Implementasi ISO 31000 Sebagai Kerangka Kerja Risk Management di Organisasi - Studi kasus Bank

What is “Risk” (ISO 31000) ?

"Risk is the effect of uncertainty on objectives. An effect is a deviation from the expected—positive and/or negative."

Dalam bahasa Indonesia, definisi tersebut dapat diartikan sebagai berikut:

"Risiko adalah dampak dari ketidakpastian terhadap tujuan. Dampak adalah penyimpangan dari yang diharapkan—baik itu bersifat positif maupun negatif."

Dampak Positif vs Negatif didalam ISO 31000

Dalam ISO 31000, dampak positif dan negatif merujuk pada hasil atau konsekuensi yang mungkin terjadi sebagai akibat dari ketidakpastian atau risiko. Berikut adalah penjelasan lebih lanjut:

1. Dampak Positif:
• Dampak positif adalah konsekuensi yang menguntungkan atau keuntungan yang dapat dihasilkan dari suatu risiko.
• Ini mencakup peluang atau kemungkinan hasil yang baik, seperti pencapaian tujuan dengan lebih cepat, keuntungan finansial, peningkatan reputasi, atau peluang pertumbuhan.
• Dalam konteks ISO 31000, dampak positif juga disebut sebagai "opportunity."
2. Dampak Negatif:
• Dampak negatif adalah konsekuensi yang merugikan atau kerugian yang dapat timbul akibat suatu risiko.
• Ini mencakup potensi kerugian finansial, reputasi yang rusak, gangguan operasional, atau ketidakmampuan mencapai tujuan organisasi.
• Dalam konteks ISO 31000, dampak negatif juga disebut sebagai "threat."

Dalam praktik manajemen risiko, organisasi diharapkan untuk tidak hanya fokus pada mengidentifikasi dan mengelola dampak negatif (risiko), tetapi juga untuk mengambil manfaat dari dampak positif (peluang) yang dapat muncul. Pendekatan yang holistik terhadap risiko mencakup penilaian terhadap potensi baik dan buruk yang dapat mempengaruhi pencapaian tujuan organisasi.

ISO 31000 menekankan perlunya organisasi untuk memahami bahwa risiko dapat memiliki dua sisi, yaitu potensi keuntungan dan potensi kerugian. Oleh karena itu, manajemen risiko seharusnya tidak hanya berfokus pada menghindari risiko, tetapi juga pada pengelolaan risiko secara proaktif untuk mencapai tujuan organisasi dengan lebih baik.

Contoh kasus

Untuk memahami konspe dampak positif dan negatif yang dijelaskan diatas berikut contoh studi kasusnya :
Dalam konteks perbankan, dampak risiko dapat memiliki konsekuensi positif atau negatif, dan hal ini sesuai dengan definisi risiko dalam ISO 31000. Berikut adalah contoh studi kasus di sektor perbankan untuk menjelaskan dampak risiko yang dapat bersifat positif dan negatif:

Contoh Studi Kasus:

Skenario: Penawaran Kredit Baru

1. Positif (Opportunity):
• Deskripsi: Bank berencana untuk memperluas portofolio kredit dengan menawarkan produk kredit baru kepada segmen pasar yang memiliki potensi pertumbuhan tinggi.
• Dampak Positif: Jika pemasaran dan pelaksanaan kredit baru berhasil, bank dapat mengalami pertumbuhan pendapatan yang signifikan melalui bunga dan biaya layanan.
2. Negatif (Threat):
• Deskripsi: Bank memberikan kredit kepada pelanggan yang kemudian mengalami kesulitan keuangan, mengakibatkan tingkat pengembalian yang lebih tinggi dari yang diperkirakan.
• Dampak Negatif: Adanya peningkatan risiko kredit dan potensial kerugian finansial karena tidak dapat mengumpulkan dana kembali dari pelanggan yang gagal membayar.

