Penerapan Enterprise Risk Management untuk Amankan Bisnis

Banyak organisasi gagal mendeteksi risiko krusial meskipun sudah menerapkan Enterprise Risk Management (ERM).

Survei menunjukkan bahwa meskipun perbaikan proses bisnis dan keamanan siber menjadi prioritas investasi utama bagi para eksekutif di tahun 2026, mayoritas perusahaan masih mengelola ketidakpastian dengan sistem yang belum matang.

Studi NC State menemukan bahwa hanya sepertiga organisasi yang memiliki proses ERM utuh, sementara sisanya masih beroperasi dengan sistem yang rentan terhadap kompleksitas risiko modern.

Yuk, bedah bagaimana kerangka ERM seharusnya diintegrasikan ke dalam arsitektur keputusan perusahaan di Indonesia.

Seberapa Penting Penerapan ERM di Perusahaan Indonesia?

Enterprise risk management, adalah cara organisasi mengenali, menilai, dan merespons segala bentuk ketidakpastian yang bisa mempengaruhi pencapaian sasarannya, baik yang mengancam maupun yang membuka peluang.

Kata kunci di situ adalah "sasaran". ERM bukan soal membuat daftar hal buruk yang mungkin terjadi. Ia soal menghubungkan setiap risiko dan peluang ke target bisnis yang spesifik, lalu memutuskan apa yang dilakukan terhadap masing-masing berdasarkan seberapa besar dampaknya terhadap target itu.

Di Indonesia, kerangka ini sudah bergerak dari rekomendasi ke kewajiban, terutama bagi BUMN. PER-2/MBU/03/2023 menempatkan manajemen risiko sebagai bagian tak terpisahkan dari pedoman tata kelola korporasi. Regulasinya cukup spesifik yaitu BUMN wajib menerapkan manajemen risiko secara efektif, mencakup kebijakan, perencanaan, penerapan, pemantauan, evaluasi, dan pelaporan, dengan pengurusan aktif oleh direksi dan pengawasan oleh dewan komisaris.

Yang perlu digarisbawahi: regulasi ini bukan sekadar meminta BUMN punya dokumen manajemen risiko. Ia meminta sistem yang bisa diuji, taksonomi untuk bahasa agregasi portofolio, risk appetite sebagai pagar strategi, KRI untuk peringatan dini, dan ritme pengawasan Dewan dan Direksi yang menghasilkan keputusan korektif.

Bagi perusahaan swasta, kewajiban formalnya memang tidak setegas itu. Tapi tekanan dari investor, mitra bisnis internasional, dan peringkat kredit sudah membuat penerapan ERM menjadi prasyarat de facto untuk bersaing di level tertentu.

Baca juga: Mengenal Sistem Manajemen Risiko ISO 31000

Mengenal Kerangka COSO ERM: 5 Pilar Strategi Manajemen Risiko Efektif

Dua kerangka yang paling banyak dirujuk untuk penerapan ERM adalah ISO 31000 dan COSO ERM. Di Indonesia, keduanya dipakai, ISO 31000 lebih populer di kalangan praktisi risiko operasional, sementara COSO ERM lebih sering menjadi rujukan di level strategi dan tata kelola.

COSO merilis revisi terakhirnya pada 2017 dengan judul Enterprise Risk Management, Integrating with Strategy and Performance. Pergeseran paling penting dari versi sebelumnya: ERM tidak lagi ditempatkan sebagai kerangka pengendalian terpisah, melainkan ditanamkan langsung ke dalam proses penetapan strategi dan pengukuran kinerja.

Kerangkanya terdiri dari lima komponen yang saling terhubung, masing-masing dipecah ke dalam 20 prinsip.

Yang sering terlewat oleh organisasi yang baru memulai: urutan komponennya bukan kebetulan. COSO menempatkan Governance and Culture di awal karena tanpa nada yang benar dari puncak, komponen lain tidak akan berfungsi sebagaimana mestinya. Kalau direksi memperlakukan risk register sebagai dokumen kepatuhan yang ditandatangani setahun sekali, seluruh organisasi akan memperlakukannya dengan cara yang sama.

