Pahami dan Kelola: Manajemen Risiko Korporat dari Dasar

Perusahaan tidak pernah beroperasi dalam kondisi yang sepenuhnya pasti. Target penjualan dapat berubah karena kondisi pasar, proyek dapat terlambat karena gangguan supply chain, nilai tukar dapat bergerak di luar perkiraan, sistem teknologi dapat mengalami downtime, dan perubahan regulasi dapat membuat proses bisnis yang sebelumnya aman menjadi tidak sesuai.

Risiko seperti itu bukan sesuatu yang bisa dihilangkan seluruhnya. Bahkan keputusan untuk tidak mengambil risiko pun dapat menciptakan risiko baru, misalnya kehilangan peluang pasar karena perusahaan terlalu lambat melakukan ekspansi. Karena itu, manajemen risiko korporat bukan bertujuan membuat perusahaan menjadi bebas risiko. Tujuannya adalah membantu organisasi memahami ketidakpastian, menentukan risiko mana yang perlu mendapat perhatian, dan memilih respons yang paling sesuai dengan tujuan bisnis.

Pendekatan ini juga menjadi dasar dalam Corporate Risk Management. ISO 31000 menempatkan manajemen risiko sebagai bagian yang dapat diterapkan pada aktivitas dan pengambilan keputusan di berbagai level organisasi, bukan sebagai pekerjaan terpisah yang hanya dilakukan menjelang audit.

Apa Itu Manajemen Risiko Korporat dan Mengapa Perusahaan Membutuhkannya?

Secara sederhana, risiko muncul karena terdapat ketidakpastian yang dapat memengaruhi pencapaian tujuan. Artinya, risiko sebaiknya selalu dibaca dalam konteks objective. Jika perusahaan tidak tahu sasaran apa yang ingin dicapai, akan sulit menentukan peristiwa mana yang benar-benar perlu dianggap sebagai risiko utama.

Bayangkan sebuah perusahaan memiliki target meningkatkan pendapatan 20% melalui ekspansi ke lima kota baru. Risiko strategisnya bisa berupa pemilihan lokasi yang salah atau respons pasar yang lebih rendah dari proyeksi. Risiko operasional dapat muncul karena kapasitas gudang belum memadai. Risiko keuangan dapat berupa kebutuhan modal kerja yang jauh lebih besar. Di sisi lain, izin usaha atau kewajiban regulasi yang belum terpenuhi dapat menjadi risiko kepatuhan.

Dengan demikian, pertanyaan dalam manajemen risiko bukan hanya “Apa yang bisa salah?”, tetapi juga “Apa yang dapat menghambat atau mengubah kemampuan perusahaan mencapai tujuannya?”

ISO menjelaskan bahwa ISO 31000 membantu organisasi mengembangkan strategi untuk mengidentifikasi dan menangani risiko sehingga peluang mencapai tujuan dapat meningkat dan aset organisasi dapat lebih terlindungi. Fokus ISO 31000:2018 juga semakin menekankan penciptaan dan perlindungan nilai dalam organisasi.

Manajemen risiko yang efektif dapat membantu perusahaan meningkatkan kualitas keputusan, menentukan prioritas sumber daya, mempersiapkan respons sebelum risiko menjadi insiden, serta melihat peluang yang mungkin muncul dari ketidakpastian. Dengan kata lain, risk management bukan fungsi untuk selalu mengatakan “jangan”, tetapi membantu manajemen mengetahui kapan risiko layak diambil, kapan harus dikurangi, dan kapan harus dihindari.

ISO 31000:2018, Fondasi Global untuk Mengelola Risiko

Salah satu rujukan utama dalam manajemen risiko adalah ISO 31000:2018 Risk Management — Guidelines. Standar ini menyediakan pedoman yang dapat digunakan organisasi dari berbagai ukuran dan sektor. ISO 31000 tidak hanya membahas teknik penilaian risiko, tetapi menghubungkan prinsip, framework, dan process agar risk management dapat menjadi bagian dari governance dan pengambilan keputusan.

