31 TEKNIK PENILAIAN RISIKO BERBASIS ISO 31010 Business Impact Analysis Analisis Dampak Bisnis Penulis: Dr. Antonius Alijoyo, CERG, QRGP. Bobby Wijaya, M.M., ERMCP, QRMP Intan Jacob, M.M. Al Fattaah M. S. F., MBA., QRMA RI SK IDE NT IFICATION RIS K ANALYSI S: Consequences Probability Level of Risk Dipublikasikan oleh: RIS K E VALUAT ION
PEN DAHULUAN Seri e-booklet (buku saku daring) Teknik Asesmen Risiko dikembangkan oleh tim 'knowledge management' CRMS Indonesia yang didukung oleh tim digital CyberWhale. Tersedia 31 buku saku bagi praktisi dan profesional bidang manajemen risiko (daftar selengkapnya ada di bagian belakang buku saku).
Keseluruhan seri buku saku ditulis berdasarkan dokumen ISO 31010 yang merupakan standar internasional 'risk assesment techniques' yang terdiri dari 31 teknik asesmen risiko mulai dari identifikasi risiko, analisis risiko, dan evaluasi risiko. Setiap teknik memiliki karakteristik masing-masing, sehingga setiap teknik ada yang hanya dapat digunakan untuk identifikasi risiko, atau analisis risiko saja, atau evaluasi risiko saja. Namun, ada juga teknik yang memiliki lebih dari satu karakteristik. ISO 31010 merupakan dokumen pendukung dari dokumen induk ISO 31000 Standar Internasional Manajemen Risiko. Buku saku ini juga dapat digunakan sebagai PSB (Pendidikan Sertfikasi Berkelanjutan) bagi para pemegang sertifikasi kompetensi manajemen risiko yang dikeluarkan oleh Lembaga Sertifikasi Profesi (LSP) MKS yaitu pemegang sertifikasi QRGP (Qualified Risk Governance Professional), QCRO (Qualified Chief Risk Officer), QRMP (Qualified Risk Management Professional), QRMA (Qualified Risk Management Analyst), dan QRMO (Qualified Risk Management Officer). Cara mengklaim PSB sangat mudah yaitu mengunduh tautan 'e-learning' PSB di bagian akhir buku saku dan kemudian menjawab 5-10 pertanyaan ulasan (review question) yang disediakan. Anda dapat melakukan pendaftaran e-learning pada link berikut: Karena sifat buku saku yang adaptif terhadap perubahan, masukan dan usulan para pembaca dan pengguna buku saku sangat diharapkan, dan mohon dikirimkan melalui email ke alamat berikut: support@cyberwhale.co.id Selamat membaca! TIM PENULIS Dr. Antonius Alijoyo, ERMCP, CERG, CCSA, CFSA, CGAP, CRMA, CFE, QRGP, QCRO, QRMP Bobby Wijaya, M.M., ERMCP, QRMP, CEH, CGP, CSA Intan Jacob, M.M., QRMP Al Fattaah M. S. Fisabilillah, MBA., QRMA
A. TIN JAUA N SINGKAT Keberlangsungan organisasi menjadi hal yang tidak dapat diabaikan. Hal ini mendorong setiap organisasi untuk dapat melaksanakan serangkaian proses yang dapat menjamin organisasi / bisnis tetap berjalan normal ketika suatu peristiwa risiko yang berdampak besar (bencana) terjadi. Rangkaian proses tersebut sering dikenal sebagai Business Contuinity Management (BCM). Dalam penerapan BCM, organisasi setidaknya perlu membuat BCP (Business Continuity Plan) atau Rencana Keberlangsungan Bisnis. BCP merupakan proses yang melibatkan pembuatan sistem pencegahan dan pemulihan aktivitas organisasi / bisnis dari suatu peristiwa risiko. Di samping itu, untuk membantu pembuatan BCP dan BCM, langkah pertama yang organisasi dapat lakukan adalah membuat BIA (Business Impact Analysis) atau Analisis Dampak Bisnis. BIA merupakan alat bantu untuk menganalisis bagaimana suatu peristiwa risiko dapat mempengaruhi aktivitas operasional organisasi dan mengidentifikasi kapabilitas apa yang dibutuhkan untuk mengelola peristiwa risiko tersebut. Lebih lanjut, BIA bertujuan untuk mengidentifikasi proses bisnis yang penting bagi organisasi, kemudian memperkirakan risiko serta dampak terburuk yang dapat terjadi pada proses bisnis tersebut. Dengan demikian, teknik BIA memungkinkan organisasi untuk memahami bagaimana cara mengatasi suatu peristiwa risiko pada proses bisnis yang terganggu dengan menghitung RTOs (Recovery Time Objectives)¹ dan MAO (Maximum Acceptable Outage)². ¹ RTO adalah Target waktu yang dibutuhkan sebuah proses bisnis untuk dapat berjalan normal kembali setelah gangguan atau bencana terjadi. ² MAO adalah Waktu maksimum yang dapat ditoleransi ketika suatu produk atau layanan organisasi tidak tersedia.
