Indikator Risiko Utama (KRI): Cara Menentukan Ambang Batas

Indikator risiko utama, atau Key Risk Indicator (KRI), adalah angka yang dipantau secara berkala untuk memberi tanda awal bahwa sebuah risiko mulai mendekat. Jika register risiko menjawab pertanyaan "risiko apa saja yang kita hadapi", KRI menjawab pertanyaan "apakah ada risiko yang sedang memburuk sekarang". Agar berguna, setiap KRI perlu tiga hal: sumber data yang jelas, frekuensi pengukuran yang tetap, dan ambang batas yang memicu tindakan.

Banyak perusahaan sudah punya puluhan angka yang dilaporkan setiap bulan, tetapi tidak semuanya berfungsi sebagai peringatan. Artikel ini membahas perbedaan KRI dengan indikator kinerja, cara memilih indikator risiko utama yang tepat, cara menetapkan ambang batas, dan bagaimana pemantauannya bisa diotomatiskan.

Apa Bedanya KRI dengan KPI?

Key Performance Indicator (KPI) atau indikator kinerja utama mengukur pencapaian target. Penjualan bulan ini, jumlah pelanggan baru, atau waktu penyelesaian layanan adalah contoh KPI. Fokusnya adalah hasil yang ingin dicapai.

KRI mengukur hal yang berbeda, yaitu kondisi yang meningkatkan peluang atau dampak sebuah risiko. Contohnya, jumlah keluhan pelanggan yang belum terselesaikan bisa menjadi KRI untuk risiko reputasi. Angka ini tidak menunjukkan kinerja penjualan, tetapi memberi sinyal bahwa masalah reputasi bisa muncul jika tidak segera ditangani.

Dalam beberapa kasus, satu angka bisa berfungsi ganda. Tingkat pergantian karyawan, misalnya, bisa dipakai sebagai KPI bagi tim sumber daya manusia sekaligus KRI untuk risiko kehilangan pengetahuan kunci. Yang membedakan adalah pertanyaan yang ingin dijawab.

Ciri Indikator Risiko Utama yang Baik

Tidak setiap angka layak dijadikan KRI. Indikator yang baik biasanya memenuhi ciri berikut:

• Terhubung langsung dengan risiko tertentu di register, bukan berdiri sendiri.
• Bergerak sebelum risiko terjadi, sehingga masih ada waktu untuk bertindak.
• Bisa diukur secara rutin dari sumber data yang tersedia, tanpa pekerjaan manual yang berat.
• Mudah dipahami oleh pemilik risiko dan manajemen.
• Punya pemilik yang bertanggung jawab memperbarui dan menindaklanjutinya.

Ciri kedua sering terlupa. Jumlah kerugian akibat kejadian risiko, misalnya, adalah data yang penting, tetapi baru tersedia setelah risiko terjadi. Data seperti itu lebih tepat dicatat sebagai insiden. Pencatatannya kami bahas di artikel pencatatan insiden pada risiko operasional.

Contoh Indikator Risiko Utama per Kategori

Contoh berikut bisa menjadi titik awal. Indikator yang tepat untuk perusahaan Anda tetap harus diturunkan dari risiko yang ada di register:

• Risiko operasional: jumlah transaksi yang gagal diproses, jumlah pekerjaan yang melewati batas waktu layanan, atau jumlah kesalahan input yang ditemukan saat verifikasi.
• Risiko pemasok: persentase pengiriman yang terlambat dari pemasok utama, atau jumlah pemasok kritis yang hanya punya satu alternatif.
• Risiko keuangan: umur piutang yang melewati batas jatuh tempo, atau rasio kas terhadap kewajiban jangka pendek.
• Risiko teknologi informasi: jumlah gangguan sistem, lamanya sistem tidak bisa diakses, atau jumlah pembaruan keamanan yang tertunda.
• Risiko sumber daya manusia: tingkat pergantian karyawan pada posisi kunci, atau jumlah posisi kunci tanpa pengganti yang disiapkan.
• Risiko kepatuhan: jumlah temuan audit yang belum ditindaklanjuti melewati tenggat.

