[Link].

com

Certified Professional Risk Management

(CPRM®)
By Alvin Novalino, S.E., GRCP, GRCA, IPMP, IDPP, CPGRC, CAAF ,CPRM®, CTRMI®
 Memahami
Overview of Risk 03 Organisasi (Scope,
01 Management Context, Criteria)
✓ Enterprise Risk Management
✓ Memahami scope/ruang lingkup
(ERM) in fact
organisasi
✓ Definisi Risiko, Type of Risk, Risk
✓ Memahami internal & external
Assessment
factor
✓ Risk Management Architecture –
✓ Menentukan Risk Appetite
ISO 31000: 2018
✓ Menentukan Risk Parameter
✓ COSO ERM
(Impact & Likelihood)

Agenda Identifikasi
Proses Manajemen 04 Risiko
02 Risiko Terintegrasi ✓ Lingkup identifikasi risiko
✓ Proses & Teknik identifikasi risiko
✓ ERM Framework
✓ Overview Three Line Models
(Previously called Three Line of Analisa Risiko –
Defence)
✓ Overview ISO 31000: 2018
05 Impact &
✓ Risk Assessment
✓ Risk Owner & Risk Officer Likelihood
✓ Analisa dampak risiko
✓ Analisa keterjadian risiko
 Pengendalian Pelaporan dan
06 08
Risiko Evaluasi Risiko
✓ Monitoring
✓ Preventive, Detective
✓ Evaluation
✓ Membuat/memperbaiki sistem dan
✓ Reporting, Communication,
prosedur/policy
Improvement
✓ Mengembangkan SDM

Agenda 07 Risk Response 09

Risk Driver,
Quantification
✓ 4T’s, Bagaimana memilih response
yang tepat and others
✓ Treat ✓ Lingkup identifikasi risiko
✓ Tolerate ✓ Proses & Teknik identifikasi risiko
✓ Terminate ✓ Formation of risk management
✓ Transfer team

1. Gain a comprehensive and holistic understanding of the nature of risk and

Goals for how to best manage it
this course:
2. Learn how to apply this standard at a workplace
Overview of Risk
Management
 Overview of Risk Management
What is Risk?

ERM is a process, effected by an entity’s board of directors, management and other

personnel, applied in strategy setting and across the enterprise, designed to identify
potential events that may affect the entity, and manage risk to be within its risk
appetite, to provide reasonable assurance regarding the achievement of entity
objectives.

The Committee of Sponsoring Organisations of the Treadway Commission (COSO)

Strategy cannot eliminate risks. Since we cannot

predict the future, risks must be taken.

The purpose of strategy is not to eliminate risk,

but to take the "right risks."
 Overview of Risk Management
What is Risk?

“ Risk is the effect of

uncertainty on objectives…

where uncertainty is the state, even

partial, or deficiency of information
related to a future event,
consequence or likelihood ”
ISO 31000:2018

Risk is the combination of the probability of an The uncertainty of an event occurring that
event and its consequence. Consequences can could have an impact on the achievement
range from positive to negative - Institute of of the objectives. Risk is measured in
Risk Management terms of consequences and likelihood -
Institute of Internal Auditors
 Overview of Risk Management
What is Risk Management?

We all do this every day, in both our All organizations do this, whether
professional and personal lives. formally or informally.

Managing risk is simply managing Managing uncertainty = Making

uncertainty decisions considering the possible
effects of uncertainty
 Overview of Risk Management
ERM Perspective

Contents Here

Contents Here

Internal Audit

What is Enterprise Risk Management?

[Link]
By University of Cincinnati
 Overview of Risk Management
So what are risk and business professionals saying?

1. Increase the likelihood of

achieving objectives;
2. Reduce operational surprises
and losses
3. Improve the identification of
opportunities and threats;
4. Improve compliance with
relevant legal and regulatory
requirements
5. Maximize corporate value

ERM is not a “one-size-fits-all” program –activities must be tailored to align with the benefits
 Overview of Risk Management
Risk & Mitigation

Risiko atas keputusan

memanfaatkan peluang
Risiko sebagai dampak
ketidakpastian Opportunity Risks
Risiko akibat Pengelolaan
satu bahaya Control Risks
Pengendalian
Risiko
ketidakpatuhan Hazard Risks
Mitigasi timbulnya &
Incompliance Risks dampaknya
Mematuhi
 Overview of Risk Management
Type of Risk (Example)

Risiko strategis (long term strategic)

Risiko reputasi, keberlangsungan usaha,
pengembangan usaha, investasi, model
bisnis.
Risiko Operasional
Day-to-day business operations

Risiko Keuangan
Aspek Finansial Perusahaan
Risiko K3
Risiko Kesehatan, Keselamatan Kerja
Risiko Kepatuhan Karyawan & Stakeholder lainnya
Aspek pemenuhan Perusahaan atas
peraturan dan perundang-undangan
yang berlaku.
Overview of Risk Management
Risk concept
 Overview of Risk Management
SMARTER

• Specific: Sasaran dinyatakan dengan jelas (siapa, dimana, kapan)

S

• Measurable: Pencapaian sasaran dapat diukur melalui ukuran tertentu

M

• Attainable: Sasaran yang ada bersifat menantang, namun tetap dapat dicapai organisasi
A

• Relevant: Sasaran yang ada harus sesuai dengan strategi perusahaan

R

• Time bound: Menyatakan secara jelas kapan sasaran ingin tercapai

T

• Evaluated: Sasaran yang ada dapat dievaluasi seiring berjalannya waktu demi menjamin
E tercapainya tujuan tersebut

• Recognized: Memungkinkan dilakukan evaluasi pada saat tenggat waktu pencapaian sasaran
R telah tiba
Risk Management
Architecture –
ISO 31000: 2018
 Proses Manajemen Risiko Terintegrasi
ERM Frameworks - ISO 31000 Risk Management – Principles and guidelines (2018)

• What is ISO 31000? It is an international standard for managing risk. The first version of this standard was
created over a period of five years by hundreds of volunteers and published in 2009.

• ERM frameworks help codify and integrate a structured and disciplined approach towards managing risk
into the company’s core business processes and decision-making activities

• Although there is no definitive model of an ERM framework that fits all companies, there are certain
common characteristics embodied in internationally recognised risk management standards and in the leading
risk management frameworks operating in practice
 Overview of Risk Management
ERM Architecture - ISO 31000 Risk Management – Principles and guidelines (the previous one)
 Overview of Risk Management
ERM Architecture - ISO 31000 Risk Management – Principles and guidelines 2018
 Overview of Risk Management
ERM Architecture - ISO 31000 Risk Management – Updated

Plan
Do

Check
Act

8 Principles
 Overview of Risk Management
8 Principles – ISO 31000

Risk management is continually improved RM is not a stand-alone activity that is separate from
through learning and experience. the main activities and processes of the organization

A systematic, timely and structured approach to risk

management contributes to efficiency and
Human behavior and culture significantly to consistent, comparable and reliable results
influence all aspects of risk management at
each level and stage.

The inputs to risk management are based on Risk management’s framework and processes are
historical and current information, as well as on customized and proportionate with the organization's
future expectations. external and internal context related to its objectives

Risk Management must continually sense Appropriate and timely involvement of stakeholders enables their
and respond to change in a timely manner. knowledge, views and perceptions to be considered. This results in
improved awareness and informed risk management.
 Overview of Risk Management
ERM Architecture - ISO 31000 Risk Management – 8 Principles

Upside
risk
Risiko yang bila terjadi
(Value akan berdampak buruk
creation) pada organisasi dan
menyebabkan erosi atau
kerusakan pada nilai
Risiko yang sebaiknya (value) organisasi.
diambil oleh organisasi
dalam rangka menciptakan
keunggulan bersaing dan
Downside
akhirnya mampu
risk
menciptakan nilai (value).
(Value
protection)

Value creation and protection

Tujuan utama dari prinsip manajemen risiko adalah menciptakan dan melindungi nilai organisasi dengan cara
meningkatkan kinerja, mendorong inovasi dan mendukung pencapaian sasaran.
 Overview of Risk Management
Prinsip Manajemen Risiko – ISO 31000

Prinsip 1: Terintegrasi
• Manajemen risiko bukan merupakan kegiatan berdiri sendiri yang terpisah dari kegiatan dan
proses bisnis suatu organisasi, melainkan harus menyatu/melekat dalam proses bisnis dalam
bentuk pengelolaan risiko yang dijalankan oleh masing masing fungsi.

