Apa Itu GRC?

Photo by Monstera Production on Pexels

GRC adalah Governance, Risk, and Compliance, yaitu pendekatan terintegrasi untuk membantu organisasi mencapai tujuan, mengelola ketidakpastian, dan menjalankan aktivitas dengan integritas. Dalam panduan ini, istilah GRC secara khusus merujuk pada Governance, Risk, and Compliance dalam konteks bisnis dan organisasi, bukan GRC sebagai istilah material bangunan.

GRC menghubungkan tata kelola, manajemen risiko, kepatuhan, pengendalian internal, kinerja, assurance, reporting, data, teknologi, dan pengambilan keputusan. Tujuan akhirnya bukan sekadar membuat organisasi memiliki lebih banyak kebijakan, tetapi memastikan seluruh mekanisme pengelolaan perusahaan bekerja dalam arah yang sama.

OCEG mendefinisikan GRC sebagai kumpulan kapabilitas yang terintegrasi yang memungkinkan organisasi mencapai sasaran secara andal, menangani ketidakpastian, dan bertindak dengan integritas. Konsep tersebut dikenal sebagai Principled Performance. Dengan perspektif ini, GRC bukan nama satu departemen dan bukan sekadar software. GRC adalah capability yang melibatkan people, process, technology, dan information.

Dalam organisasi yang belum terintegrasi, governance dapat berjalan sendiri, risk management memiliki risk register sendiri, compliance memiliki monitoring sendiri, internal audit memiliki finding sendiri, sedangkan management menerima berbagai laporan dengan taxonomy dan prioritas yang berbeda. GRC mengurangi fragmentasi tersebut dengan membangun hubungan yang lebih jelas antara objective, performance, risk, obligation, control, issue, assurance, reporting, dan decision.

Karena itu, pembahasan GRC yang lengkap harus melihat keseluruhan sistem: siapa yang memberikan arah, siapa yang memiliki risiko, siapa yang memonitor kepatuhan, siapa yang memberi assurance, bagaimana data dikonsolidasikan, bagaimana issue dieskalasikan, dan bagaimana management menggunakan informasi tersebut untuk mengambil keputusan.

Baca juga: Tata Kelola Risiko Kepatuhan: Cara Memahami Sistem GRC Terintegrasi

Pengertian GRC Menurut OCEG

Photo by Markus Spiske on Pexels

OCEG menjelaskan GRC sebagai integrated collection of capabilities yang memungkinkan organisasi mencapai Principled Performance. Fokusnya tidak berhenti pada tiga kata Governance, Risk, dan Compliance, tetapi pada integrasi governance, management, dan assurance atas performance, risk, dan compliance.

Konsep ini penting karena organisasi modern tidak dapat lagi mengelola risiko dan kepatuhan sebagai aktivitas yang sepenuhnya terpisah. Strategic decision dapat memiliki konsekuensi terhadap risk exposure, compliance obligation, internal control, reputasi, data, dan stakeholder. Karena itu, informasi yang digunakan untuk mengambil keputusan juga perlu saling terhubung.

Dalam GRC Capability Model, organisasi melihat capability melalui siklus Learn, Align, Perform, dan Review. Learn berfokus pada pemahaman konteks, culture, dan stakeholder. Align menghubungkan objective, strategy, decision criteria, risk, serta requirement. Perform menerjemahkan arah tersebut menjadi action dan control. Review memastikan design dan operating effectiveness tetap relevan serta dapat diperbaiki secara berkelanjutan.

Struktur ini menjelaskan bahwa GRC bukan hanya compliance program. Governance memberi direction, risk membantu memahami uncertainty, compliance memastikan conformity terhadap obligation, control mendukung execution, dan assurance memberikan keyakinan independen atas effectiveness.

RWI menggunakan prinsip serupa dalam materi GRC internalnya: GRC diposisikan sebagai pendekatan komprehensif untuk mengintegrasikan tata kelola, manajemen risiko, kepatuhan, performance, assurance, dan pengambilan keputusan agar organisasi mampu menciptakan dan melindungi nilai secara berkelanjutan.

Baca juga: Sertifikasi Auditor GRC: Kompetensi Penting untuk Audit Tata Kelola, Risiko, dan Kepatuhan

Mengapa Pendekatan Silo dalam GRC Tidak Lagi Cukup?

Photo by Raven Zhou on Pexels

Pendekatan silo terjadi ketika setiap fungsi membangun process, taxonomy, data, dan reporting sendiri tanpa koneksi yang cukup dengan fungsi lain. Kondisi ini tidak selalu berarti fungsi tersebut buruk. Masalahnya muncul ketika management harus menggabungkan informasi yang tidak menggunakan struktur yang sama.

