Program Studi Manajemen • FEB UNDIP

Manajemen Resiko Bisnis

Pertemuan 2 — Proses Manajemen Risiko: Kerangka & Siklus

Risiko tidak cukup dirasakan — ia harus diproses secara sistematis. Hari ini kita pelajari tujuh tahapan ISO 31000:2018, siklus PDCA (Plan–Do–Check–Act), dan cara membangun skenario peristiwa risiko dari nol.

RPS MINGGU 2 • SUB-CPMK 1 • DURASI 2 × 50 MENIT

Tujuan Pembelajaran Pertemuan 2

Setelah pertemuan ini, Anda diharapkan mampu mendeskripsikan proses manajemen risiko (Sub-CPMK 1). Secara rinci:

CAPAIAN 1 — TAHAPAN

7 TAHAP

Menyebutkan & menjelaskan tujuh tahapan proses ISO 31000:2018 secara berurutan tanpa melewatkan satu pun.

CAPAIAN 2 — SKENARIO

SKENARIO

Mengonstruksi skenario peristiwa risiko (cause → event → consequence) untuk satu rantai risiko perusahaan manufaktur.

CAPAIAN 3 — PERBEDAAN

MR vs RC

Membedakan risk management vs risk control dengan contoh konkret dari industri Indonesia.

CAPAIAN 4 — PDCA

PDCA

Memetakan siklus PDCA (Plan–Do–Check–Act) ke dalam tahapan proses ISO 31000 secara benar.

Empat capaian ini adalah penjabaran langsung dari Sub-CPMK 1 kita: mampu mendeskripsikan proses manajemen risiko. Capaian pertama adalah tulang punggung pertemuan ini — Anda harus hafal dan paham tujuh tahapan ISO 31000, bukan sekadar hafal nomornya tetapi mengerti logika mengapa urutannya seperti itu. Capaian kedua mengharuskan Anda bekerja aktif: bukan mendengar contoh, tetapi membangun sendiri skenario dari nol. Capaian ketiga meluruskan miskonsepsi yang sangat umum, yaitu menyamakan risk control dengan risk management, padahal keduanya berbeda cakupan. Capaian keempat menghubungkan ISO 31000 dengan siklus mutu PDCA yang mungkin sudah Anda kenal dari mata kuliah manajemen operasi — menunjukkan bahwa manajemen risiko bukan sebuah pulau terpisah, melainkan terintegrasi dengan sistem manajemen perusahaan secara keseluruhan. Jadikan empat capaian ini daftar periksa Anda di akhir kelas.

Naluri Saja Tidak Cukup — Kasus Garuda Indonesia

Pada 2018–2019, Garuda Indonesia menghadapi tekanan risiko yang bertubi-tubi. Bagaimana seharusnya manajemen risiko membantu?

TANPA PROSES TERSTRUKTUR

Risiko kenaikan harga avtur (bahan bakar penerbangan, aviation turbine fuel) direspons ad hoc — tidak ada hedging (strategi keuangan untuk mengunci harga) sistematis. Kerugian operasional membengkak saat harga minyak melonjak. Maskapai LCC (Low-Cost Carrier) kian menekan pangsa pasar.

DENGAN PROSES ISO 31000

Identifikasi awal → analisis sensitivitas harga BBM → evaluasi ambang batas → perlakuan (hedging, diversifikasi bahan bakar) → monitoring harga setiap kuartal. Respons konsisten meski direksi berganti.

Proses bukan birokrasi. Proses adalah ingatan kolektif organisasi yang bekerja bahkan saat manajer berganti.

Saya membuka dengan contoh yang dekat dengan kita semua karena Garuda Indonesia adalah maskapai nasional yang sering kita gunakan. Bayangkan manajemen sebuah maskapai menghadapi lonjakan harga avtur yang tiba-tiba, sambil nilai tukar rupiah melemah, dan penumpang menurun karena persaingan LCC. Tanpa proses manajemen risiko yang terstruktur, respons cenderung reaktif dan tidak konsisten — tergantung siapa yang sedang menjadi direktur keuangan saat itu. Sebaliknya, dengan proses ISO 31000 yang berjalan, perusahaan sudah memiliki identifikasi risiko harga bahan bakar, sudah punya analisis skenario lonjakan harga, sudah punya keputusan pre-approved tentang kapan melakukan hedging. Proses manajemen risiko bukan tentang birokrasi kertas; ia tentang membangun ingatan kolektif organisasi sehingga respons terhadap risiko konsisten dan rasional bahkan ketika direksinya berganti. Itulah mengapa kita belajar proses, bukan sekadar intuisi.

Blok 1 dari 5

Dari Naluri ke Proses Terstruktur

Apa yang dimaksud proses manajemen risiko, dan mengapa dunia bersepakat pada satu standar internasional: ISO 31000.

Proses Standar

Proses Manajemen Risiko — Bukan Sekadar Daftar Risiko

ISO 31000:2018 mendefinisikan proses manajemen risiko sebagai penerapan sistematis kebijakan, prosedur, dan praktik manajemen untuk kegiatan komunikasi, konsultasi, penetapan konteks, serta penilaian, perlakuan, pemantauan, tinjauan, pencatatan, dan pelaporan risiko.

BUKAN HANYA DAFTAR RISIKO

Risk register (daftar risiko — dokumen/database yang mendaftar semua risiko teridentifikasi) adalah output, bukan proses. Proses adalah cara kita tiba di daftar itu dan cara kita bertindak berdasarkannya.

SIKLUS, BUKAN LANGKAH SEKALI JALAN

Proses bersifat iteratif (dilakukan berulang dengan penyesuaian tiap siklus) dan terintegrasi dengan proses bisnis, bukan aktivitas tahunan yang terisolasi.

