Enterprise Risk Management (ERM) BUMN

RB 26 Januari 2026

RWI Consulting – Enterprise Risk Management (ERM) di BUMN wajib berjalan sebagai sistem yang terintegrasi dengan tata kelola, pengendalian internal, perencanaan strategis, serta dokumen RJPP dan RKAP.

Kerangka regulasinya menuntut tiga hal yang konkret: struktur organ pengelola risiko, standar artefak risiko seperti taksonomi, risk appetite, KRI, serta mekanisme integrasi dan agregasi risiko sampai level portofolio.

Enterprise Risk Management (ERM) BUMN

Baca juga:

• Pengertian SK6 dalam PERMEN 02 BUMN
• Taksonomi Risiko
• Risk Based Strategic Business Planning
• Implementasi ESG Indonesia
• Risk Appetite dalam RKAP
• Pengertian ERM dan Manfaatnya

PER-2/MBU/03/2023 menempatkan penerapan manajemen risiko sebagai bagian dari pedoman tata kelola BUMN dan menuntut “taksonomi risiko” dan indikator seperti KRI serta risk appetite agar organisasi bisa menurunkan batas risiko ke pengambilan keputusan dan target kinerja.

Fondasi regulasi: PER-2 sebagai “aturan main”, SK-6 dan SK-8 sebagai “juknis operasional”

PER-2/MBU/03/2023 mengatur fondasi penerapan manajemen risiko, termasuk kebutuhan taksonomi risiko, KRI, dan risk appetite.

SK-6/DKU.MBU/10/2023 lalu mengunci cara kerja yang seragam untuk perencanaan manajemen risiko dan agregasi ke taksonomi risiko portofolio BUMN, termasuk hubungan RAS Kementerian, RJP, RKAP, serta kertas kerja agregasi.

SK-8/DKU.MBU/12/2023 memperkenalkan penilaian Risk Maturity Index sebagai standar penilaian kematangan penerapan manajemen risiko di BUMN, agar benchmarking lintas BUMN dan tren maturitas menjadi mungkin.

Yang “diwajibkan” PER-2 untuk membentuk ERM yang bisa diaudit

1) Taksonomi Risiko, KRI, dan Risk Appetite sebagai bahasa bersama

PER-2 menuntut BUMN membangun taksonomi risiko sebagai struktur klasifikasi risiko, lalu menurunkan Key Risk Indicator sebagai indikator peringatan dini, dan mengikatnya dengan Risk Appetite serta Risk Tolerance. Tiga artefak ini mencegah risiko hidup sebagai daftar naratif tanpa ambang, tanpa indikator, tanpa eskalasi.

2) Organ pengelola risiko yang jelas, bukan kepanitiaan ad hoc

PER-2 mengikat fungsi risiko ke organ tata kelola. Di tingkat pengawasan, Dewan Komisaris menjalankan pengawasan melalui komite seperti Komite Audit dan Komite Pemantau Risiko. Di eksekusi, Direksi mengelola, lalu fungsi audit internal (SPI) memberi assurance independen.

Pada level teknis, praktik di BUMN umumnya mengikuti model tiga lini, karena PER-2 merujuk struktur organ dan peran yang membuat pemisahan “pemilik risiko”, “fungsi risiko”, dan “assurance” menjadi rapi.

3) Integrasi risiko ke perencanaan strategis, bukan laporan belakang layar

PER-2 menuntut perencanaan strategis berbasis risiko. Itu berarti risiko ikut menentukan sasaran, strategi, program, dan alokasi sumber daya. SK-6 mempertegas bahwa strategi risiko portofolio menjadi acuan RJP, dan RAS Kementerian menjadi rujukan risk appetite.

Struktur peran: siapa melakukan apa di ERM BUMN

Dewan Komisaris dan komite-komite di bawahnya

SK-6 menuntut evaluasi risiko terintegrasi berjalan berkala. Dewan Komisaris atau Dewan Pengawas melalui Komite Tata Kelola Terintegrasi dan Komite Pemantau Risiko melakukan evaluasi risiko terintegrasi minimal setiap bulan, lalu hasil reviu menjadi bahan pelaporan.
Ini menutup lubang umum di banyak organisasi, karena tanpa ritme bulanan, risiko sering berubah cepat tetapi rapat pengawasan bergerak lambat.

