e-ISSN: 2548-9925
Peran Auditor Internal dalam Implementasi Manajemen Risiko pada Perguruan Tinggi
Retnoningrum Hidayah a* , Sukirman b , Dhini Suryandari c , Rita Rahayu d a Jurusan Akuntansi, Fakultas Ekonomi, Universitas Negeri Semarang, retnoningrum.hidayah@mail.unnes.ac.id, Indonesia
b,c Jurusan Akuntansi, Fakultas Ekonomi, Universitas Negeri Semarang, Indonesia
d Jurusan Akuntansi, Fakultas Ekonomi, Universitas Andalas, Padang, Indonesia
Abstract. Implementation  of  risk  management  applies  not  only  to  companies  but  also  to  universities.  However,  the implementation  of  risk  management  to  universities  is  still  limited  and  still  needs  improvement.  This  limitation  is  due  to  the absence of special units in universities dealing with risk management issues. This article focuses on the implementation of risk management at Universitas Negeri Semarang by using descriptive analysis. The results show that Internal Control Unit on Unnes has  run  the  IIA  (2009)  mandate  related  to  its  participation  in  the  implementation  of  risk  management  system  by  sticking  to independence and objectivity. Furthermore, the implementation of three line of defenses on Universitas Negeri Semarang has not been able to be implemented. This is due to the lack of resources in the field of risk management, as well as limited scope. Therefore,  it  is  expected  that  the  internal  control  unit  able  to  always  increase  their  role  in  developing,  implementing  and evaluating risk management system in universities.
Keywords: internal control unit, higher education, risk management

## Pendahuluan
Good corporate governance merupakaan dambaan setiap  entitas.  Dengan  tata  kelola  yang  baik  maka kinerja  perusahaan  pun  akan  meningkat.  Hal  ini selaras  dengan  pendapat  Abbot  (2004)  yang mengungkapkan  bahwa  apabila  suatu  organisasi memiliki  tata  kelola  yang  baik  maka  kinerja  dari organisasi tersebut akan meningkat. Untuk menjamin penerapan good  corporate  governance maka  auditor internal  sangat  dibutuhkan.  Auditor  internal  memilki peran yang signifkan bagi suatu entitas. Peran auditor internal  meliputi  evaluasi  dan  berkontribusi  pada peningkatan  manajemen  risiko,  pengendalian,  tata kelola  perusahaan  (IIA,  2004).  Salah  satu  peran auditor internal yaitu dalam bidang manajemen risiko. Sesuai IIA 2009, auditor internal memiliki peran untuk memberikan  layanan assurance maupun  konsultasi. Lebih  lanjut  Practice  Advisory  2120  menyebutkan bahwa  internal  auditor  harus  mampu  mengevaluasi
* Corresponding author. E-mail: retnoningrum.hidayah@mail.unnes.ac.id
efektivitas  dari  manajemen  risiko  dan  berkontribusi untuk meningkatkan proses manajemen risiko.
Auditor internal tak hanya milik perusahaan namun seluruh entitas bisnis perlu memiliki auditor internal. Lebih  lanjut,  Sawyer  (2007)  menyatakan  bahwa pengendalian internal memiliki peranan yang penting bagi  keberlangsungan  suatu  entitas.  Oleh  karena  itu Satuan Pengawas Internal (SPI) pada perguruan tinggi diharapkan  mampu  mewujudkan Good  University Governance (GUG), yang mana hal ini sesuai dengan mandat dari PP no.4 tahun 2014 bahwa SPI memiliki fungsi  pengawasan  nonakademik  pada  perguruan tingginya. Selanjutnya, dipertegas kembali oleh PMK 200  tahun  2017  bahwa  SPI  harus  menciptakan  dan memelihara  lingkungan  pengendalian  agar  mampu mencapai efektivitas dan efisiensi kegiatan BLU.
Lebih  lanjut,  Universitas  Negeri  Semarang menjalankan  mandat  pemerintah  dengan  memiliki auditor internal yang disebut dengan Satuan Pengawas Internal  (SPI).  Salah  satu  peran  SPI  adalah berkontribusi  dalam  bidang  penerapan  manajemen
risiko.  Menurut  IFC  (2012)  bahwa  terdapat  empat risiko  yang  timbul  dalam  perjalanan  suatu  entitas diantaranya 1) Risiko strategis yaitu suatu risiko yang muncul  dari  akibat  proses  bisnis  maupun  non-bisnis; 2)  Risiko  operasional  yaitu  risiko  yang  muncul  di dalam pengelolaan operasional perguruan tinggi baik meliputi bidang akademik, dan non-akademik maupun kerjasama  dalam  negri  dan  luar  negri;  3)  Risiko keuangan, merupakan risiko yang muncul terkait hal- hal yang dapat mempengaruhi stabilitas keuangan; 4) Risiko  hazard,  merupakan  risiko  akibat  adanya bencana  seperti  bencana  alam,  kebakaran,  wabah penyakit  dan  lain-lain.  Oleh  karena  itu,  artikel  ini membahas  terkait  peran  Satuan  Pengawas  Internal pada  Universitas  Negeri  Semarang  di  dalam penerapaan  manajemen risiko demi pencapaian good university governance.

