Pencatatan Insiden dan Kerugian pada Risiko Operasional

Risiko operasional adalah risiko kerugian akibat proses internal yang tidak berjalan semestinya, kesalahan manusia, gangguan sistem, atau kejadian dari luar perusahaan. Cara paling nyata untuk mengelolanya adalah mencatat setiap insiden yang terjadi, termasuk kerugian yang ditimbulkan, lalu menghubungkannya kembali ke risiko di register. Dari catatan itulah perusahaan bisa melihat apakah penilaian risikonya selama ini sudah sesuai dengan kenyataan.

Di banyak perusahaan, insiden sebenarnya sudah dilaporkan, tetapi tersebar. Gangguan sistem dicatat tim TI, selisih kas dicatat bagian keuangan, keluhan besar dicatat layanan pelanggan. Masing-masing berguna untuk unitnya sendiri, tetapi tidak membentuk gambaran risiko perusahaan. Artikel ini membahas apa saja yang perlu dicatat dalam pencatatan insiden, bagaimana alurnya, dan bagaimana data tersebut dipakai untuk memperbaiki pengelolaan risiko.

Insiden, Nyaris Celaka, dan Kejadian Kerugian

Sebelum membuat formulir, perusahaan perlu menyepakati istilah. Tiga istilah yang sering dipakai:

• Insiden adalah kejadian yang mengganggu proses atau layanan, dengan atau tanpa kerugian keuangan.
• Nyaris celaka, atau near miss, adalah kejadian yang hampir menimbulkan kerugian tetapi berhasil dicegah, misalnya transfer ganda yang terdeteksi sebelum dikirim.
• Kejadian kerugian, atau loss event, adalah insiden yang menimbulkan kerugian yang bisa diukur, baik langsung maupun tidak langsung.

Kejadian nyaris celaka sering tidak dicatat karena dianggap tidak ada kerugian. Padahal data ini sangat berharga. Ia menunjukkan pengendalian mana yang bekerja dan celah mana yang hampir saja menimbulkan masalah.

Data yang Perlu Dicatat dalam Pencatatan Insiden Risiko Operasional

Formulir yang terlalu panjang membuat orang enggan melapor. Formulir yang terlalu pendek membuat data tidak bisa dianalisis. Keseimbangan yang kami sarankan adalah memisahkan data awal yang diisi pelapor dan data lanjutan yang dilengkapi setelah verifikasi.

Data awal dari pelapor:

• Tanggal dan waktu kejadian, serta tanggal kejadian diketahui.
• Unit kerja dan lokasi.
• Uraian singkat tentang apa yang terjadi.
• Perkiraan dampak awal dan tindakan darurat yang sudah dilakukan.

Data lanjutan setelah verifikasi:

• Kategori kejadian, misalnya kesalahan proses, gangguan sistem, kecurangan, atau kejadian eksternal.
• Risiko terkait di register.
• Akar penyebab hasil investigasi.
• Nilai kerugian langsung, biaya pemulihan, dan nilai yang berhasil dipulihkan, misalnya dari klaim asuransi.
• Dampak nonkeuangan seperti gangguan layanan atau keluhan pelanggan.
• Tindakan perbaikan beserta PIC dan tenggatnya.

Alur Pelaporan Insiden

Alur yang sederhana dan konsisten lebih penting daripada formulir yang sempurna. Pola umumnya:

1. Lapor. Siapa pun yang mengetahui kejadian mencatatnya sesegera mungkin.
2. Verifikasi. Atasan unit atau koordinator risiko memastikan kejadian tersebut valid dan melengkapi kategorinya.
3. Investigasi. Untuk kejadian yang signifikan, dicari akar penyebabnya, bukan hanya gejala yang terlihat.
4. Tindak lanjut. Tindakan perbaikan ditetapkan dan dipantau sampai selesai.
5. Tutup. Insiden ditutup setelah tindakan selesai dan nilai kerugian final tercatat.

Tindak lanjut insiden sebaiknya memakai mekanisme yang sama dengan rencana mitigasi, yaitu punya PIC, tenggat, dan persetujuan. Polanya kami bahas di artikel mitigasi risiko dengan alur persetujuan berjenjang.

Menghubungkan Insiden ke Register Risiko

Nilai terbesar dari pencatatan insiden muncul ketika setiap kejadian dikaitkan dengan risiko di register. Dari hubungan ini, beberapa pertanyaan penting bisa dijawab:

• Apakah risiko yang dinilai jarang terjadi ternyata sering muncul sebagai insiden? Jika ya, penilaian kemungkinannya perlu dinaikkan.
• Apakah ada insiden yang tidak cocok dengan risiko mana pun? Itu tanda ada risiko yang belum teridentifikasi dan perlu ditambahkan ke register.
• Apakah insiden tetap terjadi setelah mitigasi selesai? Jika ya, efektivitas mitigasi perlu dievaluasi.