Skenario: Investasi Teknologi Baru

1. Positif (Opportunity):
• Deskripsi: Bank menginvestasikan sumber daya besar dalam sistem teknologi baru untuk meningkatkan efisiensi operasional dan memberikan pengalaman pelanggan yang lebih baik.
• Dampak Positif: Jika investasi tersebut berhasil diimplementasikan, bank dapat meningkatkan efisiensi, mengurangi biaya operasional, dan memperoleh keuntungan kompetitif dalam industri.
2. Negatif (Threat):
• Deskripsi: Proyek implementasi teknologi menghadapi kendala dan melebihi anggaran, mengakibatkan penundaan dan ketidakpastian dalam pencapaian manfaat yang diharapkan.
• Dampak Negatif: Bank mungkin mengalami kerugian finansial akibat biaya tambahan dan mungkin kehilangan keunggulan kompetitif yang diinginkan.

Dalam kedua skenario ini, dampak risiko (baik positif maupun negatif) dapat mempengaruhi pencapaian tujuan organisasi, yang dapat berupa pertumbuhan pendapatan, efisiensi operasional, atau keunggulan kompetitif. Pemahaman tentang bagaimana ketidakpastian dapat berkontribusi terhadap hasil yang diharapkan atau tidak diharapkan adalah inti dari konsep risiko dalam ISO 31000

 

Apa itu ISO 31000?

ISO 31000 adalah sebuah standar internasional yang mengatur praktik manajemen risiko. Standar ini memberikan panduan umum untuk mendesain dan mengimplementasikan proses manajemen risiko yang efektif dan efisien di dalam suatu organisasi. ISO 31000 membantu organisasi untuk mengidentifikasi, menilai, dan mengelola risiko secara holistik, sehingga dapat meningkatkan kemampuan dalam mencapai tujuan dan meminimalkan potensi kerugian.

Manfaat ISO 31000:

1. Peningkatan Keputusan: Membantu organisasi dalam membuat keputusan yang lebih baik dengan mempertimbangkan risiko secara sistematis.
2. Perlindungan Aset: Memberikan perlindungan terhadap aset organisasi dari potensi kerugian.
3. Perbaikan Kinerja: Memungkinkan organisasi untuk mengidentifikasi peluang dan perbaikan yang dapat meningkatkan kinerja keseluruhan.
4. Peningkatan Kepatuhan: Membantu organisasi untuk mematuhi regulasi dan standar yang berlaku.
5. Peningkatan Reputasi: Mengelola risiko dengan baik dapat meningkatkan reputasi organisasi.
6. Ketahanan Organisasi: Meningkatkan ketahanan organisasi terhadap perubahan lingkungan dan peristiwa tak terduga.

 

Peranan Governance

Peran Corporate Governance dalam Manajemen Risiko sangat krusial. Corporate Governance, atau tata kelola perusahaan, adalah kerangka kerja yang mencakup kebijakan, prosedur, dan praktik-praktik yang digunakan oleh suatu organisasi untuk mengelola dan mengarahkan kegiatan perusahaan. Dalam konteks manajemen risiko, Corporate Governance memainkan peran penting dengan memberikan kerangka kerja dan mekanisme pengawasan untuk memastikan bahwa risiko diidentifikasi, diukur, dan dikelola secara efektif. Berikut adalah uraian mengenai peran Corporate Governance dalam konteks Manajemen Risiko:

1. Evaluasi Risiko dan Pengambilan Keputusan:

• Are we doing the right thing?
• Corporate Governance membantu dalam menetapkan visi, misi, dan tujuan organisasi, serta menilai apakah langkah-langkah yang diambil sesuai dengan arah strategis dan nilai-nilai perusahaan.
• Memastikan bahwa keputusan manajemen diambil dengan mempertimbangkan risiko dan meminimalkan potensi dampak negatif.

2. Pengendalian dan Kepatuhan:

• Are we doing it the right way?
• Corporate Governance menetapkan struktur organisasi, kebijakan, dan prosedur yang harus diikuti oleh anggota organisasi.
• Memastikan bahwa proses bisnis dilakukan dengan memperhatikan kebijakan dan standar etika yang berlaku.
• Mengimplementasikan kontrol internal untuk mengelola risiko dan memastikan kepatuhan.

3. Pemantauan dan Evaluasi Kinerja:

• Are we getting them done well?
• Corporate Governance memberikan mekanisme pemantauan dan evaluasi kinerja organisasi.
• Memastikan bahwa manajemen risiko dilibatkan secara berkelanjutan dan efektif dalam semua lapisan organisasi.
• Melakukan audit dan pemantauan secara berkala terhadap pelaksanaan manajemen risiko.

