The International Organization for Standardization (ISO) 31000: 2009 Risk Management – Principles and Guidelines merupakan sebuah standar internasional yang disusun dengan tujuan memberikan prinsip dan panduan generik untuk penerapan manajemen risiko. Standar internasional yang diterbitkan pada 13 November 2009 ini dapat digunakan oleh segala jenis organisasi dalam menghadapi berbagai risiko yang melekat pada aktivitas mereka. Walau ISO 31000: 2009 menyediakan panduan generik, standar ini tidak ditujukan untuk menyeragamkan manajemen risiko lintas organisasi, tetapi ditujukan untuk memberikan standar pendukung penerapan manajemen risiko dalam usaha memberikan jaminan terhadap pencapaian sasaran organisasi. ISO 31000: 2009 menyediakan prinsip, kerangka kerja, dan proses manajemen risiko yang dapat digunakan sebagai arsitektur manajemen risiko dalam usaha menjamin penerapan manajemen risiko yang efektif.
Gambar 1. Hubungan Antara Prinsip, Kerangka Kerja, dan Proses Manajemen Risiko
Sumber: ISO 31000: 2009 Risk Management – Principles and Guidelines
I. Prinsip Manajemen Risiko
ISO 31000: 2009 Risk Management – Principles and Guidelines menentukan sebelas prinsip yang perlu dipahami dan diterapkan pada kerangka kerja dan proses manajemen risiko untuk memastikan efektivitasnya. Sebelas prinsip tersebut adalah:
(1) Memberikan nilai tambah dan melindungi nilai organisasi
Prinsip ini menyatakan bahwa kegiatan manajemen risiko harus dapat meningkatkan kapabilitas organisasi dalam menyerap risiko agar organisasi dapat memanfaatkan peluang-peluang yang ada sekarang dan dapat muncul di masa depan (memberikan nilai tambah bagi organisasi). Selain itu, manajemen risiko juga harus dapat mengantisipasi risiko-risiko berdampak buruk yang dapat membahayakan pencapaian sasaran organisasi (melindungi nilai organisasi).
(2) Bagian terpadu dari seluruh proses organisasi
Manajemen risiko harus melekat pada seluruh proses organisasi karena setiap proses organisasi menghadapi risiko yang dapat menyebabkan sasaran proses tersebut tidak tercapai. Prinsip ini juga secara implisit menyatakan bahwa manajemen risiko tidak hanya menjadi tanggung jawab top management dari organisasi, tetapi seluruh bagian dari organisasi.
(3) Bagian dari pengambilan keputusan
Harus diingat bahwa setiap alternatif keputusan mengandung risiko tersendiri. Untuk itu dalam memilih alternatif keputusan, organisasi harus mempertimbangkan unsur risiko dari setiap alternatif, ketersediaan sumber daya organisasi, serta kapabilitas dan toleransi organisasi dalam menyerap risiko.
(4) Secara khusus menangani ketidakpastian
Setiap organisasi tentu menghadapi ketidakpastian dalam perjalanannya mencapai sasaran mereka. Manajemen risiko membantu mengurangi aspek ketidakpastian dengan memberi ukuran (parameter) terhadap konsekuensi dari risiko. Parameter ini menunjukkan eksposur organisasi terhadap risiko tersebut, yang nantinya akan menentukan penanganan risiko. Penanganan risiko diharapkan dapat membantu organisasi mereduksi eksposur risiko dan ketidakpastian yang dihadapi organisasi.
(5) Sistematis, terstruktur, dan tepat waktu
Prinsip ini menyatakan bahwa manajemen risiko harus dijalankan secara konsisten dan terintegrasi pada seluruh organisasi. Pembentukan risk governance yang memperjelas kewenangan, peran, dan tanggung jawab dari setiap unit organisasi berkaitan dengan manajemen risiko juga diperlukan untuk mendukung efektivitas manajemen risiko.
(6) Berdasarkan informasi terbaik yang tersedia
Penerapan manajemen risiko harus didukung dengan informasi terbaik yang dapat diperoleh organisasi. Informasi terbaik terdiri dari tiga aspek, yaitu relevan, terpercaya, dan tepat waktu. Untuk mendukung perolehan informasi terbaik, organisasi dapat melakukan proses dokumentasi dan membentuk database informasi (misalnya membuat risk register). Tanpa adanya informasi terbaik, penerapan manajemen risiko dapat menjadi tidak tepat sasaran.
