Risk Identification dan Risk Register: Panduan Praktis

Perusahaan biasanya tidak kekurangan risiko. Yang lebih sering menjadi masalah adalah risiko tersebut tersebar di kepala banyak orang dan belum pernah dibicarakan dalam satu kerangka yang sama. Procurement mengetahui ketergantungan pada supplier tertentu, Finance melihat tekanan nilai tukar, IT memahami keterbatasan sistem lama, sedangkan manajemen sedang memikirkan perubahan pasar. Semuanya memiliki informasi penting, tetapi belum tentu terkumpul menjadi gambaran risiko perusahaan.

Masalah baru terlihat ketika sesuatu benar-benar terjadi. Supplier gagal mengirim, sistem berhenti, kurs melonjak, atau proyek terlambat. Pada saat itu, perusahaan tidak lagi sedang mengelola risiko, tetapi menangani insiden.

Di sinilah risk identification dan risk register berperan. Risk identification membantu organisasi menemukan kondisi atau peristiwa yang dapat memengaruhi tujuan. Hasilnya kemudian dicatat dalam risk register agar risiko dapat diklasifikasikan, dinilai, diberikan owner, diprioritaskan, dan dimonitor. IEC (2019) juga menyediakan panduan pemilihan berbagai teknik risk assessment untuk membantu pengambilan keputusan dalam kondisi ketidakpastian.

Teknik Identifikasi Risiko: Mulai dari Objective, Bukan dari Ketakutan

Identifikasi risiko bukan aktivitas membuat daftar sebanyak mungkin tentang hal buruk yang mungkin terjadi. Titik awalnya adalah objective. Perusahaan perlu mengetahui sasaran apa yang ingin dicapai, baru kemudian mencari ketidakpastian yang dapat menghambat, mengubah, atau memengaruhi pencapaian sasaran tersebut.

Misalnya perusahaan memiliki target On-Time Delivery minimal 98%. Risiko yang relevan dapat berupa keterlambatan supplier, gangguan transportasi, inaccurate inventory, kegagalan sistem warehouse, atau kekurangan kapasitas produksi. Sebaliknya, masalah yang sama sekali tidak mempunyai hubungan dengan objective tersebut belum tentu perlu menjadi prioritas pada risk assessment yang sedang dilakukan.

The Orange Book dari HM Treasury menekankan bahwa risk identification perlu menghasilkan pandangan risiko yang menyeluruh. Organisasi perlu mempertimbangkan sumber risiko internal maupun eksternal, perubahan kondisi, asumsi dalam strategi, emerging risk, keterbatasan informasi, hingga bias orang-orang yang melakukan assessment.

Metode identifikasi harus disesuaikan dengan situasinya

Satu metode jarang cukup untuk menemukan seluruh risiko. Untuk kebutuhan korporat, beberapa teknik dapat digunakan secara kombinasi. Brainstorming cocok untuk mencari banyak ide pada fase awal. Structured interview berguna ketika informasi hanya dimiliki subject matter expert tertentu. Delphi Technique dapat membantu memperoleh pandangan para ahli secara lebih independen. Checklist berguna untuk risiko berulang atau compliance, sedangkan SWIFT menggunakan pertanyaan terstruktur seperti “apa yang terjadi jika proses X gagal?”. Historical data review melengkapi semuanya dengan melihat pola kejadian yang benar-benar pernah terjadi.

Untuk proses lintas divisi, risk workshop biasanya lebih efektif dibanding sekadar mengirim spreadsheet ke masing-masing departemen. Tim dapat mempertemukan Finance, Operations, HR, Legal, IT, Procurement, atau fungsi lain yang relevan dan membahas exposure dari perspektif berbeda. Brainstorming dapat digunakan untuk tahap eksplorasi, sementara interview lebih cocok untuk risiko teknis, sensitif, atau yang membutuhkan pengetahuan khusus.

Sumber informasi juga sebaiknya tidak hanya berasal dari manajemen. Audit finding, management letter, whistleblowing report, complaint pelanggan, masukan vendor, regulator, dan pengalaman supervisor lapangan dapat memberikan sinyal risiko yang berbeda. Semakin beragam sumber informasinya, semakin kecil kemungkinan risk identification hanya mencerminkan persepsi satu kelompok.

Pelajari Lengkapnya: DI SINI

Data Historis Bisa Menunjukkan Risiko yang Selama Ini Dianggap “Kejadian Biasa”

Perusahaan sering mempunyai banyak data mengenai kegagalan, tetapi belum menggunakannya sebagai sumber risk identification. Downtime dicatat oleh Engineering, defect disimpan Quality Assurance, keterlambatan supplier ada di Procurement, sedangkan complaint berada di Customer Service. Jika data tersebut dilihat sendiri-sendiri, masing-masing mungkin terlihat seperti kejadian operasional biasa.

