RPS minggu 12 · 2x50 menit

Enterprise Risk Management (ERM)

Permodelan Risiko — Magister Manajemen FEB UNDIP

Peta Pembelajaran Hari Ini

Sub-CPMK 12: merancang kerangka ERM terintegrasi dan menghitung aggregate capital.

Jam ke-1 (50 menit)

COSO ERM 2017: 5 komponen & 20 prinsip
ISO 31000:2018; perbedaan dengan COSO
Hitung dari nol: aggregate capital 3 kelas risiko

Jam ke-2 (50 menit)

Diversifikasi antar kelas risiko; copula
CRO & Risk Committee: tata kelola
Risk appetite; studi kasus BRI/Mandiri; persiapan P13

Posisi: P12 puncak integrasi; P13 governance; P14 studi kasus integratif.

Krisis 2008: Silo Risk Management Gagal

Selama krisis 2008, bank dengan silo risk management yang kuat tetap kolaps — risiko menjalar antar kelas tanpa terdeteksi.

Pre-2008

Silo risk mgmt

Setiap departemen punya risk sendiri; tidak ada aggregate view

Pasca-2008

ERM holistik

COSO ERM 2017; aggregate capital; CRO board-level

Pertanyaan pemantik: bagaimana risiko subprime mortgage (kredit) menjalar menjadi likuiditas & reputasi tanpa terdeteksi silo?

Krisis 2008 mengajarkan pelajaran pahit tentang silo risk management. Pre-2008, bank mengelola risiko dalam silo terpisah — credit risk di credit department, market risk di treasury, operational risk di ops. Setiap silo punya model dan laporannya sendiri; tidak ada aggregate view. Saat krisis, risiko subprime mortgage yang awalnya credit risk menjalar menjadi liquidity risk saat bank run, menjadi reputational risk saat publikitas buruk, menjadi operational risk saat sistem overload. Silo tidak saling berbicara; manajemen puncak tidak melihat gambaran lengkap. Pasca-2008, kerangka ERM holistik menjadi standar — menggabungkan semua kelas risiko ke dalam satu kerangka terintegrasi dengan aggregate capital view dan Chief Risk Officer setingkat board. COSO ERM 2017 adalah formalisasi kerangka ini. Pelajaran: risiko tidak mengenal batas departemen; pengelolaan harus holistik.

Bagian 1 · 1/4

Kerangka COSO ERM 2017

Diskusi kelas: untuk organisasi Anda, komponen COSO mana yang paling lemah? Apa implikasinya?

COSO ERM 2017: 5 Komponen & 20 Prinsip

COSO ERM 2017 mengintegrasikan ERM dengan strategi & kinerja — bukan checklist compliance.

COSO ERM 2017 adalah revisi besar dari versi 2004. Inti perubahan: integrasi dengan strategi dan kinerja, bukan checklist compliance terpisah. Lima komponen dengan 20 prinsip total. Governance dan Culture lima prinsip — board oversight, operating structure, risk culture, talent attraction, risk-aligned compensation. Strategy dan Objective-setting empat prinsip — business context, risk appetite, strategic objectives, alternative scenario. Performance lima prinsip — risk identification, assessment, prioritization, severity, portfolio view. Review dan Revision lima prinsip — assess substantial change, review risk and performance, pursue improvement. Information, Communication dan Reporting lima prinsip — leverage information technology, communicate risk info, report on risk culture and performance. Pelajaran manajerial: COSO ERM 2017 menggeser fokus dari compliance ke value creation. ERM bukan beban regulasi tetapi alat strategi. Bank Indonesia yang menerapkan COSO dengan serius memiliki keunggulan kompetitif jangka panjang.

ISO 31000:2018 & Perbedaan dengan COSO

ISO 31000:2018 adalah standar ERM internasional yang lebih sederhana dan generik dibandingkan COSO.

