RWI Consulting – GRC operating model adalah rancangan cara kerja perusahaan dalam menjalankan Governance, Risk, and Compliance secara terintegrasi. Jika GRC framework menjelaskan prinsip, struktur, dan kerangka utama, maka GRC operating model menjelaskan bagaimana kerangka tersebut dijalankan dalam aktivitas sehari-hari: siapa melakukan apa, bagaimana proses berjalan, bagaimana isu dilaporkan, bagaimana risiko dipantau, bagaimana kepatuhan dikelola, bagaimana eskalasi dilakukan, dan bagaimana manajemen menggunakan informasi GRC untuk mengambil keputusan.

Dalam dokumen SharePoint RWI terkait implementasi GRC dan tata kelola terintegrasi, integrated GRC framework mencakup governance oversight, risk and compliance reporting, serta alur pelaporan GRC kepada Direksi dan Dewan Komisaris. Elemen ini merupakan bagian penting dari operating model karena menunjukkan bagaimana fungsi governance, risk, dan compliance saling terhubung dalam proses pengawasan dan pelaporan perusahaan.

GRC Operating Model

GRC operating model menjadi penting karena banyak perusahaan sudah memiliki kebijakan tata kelola, risk register, fungsi kepatuhan, komite, dan sistem pelaporan, tetapi belum tentu memiliki cara kerja yang terintegrasi. Dalam kondisi tersebut, governance, risk, dan compliance dapat berjalan sendiri-sendiri. Akibatnya, data tersebar, laporan tidak konsisten, koordinasi antar fungsi lemah, dan keputusan manajemen tidak selalu berbasis informasi risiko dan kepatuhan yang utuh.

Dengan GRC operating model, perusahaan dapat mendesain sistem kerja yang lebih jelas. Direksi memahami informasi GRC yang perlu diterima. Dewan Komisaris memahami mekanisme pengawasan. Risk owner memahami tanggung jawabnya. Fungsi compliance memahami kewajiban dan eskalasi yang harus dipantau. Internal audit memahami area assurance. Unit bisnis memahami perannya dalam pengendalian risiko dan kepatuhan.

Apa Itu GRC Operating Model?

GRC operating model adalah model operasi yang mengatur struktur, peran, proses, tools, pelaporan, eskalasi, dan mekanisme koordinasi dalam pelaksanaan GRC. Model ini memastikan bahwa Governance, Risk, and Compliance tidak hanya tersedia sebagai dokumen, tetapi benar-benar berjalan sebagai sistem kerja perusahaan.

Secara sederhana, GRC operating model menjawab beberapa pertanyaan utama:

• Siapa yang bertanggung jawab atas governance, risk, dan compliance?
• Bagaimana koordinasi antar fungsi dilakukan?
• Bagaimana risiko dan isu kepatuhan diidentifikasi, dinilai, dipantau, dan dilaporkan?
• Bagaimana informasi GRC digunakan oleh Direksi dan Dewan Komisaris?
• Bagaimana pelaporan risiko dan kepatuhan disusun secara terintegrasi?
• Bagaimana tindak lanjut atas temuan, deviasi, atau pelanggaran dipantau?
• Bagaimana budaya risiko dan kepatuhan dibangun di seluruh organisasi?

Dokumen SharePoint RWI menjelaskan bahwa governance memberikan arah dan kontrol agar pengelolaan risiko dan kepatuhan berjalan konsisten dengan kebijakan Direksi dan Dewan Pengawas. Risk management menjadi proses identifikasi, analisis, evaluasi, dan mitigasi risiko, sedangkan compliance memastikan pemenuhan terhadap ketentuan internal dan eksternal serta menjaga integritas pelaksanaan tata kelola dan mitigasi risiko.

Dengan demikian, GRC operating model harus mampu menghubungkan ketiga fungsi tersebut ke dalam satu mekanisme kerja. Governance tidak boleh hanya menjadi struktur. Risk management tidak boleh hanya menjadi risk register. Compliance tidak boleh hanya menjadi daftar regulasi. Ketiganya harus saling mendukung dalam pengawasan, pengendalian, dan pengambilan keputusan.

Perbedaan GRC Framework dan GRC Operating Model

GRC framework dan GRC operating model sering digunakan secara berdekatan, tetapi keduanya memiliki fokus yang berbeda.

