Penerapan ISO 31000 dengan Sistem Manajemen Risiko Digital

ISO 31000 adalah standar internasional yang memberi pedoman manajemen risiko untuk organisasi dari jenis dan ukuran apa pun. Versi yang berlaku saat ini, ISO 31000:2018, menjelaskan prinsip, kerangka kerja, dan proses manajemen risiko. Standar ini bersifat pedoman, bukan persyaratan untuk sertifikasi. Karena itu, penerapan ISO 31000 di perusahaan lebih tepat dipahami sebagai upaya menyusun proses yang sejalan dengan pedoman tersebut, lalu menjalankannya secara konsisten.

Di sinilah sistem digital banyak membantu. Proses yang dijelaskan ISO 31000 bersifat berulang dan melibatkan banyak pihak, sehingga mudah tercecer jika hanya mengandalkan dokumen dan rapat. Artikel ini membahas struktur ISO 31000, tahapan prosesnya, dan bagaimana setiap tahapan bisa dipetakan ke fitur sistem manajemen risiko.

Struktur ISO 31000: Prinsip, Kerangka Kerja, dan Proses

ISO 31000 tersusun dari tiga bagian utama yang saling berkaitan.

Prinsip menjelaskan ciri manajemen risiko yang efektif. Tujuan utamanya adalah menciptakan dan melindungi nilai. Prinsip-prinsipnya menekankan bahwa manajemen risiko perlu terintegrasi dengan kegiatan organisasi, terstruktur dan menyeluruh, disesuaikan dengan konteks organisasi, inklusif terhadap pemangku kepentingan, dinamis, berdasarkan informasi terbaik yang tersedia, memperhatikan faktor manusia dan budaya, serta terus diperbaiki.

Kerangka kerja menjelaskan bagaimana manajemen risiko ditanamkan dalam organisasi. Pusatnya adalah kepemimpinan dan komitmen, yang didukung oleh integrasi, desain, implementasi, evaluasi, dan perbaikan.

Proses menjelaskan langkah-langkah yang dijalankan sehari-hari untuk mengelola risiko. Bagian inilah yang paling banyak bersentuhan dengan sistem manajemen risiko.

Tahapan Proses Manajemen Risiko Menurut ISO 31000

Proses manajemen risiko dalam ISO 31000 terdiri dari tahapan berikut:

• Komunikasi dan konsultasi dengan pihak terkait, yang berlangsung sepanjang proses.
• Penetapan lingkup, konteks, dan kriteria.
• Asesmen risiko, yang terdiri dari identifikasi, analisis, dan evaluasi risiko.
• Perlakuan risiko.
• Pemantauan dan tinjauan, yang juga berlangsung sepanjang proses.
• Pencatatan dan pelaporan.

Tahapan ini tidak berjalan sekali lalu selesai. Hasil pemantauan dan insiden yang terjadi menjadi masukan untuk asesmen berikutnya, sehingga prosesnya membentuk siklus.

Memetakan Proses ISO 31000 ke Fitur Sistem

Berikut cara setiap tahapan proses bisa didukung oleh fitur dalam sistem manajemen risiko.

Penetapan lingkup, konteks, dan kriteria. Di sistem, tahap ini tercermin pada pengaturan dasar: struktur unit kerja, kategori risiko, skala kemungkinan dan dampak beserta deskripsinya, serta batas tingkat risiko. Kriteria disimpan sebagai pengaturan yang berlaku untuk semua unit, bukan ditulis ulang di setiap file. Cara menyusun kriteria tersebut kami bahas di artikel cara membuat matriks risiko.

Identifikasi risiko. Pemilik risiko mencatat risiko di register, lengkap dengan penyebab, dampak, dan pengendalian yang ada. Register yang terpusat mencegah risiko ganda dan memudahkan peninjauan lintas unit.

Analisis dan evaluasi risiko. Pemilik risiko menilai kemungkinan dan dampak. Sistem menghitung tingkat risiko berdasarkan kriteria yang sudah ditetapkan dan menampilkannya di matriks. Evaluasi dilakukan dengan membandingkan tingkat risiko terhadap batas yang bisa diterima, untuk menentukan risiko mana yang perlu perlakuan.

Perlakuan risiko. Untuk risiko yang perlu ditangani, pemilik risiko menyusun rencana mitigasi dengan PIC dan tenggat, lalu mengajukannya melalui alur persetujuan. Polanya kami uraikan di artikel mitigasi risiko dengan alur persetujuan berjenjang.

Pemantauan dan tinjauan. Indikator risiko utama dipantau terhadap ambang batasnya, status mitigasi diperbarui, dan insiden dicatat. Notifikasi membantu memastikan perubahan kondisi segera diketahui. Detail tentang indikator ini ada di artikel indikator risiko utama (KRI).

