BAB III LANGKAH IDENTIFIKASI RISIKO
B. Pelaksanaan Identifikasi Risiko
Subbab ini menguraikan mengenai pelaksanaan tahapan Identifikasi risiko.
Bab IV Penutup
Bab ini menguraikan secara singkat simpulan umum dalam rangka melakukan identifikasi risiko.
Pedoman ini dimaksudkan hanya untuk identifikasi risiko, yang meliputi juga penetapan konteks/tujuan instansi, sedangkan analisis risiko akan dibahas pada pedoman tersendiri.
BAB II
GAMBARAN UMUM
Bab ini memberikan gambaran umum tentang risiko, proses pengelolaan risiko, dan penilaian risiko. Penilaian risiko sangat berkaitan erat dengan proses pengelolaan risiko.
A. Risiko
1. Pengertian Risiko
Setiap keputusan untuk melakukan sesuatu atau tidak melakukan sesuatu, keduanya membawa konsekuensi atau dampak risiko. Risiko merupakan kondisi yang jika terjadi akan menghambat atau mengganggu pencapaian tujuan suatu organisasi, baik yang bersifat langsung maupun tidak langsung, yang merupakan hasil dari kombinasi kemungkinan (likelihood) terjadinya peristiwa dan besaran dari konsekuensi atau dampaknya (consequences or impact). Risiko dapat didefinisikan dalam berbagai cara.
Handbook (HB) 436: 2004 of Risk Management Guidelines Companion to AS/NZS 4360: 2004, halaman 3,
mendefinisikan risiko sebagai:
“the chance of something that will have an impact on
objectives. A risk is often specified in terms of an event or circumstance and the consequences that may flow from it. Risk is measured in terms of a combination of the consequences of an event and their likelihood.”
Sesuai dengan penjelasan pasal 3 huruf b Peraturan Pemerintah Nomor 60 Tahun 2008, dinyatakan bahwa yang dimaksud dengan “penilaian risiko” adalah kegiatan penilaian atas kemungkinan kejadian yang mengancam pencapaian tujuan dan sasaran instansi pemerintah.
Menurut Ronny Kountur, D.M.S., Ph.D, (2008, halaman 6), dinyatakan bahwa risiko diartikan sebagai kemungkinan kejadian yang merugikan. Ada tiga unsur penting yang dapat menunjukkan apakah suatu potensi kejadian dapat disebut risiko, yaitu:
a. Merupakan suatu kejadian;
b. Kejadian tersebut masih merupakan kemungkinan, jadi dapat saja terjadi, atau tidak terjadi;
c. Jika sampai terjadi, ada akibat yang ditimbulkannya, yaitu kerugian.
Di samping itu, terdapat tiga unsur lain yang menentukan tingkat risiko, yaitu paparan atau kemunculan (exposure), waktu, dan kerentanan. Waktu dan kerentanan dikelompokkan ke dalam kemungkinan, sedangkan paparan dikelompokkan ke dalam akibat atau dampak.
Risiko juga diartikan sebagai fungsi atau terkait dengan ketidakpastian (uncertainty). Bramantyo Djohanputro, Ph.D (2008, halaman 30) menyatakan: “Yang paling mendasar,
pengertian risiko sebagai ketidakpastian yang telah diketahui tingkat probabilitas kejadiannya. Pengertian lain dan sering digunakan oleh kebanyakan orang, risiko adalah ketidakpastian yang dapat dikuantifikasi, yang dapat menyebabkan kerugian atau kehilangan. Risiko juga dapat diartikan penyebaran atau penyimpangan dari target, sasaran, atau harapan.”
Berdasarkan pada dampaknya terhadap tujuan, risiko dikenal sebagai risiko sisi bawah (downside risks) dan risiko sisi atas (upside risks). Risiko sisi bawah mengacu kepada terjadinya hal buruk yang secara negatif memengaruhi tujuan. Risiko sisi atas mengacu kepada terjadinya hal-hal baik (positif) yang diharapkan untuk secara positif memengaruhi tujuan. Dengan demikian, risiko merupakan kejadian yang mempunyai dampak positif (sisi atas) dan negatif (sisi bawah) pada pencapaian tujuan organisasi, yang diukur berdasarkan kemungkinan dan konsekuensinya.
