Artikel

MEMAHAMI LANSKAP KEAMANAN SIBER

Sub-judul: Jenis Serangan Siber dan pengertian tentang ‘Phising’ dan ‘Spear Phishing’

Artikel ini dibagi dalam dua bagian,  yaitu:
A. Tentang jenis serangan siber dan
B. Tentang pengertian ‘Phising’ dan ‘Spear Phising’

1. Jenis Serangan Siber:

Saat ini serangan siber semakin canggih dan semakin gigih. Pelakunya beragam karena bisa beranjak dari para peretas individual iseng sampai kepada para profesional yang teroganisir dalam suatu jaringan kerja tertentu dalam upaya menghasilkan keuntungan besar dari target serangan (intrusions) mereka.

Walaupun penamaan serangan siber saat ini ada banyak, tetapi jenis serangan umumnya dapat dimasukkan ke dalam salah satu jenis di bawah ini:

1. Informasi pelanggan (customer information)
Serangan yang diarahkan untuk mencuri informasi data pelanggan atau nasabah perusahaan. Misal serangan pada data kartu kredit, data debitur, dan data pelanggan loyal yang kemudian digunakan oleh penyerang untuk kepentingan mereka. Ada pembuatan kartu kredit palsu yang kemudian dipakai untuk tujuan kejahatan dan pembelokan pembayaran debitur atau pelanggan ke bank penyerang (yang seharusnya ke bank organisasi yang diserang tersebut).

2. Hak dan kekayaan intelektual (intellectual property)
Serangan yang diarahkan untuk mencuri produk yang dilindungi hal intelektual organisasi.  Misalnya pencurian beberapa film milik Sonny – yang belum dirilis untuk publik – oleh Korea Utara/Rusia. Umumnya, motif penyerang adalah mempermalukan organisasi yang diserang dan/atau membuat organisasi yang diserang gagal memperoleh nilai komersial dari kekayaan intelektual tersebut.

3. Informasi karyawan (employee information)
Serangan yang diarahkan untuk mencuri informasi sensitif dari karyawan organisasi. Misalnya data asuransi kesehatan, data identitas kewarganegaraan, dan data pensiun sehingga bisa dimanipulasi untuk memperoleh manfaat komersial dari penguasaan informasi tersebut.

4. Pembajakan (hacktivsm)
Serangan yang diarahkan untuk membajak dan menyandera situs resmi suatu organisasi, terutama penyanderaan informasi sensitif dalam jaringan siber mereka. Motif dari serangan ini umumnya untuk memperoleh tebusan komersial dari penyanderaan tersebut.

B. Cara penyerangan siber.

‘Rekayasa Sosial’ (social engineering) dan ‘Pengelabuan Terarah’  (spear phishing) adalah jenis penyerangan siber yang paling umum digunakan untuk masuk ke dalam jaringan suatu organisasi. Kata ‘phishing’ sendiri berarti  ‘mengelabui’ dan kata ‘spear’ berarti ‘tombak’.

Sebelum istilah ‘spear phishing’ dikenal sebagai suatu jenis serangan siber baru-baru ini. Istilah umum ‘phishing’ atau ‘traditional phishing’ sudah dikenal lebih lama sebelumnya. Di bawah ini adalah perbedaan antara keduanya:

‘Traditional Phishing’ atau ‘Pengelabuan Tradisional’

Pengelabuan tradisional dilakukan melalui surat elektronik yang berisi berita palsu yang menyesatkan kepada sebanyak mungkin orang. Tjuannya agar dapat memperoleh calon korban sebanyak-banyaknya. Pengelabuan tradisional umumnya menyerang ribuan bahkan jutaan orang pada saat bersamaan, dimanapun mereka berada. Untuk menyesatkan calon korban, surat elektronik pengelabuan biasanya dimunculkan seakan-akan dari suatu sumber yang dapat dipercaya. Misalnya suatu bank yang besar atau seseorang (biasanya pesohor lokal) yang mungkin dikenal oleh calon korban dengan menyertakan suatu lampiran dan/atau tautan (link) tertentu.

Pesan dalam surat elektronik umumnya mengarahkan calon korban untuk membuka lampiran yang terinfeksi virus dan/atau membuka tautan yang disertakan. Begitu lampiran dibuka dan/atau tautan diklik, si penyerang dapat dengan  leluasa mengambil alih kendali komputer si korban dan/atau mengambil ‘username’ dan ‘password’ milik korban tersebut.

‘Spear Phishing’ atau ‘Pengelabuan Terarah’

Serangan pengelabuan terarah umumnya juga dilakukan melalu surat elektronik yang seakan-akan berasal dari sumber yang dapat dipercaya. Yang berbeda adalah sasaran calon korban yang sudah sangat spesifik ditargetkan. Pesan yang dikirim melalui surat elektronik hanya dikirim ke satu orang saja atau satu sekelompok kecil orang yang telah dipilih secara selektif sekali. Tujuan penyerangan ditentukan sesuai dengan karakteristik dari individu atau sekelompok orang tersebut.

Sebelum merancang pesan, si penyerang akan melakukan riset tentang calon korban melalui profil yang ada di dalam media sosial mereka misal ‘linkedin’, ‘twitter’, dan ‘facebook’. Setelah itu, si penyerang akan membangun suatu pemahaman profil lengkap tentang hidup, pekerjaan dan minat si calon korban. Profil lengkap ini akan digunakan sebagai panduan dalam membuat pesan yang akan disesuaikan sedemikian rupa sehingga dapat menimbulkan kesan kuat akan ‘relevansi’ dan ‘kredibilitas’ isi pesan yang sejalan dengan kehidupan, pekerjaan dan minat si calon korban tersebut. Dalam membangun kredibilitas dan relevansi tadi, si penyerang akan mengumpulkan informasi mengenai teman-teman dan kolega kerja si calon korban, misalnya nama dan alamat surat elektronik mereka. Surat elektronik yang akan dikirim ke calon korban seakan-akan dikirim oleh salah satu teman atau kolega kerja si penyerang.

