Cara Membuat Matriks Risiko: Kemungkinan dan Dampak

Matriks risiko adalah tabel dua sumbu yang memetakan setiap risiko berdasarkan seberapa mungkin risiko itu terjadi dan seberapa besar dampaknya jika terjadi. Hasilnya adalah tingkat risiko, misalnya rendah, sedang, tinggi, atau sangat tinggi, yang dipakai untuk menentukan risiko mana yang perlu ditangani lebih dulu. Cara membuat matriks risiko yang berguna sebenarnya sederhana: tetapkan skala, tulis kriteria yang jelas untuk setiap nilai, lalu sepakati batas antartingkat risiko.

Bagian yang sulit justru menjaga agar semua orang di perusahaan menilai dengan cara yang sama. Tanpa kriteria tertulis, unit keuangan dan unit operasional bisa memberi nilai dampak "tinggi" untuk dua kejadian yang skalanya sangat berbeda. Artikel ini membahas langkah menyusun matriks risiko, contoh kriteria, perbedaan risiko inheren dan residual, serta kesalahan yang sering muncul saat matriks dipakai sehari-hari.

Komponen Matriks Risiko

Matriks risiko terdiri dari dua sumbu dan satu aturan pemetaan.

Sumbu pertama adalah kemungkinan, yaitu peluang sebuah risiko terjadi dalam periode tertentu. Sumbu kedua adalah dampak, yaitu akibat yang ditimbulkan jika risiko tersebut terjadi. Pertemuan keduanya menghasilkan satu kotak di matriks, dan setiap kotak sudah ditetapkan tingkat risikonya.

Skala yang paling umum dipakai adalah 1 sampai 5 untuk masing-masing sumbu, sehingga matriks berukuran lima kali lima. Ada perusahaan yang memakai skala 1 sampai 4 atau 1 sampai 3. Skala yang lebih kecil lebih mudah dipahami, sedangkan skala yang lebih besar memberi ruang pembeda yang lebih halus. Pilihlah yang sesuai dengan kematangan organisasi Anda, lalu konsistenlah memakainya.

Langkah Membuat Matriks Risiko

1. Tentukan periode penilaian. Kemungkinan selalu terkait waktu. "Mungkin terjadi" dalam satu tahun berbeda maknanya dengan "mungkin terjadi" dalam sepuluh tahun.
2. Tetapkan skala kemungkinan dan tulis definisi setiap nilainya.
3. Tetapkan skala dampak untuk beberapa jenis dampak sekaligus, misalnya keuangan, operasional, reputasi, kepatuhan, dan keselamatan.
4. Petakan kombinasi ke tingkat risiko. Tentukan kotak mana yang termasuk rendah, sedang, tinggi, dan sangat tinggi.
5. Tetapkan respons untuk setiap tingkat. Misalnya risiko sangat tinggi wajib dilaporkan ke direksi dan punya rencana mitigasi dengan tenggat yang ketat.
6. Uji dengan beberapa risiko nyata dari unit yang berbeda, lalu perbaiki kriteria yang masih menimbulkan perdebatan.

Contoh Kriteria Kemungkinan

Kriteria kemungkinan bisa ditulis dalam bentuk frekuensi atau persentase peluang. Contoh berikut memakai bahasa frekuensi karena lebih mudah dipahami pemilik risiko di unit kerja:

• Nilai 1, hampir tidak mungkin: belum pernah terjadi dan sangat kecil peluangnya dalam periode penilaian.
• Nilai 2, jarang: pernah terjadi di tempat lain atau sangat jarang terjadi di perusahaan.
• Nilai 3, mungkin: pernah terjadi di perusahaan dan bisa terulang dalam periode penilaian.
• Nilai 4, sering: terjadi beberapa kali dalam periode penilaian.
• Nilai 5, hampir pasti: terjadi secara rutin atau diperkirakan pasti terjadi.

Jika perusahaan sudah punya data kejadian yang cukup, kriteria ini bisa diperkuat dengan rentang frekuensi yang lebih tegas berdasarkan data tersebut.

Contoh Kriteria Dampak

Dampak perlu dinilai dari beberapa sisi, karena tidak semua risiko berujung pada kerugian uang. Setiap nilai dampak sebaiknya punya deskripsi untuk setiap sisi tersebut. Sebagai gambaran:

• Dampak keuangan diukur terhadap batas yang ditetapkan perusahaan, misalnya persentase tertentu dari anggaran atau pendapatan. Angka batasnya harus ditentukan oleh manajemen sesuai skala usaha.
• Dampak operasional diukur dari lamanya layanan atau proses terganggu, mulai dari gangguan kecil yang tertangani dalam hari yang sama sampai terhentinya layanan utama.
• Dampak reputasi diukur dari jangkauan pemberitaan atau keluhan, mulai dari keluhan individual sampai sorotan media nasional.
• Dampak kepatuhan diukur dari konsekuensi hukum atau regulasi, mulai dari teguran sampai sanksi berat.

