Pengurusan risiko

Contoh pengurusan risiko: model NASA menunjukkan kawasan berisiko tinggi akibat hentaman bagi Stesyen Angkasa Antarabangsa.

Pengurusan risiko adalah mengenal pasti, menilai, dan mengatur kepentingan risiko (ditakrifkan dalam ISO 31000 sebagai kesan ketidak tentuan pada matlamat, samaada positif atau negatif) diikuti oleh penggunaan sumber secara teratur dan ekonomi bagi mengurangkan, memantau dan mengawal kemungkinan dan/ kesan peristiwa tidak diingini atau bagi memaksimakan penzahiran peluang. Risiko boleh datang dari ketidak tentuan dalam pasaran kewangan, kegagalan projek (pada sebarang fasa reka bentuk, pembangunan, penghasilan, atau pengekalan kitaran hayat), liabiliti perundangan, risiko kredit, kemalangan, takdir (“kejadian alam dan malapetaka”) termasuk juga serangan sengaja dari musuh, atau peristiwa yang tidak pasti atau punca tidak dijangka. Beberapa teknik piwaian pengurusan risiko telah dibangunkan termasuk Institute Pengurusan Projek, Institute Kebangsaan Piwaian dan Teknologi,persatuan aktuari, dan piwaian ISO. Kaedah, takrifan dan matlamat jauh berbeza menurut samaada kaedah pengurusan risiko adalah dalam konteks pengurusan projek, keselamatan, analisa risiko kejuruteraan, proses industri, portfolio kewangan, penilaian aktuari, atau keselamatan dan kesihatan awam.

Strategi bagi menguruskan risiko biasanya termasuk memindahkan risiko tersebut pada pihak lain, mengelak risiko, mengurangkan kesan negetif kemungkinan risiko, malah menerima sebahagian atau keseluruhan kemungkinan atau akibat sebenar sesuatu risiko tertentu.

Sesetengah aspek bagi kebanyakan piwaian pengurusan risiko telah mendapat kritikan sebagai tidak memiliki kebaikan boleh diukur pada risiko, samaada keyakinan pada anggaran dan keputusan kelihatannya semakin meningkat.

Pengenalan

Risiko pada bank.

Perbendaharaan kata bagi pengurusan risiko ditakrifkan dalam Panduan 73 ISO, "Perbendaharaan kata pengurusan risiko."

Dalam pengurusan risiko ideal, ia diikuti dengan proses keutamaan di mana risiko dengan kerugian terbesar (atau kesan) dan kemungkinan terbesar berlaku ditangani dahulu, dan risiko dengan kemungkinan lebih rendah berlaku dan kerugian kurang ditangani dalam aturan menurun. Dalam amalan proses menetapkan risiko menyeluruh adalah sukar, dan mengimbangi sumber yang digunakan bagi mengurangkan antara risiko dengan kemungkinan ia berlaku mungkin sukar, dan mengimbangi sumber yang digunakan bagi mengurangkan antara risiko dengan kemungkinan berlaku yang tinggi berbanding kerugian tinggi tetapi kemungkinan berlaku rendah sering kali disalahtangani.

Pengurusan risiko tidak kelihatan mengenal pasti jenis baru risiko yang memiliki 100% kemungkinan berlaku tetapi diabaikan oleh organisasi akibat ketiadaan keupayaan mengenalpasti. Sebagai contoh, apabila kekurangan pengetahuan diamalkan pada satu situasi, wujudlah risiko pengetahuan. Risiko hubungan muncul apabila berlaku kerjasama tidak berkesan. Risiko perlaksanaan-proses mungkin menjadi isu apabila prosedur operasi tidak berkesan digunakan. Risiko ini secara langsung mengurangkan produktiviti pekerja berpengatahuan, mengurangkan keberkesanan kos, keuntungan, perkhidmatan, kualit, reputasi, nilai jenama, dan kualiti pendapatan. Pengurusan risiko tidak dilihat membenarkan pengurusan risiko bagi mencipta nilai segera dari risiko dikenal pasti dan pengurangannya pada kehilangan produktiviti.

Pengurusan risiko turut berhadapan dengan kesulitan membahagi sumber. Idea ini bagi kos peluang. Sumber dihabiskan pada pengurusan risiko boleh digunakan bagi aktiviti lebih menguntungkan. Sekali lagi, pengurusan risiko ideal mengurangkan perbelanjaan (atau tenaga kerja atau sumber lain) dan turut meminimakan kesan negetif risiko.

Kaedah

Bagi sebahagian besarnya kaedah berikut dilaksanakan, lebih kurang dalam aturan berikut:-

1. mengenalpasti, mencirikan dan menilai ancaman
2. menilai kelemahan aset penting pada ancaman khusus
3. menentukan risiko (contoh: Jangkaan kemungkinan dan kesan jenis serangan khusus pada aset khusus)
4. mengenalpasti cara mengurangkan risiko tersebut
5. Menetap kepentingan langkah pengurangan risiko berdasarkan strategi

Prinsip pengurusan risiko

Organisasi Antarabangsa bagi Piawaian (“International Organization for Standardization – ISO”) mengenalpasti prinsip pengurusan risiko berikut:

Pengurusan risiko perlu:

• mencipta nilai – sumber digunakan bagi mengurangkan risiko adalah kurang berbanding akibat tiada tindakan, atau (dalam kejuruteraan nilai), dapatan perlu melebihi usaha
• menjadi sebahagian penting dalam proses organisasi
• menjadi sebahagian dari pembuat keputusan
• menangani dengan jelas ketidakpastian dan jangkaan
• secara sistematik dan tersusun (“berstruktur”)
• berasaskan maklumat terbaik yang ada
• boleh disesuaikan
• mengambil kira factor manusia
• telus dan merangkumi (“inclusive”)
• dinamik, interaktif dan bertindak balas pada perubahan
• berkeupayaan bagi peningkatan berterusan dan perelokan
• dinilai secara berterusan atau berkala

Proses

Menurut piawaian ISO 31000 "Pengurusan Risiko – Prinsip dan garis panduan bagi perlaksanaan," proses pengurusan risiko terdiri dari beberapa langkah seperti berikut:

Penetapan konteks

Penetapan konteks membabitkan:

1. mengenalpasti risiko pada ruang kepentingan yang dipilih
2. merancang proses seterusnya.
3. memeta yang berikut:
   • skop masyarakat pengurusan risiko
   • identity dan matlamat yang berkepentingan (projek tersebut)
   • asas bagi mana risiko akan dinilai, kekangan.
4. Mentakrifkan rangka kerja bagi aktiviti dan agenda bagi mengenal pasti.
5. Membangunkan analisa risiko terbabit dalam proses.
6. Mengurangkan atau Penyelesaian risiko dengan menggunakan teknologi, manusia, dan sumber organisasi yang ada.