Aspek	COSO ERM 2017	ISO 31000:2018
Asal	USA (COSO coalition)	Internasional (ISO Geneva)
Struktur	5 komponen + 20 prinsip	8 prinsip + framework + process
Fokus	Public company; SOX compliance	Generik; semua organisasi
Integrasi strategi	Sangat eksplisit	Implisit via "integration"
Risk appetite	Komponen eksplisit	Bagian dari process
Penerapan Indonesia	Bank (POJK); SOE	Pemerintah; NGO; multi-sektor

Pilihan COSO vs ISO bergantung pada sektor: bank → COSO; pemerintah/NGO → ISO 31000.

ISO 31000:2018 adalah standar ERM internasional yang lebih sederhana dan generik. Perbedaan utama dari COSO. Asal: COSO dari USA coalition, ISO dari ISO Geneva. Struktur: COSO 5 komponen plus 20 prinsip; ISO 8 prinsip plus framework plus process. Fokus: COSO untuk public company dengan SOX compliance; ISO generik untuk semua organisasi termasuk pemerintah dan NGO. Integrasi strategi: COSO sangat eksplisit; ISO implisit melalui konsep integration. Risk appetite: COSO komponen eksplisit; ISO bagian dari process. Penerapan Indonesia: bank dan SOE cenderung pakai COSO melalui POJK; pemerintah dan NGO pakai ISO 31000. Pelajaran: pilihan COSO versus ISO bergantung pada sektor dan kebutuhan. Untuk bank Indonesia, COSO adalah standar praktis karena selaras dengan POJK. Untuk organisasi non-bank, ISO 31000 lebih fleksibel. Beberapa organisasi besar menggabungkan keduanya — COSO untuk struktur, ISO untuk proses.

Hitung dari Nol: Aggregate Capital 3 Kelas Risiko

Skenario: Bank dengan estimasi modal per kelas: Kredit Rp 5 M; Pasar Rp 2 M; Op-Risk Rp 3 M. Hitung aggregate capital dengan asumsi korelasi antar kelas = 0,3.

Langkah	Perhitungan	Nilai
1. Variance per kelas	σ²K=25; σ²M=4; σ²O=9	25; 4; 9
2. Cross-term Kredit-Pasar	2 × 5 × 2 × 0,3 = 6	6
3. Cross-term Kredit-Op	2 × 5 × 3 × 0,3 = 9	9
4. Cross-term Pasar-Op	2 × 2 × 3 × 0,3 = 3,6	3,6
5. Σ variance + cross	25 + 4 + 9 + 6 + 9 + 3,6	56,6
6. σ_aggregate (akar)	√56,6	Rp 7,52 M

Kesimpulan

Rp 7,5 M

Aggregate capital Rp 7,5 M vs simple sum Rp 10 M — diversifikasi antar kelas menghemat ~25%

Hitungan ini menggabungkan tiga kelas risiko dengan asumsi korelasi 0,3 antar kelas. Variance per kelas: Kredit 25, Pasar 4, Op-Risk 9. Cross-term antar kelas menggunakan formula variance portofolio 3 aset. Kredit-Pasar: 2 kali 5 kali 2 kali 0,3 sama dengan 6. Kredit-Op: 2 kali 5 kali 3 kali 0,3 sama dengan 9. Pasar-Op: 2 kali 2 kali 3 kali 0,3 sama dengan 3,6. Total variance plus cross sama dengan 56,6. Akar kuadrat memberi aggregate capital Rp 7,52 miliar. Pelajaran manajerial: aggregate capital Rp 7,5 miliar jauh lebih rendah dari simple sum Rp 10 miliar — diversifikasi antar kelas risiko memberi penghematan signifikan sekitar 25 persen. Inilah manfaat utama ERM: melihat risiko secara holistik mengurangi kebutuhan modal total. Bank dengan ERM matang dapat mengalokasikan modal lebih efisien daripada bank silo-based.

Bagian 2 · 2/4

Diversifikasi Antar Kelas

Diskusi kelas: untuk bank Anda, kelas risiko mana yang paling berkorelasi saat krisis? Apa implikasinya untuk aggregate capital?