Prinsip kunci ISO 31000: Manajemen risiko menciptakan nilai, bukan hanya mengurangi kerugian.

Ketika saya bertanya kepada mahasiswa apa yang mereka bayangkan dari "manajemen risiko", hampir selalu jawabannya adalah "membuat daftar risiko." Itu benar, tetapi hanya sebagian kecil dari gambaran yang lebih besar. Daftar risiko, atau risk register, adalah sebuah output — ia adalah hasil dari proses yang sudah berjalan, bukan proses itu sendiri. ISO 31000:2018 mendefinisikan proses manajemen risiko sebagai penerapan sistematis kebijakan, prosedur, dan praktik untuk kegiatan komunikasi, konsultasi, penetapan konteks, penilaian, perlakuan, pemantauan, dan pelaporan risiko. Perhatikan betapa komprehensifnya definisi itu — ada tujuh elemen berbeda yang saling terhubung. Yang paling penting, ISO 31000 menegaskan dua prinsip yang sering diabaikan: pertama, proses ini bersifat siklus dan iteratif, bukan sekali jalan; dan kedua, tujuannya bukan hanya mengurangi kerugian tetapi menciptakan dan melindungi nilai bagi organisasi.

ISO 31000:2018 & Adopsi SNI Indonesia

ISO 31000 adalah standar internasional manajemen risiko yang diterbitkan oleh International Organization for Standardization. Pertama kali terbit 2009, direvisi 2018 — Indonesia mengadopsinya sebagai SNI ISO 31000:2018 melalui BSN (Badan Standardisasi Nasional).

TIGA KOMPONEN UTAMA ISO 31000

Prinsip — 8 nilai fondasi yang memandu sikap organisasi terhadap risiko
Kerangka kerja (framework — struktur organisasi & tata kelola)
Proses — 7 tahap operasional yang kita pelajari hari ini

KEUNGGULAN VS PENDEKATAN AD HOC

Universal (semua sektor & ukuran, termasuk UMKM)
Terstruktur & sistematis
Berbasis bukti
Integratif dengan tata kelola perusahaan

Pertemuan ini fokus pada Proses (komponen ketiga). Kerangka kerja (framework) akan dibahas pada pertemuan lanjutan. Jangan campur aduk keduanya.

Penting untuk Anda tahu bahwa ISO 31000 bukan sekadar panduan teknis; ia adalah konsensus global dari para ahli manajemen risiko di lebih dari seratus negara anggota ISO. Di Indonesia, standar ini diadopsi secara resmi oleh BSN menjadi SNI ISO 31000:2018, artinya referensi ini diakui secara institusional di negara kita. ISO 31000 terdiri dari tiga lapisan: prinsip di lapisan terluar berisi delapan nilai mendasar; kerangka kerja di lapisan tengah berisi struktur organisasi, kepemimpinan, dan integrasi risiko ke dalam tata kelola; dan proses di lapisan terdalam berisi tujuh tahapan operasional yang kita pelajari hari ini. Fokus Pertemuan 2 ini adalah proses, bukan kerangka kerja. Kerangka kerja menjawab "siapa bertanggung jawab atas apa," sedangkan proses menjawab "bagaimana kita mengidentifikasi, menganalisis, dan mengelola risiko secara teknis."

Blok 2 dari 5

Tahapan Proses ISO 31000 — Bagian I

Tiga tahapan pertama: Penetapan Konteks, Identifikasi Risiko, dan Analisis Risiko — landasan diagnostik sebelum kita bisa mengevaluasi dan bertindak.

Tahap 1: Penetapan Konteks (Establishing Context)

Sebelum mengidentifikasi risiko, organisasi memahami lingkungannya — internal dan eksternal — serta mendefinisikan ruang lingkup (scope), tujuan, dan kriteria risiko (standar ambang batas penilaian risiko).

KONTEKS EKSTERNAL

Regulasi (OJK, BI, BPKM)
Kondisi pasar & ekonomi makro
Pemangku kepentingan (stakeholders) luar
Tren teknologi & sosial

KONTEKS INTERNAL

Struktur organisasi & tata kelola
Strategi dan tujuan bisnis
Budaya & kapabilitas SDM
Sumber daya (keuangan, sistem)

Tanpa konteks yang jelas, identifikasi risiko tidak akan relevan — seperti mendiagnosis pasien tanpa mengetahui riwayat kesehatannya.

Tahap pertama ini sering dilewati atau dikerjakan asal-asalan, padahal ia adalah fondasi dari seluruh proses berikutnya. Penetapan konteks berarti kita duduk dan bertanya: "Di lingkungan seperti apa organisasi kita beroperasi?" Konteks eksternal mencakup semua faktor di luar kendali perusahaan — regulasi OJK dan BI untuk perusahaan keuangan, kondisi ekonomi makro, nilai tukar rupiah, perubahan demografi, dan sebagainya. Konteks internal mencakup faktor yang ada di dalam kendali perusahaan — struktur organisasi, kemampuan SDM, sistem teknologi informasi, dan budaya perusahaan. Yang sering dilupakan adalah menetapkan kriteria risiko: seberapa besar kerugian yang masih dapat diterima perusahaan? Ambang batas ini yang akan dipakai di Tahap 4 untuk menilai apakah risiko perlu ditangani atau bisa diterima. Tanpa menetapkan kriteria ini di awal, tahap evaluasi nanti akan menjadi subjektif dan tidak konsisten antar manajer.

