5 Tingkat Kematangan GRC: Di Level Mana Perusahaan Anda Berada?
Photo by Thang Nguyen on Pexels
Mengetahui bahwa perusahaan sudah memiliki fungsi Governance, Risk, dan Compliance belum cukup untuk menjawab satu pertanyaan penting: seberapa matang penerapannya?
Perusahaan dapat memiliki kebijakan, komite, risk register, fungsi kepatuhan, internal audit, dan dashboard, tetapi belum tentu seluruhnya bekerja secara terintegrasi. Di sinilah GRC Maturity Assessment diperlukan.
Penilaian maturitas membantu organisasi melihat apakah GRC masih bersifat parsial, sudah dikelola secara konsisten, telah terintegrasi dengan proses bisnis, atau sudah mampu mendukung pengambilan keputusan yang lebih proaktif.
Dalam salah satu model penilaian yang digunakan dalam praktik RWI, terdapat lima tingkat kematangan GRC: Initial, Siloed, Managed, Transformed, dan Proactive. Kelima level tersebut menggambarkan perjalanan perusahaan dari kondisi GRC yang masih terfragmentasi menuju capability yang terintegrasi dan terus diperbaiki.
Artikel ini tidak hanya menjelaskan arti masing-masing level, tetapi juga membantu perusahaan melakukan self-check awal untuk memperkirakan posisi maturitasnya. Self-check tersebut bersifat indikatif. Penetapan maturity level yang lebih objektif tetap membutuhkan review evidence, survei, wawancara, diskusi, dan validasi.
Mengapa Perusahaan Perlu Mengetahui Posisi Maturitas GRC?
Photo by Kampus Production on Pexels
Tanpa baseline yang jelas, program peningkatan GRC mudah berubah menjadi kumpulan inisiatif yang tidak memiliki prioritas.
Management mungkin mengetahui bahwa beberapa area perlu diperbaiki, tetapi belum dapat membedakan mana yang merupakan weakness mendasar, mana yang hanya membutuhkan penyempurnaan, dan mana yang sebenarnya sudah berjalan baik.
Penilaian maturitas membantu perusahaan:
- memperoleh gambaran objektif kondisi GRC saat ini;
- mengidentifikasi gap antara current state dan target state;
- mengetahui apakah process, people, dan tools berkembang secara seimbang;
- mendeteksi area yang masih berjalan dalam silo;
- menentukan prioritas perbaikan berdasarkan kebutuhan organisasi;
- menyusun target maturity yang realistis;
- membangun roadmap peningkatan yang memiliki owner dan milestone;
- mengukur perkembangan dari periode ke periode.
Dengan kata lain, maturity assessment mengubah diskusi “GRC kita sudah cukup baik atau belum?” menjadi diskusi yang lebih terstruktur: apa evidence-nya, gap-nya di mana, dan apa yang harus ditingkatkan berikutnya?
Jangan Menilai Kematangan GRC dari Jumlah Dokumen
Photo by Lukas Blazek on Pexels
Salah satu kesalahan yang paling umum adalah menganggap kelengkapan policy sebagai bukti maturity.
Dokumen merupakan bagian penting dari governance. Namun perusahaan dapat memiliki policy lengkap tetapi tetap berada pada maturity rendah jika penerapan tidak konsisten.
Contohnya:
- risk appetite sudah disahkan tetapi tidak digunakan dalam keputusan;
- risk register tersedia tetapi tidak dikaitkan dengan sasaran dan KPI;
- fungsi compliance memiliki daftar regulasi tetapi tidak memiliki risk-based monitoring;
- control matrix lengkap tetapi evidence tidak tersedia;
- audit finding ditutup secara administratif tanpa validasi efektivitas;
- dashboard tersedia tetapi sumber data dan ownership belum reliable.
Karena itu, assessment perlu melihat design, implementation, consistency, integration, dan effectiveness, bukan sekadar existence.
Level 1 – Initial: GRC Sudah Ada, tetapi Masih Parsial
Photo by RDNE Stock project on Pexels
Pada Level 1, elemen Governance, Risk, dan Compliance mulai tersedia tetapi praktiknya masih parsial, ad hoc, atau bergantung pada individu tertentu.