4. Mencapai Manfaat yang Diharapkan:

• Are we seeing expected benefits?
• Corporate Governance membantu dalam mengidentifikasi dan mengukur manfaat yang diharapkan dari setiap keputusan atau tindakan.
• Memastikan bahwa manajemen risiko berkontribusi secara positif terhadap pencapaian tujuan organisasi dan memberikan nilai tambah.

 

Elemen-elemen Risiko dalam Organisasi:

1. Sumber Risiko (Risk Source): Asal-usul atau penyebab potensi risiko.
2. Penyebab Risiko (Risk Driver): Faktor atau kejadian yang memicu terjadinya risiko.
3. Peristiwa Risiko (Risk Event): Kejadian konkret yang dapat mengekspos organisasi pada potensi kerugian atau dampak negatif.
4. Dampak Risiko (Risk Impact): Konsekuensi dari terjadinya risiko pada tujuan organisasi.
5. Pemilik Risiko (Risk Owner): Individu atau entitas yang bertanggung jawab atas manajemen dan pengendalian risiko tertentu.

Risk Culture dan Jenisnya:

1. Vulnerable: Don't Care
• Organisasi cenderung tidak peduli terhadap risiko.
• Kurangnya perhatian terhadap potensi kerugian atau dampak negatif.
2. Reactive: Blame Culture
• Budaya yang menyalahkan.
• Reaksi terhadap risiko terutama bersifat menyalahkan ketika terjadi masalah.
3. Compliance: Compliance Culture
• Fokus pada kepatuhan terhadap kebijakan dan regulasi.
• Prioritas utama adalah memastikan bahwa organisasi mematuhi peraturan yang berlaku.
4. Proactive: Ownership Culture
• Organisasi mengambil tanggung jawab terhadap risiko.
• Budaya ini mendorong partisipasi aktif dalam manajemen risiko dan tanggung jawab bersama.
5. Resilient: Way of Life
• Resilien atau tahan banting.
• Risiko dianggap sebagai bagian integral dari kehidupan sehari-hari organisasi, dan organisasi dapat beradaptasi dengan perubahan dengan baik.

Keseimbangan dalam Risk Culture:

Keseimbangan dalam Risk Culture melibatkan tiga elemen utama:

1. Perilaku terhadap pengambilan risiko: Bagaimana individu atau organisasi mendekati pengambilan risiko.
2. Perilaku terhadap hasil negatif: Bagaimana individu atau organisasi merespons dan belajar dari hasil yang kurang positif.
3. Perilaku terhadap kepatuhan kebijakan: Sejauh mana individu atau organisasi mematuhi kebijakan dan prosedur yang ada.

Terminologi RISK dalam Organisasi:

1. Risk Appetite (Selera Risiko): Jumlah risiko yang bersedia diterima oleh organisasi dalam mencapai tujuannya.
2. Risk Tolerance (Toleransi Risiko): Tingkat variasi yang dapat diterima dalam mencapai tujuan organisasi.
3. Risk Mitigation (Pengurangan Risiko): Tindakan untuk mengurangi dampak atau probabilitas terjadinya risiko.
4. Risk Assessment (Penilaian Risiko): Proses identifikasi, analisis, dan evaluasi risiko.
5. Risk Management Framework (Kerangka Kerja Manajemen Risiko): Struktur untuk mengelola dan mengendalikan risiko di seluruh organisasi.

Langkah-langkah Implementasi ISO 31000:

Langkah-langkah implementasi ISO 31000 telah dijelaskan pada respons sebelumnya, yang mencakup:

Deskripsi Langkah-langkah Implementasi ISO 31000:

1. Penetapan Konteks Organisasi:

• Deskripsi: Identifikasi faktor-faktor internal dan eksternal yang mempengaruhi tujuan organisasi. Ini melibatkan pemahaman mengenai tujuan, karakteristik, dan lingkungan operasional organisasi.

2. Pemahaman Tentang Risiko:

• Deskripsi: Pemahaman mendalam tentang risiko-risiko yang mungkin memengaruhi pencapaian tujuan organisasi. Ini termasuk identifikasi risiko dan penilaian terhadap probabilitas serta dampaknya.

3. Pembentukan Kerangka Kerja Manajemen Risiko:

• Deskripsi: Membentuk struktur dan proses untuk mengelola risiko. Ini mencakup penentuan kebijakan, prosedur, dan pembentukan tim manajemen risiko dengan tanggung jawab yang jelas.

