Cara Membuat Daftar Risiko dengan AI: Panduan Lengkap

Risk register adalah satu tabel yang mencantumkan apa saja yang bisa salah dan seberapa besar kemungkinannya. Tabel ini juga mencatat apa dampak kerusakannya, siapa pemiliknya, dan apa keputusan tindakan Anda. Sebagian besar tim membuat daftar pertama mereka setelah terjadi kesalahan yang tidak pernah dicatat oleh siapa pun. Panduan ini membahas cara manual dan cara yang lebih cepat, menggunakan data ekspor yang sudah Anda miliki.

Apa itu risk register

Definisi paling jelas berasal dari glosarium NIST, yang menyebutnya sebagai "repositori informasi risiko termasuk data yang dipahami tentang risiko dari waktu ke waktu."

Entri kedua pada halaman yang sama lebih berguna untuk pekerjaan praktis. Entri tersebut mendeskripsikan catatan pusat dari risiko saat ini untuk cakupan atau organisasi tertentu.

Entri tersebut kemudian membuat perbedaan yang sering kali hilang di sebagian besar templat. Risiko saat ini mencakup risiko yang telah Anda terima dan risiko dengan jalur mitigasi yang direncanakan.

Itulah inti utamanya. Risk register bukanlah daftar masalah yang menunggu untuk diperbaiki. Ini adalah catatan keputusan, dan kalimat "kami telah meninjau hal ini dan memutuskan untuk menerimanya" adalah entri yang sah.

Perbedaan ini memiliki konsekuensi praktis. Jika risiko yang diterima tidak dicantumkan, tidak ada yang bisa membedakan antara risiko yang sudah dipertimbangkan lalu diabaikan dengan risiko yang memang tidak pernah terdeteksi. Enam bulan kemudian, keduanya akan terlihat sama, padahal hanya salah satu dari keduanya yang merupakan kegagalan.

Satu catatan cakupan sebelum Anda membuatnya. Materi NIST berada dalam konteks federal dan keamanan siber. Entri glosariumnya merujuk ke OMB Circular A-11 untuk konten yang harus dimuat dalam register federal. Apa yang dibahas di sini adalah versi manajemen yang sebenarnya dibutuhkan oleh sebagian besar tim, bukan register yang dibuat untuk standar kepatuhan. Jika Anda melakukan pelaporan di bawah kerangka kerja tertentu, gunakan daftar bidang dari kerangka kerja tersebut.

Namun, ada satu ide dari literatur tersebut yang dapat diterapkan. IR 8286 milik NIST dibangun di sekitar register. Abstraknya menjelaskan "nilai dari menggabungkan pengukuran risiko yang biasanya ditangani pada tingkat sistem dan organisasi yang lebih rendah ke tingkat perusahaan yang lebih luas."

Hal ini patut dirancang sejak versi pertama. Register yang skornya didasarkan pada angka-angka yang sebanding dapat digabungkan dengan register milik tim lain; sedangkan register yang dibuat berdasarkan penilaian pribadi tidak bisa.

Apa yang Anda butuhkan sebelum memulai

Tiga masukan, dan ketiganya jarang berada di satu tempat yang sama.

• Daftar bahaya. Apa pun yang sudah dikhawatirkan oleh tim Anda, tidak peduli seberapa informal catatan tersebut dibuat.
• Data paparan. Pengeluaran vendor, ketentuan kontrak, jumlah karyawan per lokasi, inventaris sistem, riwayat insiden.
• Peta pemilik. Siapa yang sebenarnya dapat mengambil keputusan, bukan siapa yang melaporkan masalah tersebut.

Anda juga memerlukan satu angka yang disepakati sebelumnya. Angka tersebut adalah ambang batas dampak yang menentukan apakah suatu hal layak dimasukkan ke dalam risk register atau tidak. Tanpa adanya ambang batas ini, tabel akan dipenuhi dengan item-item yang tidak akan pernah ditindaklanjuti oleh siapa pun.

Tetapkan ambang batas tersebut dalam satuan yang sama dengan data paparan Anda. Ambang batas yang dinyatakan dalam pengeluaran tahunan dapat diperiksa; sedangkan ambang batas yang dinyatakan sebagai "material" akan memicu kembali perdebatan di setiap tinjauan.

Cara membuat risk register secara manual

Opsi 1: Tabel tunggal dalam spreadsheet

Satu baris per risiko, dengan kemungkinan dan dampak sebagai kolom. Di sinilah hampir setiap register dimulai, dan bagi tim kecil, ini sudah cukup.

Kelemahannya adalah pemeliharaan. Setiap baris diketik secara manual, dan register tersebut akan menjadi usang seminggu setelah lokakarya yang menghasilkannya selesai.

