JURNAL AKUNTANSI , 12 (1), 104- 126.  Fakultas Ekonomi dan Bisnis Universitas Katolik Indonesia Atma Jaya Gedung Karol Wojtyla, Jalan Jenderal Sudirman 51 Jakarta 12930
Penerapan Risk Based Internal Auditing : Studi Kasus pada Plan International Indonesia
Anitaria Siregar *
Siti Nurwahyuningsih Harahap †

## ABSTRACT
The  purposes  of  this  research  is  to  assess  risk  maturity  of  Plan  International Indonesia  to  determine  whether  Plan    International  Indonesia  could  implement the Risk Based Internal Auditing (RBIA) approach. Methodology which is used is descriptive  methodology  with  qualitative  approach. The  Institute  of  Internal Auditors (2014)  suggests the factors that can be taken into account when doing the  assessment  of  risk  maturity,  and  these  factors  are  used  for  doing  the assessment on this research. The result of this research shows the risk maturity of Plan  International  Indonesia  is  risk  managed  stage  which  mean  Plan International Indonesia is ready to implement the RBIA approach. Risk managed also  has  the  meaning  that  risk  register  of  Plan  International  Indonesia  can  be used as the base for the audit planning in this approach. The audit strategy that will be used are management view of risk drives audit plan, assurance being given for  the  risk  management  and  mitigation,  and  consulting  service  to  improve  risk management .  Audit  internal  team  needs  to  improve  their  capacity  before implementation of this approach and also communication and socialization must be done to entire organization.
Keywords: risk  register,  risk  maturity,  risk  managed,  audit  strategy,  risk management
* Unika Atma Jaya, Jakarta, anitaria.siregar@yahoo.co.id
† Fakultas Ekonomi dan Bisnis, University Indonesia, Jakarta, Indonesia

## 1. PENDAHULUAN
Survei  yang  dilakukan  oleh  Association  of  Certified  Fraud  Examiners/ACFE (2016)  menyebutkan  bahwa non-profit  organization ( religious,  charitable, atau social  services )  merupakan  salah  satu  jenis  industri  yang  menjadi  korban  dari fraud. Berdasarkan persentase frekuensi dan median loss untuk jenis-jenis industri yang  menjadi  korban fraud, organisasi  nonprofit  menduduki  posisi  keempat.
Risiko fraud dinilai  sebagai  risiko  yang  tinggi  bukan  hanya  karena  kerugian dalam  nilai  finansial  yang  signifikan,  melainkan  juga  karena  faktor-faktor  lain, misalnya  reputasi.  Richards,  Melancon,  dan  Ratley  (2007)  menyebutkan  bahwa fraud bukan hanya terkait dengan jumlah moneter yang signifikan, melainkan juga pengaruhnya  terhadap  laporan  keuangan  organisasi,  operasi  dan  reputasi,  serta kepatuhan terhadap hukum dan peraturan. Pada tahap awal penilaian risiko fraud , risiko fraud harus dipertimbangkan sebagai inherent risk , tanpa mempertimbangkan  pengendalian-pengendalian  yang  mengatasi  risiko fraud tersebut.
Plan  International,  yang  berdiri  sejak  tahun  1937,  merupakan  salah  satu organisasi  nonprofit  tertua  dan  terbesar  di  dunia  yang  bergerak  pada pengembangan masyarakat dengan berfokus pada anak. Plan International bekerja di  tujuh  puluh  negara  di  seluruh  dunia,  salah  satunya  di  Indonesia,  yaitu  Plan International  Indonesia.  Plan  International  memandang  risiko fraud secara  serius karena  Plan  International  bertanggung  jawab  kepada  donor  perseorangan  dan organisasi  serta  institusi  yang  telah  mendukung  pekerjaan  Plan  International selama  ini  dan  juga  untuk  keberlanjutan  kehidupan  organisasi  sehingga  misi organisasi  dapat  tercapai. Global  anti-fraud,    anti-bribery, dan corruption  policy dibuat untuk mencegah dan mengurangi risiko fraud dan ini berlaku untuk semua staf, sukarelawan, dan partner Plan (Plan International, 2016a). Plan International menerapkan  “ zero  tolerance  towards  fraud ”  serta  menempatkan fraud sebagai inherent  risk bagi  organisasi  sehingga  risiko fraud merupakan risiko  yang  tinggi bagi organisasi (Plan International, 2014a).
[ ANITARIA SIREGAR DAN SITI NURWAHYUNINGSIH HARAHAP]
Risiko  yang  dihadapi  oleh  Plan  International  Indonesia,  seperti  diuraikan sebelumnya, didasarkan pada karakteristik organisasi sebagai organisasi nonprofit (risiko fraud ) atau risiko yang terkait dengan perubahan internal Plan International Indonesia  itu  sendiri.  Perubahan  yang  dilakukan  internal  Plan  International Indonesia,  yaitu  perubahan  perencanaan  strategi  organisasi  lima  tahunan, membuat  risiko  operasi  organisasi  semakin  meningkat  atau  berubah.  Plan International  juga  menyadari  bahwa  operasi  organisasi  dilakukan  dalam lingkungan yang tidak dapat diprediksi (faktor eksternal) yang juga menimbulkan risiko  bagi  organisasi.  Akibatnya,  pekerjaan  mereka  selalu  dibentuk  dan dipengaruhi oleh risiko-risiko yang mereka hadapi tersebut. Agar dapat mengelola risiko  secara  efektif  untuk  mendukung  pencapaian  tujuan  strategisnya,    Plan International  telah  membentuk  kebijakan  mengenai  pengelolaan  risiko.  Harapan dari  pembuatan  kebijakan  ini  adalah  agar  terbentuk  sistem  manajemen  dan  tata kelola yang menunjukkan bahwa risiko-risiko yang signifikan telah diidentifikasi, dinilai  dan  dikelola,  serta  dimonitor  (Plan  International,  2013).  Menurut  The Institute of Internal Auditors (IIA, 2015), keperluan untuk mengelola risiko telah diakui  sebagai  bagian  penting  dalam  praktik  tata  kelola  korporat  yang  baik.  Hal ini  telah  membuat  organisasi  di  bawah  tekanan  yang  semakin  meningkat  untuk mengidentifikasi  risiko  yang  mereka  hadapi  dan  menjelaskan  bagaimana  mereka mengelolanya.
