Artikel

Manajemen risiko di Indonesia dapat dikatakan sudah memasuki tahap kedewasaan (maturity) yang menggembirakan. Sangat berbeda dengan 10 tahun yang lalu. Biasanya bila kita menanyakan tentang manajemen risiko, jawaban sederhananya adalah, “Apa itu?”. Saat ini pertanyaan organisasi bisnis terhadap manajemen risiko adalah, “Sudah seberapa jauh kedewasaan (maturity) manajemen risiko saya?”.

Banyak organisasi sadar bahwa pemahaman dan keahlian mengelola risiko bukanlah di departemen/divisi manajemen risiko perusahaan. Secara de facto, departemen manajemen risiko tidak berhadapan langsung dengan risiko organisasi. Yang mereka hadapi adalah laporan-laporan risiko yang dihadapi oleh seluruh anggota organisasi lain. Laporan ini dilaporkan kembali kepada manajemen organisasi dalam bentuk yang lebih komprehensif dengan skala yang lebih besar (organisasi/korporasi) sehinga dapat dijadikan sebagai acuan manajemen untuk mengambil keputusan-keputusan lebih besar (bersifat stratejik).

Jangan salah, kebutuhan keahlian manajemen risiko dalam organisasi bisa sangat berbeda antara pemilik risiko, pengelola organisasi manajemen risiko (departemen/divisi manajemen risiko), dan pengambil keputusan strategik (manajemen). Paling tidak, kebutuhan keahlian (skill) manajemen risiko dalam organisasi bisa dibagi menjadi lima. Keahlian ini bukan bersifat berjenjang atau harus dipenuhi dari bawah keatas, tetapi lebih menekankan pada tanggung jawab risiko yang dibutuhkan masing-masing. Kelima keahlian itu adalah:

1. Officer. Seluruh karyawan yang bekerja pada organisasi membutuhkan keahlian manajemen risiko dasar. Setiap orang adalah pemilik risiko. Karyawan adalah ujung tombak perusahaan yang kesehariannya menghadapi risiko operasional. Kegagalan memahami situasi dan potensi kejadian yang tidak diinginkan, akan membawa risiko yang lebih besar bagi organisasi. Tidak mungkin level ini tidak diberikan kemampuan dan pemahaman tentang bagaimana mengelola risiko. Kecepatan laporan dari level ini menjadi kunci keberhasilan organisasi dalam mencapai tujuannya.
2. Analyst. Pada level operasional, dibutuhkan seseorang yang memiliki kemampuan teknis risiko lebih baik untuk menggunakan metode, framework, dan best practices manajemen risiko secara spesifik pada departemen/divisi yang dipegang. Ukuran-ukuran risiko dan parameternya bisa disesuaikan secara spesifik untuk mengukur, menganalisis, dan melakukan pengendalian, bahkan mitigasi yang diperlukan dalam skala departemen. Level ini bertanggung jawab untuk bisa menghadirkan risiko-risiko operasional yang tepat dengan data yang lengkap.
3. Professional. Ya, disebut professional, karena memang pada level ini diperlukan pemahaman dan skill manajemen risiko yang cukup luas dan lengkap. Tujuannya, untuk mampu menangkap serta menjaring tidak saja risiko-risiko yang bersifat merugikan (negatif), tetapi juga risiko-risiko yang menguntungkan (positif). Level ini juga yang menerjemahkan risiko level operasional ke risiko level strategik. Level ini juga yang bertanggung jawab terhadap pemilihan kerangka kerja manajemen risiko yang diajukan kepada manajemen dan memastikan seluruh proses manajemen risiko organisasi bertumbuh dan berjalan sesuai dengan fungsinya.
4. Chief. Pengelolaan manajemen risiko secara strategik membutuhkan keahlian (skill) yang berbeda dengan pengelolaan secara operasional. Secara khusus, direktur yang bertanggung jawab atas pengelolaan manajemen risiko harus mampu mengambil keputusan untuk melindungi dan memastikan risiko-risiko strategik organisasi bisa dikelola dengan baik dengan mempertimbangkan risiko-risiko strategik jangka pendek dan jangka panjang. Level ini juga yang harus memastikan meleburnya manajemen risiko yang sesuai dengan karakteristik organisasi di kalangan seluruh anggota dewan, baik komisaris maupun direksi.
5. Governance. Level ini adalah kemampuan risiko yang secara khusus harus dimiliki oleh seluruh dewan komisaris dan direksi organisasi. Tujuannya agar mampu mengambil keputusan yang tepat untuk memperkecil kerugian dan memperbesar kesempatan yang sifatnya strategik. Dengan keahlian ini diharapkan para anggota dewan memiliki kemampuan memanfaatkan pengelolaan risiko di organisasi sebesar-besarnya sebagai alat untuk forward looking. Sehingga setiap kebijakan yang diambil sangat terukur dan sudah mempertimbangkan segala unsur positif dan negatif yang dibawa oleh keputusannya.

Pertanyaan selanjutnya yang muncul adalah, “Bagaimana saya memenuhi kebutuhan tersebut?” atau “Apakah saya sudah memenuhi persyaratan atas kebutuhan tersebut?” Sekali lagi dapat dikatakan pada dewasa ini manajemen risiko sudah mencapai taraf yang cukup baik. Betapa tidak, jika lima tahun lalu kita akan kesulitan mencari alat ukur apa yang tepat untuk manajemen risiko, saat ini sudah terdapat berbagai sertifikasi yang memiliki standar yang mumpuni untuk membuat kita mendapat ukuran ‘pada level apa kita berada saat ini’. Lebih jauh lagi, sertifikasi lah yang membuktikan bahwa kita memiliki kemampuan tertentu pada saat ini.

Diantara sertifikasi tersebut adalah yang dikeluarkan oleh BSMR, LSPMR, dan LSP MKS. Para pengelola risiko saat ini memiliki ‘kemewahan’ untuk memilih sertifikasi mana yang ingin disandangnya. Sekaligus sebagai bukti bahwa penyandang gelar ini memiliki kemampuan tertentu dalam bidang manajemen risiko.