Mengenal pasti

Selepas menetapkan konteks, langkah berikut dalam proses pengurusan risiko adalah mengenal pasti potensi risiko. Risiko adalah mengenai peristiwa yang, apabila tercetus, menimbulkan masalah. Dengan itu, mengenalpasti risiko boleh bermula dengan sumber masalah atau dengan masalah itu sendiri.

• Analisa sumber. Sumber risiko mungkin dalaman atau luaran pada sistem yang merupakan sasaran bagi pengurus risiko

Contoh sumber risiko adalah: orang berkepentingan sesuatu projek, pekerja sesebuah syarikat atau cuaca atas lapangan terbang.

• Menganalisa masalah: Risiko berkait dengan mengenal pasti ancaman. Sebagai contoh: ancaman kehilangan wang, ancaman penyalahgunaan maklumat sulit atau ancaman kemalangan atau kecederaan. Ancaman mungkin wujud dengan pelbagai entiti, lebih penting dengan pemilik saham, pelanggan dan badan penyelia seperti kerajaan.

Apabila samada sumber atau masalah diketahui, peristiwa yang mungkin dicetuskan oleh sumber boleh disiasat. Sebagai contoh: orang berkepentingan menarik diri semasa projek mungkin membahayakan pembiayaan projek; maklumat sulit mungkin dicuri oleh pekerja walaupun dengan jaringan tertutup; kilat mungkin menyambar kapal terbang ketika berlepas menyebabkan kesemua yang di dalamnya korban segera. Kaedah yang dipilih bagi mengenal pasti risiko mungkin bergantung pada budaya, amalan industry, dan kepatuhan (“compliance”). Kaedah mengenalpasti dibentuk melalui templat atau pembangunan templat bagi mengenal pasti sumber, masalah atau peristiwa. Kaedah mengenal pasti risiko yang biasa adalah:

• Mengenal pasti risiko berasaskan objektif: Organisasi dan ahli projek memiliki objektif. Sebarang peristiwa yang membahayakan sebahagian atau sepenuhnya objektif dikenall pasti sebagai risiko.
• Mengenal pasti risiko berasaskan senario: Dalam analisis senario, senario berbeza dicipta. Senario mungkin cara lain mencapai objektif, atau analisa pada interaksi kuasa dalam, sebagai contoh, pasaran atau pertempuran. Sebarang peristiwa yang mencetus senario yang tidak diingini dikenal pasti sebagai risiko – lihat Kajian Masa Hadapan bagi metodologi yang digunakan oleh Futuris.
• Mengenalpasti berasaskan taksonomi: Taksonomi pada mengenalpasti berasaskan taksonomi merupakan memecahkan kemungkinan sumber risiko. Berasaskan taksonomi dan pengetahuan amalan terbaik, satu soal selidik disediakan. Jawapan pada soalan mendedahkan risiko.
• Memeriksa risiko biasa: Dalam beberapa industry, senarai dengan risiko yang diketahui sedia ada. Setiap risiko dalam senarai boleh diperiksa bagi pengunaan dalam keadaan tertentu.
• Pencartaan risiko: Kaedah ini menggabungkan pendekatan di atas dengan menyenaraikan sumber berisiko, ancaman pada sumber tersebut, mengubah factor yang mungkin meningkat atau mengurangkan risiko dan hasil ia ingin elakkan. Mencipta matriks risiko dibawah judul ini membolehkan pelbagai pendekatan. Seseorang boleh bermula dengan sumber dan menimbang ancaman yang terdedah dan kesan setiap satunya. Sama juga seseorang boleh bermula dengan ancaman dan memeriksa dumber apa yang akan dijejaskannya, atau seseorang boleh bermula dengan kesan dan menentukan gabungan ancaman dan sumber mana yang terbabit menyebabkannya.

Penilaian

Rencana utama: Penilaian risiko

Sebaik sahaja risiko telah dikenal pasti, ia perlu dinilai bagi potensi kesan terjejas (pada umumnya kesan negetif, seperti kerosakan atau kerugian) dan kemungkinan ia berlaku. Kuantiti ini boleh jadi mudah diukur dalam kes nilai kehilangan bangunan atau mustahil diketahui secara sebenar dalam kes kemungkinan peristiwa yang mustahil berlaku. Dengan itu, dalam proses penilaian adalah kritikal untuk membuat keputusan kajian terbaik agar dapat mengatur kepentingan perlaksanaan rancangan pengurusan risiko.

Malah perelokan positif jangka pendek boleh mendorong kepada kesan negatif jangka panjang. Ambil contoh "turnpike". Lebuh raya diperluaskan bagi membenarkan lebih banyak trafik melaluinya. Peningkatan kapasiti trafik mendorong kepada pembangunan lebih pesat dikawasan sekeliling keupayaan trafik diperelok. Dalam perubahan masa, trafik dengan itu meningkat bagi mengisi keupayaan sedia ada. Turnpike dengan itu perlu diperluaskan dalam kitaran yang tiada penghujungnya. Terdapat banyak contoh kejuruteraan lain di mana peningkatan kapasiti (bagi apa-apa fungsi) tidak lama diisi dengan permintaan yang meningkat. Oleh kerana perkembangan dating dengan kos, pertumbuhan terhasil boleh menjadi tidak dapat dikekalkan tanpa jangkaan dan pengurusan.