Prinsip 2: Terstruktur dan Komprehensif

• Penerapan manajemen risiko memerlukan sebuah perencanaan yang disusun secara matang
dan disepakati oleh para pihak internal yang terlibat agar penerapan manajemen risiko secara
terarah dapat dilaksanakan berdasarkan dukungan para pihak yang dilibatkan di dalamnya

Prinsip 3: Disesuaikan
• Kerangka kerja dan proses manajemen risiko disesuaikan dan proporsional dengan konteks
eksternal dan internal organisasi yang berkaitan dengan sasarannya.
• Organisasi perlu menentukan bentuk pengelolaan risiko beserta pengaturannya sesuai dengan
kebutuhannya dalam rangka pencapaian sasaran sasaran yang hendak diraih organisasi serta
sesuai dengan karakteristik spesifik organisasi berdasarkan konteks nternal dan eksternalnya

Prinsip 4: Inklusif
• Pelibatan yang sesuai dan tepat waktu dari pemangku kepentingan memungkinkan
pengetahuan, pandangan, dan persepsi mereka untuk dipertimbangkan. Ini menghasilkan
peningkatan kesadaran dan manajemen risiko terinformasi.
• Keterlibatan yang sesuai dan tepat waktu dari para pemangku kepentingan, khususnya
pengambil keputusan di semua tingkatan organisasi, memastikan bahwa manajemen risiko tetap
relevan dan terkini Keterlibatan juga membolehkan pemangku kepentingan untuk diwakili secara
tepat serta guna mendapatkan pandangan mereka untuk dipertimbangkan dalam proses
manajemen risiko
 Overview of Risk Management
Prinsip Manajemen Risiko – ISO 31000

Prinsip 5: Dinamis
• Organisasi perlu peka terhadap perubahan yang telah dan yang mungkin terjadi, khususnya yang
dapat melemahkan efektivitas pengelolaan risiko organisasi serta mengantisipasinya dalam bentuk
sebuah kendali yang dipersiapkan, maupun perubahan kerangka kerja manajemen risiko sesuai
yang dibutuhkan

Prinsip 6: Informasi terbaik yang tersedia

• Beragam informasi dapat dimanfaatkan untuk membangun, mempertahankan, dan meningkatkan
efektivitas pengelolaan risiko, baik berupa informasi explicit maupun implisit, baik yang tersedia di
internal organisasi, maupun yang dapat diakses di lingkungan eksternal organisasi

Prinsip 7: Faktor Manusia dan Budaya

• Perilaku dan budaya manusia secara signifikan memengaruhi semua aspek manajemen risiko pada
semua tingkat dan tahap
• Sehubungan dengan hal tersebut, sangat penting bagi organisasi untuk memastikan kecukupan
upaya pembangunan peningkatan kesadaran manajemen dan karyawan mengenai pentingnya
manajemen risiko, serta kecukupan upaya sosialisasi kerangka kerja dan atau prosedur
pengelolaan risiko kepada masing masing pemangku kepentingan yang dilibatkan dalam
manajemen risiko organisasi
Prinsip 8: Perbaikan Sinambung
• Bahwa perbaikan sinambung terhadap kerangka kerja manajemen risiko maupun prosesnya
ditujukan agar pengelolaan risiko yang dipraktikkan organisasi senantiasa relevan dan dapat
mendukung operasi bisnis serta pencapaian sasaran.
• Selain itu, perbaikan sinambung terhadap manajemen risiko juga dapat diterapkan melalui
peningkatan kapabilitas para pihak internal yang terlibat, atau peningkatan ketersediaan sumber
daya yang lebih memadai, atau maupun melalui peningkatan keandalan infrastruktur pendukung
yang digunakan
Overview of Risk Management
ERM Architecture - ISO 31000 Risk Management – Updated
COSO ERM
Overview of Risk Management
Kubus Kerangka Kerja COSO ERM

Konsep pokok kerangka COSO ERM – Integrated Framework adalah:

• Suatu proses, berkelanjutan, dan mengalir dalam entitas;

• Dipengaruhi oleh orang-orang pada setiap tingkat organisasi;
• Diterapkan dalam penetapan strategi;
• Diterapkan pada entitas, pada setiap tingkat dan unit, dan termasuk
pengambilan risiko pada tiap tingkat jabatan entitas;
• Dirancang untuk mengidentifikasi kejadian potensial yang mempengaruhi
entitas dan mengelola risiko dalam risiko yang dapat diterima;
• Mampu memberikan keyakinan memadai kepada manajemen dan dewan;
• Menghubungkan pencapaian tujuan dengan satu atau lebih kategori yang
terpisah tapi saling melengkapi.
 Overview of Risk Management
Dimensi Kerangka ERM (COSO II)

Dimensi kedua:
Dimensi level entitas, Dimensi ketiga:
pertama: divisi, unit bisnis 8 Komponen
Tujuan entitas dan anak ERM
perusahaan

ERM dirancang untuk memberikan ERM harus dievaluasi pada ERM diimplementasikan melalui
keyakinan memadai bahwa tujuan entitas tingkat entitas divisi, unit bisnis komponen lingkungan internal, penetapan
dapat dicapai. dan anak perusahaan (sisi kubus tujuan, identifikasi peristiwa, penilaian
Tujuan terbagi dalam 4 kategori sebagai sebelah kanan, dari urut dari risiko, respon risiko, kegiatan
berikut: depan ke belakang). pengendalian, informasi dan komunikasi,
pemantauan (sisi depan kubus, dari urut
• Tujuan strategis, dari atas ke bawah).
• Efektifitas dan efisiensi operasi entitas
(termasuk melindungi aset),
• Keandalan pelaporan keuangan, dan
• Ketaatan terhadap peraturan
perundang-undangan yang berlaku
(sisi kubus sebelah atas, dari urut dari
kiri ke kanan).
 Overview of Risk Management
Komponen COSO ERM – Integrated Framework

Lingkungan internal meliputi keteladanan Tujuan diselaraskan dengan risiko yang

dari pimpinan entitas dan mempengaruhi dapat diterima entitas, yang menjadi
Lingkungan Penetapan prasyarat untuk mengidentifikasi
proses tata kelola organisasi dan internal tujuan
kesadaran akan risiko dan pengendalian peristiwa, penilaian risiko, dan respon
oleh orang/SDM-nya. risiko.

Manajemen mengidentifikasi peristiwa Manajemen mempertimbangkan metode

potensial yang mungkin bersifat positif kualitatif dan kuantitatif untuk
atau negatif dalam mempengaruhi Identifikasi Penilaian mengevaluasi kemungkinan dan dampak
peristiwa risiko peristiwa potensial, secara individu atau
kemampuan entitas untuk menerapkan
strategi dan mencapai tujuan serta per kategori, yang mungkin
kinerjanya. mempengaruhi pencapaian tujuan

Manajemen mempertimbangkan alternatif opsi Manajemen menerapkan kebijakan dan

respon risiko dengan mempertimbangkan biaya Respon Kegiatan prosedur pada seluruh organisasi, pada
dengan manfaat, dengan tujuan mengurangi risiko pengendalian semua tingkat dan semua fungsi, untuk
sisa risiko sehingga telah memasuki area memastikan bahwa respon risiko
toleransi risiko yang diinginkan dilaksanakan sebagaimana mestinya.

Organisasi mengidentifikasi, menangkap, dan

mengkomunikasikan informasi yang berasal Informasi Kegiatan pemantauan berkelanjutan
dari sumber internal dan eksternal yang dan Pemantauan dan/atau evaluasi terpisah menilai kehadiran
Komunikasi dan berfungsinya komponen ERM dan mutu
memungkinkan seluruh personil
menyelesaikan tanggung-jawabnya kinerjanya dari waktu ke waktu.
 Overview of Risk Management
COSO ERM Tahun 2017

Kerangka kerja tersebut terdiri dari lima

komponen dan 20 prinsip, yaitu sebagai
berikut:
 Overview of Risk Management
20 Prinsip COSO – Governance & Culture

Prinsip 1: Pelaksanaan Pengawasan Risiko oleh Dewan

• Dewan melakukan pengawasan terhadap strategi dan melaksanakan tanggung jawab
tata kelola untuk mendukung manajemen dalam mencapai strategi dan tujuan bisnis

Prinsip 2: Menetapkan Struktur Operasi

• Organisasi menetapkan struktur operasi dalam mengejar strategi dan tujuan bisnis.
Struktur operasi menggambarkan bagaimana entitas mengatur operasi sehari-
harinya.

Prinsip 3: Menentukan Budaya yang Diinginkan

• Organisasi mendefinisikan perilaku yang diinginkan yang menjadi ciri budaya yang
diinginkan entitas.

Prinsip 4: Menunjukkan Komitmen terhadap Nilai-Nilai

• Tanpa pemahaman yang kuat dan mendukung nilai-nilai yang dikomunikasikan dari
puncak organisasi, kesadaran risiko dapat rusak dan keputusan yang diilhami risiko
mungkin tidak konsisten dengan nilai-nilai itu.
Prinsip 5: Menarik, Mengembangkan, dan Mempertahankan
Individu
• Kewenangan manajemen dan Dewan untuk menetapkan insentif dan imbalan lain
yang sesuai, dengan mempertimbangkan pencapaian tujuan bisnis jangka pendek
dan jangka panjang
 Overview of Risk Management
20 Prinsip COSO – Strategy & Objective-Setting

Prinsip 6: Menganalisa konteks bisnis

• Organisasi mempertimbangkan potensi dampak konteks bisnis yang mengacu pada

tren, hubungan, dan faktor-faktor lain yang memengaruhi strategi dan tujuan bisnis
organisasi saat ini dan di masa depan pada profil risiko

Prinsip 7: Mendefinisikan Selera Risiko

• Organisasi mendefinisikan selera risiko dalam konteks menciptakan, melestarikan,

dan mewujudkan nilai dengan memperhatikan beberapa hal diantaranya Tidak ada
selera risiko standar atau "benar" yang berlaku untuk semua entitas dan Risk appetite
dapat mencakup penggambaran tunggal atau jamak tentang jenis dan jumlah risiko
yang dapat diterima.

Prinsip 8: Mengevaluasi Strategi Alternatif

• ERM mengevaluasi strategi dari dua perspektif yang berbeda: (1) kemungkinan
bahwa strategi tidak selaras dengan misi, visi, dan nilai-nilai entitas, dan (2) implikasi
dari strategi yang dipilih.

Prinsip 9: Mengembangkan Tujuan Bisnis

• Organisasi mempertimbangkan risiko sambil mengembangkan tujuan bisnis yang

spesifik, terukur atau dapat diamati, dapat dicapai, dan relevan untuk mendukung
pencapaian strategi.
 Overview of Risk Management
20 Prinsip COSO – Performance

Prinsip 10: Mengidentifikasi Risiko

• Organisasi mengidentifikasi risiko yang berdampak pada kinerja strategi dan tujuan
bisnis. Praktik ERM semakin terintegrasi, pengetahuan dan kesadaran risiko terus
diperbarui melalui operasi normal sehari-hari.