Contohnya, fungsi strategy menetapkan KPI, fungsi risk mengidentifikasi top risk, compliance memonitor regulatory obligation, internal control menemukan control weakness, dan internal audit menerbitkan finding. Jika kelima informasi tersebut tidak dihubungkan, organisasi dapat kehilangan konteks.

Beberapa gejala silo yang sering muncul antara lain:

• risk register tidak terhubung dengan strategic objective dan KPI;
• compliance monitoring berjalan tanpa prioritas berbasis risiko;
• control issue tidak memengaruhi residual risk;
• audit finding ditutup secara administratif tanpa melihat root cause lintas proses;
• committee menerima laporan yang berbeda tanpa common taxonomy;
• data governance, risk, dan compliance tersimpan di repository yang berbeda;
• management menerima banyak laporan tetapi tetap sulit mengetahui issue yang paling material.

Integrated GRC mencoba mengatasi kondisi tersebut dengan membuat koneksi. Objective dikaitkan dengan risk. Risk dikaitkan dengan control. Obligation dikaitkan dengan compliance risk dan evidence. Finding dikaitkan dengan remediation. Seluruhnya kemudian dirangkum menjadi reporting yang membantu management memahami apa yang memerlukan keputusan atau eskalasi.

Dengan demikian, nilai GRC bukan pada jumlah dokumen yang dimiliki organisasi, tetapi pada kualitas hubungan antara governance, performance, risk, compliance, control, dan assurance.

Baca juga: GRC Compliance: Framework, Regulatory Mapping, Risiko Kepatuhan, dan Internal Control

Anatomi Tiga Pilar Utama GRC

Photo by Roy Serafin on Pexels

GRC terdiri dari tiga pilar yang berbeda namun saling berhubungan: Governance, Risk, dan Compliance. Untuk memahami GRC secara utuh, organisasi perlu memahami tujuan masing-masing pilar sekaligus titik integrasinya.

1. Governance: ISO 37000

Governance menentukan bagaimana organisasi diarahkan, diawasi, dan dipertanggungjawabkan. ISO 37000:2021 memberikan guidance mengenai governance of organizations dan membantu governing body memahami bagaimana organisasi diarahkan agar dapat memenuhi purpose serta responsibility kepada stakeholder.

Dalam praktik GRC, governance mencakup struktur, decision rights, accountability, delegation, committee, policy, oversight, ethical direction, reporting, dan management review.

Governance menjawab pertanyaan seperti: siapa yang berwenang mengambil keputusan, siapa yang mengawasi, apa batas kewenangan, bagaimana issue dieskalasikan, dan bagaimana organisasi memastikan keputusan tetap selaras dengan tujuan dan nilai.

Governance yang efektif bukan berarti menambah sebanyak mungkin komite atau policy. Governance perlu memastikan accountability jelas, information flow tepat, dan decision-making berjalan pada level yang sesuai.

2. Risk: ISO 31000

Risk management membantu organisasi mengelola uncertainty terhadap objective. ISO 31000:2018 memberikan principles, framework, dan process untuk mengidentifikasi, menganalisis, mengevaluasi, menangani, memonitor, dan mengomunikasikan risiko.

Dalam GRC, risk management perlu terhubung dengan strategy dan performance. Risk register bukan tujuan akhir. Informasi risiko seharusnya membantu management memahami apa yang dapat menghambat atau mendukung pencapaian sasaran, berapa exposure yang dapat diterima, control apa yang tersedia, dan treatment apa yang perlu diprioritaskan.

ISO 31000 merupakan guidance dan bukan standar sertifikasi organisasi. Nilainya dalam GRC adalah menyediakan bahasa dan kerangka yang konsisten untuk mengintegrasikan risk management ke governance, planning, decision-making, dan performance.

3. Compliance: ISO 37301

Compliance memastikan organisasi memenuhi obligation yang relevan, baik berasal dari peraturan perundang-undangan, regulator, kontrak, kebijakan internal, maupun commitment yang dipilih organisasi.

ISO 37301:2021 merupakan standar compliance management systems yang memuat requirements dan guidance untuk membangun, menerapkan, mengevaluasi, memelihara, dan meningkatkan compliance management system.

Dalam GRC, compliance sebaiknya risk-based dan proportional. Organisasi tidak cukup hanya memiliki daftar regulasi. Kewajiban perlu diterjemahkan menjadi owner, control, evidence, monitoring, issue management, escalation, reporting, dan continual improvement.