Direksi dan Direktur yang membidangi risiko

Direksi memegang tanggung jawab langsung atas risiko dan akibatnya. SK-6 menegaskan pemantauan di tingkat Kementerian tidak memindahkan tanggung jawab Direksi dan Dewan Komisaris atas seluruh risiko yang dihadapi BUMN.

Dalam desain operasional, Direksi biasanya menunjuk direktur yang membidangi risiko untuk menggerakkan integrasi lintas unit, terutama di BUMN induk dengan anak perusahaan, karena proses risiko terintegrasi harus bergerak dari level anak perusahaan ke induk, lalu naik melalui agregasi ke tingkat portofolio.

Unit Kerja Manajemen Risiko dan pemilik risiko

Unit risiko memegang peran metodologi, konsistensi, kualitas data, dan mekanisme eskalasi. Pemilik risiko tetap berada di fungsi bisnis, karena mereka mengontrol proses dan tindakan. Skema ini mencegah “risiko menjadi tugas unit risiko saja”.

SPI sebagai assurance

Definisi audit intern di juknis menempatkan SPI sebagai pemberi assurance independen yang mengevaluasi dan meningkatkan efektivitas pengendalian intern, manajemen risiko, dan proses tata kelola.
Posisi ini membuat ERM bisa diaudit, bukan sekadar presentasi.

Cara implementasi ERM BUMN yang patuh dan bisa dipakai untuk keputusan

Bagian ini menyajikan alur yang langsung bisa dipindahkan ke kerja penyusunan RJPP dan RKAP.

Langkah 1: Kunci strategi risiko dan Risk Appetite sebagai “batas desain”

SK-6 mengarahkan strategi risiko portofolio dituang ke Risk Appetite Statement Kementerian, lalu BUMN menjadikannya acuan saat menyusun RJP.

Di tingkat BUMN, risiko mulai dari strategi, lalu turun ke sasaran dan rencana. Tanpa langkah ini, risk register tumbuh liar dan tidak terkait pilihan strategi.

Langkah 2: Bangun taksonomi internal dan peta KRI sebagai sistem peringatan dini

KRI harus berperan sebagai peringatan dini dan diturunkan sesuai klasifikasi taksonomi risiko. SK-6 mendefinisikan KRI sebagai indikator risiko utama untuk peringatan dini.
KRI yang berguna selalu punya ambang, frekuensi update, pemilik indikator, serta aturan eskalasi.

Langkah 3: Integrasikan risiko anak perusahaan, lalu agregasikan ke portofolio

SK-6 menjelaskan logika berjenjang: integrasi risiko dari anak perusahaan ke BUMN induk, lalu agregasi ke portofolio kementerian. Ini bukan kosmetik organisasi, karena kementerian memerlukan cerminan risiko portofolio, bukan potongan silo.

Langkah 4: Turunkan risiko ke pilihan strategi, KPI, dan rancangan RKAP

SK-6 menautkan penentuan kandidat risiko utama secara top-down dengan Aspirasi Pemegang Saham, RKAP, dan KPI.
Di titik ini, ERM mulai “mengikat uang”. Saat unit mengusulkan program strategis, CAPEX, atau OPEX, risiko harus ikut menilai kelayakan, prioritas kontrol, serta desain contingency.

Langkah 5: Siapkan kertas kerja agregasi dan bukti perencanaan risiko sebagai lampiran perencanaan

SK-6 mewajibkan BUMN menyampaikan kertas kerja hasil perhitungan nilai ambang strategi risiko, hasil penilaian risiko, dan hasil integrasi risiko, lalu melengkapinya dengan proses agregasi ke taksonomi kementerian.
Di praktik, ini memaksa data risiko menjadi artefak yang bisa direview, bukan ringkasan subjektif.

