Manajemen Risiko dan Pengendalian Internal
Domain ini menguji kemampuan mengidentifikasi risiko, menilai eksposur, dan merancang pengendalian yang proporsional terhadap selera risiko organisasi.
Kerangka inti
- ISO 31000: menetapkan konteks, identifikasi, analisis, evaluasi, perlakuan, lalu pemantauan dan reviu. Risiko dinyatakan sebagai kombinasi kemungkinan dan dampak terhadap sasaran.
- Risk appetite berbeda dari risk tolerance: appetite adalah jumlah risiko yang bersedia diambil, tolerance adalah batas operasional yang masih diterima.
- Empat perlakuan: treat, transfer, tolerate, terminate.
- COSO ERM 2017 menekankan lima komponen, termasuk governance and culture serta strategy and objective setting.
- COSO Internal Control 2013: lima komponen dan 17 prinsip, dengan segregation of duties serta jejak audit.
- Three lines model: manajemen lini pertama, fungsi risiko dan kepatuhan lini kedua, audit internal lini ketiga.
Contoh berhitung
Risiko kegagalan server dinilai kemungkinan 3 dan dampak 5, skor 15, di atas selera risiko 8. Perlakuan: backup offsite, target RTO 4 jam dan RPO 1 jam, serta uji restore tahunan. Setelah kontrol, kemungkinan turun ke 2 dan dampak ke 4, skor residual 8 sesuai selera. Asuransi hanya mengalihkan dampak finansial, tidak menurunkan kemungkinan.
Jebakan yang memotong nilai
Menganggap pengendalian menghilangkan risiko; mencampur risiko inheren dan residual; membiarkan satu orang menguasai otorisasi, pencatatan, dan penyimpanan aset.