Dari beberapa penjelasan di atas, yang dimaksudkan dengan risiko dalam pedoman teknis ini adalah kemungkinan
kejadian yang mengancam pencapaian tujuan dan sasaran Instansi pemerintah.
2. Kategori Risiko
Untuk memudahkan identifikasi risiko, maka perlu dilakukan kategori atau pengelompokan risiko. Ada beberapa kategori risiko bergantung dari sudut pandang mana kita melihatnya.
Risiko dapat dilihat dari beberapa sudut pandang, yaitu:
a. Risiko dari Sudut Pandang Penyebab
Apabila dilihat dari sebab terjadinya, ada dua macam risiko, yaitu risiko keuangan, dan risiko operasional. Risiko keuangan adalah risiko yang disebabkan oleh faktor-faktor keuangan. Risiko operasional adalah risiko yang disebabkan oleh faktor-faktor nonkeuangan, misalnya manusia, teknologi, sistem dan prosedur, serta alam. Di samping risiko dari sudut pandang penyebab, risiko juga
bersumber dari risiko strategis, yaitu risiko yang berdampak terhadap entitas dan bersifat strategis (misalnya keuangan, perubahan politik, dan keamanan) sebagai akibat keputusan strategis yang tidak sesuai dengan lingkungan eksternal dan internal organisasi, serta
risiko eksternalitas, yaitu risiko yang timbul dari faktor eksternal, antara lain reputasi, lingkungan, sosial, dan hukum (Bramantyo Djohanputro, 2008, hal. 66-67).
b. Risiko dari Sudut Pandang Akibat
Ada dua kategori risiko jika dilihat dari akibat yang ditimbulkan, yaitu risiko murni dan risiko spekulatif. Apabila suatu kejadian berakibat hanya merugikan dan tidak memungkinkan adanya keuntungan disebut risiko murni, misalnya terjadi kebakaran. Risiko spekulatif adalah risiko yang tidak saja memungkinkan terjadinya kerugian tetapi juga memungkinkan terjadinya keuntungan, misalnya risiko melakukan investasi.
c. Risiko dari Sudut Pandang Aktivitas
Ada berbagai macam aktivitas yang dapat menimbulkan risiko, misalnya aktivitas pemberian kredit oleh bank, aktivitas pelayanan kepada masyarakat.
d. Risiko dari Sudut Pandang Kejadian
Risiko dilihat dari sudut pandang kejadian, misalnya risiko kebakaran. (Ronny Kountur, Ph.D, 2008, halaman 14 -19).
Pendapat lain menyatakan beberapa sumber risiko dapat dilihat dari sumber terjadinya, yaitu : (1) Lima M: SDM (Man), Anggaran (Money), Peralatan (Machines), Sisdur informasi (Methods), dan Sarpras (Materials); (2) Kegiatan
manajemen (Perencanaan, Pengorganisasian, Pelaksanaan, dan Pengawasan); dan (3) Aspek lainnya (Koordinasi, Sosial Ekonomi, Politik, Hukum, dan Lingkungan).
Komponen suatu risiko berhubungan atau berkaitan dengan (sesuai dengan HB 436: 2004, halaman 38):
a. Sumber risiko atau bahaya (hazard) – sesuatu yang mempunyai potensi intrinsik menjadi atau membantu terjadinya kerugian (harm), misalnya bahaya kimia, pesaing, dan pemerintah.
b. Suatu kejadian atau insiden – sesuatu yang terjadi, sebagaimana sumber risiko, mempunyai dampak yang berkaitan dengan kebocoran, pesaing masuk ke dalam atau keluar dari pasar, regulasi baru atau regulasi yang direvisi, atau beberapa ukuran atau kinerja untuk memenuhi tingkat hasil tertentu.
c. Suatu konsekuensi (hasil atau dampak) pada pemangku kepentingan dan aset, misalnya kerusakan lingkungan, pasar yang meningkat, menderita kerugian, memeroleh laba, bertambahnya regulasi, atau menurunnya persaingan. d. Suatu penyebab (apa dan mengapa), (biasanya berkaitan
langsung dengan penyebab pokok) atas timbulnya bahaya atau kejadian yang terjadi, misalnya desain, intervensi orang, pendanaan, predikisi atau kegagalan untuk memprediksi aktivitas pesaing, dan kegagalan untuk memasuki pasar atau ekspansi.
e. Pengendalian dan tingkat efektivitas pengendalian, misalnya sistem deteksi, sistem pembersihan, kebijakan, pengamanan, pelatihan, riset pasar, dan pengawasan pasar.