## Kajian Pustaka
Peran  Auditor  Internal  dalam  Enterprise  Risk

## Management (ERM)
Peran internal auditor telah  mengalami pergeseran dari  penasihat  pengendalian  ke  konsultan  yang menciptakan  nilai  lebih  dalam  mendukung  tujuan organisasi, memantau risiko perusahaan dan memastikan  efektivitas  pengendalian  internal.  Lebih lanjut, IIA (2009) memberikan pedoman tentang peran audit  internal  yang  harus,  boleh,  dan  tidak  boleh dilaksanakan  di  dalam  proses  ERM  organisasi. Adapun detail penjelan IIA (2009) dijabarkan sebagai berikut:
Peran  inti  audit  internal  dalam  ERM  terdiri  dari layanan assurance dan  layanan  konsultasi.  Adapun layanan assurance yang meliputi: a. Memberikan keyakinan pada desain dan efektivitas proses manajemen risiko;
b. Memberikan  keyakinan  bahwa  risiko  dievaluasi dengan benar;
c. Mengevaluasi proses manajemen risiko;
d. Mengevaluasi  pelaporan  mengenai  status  dari risiko-risiko kunci dan pengendaliannya;
e. Meninjau pengelolaan risiko-risiko kunci, termasuk efektivitas dari pengendalian dan respons lain terhadap risiko-risiko tersebut.
Selanjutnya,  pemberian  layanan  konsultasi  oleh auditor  internal  dengan  tetap  memegang  teguh independensi dan objektivitas yang meliputi: a. Pembentukan ERM dalam organisasi;
b. Pengembangan  strategi  manajemen  risiko  bagi persetujuan Dewan;
c. Memberikan  fasilitas  identifikasi  dan  evaluasi risiko;
d. Pelatihan manajemen tentang bagaimana merespons risiko;
e. Melakukan koordinasi kegiatan ERM;
f. Mengonsolidasi laporan mengenai risiko;
g. Memelihara dan mengembangkan konsep ERM.
Sedangkan peran auditor internal dalam ERM yang tidak boleh dilakukan yaitu:
a. Mengatur minat risiko ( risk appetite );
b. Menerapkan proses manajemen risiko;
c. Menjamin manajemen risiko;
d. Membuat keputusan pada respons risiko;
e. Menerapkan  respons  dan  manajemen  risiko  atas nama manajemen;
f. Akuntabilitas manajemen risiko.
(Sumber: IIA, 2009) Gambar 1 Peran Internal Auditor-ERM