Ketiga pilar bertemu ketika governance menentukan arah, risk membantu membaca uncertainty, dan compliance menjaga agar pencapaian sasaran tetap berada dalam batas kewajiban serta integritas yang diharapkan.

Urgensi GRC dalam Regulasi Indonesia

Photo by Tom Fisk on Pexels

Di Indonesia, istilah GRC semakin relevan karena berbagai regulasi telah mengatur elemen-elemen governance, risk management, compliance, internal control, information technology, dan reporting secara lebih terstruktur. Tidak semua regulasi menggunakan istilah GRC secara eksplisit, tetapi requirement yang diatur membentuk komponen yang perlu diintegrasikan oleh organisasi.

GRC pada BUMN dan PER-2/MBU/03/2023

Untuk BUMN, PER-2/MBU/03/2023 tentang Pedoman Tata Kelola dan Kegiatan Korporasi Signifikan Badan Usaha Milik Negara menjadi salah satu rujukan utama. Regulasi tersebut mengatur area seperti prinsip tata kelola BUMN, penerapan manajemen risiko, penilaian tingkat kesehatan, perencanaan strategis, kegiatan korporasi signifikan, penyelenggaraan teknologi informasi, dan pelaporan.

Dalam implementasi, requirement tersebut tidak ideal jika dikelola sebagai checklist yang terpisah. Governance perlu terhubung dengan risk management, strategic planning, IT governance, performance, dan reporting. Di sinilah pendekatan integrated GRC menjadi relevan: organisasi membangun common structure agar berbagai requirement dapat dikelola dalam satu operating model yang konsisten.

Bagi grup usaha, tantangannya menjadi lebih kompleks karena governance, risk, dan compliance harus memperhatikan hubungan perusahaan induk, anak perusahaan, fungsi pengawasan, fungsi risiko, internal audit, dan mekanisme pelaporan yang terintegrasi.

GRC pada Sektor Finansial dan POJK

Di sektor jasa keuangan, OJK mengatur berbagai elemen yang menjadi inti GRC melalui regulasi sektoral. Sebagai contoh, POJK Nomor 17 Tahun 2023 tentang Penerapan Tata Kelola bagi Bank Umum menegaskan kewajiban bank menerapkan tata kelola yang baik, termasuk fungsi kepatuhan, audit intern, audit ekstern, manajemen risiko, integritas pelaporan, teknologi informasi, strategi antifraud, dan area governance lainnya.

Untuk manajemen risiko bank umum, POJK 18/POJK.03/2016 mengatur penerapan manajemen risiko. Regulasi seperti ini menunjukkan bahwa sektor finansial membutuhkan struktur governance, risk management, compliance, assurance, dan reporting yang saling mendukung.

Karena setiap subsektor memiliki ketentuan yang berbeda, organisasi sebaiknya tidak menggunakan satu compliance checklist generik. Regulatory mapping perlu disesuaikan dengan jenis entitas, aktivitas, produk, dan kewajiban yang berlaku.

GRC dan UU Pelindungan Data Pribadi

UU Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi menambah dimensi penting pada GRC karena data tidak lagi hanya menjadi isu IT. Pelindungan data pribadi berkaitan dengan governance, legal obligation, risk management, access control, process, accountability, incident management, evidence, dan reporting.

Bagi organisasi yang memproses data pribadi, governance perlu menentukan ownership dan accountability. Risk management perlu menilai exposure. Compliance perlu memonitor obligation. Technology perlu menerapkan control. Internal audit atau assurance kemudian dapat menilai efektivitasnya.

Contoh tersebut menunjukkan mengapa GRC harus bersifat lintas fungsi. Risiko regulasi, teknologi, data, reputasi, dan operasional sering muncul dari proses yang sama dan tidak dapat dikelola secara efektif apabila setiap fungsi hanya melihat bagiannya sendiri.

Rujukan regulasi utama: PER-2/MBU/03/2023; POJK Nomor 17 Tahun 2023; POJK 18/POJK.03/2016; UU Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi.

Struktur Operasional GRC dan Three Lines Model

Photo by Ann H on Pexels

GRC membutuhkan struktur operasional yang menjelaskan accountability, action, oversight, dan assurance. Salah satu rujukan yang banyak digunakan adalah The IIA Three Lines Model.

Model ini membedakan peran governing body, management, dan internal audit. Di dalam management terdapat first line dan second line, sedangkan internal audit menjalankan third line.

Lini Pertama: Business dan Operational Ownership

First line merupakan pihak yang menjalankan aktivitas bisnis serta memiliki risiko dan control dalam proses sehari-hari. Risk owner dan control owner pada umumnya berada pada lini ini karena mereka paling dekat dengan aktivitas yang menghasilkan exposure.

