- Enterprise Risk Management (ERM) mengintegrasikan pengelolaan risiko di seluruh organisasi agar perusahaan dapat menghubungkan risiko dengan strategi dan tujuan bisnis.
- Kerangka COSO ERM 2017 mencakup lima komponen: Governance and Culture, Strategy and Objective-Setting, Performance, Review and Revision, serta Information, Communication, and Reporting.
- ERM dapat mencakup risiko strategis, operasional, finansial, kepatuhan, teknologi, cybersecurity, pihak ketiga, dan reputasi.
- Penerapan ERM membantu perusahaan menetapkan prioritas risiko, menentukan pemilik risiko, memilih tindakan mitigasi, dan memantau perubahan profil risiko.
- Mekari Sign mendukung pengelolaan dokumen kontrak melalui workflow approval, tanda tangan elektronik, penyimpanan terpusat, dan pemantauan status kontrak.
Risiko bisnis sering melibatkan beberapa fungsi sekaligus. Gangguan vendor dapat menghentikan operasional, insiden keamanan dapat memicu masalah kepatuhan, dan perubahan regulasi dapat memengaruhi strategi maupun biaya perusahaan.
Enterprise Risk Management (ERM) memberikan kerangka untuk mengelola risiko secara terintegrasi. Perusahaan dapat menghubungkan hasil penilaian risiko dengan tujuan bisnis, menetapkan tanggung jawab, dan menentukan tindakan berdasarkan dampak yang perlu diantisipasi.
Apa Itu Enterprise Risk Management?
Enterprise Risk Management (ERM) adalah pendekatan terintegrasi untuk mengelola risiko yang dapat memengaruhi pencapaian tujuan organisasi. ERM menghubungkan aktivitas identifikasi, penilaian, respons, dan pemantauan risiko dengan strategi, kinerja, serta proses pengambilan keputusan.
Istilah enterprise merujuk pada cakupan organisasi secara menyeluruh, terlepas dari ukuran perusahaan. Mengacu pada penjelasan Institute of Risk Management (IRM), ERM mengintegrasikan pengelolaan risiko ke berbagai bagian organisasi dan hubungan eksternalnya. Pimpinan kemudian dapat melihat risiko antarfungsi secara terpadu, bukan hanya melalui laporan masing-masing departemen.
Komponen dalam Enterprise Risk Management
Salah satu kerangka untuk menerapkan ERM adalah Enterprise Risk Management: Integrating with Strategy and Performance dari COSO, yang diterbitkan pada 2017. Kerangka ini memuat lima komponen yang saling berkaitan untuk menghubungkan tata kelola, strategi, kinerja, evaluasi, dan komunikasi risiko.
Berikut lima komponen dan contoh penerapannya.
| Komponen | Fokus | Contoh penerapan |
|---|---|---|
| Governance and Culture | Pengawasan, struktur organisasi, nilai etika, budaya sadar risiko, dan kompetensi. | Menetapkan peran dewan dan manajemen, pemilik risiko, kebijakan, serta tanggung jawab setiap fungsi. |
| Strategy and Objective-Setting | Mengintegrasikan risiko dengan strategi, tujuan bisnis, dan risk appetite. | Menilai risiko ketika perusahaan merencanakan ekspansi, investasi teknologi, atau perubahan model bisnis. |
| Performance | Mengidentifikasi, menilai, memprioritaskan, dan merespons risiko yang berkaitan dengan tujuan. | Menentukan risiko prioritas, memilih kontrol, dan menetapkan tindakan mitigasi. |
| Review and Revision | Mengevaluasi perubahan risiko, kinerja, dan efektivitas penerapan ERM. | Meninjau ulang penilaian risiko setelah insiden, perubahan proses, atau perubahan regulasi. |
| Information, Communication, and Reporting | Mengelola informasi dan komunikasi agar pihak terkait memahami profil risiko organisasi. | Menyusun laporan risiko berkala dan menetapkan jalur eskalasi untuk temuan yang memerlukan keputusan manajemen. |
Bagaimana Kelima Komponen ERM Saling Berkaitan?
Governance and Culture menetapkan dasar tata kelola dan tanggung jawab. Strategy and Objective-Setting menghubungkan dasar tersebut dengan target bisnis, sedangkan Performance menjalankan identifikasi, penilaian, dan respons risiko.
Review and Revision membantu perusahaan mengevaluasi hasil penerapan dan memperbaiki kontrol. Information, Communication, and Reporting memastikan informasi yang relevan sampai kepada pemilik risiko dan manajemen agar keputusan dapat mengikuti perubahan kondisi bisnis.
