Artikel

Seringkali metodologi risk based internal audit (RBIA) digunakan dalam melakukan audit internal di suatu organisasi. RBIA adalah metodologi yang digunakan untuk memberikan suatu reasonable assurance bahwa risiko dalam organisasi terkelola sesuai dengan selera risiko yang disepakati dalam organisasi tersebut. Untuk itu auditor harus membuat rencana audit berbasis risiko untuk menentukan prioritas aktivitas internal audit yang juga konsisten dengan tujuan organisasi (IPPF Standards, 2017).

Untuk membuat rencana audit berbasis risiko, diperlukan pemahaman tentang strategi organisasi, key business objectives, risiko-risiko yang terkait dengannya, serta proses manajemen risiko yang dijalankan selama ini. Auditor kemudian mereview dan menyesuaikan rencana auditnya, apabila dirasakan perlu, dalam merespon perubahan dalam bisnis, risiko, operasi, program, dan sistem yang terjadi di organisasi.

Dalam pelaksanaannya, RBIA akan mengevaluasi faktor risiko yang berkaitan dengan proses internal organisasi untuk mentukan apakah risiko telah dikelola pada tingkat yang dapat diterima. Pendekatan ini berusaha untuk meningkatkan kualitas dan efektivitas audit dengan menentukan area risiko yang membutuhkan perhatian lebih tinggi.

Dalam sesi practice sharing yang diberikan oleh Mr. Krasame Singhakul di dalam kelas Internal Audit Master Program International Finance Corporation (World Bank Group) di Bangkok, Thailand pada tanggal 14-16 Juli 2017, dijelaskan bagaimana metodologi RBIA dilakukan di Shanghai Construction Group (SCG). SCG yang mengelola lebih dari 250 anak perusahaannya, memulai RBIA dengan langkah sebagai berikut:

–          Memprioritaskan dan mengalokasikan sumber daya dengan menggunakan risk-ased audit model;

–          Mereviu risiko sebelum melakukan engagement;

–          Mereviu dan mendiskusikan risiko-risiko yang teridentifikasi dengan manajemen;

–          Mereviu risiko kembali setelah melakukan penyisiran terhadap proses bisnis dalam organisasi.

Risk-based audit model yang digunakan dapat memberikan keluaran mengenai peta risiko perusahaan (prioritas tinggi, sedang, dan rendah) sebagai dasar perusahaan memutuskan prioritas audit. Juga sebagai dasar menentukan area yang perlu diaudit, frekuensi audit, mengidentifikasi proses bisnis yang memiliki risiko tinggi, serta berapa orang auditor dan man-days yang akan dialokasikan.

SCG mengategorikan risikonya kedalam delapan kategori risiko. Kedelapan risiko tersebut adalah risiko SHE, risiko kepatuhan, risiko harta tak berwujud, risiko Hazard, risiko input, risiko proses, risiko finansial, dan risiko bisnis, serta dua risiko sistem manajemen (risiko proyek investasi dan risiko operasi). Semua kategori tersebut dianalisis, baik secara korporat maupun di tiap unit bisnis, dan hasil analisa tersebut dikalikan dengan bobot untuk tiap-tiap kategori (baik di level korporasi maupun di level unit bisnis).

Hasil pembobotan tersebut akan dievaluasi dengan membandingkannya dengan parameter yang dapat digunakan untuk:

• Menentukan perusahaan mana yang menjadi prioritas berdasarkan skor;
• Pengalokasian sumber daya, berupa berapa man-days yang diperlukan dan berapa auditor yang diperlukan dengan melihat apakah skor yang diperoleh (tinggi, sedang, ataurendah);
• Area apa yang perlu diprioritaskan untuk diaudit di tiap perusahaan, berdasarkan hasil kali analisa risiko dan bobot di tiap kategori risiko yang ada.

Dengan metodologi RBIA ini diharapkan dapat menjawab tantangan yang dihadapi perusahaan saat ini dimana kompleksitas maupun kecepatan perubahan bisnis yang sangat cepat. Fungsi audit internal harus dapat membuat rencana audit yang juga dinamis, menyesuaikan dengan arahan atau strategi perusahaan, sehingga selalu bisa memberikan reasonable assurance bahwa perusahaan dapat terus meningkatkan dan menjaga nilai perusahaannya dengan lebih baik.

Penulis:

Ridwan Hendra MM., ERMCP., CERG., CCSA.