Per Agustus 2026, ISO 31000:2018 masih tercatat sebagai standar yang berlaku. ISO menyebut versi tersebut telah direview dan dikonfirmasi pada 2023, walaupun revisi generasi berikutnya saat ini sedang berada dalam tahap pengembangan.

Prinsipnya bukan sekadar membuat risk register

Dalam pendekatan ISO 31000:2018, manajemen risiko diarahkan untuk menciptakan dan melindungi nilai. Penerapannya perlu terintegrasi ke aktivitas organisasi, disesuaikan dengan konteks perusahaan, melibatkan stakeholder yang relevan, mempertimbangkan faktor manusia dan budaya, serta terus diperbaiki mengikuti perubahan lingkungan bisnis.

Itulah sebabnya perusahaan yang sudah mempunyai spreadsheet berisi ratusan risiko belum tentu memiliki sistem manajemen risiko yang matang. Risk register hanyalah salah satu instrumen. Jika isinya tidak pernah digunakan dalam budgeting, investment review, strategic planning, procurement, project management, atau rapat manajemen, dokumen tersebut belum memberikan banyak nilai bagi keputusan bisnis.

Framework membuat risk management masuk ke sistem organisasi

Framework membantu perusahaan menentukan bagaimana manajemen risiko diintegrasikan ke governance dan proses organisasi. Di sini biasanya mulai muncul pertanyaan seperti siapa yang menjadi risk owner, bagaimana eskalasi dilakukan, siapa yang melakukan monitoring, bagaimana laporan disampaikan kepada manajemen, dan bagaimana risiko dikaitkan dengan kebijakan maupun strategi.

Proses manajemen risiko kemudian berjalan melalui aktivitas yang secara garis besar mencakup komunikasi dan konsultasi, penetapan konteks, identifikasi risiko, analisis dan evaluasi, treatment, serta monitoring dan review. ISO menekankan bahwa pendekatan tersebut dapat digunakan pada berbagai aktivitas dan keputusan di seluruh level organisasi.

Di Indonesia, standar ini telah diadopsi menjadi SNI ISO 31000:2018 Manajemen Risiko — Pedoman dan saat ini tercatat berstatus berlaku dalam katalog Badan Standardisasi Nasional.

Manajemen Risiko Harus Masuk ke Strategi, Bukan Berdiri di Sampingnya

Salah satu kesalahan yang sering terjadi adalah perusahaan menyusun strategi terlebih dahulu, menetapkan target tahunan, menyetujui proyek investasi, lalu baru meminta tim risk management membuat daftar risikonya.

Urutannya seharusnya lebih terintegrasi.

Ketika manajemen mempertimbangkan ekspansi, akuisisi, peluncuran produk, perubahan teknologi, atau investasi besar, risiko seharusnya dibahas bersamaan dengan keputusan strategis tersebut. ISO 31000 secara eksplisit mendorong integrasi manajemen risiko ke governance, strategy, planning, reporting, policies, values, dan culture organisasi.

Misalnya direksi mempertimbangkan ekspansi ke wilayah baru. Analisis bisnis menunjukkan potensi revenue yang menarik. Dari sisi risiko, manajemen perlu melihat kemungkinan kegagalan memperoleh izin, kecukupan modal, kesiapan supplier, kemampuan merekrut tenaga kerja, ketergantungan terhadap distributor tertentu, perubahan kompetisi, hingga reputational risk.

Hasil risk assessment tidak selalu menghasilkan keputusan “batalkan ekspansi”. Bisa saja kesimpulannya tetap ekspansi, tetapi dilakukan secara bertahap, dimulai dari dua kota, menambah contingency budget, atau menggunakan lebih dari satu supplier untuk mengurangi ketergantungan.

Di sinilah manajemen risiko memberikan nilai strategis. Organisasi tidak hanya mengetahui risikonya apa, tetapi menggunakan informasi risiko untuk memilih bagaimana keputusan sebaiknya dijalankan.

