Risk Appetite vs Risk Tolerance

Based on my experience in assisting of risk management implementation, the dispute on how to set risk appetite and risk tolerance is come to my concern. Herewith brief explanation that i hope it could be shared and open to be discussed.

THE DEFINITION

Based on COSO ERM Framework,

• Risk appetite is the broad-based amount of risk an entity is willing to accept in pursuit of its mission and vision.
• Risk tolerance is the acceptable level of variation relative to achievement of objectives.

Based on ISO IEC Guide 73,

• Risk appetite is amount and type of risk an organization is prepared to pursue or take.
• Risk tolerance is organization’s readiness to bear the risk after risk treatments in order to achieve its objectives.

THE IMPLEMENTATION

In COSO ERM Framework, enterprise risk management (ERM) is broader than internal control cause ERM require the entity to consider composite risks from a portfolio perspective. From that perspective, the implementation of risk appetite should be done in the phase of strategy setting and selecting related objectives. At the other point of view on risk tolerance based on COSO ERM Framework, it serves as pre-condition to internal control, but not as a part of internal control itself.

In ISO 31000, risk appetite and risk tolerance is a part of risk attitude that reflect how an entity makes a decision based on the outcomes of risk analysis, is about which risks need treatment and the priority for treatment implementation.

THE CHALLENGE

As an entity that apply risk management, the question should be “Are we in the right track in implementing risk appetite and risk tolerance based on the chosen framework”?

DC | 01012012

Filed under: Manajemen Risiko , coso erm, ERM, ISO 31000, risk appetite, Risk Management, risk tolerance

Pengelolaan Risiko Sosial: Efektivitas Peranan Pemerintah dan Pelaku Bisnis

Risiko Sosial sebagai bagian dari Risiko Strategis

Risiko sosial sebagai bagian dari risiko strategis seringkali kurang terkelola dengan baik karena pada awalnya isu sosial diasumsikan sebagai domain pemerintah dan LSM. Saat ini risiko sosial sudah terangkat pula ke ranah korporat dipicu oleh beberapa insiden kerusakan reputasi yang dikaitkan dengan persepsi masyarakat terhadap perusahaan.

Risiko sosial timbul karena perbedaan persepsi dan budaya yang mengakibatkan terjadinya rasa ketidakpuasan serta ketidakadilan dari para pemangku kepentingan eksternal. Kegagalan mengelola risiko sosial ini dapat mengakibatkan biaya ekonomi tinggi dan merusak reputasi dari organisasi, serta pada akhirnya dapat berdampak sistemik menghancurkan keunggulan bersaing dari suatu negara

Ada 4 komponen yang menjadi karakteristik risiko sosial menurut Tamara Bekefi, Beth Jenkins, dan Beth Kytle pada “A working paper of the CSR Initiative” yang diterbitkan oleh John F. Kennedy School of Government, Harvard University, 2006  : (1) isu dominan; (2) pemangku kepentingan; (3) cara membangun konflik; (4) persepsi. Ilustrasi berikut ini adalah contoh bagaimana eksposur dari insiden risiko sosial senilai sekitar USD 60juta yang terjadi di U.S.-based Freeport McMoRan, Papua

Karakteristik Risiko Sosial_Contoh Kasus Freeport, Papua

Filed under: Manajemen Risiko , indonesia, risiko sosial, social risk

Ketulusan Hati dan Daya Mistis Desa Ngadirojo, Wonogiri

Pada hari Sabtu pagi, saya terbangun dan dikejutkan oleh sebuah SMS berita duka dari salah satu staf yang paling lama di kantor. Ayahnya meninggal dunia… Hmmm, saya percaya beliau sudah diberikan kebahagian sejati. Semoga keluarga yang ditinggalkan diberikan ketabahan dalam menerima kepergian beliau.