Prinsip 11: Menilai Tingkat Signifikansi Risiko

• Risiko yang diidentifikasi dinilai untuk memahami tingkat signifikansi masing-masing
terhadap pencapaian strategi dan tujuan bisnis entitas

Prinsip 12: Memprioritaskan Risiko

• Organisasi memprioritaskan risiko sebagai dasar untuk memilih respons terhadap
risiko sesuai dengan kriteria diantaranya Kemampuan beradaptasi: Kapasitas suatu
entitas untuk beradaptasi dan merespons risiko, kompleksitas, velocity dan lain lain

Prinsip 13: Menerapkan Respons Risiko

• Memilih respon risiko memungkinkan penentuan atas berbagai alternatif berikut
terima, hindari, kejar (pursue), kurangi, dan bagikan.

Prinsip 14: Mengembangkan dan Mengevaluasi Portfolio Risiko

• Portfolio risiko memungkinkan manajemen dan Dewan mempertimbangkan jenis,
tingkat signifikansi, dan saling ketergantungan risiko dan bagaimana risiko tersebut
dapat memengaruhi kinerja.
 Overview of Risk Management
20 Prinsip COSO – Review & Revision

Prinsip 15: Menilai Perubahan Besar

• Organisasi mengidentifikasi dan menilai perubahan yang secara substansial dapat

mempengaruhi strategi dan tujuan bisnis

Prinsip 16: Mereviu Risiko dan Kinerja

• Jika organisasi menentukan bahwa kinerja di luar variasi yang dapat diterima,
organisasi mungkin perlu melakukan reviu tujuan bisnis, reviu strategi, reviu budaya,
merevisi kinerja target, reviu kembali signifikansi hasil risiko, reviu bagaimana risiko
diprioritaskan, merevisi respons risiko, merevisi selera risiko

Prinsip 17: Mengejar Peningkatan ERM

• Entitas dengan ERM yang sesuai dapat menjadi lebih efisien. Dengan menerapkan
evaluasi berkelanjutan ke dalam praktik bisnis, organisasi dapat secara sistematis
mengidentifikasi potensi perbaikan pada praktik ERM mereka. Evaluasi terpisah juga
dapat membantu.
 Overview of Risk Management
20 Prinsip COSO – Information, Communication & Reporting

Prinsip 18: Memanfaatkan Informasi dan Teknologi

• Organisasi memanfaatkan sistem informasi dan teknologi untuk mendukung ERM.

"Informasi yang relevan" hanyalah informasi yang membantu organisasi menjadi lebih
gesit dalam pengambilan keputusan mereka, memberi mereka keunggulan kompetitif.

Prinsip 19: Mengkomunikasikan Informasi Risiko

• Organisasi menggunakan saluran komunikasi untuk mendukung ERM. Secara

internal, manajemen mengkomunikasikan strategi entitas dan tujuan bisnis dengan
jelas di seluruh organisasi sehingga semua personel di semua tingkatan memahami
peran individu mereka

Prinsip 20: Laporan tentang Risiko, Budaya, dan Kinerja

• Organisasi melaporkan risiko, budaya, dan kinerja di berbagai tingkatan dan di

seluruh entitas. Budaya entitas didasarkan pada perilaku dan sikap, dan
mengukurnya seringkali merupakan tugas yang sangat kompleks.
 Overview of Risk Management
Risk Approach - COSO

Monitoring Control Environment

Orang yang berada di dalam

Ada pihak yang menguji dan
rumah.
memeriksa keamaan secara
Apakah sudah jelas
berkala.
tugasnya?

Information &
Control activities
communication Risk assessment

Jika terjadi sesuatu, siapa

Kunci gembok.
yang dihubungi
Apakah ada control keluar
pertama kali? SOP acuan antisipasi
masuk rumah? Apakah ada
Jika ada kelemahan, siapa potensi pencuri masuk dari
security?
yang memperbaiki. sisi lain rumah.
Proses Manajemen
Risiko Terintegrasi
Three line models
Proses Manajemen Risiko Terintegrasi
Overview Three Line Models (Previously called Three Line of Defence)

Or
 Proses Manajemen Risiko Terintegrasi
Overview Three Line Models (Previously called Three Line of Defence)

1st Line:
manajemen
operasional

2nd Line:
fungsi-fungsi
pemantauan risiko

3rd Line
fungsi audit internal

Own & Manage Monitor & Support Support

Fungsi Manajemen (Pengolahan) Fungsi Assurance
Independensi terbatas Lapor Independensi penuh Lapor
Operating Management Kepada Manajemen kepada Governing Body
 Proses Manajemen Risiko Terintegrasi
Overview Three Line Models (Previously called Three Line of Defence) - Limitation of 3LoD Model

Fokus hanya kepada

Defense Membatasi Peran Internal
• Mengabaikan value Audit
creation, tidak proaktif Membatasi peran Internal
• Tidak memperhatikan Audit sebagai trusted
opportunities advisor & strategic partner

Silo atau tidak

terintegrasi Tidak sesuai realita saat
ini
• Fokus hanya di unit
masing masing • Tidak dinamis
• Kordinasi dan komunikasi • Tidak scalable (kaku)
terbatas
• Duplikasi (Overlap & Gap)
Proses Manajemen Risiko Terintegrasi
Overview Three Line Models (Previously called Three Line of Defence)

Across industries and time, “three

lines of defense” has been a
cornerstone of operationalizing risk
management programs.
The Institute of Internal Auditors
(IIA) provided valuable guidance
regarding the three lines of defense
initially in 2013 (hereinafter “2013
Guidance”), followed by updated
guidance in July 2020 (hereinafter
“Three Lines Model”)
 Proses Manajemen Risiko Terintegrasi
Principles of the three line models

Creating and
protecting value
Management &
All roles working
first and second Third line together collectively
line roles independence contribute to the
• First line roles are Third line roles creation and
most directly Internal audit’s protection of value
Governing body Internal audit independence from
aligned with the provides when they are
roles the responsibilities
Governance delivery of independent and aligned with each
• Appropriate of management is
products and/or objective assurance other and with the
• Accountability structures and critical to its
services and advice. prioritized interests
• Actions processes are in objectivity, authority,
• Second line roles of stakeholders
• Assurance & place and credibility.
provide
advice • Organizational
assistance with
objectives aligned
managing risk.
with stakeholders

Principle Principle Principle Principle Principle Principle

1 2 3 4 5 6
 Proses Manajemen Risiko Terintegrasi
Key roles in three line models

The governing body First line roles Second line roles Internal Audit

External assurance
providers
 Proses Manajemen Risiko Terintegrasi
The Governing Body

Determines organizational appetite

for risk and exercises oversight of
risk management (including internal
control)

Engages with stakeholders to

Maintains oversight of compliance
monitor their interests and
with legal, regulatory, and ethical
communicate transparently on the
expectations.
achievement of objectives.

Establishes and oversees an

Accepts accountability to
independent, objective, and
stakeholders for oversight of the
competent internal audit function.
organization.
Proses Manajemen Risiko Terintegrasi
First Line Roles

Internal Control

Leads and directs Maintains a Establishes and Ensures

actions (including continuous maintains compliance with
managing risk) and dialogue with the appropriate legal, regulatory,
application of governing body, structures and and ethical
resources to and reports on: processes for the expectations
achieve the planned, actual, management of
objectives of the and expected operations and risk
organization outcomes linked to (including internal
the objectives of control).
the organization;
and risk
 Proses Manajemen Risiko Terintegrasi
Internal Control

Definisi

Pengendalian internal adalah pembuatan,

penerapan sistem dan metode pengendalian
yang diperlukan untuk mengurangi dampak
dari risiko yang mungkin terjadi di Perusahaan.

Scope
Sistem pengendalian internal ini meliputi
struktur organisasi, metode dan berbagai
Contoh & Ilustrasi ukuran yang dikoordinasikan dengan tujuan
menjaga aset perusahaan, memeriksa
• Contoh sederhana dari pengendalian internal ketelitian dan juga keandalan data akuntansi,
seperti otorisasi uang keluar Perusahaan, mendorong efisiensi dan juga dipatuhinya
aturan cuti karyawan, pemisahan deskripsi kebijaksanaan manajemen perusahaan.
pekerjaan dan lain-lain
• Ilustrasi internal control yakni pada
Perusahaan retail seperti mempekerjakan
dua karyawan kasir yang bertugas secara
bergantian atau shifting, dan satu orang yang
bertugas mencatat transaksi (segregation of
duties).
Proses Manajemen Risiko Terintegrasi
Internal Control - Limitations

Kesalahan Pengesampingan
manusia aspek-aspek Kolusi
(human error) pengendalian
internal

• Contoh: Karyawan • Contoh: Manger • Contoh: Karyawan di

tidak mengerti keuangan dengan bagian pembelian,
bagaimana membuat sengaja memperbesar inventori dan keuangan
sebuah laporan laba untuk berkolusi untuk membuat
keuangan dengan baik menyembunyikan pembelian fiktif
kondisi keuangan
sebenarnya.
• Antisipasi: Manajemen • Antisipasi: kultur • Antisipasi: Pemantauan
bisa memitigasi dengan teladan yang baik set berkala dan secara
melakukan edukasi the tone from the top konsisten
karyawan mengembangkan sistem
pencatatan transaksi dan
perekaman.
 Proses Manajemen Risiko Terintegrasi
Internal Control Implementation

1. Pada tahun 2021, Perusahaan resmi menjadi anggota United Nations Global Compact (UNGC) yang merupakan inisiatif
keberlanjutan terbesar di dunia di bawah naungan PBB. Hal ini juga mendorong Perusahaan untuk memperkuat
implementasi prinsip GCG dengan menerbitkan sejumlah Kebijakan GCG yang menjadi standard requirement dari
UNGC di tahun 2022, diantaranya:

