Tim risiko meminta daftar kontrol. Seminggu kemudian, compliance meminta bukti yang hampir sama. Menjelang audit, unit operasional kembali mengumpulkan dokumen tersebut dengan format berbeda. Pekerjaan bertambah, tetapi manajemen masih kesulitan melihat kewajiban mana yang belum terpenuhi dan risiko mana yang belum tertangani. Karena itu, framework GRC terintegrasi perlu berangkat dari proses bisnis dan keputusan yang sama-sama digunakan oleh manajemen.
Framework GRC terintegrasi adalah kerangka yang menghubungkan tata kelola, manajemen risiko, dan kepatuhan melalui peran, proses, serta informasi yang konsisten. Integrasi membantu perusahaan mengurangi pekerjaan berulang dan melihat hubungan antara sasaran, kewajiban, risiko, kontrol, serta tindak lanjut.
Membangunnya tidak harus dimulai dengan pembelian software. Langkah pertama adalah memahami cara kerja yang ada dan menyepakati apa yang perlu dihubungkan. Artikel ini memberikan alur implementasi, contoh proses pengadaan, dan ukuran untuk menilai apakah integrasi benar-benar membantu pekerjaan.
Framework GRC terintegrasi menyatukan kewajiban risiko dan kontrol
Framework GRC terintegrasi membantu tim memakai satu bahasa untuk melihat kewajiban, risiko, kontrol, bukti, dan tindakan yang masih terbuka.
Pahami fungsi masing-masing bagian
Governance menetapkan arah, kewenangan, pengawasan, dan pertanggungjawaban. Risk management membantu perusahaan menilai ketidakpastian terhadap tujuan. Compliance membantu mengidentifikasi kewajiban serta memantau pemenuhannya. Ketiganya memiliki peran berbeda, tetapi banyak menggunakan informasi yang berkaitan.
Sebagai contoh, kebijakan pengadaan menjelaskan kewenangan. Penilaian risiko mengidentifikasi potensi konflik kepentingan dan gangguan pasokan. Pemetaan kepatuhan menghubungkan proses dengan aturan serta kontrak. Kontrol dan bukti pelaksanaan bisa digunakan bersama sesuai kebutuhan pemeriksaan.
Jika konsep dasarnya masih baru bagi tim, mulai dari pengertian GRC. Untuk rujukan pengembangan kapabilitas, OCEG menyediakan GRC Capability Model. Pilih pendekatan yang dapat disesuaikan dengan tujuan organisasi, bukan sekadar menyalin seluruh istilah kerangka. Penerapan framework GRC terintegrasi sebaiknya dimulai dari proses yang paling kritis.
Kenali tanda proses masih terpisah
Perhatikan apakah satu risiko memiliki nama berbeda pada beberapa daftar, apakah bukti diminta berulang, dan apakah temuan yang sama muncul lagi karena pemilik tindak lanjut tidak jelas. Masalah tersebut menunjukkan hubungan informasi belum dikelola dengan baik.
Tanda lain adalah laporan yang memberi kesimpulan berbeda tanpa penjelasan. Tim compliance menyatakan kewajiban terpenuhi, tetapi audit menemukan bukti kontrol tidak memadai. Perbedaan tersebut mungkin berasal dari definisi status atau cakupan pemeriksaan yang tidak sama.
Jangan langsung menyalahkan orang atau teknologi. Petakan sumber perbedaan terlebih dahulu. Integrasi yang efektif sering dimulai dengan menyepakati definisi sederhana: apa arti selesai, efektif, terlambat, dan diterima dalam proses perusahaan.
Langkah 1 Tetapkan tujuan dan sponsor
Tuliskan masalah yang ingin diselesaikan. Misalnya mengurangi pengumpulan bukti berulang, mempercepat penanganan perubahan regulasi, atau memastikan temuan memiliki pemilik. Tujuan yang spesifik memudahkan perusahaan menilai keberhasilan program.
Sponsor manajemen diperlukan untuk menyelesaikan hambatan lintas fungsi. Namun, sponsor tidak mengerjakan seluruh pemetaan. Tunjuk koordinator dan wakil fungsi yang memahami proses nyata serta memiliki waktu untuk melakukan pekerjaan.
Sepakati ruang lingkup awal. Satu proses kritis dapat menjadi percontohan sebelum perusahaan memperluas integrasi. Untuk kebutuhan usaha keluarga atau organisasi kecil, baca GRC untuk UMKM dan perusahaan keluarga sebagai konteks penyederhanaan.