Karena pengelabuan terarah sangat spesifik sesuai dengan sasaran dan karakteristik calon korban, umumnya mereka jauh lebih sukses dibandingkan pengelabuan tradisional. Bagi organisasi, terutama yang memiliki informasi sangat rahasia, hal ini perlu diperhatikan karena pengelabuan terarah umumnya memiliki tujuan penyerangan yang sangat spesifik, misal akses ke informasi rahasia perusahaan.  Suatu perusahaan tertentu kadang dapat dijadikan sasaran antara untuk memperoleh akses ke perusahaan lain yang jauh lebih besar.

Oleh karena itu,  ancaman serangan pengelabuan terarah ini berlaku bagi perusahaan kecil maupun perusahaan besar dimana saja yang sudah memakai jaringan siber dalam kegiatan bisnis mereka. Dampak dari itu semua adalah kehilangan pendapatan organisasi secara langsung, seperti kehilangan penjualan, maupun tidak langsung misal rusaknya reputasi perusahaan. ***

Penulis: Dr. Antonius Alijoyo, ERMCP, CERG, CGEIT, CCSA, CRMA, CFSA, CFE

PILIHAN SERTIFIKASI KOMPETENSI BIDANG MANAJEMEN RISIKO DI INDONESIA

Sebagai ketua asosiasi manajemen risiko (MR), IRMAPA (Indonesia Risk Management Professionals Association), kami seringkali memperoleh pertanyaan dari berbagai pihak terutama para praktisi MR tentang persamaan dan perbedaan beberapa lembaga sertifikasi profesi (LSP) bidang MR di Indonesia.

Semua LSP memiliki lisensi dari BNSP (Badan Nasional Sertifikasi Profesi) sehingga memiliki legalitas yang sama. Oleh karena itu sering timbul pertanyaan, apa yang berbeda? Kenapa harus berbeda? Serta apa yang harus dipahami serta dipertimbangkan oleh seorang praktisi atau profesional bidang MR dalam menentukan pilihan?

Tulisan ini dibuat dalam tiga bagian kecil bahasan. Pertama adalah tentang relevansi sertifikasi kompetensi bidang MR. Kedua tentang perbedaan dua standar kompetensi kerja yang dikenal. Ketiga mengenai perbedaaan tipe LSP yang dilengkapi dengan daftar pertanyaan mandiri yang dapat membantu organisasi dan/atau individu pengambil sertifikasi dalam melakukan pilihan LSP dan uji sertifikasi yang akan diikuti.

1.RELEVANSI SERTIFIKASI KOMPETENSI BIDANG MR

Dimulai dengan adanya kebutuhan sumber daya insani (SDI) yang kompeten bidang MR di industri perbankan sekitar sepuluh tahun yang lalu, kebutuhan praktisi dan profesional bidang MR terus bertambah, baik kuantitas maupun kualitas. Selanjutnya tidak hanya untuk sektor industri perbankan saja, tetapi juga jasa keuangan lainnya, terutama asuransi dan pembiayaan. Dalam hal ini, OJK (Otoritas Jasa Keuangan) sudah mengeluarkan beberapa POJK (Peraturan Otoritas Jasa Keuangan) yang mengharuskan industri jasa keuangan (IJK) memastikan adanya SDI yang memiliki kompetensi bidang MR, mulai dari jajaran pelaksana sampai pada direksi dan dewan komisaris. Secara konkrit, hal tersebut harus dibuktikan dengan adanya sertifikat hasil uji kompetensi bidang MR yang dikeluarkan oleh LSP berlisensi dari BNSP untuk bidang MR bagi individu yang dinyatakan kompeten dalam bidang tersebut.

Timbul pertanyaan, apa makna kata ‘berlisensi’ dari BNSP?

Sesungguhnya yang memiliki akuntabilitas untuk pemastikan proses seseorang memiliki kompetensi profesi bidang tertentu adalah tetap di tangan BNSP, yang mengadopsi proses sertifikasi personel berbasis ISO 17024 (catatan: ISO 17024 adalah sistem manajemen internasional untuk pemastian proses uji kompetensi personel dilakukan secara independen, berkualitas, terstandarisasi, dan tertelusur).

Dalam pelaksanaannya, BNSP memiliki hak untuk memberikan lisensi proses tersebut kepada berbagai LSP yang sesuai dengan lingkup bidang kompetensi yang dibutuhkan oleh industri. Untuk menjaga konsistensi kualitas para LSP, BNSP melakukan proses ‘surveillance’ dari waktu ke waktu. BNSP dapat mencabut lisensi mereka bila ditemukan fakta yang berbeda antara apa yang dijanjikan LSP untuk dilaksanakan dengan apa yang secara aktual dilaksanakan LSP tersebut. Bila ditemukan adanya perbedaan, maka BNSP dapat melakukan proses peneguran sampai pada penangguhan, bahkan pencabutan lisensi (bilamana dianggap perlu).

