risiko dan manajemennya
DESCRIPTION
Manajemen ResikoTRANSCRIPT
Risiko dan Manajemennya (Risk & The Risk Management)
Setelah diketahui Persyaratan Manajemen Risiko Badan Usaha Milik Negara, timbul
pertanyaan ”bagaimana memenuhi dan melaksanakannya?”. Untuk itu perlu dipahami lebih dulu
apa itu risiko dan manajemen risiko kemudian memahami langkah-langkah penerapannya.
Terdapat beberapa beberapa standar manajemen risiko dengan definisi mengenai risk atau risiko
dan manajemen risiko masing-masing.
Beberapa standar itu antara lain :
1. COSO (Committee of Sponsoring Organizations of the Treadway Commission), suatu
himpunan dari beberapa organisasi profesi di negara AS, al. American Accounting
Association, American Institute of Certified Public Accountants, Financial Executives
International, Institute of Management Accountants, The Institute of Internal Auditors.
2. ISO 31000 – Risk management — Principles and guidelines
1. COSO Enterprise Risk Management
COSO pada tahun 2004 menerbitkan Enterprise risk management – Integrated Framework,
dengan beberapa pengertian antara lain sebagai berikut :
Events – Risks and Opportunities (Kejadian – Risiko dan Peluang)
Events can have negative impact, positive impact, or both. Events with a negative impact
represent risks, which can prevent value creation or erode existing value. Events with positive
impact may offset negative impacts or represent opportunities. Opportunities are the possibility
that an event will occur and positively affect the achievement of objectives, supporting value
creation or preservation. Management channels opportunities back to its strategy or objective-
setting processes, formulating plans to seize the opportunities.
Suatu kejadian bisa mempunyai dampak negatif, dampak positif atau keduanya.Kejadian
dengan dampak negatif dinamakan risiko, yang dapat mencegah kreasi nilai atau mengurangi
nilai yang ada. Kejadian dengan dampak positif dapat mengurangi dampak negatif atau
dinamakan peluang. Peluang adalah kemungkinan kejadian yang akan menjadikan pencapaian
tujuan atau yang berakibat posistif untuk pencapaian tujuan, yang mendukung kreasi nilai atau
pemeliharaan nilai. Manajemen mengaitkan peluang-peluang dengan strategi atau proses
penetapan tujuan dan menformulasikan rencana-rencana sesuai dengan peluang-peluang itu.
Enterprise Risk Management Defined (Manajemen Risiko Perusahaan didefinisikan sebagai) :
Enterprise risk management deals with risks and opportunities affecting value creation or
preservation, defined as follows:
Enterprise risk management is a process, effected by an entity’s board of directors, management
and other personnel, applied in strategy setting and across the enterprise, designed to identify
potential events that may affect the entity, and manage risk to be within its risk appetite, to
provide reasonable assurance regarding the achievement of entity objectives.
Manajemen Risiko Perusahaan adalah berhubungan dengan risiko-risiko dan peluang-peluang
yang mempengaruhi kresi nilai atau pemelihataannya, yang didefinsikan sebagai berikut :
Manajemen Risiko Perusahaan adalah suatu proses, yang dijalankan oleh dewan
komisaris/pengawas, manajemen (dewan direksi) dan personel yang lain, yang diterapkan dalam
penetapan strategi dan diterapkan n di seluruh perusahaan, yang dirancang untuk
mengidentifikasi potensi kejadian-kejadian yang bisa mempengaruhi perusahaan dan mengelola
risiko-risiko itu di dalam selera risiko perusahaan, untuk menjamin secara rasional pencapaian
tujuan-tujuan perusahaan.
Komponen Enterprise Risk Management (ERM) COSO :
Komponen digambarkan sebagai sebuah kubus, yang mempunyai tiga permukaan yang tampak.
Ketiga permukaan itu adalah :
Permukaan dari sisi kanan adalah komponen entitas perusahaan yaitu :
Entity-Level (Level Perusahaan).
Division (Divisi).
Business Unit (Unit Bisnis).
Subsidiary (Anak Perusahaan).
Permukaan dari sisi atas adalah komponen tujuan Manajemen risiko perusahaan yaitu :
Strategic (Strategis).