GRC framework menjelaskan kerangka konseptual, prinsip, struktur, dan komponen utama yang dibutuhkan untuk mengintegrasikan governance, risk, dan compliance. Framework biasanya memuat governance framework, risk management framework, compliance framework, integrated GRC framework, alur pelaporan, dan roadmap.

GRC operating model menjelaskan cara framework tersebut dijalankan dalam praktik. Operating model mencakup struktur organisasi, role and responsibility, RACI, proses kerja, kalender pelaporan, mekanisme eskalasi, dashboard, forum koordinasi, tools, indikator, serta tata cara monitoring dan evaluasi.

Dengan kata lain, framework menjawab “apa yang harus dibangun”, sedangkan operating model menjawab “bagaimana cara menjalankannya”. Perusahaan dapat memiliki GRC framework yang baik, tetapi implementasinya tetap lemah jika operating model tidak jelas.

Mengapa Perusahaan Membutuhkan GRC Operating Model?

Perusahaan membutuhkan GRC operating model karena GRC yang efektif tidak dapat bergantung pada inisiatif masing-masing fungsi secara terpisah. Tanpa operating model, fungsi risk management, compliance, legal, internal audit, corporate secretary, finance, HR, IT, dan unit bisnis dapat menjalankan aktivitas masing-masing tanpa standar koordinasi yang sama.

Dokumen SharePoint RWI terkait GRC Maturity menjelaskan bahwa implementasi GRC terintegrasi diperlukan untuk memastikan efektivitas pengendalian, pengelolaan risiko, pengambilan keputusan strategis, serta peningkatan kinerja perusahaan secara berkelanjutan. Dokumen tersebut juga menyebut perlunya pengukuran maturitas untuk mengetahui efektivitas implementasi GRC, mengidentifikasi gap, memperkuat kapabilitas, dan menyusun roadmap peningkatan GRC.

GRC operating model membantu perusahaan menghindari beberapa masalah umum:

• risk register tidak digunakan dalam keputusan manajemen;
• isu kepatuhan tidak terhubung dengan profil risiko;
• pelaporan kepada Direksi dan Dewan Komisaris tidak terintegrasi;
• peran risk owner dan compliance owner tidak jelas;
• temuan audit, pelanggaran, dan isu risiko tidak memiliki tindak lanjut yang terpantau;
• budaya risiko dan kepatuhan tidak merata di seluruh organisasi;
• tools GRC digunakan tanpa proses dan governance yang jelas.

Dengan operating model yang tepat, perusahaan dapat membangun sistem GRC yang lebih disiplin, terukur, dan berkelanjutan.

Komponen Utama GRC Operating Model

GRC operating model yang efektif perlu mencakup beberapa komponen utama. Komponen ini tidak boleh berdiri sendiri, melainkan harus saling terhubung.

1. Governance Structure

Governance structure adalah struktur pengawasan dan pengambilan keputusan dalam GRC. Komponen ini mencakup peran Direksi, Dewan Komisaris, komite, manajemen, fungsi risk management, compliance, internal audit, dan unit bisnis.

Dalam dokumen SharePoint RWI, ruang lingkup implementasi GRC mencakup review struktur tata kelola, peran organ perusahaan, dan komite, serta penyempurnaan governance agar pengawasan Direksi dan Dewan Komisaris berjalan lebih efektif, terstruktur, dan terdokumentasi.

Governance structure perlu menjelaskan siapa yang memiliki mandat pengawasan, siapa yang menjalankan fungsi operasional, siapa yang melakukan monitoring, siapa yang memberikan assurance, dan bagaimana eskalasi dilakukan.

2. Roles and Responsibilities

Operating model harus menjelaskan peran dan tanggung jawab masing-masing pihak. Tanpa kejelasan peran, GRC akan menimbulkan tumpang tindih atau area kosong.

Peran yang perlu didefinisikan antara lain:

• Direksi sebagai pengarah dan pengambil keputusan strategis;
• Dewan Komisaris sebagai pengawas;
• komite sebagai forum pembahasan dan rekomendasi;
• fungsi risk management sebagai koordinator pengelolaan risiko;
• fungsi compliance sebagai koordinator pengelolaan kepatuhan;
• unit bisnis sebagai pemilik risiko dan kontrol;
• internal audit sebagai pemberi assurance independen;
• fungsi pendukung seperti legal, finance, HR, IT, dan corporate secretary sesuai mandatnya.