Lalu, mulailah saya hunting tiket ke Solo dan akhirnya saya berhasil mendapatkan tiket Garuda keberangkatan pk 1 siang, tetapi apa daya sepertinya kebiasaan terlambat memang sulit sekali dihilangkan. Pesawat saya terlambat terbang, sehingga saya baru tiba pukul 4 sore dari seharusnya tiba pukul 2 siang di Solo. Namun, saya masih bersyukur karena pesawat sebelumnya terlambat sampai hampir 5 jam… Fiuh…  Walaupun sudah dibantu staf saya yang lain, tetapi urusan hotel menjadi isu tersendiri karena hampir semua hotel penuh oleh kongres PSSI. Untunglah saya mempunyai teman yang cukup baik mengenal Solo sehingga bisa membantu saya memperoleh hotel yang cukup aman untuk saya beristirahat.

Kepergian saya kali ini sebagai single traveller menjadi perjalanan yang menarik untuk merasakan ketulusan hati dari keluarga staf saya dan penduduk desa Ngadirojo, sekaligus merasakan aura mistis hutan Wonogiri.

Pada saat pesawat mendarat, jemputan saya terlambat karena kemacetan yang terjadi hari itu. Setelah jemputan tiba, perut saya meronta berharap segera diisi makan. Sayang, baik saya maupun supir yang menjemput saya tidak mengenal Solo dengan baik sehingga kami makan seadanya di tempat makan yang kami lewati.

Menu makan sore saya adalah Nasi Bumbung, mirip dengan nasi timbel, hanya nasinya dibungkus bambu lalu diberi ikan. Setelah makan, saya bergegas untuk berangkat menuju Wonogiri untuk melayat. Perjalanan dimulai melewati Kota Solo, yang saat itu macet, lalu menuju Wonogiri, dan terakhir melewati hutan Desa Ngadirojo, arah Pacitan. Akhirnya sampai juga saya di tempat pada pukul 7 malam. Saya diterima dengan hangat oleh keluarga besar staf saya beserta semua tetangganya selama kurang lebih 2 jam. Keramahtamahan penduduk desa membuat saya berpikir, apakah kita yang tinggal di kota besar, saking sibuknya, kadang-kadang tidak menyadari bahwa perhatian lebih penting daripada sekadar menyumbang uang di saat teman, kerabat, atau rekan kerja kita sedang dalam kedukaan? Kemacetan dan kesibukan seringkali menjadi alasan… Hmmm…

Pada saat berpamitan, salah satu kerabat staf saya memberitahukan sesuatu hal yang sangat serius kepada supir bahwa setiap kali kita akan melewati jembatan, supir tersebut harus membunyikan klakson sebagai tanda mohon izin melewati daerah tersebut. Saya jadi sedikit terdiam dan berpikir apa kemungkinan yang akan terjadi pada kami berdua bilamana supirnya lupa? Ternyata banyak sekali kejadian misterius yang dapat terjadi bilamana kita lupa meminta izin untuk melewati jembatan tersebut. Salah satunya adalah “jalan maya”, yaitu jalan yang sebenarnya tidak ada secara fisik, tetapi ada di dalam bayangan mata kita saja. Memang benar kata pepatah, “Di mana bumi dipijak, di sana langit dijunjung”.

Filed under: Words of Wisdom

Hubungan Keterkaitan antara ERM (Enterprise Risk Management), BSC (Balance Scorecard), dan KPI (Key Performance Indicator)

Penerapan ERM harus dimulai dengan pemahaman hubungan keterkaitan antara risiko dengan tujuan yang hendak dicapai. Penyusunan tujuan organisasi bisa menggunakan berbagai pendekatan dan salah satu pendekatan yang paling banyak digunakan di Indonesia adalah pendekatan kartu skor berimbang (Balance Scorecard-BSC). ERM berkontribusi terhadap setiap target yang ditetapkan berdasarkan 4 perspektif BSC (pelanggan, proses internal, inovasi dan pembelajaran, serta keuangan) yang dituangkan lebih lanjut dalam bentuk KPI.

• Proses identifikasi dan analisis risiko dilakukan terhadap setiap KPI berdasarkan 4 perspektif BSC.
• Efektivitas rencana mitigasi digunakan manajemen untuk memantau tercapainya KPI.

dc|2011

Filed under: Manajemen Risiko , bsc, ERM, KPI

Indikator Risiko Kunci (KRI) vs Indikator Kinerja Kunci (KPI)

KRI memberikan nlai estimasi mengenai tingkat keterpaparan risiko dan berfungsi sebagai sinyal peringatan dini bagi setiap kemungkinan perubahan yang terjadi dalam profil risiko yang dapat mempengaruhi pencapaian KPI perusahaan.