Untuk mempelajari proses manajemen risiko secara lebih luas, perusahaan juga dapat merujuk pada ISO 31000:2018. Standar ini menyediakan prinsip, kerangka, dan panduan proses manajemen risiko. ISO 31000 memiliki struktur berbeda dari lima komponen COSO ERM, sehingga keduanya perlu dijelaskan sesuai fungsi masing-masing.
Apa Saja Jenis Risiko yang Dikelola dalam ERM?
Jenis risiko yang masuk ke dalam ERM bergantung pada industri, model bisnis, strategi, dan lingkungan operasi perusahaan. Daftar berikut merangkum kategori risiko yang umum digunakan sebagai titik awal identifikasi, bukan taksonomi universal yang wajib dipakai semua organisasi.
| Jenis risiko | Contoh | Potensi dampak bisnis |
|---|---|---|
| Strategis | Ekspansi pasar tidak sesuai dengan permintaan atau kapasitas perusahaan. | Target pertumbuhan meleset dan investasi tidak menghasilkan manfaat yang direncanakan. |
| Operasional | Proses internal terganggu, terjadi kesalahan manusia, atau layanan mengalami downtime. | Produktivitas menurun dan proses bisnis terhambat. |
| Finansial | Arus kas terganggu, biaya meningkat, atau pelanggan gagal memenuhi kewajiban pembayaran. | Tekanan likuiditas dan kerugian finansial. |
| Kepatuhan dan hukum | Perusahaan tidak memenuhi ketentuan regulasi, perizinan, atau kewajiban kontrak. | Sengketa, sanksi, dan biaya penanganan. |
| Teknologi dan cybersecurity | Serangan siber, kelemahan kontrol akses, atau gangguan infrastruktur teknologi. | Kebocoran data, gangguan layanan, dan pemulihan sistem yang memerlukan biaya. |
| Pihak ketiga dan rantai pasok | Vendor gagal memenuhi SLA atau pemasok utama menghentikan layanan. | Gangguan operasi dan ketergantungan pada penyedia tertentu. |
| Reputasi | Kegagalan layanan, pelanggaran etika, atau insiden yang memengaruhi kepercayaan pelanggan. | Hubungan dengan pelanggan, mitra, atau pemangku kepentingan memburuk. |
| SDM, kesehatan, keselamatan, dan lingkungan | Kekurangan kompetensi, kecelakaan kerja, atau gangguan lingkungan yang memengaruhi aktivitas bisnis. | Gangguan operasional, risiko keselamatan, dan kewajiban tambahan. |
Bagaimana Risiko ERM Saling Memengaruhi?
Satu peristiwa dapat memicu beberapa kategori risiko. Contohnya, serangan terhadap penyedia teknologi dapat menghentikan layanan perusahaan, menghambat transaksi, mengekspos data pelanggan, dan memicu kewajiban kepatuhan. ERM membantu organisasi memetakan dampak berantai ini ketika menentukan prioritas mitigasi.
Perusahaan yang menangani data pribadi perlu menilai kontrol akses, penggunaan, penyimpanan, dan penghapusan data sesuai kebutuhan serta ketentuan yang berlaku. Rujukan terkait mencakup UU Pelindungan Data Pribadi di Indonesia dan praktik teknis seperti enkripsi data.
Ketergantungan terhadap vendor juga perlu masuk dalam penilaian risiko. Perusahaan dapat memantau kualitas layanan berdasarkan Service Level Agreement (SLA), menilai kesiapan pemulihan layanan, serta memeriksa alternatif ketika penyedia utama mengalami gangguan. Dalam proses pengadaan, pemeriksaan risiko dapat dihubungkan dengan kriteria seleksi vendor pada e-procurement.
Manfaat Penerapan Enterprise Risk Management
ERM memberikan dasar bagi perusahaan untuk menetapkan prioritas risiko, menentukan pemilik risiko, serta menghubungkan temuan assessment dengan keputusan bisnis. Nilai yang diperoleh bergantung pada kualitas informasi, kejelasan tanggung jawab, dan konsistensi tindak lanjut.