Tahap 2: Identifikasi Risiko (Risk Identification)

Tujuan: menemukan, mengenali, dan mendeskripsikan semua risiko yang dapat memengaruhi pencapaian tujuan organisasi. Risiko yang tidak teridentifikasi = risiko yang tidak terkelola.

Metode	Deskripsi Singkat	Cocok untuk
Brainstorming	Diskusi bebas tim lintas fungsi	Risiko operasional & strategis
Checklist	Daftar standar industri/historis	Risiko rutin yang berulang
*Bow-tie*	Diagram penyebab → peristiwa → dampak	Skenario risiko kritis
Wawancara Ahli	Pendapat pakar domain	Risiko teknis spesifik

Output Tahap 2: daftar komprehensif risk events (peristiwa risiko — kejadian spesifik yang menimbulkan dampak terhadap tujuan) beserta pemicunya dan dampak potensialnya.

Tahap kedua adalah tahap yang paling intens secara partisipatif karena melibatkan banyak orang dari berbagai fungsi. Prinsip utamanya sederhana: risiko yang tidak Anda temukan di tahap ini tidak akan pernah bisa Anda kelola. Jadi lebih baik over-inklusif — lebih baik memasukkan terlalu banyak untuk kemudian disaring, daripada melewatkan risiko kritis. Diagram bow-tie (diagram berbentuk dasi kupu-kupu yang menghubungkan penyebab, peristiwa sentral, dan konsekuensi) sangat berguna untuk risiko kritis karena ia memaksa kita berpikir runtut: apa penyebabnya, apa peristiwa yang muncul, dan apa konsekuensinya — inilah yang disebut skenario peristiwa risiko yang akan kita praktikkan di HDN-1 nanti. Output dari tahap ini adalah daftar komprehensif risiko yang teridentifikasi, kemudian dibawa ke tahap analisis.

Tahap 3: Analisis Risiko (Risk Analysis)

Tujuan: memahami sifat dan tingkat risiko. Kita mengukur dua dimensi untuk setiap risiko yang teridentifikasi.

DIMENSI 1 — LIKELIHOOD (L)

Likelihood = kemungkinan peristiwa risiko terjadi

Skala: 1 (jarang/sangat kecil) → 5 (hampir pasti).

DIMENSI 2 — DAMPAK / CONSEQUENCE (D)

Dampak/konsekuensi = besarnya kerugian jika peristiwa terjadi

Skala: 1 (tidak signifikan) → 5 (katastrofik).

Tingkat Risiko = L × D

Analisis bisa kualitatif (label: rendah/sedang/tinggi), semi-kuantitatif (skor L×D), atau kuantitatif (probabilitas × kerugian Rp). Pilih sesuai data yang tersedia.

Setelah kita punya daftar risiko dari tahap identifikasi, tugas tahap analisis adalah mengukur seberapa serius setiap risiko itu. Caranya adalah dengan menilai dua dimensi: seberapa mungkin peristiwa risiko itu terjadi (likelihood), dan seberapa besar kerugian jika ia benar-benar terjadi (dampak atau konsekuensi). Tingkat risiko secara sederhana adalah perkalian kedua dimensi ini — L dikali D. Perusahaan biasanya menggunakan skala 1 sampai 5 untuk masing-masing dimensi, sehingga tingkat risiko maksimum adalah 25. Analisis ini bisa dilakukan secara kualitatif dengan label "rendah, sedang, tinggi" untuk risiko yang datanya terbatas, atau secara kuantitatif dengan menghitung probabilitas dan besaran kerugian dalam rupiah untuk risiko yang datanya tersedia. Yang penting Anda ingat, analisis risiko bukan tentang meramalkan masa depan dengan tepat — melainkan tentang membuat perbandingan yang rasional antara risiko-risiko yang berbeda sehingga kita tahu mana yang harus diprioritaskan.

Matriks Risiko — Visualisasi Tingkat Risiko

Dengan skala L×D (maks 25), setiap risiko jatuh di satu zona warna. Gunakan matriks ini untuk membaca prioritas sekaligus.

L \ D	D Rendah (1–2)	D Sedang (3)	D Tinggi (4–5)
L Tinggi (4–5)	Sedang	Tinggi	KRITIS
L Sedang (3)	Sedang	Sedang	Tinggi
L Rendah (1–2)	Rendah	Rendah	Tinggi

Zona Kritis & Tinggi → wajib masuk Tahap 4 Evaluasi dan Tahap 5 Perlakuan. Zona Rendah → cukup dimonitor. Keputusan prioritas final selalu mengacu pada skor numerik L×D — bukan semata posisi di kotak matriks.

Hitung dari Nol — HDN-1: Skenario Peristiwa Risiko Manufaktur

PT Sejahtera Tekstil memproduksi pakaian jadi untuk pasar ekspor. Konstruksi satu rantai risiko menggunakan kerangka Cause → Event → Consequence (penyebab → peristiwa → dampak).

Langkah	Elemen Skenario	Nilai / Isian
1	Konteks	PT Sejahtera Tekstil — ekspor ke Eropa; bahan baku kapas impor dari AS/India
2	Pemicu/Penyebab (Cause)	Kenaikan tarif impor kapas AS akibat kebijakan proteksionisme dagang
3	Peristiwa Risiko (Event)	Harga kapas impor naik ~30% dalam 3 bulan; kapasitas produksi turun karena pasokan tertunda
4	Dampak (Consequence)	Biaya produksi naik → margin laba turun; potensi penalti kontrak ekspor; reputasi dengan pembeli Eropa menurun
5	Likelihood (L)	L = 3 — "Mungkin terjadi"; kebijakan proteksionisme telah terjadi beberapa kali, bukan peristiwa ekstrem
6	Dampak (D)	D = 4 — "Dampak besar"; langsung memengaruhi margin & berpotensi kehilangan kontrak
7	Tingkat Risiko = L × D	3 × 4 = 12 → Kategori TINGGI (ambang ≥10 = wajib diperlakukan)

Satu rantai risiko = satu skenario. Dalam praktik, perusahaan memetakan puluhan skenario ini ke dalam risk register (force majeure = klausul kontrak yang membebaskan pihak dari kewajiban akibat kejadian di luar kendali).

