Artikel

1. Jangan membuka surat elektronik atau situs yang berpotensi menularkan peranti perusak. Misal bila kita menerima surat elektronik yang meminta kita membuka suatu tautan tertentu, sebaiknya jangan dilakukan bila tidak ada kode ‘security’ yang menyertainya. Tautan umum dapat menjadi gerbang terunduhnya peranti perusak ke dalam sistem komputer suatu organisasi.
2. Jangan membuka situs-situs umum yang sering meminta kita membuka suatu tautan tertentu yang seakan-akan iklan atau pemberian hadiah.
3. Jangan mengunduh apapun termasuk aplikasi tertentu tanpa didukung dengan proteksi anti virus yang masih valid.
4. Bila membuka suatu situs, lebih baik langsung mengetik alamat situs tersebut dibandingkan dengan membukanya melalui suatu tautan.
5. Gunakan dan pastikan adanya anti virus yang selalu terkini dalam jaringan sistem komputer organisasi.

1. Selalu melakukan ‘back-up’ arsip secara rutin, baik ‘back-up’ di ‘cloud’ maupun dalm bentuk ‘disk drive’ secara fisik. Pastikan ‘back-up’ file tidak terhubung ke dalam sistem komputer utama.
2. Selalu melakukan pengkinian penggunaan peranti lunak secara resmi dan melakukan ‘patch’ secara berkala sehingga dapat mendeteksi seawal mungkin bila ada keganjilan yang mengarah pada infeksi sistem komputer.
3. Gunakan antivirus yang mutakhir dan selalu terkini untuk memperkecil kemungkinan adanya penetrasi ‘hackers’ untuk memasukkan peranti penyandera ke dalam sistem komputer organisasi.
4. Pendidikan dan pengetatan perilaku pekerja sehingga mereka menggunakan fasilitas komputer organisasi untuk kepentingan organisasi dengan tidak membukan tautan atau situs-situs mencurigakan.
5. Bila terkena serangan peranti penyandera, segera bertindak, yaitu:

1. Standar ISO digunakan dimana-mana (ISO standards used everywhere)
2. Mengembangkan standar berkualitas tinggi melalu keanggotaan global ISO (develop high-quality standards through ISO’s global membership)
3. Melibatkan berbagai pemangku kepentingan dan mitra (engage stakehoholders and partners)
4. Pengembangan manusia dan organisasi (people and organization development)
5. Penggunaan teknologi (use of technology)
6. Komunikasi (communication)

Manajemen risiko di Indonesia dapat dikatakan sudah memasuki tahap kedewasaan (maturity) yang menggembirakan. Sangat berbeda dengan 10 tahun yang lalu. Biasanya bila kita menanyakan tentang manajemen risiko, jawaban sederhananya adalah, “Apa itu?”. Saat ini pertanyaan organisasi bisnis terhadap manajemen risiko adalah, “Sudah seberapa jauh kedewasaan (maturity) manajemen risiko saya?”.

Banyak organisasi sadar bahwa pemahaman dan keahlian mengelola risiko bukanlah di departemen/divisi manajemen risiko perusahaan. Secara de facto, departemen manajemen risiko tidak berhadapan langsung dengan risiko organisasi. Yang mereka hadapi adalah laporan-laporan risiko yang dihadapi oleh seluruh anggota organisasi lain. Laporan ini dilaporkan kembali kepada manajemen organisasi dalam bentuk yang lebih komprehensif dengan skala yang lebih besar (organisasi/korporasi) sehinga dapat dijadikan sebagai acuan manajemen untuk mengambil keputusan-keputusan lebih besar (bersifat stratejik).

