Governance, Risk, dan Compliance (GRC): Fondasi Tata Kelola Organisasi Modern
Pendahuluan
Di era disrupsi digital dan ketidakpastian global, organisasi menghadapi tuntutan yang semakin tinggi untuk tidak hanya patuh terhadap regulasi, tetapi juga mengelola risiko secara proaktif dan menerapkan tata kelola yang baik. Ketiga elemen ini—tata kelola, risiko, dan kepatuhan—seringkali dikelola secara terpisah, menciptakan silo yang justru mengurangi efektivitas organisasi .
Governance, Risk, and Compliance (GRC) hadir sebagai pendekatan terintegrasi yang menyatukan ketiga fungsi tersebut ke dalam satu kerangka kerja yang koheren. Seperti yang dinyatakan dalam penelitian akademis, “As integrated GRC becomes one of the most important business requirements in organizations, the market is incongruously struggling to satisfy organizations’ needs” . Tanpa batasan dan definisi domain yang tepat, implementasi GRC yang buruk dapat menyebabkan kinerja rendah dan kerentanan tinggi bagi organisasi .
Di Indonesia, Otoritas Jasa Keuangan (OJK) telah secara aktif mendorong penguatan ekosistem GRC. Dalam Risk and Governance Summit (RGS) 2025, Ketua Dewan Komisioner OJK Mahendra Siregar menegaskan bahwa “pemberdayaan ekosistem GRC yang adaptif, kolaboratif, dan inklusif menjadi sebuah keniscayaan” di tengah percepatan digitalisasi dan munculnya risiko baru seperti kejahatan siber dan fraud lintas batas .
Definisi dan Komponen GRC
Definisi GRC
Secara fundamental, GRC merujuk pada integrasi prinsip, struktur, dan praktik tata kelola perusahaan, manajemen risiko, dan kepatuhan . GRC menyediakan mekanisme komprehensif untuk mengembangkan dan mempertahankan elemen-elemen yang diidentifikasi penting untuk pelestarian dan peningkatan nilai jangka panjang, serta memenuhi kebutuhan berbagai pemangku kepentingan .
Tiga Komponen Utama GRC
Diagram: Tiga Komponen GRC
┌─────────────────────────────────────────────────────────────────────────────┐ │ │ │ TIGA KOMPONEN UTAMA GRC │ │ │ │ ┌─────────────────────────────────────────────────────────────────────┐ │ │ │ 1. GOVERNANCE (Tata Kelola) │ │ │ │ └── Struktur dan proses pengambilan keputusan │ │ │ │ └── Akuntabilitas dan transparansi │ │ │ │ └── Penetapan arah strategis dan kebijakan │ │ │ │ └── Hubungan dengan pemangku kepentingan │ │ │ └─────────────────────────────────────────────────────────────────────┘ │ │ │ │ │ ▼ │ │ ┌─────────────────────────────────────────────────────────────────────┐ │ │ │ 2. RISK MANAGEMENT (Manajemen Risiko) │ │ │ │ └── Identifikasi, analisis, dan evaluasi risiko │ │ │ │ └── Perlakuan dan mitigasi risiko │ │ │ │ └── Pemantauan dan pelaporan risiko │ │ │ │ └── Pengintegrasian risiko dalam pengambilan keputusan │ │ │ └─────────────────────────────────────────────────────────────────────┘ │ │ │ │ │ ▼ │ │ ┌─────────────────────────────────────────────────────────────────────┐ │ │ │ 3. COMPLIANCE (Kepatuhan) │ │ │ │ └── Pemenuhan persyaratan hukum dan regulasi │ │ │ │ └── Kepatuhan terhadap kebijakan internal │ │ │ │ └── Pemantauan dan pelaporan kepatuhan │ │ │ │ └── Manajemen risiko kepatuhan │ │ │ └─────────────────────────────────────────────────────────────────────┘ │ │ │ └─────────────────────────────────────────────────────────────────────────────┘
Sumber: Diolah dari berbagai sumber
Governance (Tata Kelola)
Tata kelola mencakup struktur, proses, dan mekanisme yang digunakan oleh organisasi untuk mengarahkan dan mengendalikan operasinya. Ini termasuk penetapan tujuan strategis, kebijakan, serta mekanisme akuntabilitas dan transparansi. Seperti yang diungkapkan oleh Sophia Wattimena, Ketua Dewan Audit OJK, transformasi tata kelola menjadi salah satu strategi besar untuk mewujudkan Visi Indonesia Emas 2045 .
Risk Management (Manajemen Risiko)
Manajemen risiko adalah proses sistematis untuk mengidentifikasi, menganalisis, mengevaluasi, dan merespons risiko yang dapat mempengaruhi pencapaian tujuan organisasi. Ini mencakup risiko strategis, operasional, finansial, dan kepatuhan .
Compliance (Kepatuhan)
Kepatuhan merujuk pada pemenuhan terhadap persyaratan hukum, regulasi, dan kebijakan internal yang berlaku. Dalam konteks GRC, kepatuhan tidak hanya bersifat reaktif tetapi juga proaktif, dengan mengidentifikasi potensi pelanggaran sebelum terjadi .