Dari berbagai literatur dan diskusi dengan berbagai pihak, penulis mencatat ada dua sudut pandang yang terkait dengan penerapan enterprise risk management(ERM) di organisasi perusahaan, yaitu:

• Sudut pandang berbasis sumber daya (the resource-based view), yang sudah cukup lama dikenal sebagai teori dasar manajemen strategik.
• Sudut pandang berbasis kapabilitas dinamik (the dynamic capability perspective), yang baru berkembang beberapa tahun belakangan ini, seiring dengan pertumbuhan kebutuhan penerapan ERM di perusahaan.

Kedua sudut pandang ini menjadi dasar acuan berbagai studi empiris yang mengkaji lebih jauh mengenai keterkaitan antara manajemen risiko dengan manajemen strategik, juga antara manajemen risiko dengan manajemen operasional dalam penciptaan dan perlindungan nilai perusahaan secara berkesinambungan di era yang penuh ketidakpastian dan turbulensi.

Artikel ini dibagi dalam tiga bagian. Pertama tentang perspektif atau sudut pandang berbasis sumberdaya. Kedua tentang perspektif atau sudut pandang berbasis kapabilitas dinamis. Terakhir adalah pemaduan dua pendekatan tersebut. Perspektif ini dapat dipakai oleh praktisi dan/atau profesional independen manajemen risiko di Indonesia yang saat ini sedang membantu organisasi mereka dalam penerapan SNI ISO 31000.

SUDUT PANDANG BERBASIS SUMBER DAYA
(the resource-based view)

Aliran yang bersumber dari sudut pandang berbasis sumber daya atau kadang disebut aliran teori berbasis sumber daya (resource-based theory) yaitu Barney (1991, 2001, 2011), Wernerfelt (1984), Prahalad dan Hamel (1990). Aliran ini berpandangan bahwa keunggulan daya saing suatu perusahaan berasal atau diperoleh dari kepemilikan mereka terhadap sumber daya dengan karateristik tertentu, yaitu valuable (V) atau bernilai tinggi, rare (R) atau jarang, inimitable (I) atau tidak dapat ditiru, dan non-substitutable (N) atau tidak dapat digantikan. Keempat unsur karakteristik tersebut dikenal dengan singkatan VRIN (valuable, rare, inimitable, non-substitutable).

Kriteria VRIN di atas dapat menjadi pilar atau pondasi bagi perusahaan dalam membangun penerapan ERM yang menyeluruh. VRIN mampu membantu dalam menentukan prioritas risiko strategik perusahaan. Penentuan prioritas risiko strategik sangat kritikal bagi perusahaan dalam menjaga dan/atau membangun keunggulan bersaing sehingga dapat menciptakan/meningkatkan nilai perusahaan tersebut secara berkesinambungan.

SUDUT PANDANG BERBASIS KAPABILITAS DINAMIK
(the dynamic capability perspective)

Aliran ini sebetulnya pengembangan untuk mengatasi kekurangan dari aliran sudut pandang berbasis sumber daya di atas.  Kekurangan utama dari aliran berbasis sumberdaya adalah keterbatasan penerapannya dalam lingkungan yang dinamis.

Kapabilitas dinamis merujuk pada kapasitas organisasi untuk mampu menciptakan, mengembangkan, atau memodifikasi basis sumber daya mereka sedemikian rupa sehingga dapat beradaptasi terhadap lingkungan yang berubah cepat.

Setiap ada perubahan teknologi, atau ada pemain baru di pasar, ataupun bila ada pergeseran sosial, ekonomi, dan arus politik, semua hal tersebut dapat menjadi sumber risiko baru. Untuk mampu menangani risiko tersebut, perusahaan harus membangun kompetensi sumber daya insani mereka yang didukung dengan berbagai proses mendasar di perusahaan untuk menjadi pondasi kapabilitas dinamik mereka.

Pemaduan Dua Pendekatan dalam rangka penerapan SNI ISO 31000

Penggunaan dua sudut pandang di atas dalam penerapan ERM berbasis SNI ISO 31000 akan memberikan manfaat ganda.

Pendekatan berbasis sumber daya akan menyediakan kerangka-kerja yang dapat menolong perusahaan menentukan prioritas manajemen risiko mereka. Karena manajemen tidak dapat menangani begitu banyak risiko yang ada dalam waktu bersamaan, maka mereka butuh identifikasi dan fokus pada ancaman potensial yang paling berdampak terbesar bagi perusahaan. Pendekatan berbasis sumber daya akan memberikan klarifikasi risiko apa saja yang perusahaan sebaiknya fokus dan prioritaskan.

Setelah perusahaan menentukan prioritas risiko, pendekatan berbasis kapabilitas dinamik akan membantu perusahaan untuk mengatasi kejadian risiko yang luput dari perkiraan awal. Bila pendekatan berbasis sumber daya lebih erat hubungannya dengan penentuan penanganan risiko strategik, maka pendekatan kapabilitas dinamik akan membantu perusahaan membangun ketangguhan (risk resilience) mereka untuk menangani risiko operasional yang timbul karena adanya perubahan.