4. Komunikasi dan Konsultasi:

• Deskripsi: Membangun komunikasi yang efektif dan konsultasi dengan stakeholder internal dan eksternal untuk memastikan pemahaman dan dukungan terhadap proses manajemen risiko.

5. Proses Identifikasi Risiko:

• Deskripsi: Identifikasi risiko-risiko potensial yang dapat memengaruhi pencapaian tujuan organisasi. Melibatkan pemangku kepentingan dalam mengidentifikasi ancaman dan peluang.

6. Analisis Risiko:

• Deskripsi: Menilai konsekuensi dan probabilitas dari setiap risiko yang diidentifikasi. Menggunakan metode analisis risiko untuk mengukur dampak potensial pada tujuan organisasi.

7. Evaluasi Risiko:

• Deskripsi: Menilai tingkat risiko dengan membandingkannya dengan batas toleransi risiko yang telah ditetapkan. Menentukan risiko yang perlu diterima atau yang memerlukan tindakan manajemen lebih lanjut.

8. Tindakan Manajemen Risiko:

• Deskripsi: Menentukan strategi dan tindakan untuk mengelola risiko. Ini melibatkan pengembangan rencana mitigasi, transfer, atau penerimaan risiko berdasarkan evaluasi risiko.

9. Pemantauan dan Tinjauan:

• Deskripsi: Memantau dan mengevaluasi efektivitas strategi manajemen risiko. Melakukan tinjauan berkala untuk memastikan bahwa langkah-langkah manajemen risiko masih relevan dan efektif.

10. Dokumentasi dan Pelaporan:

• Deskripsi: Membuat catatan dokumentasi mengenai identifikasi, analisis, dan tindakan manajemen risiko. Melaporkan hasil dan pembaruan kepada pihak-pihak terkait.

11. Peningkatan Berkelanjutan:

• Deskripsi: Menerapkan perbaikan berkelanjutan terhadap proses manajemen risiko berdasarkan hasil pemantauan dan tinjauan. Memastikan bahwa organisasi dapat belajar dari pengalaman dan terus meningkat.

12. Pelibatan Pihak Terkait:

• Deskripsi: Melibatkan semua pemangku kepentingan yang relevan, baik internal maupun eksternal, dalam proses manajemen risiko. Ini mencakup kolaborasi dan pertukaran informasi yang terus-menerus.

Studi Kasus: Implementasi ISO 31000 di Bank ABC:

Sekarang, mari kita terapkan langkah-langkah ini dalam konteks Bank ABC. Studi kasus ini akan mencerminkan implementasi ISO 31000 dalam manajemen risiko perbankan. (Ditulis dalam bentuk ringkas)

Bank ABC: Implementasi ISO 31000

Studi Kasus: Implementasi ISO 31000 di ABC Bank

1. Penetapan Konteks Organisasi:

• Deskripsi: ABC Bank memiliki tujuan untuk meningkatkan keberlanjutan keuangan, memperluas basis nasabah, dan mematuhi regulasi perbankan.
• Langkah:
• Identifikasi tujuan dan sasaran strategis ABC Bank.
• Evaluasi faktor internal dan eksternal yang dapat mempengaruhi pencapaian tujuan, seperti suku bunga, risiko kredit, dan perubahan regulasi.

2. Pemahaman Tentang Risiko:

• Deskripsi: ABC Bank menyadari risiko kredit, risiko suku bunga, risiko operasional, dan risiko kepatuhan.
• Langkah:
• Identifikasi risiko-risiko utama dalam operasi perbankan.
• Penilaian terhadap probabilitas dan dampak risiko yang diidentifikasi.

3. Pembentukan Kerangka Kerja Manajemen Risiko:

• Deskripsi: ABC Bank ingin membangun struktur manajemen risiko yang dapat diintegrasikan ke dalam keputusan strategis.
• Langkah:
• Menetapkan kebijakan dan prosedur manajemen risiko yang mencakup semua aspek bisnis perbankan.
• Menunjuk tim manajemen risiko dan melibatkan mereka dalam pengambilan keputusan strategis.