(7) Disesuaikan dengan kebutuhan organisasi
Setiap individu, unit kerja, dan organisasi tentu memiliki karakteristik tersendiri dan menghadapi risiko yang berbeda-beda. Salah satu keunggulan dari ISO 31000: 2009 adalah menyediakan standar generik yang dapat diadaptasi sesuai dengan kebutuhan pemangku risiko dalam usaha mencapai tujuannya masing-masing. Untuk itu, setiap pemangku risiko tidak dapat hanya mengikuti sistem manajemen risiko yang dibentuk oleh unit atau organisasi lain, tapi harus menyesuaikan dengan keadaan dan risiko yang dihadapinya.
(8) Mempertimbangkan faktor budaya dan manusia
Penerapan manajemen risiko harus mempertimbangkan kultur, persepsi, dan kapabilitas manusia, termasuk memperhitungkan perselisihan kepentingan antara organisasi dengan individu di dalamnya. Hal ini penting untuk diperhatikan karena penerapan manajemen risiko dilakukan oleh sumber daya insani dari organisasi.
(9) Transparan dan inklusif
Penerapan dan informasi mengenai manajemen risiko harus melibatkan seluruh bagian organisasi. Keberadaan suatu risiko juga tidak boleh disembunyikan atau dilebih-lebihkan.
(10) Dinamis, berulang, dan responsif terhadap perubahan
Prinsip ini menyatakan bahwa manajemen risiko harus diimplementasikan secara konsisten dan berulang, serta harus dapat dapat memfasilitasi perubahan pada sisi internal dan eksternal organisasi. Proses monitoring dan review menjadi aktivitas kunci dalam mendeteksi perubahan dan memfasilitasi penyesuaian pada manajemen risiko.
(11) Memfasilitasi perbaikan sinambung dan peningkatan organisasi
Keberadaan manajemen risiko harus diperbaiki dari waktu ke waktu sesuai dengan perkembangan konteks internal dan eksternal organisasi. Perbaikan berkelanjutan ini diharapkan dapat membawa perbaikan yang signifikan pada organisasi..
II. Kerangka Kerja Manajemen Risiko
Sumber: Broadleaf Capital International. Strategic, Enterprise and Project Risk Management.
Kerangka kerja manajemen risiko ISO 31000: 2009 Risk Management – Principles and Guidelines dimulai dengan pemberian mandat dan komitmen. Pemberian mandat dan komitmen merupakan hal yang sangat penting karena menentukan akuntabilitas, kewenangan, dan kapabilitas dari pelaku manajemen risiko. Hal-hal penting yang harus dilakukan pada pemberian mandat dan komitmen adalah:
• Membuat dan menyetujui kebijakan manajemen risiko;
• Menyesuaikan indikator kinerja manajemen risiko dengan indikator kinerja perusahaan;
• Menyesuaikan kultur organisasi dengan nilai-nilai manajemen risiko;
• Menyesuaikan sasaran manajemen risiko dengan sasaran strategis perusahaan;
• Memberikan kejelasan peran dan tanggung jawab;
• Menyesuaikan kerangka kerja manajemen risiko dengan kebutuhan organisasi.
Setelah pemberian mandat dan komitmen, kerangka kerja ISO 31000: 2009 dilanjutkan dengan kerangka implementasi “Plan, Do, Check, Act”, yaitu dengan melakukan:
(3) monitoring dan review terhadap kerangka kerja manajemen risiko;
(4) perbaikan kerangka kerja manajemen risiko secara berkelanjutan.
Perencanaan kerangka kerja manajemen risiko mencakup pemahaman mengenai organisasi dan konteksnya, menetapkan kebijakan manajemen risiko, menetapkan akuntabilitas manajemen risiko, mengintegrasikan manajemen risiko ke dalam proses bisnis organisasi, alokasi sumber daya manajemen risiko, dan menetapkan mekanisme komunikasi internal dan eksternal. Setelah melakukan perencanaan kerangka kerja, maka dilakukan penerapan proses manajemen risiko.
Dalam penerapan manajemen risiko, perlu dilakukan monitoring dan review terhadap kerangka kerja manajemen risiko. Setelah itu, kerangka kerja manajemen risiko perlu diperbaiki secara berkelanjutan untuk memfasilitasi perubahan yang terjadi pada konteks internal dan eksternal organisasi. Proses-proses tersebut kemudian berulang kembali untuk memastikan adanya kerangka kerja manajemen risiko yang mengalami perbaikan berkesinambungan dan dapat menghasilkan penerapan manajemen risiko yang andal.
III. Proses Manajemen Risiko
Gambar 3. Komponen-komponen Proses Manajemen Risiko
Sumber: Asesmen Risiko Berbasis ISO 31000: 2009. Diane Christina, 2012.