Oleh karena itu, LSP bidang MR yang sudah memiliki lisensi dari BNSP memiliki derajat keabsahan yang sama sebagai perpanjangtanganan BNSP dalam melakukan proses sertifikasi profesi bidang MR. Pertanyaan lain kemudian timbul, apa ada perbedaan antara satu LSP dengan LSP lainnya di samping keabsahan mereka sebagai pemegang lisensi dari BNSP.

Dalam hal ini, ada dua hal yang menjadi dasar pembeda, yaitu rujukan Standar Kompetensi Kerja (SKK) yang digunakan – apakah SKK-NI (Standar Kompetensi Kerja Nasional Indonesia) atau SKK-Khusus (Standar Kompetensi Kerja Khusus) dan tipe LSP itu sendiri – apakah LSP tipe 1, tipe 2, atau tipe 3.

2.PERBEDAAN SKK-NI DENGAN SKK-KHUSUS:

1. Dasar dan proses pembuatan SKK.

SKK-NI dibuat atas kesepakatan bersama antara asosiasi industri pengguna, pakar di bidangnya, dan kementerian atau sektor yang terkait dengan SKK-NI, serta Kementerian Tenaga Kerja (Kemenaker), melalui beberapa tahapan yang dipersyaratkan oleh BNSP.

SKK-Khusus dibuat oleh asosiasi yang terkait dengan industri yang akan mempergunakannya dan berlaku untuk memenuhi kebutuhan lingkungan asosiasi dan/atau oleh industri yang sudah memutuskan akan memakai SKK-Khusus ini.

2. Siapa yang boleh menggunakan SKK untuk uji sertifikasi kompetensi?

SKK-NI dapat dipakai oleh siapa saja yaitu semua industri, lembaga Diklat Vokasi Universitas, dan bahkan dapat dipakai oleh asosiasi lain yang berminat untuk mengadopsi baik seluruh maupun sebagian dari SKK-NI tersebut.

SKK-Khusus hanya boleh dipakai oleh lembaga tertentu saja yang sudah memperoleh ijin dari pemilik atau pemrakarsa SKK tersebut.

3.PERBEDAAN TIPE LSP:

Ada tiga tipe LSP, yaitu:

1. LSP tipe 1 atau sering disebut dengan nama LSP P1

LSP P1 dibentuk oleh lembaga pendidikan dan pelatihan (Lemdiklat) yang melatih pesertanya untuk kebutuhan industri. LSP P1 dapat menerbitkan sertifikat kompetensi sesuai dengan skema yang telah divalidasi oleh BNSP.  LSP P1 merupakan bagian terpadu dari LPK (lembaga pelatihan kerja) yang memiliki lisensi sebagai LPK independen dari Kemenaker. Oleh karena itu, pelatihan menjadi bagian tidak terpisah dari proses ujian sertifikasi yang dilaksanakan oleh LSP P1 ini. LSP P1 dapat menggunakan SKK-NI maupun SKK-Khusus tergantung dari pilihan mereka.

2. LSP tipe 2 atau sering disebut dengan nama LSP P2

LSP P2 mirip dengan LSP P1, tetapi dijalankan oleh suatu departemen pemerintah tertentu yang membutuhkan SKK Khusus dari departemen itu sendiri untuk dijadikan landasan edukasi dan sertifikasi internal mereka. LSP P2 dibentuk oleh dinas unit pelaksana teknis (UPT) untuk memastikan jaringan UPT yang melakukan program sertifikasi kompetensi dapat diterbitkan oleh UPT yang membentuknya dengan UPT-UPT yang lain cukup sebagai tempat uji kompetensi (TUK). LSP P2 dapat menggunakan SKK-NI maupun SKK-Khusus tergantung dari pilihan mereka.

3. LSP tipe 3 atau sering disebut dengan nama LSP P3

LSP P3 adalah LSP umum yang dapat dibentuk oleh asosiasi industri atau asosiasi profesi. Ujian sertifikasinya tidak harus terpadu dengan pelatihan khusus dari suatu LPK independen ataupun UPT tertentu. Siapapun yang memenuhi syarat dapat mengikuti ujian sertifikasi mereka secara langsung, dan oleh karena itu, LSP P3 umumnya menggunakan SKK-NI.

Mana yang lebih baik atau sesuai, apakah SKK-Khusus atau SKKNI?

Tidak menjadi masalah bagi praktisi dan profesi MR untuk memilih LSP yang berbasis SKK-Khusus ataupun SKK-NI. Yang terpenting untuk dipahami adalah rincian elemen kompetensi dari SKK tersebut dan pemahaman tentang unit dan elemen kompetensi apa yang akan diuji? Sangat riskan dan sangat naif bila kita mengatakan SKK-Khusus lebih baik dari SKK-NI atau sebaliknya. Ada SKK yang menitikberatkan pada kompetensi MR untuk kebutuhan industri tertentu saja secara spesifik dan ada SKK yang mendasarkan diri pada suatu standar khusus yang dapat dipakai lintas industri.

Semua itu adalah pilihan dan oleh karena itu terminologi yang lebih tepat adalah bukan mencari mana yang lebih baik, tetapi mencari mana yang lebih sesuai dengan kebutuhan organisasi dan/atau individu yang akan mengambil sertifikasi.

Mana yang lebih baik atau sesuai, apakah LSP P1, LSP 2, atau LSP P3?

Karena tidak ada LSP tipe tertentu yang dianggap lebih baik dari tipe yang lainnya, maka pertanyaan akan lebih tepat bila LSP tipe mana yang lebih sesuai dengan kebutuhan organisasi dan/atau individu yang akan mengambil sertifikasi.