Sumber risiko, menurut Australian Standard/New Zealand Standard (AS/NZS) 4360:2004, meliputi: perilaku personel, aktivitas manajemen dan pengendalian, kondisi ekonomi, kejadian yang biasa/tidak biasa, kondisi politik, isu-isu teknologi/teknikal, hubungan hukum dan komersial, tanggung jawab produk/profesional/publik, dan aktivitas itu sendiri.
Dalam penjelasan PP Nomor 60 Tahun 2008, pasal 16 huruf (b) dan (c) disebutkan bahwa risiko dapat berasal dari
faktor eksternal dan faktor internal, serta faktor lain, yang
dapat dikhtisarkan sebagai berikut:
a. Risiko yang berasal dari faktor eksternal, misalnya peraturan perundang-undangan baru, perkembangan teknologi, bencana alam, dan gangguan keamanan.
b. Risiko yang berasal dari faktor internal, misalnya keterbatasan dana operasional, sumber daya manusia yang tidak kompeten, peralatan yang tidak memadai, kebijakan dan prosedur yang tidak jelas, serta suasana kerja yang tidak kondusif.
c. Risiko yang berasal dari faktor lain adalah risiko akibat kegagalan pencapaian tujuan dan keterbatasan anggaran yang pernah terjadi, antara lain disebabkan oleh pengeluaran program yang tidak tepat, pelanggaran terhadap pengendalian dana, dan ketidaktaatan terhadap peraturan perundang-undangan, risiko yang melekat pada sifat misinya atau pada signifikansi dan kompleksitas dari setiap program atau kegiatan spesifik dilaksanakan.
Dalam praktiknya, terdapat banyak risiko dan kebanyakan saling berinteraksi satu sama lain. Satu risiko memiliki banyak potensi konsekuensi pada berbagai perspektif, dan satu perspektif dapat merupakan akibat dari beberapa risiko yang memengaruhi secara simultan. Oleh karena itu, perlu adanya pengelolaan risiko terintegrasi, selain pengelolaan risiko yang secara otomatis melekat menjadi bagian dari tugas pemegang jabatan masing-masing, yang terkait dalam suatu organisasi.
B. Proses Pengelolaan Risiko
Dalam lingkungan organisasi atau instansi pemerintah, perhatian atas pentingnya pengelolaan risiko dan sistem pengendalian intern telah meningkat, sehingga membawa tanggung jawab yang lebih besar bagi orang-orang yang mengelola risiko. Oleh karena itu, manajemen organisasi mempunyai harapan yang lebih tinggi untuk mengawasi (oversight) dan mengelola risiko utama dalam organisasi mereka, serta bagaimana risiko dan upaya-upaya pengendaliannya dapat mendukung kinerja organisasi.
Sistem pengendalian intern adalah proses yang integral pada tindakan dan kegiatan yang dilakukan secara terus-menerus oleh pimpinan dan seluruh pegawai untuk memberikan keyakinan memadai atas tercapainya tujuan organisasi melalui kegiatan yang efektif dan efisien, keandalan pelaporan keuangan, pengamanan aset negara, dan ketaatan terhadap peraturan perundang-undangan (PP Nomor 60 Tahun 2008).
Dalam PP Nomor 60 Tahun 2008 Bab II, pasal 3, disebutkan bahwa SPIP terdiri atas unsur (a) lingkungan pengendalian, (b) penilaian risiko, (c) kegiatan pengendalian, (d) informasi dan komunikasi, dan (e) pemantauan pengendalian intern.
Penilaian risiko diawali dengan penetapan maksud dan tujuan instansi pemerintah yang jelas dan konsisten, baik pada tingkat instansi maupun pada tingkat kegiatan. Selanjutnya, instansi pemerintah mengidentifikasi secara efisien dan efektif risiko yang dapat menghambat pencapaian tujuan tersebut, baik yang bersumber dari dalam maupun luar instansi. Terhadap risiko yang telah diidentifikasi dianalisis untuk mengetahui pengaruhnya terhadap pencapaian tujuan. Pimpinan instansi pemerintah merumuskan pendekatan pengelolaan (manajemen) risiko dan kegiatan pengendalian risiko yang diperlukan untuk memperkecil risiko.
