Risk ownership menjadi semakin penting bagi perusahaan karena risiko kini bergerak lebih cepat, saling terhubung, dan melibatkan banyak fungsi. Gartner mencatat 88 persen pemilik risiko di perusahaan sangat termotivasi menjalankan tanggung jawabnya. Namun, hanya 35 persen yang merasa yakin mampu melakukannya secara efektif.
Kondisi tersebut membuat perusahaan perlu memperkuat cara pemilik risiko menjalankan perannya. Fungsi audit internal juga perlu mengubah pendekatan agar tidak sekadar menemukan masalah setelah risiko terjadi.
Mengapa Risk Ownership Penting Bagi Perusahaan?
Sederhananya, risk ownership (kepemilikan risiko) adalah tanggung jawab yang dipegang oleh seorang manajer atau kepala divisi untuk mengenali, mengawasi, dan menangani risiko di area kerjanya masing-masing, bukan menyerahkan semuanya kepada tim audit internal.
Risiko bisnis saat ini sering melibatkan lebih dari satu bagian perusahaan. Keputusan penting juga banyak terjadi di luar pengawasan langsung fungsi audit.
Karena itu, audit internal tidak bisa menjadi satu-satunya pihak yang bertanggung jawab memastikan risiko dikelola dengan baik. Pemilik risiko di setiap bagian bisnis harus mampu mengenali masalah dan mengambil keputusan lebih awal.
Tantangan utama bukan terletak pada kemauan pemilik risiko. Banyak dari mereka sudah memiliki motivasi tinggi. Persoalannya adalah kurangnya kejelasan mengenai tanggung jawab, alat bantu, serta dukungan yang dibutuhkan untuk mengambil keputusan.
Tanpa risk ownership yang kuat, perusahaan berpotensi terlambat mengenali masalah. Ketika masalah baru terlihat setelah menjadi besar, ruang untuk melakukan tindakan korektif juga semakin terbatas.
Tiga Strategi Memperkuat Risk Ownership
Terdapat tiga pendekatan yang dapat digunakan chief audit executive (CAE) untuk memperkuat kepemilikan risiko tanpa memperbesar cakupan audit secara signifikan.
Pertama, perusahaan perlu mengenali dan mendiagnosis masalah kepemilikan risiko. Auditor dapat menggunakan alat diagnostik, daftar pertanyaan, dan kriteria pengambilan keputusan untuk mengetahui penyebab lemahnya pengelolaan risiko.
Pendekatan tersebut membantu membedakan masalah kepemilikan risiko dari persoalan proses atau keterbatasan sumber daya.
Kedua, masalah risk ownership perlu ditangani secara langsung. Audit tidak perlu menunggu persoalan muncul dalam pemeriksaan berikutnya.
Auditor dapat membantu manajemen memahami akar masalah dan menyusun pengendalian yang lebih tepat. Pendekatan ini membuat audit berperan dalam memperbaiki kelemahan yang terus berulang tanpa kehilangan independensinya.
Ketiga, praktik yang berhasil perlu diperluas ke seluruh organisasi. Fungsi audit memiliki jangkauan yang terbatas sehingga tidak mungkin mengawasi seluruh keputusan risiko setiap saat.
Karena itu, fungsi lain seperti Enterprise Risk Management (ERM) dan lini pertahanan kedua perlu diperkuat. Mereka dapat membantu menjaga perilaku pengelolaan risiko ketika fungsi audit tidak terlibat langsung.
Penguatan risk ownership juga membutuhkan hubungan yang lebih baik antara temuan audit dan toleransi risiko perusahaan.
Manajemen perlu dilibatkan sejak awal untuk memahami seberapa besar risiko yang bersedia diambil perusahaan. Temuan audit kemudian dapat dikaitkan dengan batas risiko tersebut agar pimpinan lebih mudah menentukan tindakan.
Audit juga perlu menyepakati ukuran keberhasilan bersama pemangku kepentingan sebelum pemeriksaan dimulai. Hasil audit akan lebih berguna jika berkaitan langsung dengan target bisnis dan tujuan pengelolaan risiko.
Selain itu, manajemen perlu dibantu memahami akar persoalan. Menutup temuan audit tepat waktu belum tentu berarti masalah kepemilikan risiko sudah selesai.
Risk ownership yang matang terlihat dari kemampuan manajemen mengenali tanda awal masalah secara mandiri. Manajemen juga perlu memahami bagaimana pengendalian dirancang dan kapan harus meminta bantuan dari fungsi yang memiliki peran pengawasan. Tindakan tersebut sebaiknya dilakukan sebelum risiko berkembang menjadi masalah besar.
Perusahaan juga dapat mengukur kemajuan melalui beberapa indikator. Misalnya, jumlah keputusan risiko yang dibuat di luar fungsi audit, tingkat keterlibatan pemilik risiko, serta seberapa jelas ekspektasi yang diberikan kepada mereka.
Analisis terhadap pola temuan juga dapat membantu perusahaan melihat apakah perilaku pengelolaan risiko mulai membaik.
Bagi CAE, perubahan pendekatan ini membuat audit internal tidak berhenti pada pencatatan kelemahan. Audit dapat membantu organisasi membangun kemampuan manajemen untuk mengenali dan menangani risiko lebih awal.
Artikel ini telah diterbitkan oleh Gartner, dengan judul How to Build Risk Ownership That Delivers on Executive Expectations. Artikel selengkapnya dapat dibaca di sini.