Langkah 2 Inventarisasi proses dan dokumen
Kumpulkan sasaran, kebijakan, kewajiban, daftar risiko, kontrol, temuan, dan laporan yang sudah digunakan. Catat pemilik, periode pembaruan, serta lokasi penyimpanan. Jangan meminta unit membuat ulang dokumen jika informasi yang sama sudah tersedia.
Periksa tumpang tindih dan celah. Dua kontrol dengan nama berbeda mungkin sebenarnya kegiatan yang sama. Sebaliknya, satu kontrol yang terlihat mencakup banyak kewajiban mungkin belum menghasilkan bukti yang cukup untuk semuanya.
Hasil tahap ini berupa peta kondisi awal. Gunakan untuk memilih apa yang perlu dipertahankan, disatukan, atau diperbaiki. Hindari menghapus proses hanya karena terlihat mirip sebelum memahami tujuan serta persyaratan masing-masing.
Langkah 3 Bangun bahasa dan identitas bersama
Beri identitas konsisten pada risiko, kewajiban, kontrol, dan temuan. Sebuah kontrol dapat dihubungkan ke beberapa risiko atau kewajiban, tetapi pemilik dan bukti pelaksanaannya harus jelas. Identitas yang stabil membantu penelusuran perubahan. Setiap elemen framework GRC terintegrasi perlu memiliki pemilik dan bukti.
Sepakati taksonomi atau pengelompokan yang digunakan. Definisikan tingkat dampak, jenis kontrol, frekuensi, dan status tindak lanjut. Gunakan istilah yang dapat dipahami unit pelaksana, bukan hanya administrator sistem.
Untuk komponen risiko, periksa keselarasan dengan kerangka ERM serta risk appetite perusahaan. Jika batas risiko dan cara eskalasinya belum jelas, integrasi data belum tentu menghasilkan keputusan yang lebih baik.
Langkah 4 Hubungkan kewajiban risiko dan kontrol
Berikut ilustrasi proses pengadaan. Tujuannya menjaga pemilihan pemasok yang dapat dipertanggungjawabkan dan mendukung kesinambungan operasi.
| Komponen | Contoh hubungan |
|---|---|
| Kewajiban atau kebijakan | Persetujuan sesuai kewenangan dan pengungkapan konflik |
| Risiko | Pemilihan pemasok tidak objektif atau tidak memenuhi kebutuhan |
| Kontrol | Evaluasi pembanding dan deklarasi hubungan pihak terkait |
| Pemilik | Fungsi pengadaan dan pejabat pemberi persetujuan |
| Bukti | Hasil evaluasi, deklarasi, serta persetujuan |
| Pengujian | Pemeriksaan sampel transaksi dan pelaksanaan kontrol |
| Tindak lanjut | Perbaikan kelemahan dengan tenggat dan penanggung jawab |
Pemetaan ini tidak terjadi otomatis hanya karena informasi berada dalam satu aplikasi. Tim harus memeriksa hubungan yang benar. Kontrol yang relevan untuk kualitas pemasok, misalnya, belum tentu cukup untuk menangani konflik kepentingan.
Langkah 5 Tentukan pembagian peran
Unit bisnis tetap menjalankan proses dan kontrolnya. Fungsi risiko serta kepatuhan memberikan metode, dukungan, dan pemantauan sesuai mandat. Audit internal memberikan assurance independen. Prinsip hubungan tersebut dapat dilihat dalam Three Lines Model IIA.
Integrasi tidak berarti audit internal mengambil alih persetujuan operasional. Bila pihak yang menilai kontrol juga menjadi pemilik keputusan sehari-hari, objektivitasnya perlu diperhatikan. Pembagian peran harus menjaga koordinasi sekaligus pertanggungjawaban.
Tuliskan siapa yang mengubah data, memeriksa bukti, menyetujui penutupan temuan, dan menerima eskalasi. Banyak hambatan muncul karena sistem sudah tersedia tetapi kewenangan mengubah status belum disepakati.
Langkah 6 Pilih alat yang mendukung proses
Pada tahap awal, perusahaan dapat menggunakan register terkendali dengan akses dan versi yang jelas. Ketika volume meningkat, aplikasi dapat membantu hubungan antarobjek, pengingat tenggat, jejak perubahan, dan pelaporan. Pilih berdasarkan kebutuhan yang sudah dipetakan.
Uji alat menggunakan skenario nyata. Bisakah satu bukti mendukung beberapa kebutuhan tanpa disalin berulang? Apakah perubahan kewajiban menunjukkan kontrol yang perlu ditinjau? Apakah manajemen dapat melihat tindakan yang terlambat beserta pemiliknya?