Pengertian pengelolaan risiko yang secara luas telah digunakan, di antaranya sebagai berikut:
“budaya, proses, dan struktur yang diarahkan kepada pengelolaan yang efektif atas potensi kejadian dan dampak yang tidak diinginkan.” (Australian Standard/New Zealand Standard , AS/NZS, 4360:2004)
“proses yang dipengaruhi oleh dewan direksi, manajemen, dan personil lain entitas tersebut, diterapkan dalam penetapan strategi dan berlaku di seluruh perusahaan, dirancang untuk mengidentifikasi peristiwa potensial yang dapat memengaruhi entitas itu, dan mengelola risiko agar tetap ada dalam selera risikonya, sehingga dapat memberikan jaminan yang memadai mengenai pencapaian tujuan entitas.”
(COSO Enterprise Risk Management, 2004 COSO)
“pendekatan yang kuat dan terkoordinasi untuk menilai dan merespon semua risiko yang memengaruhi pencapaian tujuan strategis dan keuangan organisasi. Ini meliputi, baik risiko sisi atas maupun risiko sisi bawah.” (IIA, 2004)
Pengertian proses pengelolaan risiko (AS/NZS 4360: 2004) adalah penerapan sistematis kebijakan manajemen, prosedur, dan sejumlah tugas dalam menetapkan konteks, mengidentifikasi, menganalisis, mengevaluasi, menangani, mengomunikasikan, dan memonitor risiko. Dari pengertian proses pengelolaan risiko tersebut, unsur-unsur proses pengelolaan risiko meliputi:
1. Menetapkan konteks; 2. Mengidentifikasi risiko; 3. Menganalisis risiko; 4. Mengevaluasi risiko; 5. Menangani risiko;
6. Komunikasi dan konsultasi; serta
7. Memantau dan mereviu (Lihat Gambar 1 Proses Manajemen Risiko).
Menurut AS/NZS 4360: 2004, pengelolaan risiko sudah mencakup di dalamnya penilaian risiko, yang meliputi identifikasi, analisis, dan evaluasi risiko. Jika dibandingkan dengan penilaian risiko menurut PP Nomor 60/2008, pada dasarnya kedua hal tersebut adalah sama, dimana penilaian risiko terdiri atas identifikasi dan analisis risiko (sudah termasuk di dalamnya adalah respon risiko). Pedoman ini menggunakan istilah penilaian risiko menurut PP 60 Tahun 2008, namun sebagai tambahan rujukan juga digunakan istilah penilaian risiko menurut AS/NZS 4360: 2004, terutama pemakaian istilah evaluasi risiko (dibahas pada Pedoman Teknis Penyelenggaraan SPIP: Sub Unsur Analisis Risiko), yang selanjutnya tahap evaluasi ini akan digunakan pada saat pemilihan respon risiko.
Gambar 1 Proses Manajemen Risiko
Sumber : AS/NZS 4360:2004
Menurut Enterprise Risk Management – Integrated Framework yang diterbitkan oleh COSO tahun 2004 (ERM
COSO), disebutkan bahwa unsur-unsur pengelolaan risiko meliputi: (1) Lingkungan internal, (2) Penetapan tujuan, (3) Identifikasi peristiwa, (4) Penilaian risiko, (5) Respon risiko, (6) Aktivitas pengendalian, (7) Informasi dan komunikasi, dan (8) Pemantauan. Dengan penjelasan dari ERM COSO, menjadi lebih jelas lagi bahwa pengelolaan risiko pada dasarnya sama komponennya.
C. Penilaian Risiko
1. Pengertian Penilaian Risiko
Sebelum menguraikan lebih lanjut pengertian penilaian risiko, beberapa istilah penilaian risiko (risk assessment) mempunyai pengertian yang berbeda, tumpang tindih, dan saling dipertukarkan dalam pemakaiannya dalam literatur pengelolaan risiko. Misalnya, istilah “risk analysis”, “risk
assessment”, dan “risk evaluation.” Pemakaian istilah-istilah
ini diartikan sebagaimana yang terdapat dalam pedoman ini. Contohnya, istilah penilaian risiko dalam PP Nomor 60 Tahun 2008 tentang SPIP adalah sama pengertiannya dengan risk
assessment.