Dalam memilih sertifikasi, perlu diperhatikan adanya dua pendekatan sistem uji kompetensi yang berakar dari SKK (Standar Kompetensi Kerja)-nya yaitu Sistem Tingkatan dan Sistem Klaster. Sistem Tingkatan umumnya ditandai dengan kata-kata level/tingkatan misal level 1, level 2,… level 5 dan seterusnya. Untuk mendapatkan level tertinggi, harus mendapatkan semua level dari yang terendah tanpa terkecuali.Harus diikuti satu persatu proses ujian dan kelengkapan administrasinya.

Pendekatan Sistem Tingkatan digunakan oleh BSMR (Badan Sertifikasi Manajemen Risiko) – yang terafiliasi dengan IRPA – Indonesia Risk Professional Association, dan LSPP (Lembaga Sertifikasi Profesi Perbankan) – yang terafiliasi dengan BARA – Banker Risk Management Association.

Berbeda dengan Sistem Tingkatan, Sistem Klaster tidak menuntut pengambil sertifikasi untuk mengambil jenjang sebelumnya untuk mendapatkan jenjang klaster yang diinginkan. Untuk mendapat klaster tertinggi, tidak harus lulus seluruh klaster yang ada. Namun juga tidak semudah itu untuk mendapatkan klaster-klaster tertentu. Ada persyaratan khusus yang harus dimiliki setiap klaster. Bahkan bukan tidak mungkin pemegang klaster tertinggi dianggap tidak memenuhi persyaratan untuk mengambil klaster dibawahnya.

Sistem Klaster ini biasanya menyesuaikan dengan pekerjaan dan tanggung jawab profesional dalam organisasi calon pengambil sertifikasi. Lembaga-lembaga sertifikasi yang menggunakan pendekatan klaster adalah diantaranya, LSPMR (Lembaga Sertifikasi Profesi Manajemen Risiko) – yang awalnya terafiliasi dengan Indonesia PRiMA (Professional in Risk Management Association), dan LSP MKS (Lembaga Sertifikasi Profesi MKS) – yang terafiliasi oleh IRMAPA (Indonesia Risk Management Professional Association).

Khusus pendekatan klaster, lazimnya memberikan penamaan terhadap klasternya. Setiap klaster yang dikeluarkan harus memiliki lisensi skema spesifik untuk masing-masing klaster yang dikeluarkan BNSP (Badan Nasional Sertifikasi Profesi). Bila ditilik dari masing-masing situs lembaga penyelenggara sertifikasi bidang manajemen risiko ini dan ditambah dengan informasi-informasi di komunitas manajemen risiko, lembaga yang sudah menerima lisensi dari BNSP untuk seluruh klasternya secara lengkap adalah LSP MKS.

Pada akhirnya, pilihan tergantung masing-masing lembaga menurut pengukuran dan kriteria yang ditetapkan oleh orang yang memiliki kewenangan untuk memilih sertifikasi. Tulisan ini dapat digunakan sebagai salah satu acuan dalam memilih sertifikasi-sertifikasi yang ada. Untuk mendapatkan gambaran lebih lengkap dan mendalam disarankan untuk melihat langsung ke website lembaga-lembaga sertifikasi tersebut yaitu;

• BSMR : https://www.bsmr.org/
• LSPP : http://lspp.or.id/
• LSPMR : http://www.lspmr.org
• LSP MKS : http://lspmks.co.id/

Oleh : Fadjar Proboseno

Penulis tergerak untuk membuat tulisan ini dalam rangka berbagi pandangan mengenai perkembangan sertifikasi kompetensi personil di Indonesia secara menyeluruh. Menurut penulis hal ini penting untuk berbagi dengan komunitas karena masih ada beberapa pandangan dan atau opini yang bersifat parsial.

Perlu kita sadari bahwa saat ini di Indonesia, lembaga yang dapat memberikan lisensi profesi berbasis kompetensi adalah BNSP – Badan Nasional Sertifikasi Profesi. 

Lisensi dari BNSP terdiri dari dua jenis, pertama adalah lisensi bagi organisasi penyelenggara sertifikasi kompetensi yang sering disebut LSP (Lembaga Sertifikasi Profesi). Saat ini sudah ada beberapa LSP bidang manajemen risiko yang sudah memperoleh lisensi dari BNSP, yaitu BSMR, LSPMR, LSPP, dan LSP-MKS. Kedua, adalah lisensi untuk masing-masing skema sertifikasi yang ditawarkan oleh pihak LSP. 

Ada LSP yang menyelenggarakan sertifikasi skema kompetensi dengan metode skema tingkatan misal tingkat 1, 2, 3 dan seterusnya, dan ada yang menggunakan metode skema klaster misal klaster ‘qualified risk management officer’ sampai dengan ‘qualified risk governance professional’ sebagaimana ditawarkan oleh LSP-MKS.

Oleh karena itu, beberapa isitilah dan nomenklatur sertifikasi akan tergantung dari LSP yang mengeluarkannya, dan semua sah selama mengikut standar uji kompetensi yang sudah digariskan oleh BNSP. Dengan kata lain, selama proses uji kompetensi dilakukan oleh LSP dengan metode standar dari BNSP, maka peserta yang lulus uji kompetensi akan direkognisi sudah memiliki kompetensi yang dipersyaratkan di dalam Standar Kompetensi Kerja yang menjadi rujukan dasar uji kompetensi.

Selain hal di atas, publik perlu memahami bahwa ada rujukan internasional mengenai sistem manajemen sertifikasi kompetensi personil, yaitu ISO 17024. Bila berpegang pada rujukan internasional, maka suatu LSP harus memperoleh sertifikat ISO 17024 dari satu badan akreditasi yang memang sudah memiliki ijin untuk hal tersebut. Dalam konteks Indonesia, badan yang dapat memberikan ijin untuk akreditasi ISO 17024 tersebut adalah KAN (Komite Adkreditasi Nasional).

