Pengantar Manajemen Risiko — COSO ERM, ISO 31000, Risk Register dari Nol

Pada 23 Maret 2020, saat pemerintah Indonesia mengumumkan kasus COVID-19 pertama yang dipublikasikan secara luas dan aktivitas ekonomi tersedak karena PSBB, tiga perusahaan besar menghadapi guncangan yang sama dengan hasil yang berbeda. Sebuah bank swasta nasional, dalam waktu dua minggu, memindahkan 92 persen layanan nasabah ke kanal digital, menurunkan rasio kredit bermasalah (NPL) menjadi tetap di bawah 3 persen, dan mengamankan likuiditas lewat standby credit dari bank induk. Sebuah BUMN konstruksi, sebaliknya, terpaksa menghentikan 60 persen proyek, menanggung klaim force majeure dari owner, dan harus direstrukturisasi utangnya dua tahun kemudian. Sebuah pabrik tekstil ekspor di Bandung kehilangan 80 persen order dari Eropa dalam satu bulan, memberhentikan 1.200 pekerja, dan akhirnya tutup permanen.

Bukan kebetulan. Tiga perusahaan menghadapi risiko yang nyaris identik — pandemi, gangguan rantai pasok, pelemahan permintaan, gangguan operasi — tetapi hanya satu yang punya risk register, risk appetite statement, dan skenario kontingensi yang sudah disiapkan jauh sebelum krisis. Perbedaan itu bukan soal “keberuntungan” atau “ukuran perusahaan,” melainkan apakah manajemen risiko sudah tertanam sebagai proses berkelanjutan, bukan dokumen di rak.

Banyak orang awam — bahkan banyak mahasiswa bisnis dan ekonomi — mengira “manajemen risiko” berhenti di kalimat “beli asuransi” atau “diversifikasi portofolio.” Padahal asuransi hanyalah satu dari empat pilihan risk treatment (transfer), dan diversifikasi hanyalah satu teknik di antara belasan. Manajemen risiko modern adalah disiplin yang sudah diinstitusionalkan lewat dua kerangka global: COSO ERM 2017 (yang berasal dari dunia audit-tata kelola Amerika) dan ISO 31000:2018 (yang berasal dari komite teknis internasional ISO). Keduanya menjadi acuan POJK OJK, regulasi BUMN Kementerian BUMN, dan pedoman tata kelola Bursa Efek Indonesia.

Artikel ini membongkar manajemen risiko dari nol: definisi risiko yang benar (effect of uncertainty on objectives), dua kerangka global yang sering dianggap tumpang tindih padahal saling melengkapi, siklus hidup risk register (identifikasi → analisis → evaluasi → treatment → monitoring), perbedaan penting antara risk appetite dan risk tolerance, serta cara membaca heat map 5×5. Semua dijelaskan dengan studi kasus Indonesia: perbankan (POJK 18/2023 tentang SPPO, POJK BM), BUMN (TPMS-BUMN Kementerian BUMN), dan manufaktur (risiko rantai pasok, FX, kepatuhan).

Apa Itu Risiko — Definisi yang Benar

Kesalahpahaman paling umum: risiko disamakan dengan ancaman atau kerugian. Padahal definisi formal ISO 31000:2018 menyatakan:

Risk = effect of uncertainty on objectives.

(Risiko adalah pengaruh ketidakpastian terhadap pencapaian tujuan.)

Tiga elemen definisi ini penting untuk diurai:

1. Effect — bisa positif (peluang), negatif (ancaman), atau campuran. Banyak praktisi awam hanya memikirkan sisi negatif. COSO dan ISO 31000 secara eksplisit memasukkan upside risk (opportunity). Contoh: peluang baru di pasar EV adalah risk dalam pengertian ini — ada ketidakpastian, ada potensi dampak pada tujuan, bisa positif.
2. Uncertainty — keadaan di mana informasi, pemahaman, atau pengetahuan tentang suatu peristiwa, konsekuensi, atau likelihood berkurang. Risiko ada karena kita tidak tahu pasti apa yang akan terjadi. Bukan sekadar “sesuatu yang buruk sudah pasti terjadi.”
3. On objectives — tanpa tujuan, tidak ada risiko. Risiko selalu relatif terhadap sasaran. Risiko bagi perusahaan dengan target laba Rp 100 miliar berbeda dari risiko bagi perusahaan dengan target Rp 1 triliun. Karena itu langkah pertama manajemen risiko selalu: tetapkan tujuan dulu.

Dari definisi itu lahir rumus operasional yang dipakai seluruh praktisi:

$$\text{Risk} = f(\text{Likelihood}, \text{Impact})$$

atau dalam bentuk perkalian paling sederhana:

$$\text{Risk Score} = L \times I$$

di mana $L$ = likelihood (probabilitas terjadinya, biasanya 1-5) dan $I$ = impact/konsekuensi (besaran dampak kalau terjadi, biasanya 1-5). Skor 1-25 itulah yang dipetakan ke heat map. Perlu dicatat: bentuk $L \times I$ hanya proxy. Manajemen risiko modern melengkapinya dengan Expected Loss:

$$EL = PD \times LGD \times EAD$$

di mana $PD$ = Probability of Default, $LGD$ = Loss Given Default, dan $EAD$ = Exposure at Default — formula dasar Basel II/III untuk risiko kredit yang juga dipakai OJK.