Kesukaran asas dalam penilaian risiko adalah bagi menentukan kadar berlaku disebabkan maklumat statistic tidak ada bagi kesemua kajadian lalu. Tambahan lagi, menilai tahap teruk hasil kejadian (kesannya) sering sukar bagi aset tidak nyata. Penilaian aset merupakan satu lagi persoalan yang perlu ditangani. Dengan itu, pendapat terpelajar terbaik dan statistic yang ada merupakan sumber maklumat utama. Walaupun begitu, penilaian risiko perlu menghasilkan maklumat tersebut kepada pengurusan organisasi agar risiko utama mudah difahami dan keputusan pengurusan risiko boleh diatur. Dengan itu, terdapat beberapa teori dan cubaan bagi mengukur risiko. Banyak formula risiko wujud, tetapi kemungkinan formula yang paling meluas diterima bagi kuantifikasi adalah:

Kadar (atau kemungkinan) ia berlaku di darab dengan kesan kejadian bersamaan magnitud

komposit Index Risiko

Formula di atas juga boleh ditulis semula dalam istilah Komposit Index Risiko, seperti berikut:

Komposit Index Risiko = Kesan Kejadian Risiko x Kemungkinan Berlaku

Kesan kejadian risiko biasanya dinilai pada skala 1 hingga 5, di mana 1 dan 5 mewakili minima dan maksima kesan yang mungkin bagi berlakunya risiko (biasanya dari segi kerugian kewangan). Bagaimanapun, skala 1 hingga 5 boleh jadi arbitari dan tidak perlu pada skala lurus (sekata).

Kemungkinan berlaku juga biasanya dinilai pada skala 1 hingga 5, di mana 1 mewakili kemungkinan risiko berlaku sebagai amat rendah, sementara 5 mewakili kemungkinan untuk berlaku amat tinggi. Paksi ini mungkin digambarkan samaada dalam istilah mathmatik (kejadian berlaku sekali setahun, sekali sepuluh tahun, sekali seratus tahun dsb.) atau digambarkan dalam "bahasa jelas " – kejadian sering berlaku di sini; kejadian diketahui telah berlaku di sini; kejadian diketahui berlaku dalam industry dsb.). Sekali lagi, skala 1 hingga 5 boleh jadi secara arbitari atau tidak sekata bergantung pada pendapat pakar subjek berkenaan.

Index komposit dengan itu boleh mengambil nilai (biasanya) dari 1 sehingga 25, dan julat ini biasanya dibahagi secara rawak kepada tiga julat kecil. Penilaian risiko keseluruhan dengan itu adalah Rendah, Serdahana, atau Tinggi, bergantung pada julat kecil yang mengandungi nilai kiraan Index Komposit. Sebagai contoh, tiga julat kecil boleh dikelaskan sebagai 1 hingga 8, 9 hingga 16 dan 17 hingga 25.

Perhatikan bahawa kemungkinan kemungkinan berlakunya risiko sukar dijangkakan, kerana data lalu mengenai kekerapan tidak mudah didapati, sebagaimana disebut di atas. Lagipun, kemungkinan tidak membayangkan kepastian (bahawa ia pasti berlaku).

Sama juga, kesan risiko tidak mudah dijangkakan kerana seringkali adalah sukar untuk menjangkakan potensi kerugian apabila berlaku kejadian risiko.

Tambahan lagi, saiz kedua faktor di atas boleh berubah bergantung kepada kesediaan langkah pencegahan dan pengelakan risiko yang diambil dan akibat perubahan pada persekitaran perniagaan luaran. Dengan itu adalah amat penting bagi menilai semula risiko secara berkala dan meningkat/mengurangkan langkah pengurangan, atau menurut keperluan.

Perubahan pada prosedur, teknologi, jadual, peruntukan, keadaan pasaran, persekitaran politik, atau sebarang faktor lain biasanya memerlukan risiko dinilai semula.

Pilihan Risiko

Langkah pengawalan risiko biasanya dirumuskan menurut satu atau lebih pilihan risiko utama berikut, iaitu:

1. Mereka proses perniagaan baru dengan kawalan bina dalam mencukupi dan mengubah langkah pencegahan.
2. Menilai risiko secara berkala yang menerima proses berlangsung sebagai ciri normal operasi perniagaan dan mengubah langkah pencegahan.
3. Memindahkan risiko pada agensi luaran (contoh. Syarikat insuran)
4. Mengelak risiko sama sekali (contoh. Dengan menutup kawasan perniagaan berisiko tinggi)

Penyelidikan berikut telah menunjukkan kebaikan kewangan bagi pengurusan risiko kurang bergantung pada formula yang digunakan tetapi lebih bergantung kepada kekerapan dan bagaimana penilaian risiko dilaksanakan.

Dalam perniagaan adalah penting bagi membentangkan hasilan penilaian risiko dalam istilah kewangan, pasaran, atau jadual. Robert Courtney Jr. (IBM, 1970) mencadangkan formula bagi membentangkan risiko dalam istilah kewangan. Formula Courtney diterima sebagai kaedah analisa risiko rasmi bagi agensi kerajaan Amerika Syarikat. Formula tersebut mencadangkan pengiraan jangkaan kerugian tahunan (ALE-annualised loss expectancy) dan membandingkan nilai kerugian dijangka dengan kos perlaksanaan kawalan keselamatan (analisa kos-faedah).

