Tujuan utama dalam identifikasi resiko adalah untuk mengetahui daftar – daftar resiko yang potensial dan berpengaruh terhadap tujuan / proses bisnis suatu organisasi. Pada ISO/IEC 31000:2009 Risk Management terdapat hal-hal yang harus diperhatikan, apa sajakah itu ?
Berdasarkan standard ISO/IEC 31000:2009, identifikasi resiko memegang peranan penting pada penilaian resiko. Baik identifikasi maupun penilaian resiko merupakan rangkaian tahap dari manajemen resiko . Identifikasi resiko penting karena merupakan tahap pertama yang harus dilakukan karena dalam tahap ini dilakukan penentuan resiko – resiko beserta karakteristiknya yang mungkin akan mempengaruhi proyek. Kegagalan dalam tahapan ini akan berpengaruh besar terhadap tahapan manajemen resiko selanjutnya dan tentu akan mempengaruhi reliabilitas bagi proyek karena banyaknya kerentanan / celah yang mungkin akan terjadi di masa yang akan datang. Sesuai dengan ISO/IEC 31000:2009 kita harus memerhatikan hal-hal seperti berikut :
1. Masukan Identifikasi Resiko
"Apa saja yang dapat terjadi, kapan, dan dimana ?"
Pertanyaan ini akan menjawab secara detail apa saja yang kemungkinan negatif dapat terjadi dalam suatu proses bisnis dilihat dari waktu dan posisi / tempat yang dipengaruhi.
Untuk mengetahui apa saja yang dapat terjadi, suatu organisasi dapat melakukan studi terkait proses bisnis perusahaan, proses bisnis dari layanan / produk bidang teknologi informasi dan komunikasi yang dimiliki.
"Mengapa dan bagaimana resiko dapat terjadi?"
Pertanyaan ini digunakan sebagai pertimbangan terkait dengan penyebab resiko dan skenarionya.
2. Teknik Identifikasi Resiko
Dengan teknik untuk mengidentifikasi risiko kita dapat memperkirakan cara mitigasinya. Berbagai teknik yang dapat dilakukan untuk melakukan identifikasi resiko antara lain sebagian berikut :
* Brainstorming dengan pihak terkait
* Wawancara langsung kepada pihak yang bertanggung jawab
* Kuisioner
* Ceklis
* Analisis proyek sebelumnya
* Analisis SWOT
* Analisis asumsi dari tim pakar
Selain hal tersebut, faktor – faktor lain yang juga perlu diperhatikan adalah :
* Pemilihan metodologi identifikasi resiko yang sesuai dengan kondisi eksisting perusahaan / organisasi.
* Sumberdaya manusia yang dilibatkan dalam aktivitas identifikasi resiko
* Pendekatan siklus hidup untuk mengidentifikasi resiko dan menentukan bagaimana resiko berubah dan masuk dalam siklus hidup tersebut.
Identifikasi Resiko berdasarkan ISO/IEC 27001
Panduan manajemen resiko ISO/IEC 31000:2009 menjelaskan masukan dan teknik dari identifikasi resiko, namun belum dapat menjelaskan proses identifikasi resiko itu sendiri. Oleh karena itu, dibutuhkan standar lain yang dapat menjelaskan bagaimana proses identifikasi resiko yang komprehensif, yaitu ISO/IE 27001.
Berikut ini adalah proses identifikasi resiko berdasarkan ISO/IEC 27001 :
1. Identifikasi aset – aset teknologi informasi yang dimiliki oleh organisasi
2. Identifikasi ancaman pada setiap aset – aset teknologi informasi tersebut
3. Identifikasi kerentanan yang diakibatkan oleh ancaman
4. Identifikasi dampak kerugian dalam aspek confidentiality, integrity and availability.
Jika dikaitkan dengan ISO/IEC 31000:2009, maka akan jadi seperti ini
Referensi :
IDENTIFIKASI RESIKO