Sekarang kita bekerja dari nol dengan contoh nyata. Bayangkan Anda adalah manajer risiko PT Sejahtera Tekstil, sebuah perusahaan manufaktur yang mengekspor pakaian jadi ke Eropa dan bergantung pada kapas impor dari Amerika Serikat dan India. Langkah pertama: tetapkan konteks. Langkah kedua: identifikasi pemicu — dalam kasus ini, kebijakan proteksionisme perdagangan internasional yang menaikkan tarif impor kapas. Langkah ketiga: tentukan peristiwa risiko yang muncul dari pemicu itu — harga kapas naik tiga puluh persen dalam tiga bulan. Langkah keempat: petakan dampak — biaya produksi naik, margin turun, berpotensi kena penalti kontrak. Terakhir, nilai tingkat risiko: likelihood tiga dikalikan dampak empat menghasilkan skor dua belas, yang masuk kategori tinggi. Dalam praktik nyata, Anda harus membuat puluhan skenario seperti ini untuk semua risiko yang teridentifikasi, dan seluruhnya dimasukkan ke dalam risk register.

Blok 3 dari 5

Tahapan Proses ISO 31000 — Bagian II

Empat tahapan berikutnya: Evaluasi, Perlakuan, Monitoring & Review, dan Komunikasi & Konsultasi — dari pengambilan keputusan hingga keberlanjutan proses.

Tahap 4: Evaluasi Risiko (Risk Evaluation)

Membandingkan tingkat risiko hasil analisis dengan kriteria risiko yang telah ditetapkan di Tahap 1, untuk memutuskan prioritas tindakan.

RISIKO DI BAWAH BATAS TOLERANSI

→ Dapat diterima (acceptable); tidak memerlukan tindakan segera. Tetap dimonitor.

RISIKO MELAMPAUI BATAS TOLERANSI

→ Tidak dapat diterima (unacceptable); harus masuk ke Tahap 5 (risk treatment).

Contoh Batas Toleransi PT Sejahtera Tekstil

Skor ≤ 4 → Risiko Rendah, terima

Skor 5–9 → Risiko Sedang, tinjau ulang

Skor ≥ 10 → Risiko Tinggi/Kritis, wajib diperlakukan

Risiko dari HDN-1 (skor 12) → melampaui batas toleransi (risk appetite — jumlah risiko yang bersedia ditanggung organisasi) → lanjut ke Tahap 5.

Tahap evaluasi risiko adalah tahap pengambilan keputusan pertama dalam proses ini. Setelah kita mengukur setiap risiko di tahap analisis, sekarang kita membandingkan hasil pengukuran itu dengan kriteria risiko yang sudah ditetapkan di Tahap 1. Pertanyaannya sederhana: apakah tingkat risiko ini masih bisa kita terima, atau sudah melampaui ambang batas yang kita tetapkan? Dalam contoh PT Sejahtera Tekstil tadi, manajemen telah menetapkan bahwa skor di atas sepuluh adalah tidak dapat diterima dan wajib ditangani. Risiko gangguan kapas dengan skor dua belas jelas melampaui batas itu, sehingga harus dibawa ke Tahap 5. Mengapa penting membuat keputusan ini secara eksplisit? Karena tidak mungkin suatu organisasi menangani semua risiko dengan intensitas yang sama — sumber daya terbatas. Evaluasi risiko memaksa manajemen untuk membuat pilihan yang transparan dan berdasar tentang mana yang diprioritaskan.

Tahap 5: Perlakuan Risiko (Risk Treatment) — Kerangka 4T

Untuk setiap risiko yang tidak dapat diterima, pilih satu atau kombinasi dari empat opsi perlakuan (kerangka 4T).

TOLERATE (Terima)

Risiko diterima apa adanya. Dipilih bila biaya penanganan > manfaatnya. Tetap dimonitor. Ini keputusan aktif, bukan pasif.

TREAT (Kurangi) = Risk Control

Ambil tindakan untuk mengurangi likelihood (pencegahan) atau mengurangi dampak (mitigasi). Ini risk control — hanya sebagian dari 4T.

TRANSFER (Alihkan)

Pindahkan risiko ke pihak lain: asuransi, kontrak hedging, atau klausul kontrak. Contoh: asuransi ekspor LPEI (Lembaga Pembiayaan Ekspor Indonesia).

TERMINATE (Hentikan)

Hentikan aktivitas yang memunculkan risiko. Pilihan terakhir bila risiko terlalu besar dan tidak bisa diatasi cara lain.

Risk control ≠ risk management. Risk control adalah bagian dari opsi TREAT saja — bukan keseluruhan proses manajemen risiko.

Risk Management vs Risk Control — Jangan Keliru

Miskonsepsi yang sangat umum — bahkan di kalangan praktisi industri.

RISK MANAGEMENT (Manajemen Risiko)

Keseluruhan proses 7 tahap ISO 31000. Mencakup: penetapan konteks, identifikasi, analisis, evaluasi, perlakuan, monitoring, dan komunikasi. → Cakupan lebih luas.

RISK CONTROL (Pengendalian Risiko)

Tindakan spesifik untuk mengurangi likelihood atau dampak risiko yang sudah teridentifikasi. Ini bagian dari Tahap 5 (Treat) saja. → Cakupan lebih sempit.