Dengan pertimbangan bahwa LSP P2 sangat spesifik untuk kebutuhan internal suatu departemen pemerintahan tertentu saja, tulisan akan mengupas lebih jauh hanya perbandingan LSP P1 dan LSP P3.

Karena LSP P1 mengharuskan adanya keterpaduan antara standar, edukasi atau pelatihan, dan uji sertifikasi, maka pelatihan menjadi keharusan mutlak bagi siapapun yang akan mengambil sertifikasi. Di sisi lain, karena LSP P3 tidak mengharuskan secara mutlak adanya keterpaduan di atas, maka pelatihan seharusnya menjadi pilihan saja bagi calon pengambil sertifikasi (catatan: walaupun dalam praktik ada beberapa LSP P3 yang kadang menyarankan adanya pelatihan pendahuluan sebelum ujian sertifikasi).

Berangkat dari keterangan di atas, apa yang perlu dipertimbangkan dalam memilih tipe LSP (antara LSP P1 dengan LSP P3) dan uji sertifikasi yang ditawarkan? Di bawah ini ada 3 pertanyaan mandiri yang dapat membantu calon pengambil sertifikasi dalam menentukan pilihan mereka:

A. Standar MR apa yang dipakai?

• Apakah relevan dengan kebutuhan organisasi dan/atau kebutuhan individu pengambil ujian sertifikasi baik untuk kebutuhan mereka saat ini maupun kebutuhan mereka di masa mendatang?
• Apakah dasar rujukan memiliki cakupan bersifat nasional saja atau lebih luas di tingkat regional dan internasional?
• Sejauh apa standar ini diakui dan diterima oleh komunitas MR dan industri yang terkait sebagai pengguna dan sejauh mana keberlanjutan standar tersebut?

B. Standar kompetensi kerja apa yang digunakan?

• Sejauh apa SKK yang dipakai mencerminkan kualitas dan tingkat kedalaman elemen kompetensi yang diadopsi? Hal ini sangat fundamental karena kualitas elemen kompetensi akan sangat berpengaruh pada kualitas skema kompetensi yang ditawarkan oleh LSP.
• Sejauh apa elemen kompetensi dalam SKK sejalan dan seiring dengan standar MR yang dijadikan rujukan?
• Sejauh apa SKK yang dipakai direkognisi oleh asosiasi profesi bidang MR yang relevan?

C. Skema kompetensi yang ditawarkan?

• Skema kompetensi apa saja yang ditawarkan dan sejauh apa skema yang tersedia tersebut sesuai dengan kebutuhan organisasi dan/atau individu pengambil ujian sertifikasi.
• Apakah setiap skema yang ditawarkan telah divalidasi oleh BNSP dan absah menjadi cakupan lisensi yang telah dimiliki oleh LSP tersebut atau masih dalam proses validasi BNSP?
• Apakah kaitan antar satu skema ke skema lainnya jelas dan sejalan dengan kebutuhan jenjang pengembangan kompetensi SDI organisasi dan/atau individu pengambil ujian sertifikasi tersebut?

D. Metode pelatihan apa yang dipakai?

• Apakah sesuai dengan pendekatan ‘adult learning’ dan berbasis ‘competency development’? Misal apakah tingkat rasio komposisi studi kasus dan teori berimbang?, atau apakah ada penggunaan simulasi yang dapat mengasah kompetensi dengan lebih tajam?, dan lain sebagainya.
• Apakah efektifitas pelatihan terukur, sehingga dapat menjadi masukan bagi pengembangan SDI organisasi?
• Apakah didukung oleh tim instruktur yang memiliki reputasi tinggi baik dari segi teoritis penguasaan standar yang dipakai maupun dalam penguasaan praktis penggunaan standar tersebut?

E. Metode dan materi uji sertifikasi yang dipakai?

• Apakah asesor yang digunakan berlisensi asesor dari BNSP serta menguasai standar yang digunakan baik dari segi penguasaan teoritis maupun praktis?
• Apakah materi uji sertifikasi dirawat dan dikembangkan terus-menerus sejalan dengan kebutuhan profesi dalam cakupan standar yang digunakan?
• Sejauh apa reputasi organisasi pelaksana dalam mengadakan proses uji kompetensi, misal penjadwalan ujian sertifikasi, persiapan tempat uji kompetensi, tingkat pelayanan selama proses ujian sertifikasi, maupun dalam proses penerbitan sertifikat, dan lain sebagainya.

Demikian tulisan ini dibuat dan mudah-mudahan bermanfaat bagi organisasi dan/atau individu dalam membantu proses penentuan jalur sertifikasi kompetensi bidang MR apa yang akan dipilih.

oleh:
Dr. Antonius Alijoyo, ERMCP, CERG
Ketua IRMAPA

Tindak pidana korporasi dan cara penanganannya (Perma no 13/2016)
Tinjauan singkat dari perspektif manajemen risiko

Pada akhir Desember 2016 Mahkamah Agung (MA) mengeluarkan Peraturan Mahkamah Agung (Perma)nomor 13 tahun 2016 mengenai tata cara penanganan perkara tindak pidana oleh korporasi. Dalam pertimbangannya MA menyebutkan bahwa Perma 13/2016 diperlukan karena (a) terdapat pelbagai tindak pidana korporasi (corporate crime) yang membawa dampak kerugian terhadap negara dan masyarakat, (b) korporasi dapat menjadi tempat untuk menyembunyikan harta kekayaan hasil tindak pidana yang tidak tersentuh proses hukum dalam pertanggungjawaban pidana (corporate criminal liability) dan (c) banyak undang-undang di Indonesia menempatkan korporasi sebagai subjek tindak pidana yang dapat dimintai pertanggungjawaban, namun perkara dengan subjek hukum korporasi yang diajukan dalam proses pidana masih sangat terbatas, salah satu penyebabnya adalah prosedur dan tata cara pemeriksaan korporasi sebagai pelaku tindak pidana masih belum jelas. Untuk mengatasi hal ini maka Perma 13/2016 diterbitkan.