Lima Kategori Risiko Korporasi

Sebelum masuk kerangka, klasifikasi risiko korporasi versi praktik global (COSO, ISO, dan RIMS):

Lima kategori ini saling tumpang tindih. Skandal pencucian uang (compliance) yang viral (reputational) memicu penarikan dana (financial/likuiditas) yang memaksa penjualan aset dengan rugi (financial) — risiko jarang berdiri sendiri. Karena itu COSO dan ISO 31000 menekankan agregasi risiko (risk aggregation) dan analisis koefisien korelasi antar risiko.

Siapa Yang Menjalankan — Tata Kelola Risiko

Manajemen risiko bukan tugas satu departemen. Tata kelola yang sehat mengikuti struktur tiga garis (Three Lines Model The Institute of Internal Auditors, 2020):

1. Garis 1 — Operasi (operating management) mengidentifikasi, menilai, dan mengelola risiko harian. Contoh: kepala cabang bank mengelola risiko kredit mikro; manajer pabrik mengelola risiko keselamatan kerja.
2. Garis 2 — Spesialis risiko & kepatuhan (risk management, compliance, quality, EHS) menetapkan kerangka, mengevaluasi, dan memberi dukungan ahli. Contoh: Chief Risk Officer (CRO) bank, Corporate Secretary untuk kepatuhan, internal control BUMN.
3. Garis 3 — Audit internal memberikan assurance independen kepada dewan komisaris/direksi bahwa Garis 1 dan 2 berjalan.

Di atas ketiga garis itu: Dewan Komisaris (lewat Komite Audit dan Komite Manajemen Risiko) memberi pengawasan independen, dan Direksi bertanggung jawab atas implementasi. Untuk perusahaan publik di Indonesia, struktur ini diatur POJK 16/2014 jo. POJK 17/2020 tentang GCG Perusahaan Terbuka, yang mewajibkan Komite Audit dan (jika perlu) Komite Manajemen Risiko.

COSO ERM 2017 — 5 Komponen dan 20 Prinsip

COSO (Committee of Sponsoring Organizations of the Treadway Commission) adalah inisiatif lima organisasi profesi akuntansi/audit Amerika, didirikan 1985 untuk menanggulangi fraud pelaporan keuangan. Pada 2004 COSO merilis Enterprise Risk Management — Integrated Framework, lalu memperbaruinya pada 2017 menjadi COSO ERM 2017: Aligning Risk with Strategy and Performance. Pergeseran judul itu penting: COSO ERM 2017 memindahkan fokus dari “kontrol” ke “strategi dan kinerja.”

Inti COSO ERM 2017 adalah 5 komponen (components) yang diuraikan menjadi 20 prinsip (principles). Versi ringkas:

Komponen 1 — Governance & Culture (5 prinsip)

1. Membawa dewan komisaris ke pengawasan risiko atas strategi.
2. Menetapkan struktur operasi dan budaya risiko.
3. Menjelaskan komitmen terhadap nilai inti.
4. Menarik, mengembangkan, dan mempertahankan talenta risiko.
5. Membangun budaya risiko di seluruh organisasi.

Komponen 2 — Strategy & Objective-Setting (4 prinsip)

6. Menganalisis konteks bisnis (eksternal/internal).
7. Menentukan risk appetite (selera risiko organisasi).
8. Mengevaluasi strategi alternatif (risk-return trade-off).
9. Merumuskan tujuan bisnis yang menempatkan risiko di pusat.

Komponen 3 — Performance (5 prinsip)

10. Mengidentifikasi risiko.
11. Menilai tingkat keparahan risiko.
12. Memprioritaskan risiko.
13. Mengidentifikasi dan memilih tanggapan risiko (risk response).
14. Mengembangkan portfolio view (agregasi risiko).

Komponen 4 — Review & Revision (4 prinsip)

15. Menilai perubahan substantif.
16. Meninjau ulang risiko dan kinerja.
17. Mengejar peningkatan (pursue improvement).

Komponen 5 — Information, Communication & Reporting (3 prinsip)

18. Memanfaatkan teknologi informasi dan data.
19. Mengomunikasikan informasi risiko.
20. Melaporkan risiko, budaya, dan kinerja.

Catatan: Prinsip 15-17 berada di Komponen 4 yang dalam beberapa versi ringkas publikasi COSO memang mengandung 3-4 prinsip; COSO ERM 2017 resmi mendaftar 20 prinsip dengan rincian 5-4-5-4-2 (atau 5-4-5-4-3 menurut beberapa edisi revisi minor). Yang penting: kerangka itu berpusat pada strategi dan kinerja, bukan sekadar daftar kontrol.