Peran tersebut dapat dituangkan dalam RACI matrix agar lebih jelas siapa yang responsible, accountable, consulted, dan informed.

3. Risk Management Process

GRC operating model perlu mengatur proses manajemen risiko, mulai dari identifikasi, analisis, evaluasi, perlakuan, monitoring, dan pelaporan risiko. Proses ini harus terhubung dengan governance dan compliance.

Risk management dalam GRC operating model tidak hanya menghasilkan daftar risiko. Risk management harus membantu manajemen memahami risiko utama, prioritas pengendalian, tren risiko, status mitigasi, dan area yang membutuhkan keputusan.

4. Compliance Management Process

Compliance management process mengatur bagaimana kewajiban kepatuhan diidentifikasi, dipantau, dilaporkan, dan ditindaklanjuti. Dokumen SharePoint RWI terkait implementasi GRC menjelaskan bahwa compliance framework mencakup kebijakan kepatuhan, struktur fungsi kepatuhan, serta integrasi dengan manajemen risiko.

Operating model perlu menjelaskan proses identifikasi kewajiban kepatuhan, pemetaan risiko kepatuhan, monitoring pemenuhan, pelaporan isu, eskalasi pelanggaran, tindak lanjut temuan, serta evaluasi efektivitas compliance.

5. Integrated Reporting

Integrated reporting adalah komponen inti dalam GRC operating model. Laporan GRC tidak boleh hanya berupa kumpulan laporan dari masing-masing fungsi. Laporan harus mengintegrasikan informasi risiko, kepatuhan, kontrol, temuan, tindak lanjut, dan keputusan yang dibutuhkan manajemen.

Dokumen SharePoint RWI secara eksplisit menempatkan risk and compliance reporting serta alur pelaporan GRC kepada Direksi dan Dewan Komisaris sebagai bagian dari GRC framework terintegrasi.

Integrated reporting dapat mencakup:

• top risks;
• isu kepatuhan prioritas;
• status mitigasi;
• status tindak lanjut temuan;
• pelanggaran atau deviasi;
• KRI atau KCI;
• perubahan regulasi;
• rekomendasi keputusan;
• isu yang perlu dieskalasi kepada Direksi atau Dewan Komisaris.

6. Escalation Mechanism

GRC operating model perlu memiliki mekanisme eskalasi. Tidak semua isu harus naik ke level Direksi atau Dewan Komisaris, tetapi isu tertentu harus memiliki jalur eskalasi yang jelas.

Mekanisme eskalasi perlu mengatur trigger, threshold, level eskalasi, pihak yang menerima laporan, batas waktu tindak lanjut, dan dokumentasi keputusan. Misalnya, isu kepatuhan material, risiko yang melewati appetite, temuan berulang, atau kontrol yang tidak efektif perlu mendapatkan eskalasi khusus.

7. GRC Committee and Forum

Forum koordinasi GRC membantu perusahaan memastikan isu governance, risk, dan compliance dibahas secara lintas fungsi. Forum ini dapat berbentuk komite risiko, komite GRC, forum compliance, forum risk owner, atau forum koordinasi pengendalian internal.

GRC forum perlu memiliki agenda, frekuensi, peserta, bahan pembahasan, output keputusan, dan mekanisme tindak lanjut. Tanpa forum yang jelas, informasi GRC sering tidak bergerak dari unit kerja ke level pengambil keputusan.

8. Culture, Awareness, and Capability

GRC operating model tidak hanya mengatur struktur dan proses. Model ini juga harus mengatur bagaimana budaya risiko dan kepatuhan dibangun.

Dokumen SharePoint RWI terkait pengembangan budaya risiko dan kepatuhan menjelaskan kebutuhan untuk membangun program budaya risiko dan kepatuhan terintegrasi, roadmap 3 tahun, awareness, internalisasi ke seluruh organisasi, pelatihan, serta pengembangan kapabilitas terkait budaya risiko, kepatuhan, dan KCI.

Budaya risiko dan kepatuhan penting karena GRC dijalankan oleh seluruh organisasi. Jika awareness tidak merata, GRC akan terlihat kuat di level kebijakan, tetapi lemah di level operasional.

