Program Studi Manajemen • FEB UNDIP

Manajemen Resiko Bisnis

Pertemuan 13 — Penyusunan Risk Register:
Konsep, Struktur & Desain

Dari identifikasi ke perlakuan: satu dokumen yang menyatukan seluruh proses manajemen risiko.

RPS Minggu 14 • Sub-CPMK 12 • Durasi 2 × 50 Menit

ID Risiko Kategori Level

Selamat datang di Pertemuan 13 — kita sudah hampir di ujung perjalanan mata kuliah ini, dan hari ini kita akan merakit semua yang sudah Anda pelajari ke dalam satu dokumen kerja nyata yang disebut risk register. Bayangkan dua belas pertemuan sebelumnya sebagai bahan-bahan: Anda sudah belajar mengidentifikasi risiko, menganalisisnya dengan matriks kemungkinan dan dampak, memilih strategi mitigasi — nah, risk register adalah "lemari arsip" profesional yang menyimpan semua itu secara terstruktur. Tanpa risk register, informasi risiko tersebar di memo berbeda, kepala orang berbeda, atau tidak tercatat sama sekali — dan hasilnya risiko jatuh ke celah organisasi tanpa ada yang bertanggung jawab. Di akhir pertemuan ini, Anda akan bisa merancang sendiri template risk register standar dan mengisinya untuk tiga jenis risiko yang berbeda, termasuk menghitung risk score sebelum dan sesudah kontrol. Glosarium: risk register = dokumen terstruktur berisi daftar lengkap risiko beserta informasi analisis dan perlakuan yang berkaitan.

Tujuan Pembelajaran Pertemuan 13

Setelah pertemuan ini, Anda diharapkan mampu menyusun risk register (Sub-CPMK 12). Secara rinci:

Capaian 1 — Konsep

Menjelaskan definisi dan fungsi risk register sebagai dokumen manajemen risiko terpusat.

Capaian 2 — Desain

Merancang template risk register dengan 17 kolom minimum-praktis untuk satu organisasi.

Capaian 3 — Kalkulasi

Membedakan dan menghitung inherent, residual, dan target risk menggunakan matriks 5×5.

Capaian 4 — Pengisian

Mengisi minimal 3 entri risiko lengkap termasuk semua kolom dan kalkulasi matriks.

Tanpa Register, Risiko Jatuh ke Celah

Kasus ilustrasi: Bank X (nama disamarkan) mengalami kerugian Rp 230 miliar akibat fraud karyawan cabang — risiko yang sudah diidentifikasi dua tahun sebelumnya oleh audit internal, tetapi tidak pernah tercatat secara formal.

MASALAH

Tidak ada risk owner (pemilik risiko — individu yang bertanggung jawab memantau risiko tertentu) yang ditetapkan → tidak ada yang bertanggung jawab memantau → kontrol tidak diterapkan → fraud terjadi.

SOLUSI

Risk register yang baik menetapkan: siapa pemilik risiko, kontrol apa yang ada, kapan ditinjau, dan apa status saat ini — semua tertulis, semua bisa diaudit.

Diskusi kelas: Menurut Anda, siapa yang seharusnya bertanggung jawab atas risiko fraud di cabang: Direktur Utama, Kepala Cabang, atau Divisi Kepatuhan?

Saya mulai dengan pertanyaan: pernahkah Anda bekerja di tempat di mana "semua orang tahu ada masalah, tapi tidak ada yang menangani"? Itulah yang terjadi ketika risiko tidak dicatat secara formal — ia menjadi pengetahuan tersembunyi yang hanya ada di kepala beberapa orang, lalu menguap saat mereka pindah jabatan atau resign. Kasus yang saya gambarkan di slide ini bersifat ilustratif — tetapi polanya bukan fiksi: dokumentasi risiko operasional yang lemah adalah kelemahan tata kelola yang sering ditemukan dalam pemeriksaan di berbagai organisasi, termasuk perbankan Indonesia. Risk register memecahkan masalah ini dengan satu prinsip sederhana: kalau tidak tertulis, dianggap tidak ada — dan kalau sudah tertulis, harus ada yang bertanggung jawab. Glosarium: fraud = kecurangan yang dilakukan dengan sengaja untuk keuntungan pribadi atau merugikan pihak lain. Diskusikan dengan teman sebelah: siapa seharusnya jadi risk owner untuk risiko fraud cabang, dan mengapa?

Blok 1 dari 4

Apa & Mengapa
Risk Register

Definisi dan fungsi · Risk register sebagai living document · Siapa pengguna risk register

Definisi & Fungsi Risk Register

"Risk register adalah dokumen atau repositori terstruktur yang merekam semua risiko yang telah diidentifikasi beserta informasi analisis, kontrol yang ada, rencana perlakuan, pemilik risiko, dan status pemantauannya." — ISO 31000:2018 & BPKP

Enam Fungsi Utama:

1 — Inventarisasi

Katalog tunggal semua risiko organisasi — satu sumber kebenaran.

2 — Akuntabilitas

Menetapkan risk owner yang bertanggung jawab secara formal.

3 — Prioritasi

Memisahkan risiko kritis (Extreme/High) dari risiko minor (Low).

4 — Komunikasi

Bahasa bersama antar divisi dan manajemen — tidak ada versi ganda.

5 — Pemantauan

Melacak status kontrol dan perlakuan dari waktu ke waktu.

6 — Kepatuhan

Memenuhi persyaratan regulator: OJK, BPKP (Badan Pengawas Keuangan dan Pembangunan), Kemenkeu.

