Program Studi Manajemen • FEB UNDIP

Manajemen Resiko Bisnis

Pertemuan 5 — Identifikasi Risiko: Skenario Peristiwa & Risk Map

Dari daftar risiko mentah ke peta risiko yang bisa dipakai pengambil keputusan — skenario cause→event→consequence, risk register, RBS (Risk Breakdown Structure), dan heat map 5×5.

RPS Minggu 5 • Sub-CPMK4 • Durasi 2 × 50 Menit

Selamat datang di Pertemuan 5 Manajemen Resiko Bisnis. Di dua pertemuan sebelumnya Anda sudah memahami apa itu risiko dan dari mana risiko muncul; hari ini kita naik satu tingkat — dari sekadar menyebut risiko ke memetakannya secara sistematis sehingga manajemen tahu risiko mana yang paling mendesak untuk ditangani. Kita akan memulai dengan cara menyusun skenario peristiwa risiko secara terstruktur menggunakan kerangka cause-event-consequence yang dipakai oleh praktisi di seluruh dunia, kemudian membangun risk register sebagai database risiko organisasi, lalu menggambarkan posisi tiap risiko pada heat map (peta panas — matriks berwarna yang menunjukkan zona prioritas risiko) 5x5. Pada akhir pertemuan, Anda juga akan memahami bahwa risiko jarang berdiri sendiri — ia saling berinteraksi dan bisa memicu risiko lain secara berantai, dan inilah salah satu alasan mengapa pemetaan risiko tidak bisa hanya dilakukan satu kali. Siapkan perhatian penuh karena hari ini kita akan banyak mengerjakan tabel dan matriks secara langkah demi langkah.

Tujuan Pembelajaran Hari Ini

Setelah pertemuan ini, Anda mampu mengidentifikasi risiko secara lanjutan (Sub-CPMK4). Secara rinci:

Capaian 1 — Skenario

Menyusun skenario risiko dalam kerangka Cause → Event → Consequence untuk minimal tiga risiko berbeda.

Capaian 2 — Register

Membangun risk register awal dengan minimal 8 entri lengkap — ID, deskripsi, sumber, kategori, estimasi K & D, dan risk score.

Capaian 3 — RBS & Map

Menggambar RBS (Risk Breakdown Structure — hierarki kategorisasi risiko) dan memplot risiko pada heat map 5×5.

Capaian 4 — Interaksi

Menjelaskan risk interdependency — fenomena di mana satu risiko memicu atau memperkuat risiko lain — dan dampaknya pada prioritas penanganan.

Empat capaian ini merupakan penjabaran dari Sub-CPMK4 yang tertera dalam RPS. Capaian pertama melatih Anda berpikir secara berlapis: setiap risiko tidak muncul begitu saja, ada penyebabnya dan ada akibatnya, dan kerangka cause-event-consequence memaksa Anda memikirkan ketiga lapisan itu. Capaian kedua adalah tentang disiplin dokumentasi: risk register adalah alat kerja utama manajer risiko di perusahaan nyata, dan hari ini Anda akan berlatih mengisinya dari nol. Capaian ketiga membawa Anda ke visualisasi — karena daftar teks saja seringkali sulit dibaca oleh direksi dan komite risiko, heat map 5x5 mengubah data risiko menjadi gambar yang langsung bisa diambil keputusannya. Capaian keempat menanamkan kesadaran bahwa risiko saling terhubung, sehingga menangani satu risiko tanpa mempertimbangkan risiko-risiko lain bisa memunculkan masalah baru yang tak terduga.

Mengapa Peta Risiko — Bukan Sekadar Daftar Risiko?

Daftar risiko bisa sangat panjang. Tanpa pemetaan, manajemen tidak tahu mana yang paling mendesak ditangani.

Tanpa Peta Risiko

Semua risiko tampak setara. Sumber daya tersebar merata. Risiko kecil bisa mendapat perhatian berlebih; risiko besar justru terabaikan.

Dengan Risk Map 5×5

Prioritas visual langsung terlihat. Tim fokus pada zona merah (high risk). Biaya mitigasi risiko — langkah mengurangi kemungkinan atau dampak — dialokasikan lebih efisien.

Regulasi perbankan Indonesia (POJK 18/POJK.03/2016 — Peraturan Otoritas Jasa Keuangan yang mengikat bank umum) mewajibkan bank umum memiliki profil risiko berbasis matriks kemungkinan × dampak. Bagi perusahaan non-bank, ini adalah best practice global yang terangkum dalam ISO 31000:2018.

Bayangkan Anda adalah manajer risiko sebuah perusahaan dan tim Anda telah mengidentifikasi empat puluh risiko yang berbeda dalam sesi brainstorming kemarin. Apa yang Anda lakukan selanjutnya? Kalau Anda hanya menyerahkan daftar empat puluh risiko itu ke direksi, hampir pasti mereka akan kebingungan — apakah risiko nomor satu lebih berbahaya dari risiko nomor dua puluh, atau sebaliknya? Di sinilah pemetaan risiko berperan: ia mengubah daftar tekstual yang panjang menjadi visualisasi yang langsung menunjukkan mana risiko yang paling mendesak. Di Indonesia, regulasi OJK melalui POJK 18/POJK.03/2016 sudah secara eksplisit mewajibkan bank umum untuk memiliki profil risiko yang dibangun berdasarkan penilaian kemungkinan dan dampak dalam matriks — artinya bagi para bankir, risk map bukan sekadar alat bantu melainkan kewajiban regulasi. Bagi perusahaan non-bank, ini adalah best practice internasional yang dipakai oleh perusahaan-perusahaan Fortune 500 di seluruh dunia.

Bagian 1 dari 4

Skenario Peristiwa Risiko

Kerangka Cause → Event → Consequence — cara terstruktur mengurai setiap risiko menjadi tiga lapisan yang bisa dikelola secara berbeda.

