Risk assessment adalah proses mengidentifikasi, menganalisis, dan mengevaluasi risiko yang dapat mengganggu suatu aktivitas, lalu menentukan cara mengendalikannya. Dalam bahasa Indonesia, istilah ini disebut penilaian risiko.
Kegiatan risk assessment mencakup lima langkah berurutan: identifikasi risiko, analisis risiko, evaluasi risiko, pengendalian risiko, serta pemantauan dan tinjauan. Prosesnya dipakai di banyak konteks, mulai dari keselamatan kerja, keamanan informasi, hingga audit internal dan tata kelola perusahaan.
Artikel ini membahas arti risk assessment, lima langkah pelaksanaannya, matriks penilaian risiko beserta tabelnya, penerapannya dalam audit internal, dan contoh nyata di perusahaan.
Apa itu Risk Assessment?
Risk assessment adalah proses identifikasi, penilaian, dan analisis risiko yang terkait dengan suatu aktivitas tertentu. Tujuannya bukan sekadar mendaftar bahaya, melainkan menakar dua hal sekaligus: seberapa besar kemungkinan risiko itu terjadi, dan seberapa besar dampaknya jika benar terjadi. Dari kedua ukuran itulah organisasi memutuskan risiko mana yang harus ditangani lebih dulu.
Penilaian risiko wajib dilakukan oleh semua jenis organisasi, baik swasta maupun instansi pemerintah. Tanpa penilaian yang terstruktur, sumber daya cenderung habis untuk menangani risiko kecil sementara risiko besar justru luput.
Bedanya dengan Analisis Risiko dan Manajemen Risiko
Ketiga istilah ini sering tertukar padahal cakupannya berbeda:
- Analisis risiko adalah satu tahap di dalam penilaian risiko, yaitu menakar kemungkinan dan dampak sebuah risiko.
- Risk assessment (penilaian risiko) mencakup analisis tersebut, ditambah identifikasi di awal dan evaluasi di akhir untuk menentukan prioritas.
- Manajemen risiko adalah payung terbesarnya, mencakup seluruh siklus mulai dari penilaian, penanganan, pemantauan, hingga pelaporan risiko di tingkat organisasi.
Baca juga: Perbedaan Gap Analysis dan Risk Assessment dalam Audit
5 Langkah Risk Assessment
Kegiatan risk assessment adalah rangkaian lima langkah yang dijalankan berurutan. Melewati satu langkah membuat hasil penilaian tidak dapat diandalkan.
1. Identifikasi risiko
Mendaftar semua potensi bahaya atau kejadian yang bisa menyebabkan kerugian atau gangguan terhadap tujuan organisasi. Tahap ini biasanya melibatkan observasi lapangan, wawancara dengan pemilik proses, telaah data historis insiden, dan tinjauan atas temuan audit sebelumnya.
2. Analisis risiko
Menakar setiap risiko yang sudah teridentifikasi dari dua sisi: probabilitas terjadinya dan besarnya dampak. Pada tahap ini penyebab akar masalah juga ditelusuri, karena risiko yang sama bisa berasal dari sumber yang berbeda dan menuntut penanganan berbeda.
3. Evaluasi risiko
Membandingkan hasil analisis dengan kriteria risiko yang sudah ditetapkan organisasi, lalu menempatkan setiap risiko ke dalam matriks penilaian risiko untuk menentukan tingkat keparahannya. Keluaran tahap ini adalah daftar prioritas: risiko mana yang harus ditangani lebih dulu.
4. Pengendalian risiko
Menentukan strategi penanganan untuk setiap risiko prioritas. Umumnya ada empat pilihan: menghindari risiko, mengurangi kemungkinan atau dampaknya, mengalihkan risiko kepada pihak lain (misalnya melalui asuransi), atau menerima risiko tersebut secara sadar karena biaya penanganannya melebihi manfaatnya.
