Langkah Awal ISO 31000 yang Paling Krusial dan Paling Sering Diabaikan

Menurut Ketua Departemen Agribisnis FEM IPB, Dr. Ir. Dwi Rachmina, M.Si, QCRO, yang berpengalaman lama di dunia manajemen risiko, banyak organisasi terburu-buru melompat ke tahap identifikasi dan penilaian risiko karena mereka ingin segera tahu apa saja ancaman yang mengintai.

Padahal, ada satu tahap fundamental yang sering dianggap sepele, namun sesungguhnya adalah kunci keberhasilan seluruh arsitektur manajemen risiko di sebuah organisasi: Penetapan Konteks Risiko.

Fase ini bukan sekadar formalitas prosedural yang dicatat di awal dokumen, melainkan tahap krusial yang menentukan seberapa relevan dan efektif upaya pengelolaan risiko yang akan dijalankan. Tanpa pemahaman konteks yang kuat, upaya kita ibarat mencoba memetakan wilayah tanpa tahu di belahan bumi mana kita berdiri, atau mencoba berlayar tanpa mengamati arah angin dan kedalaman air.

Hasilnya? Upaya mitigasi menjadi mahal, alokasi sumber daya salah sasaran, dan hasil akhir tidak selaras dengan tujuan strategis organisasi.

Kenapa Konteks Itu Jantungnya Manajemen Risiko?  

Dalam kerangka standar internasional, ISO 31000:2018 menegaskan sebuah langkah awal yang lebih komprehensif, yakni diawali dengan penetapan ruang lingkup, konteks, dan kriteria. Ketiga elemen ini wajib saling terkait.

Artinya, konteks yang didefinisikan harus relevan, spesifik, dan mendukung ruang lingkup yang ditetapkan, sekaligus menjadi dasar pijakan untuk menentukan kriteria risiko yang akan digunakan. Sebagai contoh, jika ruang lingkup hanya mencakup operasional harian, konteks yang dipetakan tidak perlu terlalu fokus pada tren geopolitik global, kecuali tren tersebut memiliki dampak langsung yang jelas.

Tahap penetapan konteks pada dasarnya adalah proses pendefinisian parameter dasar, yaitu upaya memahami lingkungan—internal dan eksternal—tempat manajemen risiko akan diterapkan.

Konteks (internal dan eksternal), jika diringkas, adalah lingkungan hidup organisasi. Di sinilah organisasi berusaha keras untuk mendefinisikan dan mencapai tujuannya. Oleh karena itu, penetapan konteks ini terikat erat dengan tujuan organisasi, strategi besar, batasan ruang lingkup, dan parameter-parameter kunci lain yang akan memandu seluruh proses pengelolaan risiko.

Proses ini secara eksplisit menunjukkan hubungan timbal balik antara risiko yang dikelola dengan lingkungan sekitarnya, dengan proses manajemen risiko itu sendiri, dan dengan standar atau kriteria risiko yang diadopsi. Tanpa langkah ini, kriteria risiko yang ditetapkan (seperti tingkat akseptabilitas risiko) bisa jadi terlalu longgar atau terlalu ketat, sehingga tidak mencerminkan realitas yang dihadapi organisasi.

Tujuan utama penetapan konteks manajemen risiko adalah mengidentifikasi dan mengungkapkan secara transparan:

• Sasaran organisasi.
• Lingkungan tempat sasaran itu harus dicapai.
• Pihak-pihak berkepentingan (stakeholders).
• Keberagaman kriteria risiko.

Semua elemen ini bekerja sama untuk membantu mengungkapkan dan menilai sifat serta kompleksitas risiko yang sedang dihadapi.

Bagi seorang praktisi, pemahaman konteks risiko (internal dan eksternal) menjadi fondasi yang tak terhindarkan karena tiga alasan mendasar:

1. Relevansi Tujuan: Manajemen risiko harus selalu beroperasi dalam konteks tujuan spesifik organisasi. Jika tujuan strategis tidak dipahami, risiko yang dikelola mungkin tidak relevan dengan keberlangsungan bisnis.
2. Faktor Organisasi Sebagai Sumber Risiko: Seringkali, faktor internal organisasi (seperti budaya yang buruk, struktur yang kaku, atau kurangnya kapabilitas sumber daya) bisa menjadi sumber risiko utama yang jauh lebih berbahaya daripada ancaman eksternal yang terlihat jelas.
3. Keselarasan Strategi: Tujuan dan ruang lingkup manajemen risiko harus terhubung erat dengan tujuan organisasi secara keseluruhan. Hal ini memastikan manajemen risiko adalah fungsi strategis, bukan sekadar unit kepatuhan yang berdiri sendiri.

