Sni Iso 31000-2018

SNI 8615:2018
ISO 31000:2018
Standar Nasional Indonesia
Hak cipta Badan Standardisasi Nasional. Salinan standar ini dibuat oleh BSN untuk Solusimaxi Consulting & Solusipro
Manajemen risiko — Pedoman
Consulting
Risk management — Guidelines
(ISO 31000:2018, IDT)
ICS 03.100.01 Badan Standardisasi Nasional

Consulting
© ISO 2018 – All rights reserved
© BSN 2018 untuk kepentingan adopsi standar © ISO menjadi SNI – Semua hak dilindungi
Hak cipta dilindungi undang-undang. Dilarang mengumumkan dan memperbanyak sebagian

atau seluruh isi dokumen ini dengan cara dan dalam bentuk apapun serta dilarang
mendistribusikan dokumen ini baik secara elektronik maupun tercetak tanpa izin tertulis BSN
BSN
Email: dokinfo@bsn.go.id
www.bsn.go.id
Diterbitkan di Jakarta
SNI 8615:2018
ISO 31000:2018
Daftar isi
Daftar isi.....................................................................................................................................i
Prakata ..................................................................................................................................... ii
Pendahuluan............................................................................................................................ iii
1 Ruang Lingkup................................................................................................................... 1
2 Acuan normatif................................................................................................................... 1
3 Istilah dan definisi .............................................................................................................. 1
4 Prinsip................................................................................................................................ 3
5 Kerangka kerja................................................................................................................... 4
6 Proses................................................................................................................................ 9
Bibliografi ............................................................................................................................... 34
Consulting
© BSN 2018 i
SNI 8615:2018
ISO 31000:2018
Prakata
Standar Nasional Indonesia SNI 8615:2018 ISO 31000:2018 Manajemen risiko – Pedoman
merupakan adopsi identik dari ISO 31000:2018 , Risk management – Guidelines, dengan
metode terjemahan dua bahasa (bilingual) yang ditetapkan oleh BSN pada tahun 2018. SNI
ini merupakan revisi dari SNI ISO 31000:2011 Manajemen risiko – Prinsip dan pedoman.
Standar ini merupakan bagian dari seri SNI ISO 31000, Manajemen risiko, yang terdiri dari 4
(empat) standar yaitu:
- SNI ISO 31000:2011 Manajemen risiko — Prinsip dan pedoman;
- SNI ISO Guide 73:2016 Manajemen risiko — Kosakata;
- SNI ISO/TR 31004:2016 Manajemen risiko — Panduan untuk implementasi SNI ISO
31000;
- SNI ISO/IEC 31010:2016 Manajemen risiko — Teknik penilaian risiko.
Standar ISO yang dijadikan sebagai referensi dalam Standar ini telah diadopsi menjadi
Standar Nasional Indonesia (SNI), yaitu ISO 31010:2009, Risk management – Risk
assessment techniques yang telah diadopsi secara identik menjadi SNI ISO 31010:2016,
Manajemen risiko – Teknik penilaian risiko.
Consulting
Standar ini disusun oleh Komite Teknis 03-10, Manajemen Risiko. Standar ini telah dibahas
dan disetujui dalam rapat konsensus nasional di Jakarta, pada tanggal 11 Juli 2018.
Konsensus ini dihadiri oleh para pemangku kepentingan (stakeholder) terkait, yaitu perwakilan
dari pemerintah, pelaku usaha, konsumen, pakar.
Standar ini telah melalui tahap jajak pendapat pada tanggal 23 Juli 2018 sampai dengan 22
Agustus 2018 dengan hasil akhir disetujui menjadi SNI.
Apabila pengguna menemukan keraguan dalam Standar ini maka disarankan untuk melihat
standar aslinya, yaitu ISO 31000:2018 dan/atau dokumen terkait lain yang menyertainya.
Perlu diperhatikan bahwa kemungkinan beberapa unsur dari Standar ini dapat berupa hak
paten. Badan Standardisasi Nasional tidak bertanggung jawab untuk pengidentifikasian salah
satu atau seluruh hak paten ada.
© BSN 2018 ii
SNI 8615:2018
ISO 31000:2018
Pendahuluan
Standar ini untuk digunakan oleh orang yang menciptakan dan melindungi nilai di dalam
organisasi dengan mengelola risiko, mengambil keputusan, menetapkan dan mencapai
sasaran, serta meningkatkan kinerja.
Organisasi dari semua jenis dan ukuran menghadapi faktor dan pengaruh eksternal dan
internal yang memberi ketidakpastian terhadap pencapaian sasaran.
Pengelolaan risiko bersifat berulang dan membantu organisasi dalam menetapkan strategi,
mencapai sasaran, dan membuat keputusan terinformasi.
Pengelolaan risiko adalah bagian dari tata kelola dan kepemimpinan, serta merupakan dasar
pengelolaan organisasi pada semua tingkat. Pengelolaan risiko berkontribusi pada
peningkatan sistem manajemen.
Pengelolaan risiko adalah bagian dari semua aktivitas yang berkaitan dengan organisasi dan
mencakup interaksi dengan pemangku kepentingan.
Pengelolaan risiko mempertimbangkan konteks eksternal dan internal organisasi, termasuk

perilaku manusia dan faktor budaya.
Pengelolaan risiko didasarkan pada prinsip, kerangka kerja, dan proses yang digariskan pada
Consulting
standar ini, seperti diilustrasikan pada Gambar 1. Komponen tersebut mungkin sudah ada
secara lengkap atau sebagian di dalam organisasi, tetapi mungkin perlu disesuaikan atau
ditingkatkan agar pengelolaan risiko dapat efektif, efisien, dan konsisten.
Gambar 1 - Prinsip, kerangka kerja, dan proses
© BSN 2018 iii

Consulting
SNI 8615:2018
ISO 31000:2018
Manajemen risiko — Pedoman
1 Ruang Lingkup
Standar ini menyediakan pedoman untuk pengelolaan risiko yang dihadapi oleh organisasi.
Pengaplikasian pedoman ini dapat disesuaikan untuk segala organisasi dan konteksnya.
Standar ini menyediakan pendekatan umum untuk pengelolaan segala jenis risiko dan tidak
spesifik untuk industri atau sektor tertentu.
Standar ini dapat digunakan sepanjang usia organisasi dan dapat diterapkan pada segala
aktivitas, termasuk pengambilan keputusan pada semua tingkat.
2 Acuan normatif
Tidak ada acuan normatif dalam standar ini.
3 Istilah dan definisi
Untuk keperluan standar ini, berlaku istilah dan definisi berikut.
Consulting
ISO dan IEC memelihara pangkalan data terminologi untuk digunakan dalam standardisasi
pada alamat-alamat berikut:
— Platform peramban ISO Online: tersedia di http://www.iso.org/obp

— IEC Electropedia: tersedia di http://www.electropedia.org
3.1
risiko
efek dari ketidakpastian pada sasaran
Catatan 1 terhadap entri: Efek adalah penyimpangan dari apa yang diharapkan. Efek dapat positif,
negatif, atau keduanya, dan dapat berkaitan dengan, menciptakan, atau menghasilkan peluang dan
ancaman.
Catatan 2 terhadap entri: Sasaran dapat memiliki berbagai aspek dan kategori, serta dapat diterapkan
pada berbagai tingkat.
Catatan 3 terhadap entri: Risiko umumnya dinyatakan dengan mengacu kepada sumber risiko (3.4),
potensi peristiwa (3.5), konsekuensi (3.6), dan kemungkinan-kejadian (3.7).
3.2
manajemen risiko
aktivitas terkoordinasi untuk mengarahkan dan mengendalikan organisasi dalam kaitannya
dengan risiko (3.1)
3.3
pemangku kepentingan
orang atau organisasi yang dapat memengaruhi, atau dipengaruhi, atau menganggap dirinya
dipengaruhi oleh suatu keputusan atau aktivitas
© BSN 2018 1 dari 34
SNI 8615:2018
ISO 31000:2018
Catatan 1 terhadap entri: Istilah "pihak berkepentingan" dapat juga digunakan sebagai alternatif dari
"pemangku kepentingan".
3.4
sumber risiko
elemen yang secara mandiri atau dalam kombinasi memiliki potensi untuk menimbulkan risiko
(3.1)
3.5
peristiwa
kejadian atau perubahan suatu set dari kondisi
Catatan 1 terhadap entri: Suatu peristiwa dapat memiliki satu atau lebih kejadian, serta dapat memiliki
beberapa penyebab dan beberapa konsekuensi (3.6)
Catatan 2 terhadap entri: Suatu peristiwa dapat berupa sesuatu yang diharapkan yang tidak terjadi,
atau sesuatu yang tidak diharapkan yang terjadi.
Catatan 3 terhadap entri: Suatu peristiwa dapat menjadi sumber risiko.
3.6
konsekuensi
hasil keluaran suatu peristiwa (3.5) yang memengaruhi sasaran
Catatan 1 terhadap entri: Suatu konsekuensi dapat pasti atau tidak pasti, serta dapat memiliki efek
Consulting
positif atau negatif langsung atau tidak langsung terhadap sasaran.
Catatan 2 terhadap entri: Konsekuensi dapat dinyatakan secara kualitatif atau kuantitatif.
Catatan 3 terhadap entri: Segala konsekuensi dapat tereskalasi melalui efek beruntun dan kumulatif.
3.7
Kemungkinan-kejadian
Kemungkinan sesuatu terjadi
Catatan terhadap entri 1: Dalam terminologi manajemen risiko, kata "kemungkinan-kejadian"