B. PENGGUNA AN Sebelum lebih jauh berbicara tentang penggunaan BIA, ada persepsi yang harus di samakan, yaitu BIA bukan sebuah alat bantu untuk membuat strategi pemulihan (Recovery Strategy) pada proses bisnis pasca terjadinya gangguan atau bencana. BIA adalah alat bantu untuk mengidentifikasi proses bisnis apa saja yang penting bagi organisasi, serta risiko yang mungkin timbul pada proses bisnis tersebut, sebagai landasan sebelum membuat strategi pemulihan. Perlu juga diketahui bahwa pelaksanaan BIA dilakukan pada tingkat unit bisnis dan untuk jumlah unit bisnis yang akan terlibat dapat disesuaikan dengan kebutuhan organisasi. Untuk dapat menerapkannya, Anda dapat membentuk Tim pelaksana BIA dan mengikuti langkah-langkah di bawah ini: 1. Menyusun Kriteria Parameter dan Daftar Pertanyaan Wawancara Pada tahap pertama, Tim pelaksana BIA akan menetapkan beberapa parameter untuk mengukur dampak yang dapat diterima suatu proses bisnis. Dalam menetapkan parameter, Tim pelaksana BIA harus meminta persetujuan pemangku kepentingan yang relevan, salah satunya adalah pimpinan organisasi. Hal ini penting dilakukan karena akan menjadi landasan dalam menentukan skala prioritas, yaitu dengan mengukur tingkat besaran risiko yang mungkin terjadi beserta dampaknya.
Penetapan parameter yang paling umum adalah dengan mengukur dampak kerugian finansial. Selain itu, penetapan parameter juga dapat dilakukan dengan mengukur dampak kualitas pelayanan, dampak kebocoran data dan informasi, dan masih banyak hal lainnya yang dapat dijadikan parameter. Sebagai contoh, berikut ini terdapat salah satu kasus yang terjadi di industri perbankan, yaitu Wiws Bank. Perusahaan yang baru berusia 10 tahun ini berencana untuk membuka cabang di lima negara Asia dan menghadapi beberapa risiko, antara lain: Risiko Operasional, dalam hal kualitas dan kecepatan pelayanan dengan bank mancanegara lainnya; Risiko IT, yaitu adanya serangan peretas yang menyebabkan kebocoran data dan informasi; dan Risiko hukum, karena tidak cermat menghadapi persoalan hukum di luar negeri. Ketiga risiko tersebut dapat menimbulkan berbagai macam dampak, mulai dari yang sangat kecil hingga yang sangat besar sehingga perlu adanya parameter dampak yang jelas, agar dapat diketahui manakah risiko yang menjadi prioritas. Penetapan parameter dampak Wiws Bank dapat dilihat pada tabel di bawah ini:
