Dalam penerapan ISO 9001:2015, istilah risk-based thinking sering muncul sebagai salah satu konsep penting. Namun, dalam praktiknya masih banyak perusahaan yang mengartikan risk-based thinking hanya sebagai kewajiban membuat risk register, memberikan skor risiko, kemudian menentukan tindakan.
Pendekatan tersebut terlalu sederhana.
Risk-based thinking sebenarnya merupakan cara berpikir yang mengharuskan organisasi mempertimbangkan risiko dan peluang dalam merencanakan, menjalankan, mengevaluasi, dan memperbaiki proses.
Dengan kata lain, risiko bukan sekadar dokumen yang dibuat oleh bagian Quality atau Risk Management. Risiko seharusnya menjadi bagian dari cara perusahaan menjalankan bisnis.
“Risk-based thinking bukan tentang memiliki daftar risiko yang panjang. Yang lebih penting adalah bagaimana organisasi mengambil keputusan dengan mempertimbangkan risiko.”
Apa Itu Risk-Based Thinking?
Risk-based thinking adalah pendekatan untuk mempertimbangkan risiko dan peluang yang dapat memengaruhi kemampuan organisasi mencapai hasil yang diharapkan.
Dalam ISO 9001:2015, konsep risiko dan peluang terutama berkaitan dengan Klausul 6.1 – Actions to Address Risks and Opportunities.
Namun konsep tersebut tidak berdiri sendiri. Pendekatan berbasis risiko juga berhubungan dengan berbagai bagian sistem manajemen, mulai dari memahami konteks organisasi hingga evaluasi kinerja dan improvement.
Secara sederhana, pola berpikirnya dapat digambarkan:
Kondisi → Risiko/Peluang → Dampak → Tindakan → Monitoring → Evaluasi → Improvement
Mengapa Risk-Based Thinking Penting?
Tidak semua aktivitas dalam perusahaan memiliki tingkat risiko yang sama.
Bayangkan sebuah perusahaan manufaktur.
Keterlambatan pembelian alat tulis mungkin tidak memberikan dampak besar terhadap proses produksi.
Namun keterlambatan bahan baku utama dapat menyebabkan:
- Production downtime
- Delivery delay
- Customer complaint
- Overtime
- Additional cost
- Loss of customer trust
Keduanya sama-sama merupakan masalah operasional, tetapi tingkat dampaknya berbeda.
Risk-based thinking membantu perusahaan menentukan mana yang harus menjadi prioritas.
“Tidak semua risiko harus diperlakukan sama. Manajemen yang baik membutuhkan kemampuan menentukan prioritas.”
Risk Register Bukan Tujuan Akhir
Risk register memang dapat menjadi alat yang berguna.
Biasanya risk register berisi:
- Risiko
- Penyebab
- Dampak
- Existing control
- Probability
- Severity
- Risk rating
- Action
- PIC
- Target date
- Status
Namun keberadaan tabel tersebut belum menunjukkan bahwa organisasi telah menerapkan risk-based thinking.
Pertanyaan yang lebih penting adalah:
Apa yang dilakukan setelah risiko diidentifikasi?
Misalnya ditemukan risiko:
Supplier utama terlambat mengirim bahan baku.
Jika perusahaan hanya memberikan skor:
Probability = 4
Impact = 5
Risk = High
maka proses belum selesai.
Harus ada tindakan yang relevan, misalnya:
- Supplier performance monitoring
- Alternative supplier
- Safety stock
- Purchase planning
- Contractual agreement
- Supplier evaluation
Risk register seharusnya menjadi input untuk tindakan dan keputusan, bukan output akhir.
Hubungan Risk-Based Thinking dengan Klausul 4
Risk-based thinking sebaiknya dimulai dari pemahaman terhadap konteks organisasi.
Klausul 4.1 meminta organisasi memahami isu internal dan eksternal.
Klausul 4.2 berkaitan dengan interested parties.
Informasi tersebut dapat menghasilkan risiko dan peluang.
Contohnya:
Isu eksternal: Harga bahan baku meningkat.
↓
Risiko: Biaya produksi meningkat.
↓
Dampak: Margin menurun.
↓
Tindakan: Supplier diversification dan cost improvement.
Dengan pendekatan ini, risk management menjadi bagian dari strategi bisnis.
Bagaimana Menentukan Risiko?
Risiko dapat diidentifikasi melalui berbagai sumber.
Beberapa di antaranya:
- Process mapping
- SWOT analysis
- PESTLE analysis
- Historical data
- Customer complaints
- Internal audit findings
- Nonconformity
- Incident reports
- Supplier performance
- Management review
- Employee feedback
- Operational meetings
Jangan hanya bertanya:
“Risiko apa yang ada?”
Pertanyaan yang lebih efektif adalah:
“Apa yang dapat menyebabkan proses ini gagal mencapai hasil yang diharapkan?”
Pertanyaan tersebut membuat identifikasi risiko lebih dekat dengan proses bisnis.
Risk-Based Thinking Harus Berbasis Proses
Salah satu cara terbaik menerapkan risk-based thinking adalah memasukkannya ke dalam setiap proses utama.
Misalnya proses Purchasing.
Potensi risiko:
- Supplier tidak memenuhi spesifikasi.
- Harga berubah.
- Delivery terlambat.