Tanggung jawab first line tidak dapat dipindahkan sepenuhnya kepada fungsi risk atau compliance. Jika business unit hanya menunggu arahan second line, GRC akan berubah menjadi proses administratif.

Lini Kedua: Risk, Compliance, dan Oversight Support

Second line memberikan expertise, support, monitoring, methodology, policy, challenge, dan reporting untuk area risk-related. Fungsi risk management, compliance, internal control, information security, atau fungsi oversight lain dapat menjalankan peran ini sesuai operating model perusahaan.

Second line membantu first line menjalankan responsibility dengan framework dan monitoring yang lebih konsisten. Namun second line tidak mengambil alih ownership risiko dari business.

Lini Ketiga: Independent Assurance

Third line dijalankan oleh internal audit yang memberikan independent and objective assurance serta advice mengenai governance, risk management, dan internal control.

Independence menjadi pembeda penting. Internal audit tidak seharusnya menjadi owner process yang kemudian diauditnya sendiri tanpa safeguard yang memadai.

Peran Direksi, Dewan Komisaris, dan Komite GRC

Direksi membangun dan mengarahkan sistem GRC, memastikan resource tersedia, dan menggunakan GRC information dalam decision-making. Dewan Komisaris atau governing body melakukan oversight terhadap effectiveness, termasuk risk exposure, compliance, control, dan assurance.

Beberapa organisasi membentuk Komite GRC atau komite eksekutif dengan mandat untuk mengonsolidasikan informasi Governance, Risk, dan Compliance. Komite tersebut dapat membantu apabila memiliki decision rights, agenda, membership, dan reporting yang jelas.

Komite GRC bukan tujuan akhir. Organisasi tidak perlu membentuk forum baru jika fungsi existing sudah dapat memberikan koordinasi dan oversight yang efektif. Yang lebih penting adalah tersedianya alignment, communication, coordination, collaboration, dan escalation.

Framework GRC: Bagaimana GRC Bekerja sebagai Sistem

Photo by Fernando Narvaez on Pexels

Framework GRC menjelaskan bagaimana objective, governance, risk, compliance, control, performance, dan assurance saling terhubung. Kerangka yang efektif perlu cukup sederhana untuk digunakan tetapi cukup kuat untuk menjaga accountability.

Salah satu cara memahami alurnya adalah:

Context → Objective → Governance → Risk & Opportunity → Compliance Obligation → Control → Performance → Monitoring → Assurance → Reporting → Decision → Improvement

Context mencakup lingkungan internal dan eksternal. Objective menjelaskan hasil yang ingin dicapai. Governance menetapkan direction dan accountability. Risk management membaca uncertainty. Compliance mengidentifikasi obligation. Control membantu menjaga execution. Monitoring dan assurance menilai effectiveness. Reporting membawa informasi ke management, sedangkan improvement memperbaiki sistem berdasarkan hasil evaluasi.

Kerangka tersebut perlu diterjemahkan ke policy, role, process, data, forum, threshold, reporting, dan technology. Tanpa operating mechanism, framework hanya menjadi diagram.

Untuk pembahasan lebih dalam mengenai tahapan penerapan, lihat panduan GRC Implementation.

Langkah Implementasi GRC dari Assessment hingga Improvement

Photo by RDNE Stock project on Pexels

Implementasi GRC biasanya dimulai dari pemahaman current state. Organisasi perlu mengetahui apa yang sudah berjalan, apa yang belum konsisten, dan area mana yang paling berisiko.

1. Menetapkan Context dan Objective

Identifikasi business model, strategic objective, stakeholder, regulation, internal policy, culture, technology landscape, dan risk profile. Tahap ini memastikan implementasi tidak menggunakan template yang terlepas dari kebutuhan organisasi.

2. Current-State Assessment

Review dilakukan terhadap governance structure, committee, Three Lines, risk management, compliance, internal control, reporting, data, technology, competency, dan assurance.

3. Gap Analysis

Kondisi existing dibandingkan dengan regulatory requirement, internal expectation, framework, dan target maturity. Gap perlu menjelaskan current state, expected state, risk, root cause, dan recommendation.

4. Target Operating Model

Organisasi menentukan bagaimana GRC akan bekerja: siapa owner, siapa oversight, apa forum, bagaimana reporting, bagaimana data mengalir, dan kapan issue dieskalasikan.