Operation (Operasi).
Reporting (Pelaporan).
Compliance (Kepatuhan).
Permukaan dari sisi depan adalah komponen proses Manajemen risiko perusahaan yaitu :
Internal Environment (Kondisi Lingkungan Internal).
Objective Setting (Penetapan Tujuan).
Event Identification (Identifikasi Kejadian).
Risk Assessment (Asesmen Risiko).
Risk Response (Penanggapan Risiko).
Control Activities (Aktifitas Pengendalian).
Information & Communication (Informasi & komunikasi)
Monitoring (Pemantauan).
2. ISO 31000:2009 – Risk management — Principles and guidelines
ISO 31000:2009, Risk management – Principles and guidelines, berisi prinsip-prinsip,
framework dan proses untuk mengelola risiko. Standar ini dapat digunakan oleh setiap
organisasi (bagaimanapun besarnya, apapun aktifitasnya atau sektornya). Penerapan ISO 31000
dapat membantu organisasi menaikkan kemungkinan pencapaian tujuan, memperbaiki
identifikasi peluang-peluang dan ancaman-ancaman. Penerapan ISO 31000 dapat membantu
organisasi serta secara efektif mengalokasikan & menggunakan sumber daya untuk perlakuan
risiko.
ISO 31000 tidak digunakan untuk tujuan sertifikasi, artinya tidak/belum ada sertifikat ISO 31000
untuk suatu organisasi, tetapi ISO 31000 bisa digunakan untuk program audit/asesmen
manajemen risiko. Organisasi yang menerapkan standar ini dapat membandingkan praktek
manajemen risikonya dengan organisasi lain (bencmarking). Organisasi yang menerapkan
standar ini dapat terbantu mewujudkan manajemen yang efektif dan bertata-kelola lebih baik
(GCG/Good Corporate Governance).
(Ref.http://www.iso.org/iso/home/standards/iso31000.htm).
Definisi risiko dan manajemen risiko menurut ISO 31000:2009.
Risiko adalah dampak dari ketidakpastian terhadap pencapaian obyektif. Dampak
menurut ISO 31000 adalah deviasi dari apa yang diharapkan, bisa bersifat positif dan/atau
negatif.
Manajemen risiko adalah aktivitas-aktivitas yang terkoordinasi untuk mengarahkan dan
mengendalikan sebuah organisasi yang berkaitan dengan risiko.
Manajemen risiko di dalam suatu organisasi digambarkan sebagai suatu skema/diagram kaitan
antara prinsip-prinsip, kerangka kerja, dan proses-proses manajemen risiko.
Prinsip-Prinsip Manajemen Risiko ISO 31000:2009
Supaya manajemen risiko dapat efektif dilaksanakan, maka organisasi di semua tingkatan harus
memenuhi prinsip-prinsip, yaitu :
1. Manajemen risiko menciptakan dan melindungi nilai yang berkontribusi untuk
pencapaian obyektif dan perbaikan organisasi.
2. Manajemen risiko merupakan bagian yang terintegrasi dengan keseluruhan proses
dalam organisasi dan menjadi bagian dari tanggung jawab manajemen.
3. Manajemen risiko merupakan bagian dari proses pengambilan keputusan melalui
peranannya dalam memberikan pilihan kepada pengambil keputusan.
4. Manajemen risiko secara eksplisit memperhitungkan ketidakpastian dan sifat ketidak
pastian itu, serta berusaha mengurangi ketidakpastian dalam setiap aktivitasnya dalam
memastikan pencapaian obyektif organisasi.
5. Manajemen risiko adalah suatu yang sistematis, terstruktur, dan tepat waktu agar
dapat berkontribusi secara efisien dan secara konsisten menghasilkan sesuatu yang dapat
diperbandingkan dan diandalkan
6. Manajemen risiko berdasarkan ketersediaan informasi yang terbaik seperti data
historis, pengalaman, umpan balik pemangku kepentingan, observasi, perkiraan ke depan
(forecasts) dan pertimbangan para ahli sehingga. Tetapi para pengambil keputusan masih
dapat melihat dan mempertimbangkan keterbatasan data atau pemodelan yang digunakan
atau adanya kemungkinan divergensi pendapat diantara para ahli.
