Three Lines Model dan Peran Sistem Manajemen Risiko

Three Lines Model adalah kerangka dari The Institute of Internal Auditors (IIA) yang menjelaskan pembagian peran dalam tata kelola dan manajemen risiko organisasi. Kerangka yang diperbarui pada tahun 2020 ini menggantikan konsep yang sebelumnya dikenal sebagai Three Lines of Defense, atau tiga lini pertahanan. Kerangka ini membedakan tiga peran: pihak yang mengelola risiko dalam kegiatan sehari-hari, pihak yang memberi keahlian dan pengawasan atas risiko, serta pihak yang memberi keyakinan secara independen bahwa semuanya berjalan sebagaimana mestinya.

Bagi perusahaan yang sedang membangun atau membenahi sistem manajemen risiko, kerangka ini sangat praktis. Ia membantu menjawab pertanyaan desain yang sering membingungkan: siapa yang mengisi data risiko, siapa yang meninjau, siapa yang menyetujui, dan siapa yang hanya boleh melihat. Artikel ini membahas peran setiap lini dalam Three Lines Model dan bagaimana pembagian itu diterjemahkan ke dalam sistem.

Dari Three Lines of Defense ke Three Lines Model

Versi lama kerangka ini menekankan kata pertahanan. Kesannya, manajemen risiko adalah urusan bertahan dari ancaman. Pembaruan pada tahun 2020 mengubah penekanan tersebut. Three Lines Model menempatkan pengelolaan risiko sebagai bagian dari upaya organisasi mencapai tujuannya, termasuk menciptakan dan melindungi nilai.

Perubahan lain yang penting adalah pengakuan bahwa garis antarperan tidak selalu kaku. Kerangka baru menekankan kerja sama dan komunikasi antarpihak, sambil tetap menjaga independensi audit internal. Lini-lini tersebut adalah pembagian tanggung jawab yang perlu terkoordinasi, dan tidak dimaksudkan sebagai sekat antarbagian.

Peran Setiap Pihak dalam Three Lines Model

Kerangka ini menyebut beberapa pihak utama dengan peran yang berbeda:

Organ tata kelola, seperti dewan komisaris atau dewan direksi sesuai struktur perusahaan, bertanggung jawab kepada pemangku kepentingan atas pengawasan organisasi. Organ ini menetapkan arah, termasuk selera risiko, dan memastikan struktur serta proses tata kelola berjalan.

Manajemen menjalankan kegiatan untuk mencapai tujuan organisasi. Di dalam manajemen terdapat dua jenis peran. Peran lini pertama dijalankan oleh unit yang menghasilkan produk atau layanan, termasuk mengelola risiko yang melekat pada kegiatan tersebut. Peran lini kedua dijalankan oleh fungsi yang memberi keahlian, dukungan, pemantauan, dan tantangan terkait risiko, misalnya fungsi manajemen risiko dan kepatuhan.

Audit internal menjalankan peran lini ketiga, yaitu memberi keyakinan dan saran yang independen dan objektif tentang kecukupan serta efektivitas tata kelola dan manajemen risiko. Audit internal melapor kepada organ tata kelola agar independensinya terjaga.

Di luar organisasi, ada penyedia keyakinan eksternal seperti auditor eksternal yang memberi keyakinan tambahan bagi pemangku kepentingan.

Menerjemahkan Three Lines Model ke Dalam Sistem

Kerangka ini paling terasa manfaatnya saat merancang hak akses dan alur kerja di sistem manajemen risiko. Setiap peran membutuhkan tampilan dan kewenangan yang berbeda.

Lini pertama: pemilik risiko di unit kerja. Mereka mengisi dan memperbarui risiko di area masing-masing, menilai kemungkinan dan dampak, mengajukan rencana mitigasi, memperbarui KRI yang menjadi tanggung jawabnya, dan melaporkan insiden. Sistem perlu memudahkan mereka: formulir yang ringkas, pengingat tenggat, dan tampilan yang hanya berisi risiko unitnya. Struktur data yang mereka isi kami bahas di artikel register risiko digital.

Lini kedua: fungsi manajemen risiko dan kepatuhan. Mereka membutuhkan pandangan lintas unit. Tugasnya meninjau penilaian, menantang penilaian yang tidak wajar, memastikan kriteria dipakai secara konsisten, menyetujui atau mengembalikan rencana mitigasi, dan menyusun profil risiko perusahaan. Sistem perlu menyediakan antrean tinjauan, catatan tanggapan, dan laporan konsolidasi. Alur peninjauan dan persetujuannya kami uraikan di artikel alur persetujuan mitigasi risiko.