Tanggung  jawab  untuk  mengidentifikasi  dan  mengelola  risiko  adalah  milik manajemen dan salah satu  peranan kunci  dari audit internal  adalah   memberikan asurans bahwa risiko-risiko organisasi tersebut telah dikelola dengan baik. Sawyer (2012)  menyebutkan  peran  utama  audit  internal  dalam  pengelolaan  risiko organisasi ialah  memberikan asurans bahwa proses pengelolaan  risiko  organisasi telah  menghasilkan  informasi  mengenai  risiko  organisasi  yang  lengkap,  dapat diandalkan  serta  akurat.  Pendekatan  audit yang  menghubungkan  internal  audit dengan  keseluruhan  kerangka  kerja  manajemen  risiko  organisasi  adalah pendekatan risk  based  internal  auditing (RBIA).  RBIA  memperkenankan  audit internal  untuk  memberikan  asurans  bahwa  proses  manajemen  risiko  telah mengelola  risiko  secara  efektif  sesuai  dengan risk  appetite organisasi ( The
Institute  of  Internal  Auditors ,  2015). Dengan  menempatkan  pekerjaannya  pada konteks  kerangka  kerja  pengelolaan  risiko  yang  dimiliki  organisasi,  dipercaya bahwa  audit  internal  akan  baik  dalam  mencapai  targetnya  sebagai cornerstone dari  tata  kelola.  Akan  tetapi,  pada  s aat  ini  dalam  menjalankan  fungsinya,  unit audit  internal  Plan  Indonesia  belum  menggunakan  pendekatan  berbasis  risiko. Departemen  internal  audit    lebih  berfokus  pada  area  keuangan,  mengutamakan kepatuhan  pada  kebijakan  dan  prosedur  internal,  serta  menetapkan  siklus  audit secara berkala tanpa memperhatikan tingkat risiko.
Mengingat tata kelola yang baik merupakan hal penting bagi organisasi untuk meningkatkan akuntabilitasnya dan pengelolaan risiko merupakan bagian penting dari  tata  kelola  yang  baik  ini,  maka  Plan  Indonesia  perlu  menerapkan  RBIA. Dengan  pendekatan  RBIA,  unit  audit  internal  berfokus  pada  risiko-risiko  yang mengancam  pencapaian  tujuan  organisasi  sehingga  pengalokasian  sumber  daya manusia yang terbatas (tiga personel,  yang terdiri atas satu manajer dan dua staf) dapat lebih optimal.
Sebelum pengimplementasian RBIA, terlebih dahulu dilakukan penilaian atas level risk  maturity organisasi  karena  dengan  mengetahui  level risk  maturity , dapat  ditentukan  apakah  organisasi  tersebut  dapat  menerapkan  RBIA  atau  tidak. Risk maturity adalah tingkat  pengetahuan organisasi  mengenai  risiko  dan tingkat penerapan manajemen risiko pada organisasi tersebut (Griffiths, 2015). Tingkatan risk  maturity menurut The  Institute  of  Internal  Auditors (2014)  ada  lima,  yaitu risk  enabled , risk  managed , risk  defined , risk  aware, dan risk  naive .  Apabila organisasi  masih  pada  tingkat risk  aware dan risk  naïve, belum  dapat  secara langsung  menerapkan  pendekatan  RBIA.  Untuk  penerapan  RBIA,  IIA  juga mengeluarkan metode audit yang berbasis risiko.
Objek  penelitian-penelitian  terdahulu  yang  terkait  dengan  RBIA  adalah perusahaan  swasta  dan  instansi  pemerintah.  Penelitian  ini  berbeda  dengan penelitian-peneltitian sebelumnya karena dilakukan pada organisasi nirlaba.
Sesuai dengan latar belakang yang telah diuraikan di atas, diperoleh rumusan masalah yang akan dibahas dalam penelitian ini.
PENERAPAN RISK BASED INTERNAL AUDITING :
STUDI KASUS PADA PLAN INTERNATIONAL INDONESIA
[ ANITARIA SIREGAR DAN SITI NURWAHYUNINGSIH HARAHAP]
1. Bagaimanakah tingkat risk maturity Plan International Indonesia?
2. Apakah Plan International Indonesia dapat menerapkan pendekatan RBIA?
3. Bagaimana  strategi  audit  yang  akan  digunakan  dalam  penerapan pendekatan RBIA pada Plan International Indonesia tersebut?
Tujuan  penelitian  ini  adalah  menilai risk  maturity Plan  International Indonesia  untuk  menentukan  apakah  Plan  International  Indonesia  telah  dapat menerapkan  pendekatan  RBIA serta  merumuskan  strategi  audit  yang  akan digunakan  dalam  rangka  penerapan  RBIA pada  Plan  International  Indonesia tersebut.

## 2. TINJAUAN LITERATUR
Sawyer (2012) menyatakan bahwa auditor internal tidak lagi secara khusus hanya melakukan  penugasan-penugasan  audit,  tetapi  juga  memberikan  bermacam- macam jasa asurans dan konsultasi. Mengenai struktur dan strategi kegiatan audit internal, Sawyer (2012) menyebutkan bahwa penetapan dan penyusunannya harus meningkatkan nilai mereka bagi organisasi, tetapi tetap menjaga independensinya. Audit charter dan kebijakan organisasi terkait dengan hal ini akan menjadi wadah untuk  menginformasikan  ke  seluruh  organisasi  mengenai  misi  dan  cakupan kegiatan  audit  internal  tersebut.  Auditor  internal  harus  memastikan  bahwa audit charter tersebut  harus  memberikan  kerangka  kerja  yang  membuat  mereka berfungsi  secara  independen  dan  objektif. The  Institute  of  Internal  Auditors
(2013) memberikan Model Internal Audit Activity Charter dengan memuat pokok- pokok  isi  sebagai  berikut: introduction,  role,  professionalism,  authority,
organization,  independence  and  objectivity,  responsibility,  internal  audit  plan, reporting and monitoring , serta quality assurance and improvement program, dan telaah dan persetujuan dari senior manajemen dan komite audit.
Perubahan  yang  terjadi  sangat  cepat  dalam  dunia  bisnis    akibat  dari globalisasi  dan perubahan teknologi  sehingga  mengharuskan audit internal  untuk mampu  menyesuaikan  diri.  Menurut  Harrington  dan  Piper  (2015),  berdasarkan
survei yang dilakukan terhadap praktisi internal audit global, ada sepuluh hal yang harus      dikembangkan  oleh  audit  internal  agar  mereka  dapat  berkembang  secara profesional dan lebih memberi nilai tambah bagi organisasi mereka. Salah satunya adalah  mengembangkan  perencanaan  dan  pekerjaannya  berdasarkan  praktik pengelolaan risiko ( develop forward-looking risk management practices ) .
Berdasarkan peranan audit internal dalam manajemen risiko, salah satu peran utamanya  adalah  memberikan  asurans  apakah  risiko-risiko  organisasi  telah dikelola  dengan  baik.  Jadi,  RBIA  menjadi  metode  yang  dapat  digunakan  oleh auditor internal untuk menjalankan peranannya tersebut. The Institute of Internal Auditors (2014)  juga  menyebutkan  bahwa  RBIA  bukan  mengenai  audit  risiko, melainkan audit mengenai manajemen dari risiko.
Menurut The Institute of Internal Auditors (2015),
RBIA as  a  methodology  that  links  internal  auditing  to  an  organisation's overall  risk  management  framework. RBIA allows  internal  audit  to  provide assurance  to  the  board  that  risk  management  processes  are  managing  risks effectively, in relation to the risk appetite.