• Code of ethics & conducts

• Anti corruption & bribery policy
• Environmental policy
• Human labor policy
 Proses Manajemen Risiko Terintegrasi
Internal Control Implementation

2. Perusahaan menerapkan Approval Authority Guidelines, Matriks yang berfungsi untuk mengatur batasan wewenang
persetujuan finansial dan/atau kebijakan dalam sebuah organisasi atau perusahaan dengan tujuan:
• Top Manajemen dalam hal ini Direksi tidak akan lebih fokus pada hal strategic dibandingkan dengan administratif atau
teknis (administrative burden)
• Memperpendek jalur birokrasi sehingga keputusan bisa diambil dengan cepat
• Kejelasan “Who approve what?”
 Proses Manajemen Risiko Terintegrasi
Internal Control Implementation

3. Perusahaan mengimplementasikan SOP Pengadaan Barang dan Jasa sebagai acuan dan pencegahan atas risiko fraud.
 Proses Manajemen Risiko Terintegrasi
Second Line Roles

Provides complementary expertise, support,

monitoring, and challenge related to the
management of risk, including:
• The development, implementation,
and continuous improvement of
risk management practices
(including internal control) at a
process, systems, and entity level Risk Provides analysis and reports on the
• The achievement of risk
management objectives, such as: Management adequacy and effectiveness of risk
management (including internal
compliance with laws, regulations,
control).
and acceptable ethical behavior;
internal control; information and
technology security; sustainability;
and quality assurance
 Proses Manajemen Risiko Terintegrasi
Risk Management

“ Risk is the effect of

uncertainty on objectives…
where uncertainty is the state, even partial,
or deficiency of information related to a
future event, consequence or likelihood ” Maximize corporate value
ISO 31000:2009
Improve the identification
of opportunities and threats;
Reduce operational
surprises and losses

Increase the likelihood of

achieving objectives;
Benefits
Proses Manajemen Risiko Terintegrasi
Third Line Roles

Internal Audit Internal Audit Internal Audit

Maintains primary Communicates Reports impairments to

accountability to the independent and independence and
governing body and objective assurance and objectivity to the
independence from the advice to management governing body and
responsibilities of and the governing body implements safeguards
management. on the adequacy and as required
effectiveness of
governance and risk
management (including
internal control) to
support the achievement
of organizational
objectives and to
promote and facilitate
continuous improvement.

I II III
 Proses Manajemen Risiko Terintegrasi
Second line implementation in three line models

Governing Body:
Dalam hal implementasi Risk Management,
BoD dan BoC Perusahaan selaku Governing
Body telah menentukan Risk Appetite dan
melakukan pengawasan terhadap manajemen
risiko (termasuk pengendalian internal)
diantaranya dengan:
• Reviu Risk Management Report secara
berkala
• Reviu Audit Finding dan recommendation
yang berbasis Risiko (Risk Based Audit)
• Reviu implementasi Kebijakan, SOP dan
revisinya berdasarkan Risk Mitigation
maupun hasil Audit
 Proses Manajemen Risiko Terintegrasi
Second line implementation in three line models

1st Line
Dalam hal implementasi Risk Management, role dari 1st line Perusahaan yakni:
01 • Penetapan Risk Owner & Risk Officers di Holding maupun Subsidiaries
• Membuat Risk Parameter sebagai acuan dalam Analisa Risiko
• Melakukan Risk Assessment mulai dari Penentuan Konteks, Identifikasi, Analisa, Evaluasi, dan Perlakuan
Risiko dan mendokumentasikan pada Risk Register serta Risk Management Report
• Melakukan Risk Quantification pada Risk Driver yang signifikan

2nd Line
Dalam hal implementasi Risk Management, Role dari 2nd Line Perusahaan yakni:
02 • Fungsi Risk Management mengadakan ERM Workshop secara berkala untuk mengupdate & review Risk Register serta Risk
Management Report
• Membuat Consolidated Risk Management Report secara konsolidasi per 6 bulan termasuk Risk Distribution
• Mengkomunikasikan Risk Management Report kepada BoD dan Komite Audit & Risk Management

3rd Line
03 Dalam hal implementasi Risk Management, Role dari 3rd Line Perusahaan yakni:
• Mempertahankan akuntabilitas terutama kepada Governing Body dan independensi dari tanggung jawab manajemen.
• Mengimplementasikan Risk-Based Audit dimana Rencana Audit akan disesuaikan dengan Risiko yang paling
signifikan

External Assurance Sebagai Perusahaan Tbk, Perusahaan sudah menunjuk Kantor Akuntan
Providers Publik untuk melakukan Audit atas Laporan Keuangan setiap tahun
Proses Manajemen Risiko Terintegrasi
Third Line Roles - What is Audit? Who is Auditor?

General definition of an audit is an evaluation

of a person, organization system, process,
enterprise, project or product.

Auditing is an official examination of accounts

to see that they are in order (the Oxford
Dictionary).

Internal auditing is an independent,

objective assurance and consulting activity
designed to add value and improve an
organization’s operations. - the Institute of
Internal Auditors (IIA).

In some organizations the role of internal audit

is combined with elements from the first two
lines of defense. For example some internal
audit functions are asked to play a part in
facilitating risk management or managing
the internal whistleblowing arrangements.
Proses Manajemen Risiko Terintegrasi
Internal Audit - IIA

Purpose Authority Responsibility

• Provide independent, • Provide access to records, • Document the objectives,
objective assurance and personnel, and physical scope, and methodology of
consulting activity. properties. the engagement.
• Support organizational • Maintain full and open • Ensure that staff have
objectives. access. knowledge, skills, experience,
• Determine if governance, risk • Secure necessary internal professional certifications.
management, and control and external resources. • Report internal audit activity
exist and function properly. results to senior
• Communicate opportunities management, audit
for improvement or risk committee, board.
exposures. • Consider coordination of
• Add value and improve internal and external audit
organization’s operations work.
 Proses Manajemen Risiko Terintegrasi
Internal Audit Process

Engagement Identify Analyze & Communicate Monitor

Documentation
planning information evaluate results progress

Plan Perform Report Monitor

 Proses Manajemen Risiko Terintegrasi
Internal Audit Implementation
Perform
Internal Audit TBS melakukan analisa dan evaluasi sesuai
dengan prosedur yang ditetapkan oleh IIA dan aspek
pengendalian internal berbasis COSO Framework

Engagement Identify Analyze & Documentation

Communicate Monitor
planning information evaluate results progress

Plan Report
Monitor
• Internal Audit Perusahaan terintegrasi dengan Unit • Internal Audit Perusahaan akan
Manajemen Risiko dimana perencanaan Audit mengkomunikasikan hasil temuan dan Internal Audit Perusahaan secara
dilakukan berbasis risiko (Risk Based Audit) rekomendasi kepada Auditee terkait dalam rutin melakukan update pada
• Internal Audit Perusahaan mendesain audit prosedur bentuk Exit meeting Dashboard monitoring progress
sesuai dengan standar Institute of Internal Audit atas rekomendasi yang disampaikan
(IIA) dengan mempertimbangkan asersi seperti • Internal Audit Perusahaan secara rutin dimana hal ini bertujuan untuk
existence, completeness, valuation dan sebagainya melakukan pelaporan per kwartal kepada memastikan rekomendasi tepat
Direktur Utama dan Komite Audit. Pada tahun sasaran dan diimplementasikan oleh
• Internal Audit Perusahaan memulai kegiatan audit
dengan Kick-off meeting untuk menyamakan 2022, Internal Audit TBS menyampaikan 17 Auditee secara tepat waktu
pemahaman agenda audit dengan Auditee Laporan.
 Proses Manajemen Risiko Terintegrasi
External assurance providers

Provide additional assurance to:

Satisfy legislative and Satisfy requests by

regulatory expectations management and the
that serve to protect governing body to
the interests of complement internal
stakeholders. sources of assurance.
 Proses Manajemen Risiko Terintegrasi
External Audit vs Internal Audit

Internal Auditing External Auditing

Status Company’s employees Outside Company: audit firm

Reporting President Director & Shareholders, Board of Directors &

Audit Committee Audit Committee

Focusing Company business practices & risks Financial statements are free from
And evaluate non-financial regulatory material misstatement and issue an
compliance opinion
Period All year round End of Financial Year,
Continuous Process, Half year
Proses Manajemen Risiko Terintegrasi
Relationships among core roles

Between the governing body and management Between management (both first and second
(both first and second line roles) line roles) and internal audit

The governing body typically sets the There must be regular interaction between
internal audit and management to ensure the
direction of the organization by defining work of internal audit is relevant and aligned
the vision, mission, values, and with the strategic and operational needs of the
organizational appetite for risk. organization.

Among all roles

The governing body, management, and internal
audit have their distinct responsibilities, but all
activities need to be aligned with the objectives of
the organization.
The basis for successful coherence is regular and
Between internal audit and the governing effective coordination, collaboration, and
body communication.
Internal audit is accountable to, and
sometimes described as being the “eyes
and ears” of, the governing body.
 Proses Manajemen Risiko Terintegrasi
Internal Control & Risk Management

1st line as Risk Owner & Risk Officer and perform Risk Assessment
2nd line ensure Risk Owner & Risk Officer fully understand about their own risk

Risk Analysis Risk Evaluation

Context and Risk Risk Treatment

Identification
 IARM
Internal Audit & Internal audit's primary role in ERM (Enterprise Risk Management) is to provide assurance to management
regarding the effectiveness of ERM activities to help ensure that significant risks are properly managed, as well as

Risk the effective functioning of the organization's internal control system.

