Setelah organisasi mengidentifikasi dan menilai tingkat risiko, langkah berikutnya adalah menentukan strategi penanganan yang paling tepat. Tidak semua risiko harus dihilangkan sepenuhnya, karena beberapa risiko merupakan bagian yang tidak terpisahkan dari aktivitas bisnis. Oleh karena itu, organisasi perlu memilih strategi mitigasi yang sesuai dengan tingkat risiko, tujuan bisnis, sumber daya yang tersedia, serta tingkat toleransi risiko (risk tolerance).
Dalam standar ISO 31000, proses ini dikenal sebagai Risk Treatment, yaitu kegiatan memilih dan menerapkan tindakan untuk mengubah tingkat risiko sehingga berada pada level yang dapat diterima oleh organisasi.
Empat strategi mitigasi risiko yang paling umum digunakan adalah:
Avoid (Menghindari Risiko)
Reduce (Mengurangi Risiko)
Transfer (Mengalihkan Risiko)
Accept (Menerima Risiko)
Keempat strategi tersebut dapat digunakan secara terpisah maupun dikombinasikan sesuai karakteristik risiko yang dihadapi.
Artikel ini membahas konsep Risk Treatment, penjelasan masing-masing strategi mitigasi, contoh penerapan, faktor yang memengaruhi pemilihan strategi, serta praktik terbaik dalam implementasinya.
Apa itu Mitigasi Risiko?
Mitigasi Risiko adalah serangkaian tindakan yang dilakukan untuk mengurangi kemungkinan terjadinya risiko, mengurangi dampaknya, atau mengelola risiko agar berada pada tingkat yang dapat diterima.
Mitigasi bukan berarti menghilangkan seluruh risiko, melainkan mengendalikan risiko sehingga organisasi tetap dapat mencapai tujuannya.
Tujuan Mitigasi Risiko
Mitigasi risiko bertujuan untuk:
mengurangi potensi kerugian;
melindungi aset organisasi;
menjaga kelangsungan operasional;
meningkatkan efektivitas pengendalian internal;
memenuhi persyaratan regulasi;
meningkatkan kepercayaan pemangku kepentingan;
mendukung pencapaian tujuan strategis.
Hubungan Mitigasi Risiko dengan ISO 31000
Dalam proses manajemen risiko menurut ISO 31000, mitigasi dilakukan setelah:
Identifikasi Risiko
Analisis Risiko
Evaluasi Risiko
Risk Treatment (Mitigasi Risiko)
Monitoring dan Review
Artinya, strategi mitigasi dipilih berdasarkan hasil penilaian risiko yang telah dilakukan sebelumnya.
Empat Strategi Mitigasi Risiko
1. Avoid (Menghindari Risiko)
Pengertian
Strategi Avoid dilakukan dengan menghilangkan aktivitas yang menimbulkan risiko sehingga risiko tersebut tidak lagi dihadapi oleh organisasi.
Strategi ini dipilih apabila tingkat risiko sangat tinggi dan tidak sebanding dengan manfaat yang diperoleh.
Contoh
membatalkan proyek yang terlalu berisiko;
menghentikan penggunaan teknologi yang sudah tidak aman;
tidak memasuki pasar dengan kondisi politik yang tidak stabil;
menolak kerja sama dengan mitra yang memiliki reputasi buruk.
Kelebihan
menghilangkan sumber risiko;
mencegah potensi kerugian besar;
mengurangi kebutuhan pengendalian tambahan.
Kekurangan
dapat menghilangkan peluang bisnis;
berpotensi mengurangi pendapatan;
tidak selalu memungkinkan untuk diterapkan.
2. Reduce (Mengurangi Risiko)
Pengertian
Strategi Reduce bertujuan mengurangi kemungkinan terjadinya risiko atau mengurangi dampaknya apabila risiko tersebut terjadi.
Ini merupakan strategi mitigasi yang paling banyak digunakan.
Contoh
Pada aspek Teknologi Informasi:
memasang firewall;
menggunakan antivirus;
menerapkan Multi-Factor Authentication (MFA);
melakukan backup data;
melakukan patch management.
Pada aspek operasional:
membuat SOP;
pelatihan karyawan;
pemeliharaan mesin;
inspeksi rutin;
penerapan quality control.