Jangan salah, kebutuhan keahlian manajemen risiko dalam organisasi bisa sangat berbeda antara pemilik risiko, pengelola organisasi manajemen risiko (departemen/divisi manajemen risiko), dan pengambil keputusan strategik (manajemen). Paling tidak, kebutuhan keahlian (skill) manajemen risiko dalam organisasi bisa dibagi menjadi lima. Keahlian ini bukan bersifat berjenjang atau harus dipenuhi dari bawah keatas, tetapi lebih menekankan pada tanggung jawab risiko yang dibutuhkan masing-masing. Kelima keahlian itu adalah:

1. Officer. Seluruh karyawan yang bekerja pada organisasi membutuhkan keahlian manajemen risiko dasar. Setiap orang adalah pemilik risiko. Karyawan adalah ujung tombak perusahaan yang kesehariannya menghadapi risiko operasional. Kegagalan memahami situasi dan potensi kejadian yang tidak diinginkan, akan membawa risiko yang lebih besar bagi organisasi. Tidak mungkin level ini tidak diberikan kemampuan dan pemahaman tentang bagaimana mengelola risiko. Kecepatan laporan dari level ini menjadi kunci keberhasilan organisasi dalam mencapai tujuannya.
2. Analyst. Pada level operasional, dibutuhkan seseorang yang memiliki kemampuan teknis risiko lebih baik untuk menggunakan metode, framework, dan best practices manajemen risiko secara spesifik pada departemen/divisi yang dipegang. Ukuran-ukuran risiko dan parameternya bisa disesuaikan secara spesifik untuk mengukur, menganalisis, dan melakukan pengendalian, bahkan mitigasi yang diperlukan dalam skala departemen. Level ini bertanggung jawab untuk bisa menghadirkan risiko-risiko operasional yang tepat dengan data yang lengkap.
3. Professional. Ya, disebut professional, karena memang pada level ini diperlukan pemahaman dan skill manajemen risiko yang cukup luas dan lengkap. Tujuannya, untuk mampu menangkap serta menjaring tidak saja risiko-risiko yang bersifat merugikan (negatif), tetapi juga risiko-risiko yang menguntungkan (positif). Level ini juga yang menerjemahkan risiko level operasional ke risiko level strategik. Level ini juga yang bertanggung jawab terhadap pemilihan kerangka kerja manajemen risiko yang diajukan kepada manajemen dan memastikan seluruh proses manajemen risiko organisasi bertumbuh dan berjalan sesuai dengan fungsinya.
4. Chief. Pengelolaan manajemen risiko secara strategik membutuhkan keahlian (skill) yang berbeda dengan pengelolaan secara operasional. Secara khusus, direktur yang bertanggung jawab atas pengelolaan manajemen risiko harus mampu mengambil keputusan untuk melindungi dan memastikan risiko-risiko strategik organisasi bisa dikelola dengan baik dengan mempertimbangkan risiko-risiko strategik jangka pendek dan jangka panjang. Level ini juga yang harus memastikan meleburnya manajemen risiko yang sesuai dengan karakteristik organisasi di kalangan seluruh anggota dewan, baik komisaris maupun direksi.
5. Governance. Level ini adalah kemampuan risiko yang secara khusus harus dimiliki oleh seluruh dewan komisaris dan direksi organisasi. Tujuannya agar mampu mengambil keputusan yang tepat untuk memperkecil kerugian dan memperbesar kesempatan yang sifatnya strategik. Dengan keahlian ini diharapkan para anggota dewan memiliki kemampuan memanfaatkan pengelolaan risiko di organisasi sebesar-besarnya sebagai alat untuk forward looking. Sehingga setiap kebijakan yang diambil sangat terukur dan sudah mempertimbangkan segala unsur positif dan negatif yang dibawa oleh keputusannya.

Pertanyaan selanjutnya yang muncul adalah, “Bagaimana saya memenuhi kebutuhan tersebut?” atau “Apakah saya sudah memenuhi persyaratan atas kebutuhan tersebut?” Sekali lagi dapat dikatakan pada dewasa ini manajemen risiko sudah mencapai taraf yang cukup baik. Betapa tidak, jika lima tahun lalu kita akan kesulitan mencari alat ukur apa yang tepat untuk manajemen risiko, saat ini sudah terdapat berbagai sertifikasi yang memiliki standar yang mumpuni untuk membuat kita mendapat ukuran ‘pada level apa kita berada saat ini’. Lebih jauh lagi, sertifikasi lah yang membuktikan bahwa kita memiliki kemampuan tertentu pada saat ini.