Baca juga : ISO 31000 x COSO: Kerangka Risiko dan 4 Pilar Praktis

Memetakan Lingkungan: Konteks Eksternal dan Internal

Dalam menyusun arsitektur manajemen risiko yang kredibel, kita harus menetapkan konteks dengan memahami lingkungan eksternal dan internal tempat organisasi beroperasi. Konteks ini harus secara akurat merefleksikan lingkungan spesifik dari kegiatan yang akan dikenai proses manajemen risiko.

Konteks Eksternal: Membaca Arah Angin dan Badai di Luar Sana

Memahami konteks eksternal berarti kita melakukan analisis pengaruh perubahan lingkungan luar dan menganalisis persepsi serta perilaku para pemangku kepentingan eksternal. Ini adalah upaya membaca masa depan terdekat organisasi kita—memahami tren, perubahan regulasi, dinamika pasar, dan ekspektasi publik yang terus bergerak.

Sebuah pemahaman yang kuat terhadap lingkungan eksternal memungkinkan kita untuk tidak hanya bereaksi terhadap perubahan, tetapi juga untuk mengantisipasi dan bahkan memanfaatkannya.

Faktor-faktor yang membentuk konteks eksternal sangatlah beragam dan saling terkait, meliputi:

1. Faktor Makro (Lingkup Global, Nasional, Regional, Lokal)

Kategori Faktor Eksternal	Penjelasan Mendalam bagi Praktisi	Contoh Dampak Risiko
Sosial dan Budaya	Meliputi demografi, tren gaya hidup, nilai-nilai, dan sensitivitas masyarakat. Perubahan norma sosial dapat memengaruhi penerimaan produk atau layanan, atau bahkan citra organisasi.	Risiko reputasi (jika tidak peka terhadap isu sensitif lokal); risiko pasar (jika tren konsumen bergeser cepat).
Politik dan Hukum/Regulasi	Mencakup stabilitas pemerintahan, kebijakan publik, dan kerangka hukum yang berlaku, termasuk perubahan undang-undang dan peraturan sektoral.	Risiko kepatuhan (denda, sanksi); risiko operasional (perizinan yang tertunda); risiko investasi (perubahan kebijakan fiskal).
Keuangan dan Ekonomi	Inflasi, suku bunga, nilai tukar mata uang, pertumbuhan ekonomi, dan daya beli. Ini memengaruhi struktur biaya, pendapatan, dan akses ke modal.	Risiko likuiditas; risiko kredit; risiko harga bahan baku yang tidak terduga.
Teknologi	Inovasi baru, disrupsi digital, ancaman siber, dan kecepatan adopsi teknologi oleh kompetitor maupun konsumen.	Risiko keamanan data; risiko obsolesensi (ketinggalan teknologi); risiko kegagalan sistem.
Lingkungan (Environmental)	Isu keberlanjutan, perubahan iklim, tuntutan akan praktik green business, dan pengelolaan sumber daya alam.	Risiko bencana alam (terutama di sektor pertanian atau industri berbasis alam); risiko regulasi karbon/emisi.
Faktor Alam (Khusus Pertanian)	Bagi organisasi yang sangat tergantung pada kondisi alam (seperti sektor agribisnis), cuaca ekstrem, hama, dan perubahan iklim mikro adalah risiko utama yang harus dianalisis secara spesifik.	Risiko gagal panen; risiko kerusakan rantai pasok akibat banjir atau kekeringan berkepanjangan.

