Manajemen Risiko Perusahaan

Apa itu ERM — dan dua kerangka kerja di balik akronim tersebut

Setiap departemen mengelola risikonya sendiri — keuangan melakukan lindung nilai, TI memperbaiki, tinjauan hukum. Manajemen risiko perusahaan ada karena risiko yang dapat menghancurkan organisasi tidak menghormati silo-silo tersebut: mereka berinteraksi, berkonsentrasi, dan berakhir di puncak organisasi. ERM adalah disiplin untuk melihat portofolio risiko secara keseluruhan, terikat pada tujuan: apa yang bisa menghentikan kita mencapai apa yang telah kita putuskan untuk dicapai — dan apa yang kita lakukan tentang hal itu, dengan sengaja?

Dua kerangka acuan menjadi dasar bidang ini. Kerangka ERM COSO (2004; direvisi secara substansial pada 2017 sebagai Manajemen Risiko Perusahaan — Mengintegrasikan dengan Strategi dan Kinerja) — revisi ini penting, karena mengubah ERM dari latihan pengendalian internal menjadi disiplin strategi: risiko dipertimbangkan dalam menetapkan tujuan, bukan hanya untuk melindunginya. ISO 31000 (2009, direvisi 2018) memberikan kerangka proses yang jelas: menetapkan konteks, mengidentifikasi, menganalisis, mengevaluasi, menangani, memantau, berkomunikasi — secara iteratif, bukan tahunan.

Kosa kata yang bekerja: sebuah pernyataan selera risiko (risiko mana, seberapa besar, dalam mengejar apa); sebuah daftar risiko (setiap risiko dengan pemilik, penilaian kemungkinan dan dampak yang jujur, perawatan, dan indikator awal); dan empat perawatan klasik — menghindari, mengurangi, mentransfer (asuransi, kontrak), menerima. Yang terakhir ini layak untuk direhabilitasi: menerima risiko, secara eksplisit, dengan alasan yang tercatat, adalah sebuah keputusan — seringkali yang tepat. Apa yang tidak pernah benar adalah menerima secara default karena tidak ada yang memperhatikan. Satu catatan ruang lingkup: tata kelola dan kepatuhan khusus AI adalah disiplin tersendiri dengan tumpukan regulasi sendiri — itu adalah wilayah produk saudara kami AIAgentree; halaman ini mempertahankan ERM sebagai kerangka keputusan umum. Konteks: model pengambilan keputusan dan jejak audit keputusan.

Kapan menggunakannya — dan kapan tidak menggunakannya

ERM mendapatkan imbalannya ketika:

• ✓Tujuan ditetapkan dan eksposur mengikuti. Komitmen strategi menciptakan risiko; ERM membuat pengambilan keputusan menjadi disengaja — kerangka COSO 2017.
• ✓Risiko terkonsentrasi di antara silo. Kegagalan pemasok yang sekaligus merupakan peristiwa operasional, keuangan, dan reputasi tidak terlihat dalam daftar risiko departemen dan jelas terlihat dalam pandangan portofolio.
• ✓Para pemangku kepentingan menuntut keputusan yang sadar risiko — dewan, regulator, penjamin, pelanggan perusahaan. Praktik ERM yang efektif menjawab dengan bukti alih-alih jaminan.

Dan mode kegagalannya:

• ✗Binder kepatuhan. Sebuah daftar yang dipelihara untuk audit dan tidak dikonsultasikan oleh siapa pun pada saat pengambilan keputusan. Jika daftar tersebut tidak muncul saat keputusan diambil, praktik tersebut adalah teater dengan taksonomi.
• ✗Skor berpakaian sebagai data. Kemungkinan 3 × dampak 4 = 12 — aritmetika yang tampak tepat pada penilaian yang tidak ada yang memperdebatkan. Penilaiannya baik; menyembunyikan dasarnya tidak.
• ✗Pernyataan selera yang tidak menghalangi apa pun. "Kami menerima risiko moderat dalam mengejar pertumbuhan" tidak menghalangi keputusan dan mengizinkan setiap orang. Selera mendapatkan namanya ketika sebuah proposal nyata dapat gagal.
• ✗Ulasan risiko terpisah dari keputusan. Pertemuan risiko triwulanan tanpa hubungan dengan pilihan aktual kuartal mengelola daftar, bukan risikonya.

Langkah demi langkah, dengan contoh yang dikerjakan

Skenario ilustratif: sebuah perusahaan SaaS yang diinventarisasi dengan 300 orang mendirikan praktik ERM yang berfungsi (bukan seremonial). Prosedurnya:

1. 1Menetapkan konteks dan selera. Tujuan: pertumbuhan segmen perusahaan, keandalan platform, posisi regulasi. Selera, ditulis untuk gerbang: ketergantungan pada pemasok tunggal di atas pangsa pendapatan yang ditetapkan memerlukan persetujuan dewan; tidak ada penerimaan risiko yang mengancam integritas data pelanggan; risiko eksperimen produk diterima dalam anggaran yang ditentukan.
2. 2Identifikasi di seluruh silo. Lokakarya per fungsi ditambah dengan pendekatan lintas fungsi. Tampilan portofolio segera menunjukkan konsentrasi: satu penyedia cloud mendasari tujuan keandalan, kontrak pelanggan terbesar, dan cerita pemulihan bencana — tiga risiko departemen yang merupakan satu risiko perusahaan.
3. 3Analisis dengan jujur. Setiap entri registrasi membawa kemungkinan dan dampak seperti argumen penilaian dengan dasar yang dinyatakan — sejarah pemadaman, syarat kontrak, insiden sebanding — bukan hanya skor kosong. Ketidaksepakatan tentang penilaian dicatat, bukan dirata-ratakan.
4. 4Evaluasi terhadap selera. Konsentrasi awan melebihi batas penyedia tunggal → perawatan wajib. Ketergantungan alat kecil berada dalam selera → diterima, dengan alasan dan pemilik, tercatat.
5. 5Perlakukan, dengan pemilik dan tanggal. Kurangi: arsitektur multi-region untuk jalur kritis (program 12 bulan). Transfer: syarat gangguan bisnis yang dinegosiasikan ulang. Risiko residual setelah perlakuan dievaluasi ulang — perlakuan mengubah angka, dan catatan menyatakannya.
6. 6Monitor dengan indikator yang mempengaruhi keputusan. Tingkat insiden penyedia, pangsa konsentrasi kontrak, hasil uji DR — masing-masing dengan pemilik dan ambang batas yang memicu tinjauan keputusan, bukan memo. Daftar ini dikonsultasikan pada setiap komitmen besar: apakah keputusan ini mempengaruhi entri mana pun?

ERM sebagai pohon argumen

Dalam istilah kualitas keputusan, ERM memberikan informasi (inventaris yang dipelihara tentang apa yang bisa salah, dengan bukti) dan kerangka (tujuan dan selera yang mendefinisikan risiko mana yang bahkan termasuk dalam lingkup). Kegagalan kronisnya — binder yang tidak pernah dibuka siapa pun — adalah masalah struktural: register tersebut hidup terpisah dari keputusan yang menciptakan eksposur. Pada pohon argumen, pemisahan itu tertutup:

ERM vs alternatifnya