Kita mulai dari pertanyaan yang tampak sederhana: apa sebenarnya yang dimaksud dengan sebuah risiko? Dalam percakapan sehari-hari, orang sering menyebut risiko secara kabur — "ada risiko kebakaran", "ada risiko kredit macet" — tanpa menjelaskan dengan tepat apa yang mereka maksud. Apakah risiko itu adalah sebabnya kebakaran? Atau peristiwanya kebakaran itu sendiri? Atau akibatnya kerugian finansial akibat kebakaran? Ketiga hal ini berbeda, dan mencampurnya akan membuat rencana mitigasi salah sasaran. Di bagian pertama ini, kita memperkenalkan kerangka cause-event-consequence yang memaksa Anda memisahkan ketiga lapisan itu dengan tajam. Kerangka ini dipakai dalam standar manajemen risiko internasional ISO 31000 dan oleh perusahaan-perusahaan besar dalam menyusun dokumen ERM (Enterprise Risk Management — manajemen risiko tingkat korporat menyeluruh) mereka.

Anatomi Risiko: Kerangka Cause → Event → Consequence

Setiap risiko dapat diurai menjadi tiga lapisan yang saling berurutan:

Contoh konkret:

Cause	Event	Consequence
Kenaikan BI Rate (suku bunga acuan Bank Indonesia)	Biaya KPR nasabah naik	Penjualan properti turun 30%

Kerangka ini sangat sederhana tetapi dampaknya luar biasa bagi kualitas analisis risiko Anda. Cause adalah kondisi atau faktor yang membuat peristiwa risiko dapat terjadi — ini ada sebelum peristiwanya, dan ini yang bisa Anda cegah lebih awal. Event adalah peristiwanya sendiri, yaitu sesuatu yang belum pasti terjadi tetapi berpotensi memengaruhi tujuan organisasi — ini titik ketidakpastiannya. Consequence adalah akibatnya jika peristiwa itu benar-benar terjadi, dan inilah yang dirasakan oleh pemangku kepentingan. Perhatikan contoh di tabel: kenaikan BI Rate adalah cause — ia adalah kondisi eksternal yang tidak bisa dikendalikan perusahaan properti. Akibat kenaikan itu, biaya KPR naik — itulah event, peristiwa risikonya. Dan konsekuensinya adalah penjualan properti turun drastis karena calon pembeli tidak mampu mencicil. Dengan memisahkan ketiga lapisan ini, strategi mitigasi menjadi lebih tajam: apakah Anda akan mencegah cause, mengurangi peluang event terjadi, ataukah menyiapkan rencana darurat untuk menghadapi consequence?

Tiga Lapisan: Ciri Khas & Cara Mengenalinya

Cause — Penyebab

Mengapa bisa terjadi?

Ada sebelum peristiwa. Bisa internal (SDM — Sumber Daya Manusia — lemah, teknologi usang) atau eksternal (regulasi, ekonomi makro).

Contoh: "Server lokal tanpa redundansi (cadangan sistem)."

Event — Peristiwa

Apa yang terjadi?

Bersifat tidak pasti; dinyatakan sebagai kejadian, bukan kondisi.

Contoh: "Sistem IT down selama 24 jam."

Consequence — Dampak

Apa efeknya?

Terjadi setelah event; bisa finansial, reputasi, operasional, atau regulasi.

Contoh: "Kerugian operasional Rp 500 juta; keluhan pelanggan."

Kesalahan umum: Menulis consequence sebagai event — misalnya "risiko kerugian finansial" padahal kerugian finansial itu adalah consequence. Event-nya adalah peristiwanya, misalnya downtime (periode ketika sistem tidak berfungsi) 24 jam. Pisahkan dengan tepat.

Di slide sebelumnya kita lihat ketiga lapisan secara berurutan; sekarang mari kita kenali ciri khasnya supaya Anda bisa membedakannya saat mengisi risk register. Cause adalah kondisi yang sudah ada dan memungkinkan risiko terjadi — bisa dari dalam perusahaan seperti sistem yang usang atau karyawan yang kurang terlatih, atau dari luar seperti perubahan regulasi OJK atau gejolak nilai tukar rupiah. Event adalah kejadiannya sendiri, dinyatakan dalam kalimat aktif yang menggambarkan sesuatu yang terjadi. Consequence adalah efek yang dirasakan setelah peristiwa terjadi. Perhatikan peringatan di callout: kesalahan paling umum yang saya temukan pada laporan mahasiswa maupun praktisi pemula adalah menulis consequence sebagai event, misalnya menuliskan "risiko: kerugian finansial besar" — padahal kerugian finansial itu adalah consequence, bukan event. Event-nya adalah peristiwanya, misalnya downtime sistem selama 24 jam; kerugian finansial adalah apa yang ditimbulkan oleh downtime itu.

Hitung dari Nol — HDN-1: Skenario Risiko Hotel Berbintang

Konteks: Hotel Nusantara (berbintang 4, Semarang). Susun skenario risiko untuk 4 risiko utama:

#	Cause	Event	Consequence
S-01	Pemasok bahan makanan tunggal (tidak ada alternatif)	Pemasok utama berhenti beroperasi mendadak	Kelangkaan bahan baku dapur; batalnya event catering; kerugian pendapatan ~Rp 200 jt/bulan
S-02	Kenaikan UMP (Upah Minimum Provinsi) Jawa Tengah + tekanan inflasi	Biaya tenaga kerja meningkat 15% di atas anggaran	Margin operasional turun; layoff terpaksa jika tidak ada efisiensi lain
S-03	Server pemesanan kamar menggunakan server lokal tanpa redundansi	Server pemesanan down saat musim liburan puncak	Reservasi hilang; kehilangan pendapatan; kerusakan reputasi di platform OTA (Online Travel Agent — Traveloka, Booking.com)
S-04	Fluktuasi kurs (nilai tukar) USD/IDR; peralatan impor dibayar dalam USD	Kurs IDR melemah 10% secara tiba-tiba	Biaya operasional naik; biaya pemeliharaan peralatan impor membengkak ~Rp 50 juta/tahun

Pola yang benar: Cause = kondisi yang ada sekarang • Event = kejadian tidak pasti • Consequence = dampak terukur. Jika Anda bisa mengisi ketiga kolom, skenario Anda sudah terstruktur.