Definisi ini perlu Anda pahami kata per kata: "dokumen atau repositori (tempat penyimpanan terstruktur) terstruktur" artinya risk register punya format yang konsisten — bukan memo bebas; "semua risiko yang telah diidentifikasi" artinya ia bersifat komprehensif; "beserta informasi analisis, kontrol, perlakuan, pemilik, dan status" artinya setiap baris berisi informasi lengkap, bukan hanya nama risiko. Dari enam fungsi, yang paling sering diremehkan adalah fungsi komunikasi — bayangkan pertemuan direksi di mana divisi keuangan bicara tentang risiko kredit menggunakan istilah satu versi, sementara divisi risiko pakai versi lain; risk register memaksa satu bahasa bersama. Fungsi pemantauan juga krusial: risk register yang diisi sekali lalu disimpan di laci adalah pemborosan — nilainya muncul justru ketika ia diperbarui secara reguler. Untuk BUMN Indonesia, BPKP mewajibkan risk register sebagai bagian dari SPIP (Sistem Pengendalian Intern Pemerintah). GRC = Governance, Risk & Compliance — tiga pilar tata kelola yang saling terkait.

Risk Register sebagai Living Document

Risk register bukan foto sekali jepret — ia adalah rekaman video yang terus berjalan (living document = dokumen hidup yang selalu diperbarui mengikuti kondisi terkini).

Frekuensi review: minimal tahunan (BPKP/Kemenkeu) · triwulanan untuk risiko High–Extreme · segera saat kejadian risiko atau perubahan konteks signifikan.

Analogi yang paling tepat untuk risk register adalah rekam medis pasien di rumah sakit: rekam medis yang baik mencatat riwayat penyakit, obat yang pernah diberikan, hasil tes, dan kondisi terkini — bukan hanya diagnosis pertama kali saat masuk IGD. Begitu pula risk register: ia harus mencerminkan kondisi risiko organisasi hari ini, bukan kondisi dua tahun lalu saat dokumen pertama kali dibuat. Di Indonesia, Peraturan Menteri Keuangan mewajibkan satuan kerja memperbarui risk register minimal satu kali setahun. Salah satu tanda risk register yang "mati" adalah ketika kolom "Tanggal Pembaruan" di semua baris sama persis — itu artinya dokumen hanya diisi sekali saat audit, bukan dikelola secara aktif. Emiten yang tercatat di BEI (Bursa Efek Indonesia) juga diharapkan mengungkapkan pembaruan risk register dalam Annual Report di seksi GRC (Governance, Risk & Compliance).

Siapa Menggunakan Risk Register?

Risk register bukan milik satu divisi — ia adalah instrumen lintas fungsi.

Pengguna	Peran dalam Risk Register	Contoh Aksi
Direksi / BOD	Terima laporan agregat; setujui risk appetite (selera risiko — jumlah risiko yang bersedia diterima)	Review dashboard risiko triwulanan
CRO / Divisi Risiko	Kelola, perbarui, konsolidasi register (CRO = Chief Risk Officer)	Update risk score bulanan
Risk Owner (Ka. Divisi)	Isi & perbarui risiko di unit masing-masing	Lapor status kontrol setiap bulan
Internal Audit	Gunakan register sebagai peta prioritas audit	Pilih risiko High untuk diaudit
Regulator (OJK/BPKP)	Periksa kelengkapan & kualitas register	Pemeriksaan tahunan

Perlu Anda pahami bahwa risk register bukan milik eksklusif divisi manajemen risiko — ia adalah sumber informasi yang dipakai oleh hampir semua lapisan organisasi. BOD (Board of Directors — Dewan Direksi) menggunakannya untuk membuat keputusan strategis: apakah risiko tertentu perlu dialokasikan lebih banyak modal? Risk owner — biasanya kepala divisi — adalah orang yang paling tahu kondisi risiko di unitnya, sehingga merekalah yang harus mengisi dan memperbarui baris-baris yang relevan; ini adalah tanggung jawab operasional, bukan hanya tugas administratif. Divisi audit internal menggunakan risk register sebagai peta jalan: daripada mengaudit semua hal secara acak, mereka memprioritaskan risiko yang skornya tinggi dan kontrolnya lemah. Di Indonesia, OJK (Otoritas Jasa Keuangan) menggunakan risk register bank sebagai salah satu dokumen pemeriksaan utama — kualitas register yang buruk secara langsung mempengaruhi penilaian tingkat kesehatan bank.

Blok 2 dari 4

Anatomi:
17 Kolom Risk Register

Kelompok 1–5: Identitas · Kelompok 6–10: Inherent · Kelompok 11–15: Kontrol & Residual · Kelompok 16–17: Aksi & Status

Blok ini adalah inti teknis pertemuan kita: kita akan membedah 17 kolom yang disusun sebagai minimum praktis berdasarkan prinsip proses ISO 31000:2018 dan praktik pelaporan BPKP/Kemenkeu. ISO 31000 berbasis prinsip — bukan template preskriptif — sehingga tidak ada angka kolom yang dipatok secara normatif; angka 17 adalah rekomendasi minimum agar register memiliki informasi yang cukup bagi pengambilan keputusan dan pertanggungjawaban. Saya kelompokkan 17 kolom itu menjadi empat kluster logis agar lebih mudah diingat: identitas risiko (A), analisis inherent (B), kontrol dan residual (C), serta rencana aksi dan status (D). Beberapa organisasi punya lebih banyak kolom, beberapa lebih sedikit — dan itu wajar karena ISO 31000 memang fleksibel. Mari kita masuk ke masing-masing kelompok secara berurutan.

Kelompok A — Identitas Risiko (Kolom 1–5)

#	Nama Kolom	Isi & Panduan Pengisian
1	ID Risiko	Kode unik alphanumerik, mis. KRD-001 (risiko kredit pertama). Format: [KATEGORI]-[NOMOR URUT]
2	Deskripsi Risiko	Pola wajib: "Risiko bahwa [peristiwa] terjadi [kapan/di mana] sehingga mengakibatkan [dampak]."
3	Risk Owner	Nama jabatan (bukan nama orang) yang bertanggung jawab. Mis: Kepala Divisi Kredit.
4	Tanggal Identifikasi	Tanggal risiko pertama kali dicatat. Format: DD/MM/YYYY.
5	Kategori Risiko	Kredit / Pasar / Operasional / Likuiditas / Hukum / Reputasi / Strategis — pilih satu.