Pemaduan kedua pendekatan di atas akan memberikan manfaat ganda penerapan ERM berbasis SNI ISO 31000. Perusahaan akan efektif dalam penentuan risiko strategik yang ada dalam usaha menciptakan nilai perusahaan (create value) dan tangguh dalam melindungi perusahaan (protect the value) terhadap dinamika perubahan yang terjadi secara cepat.

Mudah-mudahan artikel ini bermanfaat bagi anggota IRMAPA dan praktisi manajemen risiko umumnya di Indonesia.

Penulis: Dr. Antonus Alijoyo, ERMCP, CERG, CCSA, CFSA, CRMA, CGAP, CGEIT, CFE

Dalam kesempatan mengikuti Internal Audit Master Program di Bangkok, Thailand, yang diselenggarakan oleh International Finance Corporation (IFC) – World Bank pada bulan Juni 2016 lalu, ada bebera catatan yang sangat menarik terkait kompetensi auditor internal di bidang manajemen risiko berbasis ISO 31000. Penulis hendak berbagi kepada para praktisi audit internal dan manajemen risiko di Indonesia.

1. Kompetensi auditor internal di bidang manajemen risiko.

Pelatihan tingkat mahir ini diikuti oleh peserta dari berbagai negara ASEAN dan negara-negara di belahan benua Asia dan Amerika Selatan ini. Kompetensi di bidang manajemen risiko telah menjadi kebutuhan mendasar para auditor internal di berbagai organisasi guna menerapkan audit internal berbasis risiko (risk-based audit) yang efektif. Pengembangan kompetensi auditor internal ini tidak dimaksudkan untuk menggantikan fungsi lini pertahanan ke-2 dalam model 3 Lini Pertahanan (3 Lines of Defense) yang dijalankan oleh para profesional manajemen risiko (risk professionals) di Departemen/Divisi/Direktorat Manajemen Risiko. Namun untuk menunjang terlaksanakannya proses asesmen risiko yang dilaksanakan secara mandiri oleh para auditor internal dalam penentuan rencana tahunan audit (audit planning). Asesmen risiko dan kendali secara mandiri (risk & control self-assessment) dari para auditor internal ini pada dasarnya tidak ditujukan untuk menggantikan atau mengabaikan profil risiko yang terbentuk dari lini pertahanan ke-1 (yang disusun oleh para pemilik risiko atau risk owner), namun lebih kepada sebuah upaya pengawasan & pengimbangan (check & balance) akan ketersediaan profil risiko yang objektif sebagai acuan penyusunan rencana audit.

2. Keberterimaan ISO 31000 sebagai rujukan praktik terbaik manajemen risiko.

Mendukung pengembangan kompetensi auditor internal di bidang manajemen risiko di atas, pemahaman mengenai ISO 31000:2009 sebagai standar internasional manajemen risiko ikut disampaikan dan dibahas dalam berbagai kesempatan pelatihan. Hal ini menunjukkan bahwa keberterimaan ISO 31000 di berbagai kalangan sebagai rujukan praktik terbaik penerapan manajemen risiko telah semakin tinggi dan meluas. Melalui kehadirannya dalam pelatihan ini, para auditor yang berasal dari berbagai belahan dunia tidak hanya mendapat kesempatan untuk lebih memahami ISO 31000, melainkan juga untuk bertukar pikiran dan berbagi pandangan mengenai peran ISO 31000 dalam menddukung penerapan audit internal berbasis risiko.

3. Peran komite dalam mendorong efektivitas penerapan manajemen risiko.

Selain topik-topik mengenai aktivitas audit internal, tersedia pula beberapa sesi yang mengulas peran komite dalam mendorong efektivitas penerapan manajemen risiko guna mendukung pelaksanaan audit internal berbasis risiko. Dalam konteks Indonesia, komite ini adalah Komite Audit dan Komite Pemantau Risiko pada Dewan Komisaris. Sehubungan dengan hal tersebut, kompetensi mengenai penerapan manajemen risiko, maupun secara khusus pemahaman mengenai ISO 31000 (atau SNI ISO 31000 dalam konteks Indonesia), tidak hanya perlu dimiliki oleh para auditor internal, melainkan juga oleh para anggota komite.

Sebagaimana dipahami bahwa akuntabilitas utama untuk memastikan pengendalian dan pengelolaan risiko yang efektif sebagai asurans terhadap pencapaian sasaran organisasi diemban oleh manajemen puncak (Direksi maupun Komisaris). Untuk itu, maka hendaknya para anggota Direksi dan Dewan Komisaris menguasai pemahaman mengenai tata kelola risiko (risk governance) maupun aspek strategis lainnya dari penerapan manajemen risiko.