Model Konseptual GRC
Model Tiga Lapisan Gemara
Open Source Security Foundation (OpenSSF) baru-baru ini memperkenalkan Gemara Model, sebuah model GRC Engineering untuk penilaian risiko otomatis. Model ini menyediakan arsitektur tujuh lapis yang mendetailkan pemisahan keprihatinan (separation of concerns) untuk tumpukan GRC :
- Lapisan Definisi (1-3): Mendefinisikan apa itu “keamanan yang baik” bagi organisasi
- Titik Pivot (4): Tempat di mana kebijakan bertemu dengan aktivitas operasional di dunia nyata
- Lapisan Pengukuran (5-7): Teknik untuk mengevaluasi, menegakkan, dan mengaudit seberapa baik kepatuhan terhadap definisi keamanan
Model ini, yang disteward oleh OpenSSF, bertujuan untuk menstandarisasi pendekatan GRC dan menciptakan bahasa bersama bagi alat, tim, dan organisasi .
Model Konseptual Vicente & Mira da Silva
Penelitian oleh Vicente dan Mira da Silva (2011) mengusulkan model konseptual tingkat tinggi yang mencakup domain GRC. Melalui tinjauan literatur dan penelitian kerangka kerja, mereka mengusulkan fungsi-fungsi kunci dari governance, risk, dan compliance serta asosiasinya, menghasilkan model konseptual referensi untuk GRC terintegrasi. Model ini dievaluasi dengan membandingkannya dengan model kapabilitas GRC dari OCEG (Open Compliance and Ethics Group) dan dinyatakan valid dan lengkap .
Karakteristik Program GRC Terintegrasi
Berdasarkan panduan dari Protiviti, program GRC terintegrasi memiliki karakteristik kunci berikut :
| Karakteristik | Deskripsi |
|---|---|
| Adopsi Bahasa Risiko Umum | Menciptakan kosakata yang konsisten di seluruh organisasi |
| Komunikasi Antar Tim Manajemen Risiko | Memfasilitasi kolaborasi lintas fungsi |
| Pengawasan Risiko dan Kepatuhan Terpusat | Menyediakan visibilitas holistik terhadap risiko dan kepatuhan |
| Pemanfaatan Platform GRC Tunggal | Menggunakan satu sumber data untuk pengambilan keputusan |
| Konsolidasi Metrik Risiko dari Sistem Bisnis | Mengintegrasikan data risiko dari berbagai sumber |
Tantangan Implementasi GRC
Hambatan Integrasi
Penelitian menunjukkan bahwa integrasi Governance, Risk, dan Compliance masih sangat terbatas, meskipun tema-tema ini semakin relevan dalam tata kelola perusahaan modern . Beberapa hambatan utama meliputi :
- Biaya Implementasi Tinggi dengan kurangnya ROI yang dapat ditunjukkan
- Kurangnya Visi Tunggal dan bahasa risiko yang umum
- Kebutuhan Manajemen Perubahan untuk mendukung koordinasi
- Kurangnya Solusi Teknologi yang memadai
Kesenjangan Penelitian
Literatur GRC masih terfragmentasi dan belum menghasilkan kesimpulan yang konsisten tentang pengaruh GRC terhadap kinerja dan nilai perusahaan. Penelitian empiris menunjukkan bahwa hasil bervariasi karena perbedaan instrumen pengukuran GRC, konteks industri yang tidak setara, dan ketidaksetaraan dalam tingkat kematangan implementasi GRC .
Penelitian oleh Ausfelt (2025) juga mengidentifikasi kesenjangan penelitian yang signifikan dalam integrasi kepatuhan regulasi dalam kerangka GRC, meskipun kepatuhan memainkan peran penting dalam mitigasi risiko dan memastikan ketahanan organisasi .
GRC di Indonesia: Inisiatif OJK
Peluncuran Sistem Informasi GRC (SI-GRC)
Pada Juli 2025, OJK meluncurkan Sistem Informasi Governance, Risk, and Compliance (SI-GRC)untuk mendukung tugas-tugas OJK dalam mengatur dan mengawasi sektor jasa keuangan . Mahendra Siregar menyatakan bahwa “Implementasi SI-GRC akan menjadi alat bantu penting dalam memastikan bahwa pengelolaan risiko dilakukan secara menyeluruh dan terintegrasi dari level Satuan Kerja hingga OJK secara keseluruhan” .
SI-GRC telah menyatukan sistem informasi manajemen risiko dan pengendalian internal ke dalam satu platform, yang dilengkapi dengan dashboard interaktif untuk menyajikan laporan risiko secara real-time, mulai dari statistik kejadian dan mitigasi risiko, IRU, hingga pemantauan tindak lanjut CACM .