## Risiko
Terdapat  berbagai  macam  definisi  risiko.  ISO 31000 menyatakan bahwa risiko merupakan pengaruh ketidakpastian  pada  tujuan.  Sedangkan  ERM-COSO bahwa risiko merupakan peristiwa yang mungkin akan terjadi dan akan mempengaruhi sasaran (YPIA, 2015). Selanjutnya  definisi  ini  memiliki  tiga  unsur  penting yaitu 1) Kejadian, 2) Masih berupa kemungkinan, 3) Bila benar-benar terjadi maka akan berdampak buruk berupa  kerugian.  Lebih  lanjut  IFC  (2012)  memiliki definisi sendiri terkait risiko yaitu :
“Risk is a concept linked to human expectations. It indicates  a  potential  negative  effect  on  an  asset that may derive from given processes in progress or  given  future  events.  In  the  common  language,
risk is often used as a synonym of probability of a loss  or  of  a  danger.  In  the  assessment  of professional risk, the concept of risk combines the probability of an event occurring with the  impact that  event  may  have  and  with  its  various circumstances of happening.”
Sehingga dapat disimpulkan bahwa risiko merupakan segala sesuatu yang negatif yang mungkin terjadi  di  kemudian  hari,  yang  berkaitan  dengan harapan  manusia  dan  memberikan  efek  buruk  di kemudian  hari;  kemungkinan  kehilangan  atau  dalam kondisii berbahaya. Selanjutnya IFC (2012) menggolongkan  risiko  menjadi  empat  yaitu  risiko keuangan,  risiko  operasional,  risiko  strategis,  dan hazard risk . 1. Risiko  keuangan,  risiko  yang  berkaitan  dengan kondisi keuangan entitas seperti:
a. kredit ( default, downgrade )
b. harga ( commodity, interest rate, exchange rate ) c. likuiditas ( cash flow )
2. Risiko  operasional,  yaitu  segala  macam  risiko yang  berkaitan  dengan  proses  operasional  bisnis entitas, seperti:
a. Business  operations  (efficiency,  supply  chain, business cycles)
b. teknologi informasi
3. Risiko strategik, merupakan risiko yang berkaitan dengan strategis entitas seperti:
a. Reputational (i.e., bad publicity)
b. Demographic and social/cultural trends
c. kebijakan dan peraturan pemerintah
4. Hazard risk , merupakan segala macam risiko yang muncul akibat bencana atau bahaya seperti: a. kebakaran, kerusakan properi
b. pencurian, tindakan kriminal
c. wabah penyakit
Risiko  dalam  suatu  organisasi  memang  tak  dapat dihilangkan namun risiko ini dapat diminimalisir. IFC (2012)  meyakini  bahwa  terdapat  cara  untuk meminimalisir suatu risiko diantaranya: a. Risk avoidance, merupakan keputusan untuk tidak melakukan  aktivitas  yang  mengandung  risiko sehingga dalam memutuskan suatu kegiatan perlu melalui  pertimbangan  yang  matang  dengan menganalisis positif dan negatifnya.
b. Risk  reduction/ mitigasi  merupakan  suatu  langkah untuk meminimalisir risiko dengan cara mengurangi segala aktivitas yang memicu risiko. c. Risk transfer, merupakan suatu metode pemindahan risiko kepada pihak lain, dapat berupa surat kontrak, asuransi dan lain-lain.
d. Risk retention, merupakan suatu metode terakhir di mana para pelaku entitas harus mampu menerima kenyataan  bahwa  risiko  tersebut  tidak  dapat dihilangkan  dan  harus  diterima  sebagai  suatu rangkaian proses kegiatan.

## Sistem Manajemen Risiko
Berdasarkan  ISO  31000:2009 Risk  Management- Principles and Guidelines , praktik terbaik manajemen risiko  melibatkan  seluruh  bagian  dari  organisasi. Keterlibatan  organisasi  secara  keseluruhan  pada kegiatan manajemen risiko menuntut adanya pembagian  peran  dan  tanggung  jawab  yang  jelas, dengan  turut  mempertimbangkan  kompetensi  dan peran  lain  dari  tiap  unit  tersebut.  Hal  ini  diperlukan agar  tidak  terjadi  tumpang  tindih, missing  link ,  atau inefisiensi  pada  kegiatan  manajemen  risiko.  Lebih lanjut,  YPIA  (2015)  menyatakan  bahwa  manajemen risiko  merupakan  pengelolaan  atas  ketidakpastian yang secara ringkas dapat dikatakan bahwa penilaian risiko  bertujuan  untuk  memberikan  bantuan  bagi organisasi  untuk  mengelola  risiko  yang  mungkin dihadapinya.
Selanjutnya,  di dalam  penangan  risiko  dikenal istilah 3 rd line of defense yang merupakan mekanisme pertahanan  secara  berlapis  untuk  mengelola  risiko yang  terdiri  dari  unit  bisnis,  manajemen  dan kepatuhan, dan audit internal. ERMS (2018) meyakini bahwa  apabila  di  dalam  perusahaan  memiliki kematangan dan efektifitas penerapan Enterprise Risk Management (ERM)  maka  akan  tercermin  dari efektifitas penerapan model 3LD ini. Semakin matang model ini diterapkan, semakin intens terciptanya suatu budaya  manajemen  risiko  yang  terpadu  di  seluruh proses  dan  seluruh  lini  entitas,  menuju  suatu  tingkat daya tahan organisasi (organizational resilience) yang kokoh dan menyeluruh.
Sumber: CRMS, 2018 Gambar 2 Three Line of Defence

## Metode Penelitian
Artikel  ini  merupakan  studi  kasus  pada  perguruan tinggi  Universitas  Negeri  Semarang.  Sedangkan  data diperoleh  dari  kajian  pustaka  atau literature  review atas  beberapa  dolumen  yang  ada,  serta  penelitian- penelitian terdahulu, maupun sumber-sumber pustaka yang  diyakini  kevalidannya.  Adapun  teknik  analisis yang digunakan adalah analisis deskriptif.