3. Penggerak dan Tren Utama
   Selain faktor makro, kita perlu mengidentifikasi penggerak dan tren utama yang secara spesifik memengaruhi sasaran organisasi. Ini adalah variabel-variabel dinamis yang dapat mengubah peta persaingan dalam jangka menengah. Misalnya, jika sasaran organisasi adalah menjadi pemimpin pasar di Asia Tenggara, maka kita harus memantau tren investasi regional, perjanjian perdagangan bebas, dan pergeseran fokus manufaktur antarnegara. Ini adalah risiko strategis yang harus dipetakan sejak awal.
4. Hubungan dan Harapan Pemangku Kepentingan Eksternal
   Persepsi dan nilai-nilai stakeholder eksternal (pelanggan, pemasok, regulator, komunitas, investor) sangat penting. Manajemen risiko harus memahami apa yang mereka harapkan dan bagaimana hubungan kontraktual kita diatur. Ketidaksesuaian antara kinerja organisasi dengan harapan stakeholder dapat memicu risiko reputasi, legal, atau finansial. Kita harus proaktif mendefinisikan apa yang penting bagi mereka, bukan hanya bagi kita.
5. Kompleksitas dan Dependensi Jaringan
   Jaringan hubungan bisnis saat ini makin kompleks. Organisasi modern tidak berdiri sendiri; ia adalah bagian dari rantai nilai dan jaringan yang saling bergantung (dependensi). Risiko tidak hanya datang dari internal, tetapi juga dari kegagalan mitra, pemasok tingkat dua, atau infrastruktur publik. Menganalisis kompleksitas jaringan ini—seberapa erat dan seberapa kritisnya hubungan tersebut—adalah prasyarat untuk manajemen risiko rantai pasok yang efektif.

Konteks Internal: Mengukur Kekuatan dan Kerentanan Diri

Jika konteks eksternal adalah membaca peta, maka konteks internal adalah mengukur alat, bahan bakar, dan kondisi awak kapal kita sendiri. Pemahaman yang mendalam tentang lingkungan internal memastikan bahwa proses manajemen risiko kita selaras sepenuhnya dengan budaya, proses kerja, dan struktur yang sudah ada dalam organisasi.

Kegagalan dalam menyelaraskan manajemen risiko dengan konteks internal sering kali menjadi alasan utama mengapa kebijakan risiko hanya berakhir sebagai dokumen yang berdebu. Manajemen risiko harus menjadi bahasa sehari-hari, terintegrasi ke dalam pengambilan keputusan, bukan sesuatu yang dilakukan secara terpisah.

Faktor-faktor internal yang harus diperiksa secara teliti meliputi:

1. Arah dan Nilai Organisasi

Faktor Internal	Fokus Praktisi	Implikasi Terhadap Risiko
Visi, Misi, dan Nilai	Memahami komitmen fundamental organisasi. Ini adalah cerminan dari identitas dan tujuan jangka panjang.	Visi menentukan tingkat risiko yang bersedia diambil (risiko strategis). Nilai menentukan batasan perilaku dan etika, yang merupakan fondasi risiko kepatuhan dan integritas.
Strategi, Sasaran, dan Kebijakan	Rencana implementasi visi dan misi. Sasaran adalah target yang akan dicapai, dan kebijakan adalah aturan mainnya.	Risiko operasional dan finansial timbul jika sasaran terlalu ambisius tanpa dukungan strategi yang realistis. Kebijakan yang tidak jelas atau bertentangan adalah sumber risiko kepatuhan internal.

2. Struktur dan Budaya Kerja

Faktor Internal	Fokus Praktisi	Implikasi Terhadap Risiko
Tata Kelola, Struktur, Peran, dan Akuntabilitas	Bagaimana keputusan dibuat, siapa bertanggung jawab atas apa, dan bagaimana alur pelaporan risiko bekerja.	Risiko tata kelola (mis. konflik kepentingan); risiko pelaporan (informasi risiko tidak sampai ke level atas); risiko ketiadaan pemilik risiko yang jelas (risk owner).
Persepsi, Nilai, dan Budaya Organisasi	Bagaimana risiko dipandang oleh karyawan. Apakah lingkungan mendorong pelaporan kesalahan (blame-free) atau justru menghukum? Ini adalah faktor internal yang paling memengaruhi.	Risiko budaya (toleransi risiko yang tidak konsisten, penyembunyian kerugian, atau sikap apatis terhadap kontrol).
Standar, Panduan, dan Model yang Diadopsi	Standar kualitas, kerangka kerja risiko (seperti COSO ERM), atau model operasional yang digunakan organisasi.	Risiko inefisiensi (jika standar terlalu banyak atau saling tumpang tindih); risiko non-kepatuhan terhadap standar industri yang dianut.