9. Key Control Indicator dan Monitoring Tools

KCI atau Key Control Indicator membantu perusahaan mengukur efektivitas kontrol. Dalam dokumen SharePoint RWI terkait pengembangan KCI, ruang lingkup mencakup penyusunan framework atau metodologi, matriks, metode pengukuran, threshold, kertas kerja atau tools, serta panduan pemantauan KCI.

Dalam GRC operating model, KCI dapat digunakan untuk memantau apakah kontrol utama berjalan efektif. KCI melengkapi KRI. KRI menunjukkan perubahan risiko, sedangkan KCI menunjukkan efektivitas kontrol yang digunakan untuk mengelola risiko tersebut.

10. Technology and Data

Operating model perlu menjelaskan bagaimana data GRC dikumpulkan, disimpan, diproses, dan dilaporkan. Perusahaan dapat menggunakan aplikasi GRC, dashboard, workflow, repository dokumen, atau sistem pelaporan terintegrasi.

Tools sebaiknya mendukung proses, bukan menggantikan proses. Aplikasi GRC hanya efektif jika peran, alur kerja, indikator, dan mekanisme pelaporan sudah jelas.

Prinsip dalam Membangun GRC Operating Model

GRC operating model perlu dibangun dengan prinsip yang jelas agar dapat dijalankan secara konsisten.

1. Terintegrasi

Governance, risk, dan compliance harus saling terhubung. Risk management harus memberi input kepada governance. Compliance harus terhubung dengan risk register. Pelaporan harus menggabungkan informasi risiko, kepatuhan, dan pengendalian.

2. Berbasis Risiko

Operating model harus membantu perusahaan memprioritaskan area yang paling penting. Tidak semua kewajiban, risiko, atau kontrol memiliki tingkat urgensi yang sama. Pendekatan berbasis risiko membantu perusahaan fokus pada isu yang paling berdampak.

3. Akuntabel

Setiap risiko, kewajiban kepatuhan, kontrol, temuan, dan tindak lanjut harus memiliki owner yang jelas. Akuntabilitas penting agar GRC tidak hanya menjadi fungsi koordinatif tanpa pemilik yang bertanggung jawab.

4. Terdokumentasi

Operating model harus memastikan proses, keputusan, pelaporan, dan tindak lanjut terdokumentasi. Dokumentasi diperlukan untuk audit trail, pembelajaran, dan evaluasi efektivitas.

5. Adaptif

Risiko, regulasi, strategi, dan struktur organisasi dapat berubah. Karena itu, GRC operating model harus dapat dievaluasi dan diperbarui secara berkala.

Tahapan Membangun GRC Operating Model

Membangun GRC operating model perlu dilakukan bertahap agar sesuai dengan kondisi perusahaan.

1. Menetapkan Tujuan dan Scope

Tahap pertama adalah menetapkan tujuan dan ruang lingkup. Perusahaan perlu menentukan apakah operating model akan mencakup seluruh GRC, hanya compliance, hanya risk and compliance reporting, atau integrasi governance-risk-compliance secara penuh.

Tujuan yang jelas akan membantu menentukan struktur, proses, peran, output, dan roadmap implementasi.

2. Melakukan Current State Assessment

Perusahaan perlu menilai kondisi saat ini. Assessment mencakup struktur governance, fungsi risk management, fungsi compliance, pelaporan, forum koordinasi, tools, budaya, dan kapabilitas.

Dokumen SharePoint RWI terkait implementasi GRC menyebut review kondisi eksisting dan gap analysis sebagai bagian penting dalam penerapan GRC. Review ini mencakup kondisi GRC eksisting, struktur tata kelola, risk management framework, dan compliance framework.

Baca juga:

• BUMN Sudah Punya Model, Tapi Sudah Punya Model Risk Policy Belum? Ini Kerangka yang Wajib Ada
• Framework Tata Kelola Model Risiko di Perusahaan
• Business Continuity Maturity Model: Cara Ukur Kematangan BCMS dan Roadmap Perbaikannya (ISO 22301)
• Cara Menyusun Operating Model ERM: Siapa Melakukan Apa, Kapan, dan Dilaporkan ke Siapa
• Risk Appetite untuk Risiko Model: BUMN Sering Punya Model, Tapi Belum Punya Batas Gagalnya

3. Melakukan Gap Analysis

Gap analysis membandingkan kondisi saat ini dengan target operating model. Gap dapat berupa peran yang belum jelas, proses yang belum terdokumentasi, compliance framework yang belum tersedia, risk reporting yang belum terintegrasi, atau mekanisme eskalasi yang belum berjalan.