Diantara sertifikasi tersebut adalah yang dikeluarkan oleh BSMR, LSPMR, dan LSP MKS. Para pengelola risiko saat ini memiliki ‘kemewahan’ untuk memilih sertifikasi mana yang ingin disandangnya. Sekaligus sebagai bukti bahwa penyandang gelar ini memiliki kemampuan tertentu dalam bidang manajemen risiko.

Dalam memilih sertifikasi, perlu diperhatikan adanya dua pendekatan sistem uji kompetensi yang berakar dari SKK (Standar Kompetensi Kerja)-nya yaitu Sistem Tingkatan dan Sistem Klaster. Sistem Tingkatan umumnya ditandai dengan kata-kata level/tingkatan misal level 1, level 2,… level 5 dan seterusnya. Untuk mendapatkan level tertinggi, harus mendapatkan semua level dari yang terendah tanpa terkecuali.Harus diikuti satu persatu proses ujian dan kelengkapan administrasinya.

Pendekatan Sistem Tingkatan digunakan oleh BSMR (Badan Sertifikasi Manajemen Risiko) – yang terafiliasi dengan IRPA – Indonesia Risk Professional Association, dan LSPP (Lembaga Sertifikasi Profesi Perbankan) – yang terafiliasi dengan BARA – Banker Risk Management Association.

Berbeda dengan Sistem Tingkatan, Sistem Klaster tidak menuntut pengambil sertifikasi untuk mengambil jenjang sebelumnya untuk mendapatkan jenjang klaster yang diinginkan. Untuk mendapat klaster tertinggi, tidak harus lulus seluruh klaster yang ada. Namun juga tidak semudah itu untuk mendapatkan klaster-klaster tertentu. Ada persyaratan khusus yang harus dimiliki setiap klaster. Bahkan bukan tidak mungkin pemegang klaster tertinggi dianggap tidak memenuhi persyaratan untuk mengambil klaster dibawahnya.

Sistem Klaster ini biasanya menyesuaikan dengan pekerjaan dan tanggung jawab profesional dalam organisasi calon pengambil sertifikasi. Lembaga-lembaga sertifikasi yang menggunakan pendekatan klaster adalah diantaranya, LSPMR (Lembaga Sertifikasi Profesi Manajemen Risiko) – yang awalnya terafiliasi dengan Indonesia PRiMA (Professional in Risk Management Association), dan LSP MKS (Lembaga Sertifikasi Profesi MKS) – yang terafiliasi oleh IRMAPA (Indonesia Risk Management Professional Association).

Khusus pendekatan klaster, lazimnya memberikan penamaan terhadap klasternya. Setiap klaster yang dikeluarkan harus memiliki lisensi skema spesifik untuk masing-masing klaster yang dikeluarkan BNSP (Badan Nasional Sertifikasi Profesi). Bila ditilik dari masing-masing situs lembaga penyelenggara sertifikasi bidang manajemen risiko ini dan ditambah dengan informasi-informasi di komunitas manajemen risiko, lembaga yang sudah menerima lisensi dari BNSP untuk seluruh klasternya secara lengkap adalah LSP MKS.

Pada akhirnya, pilihan tergantung masing-masing lembaga menurut pengukuran dan kriteria yang ditetapkan oleh orang yang memiliki kewenangan untuk memilih sertifikasi. Tulisan ini dapat digunakan sebagai salah satu acuan dalam memilih sertifikasi-sertifikasi yang ada. Untuk mendapatkan gambaran lebih lengkap dan mendalam disarankan untuk melihat langsung ke website lembaga-lembaga sertifikasi tersebut yaitu;

• BSMR : https://www.bsmr.org/
• LSPP : http://lspp.or.id/
• LSPMR : http://www.lspmr.org
• LSP MKS : http://lspmks.co.id/

Oleh : Fadjar Proboseno

Penulis tergerak untuk membuat tulisan ini dalam rangka berbagi pandangan mengenai perkembangan sertifikasi kompetensi personil di Indonesia secara menyeluruh. Menurut penulis hal ini penting untuk berbagi dengan komunitas karena masih ada beberapa pandangan dan atau opini yang bersifat parsial.