Sesuai dengan PP Nomor 60 Tahun 2008, khususnya bagian ketiga, pasal 13 ayat (1) disebutkan bahwa pimpinan instansi wajib melakukan penilaian risiko. Penilaian risiko sebagaimana dimaksud pada ayat (1), terdiri atas (a) identifikasi risiko; dan (b) analisis risiko.
Lebih lanjut dalam PP tersebut disebutkan bahwa penilaian risiko diawali dengan penetapan maksud dan tujuan instansi pemerintah yang jelas dan konsisten, baik pada tingkat instansi maupun pada tingkat kegiatan. Hal ini sejalan dengan proses pengelolaan risiko, baik menurut AS/NZS maupun COSO, bahwa sebelum melakukan penilaian risiko harus ditetapkan terlebih dahulu penetapan konteks atau tujuan organisasi/entitas.
Menurut Handbook 436: 2004, penilaian risiko (risk
assessment) diartikan sebagai “the overall process of risk identification, risk analysis, and risk evaluation”. Ini dapat
dilihat dari Gambar Proses Pengelolaan Risiko, dimana penilaian risiko merupakan bagian yang integral atau terpadu dari proses pengelolaan risiko.
Hal ini juga sejalan dengan definisi yang dikemukakan oleh Allen L. Burgensen bahwa penilaian risiko adalah “A systematic process of organizing to support a risk decision
to be made within a risk management process. It consists of the identification of the hazards and analysis and evaluation of risks associated with the exposure to these hazard.”
Menurut Australian Government, Department of the
Environment and Heritage Australian Government Office
(2006, halaman 43) penilaian risiko didefinisikan sebagai “The
set of tasks to here collectively as a risk assessment, consists of three central steps in the risk management process: identify the risks, analyze the risks, and evaluate the risks.”
Dari uraian di atas dapat disimpulkan bahwa penilaian risiko merupakan proses yang dilakukan oleh suatu instansi atau organisasi dan merupakan bagian yang integral dari proses pengelolaan risiko dalam pengambilan keputusan risiko dengan melakukan tahap identifikasi risiko, analisis risiko, dan evaluasi risiko. Proses penilaian risiko dilakukan setelah dilakukan penetapan tujuan organisasi.
Jika dikaitkan dengan SPIP, penilaian risiko merupakan unsur atau komponen sistem pengendalian intern, dengan subunsur identifikasi dan analisis risiko, sedangkan evaluasi risiko, dengan mempertimbangkan bahwa proses evaluasi sejatinya adalah proses menilai risiko yang akan diprioritaskan (setelah dianalisis, termasuk mempertimbangkan tingkat risiko yang dapat diterima) dan direspon, maka proses ini dapat digabungkan dalam proses analisis risiko.
2. Tujuan Penilaian Risiko
Sebagaimana dikemukakan sebelumnya, penilaian risiko merupakan bagian yang integral atau terpadu dari proses pengelolaan risiko dan juga sistem pengendalian intern. Proses dapat didefinisikan sebagai urutan tindakan yang dilakukan untuk mencapai tujuan tertentu. Hal ini berarti proses penilaian risiko merupakan prosedur terpadu, yang meliputi identifikasi dan analisis risiko-risiko yang timbul.
Dari pengertian tersebut, maka tujuan penilaian
risiko adalah untuk:
1. Mengidentifikasi dan menguraikan semua risiko potensial yang berasal, baik dari faktor internal maupun faktor eksternal;
2. Memeringkat risiko-risiko yang memerlukan perhatian manajemen instansi dan yang memerlukan penanganan segera atau tidak memerlukan tindakan lebih lanjut; dan
3. Memberikan suatu masukan atau rekomendasi untuk meyakinkan bahwa terdapat risiko-risiko yang menjadi prioritas paling tinggi untuk dikelola dengan efektif.