Contoh deskripsi BURUK: "Risiko NPL" (terlalu umum). | BAIK: "Risiko bahwa debitur UMKM tidak mampu membayar cicilan saat perlambatan ekonomi sehingga NPL (Non-Performing Loan — kredit macet >90 hari) melampaui threshold 5% dan memicu persyaratan modal tambahan OJK."

Kelompok B — Analisis Inherent (Kolom 6–10)

Inherent risk = tingkat risiko sebelum kontrol apa pun diterapkan. Bayangkan kondisi tanpa pelindung sama sekali.

#	Nama Kolom	Isi & Panduan
6	Penyebab (Cause)	Faktor pemicu risiko — spesifik: mis. "server berusia 9 tahun, patch terakhir 2022, utilisasi 85%."
7	Dampak (Consequence)	Akibat jika risiko terjadi: kerugian finansial Rp X miliar, reputasi rusak, sanksi regulator.
8	Kemungkinan Inherent (L_i)	Skala 1–5: 1=Sangat Jarang · 2=Jarang · 3=Sedang · 4=Sering · 5=Hampir Pasti. L=4 (Sering) ≈ 1–2× per tahun.
9	Dampak Inherent (I_i)	Skala 1–5: 1=Tidak Signifikan · 2=Minor · 3=Moderat · 4=Mayor · 5=Katastrofik. I=4 (Mayor) = kerugian >1% total aset.
10	Risk Level Inherent	= L_i × I_i · Rentang 1–25 · Low 1–5 Med 6–12 High 13–19 Extreme 20–25

Kelompok kolom inherent ini adalah diagnosis awal: seberapa parah risiko ini secara alamiah, sebelum organisasi berbuat apa pun untuk mengendalikannya? Analogi yang baik: bayangkan Anda menilai bahaya kebakaran di sebuah gedung kayu tua tanpa sistem pemadam, tanpa alarm, tanpa prosedur evakuasi — itulah inherent risk kebakaran di gedung itu. Likelihood = kemungkinan — seberapa besar probabilitas risiko akan terjadi. Consequence = konsekuensi/dampak — akibat negatif yang ditimbulkan jika risiko terjadi. Kolom penyebab dan dampak harus diisi secara spesifik — "penyebab: sistem IT" terlalu umum; versi yang berguna mencantumkan usia sistem, tanggal patch terakhir, dan tingkat utilisasi. Konsistensi skala 1–5 sangat penting agar risk score bisa dibandingkan antar risiko dan antar divisi. Perkalian L×I menghasilkan risk score yang menentukan zona: Low (1–5), Medium (6–12), High (13–19), atau Extreme (20–25) — tabel ambang lengkap beserta implikasi manajerial dibahas di Slide 16.

Kelompok C — Kontrol & Analisis Residual (Kolom 11–15)

Residual risk = tingkat risiko setelah kontrol yang ada diterapkan. Ini kondisi risiko hari ini.

#	Nama Kolom	Isi & Panduan
11	Existing Controls	Kontrol yang sudah berjalan hari ini — bukan yang direncanakan atau idealnya ada.
12	Efektivitas Kontrol	Memadai / Perlu Perbaikan / Tidak Memadai. Penilaian jujur atas kinerja kontrol di lapangan.
13	Kemungkinan Residual (L_r)	Skala 1–5 setelah kontrol. Tidak Memadai = 0 penurunan (L_r = L_i). Memadai = turun 1–2 tingkat.
14	Dampak Residual (I_r)	Skala 1–5 setelah kontrol. I_r ≤ I_i (kontrol mengurangi dampak).
15	Risk Level Residual	= L_r × I_r. Bandingkan dengan inherent: seberapa besar kontrol mengurangi risiko?

Heuristik jembatan: Memadai → turun 1–2 tingkat (L atau I) · Perlu Perbaikan → turun 0–1 tingkat · Tidak Memadai → 0 tingkat penurunan (L_r=L_i, I_r=I_i). Penyimpangan dari rentang wajib disertai justifikasi tertulis di kolom 12.

Kelompok kolom residual inilah yang membedakan risk register yang canggih dari yang sederhana: kita tidak hanya mencatat bahaya, tetapi juga menilai seberapa efektif pertahanan yang sudah ada. Existing controls = pengendalian yang sudah ada — prosedur, kebijakan, sistem, atau aktivitas yang sudah berjalan. Kolom 11 harus diisi dengan kontrol yang sungguh-sungguh sudah berjalan, bukan kontrol yang direncanakan. Kolom 12 adalah penilaian jujur: "Tidak Memadai" adalah alarm merah bahwa celah besar masih terbuka — dan pada kondisi ini angka residual tidak boleh turun sama sekali. Heuristik jembatan adalah panduan awal, bukan angka pasti — kunci pembenaran angka residual adalah mencantumkan alasan kualitatif yang spesifik. Kalkulasi akhir di kolom 15 (L_r × I_r) adalah angka risiko sesungguhnya yang menghadap organisasi hari ini.

Kelompok D — Perlakuan & Status (Kolom 16–17)

Kolom terakhir menjawab: apa yang akan kita lakukan selanjutnya? dan sudah sampai mana?