3. Sumber Daya dan Operasional

Faktor Internal	Fokus Praktisi	Implikasi Terhadap Risiko
Kapabilitas (Sumber Daya dan Pengetahuan)	Penilaian atas modal finansial, waktu, sumber daya manusia (kompetensi), kekayaan intelektual, sistem, dan teknologi yang dimiliki.	Risiko kapabilitas (kekurangan SDM yang terampil); risiko sistem (sistem IT yang usang); risiko finansial (modal yang tidak cukup untuk investasi kritis).
Data, Sistem Informasi, dan Alir Komunikasi	Bagaimana data kritis dikumpulkan, dianalisis, dan dikomunikasikan di seluruh organisasi.	Risiko informasi (data yang tidak akurat); risiko komunikasi (kegagalan penyampaian peringatan risiko secara tepat waktu).
Hubungan Internal dan Interdependensi	Hubungan antar-departemen, persepsi mereka tentang satu sama lain, komitmen kontraktual internal, dan seberapa besar ketergantungan satu bagian pada bagian lain.	Risiko interdependensi (kegagalan satu departemen melumpuhkan yang lain); risiko konflik (prioritas yang saling bertabrakan antar unit kerja).

Dengan memetakan kedua konteks ini secara komprehensif, organisasi mendapatkan lensa pandang 360 derajat. Kita tahu apa yang harus dicapai (tujuan), apa yang memengaruhinya dari luar (eksternal), dan alat apa yang kita miliki untuk mencapai tujuan tersebut (internal). Inilah yang membuat manajemen risiko menjadi strategis, bukan hanya taktis.

Baca juga : 10 Cara Mengukur dan Mengelola Risiko dengan ISO 31000 dalam Bisnis Anda

Menentukan Siapa yang Berhak Bersuara: Penetapan Stakeholders

Setelah ruang lingkup risiko ditetapkan, diikuti dengan analisis lingkungan internal dan eksternal, langkah selanjutnya yang tak terpisahkan adalah menentukan pihak-pihak atau stakeholders yang berkepentingan. Pemangku kepentingan ini tidak hanya meliputi mereka yang terpengaruh oleh risiko, tetapi juga mereka yang memiliki kekuatan untuk memengaruhi upaya pengelolaan risiko kita.

Identifikasi stakeholder harus disesuaikan dengan jenis dan lingkup organisasi. Misalnya, dalam konteks organisasi pendidikan tinggi, stakeholder yang terkait dengan proses manajemen risiko jauh lebih beragam dan kompleks daripada perusahaan komersial biasa.

Ambil contoh organisasi perguruan tinggi seperti yang digambarkan sebelumnya:

Kategori Stakeholder	Kepentingan Kritis dalam Konteks Risiko	Potensi Risiko yang Mereka Timbulkan/Hadapi
Mahasiswa	Kualitas pendidikan, fasilitas, keamanan kampus, relevansi lulusan.	Risiko penurunan kualitas layanan (jika fasilitas buruk); risiko reputasi (jika ada isu keamanan); risiko non-akademik (demonstrasi, masalah sosial).
Tenaga Pendidik (Dosen)	Beban kerja, riset, jenjang karir, ketersediaan dana penelitian.	Risiko retensi (dosen berkualitas pindah); risiko kualitas akademik (jika fokus riset menurun); risiko konflik kepentingan.
Tenaga Kependidikan	Proses administrasi yang efisien, kesejahteraan, kejelasan peran.	Risiko operasional (layanan administrasi lambat); risiko kapabilitas (kurangnya pelatihan/kompetensi).
Institusi (IPB)	Pencapaian indikator kinerja utama (IKU), akreditasi, citra.	Risiko strategis (gagal mencapai IKU); risiko finansial (ketidakmampuan mengelola aset).
Kemenristekdikti	Kepatuhan regulasi nasional, kualitas pendidikan tinggi secara makro.	Risiko regulasi; risiko sanksi administratif; risiko pemotongan alokasi dana publik.
Badan Akreditasi (BAN PT, Internasional)	Kepatuhan terhadap standar kualitas, pengakuan.	Risiko akreditasi turun; risiko kehilangan kepercayaan internasional.
Pengguna Lulusan (Industri/Perusahaan)	Ketersediaan lulusan yang kompeten dan sesuai dengan kebutuhan pasar kerja.	Risiko relevansi kurikulum; risiko reputasi (jika lulusan dinilai tidak siap kerja).
Masyarakat Umum	Kontribusi sosial, citra kampus, peran dalam pembangunan daerah.	Risiko sosial (konflik dengan komunitas sekitar); risiko lingkungan.