Gap analysis harus menghasilkan rekomendasi yang dapat ditindaklanjuti.

4. Mendesain Target Operating Model

Target operating model menjelaskan kondisi yang ingin dicapai. Dokumen ini sebaiknya mencakup struktur GRC, RACI, proses utama, forum koordinasi, reporting line, mekanisme eskalasi, tools, indikator, dan roadmap.

Target operating model perlu realistis. Perusahaan tidak perlu langsung membangun model yang terlalu kompleks jika kapabilitas internal belum siap.

5. Menyusun Role and Responsibility

Setelah target model disusun, perusahaan perlu menetapkan peran dan tanggung jawab. Peran ini mencakup Direksi, Dewan Komisaris, komite, unit risk management, compliance, internal audit, unit bisnis, dan fungsi pendukung.

RACI matrix dapat digunakan agar tidak terjadi tumpang tindih peran.

6. Mendesain Proses dan Workflow

Proses GRC perlu dibuat jelas. Contohnya proses risk assessment, compliance monitoring, issue escalation, incident reporting, KCI monitoring, risk and compliance reporting, serta tindak lanjut temuan.

Workflow juga perlu mengatur input, review, approval, eskalasi, dan dokumentasi.

7. Menyusun Reporting dan Dashboard

Perusahaan perlu menentukan laporan apa yang dibutuhkan, siapa penerima laporan, frekuensi pelaporan, format laporan, dan indikator utama. Dashboard dapat membantu menampilkan informasi risiko, compliance, kontrol, dan tindak lanjut secara lebih ringkas.

8. Menyiapkan Awareness dan Capability Building

GRC operating model tidak akan berjalan tanpa pemahaman dari pengguna. Dokumen SharePoint RWI terkait budaya risiko dan kepatuhan menyebut adanya kebutuhan awareness, pelatihan, internalisasi, serta roadmap program budaya risiko dan kepatuhan.

Training perlu disesuaikan dengan peran. Direksi membutuhkan informasi untuk oversight. Risk owner membutuhkan panduan pengelolaan risiko. Compliance owner membutuhkan panduan monitoring kepatuhan. PIC unit membutuhkan pemahaman mengenai input data dan tindak lanjut.

9. Melakukan Pilot Implementation

Pilot dapat dilakukan pada proses bisnis prioritas, unit tertentu, atau risiko utama. Pilot membantu perusahaan menguji apakah proses, peran, tools, dan laporan sudah berjalan.

Dalam konteks KCI, dokumen SharePoint RWI menyebut adanya pendampingan pilot KCI untuk beberapa proses bisnis prioritas atau risiko utama. Pendekatan pilot seperti ini relevan untuk menguji operating model sebelum diperluas.

10. Evaluasi dan Continuous Improvement

Setelah model dijalankan, perusahaan perlu melakukan evaluasi. Evaluasi mencakup efektivitas forum, kualitas laporan, ketepatan eskalasi, kepatuhan terhadap proses, penggunaan tools, dan tindak lanjut rekomendasi.

Operating model perlu diperbarui jika terjadi perubahan strategi, regulasi, struktur organisasi, risiko utama, atau kebutuhan manajemen.

Contoh Roadmap GRC Operating Model

Roadmap GRC operating model dapat dibagi menjadi beberapa fase.

Fase 1: Diagnostic

Fase ini mencakup review dokumen, wawancara, assessment kondisi eksisting, identifikasi gap, dan pemetaan isu utama. Outputnya adalah current state assessment dan gap analysis.

Fase 2: Design

Fase ini mencakup desain target operating model, RACI, governance structure, proses GRC, reporting line, escalation mechanism, dan dashboard requirement. Outputnya adalah dokumen target operating model.

Fase 3: Build

Fase ini mencakup penyusunan SOP, template, panduan, tools, KCI atau KRI, dashboard, serta materi awareness. Outputnya adalah perangkat implementasi operating model.

Fase 4: Pilot

Fase ini mencakup uji coba pada unit atau proses prioritas. Outputnya adalah hasil pilot, lesson learned, dan penyempurnaan model.