Menurut The  Institute of  Internal  Auditors (2015), dengan penerapan RBIA,
audit internal akan dapat menyimpulkan apakah
1. manajemen telah mengidentifikasi, menilai, dan merespon risiko yang di atas dan di bawah risk appetite ;
2. respon  terhadap  risiko  tersebut  efektif,  tetapi  tidak  berlebihan  dalam mengelola inherent risk yang masih dalam risk appetite;
3. ketika residual risks tidak sesuai dengan risk appetite, tindakan-tindakan telah dilakukan untuk memperbaikinya;
4. proses  manajemen  risiko,  termasuk  efektivitas  dari  respon  serta penyelesaiannya,  dimonitor  oleh  manajemen  untuk  memastikan  proses manajemen risiko tersebut berjalan terus secara efektif;
PENERAPAN RISK BASED INTERNAL AUDITING :
STUDI KASUS PADA PLAN INTERNATIONAL INDONESIA
[ ANITARIA SIREGAR DAN SITI NURWAHYUNINGSIH HARAHAP]
5. risiko-risiko,  respon,  dan  tindakan-tindakannya  telah  diklasifikasi  dan dilaporkan secara benar.
Ada  tiga  tahapan  penerapan  dan  pengoperasian  RBIA  ini  menurut The Institute of Internal Auditors (2014).
Tahap ke-1 : Assessing risk maturity
Dalam  tahap  ini  diharapkan  ada  gambaran  bagaimana  manajemen  menentukan, menilai,  mengelola,  dan  memonitor  risiko-risiko.  Hal  ini  akan  memberikan petunjuk apakah risk register dapat diandalkan untuk tujuan perencanaan audit.
Menurut Pickett (2005b), peran risk register dalam proses pengelolaan risiko sangatlah  penting. Risk  register mendokumentasikan  semua  siklus  dari  risiko; mulai  dari  identifikasi,  penilaian,  dan  manajemen  yang  terlibat. Risk  register ini juga menjadi “ focal point ” untuk keseluruhan proses audit. Seperti apa pun format dari risk  register yang  digunakan,  organisasi  yang  telah  matang  dalam pengelolaan  risiko  akan  memastikan  semua  manajer  telah  menilai  risiko  mereka dan  mendokumentasikan  hasilnya  dalam risk  register. Dengan  kata  lain,  Pickett (2005a)  menyebutkan risk  register sebagai  alat  untuk  menangkap  penilaian- penilaian  serta  putusan-putusan  yang  dibuat  terkait  dengan  risiko  yang  telah diidentifikasi.
Tahap ke-2 : Periodic audit planning
Dalam  tahap  ini  didentifikasi  penugasan  asurans  dan  konsultasi  untuk  waktu tertentu,  biasanya  tahunan,  dengan  mengidentifikasi  dan  memberi  prioritas terhadap semua area yang diharuskan oleh dewan ( board ) sebagai objek asurans, termasuk  risiko-risiko  utama  manajemen,  pendokumentasian,  dan  pelaporan risiko-risiko.
Tahap ke-3 : Individual audit assignments
Dalam  tahap  ini  dilakukan  penugasan  berdasarkan  risiko  untuk  memberikan asurans  berperan  dalam  kerangka  kerja  manajemen  risiko,  termasuk  mengurangi risiko atau risiko gabungan.
Dengan  menggunakan  dokumen  dan  informasi  yang  telah  dikumpulkan, dilakukan  penilaian  atas risk  maturity dari  organisasi  dengan  menggunakan tingkatan  berikut  ini: risk  enabled,  risk  managed,  risk  defined,  risk  aware, dan risk naïve.
Risk  enabled- manajemen  risiko  dan  pengendalian  internal  telah  melekat  secara penuh dalam operasi organisasi.
Risk  managed- pendekatan  menyeluruh  secara  organisasi  terhadap  manajemen risiko telah dikembangkan dan dikomunikasikan.
Risk defined- strategi  dan peraturan telah ada dan dikomunikasikan. Risk appetite telah ditetapkan .
Risk aware- pendekatan secara terpisah-pisah terhadap manajemen risiko.
Risk  naïve- tidak  ada  pendekatan  secara  formal  yang  dibentuk  untuk  manajemen risiko .
Menurut The  Institute  of  Internal  Auditors (2014),  faktor-faktor  yang  perlu dipertimbangkan  dalam  menilai risk  maturity suatu  organisasi  terdapat  dalam Tabel 1 berikut ini.
Tabel 1. Assessing the Organisation’s Risk Maturity Process Risk naïve Risk aware Risk defined Risk managed Risk enabled The organisation’s objectives are defined. Possibly Yes-but  may be no consistent approach. Yes Yes Yes Management have been trained to understand  what  risks are, and their responsibility for them. No Some  limited training Yes Yes Yes A  scoring  system  for assessing risks has been defined. No Unlikely, with no  consistent approach defined. Yes Yes Yes The risk appetite of the organization  has  been defined  in  term  of  the scoring system. No No Yes Yes Yes Processes have been defined No Unlikely Yes,  but  may not  apply  to Yes Yes
PENERAPAN RISK BASED INTERNAL AUDITING : STUDI KASUS PADA PLAN INTERNATIONAL INDONESIA [ ANITARIA SIREGAR DAN SITI NURWAHYUNINGSIH HARAHAP]
todetermine  risks,  and these have been followed. the whole organisation. All  risks  have  been collected  into  one  list. Risk have been allocated  to  specific job tittles. No Some incomplete lists may exist. Yes,  but  may not  apply  to the whole organisation. Yes Yes All  risks  have  been assessed in accordance with the defined scoring system. No Some incomplete lists may exist. Yes,  but  may not  apply  to the whole organisation. Yes Yes Response  to  the  risks have been selected and implemented. No Some responses identified. Yes,  but  may not  apply  to the whole organisation. Yes Yes Management  have  set up  methods  to  monitor the  proper  operations of key processes,
responses  and  actions plans (monitoring controls). No Some monitoring controls. Yes,  but  may not  apply  to the whole organisation. Yes Yes Risk are regularly reviewed by the organisation. No Some risks are  reviewed, but infrequently. Regular reviews, probably annually. Regular reviews, probably quarterly. Regular reviews, probably quarterly. Management report risk  to  directors  where responses have not managed  the  risks  to  a level acceptance to the board. No No Yes,  but  may be  no  formal process. Yes Yes All significant new projects  are  routinely assessed for risk. No No Most projects All projects All projects Responsibility  for  the determination, assessment, and management of risks is included in job descriptions. No No Limited Most job descriptions Yes Managers provide assurance on the effectiveness  of  their risk management. No No No Some managers Yes Managers are assessed on their risk management performance. No No No Some managers Yes Internal audit approach. Promote risk management and  rely  on alternative audit  planning Promote enterprise- wide approach  to risk Facilitate  risk management/li aise  with  risk management and use Audit risk management processes and use management Audit  risk manageme nt processes and use
method. management and  rely  on alternative audit planning method. management assessment  of risk where appropriate. assessment of  risk  as appropriate. manageme nt assessment of  risk  as appropriat e.
Sumber: The Institute of Internal Auditors (2014) appendix A.