Lini ketiga: audit internal. Auditor membutuhkan akses baca yang luas, tetapi tidak perlu mengubah data. Yang paling penting bagi mereka adalah jejak audit: siapa mengubah apa, kapan, dan nilai sebelum serta sesudahnya. Sistem yang mencatat riwayat perubahan dengan lengkap membuat pekerjaan audit jauh lebih efisien dibanding menelusuri email dan versi file.

Organ tata kelola dan manajemen puncak. Mereka membutuhkan ringkasan dan hal yang perlu diputuskan. Dashboard menjadi alat utama untuk peran ini, seperti yang kami bahas di artikel dashboard manajemen risiko untuk direksi.

Contoh Matriks Hak Akses Berdasarkan Peran

Sebagai gambaran, pembagian kewenangan di sistem bisa disusun seperti berikut:

• Pemilik risiko: membuat dan mengubah risiko unitnya, mengajukan mitigasi, memperbarui KRI, melaporkan insiden.
• Atasan unit: menyetujui pengajuan dari unitnya dan melihat seluruh risiko unit.
• Fungsi manajemen risiko: melihat semua unit, meninjau dan memberi catatan, menyetujui sesuai kewenangan, mengatur kriteria penilaian.
• Manajemen puncak: melihat dashboard dan menyetujui keputusan untuk risiko dengan tingkat tertinggi.
• Audit internal: melihat seluruh data dan riwayat perubahan tanpa hak mengubah.

Pembagian ini perlu disesuaikan dengan struktur organisasi dan kebijakan kewenangan masing-masing perusahaan. Yang penting, setiap kewenangan di sistem punya dasar yang jelas dalam kebijakan tertulis.

Kesalahan Umum dalam Menerapkan Pembagian Peran

• Fungsi manajemen risiko mengisi register untuk unit kerja. Kelihatannya lebih cepat, tetapi kepemilikan risiko berpindah dari lini pertama dan unit merasa risiko adalah urusan orang lain.
• Audit internal diberi hak mengubah data. Ini mengaburkan independensi yang menjadi inti peran lini ketiga.
• Semua pengguna melihat semua data. Selain berisiko bagi kerahasiaan, tampilan menjadi terlalu ramai bagi pemilik risiko.
• Peran di sistem tidak diperbarui saat ada mutasi jabatan, sehingga kewenangan melekat pada orang yang sudah tidak berwenang.

Pembagian Peran dalam Sistem yang Kami Bangun

Sistem manajemen risiko yang Merbabudev bangun untuk klien korporasi memisahkan peran pengguna sesuai alur kerja tersebut. Unit kerja mengelola register dan rencana mitigasi untuk area mereka, persetujuan berjalan berjenjang sebelum rencana resmi berlaku, dan manajemen memantau kondisi risiko melalui dashboard serta laporan periodik. Dengan pembagian ini, setiap orang melihat apa yang menjadi tanggung jawabnya dan setiap keputusan tercatat atas nama orang yang berwenang.

Gambaran lengkap komponen sistem tersebut ada di artikel sistem manajemen risiko perusahaan.

Pertanyaan yang Sering Diajukan

Apakah perusahaan kecil perlu menerapkan Three Lines Model?

Prinsipnya bisa diterapkan di perusahaan dengan ukuran apa pun, meskipun bentuknya lebih sederhana. Di perusahaan kecil, satu orang bisa memegang beberapa peran. Yang perlu dijaga adalah pemisahan antara orang yang menjalankan kegiatan dan orang yang memberi keyakinan independen.

Apa bedanya lini kedua dan lini ketiga?

Lini kedua adalah bagian dari manajemen yang membantu dan mengawasi pengelolaan risiko sehari-hari. Lini ketiga, yaitu audit internal, berdiri independen dari manajemen dan melapor kepada organ tata kelola untuk menilai apakah seluruh proses tersebut berjalan efektif.

Apakah sistem manajemen risiko wajib untuk menerapkan kerangka ini?

Tidak wajib. Kerangka ini bisa dijalankan secara manual. Namun sistem yang mencatat peran, persetujuan, dan riwayat perubahan membuat pembagian tanggung jawab lebih mudah dijaga dan dibuktikan saat audit.