Tabel 1. Penentuan Parameter BIA (Contoh Kasus: Wiws Bank - Industri Perbankan) Tabel 1. Penentuan Parameter BIA (Contoh Kasus: Wiws Bank - Industri Perbankan) WIWS BANK BUSINESS IMPACT PARAMETERS Parameter Dampak Dampak Keuangan (Rupiah) Kualitas Pelayanan Hukum / Perjanjian Kebocoran Data dan Informasi Sangat Kecil 0 - 10 miliar Tidak memiliki dampak terhadap kualitas pelayanan Tidak terdapat tuntutan Peretas menyerang salah satu sistem informasi namun tidak memiliki dampak. Kecil 11 - 25 miliar Menurunnya kualitas pelayanan, terdapat komplain sebanyak < 10% dari total konsumen Mengakibatkan dibuatnya pertemuan antara kedua belah pihak untuk menyelesaikan masalah Peretas menyerang website perusahaan dan berdampak pada non-aktifnya website dalam beberapa waktu. Sedang 26 - 50 miliar Menurunnya kualitas pelayanan, terdapat komplain sebanyak 10 - 25 % dari total konsumen Organisasi mendapatkan surat peringatan pertama dan adanya biaya ganti rugi seperti biaya keterlambatan proyek Peretas mengambil alih website tapi tidak sampai pada database. Besar 51 - 75 miliar Menurunnya kualitas pelayanan yang membutuhkan perhatian khusus oleh direktur bersangkutan, terdapat komplain sebanyak 25 -50% dari total konsumen Organisasi mendapatkan surat peringatan kedua, ada indikasi organisasi akan dituntut dan adanya biaya ganti rugi seperti biaya keterlambatan proyek Peretas mengubah sebagian data/informasi yang ada di dalam database. Sangat Besar >75 miliar Kualitas pelayanan kalah dari pesaing dan membutuhkan perhatian khusus oleh direktur bersangkutan, terdapat komplain sebanyak > 50% dari total konsumen Organisasi dituntut dan didenda, kontrak atau perjanjian batal demi hukum Peretas mengambil seluruh data, menghapus seluruh data di dalam database dan meminta sejumlah uang untuk mengembalikannya.
Di samping itu, pada tahap ini juga dilakukan penyusunan daftar pertanyaan sebagai panduan untuk kegiatan wawancara nantinya. Penyusunan daftar pertanyaan setidaknya harus meliputi poin-poin di bawah ini: Informasi mengenai nama, jabatan, unit bisnis, dan divisi tempat narasumber yang terlibat bekerja; Kapan wawancara akan dilaksanakan; Sasaran utama unit bisnis; Deskripsi singkat proses bisnis yang dijalankan, beserta dengan jumlah staf yang terlibat; Tingkat kemungkinan terjadinya risiko atau gangguan yang dialami oleh suatu proses bisnis; Dampak kerugian yang mungkin ditimbulkan, misalnya seperti dampak finansial, dampak reputasi, dan sebagainya; dan RTO dan MAO dari tiap proses bisnis. Poin-poin di atas hanya merupakan contoh saja, Anda dapat menambahkan poin lainnya jika Anda merasa membutuhkannya. Dengan data yang semakin lengkap, maka Anda akan semakin mudah dalam proses pelaksanaan BIA. Namun jangan sampai membuat diri Anda terjebak dalam jumlah pertanyaan yang sangat banyak. Anda tetap harus membuat pertanyaan yang relevan dan sesingkat mungkin dengan data apa yang Anda butuhkan. Anda dapat melihat contoh panduan wawancara BIA pada tabel 2.
