Unsur 2 - Penilaian Risiko dalam SPIP: Identifikasi dan Analisis Risiko Organisasi

Penilaian risiko adalah komponen SPIP yang mencakup proses mengidentifikasi dan menganalisis risiko yang relevan terhadap pencapaian tujuan organisasi, sebagai dasar untuk menentukan cara pengelolaan risiko tersebut. Penilaian risiko adalah “jembatan” antara lingkungan pengendalian (fondasi) dengan kegiatan pengendalian (respons): tanpa memahami risikonya, kita tidak tahu pengendalian apa yang perlu dibangun.

Penilaian Risiko SPIP vs. Manajemen Risiko (Perpres 39/2023)

Sebelum masuk ke substansi, penting untuk membedakan dua konteks penilaian risiko yang sering membingungkan:

Aspek	Penilaian Risiko SPIP (PP 60/2008)	Manajemen Risiko (Perpres 39/2023)
Dasar hukum	PP 60/2008 Pasal 13-17	Perpres 39/2023
Tujuan utama	Menentukan kegiatan pengendalian yang diperlukan	Mengelola risiko secara strategis dan operasional
Cakupan	Risiko yang mengancam tujuan pengendalian intern	Risiko strategis, operasional, kepatuhan, keuangan
Instrumen	Sub-komponen dalam KKE SPIP	Register risiko, profil risiko, peta risiko
Hubungan	Unsur ke-2 dari 5 unsur SPIP	Komponen MRI dalam SPIP Terintegrasi

Keduanya saling melengkapi dan bukan saling menggantikan. Instansi yang sudah menerapkan Manajemen Risiko (MR) sesuai Perpres 39/2023 akan lebih mudah memenuhi sub-unsur penilaian risiko dalam SPIP.

Tahap 1: Penetapan Tujuan Organisasi

Sebelum mengidentifikasi risiko, pimpinan harus terlebih dahulu menetapkan tujuan yang ingin dicapai. Ini penting karena risiko selalu bersifat relatif terhadap tujuan: sesuatu baru menjadi risiko jika berpotensi mengancam pencapaian tujuan tertentu.

PP 60/2008 mengklasifikasikan tujuan organisasi ke dalam tiga level:

Level Tujuan	Contoh (Dianonimkan)
Tujuan strategis	”Meningkatkan kualitas pengawasan intern di lingkungan Instansi X”
Tujuan operasional	”Menyelesaikan 100% program kerja audit tepat waktu pada tahun berjalan”
Tujuan pelaporan	”Menyajikan laporan keuangan sesuai SAP tanpa pengecualian opini BPK”
Tujuan kepatuhan	”Memastikan seluruh pengadaan dilaksanakan sesuai ketentuan yang berlaku”

Tujuan yang baik harus spesifik dan terukur agar risiko yang mengancam pencapaiannya dapat diidentifikasi dengan tepat.

Tahap 2: Identifikasi Risiko

Setelah tujuan ditetapkan, langkah berikutnya adalah mengidentifikasi peristiwa atau kondisi yang dapat mengancam pencapaian tujuan tersebut. Identifikasi risiko yang baik mencakup:

Sumber Risiko

Risiko dapat berasal dari faktor internal maupun eksternal:

Faktor internal:

• Perubahan struktur organisasi atau pergantian pimpinan
• Kualitas SDM yang tidak memadai
• Sistem informasi yang tidak andal
• Proses bisnis yang kompleks atau tidak terstandardisasi

Faktor eksternal:

• Perubahan regulasi atau kebijakan pemerintah pusat
• Tekanan dari pemangku kepentingan eksternal
• Perubahan teknologi yang mempengaruhi sistem

Teknik Identifikasi Risiko

Teknik	Keterangan
Wawancara dengan pimpinan dan pelaksana	Menggali risiko dari perspektif orang yang paling memahami proses
Reviu dokumen proses bisnis	Mengidentifikasi titik kritis dalam SOP dan prosedur
Benchmarking dengan instansi sejenis	Mempelajari risiko yang pernah terjadi di tempat lain
Analisis data historis	Menelaah insiden, temuan audit, dan keluhan masa lalu
Brainstorming tim	Diskusi terstruktur untuk mengidentifikasi risiko yang mungkin terlewat

Hasil identifikasi risiko didokumentasikan dalam daftar/register risiko yang memuat: kode risiko, deskripsi risiko, penyebab, dan dampak potensial.