Budaya juga menentukan kualitas data. Di organisasi yang menghukum pembawa kabar buruk, risiko akan dilaporkan di bawah tingkat aktualnya. Profil risiko yang terlihat "hijau" di seluruh peta bukan tanda organisasi yang aman, sering kali justru tanda organisasi yang tidak jujur pada dirinya sendiri. Pertanyaan uji sederhananya: kapan terakhir kali ada risiko yang dinaikkan levelnya oleh unit bisnis secara sukarela? Kalau jawabannya "tidak pernah", bukan berarti risiko tidak ada.

Salah satu temuan riset yang menguatkan hal ini, studi dalam Journal of Risk and Insurance yang menggunakan data RIMS Risk Maturity Model menemukan bahwa aspek paling berpengaruh dari ERM terhadap valuasi perusahaan adalah tingkat keterlibatan eksekutif dari atas ke bawah dan seberapa dalam budaya ERM meresap ke seluruh organisasi. Studi itu mencatat premi valuasi pasar hingga 25% bagi perusahaan dengan praktik ERM yang matang.

Bagi organisasi yang ingin memahami bagaimana COSO ERM diterapkan di konteks Indonesia, rujukan praktisnya bisa ditelusuri melalui pembahasan kerangka COSO ERM terintegrasi.

Cara Identifikasi Risiko Keuangan dan Operasional Perusahaan

Identifikasi risiko adalah langkah yang terdengar sederhana tapi paling sering dilakukan dengan dangkal. Praktik umumnya: kumpulkan manajer di satu ruangan, minta mereka menyebutkan risiko, lalu tulis semuanya ke dalam register.

Hasilnya biasanya daftar panjang yang campur aduk antara risiko strategis, risiko operasional, dan kekhawatiran pribadi, tanpa bobot, tanpa konteks, dan tanpa kaitan ke sasaran bisnis.

Identifikasi yang efektif dimulai dari sasaran, bukan dari risiko.

Praktik terbaik menggabungkan ketiganya. Top-down memastikan relevansi strategis. Bottom-up memastikan realisme operasional. Outside-in memastikan organisasi tidak hanya melihat ke dalam.

Risiko Keuangan

Untuk korporasi Indonesia, beberapa kategori risiko keuangan yang biasanya paling material:

Risiko Operasional

Yang membedakan identifikasi ERM dari sekadar brainstorming risiko: setiap risiko yang masuk register harus punya pemilik, harus terhubung ke sasaran bisnis tertentu, dan harus dinilai dampak serta kemungkinannya dengan kriteria yang konsisten. Tanpa tiga syarat itu, register menjadi arsip, bukan alat kerja.

Ada satu kesalahan tambahan yang layak disebut. Banyak organisasi mengidentifikasi risiko di awal tahun, memasukkannya ke register, lalu tidak pernah menyentuhnya lagi sampai akhir tahun.

Register yang tidak diperbarui bukan hanya tidak berguna, ia berbahaya, karena memberi ilusi bahwa risiko sudah dikelola padahal kondisi di lapangan sudah berubah. Mekanisme reviu risiko, setidaknya triwulanan, idealnya mengikuti ritme reviu kinerja, adalah bagian tak terpisahkan dari identifikasi yang sehat.

Satu hal lagi soal risiko keuangan. Tidak semua risiko keuangan terlihat di laporan keuangan. Eksposur terhadap kontrak jangka panjang yang harganya ditetapkan hari ini tapi pemenuhannya tiga tahun ke depan, misalnya, tidak muncul sebagai kerugian sampai harga berbalik arah. ERM yang baik menangkap eksposur semacam ini sebelum ia muncul di laporan, bukan setelah auditor menemukannya.

Baca juga: Enterprise Risk Management: Pengertian, Manfaat, dan Implementasi

Strategi ERM: Mengubah Ancaman Pasar Menjadi Peluang Bisnis

Salah satu kesalahan terbesar dalam penerapan ERM adalah memperlakukannya semata-mata sebagai alat pertahanan. ISO 31000 sendiri mendefinisikan risiko sebagai "efek ketidakpastian terhadap sasaran", yang secara eksplisit mencakup efek positif, bukan hanya negatif.