Pergeseran COSO 2004 → 2017

Beberapa perubahan kunci dari versi 2004:

• Dari kontrol ke strategi — risiko dibahas di rapat strategi, bukan hanya audit.
• Dari event-based ke objective-based — risiko diukur dampaknya ke tujuan, bukan sekadar daftar event.
• Risk appetite dikedepankan — sebelum menilai risiko, organisasi harus tahu berapa banyak risiko yang mau diterima.
• Portfolio view — risk dilihat sebagai portofolio agregat, bukan daftar terpisah.

Penerapan COSO di Indonesia

POJK OJK tentang manajemen risiko perbankan (mulai POJK 5/2013, kini sebagian digantikan POJK 18/2023 untuk SPPO dan POJK-POJK sektoral) banyak mengadopsi struktur COSO. BUMN menerapkan COSO via Pedoman Tata Kelola BUMN Kementerian BUMN (SK MenBUMN) yang mewajibkan Tim Manajemen Risiko Satuan Kerja (TMRSK) di setiap BUMN dan anak usaha.

ISO 31000:2018 — Tiga Lapisan Kerangka

ISO 31000 pertama kali dirilis 2009 sebagai standar internasional manajemen risiko, lalu direvisi signifikan pada 2018. Versi 2018 lebih ringkas, lebih fokus pada prinsip, dan secara eksplisit menyatakan ISO 31000 bukan standar yang bisa disertifikasi (tidak seperti ISO 9001 atau ISO 27001) — ia adalah panduan (guidelines).

ISO 31000:2018 disusun dalam tiga lapisan konsentris: Principles → Framework → Process.

Lapisan 1 — 8 Principles (Prinsip)

Prinsip adalah why — nilai yang membuat manajemen risiko efektif. Delapan prinsip ISO 31000:2018:

1. Integrated — manajemen risiko adalah bagian dari semua aktivitas organisasi, bukan terpisah.
2. Structured and comprehensive — sistematis dan menyeluruh.
3. Customized — disesuaikan dengan konteks organisasi.
4. Inclusive — melibatkan semua stakeholder yang tepat.
5. Dynamic — antisipatif dan responsif terhadap perubahan.
6. Best available information — berdasarkan informasi terbaik yang tersedia (bukan menunggu sempurna).
7. Human and cultural factors — pertimbangkan perilaku manusia dan budaya.
8. ** continual improvement** — penyempurnaan berkelanjutan (PDCA).

Lapisan 2 — Framework (Kerangka Kerja)

Framework adalah how it’s organized — struktur tata kelola. ISO 31000:2018 menggunakan siklus PDCA (Plan-Do-Check-Act) yang familiar dari ISO 9001:

Komitmen kepemimpinan (leadership and commitment) adalah penekanan baru ISO 31000:2018 — tanpa dukungan dewan/direksi, manajemen risiko hanya jadi kertas.

Lapisan 3 — Process (Proses 7 Langkah)

Process adalah how risk is actually managed — siklus operasional yang dipakai tim risiko. ISO 31000:2018 mendefinisikan proses dalam 7 langkah:

              ┌──────────────────────────────────────────┐
              │   Communication & Consultation (sepanjang siklus)  │
              └──────────────────────────────────────────┘
   Scope,       Risk           Risk       Risk        Risk
   Context  → Identification → Analysis → Evaluation → Treatment
   (3.4)        (3.5)           (3.6)      (3.7)       (3.8)
                                                  │
                                                  ▼
                                          Monitoring, Review,
                                          Recording & Reporting
                                                  (3.9)

Detail tiap langkah:

1. Scope and context — tentukan batas (proyek, divisi, perusahaan), stakeholder, kriteria evaluasi (risk appetite, threshold), dan konteks eksternal/internal.
2. Risk identification — temukan risiko yang mungkin memengaruhi tujuan. Teknik: brainstorming, checklist, SWOT, scenario analysis, Hazard Operability (HAZOP), Failure Mode and Effects Analysis (FMEA).
3. Risk analysis — kuantifikasi likelihood dan impact. Bisa kualitatif (rendah-sedang-tinggi), semi-kuantitatif (skor 1-5), atau kuantitatif (probabilitas distribusi, Value at Risk, Monte Carlo).
4. Risk evaluation — bandingkan hasil analisis dengan kriteria (risk appetite). Hasil: prioritas risiko yang perlu treatment segera vs yang bisa diterima.
5. Risk treatment — pilih satu (atau kombinasi) dari 4T (Treat/Mitigate, Transfer, Tolerate/Accept, Terminate/Avoid). Bahas detail di bagian tersendiri.
6. Monitoring and review — risiko berubah, treatment kadang gagal. Pantau secara berkala (bulanan/kuartalan) via Key Risk Indicator (KRI).
7. Recording and reporting — dokumentasikan di risk register, laporkan ke manajemen dan dewan secara terjadwal.

Communication and consultation membungkus seluruh proses — dialog dengan stakeholder sejak awal, bukan di akhir.

COSO ERM vs ISO 31000 — Mana yang Dipakai

Pertanyaan yang sering muncul di diskusi C-suite Indonesia: “Kita mau pakai COSO atau ISO 31000?” Jawaban praktis: bukan salah satu, keduanya saling melengkapi.