Menangani risiko dijangka

Apabila risiko telah dikenal pasti dan dinilai, semua teknik bagi menangani risiko tergolong dalam satu atau lebih dari empat langkah utama:

• Mengelak (menyingkir, menarik diri dari atau tidak membabitkan diri)
• Pengurangan (optima – pengurangan)
• Perkongsian (memindahkan – luaran atau insuran)
• Pengekalan (menerima dan budget)

Penggunaan sempurna bagi strategi ini mungkin tidak berlaku. Sesetengahnya mungkin membabitkan pertukaran yang tidak boleh diterima kepada organisasi atau orang yang membuat keputusan pengurusan risiko. Sumber lain, dari Jabatan Pertahanan, Universiti Dapatan Pertahanan (“Defense Acquisition University”), mengelar kategori ini sebagai ACAT, bagi Avoid (Mengelak), Control (mengawal), Accept (Terima), atau Transfer (Pemindahan). Kegunaan singkatan ACAT ini serupa seperti ACAT lain (bagi Kategori Dapatan (“Acquisition Category”)) yang digunakan dalam dapatan industry Pertahanan Amerika Syarikat, di mana angka Pengurusan Risiko memainkan peranan penting dalam perancangan dan membuat keputusan.

Pengelakan Risiko

Ini termasuk tidak melakukan aktiviti yang berisiko. Sebagai contoh tidak membeli harta tanah atau perniagaan agar tidak mengambil bebanan perundangan (“legal liability”) yang dating bersamanya. Yang lain termasuk tidak terbang agar tidak mengambil risiko bahawa kapal terbang akan dirampas. Pengelakkan mungkin kelihatan sebagai jawapan bagi semua risiko, tetapi pengelakan bererti kehilangan kemungkinan keuntungan yang mungkin didapati dengan menerima (mengekalkan) risiko. Tidak mencebur perniagaan bagi mengelakkan kerugian turut bererti mengelak kemungkinan mendapat keuntungan.

Pencegahan Ancaman

Rencana utama: Pencegahan ancaman

Pencegahan ancaman merujuk kepada menghalang risiko semasa kecermasan. Tahap pertama dan paling berkesan bagi pencegahan ancaman adalah penyingkiran ancaman. Sekiranya ia mengambil masa terlalu lama, terlalu mahal, ataupun tidak dapat dilaksanakan, tahap kedua iaitu Pengurangan bencana.

Pengurangan risiko

Pengurangan risiko atau "pengoptimaan" membabitkan mengurangkan tahap kerugian atau kemungkinan rugi dari berlaku. Sebagai contoh, perenjis kebakaran direka bagi memadamkan kebakaran bagi mengurangkan risiko kerugian akibat kebakaran. Kaedah ini mungkin menyebabkan kerosakan lebih teruk melalui kerosakan akibat air dan dengan itu tidak sesuai, contohnya dalam bilik komputer. Sistem pemadam kebakaran Halon mungkin mengurangkan risiko tersebut, tetapi kos yang tinggi mungkin menghalang kegunaannya sebagai satu strategi.

Menerima bahawa risiko boleh menjadi positif atau negetif, mengoptima risiko bererti mencari keseimbangan di antara risiko negetif dan keuntungan sesuatu operasi atau aktiviti; dan antara pengurangan risiko dan usaha dilakukan. Seseorang kontraktor carigali luar pantai melaksanakan Pengurusan HSE Management secara berkesan dalam organisasinya, ia boleh mengoptima risiko bagi mencapai tahap sisa baki risiko pada tahap yang boleh diterima.

Metodologi pembangunan perisian moden mengurangkan risiko dengan membangunkan dan menghantar perisian secara berperingkat. Motodologi sebelumnya lemah kerana ia menghantar perisian pada fasa akhir pembangunan; dengan itu sebarang masalah yang dijumpai pada fasa sebelumnya menimbulkan langkah pemulihan yang mahal dan sering mengancam keseluruhan projek. Dengan membangunkannya secara iterations, projek perisian boleh menghadkan usaha yang rugi pada iterasi tunggal.

Khidmat luaran (“Outsourcing”) juga merupakan contoh pengurangan risiko sekiranya Khidmat luaran boleh membuktikan keupayaan lebih baik bagi menangani atau mengurangkan risiko. Sebagai contoh, sesebuah syarikat boleh menggunakan khidmat luaran bagi pembangunan perisiannya, pengilangan barangan, atau keperluan pelayan pelangan pada syarikat yang lain, sementara mengendalikan pengurusan syarikan dengan sendiri. Dengan cara ini, syarikat boleh menumpu pada pembangunan perniagaan tanpa perlu bimbangkan mengenai proses pengilangan, menguruskan pasukan pembangunan atau mencari tapak lokasi fizikal bagi pusat panggilan.

Perkongsian risiko

Ditakrifkan secara ringkas sebagai "berkongsi dengan pihak lain bebanan kerugian atau pulangan dari risiko, dan satu langkah mengurangkan risiko."

Istilah 'pemindahan risiko' sering digunakan menggantikan perkongsian risiko akibat salah faham bahawa seseorang boleh memindahkan risiko pada pihak ketiga melalui insuran atau khidmat luaran. Dalam amalan sekiranya syarikat insuran atau kontraktor jatuh muflis atau dihadapkan ke mahkamah, risiko asal kemungkinannya masih kembali kepada pihak pertama. Dengan itu terminologi yang digunakan oleh sarjana dan pengamal, pembelian kontrak insuran sering digambarkan sebagai "pemindahan risiko." Bagaimanapun, secara teknikal, pembeli kontrak pada umumnya mengekalkan risiko perundangan bagi kerugian "dipindahkan", bererti insuran boleh digambarkan dengan lebih tepat sebagai mekanisma gantirugi selepas kejadian. Sebagai contoh, polisi kecederaan peribadi tidak memindahkan risiko kemalangan kereta kepada syarikat insuran. Risiko itu masih terikat pada pemegang polisi iaitu orang yang terbabit dalam kemalangan. Polisi insuran sekadar menyatakan bahawa jika kemalangan (peristiwa) berlaku membabitkan pemegang polisi ganti rugi yang setimpal dengan kecederaan / kerosakan mungkin akan di bayar.

Sesetengah cara menguruskan risiko merangkumi pelbagai kategori. Takungan simpanan risiko secara teknikal menyimpan risiko bagi kumpulan, tetapi menyebarkannya dikalangan keseluruhan kumpulan membabitkan pemindahan dikalangan ahli individu pada kumpulan. Ini berbeza dari insuran tradisi, di mana tiada premium ditukarkan dikalangan ahli kumpulan pada awalnya, tetapi sebaliknya kerugian dinilai pada kesemua ahli dalam kumpulan.

