COSO Enterprise Risk Management (ERM) Framework: Struktur, Komponen, dan Cara Memakainya untuk Strategi dan Kinerja

RB 26 Januari 2026

RWI Consulting – COSO Enterprise Risk Management (ERM) Framework adalah kerangka kerja untuk mengelola risiko secara menyeluruh agar organisasi bisa menetapkan strategi dan mengejar kinerja dengan sadar batas risikonya. Versi yang dipakai luas saat ini adalah pembaruan 2017, Enterprise Risk Management—Integrating with Strategy and Performance, yang menekankan bahwa risiko harus dipertimbangkan saat memilih strategi dan saat mengelola performa, bukan sebagai laporan terpisah di belakang.

COSO Enterprise Risk Management (ERM) Framework

Apa yang berubah di COSO ERM 2017

COSO menerbitkan ERM versi 2004, lalu memperbaruinya pada 2017 karena kompleksitas risiko meningkat, ekspektasi dewan dan eksekutif atas risk oversight naik, dan kebutuhan pelaporan risiko yang lebih baik makin kuat. Pembaruan 2017 menajamkan hubungan risk–strategy–performance, memperkuat orientasi governance, dan mendorong transparansi pelaporan kepada pemangku kepentingan.

Penting: COSO ERM 2017 tidak “mengganti” COSO Internal Control—Integrated Framework. Keduanya berbeda fokus tetapi saling terhubung: internal control adalah bagian dari ekosistem pengendalian, sementara ERM membingkai risiko dalam konteks strategi dan nilai.

5 komponen dan 20 prinsip

COSO ERM 2017 disusun menjadi 5 komponen yang didukung oleh 20 prinsip. Komponen adalah “kelompok praktik”, prinsip adalah “standar perilaku/desain” yang memberi ekspektasi bahwa organisasi memahami dan mengelola risiko terkait strategi dan objektif bisnis.

1) Governance and Culture

Intinya: pengawasan dewan, struktur organisasi, budaya risiko, nilai inti, dan kapabilitas talenta. Tanpa fondasi ini, ERM jadi aktivitas staf yang tidak mengubah keputusan manajemen.

Yang dicari dalam praktik:

• peran dewan dan komite risiko jelas,
• struktur “siapa pemilik risiko” tegas,
• budaya tidak menghukum laporan risiko, tetapi menghukum pengabaian kontrol.

2) Strategy and Objective-Setting

Intinya: memahami konteks bisnis, mendefinisikan risk appetite, mengevaluasi alternatif strategi, lalu merumuskan objektif yang selaras appetite. Ini bagian yang paling sering gagal, karena banyak organisasi menulis risk appetite setelah strategi dipilih. COSO membaliknya: appetite menjadi pagar saat strategi dipilih.

Artefak yang biasanya harus ada:

• risk appetite statement yang operasional (punya batas),
• alasan pemilihan strategi yang mencantumkan trade-off risiko.

3) Performance

Intinya: identifikasi risiko, asesmen severity, prioritisasi, risk response, dan portfolio view (melihat risiko sebagai portofolio, bukan silo). Portfolio view itu kunci: manajemen tidak hanya tahu “risiko A tinggi”, tapi tahu “kombinasi risiko” yang menekan strategi dan target kinerja secara bersamaan.

Di sini ERM berhenti jadi daftar risiko dan berubah jadi mesin keputusan:

• risiko diprioritaskan terhadap risk appetite,
• respons risiko dipilih (avoid/reduce/share/accept),
• dampaknya ke target kinerja dihitung dan dipantau.

4) Review and Revision

Intinya: memantau perubahan besar (konteks, pasar, regulasi, teknologi), meninjau risiko dan performa, lalu memperbaiki ERM. ERM yang “hidup” selalu punya siklus koreksi—bukan hanya workshop tahunan.

5) Information, Communication, and Reporting

Intinya: arus informasi risiko yang mengalir lintas organisasi (atas–bawah–samping), pemanfaatan data/teknologi, komunikasi risiko, dan pelaporan risiko–budaya–kinerja. Kalau informasi tidak mengalir, dewan hanya menerima “kabar baik” sampai kejadian buruk terjadi.

Cara memakai COSO ERM tanpa membuatnya jadi dokumen pajangan

COSO ERM efektif ketika ia “menjahit” empat hal berikut dalam satu sistem kerja:

1. Sasaran strategis (apa yang dikejar)
2. Risk appetite dan tolerance (batas deviasi yang boleh)
3. KPI dan KRI (hasil dan peringatan dini)
4. Ritme review (forum keputusan korektif yang mengubah eksekusi)

COSO menekankan nilai ERM saat menyusun dan menjalankan strategi, serta saat menyelaraskan target kinerja dengan pemahaman risiko yang bisa mengganggu performa.

Implementasi paling praktis:

• setiap sasaran strategis punya 3–7 risiko strategis teratas,
• setiap risiko strategis punya owner, respons, dan indikator,
• rapat kinerja bulanan/kuartalan meninjau KPI dan risiko secara bersama, bukan terpisah.

Kesalahan implementasi yang paling sering

1. ERM jadi “inventaris risiko”: banyak daftar, sedikit keputusan.
2. Risk appetite jadi slogan: tidak ada batas numerik, tidak ada trigger eskalasi.
3. Tidak ada portfolio view: tiap unit optimasi sendiri, total eksposur organisasi tidak terlihat.
4. Pelaporan risiko tidak nyambung ke performa: laporan rapi, target tetap meleset tanpa perubahan tindakan.

Pembaruan COSO 2017 justru dibuat untuk menekan kegagalan-kegagalan ini dengan penekanan integrasi strategi dan performa, serta ekspektasi pelaporan yang lebih transparan.

Related posts

Model, Sasaran, Siklus Kegiatan dan Komponen Sistem BCMS Mengenal Manajemen Risiko ISO 31000 Tahun 2018 Agar Bisnis Semakin Resilien Sertifikasi Manajemen Risiko: Cara Tingkatkan Kredibilitas dan Keahlian Profesional