#	Nama Kolom	Isi & Panduan
16	Perlakuan Direkomendasikan + Target Tanggal	Tindakan SMART: apa tindakannya, siapa PIC (Person In Charge — penanggung jawab)-nya, kapan deadline-nya. Mis: "Implementasi sistem skoring kredit baru — PIC: Divisi IT — Target: 31 Des 2025."
17	Status	Belum Dimulai / Dalam Proses / Selesai / Ditunda / Dibatalkan.

Kolom 16–17 adalah engine pemantauan: tanpa target tanggal dan status, perlakuan tidak pernah benar-benar dikerjakan. Target risk = tingkat risiko yang ingin dicapai setelah perlakuan tambahan diterapkan — bagian dari risk appetite organisasi.

Kolom 16 dan 17 inilah yang membuat risk register menjadi dokumen aksi, bukan sekadar dokumen deskripsi. Jika Anda hanya mengisi kolom 1–15 dan membiarkan kolom 16–17 kosong, Anda sudah mendokumentasikan masalah dengan sangat baik — tetapi belum memberikan solusinya. Perlakuan yang direkomendasikan harus SMART: Specific (apa tepatnya?), Measurable (bagaimana kita tahu sudah selesai?), Achievable (realistis), Relevant (benar-benar mengurangi residual), dan Time-bound (ada deadline tegas). Kolom status adalah mekanisme akuntabilitas: dalam rapat review risiko, setiap baris yang statusnya "Belum Dimulai" melewati deadline-nya harus ada penjelasannya, dan risk owner harus mempertanggungjawabkan kepada CRO atau direksi. Di OJK, pola status perlakuan ini menjadi salah satu indikator kematangan manajemen risiko bank.

HDN-1: Template Risk Register Perbankan — 3 Entri

Kasus: Bank Maju Sejahtera (BMS), bank umum beraset Rp 15 triliun, Semarang. Tiga risiko utama tim manajemen risiko 2025.

Kolom	KRD-001 — Kredit UMKM	OPS-001 — Core Banking	PSR-001 — Pasar/Suku Bunga
Risk Owner	Ka. Divisi Kredit	Ka. Divisi TI	Ka. Divisi Treasury
Kategori	Kredit	Operasional	Pasar
L_i / I_i	4 / 4	3 / 5	3 / 4
Score Inherent	16 — High	15 — High	12 — Medium
Existing Controls	Skoring kredit, limit UMKM	SLA maintenance, backup tape	ALMA, hedging derivatif
Efektivitas	Perlu Perbaikan	Tidak Memadai	Memadai
L_r / I_r	2 / 3	3 / 5	2 / 3
Score Residual	6 — Medium	15 — High	6 — Medium
Status	Dalam Proses	Dalam Proses	Belum Dimulai

OPS-001: kontrol Tidak Memadai (tidak ada hot standby; backup tape butuh 12+ jam restore) → L_r=L_i=3, I_r=I_i=5 → residual tetap 15 (High). Kontrol yang tidak berfungsi tidak mengurangi risiko.

Di sini kita aplikasikan 17 kolom ke kasus nyata perbankan. Perhatikan pola yang muncul: risiko kredit memiliki inherent score 16 (High), tetapi setelah kontrol skoring kredit dan limit UMKM diterapkan, residual score turun menjadi 6 (Medium) — kontrol dinilai "Perlu Perbaikan" dan penurunan 2 tingkat untuk L berada di tepi atas rentang heuristik dengan justifikasi bahwa dua kontrol bersinergi secara substansial. Core banking (OPS-001) adalah contoh pedagogis paling penting: inherent score 15 (High), dan kontrolnya — SLA maintenance tanpa hot standby, backup tape 12+ jam — dinilai Tidak Memadai. ALMA = Asset Liability Management — manajemen aset dan liabilitas untuk mengelola risiko suku bunga dan likuiditas. Core banking = sistem teknologi informasi utama bank yang memproses transaksi nasabah secara real-time. Hedging = strategi lindung nilai menggunakan instrumen keuangan untuk mengurangi risiko kerugian. Risiko pasar (PSR-001): inherent 12 (Medium), kontrol ALMA dinilai Memadai, residual turun ke 6 (Medium). Detail kalkulasi lengkap ada di Lampiran A materi — kerjakan sendiri sebelum ujian.

Blok 3 dari 4

Inherent vs Residual
vs Target Risk

Tiga level risiko · Matriks 5×5 & kalkulasi risk score · Perbandingan step-by-step · Kapan residual dapat diterima?

Tiga Level Risiko dalam Risk Register

INHERENT RISK — Kondisi Sebelum Kontrol Apa Pun

Risiko bawaan alami organisasi. "Kondisi worst-case tanpa pelindung." Ini adalah titik awal penilaian — seberapa parah risiko jika tidak ada kontrol sama sekali.

RESIDUAL RISK — Kondisi Setelah Existing Controls

Risiko yang tersisa setelah kontrol yang sudah ada diterapkan. "Kondisi risiko hari ini." Ini adalah realita yang sesungguhnya dihadapi organisasi saat ini.

TARGET RISK — Kondisi yang Diinginkan

Tingkat risiko yang ingin dicapai setelah perlakuan tambahan. Ditetapkan berdasarkan risk appetite. "Di mana kita ingin berada setelah investasi mitigasi."

Urutan logis: Inherent → [terapkan kontrol] → Residual → [terapkan perlakuan] → Target. Jika Residual ≤ Target: acceptable. Jika Residual > Target: perlu tindakan tambahan.