Pengekalan risiko

Pengekalan risiko membabitkan menerima kerugian, atau keuntungan, akibat risiko apabila ia berlaku. Insuran diri sebenar tergolong dalam kategori ini> Pengekalan risiko merupakan strategi boleh diterima bagi risiko kecil apabila kos insuran terhadap risiko berkali ganda berbanding jumlah kerugian keseluruhan yang dialami. Kesemua risiko yang tidak dielak atau dipindahkan dikekalkan secara ingkar. Ini termasuk risiko yang begitu besar atau melapetaka sehinggakan ia tidak boleh diinsuran atau premiumnya tidak berbaloi. Perperangan adalah satu contoh kerana kebanyakan harta benda dan risiko tidak diinsuran bagi perperangan. Juga sebarang jumlah potensi kerugian (risiko) pada jumlah yang diinsuran adalah risiko dikekalkan. Ini mungkin boleh diterima sekiranya peluang bagi kerugian amat besar adalah kecil atau kos bagi membeli insuran lebih besar amat mahal sehingga ia amat menghalang matlamat organisasi.

Mencipta rancangan pengurusan risiko

Rencana utama: Rancangan pengurusan risiko

Memilik kawalan yang bersesuaian atau langkah pencegahan bagi setiap risiko. Pengurangan risiko perlu diluluskan oleh tahap pengurusan yang bersesuaian. Sebagai contoh, risiko berkenaan imej sesebuah organisasi memerlukan keputusan pengurusan atasan sedangkan pengurusan IT akan memiliki bidang kuasa bagi memutuskan risiko virus komputer.

Rancangan pengurusan risiko perlu mencadangkan kawalan keselamatan yang berkesan dan boleh dilaksanakan bagi mengawal risiko. Sebagai contoh, risiko tinggi ancaman virus komputer boleh dikurangkan dengan mendapatkan dan melaksanakan perisian anti virus. Rancangan pengurusan risiko yang baik patut mengandungi jadual bagi perlaksanaan kawalan dan orang yang bertanggungjawab bagi tindakan tersebut.

Menurut ISO/IEC 27001, tahap langsung sejurus selepas melengkapi penilaian risiko terdiri daripada penyediaan Rancangan Menangani Risiko, yang perlu merekodkan keputusan bagaimana setiap risiko yang dikenalpasti perlu ditangani. Pengurangan risiko sering bererti pemilihan kawalan keselamatan, yang perlu direkodkan dalam Kenyataan Amalan (“Statement of Applicability”), yang mengenalpasti kawalan dan matlamat kawalan yang mana telah dipilih dari piwaian, dan mengapa.

Perlaksanaan

Perlaksanaan mengikut semua kaedah dirancang bagi mengurangkan kesan risiko. Pembelian polisi insuran bagi risiko yang telah diputuskan untuk dipindahkan kepada syarikat insuran, mengelak semua risiko yang boleh dielak tanpa mengorbankan matlamat entity, mengurangkan yang lain, mengekalkan yang terbaik.

Penilaian dan semakan rancangan pengurusan risiko

Rancangan pengurusan risiko awal tidak akan sempurna. Latihan, pengalaman, dan hasil kerugian sebenar akan memerlukan perubahan pada rancangan dan menyumbang maklumat bagi membenarkan keputusan berbeza dilakukan apabila menangani risiko yang dihadapi.

Hasil analisa risiko dan rancangan pengurusan perlu dikemas kini secara berkala. Terdapat dua sebab utama bagi melakukannya:

1. bagi menilai samaada kawalan keselamatan yang dipilih sebelum ini masih boleh diguna pakai dan berkesan
2. bagi menilai kemungkinan perubahan tahap risiko dalam persekitaran perniagaan. Sebagai contoh, risiko maklumat merupakan contoh yang baik bagi persekitaran perniagaan yang pesat berubah.

Kekangan

Mementingkan proses pengurusan risiko terlalu tinggi mampu menghalang organisasi dari menyelesaikan sesuatu projek atau memulakannya. Ini adalah benar sekiranya kerja lain digantung sehingga proses pengurusan risiko dianggap selesai.

Juga penting bagi mengingati perbezaan antara risiko dan ketidak tentuan. Risiko boleh diukur melalui kesan dan kebarangkalian kemungkinan berlaku.

Sekiranya risiko salah dinilai dan diberi kepentingan, masa terbuang bagi menangani risiko kerugian yang tidak mungkin berlaku. Menghabiskan terlalu banyak masa menilai dan menguruskan risiko yang tidak mungkin berlaku boleh melencong sumber yang boleh digunakan dengan lebih berkesan. Kejadian yang tidak mungkin ada berlaku tetapi sekiranya risiko ia berlaku agak kecil ia mungkin adalah lebih baik bagi mengekalkan risiko dan menangani hasil sekiranya kerugian benar-benar berlaku. Penilaian risiko kualitatif adalah subjektif dan tidak tetap. Alasan utama bagi proses penilaian risiko adalah perundangan dan birokratik.

Bidang pengurusan risiko

Sebagaimana diamalkan pada kewangan korporat, pengurusan risiko adalah teknik bagi mengukur, memantau, dan mengawal kewangan atau risiko operasi pada timbang duga syarikat kunci kira-kira.

Rangka kerja Basel II membahagikan risiko pada risiko pasaran (risiko harga), risiko kredit dan risiko operasi dan juga kaedah khusus bagi mengira keperluan modal bagi setiap komponen.

Rangka kerja Basel II membahagikan risiko pada risiko pasaran (risiko harga), risiko kredit dan risiko operasi dan juga kaedah khusus bagi mengira keperluan modal bagi setiap komponen.