Cara Menetapkan Ambang Batas KRI

Ambang batas mengubah angka menjadi sinyal. Pola yang paling umum adalah tiga zona: hijau berarti kondisi normal, kuning berarti perlu perhatian, dan merah berarti perlu tindakan segera. Beberapa langkah untuk menetapkannya:

1. Lihat data historis. Rentang nilai yang biasa terjadi dalam kondisi normal menjadi dasar zona hijau.
2. Kaitkan dengan selera risiko perusahaan. Batas merah sebaiknya mencerminkan titik ketika manajemen tidak lagi nyaman dengan kondisi tersebut.
3. Tentukan arah. Ada KRI yang memburuk ketika angkanya naik, seperti jumlah keluhan, dan ada yang memburuk ketika turun, seperti rasio kas.
4. Tentukan tindakan untuk setiap zona. Kuning bisa berarti pemilik risiko wajib memberi penjelasan. Merah bisa berarti eskalasi ke manajemen dan penyusunan rencana mitigasi.
5. Tinjau ulang secara berkala. Ambang yang terlalu longgar tidak pernah memicu apa pun. Ambang yang terlalu ketat memicu peringatan terus-menerus sampai diabaikan.

Jika perusahaan belum punya data historis, ambang awal bisa ditetapkan berdasarkan penilaian pemilik risiko, lalu disesuaikan setelah beberapa periode pengukuran berjalan.

Pemantauan dan Notifikasi KRI

KRI kehilangan manfaatnya jika baru dilihat saat rapat triwulanan. Pemantauan yang efektif membutuhkan jadwal pengisian yang jelas, misalnya bulanan atau mingguan, dan pemberitahuan otomatis ketika angka masuk ke zona kuning atau merah.

Notifikasi sebaiknya dikirim ke orang yang tepat. Pemilik KRI perlu tahu lebih dulu. Jika angka masuk zona merah, notifikasi juga diteruskan ke pemilik risiko terkait dan fungsi manajemen risiko. Untuk manajemen puncak, ringkasan KRI yang berada di zona merah cukup ditampilkan di dashboard, seperti yang kami uraikan di artikel dashboard manajemen risiko untuk direksi.

Hal lain yang tidak kalah penting adalah pengingat pengisian. Banyak KRI berhenti diperbarui karena pemiliknya lupa. Pengingat sederhana menjelang batas pengisian sering kali lebih berpengaruh daripada desain dashboard yang rumit.

Kesalahan Umum dalam Menyusun KRI

• Terlalu banyak indikator, sehingga tidak ada yang benar-benar dipantau. Lebih baik sedikit KRI yang diperbarui rutin daripada banyak KRI yang kosong.
• Memakai indikator yang hanya mencatat kejadian setelah terjadi.
• Ambang batas ditetapkan sekali dan tidak pernah dievaluasi.
• Zona merah tidak diikuti tindakan apa pun, sehingga peringatan kehilangan arti.
• KRI tidak terhubung ke risiko di register, sehingga sulit menjelaskan mengapa indikator itu penting.

KRI dalam Sistem Manajemen Risiko yang Kami Bangun

Dalam sistem manajemen risiko yang Merbabudev bangun untuk klien korporasi, setiap KRI dikaitkan dengan risiko di register dan memiliki ambang batas yang ditetapkan saat indikator dibuat. Nilai KRI yang diperbarui langsung dibandingkan dengan ambang tersebut, statusnya tampil di dashboard pemantauan, dan notifikasi dikirim ketika nilainya melewati batas. Dengan begitu, pemilik risiko dan tim manajemen risiko tidak perlu menunggu laporan periodik untuk mengetahui kondisi yang memburuk.

Jika Anda baru mulai menyusun kerangka manajemen risiko, kami sarankan membaca dulu artikel sistem manajemen risiko perusahaan, karena KRI paling efektif ketika register risikonya sudah rapi.

Pertanyaan yang Sering Diajukan

Berapa banyak KRI yang ideal?

Tidak ada angka baku. Prinsipnya, mulailah dari risiko dengan tingkat tertinggi di register dan pilih satu atau dua indikator yang paling mewakili masing-masing. Jumlahnya bisa ditambah setelah proses pengisian dan pemantauan berjalan rutin.

Siapa yang bertanggung jawab memperbarui KRI?

Biasanya unit kerja yang memiliki sumber datanya. Fungsi manajemen risiko berperan meninjau kewajaran angka dan memastikan zona merah ditindaklanjuti.

Apakah KRI bisa diambil otomatis dari sistem lain?

Bisa, jika sumber datanya sudah tersimpan di aplikasi lain seperti sistem keuangan atau layanan pelanggan. Integrasi seperti ini mengurangi input manual, tetapi perlu dirancang dengan hati-hati agar definisi angkanya tetap sama.