Seorang praktisi harus melakukan lebih dari sekadar mendaftar. Kita harus menganalisis kekuatan dan kepentingan setiap pihak. Siapa yang memiliki pengaruh terbesar terhadap sasaran kita? Siapa yang paling terpengaruh oleh risiko yang kita hadapi? Analisis ini akan membantu kita memprioritaskan komunikasi risiko dan strategi mitigasi. Misalnya, risiko penurunan akreditasi jelas memiliki kepentingan tinggi bagi Kemenristekdikti, BAN PT, dan institusi itu sendiri, sehingga membutuhkan perhatian dan sumber daya mitigasi yang jauh lebih besar daripada, katakanlah, risiko keterlambatan pengiriman snack rapat.

Teknik Praktis Penetapan Konteks

Setelah kita tahu apa yang harus dilihat (konteks internal dan eksternal) dan siapa yang harus diajak bicara (stakeholder), langkah selanjutnya adalah bagaimana cara kita mengumpulkan dan memvalidasi informasi tersebut. Penetapan konteks bukanlah pekerjaan meja; ia memerlukan kombinasi dari berbagai teknik untuk mendapatkan gambaran yang holistik dan terverifikasi.

Pada dasarnya, tidak ada satu pun teknik tunggal yang sempurna. Metode penetapan konteks risiko yang efektif selalu merupakan kombinasi dari beberapa teknik yang disesuaikan dengan budaya dan ukuran organisasi.

Berikut adalah beberapa teknik yang dapat digunakan, dilengkapi dengan panduan praktis:

1. Melakukan Review Struktur dan Bagan Organisasi
   Ini adalah langkah paling dasar dan wajib. Kita perlu meninjau secara kritis bagaimana organisasi diatur. Tujuannya adalah untuk memahami formalitas tata kelola.

   Panduan Praktis:

• • Identifikasi Pemilik Risiko: Siapa yang bertanggung jawab atas setiap fungsi utama? Kejelasan peran dan akuntabilitas adalah kontrol risiko yang paling mendasar.
  • Analisis Hierarki: Seberapa panjang rantai komando? Struktur yang terlalu panjang bisa menjadi risiko komunikasi dan pengambilan keputusan yang lambat.
  • Deteksi Konflik Peran: Apakah ada peran yang secara inheren memiliki konflik kepentingan? Misalnya, unit yang menghasilkan pendapatan sekaligus bertanggung jawab penuh atas kontrol internalnya. Struktur seperti ini adalah bom waktu risiko.

2. Melakukan Wawancara atau Diskusi Kelompok dengan Pihak Terkait (Stakeholder)
   Dokumen dan bagan hanya menunjukkan cerita formal. Untuk mendapatkan suasana sesungguhnya—persepsi, nilai, dan budaya—kita harus berinteraksi langsung. Wawancara mendalam atau diskusi kelompok terarah (focus group discussion) dengan stakeholder internal dan eksternal adalah cara terbaik.

   Panduan Praktis:

• • Internal: Wawancarai pimpinan senior untuk mendapatkan pandangan strategis, manajer lini untuk detail operasional, dan staf pelaksana untuk memahami proses sehari-hari. Tanyakan, “Apa yang membuat Anda terjaga di malam hari?” atau “Jika ada satu hal yang bisa Anda perbaiki besok, apa itu?” Ini akan mengungkapkan risiko yang tersembunyi.
  • Eksternal: Wawancara dengan pelanggan kunci, regulator, atau pemasok strategis dapat mengungkapkan risiko eksternal yang mungkin tidak terlihat dari internal (misalnya, persepsi negatif tentang layanan).

3. Melakukan Benchmarking
   Benchmarking adalah proses membandingkan praktik, proses, dan kinerja manajemen risiko organisasi kita dengan organisasi lain yang dianggap sebagai yang terbaik di kelasnya (baik di industri yang sama maupun industri yang berbeda).

   Panduan Praktis:

• • Tujuan: Jangan hanya membandingkan apa yang mereka lakukan, tetapi bagaimana mereka melakukannya. Fokus pada praktik terbaik dalam tata kelola risiko, kriteria akseptabilitas risiko, dan struktur pelaporan.
  • Relevansi: Pastikan perbandingan itu relevan. Membandingkan bank kecil dengan bank multinasional, misalnya, mungkin tidak menghasilkan pelajaran yang aplikatif. Lebih baik membandingkan dengan organisasi yang memiliki kompleksitas bisnis atau regulasi yang serupa.