Cara kerja yang umum di Indonesia: gunakan ISO 31000 sebagai metodologi proses (identifikasi → analisis → evaluasi → treatment) dan COSO ERM sebagai struktur tata kelola (5 komponen untuk lapor ke dewan). Implementasi hybrida ini tercermin di banyak dokumen Enterprise Risk Management Manual BUMN dan bank.

Risk Appetite vs Risk Tolerance — Beda yang Sering Tertukar

Dua istilah ini paling sering dipakai bergantian padahal berbeda tingkat.

Risk Appetite adalah jumlah dan jenis risiko yang organisasi bersedia kejar/terima demi mencapai tujuan strategis. Ia bersifat aspirational, kualitatif, ditetapkan di level dewan/direksi. Contoh: “Perusahaan berkomitmen pada growth agresif 15%/tahun dan bersedia menerima volatilitas laba ±10% serta NPL sampai 4%.”

Risk Tolerance adalah penyimpangan dari target yang masih dapat diterima di level operasional sebelum escalation terjadi. Ia bersifat operasional, kuantitatif, threshold berisi. Contoh: “NPL satu cabang maksimum 5%; bila mencapai 4,5% harus escalate ke kepala regional.”

Hubungan: risk appetite (level atas, kualitatif) → diterjemahkan jadi serangkaian risk tolerance (level bawah, kuantitatif) per KPI/KRI. Diagram hierarki:

Risk Appetite (aspirational, kualitatif, level Dewan/Direksi)
   │
   ├─► Risk Tolerance — Financial    (mis. ROE ≥ 12%, gearing ≤ 2×)
   ├─► Risk Tolerance — Operational  (mis. downtime IT < 0,5%/bln)
   ├─► Risk Tolerance — Compliance   (mis. 0 pelanggaran material)
   └─► Risk Tolerance — Reputational (mis. NPS ≥ 40, keluhan < 1‰)
              │
              ▼
       Key Risk Indicator (KRI) + threshold hijau/kuning/merah

Contoh Nyata — Risk Appetite Statement (RAS) Bank

Bank Indonesia dan OJK tidak menetapkan angka spesifik, tetapi praktik umum bank besar Indonesia menyusun RAS seperti ini (ilustratif, bukan kutipan):

Kolom tolerance inilah yang dipantau bulanan lewat dashboard CRO dan ditampilkan di Komite Risiko. Saat tolerance terlewati (status merah), otomatis memicu rapat escalation dan tindakan korektif.

Risk Register — Membangun dari Nol

Risk register (kadang disebut risk log) adalah dokumen tunggal yang mencatat seluruh risiko teridentifikasi beserta atributnya. Ia adalah “neraca” manajemen risiko — tanpa register, tidak ada bukti formal bahwa proses berjalan. Berikut struktur kolom standar (versi PMBOK + ISO 31000):

Untuk membuatnya hidup, mari kita bangun risk register ilustratif untuk sebuah perusahaan manufaktur ekspor fiktif “PT Tekstil Nusantara” (ilustratif, bukan perusahaan nyata) dengan tujuan “Pertahankan margin EBITDA ≥ 12% di 2026”:

Register ini bukan dokumen mati. Tiap kuartal, CRO mereview perubahan likelihood (mis. R-001 L naik dari 4 ke 5 karena The Fed hawkish), memutakhirkan skor residual, dan menambahkan risiko baru yang muncul. Inilah siklus yang membuat manajemen risiko berkelanjutan, bukan proyek sekali jalan.

Analisis Kuantitatif — Dari Skor ke Expected Loss

Skor 1-25 hanya proxy. Untuk risiko finansial yang bisa dikuantifikasi, gunakan Expected Loss:

$$EL = PD \times LGD \times EAD$$

Contoh untuk R-003 (pembatalan order Eropa):

• $PD$ = 12% (probabilitas resesi Eropa memicu pembatalan, berdasarkan analisis IMF WEO)
• $LGD$ = 35% (fraksi order yang tidak ter-cover oleh buyer lain atau substitusi pasar)
• $EAD$ = Rp 80 miliar (nilai order Eropa terbuka)

$$EL = 0{,}12 \times 0{,}35 \times 80 = \text{Rp } 3{,}36 \text{ miliar/tahun}$$

Angka inilah yang menjadi dasar keputusan: apakah lebih murah membeli credit insurance (premi ~0,5% dari exposure = Rp 400 juta) atau menyerap loss expected Rp 3,36 miliar? Logika cost of treatment vs expected loss adalah inti keputusan risk treatment.