Opsi 2: Berikan skor pada risiko dan urutkan

Tambahkan peringkat untuk kemungkinan dan dampak, kalikan keduanya, lalu urutkan. Sekarang tabel tersebut memiliki urutan, yang merupakan hal pertama yang membuatnya berguna dalam rapat.

Hambatannya adalah konsistensi. Dua orang yang menilai risiko yang sama dengan selang waktu satu bulan akan memiliki perbedaan pendapat, dan tidak ada hal dalam spreadsheet yang dapat mendeteksi hal tersebut.

Opsi 3: Dasarkan skor pada data Anda sendiri

Ini adalah versi yang dapat dipertanggungjawabkan saat dipertanyakan. Alih-alih menilai risiko vendor berdasarkan ingatan, Anda menarik angka yang sebenarnya. Pengeluaran tahunan, masa pemberitahuan kontrak, dan berapa banyak tim yang bergantung pada vendor tersebut akan menentukan peringkat dampaknya.

Panduan Ready.gov dari FEMA menunjukkan arah yang sama untuk risiko fisik. Halaman penilaian risiko miliknya memberi tahu bisnis untuk "mencari kerentanan atau kelemahan yang dapat membuat bisnis Anda lebih rentan terhadap kerusakan akibat bahaya." Kelemahan tersebut, catat panduan itu, "berkontribusi pada tingkat keparahan kerusakan saat terjadi insiden."

Halaman yang sama membingkai respons dalam hal investasi. Dampak "dapat dikurangi dengan berinvestasi dalam mitigasi." Jika potensi dampaknya signifikan, membangun strategi mitigasi "harus menjadi prioritas tinggi."

Ini adalah metode yang tepat namun lambat. Setiap risiko berarti Anda harus kembali memeriksa data ekspor yang berbeda.

Cara membuat risk register dengan AI

Langkah 1: Unggah data ekspor yang mendeskripsikan paparan Anda

Buka Powerdrill Bloom dan unggah data yang Anda miliki: ekspor pengeluaran vendor, daftar kontrak, inventaris sistem, log insiden masa lalu. Unggah semuanya secara bersamaan, bukan satu per satu.

Kemudian deskripsikan cakupan Anda dalam bahasa sehari-hari. Sebutkan bagian bisnis mana yang dicakup oleh register tersebut, berapa ambang batas dampak Anda, dan skala apa yang Anda gunakan untuk penilaian.

Langkah 2: Minta angka paparan per risiko, bukan peringkat

Mintalah tabel dengan satu baris per kandidat risiko, yang memuat angka-angka yang mendasari skor tersebut. Pengeluaran tahunan, jumlah tim yang bergantung, masa pemberitahuan, dan jumlah insiden selama setahun terakhir.

Mintalah sumber dari setiap angka. Platform akan memberikan jawaban yang berdasar lengkap dengan halaman dan baris di balik setiap angka. Dalam sebuah risk register, ketertelusuran tersebut adalah pembeda antara skor yang dapat Anda pertahankan dan skor yang tidak dapat dipertanggungjawabkan.

Lakukan penilaian sendiri berdasarkan angka-angka tersebut. Penilaian adalah bagian yang harus tetap dilakukan oleh manusia.

Langkah 3: Tambahkan keputusan Anda dan ekspor

Untuk setiap baris, catat keputusannya: terima, mitigasi, transfer, atau hindari. Jika keputusannya adalah mitigasi, tambahkan tindakan yang direncanakan, pemiliknya, dan tanggal tinjauan.

Kemudian ekspor tabel tersebut, diurutkan berdasarkan skor. Pertahankan kolom angka paparan alih-alih menghapusnya. Tinjauan kuartal berikutnya akan dimulai dengan melihat apakah angka-angka tersebut berubah.

Jika register ini menjadi hasil kerja yang berulang, tugas terjadwal tercantum di setiap paket, dengan satu tugas pada paket Free dan 20 tugas mulai dari paket Pro ke atas. Penyegaran triwulanan cocok untuk sebagian besar tim.

Apa saja yang harus ada di setiap baris

Kolom	Mengapa kolom ini penting
Deskripsi risiko	Ditulis sebagai sebab dan akibat, bukan sekadar topik
Kemungkinan	Setengah dari skor, dan bagian yang sering kali ditebak-tebak oleh orang-orang
Dampak	Harus dapat ditelusuri ke angka yang sebenarnya
Angka paparan	Angka yang mendasari peringkat dampak
Keputusan	Terima, mitigasi, transfer, atau hindari
Mitigasi dan pemilik	Hanya berarti jika ada satu nama orang yang bertanggung jawab
Tanggal tinjauan	Tanpa tanggal ini, register akan usang tanpa disadari

Kolom angka paparan adalah kolom yang paling sering dilewati oleh sebagian besar templat. Mempertahankan kolom ini mengubah penilaian subjektif menjadi sesuatu yang dapat diperiksa oleh peninjau berikutnya.