Padahal pola historis dapat menunjukkan risiko struktural.

Bayangkan selama tiga tahun perusahaan mengalami 14 kali line stop karena material dari supplier yang sama terlambat. Setiap insiden ditangani dengan emergency purchase dan expediting. Masalah terlihat selesai setelah produksi kembali berjalan, tetapi data tiga tahun menunjukkan bahwa perusahaan sebenarnya mempunyai single-source dependency risk yang terus berulang.

Analisis historical data dapat dimulai dengan mengumpulkan incident log, claim history, quality defect report, IT incident, dan audit finding. Data kemudian dikelompokkan berdasarkan proses, lokasi, atau kategori untuk melihat frekuensi serta dampaknya. Setelah pola ditemukan, root cause dapat dianalisis menggunakan 5-Why atau Fishbone agar perusahaan tidak salah memasukkan gejala sebagai akar risiko.

Tujuannya bukan memprediksi masa depan secara sempurna. Historical data memberikan base evidence bahwa suatu kejadian memiliki pola, sehingga diskusi likelihood tidak sepenuhnya berdasarkan feeling.

Menyusun Risk Register: Bukan Sekadar Daftar Risiko di Excel

Setelah risiko ditemukan, informasinya perlu ditempatkan dalam satu catatan yang dapat digunakan bersama. NIST mendefinisikan risk register sebagai repository informasi mengenai risiko yang diketahui dari waktu ke waktu, atau central record mengenai risiko beserta informasi terkait dalam suatu scope atau organisasi.

Format risk register tidak harus identik di setiap perusahaan. Semua organisasi wajib memiliki jumlah kolom tertentu. Struktur perlu disesuaikan dengan governance, industri, kompleksitas, dan maturity risk management perusahaan. (ISO)

Namun untuk memulai, format berikut cukup membantu:

Struktur tersebut sejalan dengan praktik dasar yang menghubungkan deskripsi risiko, kategori, sebab, dampak, likelihood, impact, level, dan owner. Dalam organisasi yang lebih matang, kolomnya dapat diperluas dengan existing control, inherent risk, residual risk, target risk, KRI, action owner, target date, status treatment, dan evidence monitoring.

Tulis risiko dengan pola cause → event → impact

Kolom deskripsi jangan hanya diisi “risiko supplier”, “risiko IT”, atau “risiko keuangan”. Wording tersebut terlalu luas sehingga sulit dianalisis.

Contoh yang lebih jelas:

Karena 85% bahan baku bergantung pada satu supplier luar negeri, keterlambatan atau gangguan pada supplier dapat menyebabkan kekurangan material sehingga produksi berhenti dan target delivery pelanggan tidak tercapai.

Pola tersebut membuat tiga bagian terlihat:

• Cause: ketergantungan 85% pada satu supplier

• Risk event: supplier terlambat atau gagal memasok

• Impact: produksi berhenti dan target delivery terganggu

Format seperti ini akan membantu ketika perusahaan menentukan control dan treatment. Penyebab single sourcing mungkin ditangani dengan vendor diversification, sedangkan dampak stockout dapat dikurangi melalui safety stock. Keduanya tidak selalu membutuhkan respons yang sama.

Likelihood dan Impact Membantu Menentukan Mana yang Harus Dikerjakan Dulu

Risk register akan lebih berguna jika perusahaan mampu membedakan risiko yang perlu segera ditangani dengan risiko yang cukup dimonitor.

Salah satu metode sederhana adalah menggunakan Likelihood × Impact. Likelihood menggambarkan kemungkinan atau frekuensi kejadian, sedangkan impact menggambarkan besarnya konsekuensi apabila risiko terjadi. Perusahaan kemudian dapat memvisualisasikannya pada risk matrix atau heatmap.

Namun skala harus dikalibrasi terhadap kondisi organisasi. Misalnya kerugian Rp10 miliar mungkin sangat material bagi perusahaan dengan omzet Rp50 miliar, tetapi memiliki arti berbeda bagi korporasi dengan revenue ratusan triliun. Hal yang sama berlaku terhadap frekuensi. “Sering” pada kecelakaan fatal tentu tidak bisa didefinisikan dengan logika yang sama seperti keterlambatan administratif ringan.

Contoh skala 1–5 dapat digunakan sebagai starting point, tetapi threshold finansial, definisi frekuensi, warna heatmap, dan kategori rendah-menengah-tinggi harus disesuaikan dengan risk appetite, kapasitas finansial, industri, dan objective perusahaan.