Langkah 6: Monitor bulanan, laporkan terstruktur, dan ikat ke evaluasi kinerja

SK-6 menuntut laporan manajemen risiko ke kementerian dan menyebut komponennya, termasuk laporan penerapan manajemen risiko, audit intern, tata kelola terintegrasi, dan pencapaian kinerja. SK-6 juga mengaitkan evaluasi kualitas manajemen risiko dan pencapaian kinerja ke peringkat risiko BUMN sebagai indikator penilaian bagi Direksi dan Dewan Komisaris.

Ini mengakhiri pola lama: risiko berjalan tanpa konsekuensi insentif.

Hubungan ERM dengan dokumen RJPP dan RKAP: titik penguncian yang praktis

RJPP: risiko memilih strategi yang realistis

RJPP memuat sasaran lima tahunan. SK-6 menegaskan roadmap portofolio dan RAS kementerian menjadi acuan penyusunan RJP.
Artinya, setiap strategi RJPP membutuhkan “profil risiko” yang konsisten dengan appetite. Jika appetite menolak eksposur tertentu, RJPP wajib mengubah strategi atau menambah kontrol dan pendanaan.

RKAP: risiko mengunci target tahunan, limit, dan KRI

Di RKAP, risiko harus tampil sebagai data yang menempel pada rancangan RKAP dan RKAP final. SK-6 menuliskan muatan “Data Risiko” untuk rancangan RKAP dan RKAP final, termasuk metrik strategi risiko, pilihan sasaran dan strategi bisnis, profil risiko, perhitungan risiko inheren dan residual, rencana perlakuan risiko, dan peta risiko.

Ini format kerja yang membuat risk-based budgeting berjalan, karena unit tidak lagi mengajukan angka tanpa “biaya kontrol” dan tanpa “indikator deviasi”.

Untuk implementasi yang lebih teknis di level sistem dan adopsi kerja, rujuk pembahasan implementasi aplikasi manajemen risiko untuk BUMN yang menekankan risk register, KRI, dashboard, dan mekanisme early warning agar monitoring tidak macet di rapat bulanan.

Risk Maturity Index: kenapa SK-8 mengubah permainan

SK-8 menetapkan petunjuk teknis penilaian indeks kematangan risiko di lingkungan BUMN.
Tujuannya bukan sekadar skor, tetapi standardisasi model penilaian agar kementerian bisa melakukan benchmarking dan analisis tren maturitas antar BUMN.
Kajian akademik tentang penerapan RMI menyebut struktur penilaian mencakup dua aspek, lalu memecahnya ke dimensi, sub-dimensi, dan parameter, sehingga organisasi bisa mengubah hasil penilaian menjadi daftar perbaikan yang terukur.

Kesimpulan

ERM di BUMN harus hidup sebagai sistem tata kelola yang mengikat strategi, target, anggaran, dan mekanisme monitoring. PER-2 memaksa BUMN memakai bahasa risiko yang seragam melalui taksonomi, risk appetite, dan KRI, lalu menempatkan tanggung jawab risiko secara jelas pada Dewan Komisaris, Direksi, komite-komite, direktorat risiko, unit risiko, serta SPI.

SK-6 menurunkan kewajiban itu menjadi cara kerja yang bisa diaudit, mulai dari perencanaan risiko, integrasi dan agregasi ke taksonomi portofolio, sampai pelaporan dan evaluasi kinerja yang memberi konsekuensi ke penilaian Direksi dan Dewan Komisaris.

SK-8 menutup siklusnya dengan standar maturitas agar kementerian dan BUMN bisa mengukur kualitas penerapan, membandingkan, lalu mengeksekusi perbaikan yang spesifik.

Related posts

Memahami Proses Manajemen Risiko Menurut ISO 31000:2018 Bagaimana Menetapkan Ruang Lingkup, Konteks, dan Kriteria Risiko? (Bagian 1) Layanan Manajemen Risiko di RWI Consulting: Konsultasi & Sertifikasi