Ditulis oleh: Charles R. Vorst, BCCS, CERG, ERMCP, QCRO, QRGP – Dewan Pengurus IRMAPA.

Wajar jika Indonesia memenangkan Global Inclusion Award 2017. Dalam ajang yang digelar di Jerman bulan Mei, dunia internasional mengakui kesuksesan program inklusi keuangan Indonesia. Dalam beberapa tahun terakhir, masyarakat Indonesia menyaksikan gerakan inklusi keuangan dilaksanakan secara massif.

Inklusi keuangan adalah ketersediaan akses pada berbagai lembaga, produk dan layanan jasa keuangan sesuai dengan kebutuhan dan kemampuan masyarakat dalam rangka meningkatkan kesejahteraan masyarakat (OJK, 2016). Inklusi keuangan adalah kunci utama untuk mengurangi kemiskinan dan meningkatkan kemakmuran (Bank Dunia, 2017).

Program inklusi keuangan ini dimotori Otoritas Jasa Keuangan (OJK) dengan kementerian/lembaga dan didukung penuh industri jasa keuangan (IJK). Pemerintah sangat serius meningkatkan inklusi keuangan. Buktinya, Presiden mengeluarkan Peraturan Presiden RI Nomor 82 Tahun 2016 tentang Strategi Nasional Keuangan Inklusif (SNKI).

Sasaran Masyarakat Bawah

Inklusi keuangan didesain agar lebih banyak masyarakat (berpenghasilan rendah) yang mengakses produk/layanan jasa keuangan. Survey OJK menunjukkan bahwa pada tahun 2016 indeks inklusi keuangan di Indonesia sebesar 67,82%. Artinya, baru 67 orang dari 100 orang memanfaatkan lembaga jasa keuangan. Indeks ini naik dibandingkan tahun 2013 yang hanya 59,74%. Pada tahun 2019, indeks inklusi keuangan ditargetkan mencapai 75%.

Berbagai upaya telah dilakukan untuk mengerek inklusi keuangan. Selain menerbitkan peraturan terkait inklusi keuangan, OJK bersama IJK kompak menggarapnya. Bagi IJK, upaya peningkatan inklusi keuangan adalah investasi yang akan besar hasilnya. Ada pengembangan materi literasi keuangan untuk jenjang pendidikan formal dari tingkat SD, SMP, SMA, hingga perguruan tinggi. Contoh program lainnya adalah simpanan pelajar,  asuransi mikro, reksadana ritel, penyaluran bantuan sosial nontunai, optimalisasi aset wakaf, dll.

Momentum Ramadan dan Mudik

Ada fenomena terkait keuangan di seputar bulan Ramadan. Bulan ini, ada kecenderungan pengeluaran lebih besar. Beberapa faktor pendorong antara lain keyakinan bahwa pahala dilipatgandakan untuk yang bersedekah, adanya tunjangan hari raya, fenomena mudik, dan kecenderungan konsumsi pangan dan sandang yang lebih tinggi.

Ramadan adalah momentum tepat sebagai media untuk peningkatan literasi dan inklusi keuangan. Kita dapat jumpai pada lima hal ini. Pertama, Ramadhan dan pengelolaan keuangan. Kecenderungan ‘konsumtif’ harus dibarengi dengan keterampilan merencanakan dan mengelola keuangan. Kegembiraan sambut Ramadan dan lebaran perlu disandingkan dengan kesadaran tentang kondisi keuangan pascalebaran. Ini untuk mengingatkan agar tak konsumtif melebih kemampuan.

Kedua, mudik dan uang. Sudah menjadi tradisi bahwa mudik umumnya harus membawa uang untuk keluarga di kampung halaman. Para pemudik dianggap lebih sukses dari sisi materi. Mereka umumnya juga memiliki tingkat literasi (pemahaman) dan inklusi keuangan yang lebih baik. Pada saat itulah program literasi dan inklusi keuangan dapat dikenalkan di kampung melalui sosialisasi/edukasi. Para pemudik ini sangat potensial menjadi ‘duta edukasi keuangan’.

Mereka misalnya, dapat menjelaskan bahwa mudik tidak perlu membawa uang cash banyak. Uang cukup disimpan di bank dan bisa ditarik di ATM/bank di sekitar kampung halaman. Mereka dapat mengenalkan manfaat bank. Keluarga di kampung didorong untuk membuka rekening sehingga mudah untuk transfer uang dari kota. Dalam obrolan santai keluarga, para pemudik dapat mengenalkan bagaimana bisa meminjam uang ke bank untuk tambahan modal usaha atau membeli motor.

