Compliance Gap Assessment untuk Menilai Kesenjangan Sistem Manajemen Kepatuhan

Rate this post

RWI Consulting – Compliance gap assessment adalah proses sistematis untuk menilai kesenjangan antara kondisi penerapan kepatuhan yang berjalan saat ini dengan kondisi yang seharusnya dicapai berdasarkan kewajiban, kebijakan, standar, struktur tata kelola, dan target perusahaan.

Contents

Compliance Gap Assessment

Photo by Kampus Production on Pexels

Assessment ini membantu perusahaan menjawab pertanyaan yang lebih penting daripada sekadar apakah suatu dokumen tersedia. Perusahaan perlu mengetahui apakah kewajiban telah teridentifikasi, apakah setiap kewajiban memiliki penanggung jawab, apakah risiko ketidakpatuhan telah dinilai, apakah kontrol benar-benar berjalan, apakah evidence tersedia, serta apakah monitoring, pelaporan, audit, dan tindakan perbaikan telah berjalan secara konsisten.

Materi internal SharePoint mengenai penguatan sistem kepatuhan menempatkan compliance gap analysis sebagai tahap awal sebelum penyusunan roadmap, kebijakan, prosedur, dan penguatan budaya kepatuhan. Assessment dilakukan terhadap kondisi eksisting dengan mempertimbangkan regulatory mapping, standar sistem manajemen kepatuhan, kebijakan internal, serta dokumen tata kelola yang relevan.

Materi internal lain mengenai regulatory mapping menunjukkan bahwa gap assessment perlu dilakukan berbasis proses bisnis. Kewajiban dipetakan terhadap fungsi dan aktivitas, kemudian dibandingkan dengan kondisi aktual, pengendalian yang tersedia, penanggung jawab, frekuensi pemenuhan, serta tindakan perbaikan yang diperlukan.

Compliance gap assessment dengan demikian bukan kegiatan checklist semata. Assessment perlu memberikan gambaran mengenai design gap, implementation gap, effectiveness gap, serta prioritas yang perlu diperbaiki.

Apa Itu Compliance Gap Assessment?

Photo by Tima Miroshnichenko on Pexels

Compliance gap assessment adalah evaluasi terstruktur untuk membandingkan current state dengan target state sistem kepatuhan perusahaan.

Current state menggambarkan kondisi aktual, antara lain:

kebijakan yang tersedia;
struktur dan pembagian tanggung jawab;
compliance obligations;
risk register;
kontrol;
prosedur;
monitoring;
pelaporan;
incident;
audit;
evidence;
tindakan korektif.

Target state dapat berasal dari:

persyaratan regulasi;
kebijakan internal;
standar sistem manajemen kepatuhan;
target governance perusahaan;
hasil evaluasi manajemen;
kebutuhan bisnis;
roadmap penguatan organisasi.

Hasil assessment menunjukkan area yang sudah memadai, area yang perlu diperkuat, serta area kritis yang memerlukan tindakan segera.

Mengapa Compliance Gap Assessment Dibutuhkan?

Photo by Leeloo The First on Pexels

Perusahaan sering memiliki banyak komponen kepatuhan, tetapi belum tentu memiliki sistem yang terintegrasi.

Contohnya:

kebijakan tersedia tetapi tidak memiliki prosedur operasional;
regulasi telah diinventarisasi tetapi belum dipetakan ke proses;
risk register tersedia tetapi tidak terhubung dengan kewajiban;
kontrol telah dirancang tetapi tidak diuji efektivitasnya;
monitoring dilakukan tetapi hasilnya tidak dieskalasikan;
temuan audit ditindaklanjuti tetapi akar penyebabnya tidak dianalisis;
pelatihan dilakukan tetapi tidak dikaitkan dengan kebutuhan kompetensi;
pelaporan dilakukan tetapi tidak memberikan gambaran exposure kepada manajemen.

Compliance gap assessment membantu perusahaan melihat hubungan antarkomponen tersebut.