Pengurusan risiko enterprise

Rencana utama: Pengurusan Risiko Enterprise

Dalam pengurusan risiko enterprise, risiko ditakrifkan sebagai kemungkinan kajadian atau keadaan yang boleh membawa kesan negetif pada enterprise tersebut. Kesannya boleh menjejaskan kewujudannya, sumber (manusia dan modal), keluaran dan perkhidmatan, atau pelanggan enterprise, termasuk juga kesan luaran pada masyarakat, pasaran, atau persekitaran. Bagi institusi kewangan, pengurusan risiko enterprise juga biasanya difikirkan dari segi gabungan risiko kredit, risiko kadar faedah atau pengurusan tanggungan aset (“asset liability”), risiko pasaran, dan risiko operasi.

Dalam kese lebih umum, setiap kemungkinan risiko boleh diadakan perancangan awal bagi menangani dengan kesan kejadian (bagi memastikan pelan kecermasansekiranya risiko menjadi tanggungan).

Daripada maklumat di atas dan kos purata pekerja menurut masa, atau kadar himpunan kos (“cost accrual ratio”), seseorang pengurus projek boleh menganggarkan:

• kos berkait dengan risiko sekiranya timbul, dianggar dengan mendarab kos pekerja setiap unit masa dengan anggaran kos waktu hilang (kesan kos, C di mana C = kadar himpunan kos * S).
• kemungkinan meningkat menurut masa berkait dengan satu risiko (variasi berjadual akibat risiko, Rs di mana Rs = P * S):
  • Menyusun nilai ini meletakkan risiko tertinggi dalam jadual dahulu. Ini bertujuan bagi menyebabkan kos terbesar pada projek dicuba dahulu agar risiko dikurangkan secepat mungkin.
  • Ini agak mengelirukan kerana variasi jadual dengan P besar dan S kecil dan sebaliknya adalah tidak sama. (Risiko RMS Titanic tenggelam berbanding hidangan penumpang dihidang salah masa sedikit).
• kemungkinan peningkatan kos berkait dengan risiko (variasi kos akibat risiko, Rc di mana Rc = P*C = P*CAR*S = P*S*CAR)
  • menyusun berdasarkan nilai ini meletakkan risiko tertinggi pada budget dahulu.
  • lihat kebimbangan mengenai variasi jadual kerana ia adalah fungsi baginya, sebagaimana digambarkan dalam persamaan di atas.

Risiko dalam projek atau proses perniagaan boleh disebabkan oleh Punca Khas Variasi (“Special Cause Variation” atau Punca Umum Variasi (“Common Cause Variation”) dan memerlukan layanan yang sewajarnya. Perlu ditekankan bahawa kerisauan mengenai punca luaran tidak sama dengan senarai di atas.

Aktiviti pengurusan risiko sebagaimana dilaksanakan bagi pengurusan projek

Dalam pengurusan projek, pengurusan risiko termasuk aktiviti berikut:

• Merancang bagaimana risiko diuruskan dalam projek tertentu. Rancangan perlu merangkumi tugasan pengurusan risiko, tanggung jawab, aktiviti, dan belanjawan.
• Menugaskan pegawai risiko–seorang ahli pasukan selain pengurus projek yang bertanggung jawab bagi menjangka masalah projek. Ciri-ciri biasa bagi pegawai risiko adalah rasa syak wasangka yang sihat.
• Mengekalkan pengkalan data projek berterusan. Setiap risiko perlu memiliki maklumat berikut: tarikh buka, judul, gambaran ringkas, kemungkinan, dan kepentingan. Secara optima, risiko perlu ditugaskan pada seseorang bagi menyelesaikannya dan tarikh bila risiko tersebut perlu diselesaikan.
• Membuka saluran tanpa nama bagi melaporkan risiko. Setiap pasukan perlu bertanggung jawab bagi melaporkan risiko yang dijangkakan mungkin terjadi dalam projek.
• Menyediakan rancangan mitigasi bagi risiko yang dipilih bagi dikurangkan. Tujuan rancangan mitigasi adalah bagi menggambarkan bagaimana risiko ini akan ditangani – apa, bila, siapa, dan bagaimana ia akan dilakukan bagi mengelak atau mengurangkan kesan sekiranya ia menjadi bebanan.
• Meringkaskan risiko yang dihadapi dan dirancang bagi ditangani, keberkesanan aktiviti mitigasi, dan usaha dilakukan bagi pengurusan risiko.

Pengurusan risiko bagi projek mega

Projek mega (kadangkala juga dikenali sebagai "projek utama ") merupakan projek pelaburan berskala besar, biasanya menelan kos lebih dari US$1 bilion setiap projek. Projek mega termasuk jambatan, terowong, lebuh raya, lapangan terbang, pelabuhan, logi kuasa, empangan, kumbaha, skim perlindungan pantai, projek pengeluaran gas asli, bagunan umum, system teknologi maklumat, projek aeroangkasa, dan system pertahanan. Projek mega terbukti amat berisiko dari segi kewangan, keselamatan, dan kesa social dan persekitaran. Pengurusan risiko dengan itu amat berkait bagi projek mega dan kaedah khusus dan pendidikan khusus telah dibangunkan bagi pengurusan projek sedemikian.

Pengurusan projek teknologi maklumat

Rencana utama: Pengurusan risiko IT

Teknologi maklumat semakin meluas dalam kehidupan moden di semua sektor.

Risiko IT adalah risiko berkait dengan teknologi maklumat. Ini merupakan istilah agak baru disebabkan kesedaran meningkat bahawa keselamatan maklumat merupakan satu lembaran dari pelbagai risiko yang berkait pada IT dan dunia sebenar yang disokongnya.

Sejumlah metodologi pengurusan risiko telah dibangunkan bagi menangani risiko sebegini.

ISACA's Risk IT framework ties IT risk to Enterprise risk management.