Tiga level ini membentuk narasi risiko yang lengkap: kita mulai dari memahami seberapa parah risiko secara alamiah (inherent), kemudian menilai seberapa jauh kita sudah melindungi diri (residual), dan akhirnya menetapkan target yang ingin kita capai (target risk). Analogi yang membantu: inherent risk adalah kondisi jalan tol tanpa rambu, tanpa pembatas, tanpa penerangan — berbahaya. Residual risk adalah kondisi setelah pembatas jalan dan rambu dipasang — lebih aman, tetapi masih ada risiko kecelakaan saat hujan lebat. Target risk adalah kondisi yang kita inginkan: pembatas + rambu + penerangan + kamera tilang + patroli rutin. Perbedaan residual vs target menentukan apakah kita perlu tambahan investasi dalam kontrol atau tidak — kalau residual sudah sama dengan atau lebih rendah dari target, kita boleh mengalokasikan sumber daya ke risiko lain yang lebih mendesak. Ini adalah prinsip efisiensi dalam manajemen risiko: tidak setiap risiko harus ditekan ke nol, cukup sampai ke level target yang disetujui. Acceptable risk = risiko yang dapat diterima — residual risk yang berada di bawah atau sama dengan target risk.

Risk Score = Likelihood × Impact (Matriks 5×5)

Risk Score = L × I · L ∈ {1,2,3,4,5} · I ∈ {1,2,3,4,5} · Score ∈ {1…25}

Risk Score	Level	Zona	Implikasi (panduan awal)
1–5	Low	Hijau	Pantau rutin; dokumentasikan
6–12	Medium	Kuning	Perlakuan dalam 6–12 bulan; tetapkan PIC
13–19	High	Oranye	Perlakuan segera; lapor ke manajemen senior
20–25	Extreme	Merah	Eskalasi ke direksi; hentikan/batasi aktivitas terkait

Matriks 5×5 = tabel 5 baris × 5 kolom di mana baris = skala dampak, kolom = skala kemungkinan, isi sel = L×I. Implikasi di tabel ini adalah panduan awal berbasis zona. Keputusan akhir apakah residual risk DITERIMA selalu dibandingkan terhadap Target Risk (Slide 18), bukan hanya dari warnanya.

Rumus ini sederhana secara aritmetika, tetapi kekuatannya ada pada konsistensi penerapan: Risk Score = L × I hanya bermakna kalau definisi skala 1–5 untuk kemungkinan dan dampak sudah ditetapkan sebelumnya dan dipakai secara seragam di seluruh organisasi. Contoh kalibrasi dari materi: L=4 (Sering) = peristiwa terjadi 4–5 kali per 5 tahun, atau probabilitas ~40–70% dalam 12 bulan; I=4 (Mayor) = kerugian lebih dari 1% total aset. Jika Divisi Kredit mendefinisikan "Sering" berbeda dari Divisi Operasional, maka risk score mereka tidak bisa dibandingkan — apel dan jeruk. Tabel level risiko di slide ini adalah konvensi umum yang dipakai BPKP dan banyak regulator Indonesia. Yang paling penting dipahami: matriks ini harus disetujui dan didokumentasikan di awal proses manajemen risiko, sebelum siapa pun mulai mengisi risk register — ini namanya risk criteria (kriteria risiko — standar objektif untuk mengevaluasi signifikansi suatu risiko).

HDN-2: Menghitung Inherent vs Residual Risk

Kasus: Risiko operasional kegagalan autentikasi mobile banking sebuah bank digital besar (ilustrasi).

Langkah	Perhitungan	Inherent	Residual
1	Likelihood (L)	4 (Sering)	2 (Jarang)
2	Impact (I)	4 (Mayor)	3 (Moderat)
3	Risk Score = L × I	4 × 4 = 16	2 × 3 = 6
4	Level	High (13–19)	Medium (6–12)
5	Kontrol yang ada	—	Enkripsi data; OTP (One-Time Password — kode sekali pakai); pemantauan 24/7
6	Perubahan score	—	16 → 6 (turun 10 poin = −62,5%)
7	Target risk (ditetapkan direksi)	—	Score ≤ 4 (Low)
8	Perlu perlakuan tambahan?	—	Ya — Residual (6) > Target (4)

Perlakuan direkomendasikan: Autentikasi biometrik (sidik jari/face ID) + penetration testing (uji penetrasi oleh tim keamanan profesional) tahunan. Target: Q2 2026.

Inilah kalkulasi inti yang harus Anda kuasai sebelum keluar dari ruangan ini hari ini: menghitung inherent risk score, menilai efektivitas kontrol, lalu menghitung residual risk score. Kita ambil contoh bank digital besar: kegagalan autentikasi bisa memungkinkan akses tidak sah ke rekening, sehingga dampaknya Mayor (I=4); secara inherent, tanpa kontrol apa pun, frekuensi insiden semacam ini di industri perbankan digital cukup Sering (L=4) — maka inherent score = 4×4 = 16 (High). Untuk menentukan angka residual L_r=2 dan I_r=3: gunakan heuristik jembatan dari Slide 11 — kontrol enkripsi + OTP + pemantauan 24/7 secara keseluruhan dinilai Memadai → dapat menurunkan L hingga 2 tingkat (dari L_i=4 ke L_r=2) dan I hingga 1 tingkat (dari I_i=4 ke I_r=3, karena meski kontrol baik, dampak residual masih Moderat karena serangan yang lolos tetap merugikan nasabah). Karena target risk untuk risiko autentikasi mobile banking ditetapkan Low (≤4) berdasarkan risk appetite direksi, residual (6) masih di atas target — itulah mengapa perlakuan tambahan berupa autentikasi biometrik direkomendasikan. Kerjakan ulang seluruh kalkulasi ini sendiri untuk memverifikasi pemahaman Anda.

Kapan Residual Risk Dapat Diterima?

Residual Risk DITERIMA jika: Residual Score ≤ Target Risk Score

Residual Risk DITOLAK jika: Residual Score > Target Risk Score → perlu perlakuan tambahan

Konsep	Definisi
Risk Appetite	Jumlah risiko yang secara umum bersedia diterima organisasi dalam mengejar tujuannya — ditetapkan direksi. Mis: "Tidak ada risiko Extreme yang diterima."
Risk Tolerance	Batas fleksibilitas di sekitar risk appetite — seberapa jauh boleh menyimpang. Mis: "High risiko operasional ditoleransi maksimal 3 bulan sebelum harus dimitigasi."
Risk Criteria	Standar yang dipakai untuk menilai signifikansi risiko, termasuk definisi skala L dan I yang disepakati sebelum pengisian register.