Perusahaan pada level ini dapat memiliki beberapa kebijakan atau aktivitas pengelolaan risiko, tetapi belum memiliki pola penerapan yang stabil.
Indikasi umum Level Initial antara lain:
- role GRC belum jelas;
- process berbeda antar unit;
- risk assessment dilakukan berdasarkan kebutuhan sesaat;
- compliance monitoring belum terstruktur;
- data tersebar dan sulit dikonsolidasikan;
- management reporting belum konsisten;
- aktivitas banyak bergantung pada individu tertentu.
Pertanyaan self-check: Jika personel utama berpindah, apakah proses GRC tetap dapat berjalan dengan pola yang sama? Jika jawabannya belum, perusahaan masih menunjukkan karakteristik Initial.
Prioritas pada level ini adalah membangun foundation: governance, role, policy, taxonomy, standard process, dan baseline.
Level 2 – Siloed: Komponen Lengkap, tetapi Berjalan Terpisah
Photo by Andrey Matveev on Pexels
Pada Level 2, perusahaan biasanya telah memiliki lebih banyak komponen formal. Risk management, compliance, internal audit, governance, dan internal control sudah berjalan, tetapi masing-masing memiliki process, taxonomy, data, dan reporting sendiri.
Karakteristiknya dapat terlihat dari kondisi berikut:
- fungsi menggunakan istilah dan klasifikasi yang berbeda;
- risk, compliance, dan audit meminta data yang mirip secara terpisah;
- finding dan action plan belum terkonsolidasi;
- management menerima beberapa laporan tanpa hubungan yang jelas;
- business unit menghadapi banyak monitoring process yang overlap;
- data tersimpan dalam repository yang berbeda.
Pertanyaan self-check: Apakah satu issue yang sama dapat muncul dalam laporan risk, compliance, internal control, dan audit tanpa satu owner serta status tindak lanjut yang sama?
Jika ya, perusahaan kemungkinan masih memiliki karakteristik Siloed.
Prioritas pada tahap ini adalah alignment: common taxonomy, role clarity, consolidated issue management, reporting, dan coordination antar fungsi.
Level 3 – Managed: Proses Sudah Terstruktur dan Mulai Konsisten
Photo by ANTONI SHKRABA production on Pexels
Level Managed menunjukkan bahwa perusahaan telah memiliki policy, procedure, methodology, dan ownership yang lebih jelas.
Process mulai dijalankan dengan cara yang lebih konsisten dan tidak terlalu bergantung pada individu.
Indikasi umum:
- risk assessment dilakukan secara periodik;
- risk owner dan control owner lebih jelas;
- compliance monitoring memiliki schedule;
- issue dan action plan memiliki PIC serta due date;
- management report menggunakan format yang lebih standar;
- Three Lines mulai memiliki pembagian role yang lebih jelas;
- data dan evidence lebih terstruktur.
Pada level ini, challenge berikutnya adalah integrasi. Perusahaan sudah mampu menjalankan process, tetapi perlu memastikan governance, performance, risk, compliance, control, dan assurance bekerja dalam satu arah.
Pertanyaan self-check: Apakah management dapat melihat hubungan antara sasaran, risiko, kontrol, issue, dan tindak lanjut tanpa menggabungkan banyak laporan secara manual?
Jika belum, perusahaan mungkin berada pada Managed tetapi belum masuk ke tahap Transformed.
Level 4 – Transformed: GRC Mulai Terintegrasi dengan Bisnis
Photo by Thirdman on Pexels
Pada Level Transformed, GRC tidak lagi hanya menjadi aktivitas fungsi kontrol. Governance, risk, compliance, control, performance, dan assurance mulai terhubung dengan proses bisnis serta pengambilan keputusan.
Indikasinya antara lain:
- risk terhubung dengan objective dan KPI;
- compliance obligation terhubung dengan control;
- control weakness memengaruhi residual risk;
- audit finding terhubung dengan remediation;
- reporting dikonsolidasikan untuk management;
- data digunakan untuk monitoring dan trend analysis;
- perubahan context mendorong pembaruan risk dan control;
- technology mulai mendukung workflow dan traceability.