digunakan untuk merujuk pada kemungkinan terjadinya sesuatu, baik didefinisikan, diukur, atau
ditentukan secara objektif maupun subjektif, kualitatif maupun kuantitatif, dan dijelaskan menggunakan
istilah umum maupun matematis (seperti probabilitas atau frekuensi selama periode waktu tertentu).
Catatan terhadap entri 2: Istilah bahasa Inggris "likelihood" tidak memiliki padanan setara dalam
beberapa bahasa; sehingga, istilah yang setara dengan "probability" sering dipakai. Namun, dalam
bahasa Inggris, "probability" sering ditafsirkan secara sempit sebagai istilah matematika Oleh karena
itu, dalam terminologi manajemen risiko, "kemungkinan-kejadian" digunakan dengan maksud agar
kemungkinan-kejadian memiliki interpretasi yang sama luasnya dengan istilah "probability" dalam
banyak bahasa lain selain bahasa Inggris.
3.8
pengendalian
tindakan yang memelihara dan/atau memodifikasi risiko (3.1)
Catatan terhadap entri 1: Pengendalian termasuk, tetapi tidak terbatas pada, semua proses,
kebijakan, peranti, praktik, atau kondisi dan/atau tindakan lain yang memelihara dan/atau memodifikasi
risiko.
Catatan terhadap entri 2: Pengendalian mungkin tidak selalu menghasilkan efek modifikasi yang
diharapkan atau diasumsikan.
© BSN 2018 2 dari 34
SNI 8615:2018
ISO 31000:2018
4 Prinsip
Tujuan manajemen risiko adalah untuk menciptakan dan melindungi nilai. Tujuan manajemen
risiko meningkatkan kinerja, mendorong inovasi, dan mendukung pencapaian sasaran.
Prinsip yang digambarkan pada Gambar 2 memberikan panduan terhadap karakteristik
manajemen risiko yang efektif dan efisien, mengomunikasikan nilainya, serta menjelaskan
maksud dan tujuannya. Prinsip adalah fondasi pengelolaan risiko dan sebaiknya
dipertimbangkan saat menyiapkan kerangka kerja dan proses manajemen risiko. Prinsip ini
sebaiknya memungkinkan organisasi untuk mengelola efek ketidakpastian terhadap
sasarannya.
Consulting
Gambar 2 - Prinsip
Manajemen risiko yang efektif memerlukan elemen pada Gambar 2 dan dapat dijelaskanlebih
lanjut sebagai berikut.
a) Terintegrasi
Manajemen risiko adalah bagian integral dari semua aktivitas organisasi.
b) Terstruktur dan komprehensif
Pendekatan terstruktur dan komprehensif terhadap manajemen risiko berkontribusi

terhadap hasil yang konsisten dan terstruktur.
c) Disesuaikan
Kerangka kerja dan proses manajemen risiko disesuaikan dan proporsional dengan
konteks eksternal dan internal organisasi yang berkaitan dengan sasarannya.
© BSN 2018 3 dari 34

SNI 8615:2018
ISO 31000:2018
d) Inklusif
Pelibatan yang sesuai dan tepat waktu dari pemangku kepentingan memungkinkan
pengetahuan, pandangan, dan persepsi mereka untuk dipertimbangkan. Ini menghasilkan
peningkatan kesadaran dan manajemen risiko terinformasi.
e) Dinamis
Risiko dapat muncul, berubah, atau hilang seiring perubahan konteks eksternal dan
internal organisasi. Manajemen risiko mengantisipasi, mendeteksi, mengakui, dan
menanggapi perubahan dan peristiwa tersebut secara sesuai dan tepat waktu.
f) Informasi terbaik yang tersedia
Masukan manajemen risiko didasarkan atas informasi historis dan saat ini, dan juga
harapan masa depan. Manajemen risiko secara eksplisit memperhitungkan segala
batasan dan ketidakpastian yang berkaitan dengan informasi dan harapan tersebut.
Informasi sebaiknya tepat waktu, jelas, dan tersedia bagi pemangku kepentingan yang
relevan.
g) Faktor manusia dan budaya
Perilaku dan budaya manusia secara signifikan memengaruhi semua aspek manajemen
risiko pada semua tingkat dan tahap.
Consulting
h) Perbaikan berkelanjutan
Manajemen risiko diperbaiki secara berkelanjutan melalui pelajaran dan pengalaman.
5 Kerangka kerja
1. Umum
Tujuan kerangka kerja manajemen risiko adalah untuk membantu organisasi dalam
mengintegrasikan manajemen risiko ke dalam aktivitas dan fungsi signifikan. Efektivitas
manajemen risiko bergantung pada integrasinya ke dalam tata kelola organisasi, termasuk
pengambilan keputusan. Ini memerlukan dukungan dari pemangku kepentingan, khususnya
manajemen puncak.
Pengembangan kerangka kerja meliputi integrasi, desain, implementasi, evaluasi, dan

peningkatan manajemen risiko di seluruh organisasi. Gambar 3 mengilustrasikan komponen
kerangka kerja.
© BSN 2018 4 dari 34

SNI 8615:2018
ISO 31000:2018
Gambar 3 - Kerangka kerja
Organisasi sebaiknya mengevaluasi praktik dan proses manajemen risiko, mengevaluasi

segala kesenjangan, dan menangani kesenjangan pada kerangka kerja tersebut.
Consulting
Komponen kerangka kerja dan cara kerja sama di antara komponen sebaiknya disesuaikan
dengan kebutuhan organisasi.
5.2 Kepemimpinan dan komitmen
Manajemen puncak dan badan pengawas, jika memungkinkan, sebaiknya memastikan

manajemen risiko terintegrasi pada semua aktivitas organisasi dan sebaiknya menunjukkan
kepemimpinan dan komitmen dengan:
— menyesuaikan dan mengimplementasikan semua komponen kerangka kerja;

— menerbitkan pernyataan atau kebijakan yang menetapkan pendekatan, rencana, atau arah
tindakan manajemen risiko;
— memastikan sumber daya yang diperlukan dialokasikan untuk pengelolaan risiko;
— menetapkan kewenangan, tanggung jawab, dan akuntabilitas pada tingkat yang diperlukan
di dalam organisasi.
Ini akan membantu organisasi untuk:

— menyelaraskan manajemen risiko dengan sasaran, strategi, dan budaya;
— mengenali dan menangani semua kewajiban, termasuk komitmen sukarela;
— menetapkan besaran dan jenis risiko yang dapat atau tidak dapat diambil untuk memandu
pengembangan kriteria risiko, memastikan komunikasinya kepada organisasi dan
pemangku kepentingan;
— mengomunikasikan nilai manajemen risiko kepada organisasi dan pemangku kepentingan;
— mendorong pemantauan sistematis terhadap risiko;
© BSN 2018 5 dari 34

SNI 8615:2018
ISO 31000:2018
— memastikan kerangka kerja manajemen risiko tetap sesuai dengan konteks organisasi;
Manajemen puncak memiliki akuntabilitas untuk mengelola risiko, sedangkan badan
pengawas memiliki akuntabilitas untuk mengawasi manajemen risiko. Badan pengawas sering
diharapkan atau disebaiknyakan untuk:
— memastikan risiko dipertimbangkan dengan memadai saat penetapan sasaran organisasi;

— memahami risiko yang dihadapi organisasi dalam mencapai sasarannya;
— memastikan sistem untuk mengelola risiko tersebut diterapkan dan dijalankan dengan
efektif;
— memastikan sistem tersebut sesuai dengan konteks sasaran organisasi;
— memastikan informasi tentang risiko semacam itu dan manajemennya dikomunikasikan
dengan tepat.
3. Integrasi
Integrasi manajemen risiko bergantung pada pemahaman terhadap struktur dan konteks
organisasi. Struktur berbeda bergantung pada tujuan, sasaran, dan kompleksitas organisasi.
Risiko dikelola di semua bagian struktur organisasi. Tiap orang di organisasi bertanggung
jawab terhadap pengelolaan risiko.
Consulting
Tata kelola memandu arah organisasi, hubungan eksternal dan internalnya, serta peran,
proses, dan praktik yang diperlukan untuk mencapai tujuannya. Struktur manajemen
menerjemahkan arahan tata kelola menjadi strategi dan sasaran terkait yang diperlukan untuk
mencapai tingkat yang diinginkan dari kinerja berkelanjutan dan viabilitas jangka panjang.
Penentuan akuntabilitas dan peran pengawasan manajemen risiko di dalam organisasi adalah
bagian integral dari tata kelola organisasi.
Integrasi manajemen risiko ke dalam organisasi adalah proses yang dinamis dan berulang,
serta sebaiknya disesuaikan dengan kebutuhan dan budaya organisasi. Manajemen risiko
sebaiknya menjadi bagian dari, dan tidak terpisahkan dari, tujuan, tata kelola, kepemimpinan
dan komitmen, strategi, sasaran, dan operasi organisasi.
4. Desain
1. Pemahaman organisasi dan konteksnya
Ketika mendesain kerangka kerja pengelolaan risiko, organisasi sebaiknya memeriksa dan
memahami konteks eksternal dan internalnya.
Pemeriksaan konteks eksternal organisasi dapat termasuk, tetapi tidak terbatas kepada:
— faktor sosial, budaya, politik, hukum, regulasi, keuangan, teknologi, ekonomi, dan
lingkungan, baik internasional, nasional, regional, maupun lokal;
— penggerak dan tren utama yang memengaruhi sasaran organisasi;
— hubungan, persepsi, nilai, kebutuhan, dan harapan pemangku kepentingan eksternal;
— hubungan dan komitmen kontraktual;
— kompleksitas dan dependensi jaringan;
© BSN 2018 6 dari 34

SNI 8615:2018
ISO 31000:2018
Pemeriksaan konteks internal organisasi dapat termasuk, tetapi tidak terbatas kepada:
— visi, misi, dan nilai;
— tata kelola, struktur organisasi, peran, dan akuntabilitas;
— strategi, sasaran, dan kebijakan;
— budaya organisasi;
— standar, panduan, dan model yang diadopsi oleh organisasi;
— kapabilitas, ditinjau dari sumber daya dan pengetahuan (misalnya modal, waktu, orang,
kekayaan intelektual, proses, sistem, dan teknologi);
— data, sistem informasi, dan alir informasi;
— hubungan dengan pemangku kepentingan internal, dengan mempertimbangkan persepsi
dan nilai mereka;
— hubungan dan komitmen kontraktual;
— interdependensi dan interkoneksi.
5.4.2 Penegasan komitmen manajemen risiko
Manajemen puncak dan badan pengawas, jika memungkinkan, sebaiknya menunjukkan dan
menegaskan komitmen berkelanjutan mereka terhadap manajemen risiko melalui kebijakan,
pernyataan, atau bentuk lain yang secara jelas menyampaikan sasaran dan komitmen
organisasi terhadap manajemen risiko. Komitmen sebaiknya termasuk, tetapi tidak terbatas
Consulting
kepada:
— tujuan pengelolaan risiko organisasi serta kaitan dengan sasaran dan kebijakan lain;
— penguatan kebutuhan untuk mengintegrasikan manajemen risiko ke dalam keseluruhan
budaya organisasi;
— kepemimpinan dalam integrasi manajemen risiko ke dalam aktivitas bisnis inti dan
pengambilan keputusan;
— kewenangan, tanggung jawab, dan akuntabilitas;
— penyediaan sumber daya yang diperlukan;
— cara penanganan konflik kepentingan;
— pengukuran dan pelaporan dalam indikator kinerja organisasi;
— tinjauan dan peningkatan.
Komitmen manajemen risiko sebaiknya dikomunikasikan di dalam organisasi dan kepada

pemangku kepentingannya dengan sesuai.
5.4.3 Penetapan peran, kewenangan, tanggung jawab, dan akuntabilitas

organisasional
Manajemen puncak dan badan pengawas, sesuai penerapan, sebaiknya memastikan bahwa
kewenangan, tanggung jawab, dan akuntabilitas untuk peran yang relevan dalam manajemen
risiko telah ditetapkan dan dikomunikasikan pada semua tingkat organisasi, serta sebaiknya:
— menekankan bahwa manajemen risiko adalah tanggung jawab inti;

— mengidentifikasi individu yang memiliki akuntabilitas dan kewenangan untuk mengelola
risiko (pemilik risiko).
© BSN 2018 7 dari 34

SNI 8615:2018
ISO 31000:2018
5.4.4 Alokasi sumber daya
Manajemen puncak dan badan pengawas, sesuai penerapan, sebaiknya memastikan alokasi
sumber daya manajemen risiko yang memadai, yang dapat termasuk, tetapi tidak terbatas
pada:
— orang, keterampilan, pengalaman, dan kompetensi;

— proses, metode, dan alat yang dipakai organisasi untuk mengelola risiko;
— proses dan prosedur terdokumentasi;
— sistem manajemen informasi dan pengetahuan;
— pengembangan profesional dan kebutuhan pelatihan;
Organisasi sebaiknya mempertimbangkan kapabilitas, dan keterbatasan, sumber daya yang

ada.
5.4.5 Penyiapan komunikasi dan konsultasi
Organisasi sebaiknya menetapkan pendekatan yang disetujui untuk komunikasi dan

konsultasi guna mendukung kerangka kerja dan memfasilitasi penerapan efektif manajemen
risiko. Komunikasi melibatkan pembagian informasi dengan audiens yang dituju. Konsultasi
juga melibatkan pemberian umpan balik dari partisipan dengan harapan bahwa hal itu dapat
berkontribusi dan membentuk keputusan atau aktivitas lain.
Consulting
Metode dan konten komunikasi dan konsultasi sebaiknya mencerminkan harapan pemangku
kepentingan, jika relevan.
Komunikasi dan konsultasi sebaiknya tepat waktu dan memastikan bahwa informasi yang
relevan dikumpulkan, digabungkan, disintesis, dan dibagikan, secara sesuai, serta bahwa
umpan balik diberikan dan peningkatan dibuat.
5.5 Implementasi
Organisasi sebaiknya mengimplementasikan kerangka kerja manajemen risiko dengan:
— mengembangkan rencana yang sesuai, termasuk waktu dan sumber daya;

— mengidentifikasi di mana, kapan, bagaimana, dan oleh siapa beragam jenis keputusan
dibuat di seluruh organisasi;
— memodifikasi proses pengambilan keputusan yang sesuai; jika diperlukan;
— memastikan pengaturan organisasi dalam mengelola risiko dipahami dengan jelas dan
dipraktikkan.
Implementasi kerangka kerja yang berhasil memerlukan keterlibatan dan kesadaran

pemangku kepentingan.
Hal ini memungkinkan organisasi untuk secara eksplisit mengatasi ketidakpastian di dalam
pengambilan keputusan, sambil memastikan bahwa ketidakpastian baru atau lanjutan dapat
diperhitungkan saat muncul.
Ketika didesain dan diimplementasikan dengan baik, kerangka kerja manajemen risiko dapat
memastikan proses manajemen risiko menjadi bagian dari semua aktivitas di seluruh
© BSN 2018 8 dari 34
SNI 8615:2018
ISO 31000:2018
organisasi, termasuk pengambilan keputusan, serta memastikan perubahan konteks eksternal

dan internal ditangkap dengan memadai.
5.6 Evaluasi
Untuk mengevaluasi efektivitas kerangka kerja manajemen risiko, organisasi sebaiknya:
— mengukur kinerja kerangka kerja manajemen risiko secara berkala terhadap tujuan,
rencana implementasi, indikator, dan perilaku yang diharapkan;
— menentukan apakah kerangka kerja manajemen risiko tetap sesuai untuk mendukung
pencapaian sasaran organisasi.
7. Perbaikan
1. Adaptasi
Organisasi sebaiknya secara berkelanjutan memantau dan mengadaptasi kerangka kerja

manajemen risiko untuk mengatasi perubahan eksternal dan internal. Dengan demikian,
organisasi dapat meningkatkan nilainya.
2. Perbaikan sinambung
Organisasi sebaiknya secara sinambung meningkatkan kesesuaian, kecukupan, dan
Consulting
efektivitas kerangka kerja manajemen risiko, serta bagaimana proses manajemen risiko
diintegrasikan.
Saat kesenjangan atau peluang peningkatan yang relevan diidentifikasi, organisasi sebaiknya
mengembangkan rencana dan tugas pengembangan dan menugaskan kepada pihak yang
memiliki akuntabilitas terhadap implementasi. Setelah diimplementasikan, perbaikan tersebut
sebaiknya berkontribusi pada peningkatan manajemen risiko.
6 Proses
1. Umum
Proses manajemen risiko melibatkan penerapan sistematis dari kebijakan, prosedur, dan
praktik pada aktivitas komunikasi dan konsultasi, penetapan konteks, serta penilaian,
perlakuan, pemantauan, peninjauan, pencatatan, dan pelaporan risiko. Proses ini
digambarkan pada Gambar 4.
© BSN 2018 9 dari 34

SNI 8615:2018
ISO 31000:2018
Gambar 4 -Proses
Proses manajemen risiko sebaiknya menjadi bagian integral manajemen dan pengambilan
Consulting
keputusan, serta diintegrasikan ke dalam struktur, operasi, dan proses organisasi. Ini dapat
diterapkan pada tingkat strategis, operasional, program, atau proyek.
Dapat saja ada banyak penerapan proses manajemen risiko di dalam organisasi, yang
disesuaikan untuk mencapai sasaran dan menyesuaikan konteks eksternal dan internal
tempat proses diterapkan.
Sifat dinamis dan variabel dari perilaku dan budaya manusia sebaiknya dipertimbangkan
dalam penerapan proses manajemen risiko.
Walaupun proses manajemen risiko sering ditampilkan berurutan, dalam praktiknya proses
manajemen risiko bersifat berulang.
6.2 Komunikasi dan konsultasi
Tujuan komunikasi dan konsultasi adalah untuk membantu pemangku kepentingan yang
relevan dalam memahami risiko, dasar pengambilan keputusan, dan alasan mengapa
tindakan tertentu diperlukan. Komunikasi bertujuan mendorong kesadaran dan pemahaman
risiko, sedangkan konsultasi mencakup pencarian umpan balik dan informasi untuk
mendukung pengambilan keputusan. Koordinasi erat di antara keduanya akan memfasilitasi
pertukaran informasi yang faktual, tepat waktu, relevan, akurat, dan dapat dipahami, dengan
mempertimbangkan kerahasiaan dan integritas informasi, dan juga hak privasi individu.
Komunikasi dan konsultasi dengan pemangku kepentingan eksternal dan internal yang tepat
sebaiknya berlangsung selama dan sepanjang seluruh tahap proses manajemen risiko.
Komunikasi dan konsultasi dimaksudkan untuk:
— menyatukan beragam area keahlian pada tiap tahap proses manajemen risiko;
© BSN 2018 10 dari 34

SNI 8615:2018
ISO 31000:2018
— memastikan berbagai pandangan dipertimbangkan dengan memadai saat menentukan

kriteria risiko dan saat mengevaluasi risiko;
— memberikan informasi yang memadai untuk memfasilitasi pengawasan risiko dan
pengambilan keputusan;
— membangun rasa keterlibatan dan kepemilikan di antara pihak yang terpengaruh oleh
risiko.
3. Ruang lingkup, konteks, dan kriteria
1. Umum
Tujuan penetapan ruang lingkup, konteks, dan kriteria adalah untuk menyesuaikan proses
manajemen risiko, mengaktifkan penilaian risiko yang efektif dan perlakuan risiko yang
memadai. Ruang lingkup, konteks, dan kriteria mencakup penentuan ruang lingkup proses
dan pemahaman konteks eksternal dan internal.
2. Penentuan ruang lingkup
Organisasi sebaiknya menentukan ruang lingkup aktivitas manajemen risikonya.
Karena proses manajemen risiko dapat diterapkan pada berbagai tingkat (misalnya strategis,
operasi, program, proyek, atau aktivitas lain), diperlukan kejelasan tentang ruang lingkup yang
menjadi cakupan, sasaran relevan yang perlu dipertimbangkan, dan keselarasannya dengan
Consulting
sasaran organisasi.
Saat merencanakan pendekatan, hal yang perlu dipertimbangkan adalah:
— sasaran dan keputusan yang perlu dibuat;

— hasil keluaran yang diharapkan dari tiap langkah yang akan diambil dalam proses;
— waktu, lokasi, serta pencakupan dan pengecualian khusus;
— alat dan teknik penilaian risiko yang sesuai;
— sumber daya yang dibutuhkan, tanggung jawab dan catatan yang disimpan;
— hubungan dengan proyek, proses, dan aktivitas lain.
6.3.3 Konteks eksternal dan internal
Konteks eksternal dan internal adalah lingkungan yang dicari organisasi untuk menentukan
dan mencapai sasarannya.
Konteks proses manajemen risiko sebaiknya ditetapkan dari pemahaman terhadap lingkungan
eksternal dan internal tempat organisasi beroperasi serta sebaiknya merefleksikan lingkungan
spesifik dari aktivitas yang menjadi sasaran penerapan manajemen risiko.
Pemahaman konteks adalah penting karena:
— manajemen risiko dilakukan dalam konteks sasaran dan aktivitas organisasi;

— faktor organisasi dapat menjadi sumber risiko;
— tujuan dan ruang lingkup proses manajemen risiko mungkin berhubungan dengan sasaran
organisasi secara keseluruhan.
© BSN 2018 11 dari 34

SNI 8615:2018
ISO 31000:2018
Organisasi sebaiknya menetapkan konteks eksternal dan internal proses manajemen risiko
dengan mempertimbangkan faktor yang disebutkan pada 5.4.1.
6.3.4 Pendefinisian kriteria risiko
Organisasi sebaiknya menentukan jumlah dan jenis risiko yang dapat atau tidak dapat diambil,
relatif terhadap sasaran. Organisasi juga sebaiknya menentukan kriteria untuk mengevaluasi
signifikansi risiko dan untuk mendukung proses pengambilan keputusan. Kriteria risiko
sebaiknya selaras dengan kerangka kerja manajemen risiko dan disesuaikan dengan tujuan
khusus dan ruang lingkup aktivitas yang dicakup. Kriteria risiko sebaiknya merefleksikan nilai,
sasaran, dan sumber daya organisasi serta konsisten dengan kebijakan dan pernyataan
tentang manajemen risiko. Kriteria sebaiknya ditentukan dengan mempertimbangkan
kewajiban organisasi dan pandangan pemangku kepentingan.
Meski kriteria risiko sebaiknya ditetapkan pada awal proses penilaian risiko, kriteria itu dinamis
dan sebaiknya selalu ditinjau dan disesuaikan, bila diperlukan.
Untuk menetapkan kriteria risiko, hal-hal berikut perlu dipertimbangkan:
— sifat dan jenis ketidakpastian yang dapat memengaruhi hasil keluaran dan sasaran (baik
berwujud maupun tanwujud);
— bagaimana konsekuensi (baik positif maupun negatif) dan kemungkinan akan ditentukan
dan diukur;
— faktor terkait waktu;
Consulting
— konsistensi penggunaan ukuran;
— bagaimana tingkat risiko ditentukan;
— bagaimana kombinasi dan urutan berbagai risiko akan diperhitungkan;
— kapasitas organisasi.
4. Penilaian risiko
1. Umum
Penilaian risiko adalah proses menyeluruh dari identifikasi risiko, analisis risiko, dan evaluasi
risiko.
Penilaian risiko sebaiknya dilakukan secara sistematis, berulang, dan kolaboratif, berdasarkan
pengetahuan dan pandangan pemangku kepentingan. Penilaian sebaiknya berdasarkan
informasi terbaik yang tersedia, dengan ditunjang oleh penelitian lanjutan sesuai kebutuhan.
2. Identifikasi risiko
Tujuan identifikasi risiko adalah untuk menemukan, mengenali, dan menguraikan risiko yang
dapat membantu atau menghalangi organisasi dalam mencapai sasarannya. Informasi yang
relevan, memadai, dan mutakhir penting dalam mengidentifikasi risiko.
Organisasi dapat memakai beragam teknik untuk mengidentifikasi ketidakpastian yang dapat
memengaruhi satu atau lebih sasaran. Faktor-faktor berikut, dan hubungan antarfaktor
tersebut, sebaiknya dipertimbangkan:
— sumber risiko berwujud dan tanwujud;
© BSN 2018 12 dari 34

SNI 8615:2018
ISO 31000:2018
— penyebab dan peristiwa;

— ancaman dan peluang;
— kerentanan dan kapabilitas;
— perubahan konteks eksternal dan internal;
— indikator risiko pegari (yang timbul);
— sifat dan nilai aset dan sumber daya;
— konsekuensi dan dampak terhadap sasaran;
— batasan pengetahuan dan keandalan informasi;
— faktor terkait waktu;
— bias, asumsi, dan kepercayaan pihak yang terlibat.
Organisasi sebaiknya mengidentifikasi risiko, tanpa memandang apakah sumber risiko itu
dapat dikendalikan organisasi atau tidak. Perlu diperhatikan bahwa mungkin ada lebih dari
satu jenis hasil keluaran, yang dapat menimbulkan beragam dampak berwujud atau tak
berwujud.
6.4.3 Analisis risiko
Tujuan analisis risiko adalah untuk memahami sifat risiko dan karakteristiknya, termasuk, jika
memungkinkan, tingkat risikonya. Analisis risiko melibatkan pertimbangan mendetail terhadap
Consulting
ketidakpastian, sumber risiko, dampak, kemungkinan, peristiwa, skenario, kendali, dan
efektivitas kendali tersebut. Suatu peristiwa dapat memiliki beragam sebab dan akibat, serta
dapat memengaruhi beberapa sasaran.
Analisis risiko dapat dilakukan dengan beragam tingkat detail dan kompleksitas, bergantung
pada tujuan analisis, ketersediaan dan keandalan informasi, serta ketersediaan sumber daya.
Teknik analisis dapat kualitatif, kuantitatif, atau kombinasi keduanya, bergantung pada kondisi
dan penggunaan yang diharapkan.
Analisis risiko sebaiknya mempertimbangkan faktor seperti:
— kemungkinan peristiwa dan konsekuensi;

— sifat dan besaran konsekuensi;
— kompleksitas dan konektivitas;
— faktor dan volatilitas terkait waktu;
— efektivitas kendali yang ada;
— tingkat sensitivitas dan kepercayaan.
Analisis risiko dapat dipengaruhi berbagai opini yang berbeda, bias, persepsi risiko, dan
penilaian. Pengaruh tambahan adalah mutu informasi yang digunakan, asumsi dan
pengecualian yang dibuat, keterbatasan teknik, serta eksekusi teknik tersebut. Pengaruh
tersebut sebaiknya didokumentasikan dan dikomunikasikan kepada pengambil keputusan.
Peristiwa yang ketidakpastiannya tinggi dapat sulit untuk dikuantifikasi. Hal ini dapat menjadi
isu saat menganalisis peristiwa dengan konsekuensi yang parah. Pada kasus semacam itu,
penggunaan kombinasi beberapa teknik secara umum dapat memberikan wawasan yang lebih
luas.
© BSN 2018 13 dari 34

SNI 8615:2018
ISO 31000:2018
Analisis risiko memberikan masukan untuk evaluasi risiko, untuk keputusan apakah risiko
memerlukan perlakuan dan bagaimana perlakuannya, serta terhadap strategi dan metode
perlakuan risiko yang paling sesuai. Hasilnya memberikan wawasan untuk keputusan, di mana
pilihan diambil dan pilihan tersebut melibatkan berbagai jenis dan tingkat risiko.
6.4.4 Evaluasi risiko
Tujuan evaluasi risiko adalah untuk mendukung keputusan. Evaluasi risiko melibatkan
pembandingan hasil analisis risiko dengan kriteria risiko yang telah ditetapkan untuk
menentukan apakah diperlukan tindakan tambahan.
Hal ini dapat membawa pada keputusan untuk:
— tidak melakukan apa pun lebih lanjut;

— mempertimbangkan opsi perlakuan risiko;
— melakukan analisis lanjutan untuk memahami risiko dengan lebih baik;
— memelihara pengendalian yang ada;
— mempertimbangkan kembali sasaran.
Keputusan sebaiknya mempertimbangkan konteks yang lebih luas, serta konsekuensi aktual
yang dipersepsikan terhadap pemangku kepentingan eksternal dan internal.
Consulting
Hasil keluaran evaluasi risiko sebaiknya dicatat, dikomunikasikan, dan divalidasi pada tingkat
yang tepat dalam organisasi.
5. Perlakuan risiko
1. Umum
Tujuan perlakuan risiko adalah untuk memilih dan menerapkan opsi penanganan risiko.
Perlakuan risiko mencakup proses berulang dari:
— formulasi dan seleksi opsi perlakuan risiko;

— perencanaan dan implementasi perlakuan risiko;
— penilaian efektivitas perlakuan itu;
— pengambilan keputusan apakah risiko tersisa dapat diterima;
— pelaksanaan perlakuan lanjutan, jika opsi tidak diterima.
6.5.2 Pemilihan opsi perlakuan risiko
Pemilihan opsi perlakuan risiko yang paling tepat mencakup penyeimbangan potensi manfaat
yang diturunkan dalam kaitan dengan pencapaian sasaran terhadap biaya, upaya, atau
kerugian implementasi.
Opsi perlakuan risiko tidak selalu saling berhubungan eksklusif atau tepat pada semua kondisi.
Opsi perlakuan risiko dapat mencakup satu atau lebih pilihan berikut:
— menghindari risiko dengan memutuskan untuk tidak memulai atau melanjutkan aktivitas
yang menimbulkan risiko;
© BSN 2018 14 dari 34

SNI 8615:2018
ISO 31000:2018
— mengambil atau meningkatkan risiko untuk mengejar peluang;

— menghilangkan sumber risiko;
— mengubah kemungkinan;
— mengubah konsekuensi;
— membagi risiko (misalnya melalui kontrak, membeli asuransi);
— mempertahankan risiko dengan keputusan terinformasi.
Justifikasi untuk perlakuan risiko lebih luas daripada sekadar pertimbangan ekonomi dan
sebaiknya memperhitungkan semua unsur kewajiban, komitmen sukarela, dan pandangan
pemangku kepentingan dari organisasi. Pemilihan opsi perlakuan risiko sebaiknya dibuat
sesuai dengan sasaran organisasi, kriteria risiko, dan sumber daya yang tersedia.
Ketika memilih opsi perlakuan risiko, organisasi sebaiknya mempertimbangkan nilai, persepsi,
dan potensi keterlibatan pemangku kepentingan, serta cara paling tepat untuk berkomunikasi
dan berkonsultasi dengan mereka. Meski sama-sama efektif, beberapa perlakuan risiko dapat
lebih diterima oleh beberapa pemangku kepentingan dibandingkan dengan perlakuan yang
lain.
Perlakuan risiko, bahkan jika sudah dirancang dan diterapkan dengan hati-hati, mungkin tidak
mencapai hasil keluaran yang diharapkan dan dapat memberi konsekuensi yang tidak
diharapkan. Pemantauan dan tinjauan perlu menjadi bagian integral implementasi perlakuan
risiko untuk memberi pemastian bahwa berbagai bentuk perlakuan menjadi dan tetap efektif.
Consulting
Perlakuan risiko juga dapat menimbulkan risiko baru yang perlu dikelola.
Jika opsi perlakuan risiko tidak tersedia atau jika opsi perlakuan tidak mengubah risiko secara
memadai, risiko tersebut sebaiknya dicatat dan terus ditinjau.
Pengambil keputusan dan pemangku kepentingan lain sebaiknya menyadari sifat dan
jangkauan risiko yang tersisa setelah perlakuan risiko. Risiko yang tersisa sebaiknya
didokumentasikan dan menjadi subjek pemantauan, tinjauan, dan, bila diperlukan, perlakuan
lanjutan.
6.5.3 Penyiapan dan penerapan rencana perlakuan risiko
Tujuan rencana perlakuan risiko adalah untuk menentukan bagaimana opsi perlakuan yang
dipilih dapat diterapkan, sehingga pengaturannya dapat dipahami oleh pihak yang terlibat dan
kemajuan rencananya dapat dipantau.
Rencana perlakuan sebaiknya jelas mengidentifikasi urutan perlakuan risiko yang sebaiknya
diterapkan.
Rencana perlakuan sebaiknya terintegrasi dengan rencana dan proses manajemen

organisasi, melalui konsultasi dengan pemangku kepentingan yang sesuai.
Informasi yang diberikan di dalam rencana perlakuan sebaiknya mencakup:
— alasan pemilihan opsi perlakuan, termasuk manfaat yang diharapkan;

— pihak yang memiliki akuntabilitas dan tanggung jawab untuk persetujuan dan implementasi
rencana;
— tindakan yang diusulkan;
© BSN 2018 15 dari 34

SNI 8615:2018
ISO 31000:2018
— sumber daya yang dibutuhkan, termasuk kontingensi;

— ukuran kinerja;
— batasan;
— pelaporan dan pemantauan yang diperlukan;
— kapan tindakan diharapkan dapat dilakukan dan diselesaikan.
6. Pemantauan dan tinjauan
Tujuan pemantauan dan tinjauan kembali adalah untuk memastikan dan meningkatkan mutu
dan efektivitas desain, implementasi, dan hasil keluaran proses. Pemantauan yang sedang
berlangsung dan tinjauan berkala terhadap proses dan hasil keluaran manajemen risiko
sebaiknya menjadi bagian terencana dari proses manajemen risiko, dengan tanggung jawab
yang ditentukan dengan jelas.
Pemantauan dan tinjauan sebaiknya dilaksanakan pada semua tahap proses. Pemantauan
dan tinjauan mencakup perencanaan, pengumpulan dan analisis informasi, pencatatan hasil,
dan pemberian umpan balik.
Hasil pemantauan dan tinjauan sebaiknya disertakan di seluruh aktivitas manajemen,

pengukuran, dan pelaporan kinerja organisasi.
7. Pencatatan dan pelaporan
Consulting
Proses dan hasil keluaran manajemen risiko sebaiknya didokumentasikan dan dilaporkan
melalui mekanisme yang sesuai. Pencatatan dan pelaporan bertujuan untuk:
— mengomunikasikan aktivitas manajemen risiko dan hasil keluaran dari manajemen risiko
ke seluruh organisasi;
— memberikan informasi untuk pengambilan keputusan;
— meningkatkan aktivitas manajemen risiko;
— membantu interaksi dengan pemangku kepentingan, termasuk pihak yang memiliki
tanggung jawab dan akuntabilitas untuk aktivitas manajemen risiko.
Keputusan yang berkaitan dengan pembuatan, retensi, dan penanganan informasi

terdokumentasi sebaiknya mempertimbangkan, tetapi tidak terbatas pada, penggunaannya,
sensitivitas informasi, serta konteks eksternal dan internal.
Pelaporan adalah bagian integral dari tata kelola organisasi dan sebaiknya meningkatkan
mutu dialog dengan pemangku kepentingan dan mendukung manajemen puncak dan badan
pengawas dalam memenuhi tanggung jawab mereka. Faktor yang perlu dipertimbangkan
dalam pelaporan mencakup, tetapi tidak terbatas pada:
— berbagai perbedaan pemangku kepentinganyang berbeda serta kebutuhan dan

persyaratan informasi mereka yang khusus;
— biaya, frekuensi, dan ketepatan waktu pelaporan;
— metode pelaporan;
— relevansi informasi terhadap sasaran dan pengambilan keputusan organisasi.
© BSN 2018 16 dari 34

Consulting
SNI 8615:2018
ISO 31000:2018
(ISO 31000:2018, IDT)
17 dari 34
© BSN 2018
SNI 8615:2018
ISO 31000:2018
1 Scope
This document provides guidelines on managing risk faced by organizations. The application
of these guidelines can be customized to any organization and its context.
This document provides a common approach to managing any type of risk and is not industry
or sector specific.
This document can be used throughout the life of the organization and can be applied to any
activity, including decision-making at all levels.
2 Normative references
There are no normative references in this document.
3 Terms and definitions
For the purposes of this document, the following terms and definitions apply.
ISO and IEC maintain terminological databases for use in standardization at the following
Consulting
addresses:
— ISO Online browsing platform: available at http://www.iso.org/obp

— IEC Electropedia: available at http://www.electropedia.org
3.1
risk
effect of uncertainty on objectives
Note 1 to entry: An effect is a deviation from the expected. It can be positive, negative or both, and can
address, create or result in opportunities and threats.
Note 2 to entry: Objectives can have different aspects and categories, and can be applied at different
levels.
Note 3 to entry: Risk is usually expressed in terms of risk sources (3.4), potential events (3.5), their
consequences (3.6) and their likelihood (3.7).
3.2
risk management
coordinated activities to direct and control an organization with regard to risk (3.1)
3.3
stakeholder
person or organization that can affect, be affected by, or perceive themselves to be affected
by a decision or activity
Note 1 to entry: The term “interested party” can be used as an alternative to “stakeholder”.
© BSN 2018 18 dari 34

SNI 8615:2018
ISO 31000:2018
3.4
risk source
element which alone or in combination has the potential to give rise to risk (3.1)
3.5
event
occurrence or change of a particular set of circumstances
Note 1 to entry: An event can have one or more occurrences, and can have several causes and several
consequences (3.6).
Note 2 to entry: An event can also be something that is expected which does not happen, or something
that is not expected which does happen.
Note 3 to entry: An event can be a risk source.
3.6
consequence
outcome of an event (3.5) affecting objectives
Note 1 to entry: A consequence can be certain or uncertain and can have positive or negative direct or
indirect effects on objectives.
Note 2 to entry: Consequences can be expressed qualitatively or quantitatively.
Consulting
Note 3 to entry: Any consequence can escalate through cascading and cumulative effects.
3.7
likelihood
chance of something happening
Note 1 to entry: In risk management (3.2) terminology, the word “likelihood” is used to refer to the
chance of something happening, whether defined, measured or determined objectively or subjectively,
qualitatively or quantitatively, and described using general terms or mathematically (such as a probability
or a frequency over a given time period).
Note 2 to entry: The English term “likelihood” does not have a direct equivalent in some languages;
instead, the equivalent of the term “probability” is often used. However, in English, “probability” is often
narrowly interpreted as a mathematical term. Therefore, in risk management terminology, “likelihood” is
used with the intent that it should have the same broad interpretation as the term “probability” has in
many languages other than English.
3.8
control
measure that maintains and/or modifies risk (3.1)
Note 1 to entry: Controls include, but are not limited to, any process, policy, device, practice, or other
conditions and/or actions which maintain and/or modify risk.
Note 2 to entry: Controls may not always exert the intended or assumed modifying effect.
4 Principles
The purpose of risk management is the creation and protection of value. It improves
performance, encourages innovation and supports the achievement of objectives.
© BSN 2018 19 dari 34

SNI 8615:2018
ISO 31000:2018
The principles outlined in Figure 2 provide guidance on the characteristics of effective and
efficient risk management, communicating its value and explaining its intention and purpose.
The principles are the foundation for managing risk and should be considered when
establishing the organization’s risk management framework and processes. These principles
should enable an organization to manage the effects of uncertainty on its objectives.
Consulting
Figure 2— Principles
Effective risk management requires the elements of Figure 2 and can be further explained as
follows.
a) Integrated
Risk management is an integral part of all organizational activities.
b) Structured and comprehensive

A structured and comprehensive approach to risk management contributes to consistent
and comparable results.
c) Customized
The risk management framework and process are customized and proportionate to the
organization’s external and internal context related to its objectives.
d) Inclusive
Appropriate and timely involvement of stakeholders enables their knowledge, views and
perceptions to be considered. This results in improved awareness and informed risk
management.
e) Dynamic
Risks can emerge, change or disappear as an organization’s external and internal context
changes. Risk management anticipates, detects, acknowledges and responds to those
changes and events in an appropriate and timely manner.
© BSN 2018 20 dari 34

SNI 8615:2018
ISO 31000:2018
f) Best available information

The inputs to risk management are based on historical and current information, as well as
on future expectations. Risk management explicitly takes into account any limitations and
uncertainties associated with such information and expectations. Information should be
timely, clear and available to relevant stakeholders.
g) Human and cultural factors

Human behaviour and culture significantly influence all aspects of risk management at
each level and stage.
h) Continual improvement
Risk management is continually improved through learning and experience.
5 Framework
1. General
The purpose of the risk management framework is to assist the organization in integrating risk
management into significant activities and functions. The effectiveness of risk management
will depend on its integration into the governance of the organization, including decision-
making. This requires support from stakeholders, particularly top management.
Framework development encompasses integrating, designing, implementing, evaluating and
improving risk management across the organization. Figure 3 illustrates the components of a
Consulting
framework.
Figure 3 — Framework
The organization should evaluate its existing risk management practices and processes,
evaluate any gaps and address those gaps within the framework.
The components of the framework and the way in which they work together should be
customized to the needs of the organization.
© BSN 2018 21 dari 34

SNI 8615:2018
ISO 31000:2018
5.2 Leadership and commitment
Top management and oversight bodies, where applicable, should ensure that risk
management is integrated into all organizational activities and should demonstrate leadership
and commitment by:
— customizing and implementing all components of the framework;
— issuing a statement or policy that establishes a risk management approach, plan or course
of action;
— ensuring that the necessary resources are allocated to managing risk;
— assigning authority, responsibility and accountability at appropriate levels within the

organization.
This will help the organization to:
— align risk management with its objectives, strategy and culture;
— recognize and address all obligations, as well as its voluntary commitments;
— establish the amount and type of risk that may or may not be taken to guide the
development of risk criteria, ensuring that they are communicated to the organization and
Consulting
its stakeholders;
— communicate the value of risk management to the organization and its stakeholders;
— promote systematic monitoring of risks;
— ensure that the risk management framework remains appropriate to the context of the
organization.
Top management is accountable for managing risk while oversight bodies are accountable for
overseeing risk management. Oversight bodies are often expected or required to:
— ensure that risks are adequately considered when setting the organization’s objectives;
— understand the risks facing the organization in pursuit of its objectives;
— ensure that systems to manage such risks are implemented and operating effectively;
— ensure that such risks are appropriate in the context of the organization’s objectives;
— ensure that information about such risks and their management is properly communicated.
5.3 Integration
Integrating risk management relies on an understanding of organizational structures and

context. Structures differ depending on the organization’s purpose, goals and complexity. Risk
is managed in every part of the organization’s structure. Everyone in an organization has
responsibility for managing risk.
Governance guides the course of the organization, its external and internal relationships, and
the rules, processes and practices needed to achieve its purpose. Management structures
translate governance direction into the strategy and associated objectives required to achieve
© BSN 2018 22 dari 34

SNI 8615:2018
ISO 31000:2018
desired levels of sustainable performance and long-term viability. Determining risk

management accountability and oversight roles within an organization are integral parts of the
organization’s governance.
Integrating risk management into an organization is a dynamic and iterative process, and
should be customized to the organization’s needs and culture. Risk management should be a
part of, and not separate from, the organizational purpose, governance, leadership and
commitment, strategy, objectives and operations.
4. Design
1. Understanding the organization and its context
When designing the framework for managing risk, the organization should examine and
understand its external and internal context.
Examining the organization’s external context may include, but is not limited to:
— the social, cultural, political, legal, regulatory, financial, technological, economic and
environmental factors, whether international, national, regional or local;
— key drivers and trends affecting the objectives of the organization;
— external stakeholders’ relationships, perceptions, values, needs and expectations;
Consulting
— contractual relationships and commitments;
— the complexity of networks and dependencies.
Examining the organization’s internal context may include, but is not limited to:
— vision, mission and values;
— governance, organizational structure, roles and accountabilities;
— strategy, objectives and policies;
— the organization’s culture;
— standards, guidelines and models adopted by the organization;
— capabilities, understood in terms of resources and knowledge (e.g. capital, time, people,
intellectual property, processes, systems and technologies);
— data, information systems and information flows;
— relationships with internal stakeholders, taking into account their perceptions and values;
— contractual relationships and commitments;
— interdependencies and interconnections.
© BSN 2018 23 dari 34

SNI 8615:2018
ISO 31000:2018
5.4.2 Articulating risk management commitment
Top management and oversight bodies, where applicable, should demonstrate and articulate
their continual commitment to risk management through a policy, a statement or other forms
that clearly convey an organization’s objectives and commitment to risk management. The
commitment should include, but is not limited to:
— the organization’s purpose for managing risk and links to its objectives and other policies;
— reinforcing the need to integrate risk management into the overall culture of the
organization;
— leading the integration of risk management into core business activities and decision-
making;
— authorities, responsibilities and accountabilities;
— making the necessary resources available;
— the way in which conflicting objectives are dealt with;
— measurement and reporting within the organization’s performance indicators;

— review and improvement.
Consulting
The risk management commitment should be communicated within an organization and to
stakeholders, as appropriate.
5.4.3 Assigning organizational roles, authorities, responsibilities and accountabilities
Top management and oversight bodies, where applicable, should ensure that the authorities,
responsibilities and accountabilities for relevant roles with respect to risk management are
assigned and communicated at all levels of the organization, and should:
— emphasize that risk management is a core responsibility;
— identify individuals who have the accountability and authority to manage risk (risk owners).
5.4.4 Allocating resources
Top management and oversight bodies, where applicable, should ensure allocation of
appropriate resources for risk management, which can include, but are not limited to:
— people, skills, experience and competence;
— the organization’s processes, methods and tools to be used for managing risk;
— documented processes and procedures;
— information and knowledge management systems;
— professional development and training needs.
The organization should consider the capabilities of, and constraints on, existing resources.
© BSN 2018 24 dari 34