 

Hubungan Keterkaitan KPI dengan KRI

Filed under: Manajemen Risiko , indikator risiko kunci, key performance indicator, key risk indicator, KPI, KRI

Prepare a Simple and Communicative Risk Profile (Part2)

“ the secret lies in keeping risk profile simple and easy to communicate”

 

This second part will describe how to prepare a risk profile based on The Top 10 Risk Profile. In the preparation, consolidation, and documentation the top 10 risk profile there are 8 steps need to be taken in sequential order illustrated below.

the approach in preparing top 10 risk profile

PREPARATION PHASE

It’s critical to develop a plan of action before getting on the actual interviews in terms of duration, resource requirement, and detail level of information want to be achieved. Several questions could be taken as references as follows:

• How often should a Top 10 Risk Profile be prepared?
• Who should be interviewed?
• How should interviews be scheduled?
• What to consider when interviewing the CEO?
• What background information needs to be gathered?

In preparing the interview tools, there’re several things needs to be considered:

• Obtaining identified clearly articulated documented corporate business objectives
• Having an environmental scan by compiling papers, report, or articles depicting events that have happened and could impact the organization or its stakeholders
• Providing a prior list of past and potential risks for interviewees.

risk profile interview sheet

CONSOLIDATION PHASE

Once all the interviews have been completed it is time to summarize the findings and become a summary of the key facts and description, thus providing the basis for compiling or updating the risk profile. When summarizing for each major risk, we need to prepare individual sheets with 2 columns: 1) risk sources and cause for any increase in identified risk; 2} mitigation efforts and cause for any decreases in risks.

In the process, interviewees sometimes give new ratings and/or trends for a risk and the ERM group should explore and validate all findings from the interviews and other evidence before make a decision whether the overall ratings or trends should indeed be changed.

DOCUMENTATION PHASE

Subsequent phase after the result summarized, the risk manager is challenged on how to  create a communicative document and any related presentations. Some helpful principles are given as follows:

• Keep it simple, written in plain language, combine descriptions, and easy to understand chart
• The draft consist of 3 key fundamental elements: 1) basic information such as the process followed, the number of interviews completed, the time frame for the assessment (e.g., three years forward), and the risks that have been removed from or added to the profile since the previous one; 2) top risks matrix show the current ratings, trends, and previous rating for comparison, references the risk descriptions on subsequent pages; 3) half-page narrative for each 10 risks describes the sources of the risk, the business objectives impacted, and the mitigations in place or planned.

Once the draft risk profile has been updated by the ERM group, then it is presented to a management committee lead by the CEO, takes as the ownership of risk profile by accepting or approving it.

COMMUNICATION PHASE

The primary purpose of the corporate risk profile is to share the risks facing the organization with the board and provide an important base for strategic planning “how the existing risks might then be affected by new strategic directions”.

As part of good corporate governance, the board should insist on viewing updated profiles on a periodic basis or requesting interim updates during a crisis.

In assuring the accuracy and usefulness of the corporate risk profile, the board also need to  monitor how money and resources are allocate relative to the top 10 risk identified.

CONCLUSION

The corporate risk profile plays a vital role in overall ERM process. Having a simple and communicative risk profile is essential for ERM as a practical management and governance tool that :

• Helps to align the understanding of business objectives and related risks between the board, senior management, and line management
• Helps to ensure significant risks are understood in a structured and consistent framework
• Plays an integral part in strategic planning and resource allocation
• Assists in marketing the value of ERM by demonstrating how the process works and how it adds value.

DC/2011

Filed under: Manajemen Risiko , ERM, Manajemen Risiko, Praktik Manajemen Risiko, Risk, Risk Management, risk profile

Prepare a Simple and Communicative Risk Profile (Part1)

“A right ERM risk profile should be holistic and reflect all risks to the organization’s business objectives”

 

Preparing and sharing corporate risk profile as one of the key building block of ERM process should be regarded as a helping tool in communicating with the board. How a profile is prepared, how frequently it is prepared, and with whom it is shared are all subject to different treatments in each organization. A corporate risk profile should be prepared for use by the management of an organization as part of the ERM process.