5. Framework dan Policy Development

Governance, risk, compliance, internal control, dan reporting framework kemudian diperkuat atau diselaraskan. Pada tahap ini organisasi juga dapat mengembangkan compliance policy, risk taxonomy, risk appetite, control framework, dan reporting structure.

6. Roadmap dan Prioritas

Recommendation diterjemahkan menjadi quick wins, short-term, medium-term, dan long-term initiative. Setiap initiative perlu memiliki owner, timeline, milestone, dependency, output, dan success indicator.

7. Implementation, Change, dan Capability Building

Framework mulai digunakan dalam aktivitas perusahaan. Training, awareness, communication, coaching, dan management reinforcement diperlukan agar GRC tidak berhenti di second line.

8. Monitoring, Assurance, dan Continual Improvement

Monitoring melihat apakah action berjalan. Assurance menilai effectiveness. Management review melihat apakah framework masih relevan. Hasilnya menjadi input improvement cycle berikutnya.

Implementasi yang baik bergerak dari dokumentasi menuju effectiveness: dari reactive menjadi proactive, dari checklist-driven menjadi risk-informed, dan dari silo menjadi integrated.

Teknologi dan Digitalisasi GRC

GRC tidak identik dengan software, tetapi teknologi dapat memperkuat visibility, consistency, traceability, dan speed ketika process dan governance sudah cukup jelas. Digitalisasi membantu organisasi mengelola data GRC yang sebelumnya tersebar di spreadsheet, email, dokumen, dan aplikasi yang berbeda.

Dalam arsitektur GRC terintegrasi, tiga alur utama biasanya dapat dihubungkan.

Governance dapat mencakup organization structure, policy, governance document, program monitoring, finding, action plan, dan governance dashboard.

Risk Management dapat mencakup risk appetite, risk tolerance, risk register, assessment, control, treatment, KRI, Early Warning System, dan risk dashboard.

Legal & Compliance dapat mencakup regulation inventory, obligation, compliance assessment, evidence, scoring, corrective action, dan compliance dashboard.

Ketiga alur tersebut dapat dikonsolidasikan menjadi executive GRC cockpit atau management dashboard. Tujuannya bukan mengganti seluruh source system, tetapi menghubungkan data yang diperlukan untuk monitoring dan decision-making.

Peran SIMR dalam GRC

Sistem Informasi Manajemen Risiko atau SIMR membantu organisasi mengelola risk lifecycle secara lebih terstruktur. SIMR dapat mendukung risk register, assessment, treatment, control, loss event, KRI, approval, reporting, dan audit trail.

Dalam konteks GRC, SIMR menjadi salah satu komponen risk management yang perlu terhubung dengan governance, compliance, performance, dan data lain jika organisasi ingin membangun integrated view.

Dashboard KRI dan Early Warning

Key Risk Indicator membantu organisasi memonitor perubahan exposure melalui indikator yang memiliki threshold atau trigger tertentu. Ketika KRI mendekati atau melewati batas, system dapat membantu memberikan warning dan memicu escalation.

Dashboard KRI akan lebih berguna apabila indikatornya dikaitkan dengan risk owner, risk appetite, treatment, KPI, dan escalation mechanism. Dashboard yang hanya menampilkan warna tanpa decision rule dapat menciptakan false sense of control.

Data, Integration, dan Audit Trail

Platform GRC yang matang perlu memperhatikan data model, master data, integration, validation, access, audit trail, evidence management, dan reconciliation.

Role-Based Access Control, segregation of duties, approval history, activity log, dan evidence tracking menjadi penting karena informasi GRC sering mengandung data sensitif serta keputusan yang perlu dapat ditelusuri.

Untuk pembahasan arsitektur dan digitalisasi, lihat Platform GRC Terintegrasi dan GRC Software Solution.

GRC Maturity: Mengukur Seberapa Matang Penerapan GRC

GRC maturity membantu organisasi memahami apakah praktik GRC masih bersifat ad hoc atau telah menjadi capability yang terintegrasi dan terus dioptimalkan.

Salah satu model sederhana yang dapat digunakan membagi maturity menjadi lima level.

Level 1 – Awareness

Pemahaman GRC masih terbatas. Policy, role, dan process belum lengkap atau masih sangat bergantung pada individu.

Level 2 – Defined

Policy dan process mulai didefinisikan. Namun penerapan belum konsisten dan integration antar fungsi masih terbatas.

Level 3 – Managed

Process telah diterapkan secara aktif, ownership lebih jelas, monitoring mulai berjalan, dan management mulai menggunakan informasi GRC.

Level 4 – Integrated

Governance, risk, compliance, control, performance, dan reporting telah terhubung dengan proses bisnis yang lebih luas. Data dan decision-making menjadi lebih konsisten.