7. Manajemen risiko memerlukan penyesuaian sesuai dengan konteks eksternal dan
internal organisasi dan profil risiko organisasi itu.
8. Manajemen risiko memperhitungkan faktor manusia dan budayanya yang
merupakan kemampuan, persepsi dan kemauan individu eksternal maupun internal dari
suatu organisasi yang dapat mendukung atau merongrong pencapaian obyektifnya.
9. Manajemen risiko adalah transparan dan inklusif melibatkan semua pemangku
kepentingan terutama pengambil keputusan dalam menentukan kriteria risiko.
10. Manajemen risiko adalah dinamis, iteratif, dan responsif terhadap
perubahan, eksternal dan internal.
11. Manajemen risiko memfasilitasi perbaikan berkelanjutan organisasi yang diukur dari
tingkat kematangan manajemen risikonya.
Framework (Pola kerja ) Manajemen Risiko ISO 31000:2009
Framework Manajemen Risiko ISO 31000:2009 dalam klausul 4 (lihat gambar di bawah) terdiri
atas :
Mandat (pemberian wewenang) dan komitmen (amanah) di klausul 4.2.
1. Rancangan Pola kerja untuk mengelola risiko di klausul 4.3.
2. Penerapan manajemen risiko di klausul 4.4.
3. Pemantauan dan review terhadap framework di klausul 4.5.
4. Perbaikan framework berkelanjutan di klausul 4.2.
Framework Manajemen Risiko ISO 31000:2009 menggunakan PDCA atau Plan Do Check
Action, untuk perbaikan berkelanjutan (continual improvement) sebagai basis framework dan
proses manajemen risiko. PDCA ini digambarkan secara jelas pada gambar di bawah.
Plan – mendefinisikan dan analisis suatu masalah serta mengidentifikasi akar masalahnya.
Mengkomunikasikan dan melatih.
Rencana komunikasi dan pelaporan.
Strategi training.
Jaringan manajemen risiko.
Do – melaksanakan solusi, membuat rencana kerja secara terinci dan menarapkannya secara
sistematis.
Yang masuk dalam Do ini antara lain :
· Mengelola dan mengalokaskan
Komite manajemen risiko komisaris/dewan pengawas.
Komite manajemen risiko eksekutif /direksi.
Manajer manajemen risiko.
RM Champions.
Risiko, pengendaliannya, ownernya.
Penyedia asuransi/penjaminannya.
Check – Memeriksa hasil kerja dibandingkan dengan rencananya dan mengidentifikasi
penyimpangannya serta masalah-masalahnya.
Yang masuk dalam Check ini antara lain :
· Mengukur dan mengkaji.
Mengendalikan asuransi/penjaminannya.
Kemajuan rencana manajemen risiko.
Pelaporan taka kelola.
Benchmarking / study banding.
Kriteria unjuk kerja.
Act – Menstandarisasi solusi. Mengkaji ulang dan mendefinisikan masalah-masalah yang akan
datang.
Yang masuk dalam Act ini antara lain :
· Komitmen dan Mandat dari atasan kepada bawahannya, mulai dari pemegang saham,
Komisaris, Direksi, sampai dengan karyawan level terendah dalam masalah manajemen
risiko.
Pernyataan kebijakan manajemen risiko.
Rencana manajemen risiko.
Rencana Asuransi.
Standar-standar manajemen risiko.
Prosedur dan petunjuk-petunjuk kerja.
Secara lebih detail klausul 4 dengan PDCA nya digambarkan dengan gambar berikut ini :
Proses Manajemen Risiko ISO 31000:2009
Proses Manajemen Risiko ISO 31000:2009 digambarkan kembali secara lebih detail
sebagaimana gambar di bawah ini.
Proses pertama adalah Establishing The Context (Menetapkan Konteks). Dalam proses
manajemen risiko langkah awal yang sangat penting adalah Establishing The Context .