Heat Map 5×5 — Membaca dan Membuat

Heat map (risk matrix) 5×5 adalah visualisasi paling populer untuk evaluasi risiko. Sumbu horizontal = Likelihood (1-5), sumbu vertikal = Impact (1-5). Sel diisi warna sesuai skor:

IMPACT (I)
5 │  5 │ 10 │ 15 │ 20 │ 25 │   ← Ekstrem (merah)
  │----+----+----+----+----│
4 │  4 │  8 │ 12 │ 16 │ 20 │   ← Tinggi (oranye)
  │----+----+----+----+----│
3 │  3 │  6 │  9 │ 12 │ 15 │   ↑ Sedang (kuning)
  │----+----+----+----+----│
2 │  2 │  4 │  6 │  8 │ 10 │   ← Rendah (hijau muda)
  │----+----+----+----+----│
1 │  1 │  2 │  3 │  4 │  5 │   ← Terabaikan (hijau)
  └───────────────────────────→ LIKELIHOOD (L)
       1    2    3    4    5

Skema warna paling umum:

• Hijau (1-4) — Terima, tidak butuh treatment khusus.
• Kuning muda (5-9) — Rendah-sedang, pantau via KRI.
• Kuning (10-12) — Sedang, pertimbangkan treatment biaya-rendah.
• Oranye (15-16) — Tinggi, treatment wajib dengan action plan.
• Merah (20-25) — Ekstrem, escalate ke direksi/dewan, pertimbangkan avoid.

Memetakan delapan risiko dari register PT Tekstil Nusantara di atas:

• R-001 (L4, I4 = 16) → oranye
• R-002 (L3, I4 = 12) → kuning
• R-003 (L3, I5 = 15) → oranye
• R-004 (L2, I5 = 10) → kuning
• R-005 (L3, I4 = 12) → kuning
• R-006 (L5, I2 = 10) → kuning
• R-007 (L3, I3 = 9) → kuning muda
• R-008 (L2, I4 = 8) → kuning muda

Risiko di zona oranye-merah (R-001, R-003) mendapat prioritas action plan dan alokasi anggaran treatment.

Jebakan Heat Map

Skor 15 ≠ 15. Risiko L5×I3=15 sangat berbeda karakter dari L3×I5=15. Yang pertama adalah risiko sering-tapi-ringan (cocok untuk accept/mitigate biaya rendah), yang kedua jarang-tapi-fatalk (cocok untuk transfer/avoid). Banyak praktisi membedakan dengan risk type: frequency risk vs severity risk. Risiko severity-driven sering perlu asuransi/safety stock, risiko frequency-driven perlu proses/perbaikan sistem.

Skala 1-5 subjektif. Tanpa definisi operasional, skor L=3 bisa berarti “kadang-kadang” bagi satu orang dan “sering” bagi yang lain. Standar ISO 31000 menyarankan kalibrasi: L1 = <5% dalam 12 bulan, L2 = 5-20%, L3 = 20-50%, L4 = 50-80%, L5 = >80%. Definisi impact juga harus kalibrasi per dimensi (finansial: <Rp 100 jt / Rp 100 jt-1 M / Rp 1-10 M / Rp 10-50 M / >Rp 50 M; keselamatan: tidak ada cedera / P3K / rawat inap / cacat / meninggal; reputasi: tidak ada publisitas / lokal / nasional / viral berhari / krisis berbulan).

Risk Treatment — 4T (Empat Pilihan)

Setelah evaluasi, organisasi memilih satu (atau kombinasi) dari empat risk response — sering disebut 4T atau “T’s” karena semua berawal huruf T dalam bahasa Inggris:

Catatan penting:

• Treat tidak menghilangkan risiko — hanya menurunkan dari inherent ke residual. Selalu ada residual risk setelah kontrol.
• Transfer tidak menghilangkan risiko dari sistem — yang berubah hanya siapa penanggung jawab finansial. Bank bisa transfer risiko ke asuransi, tapi reputasinya tetap rusak kalau fraud terjadi.
• Avoid adalah opsi paling kuat tapi paling mahal secara opportunity cost — keluar dari pasar berarti kehilangan revenue. Hindari kalau risiko benar-benar melebihi appetite dan tidak ada treatment layak.
• Accept selalu eksplisit dan terdokumentasi, bukan default. “Tidak melakukan apa-apa” tanpa keputusan sadar adalah kegagalan tata kelola, bukan accept.

Rumus Residual Risk

$$\text{Residual Risk} = \text{Inherent Risk} - \text{Effect of Controls} \pm \Delta\text{ from Treatment}$$

Dalam praktik sering ditulis lebih sederhana: Residual = Inherent × (1 − Control Effectiveness). Jika inherent = 16 dan efektivitas kontrol = 50%, residual = 8. Penilaian efektivitas kontrol adalah sub-disiplin tersendiri (lihat kerangka COBIT untuk IT control, atau Control Self-Assessment).

Monitoring — Key Risk Indicator (KRI)

Manajemen risiko bukan dokumen tahunan. Ia dipantau terus lewat Key Risk Indicator (KRI) — metrik awal yang menandakan risiko meningkat sebelum menjadi kejadian (loss). Beda KRI vs KPI:

Setiap risiko di register sebaiknya punya 1-3 KRI yang dipantau otomatis. Contoh untuk R-001 (FX risk PT Tekstil Nusantara): kurs IDR/USD harian, % exposure ter-hedge, forward premium 6-bulan. Saat kurs melewati Rp 16.000/USD (threshold kuning) atau Rp 16.500 (merah), alert otomatis ke CFO dan tim treasury.