Dalam praktik, ini berarti ERM yang baik juga mengidentifikasi peluang yang muncul dari ketidakpastian yang sama yang mengancam kompetitor. Beberapa contoh konkret di konteks pasar Indonesia:

Perusahaan yang hanya memakai ERM untuk mendata ancaman akan menghasilkan organisasi yang defensif. Perusahaan yang memakai ERM untuk mengenali asimetri, di mana kita bisa melihat sesuatu yang kompetitor belum lihat, menghasilkan organisasi yang adaptif.

Tentu saja ini bukan soal optimisme buta. Peluang tetap harus dinilai dengan disiplin yang sama ketatnya dengan ancaman: berapa investasi yang dibutuhkan, apa risiko eksekusinya, dan dalam skenario apa peluang itu hilang. Kerangka manajemen risiko keuangan yang matang membantu memastikan peluang dikejar dengan kalkulasi, bukan dengan antusiasme semata.

Kapan Perusahaan Membutuhkan Konsultan Manajemen Risiko?

Pertanyaan ini layak dijawab tanpa defensif. Banyak organisasi memang bisa membangun ERM sendiri, dan sebaiknya memang sebagian besar pekerjaan dilakukan internal, karena ERM yang berkelanjutan harus dimiliki oleh organisasinya, bukan oleh konsultannya.

Tapi ada empat kondisi spesifik di mana pelibatan pihak ketiga bukan sekadar mempercepat, melainkan mengubah kualitas hasilnya.

Survei terbaru menunjukkan 59% organisasi masih mengandalkan spreadsheet untuk mengelola program ERM, sementara hanya 21% yang sudah menerapkan platform GRC khusus. Di level itu, yang dibutuhkan bukan hanya perangkat lunak, melainkan arsitek yang memahami bagaimana mendesain sistem yang bisa tumbuh bersama organisasinya.

Konteks Indonesia juga menambah satu kebutuhan spesifik. Bagi BUMN, SK-6 mengunci mekanisme teknis perencanaan risiko dan agregasi taksonomi portofolio agar konsolidasi lintas entitas berjalan, sementara SK-8 menetapkan petunjuk teknis penilaian Risk Maturity Index agar Kementerian BUMN bisa membandingkan dan mendorong perbaikan konsisten lintas BUMN. Menyusun taksonomi yang memenuhi kedua standar sekaligus, sambil tetap relevan bagi operasional harian unit bisnis, adalah pekerjaan yang membutuhkan pengalaman lintas entitas, bukan hanya pemahaman regulasi.

Yang perlu diwaspadai dari sisi klien: konsultan yang bagus membangun kapasitas internal, bukan ketergantungan. Proyek ERM yang berakhir dengan dokumen tebal yang hanya bisa diperbarui oleh konsultannya sendiri adalah proyek yang gagal, betapapun rapinya dokumennya.

Pendekatan pendampingan yang berorientasi pada transfer kapabilitas, seperti yang diterapkan dalam layanan enterprise risk management berbasis kerangka kerja internasional, memastikan organisasi bisa mengoperasikan sistem ERM-nya secara mandiri setelah pendampingan selesai.

Cara Mengukur Keberhasilan Penerapan ERM di Perusahaan

Pertanyaan yang paling sulit dijawab dalam setiap program ERM: bagaimana membuktikan bahwa sistem ini menambah nilai, bukan hanya menambah pekerjaan?

Baris terakhir itu mungkin yang paling menentukan. ERM yang matang bukan ERM yang punya laporan paling tebal, melainkan ERM yang hadir di setiap meja keputusan penting, investasi, akuisisi, peluncuran produk, penunjukan vendor kritis, dalam bentuk opini risiko yang ringkas dan bisa ditindaklanjuti.

Ada satu cara sederhana untuk mengujinya. Tanyakan kepada tiga direktur yang baru saja mengambil keputusan bisnis besar: apakah mereka melihat informasi risiko terstruktur sebelum memutuskan? Kalau jawabannya ya, ERM sudah bekerja. Kalau jawabannya "saya sudah pertimbangkan risikonya di kepala saya sendiri", maka ERM masih hidup di lorong terpisah dari tempat keputusan dibuat.

Integrasi yang utuh juga berarti ERM tidak berhenti di level korporasi. Kerangka GRC terintegrasi memastikan informasi risiko mengalir konsisten dari unit terkecil sampai ke dewan komisaris, dengan bahasa yang sama, kriteria yang sama, dan ritme yang sinkron.