Karena itu, rumus Level = Likelihood × Impact berguna sebagai metode prioritisasi, tetapi bukan berarti angka otomatis menggantikan judgement. Dua risiko dengan skor sama dapat memerlukan respons berbeda jika salah satunya berkaitan dengan keselamatan, pelanggaran hukum, atau potensi menghentikan operasional kritis.

Risk Assessment Tools: FMEA atau BowTie, Mana yang Dipakai?

Risk register memberikan pandangan portofolio. Namun beberapa risiko membutuhkan analisis lebih dalam untuk memahami failure, penyebab, kontrol, atau jalur konsekuensinya. IEC (2019) menegaskan bahwa teknik risk assessment perlu dipilih berdasarkan tujuan, jenis risiko, kualitas informasi, kompleksitas, dan keputusan yang perlu dibuat.

FMEA cocok ketika failure mode-nya dapat diurai

Failure Mode and Effects Analysis (FMEA) digunakan untuk melihat bagaimana suatu komponen atau proses dapat gagal dan apa dampaknya. Metode ini banyak digunakan dalam proses manufaktur, engineering, product design, dan commissioning.

Misalnya dalam proses produksi:

RPN dihitung menggunakan:

RPN = Severity × Occurrence × Detection

Semakin besar skor, semakin tinggi kebutuhan review terhadap failure mode tersebut. Namun penting untuk tidak menggunakan angka threshold tertentu sebagai aturan universal. Batas RPN yang membutuhkan tindakan sebaiknya ditetapkan berdasarkan methodology internal dan konteks risiko perusahaan. FMEA sendiri efektif untuk pemetaan kegagalan komponen atau proses, tetapi hasil rating dapat menjadi subjektif jika tim tidak mempunyai kriteria yang konsisten.

BowTie cocok untuk risiko high-impact dengan banyak penyebab

Berbeda dari FMEA, BowTie Analysis membantu melihat perjalanan risiko dari penyebab sampai konsekuensi sekaligus menunjukkan barrier yang dimiliki perusahaan.

Bayangkan top event berupa:

“Akses tidak sah terhadap database pelanggan.”

Di sisi kiri terdapat threats seperti phishing, weak password, atau insider threat. Di antara threat dan top event terdapat preventive barriers seperti MFA, security training, IAM, atau DLP. Di sisi kanan, top event dapat menimbulkan regulatory issue, customer churn, biaya forensic, atau reputational damage. Recovery barriers dapat berupa incident response plan, backup, legal response, dan crisis communication.

Logikanya menjadi:

Threat → Preventive Barrier → Top Event → Recovery Barrier → Consequence

BowTie cocok ketika perusahaan perlu memahami banyak jalur penyebab dan dampak dalam satu visual, khususnya pada risiko high-impact seperti safety, cybersecurity, process safety, atau kejadian kritis lainnya.

FMEA dan BowTie bukan dua tools yang saling menggantikan. FMEA unggul untuk failure mode yang dapat dipecah secara sistematis, sedangkan BowTie lebih kuat untuk melihat threat, control barrier, top event, dan multiple consequences.

Jangan Paksa Semua Risiko Masuk ke Tool yang Sama

Salah satu kekeliruan dalam risk assessment adalah memakai metode yang sama untuk seluruh risiko karena perusahaan sudah terbiasa dengan satu template.

Risiko strategis jangka panjang seperti akuisisi perusahaan mungkin lebih cocok dianalisis menggunakan scenario analysis. Risiko proses kimia dapat membutuhkan HAZOP. Proyek baru yang masih berada pada tahap eksplorasi dapat memakai SWIFT. Risiko finansial probabilistik dapat dianalisis menggunakan Monte Carlo atau metode kuantitatif lainnya. FMEA lebih cocok untuk kegagalan proses dan komponen, sementara BowTie cocok untuk kejadian high-impact dengan beberapa jalur penyebab dan konsekuensi.

Artinya, tool harus mengikuti karakter risiko, bukan sebaliknya.

Klasifikasi Risiko: Strategis, Operasional, atau Finansial?

Klasifikasi membantu manajemen melihat pola risk exposure sekaligus menentukan siapa yang perlu terlibat dalam pengelolaannya. Dalam praktik ERM, taxonomy perusahaan dapat lebih luas dengan memasukkan compliance, reputational, technology, people, ESG, legal, project, atau kategori lainnya. Untuk fondasi, tiga kategori berikut paling mudah digunakan.

• Risiko strategis

Risiko strategis berkaitan dengan arah, model bisnis, pasar, kompetisi, teknologi, maupun keputusan besar perusahaan. Horizon-nya biasanya lebih panjang dan dampaknya dapat memengaruhi posisi kompetitif bahkan keberlangsungan organisasi.