Tujuan utama assessment dapat meliputi:

memahami kondisi aktual sistem kepatuhan;
mengidentifikasi gap terhadap standar dan kewajiban;
menilai kelemahan governance;
menilai kelengkapan regulatory mapping;
menilai integrasi compliance risk;
menilai efektivitas internal control;
menilai kualitas monitoring dan reporting;
menentukan prioritas perbaikan;
menyusun roadmap penguatan.

Perbedaan Compliance Gap Assessment dan Compliance Audit

Photo by Leeloo The First on Pexels

Compliance gap assessment dan compliance audit memiliki hubungan, tetapi tujuan utamanya berbeda.

Aspek: Tujuan

Compliance Gap Assessment: Mengidentifikasi kesenjangan dan peluang perbaikan

Compliance Audit: Memberikan assurance atas kepatuhan atau efektivitas kontrol

Aspek: Orientasi

Compliance Gap Assessment: Development dan improvement

Compliance Audit: Assurance dan verification

Aspek: Output

Compliance Gap Assessment: Gap, prioritas, rekomendasi, roadmap

Compliance Audit: Temuan, kesimpulan audit, corrective action

Aspek: Pendekatan

Compliance Gap Assessment: Dapat lebih konsultatif

Compliance Audit: Memerlukan independensi audit

Aspek: Waktu

Compliance Gap Assessment: Sering dilakukan sebelum penguatan sistem

Compliance Audit: Dilakukan setelah sistem telah diterapkan

Gap assessment tidak menggantikan audit. Assessment digunakan untuk memahami apa yang perlu diperbaiki sebelum perusahaan meningkatkan atau menguji sistem secara lebih formal.

Perbedaan Compliance Gap Assessment dan Regulatory Mapping

Photo by RDNE Stock project on Pexels

Regulatory mapping mengidentifikasi dan memetakan kewajiban.

Compliance gap assessment menilai apakah kewajiban tersebut telah dikelola secara memadai.

Regulatory mapping dapat menjawab:

regulasi apa yang relevan;
apa kewajibannya;
proses apa yang terkena dampak;
siapa penanggung jawabnya;
kapan kewajiban harus dipenuhi.

Compliance gap assessment melanjutkan analisis dengan menilai:

apakah kewajiban sudah dipahami;
apakah owner telah ditetapkan;
apakah risiko ketidakpatuhan telah dinilai;
apakah kontrol tersedia;
apakah kontrol berjalan;
apakah evidence memadai;
apakah monitoring efektif;
apakah issue ditindaklanjuti.

Materi internal regulatory mapping menempatkan compliance obligations, unit penanggung jawab, frekuensi pemenuhan, gap, rekomendasi, dan tindak lanjut dalam satu matriks berbasis proses bisnis.

Ruang Lingkup Compliance Gap Assessment

Photo by Brixiv on Pexels

1. Context dan Scope

Assessment perlu dimulai dengan memahami konteks perusahaan.

Area yang dikaji dapat mencakup:

model bisnis;
struktur organisasi;
produk dan layanan;
lokasi operasi;
fungsi kritis;
stakeholder;
regulasi utama;
kebijakan perusahaan;
perubahan strategis;
profil risiko.

Scope assessment perlu ditetapkan secara eksplisit agar hasil tidak terlalu luas atau terlalu dangkal.

2. Compliance Governance

Assessment menilai apakah governance kepatuhan telah jelas.

Area yang dinilai dapat mencakup:

komitmen pimpinan;
compliance policy;
mandat fungsi kepatuhan;
struktur organisasi;
roles and responsibilities;
RACI;
decision rights;
reporting line;
escalation mechanism;
management review.

Governance gap sering menjadi akar masalah karena kewajiban tidak memiliki owner atau keputusan tidak memiliki forum yang jelas.

3. Compliance Policy dan Framework

Assessment menilai apakah kebijakan:

sesuai scope;
menjelaskan komitmen;
menetapkan prinsip;
menetapkan peran;
menjelaskan proses utama;
terhubung dengan risiko;
menjelaskan monitoring;
menjelaskan noncompliance;
diperbarui secara berkala.