There are 3 different types of commonly used corporate risk profile: the top 10 list, the risk map, and the heat map.

• The “Top 10” List. This type is the simplest method of identifying, ranking, and sharing top risks in organization due to its simplicity, familiarity, easily understood, and denotes a short yet important list of risks.
• The Risk Map. This type is one of the most widely described ways to present the largest risks facing an organization. It consists of two axis: the vertical axis showing the potential impact of the risk and the horizontal axis showing the estimated likelihood of the risk occurring. Risk map are ideally best prepared during risk workshop using voting technology.
• The Heat Map. This type can list the organizational entities such as departments, locations, or product lines in the first column while, next to each entities are color-coded squares identifying the level of each risk. A heat map is usually color-coded to show the levels and risks and mitigations in a matrix format. dc | 2011

Filed under: Manajemen Risiko , Enterprise Risk Management, ERM, Risiko, Risk, risk profile

GETTING OUR RISK MANAGEMENT RIGHT ON TRACK

One of the biggest mistakes of failure in implementing risk management is taking the risk management framework as it is without considering the organization culture

Risk Management is implemented to pursue opportunities and effectively exploit the limited internal capability instead only managing the adverse affects due to uncertainties. It is important to identify up-front the organization expectation when implementing risk management such as improved decision making process in setting corporate strategy, reduced risk exposure in key areas, improve compliance, enhance efficiency on operations and profitability, etc. Organization that is struggling to effectively implement risk management or have not implemented a formal, proactive, structured risk management framework could use ISO 31000 as a useful guidance. ISO 31000 acknowledge the importance of continually enhance the risk management framework using 5 attributes as follows:

• Continual Improvement
• Full Accountability for Risks
• Application of Risk Management in all Decision Making Processes
• Continual Communications
• Full Integration in the Organization’s Governance Structure

 

One of the biggest mistakes of failure in implementing risk management is taking the risk management framework as it is without considering the organization culture. In order to enhance or get the risk management right on track using ISO 31000, here is the suggested “to do list” for smooth transition.

the example of transition process on ISO31000

• Refine the Benefits/Impact of implementing ERM throughout the organization lead by the Boards and ERM Unit/Project Team and create a measurement process to determine to what extent these objectives will be achieved
• Review and Update the existing risk management framework and amend the documentation to align with prerequisite elements in ISO 31000. Keep a record of enhancement as evidence of continual improvement.
• Communicate the key changes to all organization personnel and notify them that the organization now follows an international risk management standard
• Appoint the key risk owner for risk management ‘refresher’ training in order to encourage the risk owners to undertake a review of their risks and update their risk register

 

 

Filed under: Manajemen Risiko , 31000, Enterprise Risk Management, ISO 31000, Risk Framework

Pemahaman Dasar Praktik Internal Audit berbasis Risiko (Risk-based Audit)

Risk-based Auditing is auditing in which audit objectives and audit planning are driven by a risk assessment philosophy.

David Galloway, IIA, 2004

 

Audit Berbasis Risiko adalah metodologi pemeriksaan yang dipergunakan untuk memberikan jaminan bahwa risiko telah dikelola di dalam batasan risiko yang telah ditetapkan manajemen pada tingkatan korporasi.

 

Ada 2 hal utama yang harus dipahami oleh internal auditor:

• Aspek pengendalian dari setiap proses bisnis yang terkait
• Risiko dan faktor-faktor pengendalian guna mendukung pencapaian sasaran perusahaan

Peranan internal auditor dalam praktik audit berbasis risiko antara lain:

• MULAI dari memfokuskan pekerjaan audit pada risiko signifikan korporasi, yang telah diidentifikasi oleh fungsi manajemen risiko korporasi dan melakukan audit atas proses manajemen risiko lintas organisasi guna memastikan pengelolaan risiko yang telah teridentifikasi
• UNTUK berperan aktif sebagai konsultan internal yang melakukan training dan edukasi bagi staf lini dalam memastikan efektivitas pengendalian internal
• UNTUK memberikan dukungan dan partisipasi aktif dalam proses pengendalian internal perusahaan
• UNTUK melalukan koordinasi pelaporan audit berbasis risiko kepada Direksi dan Dewan Komisaris, dan Komite Audit