4. Komunikasi dan Konsultasi:

• Deskripsi: ABC Bank berkomitmen untuk memastikan seluruh staf terlibat dalam proses manajemen risiko.
• Langkah:
• Mengadakan sesi pelatihan dan komunikasi tentang manajemen risiko untuk staf.
• Melibatkan karyawan di berbagai tingkatan dalam proses identifikasi risiko.

5. Proses Identifikasi Risiko:

• Deskripsi: ABC Bank mengidentifikasi risiko-risiko seperti risiko kredit, risiko operasional, dan risiko pasar.
• Langkah:
• Melibatkan tim kredit, tim operasional, dan tim keuangan dalam sesi identifikasi risiko.
• Membuat daftar risiko-risiko potensial yang dapat memengaruhi tujuan ABC Bank.

6. Analisis Risiko:

• Deskripsi: ABC Bank menilai konsekuensi dan probabilitas risiko yang diidentifikasi.
• Langkah:
• Menggunakan metode analisis risiko seperti analisis historis dan skenario untuk mengukur dampak potensial.
• Mengkategorikan risiko berdasarkan tingkat keparahan dan kemungkinan.

7. Evaluasi Risiko:

• Deskripsi: ABC Bank menilai tingkat risiko yang diidentifikasi dan membandingkannya dengan toleransi risiko.
• Langkah:
• Membandingkan tingkat risiko dengan batas toleransi yang telah ditetapkan.
• Menentukan apakah tindakan manajemen risiko lebih lanjut diperlukan untuk mengurangi risiko ke tingkat yang dapat diterima.

 

8. Tindakan Manajemen Risiko:

• Deskripsi: Setelah evaluasi risiko, ABC Bank memutuskan tindakan yang diperlukan untuk mengelola risiko-risiko yang diidentifikasi. Ini mencakup pengembangan dan implementasi rencana mitigasi serta langkah-langkah pencegahan.
• Langkah:
• Mengembangkan strategi tindakan yang mencakup mitigasi risiko dan langkah-langkah pencegahan.
• Menetapkan tanggung jawab untuk setiap tindakan yang diambil.
• Melibatkan tim manajemen risiko dan unit bisnis terkait dalam pelaksanaan tindakan.

9. Pemantauan dan Tinjauan:

• Deskripsi: ABC Bank melakukan pemantauan dan tinjauan berkelanjutan terhadap efektivitas strategi manajemen risiko yang telah diimplementasikan. Hal ini melibatkan pengawasan dan evaluasi secara rutin untuk memastikan bahwa risiko diidentifikasi dan dielola dengan baik.
• Langkah:
• Menetapkan proses pemantauan yang berkala terhadap kinerja tindakan manajemen risiko.
• Melakukan tinjauan rutin untuk memastikan relevansi dan efektivitas strategi manajemen risiko.
• Mengadakan sesi evaluasi dan pembahasan untuk memperbarui strategi manajemen risiko berdasarkan perubahan dalam lingkungan bisnis.

10. Dokumentasi dan Pelaporan:

• Deskripsi: ABC Bank melakukan dokumentasi risiko yang diidentifikasi, tindakan yang diambil, dan hasil dari strategi manajemen risiko. Pelaporan ini dilakukan secara teratur kepada pihak-pihak terkait, termasuk dewan direksi dan regulator.
• Langkah:
• Membuat catatan dokumentasi lengkap tentang hasil analisis risiko, tindakan yang diambil, dan pemantauan yang dilakukan.
• Melaporkan hasil manajemen risiko kepada dewan direksi dan regulator sesuai dengan jadwal yang ditentukan.

11. Peningkatan Berkelanjutan:

• Deskripsi: ABC Bank mengintegrasikan siklus perbaikan berkelanjutan ke dalam praktik manajemen risiko. Proses ini melibatkan evaluasi konstan dan peningkatan terhadap kerangka kerja manajemen risiko.
• Langkah:
• Menerapkan perbaikan berkelanjutan berdasarkan hasil pemantauan dan tinjauan.
• Melibatkan tim manajemen risiko dalam pembahasan mengenai pelajaran yang dipetik dari peristiwa risiko dan bagaimana meningkatkan respons di masa depan.