Dokumen yang tersedia perlu dibandingkan dengan praktik aktual.

4. Regulatory Mapping

Assessment perlu menilai kelengkapan dan kualitas regulatory mapping.

Kriteria dapat mencakup:

kelengkapan regulatory universe;
kejelasan obligation;
pemetaan ke proses;
penetapan owner;
frekuensi pemenuhan;
deadline;
evidence requirement;
status compliance;
change monitoring.

5. Compliance Risk Assessment

Assessment perlu menilai apakah perusahaan telah mengidentifikasi risiko ketidakpatuhan.

Area yang dinilai:

risk event;
cause;
impact;
risk owner;
inherent risk;
existing control;
control effectiveness;
residual risk;
treatment;
KRI.

Materi internal implementasi sistem kepatuhan menempatkan compliance risk register sebagai bagian yang perlu diintegrasikan ke taksonomi risiko korporat agar exposure kepatuhan tidak dikelola secara terpisah.

6. Internal Control

Assessment perlu membedakan antara keberadaan kontrol dan efektivitas kontrol.

Area penilaian dapat mencakup:

control objective;
control owner;
control frequency;
control design;
implementation;
evidence;
testing;
exception handling;
remediation.

Kontrol dapat diklasifikasikan sebagai preventive, detective, corrective, manual, atau automated.

7. Competence dan Awareness

Sistem kepatuhan membutuhkan orang yang memahami tanggung jawabnya.

Assessment dapat menilai:

competency requirement;
training plan;
awareness program;
role-based training;
training records;
assessment hasil pembelajaran;
refreshment;
knowledge transfer.

8. Communication

Assessment menilai apakah informasi kepatuhan dikomunikasikan kepada pihak yang tepat.

Area yang dapat dinilai:

internal communication;
policy communication;
regulatory update;
reporting cadence;
raising concern;
management communication;
record of communication.

9. Operational Compliance Process

Assessment perlu melihat bagaimana kepatuhan berjalan pada aktivitas sehari-hari.

Contohnya:

review;
approval;
due diligence;
documentation;
segregation of duties;
exception management;
control execution;
record retention.

10. Monitoring dan Measurement

Assessment menilai apakah perusahaan memiliki mekanisme untuk memonitor status kepatuhan.

Area yang dinilai:

monitoring plan;
monitoring frequency;
compliance status;
control testing;
KPI;
KRI;
KCI;
incident trend;
overdue action;
repeat finding.

11. Raising Concern dan Investigation

Assessment dapat mencakup:

saluran pelaporan;
kerahasiaan;
perlindungan pelapor;
triage;
investigation process;
conflict management;
evidence management;
reporting;
closure.

12. Management of Noncompliance

Area yang dinilai:

incident recording;
impact assessment;
containment;
root cause analysis;
corrective action;
disciplinary process;
closure validation;
lesson learned.

13. Internal Audit

Assessment perlu menilai hubungan antara compliance function dan internal audit.

Audit internal dapat memberikan assurance atas:

governance;
process;
control;
data;
monitoring;
incident management;
corrective action.

14. Management Review

Management review perlu mengevaluasi:

perubahan kewajiban;
hasil monitoring;
risk exposure;
temuan audit;
incident;
control effectiveness;
action plan;
resource requirement;
prioritas perbaikan.

15. Continual Improvement

Assessment perlu menilai apakah sistem benar-benar diperbaiki setelah ditemukan kelemahan.

Bukti dapat berupa:

corrective action register;
improvement plan;
roadmap;
policy update;
procedure revision;
control enhancement;
training improvement;
system enhancement.

Jenis Gap yang Dapat Ditemukan

Photo by Defrino Maasy on Pexels

Design Gap

Komponen belum dirancang atau desainnya tidak memadai.

Contoh:

belum ada kebijakan;
belum ada obligation register;
belum ada escalation threshold;
belum ada prosedur investigation.

Implementation Gap

Dokumen tersedia tetapi belum diterapkan.

Contoh:

prosedur tersedia tetapi unit tidak menggunakannya;
monitoring calendar tersedia tetapi tidak dijalankan;
training diwajibkan tetapi tidak dilaksanakan.