- Material tidak tersedia.
- Supplier tidak memenuhi persyaratan perusahaan.
Kemudian organisasi menentukan pengendalian:
- Supplier qualification
- Supplier evaluation
- Purchase specification
- Approved supplier list
- Incoming inspection
- Supplier performance monitoring
Dengan demikian, risiko terintegrasi langsung dengan proses.
Bedakan Risiko dan Masalah
Ini juga merupakan hal yang sering membingungkan.
Risiko adalah sesuatu yang berpotensi terjadi dan dapat memengaruhi hasil.
Masalah adalah sesuatu yang sudah terjadi.
Contohnya:
Risiko: Supplier berpotensi terlambat mengirim material.
Masalah: Supplier sudah terlambat mengirim material selama tiga hari.
Keduanya membutuhkan pendekatan berbeda.
Risiko membutuhkan tindakan preventif atau pengendalian.
Masalah membutuhkan tindakan koreksi dan, jika diperlukan, corrective action untuk mencegah kejadian berulang.
Jangan Melupakan Peluang
Risk-based thinking tidak hanya berbicara tentang ancaman.
ISO 9001 juga meminta organisasi mempertimbangkan opportunities.
Contohnya:
- Teknologi baru
- Digitalisasi proses
- Supplier baru
- Produk baru
- Pasar baru
- Otomasi
- Peningkatan kompetensi
- Perbaikan layout
- Penggunaan data analytics
Misalnya perusahaan menemukan bahwa proses inspeksi manual membutuhkan waktu terlalu lama.
Risikonya adalah keterlambatan release produk.
Namun terdapat peluang menggunakan sistem inspeksi digital.
Dengan demikian:
Risk → Improvement Opportunity
Risk-based thinking dapat menjadi pintu masuk continuous improvement.
Kesalahan Umum dalam Risk-Based Thinking
Beberapa kesalahan yang sering ditemukan:
- Risk register dibuat hanya menjelang audit.
- Terlalu banyak risiko tanpa prioritas.
- Semua risiko diberi skor tinggi.
- Tidak ada PIC yang jelas.
- Tidak ada target tindakan.
- Tindakan tidak menyelesaikan penyebab risiko.
- Risiko tidak dikaitkan dengan proses.
- Risiko tidak ditinjau kembali.
- Tidak menggunakan data aktual.
- Hanya fokus pada ancaman dan melupakan peluang.
Masalah tersebut membuat risk management menjadi pekerjaan administratif.
Bagaimana Membuat Risk-Based Thinking Lebih Praktis?
Untuk organisasi, terutama UMKM, penerapan dapat dibuat sederhana.
Mulailah dari proses penting.
Contohnya:
- Identifikasi proses utama.
- Tentukan tujuan proses.
- Identifikasi apa yang dapat menyebabkan proses gagal.
- Tentukan dampaknya.
- Identifikasi pengendalian yang sudah ada.
- Nilai tingkat risiko jika diperlukan.
- Tentukan tindakan tambahan.
- Tentukan PIC.
- Tetapkan target penyelesaian.
- Monitor efektivitas tindakan.
Tidak semua risiko membutuhkan prosedur panjang.
Risiko rendah dapat dikendalikan dengan cara sederhana.
Risiko tinggi mungkin membutuhkan pengendalian yang lebih kuat.
Bagaimana Menilai Apakah Tindakan Efektif?
Ini bagian yang sering dilupakan.
Setelah tindakan dilakukan, organisasi harus melihat apakah risiko benar-benar berkurang atau tujuan proses tercapai.
Contohnya:
Risiko: Delivery terlambat.
Tindakan: Menambah supplier alternatif.
Indikator:
- On-Time Delivery
- Supplier lead time
- Number of delivery failures
Jika setelah tindakan performa tetap buruk, berarti pengendalian perlu dievaluasi kembali.
Inilah perbedaan antara melakukan tindakan dan memastikan efektivitas tindakan.
Kesimpulan
Risk-based thinking dalam ISO 9001 bukan sekadar membuat risk register.
Risk-based thinking merupakan cara organisasi mempertimbangkan risiko dan peluang dalam menjalankan bisnis.
Pendekatan yang efektif menghubungkan:
Konteks → Risiko → Pengendalian → Tindakan → KPI → Evaluasi → Improvement
Risk register hanyalah salah satu alat.
Nilai sebenarnya terletak pada bagaimana informasi risiko digunakan untuk:
- Menentukan prioritas.
- Mengalokasikan sumber daya.
- Mengendalikan proses.
- Mencegah masalah.
- Mengambil keputusan.
- Meningkatkan kinerja.
“Risk management yang baik bukan menghasilkan daftar risiko yang sempurna, tetapi menghasilkan keputusan yang lebih baik.”
Bagi UMKM, risk-based thinking tidak harus dimulai dengan sistem yang rumit. Yang terpenting adalah membangun kebiasaan sederhana: memahami apa yang dapat salah, memahami dampaknya, menentukan pengendalian, kemudian memeriksa apakah pengendalian tersebut benar-benar efektif.
Dengan cara tersebut, ISO 9001 tidak hanya membantu perusahaan memenuhi persyaratan standar, tetapi juga membantu perusahaan mengurangi kejutan, meningkatkan konsistensi, dan membuat keputusan bisnis yang lebih terukur.