Perlu kita sadari bahwa saat ini di Indonesia, lembaga yang dapat memberikan lisensi profesi berbasis kompetensi adalah BNSP – Badan Nasional Sertifikasi Profesi. 

Lisensi dari BNSP terdiri dari dua jenis, pertama adalah lisensi bagi organisasi penyelenggara sertifikasi kompetensi yang sering disebut LSP (Lembaga Sertifikasi Profesi). Saat ini sudah ada beberapa LSP bidang manajemen risiko yang sudah memperoleh lisensi dari BNSP, yaitu BSMR, LSPMR, LSPP, dan LSP-MKS. Kedua, adalah lisensi untuk masing-masing skema sertifikasi yang ditawarkan oleh pihak LSP. 

Ada LSP yang menyelenggarakan sertifikasi skema kompetensi dengan metode skema tingkatan misal tingkat 1, 2, 3 dan seterusnya, dan ada yang menggunakan metode skema klaster misal klaster ‘qualified risk management officer’ sampai dengan ‘qualified risk governance professional’ sebagaimana ditawarkan oleh LSP-MKS.

Oleh karena itu, beberapa isitilah dan nomenklatur sertifikasi akan tergantung dari LSP yang mengeluarkannya, dan semua sah selama mengikut standar uji kompetensi yang sudah digariskan oleh BNSP. Dengan kata lain, selama proses uji kompetensi dilakukan oleh LSP dengan metode standar dari BNSP, maka peserta yang lulus uji kompetensi akan direkognisi sudah memiliki kompetensi yang dipersyaratkan di dalam Standar Kompetensi Kerja yang menjadi rujukan dasar uji kompetensi.

Selain hal di atas, publik perlu memahami bahwa ada rujukan internasional mengenai sistem manajemen sertifikasi kompetensi personil, yaitu ISO 17024. Bila berpegang pada rujukan internasional, maka suatu LSP harus memperoleh sertifikat ISO 17024 dari satu badan akreditasi yang memang sudah memiliki ijin untuk hal tersebut. Dalam konteks Indonesia, badan yang dapat memberikan ijin untuk akreditasi ISO 17024 tersebut adalah KAN (Komite Adkreditasi Nasional).

Perlu digaris bawahi bahwa sampai saat ini baru ada dua badan akreditasi di dunia yang sudah memperoleh ijin untuk memberikan akreditasi ISO 17024 yaitu Indonesia melalui KAN dan Amerika Serikat melalui ANSI (American National Standards Institute). Hal ini sangat membanggakan sebab Indonesia sudah lebih dulu direkognisi melalui KAN dibanding negara lain misal SIngapore, Malaysia, Jepang, Australia, Inggris, dan lain sebagainya.

Dengan keberadaan BNSP, KAN, LSP, dan ISO 17024 mungkin timbul pertanyaan bagaimana harmonisasi antar lembaga tersebut dan bagaimana keterkaitan satu sistem dengan sistem lainnya.

Hasil observasi penulis selama satu tahun belakangan ini memberikan gambaran bahwa kemungkinan yang paling wajar terjadi untuk satu-dua tahun ke depan adalah sebagai berikut:

• Suatu LSP harus memperoleh dulu sertifikasi ISO 17024 dari KAN sebagai pembuktian bahwa mereka sudah menjalankan sistem manajemen yang memang dirancang unik untuk suatu lembaga sertifikasi. 
• Setelah memperoleh status terakreditasi oleh KAN, LSP tersebut bisa meminta lisensi yang diperlukan kepada BNSP sebagai suatu organisasi pelaksan uji kompetensi untuk profesi tertentu, termasuk di dalamnya adalah lisensi untuk setiap skema sertifikasi yang dijalankan oleh LSP tersebut.
• Dalam perjalanan menjaga dan merawat status, LSP harus memastikan selalu terakreditasi ISO 17024 dari waktu ke waktu oleh KAN, dan juga selalu patuh pada aturan dan peraturan BNSP dalam menjaga lisensi sebagai pelaksana uji kompetensi untuk profesi yang diuji komptensinya.