Tanpa hubungan ini, register risiko dan catatan insiden berjalan di dua dunia yang berbeda. Register terlihat rapi di atas kertas, sementara kejadian di lapangan bercerita lain. Struktur register yang mendukung hubungan tersebut kami jelaskan di artikel register risiko digital.

Menghitung Nilai Kerugian dengan Konsisten

Nilai kerugian adalah bagian yang paling sering diperdebatkan. Agar data antarunit bisa dibandingkan, perusahaan perlu aturan tertulis tentang apa yang dihitung. Beberapa hal yang biasanya diatur:

• Kerugian langsung, seperti dana yang hilang, denda, atau aset yang rusak.
• Biaya penanganan, seperti biaya lembur, jasa pihak ketiga, atau perbaikan sistem.
• Pemulihan, yaitu dana yang kembali melalui klaim asuransi, penagihan, atau koreksi transaksi.
• Dampak yang sulit diukur dengan uang, seperti hilangnya kepercayaan pelanggan, dicatat secara kualitatif.

Aturan lain yang perlu ditetapkan adalah kapan nilai kerugian dianggap final. Kerugian sering baru diketahui pasti beberapa waktu setelah kejadian, misalnya setelah klaim asuransi diputuskan. Karena itu, sistem pencatatan sebaiknya memungkinkan nilai awal diperbarui sampai insiden ditutup, dengan riwayat perubahan yang tetap tersimpan.

Membangun Budaya Melapor

Sistem pencatatan sebaik apa pun tidak berguna jika orang takut melapor. Jika setiap laporan insiden berujung pada mencari siapa yang salah, karyawan akan cenderung menyembunyikan kejadian kecil. Akibatnya, perusahaan baru tahu ketika masalahnya sudah besar.

Beberapa langkah yang membantu adalah memisahkan pelaporan dari proses disiplin, mengapresiasi laporan nyaris celaka, dan menunjukkan bahwa laporan benar-benar ditindaklanjuti. Ketika karyawan melihat laporannya menghasilkan perbaikan proses, mereka lebih terdorong untuk melapor lagi.

Laporan Periodik dari Data Insiden

Data insiden yang terkumpul bisa diolah menjadi laporan periodik untuk manajemen, misalnya jumlah insiden per kategori dan per unit, total kerugian dan nilai yang berhasil dipulihkan, insiden terbesar dalam periode tersebut beserta tindak lanjutnya, serta tindakan perbaikan yang masih terbuka. Laporan seperti ini membantu manajemen melihat tren, bukan hanya kejadian satu per satu. Ringkasannya bisa ditampilkan bersama profil risiko di dashboard manajemen risiko untuk direksi.

Insiden yang berkaitan dengan kehilangan data atau gangguan sistem juga perlu dikaitkan dengan rencana pemulihan. Topik tersebut kami bahas di artikel backup data dan disaster recovery aplikasi bisnis.

Pencatatan Insiden dalam Sistem yang Kami Bangun

Sistem manajemen risiko yang Merbabudev bangun untuk klien korporasi menyediakan pencatatan insiden dan kerugian yang terhubung dengan register risiko. Setiap insiden bisa dikaitkan dengan risiko yang relevan, sehingga riwayat kejadian tampil di halaman risiko tersebut. Data insiden juga menjadi bahan laporan periodik, bersama data penilaian risiko, mitigasi, dan indikator risiko utama.

Pertanyaan yang Sering Diajukan

Apakah insiden tanpa kerugian keuangan perlu dicatat?

Perlu. Insiden tanpa kerugian keuangan, termasuk kejadian nyaris celaka, menunjukkan kelemahan proses sebelum benar-benar menimbulkan kerugian. Data ini sering menjadi sinyal paling awal yang dimiliki perusahaan.

Kapan insiden sebaiknya dilaporkan?

Sesegera mungkin setelah diketahui. Banyak perusahaan menetapkan batas waktu pelaporan dalam kebijakannya. Data awal boleh belum lengkap, karena detail kerugian dan akar penyebab bisa dilengkapi setelah verifikasi dan investigasi.

Siapa yang berhak melihat data insiden?

Hak akses sebaiknya diatur per peran. Pelapor dan unit terkait melihat insiden unitnya, fungsi manajemen risiko melihat seluruh insiden, dan manajemen melihat ringkasannya. Insiden yang sensitif, misalnya terkait kecurangan, bisa dibatasi aksesnya lebih ketat.