Management
02
02
Verifying that risk 04
management is done
correctly
Facilitate risk
identification/assess
03 ment processes and
train personnel on
risk management
Actively participating and internal control,
01 and supporting the
risk management
process 05
Focusing on key
risks identified by
management and Coordinating risk
overseeing the reports submitted to
organization-wide the board and audit
risk management committee.
process,
Risk Assessment
 Proses Manajemen Risiko Terintegrasi
Risk Assessment

• Proses
penentapan Evaluasi Risiko
konteks harus
relevan dengan • Proses memahami
sifat dan • Proses
ruang lingkup yang Identifikasi Risiko mengembangkan
sudah ditetapkan menentukan • Proses
tingkat risiko dan memilih
membanding kan alternatif untuk
antara tingkat risiko penanganan risiko.
• Proses menemukan, dengan risk
mengenali, dan appetite.
mendeskripsi kan
risiko
Penentuan
Analisa Risiko
Konteks

Perlakuan Risiko
 Proses Manajemen Risiko Terintegrasi
Risk Owner & Risk Officer - Ilustrasi

BOC
Commissioners
Audit and Risk
Management
Committee BOD

Members President Director

BOD Subsidiaries
Reporting Periodic
Risk Management - Group Head of RM and
Internal Audit Directors
Head of Dept
Risk and Mitigation

Reporting Periodic
Risk Management

Risk Officer Risk Owner

Risk Management
• Operation Head of Dept./
Unit
• Commercial Division
Holding Reporting Risk Register and
Coordination
Proses Manajemen Risiko Terintegrasi
Risk Owner & Risk Officer - Main Roles & Responsibilities in ERM

Risk Officer
• Ditunjuk oleh Dewan Direksi
Perusahaan atau Anak
Risk Owner
Perusahaan;
• Bertanggung jawab kepada Dewan • Penerapan manajemen risiko dalam
proses bisnisnya;
Direksi Perusahaan atau Anak
Perusahaan; • Melakukan identifikasi risiko
bersama-sama dengan Risk Officer
• Memfasilitas pelaksanaan
dan Unit Manajemen Risiko;
manajemen risiko di
Perusahaan/Anak Perusahaan • Melakukan identifikasi mitigasi yang
telah ada dan mengusulkan mitigasi
dengan Risk Owner;
atas risiko-risiko yang ada;
• Memastikan mitgasi telah
ditetapkan secara memadai untuk
risiko material di tingkatan Risk
Owner;
Proses Manajemen Risiko Terintegrasi
Risk Owner & Risk Officer - Main Roles & Responsibilities in ERM

Risk Officer
• konsultasi dan koordinasi dengan
Unit Manajemen Risiko untuk
kebijakan, prosedur dan Teknik
terkait dengan pelaksanaan Risk Owner
manajemen risiko di • Mengusulkan mitigasi kepada
Perusahaan/Anak Perusahaan; Dewan Direksi Perusahaan/Anak
• melakukan pelaporan Laporan Perusahaan;
Manajemen Risiko di • Mengusulkan kecukupan mitigasi
Perusahaan/Anak Perusahaan kunci atas risiko-risiko material yang
secara berkala kepada Dewan ada kepada Dewan Direksi
Direksi
• melaporkan risk register kepada
Unit Manajemen Risiko secara
berkala
Proses Manajemen Risiko Terintegrasi
Risk Owner & Risk Officer - Risk Management Implementation flowchart - Ilustrasi

Mulai Risk Officer melaporkan

Direksi Anak Perusahaan
Laporan Manajemen
memfinalisasi Laporan
Risiko kepada Direksi
Manajemen Risiko dengan
Anak Perusahaan sebagai
menandatanganinya
Risk Owner pemilik risiko
melakukan
penyusunan
Konteks
Laporan Unit Manajemen
Manajemen Risiko Risiko akan
dan Risk Register mengkompilasi dan
Risk Owner per Anak merasionalisasi
melakukan Perusahaan Risk Register dan
Identifikasi Risiko Laporan
Manajemen Risiko
Risk officer mengkompilasi
Risk Owner Risk Register dan
melakukan Analisa membuat Laporan
Selesai
Risiko Manajemen Risiko

Risk Owner Risk Owner

melakukan menentukan Risk
Evaluasi Risiko Treatment
Memahami
Organisasi (Scope,
Context, Criteria)
 Proses Manajemen Risiko Terintegrasi
Proses Penyusunan Konteks

Faktor Faktor
Eksternal Internal
Kondisi perekonomian Visi, misi, dan nilai Perusahaan

Business Process (SOP, IK,

Hukum dan regulasi
Policy)

Sosial & budaya Regular internal meeting baik

operasional maupun komersial

Proses inti manajemen risiko Harus dipastikan bahwa

(identifikasi, analisa, evaluasi dan penyusunan konteks ini telah
treatment) harus selalu lengkap dan selaras dengan
ditempatkan di dalam konteks kebutuhan dan persyaratan
tujuan, strategi, sasaran dan atau seluruh stakeholder.
target Jangka Pendek dan Jangka
Panjang Perusahaan.
Proses Manajemen Risiko Terintegrasi
Kriteria risiko
Proses Manajemen Risiko Terintegrasi
Risk impact parameter - Ilustrasi

Description Risk Impact Parameter - Finansial

Low Deviasi negative s/d 2% dari RKAP; kerugian s/d Rp 100 Juta
Medium Deviasi negative s/d 2% - 5% dari RKAP; kerugian Rp 100 Juta
s/d Rp 200 Juta
High Deviasi negative s/d 5% - 10% dari RKAP; kerugian Rp 200 Juta
s/d Rp 500 juta
Extreme Deviasi negative s/d >10% dari RKAP; kerugian > Rp 500 Juta

Risk Impact Parameter – Non Finansial

Low Medium High Extreme
Reputasi/ Muncul informal Publisitas negatif di Publisitas negative di Publisitas negative di headline
Image negative komen media cetak elektronik media cetak/elektronik media cetak/elektronik di skala
di skala nasional di skala nasional nasional Jatuhnya reputasi
secara berulang Perusahaan
Kesehatan dan Kecelakaan yang Kecelakaan yang dapat Kecelakaan yang Kecelakaan yang berdampak
Keselamatan dapat diatasi diatasi dengan berobat berdampak rawat inap cacat tetap/kematian
Kerja dengan P3K jalan
Lingkungan Pencemaran Pencemaran lingkungan Pencemaran Pencemaran yang menimbulkan
lingkungan kerja perusahaan lingkungan tuntutan hukum
masyarakat
Project Delay Delay s/d 1 bulan Delay >1 s/d 3 bulan Delay >3 s/d 6 bulan Delay > 6 bulan dari rencana
dari rencana dari rencana dari rencana
Proses Manajemen Risiko Terintegrasi
Risk impact parameter - Ilustrasi

Financial Financial Exposure of Rating

criteria: revenue criteria: NPBT consequences
Parameter: Parameter:
Unachieved Unachieved
annual target annual target
<=1% <=0,1% Insignificant 1
>= 1,1% - 1,5% >= 0,1% - 0,2% Minor 2
>= 1,6% - 2,5% >= 0,3% - 0,5% Moderate 3
>= 2,6% - 5% >= 0,6% - 1,5% Major 4
>= 5% >= 1,5% Significant 5
 Proses Manajemen Risiko Terintegrasi
Risk impact parameter - Ilustrasi

Operational criteria: Operational criteria: Exposure of Rating

Disruption of support NPBT consequences
function Parameter:
Type of disruption

Disruption of support function without further impact Insignificant 1

Disruption of support function which may negatively Minor 2

affects performance level of entire unit
Disruption of function which may negatively affects Moderate 3
performance/service level of other supporting unit
Disruption of function which may negatively affects Major 4
performance/service level of business unit
Disruption of support function which may Significant 5
Negatively affects performance/service level of
company-wide
 Proses Manajemen Risiko Terintegrasi
Risk impact parameter - Ilustrasi

Legal criteria: Parameter: Exposure of Rating

Legal/financial impact to Types of impact to company consequences
company due to stakeholder’s
complaint
Stakeholder’s complaint (manageable) Insignificant 1

Stakeholder’s complaint which obliges company to pay Minor 2

fine/financial compensation ≤ Rp10mio
Stakeholder’s complaint which obliges company to pay Moderate 3
fine/financial compensation >Rp10mio ≤ Rp50mio
Stakeholder’s complaint which obliges company to pay Major 4
fine/financial compensation >Rp50mio ≤Rp100mio, or which
may lead to lawsuit (civil law)
Stakeholder’s complaint which obliges company to pay Significant 5
fine/financial compensation >Rp100mio, or which may lead
to lawsuit (criminal law)and or blacklisting/ business license
revocation
 Proses Manajemen Risiko Terintegrasi
Risk impact parameter - Ilustrasi

Legal criteria: Parameter: Exposure of Rating

Reputation impact to Coverage of negative consequences
company publicity

Negative publicity can be prevented (manageable) Insignificant 1

Negative publicity at local mass media (printed) Minor 2

Negative publicity at local TV news Moderate 3

Negative publicity is going viral in social media/internet for Major 4

1day

Negative publicity is going viral in social media/internet for Significant 5

>1day & at national mass media and or TV news
Proses Manajemen Risiko Terintegrasi
Risk likelihood parameter - Ilustrasi

Description Risk Likelihood Parameter - Percentage

Low Sangat jarang terjadi 0,1 < x <= 25%

Medium Kadang-kadang terjadi 25 < x <= 50%

High Sangat mungkin terjadi 50 < x <= 75%

Extreme Pasti terjadi 75 < x <= 100%

Description Likelihood rating

Almost never 0 – 20% 1

Unlikely 21 – 40% 2

Possible 41 – 60% 3

Likely 61 – 80% 4

Almost certain 81 – 100% 5

 Proses Manajemen Risiko Terintegrasi
Risk likelihood parameter - Ilustrasi

Level Likelihood Description

Likelihood Description Parameters 1 Rare Not expected to occur but still possible