Effectiveness Gap

Proses berjalan tetapi tidak menghasilkan hasil yang diharapkan.

Contoh:

kontrol dilaksanakan tetapi incident tetap berulang;
monitoring dilakukan tetapi issue tidak dieskalasikan;
training dilakukan tetapi kesalahan tetap tinggi.

Ownership Gap

Tanggung jawab tidak jelas atau tumpang tindih.

Data Gap

Informasi tidak lengkap, tidak konsisten, atau tidak dapat ditelusuri.

Technology Gap

Proses membutuhkan workflow, reminder, repository, atau audit trail tetapi masih bergantung pada file manual.

Culture Gap

Kepatuhan dipandang sebagai tanggung jawab satu fungsi, bukan tanggung jawab seluruh organisasi.

Metodologi Compliance Gap Assessment

Photo by Christina Morillo on Pexels

Materi internal RWI menggunakan document review, FGD, benchmarking, technical meeting, presentation, dan discussion dalam pekerjaan penguatan kepatuhan.

Fase 1. Project Initiation

Kegiatan meliputi:

kick-off;
penetapan objective;
penetapan scope;
identifikasi stakeholder;
data request;
work plan;
timeline;
communication protocol.

Fase 2. Document Review

Dokumen dapat mencakup:

compliance policy;
pedoman dan SOP;
struktur organisasi;
charter;
regulatory register;
risk register;
control matrix;
audit report;
incident report;
training record;
management report;
action plan.

Fase 3. Regulatory Mapping Review

Kewajiban ditinjau untuk memastikan relevansi, ownership, process mapping, dan monitoring requirement.

Fase 4. Interview dan FGD

Interview dan FGD digunakan untuk memvalidasi praktik aktual.

Pihak yang dapat terlibat antara lain:

Direksi atau senior management;
fungsi compliance;
fungsi risk;
legal;
audit internal;
HR;
finance;
procurement;
IT;
process owner.

Fase 5. Evidence Testing

Assessment tidak cukup hanya menerima pernyataan.

Evidence dapat mencakup:

approval record;
monitoring report;
meeting minutes;
training record;
control evidence;
incident log;
audit trail;
corrective action.

Fase 6. Gap Scoring

Setiap area dapat diberi status atau score.

Contoh klasifikasi:

Status: Compliant

Makna: Persyaratan telah dipenuhi dan evidence memadai.

Status: Partially Compliant

Makna: Komponen tersedia tetapi belum lengkap atau konsisten.

Status: Non-Compliant

Makna: Persyaratan belum dipenuhi.

Status: Not Applicable

Makna: Persyaratan tidak relevan terhadap scope.

Perusahaan juga dapat menggunakan maturity scale untuk menunjukkan perkembangan dari ad hoc menuju integrated dan proactive.

Fase 7. Root Cause Analysis

Setiap gap utama perlu dianalisis penyebabnya.

Root cause dapat berasal dari:

policy;
process;
people;
technology;
data;
governance;
resource;
culture.

Fase 8. Prioritization

Gap tidak perlu ditangani dengan tingkat urgensi yang sama.

Prioritas dapat mempertimbangkan:

regulatory impact;
legal impact;
financial impact;
operational impact;
reputational impact;
likelihood;
control weakness;
implementation effort;
dependency.

Fase 9. Recommendation

Rekomendasi perlu spesifik dan dapat dilaksanakan.

Setiap rekomendasi idealnya memiliki:

gap reference;
root cause;
recommended action;
owner;
priority;
timeline;
dependency;
expected output.

Fase 10. Roadmap

Assessment perlu bermuara pada roadmap, bukan berhenti pada daftar temuan.

Materi internal penguatan kepatuhan menempatkan roadmap sebagai tindak lanjut hasil gap analysis dengan arah pengembangan sistem, tahapan implementasi, target, indikator keberhasilan, dan penguatan budaya kepatuhan.