Pertanyaan self-check: Ketika terdapat perubahan strategi atau risiko material, apakah policy, risk assessment, control, KRI, dan reporting ikut diperbarui secara terkoordinasi?
Jika ya, perusahaan mulai menunjukkan karakteristik Transformed.
Prioritas tahap ini adalah memperkuat data quality, integrated reporting, analytics, assurance coordination, dan continuous improvement.
Level 5 – Proactive: GRC Mendukung Antisipasi dan Adaptasi
Photo by Thirdman on Pexels
Level Proactive menggambarkan kondisi ketika GRC tidak hanya digunakan untuk merespons masalah, tetapi juga membantu perusahaan mengantisipasi perubahan.
Capability pada level ini dapat terlihat dari:
- emerging risk dimonitor secara aktif;
- KRI dan Early Warning System digunakan untuk mendeteksi perubahan exposure;
- management menggunakan risk insight sebelum mengambil keputusan material;
- analytics digunakan untuk melihat trend dan pola;
- lesson learned diterjemahkan menjadi improvement;
- assurance dan monitoring lebih terkoordinasi;
- process dan control terus disesuaikan terhadap perubahan;
- budaya GRC telah melekat pada berbagai level organisasi.
Proactive bukan berarti organisasi dapat memprediksi seluruh risiko. Yang membedakan adalah kemampuan untuk mendeteksi signal, memahami implikasi, mengambil tindakan, dan belajar lebih cepat.
Pertanyaan self-check: Apakah Direksi menerima informasi yang dapat menunjukkan perubahan exposure sebelum dampaknya terlihat pada kinerja?
Jika capability tersebut sudah konsisten, perusahaan menunjukkan karakteristik maturity yang lebih tinggi.
Cara Menilai Posisi Maturitas Korporasi Anda
Self-assessment dapat menjadi titik awal, tetapi penilaian yang lebih objektif perlu menggunakan beberapa sumber evidence.
Dalam pendekatan assessment RWI, metode yang dapat digunakan meliputi:
- review dokumen untuk melihat policy, framework, SOP, report, evidence, dan dokumen pendukung;
- survei untuk memperoleh persepsi dari kelompok stakeholder yang berbeda;
- wawancara untuk menguji bagaimana process dijalankan dalam praktik;
- FGD untuk mengklarifikasi gap dan perbedaan perspektif;
- technical meeting untuk membahas parameter tertentu secara lebih mendalam;
- analisis evidence untuk memvalidasi apakah praktik benar-benar diterapkan.
Hasil dari metode tersebut tidak sebaiknya berdiri sendiri. Survei dapat menunjukkan persepsi positif, tetapi review evidence mungkin memperlihatkan bahwa process belum terdokumentasi secara konsisten. Sebaliknya, dokumen dapat terlihat lengkap tetapi wawancara menunjukkan praktik belum dipahami oleh business unit.
Karena itu, assessment perlu melakukan triangulation agar penilaian tidak hanya didasarkan pada satu sumber informasi.
Self-Check Cepat: 10 Pertanyaan untuk Menilai Kematangan GRC
Gunakan pertanyaan berikut sebagai diagnostic awal. Jawaban “ya” belum otomatis menentukan level, tetapi dapat membantu menemukan area yang perlu ditelaah lebih jauh.
- Apakah role Governance, Risk, Compliance, dan Internal Audit sudah jelas?
- Apakah risk owner benar-benar bertanggung jawab atas risiko dan mitigation?
- Apakah risk register terhubung dengan strategy dan KPI?
- Apakah compliance obligation memiliki owner, control, evidence, dan monitoring?
- Apakah control weakness mengubah penilaian residual risk?
- Apakah management menerima consolidated GRC reporting?
- Apakah KRI dan escalation threshold digunakan secara konsisten?
- Apakah finding memiliki PIC, due date, evidence, dan validation?
- Apakah technology mendukung traceability tanpa menggantikan governance?
- Apakah hasil review sebelumnya benar-benar digunakan untuk improvement?