Low Unlikely 0,1 < x <= 25% Not likely to occur under normal
2 Remote
circumstances
Medium Possible 25 < x <= 50%
3 Occasional Possible or known to occur
High Likely 50 < x <= 75%

4 Frequent Common occurrence

Extreme Very Likely 75 < x <= 100%

5 Almost Certain Continual or repeating experience

Proses Manajemen Risiko Terintegrasi
Action for Risk Levels

Risk
Risk level Recommended Actions
Acceptability
Low Risk Acceptable • No additional risk control measures may be needed.
(LR) • Frequent review and monitoring of hazards are required to ensure that the risk level
assigned is accurate and does not increase over time.
Medium Tolerable • A careful evaluation of the hazards should be carried out to ensure that the risk level is
Risk reduced to as low as reasonably practicable (ALARP) within a defined time period.
(MR) • Interim risk control measures, such asadministrative controls or PPE, may be implemented
while longer term measures are being established.
• Management attention is required.
High Risk Tolerable • Cause concern, HODs attention / review needed.
(HR) • High Risk level must be carefully evaluated and where reasonably practicable, reduce the
risk level before work commences.
• There should not be any interim risk control measures. Risk control measures should not
be overly dependent on PPE or appliances.
• If practicable, the hazard should be eliminated before work commences.
Extreme Not • Immediate action required before work commences. Implementation of risk control
Risk Acceptable measures required to reduce risk levels before work commences.
(ER) • Management review is required before work commences.
Proses Manajemen Risiko Terintegrasi
Proses Penyusunan Konteks
 Proses Manajemen Risiko Terintegrasi
Proses Penyusunan Konteks

Risk Appetite: Risk Appetite dideskripsikan sebagai kesediaan untuk mengambil atau menerima risiko atau
ketidaksediaan atau keengganan untuk mengambil risiko dari beberapa keputusan yang bersifat strategis.

Risk Tolerance: Tingkat variasi relative yang dapat diterima terhadap pencapaian tujuan–tujuan

Risk Capacity: Jumlah risiko dimana entitas organisasi mampu mendukung pencapaian sasarannya.
 Proses Manajemen Risiko Terintegrasi
Risk appetite - Ilustrasi

Prioritas Prioritas
Extreme & 10 6 3 8 Extreme &
High High
8 5 3 6
Risk Treatment

7 10 3 8

Risk Appetite 6 9 3 5 Risk Appetite

Extreme Prioritasi risiko berdasarkan Risk appetite adalah tingkat

risk appetite yang ditentukan risiko yang dapat diterima
High sebelumnya Perusahaan untuk mencapai
tujuan Perusahaan
Medium

Low
Proses Manajemen Risiko Terintegrasi
Assessment of severity - Ilustrasi

Level Severity Description

Will cause very serious environmental damage directly attributable to

company or likely to have off-site impacts, for e.g., affect the
5 Catastrophic
neighborhood or community / Stop Work Order / Legal Penalty from
NEA.
Will cause major damage to the environment that requires general
4 Major expertise and resources for corrective actions; or impact affects or is
likely to affect the entire site.
Will cause moderate damage to the environment that requires general
3 Moderate expertise and resources for corrective actions; or impact affects or is
likely to affect the entire site.

Will cause limited or insignificant environmental damage that can be

2 Minor
undone without major cost implications or impact is likely localized.

No environmental impact or impact not under the control / influence of

1 Negligible
the company.
Proses Manajemen Risiko Terintegrasi
Assessment of severity - Ilustrasi

Level Likelihood Description

1 Rare Not expected to occur but still possible

2 Remote Not likely to occur under normal circumstances

3 Occasional Possible or known to occur

4 Frequent Common occurrence

5 Almost Certain Continual or repeating experience

 Proses Manajemen Risiko Terintegrasi
5 X 5 Risk Matrix – with numeric ratings

Likelihood Almost Certain

Rare (1) Remote (2) Occasional (3) Frequent (4)
Severity (5)

Catastrophic (5) 5 10 15 20 25
(MR) (HR) (ER) (ER) (ER)

Major (4) 4 8 12 16 20
(MR) (MR) (HR) (ER) (ER)

Moderate (3) 3 6 9 12 15
(LR) (MR) (MR) (HR) (ER)

Minor (2) 2 4 6 8 10
(LR) (MR) (MR) (MR) (HR)

Negligible (1) 1 2 3 4 5
(LR) (LR) (LR) (MR) (MR)
Proses Manajemen Risiko Terintegrasi
Action for Risk Levels

Risk
Risk level Recommended Actions
Acceptability
Low Risk Acceptable • No additional risk control measures may be needed.
(LR) • Frequent review and monitoring of hazards are required to ensure that the risk level
assigned is accurate and does not increase over time.
Medium Tolerable • A careful evaluation of the hazards should be carried out to ensure that the risk level is
Risk reduced to as low as reasonably practicable (ALARP) within a defined time period.
(MR) • Interim risk control measures, such asadministrative controls or PPE, may be implemented
while longer term measures are being established.
• Management attention is required.
High Risk Tolerable • Cause concern, HODs attention / review needed.
(HR) • High Risk level must be carefully evaluated and where reasonably practicable, reduce the
risk level before work commences.
• There should not be any interim risk control measures. Risk control measures should not
be overly dependent on PPE or appliances.
• If practicable, the hazard should be eliminated before work commences.
Extreme Not • Immediate action required before work commences. Implementation of risk control
Risk Acceptable measures required to reduce risk levels before work commences.
(ER) • Management review is required before work commences.
Identifikasi Risiko
 Proses Manajemen Risiko Terintegrasi
Proses Identifikasi Risiko

The organization should identify sources of risk, areas of impacts, events (including changes in circumstances) and their causes and their
potential consequences.

What are the

03 potential
consequences?

What are the

sources of the What are the
causes?
What is uncertain? 01 uncertainty?
04
02

The purpose of risk identification is

to find, recognize and describe risks
(i.e. effects of uncertainty on
objectives) that might help or
prevent an organization achieving its
objectives.
Proses Manajemen Risiko Terintegrasi
Proses Identifikasi Risiko

Identifikasi Risiko harus diterapkan terhadap seluruh aktifitas, tujuan dan strategi perusahaan untuk
mengenali seluruh jenis risiko yang dapat terjadi yang melekat pada setiap aktifitas atau transaksi
dalam proses bisnis Perusahaan.

Proses identifikasi risiko harus dapat membantu perusahaan untuk menjawab:

a. Kemungkinan kesalahan apa yang bisa terjadi
b. Kenapa dan bagaimana risiko tersebut dapat muncul
c. Siapa yang harus melakukan mitigasi atas risiko (risk owner)
d. Pengendalian Internal apa yang sudah dilakukan saat ini

Input
Output
• Konteks Risiko
Risiko Teridentifikasi
• Analisa Bisnis (SOP/ IK)
Risk Register
• Isues (Notulen Rapat)

Proses/
Input Output
Mekanisme

Proses
• Brainstorming/ Workshop
• Risk Questionaires
 Proses Manajemen Risiko Terintegrasi
Proses Identifikasi Risiko

There is a risk that a researcher

falsifies research findings
50% resulting in cancellation of the
program, loss of grant funds
Sample I and reputational harm to the
university.
Much better description because it:
• Allows better consideration of causal factors
• Allows us to better frame consequence and
There is a risk that a likelihood
fraud occurs. • Allows us to consider what existing controls
are in place and how effective they are, such
It leaves too many questions: as:
• What parts of the organization might - Staff codes and professional conduct,
be affected? peer review and quality assurance
• How might it occur? mechanisms, relationship management,
• Who in the organization might be reputational management.
affected?
• What are the consequences?
• What clues are there for developing
treatments?
Sample II

85%
 Proses Manajemen Risiko Terintegrasi
Contoh I Proses Identifikasi Risiko

Input Output

Input atas Konteks dapat berupa: Konteks Risk

a. RKAP Inventory Risiko turunnya kualitas inventory

b. Peta proses bisnis (SOP & IK) yang terlalu lama berada di gudang
c. Kebijakan Perusahaan
d. Lingkungan eksternal dan internal Risiko terjadinya kebakaran pada
area gudang

Risiko kehilangan inventory di

gudang
 Proses Manajemen Risiko Terintegrasi
Contoh II Proses Identifikasi Risiko

Input Output

Context Risk
Input of context:
a. Budget Driving on the Traffic accident, serious injuries or
b. Business process (SOP & WI) road to potential fatality (Hazard: Driving
c. Policy customers’ without a driving license)
premises
Traffic accident, lost control of
vehicle (Hazard: Speeding)

Serious injuries or potential fatality

due to road accident (Hazard:
Reckless driving, disobey traffic
signs and driving without due care to
others)
 Proses Manajemen Risiko Terintegrasi
Proses Identifikasi Risiko - CSS,CAM,RKAP, KM,KPI

Indikator risiko
Sasaran Menentukan indicator risiko (4)
Proses penentuan sasaran (1)

Existing control
Identifikasi risiko Mengidentifikasi program / action
yang telah dilakukan
Proses identifikasi risiko (2)

Penyebab risiko Dampak kualitatif

Mencari penyebab risiko (3) Mengidentifikasi dampak kualitatif
apabila risiko terjadi

1 2 3 4 5 6

No Objective Nama Deskripsi Kategori Sumber Root Indikator Mitigasi Dampak

Risiko Risiko Risiko Risiko Cause Risiko Existing Kualitatif
Analisa Risiko –
Impact & Likelihod
 Analisa Risiko
Proses Analisa Risiko

Analisa risiko melibatkan sebuah proses pemahaman tentang risiko itu sendiri.