Jika  organisasi  masih  pada  level risk  naïve atau risk  aware, organisasi  tidak secara  langsung  mengimplementasikan  RBIA.  Dari  hasil  penilaian  ini,  audit internal dapat membantu organisasi untuk meningkatkan proses manajemen risiko dan governance  processes dengan  melaporkan  hasil  penilaian  atas risk  maturity organisasi  kepada  manajemen/komite  audit,  dan  juga  dengan  menempatkan manajemen  risiko  di  seluruh  kegiatan  audit  internal.  Audit  internal  dapat  juga melakukan  kegiatan  penugasan  konsultasi  untuk  meningkatkan risk  maturity organisasi.
Gambar  1 di  bawah  ini  menunjukkan  strategi  audit  yang  dilakukan berdasarkan level dari risk maturity organisasi ( The Institute of Internal Auditors , 2014).
Gambar 1. Range of Audit Strategies
Sumber: The Institute of Internal Auditors (2014) hlm. 3.
[ ANITARIA SIREGAR DAN SITI NURWAHYUNINGSIH HARAHAP]

## 3. METODE PENELITIAN
Penelitian  ini  menggunakan  pendekatan  kualitatif  ( qualitative  approach )  karena hanya  dengan  pendekatan  ini,  penelitian  ini  dapat  dilakukan.  Ibrahim  (2015) menjelaskan  bahwa  pendekatan  kualitatif  adalah  cara  kerja  penelitian  yang menekankan  aspek  pendalaman  data  demi  mendapatkan  kualitas  dari  hasil  suatu penelitian. Dengan kata lain, pendekatan kualitatif adalah suatu mekanisme kerja penelitian  yang  mengandalkan  uraian  deskriptif  kata  atau  kalimat,  yang  disusun secara cermat dan sistematis mulai dari menghimpun data hingga menafsirkan dan melaporkan  hasil  penelitian.  Metode  yang  digunakan  adalah  metode  deskriptif. Metode  deskriptif  menurut  Ibrahim  (2015)  adalah  menggambarkan,  melukiskan, atau  memaparkan  keadaan  objek  yang  diteliti  sebagaimana  apa  adanya  sesuai dengan situasi dan kondisi ketika penelitian tersebut dilakukan.
Penulis mengumpulkan data dan menganalisis  kebijakan/ peraturan/ panduan/ toolkit terkait  dengan  manajemen  risiko, risk  register, dan  dokumen-dokumen terkait, seperti jobs description dan charters . Secara organisasi, Plan International Inc.  mempunyai  peraturan  terkait  dengan  pengelolaan  risiko,  yaitu Risk Management  Policy yang  disetujui  pada  bulan  Juni  2013,  dan  berlaku  untuk seluruh  Plan  di  seluruh  dunia,  termasuk  Plan  Indonesia.  Tujuan  peraturan  ini adalah
This  policy  sets  out  the  commitment  of  Plan  to  manage  risks  effectively  in order to support the achievement of its strategic objectives. The expectation is not  to  eliminate  all  risk,  rather  it  is  to  set  out  a  management  system  and governance  oversight  whereby  significant  risks  can  be  identified,  assessed, treated and monitored (Plan International, 2013).
Peraturan  tersebut  dibuat  sebagai  komitmen  Plan  untuk  mengelola  risikonya secara efektif untuk mendukung pencapaian  tujuan strategisnya.  Harapan dengan pembuatan peraturan ini bukan untuk  menghapus semua risiko,  melainkan untuk membentuk  sebuah sistem  manajemen dan tata kelola  yang menunjukkan risiko- risiko  yang  signifikan  dapat  diidentifikasi,  dinilai,  dikelola,  dan  dimonitor  (Plan International, 2013).
Kemudian,  pada  bulan  Oktober  2014,  Plan  International  menerbitkan Managing  Risk  in Plan -Risk  Management  Toolkit  (toolkit) yang menjelaskan bagaimana  pendekatan  Plan  dalam  mengelola  risiko.  Pada  bagian  pembukaan toolkit ini  disebutkan  bahwa pengelolaan  risiko  yang  efektif  harus  melekat  pada cara Plan beroperasi  di  seluruh organisasi.  Melakukan tindakan dengan mengerti akan  hal  ini  penting  untuk  menciptakan  dan  mempertahankan  nilai  bagi  para pemangku  kepentingan  Plan.  Pengelolaan  risiko  harus  dijalankan  di  seluruh struktur dan proses  dan memberikan nilai tambah untuk setiap hal yang dilakukan oleh Plan. Lingkungan tempat Plan beroperasi  semakin kompleks, cepat  berubah dan  diatur  oleh  peraturan  sehingga  meningkatkan  kebutuhan  akan  pendekatan yang formal dan baku (Plan International, 2014a).
Berdasarkan toolkit ini, di setiap regional office , country office, atau national organisation harus mempunyai risk focal point. Plan Indonesia sebagai salah satu
dari country  office harus  mempunyai risk  focal  point yang  akan  menjadi penghubung  utama  untuk  isu-isu  yang  terkait  dengan  risiko .  Risk  focal  point
bertanggung jawab untuk mengelola proses pelaporan risiko di kantor mereka dan memastikan  bahwa  risiko  dikelola  sesuai  dengan risk  management  policy dan prosedurnya  Plan.  Tugas risk  focal  point termasuk  juga  mempromosikan keuntungan    pengelolaan  risiko,  menyampaikan  informasi  dan  persyaratan organisasi,  mengidentifikasi  pelatihan  yang  dibutuhkan  dan  memastikan penelaahan  dan  pelaporan  risiko  secara  kuartal  di  unitnya. Risk  focal  point bertanggung  jawab  melakukan  koordinasi  penyampaian risk  register per  kuartal ke regional  office ,  tetapi  mereka  tidak  bertanggung  jawab  memberikan persetujuan atas risk register tersebut. Tugas ini menjadi tanggung jawab country director setelah  dilakukan  kesepakatan  atau  koordinasi  dengan risk  and  control owners. Proses pengelolaan risiko di Plan sesuai dengan model ISO 31000:2009-
Risk Management–Principles and guidelines (Plan International, 2014a).
Di  samping  kedua  dokumen  yang  disebutkan  sebelumnya, pada  bulan Oktober 2014 Plan menerbitkan Managing Risk in Plan -Quarterly Risk Reporting:
Quick  Guide  for  Risk  Owners  and  Office  Approvers  (Quick  Guides) sebagai
PENERAPAN RISK BASED INTERNAL AUDITING :
STUDI KASUS PADA PLAN INTERNATIONAL INDONESIA
[ ANITARIA SIREGAR DAN SITI NURWAHYUNINGSIH HARAHAP]
panduan bagi risk owners dan office approvers dalam menjalankan magique risk management  database  system . Magique  risk  management  database  system (magique system) adalah sistem  yang digunakan Plan untuk  mendokumentasikan penilaian  risiko  sampai  dengan  melakukan  persetujuan  atau  sistem  di  mana  Plan mengelola risk register- nya (Plan International, 2014b).
