Audit Sektor Publik
"Apa Itu Manajemen Risiko di Pemerintahan?"
"Manajemen risiko bukan hanya topik untuk sektor swasta. Memahami bagaimana risiko dikelola di instansi pemerintah membantu auditor membaca proses bisnis dan memberikan rekomendasi yang relevan."
Manajemen risiko di pemerintahan sering dianggap sebagai formalitas — dokumen yang dibuat untuk memenuhi kewajiban evaluasi SPIP, lalu disimpan dan tidak pernah dibuka lagi.
Padahal, manajemen risiko yang dijalankan dengan serius adalah salah satu cara paling efektif untuk mencegah masalah sebelum menjadi temuan audit.
Mengapa Risiko Perlu Dikelola?
Setiap instansi pemerintah menjalankan program dan kegiatan yang berpotensi tidak mencapai tujuannya. Risiko adalah kemungkinan terjadinya peristiwa yang akan mengganggu pencapaian tujuan tersebut.
Tanpa manajemen risiko yang terstruktur:
- Masalah baru terdeteksi saat sudah menjadi temuan audit atau menjadi isu publik
- Sumber daya dihabiskan untuk memadamkan kebakaran, bukan mencegahnya
- Tidak ada pembelajaran sistematis dari kegagalan sebelumnya
Proses Dasar Manajemen Risiko
1. Identifikasi Risiko
Langkah pertama: apa saja yang bisa menghalangi tercapainya tujuan? Risiko bisa berasal dari:
- Faktor internal: kelemahan proses, kualitas SDM, infrastruktur
- Faktor eksternal: perubahan regulasi, kondisi ekonomi, bencana alam
Identifikasi yang baik melibatkan pemilik proses secara langsung — mereka paling tahu di mana titik-titik rentan dalam operasional sehari-hari.
2. Analisis Risiko
Setelah diidentifikasi, setiap risiko dinilai berdasarkan dua dimensi:
- Kemungkinan (likelihood): seberapa sering atau seberapa besar peluang peristiwa itu terjadi
- Dampak (impact): seberapa besar akibatnya jika terjadi
Hasil perkalian keduanya menghasilkan level risiko inheren — risiko sebelum pengendalian.
3. Evaluasi dan Prioritasi
Tidak semua risiko perlu ditangani dengan intensitas yang sama. Risiko dengan level tinggi mendapat perhatian lebih besar. Risiko rendah mungkin cukup dipantau.
Organisasi juga perlu mendefinisikan selera risiko (risk appetite): seberapa besar risiko yang bisa diterima dalam menjalankan misi. Ini adalah keputusan manajemen, bukan teknis semata.
4. Perlakuan Risiko
Ada empat respons umum terhadap risiko:
- Mitigasi — tambah pengendalian untuk menurunkan kemungkinan atau dampak
- Transfer — alihkan sebagian risiko ke pihak lain (misalnya asuransi)
- Menghindari — hentikan aktivitas yang menghasilkan risiko terlalu tinggi
- Menerima — risiko dinilai masih dalam toleransi dan tidak perlu tindakan tambahan
5. Pemantauan dan Reviu
Risiko tidak statis. Profil risiko berubah seiring berjalannya program dan perubahan lingkungan. Pemantauan berkala memastikan pengendalian masih relevan dan efektif.
Dokumen Utama Manajemen Risiko
Register Risiko — daftar komprehensif risiko yang diidentifikasi, beserta penilaian, pengendalian yang ada, dan rencana tindak.
Rencana Tindak Pengendalian (RTP) — dokumen yang berisi langkah-langkah mitigasi yang akan dilakukan, siapa penanggung jawabnya, dan kapan target penyelesaiannya.
Profil Risiko — ringkasan eksekutif dari risiko utama organisasi yang biasanya dilaporkan ke pimpinan.
Hubungan Manajemen Risiko dan Audit
Auditor intern yang baik membaca register risiko sebelum merancang program audit. Ini membantu:
- Memahami area yang sudah diidentifikasi berisiko oleh manajemen sendiri
- Menilai apakah pengendalian yang ada sudah memitigasi risiko secara memadai
- Mengidentifikasi risiko yang mungkin terlewat dari radar manajemen
Di sisi lain, temuan audit yang baik sering berkontribusi pada pemutakhiran register risiko — karena temuan lapangan mengungkapkan risiko nyata yang mungkin tidak teridentifikasi dalam proses penilaian formal.
Perbedaan MR dan SPIP
SPIP mencakup lebih luas dari manajemen risiko: lingkungan pengendalian, informasi & komunikasi, dan pemantauan juga masuk SPIP. Manajemen risiko adalah salah satu komponen SPIP (penilaian risiko), tapi juga punya kerangka dan metodologi tersendiri yang lebih spesifik.
Di Itjen Kemenhub, penerapan MR mengikuti panduan yang ditetapkan dalam SE-ITJEN 1/2026, yang mengadaptasi kerangka ISO 31000 ke konteks pengawasan intern pemerintah.
Auditor yang memahami manajemen risiko tidak hanya menilai apakah prosedur diikuti. Mereka menilai apakah sistem yang ada sudah cukup untuk melindungi organisasi dari risiko yang paling signifikan — dan itu jauh lebih bernilai.