Contoh Kontras — PT PLN (Persero)

Risk management: Seluruh proses dari memetakan risiko pemadaman hingga monitoring jaringan distribusi.

Risk control: Pemasangan UPS (uninterruptible power supply — perangkat cadangan listrik) di gardu distribusi = tindakan pengendalian spesifik.

Perusahaan yang hanya melakukan risk control tanpa proses MR lengkap = hanya memadamkan kebakaran, bukan mencegahnya.

Saya ingin meluangkan satu slide khusus untuk perbedaan ini karena miskonsepsi ini benar-benar umum dan sering muncul di soal ujian. Risk management adalah keseluruhan tujuh tahapan proses ISO 31000. Risk control adalah subset, yaitu tindakan-tindakan spesifik yang masuk dalam opsi Treat di Tahap 5. Analogi yang mudah: risk management adalah seluruh proses kesehatan perusahaan — pemeriksaan rutin, diagnosis, pengobatan, dan kontrol rutin. Risk control adalah pengobatannya saja. Banyak perusahaan Indonesia yang "baru sampai" di risk control — mereka memiliki daftar pengendalian yang panjang, tetapi tidak punya proses identifikasi yang sistematis, tidak ada evaluasi berbasis kriteria, dan tidak ada monitoring yang terstruktur. Akibatnya, mereka hanya menangani risiko yang sudah meledak, bukan yang akan meledak.

Tahap 6: Monitoring & Review (Pemantauan & Tinjauan)

Tujuan: memastikan perlakuan risiko berjalan efektif dan memperbarui penilaian risiko seiring perubahan konteks bisnis.

FUNGSI 1

KRI

Lacak indikator kunci risiko (KRI) — sinyal peringatan dini sebelum peristiwa terjadi.

FUNGSI 2

EFEKTIVITAS

Evaluasi apakah perlakuan yang dipilih berhasil mengurangi likelihood atau dampak risiko.

FUNGSI 3

UPDATE

Perbarui profil risiko (gambaran menyeluruh semua risiko pada satu waktu) — konteks berubah, risiko baru muncul.

Monitoring bukan laporan tahunan — ia berjalan terus-menerus di seluruh siklus. KRI dipantau mingguan/bulanan tergantung volatilitas risiko. Contoh KRI PLN: cadangan BBM harian per pembangkit, frekuensi gangguan distribusi per bulan.

Tahap keenam ini adalah yang membedakan proses manajemen risiko yang hidup dari yang mati. Banyak perusahaan melakukan identifikasi dan analisis risiko dengan baik, menerapkan perlakuan risiko, lalu berhenti. Padahal tanpa monitoring, kita tidak pernah tahu apakah perlakuan yang kita terapkan benar-benar bekerja. Ada tiga fungsi utama monitoring. Pertama, melacak KRI atau indikator kunci risiko — ini seperti alarm asap yang berbunyi sebelum kebakaran terjadi. Kedua, mengevaluasi apakah tindakan perlakuan yang sudah dilakukan efektif menurunkan skor risiko. Ketiga, memperbarui profil risiko keseluruhan karena dunia bisnis tidak statis. Contoh di PT PLN: KRI mungkin berupa tingkat cadangan bahan bakar, frekuensi gangguan distribusi per bulan, dan tingkat utilisasi pembangkit. Jika salah satu KRI melampaui ambang batas, tim manajemen risiko mendapat sinyal untuk segera bertindak sebelum terjadi pemadaman besar.

Tahap 7: Komunikasi & Konsultasi (Communication & Consultation)

Satu-satunya tahapan yang berjalan paralel dengan semua tahapan lain sepanjang siklus — bukan sesudahnya.

KOMUNIKASI (Keluar)

Menyampaikan informasi risiko kepada pemangku kepentingan internal: dewan komisaris (organ pengawas tertinggi PT), manajemen puncak, karyawan; dan eksternal: regulator OJK/BI, investor, publik (bila perlu).

KONSULTASI (Masuk)

Meminta masukan dari pemangku kepentingan internal dan eksternal saat menetapkan konteks, mengidentifikasi, dan mengevaluasi risiko — manajer lini tahu risiko operasional paling baik.

Kegagalan komunikasi = kegagalan manajemen risiko. Risiko yang sudah diidentifikasi dan dianalisis tetap berbahaya jika tidak dikomunikasikan ke orang yang perlu bertindak. "Jangan bawa kabar buruk" adalah musuh utama proses MR.

Tahap ketujuh ini unik karena ia bukan tahap yang datang setelah enam tahap lainnya — ia berjalan secara paralel dan terus-menerus sepanjang seluruh siklus. Komunikasi dan konsultasi memastikan bahwa informasi risiko mengalir dengan benar ke semua pihak yang perlu mengetahuinya dan bertindak berdasarkan informasi itu. Sisi komunikasi berarti menyampaikan informasi keluar — misalnya melaporkan profil risiko kepada dewan komisaris setiap triwulan, atau melaporkan kepada OJK jika ada risiko yang berdampak sistemik. Sisi konsultasi berarti meminta masukan ke dalam — misalnya melibatkan manajer lini dalam proses identifikasi karena mereka yang paling tahu risiko operasional di lapangan. Kegagalan komunikasi adalah salah satu penyebab terbesar keruntuhan sistem manajemen risiko: risiko sudah teridentifikasi di tingkat bawah tetapi tidak naik ke manajemen puncak karena saluran komunikasinya tersumbat budaya "jangan bawa kabar buruk."