Ketiga, asuransi mudik. Para pemudik menghadapi risiko. Ada beberapa jenis asuransi yang dapat didesain khusus untuk pemudik. Diantaranya, asuransi perjalanan (termasuk asuransi kecelakaan diri) dan asuransi pencurian/kebongkaran (burglary insurance) untuk rumah yang ditinggalkan. Melalui financial technology, jenis-jenis asuransi tersebut bisa disajikan dan diakses lebih mudah.

Keempat, ramadan dan keuangan syariah. Hasil survey OJK, indeks inklusi keuangan syariah pada tahun 2016 Indonesia baru mencapai 11,06%. Momentum ramadan sangat tepat untuk mengenalkan dan meningkatkan kontribusi keuangan syariah yang saat ini baru sekitar 5%. Tentu saja menjual keunggulan keuangan syariah harus dikombinasikan antara konsep Islam dan keunggulan riil dibandingkan jasa keuangan konvensional.

Kelima, memanfaatkan dan memfasilitasi mudik gratis. Banyak organisasi mengadakan mudik gratis. Tujuan utamanya untuk mengurangi kecelakaan, mengurangi macet, dan sebagai tanggung jawab sosial. IJK dapat memanfaatkannya sebagai momentum tepat untuk meningkatkan literasi dan inklusi keuangan.

Para peserta mudik gratis dapat dibekali pengetahuan tentang industri jasa keuangan. Perusahaan dapat menggunakan dana corporate social responsibility atau dianggarkan dari biaya lainnya. Masih ada waktu untuk merealisasikan ide ini di mudik lebaran kali ini. OJK dan IJK perlu sinergi untuk menjadikan momentum ini efektif.

*****

Munawar

Pegawai Otoritas Jasa Keuangan
Ketua Bidang Edukasi dan Komunikasi Irmapa

1. Jangan membuka surat elektronik atau situs yang berpotensi menularkan peranti perusak. Misal bila kita menerima surat elektronik yang meminta kita membuka suatu tautan tertentu, sebaiknya jangan dilakukan bila tidak ada kode ‘security’ yang menyertainya. Tautan umum dapat menjadi gerbang terunduhnya peranti perusak ke dalam sistem komputer suatu organisasi.
2. Jangan membuka situs-situs umum yang sering meminta kita membuka suatu tautan tertentu yang seakan-akan iklan atau pemberian hadiah.
3. Jangan mengunduh apapun termasuk aplikasi tertentu tanpa didukung dengan proteksi anti virus yang masih valid.
4. Bila membuka suatu situs, lebih baik langsung mengetik alamat situs tersebut dibandingkan dengan membukanya melalui suatu tautan.
5. Gunakan dan pastikan adanya anti virus yang selalu terkini dalam jaringan sistem komputer organisasi.

1. Selalu melakukan ‘back-up’ arsip secara rutin, baik ‘back-up’ di ‘cloud’ maupun dalm bentuk ‘disk drive’ secara fisik. Pastikan ‘back-up’ file tidak terhubung ke dalam sistem komputer utama.
2. Selalu melakukan pengkinian penggunaan peranti lunak secara resmi dan melakukan ‘patch’ secara berkala sehingga dapat mendeteksi seawal mungkin bila ada keganjilan yang mengarah pada infeksi sistem komputer.
3. Gunakan antivirus yang mutakhir dan selalu terkini untuk memperkecil kemungkinan adanya penetrasi ‘hackers’ untuk memasukkan peranti penyandera ke dalam sistem komputer organisasi.
4. Pendidikan dan pengetatan perilaku pekerja sehingga mereka menggunakan fasilitas komputer organisasi untuk kepentingan organisasi dengan tidak membukan tautan atau situs-situs mencurigakan.
5. Bila terkena serangan peranti penyandera, segera bertindak, yaitu:

1. Standar ISO digunakan dimana-mana (ISO standards used everywhere)
2. Mengembangkan standar berkualitas tinggi melalu keanggotaan global ISO (develop high-quality standards through ISO’s global membership)
3. Melibatkan berbagai pemangku kepentingan dan mitra (engage stakehoholders and partners)
4. Pengembangan manusia dan organisasi (people and organization development)
5. Penggunaan teknologi (use of technology)
6. Komunikasi (communication)

Manajemen risiko di Indonesia dapat dikatakan sudah memasuki tahap kedewasaan (maturity) yang menggembirakan. Sangat berbeda dengan 10 tahun yang lalu. Biasanya bila kita menanyakan tentang manajemen risiko, jawaban sederhananya adalah, “Apa itu?”. Saat ini pertanyaan organisasi bisnis terhadap manajemen risiko adalah, “Sudah seberapa jauh kedewasaan (maturity) manajemen risiko saya?”.