Sedikit tentang tindak pidana korporasi

Beberapa permasalahan dalam tindak pidana korporasi, terutama dalam menetapkan tanggung jawab pidana korporasi tersebut adalah karena:

• Tindak pidana pada dasarnya hanya dapat dilakukan oleh manusia, karena diperlukan adanya niat jahat (mens rea) dan perbuatan yang dilakukan atas dasar niat jahat tersebut (actus reus) dan mengakibatkan orang lain menderita/celaka, entah itu karena sengaja (dolus) ataupun karena kelalaian (culpa). Oleh karena itu tindak pidana merupakan tanggung jawab pribadi;
• Korporasi hanyalah suatu entitas fiktif, sehingga tidak mungkin mempunyai niat jahat, karena segala sesuatu yang terjadi adalah akibat tindakan karyawan atau pengurusnya, sehingga bagaimana mungkin korporasi harus dibebani tanggung jawab pidana tersebut?;
• Selain itu koporasi juga tidak dapat dipenjarakan, sehingga hukuman yang paling efektif adalah denda. Akan tetapi dengan adanya denda ini pada dasarnya yang dirugikan adalah pemegang saham, sedangkan dia sebetulnya tidak bersalah dalam hal ini, mengapa dia harus menanggungnya?. Selain itu denda yang akan menimbulkan kerugian juga akan mempunyai dampak reputasi terhadap perusahaan.
• Denda atau ganti rugi juga dapat dilakukan melalui hukum perdata, dimana digunakan aturan mengenai perbuatan melawan hukum (PMH) yang dilakukan oleh Perseroan (KUHPer 1365) atau bila PMH dilakukan oleh bawahan atau pihak lain yang bertindak untuk Perseroan maka asas respondiat superior dan vicarious liability (KUHPer 1367) dapat digunakan. Dengan demikian mencoba menggunakan asas-asas hukum perdata kedalam kasus pidana

Undang-Undang tentang Perseroan Terbatas no.40 tahun 2007 (UUPT) menetapkan bahwa perseroan atau korporasi merupakan subyek hukum, dan merupakan entitas fiktif dengan hak untuk melakukan kegiatan perekonomian. Walaupun perseroan mempunyai hak dan kewajiban seolah-olah seperti manusia, tetapi secara fisik dia “tidak ada”. Perseroan memerlukan manusia nyata untuk melakukan perbuatan-perbuatannya dan ini diatur dalam organ perseroan siapa yang berhak untuk melakukan perbuatan “untuk dan atas nama” perseroan. Dalam konstruksi hukum Indonesia berdasarkan UUPT, organ tersebut adalah Direksi, maka Direksi merupakan “alter ego” perseroan..

Dengan demikian maka tindakan Direksi yang “untuk dan atas nama Perseroan” menjadi identik dengan tindakan Perseroan. Hal ini berarti bila terdapat tindakan Direksi dalam kapasitasnya yang melanggar hukum pidana, maka selain Direksi sebagai individu yang bertanggung jawab secara pidana, juga Perseroan sebagai badan hukum dibebani tanggung jawab pidana atas tindakan tadi, misalkan dalam kasus lingkungan hidup, kasus penyelundupan narkoba, kasus perlindungan konsumen, dll.

Walaupun biasanya tindakan-tindakan pidana ini tidak dilakukan langsung oleh Direksi, melainkan oleh bawahan/pegawai, maka dalam hal ini azas respondiat superior, atau vicarious liability dapat diadopsi, sehingga Direksi juga dapat dipidana karena tindakan tersebut. Kalau tidak maka yang menderita hanya bawahan saja, sebagai pelaku tindak pidana dan Perseroan akan tetap aman beroperasi dan dapat “digunakan” sebagai alat untuk melakukan tindak pidana. Maka demi menjamin ketertiban masyarakat luas yang lebih adil Perseroan harus memikul tanggung jawab pidana perseroan (corporate criminal liability).Dengan demikian Direksi dan Perseroan yang bertanggung jawab ataas tindak pidana tersebut.

Tanggung jawab pidana korporasi dan Perma 13/2016

Dari penjelasan di atas dapat dilihat bahwa tanggung jawab hukum pada saat terjadi tindak pidana perseroan dipikul oleh:

1. Pribadi anggota Direksi dan fihak-fihak yang terlibat dengan pelaksanaan tindak pidana perseroan tersebut;
2. Pribadi anggota Direksi dan Perseroannya sebagai subyek hukum;
3. Hanya pada perseroan saja apabila dilakukan tuntutan secara perdata.

Contoh pelaksanaan untuk butir (a) di atas adalah pada kasus suap yang dilakukan oleh Dirut PT Agung Podomoro Land kepada salah seorang anggota DPRD DKI. Pada vonis bulan September 2016, dia divonis hukuman pidana penjara 3 tahun dan denda Rp 200 juta. Untuk contoh kasus butir (b) adalah kasus Indosat Mega Media (IM2) yang diputuskan MA pada Januari 2014, dimana Dirut IM2 dipidana penjara dan denda, sedangkan korporasinya juga dipidana denda sebesar Rp 1,3 trilyun. Untuk contoh kasus (c) adalah kasus PT Merbau Pelalawan Lestari (MPL) yang diputuskan oleh MA pada Novembeer 2016, dimana MPL harus membayar denda sebesar Rp 16,2 trilyun.