Contoh Struktur Laporan Compliance Gap Assessment

Laporan dapat terdiri atas:

executive summary;
background dan objective;
scope;
methodology;
reference framework;
current state;
regulatory mapping summary;
gap findings;
risk implication;
root cause;
priority classification;
recommendation;
quick wins;
roadmap;
management consideration.

Executive summary perlu fokus pada gap yang paling material dan keputusan yang dibutuhkan.

Compliance Gap Assessment Berbasis ISO 37301

ISO 37301 dapat digunakan sebagai salah satu kerangka assessment sistem manajemen kepatuhan.

Area assessment dapat mencakup:

context;
leadership;
planning;
support;
operation;
performance evaluation;
improvement.

Assessment dapat menilai apakah perusahaan telah memiliki dan menjalankan:

scope;
compliance policy;
roles and responsibilities;
compliance obligations;
compliance risk assessment;
objectives;
competence;
communication;
operational control;
monitoring;
raising concern;
investigation;
internal audit;
management review;
corrective action.

Materi internal penguatan kepatuhan menggunakan ISO 37301 sebagai acuan untuk gap analysis, penyusunan kebijakan, SOP, dan roadmap penguatan.

Prioritas Perbaikan setelah Gap Assessment

Roadmap dapat dibagi berdasarkan horizon implementasi.

Quick Wins

Contohnya:

memperjelas compliance owner;
memperbarui obligation register;
menetapkan monitoring calendar;
menutup overdue action;
memperbaiki reporting template.

Foundation

Contohnya:

compliance policy;
governance structure;
RACI;
regulatory mapping;
risk methodology;
control framework.

Integration

Contohnya:

integrasi compliance risk ke ERM;
integrasi issue management;
coordinated assurance;
integrated reporting;
alignment antarunit.

Optimization

Contohnya:

digital workflow;
dashboard;
automated reminder;
analytics;
continuous monitoring.

Deliverables Compliance Gap Assessment

Deliverable dapat mencakup:

project charter;
document request list;
regulatory mapping review;
compliance obligation matrix;
assessment questionnaire;
interview dan FGD record;
compliance gap matrix;
gap scoring;
root cause analysis;
risk implication analysis;
priority matrix;
recommendation register;
quick-win plan;
compliance improvement roadmap;
management presentation.

Kesalahan Umum dalam Compliance Gap Assessment

1. Hanya Menggunakan Checklist

Checklist tidak cukup untuk memahami efektivitas implementasi.

2. Hanya Menilai Dokumen

Dokumen perlu diverifikasi dengan wawancara dan evidence.

3. Tidak Melakukan Regulatory Mapping

Assessment dapat kehilangan kewajiban yang relevan.

4. Tidak Menilai Compliance Risk

Seluruh gap dianggap memiliki prioritas yang sama.

5. Tidak Melakukan Root Cause Analysis

Rekomendasi hanya menyelesaikan gejala.

6. Tidak Memisahkan Design dan Implementation Gap

Solusi untuk dokumen yang belum ada berbeda dengan solusi untuk dokumen yang tidak dijalankan.

7. Tidak Menentukan Owner

Action plan tidak memiliki akuntabilitas.

8. Tidak Membuat Roadmap

Hasil assessment berhenti menjadi laporan.

9. Tidak Melibatkan Unit Bisnis

Assessment menjadi terlalu berfokus pada fungsi compliance.

10. Tidak Melakukan Follow-Up

Gap yang sama dapat muncul kembali.

Manfaat Compliance Gap Assessment

Area: Governance

Manfaat: Memperjelas peran, keputusan, dan escalation.

Area: Regulatory Mapping

Manfaat: Meningkatkan kelengkapan dan ownership kewajiban.

Area: Risk Management

Manfaat: Membantu memprioritaskan compliance exposure.

Area: Internal Control

Manfaat: Mengidentifikasi kontrol yang belum memadai atau tidak efektif.

Area: Monitoring

Manfaat: Meningkatkan visibilitas atas status dan issue.

Area: Audit Readiness

Manfaat: Meningkatkan kualitas evidence dan dokumentasi.