STRATEGIC RISK CHECK: Setiap objective utama sebaiknya mempunyai risiko yang dapat menjelaskan apa yang dapat menggagalkan pencapaiannya, kontrol apa yang sudah tersedia, seberapa besar exposure yang masih tersisa, dan siapa yang bertanggung jawab terhadap tindak lanjutnya.

Empat Jenis Risiko Korporat yang Perlu Dikenali

Risiko perusahaan dapat diklasifikasikan dengan banyak pendekatan sesuai industri dan kebutuhan organisasi. Untuk memahami fondasinya, empat kategori berikut dapat membantu membedakan sumber dan dampak risiko.

1. Risiko strategis biasanya berkaitan erat dengan keputusan yang dapat memengaruhi arah organisasi dalam jangka menengah dan panjang. Kesalahan memilih pasar, teknologi, model bisnis, atau partner dapat memberikan dampak yang jauh lebih besar dibandingkan satu insiden operasional.

2. Risiko operasional lebih dekat dengan kemampuan perusahaan menjalankan proses sehari-hari secara konsisten. Namun bukan berarti dampaknya selalu kecil. Kegagalan sistem utama selama beberapa jam, kecelakaan besar, fraud internal, atau kegagalan supplier kritis dapat berkembang menjadi masalah finansial dan reputasi.

3. Risiko keuangan berkaitan dengan kemampuan perusahaan menjaga kondisi finansial dan exposure yang dapat menimbulkan kerugian. Sumbernya bisa berasal dari likuiditas, kredit, nilai tukar, suku bunga, maupun ketidakakuratan proyeksi keuangan.

4. Risiko kepatuhan muncul ketika aktivitas perusahaan berpotensi tidak sesuai dengan kewajiban hukum, regulasi sektor, perizinan, atau ketentuan lain yang relevan. Dampaknya tidak hanya berupa sanksi. Ketidakpatuhan dapat menyebabkan operasional dihentikan, transaksi tertunda, izin bermasalah, bahkan memengaruhi reputasi.

Empat kategori ini juga tidak berdiri sendiri. Satu kejadian dapat berpindah atau memicu risiko lain. Serangan siber misalnya dapat bermula sebagai risiko operasional, memunculkan biaya sebagai risiko finansial, menimbulkan pelanggaran regulasi sebagai risiko kepatuhan, lalu berkembang menjadi risiko strategis karena kepercayaan pelanggan turun.

Regulasi Manajemen Risiko di Indonesia: Jangan Samakan Semua Perusahaan

Pembahasan regulasi manajemen risiko di Indonesia perlu dilakukan secara hati-hati karena tidak ada satu peraturan yang membuat seluruh perusahaan di semua sektor mempunyai kewajiban risk management yang identik.

Pertama, terdapat SNI ISO 31000:2018 Manajemen Risiko — Pedoman yang telah diadopsi di Indonesia dan berstatus berlaku. SNI ini menjadi rujukan untuk membangun pendekatan manajemen risiko yang sistematis, tetapi ISO 31000 sendiri adalah guideline dan bukan standar sertifikasi sistem manajemen.

Kedua, PP Nomor 28 Tahun 2025 tentang Penyelenggaraan Perizinan Berusaha Berbasis Risiko menggunakan pendekatan berbasis risiko dalam sistem perizinan berusaha. Regulasi ini mengatur antara lain perizinan berusaha, PB UMKU, sistem OSS, pengawasan, evaluasi, dan sanksi berdasarkan pendekatan risiko kegiatan usaha. Jadi, PP 28/2025 relevan ketika membahas risk-based licensing, tetapi bukan standar Enterprise Risk Management yang menggantikan ISO 31000.

Bagi perusahaan yang ingin memahami penerapan PP tersebut dari sisi perizinan, Ioda Academy juga memiliki materi khusus mengenai OSS dan validasi risiko perizinan usaha. Lihat Praktik Mengajukan Perizinan melalui OSS sesuai PP 28/2025

Ketiga, perusahaan pada sektor jasa keuangan dapat memiliki ketentuan manajemen risiko yang jauh lebih spesifik dari OJK. Contohnya POJK Nomor 28 Tahun 2025 mengatur penerapan manajemen risiko bagi perusahaan perasuransian, lembaga penjamin, dan dana pensiun serta berlaku sejak 1 Januari 2026. Regulasi tersebut antara lain mengatur penguatan fungsi manajemen risiko, penilaian sendiri profil risiko, dan pelaporan profil risiko.