Kelebihan
mempertahankan aktivitas bisnis;
menurunkan tingkat risiko;
meningkatkan efektivitas pengendalian.
Kekurangan
membutuhkan investasi;
memerlukan pemantauan berkelanjutan.
3. Transfer (Mengalihkan Risiko)
Pengertian
Strategi Transfer dilakukan dengan mengalihkan sebagian konsekuensi risiko kepada pihak lain melalui mekanisme tertentu.
Perlu dipahami bahwa yang dialihkan adalah dampak finansial atau tanggung jawab tertentu, bukan risikonya secara keseluruhan.
Contoh
membeli polis asuransi;
outsourcing layanan TI;
kontrak pemeliharaan dengan vendor;
cloud service dengan Service Level Agreement (SLA);
kerja sama logistik dengan pihak ketiga.
Kelebihan
mengurangi beban organisasi;
memberikan perlindungan finansial;
memanfaatkan keahlian pihak lain.
Kekurangan
tetap memerlukan pengawasan vendor;
terdapat biaya premi atau kontrak;
risiko reputasi sering kali tetap menjadi tanggung jawab organisasi.
4. Accept (Menerima Risiko)
Pengertian
Strategi Accept digunakan apabila risiko berada pada tingkat yang dapat diterima atau biaya mitigasi lebih besar daripada potensi kerugiannya.
Menerima risiko bukan berarti mengabaikan risiko, melainkan tetap memantau dan mengevaluasinya.
Contoh
risiko keterlambatan pengiriman beberapa menit;
gangguan printer kantor;
kesalahan administratif kecil yang tidak berdampak signifikan.
Kelebihan
tidak membutuhkan biaya mitigasi tambahan;
sesuai untuk risiko rendah.
Kekurangan
jika kondisi berubah, risiko dapat meningkat;
memerlukan monitoring berkala.
Perbandingan Keempat Strategi
Strategi
Tujuan
Contoh
Avoid
Menghilangkan risiko
Membatalkan proyek berisiko tinggi
Reduce
Menurunkan kemungkinan atau dampak
Firewall, SOP, pelatihan
Transfer
Mengalihkan sebagian dampak
Asuransi, outsourcing
Accept
Menerima risiko yang dapat ditoleransi
Risiko operasional kecil
Faktor yang Mempengaruhi Pemilihan Strategi
Beberapa faktor yang perlu dipertimbangkan sebelum memilih strategi mitigasi antara lain:
tingkat risiko;
risk appetite organisasi;
biaya mitigasi;
efektivitas pengendalian;
kewajiban regulasi;
dampak terhadap operasional;
sumber daya yang tersedia;
tujuan strategis organisasi.
Contoh Pemilihan Strategi Mitigasi
Risiko
Tingkat Risiko
Strategi
Serangan Ransomware
Sangat Tinggi
Reduce
Investasi pada proyek yang tidak layak
Sangat Tinggi
Avoid
Kebakaran Gedung
Tinggi
Transfer (Asuransi)
Kerusakan Printer
Rendah
Accept
Gangguan Internet
Tinggi
Reduce + Transfer (ISP Cadangan)
Contoh tersebut menunjukkan bahwa satu risiko dapat ditangani dengan lebih dari satu strategi jika diperlukan.
Mitigasi Risiko dalam Berbagai Bidang
Risiko Operasional
Mitigasi:
SOP;
pelatihan;
otomatisasi proses;
inspeksi berkala.
Risiko Teknologi Informasi
Mitigasi:
firewall;
backup;
MFA;
enkripsi data;
disaster recovery.
Risiko Keuangan
Mitigasi:
diversifikasi investasi;
pembatasan kredit;
asuransi;
pengendalian anggaran.
Risiko Kepatuhan
Mitigasi:
pembaruan kebijakan;
audit kepatuhan;
pelatihan regulasi;
monitoring perubahan peraturan.
Risiko SDM
Mitigasi:
succession planning;
program pelatihan;
peningkatan keterlibatan karyawan;
evaluasi kinerja.