Banyak organisasi sadar bahwa pemahaman dan keahlian mengelola risiko bukanlah di departemen/divisi manajemen risiko perusahaan. Secara de facto, departemen manajemen risiko tidak berhadapan langsung dengan risiko organisasi. Yang mereka hadapi adalah laporan-laporan risiko yang dihadapi oleh seluruh anggota organisasi lain. Laporan ini dilaporkan kembali kepada manajemen organisasi dalam bentuk yang lebih komprehensif dengan skala yang lebih besar (organisasi/korporasi) sehinga dapat dijadikan sebagai acuan manajemen untuk mengambil keputusan-keputusan lebih besar (bersifat stratejik).

Jangan salah, kebutuhan keahlian manajemen risiko dalam organisasi bisa sangat berbeda antara pemilik risiko, pengelola organisasi manajemen risiko (departemen/divisi manajemen risiko), dan pengambil keputusan strategik (manajemen). Paling tidak, kebutuhan keahlian (skill) manajemen risiko dalam organisasi bisa dibagi menjadi lima. Keahlian ini bukan bersifat berjenjang atau harus dipenuhi dari bawah keatas, tetapi lebih menekankan pada tanggung jawab risiko yang dibutuhkan masing-masing. Kelima keahlian itu adalah:

1. Officer. Seluruh karyawan yang bekerja pada organisasi membutuhkan keahlian manajemen risiko dasar. Setiap orang adalah pemilik risiko. Karyawan adalah ujung tombak perusahaan yang kesehariannya menghadapi risiko operasional. Kegagalan memahami situasi dan potensi kejadian yang tidak diinginkan, akan membawa risiko yang lebih besar bagi organisasi. Tidak mungkin level ini tidak diberikan kemampuan dan pemahaman tentang bagaimana mengelola risiko. Kecepatan laporan dari level ini menjadi kunci keberhasilan organisasi dalam mencapai tujuannya.
2. Analyst. Pada level operasional, dibutuhkan seseorang yang memiliki kemampuan teknis risiko lebih baik untuk menggunakan metode, framework, dan best practices manajemen risiko secara spesifik pada departemen/divisi yang dipegang. Ukuran-ukuran risiko dan parameternya bisa disesuaikan secara spesifik untuk mengukur, menganalisis, dan melakukan pengendalian, bahkan mitigasi yang diperlukan dalam skala departemen. Level ini bertanggung jawab untuk bisa menghadirkan risiko-risiko operasional yang tepat dengan data yang lengkap.
3. Professional. Ya, disebut professional, karena memang pada level ini diperlukan pemahaman dan skill manajemen risiko yang cukup luas dan lengkap. Tujuannya, untuk mampu menangkap serta menjaring tidak saja risiko-risiko yang bersifat merugikan (negatif), tetapi juga risiko-risiko yang menguntungkan (positif). Level ini juga yang menerjemahkan risiko level operasional ke risiko level strategik. Level ini juga yang bertanggung jawab terhadap pemilihan kerangka kerja manajemen risiko yang diajukan kepada manajemen dan memastikan seluruh proses manajemen risiko organisasi bertumbuh dan berjalan sesuai dengan fungsinya.
4. Chief. Pengelolaan manajemen risiko secara strategik membutuhkan keahlian (skill) yang berbeda dengan pengelolaan secara operasional. Secara khusus, direktur yang bertanggung jawab atas pengelolaan manajemen risiko harus mampu mengambil keputusan untuk melindungi dan memastikan risiko-risiko strategik organisasi bisa dikelola dengan baik dengan mempertimbangkan risiko-risiko strategik jangka pendek dan jangka panjang. Level ini juga yang harus memastikan meleburnya manajemen risiko yang sesuai dengan karakteristik organisasi di kalangan seluruh anggota dewan, baik komisaris maupun direksi.
5. Governance. Level ini adalah kemampuan risiko yang secara khusus harus dimiliki oleh seluruh dewan komisaris dan direksi organisasi. Tujuannya agar mampu mengambil keputusan yang tepat untuk memperkecil kerugian dan memperbesar kesempatan yang sifatnya strategik. Dengan keahlian ini diharapkan para anggota dewan memiliki kemampuan memanfaatkan pengelolaan risiko di organisasi sebesar-besarnya sebagai alat untuk forward looking. Sehingga setiap kebijakan yang diambil sangat terukur dan sudah mempertimbangkan segala unsur positif dan negatif yang dibawa oleh keputusannya.