Jangan hanya menilai tampilan dashboard. Periksa kemudahan input, kualitas data, keamanan akses, dan kemampuan mengekspor informasi. Sistem yang sulit digunakan dapat mendorong unit kembali menyimpan catatan sendiri di luar proses bersama.
Contoh rencana implementasi awal
Pada tahap persiapan, pilih proses percontohan, kumpulkan dokumen, dan tetapkan definisi. Kemudian lakukan lokakarya pemetaan bersama pemilik proses. Gunakan beberapa transaksi atau kejadian nyata untuk menguji apakah hubungan risiko, kewajiban, dan kontrol sudah masuk akal.
Tahap berikutnya adalah uji pelaksanaan. Jalankan pengumpulan bukti dan rapat tindak lanjut dalam satu siklus kerja. Catat bagian yang masih membingungkan, termasuk informasi yang diminta tetapi tidak digunakan untuk keputusan apa pun. Evaluasi framework GRC terintegrasi perlu melihat penyelesaian tindakan, bukan jumlah dokumen.
Setelah evaluasi, perbaiki desain dan perluas secara bertahap. Durasi mengikuti kompleksitas perusahaan; jangan menggunakan jadwal contoh sebagai jaminan bahwa integrasi akan selesai dalam jumlah minggu tertentu.
Ukur hasil yang dirasakan pengguna
Indikator dapat mencakup pengurangan permintaan bukti berulang, ketepatan penyelesaian tindakan, waktu pemrosesan perubahan kewajiban, dan jumlah temuan yang berulang. Gunakan kondisi awal sebagai pembanding agar hasil tidak hanya berupa kesan.
Tanyakan juga pengalaman unit operasional. Apakah mereka memahami apa yang harus dilakukan? Apakah laporan membantu atau justru menambah input tanpa manfaat? Integrasi yang berhasil seharusnya memperjelas pekerjaan, meskipun tidak semua kegiatan pemeriksaan dapat dihilangkan.
Ketika indikator memburuk, periksa penyebabnya. Meningkatnya temuan pada tahap awal bisa berarti kemampuan mendeteksi masalah membaik. Jangan menyimpulkan program gagal hanya dari satu angka tanpa melihat konteks.
Bangun kompetensi sebelum memperluas sistem
Perbedaan pemahaman antarfungsi dapat menghambat integrasi. Sebagian peserta melihat GRC sebagai audit, sementara yang lain menganggapnya aplikasi. GRC Series dapat menjadi bahan pertimbangan untuk menyamakan konsep dan peran tim.
Untuk pendalaman komponen risiko, tinjau program CRP sesuai kebutuhan serta kelayakan peserta. Jika perusahaan ingin memasukkan keberlanjutan, ESG Risk Management dapat melengkapi pembahasan sumber risiko yang lebih spesifik.
Pilih pembelajaran berdasarkan pekerjaan yang ingin diperbaiki. Membawa contoh register, alur persetujuan, atau masalah koordinasi akan membantu peserta menghubungkan materi dengan praktik setelah kelas selesai.
Pertanyaan yang sering muncul
Apakah integrasi berarti semua fungsi digabung
Tidak. Struktur organisasi dapat tetap berbeda. Yang diselaraskan adalah tujuan, hubungan proses, informasi, dan mekanisme koordinasi, dengan tetap menjaga kewenangan serta objektivitas yang diperlukan.
Apakah semua kontrol cukup diuji sekali
Tidak otomatis. Satu hasil pengujian mungkin mendukung beberapa kebutuhan bila cakupan, metode, periode, dan kualitasnya sesuai. Periksa persyaratan setiap pengguna sebelum memutuskan pengujian dapat digunakan bersama.
Dari mana sebaiknya memulai
Pilih proses yang penting dan memiliki pemilik yang siap bekerja sama. Pengadaan, pelaporan, atau pengelolaan vendor dapat menjadi pilihan, tergantung masalah yang sedang dihadapi perusahaan.
Mulai dari satu hubungan yang belum jelas
Ambil satu kewajiban penting, hubungkan dengan risiko, kontrol, bukti, serta penanggung jawabnya. Jika hubungan tersebut belum jelas, perbaiki sebelum menambah fitur sistem. Langkah kecil ini dapat menjadi dasar integrasi yang lebih luas.
Untuk latihan lintas fungsi, lihat pelatihan in-house ESG Solusi. Anda dapat mendiskusikan kebutuhan GRC dengan membawa satu proses yang sering menimbulkan pekerjaan berulang agar ruang lingkup pembelajaran lebih konkret. Dengan begitu, framework GRC terintegrasi mendukung keputusan tanpa menambah birokrasi yang tidak perlu.