## Hasil dan Pembahasan
Peran  Auditor  dalam  Penerapan  Manajemen  Risiko Perguruan Tinggi
Auditor internal yang dalam hal ini disebut sebagai Satuan  Pengawas  Internal  Unnes  telah  melakukan perannya  dengan  memastikan  desain  manajemen risiko pada lembaga telah sesuai dengan kaidah yang semestinya. Selanjutnya, SPI juga melakukan evaluasi terhadap  proses  manajemen  risiko  yang  berlangsung dan memantau penangan risiko yang ada. Secara garis besar,  maka  peran  auditor  internal  dalam  ERM  telah dilaksanakan  dengan  baik  oleh  SPI  Unnes.  Adapun yang  telah  dilakukan  oleh  SPI  Universitas  Negeri Semarang  dalam  hal  penerapan  manajemen  risiko  di perguruan tinggi yaitu:
a. SPI  telah  memberikan  keyakinan  pada  desain manajemen risiko;
b. SPI  telah  memprakarsai  penerapan  manajemen risiko, meskipun hingga saat ini implementasinya belum  mampu  maksimal  dikarenakan  kurangnya kesadaran  lembaga  akan  pentingnya  manajemen risiko;
c. SPI telah menfasilitasi untuk melakukan identifikasi  risiko  sesuai  dengan  kebutuhan lembaga  dengan  merujuk  pada  peraturan  BPKP yang  mana  telah  disesuaikan  dengan  kebutuhan lembaga;
d. SPI  telah  menjalankan  peran  untuk  melakukan koordinasi, monitoring dan  juga  pelaporan efektivitas manajemen risiko kepada pimpinan.
Selanjutnya,  SPI  bersama  dengan auditee telah melakukan penelaahan dan diskusi yang menghasilkan bahwa  model  manajemen  risiko  yang  cocok ditetapkan  pada  perguruan  tinggi  yaitu  manajemen risiko  yang  mengacu  pada  ISO  31000:2009,  dengan detail sebagai berikut dari:
1. Menyusun  konteks  yang  akan  dicermati  meliputi pengamatan  visi  misi,  penyusunan  kriteria  risiko yang sesuai dengan kondisi pergurusan tinggi;
2. Penilaian  risiko  yang  meliputi  identifikasi  risiko, analisis risiko, evaluasi risiko;
3. Pengelolaan risiko;
4. Keseluruhan  tahapan  tersebut  senantiasa  diiringi dengan  proses  komunikasi,  konsultasi  dan monitoring. Komunikasi, konsultasi dan monitoring  merupakan  hal  yang  penting  bagi ERM. Melalui proses komunikasi yang baik maka akan  dapat  dilakukan  evaluasi  terhadap  setiap tahapan ERM.

## Gambar 3 ERM
Secara  penuh,  model  manajemen  risiko  dapat merujuk pada ISO 31000:2009, dengan menggunakan pedoman  peraturan  dari  BPKP.  Namun  apabila dicermati lebih lanjut model ISO ini sebenarnya tidak jauh  berbeda  dengan  model  AS/NZ  4360.  Peran  SPI Unnes  dalam  bidang  manajemen  risiko  telah dilaksanakn sesuai dengan paraturan IIA 2009. Namun cita-cita luhur SPI untuk menerapkan 3rd line defense seperti  layaknya  di  perusahaan  belum  mampu terwujud.  Hal  ini  dikarenakan  adanya  perbedaan karakter  proses  bisnis  antara  perusahaan  dengan perguruan  tinggi.  Lebih  lanjut,  di  dalam  perguruan tinggi belum mampu menyediakan sumber daya sesuai kebutuhan 3rd line defense serta tingkat kompleksitas proses  bisnis  yang  tidak  begitu  tinggi  membuat 3rd line defense belum diimplementasikan.
Oleh  karena  itu  secara  garis  besar  dapat disimpulkan  bahwa  peran  SPI  dalam  hal  penerapan manajemen  risiko  di  perguruan  tinggi  telah  berjalan sesuai dengan ketentuan. Namun perlu digarisbawahi, bahwa  penerapan  manajemen  risiko  tersebut  masih perlu  ditingkatkan  serta  perlunya  kesadaran  seluruh
komponen  lembaga  untuk  menerapkan  sistem manajemen risiko secara berkesinambungan.