Simple Sum vs Diversifikasi vs Copula

Tiga pendekatan aggregasi modal dengan asumsi berbeda tentang dependensi antar kelas.

Pendekatan	Asumsi	Aggregate Capital (ilustratif)
Simple Sum	Korelasi = +1	Rp 10 M (5+2+3)
Variance-Covariance	Korelasi tetap (0,3)	Rp 7,5 M
Copula dengan tail	Tail dependence saat stress	Rp 8,5-9 M
Monte Carlo	Full joint distribution	Bervariasi; flexible

Pilihan pendekatan mempengaruhi estimasi modal 20-30% — keputusan strategis.

Empat pendekatan aggregasi modal dengan asumsi dependensi berbeda. Simple Sum mengasumsikan korelasi plus 1 — tidak ada diversifikasi. Aggregate capital sama dengan jumlah modal per kelas Rp 10 miliar. Variance-Covariance mengasumsikan korelasi tetap 0,3 antar kelas — aggregate capital turun ke Rp 7,5 miliar karena diversifikasi. Copula dengan tail dependence mengasumsikan korelasi rendah di regime normal tetapi melonjak saat stress — aggregate capital Rp 8,5-9 miliar, lebih realistis dari pure variance-covariance. Monte Carlo dengan full joint distribution paling fleksibel — aggregate capital bervariasi tergantung model. Pelajaran: pilihan pendekatan mempengaruhi estimasi modal 20-30 persen — keputusan strategis yang harus dijustifikasi ke regulator dan board. Bank konservatif menggunakan simple sum; bank sophisticated menggunakan copula atau Monte Carlo. OJK Indonesia cenderung menerima variance-covariance dengan justifikasi yang kuat.

Risk Appetite & Risk Tolerance

Risk appetite adalah jumlah dan jenis risiko yang organisasi bersedia terima untuk mencapai strategi.

Konsep	Definisi	Contoh Bank
Risk Appetite	Statement tingkat tinggi	"Rendah untuk likuiditas, moderat untuk kredit"
Risk Tolerance	Quantifikasi ke metrik	"CAR > 12%; NPL < 3%; LCR > 110%"
Risk Limits	Batas operasional	"Single name ≤ 15%; VaR harian ≤ Rp 5 M"
Key Risk Indicators	Forward-looking metrics	"NPL naik > 20% YoY; funding cost +50 bps"

Risk appetite → tolerance → limits → KRI: hierarki dari statement strategis ke metrik operasional.

Risk appetite dan tolerance adalah konsep yang saling terkait tapi berbeda. Risk appetite adalah statement tingkat tinggi tentang jumlah dan jenis risiko yang organisasi bersedia terima untuk mencapai strategi. Contoh untuk bank: "Rendah untuk likuiditas dan operasional, moderat untuk kredit dan pasar." Risk tolerance adalah kuantifikasi risk appetite ke metrik spesifik. Contoh: "CAR lebih dari 12 persen; NPL kurang dari 3 persen; LCR lebih dari 110 persen." Risk limits adalah batas operasional yang lebih detail. Contoh: "Single name maksimum 15 persen modal; VaR harian maksimum Rp 5 miliar." Key Risk Indicators adalah metrik forward-looking untuk early warning. Contoh: "NPL naik lebih dari 20 persen YoY; funding cost naik 50 bps." Hierarki: risk appetite ke tolerance ke limits ke KRI adalah turunan dari statement strategis ke metrik operasional. Board menyetujui appetite dan tolerance; manajemen menetapkan limits; first line memantau KRI harian. Hierarki ini adalah tulang punggung ERM.

Hitung dari Nol: Risk Appetite Statement

Skenario: Bank menengah Indonesia dengan modal Rp 1 T. Susun risk appetite statement + tolerance + limits minimum berdasarkan praktik BUKB.