Level 5 – Optimized

GRC dievaluasi dan ditingkatkan secara berkelanjutan. Organisasi menggunakan insight, analytics, automation, dan continuous improvement untuk meningkatkan effectiveness.

Maturity tidak seharusnya hanya menilai kelengkapan dokumen. Organisasi perlu melihat design dan operating effectiveness, adoption, quality data, role clarity, decision usage, culture, serta kemampuan melakukan improvement.

Hubungan GRC Maturity dengan RMI

Dalam konteks BUMN, Risk Maturity Index atau RMI digunakan untuk menilai kematangan penerapan manajemen risiko. RMI tidak sama dengan keseluruhan GRC maturity, tetapi dapat menjadi komponen penting karena risk management merupakan salah satu pilar GRC.

Assessment maturity dapat melihat area seperti budaya dan kapabilitas risiko, organisasi dan tata kelola, framework risiko dan kepatuhan, proses dan control, serta model, data, dan teknologi risiko. Hasil assessment kemudian digunakan untuk menentukan gap dan improvement roadmap.

Untuk pembahasan lebih mendalam, lihat GRC Assessment: Panduan Lengkap.

Kompetensi SDM dalam GRC

GRC yang baik membutuhkan orang yang memahami governance, risk, compliance, control, assurance, dan hubungan antar area tersebut. Framework yang baik tetap dapat gagal jika role tidak dipahami atau competency pengguna belum memadai.

Capability building perlu disesuaikan dengan level dan tanggung jawab.

• Board dan executive membutuhkan perspektif oversight, accountability, risk appetite, culture, dan decision-making.
• Management membutuhkan kemampuan mengintegrasikan objective, performance, risk, compliance, dan control.
• Risk dan compliance professional membutuhkan methodology, monitoring, analysis, reporting, dan challenge skill.
• Internal audit membutuhkan assurance capability dan pemahaman integrated risk-control environment.
• Risk owner dan control owner membutuhkan pemahaman praktis untuk menjalankan responsibility pada process sehari-hari.

Pelatihan dapat membantu membangun common language. Sertifikasi profesi dapat digunakan untuk memvalidasi kompetensi pada level tertentu apabila skema dan lembaga penerbit relevan dengan kebutuhan organisasi.

Di Indonesia, jalur sertifikasi kompetensi berlisensi BNSP dapat menjadi salah satu pilihan untuk memperkuat pengakuan kompetensi profesional. Level dapat disesuaikan dengan kebutuhan, mulai dari fondasi GRC, implementasi atau managerial, audit dan assurance, hingga executive.

Untuk memahami jalur kompetensi dan sertifikasi secara lebih rinci, lihat Apa Itu Sertifikasi GRC?.

Budaya GRC: Mengapa Policy Saja Tidak Cukup?

Banyak kegagalan governance dan compliance tidak terjadi karena organisasi sama sekali tidak memiliki aturan. Masalah sering muncul karena aturan tidak diterjemahkan menjadi behavior yang konsisten.

Culture memengaruhi bagaimana orang mengambil keputusan ketika menghadapi tekanan target, conflict of interest, deadline, atau trade-off. Karena itu, GRC perlu memperhatikan tone from the top sekaligus tone in the middle.

Direksi dapat menetapkan value dan policy, tetapi manager pada level operasional menentukan bagaimana value tersebut diterjemahkan dalam aktivitas sehari-hari. Jika message antara level pimpinan dan praktik lapangan berbeda, compliance blind spot dapat muncul.

Budaya GRC dapat diperkuat melalui:

• leadership behavior yang konsisten;
• clear accountability;
• incentive yang tidak mendorong excessive risk-taking;
• whistleblowing dan speak-up mechanism;
• training dan communication;
• fair consequence management;
• management review terhadap recurring issue;
• integrasi risk dan compliance ke performance discussion.

Culture juga perlu diukur melalui behavior indicator, survey, incident, recurring finding, escalation pattern, dan management action. Dengan demikian, organisasi dapat melihat apakah GRC benar-benar hidup dalam decision-making.

GRC Reporting: Dari Data Menjadi Management Insight

Integrated GRC membutuhkan reporting yang membantu management memahami hubungan antara performance, risk, compliance, control, dan assurance.

GRC reporting dapat menghubungkan:

• strategic objective dan KPI;
• top risk dan perubahan exposure;
• risk appetite dan tolerance;
• compliance obligation dan exception;
• control weakness;
• audit finding;
• incident dan loss event;
• remediation dan action plan;
• emerging risk;
• decision atau escalation yang dibutuhkan.