Contohnya adalah ekspansi pasar gagal, akuisisi tidak menghasilkan sinergi, perubahan teknologi membuat produk kehilangan relevansi, atau strategi bisnis tidak mampu menyesuaikan perubahan industri.

• Risiko operasional

Risiko operasional berasal dari proses, manusia, sistem, equipment, supplier, dan aktivitas sehari-hari perusahaan. Gangguan produksi, IT outage, human error, accident, inventory discrepancy, serta supply chain disruption termasuk contoh yang umum.

Dampaknya sering terlihat pada service level, OTD, downtime, OEE, defect rate, atau indikator performa operasional lainnya.

• Risiko finansial

Risiko finansial memiliki dampak langsung terhadap cash flow, profitabilitas, likuiditas, kredit, pasar, maupun struktur pembiayaan. Contohnya mencakup gagal bayar pelanggan, fluktuasi kurs, liquidity shortage, perubahan tingkat bunga, dan exposure utang.

Perbedaan karakter, horizon, owner, dan contoh ketiga kategori tersebut membantu perusahaan menempatkan risiko pada konteks yang tepat.

Bagaimana jika satu risiko masuk beberapa kategori?

Hal ini sangat mungkin.

Contohnya perusahaan melakukan akuisisi besar. Keputusan akuisisi merupakan strategic risk, pendanaan akuisisi dapat menghasilkan financial risk, sementara integrasi sistem dan SDM menimbulkan operational risk.

Dalam kondisi seperti ini, jangan memaksakan seluruh exposure masuk satu kotak. Tentukan primary risk berdasarkan root cause atau keputusan utamanya, kemudian pecah sub-risk apabila exposure sekunder membutuhkan owner dan treatment yang berbeda. Pendekatan ini membantu menghindari blind spot ketika risiko lintas fungsi hanya diberikan kepada satu departemen.

Risk Register yang Actionable Harus Menjawab “Siapa Melakukan Apa dan Kapan?”

Risk register sering kehilangan fungsi karena berhenti setelah penilaian likelihood dan impact. Risk owner sudah ditulis, heatmap sudah berwarna, tetapi tidak ada tindak lanjut yang konkret.

Untuk risiko prioritas, perusahaan perlu melanjutkan proses ke treatment. Secara umum respons dapat berupa avoid, reduce, transfer/share, atau accept/retain, tergantung methodology yang digunakan organisasi. Action plan kemudian perlu menjelaskan tindakan spesifik, PIC pelaksana, target waktu, serta target kondisi setelah treatment dijalankan.

Misalnya risk event adalah line stop akibat single sourcing. Treatment “monitor supplier” terlalu abstrak. Action plan yang lebih operasional dapat berupa melakukan qualification terhadap dua supplier alternatif dalam 60 hari, menetapkan minimum safety stock, dan menyelesaikan kontrak dual-source sebelum periode peak demand.

Risk owner juga tidak selalu sama dengan orang yang menjalankan seluruh action. Owner bertanggung jawab memastikan exposure dikelola, sedangkan satu treatment dapat mempunyai action owner dari Procurement, Operations, Finance, atau unit lainnya.

Risk register yang baik akhirnya mampu menjawab empat pertanyaan: risikonya apa, seberapa penting, siapa yang accountable, dan apa tindakan berikutnya.

Kesimpulan

Risk identification dan risk register menjadi fondasi karena kualitas proses risk management berikutnya sangat bergantung pada risiko yang ditemukan di awal. Risiko yang ditulis terlalu umum akan menghasilkan assessment yang tidak tajam. Sebaliknya, risiko yang dirumuskan berdasarkan objective, cause, event, dan impact akan jauh lebih mudah dianalisis dan ditangani.

Identifikasi dapat dilakukan melalui workshop, brainstorming, structured interview, stakeholder input, checklist, SWIFT, audit finding, dan historical data. Hasilnya kemudian disusun dalam risk register yang menghubungkan deskripsi risiko, kategori, penyebab, dampak, likelihood, impact, level, owner, dan treatment.

Untuk risiko tertentu, risk assessment dapat diperkuat dengan FMEA, BowTie, scenario analysis, HAZOP, atau tool lainnya sesuai karakter exposure. Tidak ada satu metode yang tepat untuk semua kondisi.

Pada akhirnya, risk register bukan tujuan akhir. Nilainya muncul ketika dokumen tersebut membuat organisasi mampu melihat risiko lebih awal, menentukan prioritas secara konsisten, dan memastikan orang yang tepat melakukan tindakan yang tepat sebelum risiko berubah menjadi insiden.