Fase 5: Roll-Out

Fase ini mencakup implementasi ke seluruh unit terkait, training, awareness, forum koordinasi, dan pelaporan berkala. Outputnya adalah operating model yang mulai berjalan secara organisasi.

Fase 6: Review and Improve

Fase ini mencakup evaluasi berkala, perbaikan proses, penyempurnaan dashboard, pembaruan RACI, dan peningkatan maturitas GRC. Outputnya adalah continuous improvement plan.

Faktor Keberhasilan GRC Operating Model

Keberhasilan GRC operating model ditentukan oleh beberapa faktor.

1. Dukungan Pimpinan

Tone from the top menjadi faktor utama. Dokumen SharePoint RWI terkait GRC Maturity menyebut tone from the top dan dukungan pemangku kepentingan sebagai prasyarat model keunggulan GRC.

Jika pimpinan menggunakan informasi GRC dalam keputusan, unit kerja akan melihat bahwa GRC adalah bagian penting dari manajemen perusahaan.

2. Struktur dan Peran yang Jelas

Operating model akan gagal jika peran tidak jelas. Perusahaan perlu memastikan bahwa setiap fungsi memahami mandatnya, terutama hubungan antara risk management, compliance, internal audit, dan unit bisnis.

3. Pelaporan yang Relevan bagi Manajemen

Laporan GRC harus membantu keputusan. Jika laporan terlalu panjang, terlalu administratif, atau tidak menunjukkan prioritas, maka laporan tidak akan digunakan secara optimal.

4. Integrasi Risk dan Compliance

Risk management dan compliance harus saling terhubung. Kewajiban kepatuhan perlu dipetakan ke risiko. Risiko kepatuhan perlu masuk ke risk register. Isu kepatuhan material perlu dilaporkan sebagai bagian dari GRC reporting.

5. Budaya Risiko dan Kepatuhan

Operating model membutuhkan budaya yang mendukung. Awareness, pelatihan, internalisasi, dan integrasi dengan KPI dapat membantu memperkuat perilaku berbasis risiko dan kepatuhan. Dokumen SharePoint RWI terkait budaya risiko dan kepatuhan menyebut integrasi program budaya dengan KPI perusahaan serta kebijakan terkait budaya sebagai bagian dari panduan implementasi.

6. Tools yang Mendukung Proses

Tools seperti dashboard, aplikasi GRC, workflow, KRI, KCI, dan repository dokumen dapat membantu operating model berjalan lebih konsisten. Namun, tools harus didesain berdasarkan proses dan kebutuhan pengguna.

7. Evaluasi Berkala

Operating model perlu dievaluasi secara berkala agar tetap relevan. Evaluasi dapat dilakukan melalui maturity assessment, management review, audit, atau review efektivitas pelaporan.

Kesalahan yang Perlu Dihindari

Beberapa kesalahan umum dalam membangun GRC operating model adalah:

• membuat operating model hanya sebagai bagan organisasi;
• tidak menjelaskan peran dan tanggung jawab secara rinci;
• tidak memiliki RACI;
• tidak mengintegrasikan risk dan compliance reporting;
• tidak memiliki escalation mechanism;
• tidak membangun budaya risiko dan kepatuhan;
• langsung membeli tools tanpa memperjelas proses;
• tidak melakukan pilot sebelum roll-out;
• tidak melakukan evaluasi berkala;
• tidak menggunakan informasi GRC dalam keputusan manajemen.

Operating model yang baik harus bisa dijalankan, bukan hanya terlihat rapi dalam dokumen. Model harus mampu menggerakkan koordinasi, pelaporan, pengawasan, dan tindak lanjut.

Checklist GRC Operating Model

Perusahaan dapat menggunakan checklist berikut untuk mengevaluasi kesiapan GRC operating model:

• Apakah struktur governance GRC sudah jelas?
• Apakah peran Direksi, Dewan Komisaris, komite, risk management, compliance, internal audit, dan unit bisnis sudah terdefinisi?
• Apakah RACI GRC sudah tersedia?
• Apakah proses risk management dan compliance sudah terintegrasi?
• Apakah risk and compliance reporting sudah memiliki alur yang jelas?
• Apakah mekanisme eskalasi isu GRC sudah ditetapkan?
• Apakah forum koordinasi GRC sudah berjalan?
• Apakah KRI dan KCI digunakan untuk monitoring?
• Apakah budaya risiko dan kepatuhan sudah memiliki program dan roadmap?
• Apakah tools GRC mendukung proses kerja?
• Apakah model sudah diuji melalui pilot?
• Apakah evaluasi berkala sudah dirancang?