Management tidak membutuhkan seluruh data mentah. Mereka membutuhkan insight yang material, tepat waktu, dapat ditelusuri, dan memiliki owner.

Karena itu, reporting design perlu menetapkan audience, frequency, threshold, data source, owner, evidence, dan decision rule. Board-level reporting akan berbeda dengan operational dashboard.

Integrated reporting juga membantu mengurangi duplicate report. Satu data source dapat digunakan untuk berbagai kebutuhan apabila taxonomy dan data governance sudah konsisten.

Roadmap GRC: Dari Current State ke Target Capability

GRC tidak dibangun dalam satu tahap. Organisasi memerlukan roadmap agar transformation berjalan realistis dan dapat dimonitor.

Roadmap biasanya membagi initiative menjadi beberapa horizon.

Quick Wins dapat mencakup penetapan owner, standardisasi taxonomy, simplifikasi reporting, atau alignment committee.

Short-Term dapat mencakup policy improvement, compliance framework, risk reporting, control mapping, dan Three Lines alignment.

Medium-Term dapat mencakup integrated reporting, consolidated issue management, competency development, dan common data model.

Long-Term dapat mencakup digital workflow, analytics, automation, integrated dashboard, dan continuous assurance.

Setiap initiative perlu memiliki objective, owner, milestone, dependency, deliverable, target date, success indicator, dan evidence of completion.

Roadmap yang baik membedakan status Completed dan Validated. Activity yang selesai belum tentu effective. Validation diperlukan untuk memastikan improvement benar-benar mengurangi gap atau meningkatkan capability.

Untuk detail implementasi, gunakan GRC Implementation sebagai hub lanjutan.

Layanan Pendampingan GRC dari RWI Consulting

RWI Consulting membantu organisasi membangun dan meningkatkan GRC melalui pendekatan yang menghubungkan governance, risk, compliance, internal control, performance, reporting, technology, dan assurance.

Ruang lingkup pendampingan dapat mencakup:

• current-state assessment dan GRC gap analysis;
• governance structure dan committee review;
• risk management framework enhancement;
• compliance framework development;
• internal control mapping;
• Three Lines alignment;
• Governance Oversight dan Risk & Compliance Reporting;
• GRC maturity assessment;
• roadmap implementation;
• GRC digitalization dan business requirement;
• dashboard, KRI, dan executive reporting;
• capability building dan knowledge transfer.

Pendekatan RWI dimulai dari current context dan evidence, kemudian mengembangkan target model yang sesuai dengan maturity dan kebutuhan organisasi. Tujuannya bukan membuat framework yang terlalu kompleks, tetapi membangun GRC yang practical, traceable, risk-based, dan dapat digunakan dalam management decision.

Untuk layanan pendampingan, lihat Konsultan GRC.

FAQ tentang GRC

Apa kepanjangan GRC?

GRC adalah singkatan dari Governance, Risk, and Compliance. Dalam konteks organisasi, GRC menghubungkan tata kelola, manajemen risiko, kepatuhan, control, performance, dan assurance agar perusahaan dapat mencapai tujuan secara lebih konsisten dan bertanggung jawab.

Apa itu GRC dalam perusahaan?

GRC dalam perusahaan adalah pendekatan untuk menyatukan struktur governance, risk management, compliance obligation, internal control, monitoring, reporting, dan assurance. Tujuannya adalah mengurangi silo dan memberikan management information yang lebih terintegrasi.

Apakah GRC sama dengan ERM?

Tidak. Enterprise Risk Management atau ERM berfokus pada pengelolaan risiko perusahaan. GRC memiliki cakupan lebih luas karena menghubungkan ERM dengan governance, compliance, internal control, performance, dan assurance. ERM dapat menjadi salah satu komponen inti dalam kerangka GRC.

Apa bedanya GRC dan compliance?

Compliance hanya salah satu pilar GRC. Compliance berfokus pada pemenuhan obligation, sedangkan GRC menghubungkan compliance dengan governance, risk, control, performance, dan decision-making. Compliance yang matang sebaiknya menggunakan pendekatan risk-based dan tidak berhenti pada checklist.

Siapa yang bertanggung jawab atas GRC?

GRC merupakan tanggung jawab organisasi secara kolektif dengan peran yang berbeda. Governing body melakukan oversight, Direksi memberikan direction, first line memiliki risiko dan control dalam proses bisnis, second line memberikan expertise dan monitoring, sedangkan internal audit memberikan independent assurance.

Apakah perusahaan harus memiliki Komite GRC?