Sekarang kita terapkan kerangka cause-event-consequence pada kasus nyata perusahaan jasa di Indonesia. Perhatikan skenario pertama: cause-nya adalah ketergantungan pada satu pemasok bahan makanan tanpa alternatif — ini kondisi yang sudah ada hari ini, bukan peristiwa. Event-nya adalah ketika pemasok itu tiba-tiba berhenti beroperasi — sesuatu yang tidak pasti namun mungkin terjadi. Consequence-nya adalah kelangkaan bahan baku yang mengakibatkan batalnya event catering dan kerugian pendapatan sekitar dua ratus juta rupiah per bulan — angka ini adalah estimasi ilustratif untuk tujuan pembelajaran. Perhatikan skenario ketiga yang sangat relevan di era digital: server pemesanan kamar yang tidak memiliki redundansi adalah cause, downtime saat musim liburan adalah event, dan hilangnya reservasi serta kerusakan reputasi di platform OTA adalah consequence. Di perusahaan nyata, tim manajemen risiko akan mengisi tabel seperti ini untuk puluhan bahkan ratusan risiko, itulah mengapa mereka membutuhkan struktur yang konsisten agar semua orang dalam organisasi menggunakan bahasa yang sama saat membicarakan risiko.

Bagian 2 dari 4

Risk Register Awal

Dari skenario bebas ke database risiko terstruktur — kolom standar, kode ID, dan estimasi awal kemungkinan serta dampak sebelum analisis kuantitatif (pra-analisis).

Risk Register — Database Risiko Terstruktur

Risk register adalah daftar tertulis seluruh risiko yang telah diidentifikasi, lengkap dengan atribut dasar masing-masing. Ia adalah output utama tahap identifikasi risiko.

ID Risiko	Deskripsi Singkat	Sumber / Cause	Kategori	K (1–5)	D (1–5)	Risk Score	Pemilik Risiko
R-001	…	…	…	…	…	…	…

Risk register bukan dokumen sekali jadi. Ia adalah living document (dokumen hidup) yang diperbarui setiap siklus penilaian risiko — minimal tahunan, atau saat ada perubahan signifikan bisnis. K = Kemungkinan; D = Dampak; Risk score (skor risiko) = K × D, dipakai untuk membandingkan dan memprioritaskan risiko. Pemilik risiko (risk owner) = individu atau unit yang bertanggung jawab memantau dan mengelola risiko tertentu.

Risk register adalah dokumen paling penting dalam sistem manajemen risiko sebuah organisasi — ia adalah inventaris lengkap semua risiko yang sudah diidentifikasi. Jika Anda bekerja di perusahaan publik Indonesia yang terdaftar di BEI (Bursa Efek Indonesia), perusahaan Anda wajib mengungkapkan kebijakan dan profil risiko dalam laporan tahunan kepada OJK dan publik, dan isi dari pengungkapan itu berasal dari risk register yang telah dikelola manajemen. Perhatikan kolom-kolomnya: setiap risiko mendapat nomor ID yang unik agar mudah dirujuk dalam rapat; ada kolom deskripsi singkat, sumber atau penyebab, kategori risiko, estimasi kemungkinan pada skala satu sampai lima, estimasi dampak pada skala yang sama, risk score sebagai hasil perkaliannya, dan siapa pemilik risiko. Saat bisnis berubah — misalnya perusahaan properti membuka lini bisnis baru, atau ada perubahan regulasi besar dari OJK — risk register harus diperbarui agar tetap mencerminkan realitas terkini.

Memahami Setiap Kolom Risk Register

ID Risiko

Kode unik (mis. R-001, OPS-01). Memudahkan referensi silang antar dokumen. Gunakan awalan kategori (OPS- = operasional; FIN- = finansial; REP- = reputasi).

Deskripsi & Sumber

Satu–dua kalimat menjelaskan peristiwa risiko (event) dan sumbernya (cause). Harus spesifik, bukan generik. "Kebakaran gudang akibat instalasi listrik" > "risiko kebakaran".

Kategori

Jenis risiko: strategis, operasional, finansial, kepatuhan/regulasi, reputasi. Berdasarkan RBS (Risk Breakdown Structure — dibahas di Bagian 3).

Kemungkinan (K)

Skala 1–5: 1 = sangat jarang; 5 = hampir pasti. Estimasi awal berdasarkan data historis atau penilaian pakar (expert judgment).

Dampak (D)

Skala 1–5: 1 = tidak signifikan; 5 = sangat besar/kritis. Mencerminkan efek terburuk yang realistis — finansial, reputasi, atau regulasi.

Risk Score (K×D)

Hasil perkalian: rentang 1–25. Digunakan untuk plotting di heat map dan menentukan prioritas. Ini adalah estimasi awal — akan diperhalus di Pertemuan 6.

Sebelum kita mengisi risk register, penting untuk memahami mengapa setiap kolom ada di sana. Kolom ID risiko mungkin tampak sepele, tetapi dalam perusahaan besar dengan ratusan risiko, kode unik ini sangat penting — seorang direktur bisa langsung menyebut "saya ingin membahas OPS-02" alih-alih harus mendeskripsikan ulang. Untuk kolom deskripsi, biasakan menulis spesifik. Kolom kemungkinan dan dampak pada tahap ini adalah estimasi awal yang bersifat kualitatif — Anda mengandalkan data historis jika ada, atau penilaian para pakar di bidang tersebut. Jangan terlalu khawatir soal keakuratannya di sini karena kita akan memperhalusnya di Pertemuan 6 ketika membahas analisis risiko. Yang terpenting sekarang adalah memastikan semua risiko sudah terdokumentasi dan memiliki estimasi awal yang masuk akal.

Hitung dari Nol — HDN-2: Risk Register Hotel Nusantara (8 Entri)

Melanjutkan kasus Hotel Nusantara. Risk register awal — 8 risiko, kolom lengkap. Risk Score = K × D.