Studi Kasus: Proses MR di PT PLN (Persero)

PT PLN (Persero) sebagai BUMN ketenagalistrikan menghadapi dua risiko utama secara rutin: risiko pemadaman (outage risk) dan risiko fluktuasi harga bahan bakar. Bagaimana ISO 31000 bekerja?

Tahap ISO 31000	Penerapan di PT PLN (ringkas)
1. Penetapan Konteks	Mandat elektrifikasi nasional; regulasi ESDM; ketergantungan BBM pembangkit luar Jawa
2. Identifikasi Risiko	Bow-tie per pembangkit: BBM, transmisi, cuaca, siber (SCADA — Supervisory Control and Data Acquisition)
3. Analisis Risiko	BBM: L=4, D=5 → Skor 20 (Kritis)
4. Evaluasi	Skor 20 > ambang batas (~10) → wajib diperlakukan
5. Perlakuan	Treat: efisiensi PLTD (Pembangkit Listrik Tenaga Diesel) • Transfer: kontrak jangka panjang Pertamina • Tolerate: cuaca minor
6. Monitoring	KRI: cadangan BBM harian; gangguan distribusi/bulan; rasio outage vs SLA (service level agreement)
7. Komunikasi	Laporan ke BUMN & ESDM; koordinasi Pertamina & regulator energi

Seluruh proses ini tidak sekali jalan — PLN mengulangnya secara berkala, diperbarui saat ada perubahan kebijakan energi nasional.

Mari kita lihat bagaimana tujuh tahapan ISO 31000 bekerja dalam konteks nyata sebuah BUMN besar. PT PLN adalah contoh yang tepat karena risiko yang dihadapinya sangat konkret dan berdampak langsung pada kehidupan masyarakat Indonesia. Analisis risiko kenaikan harga BBM menghasilkan skor yang sangat tinggi, dua puluh, karena kemungkinannya tinggi dan dampaknya langsung ke biaya operasional yang masif — L=4 dikalikan D=5 sama dengan 20. Perlakuannya kombinasi: Treat dengan efisiensi, Transfer dengan kontrak jangka panjang ke Pertamina, dan Tolerate untuk risiko-risiko minor. Yang membuat ini menarik adalah monitoring-nya: PLN memantau cadangan BBM harian di tiap pembangkit sebagai KRI, sehingga tim manajemen risiko mendapat peringatan jauh sebelum cadangan benar-benar habis. Proses ini diulang secara berkala dan diperbarui setiap kali ada perubahan kebijakan energi dari pemerintah.

Blok 4 dari 5

Siklus PDCA dalam Manajemen Risiko

Bagaimana tujuh tahapan ISO 31000 terhubung dengan siklus perbaikan berkelanjutan PDCA (Plan–Do–Check–Act) — dan latihan memetakan proses bisnis ke dalam kerangka ini.

Memetakan ISO 31000 ke Siklus PDCA

Tujuh tahapan ISO 31000 tidak acak — ia mengikuti logika PDCA yang memastikan proses iteratif (berulang dengan penyesuaian) dan terus membaik.

PDCA	Deskripsi	Tahapan ISO 31000:2018
PLAN	Tetapkan tujuan & proses sesuai kebijakan risiko	Tahap 1: Penetapan Konteks • Tahap 2: Identifikasi Risiko • Tahap 3: Analisis Risiko
DO	Implementasikan proses dan perlakuan risiko	Tahap 4: Evaluasi Risiko • Tahap 5: Perlakuan Risiko
CHECK	Pantau dan ukur hasil perlakuan vs kriteria risiko	Tahap 6: Monitoring & Review
ACT	Ambil tindakan perbaikan berdasarkan hasil pemantauan	Siklus baru: perbarui konteks & identifikasi → iterasi berikutnya

Komunikasi & Konsultasi (Tahap 7) berjalan melintas semua fase PDCA — bukan tahap tersendiri yang terisolasi.

Pemetaan ini memperjelas mengapa ISO 31000 dirancang sebagai siklus, bukan proses linear. Fase PLAN mencakup tiga tahapan awal yang bersifat diagnostik: kita merencanakan dengan menetapkan konteks, mengidentifikasi semua risiko, dan menganalisisnya. Fase DO mencakup pengambilan keputusan dan pelaksanaan: kita mengevaluasi risiko terhadap kriteria dan menerapkan perlakuan yang dipilih. Fase CHECK adalah monitoring — kita memeriksa apakah perlakuan yang kita terapkan benar-benar efektif menurunkan tingkat risiko. Fase ACT adalah titik di mana siklus berulang: berdasarkan hasil monitoring, kita memperbaiki proses, memperbarui konteks, mengidentifikasi ulang risiko baru, dan memulai siklus berikutnya. Komunikasi dan konsultasi adalah lapisan yang melintas semua fase — ia terus berjalan memastikan informasi mengalir ke semua arah sepanjang siklus.

Hitung dari Nol — HDN-2: Pemetaan Toko E-Commerce ke ISO 31000

Sebuah toko e-commerce (perdagangan elektronik) fashion skala menengah sedang mulai program manajemen risiko. Lengkapi template tahapan berikut.

Langkah	Tahap ISO 31000	Jawaban untuk Toko Online
1	1. Penetapan Konteks	Toko fashion online; tumbuh 30%/thn; bergantung logistik (JNE/J&T) & payment gateway (GoPay/OVO/BRIVA)
2	2. Identifikasi Risiko	Gangguan pembayaran • fraud penjual • keterlambatan logistik • serangan siber
3	3. Analisis Risiko (L×D)	Fraud: L=4, D=4 → Skor 16 (Kritis) • Gangguan bayar: L=3, D=5 → Skor 15 (Kritis)
4	4. Evaluasi Risiko	Ambang ≥10 → kedua risiko wajib diperlakukan
5	5. Perlakuan (4T)	Fraud: Treat + Transfer • Gangguan bayar: Treat (multi-gateway)
6	6. Monitoring (KRI)	Transaksi gagal/minggu • laporan fraud/bulan • respons payment gateway
7	7. Komunikasi	Tim teknologi (harian) • manajemen (bulanan) • penjual & pembeli (notifikasi)

Template ini bisa dipakai untuk bisnis apa pun. Ganti konteks dan risikonya — logika proses tetap sama.