Perlu digaris bawahi bahwa sampai saat ini baru ada dua badan akreditasi di dunia yang sudah memperoleh ijin untuk memberikan akreditasi ISO 17024 yaitu Indonesia melalui KAN dan Amerika Serikat melalui ANSI (American National Standards Institute). Hal ini sangat membanggakan sebab Indonesia sudah lebih dulu direkognisi melalui KAN dibanding negara lain misal SIngapore, Malaysia, Jepang, Australia, Inggris, dan lain sebagainya.

Dengan keberadaan BNSP, KAN, LSP, dan ISO 17024 mungkin timbul pertanyaan bagaimana harmonisasi antar lembaga tersebut dan bagaimana keterkaitan satu sistem dengan sistem lainnya.

Hasil observasi penulis selama satu tahun belakangan ini memberikan gambaran bahwa kemungkinan yang paling wajar terjadi untuk satu-dua tahun ke depan adalah sebagai berikut:

• Suatu LSP harus memperoleh dulu sertifikasi ISO 17024 dari KAN sebagai pembuktian bahwa mereka sudah menjalankan sistem manajemen yang memang dirancang unik untuk suatu lembaga sertifikasi. 
• Setelah memperoleh status terakreditasi oleh KAN, LSP tersebut bisa meminta lisensi yang diperlukan kepada BNSP sebagai suatu organisasi pelaksan uji kompetensi untuk profesi tertentu, termasuk di dalamnya adalah lisensi untuk setiap skema sertifikasi yang dijalankan oleh LSP tersebut.
• Dalam perjalanan menjaga dan merawat status, LSP harus memastikan selalu terakreditasi ISO 17024 dari waktu ke waktu oleh KAN, dan juga selalu patuh pada aturan dan peraturan BNSP dalam menjaga lisensi sebagai pelaksana uji kompetensi untuk profesi yang diuji komptensinya.

Demikian artikel pendek ini dibuat untuk berbagai informasi kepada sesama praktisi dan profesional manajemen risiko di Indonesia. Mudah-mudahan bermanfaat.

Penulis : Dr. Antonius Alijoyo, ERMCP, CERG

1. Ciptakan struktur organisasi yang memastikan bahwa tanggung jawab pengelolaan risiko berada di tangan para pemilik risiko (Risk Owner). Contoh: direksi dan dewan komisaris menerapkan konsep three lines of defense dimana para pemilik risiko adalah lapis pertama (the first line of defense) dari keseluruhan pertahanan organisasi terhadap risiko.
2. Distribusikan tanggung jawab dan otoritas ke dalam peran dan tanggung jawab para karyawan.Contoh: memasukkan tanggung jawab pengelolaan risiko ke dalam job descriptions karyawan, didukung dengan SOP (standard operating procedure) yang relevan sebagai rujukan mereka di tingkat pelaksanaan.
3. Identifikasi interaksi antara suatu fungsi/proses bisnis dengan fungsi lain/proses bisnis lain terutama dalam kaitan pengelolaan risiko bersama antar fungsi/proses bisnis tersebut.
   Contoh: memastikan adanya sinkronisasi antar proses bisnis yang satu dengan proses bisnis lainnya sehingga shared risks (risiko bersama) dapat terlihat oleh semua fungsi dalam organisasi, dan shared control (kontrol bersama) yang diperlukan juga dapat terlihat jelas menjadi tanggung jawab fungsi mana saja dalam organisasi tersebut. Laksanakan pelatihan manajemen risiko di setiap tingkatan perusahaan agar setiap karyawan memiliki pengetahuan dan kompetensi cukup untuk melakukan integrasi proses manajemen risiko ke dalam proses pengendalian mutu yang menjadi tanggung jawab mereka.Contoh: ada baiknya setiap individu yang bertanggung jawab dalam proses manajemen mutu diberikan pelatihan dasar tentang SNI ISO 31000 sehingga mereka memiliki persepsi dan pengetahuan yang sama tentang proses manajemen risiko dan akan terbiasa menggunakan terminologi yang baku sehingga dapat terjadi standarisasi proses yang terintegrasi penuh.
4.  Kembangkan panduan sistem manajemen risiko dengan menggunakan format yang sudah dianggap sebagai good practice.
   Contoh: dalam hal ini, sebaiknya menggunakan sistem yang memiliki ‘pondasi’ dan ‘filosofi’ yang sama yaitu berbasis pada ISO. Bila menggunakana SNI ISO 9001 untuk sistem manajemen mutu organisasi, maka sebaiknya menggunakan SNI ISO 31000 sebagai dasar rujukan pengembangan panduan sistem manajemen risiko organisasi tersebut.
5. Integrasikan prinsip-prinsip manajemen risiko sebagai bagian dari Kebijakan Mutu (Quality Policy),
   Contoh: dalam mengintegrasikan salah satu prinsip manajemen risiko dalam ISO31000 yang mengatakan bahwa “Manajemen risiko adalah bagian dari pengambilan keputusan”, maka orgnisasi dapat memastikannya melalui suatu kebijakan yang mengharuskan semua usulan atau pengambilan keputusan/kebijakan didasarkan pada suatu kajian risiko yang relevan. Misal: usulan investasi, usulan produk/jasa baru, usulan penggunaan tipe dan mitra outsourcing, dsb.
6. Sebisa mungkin sertakan pernyataan eksplisit langkah-langkah perlakuan risiko dalam quality objectives. Bila tidak memungkinkan, maka sertakan pernyataan tersebut secara implisit.
   Contoh: bila sebelumnya pernyataan quality objective misal sebagai berikut: “jumlah keluhan pelanggan yang ditindaklanjuti adalah minimum 98%”, maka dapat diperkaya menjadi sebagai berikut: “Keluhan pelanggan 98% ditindaklanjuti maksimum dua hari kerja dari keluhan tersebut diperoleh dan kontrol dilakukan juga oleh pelanggan.”
   Catatan: pernyataan sasaran ini diperkaya dengan adanya dua lapis pengendalian atau kontrol. Dalam hal ini, kontrol lapis pertama adalah data internal yang berasal dari register kegiatan tim pelayanan pelanggan dan kontrol lapis kedua adalah data eksternal yang berasal dari umpan balik pelanggan.
7. Ikutkan semua persyaratan dari klausula 6.1. SNI ISO 9001:2015 yaitu tindakan untuk menangani risiko dan peluang.Contoh: dipastikan bahwa dalam setiap langkah penanganan risiko diarahkan baik untuk pengelolaan risiko sisi bawah maupun pengelolaan risiko sisi atas sehingga organisasi dapat selalu menjaga/melindungi nilai organisasi dari hal-hal buruk, sekaligus mampu mengeksploitasi kesempatan untuk meningkatkan nilai organisasi tersebut.