ID	Deskripsi Singkat (Event)	Sumber (Cause)	Kategori	K	D	Score
OPS-01	Pemasok utama bahan makanan berhenti beroperasi	Ketergantungan pemasok tunggal	Operasional	2	4	2×4=8
OPS-02	Server pemesanan kamar down ≥24 jam	Server lokal tanpa redundansi	Operasional	3	4	3×4=12
FIN-01	Biaya operasional membengkak akibat pelemahan rupiah	Eksposur (nilai terancam) USD pada kontrak peralatan	Finansial	3	3	3×3=9
FIN-02	Gagal bayar pinjaman bank akibat arus kas negatif	Penurunan drastis tingkat hunian (occupancy rate)	Finansial	2	5	2×5=10
HRM-01	Kenaikan UMP melampaui anggaran tenaga kerja	Penetapan UMP tahunan Gubernur Jawa Tengah + inflasi	Operasional	4	3	4×3=12
REP-01	Ulasan negatif viral di media sosial (Traveloka, Google)	Keluhan tamu yang tidak tertangani	Reputasi	3	4	3×4=12
STR-01	Hotel pesaing baru (bintang 4+) buka dalam 2 km	Pertumbuhan pasar menarik investor baru	Strategis	3	3	3×3=9
KEP-01	Pelanggaran peraturan keselamatan kebakaran	SOP tidak diperbarui; staf kurang terlatih	Kepatuhan	2	5	2×5=10

Skor tertinggi: OPS-02, HRM-01, REP-01 (score=12) — masih Zona Sedang (8–14). FIN-02 & KEP-01 (score=10) berada di kolom D=5 — jika K naik 1 poin, langsung masuk Zona Merah (≥15). Waspada.

Inilah inti latihan hari ini: membangun risk register dari nol untuk Hotel Nusantara. Perhatikan cara mengisi setiap entri — angka kemungkinan dan dampak tidak dikarang secara sembarangan, tetapi mempertimbangkan konteks industri perhotelan di Indonesia. Ambil contoh HRM-01: kemungkinan kenaikan UMP melampaui anggaran diberi nilai empat dari lima, karena UMP Jawa Tengah ditetapkan ulang setiap tahun oleh Gubernur berdasarkan formula yang mempertimbangkan inflasi dan pertumbuhan ekonomi — dan dalam beberapa tahun terakhir angkanya cenderung naik. Sedangkan KEP-01, pelanggaran peraturan keselamatan kebakaran, kemungkinannya diberi dua karena inspeksi kebakaran tidak terjadi setiap bulan, tetapi dampaknya diberi lima karena jika terjadi kebakaran tanpa SOP yang benar, akibatnya bisa berupa korban jiwa, pencabutan izin usaha, dan tuntutan hukum. Verifikasi aritmetika: semua 8 entri benar — OPS-02: 3×4=12, HRM-01: 4×3=12, REP-01: 3×4=12, FIN-02: 2×5=10, KEP-01: 2×5=10.

Bagian 3 dari 4

RBS & Risk Map 5×5

Mengorganisir risiko dalam hierarki (Risk Breakdown Structure) lalu memvisualisasikannya dalam heat map dua dimensi: kemungkinan × dampak.

Risk Breakdown Structure (RBS) — Pohon Hierarki Risiko

RBS (Risk Breakdown Structure) mengorganisir risiko dari level umum ke level spesifik — memastikan identifikasi risiko komprehensif dan tidak ada kategori yang terlewat.

RBS adalah peta kategori, bukan daftar risiko. Gunakan sebagai checklist: "Apakah kita sudah mengidentifikasi risiko di setiap cabang ini?" Rantai pasok (supply chain) = jaringan pemasok dan proses hingga ke konsumen.

Risk Breakdown Structure adalah alat yang dipinjam dari dunia manajemen proyek — analog dengan Work Breakdown Structure yang mungkin sudah Anda kenal. RBS bukan daftar risiko; ia adalah peta kategori risiko yang memastikan Anda tidak lupa memeriksa satu kelompok risiko pun saat melakukan identifikasi. Bayangkan Anda memimpin sesi identifikasi risiko untuk sebuah perusahaan jasa — tanpa RBS, tim Anda mungkin hanya mengidentifikasi risiko operasional karena itulah yang paling terasa sehari-hari, dan lupa memeriksa risiko reputasi atau risiko kepatuhan regulasi. Dengan RBS, Anda memiliki checklist struktural. Level dua di slide ini adalah contoh; dalam praktik nyata, perusahaan bisa mengembangkan RBS sampai tiga atau empat level tergantung kompleksitas bisnisnya. Laporan tahunan perusahaan publik Indonesia seperti PT Bank Mandiri atau BSDE biasanya menampilkan RBS mereka dalam seksi manajemen risiko.

Skala Standar 5×5: Kemungkinan & Dampak

Sebelum memplot ke heat map, definisikan dulu skala — agar semua orang dalam organisasi menggunakan tolok ukur yang sama.

Kemungkinan (K)

Nilai	Label	Deskripsi
5	Hampir Pasti	>75% kemungkinan terjadi dalam 1 tahun
4	Sangat Mungkin	50–75%
3	Mungkin	25–50%
2	Jarang	5–25%
1	Sangat Jarang	<5% atau <1× per 10 tahun

Dampak (D)

Nilai	Label	Contoh
5	Sangat Besar	Ancaman keberlangsungan usaha; kerugian >10% omzet
4	Besar	Kerugian signifikan; gangguan operasi >1 minggu
3	Sedang	Kerugian terbatas; pemulihan <1 minggu
2	Kecil	Dampak minor; pemulihan dalam 1 hari
1	Tidak Signifikan	Dampak sangat kecil; dapat diabaikan

Skala ini tidak universal — tiap organisasi menetapkan skala sesuai konteksnya. Omzet = total pendapatan penjualan. UKM (Usaha Kecil dan Menengah) dengan omzet Rp 1 miliar mendefinisikan "dampak besar" secara berbeda dibanding bank besar dengan aset Rp 100 triliun.