12. Pelibatan Pihak Terkait:

• Deskripsi: ABC Bank berkomitmen untuk melibatkan pihak terkait eksternal seperti regulator, auditor, dan pemangku kepentingan lainnya dalam proses manajemen risiko.
• Langkah:
• Menjalin kolaborasi yang aktif dengan regulator dan mengikuti standar kepatuhan yang berlaku.
• Melibatkan auditor eksternal dalam proses audit dan evaluasi manajemen risiko.

Dengan melengkapi langkah-langkah ini, ABC Bank dapat memastikan bahwa praktik manajemen risiko mereka terus berkembang dan sesuai dengan tujuan bisnis serta standar regulasi yang berlaku. Hal ini mendukung upaya mereka untuk mencapai keberlanjutan keuangan, memperluas basis nasabah, dan mematuhi regulasi perbankan.

Implementasi perlu disesuaikan dengan karakteristik organisasi untuk memastikan keberhasilan dan kepatuhan terhadap standar

 

Kesimpulan

Dari uraian langkah-langkah implementasi ISO 31000 sebagai kerangka kerja manajemen risiko di organisasi, terdapat beberapa kesimpulan mengenai manfaatnya:

1. Pemahaman Risiko yang Holistik:
• ISO 31000 membantu organisasi memahami risiko secara holistik dengan mengidentifikasi, mengevaluasi, dan mengelola risiko-risiko yang dapat memengaruhi pencapaian tujuan organisasi.
2. Keterlibatan Pihak Terkait:
• Melibatkan seluruh pemangku kepentingan, baik internal maupun eksternal, dalam proses manajemen risiko, memungkinkan pertukaran informasi yang holistik dan dukungan yang lebih luas.
3. Pembentukan Struktur Manajemen Risiko yang Kuat:
• ISO 31000 membantu organisasi dalam membentuk struktur manajemen risiko yang kuat dengan menetapkan kebijakan, prosedur, dan tim manajemen risiko yang memiliki tanggung jawab dan otoritas yang jelas.
4. Efektivitas Komunikasi dan Konsultasi:
• Meningkatkan efektivitas komunikasi dan konsultasi di seluruh organisasi, memastikan bahwa semua anggota memahami dan dapat berkontribusi dalam proses identifikasi dan manajemen risiko.
5. Peningkatan Identifikasi Risiko:
• Mendorong identifikasi risiko yang lebih efektif dan komprehensif melalui proses yang terstruktur dan melibatkan pemangku kepentingan dari berbagai tingkatan organisasi.
6. Analisis dan Evaluasi yang Mendalam:
• Memberikan kerangka kerja untuk analisis risiko yang mendalam, termasuk penilaian probabilitas dan dampak, serta evaluasi risiko yang memungkinkan organisasi menentukan tindakan yang diperlukan.
7. Tindakan Manajemen Risiko yang Terinformasi:
• Membantu organisasi dalam pengembangan strategi dan tindakan manajemen risiko yang terinformasi, termasuk rencana mitigasi risiko dan pencegahan.
8. Pemantauan dan Tinjauan Terus-menerus:
• Menyediakan mekanisme pemantauan yang terus-menerus dan tinjauan berkala untuk memastikan bahwa langkah-langkah manajemen risiko tetap relevan dan efektif.
9. Dokumentasi dan Pelaporan yang Akurat:
• Mendorong dokumentasi risiko yang akurat dan melaporkan hasil manajemen risiko kepada pemangku kepentingan internal dan eksternal secara transparan.
10. Peningkatan Berkelanjutan:
• Menyediakan landasan untuk perbaikan berkelanjutan dalam manajemen risiko, memastikan bahwa organisasi dapat belajar dari pengalaman dan terus meningkatkan efektivitasnya.
11. Pelibatan Pihak Terkait Eksternal:
• Mendorong pelibatan dengan pihak terkait eksternal seperti auditor internal, regulator, dan pemangku kepentingan eksternal untuk memperkuat praktek manajemen risiko.

Dengan menerapkan ISO 31000, organisasi dapat memanfaatkan manajemen risiko sebagai alat strategis untuk mencapai tujuan bisnis, meningkatkan daya tahan terhadap ketidakpastian, dan mengoptimalkan kinerja organisasi secara keseluruhan

Oleh : Hery Purnama, SE., MM.

MCP, PMP, ITILF, CISA, CISM, CRISC, CGEIT, CDPSE, COBIT, TOGAF
CDMP, CBAP, CTFL, ISO 31000, ISO 27001, ISO 20000-1