Dokumen terkait  lainnya  adalah audit  charter. Unit  audit  Plan  Indonesia memiliki audit  charter ,  tetapi  sejak  pertama  sekali  dibentuk  pada  tahun  2012 sampai sekarang tidak pernah di -update dan juga disosialisasikan lagi ke seluruh organisasi (pembicaraan langsung dengan Compliance, Risk & Security Manager,
18 Agustus 2016).
Untuk  mendapatkan  informasi  atau  memperdalam  informasi  yang  tidak terdapat  dalam  data-data/dokumen  Plan  Indonesia  tersebut,  wawancara  atau diskusi  dilakukan  dengan Human  Resources & Organization  Development Manager (HR & OD Manager ) dan Compliance, Risk & Security Manager yang juga  memegang  posisi Risk  Focal  Point. Kedua source  person ini  merupakan pihak  yang capable berdasarkan  posisi,  lingkup  pekerjaan,  dan  tanggung  jawab mereka  dalam  memberikan  informasi  yang  dibutuhkan  sejalan  dengan  penelitian ini. Daftar  pertanyaan  dibuat,  terutama  berdasarkan  data-data  yang  dibutuhkan untuk  penilaian risk  maturity dengan  menggunakan  kriteria-kriteria  yang ditetapkan  oleh Institute  of  Internal  Auditors  (Tabel  1). Hasil  wawancara  yang telah  dilakukan  dengan  kedua source  person yang  disebutkan  sebelumnya  telah memberikan  informasi  yang  cukup  untuk  menganalisis  dan  menyimpulkan.  Hal ini  mengakibatkan  wawancara  dengan Country  Management  Team (CMT)  Plan Indonesia  lainnya  tidak  perlu  dilakukan  lagi. Profil  kedua source  person ini ditunjukkan dalam Tabel 2 berikut ini.
Tabel 2. Profil Source Person Penelitian
Posisi Grade (Paling rendah A sampai tertinggi E) Anggota Country Management Team (senior manajemen)? Tahun menduduki posisi ini: Compliance,  Risk &
Security  Manager (dan
memegang  posisi Risk Focal Point ) E Ya 2005 HR & OD Manager E Ya 2011
Compliance,  Risk  &  Security  Manager memimpin Compliance,  Risk  & Security  Department dan  berperan  dalam  melakukan internal  audit di  Plan Indonesia. Departemen ini terdiri atas dua staf Compliance Specialist dan satu staf Security  Officer . Grade Compliance  Specialist dalam  strukur  Plan  Indonesia berada pada posisi grade D. Grading di Plan Indonesia dimulai dari grade A yang terendah sampai grade E yang tertinggi.

## 4. HASIL DAN PEMBAHASAN
Dengan informasi  dan data  yang dikumpulkan, penulis  melakukan penilaian atas risk  maturity Plan  Indonesia. Penilaian  dilakukan  dengan menggunakan  kriteria- kriteria  yang  disebutkan  dalam The  Institute  of  Internal  Auditors (2014)  seperti yang  terdapat  dalam  bagian  tinjauan  teoretis. The  Institute  of  Internal  Auditors
(2014)  menyebutkan  bahwa  organisasi  dengan  tingkat risk  maturity pada tingkatan risk  aware dan risk  naive organisasi  tidak  akan  dapat mengimplementasikan  RBIA  secara  langsung. Dengan  kata  lain ,  jika  kerangka kerja pengelolaan risiko suatu organisasi telah kuat dan telah ada,  organisasi telah siap  untuk  RBIA.  Penilaian  atas risk  maturity Plan  International  Indonesia tersebut dilakukan dalam Tabel 3 berikut ini.
PENERAPAN RISK BASED INTERNAL AUDITING :
STUDI KASUS PADA PLAN INTERNATIONAL INDONESIA
[ ANITARIA SIREGAR DAN SITI NURWAHYUNINGSIH HARAHAP]
Tabel 3. Assessing the Plan International Indonesia ’s Risk Maturity
Process-
Based on IIA ( 2014 ) Implementasi pada Plan International Indonesia Ya/ Tidak/ Sebagian Rincian The organisation’s objectives are defined. Ya Plan  Indonesia  telah  menetapkan  tujuan-tujuan  organisasi,  yaitu Country Strategic Planning (CSP/perencanaan strategis). CSP ini untuk lima tahun Management have been trained to understand  what risks  are,  and their responsibility  for them. Ya
Pada  saat  pertama  sekali  Plan  meluncurkan Risk  Management  Policy , Plan  Indonesia  membuat  satu  posisi  khusus, Risk  Management  Officer yang  berada  di  bawah  supervisi  manajer  departemen  internal  audit, untuk melatih seluruh karyawan mengenai risiko dan pengelolaan risiko di masing-masing unit mereka. Posisi ini berada di bawah unit internal audit.  Posisi  ini  kemudian  dihilangkan  ketika  pelatihan  pengelolaan risiko  telah  cukup  dilakukan  dan  kemudian  untuk  pelatihan  karyawan baru  dan  jika refreshment diperlukan  hal  ini  dilakukan  oleh  manajer unit internal audit ( Risk Focal Point) .
A  scoring  system for assessing risks  has  been defined. Ya Mengenai scoring  system telah  ditentukan  dan  dijelaskan    dalam Managing  Risk  in Plan -Risk  Management  Toolkit . Scoring  system ini telah  di  masukkan  ke  dalam Magique  Risk  Management  database system ( software ERM Plan) .
The  risk  appetite of the organization  has been  defined  in term of the scoring system.
Ya Plan  dalam Risk  Management  Policy- nyatelah  mendefinisikan risk appetite mereka;  dalam  kasus  ancaman, risk  appetite mengungkapkan tingkatan  dari  ancaman  yang  material  yang  dapat  ditolerir  dan  dapat dibenarkan,  dalam  kasus  adanya  peluang, risk  appetite mendefinisikan berapa banyak yang harus ditempatkan dalam risiko untuk mendapatkan keuntungan tersebut.
Processes have been  defined  to determine  risks, and  these  have been followed. Ya Plan  telah  membuat  tiga  peraturan/ guideline / toolkit terkait  dengan pengelolaan risiko ini:
- Risk Management Policy - Managing Risk in Plan -Risk Management Toolkit (toolkit) - Managing  Risk  in Plan -Quarterly  Risk  Reporting:  Quick  Guide  for Risk Owners and Office Approvers (Quick Guides)
Ketiga  peraturan/ guideline ini  telah  diimplementasikan  dan  satu  posisi yaitu, Risk  Focal  Point telah  dibentuk  untuk  memonitor  dan  menelaah implementasinya. All  risks  have been collected into one list. Risk have been allocated to specific job tittles. Ya
Pengelolaan  risiko  di  Plan  Indonesia  dilakukan  pada Magique  Risk Management database  system, yang  kemudian  akan  menghasilkan risk register ,  yang  secara  rutin  per  kuartal  harus  dilaporkan  ke  kantor regional Plan.
Masing-masing  risiko  mempunyai Risk  Owner ,  yang  mempunyai kewajiban  untuk  memonitor  dan  menelaah  risiko  tersebut  secara  rutin sesuai  dengan  pengaturan  dalam Managing  Risk  in Plan -Risk Management Toolkit.