Pertanyaan selanjutnya yang muncul adalah, “Bagaimana saya memenuhi kebutuhan tersebut?” atau “Apakah saya sudah memenuhi persyaratan atas kebutuhan tersebut?” Sekali lagi dapat dikatakan pada dewasa ini manajemen risiko sudah mencapai taraf yang cukup baik. Betapa tidak, jika lima tahun lalu kita akan kesulitan mencari alat ukur apa yang tepat untuk manajemen risiko, saat ini sudah terdapat berbagai sertifikasi yang memiliki standar yang mumpuni untuk membuat kita mendapat ukuran ‘pada level apa kita berada saat ini’. Lebih jauh lagi, sertifikasi lah yang membuktikan bahwa kita memiliki kemampuan tertentu pada saat ini.

Diantara sertifikasi tersebut adalah yang dikeluarkan oleh BSMR, LSPMR, dan LSP MKS. Para pengelola risiko saat ini memiliki ‘kemewahan’ untuk memilih sertifikasi mana yang ingin disandangnya. Sekaligus sebagai bukti bahwa penyandang gelar ini memiliki kemampuan tertentu dalam bidang manajemen risiko.

Dalam memilih sertifikasi, perlu diperhatikan adanya dua pendekatan sistem uji kompetensi yang berakar dari SKK (Standar Kompetensi Kerja)-nya yaitu Sistem Tingkatan dan Sistem Klaster. Sistem Tingkatan umumnya ditandai dengan kata-kata level/tingkatan misal level 1, level 2,… level 5 dan seterusnya. Untuk mendapatkan level tertinggi, harus mendapatkan semua level dari yang terendah tanpa terkecuali.Harus diikuti satu persatu proses ujian dan kelengkapan administrasinya.

Pendekatan Sistem Tingkatan digunakan oleh BSMR (Badan Sertifikasi Manajemen Risiko) – yang terafiliasi dengan IRPA – Indonesia Risk Professional Association, dan LSPP (Lembaga Sertifikasi Profesi Perbankan) – yang terafiliasi dengan BARA – Banker Risk Management Association.

Berbeda dengan Sistem Tingkatan, Sistem Klaster tidak menuntut pengambil sertifikasi untuk mengambil jenjang sebelumnya untuk mendapatkan jenjang klaster yang diinginkan. Untuk mendapat klaster tertinggi, tidak harus lulus seluruh klaster yang ada. Namun juga tidak semudah itu untuk mendapatkan klaster-klaster tertentu. Ada persyaratan khusus yang harus dimiliki setiap klaster. Bahkan bukan tidak mungkin pemegang klaster tertinggi dianggap tidak memenuhi persyaratan untuk mengambil klaster dibawahnya.

Sistem Klaster ini biasanya menyesuaikan dengan pekerjaan dan tanggung jawab profesional dalam organisasi calon pengambil sertifikasi. Lembaga-lembaga sertifikasi yang menggunakan pendekatan klaster adalah diantaranya, LSPMR (Lembaga Sertifikasi Profesi Manajemen Risiko) – yang awalnya terafiliasi dengan Indonesia PRiMA (Professional in Risk Management Association), dan LSP MKS (Lembaga Sertifikasi Profesi MKS) – yang terafiliasi oleh IRMAPA (Indonesia Risk Management Professional Association).

Khusus pendekatan klaster, lazimnya memberikan penamaan terhadap klasternya. Setiap klaster yang dikeluarkan harus memiliki lisensi skema spesifik untuk masing-masing klaster yang dikeluarkan BNSP (Badan Nasional Sertifikasi Profesi). Bila ditilik dari masing-masing situs lembaga penyelenggara sertifikasi bidang manajemen risiko ini dan ditambah dengan informasi-informasi di komunitas manajemen risiko, lembaga yang sudah menerima lisensi dari BNSP untuk seluruh klasternya secara lengkap adalah LSP MKS.

Pada akhirnya, pilihan tergantung masing-masing lembaga menurut pengukuran dan kriteria yang ditetapkan oleh orang yang memiliki kewenangan untuk memilih sertifikasi. Tulisan ini dapat digunakan sebagai salah satu acuan dalam memilih sertifikasi-sertifikasi yang ada. Untuk mendapatkan gambaran lebih lengkap dan mendalam disarankan untuk melihat langsung ke website lembaga-lembaga sertifikasi tersebut yaitu;

• BSMR : https://www.bsmr.org/
• LSPP : http://lspp.or.id/
• LSPMR : http://www.lspmr.org
• LSP MKS : http://lspmks.co.id/

Oleh : Fadjar Proboseno

Penulis tergerak untuk membuat tulisan ini dalam rangka berbagi pandangan mengenai perkembangan sertifikasi kompetensi personil di Indonesia secara menyeluruh. Menurut penulis hal ini penting untuk berbagi dengan komunitas karena masih ada beberapa pandangan dan atau opini yang bersifat parsial.