Sebelum Anda memplotkan risiko ke heat map, ada langkah kritis yang sering dilewati oleh pemula: mendefinisikan skala kemungkinan dan dampak secara eksplisit dan mendokumentasikannya. Tanpa definisi yang jelas, dua orang bisa memberikan nilai kemungkinan berbeda untuk risiko yang sama hanya karena mereka memiliki persepsi yang berbeda tentang apa artinya mungkin. Tabel di slide ini adalah contoh skala standar yang bisa Anda adaptasi untuk berbagai jenis organisasi — tetapi perhatikan catatan penting di callout: skala ini tidak satu ukuran untuk semua. Ini adalah alasan mengapa perusahaan-perusahaan besar memiliki dokumen Risk Appetite Statement yang mendefinisikan secara formal seberapa besar risk appetite atau selera risiko mereka — yaitu seberapa besar risiko yang siap mereka terima demi mencapai tujuan bisnis. Untuk latihan hari ini, kita akan menggunakan skala di tabel ini sebagai patokan.

Risk Score: Mengukur Prioritas Risiko

Risk score adalah cara sederhana menggabungkan dua dimensi risiko menjadi satu angka untuk keperluan perbandingan dan prioritisasi.

Risk Score = K × D | K = Kemungkinan (1–5) • D = Dampak (1–5) • Score: 1–25

Risk Score	Zona	Warna	Tindakan Umum
15–25	Tinggi / Kritis	Merah	Tindakan segera; mitigasi prioritas utama
8–14	Sedang	Kuning/Oranye	Perlu rencana penanganan; pantau rutin
1–7	Rendah	Hijau	Terima atau pantau berkala

Risk score bukan satu-satunya dasar keputusan. Risiko dengan score rendah tapi berdampak fatal bagi reputasi (mis. skandal korupsi) tetap perlu prioritas khusus — pertimbangan kualitatif selalu penting di samping perhitungan angka.

Risk score adalah alat yang elegan karena kesederhanaannya: dua angka dikalikan menghasilkan satu angka yang bisa dibandingkan secara langsung di antara semua risiko. Sebuah risiko dengan kemungkinan tiga dan dampak empat menghasilkan score dua belas, sedangkan risiko dengan kemungkinan empat dan dampak tiga juga menghasilkan dua belas — keduanya berada di zona yang sama meskipun cara mereka berbahaya berbeda. Tabel di slide ini menunjukkan tiga zona standar — merah untuk risiko tinggi yang membutuhkan tindakan segera, kuning atau oranye untuk risiko sedang yang perlu rencana penanganan, dan hijau untuk risiko rendah yang bisa diterima atau dipantau berkala. Perhatikan peringatan di callout: metode kuantitatif sederhana ini memiliki keterbatasan. Risiko reputasi seperti terungkapnya praktik korupsi di manajemen bisa memiliki score relatif rendah karena kemungkinannya dianggap kecil, tetapi dampak sistemiknya terhadap kepercayaan publik, harga saham, dan izin operasional bisa sangat besar dan tidak tertangkap sepenuhnya oleh angka. Itulah mengapa penilaian kualitatif oleh pakar tetap diperlukan.

Heat Map 5×5 — Visualisasi Posisi Risiko

Heat map memvisualisasikan posisi setiap risiko dalam matriks Kemungkinan (sumbu Y) × Dampak (sumbu X). Warna sel ditentukan oleh skor (K × D), bukan posisi kolom.

Penting untuk pemula: Warna sel ditentukan oleh skor (K×D), bukan posisi kolom. Sel D=5, K=2 menghasilkan skor 10 → tetap berwarna kuning/sedang, walaupun letaknya di tepi kanan matriks. Jangan biarkan posisi visual menyesatkan penilaian zona.

Heat map adalah representasi visual yang paling sering Anda lihat dalam laporan manajemen risiko perusahaan karena ia menyampaikan banyak informasi secara sekaligus dalam satu gambar. Sumbu vertikalnya adalah kemungkinan dari satu di bawah sampai lima di atas, dan sumbu horizontalnya adalah dampak dari satu di kiri sampai lima di kanan. Setiap risiko direpresentasikan sebagai titik atau label pada sel yang sesuai. Warna sel memberikan informasi zona secara visual. Satu hal yang perlu Anda catat: batas antar zona tidak selalu sama persis antara satu organisasi dengan organisasi lain. Perusahaan yang lebih konservatif dalam appetite risikonya — misalnya bank atau perusahaan asuransi — mungkin menetapkan batas zona merah di score dua belas ke atas. Definisi zona ini harus didokumentasikan dalam kebijakan manajemen risiko perusahaan.

Coba Sendiri: Plot Risiko ke Matriks 5×5

Geser posisi kemungkinan dan dampak sebuah risiko pada grid 5×5, lalu amati skor dan zona keputusan (4T) yang otomatis terbentuk.

Hitung dari Nol — HDN-3: Memplot Risiko Hotel Nusantara ke Heat Map

Rekap posisi 8 risiko dari risk register:

ID	K	D	Score	Zona
OPS-01	2	4	8	Sedang
OPS-02	3	4	12	Sedang (oranye)
FIN-01	3	3	9	Sedang
FIN-02	2	5	10	Sedang
HRM-01	4	3	12	Sedang (oranye)
REP-01	3	4	12	Sedang (oranye)
STR-01	3	3	9	Sedang
KEP-01	2	5	10	Sedang

Tidak ada risiko di zona merah (≥15) saat ini. Namun FIN-02 & KEP-01 berada di kolom D=5: jika K naik 1 poin → score menjadi 15 → langsung Zona Merah. Ini disebut "risiko laten". Ingat: warna didasarkan pada skor, bukan posisi kolom.

Inilah momen di mana semua kerja di bagian sebelumnya terbayar: kita memplot delapan risiko Hotel Nusantara ke dalam heat map dan secara visual langsung terlihat mana yang lebih mendesak. Cara membaca koordinatnya sederhana: ambil nilai K dari risk register sebagai posisi vertikalnya dan nilai D sebagai posisi horizontalnya. OPS-02 ada di koordinat K=3 dan D=4, zone oranye dengan score dua belas; 3 dikali 4 sama dengan 12. HRM-01 di K=4, D=3, juga score dua belas; 4 dikali 3 sama dengan 12. Keduanya satu level di bawah zona merah tetapi arahnya berbeda: OPS-02 perlu dikurangi dampaknya, HRM-01 perlu dikurangi kemungkinannya. Perhatikan FIN-02 dan KEP-01 yang berada di kolom dampak lima — mereka ada di tepi kanan heat map. Namun jangan tertipu oleh posisi visualnya: kedua sel ini tetap berwarna kuning/sedang karena penentuan warna didasarkan pada skor K kali D, bukan posisi kolom. FIN-02 dengan K=2 dan D=5 menghasilkan skor 10, yang masih di rentang sedang. Inilah yang disebut "risiko laten" — tidur di zona sedang tetapi berpotensi meledak.

