ISO 31000: panduan memahami standar manajemen risiko

Banyak organisasi baru membahas risiko setelah masalah muncul. Padahal, keputusan tentang pemasok, keamanan informasi, proyek, keuangan, hingga layanan pelanggan selalu membawa ketidakpastian. ISO 31000 membantu Anda mengelola ketidakpastian itu melalui prinsip, kerangka kerja, dan proses yang dapat disesuaikan dengan konteks organisasi.

ISO 31000:2018 adalah pedoman internasional untuk manajemen risiko. Standar ini menjelaskan pendekatan untuk mengidentifikasi, menganalisis, mengevaluasi, memperlakukan, memantau, dan mengomunikasikan risiko. ISO menyatakan bahwa edisi 2018 telah ditinjau dan dikonfirmasi pada 2023, sehingga masih menjadi versi yang berlaku saat ini.

Apa itu ISO 31000?

ISO 31000 bukan daftar prosedur yang harus disalin apa adanya. Standar ini memberi bahasa dan kerangka yang dapat digunakan organisasi untuk memasukkan pertimbangan risiko ke dalam tata kelola, strategi, perencanaan, pelaporan, kebijakan, nilai, dan budaya kerja.

Pendekatannya dapat diterapkan pada organisasi dengan berbagai ukuran, sektor, dan lokasi. Risiko juga tidak selalu berarti ancaman. Sebuah ketidakpastian dapat membawa dampak negatif maupun peluang, sehingga pengelolaannya perlu dikaitkan dengan tujuan yang hendak dicapai organisasi.

Bagi Anda yang sedang mempelajari standar ISO, penting membedakan ISO 31000 dari standar sistem manajemen yang memiliki persyaratan sertifikasi. ISO 31000 menyediakan pedoman praktik, bukan persyaratan untuk sertifikasi. ISO secara tegas menyebut bahwa standar ini tidak digunakan untuk tujuan sertifikasi.

Tiga bagian utama ISO 31000

ISO 31000 menyusun manajemen risiko melalui prinsip, kerangka kerja, dan proses. Ketiganya saling terhubung, tetapi memiliki fungsi yang berbeda.

Prinsip

Prinsip menjelaskan seperti apa manajemen risiko yang baik. Dalam penjelasan ISO/TC 262, edisi 2018 memberi perhatian lebih besar pada penciptaan dan perlindungan nilai, perbaikan berkelanjutan, keterlibatan pemangku kepentingan, penyesuaian dengan organisasi, serta faktor manusia dan budaya.

Artinya, manajemen risiko tidak seharusnya berjalan sebagai pekerjaan administratif yang terpisah dari keputusan sehari-hari. Prosesnya perlu membantu organisasi menjaga atau menciptakan nilai sambil mempertimbangkan cara orang bekerja dan mengambil keputusan.

Kerangka kerja

Kerangka kerja mengatur bagaimana manajemen risiko ditempatkan dan dijalankan di dalam organisasi. Anda perlu menghubungkannya dengan struktur, tanggung jawab, proses pengambilan keputusan, sumber daya, serta mekanisme pelaporan.

Kerangka kerja membantu menjawab pertanyaan praktis: siapa yang memiliki wewenang, siapa yang bertanggung jawab, risiko apa yang harus dilaporkan, kepada siapa laporan disampaikan, dan kapan pengendalian perlu ditinjau ulang. Tanpa pengaturan ini, daftar risiko mudah menjadi dokumen yang jarang digunakan.

ISO/TC 262 juga menekankan perlunya dukungan manajemen senior dan integrasi manajemen risiko ke dalam struktur, proses, tujuan, strategi, dan aktivitas organisasi. Karena itu, penerapan ISO 31000 sebaiknya tidak dibebankan hanya kepada satu unit tanpa dukungan dari pemilik proses.

Proses

Proses adalah rangkaian kegiatan untuk mengelola risiko. ISO menjelaskan kegiatan seperti komunikasi dan konsultasi, penetapan konteks, penilaian risiko, perlakuan risiko, pemantauan dan tinjauan, serta pencatatan dan pelaporan.