1. Memiliki ketersediaan sumber daya yang lengkap untuk menfasilitasi suatu serangan siber. Umumnya berbentuk infrastruktur komputer dan internet tercanggih atau markas yang dapat berpindah-pindah dan tidak terdeteksi.
2. Memiliki kemampuan teknikal yang sangat tinggi. Kadang terdiri dari kelompok ‘anak ajaib’ yang diperalat ataupun yang memang sudah cenderung menjadi kelompok spesialis kejahatan siber.
3. Memiliki fokus sangat terarah terhadap sasaran yang akan diserang. Baik sasaran yang berbentuk korporasi maupun negara, serta individual pesohor tertentu.
4. Memliki dukungan dana yang besar. Kadang sumber dana mereka berasal dari lintas negara dengan kemampuan pengiriman uang yang tersamar dalam berbagai kegiatan formal dan resmi.
5. Sangat terorganisir. Kadang bersembunyi dalam suatu organisasi formal, baik berbentuk perusahaan ataupun organisasi nirlaba yang beroperasi lintas negara.

Penulis: Dr. Antonius Alijoyo, ERMCP, CERG, CGEIT, CCSA, CRMA, CFSA, CFE

Dua hal di atas yaitu komunikasi risiko (risk communication) – disingkat sebagai KR, dan komunikasi krisis (crisis communication) – disingkat sebagai KK cukup sering digunakan secara bergantian dalam pengelolaan risiko suatu organisasi.

Apakah dua istilah tersebut memang memiliki arti dan/atau fungsi yang sama, atau sebenarnya memiliki perbedaan mendasar?

Walaupun banyak definisi yang dapat dipakai untuk menerangkan apa itu KR dan KK dan sejauh apa cakupannya, ada beberapa hal mendasar sebagai karakteristik pembeda antara keduanya, yaitu:

1.  Konteks dan tujuan KR dan KK sangat berbeda.

Tujuan KR umumnya terkait dengan penyampaian informasi mengenai perkembangan risiko yang dilakukan secara rutin, berkala, dan jangka panjang. Sedangkan tujuan dari KK umumnya terkait dengan penyampaian informasi yang bersifat darurat(emergency)  dan berisi komponen yang sangat dinamis, perlu ditangani sesegera mungkin.

2. Sifat dari kejadian yang dihadapi.

KR menangangi suatu kejadian atau kondisi yang diperkirakan dapat terjadi, sehingga masih bersifat potensi dan memiliki tingkat probabilitas tertentu. Sebaliknya, KK menangani hal yang saat ini sedang terjadi atau bersifat aktual dan mendesak.

3. Waktu yang tersedia untuk mencari solusi.

Solusi terkait dengan KK harus dilakukan sesegera mungkin karena waktu yang tersedia sangat sempit. Juga pengambil keputusan tidak akan sempat untuk menjalankan model pemecahan yang bersifat harus membangun konsensus terlebih dahulu, yang bersifat kolaboratif serta interaktif, terutama dengan komunitas yang terkena pengaruh krisis.

Karena konteks dan sifat kejadian yang ditangani sangat berbeda antara KK dan KR, praktisi manajemen risiko perlu menyiapkan langkah-langkah yang berbeda dalam pelaksanaan KK dan KR.

Pelaksanaan KR cukup masuk dalam tahapan komunikasi siklus proses manajemen risiko yang standar, berkala, dan memiliki prosedur baku. Termasuk pelaporan risiko yang dihadapi oleh organisasi, baik kepada regulator, atau kepada pemangku kepentingan lain terkait. Bila kita merujuk pada SNI ISO 31000, jelas tahapan proses ‘komunikasi risiko’ secara eksplisit ditekankan sebagai bagian kritikal dari keseluruhan proses manajemen risiko suatu organisasi. Sebaliknya, pelaksanaan KK membutuhkan gerak cepat dalam pengambilan keputusan karena keterlambatan komunikasi dapat membuat kerusakan yang jauh lebih parah bagi organisasi.

Untuk menghindari dampak fatal dari keterlambatan pemberian informasi pada saat suatu krisis terjadi, perlu dipastikan adanya suatu perencanaan komunikasi krisis bagi suatu organisasi. Sebaiknya perencanaan tersebut terpadu dalam keseluruhan strategi komunikasi organisasi dan proses pelaksanaan manajemen risiko organisasi terpadu (enterprise risk management).

Oleh karena itu, seorang CRO (Chief Risk Officer) dan/atau praktisi manajemen risiko perlu memastikan adanya perencanaan KK yang efektif dalam organisasi, sehingga bila suatu krisis terjadi, mereka sudah siap. Di bawah ini ada beberapa langkah umum yang dapat berguna bagi mereka sebagai rujukan dalam melakukan perencanaan KK tersebut:

1.  Pastikan adanya filosofi berbasis nilai-nilai dasar yang mengapresiasi keterbukaan, cepat tanggap, tulus, profesional dan proaktif ketika krisis mendera. Nilai-nilai dasar ini harus tercantum dalam satu kebijakan perusahaan tentang penanggulangan krisis.