| Manfaat | Contoh penerapan | Dampak yang diharapkan |
|---|---|---|
| Prioritas risiko lebih jelas | Menilai kemungkinan dan dampak setiap risiko terhadap target bisnis. | Sumber daya diarahkan ke risiko yang paling material. |
| Keputusan bisnis lebih terinformasi | Memasukkan hasil assessment ke dalam keputusan investasi, ekspansi, dan pemilihan vendor. | Manajemen dapat mempertimbangkan ketidakpastian bersama potensi manfaat. |
| Tanggung jawab lebih terarah | Menetapkan risk owner, kewenangan, tenggat, dan jalur eskalasi. | Tim mengetahui siapa yang menjalankan mitigasi dan kapan harus melapor. |
| Perubahan risiko terpantau | Memantau indikator risiko dan melakukan review saat kondisi berubah. | Perusahaan dapat mengevaluasi respons sebelum masalah berkembang. |
| Koordinasi lintas fungsi meningkat | Menggabungkan informasi dari Finance, IT, Legal, Operations, dan fungsi lain. | Manajemen dapat melihat ketergantungan dan dampak risiko lintas departemen. |
| Pengawasan lebih terstruktur | Mendokumentasikan assessment, keputusan, kontrol, dan tindak lanjut. | Manajemen dapat meninjau status risiko dan pertanggungjawaban dengan lebih jelas. |
NC State ERM Initiative menjelaskan bahwa ERM membantu organisasi menghubungkan risiko dengan prioritas strategis, mengenali risiko yang melintasi departemen, dan memperbaiki pengambilan keputusan di tengah ketidakpastian. Aon juga membahas integrasi ERM dengan profil risiko, governance, dan keputusan bisnis dalam panduan Enterprise Risk Management.
Perusahaan perlu menggunakan hasil penilaian untuk menetapkan tindakan dan mengawasi pelaksanaannya. Risk register yang lengkap belum cukup jika pemilik risiko tidak menjalankan mitigasi atau manajemen tidak meninjau perubahan profil risiko.
Bagaimana Cara Menerapkan Enterprise Risk Management?
Perusahaan dapat menerapkan ERM secara bertahap, dimulai dari tujuan bisnis dan risiko yang paling memengaruhi pencapaiannya. ISO 31000:2018 menyediakan panduan untuk identifikasi, analisis, evaluasi, penanganan, monitoring, dan komunikasi risiko yang dapat disesuaikan dengan konteks organisasi.
| Langkah | Aktivitas | Output |
|---|---|---|
| 1. Tetapkan konteks dan tujuan | Tentukan sasaran bisnis, ruang lingkup ERM, dan faktor internal maupun eksternal yang dapat memengaruhi target. | Daftar tujuan dan ruang lingkup penilaian. |
| 2. Tetapkan governance dan risk appetite | Tentukan kewenangan, pemilik risiko, toleransi risiko, dan jalur eskalasi. | Kebijakan, peran, dan kriteria penerimaan risiko. |
| 3. Identifikasi risiko | Libatkan fungsi terkait untuk mencatat peristiwa yang dapat memengaruhi pencapaian target. | Risk register awal. |
| 4. Nilai dan prioritaskan risiko | Nilai kemungkinan, dampak, efektivitas kontrol, dan hubungan antarrisiko. | Peta risiko dan daftar prioritas. |
| 5. Tentukan respons dan kontrol | Pilih tindakan untuk menghindari, mengurangi, mentransfer, atau menerima risiko sesuai kewenangan. | Rencana mitigasi, risk owner, dan tenggat. |
| 6. Hubungkan risiko dengan keputusan | Gunakan hasil assessment saat menetapkan investasi, proses operasional, target, dan pilihan vendor. | Keputusan bisnis yang mempertimbangkan risiko. |
| 7. Monitor dan tinjau ulang | Pantau indikator risiko, status mitigasi, insiden, serta perubahan kondisi bisnis. | Laporan risiko dan pembaruan rencana tindakan. |
Perusahaan dapat menggunakan panduan risk appetite dalam bisnis sebagai titik awal untuk memahami kriteria penerimaan risiko. Organisasi kemudian perlu menentukan batas dan persetujuan berdasarkan konteks masing-masing, bukan mengambil satu ambang risiko untuk semua aktivitas.
Bagaimana Hasil Risk Assessment Digunakan?
Setiap risiko prioritas perlu memiliki pemilik, indikator pemantauan, dan rencana respons. Perusahaan dapat menggunakan Key Risk Indicators (KRI) untuk mengetahui perubahan paparan risiko sebelum dampaknya meluas.
| Risiko | Contoh risk owner | Indikator pemantauan | Contoh tindak lanjut |
|---|---|---|---|
| Gangguan layanan vendor teknologi | IT dan pemilik proses bisnis. | Downtime, insiden layanan, dan pencapaian SLA. | Evaluasi gangguan, uji pemulihan, dan tinjau alternatif layanan. |
| Tekanan arus kas | Finance. | Proyeksi kas, keterlambatan pembayaran, dan kebutuhan pendanaan. | Evaluasi skenario kas dan sesuaikan pengeluaran atau pendanaan. |
| Perubahan kewajiban kepatuhan | Legal atau Compliance. | Perubahan ketentuan, status pemenuhan kewajiban, dan temuan pemeriksaan. | Evaluasi dampak, tetapkan tindakan, dan eskalasi jika diperlukan. |
Contoh ini bersifat ilustratif. Setiap perusahaan perlu menetapkan indikator, frekuensi review, dan ambang eskalasi sesuai kebijakan, toleransi risiko, dan dampak bisnis yang relevan.