Penilaian risiko biasanya mencakup tiga langkah. Pertama, identifikasi untuk menemukan apa yang dapat memengaruhi pencapaian tujuan. Kedua, analisis untuk memahami sifat dan tingkat risiko. Ketiga, evaluasi untuk membantu menentukan risiko mana yang perlu ditangani lebih dahulu.

Setelah itu, organisasi memilih perlakuan yang sesuai. Pilihannya bergantung pada tujuan, konteks, sumber daya, dan tingkat risiko yang dapat diterima. Hasilnya perlu dipantau dan dikomunikasikan karena kondisi internal maupun eksternal dapat berubah.

Cara menerapkan ISO 31000 di organisasi

Penerapan yang baik dimulai dari tujuan organisasi, bukan dari formulir penilaian risiko. ISO dalam materi pengantarnya menyarankan beberapa langkah awal yang dapat Anda gunakan sebagai urutan kerja.

1. Petakan tujuan dan konteks

Tentukan sasaran yang ingin dicapai oleh organisasi, unit, proyek, atau proses. Tujuan ini menjadi dasar untuk memahami risiko. Risiko pada proyek pembukaan cabang tentu berbeda dari risiko pada proses pengelolaan data pelanggan.

Petakan pula konteks internal dan eksternal, termasuk struktur organisasi, kewajiban hukum, kondisi pasar, teknologi, pihak yang berkepentingan, dan ketergantungan pada pemasok. Konteks yang jelas membuat pembahasan risiko lebih spesifik.

2. Tetapkan peran dan tanggung jawab

Tentukan siapa yang memimpin proses, siapa pemilik risiko, siapa yang menyediakan informasi, dan siapa yang berwenang mengambil keputusan. Peran ini perlu disertai jalur pelaporan yang dipahami oleh orang yang terlibat.

Manajemen senior perlu menyatakan tingkat komitmen dan menyediakan sumber daya yang masuk akal untuk penerapan serta pemeliharaan manajemen risiko. Jika tidak, kegiatan ini cenderung berhenti setelah lokakarya atau audit internal selesai.

3. Identifikasi dan nilai risiko

Gunakan sumber informasi yang relevan, seperti data insiden, laporan operasional, perubahan regulasi, masukan pelanggan, hasil audit, dan pengetahuan pemilik proses. Catat penyebab, peristiwa, dampak, serta pengendalian yang sudah ada.

Kemudian, analisis kemungkinan dan dampaknya sesuai metode yang dipilih organisasi. ISO 31000 tidak memaksa satu skala atau satu teknik untuk semua organisasi. Untuk teknik penilaian yang lebih rinci, ISO mencantumkan IEC 31010:2019 sebagai standar terkait teknik penilaian risiko.

4. Tentukan perlakuan dan pemantauan

Pilih tindakan berdasarkan hasil evaluasi. Tindakan dapat berupa perubahan proses, penguatan pengendalian, pembagian atau pengalihan risiko, penerimaan risiko dengan alasan yang jelas, atau penghentian kegiatan tertentu jika diperlukan.

Setiap tindakan perlu memiliki penanggung jawab, batas waktu, sumber daya, dan ukuran pemantauan. Tinjau kembali hasilnya secara berkala. Risiko yang awalnya rendah dapat berubah ketika tujuan, teknologi, pemasok, regulasi, atau kondisi pasar berubah.

5. Komunikasikan dan perbaiki

Komunikasi membantu pemilik proses dan pemangku kepentingan memahami alasan di balik keputusan. Gunakan format laporan yang sesuai dengan kebutuhan penerima, bukan sekadar mengirimkan daftar risiko yang panjang.

Catat keputusan, asumsi, perubahan, dan hasil pemantauan. Data tersebut membantu organisasi memperbaiki metode penilaian dan menguji apakah manajemen risiko benar-benar mendukung pencapaian tujuan.