2. Antisipasi dan simulasi suatu krisis dengan menggunakan skenario terburuk baik dari perspektif eksternal dan/atau internal. Dalam hal ini, identifikasikan kemampuan tim penganggulangan krisis dan ukur kesenjangan yang ada antara kemampuan tim saat ini dengan kemampuan tim yang diharapkan. Bila ada kesenjangan, perlu dipikirkan opsi apa yang tersedia dalam menutupi kesenjangan tersebut dan tentukan preferensi organisasi terhadap opsi yang ada.

3. Bangun sistem early warning signal yang dapat membantu organisasi mendeteksi adanya potensi suatu krisis akan berkembang. Sistem ini perlu dipantau secara berkala.

4. Pastikan ada juru bicara organisasi yang ditunjuk dan kompeten. Dalam hal ini, pastikan juga ada kebijakan dan prosedur baku sebagai rujukan bagaimana dan kapan si juru bicara harus berbicara kepada media dan pendukung/konstitutens bila suatu krisis terjadi.

5. Buat pesan dan material penyampaian krisis dalam bentuk press release, baik untuk media cetak utama (mainstream)maupun media sosial. Kirimkan press release tersebut secara proaktif kepada mereka.

6. Identifikasi dan bangun sekutu organisasi pada masa tidak ada krisis, sehingga mereka dapat membantu selama adanya krisis melaui sistem dan jaringan komunikasi yang sudah terbina sebelumnya.

7. Pastikan adanya prosedur penanganan tindak lanjut dan proses menjawab berbagai pertanyaan dari media, pembangun opini, dan pertanyaan publik. Dalam hal ini, ciptakan sistem dan prosedur bagaimana memberikan update ke media, pembangun opini, dan kepada publik tersebut secara berkala dan secara bertanggung jawab.

9. Pastikan juru bicara dan ahli media yang bekerja untuk organisasi selalu berkoordinasi dengan sekretaris perusahaan dan/atau legal concel agar berita yang tersedia di publik tidak memiliki risiko legal melekat di dalamnya.

Penulis: Dr. Antonius Alijoyo, ERMCP, CERG, CGEIT, CCSA, CRMA, CFSA,  CF, CFE

MEMAHAMI LANSKAP KEAMANAN SIBER

Sub-judul: Jenis Serangan Siber dan pengertian tentang ‘Phising’ dan ‘Spear Phishing’

Artikel ini dibagi dalam dua bagian,  yaitu:
A. Tentang jenis serangan siber dan
B. Tentang pengertian ‘Phising’ dan ‘Spear Phising’

1. Jenis Serangan Siber:

Saat ini serangan siber semakin canggih dan semakin gigih. Pelakunya beragam karena bisa beranjak dari para peretas individual iseng sampai kepada para profesional yang teroganisir dalam suatu jaringan kerja tertentu dalam upaya menghasilkan keuntungan besar dari target serangan (intrusions) mereka.

Walaupun penamaan serangan siber saat ini ada banyak, tetapi jenis serangan umumnya dapat dimasukkan ke dalam salah satu jenis di bawah ini:

1. Informasi pelanggan (customer information)
Serangan yang diarahkan untuk mencuri informasi data pelanggan atau nasabah perusahaan. Misal serangan pada data kartu kredit, data debitur, dan data pelanggan loyal yang kemudian digunakan oleh penyerang untuk kepentingan mereka. Ada pembuatan kartu kredit palsu yang kemudian dipakai untuk tujuan kejahatan dan pembelokan pembayaran debitur atau pelanggan ke bank penyerang (yang seharusnya ke bank organisasi yang diserang tersebut).

2. Hak dan kekayaan intelektual (intellectual property)
Serangan yang diarahkan untuk mencuri produk yang dilindungi hal intelektual organisasi.  Misalnya pencurian beberapa film milik Sonny – yang belum dirilis untuk publik – oleh Korea Utara/Rusia. Umumnya, motif penyerang adalah mempermalukan organisasi yang diserang dan/atau membuat organisasi yang diserang gagal memperoleh nilai komersial dari kekayaan intelektual tersebut.

3. Informasi karyawan (employee information)
Serangan yang diarahkan untuk mencuri informasi sensitif dari karyawan organisasi. Misalnya data asuransi kesehatan, data identitas kewarganegaraan, dan data pensiun sehingga bisa dimanipulasi untuk memperoleh manfaat komersial dari penguasaan informasi tersebut.

4. Pembajakan (hacktivsm)
Serangan yang diarahkan untuk membajak dan menyandera situs resmi suatu organisasi, terutama penyanderaan informasi sensitif dalam jaringan siber mereka. Motif dari serangan ini umumnya untuk memperoleh tebusan komersial dari penyanderaan tersebut.

B. Cara penyerangan siber.

‘Rekayasa Sosial’ (social engineering) dan ‘Pengelabuan Terarah’  (spear phishing) adalah jenis penyerangan siber yang paling umum digunakan untuk masuk ke dalam jaringan suatu organisasi. Kata ‘phishing’ sendiri berarti  ‘mengelabui’ dan kata ‘spear’ berarti ‘tombak’.

Sebelum istilah ‘spear phishing’ dikenal sebagai suatu jenis serangan siber baru-baru ini. Istilah umum ‘phishing’ atau ‘traditional phishing’ sudah dikenal lebih lama sebelumnya. Di bawah ini adalah perbedaan antara keduanya:

‘Traditional Phishing’ atau ‘Pengelabuan Tradisional’

Pengelabuan tradisional dilakukan melalui surat elektronik yang berisi berita palsu yang menyesatkan kepada sebanyak mungkin orang. Tjuannya agar dapat memperoleh calon korban sebanyak-banyaknya. Pengelabuan tradisional umumnya menyerang ribuan bahkan jutaan orang pada saat bersamaan, dimanapun mereka berada. Untuk menyesatkan calon korban, surat elektronik pengelabuan biasanya dimunculkan seakan-akan dari suatu sumber yang dapat dipercaya. Misalnya suatu bank yang besar atau seseorang (biasanya pesohor lokal) yang mungkin dikenal oleh calon korban dengan menyertakan suatu lampiran dan/atau tautan (link) tertentu.