Tabel 2. Panduan Wawancara BIA (Contoh Kasus: Wiws Bank - Industri Perbankan)³ Tabel 2. Panduan Wawancara BIA (Contoh Kasus: Wiws Bank - Industri Perbankan)³ BUSINESS IMPACT ANALYSIS (Panduan Wawancara) Nama Narasumber (Jabatan): Susi (Customer Service) Tanggal Wawancara: 2 Desember 2012 Divisi: Operasional Unit Bisnis: Pelayanan Konsumen Unit Bisnis (Sebutkan sasaran utama unit bisnis dan Deskripsikan proses bisnis yang dikerjakan unit bisnis anda): No Unit Bisnis Sasaran Utama Proses Bisnis Jumlah staf 1 Pelayanan Konsumen Memberikan pelayanan terbaik kepada nasabah Menangani nasabah; Menangani Komplain; Komunikator; dan Menawarkan produk terbaru. 8 Orang 2 Pengukuran Prioritas Proses Bisnis (Deskripsikan gangguan yang sering dialami pada tiap proses bisnis, lalu deskripsikan dampak dari berbagai kategori, lalu tentukan RTO dan MAO. Proses bisnis yang memiliki dampak paling besar dengan RTO dan MAO yang paling besar akan menjadi prioritas dibanding lainnya.) Dampak Proses Bisnis Risiko Keuangan Kualitas Pelayanan Hukum/ Perjanjian IT Potensi Frekuensi Gangguan RTO 1 Kualitas & Kecepatan Pelayanan menurun Kerugian Finansial Rp 0 - 10 Juta Terdapat komplain sebanyak 10-25% dari total konsumen
5 - 10 kali dalam sebulan 10 Menit / Hari 2 ³ Untuk tujuan simplifikasi, panduan wawancara untuk mencari tahu risiko kedua dan ketiga yang ada di bagian Tabel 3 tidak dicantumkan. Namun dapat dilihat rangkumannya pada Tabel 3. MAO 30 Menit / Hari
2. Melakukan Persiapan Wawancara. Persiapan untuk melakukan wawancara setidaknya menyangkut akan dua hal: (1) melakukan komunikasi dengan pimpinan puncak organisasi; (2) menentukan siapa saja narasumber wawancara beserta tanggal wawancaranya. Tujuan dari persiapan pertama adalah untuk meminta persetujuan dalam melakukan analisis, sekaligus meminta bantuan para pimpinan untuk dapat memberi tahu setiap kepala unit bisnis bahwa akan dilakukan sebuah analisis dampak bisnis. Hal ini penting dilakukan agar personil yang akan Anda temui telah terinformasi dan mau meluangkan waktunya untuk melakukan analisis mendalam mengenai unit bisnisnya. Untuk persiapan kedua, Anda dapat meminta saran dan rekomendasi pimpinan puncak untuk menentukan proses bisnis mana saja yang perlu dilakukan analisis BIA lebih awal. Narasumber yang hendak dipilih sebaiknya adalah orang yang melakukan atau terlibat langsung dalam proses bisnis tersebut sehari-hari dan memiliki pemahaman yang baik tentang proses bisnis yang dijalankan. Hal ini dilakukan karena analisis BIA membutuhkan data yang objektif dan akurat. Semakin objektif dan akurat data yang diperoleh maka akan semakin relevan data tersebut digunakan dalam proses pelaksanaan BIA. 3. Melaksanakan BIA. Terdapat beberapa hal krusial dalam pelaksanaan BIA yang harus Anda perhatikan, yang pertama adalah Anda harus mampu memahami konteks unit bisnis yang di analisis. Tidak semua unit bisnis memiliki risiko yang berdampak pada keuangan. Sehingga Anda tidak boleh menganggap risiko unit bisnis yang berdampak pada keuangan lebih penting dibanding risiko unit bisnis yang tidak berdampak pada keuangan.
Anda juga harus memastikan informasi yang disampaikan narasumber akurat. Narasumber sering tidak dapat membedakan risiko dengan penyebab risiko atau dampak risiko. Pastikan Anda selalu bertanya "mengapa?", hingga Anda menemukan akar penyebab risikonya. Hambatan yang sering terjadi adalah sulit menentukan jadwal wawancara yang dapat mempertemukan langsung pihak narasumber dengan Tim pelaksana BIA. Untuk mengatasi hal ini, Anda dapat meminta kepada pimpinan puncak organisasi agar memberikan surat himbauan untuk menghadiri wawancara BIA. 4. Rekapitulasi hasil BIA. Setelah pelaksanaan BIA, tim pelaksana harus menganalisis data hasil wawancara. Jika terdapat data yang kurang masuk akal, maka dapat dilakukan peninjauan ulang dengan melakukan wawancara ulang atau memastikan kembali hasil wawancara kepada pihak yang bersangkutan. Dalam pembuatan laporan BIA, Anda setidaknya menyediakan informasi berikut ini: Tinjauan umum proses BIA; Unit bisnis dan direktorat yang terlibat; Temuan berupa gangguan yang sering terjadi beserta dampaknya; Potensi frekuensi terjadinya gangguan; RTO dan MAO tiap proses bisnis; Peringkat prioritas proses bisnis; Kesimpulan. Contoh laporan BIA secara lengkap yang akan diberikan kepada pimpinan organisasi dapat dilihat pada tabel 3.