Jika sebagian besar jawaban masih “belum” pada area foundation, organisasi kemungkinan masih berada pada tahap awal. Jika mayoritas process sudah konsisten tetapi belum terintegrasi, karakteristiknya lebih dekat dengan Managed. Jika data, process, reporting, dan decision-making sudah saling terhubung, organisasi dapat mulai menunjukkan karakteristik Transformed atau Proactive.
Process, People, dan Tools Harus Dinilai Bersamaan
Maturity GRC yang sehat tidak hanya berasal dari process yang baik. Assessment juga perlu melihat People dan Tools.
Process
Menilai governance, komunikasi, risk management, compliance, control, monitoring, learning, dan improvement.
People
Menilai competency, role clarity, integritas, ownership, awareness, dan kemampuan organisasi membangun capability secara berkelanjutan.
Tools
Menilai methodology dan sistem informasi yang mendukung decision-making, monitoring, reporting, dan assurance.
Ketidakseimbangan antar ketiganya dapat menghambat maturity. Misalnya, software sudah tersedia tetapi ownership lemah. Atau process sudah baik tetapi data dan reporting masih manual sehingga management insight terlambat.
Kenapa Hasil Self-Assessment Sering Terlalu Optimistis?
Self-assessment berguna, tetapi memiliki risiko bias.
Tim internal memahami process secara mendalam, namun kedekatan tersebut juga dapat membuat beberapa weakness terlihat normal. Selain itu, responden dapat menilai keberadaan policy sebagai bukti penerapan walaupun effectiveness belum diuji.
Beberapa penyebab hasil terlalu optimistis antara lain:
- penilaian terlalu mengandalkan dokumen;
- responden berasal dari fungsi yang sama;
- evidence tidak divalidasi;
- parameter maturity ditafsirkan berbeda;
- gap dianggap selesai hanya karena action sudah dilakukan;
- tidak ada pembandingan antara design dan operating effectiveness.
Assessment independen dapat membantu memberikan challenge dan consistency pada interpretasi parameter, terutama jika hasil akan digunakan untuk menentukan target dan roadmap organisasi.
Dari Score ke Gap Analysis
Setelah maturity level diketahui, pekerjaan belum selesai.
Perusahaan perlu memahami mengapa suatu area berada pada level tertentu.
Struktur analisis yang dapat digunakan adalah:
Current State -> Expected State -> Gap -> Root Cause -> Risk -> Recommendation
Contohnya, gap reporting tidak selalu diselesaikan dengan membuat dashboard. Root cause dapat berupa taxonomy yang berbeda, data owner yang tidak jelas, atau reporting requirement yang belum disepakati.
Gap analysis yang baik membantu perusahaan menghindari recommendation generik dan langsung mengarah pada perbaikan yang dapat dilaksanakan.
Menetapkan Target Maturity yang Realistis
Tidak semua area harus langsung ditargetkan ke Level 5.
Target maturity perlu mempertimbangkan:
- strategic importance;
- risk exposure;
- regulatory requirement;
- complexity organisasi;
- resource dan capability;
- technology readiness;
- dependency antar initiative.
Area yang sangat material dapat membutuhkan maturity lebih tinggi dibandingkan area dengan exposure terbatas.
Pendekatan seperti ini membuat roadmap lebih realistis sekaligus menjaga fokus pada capability yang memberikan dampak terbesar.
Hasil Assessment Harus Berujung pada Roadmap
Maturity assessment yang hanya menghasilkan skor akan sulit memberikan perubahan.
Output yang lebih berguna adalah ketika hasil penilaian diterjemahkan menjadi:
Gap -> Recommendation -> Priority -> Initiative -> Owner -> Milestone -> Evidence -> Target Maturity
Roadmap dapat membedakan quick wins, short-term improvement, medium-term integration, dan long-term transformation.
Quick wins dapat mencakup role clarification, common taxonomy, escalation mechanism, atau standardisasi reporting. Initiative jangka berikutnya dapat mencakup framework enhancement, integrated reporting, capability building, data improvement, hingga digitalisasi.
Untuk melihat penyusunan improvement secara bertahap, baca Roadmap Implementasi GRC.
Kapan Perusahaan Membutuhkan Assessment Maturitas GRC?