Keputusan "apakah residual risk dapat diterima" bukan keputusan teknis semata — ia adalah keputusan strategis yang harus dibuat oleh direksi, bukan oleh analis risiko junior. Risk appetite ditetapkan di tingkat paling atas organisasi: misalnya, direksi sebuah bank dapat menetapkan kebijakan bahwa "tidak satu pun risiko operasional boleh berada di level Extreme." Risk tolerance adalah turunan operasionalnya: "jika ada risiko High operasional, ia harus dimulai penanganannya dalam 30 hari." Di Indonesia, OJK mewajibkan bank menetapkan risk appetite secara formal dalam dokumen Kebijakan Manajemen Risiko. Implikasi praktis untuk mahasiswa: saat Anda mengisi risk register dan menemukan residual risk masih di atas target, Anda tidak boleh hanya mencatatnya — Anda harus mengisi kolom 16 (perlakuan) dengan rencana konkret beserta deadline yang realistis.

Studi Kasus: Risk Register PT Bank Rakyat Indonesia (BBRI)

BBRI = bank beraset terbesar di Indonesia (~Rp 1.900 triliun per 2023), fokus kredit UMKM. Annual Report 2023 BBRI mencantumkan risk register dalam seksi GRC.

Kategori	Risiko Utama (ilustratif)	Level	Perlakuan
Kredit	Peningkatan NPL segmen mikro saat suku bunga naik	High	Pengetatan limit kredit + restrukturisasi aktif
Operasional	Gangguan layanan digital BRImo	High	Redundansi server + SLA pemulihan < 4 jam
Pasar	Repricing aset-liabilitas akibat kenaikan BI Rate	Medium	ALMA + hedging obligasi
Kepatuhan	Ketidaksesuaian dengan regulasi OJK baru	Medium	Program sosialisasi + audit kepatuhan triwulanan

Angka dan level bersifat ilustratif untuk pembelajaran. Untuk angka resmi, unduh Annual Report BBRI di idx.co.id. ALMA = Asset Liability Management — manajemen aset dan liabilitas. BRImo = aplikasi mobile banking PT Bank Rakyat Indonesia.

BBRI adalah contoh sempurna untuk melihat risk register dalam konteks Indonesia yang riil: bank ini melayani lebih dari 30 juta debitur UMKM, sehingga risiko kreditnya sangat terkonsentrasi pada segmen yang paling rentan terhadap perubahan suku bunga dan kondisi ekonomi makro. Dalam Annual Report 2023, BBRI mengungkapkan empat kategori risiko utama beserta level dan perlakuannya di seksi GRC — ini adalah persyaratan transparansi yang diwajibkan OJK dan peraturan keterbukaan informasi emiten. Yang menarik dari kasus BBRI adalah bagaimana risiko operasional digital mendapat perhatian besar: BRImo memiliki 30+ juta pengguna aktif bulanan per 2023, sehingga gangguan layanan bahkan beberapa jam dapat berdampak pada jutaan transaksi. Saya mendorong Anda untuk mengunduh Annual Report BBRI atau emiten perbankan lain dari situs IDX (Bursa Efek Indonesia), membuka seksi GRC, dan membandingkan struktur informasi yang mereka ungkapkan dengan 17 kolom yang kita pelajari hari ini — ini adalah latihan sangat berharga untuk memahami bagaimana teori diterapkan dalam konteks bisnis nyata.

Blok 4 dari 4

Integrasi &
Praktik Indonesia

Integrasi tahapan MR ke register · Standar BPKP & Kemenkeu · Risk register di Annual Report IDX · Lima kesalahan umum

Risk Register = Rekaman Seluruh Proses Manajemen Risiko

Tahap Proses MR	Kolom Risk Register yang Diisi
1. Identifikasi Risiko (P3–4)	Kolom 1–7: ID, Deskripsi, Owner, Tanggal, Kategori, Cause, Consequence
2. Analisis Risiko (P5–6)	Kolom 8–10: L_i, I_i, Risk Level Inherent
3. Evaluasi Risiko (P7)	Bandingkan Risk Level vs Risk Criteria → prioritas tindakan
4. Perlakuan Risiko (P8–9)	Kolom 11–15: Existing Controls, Efektivitas, L_r, I_r, Residual Level
5. Pemantauan & Review (P10–12)	Kolom 16–17: Perlakuan, Target Tanggal, Status

Slide ini adalah momen sintesis: perhatikan bahwa setiap kelompok kolom dalam risk register sebenarnya merekam output dari satu tahap proses manajemen risiko. Kolom 1–7 adalah output identifikasi risiko yang kita pelajari di Pertemuan 3–4. Kolom 8–10 adalah output analisis risiko dari Pertemuan 5–6 — matriks likelihood × impact yang sudah sangat Anda kenal. Kolom 11–15 adalah output evaluasi dan perlakuan risiko dari Pertemuan 7–9. Dan kolom 16–17 adalah output pemantauan yang kita bahas di Pertemuan 10–12. Artinya, ketika Anda bisa mengisi risk register dengan benar dan lengkap, itu adalah bukti bahwa Anda telah menguasai seluruh siklus manajemen risiko — bukan hanya satu bagian saja. Risk register adalah integrasi, dan itulah mengapa ia ditempatkan di Pertemuan 13, sebelum ujian akhir di Pertemuan 14.