Kesalahan yang perlu dihindari

Penerapan ISO 31000 dapat kehilangan manfaatnya jika organisasi hanya mengejar tampilan dokumen. Beberapa kesalahan yang sering terjadi antara lain:

• Menyamakan daftar risiko dengan keseluruhan sistem manajemen risiko.
• Membuat skala penilaian yang rumit tanpa menjelaskan cara menggunakannya.
• Menetapkan pemilik risiko, tetapi tidak memberi wewenang atau sumber daya untuk bertindak.
• Membahas ancaman dan melupakan peluang yang berkaitan dengan tujuan.
• Menganggap penilaian risiko selesai setelah risiko diberi skor.
• Mengabaikan faktor manusia, komunikasi, dan budaya kerja.

ISO 31000 memberi ruang untuk menyesuaikan pendekatan. Karena itu, organisasi kecil tidak perlu meniru mekanisme pelaporan organisasi besar. Yang perlu dijaga adalah keterkaitan antara tujuan, risiko, keputusan, tindakan, dan tinjauan.

Apakah ISO 31000 dapat disertifikasi?

Tidak. ISO 31000 adalah pedoman, bukan standar yang digunakan untuk sertifikasi. Organisasi tetap dapat menggunakannya sebagai acuan untuk membangun praktik manajemen risiko, menjalankan audit internal, dan membandingkan pendekatannya dengan prinsip yang diakui secara internasional.

Jika Anda ingin memahami hubungan antara standar dan sertifikasi, baca juga panduan sertifikasi ISO untuk perusahaan. Untuk melihat contoh standar lain yang memakai pendekatan sistem manajemen, Anda dapat membaca panduan ISO 9001 dan penerapannya.

ISO 31000 juga tidak menggantikan standar yang mengatur risiko atau sektor tertentu. Organisasi dapat menggunakannya bersama standar lain sesuai kebutuhan. Misalnya, pembahasan risiko keamanan informasi perlu mempertimbangkan standar yang memang membahas sistem manajemen keamanan informasi.

Pertanyaan umum tentang ISO 31000

Siapa yang dapat menggunakan ISO 31000?

Organisasi publik, perusahaan swasta, kelompok masyarakat, proyek, dan berbagai jenis organisasi dapat menggunakan pedoman ini. Penerapannya perlu disesuaikan dengan tujuan, ukuran, struktur, aktivitas, dan konteks masing-masing.

Apakah ISO 31000 hanya membahas risiko negatif?

Tidak. Manajemen risiko juga mempertimbangkan peluang. Fokusnya adalah memahami ketidakpastian yang dapat memengaruhi tujuan, kemudian menentukan respons yang sesuai.

Apakah penerapan ISO 31000 harus memakai konsultan?

Tidak ada ketentuan dalam penjelasan ISO bahwa setiap organisasi harus memakai konsultan. Organisasi dapat memulai dari tujuan, konteks, peran, dan proses yang sudah dimiliki. Bantuan eksternal dapat dipertimbangkan jika kompetensi atau kapasitas internal belum memadai.

Apa langkah pertama yang perlu dilakukan?

Mulailah dengan menyepakati tujuan yang akan dikelola, konteksnya, serta pihak yang bertanggung jawab. Dari sana, organisasi dapat memilih metode identifikasi, analisis, evaluasi, perlakuan, dan pemantauan yang sesuai.

ISO 31000 akan lebih berguna jika dipakai sebagai cara kerja dalam mengambil keputusan, bukan hanya sebagai dokumen tambahan. Setelah memahami pedoman ini, lanjutkan dengan membaca panduan sertifikasi ISO: pengertian, jenis, manfaat, dan proses mendapatkannya untuk melihat posisi ISO 31000 di antara standar dan proses sertifikasi lainnya.

Sumber

• ISO 31000:2018, Risk management guidelines
• ISO/TC 262, ISO 31000:2018 Risk management, principles and guidelines
• ISO 31000, Risk management, pengantar resmi