GRC Maturity Assessment relevan ketika perusahaan:
- belum pernah memiliki baseline maturity;
- ingin mengetahui efektivitas penerapan GRC existing;
- sedang melakukan transformasi governance atau risk management;
- menghadapi recurring finding;
- memiliki banyak fungsi GRC yang masih berjalan terpisah;
- ingin menyusun roadmap perbaikan berbasis evidence;
- ingin membandingkan progress dengan periode sebelumnya;
- membutuhkan dasar sebelum melakukan digitalisasi GRC.
Assessment juga dapat membantu management membedakan masalah framework dari masalah adoption. Keduanya membutuhkan jenis intervention yang berbeda.
Deliverables GRC Maturity Assessment
Deliverables dapat disesuaikan dengan scope, tetapi secara umum dapat mencakup:
- baseline GRC maturity level;
- hasil penilaian per komponen atau area;
- identifikasi praktik yang sudah berjalan;
- gap analysis;
- root cause dan area of improvement;
- recommendation;
- priority action;
- target maturity;
- roadmap peningkatan;
- materi sosialisasi dan knowledge transfer.
Untuk memahami proses penilaian secara lebih menyeluruh, lihat GRC Assessment dan Maturity Level.
Pendekatan RWI Consulting
RWI Consulting membantu perusahaan menilai tingkat kematangan GRC melalui kombinasi kaji dokumen, survei, wawancara, FGD, technical meeting, analisis evidence, gap analysis, recommendation, dan roadmap.
Assessment diarahkan untuk memperoleh gambaran objektif kondisi aktual, bukan sekadar menghasilkan skor.
Hasil kemudian digunakan untuk mengidentifikasi gap antara current maturity dan target maturity serta menyusun prioritas perbaikan yang lebih terarah.
Pendekatan juga mempertimbangkan Process, People, dan Tools agar rekomendasi tidak hanya berfokus pada penyempurnaan dokumen, tetapi pada capability organisasi secara keseluruhan.
FAQ 5 Tingkat Kematangan GRC
Apa saja 5 tingkat kematangan GRC?
Dalam model yang digunakan pada artikel ini, lima tingkat tersebut adalah Initial, Siloed, Managed, Transformed, dan Proactive.
Apa perbedaan Initial dan Siloed?
Initial menunjukkan komponen masih parsial atau ad hoc, sedangkan Siloed menunjukkan komponen sudah lebih lengkap tetapi berjalan terpisah dan belum selaras.
Apa ciri perusahaan pada level Managed?
Policy, procedure, methodology, ownership, dan monitoring sudah lebih terstruktur serta dijalankan secara relatif konsisten.
Apa yang membedakan Transformed dari Managed?
Pada Transformed, berbagai komponen GRC sudah lebih terintegrasi dengan strategy, performance, control, reporting, dan decision-making.
Apakah Level Proactive berarti perusahaan tidak lagi memiliki risiko?
Tidak. Level Proactive menunjukkan capability yang lebih baik dalam mengantisipasi perubahan, mendeteksi signal, merespons exposure, dan melakukan continuous improvement.
Apakah self-assessment cukup untuk menetapkan maturity level?
Self-assessment berguna untuk diagnostic awal. Penetapan yang lebih objektif membutuhkan evidence, review dokumen, survei, wawancara, dan validasi.
Apakah perusahaan harus menargetkan Level 5?
Tidak selalu. Target maturity perlu disesuaikan dengan risk, strategic importance, regulatory exposure, complexity, dan resource.
Apa output utama GRC Maturity Assessment?
Output dapat mencakup maturity level, gap analysis, recommendation, priority action, target maturity, dan roadmap peningkatan.
Ukur Maturitas Sebelum Menentukan Program Perbaikan
Program GRC akan lebih efektif ketika perusahaan mengetahui baseline-nya terlebih dahulu.
RWI Consulting dapat membantu melakukan GRC Maturity Assessment untuk mengidentifikasi posisi aktual, gap, target maturity, dan roadmap peningkatan yang relevan dengan kebutuhan korporasi.
Jika organisasi sedang mengevaluasi efektivitas penerapan GRC atau membutuhkan assessment independen sebagai dasar improvement, assessment maturitas dapat menjadi langkah awal sebelum menentukan program implementasi berikutnya.
