MANAJEMEN RISIKO TI

(Chapter 2 : Konsep Manajemen Risiko TI)

Beny Prasetyo, S.Kom., M.Kom., CAPM., COBIT5-F.

Windi Eka Yulia Retnani, S.Kom., MT.

Faculty of Computer Science – University of Jember

 RISIKO TI
 TI memainkan peran penting di dalam organisasi. Sehingga, dampak risiko TI terlalu berbahaya
apabila diabaikan.
 Dampak dari risiko TI secara signifikan akan:
1. Merugikan pihak pihak terkait baik internal dan eksternal (pelanggan, manajemen, pihak ketiga,
dll)
2. Merusak reputasi organisasi tidak hanya urusan manajemen TI namun juga reputasi manajemen
organisasi secara umum.
 Organisasi harus PROAKTIF untuk memikirkan risiko dan bagaimana mengendalikannya
DIAWAL WAKTU.

KST1608 Manajemen Risiko TI Beny Prasetyo, S.Kom., M.Kom., CAPM., COBIT5-F.

 RISIKO TI LINIER DENGAN IT/IS ISSUE

AGILITY OF TECHNOLOGY STRATEGICALLY CHANGES

AT LEAST 2 ISSUE
YANG PASTI
DIHADAPI OLEH
MORE INVESTMENT IT
ENTERPRISE
CHANGING REQUIREMENT PROJECTS
AND DEMANDS
SEMAKIN MUDAH/SERING
MELAKUKAN CHANGES,
SEMAKIN DEKAT RISIKO
Lemahnya Pengawasan IT GRC AKAN DATANG
Kurang Aware thd Risiko

it is important for Organization to have a mature

IT Risk Management

KST1608 Manajemen Risiko TI Beny Prasetyo, S.Kom., M.Kom., CAPM., COBIT5-F.

 MANAJEMEN RISIKO TI
 Proses pengelolaan risiko TI yang mencakup identifikasi, analisa, pengendalian, dan
monitoring pengendalian risiko secara PROAKTIF.

 Fokusnya adalah untuk mengenali risiko dan mengambil tindakan yang tepat untuk
mengendalikan risiko.

 Tujuannya adalah untuk memaksimalkan dampak positif (peluang) dan meminimalkan dampak
negatif (kerugian), sehingga layanan/komponen TI dapat berjalan optimal untuk mendukung
tujuan organisasi

KST1608 Manajemen Risiko TI Beny Prasetyo, S.Kom., M.Kom., CAPM., COBIT5-F.

 PRINSIP DASAR MANAJEMEN RISIKO TI
 BERSIFAT PROAKTIF
•Antisipatif, bukan reaktif
•Mengatasi penyebab, bukan gejala
•Menyiapkan rencana penanggulangan sebelum kejadian
•Menerapkan prosedur penanggulangan yang standar

 BERSIFAT KOLEKTIF Melibatkan setiap pihak yang terkait (dengan bidang dan tanggung jawab
masing-masing) dalam proses manajemen risiko

 BERSIFAT PARTISIPATIF Secara terbuka membahas berbagai potensi risiko demi kesuksesan
bersama untuk menghindari adanya hidden risks (risiko tersembunyi)

 BERSIFAT ITERATIF Selalu belajar dari pengalaman sebelumnya (lesson learned), selalu
dievaluasi berulang-ulang sebagai bagian dari siklus manajemen risiko.

KST1608 Manajemen Risiko TI Beny Prasetyo, S.Kom., M.Kom., CAPM., COBIT5-F.