Regulasi Risk Register di Indonesia: BPKP & Kemenkeu

Aspek	BPKP (BUMN & Instansi Pemerintah)	Kementerian Keuangan
Dasar hukum	PP 60/2008 (SPIP); Peraturan Kepala BPKP	PMK tentang Manajemen Risiko di Lingkungan Kemenkeu
Frekuensi update	Minimal tahunan; triwulanan untuk risiko High+	Minimal tahunan; semester untuk risiko High
Format wajib	Template standar BPKP (bpkp.go.id)	Template Kemenkeu (intranet satuan kerja)
Pelaporan	Kepala unit kerja → Inspektorat	Kepala satker → Inspektorat Jenderal
Konsekuensi	Temuan pemeriksaan; rekomendasi perbaikan	Rekomendasi perbaikan; implikasi penilaian SAKIP

SPIP = Sistem Pengendalian Intern Pemerintah — kerangka pengendalian internal yang diwajibkan PP 60/2008 bagi seluruh instansi pemerintah dan BUMN. · SAKIP = Sistem Akuntabilitas Kinerja Instansi Pemerintah — penilaian kinerja yang mempengaruhi anggaran unit kerja.

Bagi Anda yang berminat bekerja di BUMN, kementerian, atau lembaga pemerintah, slide ini sangat relevan: risk register bukan sekadar praktik baik — ia adalah kewajiban hukum berdasarkan PP 60/2008 tentang SPIP. BPKP (Badan Pengawas Keuangan dan Pembangunan) menyediakan template standar risk register yang dapat diunduh dari situs mereka — template ini sudah dirancang agar sesuai dengan format pelaporan pemerintah Indonesia. Yang menarik: kualitas risk register sebuah unit kerja pemerintah akan mempengaruhi nilai SAKIP mereka, yang pada gilirannya mempengaruhi anggaran tahun berikutnya — jadi ada insentif finansial langsung bagi unit kerja untuk menyusun risk register dengan baik. Untuk sektor swasta, kewajiban serupa datang dari OJK (untuk lembaga jasa keuangan) dan dari persyaratan listing BEI (untuk emiten) — keduanya mewajibkan pengungkapan manajemen risiko dalam laporan tahunan.

Risk Register di Laporan Tahunan Emiten BEI

Seluruh perusahaan publik (emiten) yang terdaftar di BEI (Bursa Efek Indonesia) diwajibkan mengungkapkan manajemen risiko dalam Annual Report — umumnya di seksi GRC (Governance, Risk & Compliance).

Emiten	Seksi di Annual Report	Isi yang Biasanya Ada
BBRI, BBCA, BMRI	"Manajemen Risiko" / "Risk Management"	Profil risiko, inherent & residual risk, kontrol utama
TLKM, ASII	"GRC" / "Tata Kelola"	Risk register tingkat korporat, strategi mitigasi
GOTO, BUKA	"Risk Factors" + "Enterprise Risk"	Daftar risiko utama, impact, kemungkinan, kontrol

Tips praktis: Unduh Annual Report dari idx.co.id → cari kata kunci "risk register", "risiko", "inherent", "residual" → bandingkan dengan 17 kolom yang kita pelajari. Emiten = perusahaan yang menerbitkan efek (saham/obligasi) kepada publik dan terdaftar di bursa efek.

Salah satu kegiatan paling berharga yang bisa Anda lakukan setelah kuliah hari ini adalah mengunduh Annual Report satu emiten perbankan dan satu emiten non-keuangan dari situs BEI, lalu membuka seksi manajemen risiko mereka. BBCA = PT Bank Central Asia Tbk; TLKM = PT Telkom Indonesia Tbk; ASII = PT Astra International Tbk — semua emiten ini mengungkapkan risk register dalam format yang berbeda-beda kematangannya. Perbedaan kualitas pengungkapan mencerminkan kematangan manajemen risiko organisasi — dan semakin banyak investor institusional yang menggunakan kualitas GRC sebagai salah satu kriteria investasi mereka (ESG investing). Untuk tugas akhir mata kuliah ini, Anda akan diminta menganalisis risk register sebuah emiten nyata dan membandingkannya dengan standar ISO 31000 — latihan ini jauh lebih berharga daripada hanya membaca teori.

Lima Kesalahan yang Harus Anda Hindari

1 — Deskripsi terlalu umum
"Risiko kredit" tanpa subjek, peristiwa, dampak. Perbaiki: gunakan format "Risiko bahwa [peristiwa] terjadi [konteks] sehingga [dampak]."

2 — Risk owner = divisi, bukan jabatan
"Divisi Kredit" tidak dapat dimintai pertanggungjawaban; "Kepala Divisi Kredit" dapat.

3 — Existing controls diisi dengan kontrol yang direncanakan
Hanya kontrol yang sudah berjalan hari ini yang masuk kolom 11 — bukan rencana masa depan.

4 — Risk register tidak diperbarui
Dokumen setahun lalu yang tidak pernah diupdate lebih berbahaya dari tidak punya register — menciptakan rasa aman palsu.

5 — Skala L dan I tidak dikalibrasi (diselaraskan) sebelumnya
Penilaian antar divisi tidak bisa dibandingkan kalau definisi "Sering" (L=4) berbeda-beda. Wajib workshop kalibrasi risiko sebelum pengisian register.