Demikian artikel pendek ini dibuat untuk berbagai informasi kepada sesama praktisi dan profesional manajemen risiko di Indonesia. Mudah-mudahan bermanfaat.

Penulis : Dr. Antonius Alijoyo, ERMCP, CERG

1. Ciptakan struktur organisasi yang memastikan bahwa tanggung jawab pengelolaan risiko berada di tangan para pemilik risiko (Risk Owner). Contoh: direksi dan dewan komisaris menerapkan konsep three lines of defense dimana para pemilik risiko adalah lapis pertama (the first line of defense) dari keseluruhan pertahanan organisasi terhadap risiko.
2. Distribusikan tanggung jawab dan otoritas ke dalam peran dan tanggung jawab para karyawan.Contoh: memasukkan tanggung jawab pengelolaan risiko ke dalam job descriptions karyawan, didukung dengan SOP (standard operating procedure) yang relevan sebagai rujukan mereka di tingkat pelaksanaan.
3. Identifikasi interaksi antara suatu fungsi/proses bisnis dengan fungsi lain/proses bisnis lain terutama dalam kaitan pengelolaan risiko bersama antar fungsi/proses bisnis tersebut.
   Contoh: memastikan adanya sinkronisasi antar proses bisnis yang satu dengan proses bisnis lainnya sehingga shared risks (risiko bersama) dapat terlihat oleh semua fungsi dalam organisasi, dan shared control (kontrol bersama) yang diperlukan juga dapat terlihat jelas menjadi tanggung jawab fungsi mana saja dalam organisasi tersebut. Laksanakan pelatihan manajemen risiko di setiap tingkatan perusahaan agar setiap karyawan memiliki pengetahuan dan kompetensi cukup untuk melakukan integrasi proses manajemen risiko ke dalam proses pengendalian mutu yang menjadi tanggung jawab mereka.Contoh: ada baiknya setiap individu yang bertanggung jawab dalam proses manajemen mutu diberikan pelatihan dasar tentang SNI ISO 31000 sehingga mereka memiliki persepsi dan pengetahuan yang sama tentang proses manajemen risiko dan akan terbiasa menggunakan terminologi yang baku sehingga dapat terjadi standarisasi proses yang terintegrasi penuh.
4.  Kembangkan panduan sistem manajemen risiko dengan menggunakan format yang sudah dianggap sebagai good practice.
   Contoh: dalam hal ini, sebaiknya menggunakan sistem yang memiliki ‘pondasi’ dan ‘filosofi’ yang sama yaitu berbasis pada ISO. Bila menggunakana SNI ISO 9001 untuk sistem manajemen mutu organisasi, maka sebaiknya menggunakan SNI ISO 31000 sebagai dasar rujukan pengembangan panduan sistem manajemen risiko organisasi tersebut.
5. Integrasikan prinsip-prinsip manajemen risiko sebagai bagian dari Kebijakan Mutu (Quality Policy),
   Contoh: dalam mengintegrasikan salah satu prinsip manajemen risiko dalam ISO31000 yang mengatakan bahwa “Manajemen risiko adalah bagian dari pengambilan keputusan”, maka orgnisasi dapat memastikannya melalui suatu kebijakan yang mengharuskan semua usulan atau pengambilan keputusan/kebijakan didasarkan pada suatu kajian risiko yang relevan. Misal: usulan investasi, usulan produk/jasa baru, usulan penggunaan tipe dan mitra outsourcing, dsb.
6. Sebisa mungkin sertakan pernyataan eksplisit langkah-langkah perlakuan risiko dalam quality objectives. Bila tidak memungkinkan, maka sertakan pernyataan tersebut secara implisit.
   Contoh: bila sebelumnya pernyataan quality objective misal sebagai berikut: “jumlah keluhan pelanggan yang ditindaklanjuti adalah minimum 98%”, maka dapat diperkaya menjadi sebagai berikut: “Keluhan pelanggan 98% ditindaklanjuti maksimum dua hari kerja dari keluhan tersebut diperoleh dan kontrol dilakukan juga oleh pelanggan.”
   Catatan: pernyataan sasaran ini diperkaya dengan adanya dua lapis pengendalian atau kontrol. Dalam hal ini, kontrol lapis pertama adalah data internal yang berasal dari register kegiatan tim pelayanan pelanggan dan kontrol lapis kedua adalah data eksternal yang berasal dari umpan balik pelanggan.
7. Ikutkan semua persyaratan dari klausula 6.1. SNI ISO 9001:2015 yaitu tindakan untuk menangani risiko dan peluang.Contoh: dipastikan bahwa dalam setiap langkah penanganan risiko diarahkan baik untuk pengelolaan risiko sisi bawah maupun pengelolaan risiko sisi atas sehingga organisasi dapat selalu menjaga/melindungi nilai organisasi dari hal-hal buruk, sekaligus mampu mengeksploitasi kesempatan untuk meningkatkan nilai organisasi tersebut.

