Materi
NIST IR 8286r1 memakai rumusan COSO dan OMB. Selera risiko (risk appetite) adalah jenis dan jumlah risiko, secara garis besar, yang bersedia diterima organisasi dalam mengejar misi dan nilainya; ditetapkan pimpinan tertinggi. Toleransi risiko (risk tolerance) adalah kesiapan organisasi menanggung risiko yang tersisa setelah direspons; OMB menyebutnya tingkat penyimpangan kinerja yang dapat diterima, dan menetapkannya di tingkat program atau unit. NIST IR 8286Ar1 menegaskan pernyataan toleransi selalu lebih spesifik daripada selera, dan harus tetap di dalam batas selera.
Contoh di NIST IR 8286Ar1 Tabel 2: selera sebuah peritel “gangguan situs pelanggan harus diminimalkan”; toleransinya “manajer wilayah boleh membiarkan situs mati hingga 4 jam untuk tidak lebih dari 5% pelanggan”. Pedoman British Columbia menambah cara mengukurnya, misalnya kerugian tak terduga di atas persentase tertentu dari anggaran operasional dinyatakan tidak dapat diterima. Hasil evaluasinya tiga: tidak dapat diterima, dapat diterima dengan perlakuan, atau dapat diterima — dengan tindakan hindari, tangani, atau pantau saja.
Glosarium NIST mendefinisikan indikator risiko utama (KRI) sebagai metrik untuk mengukur risiko; NIST IR 8286r1 memakainya untuk menunjukkan kapan toleransi terlampaui. NIST IR 8286B-upd1 membedakan KRI yang mendahului (leading), seperti tambalan kritis yang butuh 10 hari atau lebih, dari yang tertinggal (lagging), seperti pemulihan yang melewati RTO. Indikator kinerja utama (KPI) mengukur seberapa baik sebuah proses mencapai tujuannya.
Contoh untuk depot air minum isi ulang:
| Jenis | Pernyataan |
|---|---|
| Selera | Tidak ada ruang bagi air yang tidak layak minum |
| Toleransi | Uji bakteri harian gagal paling banyak 0 kali per bulan |
| KRI mendahului | Jumlah hari sejak filter terakhir diganti |
| KRI tertinggal | Jumlah keluhan pelanggan sakit perut bulan lalu |