5. Pemantauan dan tinjauan
Memastikan pengendalian yang diterapkan benar-benar efektif, sekaligus meninjau ulang penilaian secara berkala. Profil risiko berubah seiring perubahan proses bisnis, teknologi, dan regulasi, sehingga penilaian yang tidak pernah ditinjau akan cepat usang.
Risk Assessment Matrix (Matriks Penilaian Risiko)
Risk assessment matrix adalah tabel yang memetakan setiap risiko berdasarkan kemungkinan terjadinya (baris) dan dampaknya (kolom). Perpotongan keduanya menghasilkan tingkat risiko, yang menjadi dasar penentuan prioritas penanganan.
Bentuk yang paling umum dipakai adalah matriks 5×5 berikut:
| Kemungkinan ↓ / Dampak → | Tidak Signifikan | Minor | Sedang | Mayor | Katastrofik |
|---|---|---|---|---|---|
| Hampir pasti terjadi | Medium | High | High | Extreme | Extreme |
| Sering terjadi | Medium | Medium | High | High | Extreme |
| Kadang terjadi | Low | Medium | Medium | High | Extreme |
| Jarang terjadi | Low | Low | Medium | Medium | High |
| Sangat jarang terjadi | Low | Low | Low | Medium | High |
Empat tingkat risiko dalam matriks tersebut dibaca sebagai berikut.
1. Extreme
Risiko dengan prioritas tertinggi. Harus ditangani segera dan biasanya perlu dieskalasi ke manajemen puncak. Aktivitas terkait sering dihentikan sementara sampai pengendalian memadai tersedia.
2. High
Perlu tindakan segera dengan penanggung jawab dan batas waktu yang jelas. Jika penanganan tidak dapat diselesaikan sesuai tenggat, batas waktu baru yang lebih ketat harus ditetapkan, bukan dibiarkan menggantung.
3. Medium
Medium risk artinya risiko berada pada tingkat menengah: tidak mendesak, tetapi tetap perlu strategi penanganan yang terencana. Umumnya dapat diatasi melalui perbaikan prosedur tanpa memerlukan sumber daya besar.
4. Low
Risiko rendah yang tidak menimbulkan gangguan berarti. Cukup dipantau secara berkala. Penanganan tetap boleh dilakukan bila biayanya kecil dan memberi perbaikan kinerja secara keseluruhan.
Risk Assessment dalam Audit Internal
Dalam konteks audit, risk assessment adalah dasar penyusunan rencana audit. Auditor internal tidak memeriksa seluruh proses dengan bobot yang sama, melainkan mengarahkan waktu dan sumber daya ke area dengan risiko tertinggi. Pendekatan inilah yang dikenal sebagai audit berbasis risiko.
Penilaian risiko dalam audit umumnya dijalankan pada dua tingkat. Pada tingkat organisasi, hasilnya menentukan unit atau proses mana yang masuk ke dalam rencana audit tahunan. Pada tingkat penugasan, hasilnya menentukan prosedur audit mana yang dijalankan dan seberapa luas pengujiannya.
Kerangka yang paling banyak dijadikan acuan adalah COSO Framework, yang menempatkan penilaian risiko sebagai salah satu komponen utama pengendalian internal. Untuk pembahasan jenis risiko yang khas dalam penugasan audit, lihat risiko audit.
Contoh Risk Assessment di Perusahaan Teknologi
Berikut contoh penerapan kelima langkah pada perusahaan pengembang perangkat lunak, yang bisa dijadikan acuan penyusunan penilaian risiko di organisasi Anda.