Bagaimana ERM, Risk Management, dan TPRM Diterapkan dalam Perusahaan?
Risk management merupakan proses untuk mengelola risiko sesuai konteksnya. ERM mengintegrasikan proses tersebut pada tingkat organisasi, sedangkan Third Party Risk Management (TPRM) berfokus pada risiko yang berasal dari vendor, supplier, partner, dan pihak eksternal lainnya.
| Aspek | Risk Management | Enterprise Risk Management | Third Party Risk Management |
|---|---|---|---|
| Cakupan | Risiko pada aktivitas, proyek, proses, atau fungsi tertentu. | Berbagai risiko yang memengaruhi organisasi dan tujuan bisnisnya. | Risiko yang berasal dari pihak ketiga dan hubungan bisnis dengannya. |
| Fokus | Mengidentifikasi, menilai, menangani, dan memantau risiko sesuai konteks. | Menghubungkan pengelolaan risiko dengan strategi, kinerja, serta pengawasan perusahaan. | Menilai dan mengelola vendor sepanjang hubungan kerja sama. |
| Contoh penerapan | Tim IT mengelola risiko gangguan pada suatu sistem. | Manajemen menggabungkan risiko operasional, finansial, teknologi, dan kepatuhan untuk menilai target bisnis. | Procurement, IT Security, Legal, dan pemilik bisnis menilai vendor sebelum dan selama kerja sama. |
| Hubungan | Proses inti yang bisa diterapkan di berbagai cakupan. | Mengintegrasikan proses manajemen risiko lintas fungsi. | Dapat diintegrasikan ke ERM ketika risiko pihak ketiga masuk dalam kerangka risiko organisasi. |
Misalnya, saat perusahaan memperluas bisnis ke pasar baru, tim dapat menilai risiko pendanaan, keamanan sistem, dan kapasitas operasional. ERM menghubungkan penilaian tersebut dengan target ekspansi dan keputusan manajemen. Jika ekspansi memerlukan vendor baru, TPRM menilai risiko pihak tersebut dan menyampaikan temuan kepada fungsi yang berwenang.
Bagaimana Dokumen dan Kontrak Mendukung ERM?
Dokumen dan kontrak menyimpan informasi yang dibutuhkan untuk mengelola risiko, seperti pembagian kewajiban, SLA, persyaratan keamanan, mekanisme eskalasi, dan ketentuan pengakhiran kerja sama. Perusahaan dapat menggunakan digitalisasi dokumen untuk menata proses administrasi dan alur dokumen agar tim lebih mudah menemukan informasi yang diperlukan.
Tim perlu menjaga dokumentasi keputusan, approval, dan tindak lanjut agar dapat menelusuri perubahan serta status kontrol. Audit trail membantu menunjukkan rekam jejak aktivitas yang dicatat sistem, sedangkan panduan Document Management System (DMS) membahas pengelolaan dokumen dalam workflow bisnis.
Untuk kontrak, tim Legal dapat memeriksa klausul yang mengatur hak dan kewajiban para pihak. Jika perjanjian perlu mengatur pembagian tanggung jawab atas kerugian, indemnification clause dapat ditinjau sesuai konteks dan hasil negosiasi.
Perubahan ruang lingkup atau kewajiban juga perlu dicatat melalui mekanisme kontrak yang disepakati, misalnya dengan menyusun amandemen kontrak. Proses pengelolaan kontrak sepanjang masa berlakunya, termasuk approval, penandatanganan, pemantauan status, dan pengingat, merupakan bagian dari contract lifecycle management.
Kelola Dokumen Kontrak dengan Mekari Sign
ERM membutuhkan dokumentasi yang tertata agar perusahaan dapat menemukan kewajiban, memeriksa status approval, dan menindaklanjuti kontrak sesuai kebutuhan. Dokumen yang tersebar di email dan folder berbeda dapat memperlambat koordinasi serta menyulitkan penelusuran keputusan bisnis.
Mekari Sign menyediakan software manajemen siklus hidup kontrak untuk mendukung template, approval, tanda tangan elektronik, penyimpanan terpusat, pemantauan status, dan pengingat kontrak. Fitur tersebut membantu tim Legal, Procurement, dan pemilik bisnis mengelola proses serta dokumentasi kontrak dalam satu alur.
Mekari Sign mendukung pengelolaan dokumen dan kontrak yang berkaitan dengan kontrol bisnis. Penilaian risiko perusahaan, penetapan risk appetite, penyusunan risk register, dan keputusan mitigasi tetap menjadi tanggung jawab fungsi yang berwenang sesuai kerangka ERM organisasi.