All  risks  have been  assessed  in accordance  with the defined scoring system. Ya Proses  penilaian  risiko  oleh Risk  Owner dilakukan  di Magique  Risk Management  database  system yangsecara  otomatis  akan  memberikan skor  sesuai  dengan  yang  telah  ditetapkan  berdasarkan  penilaian  yang diberikan  oleh Risk  Owner sesuai  dengan guideline untuk  penilaian impact dan likelihood pada Managing  Risk  in Plan -Risk  Management Toolkit.
Tabel 3. Assessing the Plan International Indonesia ’s Risk Maturity (Lanjutan)
Process- Based
on IIA ( 2014 ) Implementasi pada Plan International Indonesia Ya/ Tidak/ Sebagian Rincian Response  to  the risks  have  been selected and implemented. Ya Response terhadap  risiko  ditentukan  oleh Risk  Owner dan didokumentasikan  pada Magique  Risk  Management  database  system. Tindak  lanjut  terhadap  respon  ini  juga  didokumentasikan  di  dalam sistem ini. Risk Owner harus  bekerja sama dengan Control Owner dan Action  Owner jika  ada response yang  tidak  di  bawah  tanggung jawabnya. Semua proses ini juga akan dimonitor dan ditelaah oleh Risk Focal Point .
Hasil  dari  dokumentasi  ini  akan  dilaporkan  dalam  bentuk risk  register yang secara rutin per kuartal harus disetujui oleh Country Director dan dikirim ke kantor regional Plan dan menjadi KPI organisasi.
Management have set up methods to monitor the proper operations  of  key processes, responses and actions plans (monitoring controls). Ya Dalam Managing Risk in Plan -Risk Management Toolkit (toolkit) telah diatur  mengenai  adanya Risk  Owner dan  pengaturan  mengenai monitoring  ini. Risk  Owner ini  yang  akan  bertanggung  jawab memonitor  risiko,  termasuk  juga response dan action  plans terhadap risiko  ini.  Jika response dan actions  plans ini  tidak  berada  di  bawah tanggung  jawabnya,  maka  termasuk  juga  memonitor/berkoordinasi dengan Control Owner dan Action Owner. Semua proses ini juga akan dimonitor  dan  ditelaah  oleh Risk  Focal  Point .  Semua  proses  ini  harus disetujui oleh Country Director .
Risk are regularly reviewed  by  the organisation. Ya, secara rutin, perkuartal
Risk  register yang  secara  rutin  per  kuartal  harus  dikirim  ke  kantor regional  Plan  dan  menjadi  KPI  organisasi,  membuat  risiko-risiko ditelaah secara rutin.
Posisi Risk  Focal  Point yang  mempunyai  tugas  untuk  memonitor  agar proses telaah ini berjalan sesuai peraturan.
Country  Director harus  memberi  persetujuan  terhadap  proses  ini  ( risk register ), sehingga proses ini akan berjalan.
Management report risk to directors  where responses have not  managed  the risks  to  a  level acceptance to the board. Ya Dalam Managing  Risk  in Plan -Risk  Management  Toolkit disebutkan sebagai berikut:
Risk Owners adalah pihak yang dihubungkan dengan setiap risiko yang telah diidentifikasi di risk register. Risk Owners ini bertanggung jawab untuk  pengelolaan  risiko  tersebut. Control  Owners adalah  pihak  yang dihubungkan  dengan  setiap  pengendalian  ( control )  yang  ada  di risk register. Control Owner mempunyai tanggung jawab untuk memastikan bahwa pengendalian adalah efektif. Penting bagi Control  Owner untuk duduk bersama dengan Risk Owner , dan juga dengan posisi  yang tepat dalam  organisasi  yang  bisa  mengambil  tindakan  yang  efektif.  Jika Control  Owner menemukan  bahwa  pengendalian  tidak  efektif  dan mereka  tidak  dapat  memperbaiki  masalah  tersebut,  maka  pengendalian tersebut  perlu  dibawa  ke  level  manajemen  yang  lebih  tinggi  untuk memastikan  bahwa  tindakan  akan  diambil  untuk  memperkuat pengendalian tersebut.
Selain Risk Focal Point, Risk and Control Owners di dalam toolkit ini
PENERAPAN RISK BASED INTERNAL AUDITING :
STUDI KASUS PADA PLAN INTERNATIONAL INDONESIA
[ ANITARIA SIREGAR DAN SITI NURWAHYUNINGSIH HARAHAP]
Tabel 3. Assessing the Plan International Indonesia ’s Risk Maturity (Lanjutan)
Process- Based
on IIA ( 2014 ) Implementasi pada Plan International Indonesia Ya/ Tidak/ Sebagian Rincian
juga  diatur  bahwa  di  dalam risk  register harus  ditentukan Action Owners.  Action  Owners bertugas  sebagai  pihak  yang  bertanggung jawab  untuk  memastikan  semua  tindakan-tindakan  yang  telah diidentifikasi  sebagai  bagian  dari  rencana  mengurangi  risiko  di risk register telah  berjalan  sesuai  dengan  waktu  dan  anggaran  yang  telah ditentukan. Action  Owner perlu  duduk  bersama  dengan Risk  and Control  Owners dan  juga  perlu  duduk  bersama  dengan  posisi  yang sesuai  di  organisasi  yang  dapat  mengambil  tindakan  yang  efektif.  Jika Action  Owner menemukan  penundaan  atas  tindakan  yang  telah direncanakan atau masalah terkait dengan penyelesaian suatu tindakan, maka hal ini perlu dibawa ke level manajemen yang lebih tinggi.
Apabila  dari  penjelasan  terlihat  ada  pengendalian  yang  tidak  efektif serta  tidak  bisa  di  selesaikan  oleh Risk  and  Control  Owners maka  hal ini  akan  dilaporkan  ke  level  manajemen  yang  lebih  tinggi.  Demikian juga  jika  ada  tindakan  yang  tidak  bisa  mengelola  risiko  ke  level  yang bisa diterima, maka Risk dan Action Owner akan melaporkan hal ini ke level manajemen yang lebih tinggi.
Managing  Risk  in Plan -Risk  Management  Toolkit juga  mensyaratkan bahwa risks  registers harus  ditelaah  secara  berkala  pada  rapat  senior manajemen  dengan  tujuan  proses  ini  dapat  diikuti  secara  dinamis  dan untuk  memastikan  adanya  komunikasi  yang  efektif  mengenai  risiko (Pembahasan  mengenai  risiko  menjadi  salah  satu  agenda  pertemuan rutin  bulanan  dari Country  Management  Team .  Pada  pertemuan  ini semua hal terkait dengan risiko dibicarakan). All significant new  projects  are routinely assessed for risk. Ya Plan  Indonesia  akan  melakukan risk  assesment untuk  proyek  baru  dari dana hibah ( grant ) di atas US$ 100.000.
Responsibility for the determination,
assessment, and management of risks  is  included in job descriptions. Sebagian Dalam job descriptions, selain dari job descriptions   Compliance, Risk &  Security  Manager sebagai Risk  Focal  Point tidak  ada  tertera mengenai tanggung jawab terkait dengan pengelolaan risiko ini, tetapi:- untuk Country  Management  Team pengelolaan  risiko  ini    termasuk dalam poin pada Country Management Team charter : The  CMT  will  make  decisions  on  addressing  risks  affecting  the country operations and how to mitigate those risks.