Hal pentingnya adalah POJK 28/2025 tidak berlaku sebagai aturan umum untuk seluruh perusahaan di Indonesia. Ruang lingkupnya khusus pada sektor yang disebutkan di dalam regulasi. Perusahaan di sektor lain perlu mengidentifikasi aturan sektoral masing-masing.

Karena itu, ketika membuat regulatory mapping untuk risk management, jangan hanya menulis “mengikuti OJK” atau “mengikuti ISO”. Tim perlu mengetahui regulasi mana yang benar-benar berlaku terhadap badan usaha, kegiatan, izin, dan sektor industrinya.

Dari Teori ke Praktik, Mulai dari Tujuan Perusahaan

Langkah awal manajemen risiko tidak harus langsung membuat heatmap yang kompleks. Perusahaan dapat memulai dari tujuan yang benar-benar sedang dikejar.

Misalnya perusahaan ingin mencapai target on-time delivery 98%. Dari target tersebut, identifikasi risiko seperti keterlambatan supplier, kerusakan armada, kesalahan forecasting, kegagalan sistem warehouse, atau kekurangan tenaga kerja. Selanjutnya, tentukan kemungkinan dan dampaknya, lihat kontrol yang sudah berjalan, tentukan prioritas risiko, lalu buat treatment untuk risiko yang masih berada di luar toleransi.

Contoh lain, perusahaan sedang menargetkan ekspansi lima cabang dalam satu tahun. Risk discussion dapat difokuskan pada perizinan, cash flow, kesiapan SDM, lokasi, supplier, IT, dan demand. Dengan pola seperti ini, risk register mempunyai hubungan langsung dengan objective dan tidak berubah menjadi daftar kejadian acak yang sulit digunakan manajemen.

Tahap berikutnya barulah organisasi dapat mengembangkan sistem yang lebih matang melalui risk register, risk matrix, risk appetite, Key Risk Indicators, risk treatment plan, dashboard, audit risiko, dan board risk reporting.

Untuk transaksi atau ekspansi yang juga membutuhkan penilaian red flag legal sebelum keputusan bisnis dibuat, pendekatan tersebut dapat dilengkapi dengan proses legal due diligence. Lihat Basic Legal Due Diligence di Ioda Academy

Kesimpulan

Manajemen risiko korporat bukan aktivitas untuk menghilangkan seluruh ketidakpastian dari bisnis. Perusahaan tetap perlu mengambil risiko untuk tumbuh, berinvestasi, mengembangkan produk, dan memasuki pasar baru. Yang membedakan organisasi dengan risk management yang baik adalah kemampuannya memahami exposure tersebut sebelum membuat keputusan.

ISO 31000:2018 memberikan fondasi berupa prinsip, framework, dan proses yang membantu manajemen risiko terintegrasi dengan governance serta strategi. Di Indonesia, standar tersebut telah diadopsi menjadi SNI ISO 31000:2018 dan masih berstatus berlaku. Regulasi berbasis risiko juga muncul dalam konteks yang lebih spesifik, seperti PP 28 Tahun 2025 untuk perizinan berusaha berbasis risiko dan ketentuan OJK untuk sektor jasa keuangan tertentu.

Mulai dari tujuan perusahaan, identifikasi apa yang dapat memengaruhi pencapaiannya, kelompokkan risikonya, nilai exposure, tentukan respons, dan monitor perubahannya. Ketika proses tersebut benar-benar masuk ke pengambilan keputusan, risk management tidak lagi menjadi dokumen administrasi. Ia menjadi alat manajemen untuk menentukan bagaimana perusahaan mencapai target dengan tingkat risiko yang dapat dipahami dan dikendalikan.