Hubungan Mitigasi Risiko dengan GRC
Dalam kerangka Governance, Risk Management, and Compliance (GRC), mitigasi risiko berperan sebagai penghubung antara hasil penilaian risiko dan tindakan nyata yang dilakukan organisasi.
Governance
mendukung pencapaian tujuan organisasi;
meningkatkan efektivitas tata kelola;
membantu Direksi mengambil keputusan berbasis risiko.
Risk Management
mengurangi tingkat risiko;
meningkatkan efektivitas pengendalian;
melindungi aset organisasi.
Compliance
membantu memenuhi persyaratan regulator;
mengurangi risiko pelanggaran hukum;
mendukung proses audit.
Tantangan dalam Mitigasi Risiko
Beberapa tantangan yang sering dihadapi organisasi meliputi:
keterbatasan anggaran;
kurangnya komitmen manajemen;
perubahan teknologi yang cepat;
resistensi terhadap perubahan;
kurangnya kompetensi SDM;
efektivitas pengendalian yang belum optimal.
Untuk mengatasinya, organisasi perlu melakukan evaluasi berkala dan memastikan dukungan dari seluruh tingkat manajemen.
Praktik Terbaik (Best Practices)
Agar mitigasi risiko berjalan efektif, organisasi sebaiknya:
Menentukan strategi berdasarkan hasil Risk Assessment.
Memprioritaskan risiko dengan tingkat tinggi dan sangat tinggi.
Menetapkan Risk Owner untuk setiap rencana mitigasi.
Menyusun rencana aksi yang realistis dan terukur.
Menentukan target waktu penyelesaian.
Memantau efektivitas mitigasi secara berkala.
Mengukur risiko residual setelah mitigasi diterapkan.
Mengintegrasikan mitigasi ke dalam proses bisnis sehari-hari.
Memanfaatkan teknologi untuk memantau implementasi pengendalian.
Melakukan perbaikan berkelanjutan berdasarkan hasil monitoring dan audit.
Sebuah perusahaan manufaktur mengidentifikasi risiko kebakaran di area gudang bahan baku dengan tingkat risiko yang tinggi. Setelah melakukan Risk Assessment, manajemen memutuskan untuk menerapkan beberapa strategi secara bersamaan. Risiko dikurangi (Reduce) melalui pemasangan sistem deteksi dan pemadam kebakaran otomatis, pelatihan tanggap darurat bagi karyawan, serta inspeksi rutin terhadap instalasi listrik. Selain itu, perusahaan juga mengalihkan sebagian dampak finansial (Transfer) dengan membeli polis asuransi properti.
Enam bulan setelah implementasi, hasil audit menunjukkan peningkatan kesiapan menghadapi keadaan darurat dan penurunan tingkat risiko residual. Kombinasi strategi tersebut memberikan perlindungan yang lebih efektif dibandingkan hanya menggunakan satu pendekatan.
Indikator Keberhasilan Mitigasi Risiko
Indikator
Contoh Pengukuran
Penyelesaian Mitigasi
Persentase rencana mitigasi yang selesai sesuai jadwal
Risiko Residual
Penurunan skor risiko setelah mitigasi
Efektivitas Pengendalian
Jumlah insiden yang berhasil dicegah
Kepatuhan
Tingkat kepatuhan terhadap kebijakan pengendalian
Review Berkala
Frekuensi evaluasi efektivitas mitigasi
Kerugian
Penurunan nilai kerugian akibat risiko
Kesimpulan
Mitigasi risiko merupakan tahap penting dalam manajemen risiko yang bertujuan mengendalikan risiko agar berada pada tingkat yang dapat diterima organisasi. Empat strategi utama, yaitu Avoid, Reduce, Transfer, dan Accept, memberikan berbagai pilihan tindakan sesuai dengan tingkat risiko, tujuan bisnis, serta sumber daya yang tersedia. Pemilihan strategi yang tepat memungkinkan organisasi mengurangi potensi kerugian, meningkatkan efektivitas pengendalian, memenuhi persyaratan kepatuhan, dan memperkuat tata kelola. Dalam kerangka Governance, Risk Management, and Compliance (GRC), mitigasi risiko menjadi langkah nyata untuk memastikan bahwa risiko tidak hanya dikenali, tetapi juga dikelola secara proaktif dan berkelanjutan.