Tujuan Teknik/ Proses Output

Menjelaskan: Menggunakan:
a. Apakah pengaruh risiko tersebut Daftar Untreated Risk Profile
a. Analisa risk impact dengan
untuk Perusahaan – Risk Impact dalam format risk register.
parameter finansial dan non-
finansial
b. Seberapa mungkin risiko
tersebut akan dihadapi b. Analisa risk likelihood dengan
Perusahaan – Risk Likelihood parameter

Analisa risiko berguna untuk memberikan masukan dalam proses risk evaluasi dan pembuatan keputusan
apakah sebuah risiko membutuhkan treatment serta penentuan metode dan strategi treatment yang paling
tepat.
Analisa Risiko
Metode penilaian risiko
 Analisa Risiko
Illustrasi Risk Parameter

Description Risk Impact Parameter - Finansial

Low Deviasi negative s/d 2% dari RKAP; kerugian s/d Rp 100 Juta
Medium Deviasi negative s/d 2% - 5% dari RKAP; kerugian Rp 100 Juta
s/d Rp 200 Juta
High Deviasi negative s/d 5% - 10% dari RKAP; kerugian Rp 200 Juta
s/d Rp 500 juta
Extreme Deviasi negative s/d >10% dari RKAP; kerugian > Rp 500 Juta

Risk Impact Parameter – Non Finansial

Low Medium High Extreme
Reputasi/ Muncul informal Publisitas negatif di Publisitas negative di Publisitas negative di headline
Image negative komen media cetak elektronik media cetak/elektronik media cetak/elektronik di skala
di skala nasional di skala nasional nasional Jatuhnya reputasi
secara berulang Perusahaan
Kesehatan dan Kecelakaan yang Kecelakaan yang dapat Kecelakaan yang Kecelakaan yang berdampak
Keselamatan dapat diatasi diatasi dengan berobat berdampak rawat inap cacat tetap/kematian
Kerja dengan P3K jalan
Lingkungan Pencemaran Pencemaran lingkungan Pencemaran Pencemaran yang menimbulkan
lingkungan kerja perusahaan lingkungan tuntutan hukum
masyarakat
Project Delay Delay s/d 1 bulan Delay >1 s/d 3 bulan Delay >3 s/d 6 bulan Delay > 6 bulan dari rencana
dari rencana dari rencana dari rencana
 Analisa Risiko
Ilustrasi Risk Parameter
Impact Financial Risk Parameters
Low Loss up to USD10,000
Medium Loss USD10,000 up to SGD25,000
High Loss USD25,000 up to SGD50,000
Extreme Loss > USD50,000

Impact HSE Strategic Operational Compliance

Injuries that result in employees Serious injuries that result in
Minor injuries only require
missing more than 1 day of work employees missing more than 3 Injury resulting in disability or
Low first aid assistance
time or less than 3 weeks weeks fatality

Complaints are received

Negative publicity is going viral
verbally from external
Negative publicity at local TV Negative publicity is going viral in social media/internet for
Medium companies and Negative
news in social media/internet for 1day >1day & at national mass media
publicity at local mass
and or TV news
media (printed)
Disruption of support function Disruption of function which may Disruption of function which may
Disruption of support function
which may negatively affects negatively affects negatively affects
which may negatively affects
High performance level of entire performance/service level of other performance/service level of
performance/service level of
unit supporting unit business unit
company-wide
Verbal warning and summons to Written warning that results in
Violations of business ethics
the relevant service office; revocation of the temporary Permanent permit revocation
and deviations from internal
Extreme Violation of internal company permit and summons from legal and/or entering into a court case
company regulations
regulations regarding fraud authorities
 Analisa Risiko
Contoh I Proses Analisa Risiko
Risk Analysis
Konteks Risk Identification
Jenis Risiko Impact Likelihood Untreated
Risk Profile
Inventory Risiko turunnya kualitas inventory Operasional Extreme Low Medium
yang terlalu lama berada di gudang

Risiko terjadinya kebakaran pada Operasional Extreme High High

area gudang

Risiko kehilangan inventory di Operasional High Medium Medium

gudang

Impact
Low Medium High Extreme
Extreme Extreme

High
High
Likelihood

Medium
Medium

Risk Appetite

Low
Low
 Analisa Risiko
Contoh II Proses Analisa Risiko

Risk Analysis
Context Risk Identification
Type of risk Impact Likelihood Untreated
Risk Profile
Driving on the Traffic accident, serious injuries or Operational Extreme Medium High
road to potential fatality (Hazard: Driving
customers’ without a driving license)
premises Operational Extreme High High
Traffic accident, lost control of vehicle
(Hazard: Speeding)
Serious injuries or potential fatality due Operational High High High
to road accident (Hazard: Reckless
driving, disobey traffic signs and driving
without due care to others)

Impact
Low Medium High Extreme
Extreme
Extreme

High
High
Likelihood

Medium
Medium

Risk Appetite
Low
Low
Pengendalian Risiko
 Pengendalian Risiko
Evaluasi Risiko

Definisi Input Proses Output

Proses pembandingan Untreated risk profile Simulasi dan appraisal Untreated risk profile dengan
untreated risk profile vs prioritasi risiko
risk appetite dengan
tujuan menentukan
tingkatan risiko
 Pengendalian Risiko
Contoh I Evaluasi Risiko

Risk Analysis Risk Evaluation

Konteks Risk Identification
Jenis Impact Likelihood Untreate Prioritas PIC
Risiko d Risk
Profile
Inventory Risiko turunnya kualitas Operasional Extreme Low Medium Yes Production
inventory yang terlalu lama Dept
berada di gudang
Risiko terjadinya kebakaran Operasional Medium High High Yes Production
pada area gudang Dept

Risiko kehilangan inventory Operasional High Low Medium Yes Production

di gudang Dept

Prioritasi risiko berdasarkan Risk appetite adalah tingkat

risk appetite yang ditentukan risiko yang dapat diterima
sebelumnya Perusahaan untuk mencapai
tujuan Perusahaan
 Pengendalian Risiko
Contoh II - Evaluasi Risiko

Risk Analysis Risk Evaluation

Context Risk Identification
Type of Impact Likelihood Untreate Priority PIC
risk d Risk
Profile
Driving on Traffic accident, serious Operational Extreme Medium High Yes Operation
staff
the road to injuries or potential
customers’ fatality (Hazard: Driving
premises without a driving license)
Traffic accident, lost Operational Extreme High High Yes Operation
staff
control of vehicle
(Hazard: Speeding)
Serious injuries or Operational High High High Yes Operation
staff
potential fatality due to
road accident (Hazard:
Reckless driving, disobey
traffic signs and driving
without due care to
others)

Risk prioritization based on Risk Appetite: the amount of risk, at a broad level, that an
previously determined organization is willing to accept in pursuit of its strategic
risk appetite objectives
Risk Response
 Risk Response
4T’s

Treated risk profile

Risiko yang sudah di-treat
INPUTS sesuai dengan
pertimbangan cost
benefits

Untreated Proses
risk profile • Strategi perlakukan risiko (4T’s)
dengan
prioritasi risiko
 Risk Response
4T’s

Terminate the Tolerate the Transfer the Treat the

Risk! Risk! Risk! Risk!

Menerima risiko dalam tingkat toleransi.

• Lanjutkan bisnis seperti biasa tanpa
melakukan perubahan

Menghilangkan sumber resiko. Membagi resiko dengan yang lain. Melakukan tindakan & kontrol
• Tidak melakukan/menghentikan • Asuransi (proses) untuk mengurangi
aktifitas • Outsource kemungkinan atau dampak risiko
• Keluar dari bisnis tersebut (shutdown, ke tingkat yang dapat diterima.
sell, etc) • Internal control
 Risk Response
4T’s

• Suatu strategi untuk meniadakan risiko

sepenuhnya dengan tidak melakukan
kegiatan/proyek yang diperkirakan mempunyai
risiko melebihi selera risiko organisasi
Terminate • Beberapa hal yang harus dipertimbangkan:
• Dampak terhadap sasaran bisnis/organisasi
• Dampak biaya
• Peluang

• Perlakuan risiko yang bertujuan untuk

mengurangi risiko
• Bentuk pengurangan risiko dapat berupa:
Treat • Pengurangan kemungkinan terjadinya risiko
• Pengurangan kerugian akibat terjadinya risiko
• Diversifikasi risiko
• Menghilangkan sumber risiko
 Risk Response
4T’s

• Strategi yang digunakan untuk memindahkan

sebagian dari risiko ke individu, entitas bisnis,
atau organisasi lain
• Cara untuk melakukan pemindahan risiko, antara
lain:
Transfer • Asuransi
• Subkontrak
• Perjanjian bagi hasil
• Outsourcing
• Joint operation

• Suatu strategi untuk menerima risiko karena

memang lebih ekonomis untuk menerima risiko
tersebut.
• Untukmelakukan strategi penerimaan risiko, perlu
Tolerate dipertimbangkan:
• Penentuan pilihan
• Waktu dan kondisi
• Kemampuanmenyerap risiko
 Risk Response
4T’s

Transfer/
Terminate
Treat

Tolerate/
Treat

Tolerate
 Risk Response
Contoh I Risk Reponse

Risk identification Risk treatment

Context Description Effectiveness of
Description Additional -
Risk Risk response Existing - existing - PIC Timeline
Activities
Activities activities
Coal stockpile Risiko turunnya Treat Manajemen Medium Singkronisasi rencana Production Dec-23
kualitas inventory menerapkan produksi dengan sales Dept. & KTT
yang terlalu lama metode FIFO plan untuk menghindari
berada di gudang (First In First Out) over stock di gudang
pada persediaan
Singkronisasi rencana
produksi dengan rencana
pengiriman/shipping
Risiko terjadinya Transfer Manajemen Medium Membatasi turn over Production Dec-23
kebakaran pada membeli polis inventory menjadi Dept. & KTT
area stockpile asuransi terkait maksimal 30 hari pada
dengan area gudang
perlindungan
persediaan dari
risiko kebakaran
Risiko kehilangan Treat Manajemen Medium Manajemen membeli Production Dec-23
inventory di menempatkan polis asuransi terkait Dept. & KTT
gudang pengawas di area dengan perlindungan
stockpile atas kehilangan
persediaan di area
gudang
 Risk Response
Contoh I Risk Reponse