Studi Kasus Indonesia

Kasus 1 — Banking: POJK 18/2023 SPPO dan Tata Kelola Risiko Bank

Sektor perbankan Indonesia memiliki kerangka manajemen risiko paling detail di antara sektor lain, karena diatur OJK lewat serangkaian POJK. Pokok-pokok:

• POJK tentang SPPO (Surat Penjelasan Manajemen Risiko). Sebelum 2023, kerangka utama adalah POJK 5/2013 jo. POJK 18/2016. Pada 2023, OJK merilis POJK 18/2023 tentang Penerapan Manajemen Risiko bagi Bank Umum yang memperbarui kerangka — menambahkan risiko strategic, reputational, cyber, dan ESG selain risiko klasik (kredit, pasar, likuiditas, operasional, kepatuhan, hukum).
• POJK BM (Bank Moratorium/restrukturisasi) pasca-COVID (POJK 11/2020 jo. POJK 17/2021) — kerangka khusus manajemen risiko kredit saat krisis.
• POJK 17/2020 tentang GCG — mewajibkan Komite Manajemen Risiko di dewan komisaris bank.
• POJK BCBS 239 Indonesia — prinsip tata kelola data risiko (sejalan dengan Basel Committee BCBS 239), mendorong agregasi data risiko yang akurat dan tepat waktu.

Praktik aktual: setiap bank umum wajib punya Chief Risk Officer (CRO) yang melapor langsung ke Direksi dan dotted-line ke Komite Manajemen Risiko Dewan Komisaris. CRO menyusun Self-Assessment Manajemen Risiko (SAMR) tahunan yang dilaporkan ke OJK. SAMR menilai 8-9 jenis risiko di masing-masing dimensi (struktur, proses, orang, sistem) dengan skala 1-5. Bank dengan profil risiko tinggi (skor SAMR 4-5) mendapat pengawasan intensif OJK.

Kasus nyata: penanganan kredit bermasalah akibat pandemi 2020-2021. Bank-bank besar (BCA, Mandiri, BRI) menerapkan risk treatment kombinasi: restrukturisasi (mitigate, lewat POJK 11/2020), cadangan tambahan (mitigate via provisioning), diversifikasi sektor (mitigate via portfolio), standby likuiditas dari BI (transfer via repo). Hasil: NPL industri perbankan tetap terkendali di sekitar 3% meskipun resesi parah — berbeda dengan krisis 1997-1998 di mana manajemen risiko belum sistematis.

Kasus 2 — BUMN: TPMS dan Manajemen Risiko Korporasi Negara

Kementerian BUMN mengeluarkan pedoman tata kelola yang mengintegrasikan manajemen risiko lewat Tim Manajemen Risiko Satuan Kerja (TMRSK) di setiap BUMN dan anak usaha. Pedoman ini banyak mengacu COSO ERM dan ISO 31000. Praktik kunci:

• Setiap BUMN menyusun Enterprise Risk Management Manual yang ditetapkan Direksi dan disetujui Komisaris.
• Risk register BUMN dilaporkan tahunan ke Kementerian BUMN via SK BUMN (Sistem Kinerja) yang menyertakan profil risiko sebagai bagian dari KPI.
• BUMN infrastruktur (Waskita, Adhi Karya, PP, Hutama Karya) punya risk portfolio didominasi risiko project execution (kerja sama, change order, klaim), likuiditas (piutang owner), dan kepatuhan. Kasus restrukturisasi utang beberapa BUMN konstruksi 2021-2023 menunjukkan kelemahan risk appetite: terlalu agresif menerima proyek tanpa mengukur capacity.
• BUMN energi (Pertamina, PLN) fokus pada risiko volatility harga komoditas (minyak, gas, batubara), risiko ESG (transisi energi), dan risiko kepatuhan (BBM bersubsidi, fuel mix).
• BUMN layanan keuangan (Mandiri, BRI, BNI, BTN, Askrindo, Jasaraharja) tata kelolanya menambah lapis POJK perbankan/asuransi di atas pedoman BUMN.

Pelajaran dari kasus BUMN konstruksi: risk appetite yang terlalu longgar (growth di atas kapasitas eksekusi) dapat memicu krisis keberlanjutan. Setelah rangkaian default dan restrukturisasi 2021-2023, Kementerian BUMN memperketat persetujuan proyek baru — menggeser appetite dari “growth” ke “sustainability.”