4. Melakukan Self Assessment (Penilaian Mandiri)
   Penilaian mandiri melibatkan penggunaan kuesioner terstruktur atau lokakarya untuk memungkinkan berbagai tingkatan dalam organisasi menilai sendiri tingkat pemahaman, kepatuhan, atau kesiapan mereka terhadap risiko.
   Panduan Praktis:

• • Risk and Control Self-Assessment (RCSA): Ini adalah alat yang sangat umum. Kita meminta pemilik proses untuk mengidentifikasi risiko utama dalam proses mereka dan menilai efektivitas kontrol yang sudah ada. Hasilnya tidak hanya data, tetapi juga menumbuhkan rasa kepemilikan risiko di tingkat lini.
  • Penilaian Budaya Risiko: Gunakan survei anonim untuk mengukur seberapa terbuka karyawan untuk melaporkan risiko dan seberapa jelas mereka memahami risiko apa yang tidak boleh diambil organisasi.

5. Melakukan Penelaahan Dokumen Organisasi
   Sejumlah besar informasi penting telah terekam dalam dokumen formal organisasi. Ini adalah sumber data yang objektif dan terstruktur untuk memvalidasi temuan kualitatif.
   
   Panduan Praktis:

• • Dokumen Kunci: Tinjau Rencana Strategis Jangka Panjang (RJP) dan Rencana Kerja Tahunan (RKT) untuk mengonfirmasi tujuan utama. Tinjau dokumen Kepatuhan (SOP, Pedoman) untuk memahami batasan operasional. Laporan keuangan dan audit internal dapat memberikan petunjuk tentang area kelemahan kontrol historis.
  • Mencari Gap: Bandingkan dokumen formal (apa yang seharusnya terjadi) dengan realitas yang ditemukan melalui wawancara dan self assessment (apa yang sebenarnya terjadi). Kesenjangan (gap) ini sering kali merupakan risiko budaya atau operasional yang perlu segera diatasi.

Mengintegrasikan Konteks dengan Kriteria Risiko

Penetapan konteks adalah persiapan medan perang. Setelah medan perang dipetakan, kita harus menentukan aturan main—itulah kriteria risiko. Kriteria ini adalah tolok ukur yang akan digunakan untuk mengevaluasi signifikansi risiko yang teridentifikasi, dan apakah risiko tersebut dapat diterima atau tidak.

Kita tidak bisa menentukan kriteria tanpa konteks, karena kriteria harus mencerminkan:

1. Tujuan Organisasi: Kriteria harus sensitif terhadap kegagalan mencapai sasaran utama yang telah didefinisikan dalam konteks internal.
2. Kepentingan Stakeholders: Tingkat toleransi risiko tertentu (misalnya, risiko reputasi) mungkin sangat rendah karena tuntutan stakeholder eksternal (misalnya regulator atau media), yang diidentifikasi melalui konteks eksternal.
3. Keterbatasan Kapabilitas: Kriteria risiko yang ambisius (misalnya, menoleransi sangat sedikit risiko operasional) harus realistis, mengingat kapabilitas sumber daya (modal, SDM) yang telah dipetakan dalam konteks internal.

Contoh sederhananya, jika organisasi beroperasi di sektor yang sangat diatur (didefinisikan dalam konteks eksternal), maka kriteria risikonya harus menetapkan bahwa risiko kepatuhan (compliance risk) adalah risiko yang tidak dapat diterima (intolerable). Sebaliknya, jika organisasi berada di industri start-up yang cepat tumbuh dan memiliki modal ventura besar (konteks internal), mungkin kriteria risikonya lebih tinggi dalam hal risiko pasar yang inovatif, asalkan potensi imbal hasilnya sepadan.

Baca juga  : Integrasi ISO 55001 dan ISO 31000: Mengapa Kedua Standar Ini Penting dalam Manajemen Aset dan Risiko

Ringkasan Panduan Praktis untuk Profesional Risiko

Bagi profesional yang bertanggung jawab memastikan bahwa manajemen risiko organisasi berjalan optimal, penetapan konteks bukanlah tugas sprint satu kali, melainkan marathon berkelanjutan yang harus ditinjau ulang secara berkala.

Kita tidak bisa membiarkan pemahaman kita tentang lingkungan internal dan eksternal membeku. Ketika pandemi global datang, atau ketika terjadi perubahan regulasi tiba-tiba, konteks organisasi berubah secara drastis, dan seluruh arsitektur risiko harus segera menyesuaikan diri.