Tidak selalu. Komite GRC dapat membantu integrasi apabila organisasi membutuhkan forum lintas fungsi. Namun efektivitas lebih penting daripada nama komite. Jika forum existing sudah memiliki mandate, information flow, decision rights, dan escalation yang memadai, organisasi tidak harus menambah struktur baru.

Apakah GRC membutuhkan software?

Tidak. GRC dapat dimulai tanpa software melalui governance, policy, process, role, reporting, dan monitoring yang jelas. Software menjadi accelerator ketika organisasi membutuhkan workflow, data consolidation, audit trail, dashboard, KRI, compliance monitoring, dan integration pada skala yang lebih besar.

Apa itu GRC software?

GRC software adalah aplikasi yang mendukung proses governance, risk, compliance, control, evidence, issue, workflow, monitoring, dan reporting. GRC software tidak menggantikan accountability manusia. Technology memperkuat process yang sudah dirancang dengan baik.

Apa itu GRC maturity?

GRC maturity adalah ukuran tingkat perkembangan capability GRC, mulai dari praktik yang masih ad hoc hingga sistem yang terintegrasi dan terus dioptimalkan. Penilaiannya sebaiknya mencakup process, people, data, technology, culture, governance, dan effectiveness.

Bagaimana cara mulai menerapkan GRC?

Mulai dari context dan objective, lakukan current-state assessment, identifikasi gap, tentukan target state, perjelas role Three Lines, susun framework, prioritaskan roadmap, lakukan capability building, dan bangun monitoring. Digitalisasi sebaiknya dilakukan setelah process dan data cukup matang.

Apa hubungan GRC dengan Three Lines Model?

Three Lines Model membantu menjelaskan pembagian role dalam governance dan risk management. First line menjalankan bisnis dan mengelola risiko, second line memberikan support, monitoring, dan challenge, sedangkan third line melalui internal audit memberikan independent assurance.

Apa hubungan GRC dengan ISO 37000, ISO 31000, dan ISO 37301?

ISO 37000 memberikan guidance mengenai governance of organizations, ISO 31000 memberikan guidance mengenai risk management, sedangkan ISO 37301 menetapkan requirements dan guidance untuk compliance management systems. Ketiganya dapat menjadi rujukan untuk membangun pilar GRC secara lebih terstruktur.

Apa regulasi GRC yang relevan di Indonesia?

Tidak terdapat satu regulasi GRC universal untuk seluruh organisasi. Requirement bergantung pada sektor dan jenis entitas. Untuk BUMN, PER-2/MBU/03/2023 menjadi rujukan penting pada governance dan risk management. Di sektor perbankan terdapat berbagai POJK terkait tata kelola dan manajemen risiko. UU Nomor 27 Tahun 2022 menambahkan obligation terkait pelindungan data pribadi yang juga perlu diintegrasikan dalam governance, risk, dan compliance.

Apa manfaat utama GRC?

GRC membantu organisasi meningkatkan kualitas decision-making, memperjelas accountability, mengurangi duplicate activity, meningkatkan visibility terhadap risk dan compliance, memperkuat control, meningkatkan assurance, dan mendukung continuous improvement.

Kesimpulan: GRC adalah Sistem untuk Menghubungkan Tujuan, Risiko, dan Integritas

GRC bukan sekadar singkatan dari Governance, Risk, and Compliance. GRC adalah pendekatan terintegrasi yang membantu organisasi mencapai sasaran, menangani uncertainty, memenuhi obligation, membangun control, dan bertindak dengan integritas.

Governance menentukan arah dan accountability. Risk management membantu organisasi membaca uncertainty. Compliance memastikan obligation dipenuhi. Internal control menjaga execution. Three Lines membagi responsibility. Technology meningkatkan visibility dan traceability. Maturity assessment mengukur perkembangan. Capability building memastikan orang mampu menjalankan sistem.

Ketika seluruh komponen tersebut terhubung, GRC berubah dari sekumpulan aktivitas terpisah menjadi management capability yang membantu organisasi membuat keputusan dengan informasi yang lebih lengkap.

Untuk organisasi yang ingin bergerak dari GRC yang siloed menuju GRC yang terintegrasi, langkah pertama adalah memahami current state, menentukan target capability, dan membangun roadmap yang realistis.

Rujukan utama: OCEG GRC Capability Model; ISO 37000:2021; ISO 31000:2018; ISO 37301:2021; The IIA Three Lines Model; PER-2/MBU/03/2023; POJK Nomor 17 Tahun 2023; POJK 18/POJK.03/2016; UU Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi.