Penerapan KRI dan RCSA serta Risiko Inheren di Perbankan
1. Penerapan RCSA di Bank Umum:
Regulasi Terkait:
- POJK No. 18/POJK.03/2016 tentang Penerapan Manajemen Risiko Bagi Bank Umum.
- POJK No. 14/POJK.03/2017 tentang Penilaian Tingkat Kesehatan Bank Umum.
Implementasi:
- Identifikasi dan Penilaian Risiko: Bank wajib mengidentifikasi dan menilai semua risiko yang relevan dalam setiap aktivitasnya, termasuk risiko kredit, risiko operasional, risiko pasar, dan risiko likuiditas. RCSA digunakan sebagai alat utama untuk proses ini.
- Evaluasi Pengendalian: Melalui RCSA, bank mengevaluasi efektivitas pengendalian yang ada terhadap risiko yang diidentifikasi. Pengendalian ini bisa berupa kebijakan internal, prosedur operasional, atau teknologi.
- Dokumentasi dan Pemantauan: Hasil dari RCSA didokumentasikan dan digunakan untuk memantau perubahan profil risiko. Bank juga diwajibkan untuk melakukan RCSA secara berkala, minimal satu kali setahun, atau lebih sering jika terdapat perubahan signifikan dalam aktivitas atau lingkungan operasional bank.
2. Penerapan KRI di Bank Umum:
Regulasi Terkait:
- POJK No. 18/POJK.03/2016 tentang Penerapan Manajemen Risiko Bagi Bank Umum.
- SE OJK No. 34/SEOJK.03/2016 sebagai petunjuk pelaksanaan POJK 18/2016.
Implementasi:
- Penetapan KRI: Bank diharuskan menetapkan KRI sebagai bagian dari kerangka pemantauan risiko. KRI ini disesuaikan dengan karakteristik dan kompleksitas bank serta jenis risiko yang paling relevan.
- Pemantauan dan Pelaporan: KRI dipantau secara berkala dan hasilnya dilaporkan kepada manajemen senior serta Dewan Komisaris. Indikator yang berada di atas ambang batas (threshold) yang ditetapkan harus segera ditindaklanjuti.
- Penggunaan dalam Keputusan Manajemen: Data yang diperoleh dari KRI digunakan oleh bank untuk membuat keputusan yang tepat terkait pengelolaan risiko, termasuk menyesuaikan strategi, kebijakan, atau pengendalian risiko.
3. Keterkaitan RCSA dan KRI dalam POJK:
- RCSA sebagai Dasar Penetapan KRI: Proses RCSA membantu bank mengidentifikasi area risiko utama yang kemudian digunakan untuk menetapkan KRI. Ini memastikan bahwa KRI yang dipilih benar-benar relevan dan signifikan terhadap risiko yang dihadapi bank.
- Pemantauan Berkelanjutan: KRI memungkinkan bank untuk memantau risiko yang telah diidentifikasi melalui RCSA secara real-time atau periodik, sehingga manajemen dapat mengambil tindakan pencegahan jika ada indikasi peningkatan risiko.
- Pelaporan ke OJK: Sebagai bagian dari kepatuhan terhadap POJK, bank diwajibkan melaporkan hasil RCSA dan pemantauan KRI kepada OJK sebagai bagian dari penilaian kesehatan bank secara keseluruhan.
Dengan penerapan RCSA dan KRI sesuai POJK, bank umum di Indonesia dapat lebih efektif dalam mengelola risiko, menjaga stabilitas operasional, dan mematuhi regulasi yang berlaku.
RCSA (Risk and Control Self-Assessment), Risiko Inheren, dan KRI (Key Risk Indicators) adalah tiga konsep penting dalam manajemen risiko di berbagai organisasi, terutama di sektor keuangan. Berikut penjelasan masing-masing:
1. RCSA (Risk and Control Self-Assessment):
- Definisi: RCSA adalah proses di mana unit bisnis atau fungsional dalam organisasi secara mandiri mengidentifikasi, menilai, dan mengevaluasi risiko yang dihadapi serta efektivitas pengendalian yang ada untuk mengelola risiko tersebut.
- Tujuan: RCSA bertujuan untuk meningkatkan kesadaran risiko di seluruh organisasi dan memastikan bahwa risiko utama diidentifikasi dan dikelola dengan tepat.
- Proses: Proses ini biasanya melibatkan langkah-langkah seperti identifikasi risiko, penilaian dampak dan kemungkinan terjadinya risiko, evaluasi kontrol yang ada, serta dokumentasi hasil penilaian.
2. Risiko Inheren:
- Definisi: Risiko inheren adalah tingkat risiko yang melekat pada suatu proses, aktivitas, atau produk sebelum mempertimbangkan adanya kontrol atau mitigasi risiko. Risiko ini adalah risiko "alami" yang ada tanpa adanya upaya untuk menguranginya.
- Contoh: Misalnya, dalam operasi perbankan, risiko kredit yang dihadapi oleh bank merupakan risiko inheren dalam proses pemberian pinjaman.
- Tujuan Penilaian: Memahami risiko inheren penting untuk menentukan kebutuhan pengendalian yang sesuai dan mengevaluasi apakah pengendalian yang ada sudah memadai untuk mengelola risiko tersebut.
3. KRI (Key Risk Indicators):
- Definisi: KRI adalah metrik yang digunakan untuk mengukur tingkat risiko dalam suatu organisasi dan memberikan sinyal awal tentang kemungkinan peningkatan eksposur risiko. KRIs adalah alat monitoring yang membantu dalam identifikasi dini potensi risiko.
- Tujuan: KRI membantu organisasi dalam memantau perubahan dalam profil risiko dan mengambil tindakan proaktif sebelum risiko menjadi masalah yang lebih besar.
- Contoh: Dalam konteks risiko operasional, KRI bisa berupa jumlah insiden IT atau pelanggaran keamanan data dalam periode tertentu.
Keterkaitan:
- RCSA digunakan untuk mengidentifikasi dan menilai Risiko Inheren serta mengevaluasi efektivitas pengendalian yang ada. KRI kemudian digunakan untuk memantau risiko yang telah diidentifikasi melalui proses RCSA dan membantu dalam pengambilan keputusan yang lebih cepat dan tepat terkait manajemen risiko.
Ketiga elemen ini bekerja bersama untuk memastikan bahwa organisasi memiliki pendekatan komprehensif dalam mengelola risiko.
Bandingkan dua hal ini:
Pertama, Pengelolaan risiko operasional lazimnya (ISO 31000 atau COSO ERM) sering disebut proses RCSA (Risk and Control Self-assessment) dimulai dengan penetapan sasaran kerja, penetapan strategi dan proses kerja, identifikasi risiko pada proses kerja (risk event atau peristiwa risiko), asesmen atas risiko tersebut dengan mengukur frekuensi dan dampak risiko untuk memperoleh risiko inheren. Dengan menilai efektifitas kontrol eksisting, diperoleh yang disebut dengan risiko residual. Risiko inheren dan risiko residual ini sering dipetakan pada diagram heat-map atau peta risiko dan menentukan apakah perlu dilakukan mitigasi risiko dengan kontrol tambahan. Proses ini dilakukan setiap 3 - 6 bulan.
Sebagai alat peringatan dini (EWS) untuk mencegah suatu peristiwa risiko menjadi dampak kerugian, digunakan alat ukur yang disebut KRI (key risk indicator), yang menggunakan indikator risiko untuk memprediksi tren perkembangan potensi risiko menjadi dampak kerugian. Proses KRI dilakukan dengan periode yang lebih pendek (harian, mingguan) sehingga bank dapat segera mengambil langkah2 yang diperlukan begitu melihat indikator bahaya.
Kedua, sesuai ketentuan pada POJK no 4/POJK.03/201 dan SEOJK No 14/SEOJK.03/2017 mengenai Tingkat Kesehatan Bank (TKB), Bank setiap tiga bulan melaporkan profil risiko bank yang terdiri dari risiko inheren dan KPMR (Kualitas Penerapan Manajemen Risiko) atas delapan risiko utama. Dengan menggunakan tabel pada POJK tersebut, diperoleh net risk rating (risiko komposit). Kalau dilihat cara menentukan risiko inheren sesuai lampiran 1 pada SEOJK tersebut diatas, yang digunakan adalah parameter KRI. Sebagai contoh, pada risiko kredit, konsentrasi kredit atau tingkat NPL merupakan indikator dari kredit macet (peristiwa risiko), pada risiko operasional, karakteristik dan kompleksitas bisnis merupakan indikasi risiko operasional dsb.
Dengan menilai dua hal tersebut diatas, saya membaca bahwa risiko inheren pada profil risiko pada OJK sebenarnya merupakan Indikator KRI, yang apabila melewati threshold (untuk NPL misalnya rating 3), maka diperlukan kontrol berupa KPMR untuk memperbaiki risiko inheren yang terkait dengan indikator terkait. Risiko inheren sendiri sebenarnya tidak dapat terlihat pada proses ini. Identifikasi risiko sudah dipatok pada delapan risiko pada bank umum, dengan indikator sebagaimana pada lampiran 1 SEOJK tersebut diatas. Informasi ini cukup memadai untuk keperluan OJK menilai profil risiko bank. Namun bank perlu melakukan sendiri proses manajemen risiko operasional sesuai proses RCSA (risk and control self-assessment) sesuai pada bagian pertama diatas. Untuk keperluan intern bank, proses RCSA dapat dibuat setiap 3 – 6 bulan, namun penerapan KRI setiap tiga bulan seperti pada ketentuan POJK tersebut diatas sebenarnya terlalu lama untuk maksud mencegah risiko operasional.
Komentar
Posting Komentar