SNI 8615:2018
ISO 31000:2018
5.4.5 Establishing communication and consultation
The organization should establish an approved approach to communication and consultation

in order to support the framework and facilitate the effective application of risk management.
Communication involves sharing information with targeted audiences. Consultation also
involves participants providing feedback with the expectation that it will contribute to and shape
decisions or other activities. Communication and consultation methods and content should
reflect the expectations of stakeholders, where relevant.
Communication and consultation should be timely and ensure that relevant information is
collected, collated, synthesised and shared, as appropriate, and that feedback is provided and
improvements are made.
5.5 Implementation
The organization should implement the risk management framework by:
— developing an appropriate plan including time and resources;
— identifying where, when and how different types of decisions are made across the
organization, and by whom;
— modifying the applicable decision-making processes where necessary;
— ensuring that the organization’s arrangements for managing risk are clearly understood
Consulting
and practised.
Successful implementation of the framework requires the engagement and awareness of

stakeholders. This enables organizations to explicitly address uncertainty in decision-making,
while also ensuring that any new or subsequent uncertainty can be taken into account as it
arises.
Properly designed and implemented, the risk management framework will ensure that the risk
management process is a part of all activities throughout the organization, including decision-
making, and that changes in external and internal contexts will be adequately captured.
5.6 Evaluation
In order to evaluate the effectiveness of the risk management framework, the organization
should:
— periodically measure risk management framework performance against its purpose,

implementation plans, indicators and expected behaviour;
— determine whether it remains suitable to support achieving the objectives of the

organization.
7. Improvement
1. Adapting
The organization should continually monitor and adapt the risk management framework to
address external and internal changes. In doing so, the organization can improve its value.
© BSN 2018 25 dari 34

SNI 8615:2018
ISO 31000:2018
5.7.2 Continually improving
The organization should continually improve the suitability, adequacy and effectiveness of the
risk management framework and the way the risk management process is integrated.
As relevant gaps or improvement opportunities are identified, the organization should develop
plans and tasks and assign them to those accountable for implementation. Once implemented,
these improvements should contribute to the enhancement of risk management.
6 Process
1. General
The risk management process involves the systematic application of policies, procedures and
practices to the activities of communicating and consulting, establishing the context and
assessing, treating, monitoring, reviewing, recording and reporting risk. This process is
illustrated in Figure 4.
Consulting
Figure 4 — Process
The risk management process should be an integral part of management and decision-making
and integrated into the structure, operations and processes of the organization. It can be
applied at strategic, operational, programme or project levels.
There can be many applications of the risk management process within an organization,
customized to achieve objectives and to suit the external and internal context in which they are
applied.
The dynamic and variable nature of human behaviour and culture should be considered
throughout the risk management process.
© BSN 2018 26 dari 34

SNI 8615:2018
ISO 31000:2018
Although the risk management process is often presented as sequential, in practice it is

iterative.
6.2 Communication and consultation
The purpose of communication and consultation is to assist relevant stakeholders in
understanding risk, the basis on which decisions are made and the reasons why particular
actions are required. Communication seeks to promote awareness and understanding of risk,
whereas consultation involves obtaining feedback and information to support decision-making.
Close coordination between the two should facilitate factual, timely, relevant, accurate and
understandable exchange of information, taking into account the confidentiality and integrity of
information as well as the privacy rights of individuals.
Communication and consultation with appropriate external and internal stakeholders should
take place within and throughout all steps of the risk management process.
Communication and consultation aims to:
— bring different areas of expertise together for each step of the risk management process;
— ensure that different views are appropriately considered when defining risk criteria and
when evaluating risks;
— provide sufficient information to facilitate risk oversight and decision-making;
Consulting
— build a sense of inclusiveness and ownership among those affected by risk.
3. Scope, context and criteria
1. General
The purpose of establishing the scope, the context and criteria is to customize the risk
management process, enabling effective risk assessment and appropriate risk treatment.
Scope, context and criteria involve defining the scope of the process, and understanding the
external and internal context.
2. Defining the scope
The organization should define the scope of its risk management activities.
As the risk management process may be applied at different levels (e.g. strategic, operational,
programme, project, or other activities), it is important to be clear about the scope under
consideration, the relevant objectives to be considered and their alignment with organizational
objectives.
When planning the approach, considerations include:
— objectives and decisions that need to be made;
— outcomes expected from the steps to be taken in the process;
— time, location, specific inclusions and exclusions;
— appropriate risk assessment tools and techniques;
— resources required, responsibilities and records to be kept;
© BSN 2018 27 dari 34

SNI 8615:2018
ISO 31000:2018
— relationships with other projects, processes and activities.
6.3.3 External and internal context
The external and internal context is the environment in which the organization seeks to define
and achieve its objectives.
The context of the risk management process should be established from the understanding of
the external and internal environment in which the organization operates and should reflect the
specific environment of the activity to which the risk management process is to be applied.
Understanding the context is important because:
— risk management takes place in the context of the objectives and activities of the
organization;
— organizational factors can be a source of risk;
— the purpose and scope of the risk management process may be interrelated with the
objectives of the organization as a whole.
The organization should establish the external and internal context of the risk management
process by considering the factors mentioned in 5.4.1.
Consulting
6.3.4 Defining risk criteria
The organization should specify the amount and type of risk that it may or may not take, relative
to objectives. It should also define criteria to evaluate the significance of risk and to support
decision-making processes. Risk criteria should be aligned with the risk management
framework and customized to the specific purpose and scope of the activity under
consideration. Risk criteria should reflect the organization’s values, objectives and resources
and be consistent with policies and statements about risk management. The criteria should be
defined taking into consideration the organization’s obligations and the views of stakeholders.
While risk criteria should be established at the beginning of the risk assessment process, they
are dynamic and should be continually reviewed and amended, if necessary.
To set risk criteria, the following should be considered:
— the nature and type of uncertainties that can affect outcomes and objectives (both tangible
and intangible);
— how consequences (both positive and negative) and likelihood will be defined and
measured;
— time-related factors;
— consistency in the use of measurements;
— how the level of risk is to be determined;
— how combinations and sequences of multiple risks will be taken into account;
— the organization’s capacity.
© BSN 2018 28 dari 34

SNI 8615:2018
ISO 31000:2018
4. Risk assessment
1. General
Risk assessment is the overall process of risk identification, risk analysis and risk evaluation.
Risk assessment should be conducted systematically, iteratively and collaboratively, drawing

on the knowledge and views of stakeholders. It should use the best available information,
supplemented by further enquiry as necessary.
2. Risk identification
The purpose of risk identification is to find, recognize and describe risks that might help or
prevent an organization achieving its objectives. Relevant, appropriate and up-to-date
information is important in identifying risks
.
The organization can use a range of techniques for identifying uncertainties that may affect
one or more objectives. The following factors, and the relationship between these factors,
should be considered:
— tangible and intangible sources of risk;
— causes and events;
— threats and opportunities;
Consulting
— vulnerabilities and capabilities;
— changes in the external and internal context;
— indicators of emerging risks;
— the nature and value of assets and resources;
— consequences and their impact on objectives;
— limitations of knowledge and reliability of information;
— time-related factors;
— biases, assumptions and beliefs of those involved.
The organization should identify risks, whether or not their sources are under its control.
Consideration should be given that there may be more than one type of outcome, which may
result in a variety of tangible or intangible consequences.
6.4.3 Risk analysis
The purpose of risk analysis is to comprehend the nature of risk and its characteristics
including, where appropriate, the level of risk. Risk analysis involves a detailed consideration
of uncertainties, risk sources, consequences, likelihood, events, scenarios, controls and their
effectiveness. An event can have multiple causes and consequences and can affect multiple
objectives.
Risk analysis can be undertaken with varying degrees of detail and complexity, depending on
the purpose of the analysis, the availability and reliability of information, and the resources
© BSN 2018 29 dari 34

SNI 8615:2018
ISO 31000:2018
available. Analysis techniques can be qualitative, quantitative or a combination of these,

depending on the circumstances and intended use.
Risk analysis should consider factors such as:
— the likelihood of events and consequences;
— the nature and magnitude of consequences;
— complexity and connectivity;
— time-related factors and volatility;
— the effectiveness of existing controls;
— sensitivity and confidence levels.
The risk analysis may be influenced by any divergence of opinions, biases, perceptions of risk
and judgements. Additional influences are the quality of the information used, the assumptions
and exclusions made, any limitations of the techniques and how they are executed. These
influences should be considered, documented and communicated to decision makers.
Highly uncertain events can be difficult to quantify. This can be an issue when analysing events
with severe consequences. In such cases, using a combination of techniques generally
Consulting
provides greater insight.
Risk analysis provides an input to risk evaluation, to decisions on whether risk needs to be
treated and how, and on the most appropriate risk treatment strategy and methods. The results
provide insight for decisions, where choices are being made, and the options involve different
types and levels of risk.
6.4.4 Risk evaluation
The purpose of risk evaluation is to support decisions. Risk evaluation involves comparing the
results of the risk analysis with the established risk criteria to determine where additional action
is required. This can lead to a decision to:
— do nothing further;
— consider risk treatment options;
— undertake further analysis to better understand the risk;
— maintain existing controls;
— reconsider objectives.
Decisions should take account of the wider context and the actual and perceived
consequences to external and internal stakeholders.
The outcome of risk evaluation should be recorded, communicated and then validated at
appropriate levels of the organization.
© BSN 2018 30 dari 34