Alokasi waktu pemeriksaan untuk setiap tahapan audit tradisional vs audit berbasis risiko diilustrasikan sebagai berikut:

 

Audit Process Time Allocation

 

Pendekatan dan metodologi audit berbasis risiko diilustrasikan dalam 3 tahapan besar yaitu:

1. ASESMEN RISIKO

Tahapan yang digunakan untuk menentukan frekuensi, intensitas, dan waktu audit dengan cara mengidentifikasi, mengukur, dan menentukan prioritas risiko agar keterbatasan sumber daya yang kita miliki dapat diarahkan ke area dengan bobot risiko tinggi. Tahap ini dapat ditiadakan bilamana profil risiko yang dihasilkan oleh unit Manajemen Risiko Korporasi sudah tersedia dan dapat diyakini keandalannya

Pada tahap ini, internal auditor juga perlu menetapkan kriteria auditable units antara lain:

• Unit tersebut memberikan kontribusi yang berdampak cukup besar pada tujuan perusahaan
• Justifikasi biaya pengendalian atas unit yang memiliki potensi kerugian yang lebih besar daripada biaya yang dikeluarkan untuk pengendalian termasuk biaya audit.

2. PENYUSUNAN PROGRAM AUDIT INTERNAL

Berdasarkan hasil asesmen risiko, masing-masing auditable units ditetapkan nilai akhirnya menggunakan faktor risiko seperti:

• Audit Assurance; Melihat relevansi hasil kajian audit periode sebelumnya atas area yang memiliki risiko dengan rating tinggi
• Materialistis; Mengkaji area yang memiliki dampak risiko tinggi dengan menggunakan parameter keuangan maupun non keuangan
• Residual Risk; Nilai risiko yang telah memperhitungkan faktor positif yang dimiliki perusahaan seperti pengendalian internal
• Audit Judgement; Pertimbangan auditor atas perubahan sistem dan prosedur, restrukturisasi organisasi yang mempunyai dampak kepada area tertentu

3. PELAKSANAAN PROGRAM AUDIT INTERNAL

• Mengkaji keselarasan sasaran unit operasional, direktorat, dan individu dengan tujuan perusahaan; Auditor Internal harus memastikan bahwa tujuan bisnis sudah diterapkan secara efektif dan telah dikomunikasikan ke seluruh tingkatan dalam organisasi.
• Mengevaluasi efektivitas ketersediaan, kuantifikasi, dan penerapan selera dan batasan risiko (corporate risk appetite and risk tolerance) berdasarkan kebijakan dan prosedur di dalam perusahaan; Auditor Internal harus dapat memberikan keyakinan bahwa   manajemen bekerja dalam parameter risiko yang telah ditetapkan.
• Mendeteksi analisis kesenjangan praktik manajemen risiko dan prosedurnya berdasarkan kerangka kerja yang telah ditetapkan; Auditor Internal harus melakukan evaluasi terhadap proses implementasi   kerangka   kerja penerapan manajemen risiko yang telah didokumentasikan   dan diyakini dapat memfasilitasi perubahan dinamis perusahaan.
• Menguji efektivitas  dan perlindungan terhadap informasi dan akses terhadap pengendalian; Auditor Internal harus memahami rancangan pengendalian dan ketepatannya berhubungan dengan bagaimana suatu tindakan pengendalian   tersebut dilakukan secara konsisten sesuai dengan arah dan kebijakan perusahaan.
• Menyediakan jaminan independen dan berfungsi sebagai konsultan internal dalam rangka memastikan pencapaian tujuan perusahaan; Auditor Internal harus memberikan jaminan yang obyektif kepada Direksi   bahwa risiko bisnis telah dikelola secara tepat dan pengendalian internal telah berjalan secara efektif

 

Last but not least… Intisari proses audit berbasis risiko:

 

Intisari Proses Audit Berbasis Risiko

DC | 2010

Filed under: Manajemen Risiko , audit berbasis risiko, Enterprise Risk Management, ERM, internal audit, Manajemen Risiko, Resiko, Risiko, risk based audit, Risk Management

Pembelajaran Manajemen Risiko dari Sebuah Cerita Kecil…

Risk Management Ice Breaker for Today

“the other side of learning risk management….”