3. Pengertian Identifikasi Risiko
Identifikasi risiko adalah proses menetapkan apa,
dimana, kapan, mengapa, dan bagaimana sesuatu dapat
terjadi, sehingga dapat berdampak negatif terhadap pencapaian tujuan. Tujuannya adalah untuk menghasilkan suatu daftar sumber-sumber risiko dan kejadian-kejadian yang berpotensi membawa dampak terhadap pencapaian tiap tujuan yang telah diidentifikasi dalam penetapan konteks/tujuan. Potensi kejadian-kejadian tersebut dapat mencegah, menghambat, menurunkan, memperlama atau justru meningkatkan pencapaian tujuan-tujuan tersebut.
Setelah mengidentifikasi apa yang dapat terjadi, maka perlu dipertimbangkan kemungkinan-kemungkinan penyebab dan skenario-skenario yang dapat terjadi. Terdapat banyak jalan untuk kemunculan suatu kejadian, dan oleh karenanya adalah perlu agar jangan sampai ada penyebab-penyebab signifikan yang tertinggal.
D. Parameter Penerapan
Penilaian risiko diawali dengan penetapan maksud dan tujuan instansi pemerintah yang jelas dan konsisten, baik pada tingkat instansi maupun pada tingkat kegiatan. Selanjutnya, instansi pemerintah mengidentifikasi secara efisien dan efektif risiko yang dapat menghambat pencapaian tujuan tersebut, baik yang bersumber dari dalam maupun luar instansi. Berikut ini adalah parameter yang merupakan hal-hal yang harus diperhatikan oleh pimpinan dalam rangka penerapan unsur penilaian risiko sub unsur identifikasi risiko.
1. Penetapan Tujuan Instansi Pemerintah
a. Pimpinan Instansi Pemerintah menetapkan tujuan instansi pemerintah dengan berpedoman pada peraturan perundang-undangan. Hal-hal yang perlu dipertimbangkan adalah sebagai berikut:
1) Pimpinan instansi pemerintah menetapkan tujuan instansi pemerintah secara keseluruhan dalam bentuk misi, tujuan dan sasaran, sebagaimana dituangkan dalam rencana strategis dan rencana kinerja tahunan. 2) Tujuan instansi pemerintah secara keseluruhan disusun
sesuai dengan persyaratan program yang ditetapkan dengan peraturan perundang-undangan.
3) Tujuan instansi pemerintah secara keseluruhan harus cukup spesifik, terukur, dapat dicapai, realistis, dan terikat waktu.
b. Seluruh tujuan instansi pemerintah secara jelas dikomunikasikan pada semua pegawai sehingga pimpinan instansi pemerintah mendapatkan umpan balik, yang menandakan bahwa komunikasi tersebut berjalan secara efektif.
c. Pimpinan instansi pemerintah menetapkan strategi operasional yang konsisten dengan rencana strategis instansi pemerintah dan rencana penilaian risiko. Hal-hal yang perlu dipertimbangkan adalah sebagai berikut:
1) Rencana strategis mendukung tujuan instansi pemerintah secara keseluruhan.
2) Rencana strategis mencakup alokasi dan prioritas penggunaan sumber daya.
3) Rencana strategis dan anggaran dirancang secara rinci sesuai dengan tingkatan instansi pemerintah.
4) Asumsi yang mendasari rencana strategis dan anggaran instansi pemerintah, konsisten dengan kondisi yang terjadi sebelumnya dan kondisi saat ini.
d. Instansi pemerintah memiliki rencana strategis yang terpadu dan penilaian risiko, yang mempertimbangkan tujuan instansi pemerintah secara keseluruhan dan risiko yang berasal dari faktor intern dan ekstern, serta menetapkan suatu struktur pengendalian penanganan risiko.
2. Penetapan Tujuan Tingkat Kegiatan
a. Penetapan tujuan pada tingkatan kegiatan harus berdasarkan pada tujuan dan rencana strategis instansi pemerintah. Hal-hal yang perlu dipertimbangkan adalah sebagai berikut:
1) Semua kegiatan penting didasarkan pada tujuan dan rencana strategis instansi pemerintah secara keseluruhan.