Proses manajemen risiko merupakan kegiatan kritikal dalam manajemen risiko, karena merupakan penerapan daripada prinsip dan kerangka kerja yang telah dibangun. Proses manajemen risiko terdiri dari tiga proses besar, yaitu:
(1) Penetapan konteks (establishing the context)
Penetapan konteks bertujuan untuk mengidentifikasi dan mengungkapkan sasaran organisasi, lingkungan dimana sasaran hendak dicapai, stakeholders yang berkepentingan, dan keberagaman kriteria risiko, dimana hal-hal ini akan membantu mengungkapkan dan menilai sifat dan kompleksitas dari risiko. Terdapat empat konteks yang perlu ditentukan dalam penetapan konteks, yaitu konteks internal, konteks eksternal, konteks manajemen risiko, dan kriteria risiko.
(i) Konteks internal memperhatikan sisi internal organisasi yaitu struktur organisasi, kultur dalam organisasi, dan hal-hal lain yang dapat mempengaruhi pencapaian sasaran organisasi.
(ii) Konteks eksternal mendefinisikan sisi eksternal organisasi yaitu pesaing, otoritas, perkembangan teknologi, dan hal-hal lain yang dapat mempengaruhi pencapaian sasaran organisasi.
(iii) Konteks manajemen risiko memperhatikan bagaimana manajemen risiko diberlakukan dan bagaimana hal tersebut akan diterapkan di masa yang akan datang.
(iv) Terakhir, dalam pembentukan manajemen risiko organisasi perlu mendefinisikan parameter yang disepakati bersama untuk digunakan sebagai kriteria risiko.
(2) Penilaian risiko (risk assessment)
Penilaian risiko terdiri dari:
(i) Identifikasi risiko: mengidentifikasi risiko apa saja yang dapat mempengaruhi pencapaian sasaran organisasi.
(ii) Analisis risiko: menganalisis kemungkinan dan dampak dari risiko yang telah diidentifikasi.
(iii) Evaluasi risiko: membandingkan hasil analisis risiko dengan kriteria risiko untuk menentukan bagaimana penanganan risiko yang akan diterapkan.
(3) Penanganan risiko (risk treatment)
Dalam menghadapi risiko terdapat empant penanganan yang dapat dilakukan oleh organisasi:
(i) Menghindari risiko (risk avoidance);
(ii) Mitigasi risiko (risk reduction), dapat dilakukan dengan mengurangi kemungkinan atau dampak;
(iii) Transfer risiko kepada pihak ketiga (risk sharing);
(iv) Menerima risiko (risk acceptance).
Ketiga proses besar tersebut didampingi oleh dua proses yaitu:
(1) Komunikasi dan konsultasi
Komunikasi dan konsultasi merupakan hal yang penting mengingat prinsip manajemen risiko yang kesembilan menuntut manajemen risiko yang transparan dan inklusif, dimana manajemen risiko harus dilakukan oleh seluruh bagian organisasi dan memperhitungkan kepentingan dari seluruh stakeholders organisasi. Adanya komunikasi dan konsultasi diharapkan dapat menciptakan dukungan yang memadai pada kegiatan manajemen risiko dan membuat kegiatan manajemen risiko menjadi tepat sasaran.
(2) Monitoring dan review
Hal ini diperlukan untuk memastikan bahwa implementasi manajemen risiko telah berjalan sesuai dengan perencanaan yang dilakukan. Hasil monitoring dan review juga dapat digunakan sebagai bahan pertimbangan untuk melakukan perbaikan terhadap proses manajemen risiko.
Manajemen risiko merupakan proses esensial dalam organisasi untuk memberikan jaminan yang wajar terhadap pencapaian tujuan organisasi. ISO 31000: 2009 Risk Management – Principles and Guidelines merupakan standar yang dibuat untuk memberikan prinsip dan panduan generik dalam penerapan manajemen risiko. Standar ini menyediakan prinsip, kerangka kerja, dan proses manajemen risiko.
Prinsip manajemen risiko merupakan fondasi dari kerangka kerja dan proses manajemen risiko, sedangkan kerangka kerja manajemen risiko merupakan struktur pembangun proses manajemen risiko. Proses manajemen risiko merupakan penerapan inti dari manajemen risiko, sehingga harus dijalankan secara komprehensif, konsisten, dan terus diperbaiki sesuai dengan keperluan. Implementasi manajemen risiko berbasis ISO 31000: 2009 secara mendetail dan menyeluruh pada ketiga komponen tersebut diharapkan dapat meningkatkan efektivitas manajemen risiko organisasi.
Disusun oleh: Charvin Kusuma – Associate Researcher CRMS Indonesia