Sebuah cerita tentang bagaimana pendekatan manajemen risiko mempengaruhi pengelolaan risiko dan proses pencapaian tujuan akhir dari suatu proses. Ada tiga orang risk professional dan tiga orang akuntan bepergian dengan kereta api untuk mengunjungi sebuah ‘Konferensi Manajemen Risiko’. 

Cerita Awal Sebelum Konferensi Manajemen Risiko…

Di stasiun, ketiga akuntan tsb masing-masing membeli 1 tiket tetapi ketiga risk professional hanya membeli satu tiket.

“Hal ini terlihat sangat berisiko. Bagaimana tiga orang akan melakukan perjalanan dengan hanya satu tiket?” tanya salah satu akuntan. “Watch and you’ll see! Kami mempunyai pendekatan manajemen risiko yang baru” jawab salah satu risk professional.

Mereka semua naik kereta. Para akuntan duduk di kelas satu, tetapi ketiga risk professional pergi 1 ke kamar kecil dan menutup pintunya. Tak lama setelah kereta telah berangkat, kondektur datang sekitar mengumpulkan tiket. Dia mengetuk pintu toilet dan berkata, “Tiket.” Pintu terbuka kecil dan hanya satu lengan muncul dengan tiket di tangan dan Kondektur mengambil tiket tersebut dan bergegas pergi melanjutkan pemeriksaan tiket. Para akuntan itu sangat terkesan dengan pendekatan ketiga risk professional dan sepakat bahwa itu merupakan ide cerdas yang cukup tanpa risiko yang besar.

Cerita Lanjutan Setelah Konferensi Manajemen Risiko…

Sepulang dari “Konferensi Manajemen Risiko”, para akuntan sangat percaya diri akan keterampilan mengelola risiko yang diperoleh di Konferensi tersebut, sehingga para akuntan memutuskan untuk meniru pendekatan risiko para risk professional pada perjalanan pulang mereka dan menghemat uangnya (sesuai pepatah.. akuntan selalu pintar dengan uang mereka!). Ketika mereka sampai ke stasiun, mereka membeli 1 tiket saja untuk perjalanan pulang.

Tetapi mereka heran, kali ini para risk professional tidak membeli tiket sama sekali. ”Ini suatu kecerobohan, bagaimana Anda akan bepergian tanpa tiket satupun?” tanya salah satu akuntan dengan bingungnya. “Watch and you’ll see! Kami sudah mempunyai pendekatan manajemen risiko yang terbaru hasil dari Konferensi Manajemen Risiko” jawab salah satu risk professional. Ketika mereka semua naik kereta ketiga akuntan menjejalkan diri ke 1 kamar kecil dan tiga risk professional lain ikut masuk di kamar kecil tersebut lalu Kereta itu berangkat.

Catatan Kecil dari Cerita ini…

• Manajemen Risiko adalah sebuah proses pembelajaran yang tidak akan pernah ada akhirnya karena kehidupan kita baik personal maupun bisnis penuh dengan ketidakpastian, yang tetap harus dijalani dalam rangka mencapai suatu tujuan tertentu
• Risk professional harus mempunyai integritas dan kreativitas yang dapat dipergunakan untuk mengeksploitasi peluang dan mengelola risiko pada saat yang sama
• Nilai terbesar dari penerapan manajemen risiko hanya dapat diperoleh bilamana risk professional dan aktuaris bekerja sama (tidak berkompetisi) karena mereka mempunyai tujuan yang sama, Sama halnya dalam pengelolaan manajemen risiko di perusahaan, diperlukan kombinasi keahlian para professional di bidang manajemen risiko untuk mendukung pencapaian tujuan perusahaan.

Filed under: Manajemen Risiko , Enterprise Risk Management, ERM, Implementasi Manajemen Risiko, indonesia, Managing Risk, Manajemen, Manajemen Risiko, Praktik Manajemen Risiko, Resiko, Risiko, Risk, Risk Management, Risk Management Implementation