Pertanyaan berikutnya adalah bagaimana dengan Dewan Komisaris dan Pemegang Saham? Untuk hal ini ditangani dengan menggunakan ketentuan yang berlaku dal UUPT bilamana terdapat kelalaian bagi anggota Direksi dan anggota Dewan Komisaris, atau Pemegang Saham bila mereka melakukan kesalahan.

Perma 13/2016 menyatakan bahwa korporasi dapat dimintakan pertanggungjawaban pidana sesuai dengan ketentuan pidana korporasi dalam undang-undang yang mengatur tentang Korporasi, dan dinilai kesalahannya  apabila:

1. Korporasi dapat memperoleh keuntungan atau manfaat dari tindak pidana tersebut atau tindak pidana tersebut dilakukan untuk kepentingan Korporasi;
2. Korporasi membiarkan terjadinya tindak pidana; atau
3. Korporasi tidak melakukan langkah-langkah yang diperlukan untuk melakukan pencegahan, mencegah dampak yang lebih besar dan memastikan kepatuhan terhadap ketentuan hukum yang berlaku guna menghindari terjadinya tindak pidana.

Siapa saja yang menjadi penanggungjawab bila terjadi tindak pidana korporasi? Perma 13/2016 menyatakan bahwa yang dapat dijatuhi pidana adalah Korporasi atau Pengurus, atau Korporasi dan Pengurus (pasal 23), akan tetapi tidak menutup kemungkinan penjatuhan pidana terhadap pelaku lain yang berdasarkan ketentuan undang-undang terbukti terlibat dalam tindak pidana tersebut.

Pidana yang dijatuhkan dapat berupa pidana poko dan pidana tambahan. Pidana pokok terhadap korporasi adalah denda, sedangkan pidana tambahan dapat berupa ganti rugi atau restitusi terhadap pihak yang dirugikan oleh tindak pidana tersebut. Semua pidana ini dilaksanakan sesuai dengan ketentuan undang-undang yang berlaku.

Perspektif manajemen risiko korporasi

Dari uraian di atas dapat ditarik beberapa hal yang berkaitan dengan focus penanganan manajemen risiko korporasi sebagai berikut:

• Tindak pidana korporasi dapat terjadi di tingkat operasional ataupun tingkat strategis. Di tingkat operasional berarti akibat perbuatan karyawan ataupun agen yang ditugaskan oleh koporasi untuk melakukan suatu tugas.perbuatan, dimana dalam pelaksanaannya terjadi pelanggaran yang berdampak pada tindak pidana korporasi;
• Tindak pidana korporassi di tingkat strategis berarti akibat tindakan Direksi atau Manajemen Senior yang melanggar peraturan perundangan yang berlaku;
• Peristiwa terjadinya tindak pidana korporasi ini merupakan interaksi kegiatan perusahaan dengan kepatuhan terhadap regulasi atau undang-undang terkait dengan kegiatan korporasi;
• Pada setiap terjadi tindak pidana korporasi, maka penanggung jawab utama adalah Direksi, walaupun putusan pidana dapat dijatuhkan pada korporasi atau Direksi, atau Direksi dan Korporasi. Ini karena Direksi adalah alter ego dari korporasi.

Dengan menggunakan panduan SNI ISO 31000:2011, suatu standar manajemen risiko internasional yang sudah diadopsi menjadi standar manajemen risiko nasional Indonesia, dapat diperoleh 2 hal utama yang perlu kita perhatikan, yaitu:

• Tata kelola manajemen risiko perusahaan (risk governance) karena semua akibat dari perbuatan tindakan pidana korporasi akan bermuara kepada Direksi;
• Pemahaman mengenai paparan risiko hukum yang dihadapi oleh korporasi.

Untuk melaksanakan kedua hal tersebut di atasdiperlukan pemahaman yang baik terhadap proses bisnis koporasi secara rinci, karena berdasrkan pemahaan terhadap proses bisnis ini maka akuntabilitas pengelolaan risiko akan ditentukan dan juga pemahaman seberapa tinggi paparan risiko pidana artinya kemungkinan terjadinya tindak pidana dan juga perkiraan dampaknya bila terjadi dapat diperkirakan.

Tata kelola manajemen risiko

Tata kelola manajemen risiko ini sesuai anjuran SNI ISO 31000 haruslah diintegrasikan dengan struktur organisasi korporasi dan proses bisnisnya. Berdasarkan pengintegrasian ini maka ditentukan penanggung jawab pengelolaan risiko pada setiap tingkatan organisasi. Para penanggung jawab pengeloaan risiko untuk tiap unit kerja ini juga haruslah dibekali dengan pemahaman manajemen risiko yang memadai.

Apabila sudah mendapatkan pemahaman yang memadai mengenai manajemen risiko, maka mereka harus mencoba untuk memperkirakan potensi kemungkinan terjadinya risiko dalam proses bisnis yang menjadi unit kerjanya dan dampaknya pada pencapaian sasaran perusahaan. Termasuk di dalamnya potensi terjadinya risiko pelanggaran tindak pidana, ataupun potensi perbuatan melanggar hukum dalam proses bisnis tersebut.