## Penutup
Berdasarkan  penjabaran  yang  telah  dilakukan  di atas  menunjukkan  hasil  bahwa  Satuan  Pengawas Internal (SPI) Universitas Negeri Semarang (UNNES) telah  menjalankan  perannya  dalam  implementasi risiko. Model penilaian risiko yang tepat untuk Unnes adalah  dengan  menerapkan  sistem  manajemen  risiko sesuai dengan ISO 31000:2009 yang telah disesuaikan dengan  kebutuhan  Unnes.  Lebih  lanjut,  hal  tersebut juga merujuk pada peraturan BPKP Peraturan Kepala BPKP  tahun  2012  PER-688/K/D42012  yang  mana dianggap  paling  memiliki  kemiripan  dengan  kondisi karakter Unnes. Untuk masa yang akan datang peran Satuan  Pengawas  Internal  UNNES  harus  terus ditingkatkan dengan melakukan upgrade sumber daya manusia melalui pengiriman delegasi untuk pelatihan, seminar maupun sertfiikasi. Hal ini dimaksudkan agar SPI  senantiasa  memiliki  Selain  itu,  perlu  dibentuk suatu  unit  kerja  khusus  yang  menangani  manajemen risiko sehingga implementasi manajemen risiko dapat benar-benar optimal. Namun dalam kondisi yang tidak memungkinkan untuk dibentuknya unit kerja manajemen risiko maka penilaian risiko secara berkala di  Unnes  hendaknya  dilaksanakan  secara  rutin  yaitu sekurang-kurangnya dua (2) tahun sekali agar mampu meningkatkan good university governance .

## References
Abbott,  L.J.,  Parker,  S.&  Peters,  G.F.  (2004).  Audit  committee characteristics  and  restatements. Auditing:  Journal  of Practice and Theory, 19 (2), 47- 66.
Association of Chartered Certified Accountant-ACCA. Governance,  Risk  and  Ethics .  Bershire;  Emile  Woolf Publishing.
Cendrowski, H. & Mair, W.C. (2009). Enterprise risk management and  COSO:  a  guide  for  directors,  executives,  and practitioners. New Jersey: John Wiley & Sons Inc.
COSO Enterprise Risk Management (ERM)-Integrated Framework (Executive
Summary). http://www.coso.org/publications/erm/coso_erm_executives ummary.pdf.
Diermeier, Daniel. (2008). Measuring and Managing Reputational Risk . Risk Management, March 2008-Issue 12.
Financial  Reporting  Council.  (2012). United  Kingdom  Corporate Governance  Code .  England:  Financial  Reporting  Council
Limited. Retrieved
from
http://www.slc.co.uk/media/78872/uk-corporate- governance-code-september-2012.pdf
Flanagan,  R  &  Norman,  G.  (1993). Risk  Management  and Con struction. Blackwell Science, London.
International Finance Corporate. (2012). Risk Taking: A Corporate Governance Perspective.
Institute of Internal Auditors. (2009) . IIA Position Paper: The Role of Internal Auditing in Enterprise-Wide Risk Managemen t.
Moeller,  R.  (2007). COSO  enterprise  risk  management: understanding  the  new  integrated  ERM  framework. New Jersey: John Wiley & Sons Inc.
The  Institute  of  Risk  Management.  (2014). A  Risk  Management Standard . London. The Institute of Risk Management
Sawyer,  Lawrence B, Dittenhofer Mortimer A, Scheiner James H, (2006). Internal  Auditing ,  Diterjemahkan  oleh:  Ali  Akbar, Jilid 3, Edisi 5, Salemba Empat: Jakarta.
Weller,  Nick.  2008.  Strategic  and  Operattional  Risk. Student Accountant , September, 2008, pp 34-35.
Yayasan Pendidikan Internal Audit. 2015. Peran Audit Intern dalam Good  Corporate  Governance  dan  Manajemen  Risiko . Jakarta: Yayasan Pendidikan Internal Audit.