Sekarang kita berpraktik langsung mengisi template ISO 31000 untuk bisnis yang dekat dengan kehidupan Anda: toko e-commerce skala menengah. Perhatikan langkah per langkah: kita mulai dengan konteks yang sangat spesifik — siapa kita, apa tujuan bisnis kita, dan ketergantungan kritis kita. Ketergantungan pada mitra logistik dan payment gateway sudah langsung memberi kita petunjuk tentang di mana risiko utama berada. Analisis risiko memberi kita skor untuk masing-masing — fraud penjual mendapat skor enam belas (L=4 × D=4) dan gangguan pembayaran skor lima belas (L=3 × D=5), keduanya masuk kategori kritis. Setelah dievaluasi terhadap ambang batas, keduanya wajib mendapat perlakuan. Seluruh template ini bisa Anda gunakan untuk bisnis apa pun — ganti konteks dan risikonya, logika proses tetap sama.

Lima Jebakan Implementasi yang Paling Umum

Proses MR terisolasi dari strategi bisnis — dikerjakan tim compliance tanpa koneksi ke rapat strategi direksi. Risiko harus diidentifikasi dalam konteks tujuan strategis.

Kriteria risiko tidak ditetapkan di awal — tanpa ambang batas yang jelas, evaluasi risiko menjadi subjektif dan bervariasi antar-manajer.

Risk register dibuat sekali, tidak diperbarui — risiko berubah; risk register yang tidak di-update adalah peta yang sudah kedaluwarsa.

Hanya Treat, lupa Tolerate, Transfer, Terminate — semua risiko diperlakukan dengan pengendalian (control), padahal kadang Transfer (asuransi) atau Terminate lebih efisien.

Komunikasi hanya ke atas (manajemen), tidak ke bawah (pelaksana) — karyawan lini adalah garda terdepan risiko operasional; tanpa briefing rutin, mereka bekerja tanpa sadar risiko.

Jebakan nomor 1 dan 3 adalah yang paling sering membuat program MR perusahaan Indonesia gagal memberikan nilai nyata.

Setelah memahami proses yang ideal, saya ingin berbagi realita implementasi di lapangan. Ada lima jebakan yang paling sering membuat program manajemen risiko perusahaan tidak memberikan nilai nyata. Jebakan pertama adalah yang paling fundamental: proses MR yang terisolasi dari strategi bisnis. Ini terjadi ketika manajemen risiko dikerjakan oleh tim compliance yang membuat dokumen indah tetapi tidak terhubung dengan rapat strategi direksi. Jebakan kedua adalah tidak adanya kriteria risiko yang jelas. Jebakan ketiga adalah risk register yang dibuat sebagai proyek sekali-selesai — ini bertentangan langsung dengan prinsip iteratif ISO 31000. Pesan utamanya: manajemen risiko yang baik bukan tentang ketebalan dokumennya, melainkan tentang apakah proses ini benar-benar mengubah cara organisasi berpikir dan bertindak terhadap risiko setiap harinya.

Proses vs Kerangka (Framework) — Dua Konsep Berbeda

ISO 31000:2018 memiliki dua komponen utama yang sering dicampur aduk: Proses (apa yang kita lakukan) dan Kerangka (bagaimana organisasi mendukung prosesnya).

PROSES (Fokus Pertemuan 2)

7 TAHAP

Tahapan operasional teknis-metodologis yang kita pelajari hari ini. Menjawab: "Bagaimana kita mengidentifikasi, menganalisis, dan mengelola risiko?"

KERANGKA / FRAMEWORK

STRUKTUR

Kepemimpinan, tata kelola (governance — sistem aturan & proses yang mengarahkan organisasi), dan integrasi risiko ke dalam sistem manajemen. Menjawab: "Siapa bertanggung jawab & bagaimana risiko tertanam dalam organisasi?"

Perumpamaan: Proses = resep memasak. Kerangka = dapur beserta peralatan, bahan, dan juru masaknya. Tanpa kerangka yang baik, proses yang bagus pun sulit dilaksanakan konsisten.

Sebelum kita merangkum, saya ingin meluruskan satu hal yang hampir pasti muncul di ujian: perbedaan antara proses manajemen risiko dan kerangka manajemen risiko dalam ISO 31000. Kita telah belajar proses hari ini — tujuh tahapan operasional yang dimulai dari penetapan konteks dan diakhiri dengan monitoring serta komunikasi. Kerangka, yang akan kita pelajari lebih dalam di pertemuan lanjutan, adalah infrastruktur organisasional yang membuat proses itu bisa berjalan secara konsisten dan berkelanjutan. Kerangka mencakup komitmen kepemimpinan puncak, desain struktur tanggung jawab, integrasi ke dalam sistem manajemen perusahaan, dan evaluasi efektivitas kerangka itu sendiri. Anda bisa punya resep terbaik di dunia, tetapi tanpa dapur yang baik, Anda tidak akan bisa mengeksekusinya secara konsisten.

Peta Siklus: Tujuh Tahapan ISO 31000:2018

Ingat: (1)–(5) = siklus teknis; (6) Monitoring = feedback loop; (7) Komunikasi = pengikat seluruh siklus.