Direksi harus memastikan bahwa pelaksanaan tanggung jawab pengenlolaan risiko ini berjalan secara memadai dan efektif, dengan melakukan review secara berkala. Pemantauan ini sangat penting terutama dalam menangani risiko operasional, dimana paparannya sangat luas karena mencakup banyak pihak di seluruh proses bisnis. Dengan demikian Direksi akan menyusun tata kelola manajemen risiko dan melakukan pengawasannya. Tugas Dewan Komisaris hanyalah melakukan pengawasan untuk memastikan bahwa tata kelola ini berjalan dengan baik dan efektif dalam mencegah terjadinya risiko korporasi, termasuk tindak pidana korporasi.

Paparan risiko hukum yang dihadapi

Untuk dapat memahami hal ini, maka korporasi haruslah melakukan inventarisasi peraturan perundangan apa saja yang harus dipatuhi dalam melakukan kegiatannya. Mulai dari peraturan tingkat undang-undang hingga peraturan tingkat Menteri atau Dirjen terkait. Apabila inventarisasi ini telah selesai dilakukan,maka dilakukan analisis, dimana proses bisnis terkait harus memenuhi peraturan perundangan tersebut. Contohnya untuk proses produksi manufaktur, maka peraturan perundangan terkait adalah UU Lingkungan Hidup, Peraturan Menaker tentang Kesehatan dan Keselamatan Kerja, UU Perlindungan Konsumen, SNI terkait dengan hasil produksi tersebut, dll. Untuk bagian Marketing, UU tentang Periklanan, UU Perlindngan Konsumen, Aturan Kontrak Bisnis, UU mengenai HAKI, dll.

Pparan risiko hukum ini haruslah dipahami oleh para penanggung jawab risiko di seluruh tingkatan dan unit kerja, karena paparan risiko hukum yang ditangani berbeda-beda untuk masing-masing penanggung jawab. Untuk pelaksanaannya diperlukan staf perusahaan yang faham proses bisnis dan juga faham hukum terkait, guna memberikan pencerahan bagi para penanggung jawab risiko tersebut. Proses ini juga harus dilakukan untuk penanganan risiko-risiko strategis korporasi.

Melalui proses di atas diharapkan baik peluang maupun potensi ancaman risiko hukum korporasi dapat diantisipasi dengan baik atau bahkan direduksi hingga minimal.

Penutup

Melalui penerapan manajemen risiko yang baik dan efektif, maka kemungkinan terjadinya pelanggaran pidana korporasi akan dapat dicegah atau bahkan direduksi hingga minimal. Untuk itu penyelenggaraan tata kelola manajemen risiko yang baik dan pemahaman paparan risiko hokum yang dihadapi akan sangat berperan.

Jakarta, 6 Januari 2017

Leo J. Susilo

Ketua Dewan Penasehat IRMAPA
Principal CRMS Indonesia

Kasus-kasus kerugian besar di Indonesia teridentifikasi salah satu faktor penyebabnya adalah lemahnya manajemen risiko. Contohnya, hajatan mudik lebaran yang tiap tahun digelar, selalu memakan korban yang tidak sedikit. Pun terjadi di mudik tahun ini dengan kehebohan kasus ‘Brexit’. Juga kasus banjir dan macet di kota besar yang masih terus terjadi, akumulasi kerugiannya sangat besar.

Apakah manajemen risiko tak diterapkan? Penulis yakin sudah ada manajemen risikonya. Tetapi lemah dan/atau masih silo-based (tak terintegrasi). Butuh upaya penguatan, salah satunya melalui praktik enterprise risk manaement (ERM).

Penerapan manajemen risiko diperlukan dalam rangka memberikan keyakinan memadai bahwa sasaran organisasi tercapai. Sasaran organisasi berpotensi tidak tercapai akibat risiko yang tidak dikelola secara efektif.

Sektor swasta (perusahaan) dan sektor publik sama-sama memiliki sasaran. Menurut Cohen (2016), sasaran utama sektor swasta adalah laba jangka panjang, disampaing sasaran lain terkait keberlanjutan dan lingkungan. Sementara itu sektor publik memiliki sasaran yang variatif, diantaranya terkait layanan yang efektif dan efisien, peningkatan sosial-ekonomi, juga peningkatan kualitas kesehatan, pendidikan, lingkungan, dan lainnya.

Ada perbedaan mendasar sektor swasta dan sektor publik. Organisasi di sektor swasta harus berkompetisi agar bisa bertahan dan meraih laba. Ini tidak terjadi di mayoritas sektor publik. Inilah salah satu yang mempengaruhi etos kerja dan paradigma dalam memandang risiko dan dampaknya.

Area Sektor Publik

Ada beberapa definisi sektor publik, namun memberikan cakupan yang relatif sama. The Institute of Internal Auditors (2011) mengartikan sektor publik adalah pemerintah dan semua agen/lembaga yang didanai/dikendalikan publik, perusahaan dan entitas lain yang menyediakan program, barang, dan jasa untuk publik. Sedangkan Business Dictionary (2016) mendefinisikan sektor publik adalah bagian dari ekonomi nasional yang menyediakan barang dan layanan dasar yang tidak dapat atau dapat dilayani oleh sektor swasta.

Merujuk definisi di atas, dalam konteks Indonesia, organisasi yang tergolong sektor publik adalah kementerian, lembaga negara yang dibentuk UU atau peraturan di bawah UU (seperti OJK dan LPS), lembaga pemerintah nonkementerian (seperti Badan Nasional Penanggulangan Bencana), dan pemerintah daerah. Yang juga dapat dikategorikan sektor publik adalah perusahaan yang melayani publik (seperti PLN, Bulog dan Jasa Marga).