Tiga Poin Kunci untuk Selalu Diingat:

1. Holistik adalah Mutlak: Jangan pernah memisahkan analisis internal dari eksternal. Keduanya adalah dua sisi dari mata uang yang sama. Risiko siber (eksternal) akan jauh lebih fatal jika ditangani oleh kapabilitas IT yang lemah (internal).
2. Budaya Risiko adalah Konteks Internal Paling Utama: Sehebat apa pun sistem dan prosedurnya, jika budaya organisasi tidak mendukung transparansi dan akuntabilitas risiko, semuanya akan sia-sia. Luangkan waktu untuk memahami persepsi dan nilai-nilai yang membentuk perilaku sehari-hari.
3. Dokumentasi dan Komunikasi: Penetapan konteks yang baik harus menghasilkan dokumen yang hidup, jelas, dan dapat dikomunikasikan ke seluruh jajaran manajemen. Ini adalah cara terbaik untuk memastikan bahwa semua orang—dari dewan direksi hingga staf lini—berada pada halaman yang sama tentang risiko apa yang penting dan mengapa.

Intinya, dalam manajemen risiko, memulai dengan benar adalah separuh dari pertempuran. Dan memulai dengan benar berarti meluangkan waktu, sumber daya, dan pemikiran strategis untuk mendefinisikan dengan presisi: Di mana posisi kita sekarang? Siapa kita sebenarnya? Dan ke mana arah kita melangkah? Jawablah tiga pertanyaan ini dengan alat analisis konteks yang memadai, dan Anda telah membangun pondasi yang kokoh untuk sistem manajemen risiko yang tangguh dan adaptif.

FAQ: Fondasi Konteks dalam Manajemen Risiko

Berikut adalah beberapa pertanyaan umum (FAQ) yang sering muncul seputar penetapan konteks internal dan eksternal dalam kerangka kerja manajemen risiko:

1. Apa sebenarnya yang dimaksud dengan Penetapan Konteks Risiko?
   Penetapan konteks risiko adalah proses fundamental untuk mendefinisikan parameter dasar dalam pengelolaan risiko. Ini bertujuan memberikan pemahaman yang jelas mengenai lingkungan—baik internal maupun eksternal—di mana manajemen risiko akan diterapkan. Jika diringkas, konteks adalah lingkungan hidup organisasi di mana ia berupaya mendefinisikan dan mencapai tujuannya.
2. Mengapa penetapan konteks ini dianggap sangat penting dan tidak boleh dilewati?
   Pemahaman konteks adalah fondasi tak terhindarkan bagi seorang praktisi karena beberapa alasan utama. Pertama, manajemen risiko selalu beroperasi dalam konteks tujuan dan kegiatan spesifik organisasi, sehingga memastikan relevansi tujuan. Kedua, faktor-faktor internal organisasi itu sendiri seringkali menjadi sumber risiko yang utama. Terakhir, penetapan konteks menjamin tujuan dan ruang lingkup proses manajemen risiko terhubung erat dan selaras dengan tujuan strategis organisasi secara keseluruhan.
3. Apa tujuan utama yang ingin dicapai melalui penetapan konteks manajemen risiko?
   Tujuan utamanya adalah mengidentifikasi dan mengungkapkan secara transparan sasaran organisasi, lingkungan tempat sasaran harus dicapai, siapa saja pihak-pihak yang berkepentingan (stakeholders), dan keberagaman kriteria risiko. Hal-hal ini secara kolektif akan membantu kita mengungkapkan dan menilai sifat serta kompleksitas risiko yang sedang dihadapi.
4. Faktor-faktor apa saja yang harus dipertimbangkan saat menganalisis Konteks Eksternal?
   Konteks eksternal meliputi analisis pengaruh perubahan lingkungan luar, analisis persepsi, dan perilaku para pemangku kepentingan eksternal. Faktor-faktor kuncinya mencakup:

• • Faktor makro seperti sosial, budaya, politik, hukum, regulasi, keuangan, teknologi, ekonomi, dan lingkungan, baik di tingkat internasional, nasional, regional, maupun lokal.
  • Faktor alam, terutama relevan bagi organisasi yang bergerak di sektor pertanian.
  • Penggerak dan tren utama yang secara spesifik memengaruhi sasaran organisasi.
  • Hubungan, persepsi, nilai, kebutuhan, dan harapan dari pemangku kepentingan eksternal.
  • Kompleksitas dan tingkat ketergantungan jaringan (dependensi) serta hubungan kontraktual.