Area: Improvement

Manfaat: Menyusun prioritas dan roadmap yang dapat dilaksanakan.

Area: Culture

Manfaat: Memperkuat ownership kepatuhan di seluruh unit.

Pembeda RWI Consulting

RWI Consulting memposisikan compliance gap assessment sebagai bagian dari penguatan sistem kepatuhan yang terintegrasi dengan governance, enterprise risk management, internal control, regulatory mapping, dan GRC.

Pendekatan assessment tidak hanya melihat keberadaan dokumen. RWI Consulting menilai hubungan antara:

obligation;
process;
owner;
risk;
control;
evidence;
monitoring;
reporting;
issue;
corrective action.

Hasil assessment dapat digunakan sebagai dasar untuk menyusun compliance framework, kebijakan, compliance manual, SOP, regulatory mapping, compliance risk register, control improvement, monitoring mechanism, dan roadmap penguatan.

Materi internal RWI menunjukkan metodologi yang menggabungkan document review, gap analysis, benchmarking, FGD, technical meeting, document drafting, roadmap development, final reporting, dan presentation.

Internal Link Wheel Compliance

Konten Induk

Konten Setingkat

Konten Turunan

FAQ Compliance Gap Assessment

Apa itu compliance gap assessment?

Compliance gap assessment adalah evaluasi terhadap kesenjangan antara kondisi sistem kepatuhan yang berjalan dengan kondisi target berdasarkan kewajiban, standar, governance, dan kebutuhan perusahaan.

Apa perbedaan compliance gap assessment dan compliance audit?

Gap assessment berfokus pada identifikasi kesenjangan dan improvement. Audit berfokus pada assurance dan verification.

Apa yang dinilai dalam compliance gap assessment?

Assessment dapat mencakup governance, policy, regulatory mapping, compliance risk, internal control, competence, monitoring, reporting, investigation, audit, dan improvement.

Apakah ISO 37301 dapat digunakan sebagai acuan?

Ya. ISO 37301 dapat digunakan untuk menilai struktur dan efektivitas sistem manajemen kepatuhan.

Apakah regulatory mapping harus dilakukan?

Regulatory mapping penting untuk memastikan kewajiban yang relevan telah diidentifikasi dan dipetakan ke proses serta owner.

Siapa yang perlu terlibat?

Fungsi compliance, risk, legal, audit internal, unit bisnis, HR, finance, procurement, IT, dan manajemen dapat terlibat sesuai scope.

Apa output utama assessment?

Output dapat berupa gap matrix, scoring, root cause, risk implication, recommendation, quick wins, dan compliance improvement roadmap.

Bagaimana menentukan prioritas gap?

Prioritas dapat mempertimbangkan dampak regulasi, hukum, finansial, operasional, reputasi, likelihood, kelemahan kontrol, dan effort implementasi.

Apakah assessment hanya menilai dokumen?

Tidak. Assessment perlu memverifikasi praktik melalui interview, FGD, walkthrough, dan evidence.

Berapa lama compliance gap assessment dilakukan?

Durasi bergantung pada jumlah entitas, proses, kewajiban, dokumen, lokasi, dan kedalaman assessment.

Apa tindak lanjut setelah assessment?

Hasil assessment perlu diterjemahkan menjadi action plan, owner, timeline, roadmap, dan monitoring.

Apakah assessment perlu dilakukan berkala?

Ya. Assessment dapat diulang ketika terdapat perubahan besar pada regulasi, bisnis, proses, struktur, atau setelah roadmap perbaikan dijalankan.

Konsultasi Compliance Gap Assessment

RWI Consulting membantu perusahaan melakukan compliance gap assessment melalui document review, regulatory mapping, interview dan FGD, evidence review, compliance risk analysis, gap scoring, root cause analysis, rekomendasi, dan roadmap penguatan.

<strong>Jadwalkan konsultasi Compliance Gap Assessment bersama RWI Consulting untuk memperoleh gambaran kondisi aktual, prioritas kesenjangan, dan roadmap perbaikan sistem kepatuhan yang terstruktur dan dapat diimplementasikan.</strong>