Studi Kasus: Risk Map Perusahaan Properti Indonesia

Konteks: Emiten properti LQ45 (indeks 45 saham paling likuid di BEI) seperti PT Bumi Serpong Damai / BSDE menghadapi dua tekanan sekaligus di 2022–2023.

Risiko Material Bangunan

Cause: Gangguan rantai pasok global (baja, semen)
Event: Harga material naik 20–30% mendadak
K=4, D=4 → Score = 4×4 = 16 → ZONA MERAH

Risiko Suku Bunga KPR

Cause: BI Rate naik untuk kendalikan inflasi
Event: Suku bunga KPR bank komersial naik 200–300 bps (basis points — 1 bps = 0,01%)
K=4, D=4 → Score = 4×4 = 16 → ZONA MERAH

Kedua risiko muncul bersamaan di 2022–2023: BI Rate naik dari 3,5% → 6,0% dalam 18 bulan + harga baja naik >40%. Perusahaan properti menghadapi tekanan ganda. Kedua risiko ini adalah contoh risk interdependency yang akan dibahas di Bagian 4.

Kita tinggalkan contoh hotel dan bergerak ke industri yang lebih besar: perusahaan properti yang terdaftar di Bursa Efek Indonesia. Perusahaan seperti BSDE atau CTRA memiliki profil risiko yang sangat dipengaruhi oleh kondisi makroekonomi Indonesia, dan tahun 2022 hingga 2023 adalah contoh nyata di mana dua risiko besar menghantam secara bersamaan. Pertama, gangguan rantai pasok global akibat pandemi dan perang Ukraina mendorong harga baja dan semen naik lebih dari empat puluh persen — ini risiko material yang langsung menghantam biaya konstruksi. Kedua, Bank Indonesia menaikkan suku bunga acuannya dari 3,5 persen di awal 2022 menjadi enam persen pada akhir 2022, dan bank komersial mengikutinya dengan menaikkan bunga KPR. Bagi pembeli properti, cicilan bulanan langsung membengkak. Kedua risiko ini jika dinilai secara independen masing-masing mendapat kemungkinan empat dan dampak empat, menghasilkan score enam belas di zona merah. Tetapi yang lebih berbahaya adalah ketika keduanya terjadi secara bersamaan — efeknya bisa berlipat, tidak sekadar dijumlah.

Praktik Nyata: Risk Map di Laporan Tahunan Emiten Indonesia

Perusahaan publik Indonesia wajib mengungkapkan manajemen risiko dalam Laporan Tahunan (Annual Report) kepada OJK dan pemegang saham — berdasarkan POJK 29/POJK.04/2016.

PT Bank Mandiri (Persero) Tbk

Laporan Tahunan → Bab Manajemen Risiko. Mengungkapkan 8 kategori risiko sesuai POJK: kredit, pasar, likuiditas, operasional, hukum, reputasi, strategis, kepatuhan. Profil risiko disajikan dalam format matriks kemungkinan × dampak.

Emiten Properti (BSDE/CTRA)

Laporan Tahunan → Seksi Faktor Risiko. Berisi identifikasi risiko per kategori (RBS), penjelasan cause–consequence, dan gambaran strategi mitigasi. Format kualitatif namun terstruktur sesuai standar internasional.

Cara belajar paling efektif: unduh laporan tahunan dari idx.co.id (Bursa Efek Indonesia — portal resmi data emiten), buka seksi manajemen risiko, dan identifikasi apakah struktur RBS dan cause→event→consequence-nya konsisten dengan yang kita pelajari hari ini.

Salah satu cara belajar manajemen risiko yang paling efektif adalah membaca laporan tahunan perusahaan publik Indonesia langsung dari sumbernya. Unduh laporan tahunan PT Bank Mandiri dari situs Bursa Efek Indonesia di idx.co.id, kemudian buka bab yang berjudul Manajemen Risiko atau Profil Risiko. Anda akan menemukan laporan yang sangat terstruktur tentang delapan kategori risiko yang wajib dilaporkan sesuai regulasi OJK. Perhatikan apakah Anda bisa mengenali kerangka RBS dan cause-event-consequence dalam cara mereka menguraikan risiko — jawabannya hampir pasti ya, karena standar internasional yang kita pelajari hari ini memang menjadi basis regulasi perbankan Indonesia. Untuk perusahaan properti seperti BSDE atau CTRA, seksi Faktor Risiko dalam laporan tahunan mereka akan menunjukkan bagaimana mereka mengidentifikasi dan mengkomunikasikan risiko kepada investor. Latihan membaca laporan risiko nyata ini akan sangat berharga ketika Anda kelak bekerja di perusahaan dan diminta menyusun laporan serupa.

Bagian 4 dari 4

Interaksi Antar-Risiko & Rangkuman

Risiko jarang berdiri sendiri — risk interdependency menentukan mengapa urutan penanganan risiko lebih kompleks dari sekadar mengurutkan skor tertinggi.

Risk Interdependency — Rantai Pemicu Risiko

Risiko-risiko saling berinteraksi: satu peristiwa dapat menjadi trigger (pemicu) bagi peristiwa risiko lainnya.

Implikasi: Mengurangi satu risiko (mis. R3) tanpa menangani hulunya (R1, R2) akan terus menghasilkan tekanan. Strategi terbaik: identifikasi root cause (penyebab akar) dan putus rantai di titik paling efektif. Hedging suku bunga = kontrak swap untuk melindungi diri dari perubahan suku bunga.