1. Identifikasi risiko
- Kerentanan keamanan dalam perangkat lunak yang dapat dieksploitasi pihak luar
- Kehilangan data pelanggan akibat kegagalan sistem atau serangan malware
- Gangguan kesehatan mental dan fisik karyawan akibat beban kerja tinggi
- Bahaya fisik di tempat kerja, seperti cedera akibat kecelakaan atau kondisi lingkungan yang tidak sehat
2. Analisis risiko
- Menakar probabilitas dan dampak setiap risiko yang teridentifikasi
- Menelusuri penyebabnya. Misalnya, kemungkinan eksploitasi kerentanan keamanan tergolong rendah, tetapi dampaknya signifikan terhadap reputasi dan keuangan perusahaan
3. Evaluasi risiko
- Menempatkan setiap risiko ke dalam matriks 5×5 di atas. Kerentanan keamanan tadi berada di persilangan “jarang terjadi” dan “mayor”, sehingga masuk kategori Medium
- Mengevaluasi risiko kepatuhan terhadap regulasi perlindungan data pribadi
4. Pengendalian risiko
- Menerapkan prosedur keamanan yang lebih ketat dan uji penetrasi berkala
- Meningkatkan pemantauan sistem dan mekanisme cadangan data
- Memberikan pelatihan keselamatan kerja dan pengelolaan beban kerja bagi karyawan
5. Pemantauan dan tinjauan
- Memantau efektivitas pengendalian secara berkala melalui indikator yang terukur
- Meninjau ulang penilaian risiko setiap kali terjadi perubahan proses, sistem, atau regulasi
FAQ Seputar Risk Assessment
Risk assessment artinya apa?
Risk assessment artinya penilaian risiko, yaitu proses mengidentifikasi, menganalisis, dan mengevaluasi risiko yang dapat mengganggu suatu aktivitas, lalu menentukan cara mengendalikannya.
Kegiatan risk assessment meliputi apa saja?
Kegiatan risk assessment adalah identifikasi risiko, analisis risiko, evaluasi risiko, pengendalian risiko, serta pemantauan dan tinjauan. Kelimanya dijalankan berurutan dan diulang secara berkala.
Apa bedanya risk assessment dan manajemen risiko?
Risk assessment adalah bagian dari manajemen risiko. Penilaian risiko berhenti pada tahap menentukan tingkat dan prioritas risiko, sedangkan manajemen risiko mencakup seluruh siklus mulai dari penilaian, penanganan, pemantauan, hingga pelaporan risiko di tingkat organisasi.
Apa itu risk assessment matrix?
Matriks penilaian risiko adalah tabel yang memetakan risiko berdasarkan kemungkinan terjadinya dan besarnya dampak. Perpotongan keduanya menghasilkan tingkat risiko — low, medium, high, atau extreme — yang menjadi dasar penentuan prioritas penanganan.
Medium risk artinya apa?
Medium risk artinya risiko pada tingkat menengah: tidak mendesak seperti high atau extreme, tetapi tetap memerlukan strategi penanganan terencana. Umumnya cukup diatasi lewat perbaikan prosedur tanpa sumber daya besar.
Apa tujuan dilakukannya risk assessment?
Tujuannya mengidentifikasi potensi bahaya, mengevaluasi kemungkinan dan dampaknya, lalu mengembangkan strategi untuk mengurangi atau mengelola risiko secara lebih efektif — sehingga sumber daya organisasi terarah pada risiko yang paling penting.
Bagaimana risk assessment digunakan dalam audit internal?
Hasil penilaian risiko menentukan unit atau proses mana yang masuk rencana audit tahunan, serta prosedur audit mana yang dijalankan dan seberapa luas pengujiannya. Pendekatan ini dikenal sebagai audit berbasis risiko.
Kelola Penilaian Risiko Audit Lebih Terstruktur bersama Audithink
Menyusun penilaian risiko untuk banyak unit dan cabang secara manual membuat profil risiko cepat usang dan sulit ditelusuri. Audithink, internal audit management software untuk perusahaan dan BUMN di Indonesia, membantu tim audit internal memetakan risiko, menyusun rencana audit berbasis risiko, dan memantau tindak lanjut temuan dalam satu platform terintegrasi.
Jadwalkan Demo Audithink untuk melihat bagaimana platform kami mendukung audit berbasis risiko.
Konsultasi dengan Tim Audithink untuk membahas kebutuhan audit internal perusahaan Anda.