Pesan dalam surat elektronik umumnya mengarahkan calon korban untuk membuka lampiran yang terinfeksi virus dan/atau membuka tautan yang disertakan. Begitu lampiran dibuka dan/atau tautan diklik, si penyerang dapat dengan  leluasa mengambil alih kendali komputer si korban dan/atau mengambil ‘username’ dan ‘password’ milik korban tersebut.

‘Spear Phishing’ atau ‘Pengelabuan Terarah’

Serangan pengelabuan terarah umumnya juga dilakukan melalu surat elektronik yang seakan-akan berasal dari sumber yang dapat dipercaya. Yang berbeda adalah sasaran calon korban yang sudah sangat spesifik ditargetkan. Pesan yang dikirim melalui surat elektronik hanya dikirim ke satu orang saja atau satu sekelompok kecil orang yang telah dipilih secara selektif sekali. Tujuan penyerangan ditentukan sesuai dengan karakteristik dari individu atau sekelompok orang tersebut.

Sebelum merancang pesan, si penyerang akan melakukan riset tentang calon korban melalui profil yang ada di dalam media sosial mereka misal ‘linkedin’, ‘twitter’, dan ‘facebook’. Setelah itu, si penyerang akan membangun suatu pemahaman profil lengkap tentang hidup, pekerjaan dan minat si calon korban. Profil lengkap ini akan digunakan sebagai panduan dalam membuat pesan yang akan disesuaikan sedemikian rupa sehingga dapat menimbulkan kesan kuat akan ‘relevansi’ dan ‘kredibilitas’ isi pesan yang sejalan dengan kehidupan, pekerjaan dan minat si calon korban tersebut. Dalam membangun kredibilitas dan relevansi tadi, si penyerang akan mengumpulkan informasi mengenai teman-teman dan kolega kerja si calon korban, misalnya nama dan alamat surat elektronik mereka. Surat elektronik yang akan dikirim ke calon korban seakan-akan dikirim oleh salah satu teman atau kolega kerja si penyerang.

Karena pengelabuan terarah sangat spesifik sesuai dengan sasaran dan karakteristik calon korban, umumnya mereka jauh lebih sukses dibandingkan pengelabuan tradisional. Bagi organisasi, terutama yang memiliki informasi sangat rahasia, hal ini perlu diperhatikan karena pengelabuan terarah umumnya memiliki tujuan penyerangan yang sangat spesifik, misal akses ke informasi rahasia perusahaan.  Suatu perusahaan tertentu kadang dapat dijadikan sasaran antara untuk memperoleh akses ke perusahaan lain yang jauh lebih besar.

Oleh karena itu,  ancaman serangan pengelabuan terarah ini berlaku bagi perusahaan kecil maupun perusahaan besar dimana saja yang sudah memakai jaringan siber dalam kegiatan bisnis mereka. Dampak dari itu semua adalah kehilangan pendapatan organisasi secara langsung, seperti kehilangan penjualan, maupun tidak langsung misal rusaknya reputasi perusahaan. ***

Penulis: Dr. Antonius Alijoyo, ERMCP, CERG, CGEIT, CCSA, CRMA, CFSA, CFE

PILIHAN SERTIFIKASI KOMPETENSI BIDANG MANAJEMEN RISIKO DI INDONESIA

Sebagai ketua asosiasi manajemen risiko (MR), IRMAPA (Indonesia Risk Management Professionals Association), kami seringkali memperoleh pertanyaan dari berbagai pihak terutama para praktisi MR tentang persamaan dan perbedaan beberapa lembaga sertifikasi profesi (LSP) bidang MR di Indonesia.

Semua LSP memiliki lisensi dari BNSP (Badan Nasional Sertifikasi Profesi) sehingga memiliki legalitas yang sama. Oleh karena itu sering timbul pertanyaan, apa yang berbeda? Kenapa harus berbeda? Serta apa yang harus dipahami serta dipertimbangkan oleh seorang praktisi atau profesional bidang MR dalam menentukan pilihan?

Tulisan ini dibuat dalam tiga bagian kecil bahasan. Pertama adalah tentang relevansi sertifikasi kompetensi bidang MR. Kedua tentang perbedaan dua standar kompetensi kerja yang dikenal. Ketiga mengenai perbedaaan tipe LSP yang dilengkapi dengan daftar pertanyaan mandiri yang dapat membantu organisasi dan/atau individu pengambil sertifikasi dalam melakukan pilihan LSP dan uji sertifikasi yang akan diikuti.

1.RELEVANSI SERTIFIKASI KOMPETENSI BIDANG MR

Dimulai dengan adanya kebutuhan sumber daya insani (SDI) yang kompeten bidang MR di industri perbankan sekitar sepuluh tahun yang lalu, kebutuhan praktisi dan profesional bidang MR terus bertambah, baik kuantitas maupun kualitas. Selanjutnya tidak hanya untuk sektor industri perbankan saja, tetapi juga jasa keuangan lainnya, terutama asuransi dan pembiayaan. Dalam hal ini, OJK (Otoritas Jasa Keuangan) sudah mengeluarkan beberapa POJK (Peraturan Otoritas Jasa Keuangan) yang mengharuskan industri jasa keuangan (IJK) memastikan adanya SDI yang memiliki kompetensi bidang MR, mulai dari jajaran pelaksana sampai pada direksi dan dewan komisaris. Secara konkrit, hal tersebut harus dibuktikan dengan adanya sertifikat hasil uji kompetensi bidang MR yang dikeluarkan oleh LSP berlisensi dari BNSP untuk bidang MR bagi individu yang dinyatakan kompeten dalam bidang tersebut.