5. Komunikasikan laporan BIA. Tahap yang paling akhir adalah mengkomunikasikan hasil laporan BIA kepada pemangku kepentingan yang terlibat dan relevan. Pemangku kepentingan yang terlibat dan relevan yang dimaksud adalah pimpinan puncak organisasi (Direksi), kepala unit bisnis, kepala divisi, serta narasumber wawancara yang terlibat. Hal ini bertujuan agar setiap pemangku kepentingan yang berkaitan mengetahui seberapa besar dampak yang dapat diakibatkan jika terjadi gangguan pada proses bisnis mereka. Hasil dari pembahasan laporan BIA adalah untuk menentukan perlakuan risiko apa yang akan dilakukan agar risiko yang dapat mengancam organisasi dapat dikelola dengan baik. C. KELUARAN Keluaran dari kegiatan BIA ini adalah: Dampak-dampak dari risiko atau gangguan yang terjadi pada suatu proses bisnis; Jangka waktu kegagalan maksimal, dan jangka waktu pemulihan bencana untuk setiap proses bisnis yang mungkin hilang akibat gangguan atau bencana. Daftar rekomendasi proses bisnis dengan skala prioritas tertinggi yang membutuhkan perlakuan segera. Contoh keluaran dari kegiatan BIA dapat dilihat pada halaman selanjutnya:
Direktorat Pelayanan Konsumen Teknologi Informasi (IT) Housing and Commercial Lending Unit Bisnis Customer Service Transaction Processing dan IT Relationship Management Tabel 3. Laporan Business Impact Analysis (Contoh Kasus: Wiws Bank - Industri Perbankan) Tabel 3. Laporan Business Impact Analysis (Contoh Kasus: Wiws Bank - Industri Perbankan) Wiws Bank Business Impact Analysis Report Proses Bisnis yang Dijalankan Risiko Potensi Frekuensi Gangguan Keuangan Dampak Kualitas Pelayanan Hukum/ Perjanjian IT Menangani nasabah; Menangani Komplain; Komunikator; dan Menawarkan produk terbaru. Social Engineering (Penipuan) 5 - 10 kali dalam 1 Bulan Kerugian Finansial Rp 0 - 10 Juta Terdapat komplain sebanyak 10-25% dari total konsumen
Memastikan sistem IT berjalan dengan lancar, Memastikan keamanan data dan informasi perusahaan Serangan dari Peretas (Hacker) 5 - 10 kali dalam 1 Bulan Kerugian Finansial Rp 0 - 10 Miliar Terdapat hambatan transaksi keuangan, terdapat komplain sebanyak 10-25% dari total konsumen
Peretas mengubah sebagian data/ informasi yang ada di dalam database. Memastikan lancarnya hubungan kerja sama antara bank, nasabah, dan lembaga keuangan lain yang terlibat Staf tidak cermat dalam mengurus perjanjian 1 - 3 kali dalam 1 Tahun Kerugian Finansial Rp 11 - 25 Miliar
Organisasi dituntut dan didenda, kontrak atau perjanjian batal demi hukum
RTO 10 Menit / Hari 10 Menit / Hari 1 Jam / Hari MAO 30 Menit / Hari 15 Menit / Hari 1,5 Jam / Hari Prioritas 2 1 3