2) Tujuan pada tingkatan kegiatan dikaji ulang secara berkala untuk memastikan bahwa tujuan tersebut masih relevan dan berkesinambungan.
b. Tujuan pada tingkatan kegiatan saling melengkapi, saling menunjang, dan tidak bertentangan satu dengan lainnya.
c. Tujuan pada tingkatan kegiatan relevan dengan seluruh kegiatan utama instansi pemerintah. Hal-hal yang perlu dipertimbangkan adalah sebagai berikut:
1) Tujuan pada tingkatan kegiatan ditetapkan untuk semua kegiatan operasional penting dan kegiatan pendukung.
2) Tujuan pada tingkatan kegiatan konsisten dengan praktik dan kinerja sebelumnya yang efektif serta kinerja industri/bisnis yang mungkin dapat diterapkan pada kegiatan instansi pemerintah.
d. Tujuan pada tingkatan kegiatan mempunyai unsur kriteria pengukuran.
e. Tujuan pada tingkatan kegiatan didukung sumber daya instansi pemerintah yang cukup. Hal-hal yang perlu dipertimbangkan adalah sebagai berikut:
1) Sumber daya yang diperlukan untuk mencapai tujuan sudah diidentifikasi.
2) Jika tidak tersedia sumber daya yang cukup, pimpinan instansi pemerintah harus memiliki rencana untuk mendapatkannya.
f. Pimpinan instansi pemerintah mengidentifikasi tujuan pada tingkatan kegiatan yang penting terhadap keberhasilan tujuan instansi pemerintah secara keseluruhan. Hal-hal yang perlu dipertimbangkan adalah sebagai berikut:
1) Pimpinan instansi pemerintah mengidentifikasi hal yang harus ada atau dilakukan agar tujuan instansi pemerintah secara keseluruhan tercapai.
2) Tujuan pada tingkatan kegiatan yang penting harus mendapat perhatian dan direviu secara khusus serta capaian kinerjanya dipantau secara teratur oleh pimpinan instansi pemerintah.
g. Semua tingkatan pimpinan instansi pemerintah terlibat dalam proses penetapan tujuan pada tingkatan kegiatan dan berkomitmen untuk mencapainya.
3. Identifikasi Risiko
a. Pimpinan instansi pemerintah menggunakan metodologi identifikasi risiko yang sesuai untuk tujuan instansi pemerintah dan tujuan pada tingkatan kegiatan secara komprehensif. Hal-hal yang perlu dipertimbangkan adalah sebagai berikut:
1) Metode kualitatif dan kuantitatif digunakan untuk mengidentifikasi risiko dan menentukan peringkat risiko relatif secara terjadwal dan berkala.
2) Cara suatu risiko diidentifikasi, diperingkat, dianalisis, dan diatasi telah dikomunikasikan kepada pegawai yang berkepentingan.
3) Pembahasan identifikasi risiko dilakukan pada rapat tingkat pimpinan instansi pemerintah.
4) Identifikasi risiko merupakan bagian dari prakiraan rencana jangka pendek dan jangka panjang, serta rencana strategis.
5) Identifikasi risiko merupakan hasil dari pertimbangan atas temuan audit, hasil evaluasi, dan penilaian lainnya. 6) Risiko yang diidentifikasi pada tingkat pegawai dan
pimpinan tingkat menengah menjadi perhatian pimpinan instansi pemerintah yang lebih tinggi.
b. Risiko dari faktor eksternal dan internal diidentifikasi dengan menggunakan mekanisme yang memadai. Hal-hal yang perlu dipertimbangkan adalah sebagai berikut:
1) Instansi pemerintah memertimbangkan risiko dari perkembangan teknologi.
2) Risiko yang timbul dari perubahan kebutuhan atau harapan badan legislatif, pimpinan instansi pemerintah, dan masyarakat sudah dipertimbangkan.
3) Risiko yang timbul dari peraturan perundang-undangan baru sudah diidentifikasi.
4) Risiko yang timbul dari bencana alam, tindakan kejahatan, atau tindakan terorisme sudah dipertimbangkan.
5) Identifikasi risiko yang timbul dari perubahan kondisi usaha, politik, dan ekonomi sudah dipertimbangkan. 6) Risiko yang timbul dari rekanan utama sudah
dipertimbangkan.
7) Risiko yang timbul dari interaksi dengan instansi pemerintah lainnya dan pihak di luar pemerintahan sudah dipertimbangkan.
8) Risiko yang timbul dari pengurangan kegiatan dan