Kasus 3 — Manufaktur Swasta: Manajemen Risiko Rantai Pasok dan FX

Perusahaan manufaktur swasta Indonesia (terutama yang terbuka dan punya impor/ekspor) menghadapi tiga risiko dominan: rantai pasok global, kurs valas, dan kepatuhan (termasuk ESG dan CBAM Uni Eropa). Praktik manajemen risiko di sektor ini:

• Hedging FX — perusahaan ekspor-impor besar (Astra, Indofood, Unilever Indonesia) menggunakan forward, swap, dan option mata uang. Asumsinya: lindungi 50-80% exposure 6-12 bulan ke depan, sisanya sebagai natural hedge atau terbuka (dalam risk appetite).
• Supply chain resilience — dual sourcing (dua pemasok kritis), safety stock 1-3 bulan untuk komponen kritis, kontrak jangka panjang dengan pemasok strategis, monitoring geopolitik (perang dagang AS-Tiongkok, blockade Selat Taiwan).
• ESG & CBAM — eksportir ke Uni Eropa menghadapi Carbon Border Adjustment Mechanism (CBAM, fase transisi 2023-2025, penuh 2026). Risiko: karbon produk dihitung, kena biaya. Manufaktur baja, semen, aluminium, pupuk paling terdampak. Treatment: akuisisi listrik terbarukan, sertifikasi ISO 14064 GHG, audit carbon footprint.
• Cyber risk — pabrik yang berbasis Industry 4.0 (PLC, SCADA, IoT) rentan ransomware. Kasus global (Colonial Pipeline 2021, Norsk Hydro 2019) menjadi pelajaran. Treatment: segmentasi OT/IT, backup offline, cyber insurance, security operations center (SOC).

Untuk perusahaan publik di BEI, manajemen risiko wajib diungkap di Laporan Tahunan (Bab Tata Kelola Perusahaan dan Bab Manajemen Risiko) sesuai POJK 36/2014 tentang Laporan Tahunan. Ini menjadi acuan investor untuk menilai kematangan tata kelola.

Jebakan Umum

Menyamakan risiko dengan kerugian. Risiko adalah uncertainty, bukan loss. Risiko positif (peluang pasar baru, akuisisi strategis) juga risiko. Mengabaikan sisi positif membuat perusahaan melewatkan peluang growth yang sudah dalam appetite.

Mengisi risk register sekali, lalu lupa. Risk register adalah dokumen hidup. Risiko berubah setiap kuartal — likelihood berubah, kontrol baru berlaku, risiko baru muncul. Register yang tidak di-review 12 bulan adalah dokumen mati.

Skor heat map tanpa kalibrasi. Skor 3 vs 5 subjektif tanpa definisi operasional. Akibatnya: dua penilai memberi skor berbeda untuk risiko yang sama. Selalu sertakan deskriptor kalibrasi (mis. L1 = <5%, L5 = >80%) di manual.

Risk appetite vagus. “Kami konservatif” bukan risk appetite yang bisa dioperasionalkan. Risk appetite harus bisa diterjemahkan jadi tolerance numerik per dimensi (NPL maksimum, LCR minimum, gearing maksimum, dst).

Treatment lebih mahal dari expected loss. Beli asuransi Rp 500 juta untuk expected loss Rp 100 juta/tahun adalah keputusan yang salah secara matematis (kecuali ada catastrophic severity yang mengancam going concern). Selalu hitung dulu: biaya treatment vs EL, plus sesuaikan dengan risk tolerance.

Boil the ocean. Mengidentifikasi 500 risiko di register dan tidak ada yang diprioritaskan. Manajemen risiko fokus pada top 20-30 risiko material; sisanya di-level unit kerja. Materiality didefinisikan lewat risk appetite dan tolerance.

Risk owner tidak jelas. Risiko “milik semua orang” adalah milik tidak ada. Setiap risiko di register harus punya owner (PIC dengan nama, jabatan, dan kewenangan) yang bisa dimintai pertanggungjawaban.

Terlampau percaya kontrol eksisting. Kontrol ada di dokumen, tapi dijalankan sebagian. Asesmen control effectiveness (design + operating) wajib dilakukan, idealnya oleh audit internal (Garis 3).

Mengabaikan emergent risk. Risiko baru muncul dari interaksi risiko-risiko yang ada (korelasi positif saat krisis). Contoh: pandemi memicu gangguan rantai pasok, gangguan memicu cost overrun, cost overrun memicu pelanggaran covenant utang, pelanggaran memicu going concern. Analisis scenario stress test (bukan hanya risiko individual) penting untuk risiko yang saling bergantung.

Lapor ke dewan sekali setahun. Dewan Komisaris perlu dashboard risiko real-time atau minimal bulanan, bukan laporan tahunan yang sudah basi. KRI yang otomatis dikirim ke board portal adalah praktik global.

Menganggap manajemen risiko = audit internal. Audit adalah assurance (Garis 3), bukan ownership risiko. Risiko dimiliki dan dikelola manajemen (Garis 1), didukung spesialis risiko (Garis 2). Audit hanya menilai efektivitasnya.