Saya kumpulkan lima kesalahan ini dari pengalaman praktisi dan temuan pemeriksaan BPKP — bukan teori, tetapi kesalahan nyata yang ditemukan dalam risk register organisasi nyata. Kesalahan nomor empat adalah yang paling berbahaya: risk register yang sudah kedaluwarsa menciptakan ilusi bahwa risiko terkendali, padahal kondisi sudah berubah — ini seperti melihat ramalan cuaca minggu lalu untuk memutuskan apakah hari ini perlu membawa payung. Kesalahan nomor lima sering terjadi di organisasi besar dengan banyak unit kerja: masing-masing divisi mengisi risk register tanpa koordinasi tentang apa artinya "Sering" (L=4) atau "Mayor" (I=4) — hasilnya ketika laporan dikonsolidasi di tingkat korporat, angkanya tidak bisa dibandingkan. Kalibrasi = proses menyelaraskan definisi dan skala penilaian agar semua penilai menggunakan standar yang sama. Sebelum organisasi mulai mengisi risk register, langkah pertama yang wajib dilakukan adalah menyelenggarakan workshop kalibrasi risiko — di mana semua risk owner bersama-sama menyepakati definisi operasional skala L dan I.

Cheat Sheet: 17 Kolom + 3 Level Risiko

Kelompok	Kolom
A — Identitas	1-ID · 2-Deskripsi · 3-Owner · 4-Tanggal · 5-Kategori
B — Inherent	6-Cause · 7-Consequence · 8-L_i · 9-I_i · 10-Score_i
C — Residual	11-Controls · 12-Efektivitas · 13-L_r · 14-I_r · 15-Score_r
D — Aksi	16-Perlakuan+Deadline · 17-Status

Score	Level	Zona
1–5	Low	Hijau
6–12	Medium	Kuning
13–19	High	Oranye
20–25	Extreme	Merah

Tiga level: Inherent (tanpa kontrol) → Residual (setelah kontrol ada) → Target (setelah perlakuan tambahan). Residual ≤ Target = acceptable. Residual > Target = perlu aksi.

Slide cheat sheet ini adalah ringkasan yang bisa Anda screenshot atau cetak sebagai referensi cepat — saya sengaja membuat formatnya sepadat mungkin agar muat di satu halaman. Perhatikan struktur empat kelompok (A, B, C, D): ini adalah alur logis pengisian, bukan urutan acak. Anda selalu mulai dari identitas risiko (A), kemudian menilai kondisi tanpa kontrol (B), kemudian menilai setelah kontrol yang ada (C), dan akhirnya merencanakan tindakan ke depan (D). Tiga level risiko — inherent, residual, target — adalah konsep fundamental yang harus Anda kuasai: di ujian, saya akan memberikan skenario dan Anda harus menentukan apakah angka yang diberikan adalah inherent atau residual, dan apakah residual risk tersebut dapat diterima berdasarkan target yang ditetapkan. Jadikan slide ini pegangan belajar Anda.

Persiapan & Tugas

Tugas Individu — Deadline H+7

Unduh Annual Report satu emiten perbankan BEI (BBRI, BMRI, BBCA, atau BNGA). Buka seksi manajemen risiko / GRC. Identifikasi minimal 3 risiko yang diungkapkan, rekonstruksi ke template risk register 17 kolom. Bandingkan kualitas pengungkapan dengan standar ISO 31000 — mana kolom yang kurang?

Persiapan Pertemuan 14 — Ujian Akhir

Review materi P1–P13. Fokus: (1) inherent vs residual risk, (2) pengisian template risk register lengkap, (3) integrasi tahapan MR ke dalam register. Kerjakan Lampiran B (Bank Soal) secara mandiri.

"Risk register adalah bukti bahwa manajemen risiko Anda serius — bukan sekadar rapat dan memo, tetapi komitmen tertulis yang bisa diaudit, dilacak, dan dipertanggungjawabkan."

Kita sudah mencapai akhir Pertemuan 13 — pertemuan sebelum ujian akhir. Hari ini Anda telah mempelajari satu dokumen yang menyintesiskan seluruh perjalanan belajar Anda di mata kuliah ini: risk register bukan hanya tugas administratif, tetapi cerminan kematangan manajemen risiko sebuah organisasi. Tugas individu yang saya berikan sengaja menggunakan Annual Report riil dari BEI — karena kemampuan membaca dan menganalisis pengungkapan risiko perusahaan publik adalah keterampilan yang langsung berguna saat Anda bekerja, baik sebagai analis, manajer, konsultan, maupun auditor. Untuk pertemuan terakhir minggu depan, pastikan Anda sudah mengerjakan semua soal di Lampiran B secara mandiri — ujian akhir akan menguji kemampuan Anda menyusun risk register dari sebuah skenario baru yang belum pernah Anda lihat sebelumnya. Terima Kasih atas keaktifan Anda selama semester ini.

Manajemen Resiko Bisnis

Pertemuan 13 — Penyusunan Risk Register:Konsep, Struktur & Desain

Tujuan Pembelajaran Pertemuan 13

Tanpa Register, Risiko Jatuh ke Celah

Definisi & Fungsi Risk Register

Risk Register sebagai Living Document

Siapa Menggunakan Risk Register?

Kelompok A — Identitas Risiko (Kolom 1–5)

Kelompok B — Analisis Inherent (Kolom 6–10)

Kelompok C — Kontrol & Analisis Residual (Kolom 11–15)

Kelompok D — Perlakuan & Status (Kolom 16–17)

HDN-1: Template Risk Register Perbankan — 3 Entri

Tiga Level Risiko dalam Risk Register

Risk Score = Likelihood × Impact (Matriks 5×5)

HDN-2: Menghitung Inherent vs Residual Risk

Kapan Residual Risk Dapat Diterima?

Studi Kasus: Risk Register PT Bank Rakyat Indonesia (BBRI)

Risk Register = Rekaman Seluruh Proses Manajemen Risiko

Regulasi Risk Register di Indonesia: BPKP & Kemenkeu

Risk Register di Laporan Tahunan Emiten BEI

Lima Kesalahan yang Harus Anda Hindari

Cheat Sheet: 17 Kolom + 3 Level Risiko

Persiapan & Tugas

Pertemuan 13 — Penyusunan Risk Register:
Konsep, Struktur & Desain