Manfaat Besar untuk Indonesia

Manajemen risiko memberikan pendekatan sistematis dan terstruktur yang proaktif dan antisipatif atas potensi peristiwa yang mengganggu pencapaian sasaran organisasi. Melalui manajemen risiko, organisasi akan mendisiplinkan diri dalam mengendalikan risiko.

Organisasi secara komprehensif melalukan identifikasi risiko apa saja yang mengancam. Tak perlu lagi adanya alasan ada risiko yang tak terdeteksi. Bahkan tak perlu sering terkaget dengan kejutan peristiwa. Pun dalam penilaian risiko, dilakukan kalkulasi atas risiko-risiko organisasi dan kemudian memberikan pengendalian atau mitigasi yang memadai atas risiko.

Peran sektor publik sangat besar, juga efeknya yang massif. Buruknya kinerja sektor publik, berpengaruh signifikan kepada masyarakat dan negara. Ini berbeda dengan sektor swasta. Buruknya kinerja perusahaan, yang dirugikan hanya sekitar perusahaan itu saja, seperti pemegang saham, manajemen, dan pegawainya.

Sebagai ilustrasi di sektor publik, bila manajemen BPJS Kesehatan kurang bagus dalam melayani klaim rumah sakit, bisa menyebabkan layanan rumah sakit kurang optimal kepada peserta BPJS (pasien). Yang dirugikan adalah masyarakat. Penerapan manajemen risiko akan mampu meningkatkan layanan kepada stakeholders.

Hal serupa bisa terjadi pada OJK. Bila pengaturan, perizinan, dan pengawasan sektor jasa keuangan (SJK) tidak efektif, pertumbuhan SJK bisa terganggu. Bahkan lebih dari itu, dapat berpengaruh pada kestabilan SJK yang ujungnya berdampak pada memburuknya perekonomian Indonesia.

Di bidang governance juga bisa jadikan contoh. Bila kita melihat hasil survei Transparansi Internasional, posisi indeks persepsi korupsi Indonesia tahun 2015 berada di urutan 88 dari 167 negara. Ini menjadi bukti bahwa penanganan risiko fraud di sektor publik masih kurang efektif. Melalui manajemen risiko, organisasi sektor publik membuat fraud risk assessment atau fraud control plan agar risiko fraud dapat dikendalikan secara efektif.

Menurut Alijoyo (2016), ada 11 manfaat dari penguatan manajemen risiko di sektor publik. Diantaranya adalah organisasi adaptif terhadap perubahan politik, operasional yang efektif dan efisien, menjaga kesesuaian dengan praktik terbaik, adaptif terhadap perubahan komunitas dan memenuhi harapan komunitas, dan mengurangi dampak negatif pada lingkungan.

Menguatkan Peran

Peran manajemen risiko di sektor publik berdampak sangat besar kepada bangsa Indonesia. Manajemen risiko sebagai subsistem manajemen, perannya perlu didorong agar sektor publik secara efektif mencapai sasarannya. Upaya penguatan dapat dilakukan dengan empat cara berikut ini.

Pertama, perlu perubahan paradigma bahwa manajemen risiko hanya dibutuhkan oleh sektor swasta. Tiap organisasi yang memiliki sasaran, berpotensi pencapaiannya terganggu oleh risiko. Di situlah butuh manajamen risiko.

Kedua, perlu penguatan melalui penerapan ERM di organisasi sektor publik. ERM di sektor publik memang relatif masih baru. Berdasarkan survei PricewaterhouseCoopers (PwC) tahun 2015, 44% organisasi sektor publik di Amerika Serikat belum memiliki program ERM. Namun sebanyak 80% yang belum menerapkan ERM, berencana akan menerapkannya karena melihat manfaatnya.

Untuk menerapkan di Indonesia, dibutuhkan komitmen dari pimpinan organisasi sektor publik. Untuk mencapai ke arah sana, pertama kali perlu awareness kepada pimpinan organisasi sektor publik.

Ketiga, organisasi sektor publik yang telah menerapkan ERM perlu berbagi pengalaman kepada yang lain. Tujuannya adalah untuk mendapatkan praktik terbaik. Lebih dari itu, organisasi sektor publik yang telah menerapkan ERM perlu memiliki ‘program kampanye’ bersama tentang awareness manfaat ERM.

Beberapa organisasi sektor publik yakni OJK, Kementerian PANRB, Bank Indonesia, LPS, dan BPKP telah melakukan komunikasi awal dalam upaya saling berbagi pengalaman dalam penerapan manajemen risiko. Forum ini perlu dikembangkan dengan anggota lebih banyak untuk menularkan praktik ERM di masing-masing organisasi.

Keempat, perlu dirancang standar atau pedoman manajemen risiko sektor publik. Standar yang ada, baik standar internasional seperti ISO 31000 dan COSO ERM Framework, termasuk Standar Nasional Indonesia (SNI) berupa SNI ISO 31000, tidak memandu spesifik bagaimana penerapan manajemen sektor publik. Untuk tujuan ini, dapat memanfaatkan program Badan Standardisasi Nasional yang telah membentuk gugus kerja manajemen risiko sektor publik.

Penulis optimis bahwa penerapan ERM di sektor publik akan meningkatkan efektifitas pengendalian risiko organisasi sektor publik. Bahkan untuk mengendalikan risiko negara Indonesia, perlu ditetapkan (semacam) country risk officer yang akan mengkoordinasikan pengelolaan risiko negara Indonesia secara terintegrasi.

Munawar Kasan
Pengurus Indonesia Risk Management Professional Association (Irmapa), bekerja di OJK
(Dimuat di Majalah Infobank edisi Desember 2016)

*****