Dipakai di Dunia Nyata

• Keputusan investasi korporasi (CFO, Komite Investasi). Sebelum approve proyek capex besar, Komite Investasi meninjau risk-adjusted NPV (diskonto disesuaikan risk premium), sensitivitas terhadap variabel kunci (harga jual, FX, input cost), dan scenario analysis (base/upside/downside). Skenario downside yang menembus risk appetite memicu redesign atau avoid.
• Underwriting kredit (bank, multifinance). Credit analyst menilai risiko borrower (financial, industri, manajemen) dan menentukan struktur kredit (limit, tenor, collateral, covenant). Jika skor risiko melebihi appetite perbankan, kredit ditolak (avoid) atau diberi risk premium (pricing untuk risk).
• Asuransi (underwriter, broker). Mengkuantifikasi risiko insured, menetapkan premi yang menutup expected loss + beban + margin, dan menempatkan reasuransi untuk severity risk. Asuransi adalah bentuk paling formal dari risk transfer.
• Tata kelola BUMN (Kementerian, Komisaris). TMRSK melaporkan profil risiko tahunan; Komisaris mengawasi risk appetite dan menyetujui risk tolerance per BUMN. Black swan (krisis pandemi, geopolitik) diuji via stress test tahunan.
• Manajemen proyek konstruksi (PMO). PMBOK Risk Management (6 proses: plan, identify, perform qualitative, perform quantitative, plan response, control risk) diterapkan tiap proyek besar. Contingency reserve (5-15% budget) dialokasikan untuk known-unknowns, management reserve untuk unknown-unknowns.
• Keamanan siber (CISO, SOC). Kerangka NIST CSF (Identify-Protect-Detect-Respond-Recover) atau ISO 27001 mendefinisikan risiko siber. Threat modeling, penetration test, dan incident response plan adalah praktik inti. Cyber risk adalah salah satu risiko yang tumbuh paling cepat di Indonesia.
• Kepatuhan ESG dan CBAM (export manager, sustainability officer). Eksportir ke Uni Eropa harus menilai carbon footprint produk dan menyiapkan sertifikasi. Risiko non-kepatuhan: denda, larangan impor, hilangnya kontrak buyer besar.
• Komite Audit dan audit internal. Audit tahunan menilai efektivitas manajemen risiko sebagai bagian dari internal control over financial reporting. Temuan audit tentang kelemahan kontrol menjadi input improvement framework.

Kerangka Pendukung yang Sering Dipakai Bersama

COSO ERM dan ISO 31000 adalah kerangka umum. Di lapangan, mereka dikombinasikan dengan kerangka spesifik per-domain:

Hirarki: ISO 31000/COSO ERM memberi payung metodologi umum, sementara kerangka spesifik memberi detail operasional per domain. CRO korporasi besar biasanya mengintegrasikan beberapa kerangka ke dalam enterprise risk taxonomy tunggal.

Ringkasan 7 Langkah Praktis Membangun Manajemen Risiko dari Nol

Buat organisasi yang belum punya fungsi risiko formal, ini checklist minimum:

1. Tetapkan tujuan strategis. Tanpa tujuan, tidak ada risiko untuk dikelola. Mulai dari business plan 3-5 tahun.
2. Susun risk appetite statement (RAS) di level direksi. Kualitatif per dimensi (strategic, operational, financial, compliance, reputational).
3. Terjemahkan RAS jadi risk tolerance numerik per KPI/KRI. Threshold hijau-kuning-merah.
4. Identifikasi risiko (workshop lintas fungsi). Brainstorm + checklist industri. Target 30-60 risiko awal.
5. Susun risk register dengan 13 kolom standar. Owner, L, I, inherent, kontrol, residual, treatment, action plan, KRI.
6. Bangun heat map dan prioritaskan top 20-30 risiko material. Action plan untuk zona oranye-merah.
7. Review kuartalan + laporkan ke direksi/dewan. Risk register hidup, KRI dashboard bulanan, SAMR/aset tahunan ke regulator.

Bila ketujuh langkah berjalan minimal 2 siklus tahunan, manajemen risiko sudah jadi fungsi, bukan proyek. Pada saat black swan berikutnya datang — dan ia pasti datang — organisasi punya muscle memory untuk merespons cepat, bukan panik dari nol.

Lanjutan

• Cost-Benefit Analysis — Evaluasi Proyek Publik — risk-adjusted NPV dan expected value berpasangan dengan konsep expected loss di artikel ini; sensitisitas dan scenario analysis adalah jembatan antara CBA dan manajemen risiko.
• Pasar Valuta Asing & Kurs — Spot, Forward, Paritas dari Nol — forward, swap, dan option yang menjadi instrumen utama risk transfer FX; covered interest arbitrage adalah landasan harga hedging.
• Kebijakan Moneter — BI Rate, GWM, OPT dari Nol — suku bunga yang menjadi discount rate dalam risk-adjusted valuation, plus likuiditas dan stress test perbankan.
• Kebijakan Fiskal — APBN, Defisit, dan Multiplier dari Nol — fiscal space dan rasio utang/PDB adalah indikator risiko makro yang dipantau rating agency untuk peringkat sovereign.
• Hukum Kontrak Bisnis — Kontrak, Klausul, Sengketa — klausul force majeure, limitation of liability, dan indemnity adalah instrumen kontraktual risk transfer hukum.
• PDB dan Inflasi — Indikator Makroekonomi — konteks makro yang menjadi external risk environment bagi keputusan risiko korporasi.