Risk identification Risk Analysis Risk Treatment

Context Treated
Untreated
Risk Jenis Risiko Impact Likelihood Impact Likelihood risk
risk profile
profile
Coal Risiko turunnya kualitas Operasional Extreme Low Medium Medium Low Low
stockpile inventory yang terlalu
lama berada di gudang

Risiko terjadinya Operasional Medium High High Low Medium Low

kebakaran pada area
stockpile

Risiko kehilangan Operasional High Low Medium Medium Low Low

inventory di gudang
 Risk Response
Contoh II Risk Reponse
Risk identification Risk treatment
Context Effectiveness of
Risk Description Existing Description Additional –
Risk existing - PIC Timeline
response - Activities Activities
activities
Driving on Traffic accident, Treat Checked original Medium • To check at least once a Operation Dec-23
the road to serious injuries or driving license and year that driving license is still staff
customers’ potential fatality made a copy during valid.
premises (Hazard: Driving hiring process. • Check drivers’ demerit
without a driving points on website regularly.
license)
Traffic accident, lost Treat • Ensure speed limiter Medium • Toolbox briefing to remind Operation Dec-23
control of vehicle is operational. all workers on safety staff
(Hazard: Speeding) • Demerit points precaution.
system for drivers. • Traffic summons to be borne
by drivers.
• Conducting yearly road
safety campaign with traffic
police’s participation.
Serious injuries or Treat • Summons to be Medium • Regular toolbox briefing to Operation Dec-23
potential fatality due borne by drivers. remind all workers on road staff
to road accident • Drivers reminded to safety.
(Hazard: Reckless be courteous to • Conduct yearly road safety
driving, disobey others road users. campaign with traffic police’s
traffic signs and participation.
driving without due
care to others)
 Risk Response
Contoh II Risk Reponse

Risk identification Risk Analysis Risk Treatment

Context Treated
Untreated risk
Risk Type of risk Impact Likelihood Impact Likelihood risk
profile
profile
Driving on Traffic accident, serious Operational Extreme Medium High High Low Low
the road to injuries or potential fatality
customers’ (Hazard: Driving without a
premises driving license)

Traffic accident, lost control Operational Extreme High High High Medium Low
of vehicle (Hazard:
Speeding)

Serious injuries or potential Operational High High High Medium Medium Medium
fatality due to road accident
(Hazard: Reckless driving,
disobey traffic signs and
driving without due care to
others)
Pelaporan dan
Evaluasi Risiko
 Pelaporan & Evaluasi Risiko
ERM in Fact
Idealism condition Realism condition
Create & protect value Administrative (asal sudah ada risk register), tidak
berhubungan dengan value creation process & protect
value

Integrated Silo
Risk champion: CEO/President Director Risk champion: bisa berubah-ubah belum tentu top
management terlibat
Continual improvement & risk maturity level assessment Compliance, pencitraan, sekedar pemenuhan &
pelengkap, Normative
Comprehensive top risk (top down & bottom up model) Top risk masih terlalu fokus pada bottom up model
Early Warning System (deteksi dini risiko) Fire fighting
Multi discipline experience Mediocre: diisi orang-orang buangan, comfort zone, mau
pensiun, tidak multi disiplin ilmu
Certified in risk management Enggan mengambil sertifikasi manajemen risiko,
pelatihanhanya untuk memenuhi credit point sertifikasi
namun tidak melakukan improvement penerapan ERM
 Pelaporan & Evaluasi Risiko
ERM in Fact

Idealism condition Realism condition

Risk is the effect of uncertainty on objectives Belum terbedakan antara risiko dengan problem

Clarity (risk event, risk cause, risk indicator) Confused & ambiguous (sering tertukar)
Risk cause: based on root cause Risk cause: normative
Risk indicator: based on root cause Risk indicator: only based on risk event or based on risk
event & risk cause (both) but normative
Risk indicator: based on data base & implicit knowledge Risk indicator: lack of database, ignore implicit
knowledge
Best available information Limited information
Customized (tailormade) Ingin terlihat canggih menggunakan metode kuantitatif
tapi useless (tidak sesuai kebutuhan), tailormade namun
tidak pernah improvement karena khawatir tanggung
jawab makin besar & makin banyak pekerjaan
Pelaporan & Evaluasi Risiko
Pelaporan Risiko

Komunikasi & konsultasi

Pemantauan & peninjauan

Dokumentasi Risiko
 Pelaporan & Evaluasi Risiko
Pelaporan Risiko – Komunikasi & Konsultansi

Pihak yang memiliki wewenang penuh dan

memiliki landasan hukum dalam
Accountable pengambilan keputusan pengelolaan
Manajemen Risiko Perusahaan.

Pihak yang memperoleh Pihak yang memiliki tanggung jawab

informasi atau laporaan atas atas pengelolaan Manajemen Risiko
pengelolaan Manajemen Risiko
Informed Responsible Perusahaan.
perusahaan.

Pihak yang dapat dilakukan konsultasi

Consult atas pengelolaan Manajemen Risiko
Perusahaan.
Pelaporan & Evaluasi Risiko
Pelaporan Risiko – Komunikasi & Konsultansi
 Pelaporan & Evaluasi Risiko
Pelaporan Risiko – Komunikasi & Konsultansi

• Untuk membantu pemangku kepentingan yang relevan

Tujuan Komunikasi
dalam memahami risiko, dasar pengambilan keputusan,
& Konsultansi
dan alasan mengapa tindakan tertentu diperlukan

• Komunikasi digunakan untuk mendorong kesadaran dan

Implementasi pemahaman risiko
Komunikasi &
Konsultansi • Konsultasi mencakup pencarian umpan balik dan
informasi untuk mendukung pengambilan keputusan
 Pelaporan & Evaluasi Risiko
Pelaporan Risiko – Pemantauan & Peninjauan

Pemantauan yang sedang

Pemantauan dan tinjauan ulang berlangsung dan tinjauan berkala
ditujukan untuk memastikan dan terhadap proses dan hasil keluaran
meningkatkan mutu dan efektivitas manajemen risiko dirancang sebagai
desain, implementasi, dan bagian terencana dari proses
hasil keluaran proses. manajemen risiko, dengan tanggung
jawab yang ditentukan dengan jelas

Pemantauan dan tinjauan mencakup Hasil pemantauan dan tinjauan

perencanaan, pengumpulan dan sebaiknya disertakan di seluruh
analisis informasi, pencatatan hasil, aktivitas manajemen, pengukuran,
dan pemberian umpan balik. dan pelaporan kinerja organisasi.
 Pelaporan & Evaluasi Risiko
Pelaporan Risiko – Pemantauan & Peninjauan

• Memastikan bahwa pengendalian risiko berjalan efektif dan efisien sesuai

Aspek 1 dengan rancang bangun dan secara operasi

• Memperoleh informasi terkini guna peningkatan asesmen risiko

Aspek 2

• Mendapatkan pelajaran dari peristiwa risiko yang telah lalu, perubahan yang
Aspek 3 terjadi, trend, keberhasilan maupun kegagalan penanganan risiko

• Mendeteksi perubahan konteks internal maupun eksternal, termasuk perubahan

kriteria risiko dan kondisi risiko itu sendiri, yang menuntut penyesuaian perlakuan
Aspek 4 risiko serta kemungkinan perubahan prioritas

Aspek 5 • Mengidentifikasi kemungkinan timbulnya risiko baru.

Risk Driver,
Quantification &
Strategy
 Risk Drivers & Risk Quantification
What is Risk Drivers? What is Risk Quantification?

Company’s Risk Drivers Type of Quantification

Goal Risk

CEO Target: Risk of machinery and Operational $50 Mio

$300 M heavy equipment sudden
Earnings failures that might causes
delay in electricity
Production

Risk of fluctuations in coal Financial $100 Mio

selling price

Risk of inability to Strategic $200 Mio

participate in a tender as
well as losing the tender
bidding, especially for a
tender of renewable power
Plant

Risk drivers: there are usually several different drivers or causes of risk for any goal.

Risk quantification is the practice of taking a risk that your organization is facing and using statistical
methods to communicate its impact in objective financial terms, rather than in more subjective qualitative
terms
Risk Management Strategy
RINGS
Formation of RM teams
 Set the roadmap
Illustration

Sept 2021 - Jun Jul 2022 - Jun 2024 Jul 2024 - Jun 2026
2022

1. Memperbaharui Kebijakan ERM 1. Memperbaharui poin 1- 4

2. Memperbaharui Risk appetite pada fase sebelumnya
1. Kebijakan ERM 3. ERM Workshop secara berkala 2. Laporan manajemen
2. Risk appetite 4. Laporan Manajemen Risiko (Batch selanjutnya) perusahan terintegrasi
3. Kick-off meeting 5. Mengimplementasikan ERM Software dengan Manajemen Risiko
4. ERM Workshop 6. Manajemen Risiko ditargetkan terintegrasi 3. Pengukuran maturitas
5. Laporan Manajemen dengan KPI risiko
Risiko (Batch pertama) 7. Mengevaluasi dan perbaikan berkelanjutan atas 4. Mengevaluasi dan
implementasi ERM perbaikan berkelanjutan
8. Drafting kerangka kerja untuk Business atas implementasi ERM dan
Continuity Management yang berfokus kepada BCP
Business Continuity Plan
 [Link]

Certified Professional Risk

Management (CPRM®)
By Alvin Novalino, S.E., GRCP, GRCA, IPMP, IDPP, CPGRC, CAAF ,CPRM®, CTRMI®