D. K EKUATAN DAN KETERBATA S A N Kekuatan meliputi: Dapat memberikan gambaran seberapa kritis risiko yang dihadapi suatu proses bisnis. Memberikan gambaran yang akurat dan relevan mengenai suatu proses bisnis. Dapat membantu pimpinan puncak membuat keputusan investasi untuk eksploitasi risiko pada proses bisnis yang tepat. Keterbatasan meliputi: Membutuhkan waktu yang cukup lama untuk melakukan analisis yang menyeluruh dan mendalam. Sulit untuk mendapatkan tingkat pemahaman yang cukup terhadap operasi dan aktivitas organisasi secara menyeluruh. Laporan BIA tidak memberikan gambaran tentang rencana tindakan. E. SIMPULAN Analisis Dampak Bisnis (BIA) merupakan hal penting yang perlu dilakukan organisasi untuk bersiap dalam menghadapi gangguan atau bencana yang mungkin terjadi pada suatu proses bisnis. BIA yang dilakukan pada level unit bisnis berfungsi untuk menganalisis, mengidentifikasi, dan mengevaluasi risiko yang dihadapi pada masing-masing proses bisnis. Dengan demikian, Anda dapat memberikan informasi yang objektif dan akurat kepada pimpinan organisasi, kemudian bersama-sama menetapkan opsi perlakuan risiko yang tepat. Pada akhirnya, data yang terkumpul dapat digunakan oleh pimpinan puncak untuk melakukan investasi dalam rangka mengeksploitasi risiko pada proses bisnis yang tepat.
TABEL 31 TEKNIK PENILAIAN RISIKO BERBASIS ISO 31010 PROSES PENILIAN RISIKO ALAT BANTU DAN TEKNIK IDENTIFIKASI RISIKO ANALISIS RISIKO Konsekuensi Probabilitas Tingkat Risiko Curah pendapat SA* NA* NA NA Wawancara terstruktur atau semi-terstruktur SA NA NA NA Delphi SA NA NA NA Daftar periksa SA NA NA NA Analisis pendahuluan potensi bahaya SA NA NA NA Studi potensi bahaya dan operabilitas (HAZOP) SA SA A* A Analisis potensi bahaya dan titik kendali kritis (HACCP) SA SA NA NA Penilaian risiko lingkungan SA SA SA SA Struktur "apa-jika" (SWIFT) SA SA SA SA Analisis skenario SA SA SA A Analisis dampak bisnis A SA A A Analisis akar penyebab NA SA SA SA Analisis modus kegagalan dan dampak SA SA SA SA Analisis pohon kesalahan A NA SA A Analisis pohon kejadian A SA A A Analisis sebab dan konsekuensi A SA SA A Analisis sebab dan akibat SA SA NA NA Analisis lapisan proteksi (LOPA) A SA A A Pohon keputusan NA SA SA A Analisi keandalan manusia SA SA SA SA Analisis dasi kupu-kupu NA A SA SA Pemeliharaan yang terpusat pada keandalan SA SA SA SA Analisis rangkaian selinap A NA NA NA Analisis Markov A SA NA NA Simulasi Monte carlo NA NA NA NA Statistik Bayesian dan jaring Bayes NA SA NA NA Kurva A SA SA A Indeks risiko A SA SA A Matriks Konsekuensi/probabilitas SA SA SA SA Analisis biaya/manfaat A SA A A Analisis keputusan multikriteria (MCDA) A SA A SA SA A : Strongly Applicable : Applicable NA : Not Applicable EVALUASI RISIKO NA NA NA NA NA A SA SA SA A A SA SA A NA A NA NA A A A SA NA NA SA SA SA SA A A A
Dibuat untuk PSB: LSP MKS Jl. Batununggal Jelita V No. 15 Bandung, Indonesia P: (+62-22) 8730 4033 M: (+62) 812 2054 0542 E: sekretariat@lspmks.id Disusun oleh: CRMS Indonesia Jl. Batununggal Indah IV No. 97 Bandung, Indonesia P: (+62-22) 8730 1035 M: (+62) 81 2222 00 775 F: (+62-22) 7513 219 E: secretariat@crmsindonesia.org Didukung oleh: CyberWhale Jl. Batununggal Jelita V No. 15 Bandung, Indonesia P: (+62-22) 8730 4033 M: (+62) 812 2451 5052 E: support@cyberwhale.co.id