Risk and Governance Summit (RGS) 2025
Pada Agustus 2025, OJK menyelenggarakan Risk and Governance Summit (RGS) 2025 dengan tema “Empowering the GRC Ecosystem to Drive Economic Growth and National Resilience” . Acara ini menegaskan bahwa penguatan GRC menjadi kunci bukan hanya untuk menjaga stabilitas, tetapi juga untuk membuka peluang pertumbuhan dan memperkuat ketahanan nasional .
Mahendra Siregar menekankan bahwa “Di era penuh ketidakpastian ini, GRC bukan hanya alat kepatuhan, tetapi kompas strategis untuk mengarahkan langkah menuju stabilitas dan pertumbuhan berkelanjutan” .
Filosofi Ki Hajar Dewantara dalam GRC
Sophia Wattimena, dalam sambutannya, mengaitkan penguatan GRC dengan filosofi Ki Hajar Dewantara: ing ngarsa sung tulodo (teladan di depan), ing madya mangun karso (pembangun semangat di tengah), tut wuri handayani (pendukung dari belakang). Filosofi ini sejalan dengan nilai inti RGS yaitu Role Model, Guidance, dan Support, yang menekankan keteladanan integritas, peran fasilitator, dan budaya saling menopang demi keberhasilan bersama .
Peran Auditor Internal dalam GRC
Prinsip-prinsip GRC selaras dengan standar profesional Institute of Internal Auditors (IIA). Sementara auditor internal secara historis menekankan kepatuhan keuangan dan regulasi, fokus telah diperluas untuk mencakup manajemen risiko dan tata kelola perusahaan sejak awal hingga pertengahan 2000-an .
Auditor internal dapat membantu klien mereka menghilangkan silo yang sering membatasi efektivitas inisiatif GRC. GRC merujuk pada kumpulan elemen yang tumpang tindih terkait dengan tata kelola perusahaan, budaya, kepemimpinan, dan manajemen orang, proses, dan teknologi .
Agenda Penelitian Masa Depan
Penelitian oleh jurnal akademis mengidentifikasi tujuh celah penelitian utama dan menawarkan agenda penelitian masa depan, termasuk :
- Pengembangan GRC Maturity Index
- Digital GRC Capability Model
- Integrasi konseptual GRC–ESG
- Pendekatan kualitatif dan mixed-methods untuk memahami dinamika implementasi GRC secara lebih kontekstual dan mendalam
Kesimpulan
Governance, Risk, and Compliance (GRC) adalah pendekatan terintegrasi yang menyatukan tata kelola, manajemen risiko, dan kepatuhan ke dalam satu kerangka kerja yang koheren. Di tengah kompleksitas regulasi, digitalisasi, dan risiko global yang semakin meningkat, GRC telah berkembang dari sekadar kewajiban administratif menjadi kompas strategis bagi organisasi.
Di Indonesia, OJK telah secara aktif mendorong penguatan ekosistem GRC melalui peluncuran SI-GRC dan penyelenggaraan RGS 2025. Seperti yang dinyatakan oleh Mahendra Siregar, “GRC bukan hanya alat kepatuhan, tetapi kompas strategis untuk mengarahkan langkah menuju stabilitas dan pertumbuhan berkelanjutan” .
Meskipun integrasi GRC masih menghadapi berbagai tantangan—termasuk biaya implementasi, kurangnya visi tunggal, dan kebutuhan manajemen perubahan—manfaat dari pendekatan terintegrasi semakin diakui. Seperti yang disampaikan oleh Sophia Wattimena melalui filosofi Ki Hajar Dewantara, penguatan GRC membutuhkan keteladanan integritas, peran fasilitator, dan budaya saling menopang demi keberhasilan bersama .
Daftar Pustaka
- Vicente, P., & Mira Da Silva, M. (2011). “A conceptual model for integrated governance, risk and compliance.” Advanced Information Systems Engineering – 23rd International Conference, CAiSE 2011, Proceedings, pp. 199-213.
- Otoritas Jasa Keuangan. (2025). “OJK Perkuat Tata Kelola Melalui Pengembangan SI-GRC Terintegrasi.” Siaran Pers OJK, 24 Juli 2025.
- Open Source Security Foundation. (2026). “Introducing the Gemara Model for Automated GRC Engineering.” OpenSSF Blog, 9 Maret 2026.
- “Governance, Risk and Compliance in a Cutting-edge Perspective: Empirical Synthesis, Theoretical Gaps and Research Agendas.” Ejournal Iainpalopo, 2025.
- Murdock, H. (2018). “Governance, Risk Management, and Compliance (GRC).” Taylor & Francis.
- Otoritas Jasa Keuangan. (2025). “OJK Gelar Risk and Governance Summit (RGS) 2025.” Siaran Pers OJK, 19 Agustus 2025.
- “A Frame of Reference for Research of Integrated Governance, Risk and Compliance (GRC).” Springer, 2025.
- Ausfelt, S. (2025). “Innovative approaches to GRC: Ensuring compliance during digital transformation.” Journal of Financial Compliance, 8(4), 302-316.
- Protiviti. (2010). “Integrated GRC: A Practical Approach.” Corporate Governance, Singapore Accountant.