1. Memiliki ketersediaan sumber daya yang lengkap untuk menfasilitasi suatu serangan siber. Umumnya berbentuk infrastruktur komputer dan internet tercanggih atau markas yang dapat berpindah-pindah dan tidak terdeteksi.
2. Memiliki kemampuan teknikal yang sangat tinggi. Kadang terdiri dari kelompok ‘anak ajaib’ yang diperalat ataupun yang memang sudah cenderung menjadi kelompok spesialis kejahatan siber.
3. Memiliki fokus sangat terarah terhadap sasaran yang akan diserang. Baik sasaran yang berbentuk korporasi maupun negara, serta individual pesohor tertentu.
4. Memliki dukungan dana yang besar. Kadang sumber dana mereka berasal dari lintas negara dengan kemampuan pengiriman uang yang tersamar dalam berbagai kegiatan formal dan resmi.
5. Sangat terorganisir. Kadang bersembunyi dalam suatu organisasi formal, baik berbentuk perusahaan ataupun organisasi nirlaba yang beroperasi lintas negara.

Penulis: Dr. Antonius Alijoyo, ERMCP, CERG, CGEIT, CCSA, CRMA, CFSA, CFE

Dua hal di atas yaitu komunikasi risiko (risk communication) – disingkat sebagai KR, dan komunikasi krisis (crisis communication) – disingkat sebagai KK cukup sering digunakan secara bergantian dalam pengelolaan risiko suatu organisasi.

Apakah dua istilah tersebut memang memiliki arti dan/atau fungsi yang sama, atau sebenarnya memiliki perbedaan mendasar?

Walaupun banyak definisi yang dapat dipakai untuk menerangkan apa itu KR dan KK dan sejauh apa cakupannya, ada beberapa hal mendasar sebagai karakteristik pembeda antara keduanya, yaitu:

1.  Konteks dan tujuan KR dan KK sangat berbeda.

Tujuan KR umumnya terkait dengan penyampaian informasi mengenai perkembangan risiko yang dilakukan secara rutin, berkala, dan jangka panjang. Sedangkan tujuan dari KK umumnya terkait dengan penyampaian informasi yang bersifat darurat(emergency)  dan berisi komponen yang sangat dinamis, perlu ditangani sesegera mungkin.

2. Sifat dari kejadian yang dihadapi.

KR menangangi suatu kejadian atau kondisi yang diperkirakan dapat terjadi, sehingga masih bersifat potensi dan memiliki tingkat probabilitas tertentu. Sebaliknya, KK menangani hal yang saat ini sedang terjadi atau bersifat aktual dan mendesak.

3. Waktu yang tersedia untuk mencari solusi.

Solusi terkait dengan KK harus dilakukan sesegera mungkin karena waktu yang tersedia sangat sempit. Juga pengambil keputusan tidak akan sempat untuk menjalankan model pemecahan yang bersifat harus membangun konsensus terlebih dahulu, yang bersifat kolaboratif serta interaktif, terutama dengan komunitas yang terkena pengaruh krisis.

Karena konteks dan sifat kejadian yang ditangani sangat berbeda antara KK dan KR, praktisi manajemen risiko perlu menyiapkan langkah-langkah yang berbeda dalam pelaksanaan KK dan KR.