Rantai risiko yang ada di diagram ini bukanlah skenario hipotesis — ini kurang lebih yang terjadi di industri properti Indonesia pada periode 2022 hingga 2023 ketika suku bunga acuan Bank Indonesia naik secara signifikan. Perhatikan betapa satu peristiwa eksternal — kenaikan BI Rate — menghasilkan efek domino yang bergerak melalui lima jenis risiko berbeda secara berurutan. R1 adalah risiko makroekonomi yang benar-benar di luar kendali perusahaan properti mana pun. Tetapi R2 ke bawah semakin bisa dipengaruhi oleh kebijakan internal perusahaan. Perusahaan yang memasarkan produk KPR bersubsidi pemerintah seperti FLPP, misalnya, lebih terlindungi dari R3. Implikasinya untuk manajemen risiko: saat Anda mengidentifikasi rantai interaksi seperti ini, Anda tahu bahwa memilih titik intervensi yang tepat jauh lebih efisien daripada bereaksi di setiap titik secara terpisah.

Kasus Konkret: Bagaimana Perubahan BI Rate Menggeser Risk Map

Saat BI Rate naik, profil risiko perusahaan properti bergeser — risiko yang semula di zona sedang bisa pindah ke zona merah.

Sebelum Kenaikan BI Rate

Risiko Permintaan Turun: K=2, D=4 → Score = 2×4 = 8 (Zona Sedang)

Risiko Gagal Bayar Kredit: K=1, D=5 → Score = 1×5 = 5 (Zona Hijau)

Risk map: kedua risiko di zona aman/sedang.

Setelah BI Rate Naik 250 bps

Risiko Permintaan Turun: K=4, D=4 → Score = 4×4 = 16 (Zona Merah)

Risiko Gagal Bayar Kredit: K=3, D=5 → Score = 3×5 = 15 (Zona Merah)

Risk map: keduanya pindah ke zona merah.

Ini menunjukkan mengapa risk map harus diperbarui saat ada perubahan eksternal signifikan — bukan dokumen tahunan saja. Risk map adalah foto kondisi saat ini, bukan foto permanen.

Slide ini melengkapi konsep interdependency dengan menunjukkan secara visual bagaimana satu kejadian eksternal dapat mengubah seluruh lanskap risk map perusahaan. Sebelum kenaikan BI Rate, dua risiko utama perusahaan properti berada di zona yang masih terkendali: risiko penurunan permintaan dengan K=2 dan D=4 menghasilkan score delapan di zona sedang; 2 dikali 4 sama dengan 8. Risiko gagal bayar kredit dengan K=1 dan D=5 menghasilkan score lima di zona hijau; 1 dikali 5 sama dengan 5. Kemudian BI Rate naik dua ratus lima puluh basis point. Kemungkinan penurunan permintaan melonjak dari dua menjadi empat — scorenya langsung jadi enam belas; 4 dikali 4 sama dengan 16, masuk zona merah. Risiko gagal bayar kredit scorenya menjadi lima belas; 3 dikali 5 sama dengan 15, juga masuk zona merah. Pelajaran pentingnya: risk map bukan foto permanen. Perusahaan yang baik memiliki mekanisme untuk me-review dan memperbarui risk map mereka secara periodik, atau bahkan secara real-time saat ada trigger yang signifikan.

Lima Kesalahan Umum dalam Pemetaan Risiko

Kesalahan 1

Mencampur cause, event, dan consequence — menulis "risiko kerugian finansial" padahal itu consequence, bukan event. Pisahkan dengan ketat menggunakan tiga kolom skenario.

Kesalahan 2

Skala tidak didefinisikan — memberi nilai K=4 tanpa mendefinisikan apa artinya "4" untuk konteks organisasi ini. Buat tabel definisi skala lebih dahulu sebelum mengisi register.

Kesalahan 3

Risk register statis — mengisi satu kali saat proyek dimulai lalu tidak pernah diperbarui. Register yang usang lebih berbahaya dari tidak punya register sama sekali — memberikan rasa aman palsu.

Kesalahan 4

Mengabaikan risk interdependency — menilai setiap risiko secara independen dan melewatkan efek rantai. Selalu tanyakan: "Jika risiko ini terjadi, risiko apa lagi yang terpicu?"

Kesalahan 5

Terlalu percaya pada angka — menolak mempertimbangkan risiko karena score-nya rendah, padahal ada dimensi kualitatif (reputasi, etika) yang tidak tertangkap oleh angka K×D semata.

Sebelum menyerahkan risk register atau heat map ke atasan: cek lima poin ini. Temukan minimal satu yang harus diperbaiki.

Dari berbagai kesalahan yang saya amati dalam laporan manajemen risiko — baik dari mahasiswa maupun dari praktisi yang baru memulai — ada lima yang paling sering muncul. Kesalahan pertama adalah yang paling fundamental: mencampur tiga lapisan skenario. Jika Anda menulis "risiko penurunan penjualan" sebagai risiko, Anda sebenarnya tidak jelas apakah itu event atau consequence — dan ambiguitas itu akan mempersulit perancangan mitigasinya. Kesalahan kedua tentang skala: tanpa definisi yang ditetapkan bersama, nilai K=4 bagi satu manajer mungkin berarti satu kali per tahun, sementara bagi manajer lain artinya satu kali per bulan — hasilnya adalah risk map yang tidak konsisten. Kesalahan ketiga tentang pembaruan: risk register yang tidak diperbarui secara periodik lebih berbahaya dari tidak punya risk register sama sekali, karena memberikan rasa aman palsu. Kesalahan keempat sering terjadi pada analis risiko yang terlalu fokus pada analisis kuantitatif sehingga lupa melihat gambaran besar bagaimana risiko saling terhubung. Dan kesalahan kelima tentang terlalu percaya angka adalah yang paling sulit diatasi.