Kesimpulan

Enterprise risk management pada akhirnya adalah tentang kualitas keputusan. Bukan tentang berapa banyak risiko yang terdaftar di register, bukan tentang seberapa canggih software yang dipakai, dan bukan tentang ketebalan laporan yang disampaikan ke dewan komisaris.

ERM bekerja ketika seorang direktur yang menghadapi keputusan investasi besar bisa melihat, di satu halaman, apa saja risiko materialnya, seberapa besar dampak terburuknya, mitigasi apa yang sudah tersedia, dan di titik mana ia harus berhenti. Kalau informasi itu belum ada di meja keputusan, maka ERM organisasi masih dalam tahap dokumentasi, belum sampai tahap manajemen.

Data menunjukkan hanya sepertiga organisasi yang memiliki proses ERM yang utuh, sementara kompleksitas risiko terus meningkat. Di sisi lain, perusahaan dengan ERM matang mencatat premi valuasi pasar hingga 25%. Selisih itu bukan kebetulan, ia adalah hasil dari keputusan yang lebih baik, bukan hanya lebih hati-hati.

Proxsis Strategy mendampingi korporasi, BUMN, dan institusi publik dalam membangun sistem enterprise risk management yang benar-benar terintegrasi ke dalam arsitektur keputusan organisasi, mulai dari perancangan kebijakan dan taksonomi risiko, penetapan risk appetite dan KRI, penyusunan pelaporan berjenjang, sampai asesmen maturitas dan pendampingan eksekusinya.

Kalau organisasi Anda sedang mengevaluasi kualitas pengelolaan risiko yang berjalan hari ini, tim kami siap membantu memetakan posisi awal dan merancang langkah peningkatannya.

Konsultasikan penerapan ERM organisasi Anda bersama Proxsis Strategy →

FAQ: Tanya Jawab Seputar Implementasi ERM

Apa bedanya ERM dengan manajemen risiko biasa?

Manajemen risiko biasa cenderung berjalan di silo, risiko keuangan dikelola oleh treasury, risiko operasional oleh masing-masing unit, risiko kepatuhan oleh tim legal. ERM menyatukan semuanya ke dalam satu kerangka yang terhubung ke sasaran strategis organisasi. Kelebihannya bukan pada kelengkapan daftar risiko, melainkan pada kemampuan melihat interaksi antarrisiko dan memprioritaskan respons berdasarkan dampak terhadap bisnis secara keseluruhan.

Kerangka mana yang lebih cocok untuk perusahaan Indonesia, ISO 31000 atau COSO ERM?

Keduanya tidak saling menggantikan. ISO 31000 menyediakan prinsip dan proses manajemen risiko yang fleksibel dan bisa diterapkan di organisasi apapun. COSO ERM 2017 lebih detail dalam menghubungkan risiko ke strategi dan kinerja, dan lebih sering dirujuk di sektor keuangan serta BUMN. Banyak organisasi yang menggabungkan keduanya: prinsip ISO 31000 untuk proses harian, COSO ERM untuk arsitektur tata kelola risiko di level dewan.

Berapa lama waktu yang dibutuhkan untuk membangun ERM yang fungsional?

Fondasi, kebijakan, taksonomi, risk appetite, dan siklus pelaporan pertama, biasanya memakan waktu enam sampai dua belas bulan. Tapi ERM yang benar-benar terintegrasi ke dalam keputusan bisnis memerlukan dua sampai tiga siklus perencanaan tahunan sebelum menjadi kebiasaan, bukan hanya prosedur. Yang mempercepat atau memperlambat biasanya bukan kompleksitas teknisnya, melainkan konsistensi dukungan dari puncak.

Apakah ERM hanya relevan untuk perusahaan besar?

Tidak. Prinsipnya berlaku untuk semua skala. Yang berbeda adalah kompleksitas penerapannya. Perusahaan menengah tidak memerlukan platform GRC canggih atau unit risiko berdedikasi di tahap awal. Yang dibutuhkan adalah kerangka berpikir yang konsisten: setiap keputusan penting menyertakan pertimbangan risiko, dan ada mekanisme yang memastikan pertimbangan itu terdokumentasi dan ditindaklanjuti.