Tahap 3: Analisis Risiko

Setelah risiko diidentifikasi, setiap risiko perlu dianalisis untuk menentukan prioritas penanganan. Dua dimensi utama analisis risiko:

Kemungkinan (Likelihood)

Seberapa besar kemungkinan risiko tersebut terjadi? Biasanya diukur dengan skala:

Level	Deskripsi	Frekuensi
1 - Sangat Jarang	Hampir tidak mungkin terjadi	Kurang dari sekali dalam 5 tahun
2 - Jarang	Kemungkinan kecil	1-2 kali dalam 5 tahun
3 - Kadang-kadang	Mungkin terjadi	1 kali per tahun
4 - Sering	Kemungkinan besar	Beberapa kali per tahun
5 - Hampir Pasti	Sangat mungkin terjadi	Hampir setiap bulan

Dampak (Impact)

Seberapa besar dampak jika risiko tersebut terjadi?

Level	Deskripsi	Contoh Dampak
1 - Tidak Signifikan	Dampak sangat kecil, mudah diatasi	Keterlambatan minor
2 - Kecil	Dampak terbatas, dapat diatasi dengan sumber daya normal	Perbaikan proses minor
3 - Sedang	Dampak cukup signifikan, memerlukan perhatian pimpinan	Keterlambatan program kerja
4 - Besar	Dampak signifikan, berpotensi mengganggu operasional	Temuan audit yang material
5 - Sangat Besar	Dampak sangat serius	Opini BPK disclaimer atau kerugian negara besar

Peta Risiko (Risk Map)

Hasil analisis disajikan dalam peta risiko (matriks 5x5) yang menggambarkan posisi setiap risiko berdasarkan kemungkinan dan dampaknya. Risiko di kuadran kanan atas (kemungkinan tinggi + dampak besar) menjadi prioritas penanganan melalui kegiatan pengendalian.

Hubungan dengan Format Manajemen Risiko

Jika instansi sudah memiliki dokumen manajemen risiko (register risiko, profil risiko) sesuai Perpres 39/2023 atau pedoman BPKP terkait, dokumen tersebut dapat menjadi data dukung untuk sub-komponen penilaian risiko dalam KKE SPIP.

Penting: jangan menduplikasi proses. Jika register risiko sudah ada dan mutakhir, gunakan sebagai referensi dan pastikan sub-komponen penilaian risiko SPIP mengacu pada dokumen yang sama.

Data Dukung Penilaian Risiko

Dokumen	Fungsi dalam KKE SPIP
Register risiko (daftar risiko)	Bukti bahwa risiko telah diidentifikasi secara sistematis
Peta/profil risiko	Bukti bahwa risiko telah dianalisis dan diprioritaskan
Notulen rapat penilaian risiko	Bukti bahwa proses dilakukan secara partisipatif
Rencana penanganan risiko	Menghubungkan penilaian risiko dengan kegiatan pengendalian
SK Tim Pengelola Risiko	Bukti kelembagaan yang mendukung proses penilaian risiko

Ringkasan

Penilaian risiko dalam SPIP mencakup tiga tahap berurutan: penetapan tujuan, identifikasi risiko, dan analisis risiko. Hasilnya menjadi dasar untuk merancang kegiatan pengendalian yang tepat sasaran. Penilaian risiko SPIP berbeda dari manajemen risiko Perpres 39/2023 dalam cakupan dan instrumennya, namun keduanya saling mendukung dan dapat berbagi dokumen yang sama.

Checkpoint Pemahaman

1. Mengapa penetapan tujuan organisasi harus dilakukan sebelum identifikasi risiko?
2. Apa perbedaan antara risiko inheren dan risiko residual dalam konteks analisis risiko SPIP?
3. Bagaimana hasil penilaian risiko SPIP berbeda dari dokumen profil risiko dalam manajemen risiko (Perpres 39/2023)?