Rangkuman — Alur: Identifikasi → Skenario → Register → Map

Alat	Tujuan	Output	Kapan Dipakai
Skenario C→E→C	Mengurai risiko menjadi lapisan cause, event, consequence	Tabel skenario terstruktur	Setiap risiko diidentifikasi
Risk Register	Mendokumentasikan semua risiko dengan atribut standar	Database / spreadsheet risiko	Seluruh siklus manajemen risiko
RBS	Memastikan kelengkapan kategori risiko	Pohon hierarki kategori	Saat merancang atau review register
Heat Map 5×5	Memvisualisasikan prioritas risiko secara dua dimensi	Matriks berwarna dengan titik risiko	Presentasi ke manajemen / komite
Risk Interdependency	Memetakan rantai pemicu antar-risiko	Diagram rantai atau matriks korelasi	Analisis risiko lanjutan

Urutan kerja: RBS → Skenario C→E→C → Register → Score (K×D) → Heat Map → Analisis Interdependency. Matriks korelasi = tabel yang menunjukkan seberapa erat hubungan antara dua risiko.

Untuk menutup pertemuan, mari kita rangkum alur kerja lengkap dari identifikasi risiko hingga pemetaan. Titik awalnya adalah RBS — Anda perlu tahu kategori-kategori risiko apa saja yang relevan untuk bisnis Anda sebelum mulai mengidentifikasi. Dari RBS, Anda melakukan identifikasi risiko menggunakan teknik-teknik yang sudah dibahas di Pertemuan 3 dan 4. Setiap risiko yang teridentifikasi kemudian distrukturkan dalam kerangka cause-event-consequence. Risiko-risiko yang sudah terstruktur ini lalu dimasukkan ke dalam risk register dengan semua atribut standarnya. Dari register, Anda menghitung risk score dan memplotkannya ke heat map 5x5. Terakhir, Anda menganalisis interdependency antar-risiko untuk memastikan Anda tidak melewatkan efek rantai yang tidak terlihat dari analisis individual. Kelima alat ini bekerja bersama-sama sebagai satu sistem.

Latihan & Diskusi Kelas

Latihan 1 — Skenario & Register

Pilih satu bisnis jasa yang Anda kenal (mis. bengkel motor, warung makan, salon). Identifikasi minimal 5 risiko, buat skenario C→E→C untuk masing-masing, lalu isikan ke dalam risk register sederhana (ID, deskripsi, kategori, K, D, score).

Waktu: 10 menit.

Latihan 2 — Heat Map

Dari 5 risiko di Latihan 1, plotkan ke matriks 5×5 pada kertas atau papan tulis. Tentukan:
(a) Risiko mana di zona merah?
(b) Jika ada risiko yang berinteraksi dengan risiko lain, jelaskan rantainya (risk interdependency).

Diskusikan: Apakah dua perusahaan sejenis (mis. dua hotel berbintang) akan memiliki risk map yang identik? Mengapa ya atau tidak? Pertimbangkan: komposisi tamu, kondisi gedung, pengalaman manajemen, dan toleransi risiko pemilik.

Waktunya mengerjakan latihan, karena pemahaman tentang risk register dan heat map hanya benar-benar mengendap ketika Anda mencoba sendiri, bukan hanya melihat contoh dari dosen. Untuk Latihan 1, pilih bisnis jasa yang Anda kenal dari kehidupan sehari-hari — bisa bengkel motor yang biasa Anda kunjungi, warung makan favorit, atau salon tempat Anda berlangganan. Kemudian identifikasi lima risiko untuk bisnis itu, buat skenarinya, dan isikan ke dalam risk register. Jangan khawatir soal apakah skenario Anda benar — di tahap identifikasi ini tidak ada jawaban yang benar atau salah, yang penting terstruktur. Untuk pertanyaan diskusinya: apakah dua hotel berbintang di kota yang sama akan memiliki risk map yang identik? Jawabannya tidak, bahkan jika ukuran dan segmen pasarnya sama, karena komposisi tamu mereka berbeda, kondisi infrastruktur gedungnya berbeda, pengalaman manajemennya berbeda, dan toleransi risiko pemiliknya berbeda — dan itulah yang membuat manajemen risiko adalah ilmu yang tidak bisa di-copy-paste antar perusahaan.

Pertemuan 5 — Selesai

Rangkuman 4 Blok

Blok 1: Setiap risiko diurai menjadi cause → event → consequence — tiga lapisan yang memandu strategi mitigasi berbeda.
Blok 2: Risk register adalah database risiko hidup dengan kolom ID, deskripsi, sumber, kategori, K, D, dan score.
Blok 3: RBS memastikan kelengkapan identifikasi; heat map 5×5 memvisualisasikan prioritas risiko berdasarkan skor K×D.
Blok 4: Risiko berinteraksi — kenali rantai pemicu untuk memilih titik intervensi yang paling efektif.

Persiapan Pertemuan 6 — Analisis Risiko

Topik: dari identifikasi ke kuantifikasi — expected loss (kerugian yang diharapkan = probabilitas × kerugian jika terjadi), probability distributions, Value at Risk (VaR) sederhana.
Tugas: Baca kembali risk register Hotel Nusantara (HDN-2). Pikirkan: bagaimana Anda akan mengkonversi estimasi K dari skala 1–5 menjadi angka probabilitas, dan D menjadi nilai kerugian dalam rupiah?

Pertemuan 6 — Analisis Risiko →

Kita telah menempuh perjalanan yang cukup panjang hari ini: dari mengurai skenario risiko secara berlapis, membangun risk register dari nol, menggambar RBS, memplot heat map 5x5, sampai memahami bagaimana risiko saling berinteraksi dalam rantai pemicu. Semua ini adalah fondasi dari proses identifikasi risiko yang komprehensif. Di Pertemuan 6, kita akan naik ke tahap berikutnya: analisis risiko, di mana kita tidak hanya menyebut kemungkinan dan dampak dalam skala satu sampai lima, tetapi mulai mengkonversi estimasi itu menjadi angka probabilitas dan nilai rupiah yang lebih presisi. Konsep seperti expected loss dan Value at Risk yang akan kita bahas membutuhkan fondasi yang sudah kita bangun hari ini. Sebagai persiapan, saya minta Anda membaca kembali risk register Hotel Nusantara yang kita buat tadi, dan mulai berpikir: jika kemungkinan skala tiga itu berarti kira-kira berapa persen peluangnya, dan jika dampak skala empat berarti kerugian sekitar berapa rupiah? Intuisi awal itu yang akan kita tajamkan di Pertemuan 6. Sampai jumpa minggu depan.