Teknik pengurusan risiko bagi petroleum dan gas asli

Bagi industry gas dan minyak luar pantai, pengurusan risiko operasi diselaras oleh regim kes keselamatan bagi banyak negara. Mengenal pasti ancaman dan peralatan penilaian risiko dan teknik digambarkan dalam piwaian antarabangsa ISO 17776:2000, dan organisasi seperti IADC (International Association of Drilling Contractors) menerbitkan garis panduan bagi pembangunan kes HSE yang berasaskan piwaian ISO. Tambahan lagi, diagram gambaran kejadian mengancam sering dijangka oleh penyelia kerajaan sebagai sebahagian pengurusan risiko bagi pelaporan kes keselamatan; ini dikenali sebagai diagram bow-tie. Teknik ini turut digunakan oleh organisasi dan pengawal bagi perlombongan, kesihatan, pertahanan, pengilangan, dan kewangan.

Pengurusan Risiko Positif

Pengurusan Risiko Positif merupakan pendekatan yang mengambil kira kepentingan factor manusia dan perbezaan individual terhadap mengambil risiko. Ia mengambil dari penyelidikan sejumlah para akademik dan professional yang telah menyatakan kebimbangan mengenai kekakuan saintifik dalam perdebatan pengurusan risiko lebih meluas, atau yang telah menyumbang penekankan dimensi manusia pada risiko. Partama, ia mengakui bahawa sebarang objek atau keadaan boleh menjadi merbahaya dengan pembabitan seseorang yang memiliki kecenderungan melampau terhadap risiko; samaada terlalu mengambil risiko atau terlalu mengelak risiko. Keduanya, ia mengakui bahawa risiko merupakan unsur yang wujud sepanjang hidup dan tidak dapat dielak: dari kehamilan sehingga titik penghujung hayat di mana kita akhirnya mengakhiri pertempuran peribadi kita dengan risiko mengancam nyawa. Ketiga, ia mengambil kira bahawa setiap individual memiliki kecenderungan tersendiri terhadap risiko; ketika pada satu arah orang mungkin secara semulajadi takut, bimbang, resah, dan takut, yang lain adalah mencabar, spontan, hampir tidak menghiraukan mara bahaya. Perbezaan ini terbukti dalam cara kita memandu kereta, permakanan, hubungan, kerjaya. Akhir sekali, Pengurus Risiko Positif mengakui bahawa mengambil risiko adalah penting bagi semua usaha, daya kreatif, heroism, pendidikan, kemajuan saintifik – malah bagi sebarang aktiviti dan semua inisiatif yang telah menyumbang pada kejayaan evolusi dan peradapan. Adalah menarik untuk menyedari bahawa berapa banyak aktiviti yang mengembirakan adalah membabitkan rasa takut dan kesanggupan mengambil risiko.

Dalam keseluruhan penulisan mengenai Pengurusan Risiko hanya sedikit atau tiada rujukan mengenai bahagian manusia dalam persamaan risiko kecuali apa yang mungkin dibayangkan melalui istilah 'patuh'. Ini menggambarkan tumpuan sempit yang merupakan mercu tanda bagi kebanyakan amalan pengurusan risiko masakini. Keadaan ini timbul dari tanggapan asas bagi pengurusan risiko tradisional dan amalan berkait dengan kesihatan dan keselamatan dalam persekeliling tempat kerja. Terdapat logic asas bahawa sebarang kemalangan mungkin menandakan satu keadaan lepas pandang atau kecenderungan keadaan yang, jika dikenal pasti boleh diperbetulkan. Tetapi, kebanyakannya hampir disebabkan pengabaian institusi terhadap factor kemanusiaan, paradigma menumpu situasi telah tumbuh sulur paut yang mencapai hampir segenap ceruk kehidupan moden dan kedalam keadaan di mana akibat negetif yang tidak disengajakan mengancam mengatasi kebaikannya.

Pengurusan Risiko Positif melihat kedua-dua mengambil risiko dan mengelak risiko sebagai pelengkap dan sama nilai dan penting dalam konteks bersesuaian. Dengan itu,ia dilihat sebagai pelengkap pada paradigm pengurusan risiko tradisional. Ia memasukkan keseimbangan yang amat diperlukan pada amalan pengurusan risiko dan meletakkan lebih banyak tanggung jawab pada kemahiran pengurusan dan membuat keputusan. Ia merupakan pendekatan dinamik pada pengurus bola sepak yang menghargai bakat menyerang dan pertahanan dalam kumpulan pemain yang ada. Setiap organisasi memiliki peranan yang lebih sesuai bagi pengambil risiko dan peranan lebih baik bagi pengelak risiko. Tugas pengurusan adalah untuk memastikan orang yang betul diletakkan di setiap kedudukan. Makam bekas huara dipenuhi contoh di mana keseimbangan risiko menjadi silap besar; kisah ENRON dan RBS menjadi simbol rujukan dalam pantheon bagi penyeliaan korporate dan penutupan korporate. Eastman Kodak mungkin menjadi calon bagi hujung bersetentangan – korporate yang mengelak risiko.

Pengurusan Risiko Positif bergantung pada keupayaan mengenal pasti perbezaan individual bagi kecenderungan mengambil risiko. Sains dalam bidang ini berkembang pesat selama abad lalu dalam domain penilaian personaliti. Satu masa bahagian yang hampir berpuak-puak pada bidang pemikiran yang berlainan, kini terdapat persetujuan meluas mengenai struktur penilaian personality dan statusnya dalam bidang kerja kemajuan silang bidang dalam pemahamanan kita terhadap Kemanusiaan. Model Lima Faktor (“Five Factor Model – FFM”) bagi perwatakan telah ditunjukkan sebagai memiliki kaitan merentasi banyak budaya berlainan, kekas sekata sepanjang hayat kerja dewasa dan sebahagian besarnya diwarisi. Dalam rangka kerja ini terdapat banyak untaian yang memiliki kaitan dengan penerimaan risiko dan mengambil risiko. Sebagai contoh, Eysenck (1973) melaporkan bahawa pengaruh peribadi samaada menumpu pada apa yang mungkin salah atau apa yang mungkin membawa keuntungan; Nicholson et al (2005) report that higher extroversion is related to greater risk tolerance; McCrae dan Costa (1997) mengaitkan perwatakan pada penerimaan ketidak tentuan, inovasi, dan kecenderungan berfikir di luar kekangan; Kowert, 1997) menghubungkan perwatakan dengan mencari cabaran, imaginasi, pencarian pengalaman baru dan mencari risiko secara aktif. Membina dari asas ini dengan menggunakan amalan penilaian yang disahkan, penilaian lebih khusus telah dikembangkan, termasuk penilaian Jenis Risiko.