Checklist ini membantu perusahaan melihat apakah GRC operating model sudah cukup matang atau masih perlu diperkuat.

Peran RWI dalam Penyusunan GRC Operating Model

RWI Consulting membantu perusahaan menyusun GRC operating model melalui pendekatan yang mencakup review kondisi eksisting, gap analysis, penyempurnaan governance, evaluasi risk management framework, penyusunan compliance framework, penyusunan integrated GRC framework, risk and compliance reporting, alur pelaporan kepada Direksi dan Dewan Komisaris, serta roadmap implementasi.

Dalam dokumen SharePoint RWI, implementasi GRC mencakup review kondisi eksisting terhadap regulasi, review struktur tata kelola, evaluasi kebijakan GCG, review risk management framework, penyusunan compliance framework, dan penyusunan GRC framework terintegrasi.

RWI juga mendukung penguatan budaya risiko dan kepatuhan melalui analisis kondisi budaya, penyusunan rekomendasi program, roadmap implementasi, panduan, pelatihan, awareness, serta pengembangan metode KCI untuk mengukur efektivitas kontrol risiko pada proses bisnis prioritas.

Dengan pendekatan tersebut, GRC operating model tidak hanya menjadi struktur kerja, tetapi menjadi sistem yang menghubungkan governance, risk, compliance, culture, reporting, monitoring, dan continuous improvement.

FAQ

Apa itu GRC operating model?

GRC operating model adalah model operasi yang menjelaskan bagaimana Governance, Risk, and Compliance dijalankan dalam perusahaan, termasuk struktur, peran, proses, pelaporan, eskalasi, tools, budaya, dan evaluasi.

Apa perbedaan GRC framework dan GRC operating model?

GRC framework menjelaskan kerangka dan prinsip utama GRC, sedangkan GRC operating model menjelaskan cara kerja operasionalnya, seperti siapa melakukan apa, bagaimana laporan disusun, bagaimana isu dieskalasi, dan bagaimana tindak lanjut dipantau.

Mengapa GRC operating model penting?

GRC operating model penting karena membantu perusahaan menghindari silo antara governance, risk, dan compliance. Model ini memperjelas peran, proses, pelaporan, eskalasi, dan koordinasi lintas fungsi.

Apa saja komponen GRC operating model?

Komponennya meliputi governance structure, roles and responsibilities, risk management process, compliance management process, integrated reporting, escalation mechanism, GRC forum, culture and awareness, KCI atau KRI, serta technology and data.

Bagaimana tahapan membangun GRC operating model?

Tahapannya meliputi penetapan tujuan, current state assessment, gap analysis, desain target operating model, penyusunan RACI, desain proses dan workflow, penyusunan reporting, awareness, pilot implementation, dan continuous improvement.

Apa faktor keberhasilan GRC operating model?

Faktor keberhasilannya meliputi dukungan pimpinan, struktur dan peran yang jelas, pelaporan yang relevan, integrasi risk dan compliance, budaya risiko dan kepatuhan, tools yang mendukung proses, serta evaluasi berkala.

GRC operating model membantu perusahaan menerjemahkan GRC framework menjadi cara kerja yang nyata. Dengan struktur yang jelas, peran yang tegas, proses yang terintegrasi, pelaporan yang relevan, budaya risiko dan kepatuhan, serta tools yang mendukung, perusahaan dapat menjalankan GRC sebagai sistem pengawasan dan pengambilan keputusan yang lebih efektif.

Baca juga:

• COSO Enterprise Risk Management (ERM) Framework: Struktur, Komponen, dan Cara Memakainya untuk Strategi dan Kinerja
• Business IT Maturity Model: Kerangka Ukur Kematangan Tata Kelola TI (BIMM, COBIT 2019)
• Contingency Plan adalah: Definisi, Komponen, Trigger, Stress Testing, Recovery Plan, dan Resolution Plan
• GRC Implementation: Tahapan, Roadmap, dan Faktor Keberhasilan
• Pendampingan ESG Perusahaan agar Strategi, Governance, dan Implementasi Tidak Berhenti di Dokumen