Pencatatan dan pelaporan. Setiap perubahan tercatat dengan riwayatnya, dan laporan periodik disusun dari data yang sama. Dashboard menyajikan ringkasan untuk manajemen.

Komunikasi dan konsultasi. Catatan tinjauan, komentar pada pengajuan, dan notifikasi menjadi jalur komunikasi yang terdokumentasi antara unit kerja, fungsi manajemen risiko, dan manajemen.

Hal yang Tidak Bisa Digantikan Sistem

Sistem mendukung proses, tetapi tidak menggantikan bagian kerangka kerja yang bergantung pada manusia. Kepemimpinan dan komitmen manajemen puncak tetap menjadi syarat utama. Kebijakan risiko, selera risiko, dan pembagian kewenangan harus disusun dan disahkan oleh organisasi sendiri.

Prinsip tentang faktor manusia dan budaya juga mengingatkan bahwa sistem yang canggih tidak berguna jika pemilik risiko tidak merasa bertanggung jawab. Pelatihan, contoh dari pimpinan, dan tindak lanjut yang nyata atas laporan risiko tetap harus dijalankan di luar aplikasi.

Langkah Awal Penerapan ISO 31000 di Perusahaan

1. Pastikan ada komitmen dan kebijakan manajemen risiko yang disahkan pimpinan.
2. Tetapkan struktur peran, termasuk pemilik risiko dan fungsi manajemen risiko.
3. Susun kriteria risiko yang berlaku untuk seluruh organisasi.
4. Lakukan asesmen risiko awal di unit-unit utama.
5. Tetapkan jadwal pemantauan, tinjauan, dan pelaporan.
6. Evaluasi pelaksanaannya secara berkala dan perbaiki prosesnya.

Sistem digital paling tepat diperkenalkan setelah langkah kedua dan ketiga cukup jelas. Membangun aplikasi sebelum peran dan kriteria disepakati sering berakhir dengan perubahan besar di tengah jalan. Pentingnya pemetaan proses sebelum pengembangan kami bahas di artikel audit proses bisnis sebelum membuat aplikasi custom.

Kesalahan Umum dalam Penerapan ISO 31000

• Menganggap ISO 31000 sebagai daftar periksa dokumen. Pedoman ini menekankan proses yang berjalan, bukan tumpukan formulir.
• Melewatkan tahap penetapan konteks dan kriteria, lalu langsung mengisi register. Akibatnya, penilaian antarunit tidak bisa dibandingkan.
• Menjadikan asesmen risiko kegiatan tahunan saja, padahal pemantauan dan tinjauan seharusnya berlangsung terus.
• Memisahkan manajemen risiko dari perencanaan dan pengambilan keputusan, sehingga hasil asesmen tidak pernah dipakai.
• Tidak mengevaluasi kerangka kerja itu sendiri. Prinsip perbaikan berkelanjutan berlaku juga untuk cara perusahaan mengelola risiko.

Penerapan dalam Sistem yang Kami Bangun

Sistem manajemen risiko yang Merbabudev bangun untuk klien korporasi mencakup tahapan proses yang dijelaskan di atas: register risiko dengan penilaian kemungkinan dan dampak serta matriks risiko untuk asesmen, rencana mitigasi dengan PIC, tenggat, dan persetujuan berjenjang untuk perlakuan risiko, KRI dengan ambang batas, dashboard, dan notifikasi untuk pemantauan, serta pencatatan insiden dan laporan periodik untuk pencatatan dan pelaporan. Kami tidak menyebut sistem tersebut sebagai sistem bersertifikat ISO 31000, karena standar ini memang bukan standar sertifikasi. Yang bisa dilakukan sistem adalah membantu organisasi menjalankan proses yang sejalan dengan pedomannya.

Pertanyaan yang Sering Diajukan

Apakah perusahaan bisa mendapat sertifikat ISO 31000?

ISO 31000 adalah pedoman dan tidak dimaksudkan untuk sertifikasi. Perusahaan bisa menyatakan bahwa proses manajemen risikonya mengacu pada ISO 31000, tetapi pernyataan itu bukan sertifikasi seperti pada standar sistem manajemen tertentu.

Apa bedanya ISO 31000 dan Three Lines Model?

ISO 31000 menjelaskan prinsip, kerangka kerja, dan proses manajemen risiko. Three Lines Model menjelaskan pembagian peran dalam tata kelola dan manajemen risiko. Keduanya saling melengkapi. Penjelasannya ada di artikel Three Lines Model dan peran sistem manajemen risiko.

Apakah ISO 31000 hanya untuk perusahaan besar?

Tidak. Standar ini ditujukan untuk organisasi dari jenis dan ukuran apa pun. Penerapannya disesuaikan dengan konteks dan kompleksitas masing-masing organisasi.