Pengurusan risiko dan kesinambungan perniagaan

Pengurusan risiko merupakan amalan memilih pendekatan kos efektif secara sistematik mudah bagi mengurangkan kesan berlakunya ancaman pada organisasi. Kesemua risiko tidak boleh dielakkan sepenuhnya atau dikurangkan secara ringkasnya kerana kekangan kewangan dan kewajaran. Dengan itu kesemua organisasi terpaksa menerima tahap tertentu sisa risiko.

Di mana pengurusan risiko cenderung bersedia sebelum kejadian berlaku, perancangan kesinambungan perniagaan (“business continuity planning – BCP”) dicipta untuk menangani akibat risiko sisa yang terjadi. Keperluan bagi memiliki BCP tresedia timbul kerana kejadian yang tidak mungkin juga akan berlaku sekiranya cukup masa diberikan. Pengurusan Risiko dan BCP sering kali silap dilihat sebagai amalan bersaing atau bertindanan. Sebenarnya proses ini begitu berkait rapat sehinggakan pemisahan sedemikian kelihatan dibuat-buat. Sebagi contoh, proses pengurusan risiko mencipta input penting bagi BCP (aset, penilaian kesan, anggaran kos dsb.). Pengurusan risiko turut mencadangkan kawalan boleh guna bagi risiko kelihatan. Dengan itu, pengurusan risiko merangkumi beberapa bidang yang penting bagi proses BCP. Bagaimanapun, proses BCP melangkaui pendekatan preemptif pengurusan risiko dan berpandangan bahawa bencana akan berlaku pada satu masa.

Risiko komunikasi

Risiko komunikasi merupakan bidang akademik silang displin yang rumit. masalah bagi risiko komunikasi termasuk membabitkan bagaimana menyampaikan pada hadiran yang diingini, bagi menjadikan risiko dapat difahami dan boleh dikaitkan dengan risiko lain, bagaimana memberikan penghargaan yang bersesuaian dengan nilai pendengar berkait dengan risiko, bagaimana menjangka tindak balas pendengar pada siaran, dll. Matlamat utama risiko komunikasi adalah bagi meningkatkan membuat keputusan bersama-sama dan individual. Risiko komunikasi agak berkait dengan krisis komunikasi.

Tujuh aturan penting bagi amalan risiko perhubungan

• Menerima dan membabitkan awam/ dan pengguna lain sebagai rakan sah (contoh. Berkepentingan (“stakeholders”)).
• Rancang dengan teliti dan menilai usaha anda dengan tumpuan pada kekuatan, kelemahan, peluang, dan ancaman. (“strengths, weaknesses, opportunities, and threats - SWOT).
• Mendengar kebimbangan khusus mereka yang berkepentingan.
• Jujur, jelas dan terbuka.
• Menyelaras dan bekerjasama dengan sumber dipercayai yang lain.
• Memenuhi keperluan media.
• Bercakap dengan jelas dan lembut hati.

Bacaan lanjut

• Alberts, Christopher (March 2008). "Mission Diagnostic Protocol, Version 1.0: A Risk-Based Approach for Assessing the Potential for Success". Software Engineering Institute. Dicapai pada 2008-05-26.
• Alexander, Carol and Sheedy, Elizabeth (2005). The Professional Risk Managers' Handbook: A Comprehensive Guide to Current Theory and Best Practices. PRMIA Publications. ISBN 0-9766097-0-3.CS1 maint: multiple names: authors list (link)
• Altemeyer, Lynn (2004). "An Assessment of Texas State Government: Implementation of Enterprise Risk Management, Applied Research Project". Texas State University.
• Borodzicz, Edward (2005). Risk, Crisis and Security Management. New York: Wiley. ISBN 0-470-86704-3.
• Flyvbjerg, Bent (2006). "From Nobel Prize to Project Management: Getting Risks Right" (PDF). Project Management Journal. Project Management Institute. 37 (3): 5–15. Dicapai pada 2008-05-26.
• Gorrod, Martin (2004). Risk Management Systems : Technology Trends (Finance and Capital Markets). Basingstoke: Palgrave Macmillan. ISBN 1-4039-1617-9.
• Hutto, John (2009). "Risk Management in Law Enforcement, Applied Research Project". Texas State University.
• Institute of Risk Management/AIRMIC/ALARM (2002). A Risk Management Standard. London: Institute of Risk Management.
• Moteff, John (2005). Risk Management and Critical Infrastructure Protection: Assessing, Integrating, and Managing Threats, Vulnerabilities and Consequences (Laporan). Washington DC: Congressional Research Service.
• Stoneburner, Gary (2002). Risk Management Guide for Information Technology Systems (PDF). Gaithersburg, MD: National Institute of Standards and Technology.
• United States Environmental Protection Agency (2004). General Risk Management Program Guidance. United State Environmental Protection Agency.
• Ward, Dan (March/April 2007). "The Pursuit of Courage, Judgment and Luck" (PDF). Defense AT&L. Defense Acquisition University: 28–30. Diarkibkan (PDF) daripada yang asal pada 2008-04-08. Dicapai pada 2008-05-26.
• Airmic / Alarm / IRM (2010) "A structured approach to Enterprise Risk Management (ERM) and the requirements of ISO 31000" http://www.theirm.org/documents/SARM_FINAL.pdf Diarkibkan 2010-07-05 di Wayback Machine
• Hopkin, Paul "Fundamentals of Risk Management 2nd Edition" Kogan-Page (2012) ISBN 978-0-7494-6539-1

Pautan luar

• Pengurusan risiko di Curlie