: • Principles approach • Framework approach • Process element approach; 2. Control effectiveness approach;

3. Asesmen tingkat maturitas penerapan manajemen risiko.

Apa Saja yang Dipantau Pada dasarnya yang perlu dipantau adalah efektifitas pelaksanaan sistem manajemen risiko. Ini dilakukan melalui: • Pemantauan dan peninjauan perubahan yang terjadi; • Pemantauan dan peninjauan kinerja sistem manajemen risiko

Apa Saja yang Dipantau

Risiko dengan prioritas tinggi: Jenis operasi dan kegiatan yang terkait;

Perubahan operasional yang terjadi (personnel, organisasi, dlsb.);

Perubahan situasi bisnis dan pengaruhnya atas risiko tersebut;

Kerentanan terhadap kelalaian, pencurian ataupun fraud lainnya.

Pengendalian risiko yang kritis: Bagaimana pengendalian tersebut direncanakan?

Hal apa yang dapat menyebabkan kegagalan pengendalian tersebut?

Apakah peneyebab kegagal tersebut dapat dideteksi secara dini atau tidak?

Jenis Informasi yang Diperlukan

• Indikator-indikator risiko utama; Key Risk Indikator • Indikator kinerja utama; KPI • Pengamatan langsung di lapangan; • Laporan hasil monitoring dan review; • Laporan audit sistem manajemen risiko; • Dll.

Jenis-Jenis Indikator Ada 2 Jenis Indikator : 1. Leading Indicator merupakan indikator dari suatu kegiatan yang berupa sebuah proses dan dilakukan untuk memprediksi kejadian di masa depan serta dapat mengubah kejadian tersebut; KRI termasuk ke dalam leading indicator karena fungsinya yang memberikan informasi risiko yang akan terjadi 2. Lagging Indicator merupakan indikator dari suatu kejadian yang telah terjadi beserta dampak dari kejadian itu sendiri; KPI (Key Performance Indicators), yang dapat digunakan untuk menilai atau mengukur pencapaian hasil akhir dan termasuk kedalam lagging indicator

Contohnya adalah kurangnya aktivitas mencuci tangan (leading indicator)

dapat menyebabkan gangguan pencernaan hingga infeksi (lagging indicator).

Key Risk Indikator (KRI)

•

Indikator risiko kunci adalah suatu peristiwa atau hal tertentu yang memberikan indikasi terjadinya suatu peristiwa risiko. risiko dapat memberikan peringatan atau informasi lebih dini kepada manajemen entitas bahwa kemungkinan terjadinya suatu peristiwa risiko semakin meningkat. Hal tersebut dapat terwujud karena pemantauan dilakukan untuk fokus terhadap peristiwa-peristiwa yang menjadi indikasi terjadinya suatu peristiwa risiko, bukan terhadap peristiwa risiko itu sendiri.

Key Risk Indikator (KRI)

Berdasarkan peringatan atau informasi tersebut entitas dapat melakukan berbagai tindakan mitigasi lebih awal guna mengurangi kemungkinan terjadinya peristiwa risiko maupun dampak yang mungkin ditimbulkan oleh risiko tersebut(jika terjadi). Sehingga dalam praktiknya indikator risiko kunci akan berperan sebagai suatu sistem peringatan dini (early warning system) bagi entitas.

Key Risk Indikator (KRI) Proses penyusunan KRI : 1. Mengetahui apa sasaran perusahaannya 2. Mengetahui juga apa risiko yang berpotensi menghambat pencapaian sasaran. 3. Setelah tahu risikonya, tentukan risiko kunci, yaitu risiko yang paling signifikan dan paling menentukan pencapaian sasaran. 4. Jika risiko kunci sudah diketahui, tahap berikutnya yaitu dengan mencari root cause atau akar penyebab/pemicu munculnya risiko kunci tersebut. 5. Langkah berikutnya adalah mencari tahu indikator-indikator apa yang bisa digunakan untuk dijadikan alat ukur dalam menilai/memonitor seberapa besar pengaruh penyebab risiko ini terhadap timbulnya risiko kunci yang ada. 6. Memilih dari sekian banyak indikator risiko itu mana yang dianggap kunci, mana yang paling tersedia datanya, dan yang paling relevan terhadap risk cause tadi. 7. Jika semua hal itu sudah dilakukan maka tetapkanlah itu sebagai KRI.

Key Risk Indikator (KRI)

Dalam praktiknya, agar dapat menjadi indikator yang terukur dan mudah dipantau serta dapat berperan sebagai sistem peringatan dini, indikator risiko kunci ditetapkan beserta parameter-parameternya, yang terdiri dari: Ambang batas bawah (Medium Threshold), Merupakan ambang batas awal yang memberikan indikasi suatu peristiwa risiko dapat terjadi dengan kemungkinan yang kecil. Ambang batas atas (High Threshold),Merupakan ambang maksimum yang memberikan indikasi suatu peristiwa risiko dapat terjadi dengan kemungkinan besar. Satuan ukur (Value Unit) Satuan ambang batas (threshold).

Key Risk Indikator (KRI)

Ilustrasi Mekanisme Indikator Risiko Kunci

Key Risk Indikator (KRI)

Berikut contoh penggunaan indikator risiko kunci beserta parameternya: Tujuan yang ingin dicapai oleh PT A adalah penyelesaian pekerjaan sesuai dengan jadwal yang telah disusun (tepat waktu). Risiko yang teridentifikasi adalah sebagai berikut:

Key Risk Indikator (KRI)

Disamping penyelesaian pekerjaan tepat waktu, tujuan PT A lainnya adalah memiliki reputasi yang baik di mata masyarakat dan konsumen. Risiko yang teridentifikasi adalah sebagai berikut:

Indikator risiko kunci yang ditetapkan beserta parameternya adalah sebagai berikut:

Pelaporan Hasil Monitoring & Review

PEMANTAUAN BERJENJANG

Maturity Model Manajemen Risiko

Chek List Proses Monitoring & Review No. 1 2 3 4 5 6 7 8 9

Proses Monitoring & Review Memantau apakah program pengendalian risiko yang dilaksanakan masih tetap relevan dengan segala perubahan internal maupun eksternal yang terjadi

Apakah asumsi awal yg digunakan masih valid ? Apakah program ini memenuhi ketentuan hukum dan etika organisasi? Apakah indikator yg digunakan selaras dgn key success element strategi perusahaan

Apakah program ini efektif dalam menurunkan risiko Memantau efektifitas (probability & dampak) ? pelaksanaan pengendalian Apakah hasil perbaikan yg dicapai? risiko Apakah dalam realisasi manfaat yang diterima memang lebih besar dari biaya? Apakah review dilaksanakan secara berkala, "on going" dan terjadwal dengan baik? Dilaksanakan secara berkala Apakah keterlibatan manajemen dan pihak-pihak terkait dan didukung dengan dengan implementasi cukup tinggi? dokumentasi yang baik Apakah management & ing control yang digunakan memadai

Jawaban