Praktik terbaik dan kesalahan umum

Catat juga risiko yang diterima. Register yang hanya berisi item terbuka hanyalah sebuah daftar tugas. Entri yang diterima adalah hal yang melindungi Anda ketika seseorang bertanya di kemudian hari apakah ada yang pernah mempertimbangkannya.

Tulis risiko sebagai sebab dan akibat. "Konsentrasi vendor" adalah sebuah topik. "Penagihan kami bergantung pada satu vendor dengan masa pemberitahuan 90 hari" adalah risiko yang dapat Anda nilai.

Hubungkan dampak dengan angka. Bahkan angka perkiraan kasar jauh lebih baik daripada peringkat yang asal tebak, dan ini membuat tinjauan berikutnya menjadi sebuah perbandingan, bukan perdebatan baru.

Berikan satu pemilik untuk setiap baris. Kepemilikan bersama atas suatu risiko biasanya berarti tidak ada yang meninjaunya, dan pemiliknya haruslah siapa saja yang dapat mengesahkan mitigasi tersebut.

Tetapkan tanggal tinjauan per baris, bukan per register. Risiko pemasok dan risiko regulasi bergerak dalam lini masa yang berbeda, dan satu pembersihan triwulanan secara menyeluruh memperlakukan keduanya seolah-olah sama.

Pisahkan dari kinerja vendor. Keduanya menggunakan data ekspor yang tumpang tindih dan menjawab pertanyaan yang berbeda. Menilai pemasok berdasarkan pengiriman dan kualitas dibahas dalam panduan kami tentang supplier scorecard; sedangkan register adalah tentang apa yang terjadi jika pemasok tersebut gagal.

Definisikan istilah Anda sekali saja. Rentang kemungkinan dan tingkatan dampak harus memiliki arti yang sama bagi setiap orang yang melakukan penilaian. Ini adalah disiplin yang sama yang dibahas dalam panduan kami tentang cara membuat data dictionary. Jika hasilnya menjadi dokumen tetap, halaman AI report generator menunjukkan bentuk tersebut.

Kesimpulan

Risk register membuktikan kegunaannya dengan mengubah kekhawatiran yang tersebar menjadi catatan keputusan, termasuk keputusan untuk menerima sesuatu dan melangkah maju. Bagian yang sulit bukanlah tata letak tabelnya; melainkan mendasarkan setiap peringkat dampak pada angka, bukan pada perasaan.

Buat risk register dari data ekspor yang sudah Anda miliki, dan biarkan angka paparan tetap terlihat di samping skor. Berikan pemilik dan tanggal tinjauan untuk setiap baris.

Sudah memiliki data ekspor vendor dan insiden? Coba Powerdrill Bloom dan buat versi pertamanya minggu ini.

Pertanyaan yang sering diajukan

Apa itu risk register?

Glosarium NIST mendeskripsikannya sebagai repositori informasi risiko yang mencakup apa yang dipahami tentang risiko dari waktu ke waktu. Dalam praktiknya, ini adalah satu tabel yang mencatat setiap risiko, peringkatnya, pemiliknya, dan keputusan yang diambil terkait risiko tersebut.

Kolom apa saja yang harus dimiliki oleh sebuah risk register?

Minimal: risiko yang ditulis sebagai sebab dan akibat, kemungkinan, dampak, dan angka di balik peringkat dampak. Kemudian keputusan, mitigasi beserta pemiliknya, dan tanggal tinjauan.

Apakah risiko yang diterima harus tetap berada di dalam register?

Ya. Definisi NIST memperlakukan risiko saat ini sebagai risiko yang mencakup risiko yang diterima dan risiko dengan jalur mitigasi yang direncanakan. Menghapus item yang diterima akan menghilangkan catatan keputusan tersebut.

Seberapa sering register ini harus ditinjau?

Tetapkan tanggal tinjauan per baris alih-alih untuk keseluruhan dokumen, karena kategori risiko yang berbeda berubah dalam skala waktu yang berbeda pula. Peninjauan triwulanan terhadap baris dengan skor tertinggi cocok untuk sebagian besar tim.

Apakah ini sama dengan penilaian risiko?

Tidak. Ready.gov mendeskripsikan penilaian risiko sebagai proses mengidentifikasi bahaya dan menganalisis apa yang bisa terjadi. Sedangkan register adalah artefak yang mencatat hasil dan keputusan tersebut.