Dengan  adanya  poin  ini  maka  risiko  menjadi  salah  satu  agenda  yang dibicarakan dalam pertemuan rutin bulanan Country  Management  Team walaupun  secara  spesifik  tidak  ada disebutkan  dalam job  description mereka  masing-masing. Managing Risk  in Plan -Risk  Management  Toolkit juga  mensyaratkan  bahwa risks registers harus  ditelaah  secara  berkala  pada  rapat  manajemen  senior dengan  tujuan  proses  ini  dapat  diikuti  secara  dinamis  dan  untuk memastikan adanya komunikasi yang efektif mengenai risiko.
- Quarterly Key Performance Indicator (KPI) ReportingAsian Regional
Tabel 3. Assessing the Plan International Indonesia ’s Risk Maturity (Lanjutan)
Process- Based
on IIA ( 2014 ) Implementasi pada Plan International Indonesia Ya/ Tidak/ Sebagian Rincian
Office memuat salah satu indikatornya adalah apakah proses manajemen risiko  yang  dilakukan  setiap  kuartal  telah  sesuai  dengan  Plan Risk Management  Standards .  Karena  merupakan  KPI  Plan  secara  global, maka  hal  ini  juga  menjadi  tanggung  jawab  semua  staf,  terutama manajemen  di  Plan  Indonesia  sehingga  walaupun  tidak  ada  secara spesifik  dicantumkan  dalam job  description mereka.    Plan  Indonesia selalu  memenuhi  target  indikator  ini.    Manajemen  risiko  juga  masuk dalam salah satu item yang dinilai dalam pengukuran Key Performance Result/ pengukuran kinerjatahunandi Plan.
Hal-hal yang disebutkan sebelumnya mengakibatkan adanya kewajiban dan  tanggung  jawab  untuk  pengelolaan  risiko  walaupun  tidak  ada tercantum secara langsung dalam job description .
Managers provide assurance  on  the effectiveness of their risk management. Ya Proses  “ sign  off ”  dilakukan  oleh Risk  Owner pada Magique  Risk Management  database  system menandakan  bahwa  semua  proses  telah dilakukan  dengan  baik  (proses  pengelolaan  risiko  berjalan  secara efektif)  dan Country  Director sebagai Risk  Approver memberikan persetujuan atas hal ini. Managers are assessed  on  their risk  management performance. Sebagian
Penilaian  hanya  untuk Compliance,  Risk  &  Security  Manage r  sebagai Risk  Focal  Point, yaitumengenai  ketepatan  waktu  mengirim risk register ke regional office sesuai pengaturan Plan.
Quarterly  Key Performance Indicator (KPI) Reporting Asian Regional Office memuat  salah  satu  indikatornya    adalah  apakah  proses manajemen  risiko  yang  dilakukan  setiap  kuartal  telah  sesuai  dengan Plan’ sRisk Management Standards . Karena merupakan KPI Plan secara global, maka hal ini juga menjadi tanggung jawab semua staf, terutama manajemen  di  Plan  Indonesia  sehingga  walaupun  mereka  tidak  secara spesifik  dinilai  mengenai  hal  ini.  Manajemen  risiko  juga  masuk  dalam salah  satu  item  yang  dinilai  dalam  pengukuran Key  Performance Result/ pengukuran  kinerjaorganisasitahunandi  Plan,  sehingga  ini tentunya menjadi tanggung jawab manajemen.
Penilaian risk  maturity Plan  Indonesia  pada  Tabel  3    menunjukkan  hasil bahwa tingkat kematangan risiko Plan Indonesia adalah risk managed, tetapi Plan Indonesia masih perlu meningkatkan pada bagian
 tanggung  jawab  untuk  menentukan,  menilai,  dan  mengelola  risiko dimasukkan ke dalam deskripsi pekerjaan;
 para manajer dinilai berdasarkan kinerja dari pengelolaan risiko mereka.
PENERAPAN RISK BASED INTERNAL AUDITING :
STUDI KASUS PADA PLAN INTERNATIONAL INDONESIA
[ ANITARIA SIREGAR DAN SITI NURWAHYUNINGSIH HARAHAP]
Menurut The  Institute  of  Internal  Auditors (2014),  pada  tahapan  ini  pendekatan RBIA  telah  dapat  diterapkan,  lebih  khusus  lagi  IIA  menyebutkan  pada  level  ini pendekatan audit yang dilakukan oleh audit internal:
Internal  audit  approach:  Audit  risk  management  processes  and  use management   assessment of risk as appropriate.
Ini berarti akan terjadi perubahan yang besar dalam pendekatan audit yang dilakukan  oleh  unit  audit  internal.  Saat  ini  dalam  menjalankan  fungsinya,  unit audit  internal  Plan  Indonesia  belum  menggunakan  pendekatan  berbasis  risiko, hanya  lebih  berfokus  pada  area  keuangan,  mengutamakan  kepatuhan  pada kebijakan dan prosedur internal serta siklus audit ditetapkan secara berkala tanpa memperhatikan  tingkat  risiko.  Perencanaan  audit  ini  juga  berdasarkan  prioritas dari manajemen.
Pada  tahap  awal,  pendekatan  RBIA  ini  akan  digunakan  oleh  tim  internal audit  Plan  Indonesia,  tetapi  perlu  lebih  dahulu  disosialisasikan  ke  seluruh organisasi  karena keterlibatan pihak lain di  organisasi  sangat  tinggi  dalam  RBIA ini (Griffiths, 2015).  Penggunaan sarana audit charter merupakan salah satu cara yang paling efektif yang oleh Sawyer (2012) disebutkan bahwa audit charter dan kebijakan  organisasi  terkait  dengan  struktur  dan  strategi  kegiatan  audit  internal akan  menjadi  wadah  untuk  menginformasikan  ke  seluruh  organisasi  mengenai misi dan cakupan kegiatan audit internal.