Sebelum latihan, mari kita konsolidasikan seluruh pertemuan hari ini dalam satu gambar. Tujuh tahapan ISO 31000 membentuk sebuah siklus, bukan garis lurus. Lima tahapan inti — penetapan konteks, identifikasi, analisis, evaluasi, dan perlakuan — berurutan membentuk satu putaran yang, setelah selesai, langsung memulai putaran berikutnya karena monitoring memberikan feedback yang memperbarui konteks dan profil risiko. Monitoring dan review adalah anak panah yang menghubungkan akhir putaran kembali ke awal — ini yang membuat prosesnya iteratif. Komunikasi dan konsultasi adalah lapisan terluar yang menyelimuti seluruh siklus — ia bukan satu tahap di urutan tertentu, melainkan aktivitas yang berlangsung sepanjang waktu. Cara mudah mengingat: bayangkan tujuh tahapan sebagai sebuah mesin yang terus berputar, dengan lima gigi di tengah, feedback loop sebagai tali penggerak, dan komunikasi sebagai oli yang melumasi seluruh mesin agar berputar tanpa hambatan.

Coba Sendiri: Susun Sendiri Siklus 7 Tahapan ISO 31000

Klik tiap tahapan siklus untuk melihat urutannya dan bagaimana ia dipetakan ke empat fase PDCA (Plan-Do-Check-Act).

Latihan & Diskusi Kelas

LATIHAN 1 — SKENARIO

PT Maju Bersama adalah produsen sepatu yang mengekspor ke Timur Tengah. Bahan baku kulit impor dari Italia. Konstruksi satu skenario peristiwa risiko (cause → event → consequence) dan nilai tingkat risikonya (L × D). Gambar diagram bow-tie-nya.

LATIHAN 2 — KLASIFIKASI 4T

Klasifikasikan tindakan PT Maju Bersama ke dalam opsi 4T yang tepat:

(a) Membeli asuransi ekspor LPEI (Lembaga Pembiayaan Ekspor Indonesia)
(b) Menghentikan lini produk sandal murah yang mengalami klaim keselamatan berulang
(c) Memasang sistem kontrol kualitas tambahan di lini produksi
(d) Menerima risiko fluktuasi kurs minor karena biaya hedging > potensi ruginya

Kerjakan 7 menit. Gambar diagram bow-tie untuk Latihan 1. Untuk Latihan 2, sebut opsi 4T dan beri alasannya.

Saatnya Anda bekerja. Latihan 1 menguji apakah Anda bisa mengaplikasikan kerangka cause → event → consequence yang kita pelajari di HDN-1. Saya sengaja pilih konteks berbeda — kali ini industri alas kaki, bukan tekstil — agar Anda latihan transfer konsep, bukan sekadar menyalin. Gambar dulu diagram bow-tie, lalu isi elemennya, lalu beri skor L dan D berdasarkan penilaian Anda. Tidak ada satu jawaban yang paling benar untuk skor — yang penting Anda bisa menjelaskan rasional di balik penilaian Anda. Latihan 2 menguji apakah Anda benar-benar memahami kerangka 4T. Perhatikan bahwa tindakan (d) bukan kemalasan — melainkan keputusan Tolerate yang rasional setelah membandingkan biaya hedging dengan potensi kerugian. Tolerate adalah pilihan aktif, bukan pasif. Setelah tujuh menit, kita akan bahas bersama dan saya akan minta beberapa kelompok mempresentasikan diagram bow-tie mereka.

Rangkuman & Persiapan Pertemuan 3

YANG SUDAH KITA CAPAI HARI INI

✓ Tujuh tahapan proses ISO 31000:2018
✓ Konstruksi skenario cause → event → consequence
✓ Perbedaan risk management vs risk control
✓ Pemetaan PDCA ke proses ISO 31000

PERSIAPAN PERTEMUAN 3

Topik: Identifikasi & Penilaian Risiko (teknik lebih mendalam)
Baca: Hanafi (2014) Bab 4 — Pengukuran Risiko
Bawa: kalkulator (akan ada hitung peluang & dampak)
Tugas ringan: identifikasi satu risiko di bisnis/aktivitas Anda sehari-hari dengan kerangka cause → event → consequence

Kunci pertemuan ini: manajemen risiko bukan naluri — ia adalah proses terstruktur yang dapat dipelajari, dipraktikkan, dan diperbaiki secara berkelanjutan.

Kita tutup pertemuan hari ini. Saya ingin Anda membawa pulang satu kalimat: manajemen risiko bukan naluri, ia adalah proses terstruktur yang dapat dipelajari, dipraktikkan, dan diperbaiki secara berkelanjutan. Hari ini Anda telah mempelajari tujuh tahapan ISO 31000 — standar yang diakui lebih dari seratus negara dan diadopsi secara resmi oleh Indonesia sebagai SNI. Anda telah belajar membangun skenario peristiwa risiko dari nol dengan kerangka cause-event-consequence, dan Anda tahu perbedaan antara risk management yang komprehensif dengan risk control yang lebih sempit. Untuk Pertemuan 3, kita akan mendalami teknik identifikasi dan penilaian risiko — termasuk cara menghitung peluang dan dampak secara lebih kuantitatif. Bawa kalkulator. Dan sebagai persiapan, coba praktikkan apa yang sudah Anda pelajari hari ini: pilih satu aktivitas dalam kehidupan Anda sehari-hari — bisa usaha kecil keluarga, organisasi kampus, atau bahkan rutinitas pribadi — dan identifikasi satu risiko dengan kerangka cause → event → consequence. Kita akan bahas di awal Pertemuan 3.