Kelas Risiko	Appetite (statement)	Tolerance (metrik)
Kredit	Moderat; growth berkualitas	NPL brutto < 4%; NPL netto < 2%
Pasar (trading)	Rendah; treasury defensif	VaR harian 99% ≤ 1% modal
Likuiditas	Rendah; konservatif	LCR > 110%; NSFR > 110%
Operasional	Rendah; kontrol kuat	Loss event > Rp 1 M ≤ 5/tahun
Modal	Konservatif	CAR > 14% (well above 8% min)
Reputasi	Sangat rendah	Keluhan > 1.000/bulan: investigasi

Kesimpulan

6 dimensi

Risk appetite statement lengkap mencakup 6 dimensi dengan appetite + tolerance; ditetapkan Board tahunan

Hitungan ini menyusun risk appetite statement lengkap untuk bank menengah Indonesia dengan modal Rp 1 triliun. Enam dimensi risiko. Kredit dengan appetite moderat untuk growth berkualitas, tolerance NPL brutto kurang dari 4 persen dan netto kurang dari 2 persen. Pasar trading dengan appetite rendah defensif, tolerance VaR harian 99 persen maksimum 1 persen modal atau Rp 10 miliar. Likuiditas dengan appetite rendah konservatif, tolerance LCR dan NSFR lebih dari 110 persen. Operasional dengan appetite rendah kontrol kuat, tolerance loss event lebih dari Rp 1 miliar maksimum 5 per tahun. Modal dengan appetite konservatif, CAR lebih dari 14 persen — jauh di atas minimum 8 persen. Reputasi dengan appetite sangat rendah, tolerance keluhan lebih dari 1.000 per bulan memicu investigasi. Pelajaran: risk appetite statement lengkap mencakup minimal enam dimensi dengan statement appetite dan tolerance terkuantifikasi. Ditettapkan oleh Board tahunan dan direview kuartalan. Manajemen menerjemahkan ke limits operasional.

Bagian 3 · 3/4

CRO & Risk Committee

Diskusi kelas: di bank Anda, apakah CRO melapor langsung ke CEO atau ke Board? Apakah struktur ini efektif?

CRO: Pemegang Kunci ERM

Chief Risk Officer adalah eksekutif C-level yang bertanggung jawab atas seluruh kerangka ERM organisasi.

Aspek	Praktik Terbaik
Posisi	C-level; setara CFO/COO
Reporting line	Dual: CEO (ops) + Board Risk Committee (functional)
Kualifikasi	Quant background + leadership + regulatory
Tanggung jawab	ERM framework; risk appetite; aggregate capital; CRO committee
Akses Board	Akses langsung ke Audit/Risk Committee tanpa filter CEO
Kompensasi	Not aligned with revenue; aligned with risk metrics

CRO yang lemah atau dipinggirkan = ERM gagal. Kasus Leeson: tidak ada CRO independen yang menantang trader bintang.

Chief Risk Officer adalah pemegang kunci ERM. Posisi harus C-level setara CFO atau COO — bukan di bawah CFO. Reporting line best practice adalah dual: operasional ke CEO untuk eksekusi, functional ke Board Risk Committee untuk independensi. Kualifikasi: quantitative background plus leadership plus regulatory knowledge. Tanggung jawab: ERM framework, risk appetite, aggregate capital, dan memimpin CRO committee. Akses Board: CRO harus punya akses langsung ke Audit atau Risk Committee tanpa filter CEO — penting untuk whistleblowing jika CEO tidak responsif. Kompensasi: tidak aligned dengan revenue karena akan menciptakan insentif salah; harus aligned dengan risk metrics seperti NPL, CAR, VaR breach. Pelajaran: CRO yang lemah atau dipinggirkan menyebabkan ERM gagal. Kasus Leeson: tidak ada CRO independen yang menantang trader bintang yang membawa profit besar. Bank Indonesia besar memiliki CRO dengan struktur ini sesuai POJK 17/2014.

Studi Kasus: ERM Bank BRI & Mandiri

Bank besar Indonesia menerapkan ERM dengan Risk Committee Board dan fungsi CRO khusus — sesuai POJK 17/2014.