 SIKLUS MANAJEMEN RISIKO TI

PADA PRINSIPNYA KETIGA ILUSTRASI SIKLUS

DIATAS ADALAH SAMA
KST1608 Manajemen Risiko TI Beny Prasetyo, S.Kom., M.Kom., CAPM., COBIT5-F.
 SIKLUS UMUM MANAJEMEN RISIKO TI
 Identify
Mengidentifikasi potensi risiko dan membuat daftar risiko
 Analyze
Menganalisis dan mem-prioritisasi risiko berdasarkan derajad
risiko (risk exposure)
 Treat
Menyusun rencana pengendalian risiko (mitigation plan)
 Monitor
Memantau kinerja mekanisme pengendalian risiko
 Control
Melaksanakan contingency plan untuk mengendalikan dampak
risiko yang telah terjadi
KST1608 Manajemen Risiko TI Beny Prasetyo, S.Kom., M.Kom., CAPM., COBIT5-F.
 #1 IDENTIFIKASI RISIKO TI
 Aktivitas membuat daftar risiko yang berpotensi memiliki dampak Beberapa metode
identifikasi risiko :
terhadap kelangsungan bisnis organisasi 1. Interview
 Mengidentifikasi risiko mempertimbangkan pengalaman anggota 2. Survey Paper
tim, pengetahuan kategorisasi risiko (operational, financial, 3. Facilitated Workshop
4. Brainstorming
technology, market, dll), kebijakan dan aturan organisasi tentang
5. Process Mapping
manajemen risiko. 6. Best Practice
 Setiap risiko dalam daftar risiko memiliki risk statement dengan 7. Incident Investigating
8. Past Experience
mendefinisikan:
• Penyebab (root cause)
• Kondisi (event)
• Akibat langsung (consequence) bagi kegiatan
• Dampak (downstream effect) bagi bisnis
KST1608 Manajemen Risiko TI Beny Prasetyo, S.Kom., M.Kom., CAPM., COBIT5-F.
 #2 ANALISA DAN PRIORITISASI RISIKO TI
 Untuk menentukan nilai besarnya risiko  Analisa dilakukan dengan menghitung
dengan mempertimbangkan tingkat derajad risiko (risk exposure) berdasarkan
keparahan dampaknya dua komponen:
 Beberapa hal yang dipertimbangkan 1) Peluang terjadinya (probability/likelihood)
dalam tahap ini: 2) Besarnya dampak (impact)
1. Pengalaman dari Tim
2. Kebijakan dan prosedur organisasi  Risk Exposure = Probability x Impact
3. Risk Statement  Risk Exposure = Probability + Impact
4. Pengetahuan tentang risiko tersebut
5. Penilaian dari pihak manajemen

KST1608 Manajemen Risiko TI Beny Prasetyo, S.Kom., M.Kom., CAPM., COBIT5-F.

 #2 ANALISA DAN PRIORITISASI RISIKO TI
 Probabilitas/likelihood dapat diperkirakan berdasarkan:
1. Lesson Learned kejadian serupa di masa lalu
2. Perkiraan ahli (pakar)
3. Konsensus anggota tim

KST1608 Manajemen Risiko TI Beny Prasetyo, S.Kom., M.Kom., CAPM., COBIT5-F.

 #2 ANALISA DAN PRIORITISASI RISIKO TI
 Dampak/impact merupakan nilai kerugian apabila risiko terjadi.
 Dampak disesuaikan dengan yang tercantum dalam risk statement
 Dampak dapat diestimasi secara kasar, kemudian diberikan nilai

KST1608 Manajemen Risiko TI Beny Prasetyo, S.Kom., M.Kom., CAPM., COBIT5-F.

 #2 ANALISA DAN PRIORITISASI RISIKO TI
 Derajad Risiko (Risk Exposure) dapat menggunakan matriks daerah risiko

PROBABILITY + IMPACT

PROBABILITY X IMPACT

KST1608 Manajemen Risiko TI Beny Prasetyo, S.Kom., M.Kom., CAPM., COBIT5-F.

 #3 MENYUSUN RENCANA PENGENDALIAN RISIKO
 Penyusunan rencana untuk
mengendalikan risiko-risiko
dengan prioritas tinggi
 Prinsipnya adalah:
1. Mengendalikan penyebab untuk
memperkecil probability/likelihood
2. Mengendalikan akibat untuk
memperkecil dampak/impact
3. Untuk risiko-risiko yang diluar
kewenangan, limpahkan ke pihak
yang berwenang (transfer risks)
KST1608 Manajemen Risiko TI
RISK RESPONSE:
1. Accept, terima jika masih dalam batas kewajaran /
batas toleransi organisasi (risk appetite)
2. Avoid, hindari dengan membatasi lingkup kegiatan
3. Transfer, alihkan dengan pihak lain (outsource,sub-
contract, asuransi, dll)
4. Mitigate, menerapkan mekanisme untuk menurunkan
peluang terjadinya risiko
5. Contingency, menerapkan prosedur
penanggulangan untuk meminimalisir dampak
Beny Prasetyo, S.Kom., M.Kom., CAPM., COBIT5-F.
 #4 MONITORING AKTIVITAS PENGENDALIAN RISIKO
 Monitoring dapat dilakukan dengan menggunakan matrik indikator terjadinya risiko yang
diukur dari aspek kinerja aktivitas
 (Mis: kelambatan proses, peningkatan gangguan, peningkatan komplain, penurunan tren
penambahan pelanggan)
 Apabila kinerja melebihi ambang batas, maka dapat mengaktifkan contingency plan.
 Pengaktifan / pelaksanaan contingency plan untuk mengendalikan dampak risiko yang
terjadi. Misal: Aktivasi DRP (Disaster Recovery Plan)

KST1608 Manajemen Risiko TI Beny Prasetyo, S.Kom., M.Kom., CAPM., COBIT5-F.

 TERIMA KASIH

KST1608 Manajemen Risiko TI Beny Prasetyo, S.Kom., M.Kom., CAPM., COBIT5-F.