Timbul pertanyaan, apa makna kata ‘berlisensi’ dari BNSP?

Sesungguhnya yang memiliki akuntabilitas untuk pemastikan proses seseorang memiliki kompetensi profesi bidang tertentu adalah tetap di tangan BNSP, yang mengadopsi proses sertifikasi personel berbasis ISO 17024 (catatan: ISO 17024 adalah sistem manajemen internasional untuk pemastian proses uji kompetensi personel dilakukan secara independen, berkualitas, terstandarisasi, dan tertelusur).

Dalam pelaksanaannya, BNSP memiliki hak untuk memberikan lisensi proses tersebut kepada berbagai LSP yang sesuai dengan lingkup bidang kompetensi yang dibutuhkan oleh industri. Untuk menjaga konsistensi kualitas para LSP, BNSP melakukan proses ‘surveillance’ dari waktu ke waktu. BNSP dapat mencabut lisensi mereka bila ditemukan fakta yang berbeda antara apa yang dijanjikan LSP untuk dilaksanakan dengan apa yang secara aktual dilaksanakan LSP tersebut. Bila ditemukan adanya perbedaan, maka BNSP dapat melakukan proses peneguran sampai pada penangguhan, bahkan pencabutan lisensi (bilamana dianggap perlu).

Oleh karena itu, LSP bidang MR yang sudah memiliki lisensi dari BNSP memiliki derajat keabsahan yang sama sebagai perpanjangtanganan BNSP dalam melakukan proses sertifikasi profesi bidang MR. Pertanyaan lain kemudian timbul, apa ada perbedaan antara satu LSP dengan LSP lainnya di samping keabsahan mereka sebagai pemegang lisensi dari BNSP.

Dalam hal ini, ada dua hal yang menjadi dasar pembeda, yaitu rujukan Standar Kompetensi Kerja (SKK) yang digunakan – apakah SKK-NI (Standar Kompetensi Kerja Nasional Indonesia) atau SKK-Khusus (Standar Kompetensi Kerja Khusus) dan tipe LSP itu sendiri – apakah LSP tipe 1, tipe 2, atau tipe 3.

2.PERBEDAAN SKK-NI DENGAN SKK-KHUSUS:

1. Dasar dan proses pembuatan SKK.

SKK-NI dibuat atas kesepakatan bersama antara asosiasi industri pengguna, pakar di bidangnya, dan kementerian atau sektor yang terkait dengan SKK-NI, serta Kementerian Tenaga Kerja (Kemenaker), melalui beberapa tahapan yang dipersyaratkan oleh BNSP.

SKK-Khusus dibuat oleh asosiasi yang terkait dengan industri yang akan mempergunakannya dan berlaku untuk memenuhi kebutuhan lingkungan asosiasi dan/atau oleh industri yang sudah memutuskan akan memakai SKK-Khusus ini.

2. Siapa yang boleh menggunakan SKK untuk uji sertifikasi kompetensi?

SKK-NI dapat dipakai oleh siapa saja yaitu semua industri, lembaga Diklat Vokasi Universitas, dan bahkan dapat dipakai oleh asosiasi lain yang berminat untuk mengadopsi baik seluruh maupun sebagian dari SKK-NI tersebut.

SKK-Khusus hanya boleh dipakai oleh lembaga tertentu saja yang sudah memperoleh ijin dari pemilik atau pemrakarsa SKK tersebut.

3.PERBEDAAN TIPE LSP:

Ada tiga tipe LSP, yaitu:

1. LSP tipe 1 atau sering disebut dengan nama LSP P1

LSP P1 dibentuk oleh lembaga pendidikan dan pelatihan (Lemdiklat) yang melatih pesertanya untuk kebutuhan industri. LSP P1 dapat menerbitkan sertifikat kompetensi sesuai dengan skema yang telah divalidasi oleh BNSP.  LSP P1 merupakan bagian terpadu dari LPK (lembaga pelatihan kerja) yang memiliki lisensi sebagai LPK independen dari Kemenaker. Oleh karena itu, pelatihan menjadi bagian tidak terpisah dari proses ujian sertifikasi yang dilaksanakan oleh LSP P1 ini. LSP P1 dapat menggunakan SKK-NI maupun SKK-Khusus tergantung dari pilihan mereka.

2. LSP tipe 2 atau sering disebut dengan nama LSP P2

LSP P2 mirip dengan LSP P1, tetapi dijalankan oleh suatu departemen pemerintah tertentu yang membutuhkan SKK Khusus dari departemen itu sendiri untuk dijadikan landasan edukasi dan sertifikasi internal mereka. LSP P2 dibentuk oleh dinas unit pelaksana teknis (UPT) untuk memastikan jaringan UPT yang melakukan program sertifikasi kompetensi dapat diterbitkan oleh UPT yang membentuknya dengan UPT-UPT yang lain cukup sebagai tempat uji kompetensi (TUK). LSP P2 dapat menggunakan SKK-NI maupun SKK-Khusus tergantung dari pilihan mereka.

3. LSP tipe 3 atau sering disebut dengan nama LSP P3

LSP P3 adalah LSP umum yang dapat dibentuk oleh asosiasi industri atau asosiasi profesi. Ujian sertifikasinya tidak harus terpadu dengan pelatihan khusus dari suatu LPK independen ataupun UPT tertentu. Siapapun yang memenuhi syarat dapat mengikuti ujian sertifikasi mereka secara langsung, dan oleh karena itu, LSP P3 umumnya menggunakan SKK-NI.

Mana yang lebih baik atau sesuai, apakah SKK-Khusus atau SKKNI?