SNI 8615:2018
ISO 31000:2018
5. Risk treatment
1. General
The purpose of risk treatment is to select and implement options for addressing risk.
Risk treatment involves an iterative process of:
— formulating and selecting risk treatment options;
— planning and implementing risk treatment;
— assessing the effectiveness of that treatment;
— deciding whether the remaining risk is acceptable;
— if not acceptable, taking further treatment.
6.5.2 Selection of risk treatment options
Selecting the most appropriate risk treatment option(s) involves balancing the potential
benefits derived in relation to the achievement of the objectives against costs, effort or
disadvantages of implementation.
Risk treatment options are not necessarily mutually exclusive or appropriate in all
Consulting
circumstances. Options for treating risk may involve one or more of the following:
— avoiding the risk by deciding not to start or continue with the activity that gives rise to the
risk;
— taking or increasing the risk in order to pursue an opportunity;
— removing the risk source;
— changing the likelihood;
— changing the consequences;
— sharing the risk (e.g. through contracts, buying insurance);
— retaining the risk by informed decision.
Justification for risk treatment is broader than solely economic considerations and should take
into account all of the organization’s obligations, voluntary commitments and stakeholder
views. The selection of risk treatment options should be made in accordance with the
organization’s objectives, risk criteria and available resources.
When selecting risk treatment options, the organization should consider the values,
perceptions and potential involvement of stakeholders and the most appropriate ways to
communicate and consult with them. Though equally effective, some risk treatments can be
more acceptable to some stakeholders than to others.
Risk treatments, even if carefully designed and implemented might not produce the expected
outcomes and could produce unintended consequences. Monitoring and review need to be an
integral part of the risk treatment implementation to give assurance that the different forms of
treatment become and remain effective.
© BSN 2018 31 dari 34

SNI 8615:2018
ISO 31000:2018
Risk treatment can also introduce new risks that need to be managed.
If there are no treatment options available or if treatment options do not sufficiently modify the
risk, the risk should be recorded and kept under ongoing review.
Decision makers and other stakeholders should be aware of the nature and extent of the
remaining risk after risk treatment. The remaining risk should be documented and subjected to
monitoring, review and, where appropriate, further treatment.
6.5.3 Preparing and implementing risk treatment plans
The purpose of risk treatment plans is to specify how the chosen treatment options will be
implemented, so that arrangements are understood by those involved, and progress against
the plan can be monitored. The treatment plan should clearly identify the order in which risk
treatment should be implemented.
Treatment plans should be integrated into the management plans and processes of the
organization, in consultation with appropriate stakeholders.
The information provided in the treatment plan should include:
— the rationale for selection of the treatment options, including the expected benefits to be
gained;
Consulting
— those who are accountable and responsible for approving and implementing the plan;
— the proposed actions;
— the resources required, including contingencies;
— the performance measures;
— the constraints;
— the required reporting and monitoring;
— when actions are expected to be undertaken and completed.
6.6 Monitoring and review
The purpose of monitoring and review is to assure and improve the quality and effectiveness
of process design, implementation and outcomes. Ongoing monitoring and periodic review of
the risk management process and its outcomes should be a planned part of the risk
management process, with responsibilities clearly defined.
Monitoring and review should take place in all stages of the process. Monitoring and review
includes planning, gathering and analysing information, recording results and providing
feedback.
The results of monitoring and review should be incorporated throughout the organization’s
performance management, measurement and reporting activities.
© BSN 2018 32 dari 34

SNI 8615:2018
ISO 31000:2018
6.7 Recording and reporting
The risk management process and its outcomes should be documented and reported through
appropriate mechanisms. Recording and reporting aims to:
— communicate risk management activities and outcomes across the organization;
— provide information for decision-making;
— improve risk management activities;
— assist interaction with stakeholders, including those with responsibility and accountability
for risk management activities.
Decisions concerning the creation, retention and handling of documented information should
take into account, but not be limited to: their use, information sensitivity and the external and
internal context
.
Reporting is an integral part of the organization’s governance and should enhance the quality
of dialogue with stakeholders and support top management and oversight bodies in meeting
their responsibilities. Factors to consider for reporting include, but are not limited to:
— differing stakeholders and their specific information needs and requirements;
— cost, frequency and timeliness of reporting;
Consulting
— method of reporting;
— relevance of information to organizational objectives and decision-making.
© BSN 2018 33 dari 34

Consulting
IEC 31010, Risk management — Risk assessment techniques
Bibliografi
34 dari 34
ISO 31000:2018
SNI 8615:2018
© BSN 2018
[1]
Informasi pendukung terkait perumusan standar
1 Komtek/SubKomtek Perumusan SNI
Komite Teknis 03-10 Manajemen Risiko
2 Susunan keanggotaan Komtek Perumusan SNI

Ketua : Antonius Alijoyo
Sekretaris : Rosalia Surtiasih
Anggota :
1. D.S Priyarsono
2. Arif Budiman
3. B.Dwita Pradana
4. Nursepdal Verliandri
5. Roy Urich
6. Charles Reinier Vorst
Consulting
7. Ridwan Hendra
8. Mohammad Mukhlis
9. Bernado A. Mochtar
10. Rudi Purnomoloka
11. Susiwijono
12. Wening Kusharjani
13. Johan Candra
3 Konseptor rancangan SNI

1. Ivan Lanin
2. Bernado A Mochtar
3. Johan Candra
4 Sekretariat pengelola Komtek Perumusan SNI

Pusat Perumusan Standar
Badan Standardisasi Nasional

Sni Iso 31000-2018

Uploaded by

Document Information

Original Title

Copyright

Available Formats

Share this document

Share or Embed Document

Sharing Options

Did you find this document useful?

Is this content inappropriate?

Copyright:

Available Formats

Sni Iso 31000-2018

Uploaded by

Copyright:

Available Formats

SNI 8615:2018

Standar Nasional Indonesia

ICS 03.100.01 Badan Standardisasi Nasional

Hak cipta dilindungi undang-undang. Dilarang mengumumkan dan memperbanyak sebagian

Pengelolaan risiko mempertimbangkan konteks eksternal dan internal organisasi, termasuk

Gambar 1 - Prinsip, kerangka kerja, dan proses

© BSN 2018 iii

Manajemen risiko — Pedoman

Tidak ada acuan normatif dalam standar ini.

3 Istilah dan definisi

Untuk keperluan standar ini, berlaku istilah dan definisi berikut.

— Platform peramban ISO Online: tersedia di http://www.iso.org/obp

Catatan 3 terhadap entri: Suatu peristiwa dapat menjadi sumber risiko.

Catatan terhadap entri 1: Dalam terminologi manajemen risiko, kata "kemungkinan-kejadian"

Manajemen risiko adalah bagian integral dari semua aktivitas organisasi.

b) Terstruktur dan komprehensif

Pendekatan terstruktur dan komprehensif terhadap manajemen risiko berkontribusi

© BSN 2018 3 dari 34

f) Informasi terbaik yang tersedia

g) Faktor manusia dan budaya

Manajemen risiko diperbaiki secara berkelanjutan melalui pelajaran dan pengalaman.

Pengembangan kerangka kerja meliputi integrasi, desain, implementasi, evaluasi, dan

© BSN 2018 4 dari 34

Organisasi sebaiknya mengevaluasi praktik dan proses manajemen risiko, mengevaluasi

5.2 Kepemimpinan dan komitmen

Manajemen puncak dan badan pengawas, jika memungkinkan, sebaiknya memastikan

— menyesuaikan dan mengimplementasikan semua komponen kerangka kerja;

Ini akan membantu organisasi untuk:

© BSN 2018 5 dari 34

Manajemen puncak memiliki akuntabilitas untuk mengelola risiko, sedangkan badan

— memastikan risiko dipertimbangkan dengan memadai saat penetapan sasaran organisasi;

1. Pemahaman organisasi dan konteksnya

© BSN 2018 6 dari 34

5.4.2 Penegasan komitmen manajemen risiko

Komitmen manajemen risiko sebaiknya dikomunikasikan di dalam organisasi dan kepada

5.4.3 Penetapan peran, kewenangan, tanggung jawab, dan akuntabilitas

— menekankan bahwa manajemen risiko adalah tanggung jawab inti;

© BSN 2018 7 dari 34

5.4.4 Alokasi sumber daya

— orang, keterampilan, pengalaman, dan kompetensi;

Organisasi sebaiknya mempertimbangkan kapabilitas, dan keterbatasan, sumber daya yang

5.4.5 Penyiapan komunikasi dan konsultasi

Organisasi sebaiknya menetapkan pendekatan yang disetujui untuk komunikasi dan

Organisasi sebaiknya mengimplementasikan kerangka kerja manajemen risiko dengan:

— mengembangkan rencana yang sesuai, termasuk waktu dan sumber daya;

Implementasi kerangka kerja yang berhasil memerlukan keterlibatan dan kesadaran

organisasi, termasuk pengambilan keputusan, serta memastikan perubahan konteks eksternal

Organisasi sebaiknya secara berkelanjutan memantau dan mengadaptasi kerangka kerja

Organisasi sebaiknya secara sinambung meningkatkan kesesuaian, kecukupan, dan

© BSN 2018 9 dari 34

6.2 Komunikasi dan konsultasi

Komunikasi dan konsultasi dimaksudkan untuk:

© BSN 2018 10 dari 34

— memastikan berbagai pandangan dipertimbangkan dengan memadai saat menentukan

3. Ruang lingkup, konteks, dan kriteria

2. Penentuan ruang lingkup

Organisasi sebaiknya menentukan ruang lingkup aktivitas manajemen risikonya.

Saat merencanakan pendekatan, hal yang perlu dipertimbangkan adalah:

— sasaran dan keputusan yang perlu dibuat;

6.3.3 Konteks eksternal dan internal

Pemahaman konteks adalah penting karena:

— manajemen risiko dilakukan dalam konteks sasaran dan aktivitas organisasi;

© BSN 2018 11 dari 34