Menetapkan konteks ini meliputi penetapan tujuan, strategi, ruang lingkup dan parameter-
parameter lain yang berhubungan dengan proses pengelolaan risiko suatu organisasi. Penetapan
konteks ini menunjukkan hubungan antara masalah atau hal yang akan dikelola risikonya dengan
lingkungan organisasi (eksternal & internal), proses manajemen risiko dan ukuran atau kriteria
risiko yang dijadikan standar. Dalam penetapan konteks ini ditetapkan pula sumber daya,
struktur organisasi (tanggung jawab dan wewenang) yang diperlukan dalam pengeloaan risiko.
Dalam dokumen rencana risk manajemen (Risk Management Plan), penetapan konteks ini dapat
dijadikan bab Latar Belakang Masalah, bab struktur organisasi pengeloaan risiko dan bab
Kriteria Risiko.
Kriteria risiko atau Risk Criteria adalah ukuran standar seberapa besar dampak atau konsekwensi
yang mungkin akan terjadi dan seberapa besar kemungkinan atau frekeunsi atau likelihood risiko
akan terjadi. Gambar di bawah semoga dapat dijadikan contoh kriteria risiko itu.
Dalam tulisan yang lain insya Alloh akan kami uraiakan kriteria risiko ini.
Proses kedua adalah Risk Identification atau identifikasi risiko, yaitu melakukan identifikasi
risiko-risiko yang dapat terjadi di masa yang akan datang (yaitu : risiko apa, kapan, di mana,
bagaimana, mengapa suatu risiko bisa terjadi). Identifikasi ini termasuk pengidentifikasian
poses-proses/tugas-tugas/aktifitas-aktifitas kritikal atau kunci, pengenalan area-area risiko dan
katagorinya.
Proses ketiga adalah Risk Analysis atau analisis risiko-risiko, yaitu proses menentukan berapa
besar dampak (impact atau consequences) dan kemungkinan (frequency atau likelihood) risiko-
risiko yang akan terjadi, serta menghitung berapa besar level risikonya dengan mengalikan
antara besar dampak dan besar kemungkinan (Risk = Consequences x Likelihood).
Proses keempat adalah Risk Evaluation atau membandingkan risiko-risiko yang sudah dihitung
diatas dengan Kriteria Risiko yang sudah distandarkan (menempatkan posisi risiko-risiko pada
gambar kriteria risiko), apakah risiko-risiko itu acceptable/dapat diterima,
menjadi issue/diwaspadai, atauunacceptable/tidak diterima, serta memprioritaskan mitigasi atau
penangannya. Lihat gambar di bawah ini, risiko nomor 1 dan 5 terletak di daerah warna merah
Unacceptable Risk dan menjadi prioritas untuk dilakukan penanganan atau mitigasinya.
Proses kelima adalah Risk Treatment atau mitigasi risiko-risiko. Mitigasi risiko-risiko harus
direncanakan sebaik-baiknya dan dipertimbangkan semua alternatif solusinya, sebelum
dilaksanakan mitigasinya, agar mendapatkan hasil yang diharapkan ecara efektif dan efisien.
Beberapa alternatif bisa dipertimbangkan untuk digunakan, seperti :
membagi risiko,
mengurangi likeliihood dan/atau mengurangi konsekwensi,
menghindari risiko atau membatalkan aktifitas yg berisiko tinggi,
menerima risiko.
Proses keenam adalah Monitor & Review (Pemantauan & Pengkajian Ulang). Pemantauan &
Pengkajian Ulang dilaksanakan terhadap seluruh proses manajemen risiko termasuk konteksnya
(lingkungan, proses, organisasi, strategi, stakeholder dsb.). Catatan-catatan hasil Pemantauan &
Pengkajian Ulang disimpan sebagai bukti dan laporna bahwa aktifitas itu telah dilaksanakan dan
sebagai masukan bagi Risk Management Framework yang telah disiapkan sebelumnya.
Selama melaksanakan ke enam proses manajemen risiko itu Communication &
Consultation (komunikasi dan konsultasi) selalu dilaksanakan kepada semua stakeholder, secara
kontinyu dan iterative.
Skema lain yang menambah kejelasan mengenai langkah-langkah penerapan proses manajemen
risiko ISO 31000:2009 dapat dilihat pada gambar di bawah.