Perlu kita sadari bahwa saat ini di Indonesia, lembaga yang dapat memberikan lisensi profesi berbasis kompetensi adalah BNSP – Badan Nasional Sertifikasi Profesi. 

Lisensi dari BNSP terdiri dari dua jenis, pertama adalah lisensi bagi organisasi penyelenggara sertifikasi kompetensi yang sering disebut LSP (Lembaga Sertifikasi Profesi). Saat ini sudah ada beberapa LSP bidang manajemen risiko yang sudah memperoleh lisensi dari BNSP, yaitu BSMR, LSPMR, LSPP, dan LSP-MKS. Kedua, adalah lisensi untuk masing-masing skema sertifikasi yang ditawarkan oleh pihak LSP. 

Ada LSP yang menyelenggarakan sertifikasi skema kompetensi dengan metode skema tingkatan misal tingkat 1, 2, 3 dan seterusnya, dan ada yang menggunakan metode skema klaster misal klaster ‘qualified risk management officer’ sampai dengan ‘qualified risk governance professional’ sebagaimana ditawarkan oleh LSP-MKS.

Oleh karena itu, beberapa isitilah dan nomenklatur sertifikasi akan tergantung dari LSP yang mengeluarkannya, dan semua sah selama mengikut standar uji kompetensi yang sudah digariskan oleh BNSP. Dengan kata lain, selama proses uji kompetensi dilakukan oleh LSP dengan metode standar dari BNSP, maka peserta yang lulus uji kompetensi akan direkognisi sudah memiliki kompetensi yang dipersyaratkan di dalam Standar Kompetensi Kerja yang menjadi rujukan dasar uji kompetensi.

Selain hal di atas, publik perlu memahami bahwa ada rujukan internasional mengenai sistem manajemen sertifikasi kompetensi personil, yaitu ISO 17024. Bila berpegang pada rujukan internasional, maka suatu LSP harus memperoleh sertifikat ISO 17024 dari satu badan akreditasi yang memang sudah memiliki ijin untuk hal tersebut. Dalam konteks Indonesia, badan yang dapat memberikan ijin untuk akreditasi ISO 17024 tersebut adalah KAN (Komite Adkreditasi Nasional).

Perlu digaris bawahi bahwa sampai saat ini baru ada dua badan akreditasi di dunia yang sudah memperoleh ijin untuk memberikan akreditasi ISO 17024 yaitu Indonesia melalui KAN dan Amerika Serikat melalui ANSI (American National Standards Institute). Hal ini sangat membanggakan sebab Indonesia sudah lebih dulu direkognisi melalui KAN dibanding negara lain misal SIngapore, Malaysia, Jepang, Australia, Inggris, dan lain sebagainya.

Dengan keberadaan BNSP, KAN, LSP, dan ISO 17024 mungkin timbul pertanyaan bagaimana harmonisasi antar lembaga tersebut dan bagaimana keterkaitan satu sistem dengan sistem lainnya.

Hasil observasi penulis selama satu tahun belakangan ini memberikan gambaran bahwa kemungkinan yang paling wajar terjadi untuk satu-dua tahun ke depan adalah sebagai berikut:

• Suatu LSP harus memperoleh dulu sertifikasi ISO 17024 dari KAN sebagai pembuktian bahwa mereka sudah menjalankan sistem manajemen yang memang dirancang unik untuk suatu lembaga sertifikasi. 
• Setelah memperoleh status terakreditasi oleh KAN, LSP tersebut bisa meminta lisensi yang diperlukan kepada BNSP sebagai suatu organisasi pelaksan uji kompetensi untuk profesi tertentu, termasuk di dalamnya adalah lisensi untuk setiap skema sertifikasi yang dijalankan oleh LSP tersebut.
• Dalam perjalanan menjaga dan merawat status, LSP harus memastikan selalu terakreditasi ISO 17024 dari waktu ke waktu oleh KAN, dan juga selalu patuh pada aturan dan peraturan BNSP dalam menjaga lisensi sebagai pelaksana uji kompetensi untuk profesi yang diuji komptensinya.

Demikian artikel pendek ini dibuat untuk berbagai informasi kepada sesama praktisi dan profesional manajemen risiko di Indonesia. Mudah-mudahan bermanfaat.

Penulis : Dr. Antonius Alijoyo, ERMCP, CERG