Pelaksanaan KR cukup masuk dalam tahapan komunikasi siklus proses manajemen risiko yang standar, berkala, dan memiliki prosedur baku. Termasuk pelaporan risiko yang dihadapi oleh organisasi, baik kepada regulator, atau kepada pemangku kepentingan lain terkait. Bila kita merujuk pada SNI ISO 31000, jelas tahapan proses ‘komunikasi risiko’ secara eksplisit ditekankan sebagai bagian kritikal dari keseluruhan proses manajemen risiko suatu organisasi. Sebaliknya, pelaksanaan KK membutuhkan gerak cepat dalam pengambilan keputusan karena keterlambatan komunikasi dapat membuat kerusakan yang jauh lebih parah bagi organisasi.

Untuk menghindari dampak fatal dari keterlambatan pemberian informasi pada saat suatu krisis terjadi, perlu dipastikan adanya suatu perencanaan komunikasi krisis bagi suatu organisasi. Sebaiknya perencanaan tersebut terpadu dalam keseluruhan strategi komunikasi organisasi dan proses pelaksanaan manajemen risiko organisasi terpadu (enterprise risk management).

Oleh karena itu, seorang CRO (Chief Risk Officer) dan/atau praktisi manajemen risiko perlu memastikan adanya perencanaan KK yang efektif dalam organisasi, sehingga bila suatu krisis terjadi, mereka sudah siap. Di bawah ini ada beberapa langkah umum yang dapat berguna bagi mereka sebagai rujukan dalam melakukan perencanaan KK tersebut:

1.  Pastikan adanya filosofi berbasis nilai-nilai dasar yang mengapresiasi keterbukaan, cepat tanggap, tulus, profesional dan proaktif ketika krisis mendera. Nilai-nilai dasar ini harus tercantum dalam satu kebijakan perusahaan tentang penanggulangan krisis.

2. Antisipasi dan simulasi suatu krisis dengan menggunakan skenario terburuk baik dari perspektif eksternal dan/atau internal. Dalam hal ini, identifikasikan kemampuan tim penganggulangan krisis dan ukur kesenjangan yang ada antara kemampuan tim saat ini dengan kemampuan tim yang diharapkan. Bila ada kesenjangan, perlu dipikirkan opsi apa yang tersedia dalam menutupi kesenjangan tersebut dan tentukan preferensi organisasi terhadap opsi yang ada.

3. Bangun sistem early warning signal yang dapat membantu organisasi mendeteksi adanya potensi suatu krisis akan berkembang. Sistem ini perlu dipantau secara berkala.

4. Pastikan ada juru bicara organisasi yang ditunjuk dan kompeten. Dalam hal ini, pastikan juga ada kebijakan dan prosedur baku sebagai rujukan bagaimana dan kapan si juru bicara harus berbicara kepada media dan pendukung/konstitutens bila suatu krisis terjadi.

5. Buat pesan dan material penyampaian krisis dalam bentuk press release, baik untuk media cetak utama (mainstream)maupun media sosial. Kirimkan press release tersebut secara proaktif kepada mereka.

6. Identifikasi dan bangun sekutu organisasi pada masa tidak ada krisis, sehingga mereka dapat membantu selama adanya krisis melaui sistem dan jaringan komunikasi yang sudah terbina sebelumnya.

7. Pastikan adanya prosedur penanganan tindak lanjut dan proses menjawab berbagai pertanyaan dari media, pembangun opini, dan pertanyaan publik. Dalam hal ini, ciptakan sistem dan prosedur bagaimana memberikan update ke media, pembangun opini, dan kepada publik tersebut secara berkala dan secara bertanggung jawab.

9. Pastikan juru bicara dan ahli media yang bekerja untuk organisasi selalu berkoordinasi dengan sekretaris perusahaan dan/atau legal concel agar berita yang tersedia di publik tidak memiliki risiko legal melekat di dalamnya.

Penulis: Dr. Antonius Alijoyo, ERMCP, CERG, CGEIT, CCSA, CRMA, CFSA,  CF, CFE