Aturan umumnya, jika sebuah risiko berdampak pada beberapa sisi, nilai dampak yang dipakai adalah yang tertinggi. Aturan ini perlu ditulis agar semua penilai mengikutinya.

Membaca Heatmap Matriks Risiko

Setelah kriteria siap, matriks biasanya ditampilkan sebagai heatmap: kotak dengan warna hijau untuk risiko rendah, kuning untuk sedang, oranye untuk tinggi, dan merah untuk sangat tinggi. Setiap risiko di register muncul sebagai titik atau angka di kotak yang sesuai.

Heatmap memudahkan diskusi di tingkat manajemen. Pertanyaan seperti "berapa banyak risiko kita yang berada di zona merah" atau "unit mana yang paling banyak punya risiko tinggi" bisa dijawab dalam hitungan detik. Untuk rapat direksi, heatmap biasanya menjadi halaman pertama dari laporan risiko. Kami membahas apa lagi yang perlu ditampilkan di artikel dashboard manajemen risiko untuk direksi.

Pemetaan warna juga tidak harus mengikuti hasil perkalian. Banyak perusahaan sengaja menempatkan kombinasi kemungkinan rendah tetapi dampak sangat besar di zona tinggi, karena kejadian seperti itu, walaupun jarang, bisa mengancam kelangsungan usaha.

Risiko Inheren dan Risiko Residual

Satu risiko sebaiknya dinilai dua kali. Risiko inheren adalah tingkat risiko sebelum mempertimbangkan pengendalian yang ada. Risiko residual adalah tingkat risiko setelah pengendalian berjalan.

Selisih keduanya menunjukkan seberapa besar peran pengendalian. Jika sebuah risiko inheren berada di zona merah tetapi residualnya di zona kuning, artinya pengendalian yang ada cukup efektif dan perlu dijaga. Jika inheren dan residual sama-sama merah, pengendaliannya belum bekerja dan perlu mitigasi tambahan. Langkah lanjutnya kami bahas di artikel mitigasi risiko dengan alur persetujuan berjenjang.

Sebagian perusahaan juga menetapkan risiko target, yaitu tingkat risiko yang ingin dicapai setelah mitigasi tambahan selesai. Target ini membantu menilai apakah rencana mitigasi sudah cukup ambisius.

Kesalahan Umum dalam Memakai Matriks Risiko

• Kriteria hanya berupa kata seperti "rendah" atau "tinggi" tanpa deskripsi, sehingga setiap penilai menafsirkannya sendiri.
• Penilaian dilakukan sekali lalu tidak pernah ditinjau, padahal kondisi bisnis sudah berubah.
• Semua risiko cenderung dinilai di tengah, yaitu nilai 3, karena penilai ragu atau ingin aman.
• Penilaian dilakukan sendirian oleh pemilik risiko tanpa ditinjau tim manajemen risiko.
• Matriks dihitung manual di spreadsheet dengan rumus yang berbeda antarfile.

Matriks Risiko dalam Sistem yang Kami Bangun

Pada sistem manajemen risiko yang Merbabudev bangun untuk klien korporasi, kriteria kemungkinan dan dampak disimpan sebagai pengaturan, bukan ditulis di setiap baris. Saat pemilik risiko menilai sebuah risiko di register, sistem menampilkan deskripsi kriteria di samping pilihan nilai, lalu menghitung tingkat risiko dengan aturan yang sama untuk semua unit. Posisi setiap risiko langsung muncul di matriks risiko dan bisa difilter per unit atau kategori. Pendekatan ini menghilangkan masalah rumus yang berbeda antarfile, yang kami jelaskan di artikel register risiko digital.

Pertanyaan yang Sering Diajukan

Lebih baik matriks 3x3 atau 5x5?

Matriks 3x3 lebih mudah dipakai oleh organisasi yang baru memulai manajemen risiko. Matriks 5x5 memberi pembeda yang lebih halus dan lebih umum dipakai perusahaan dengan banyak unit. Yang terpenting adalah setiap nilai punya kriteria tertulis.

Apakah tingkat risiko cukup dihitung dengan mengalikan kemungkinan dan dampak?

Perkalian adalah titik awal yang praktis, tetapi tidak wajib. Banyak perusahaan menetapkan pemetaan per kotak secara langsung agar risiko berdampak sangat besar tetap masuk zona tinggi meskipun kemungkinannya kecil.

Siapa yang berwenang menetapkan kriteria matriks risiko?

Kriteria biasanya disusun oleh fungsi manajemen risiko, lalu disetujui manajemen puncak sebagai bagian dari kebijakan risiko perusahaan. Dengan begitu, kriteria punya dasar yang kuat dan berlaku untuk semua unit.