5. Apa saja elemen yang termasuk dalam analisis Konteks Internal organisasi?
   Analisis konteks internal memastikan proses manajemen risiko selaras dengan budaya, proses, dan struktur yang sudah ada dalam organisasi. Faktor-faktor yang harus diperiksa meliputi:

• • Arah dan Nilai: Visi, misi, nilai, strategi, sasaran, dan kebijakan organisasi.
  • Struktur dan Tata Kelola: Tata kelola, struktur organisasi, peran, dan akuntabilitas.
  • Budaya: Persepsi, nilai, dan budaya organisasi.
  • Standar: Standar, panduan, dan model yang diadopsi oleh organisasi.
  • Kapabilitas: Kapabilitas yang ditinjau dari sumber daya dan pengetahuan, seperti modal, waktu, SDM, kekayaan intelektual, proses, sistem, dan teknologi.
  • Informasi dan Komunikasi: Data, sistem informasi, dan alir komunikasi.
  • Hubungan Internal: Hubungan dengan pemangku kepentingan internal, interdependensi, dan interkoneksi.

6. Setelah menganalisis lingkungan internal dan eksternal, apa langkah selanjutnya dalam penetapan konteks risiko?
   Langkah selanjutnya adalah menetapkan pihak-pihak atau stakeholders yang berkepentingan, baik internal maupun eksternal. Identifikasi ini harus disesuaikan dengan jenis dan lingkup spesifik organisasi. Contohnya di perguruan tinggi, stakeholder dapat meliputi mahasiswa, dosen, tenaga kependidikan, badan akreditasi (BAN PT, Internasional), pengguna lulusan, hingga Kemenristekdikti.
7. Teknik atau metode praktis apa yang biasa digunakan para praktisi untuk menetapkan konteks risiko?
   Metode penetapan konteks risiko biasanya merupakan kombinasi dari beberapa teknik agar hasilnya holistik. Teknik-teknik yang dapat digunakan antara lain:

• • Melakukan review struktur dan bagan organisasi.
  • Melakukan wawancara atau diskusi kelompok dengan pihak terkait (stakeholder).
  • Melakukan benchmarking (membandingkan praktik dengan organisasi terbaik di kelasnya).
  • Melakukan self assessment (penilaian mandiri).
  • Melakukan penelaahan dokumen organisasi (misalnya rencana strategis, SOP, laporan keuangan).

8. Apa hubungan antara Penetapan Konteks Risiko dengan Kriteria Risiko?
   Kriteria risiko adalah tolok ukur yang digunakan untuk mengevaluasi signifikansi risiko dan menentukan apakah risiko tersebut dapat diterima atau tidak. Kriteria risiko harus ditentukan setelah konteks ditetapkan karena kriteria tersebut wajib mencerminkan:

• • Tujuan organisasi yang ditetapkan dalam konteks internal.
  • Kepentingan dan tingkat toleransi stakeholder eksternal (misalnya tuntutan regulator).
  • Keterbatasan kapabilitas sumber daya (modal, SDM) yang telah dipetakan dalam konteks internal.

9. Seberapa sering konteks risiko perlu ditinjau ulang?
   Penetapan konteks bukanlah tugas yang dilakukan satu kali, melainkan proses berkelanjutan (marathon). Konteks harus ditinjau ulang secara berkala, terutama ketika terjadi perubahan drastis pada lingkungan internal atau eksternal organisasi, misalnya perubahan regulasi yang tiba-tiba atau guncangan pasar global.
10. Apa tiga poin kunci yang wajib diingat oleh profesional risiko?
    Praktisi harus selalu mengingat tiga hal ini untuk memastikan sistem manajemen risiko berjalan optimal:

1. 1. Holistik adalah Mutlak: Jangan pisahkan analisis internal dan eksternal, karena keduanya saling memengaruhi (misalnya, risiko siber eksternal lebih fatal jika ditangani kapabilitas IT internal yang lemah).
   2. Budaya Risiko adalah Konteks Paling Utama: Sistem dan prosedur akan sia-sia jika budaya organisasi tidak mendukung transparansi dan akuntabilitas risiko.
   3. Dokumentasi dan Komunikasi: Konteks yang baik harus didokumentasikan dengan jelas dan dikomunikasikan secara efektif ke seluruh jajaran manajemen untuk memastikan semua orang sepakat tentang risiko mana yang penting.