Tidak menjadi masalah bagi praktisi dan profesi MR untuk memilih LSP yang berbasis SKK-Khusus ataupun SKK-NI. Yang terpenting untuk dipahami adalah rincian elemen kompetensi dari SKK tersebut dan pemahaman tentang unit dan elemen kompetensi apa yang akan diuji? Sangat riskan dan sangat naif bila kita mengatakan SKK-Khusus lebih baik dari SKK-NI atau sebaliknya. Ada SKK yang menitikberatkan pada kompetensi MR untuk kebutuhan industri tertentu saja secara spesifik dan ada SKK yang mendasarkan diri pada suatu standar khusus yang dapat dipakai lintas industri.

Semua itu adalah pilihan dan oleh karena itu terminologi yang lebih tepat adalah bukan mencari mana yang lebih baik, tetapi mencari mana yang lebih sesuai dengan kebutuhan organisasi dan/atau individu yang akan mengambil sertifikasi.

Mana yang lebih baik atau sesuai, apakah LSP P1, LSP 2, atau LSP P3?

Karena tidak ada LSP tipe tertentu yang dianggap lebih baik dari tipe yang lainnya, maka pertanyaan akan lebih tepat bila LSP tipe mana yang lebih sesuai dengan kebutuhan organisasi dan/atau individu yang akan mengambil sertifikasi.

Dengan pertimbangan bahwa LSP P2 sangat spesifik untuk kebutuhan internal suatu departemen pemerintahan tertentu saja, tulisan akan mengupas lebih jauh hanya perbandingan LSP P1 dan LSP P3.

Karena LSP P1 mengharuskan adanya keterpaduan antara standar, edukasi atau pelatihan, dan uji sertifikasi, maka pelatihan menjadi keharusan mutlak bagi siapapun yang akan mengambil sertifikasi. Di sisi lain, karena LSP P3 tidak mengharuskan secara mutlak adanya keterpaduan di atas, maka pelatihan seharusnya menjadi pilihan saja bagi calon pengambil sertifikasi (catatan: walaupun dalam praktik ada beberapa LSP P3 yang kadang menyarankan adanya pelatihan pendahuluan sebelum ujian sertifikasi).

Berangkat dari keterangan di atas, apa yang perlu dipertimbangkan dalam memilih tipe LSP (antara LSP P1 dengan LSP P3) dan uji sertifikasi yang ditawarkan? Di bawah ini ada 3 pertanyaan mandiri yang dapat membantu calon pengambil sertifikasi dalam menentukan pilihan mereka:

A. Standar MR apa yang dipakai?

• Apakah relevan dengan kebutuhan organisasi dan/atau kebutuhan individu pengambil ujian sertifikasi baik untuk kebutuhan mereka saat ini maupun kebutuhan mereka di masa mendatang?
• Apakah dasar rujukan memiliki cakupan bersifat nasional saja atau lebih luas di tingkat regional dan internasional?
• Sejauh apa standar ini diakui dan diterima oleh komunitas MR dan industri yang terkait sebagai pengguna dan sejauh mana keberlanjutan standar tersebut?

B. Standar kompetensi kerja apa yang digunakan?

• Sejauh apa SKK yang dipakai mencerminkan kualitas dan tingkat kedalaman elemen kompetensi yang diadopsi? Hal ini sangat fundamental karena kualitas elemen kompetensi akan sangat berpengaruh pada kualitas skema kompetensi yang ditawarkan oleh LSP.
• Sejauh apa elemen kompetensi dalam SKK sejalan dan seiring dengan standar MR yang dijadikan rujukan?
• Sejauh apa SKK yang dipakai direkognisi oleh asosiasi profesi bidang MR yang relevan?

C. Skema kompetensi yang ditawarkan?

• Skema kompetensi apa saja yang ditawarkan dan sejauh apa skema yang tersedia tersebut sesuai dengan kebutuhan organisasi dan/atau individu pengambil ujian sertifikasi.
• Apakah setiap skema yang ditawarkan telah divalidasi oleh BNSP dan absah menjadi cakupan lisensi yang telah dimiliki oleh LSP tersebut atau masih dalam proses validasi BNSP?
• Apakah kaitan antar satu skema ke skema lainnya jelas dan sejalan dengan kebutuhan jenjang pengembangan kompetensi SDI organisasi dan/atau individu pengambil ujian sertifikasi tersebut?

D. Metode pelatihan apa yang dipakai?

• Apakah sesuai dengan pendekatan ‘adult learning’ dan berbasis ‘competency development’? Misal apakah tingkat rasio komposisi studi kasus dan teori berimbang?, atau apakah ada penggunaan simulasi yang dapat mengasah kompetensi dengan lebih tajam?, dan lain sebagainya.
• Apakah efektifitas pelatihan terukur, sehingga dapat menjadi masukan bagi pengembangan SDI organisasi?
• Apakah didukung oleh tim instruktur yang memiliki reputasi tinggi baik dari segi teoritis penguasaan standar yang dipakai maupun dalam penguasaan praktis penggunaan standar tersebut?

E. Metode dan materi uji sertifikasi yang dipakai?

• Apakah asesor yang digunakan berlisensi asesor dari BNSP serta menguasai standar yang digunakan baik dari segi penguasaan teoritis maupun praktis?
• Apakah materi uji sertifikasi dirawat dan dikembangkan terus-menerus sejalan dengan kebutuhan profesi dalam cakupan standar yang digunakan?
• Sejauh apa reputasi organisasi pelaksana dalam mengadakan proses uji kompetensi, misal penjadwalan ujian sertifikasi, persiapan tempat uji kompetensi, tingkat pelayanan selama proses ujian sertifikasi, maupun dalam proses penerbitan sertifikat, dan lain sebagainya.

Demikian tulisan ini dibuat dan mudah-mudahan bermanfaat bagi organisasi dan/atau individu dalam membantu proses penentuan jalur sertifikasi kompetensi bidang MR apa yang akan dipilih.

oleh:
Dr. Antonius Alijoyo, ERMCP, CERG
Ketua IRMAPA