Bank	Struktur ERM	CRO Reporting
Bank Mandiri	Risk Committee Board; Risk Management & Compliance Direktorat	Dual: CEO + Board Risk Committee
Bank BRI	Risk Oversight Committee; Risk Management Direktorat	Dual: CEO + Board Committee
BCA	Risk Management Committee; Komprehensif	Dual: CEO + Komisaris Independen
CIMB Niaga	Risk & Compliance Committee; terintegrasi	Dual: CEO + Board Committee

BUKB Indonesia menerapkan dual reporting CRO + Risk Committee Board — sesuai best practice global.

Bank besar Indonesia atau BUKB menerapkan ERM dengan struktur yang sesuai best practice global. Bank Mandiri: Risk Committee di level Board, Risk Management dan Compliance Direktorat di level eksekutif, CRO dengan dual reporting ke CEO dan Board Risk Committee. Bank BRI: Risk Oversight Committee Board, Risk Management Direktorat, CRO dual reporting. BCA: Risk Management Committee komprehensif, dual reporting CEO dan Komisaris Independen. CIMB Niaga: Risk dan Compliance Committee terintegrasi, dual reporting. Pelajaran: BUKB Indonesia menerapkan dual reporting CRO plus Risk Committee Board sesuai best practice global dan POJK 17/2014. Bank menengah dan kecil Indonesia perlu memperkuat struktur ERM untuk memenuhi standar. Sebagai manajer risk, Anda harus dapat menjelaskan struktur ERM bank Anda dan area perbaikan yang dibutuhkan untuk mencapai best practice.

Bagian 4 · 4/4

Persiapan P13

Diskusi kelas: model risk mana yang paling menakutkan untuk bank Anda — VaR, PD, atau op-risk LDA?

POJK ERM & Aggregate Capital

OJK mengatur kerangka ERM bank Indonesia melalui POJK 17/2014 dan POJK permodalan terintegrasi.

Aspek	POJK Acuan	Implikasi
Manajemen risiko terintegrasi	POJK 17/2014	Bank wajib punya 5 fungsi: kredit, pasar, op, likuiditas, strategis
Risk Management Committee	POJK 17/2014	Board-level committee wajib untuk BUKB
Chief Risk Officer	POJK 17/2014	CRO setingkat Direktur; dual reporting
Aggregate capital (CAR)	POJK permodalan	CAR ≥ 8% (kredit + pasar + op + counterparty)
Stress testing terintegrasi	POJK stress test	Bukti aggregate view lintas kelas

POJK 17/2014 + POJK permodalan membentuk kerangka ERM lengkap untuk bank Indonesia.

OJK mengatur kerangka ERM bank Indonesia melalui beberapa POJK. POJK 17 tahun 2014 mewajibkan bank punya lima fungsi risk management: kredit, pasar, operasional, likuiditas, dan strategis. Risk Management Committee board-level wajib untuk BUKB. Chief Risk Officer setingkat Direktur dengan dual reporting ke CEO dan Board Risk Committee. Aggregate capital CAR menggabungkan modal untuk kredit, pasar, op-risk, dan counterparty — minimum 8 persen. Stress testing terintegrasi lintas kelas wajib sebagai bukti aggregate view. Implikasi manajerial: bank Indonesia harus membangun infrastruktur ERM lengkap — lima fungsi risk, Risk Committee Board, CRO khusus, sistem aggregate capital, dan stress testing lintas kelas. Bank kecil dapat struktur lebih sederhana tetapi tetap harus memenuhi prinsip ERM. Pelanggaran POJK dapat berakibat sanksi administratif termasuk pembatasan ekspansi bisnis.

Ringkasan Kunci Pertemuan 12

COSO & ISO

5 komponen COSO ERM 2017; ISO 31000

Aggregate Capital

Diversifikasi antar kelas; copula

CRO & Tata Kelola

Dual reporting; Risk Committee Board

Bawa tiga lensa ini (framework · aggregate · tata kelola) sebagai puncak integrasi P1-P11.

Persiapan P13: baca SR 11-7 Fed tentang Model Risk Management; siapkan validasi independen model.