Dalam  perbandingan  antara  pendekatan  RBIA  dan  pendekatan traditional (old)  internal  auditing, Griffiths  (2015)  menyebutkan  bahwa  kapasitas  staf  audit yang  dibutuhkan  untuk  penerapan  RBIA  ini  bukan  hanya  staf  dengan  kapasitas sebagai  akuntan  atau  yang  mempunyai  karier  sebagai  auditor,  melainkan  juga dibutuhkan staf dengan motivasi yang tinggi dan yang dapat bekerja sama dengan senior  manajemen.  Dalam  strukturnya,  Plan  Indonesia  menempatkan  staf  audit pada posisi grade D, dari lima grading yang dimiliki oleh Plan Indonesia (dimulai dari grade A  yang  terendah  sampai grade E  yang  tertinggi).  Penempatan  ini otomatis  membutuhkan  kualifikasi  yang  tinggi  dan  membuat  posisi  ini  strategis. Dengan kualifikasi  yang telah tinggi  dan posisi  yang strategis,  staf audit internal
akan  mampu  berkomunikasi  secara  efektif  dengan  senior  manajemen,  sehingga penerapan  pendekatan  RBIA  ini  dapat  dilakukan  oleh  tim  internal  audit  secara baik.  Walaupun  pada  tahap  awal  tetap  perlu  membekali  mereka  dengan kemampuan untuk melakukan tugasnya dengan pendekatan RBIA. Sesuai dengan hasil survei Harrington dan Piper (2015),   agar audit internal berkembang secara profesional  dan  lebih  memberi  nilai  tambah  bagi  organisasi,  mereka  harus mengembangkan  sepuluh  hal  dalam  diri  mereka,  di  antaranya    mengembangkan perencanaan  dan  pekerjaannya  berdasarkan  praktik  pengelolaan  risiko  dan melakukan  investasi  pada  diri  sendiri  untuk  pengembangan  diri.  Penerapan pendekatan  RBIA  ini  mengakibatkan  departemen  internal  audit  akan  semakin memberi nilai tambah kepada organisasi dan pendekatan ini menuntut usaha dari staf  departemen  internal  audit  untuk  terus  meningkatkan  kemampuan  dirinya sehingga bisa berkembang secara profesional.

## 5. SIMPULAN DAN SARAN
Berdasarkan  pembahasan  yang  dilakukan,  penelitian  ini  menyimpulkan  sebagai berikut. Risk  maturity Plan  Indonesia  berada  pada  level risk  managed .  Namun , terdapat  dua  kriteria  yang  perlu  ditingkatkan,  yaitu  tanggung  jawab  untuk menentukan, menilai, dan mengelola risiko perlu dimasukkan ke dalam deskripsi pekerjaan; dan para  manajer  dinilai  berdasarkan  kinerja  dari  pengelolaan  risiko mereka.
Terdapat  beberapa  kekuatan  Plan  Indonesia  dalam  menjalankan  pengelolaan risiko  tersebut,  yaitu peraturan  dan  petunjuk  untuk  melakukan  proses  yang standar  dalam  pengelolaan  risikonya  telah  tersedia;  per aturan  tersebut  telah disosialisasikan kepada semua staf; dibentuknya posisi risk focal point sehingga proses  ini  dapat  berjalan  baik  dan  dinamis;  proses  monitoring  yang  baik  terkait dengan  pengelolaan  manajemen  risiko  di  Plan  Indonesia  telah  berjalan  dengan adanya  standar  pelaporan  pengelolaan  risiko  yang  baku  dan  reguler  mengenai manajemen risiko di Plan dengan menggunakan risk register , dan menjadikan ini sebagai salah satu kriteria untuk pengukuran KPI per kuartal dan per tahun.
[ ANITARIA SIREGAR DAN SITI NURWAHYUNINGSIH HARAHAP]
Dengan  tingkat  kematangan  risiko risk  managed sebagaimana  dijelaskan sebelumnya,  Plan  Indonesia  dapat  menerapkan Risk  Based  Internal  Audit
(RBIA). Risk  managed juga  berarti  bahwa risk  register Plan  Indonesia  dapat digunakan  untuk  perencanaan  audit  dalam  RBIA  ini. Plan  Indonesia  dapat menerapkan RBIA dengan strategi audit sebagai berikut:
a. management  view  of  risk  drives  audit  plan (pandangan  manajemen mengenai risiko menjadi dasar perencanaan audit),
b. assurance on risk management  process  and mitigation (asurans atas proses pengelolaan risiko dan mitigasinya),
c. consulting  to  improve  risk  management (jasa  konsultasi  diberikan  untuk meningkatkan pengelolaan risiko).
Pelaksanaan  pendekatan  RBIA  ini  membutuhkan  waktu  yang  lebih  banyak dari pihak lain di organisasi, terutama manajemen dan manajemen senior, sehingga pada  awal  penerapan,  pendekatan  ini  perlu  dikomunikasikan  dan  disosialisasikan ke  seluruh  organisasi.  Tim  audit  internal  Plan  Indonesia  diharapkan  dapat menjalankan  fungsi  konsultasi  dan advisory dalam  pendekatan  RBIA  ini  dengan baik  karena Compliance,  Risk  &  Security  Manager sebagai  kepala  departemen internal  audit  selama  ini  telah  menjalankan  fungsi  sebagai risk  focal  point untuk Plan  Indonesia.  Sebagai risk  focal  point, peran-peran  audit  internal  yang  terkait dengan pengelolaan risiko telah dilakukan, termasuk konsultasi dan advisory .
Pendekatan  RBIA  ini  juga  membutuhkan  interaksi  yang  tinggi  dengan manajemen  senior,  sehingga  staf  audit  internal  harus  dapat    meningkatkan kemampuannya,  misalnya  mengenai  manajemen  risiko,  operasi  organisasi,  dan berpikir  strategis.  Keberhasilan  internal  audit  dalam  penugasannya,  termasuk penerapan pendekatan RBIA, juga dipengaruhi oleh kedudukan internal audit dalam sturuktur organisasi, maka dengan posisi manajer departemen internal audit sebagai salah  satu  anggota country  management  team (manajemen  senior/ Grade E)  dan posisi  staf  audit  pada grade D,  yang  merupakan  posisi  yang  tinggi  dalam
organisasi,  tim internal audit akan dapat menjalankan pendekatan audit ini dengan baik.
Penelitian ini memberikan saran untuk Plan Indonesia  sebagai berikut.
1. Memasukkan  pengelolaan  risiko  ke  dalam job  descriptions manajemen  dan mereka  juga  dinilai  berdasarkan  kinerja  pengelolaan  risiko  tersebut  (masuk kedalam individual key performance indicator ).Manajemen bertanggung jawab untuk  menentukan,  menilai,  mengelola,  dan  memonitor  risiko-risiko  ( The Institute of Internal Auditors , 2014).
2.  Departemen  audit  internal  secara  rutin  memutakhirkan internal  audit  charter
dan  mensosialisasikan  ke  seluruh  organisasi.Keterlibatan  pihak  lain,  terutama manajemen,  sangat  tinggi  dalam  semua  tahapan  pendekatan  RBIA  ini  karena mereka  merupakan  pemilik  dari  risiko  tersebut,  sehingga  kepala  departemen internal audit perlu untuk menyosialisasikan pendekatan ini sebelum pekerjaan audit  dilakukan. Internalaudit  charter akan  menjadi  wadah  yang  baik  untuk menginformasikan hal ini.
3. Tingkat kematangan risiko pada risk managed berarti juga bahwa risk register
dapat  digunakan untuk  perencanaan audit dalam  RBIA ini sehingga  penelitian ini juga menyarankan perlu ditambahkan ke dalam risk register Plan Indonesia pada  kolom “ the source of the risk ”.
4. Menyarankan  perlu  dilakukan  pelatihan  untuk  staf  departemen  internal  audit demi  peningkatan  kapasitas  mereka.Salah  satu  perbedaan  antara  pendekatan RBIA  dan  pendekatan  audit  yang  tradisional  adalah  RBIA  membutuhkan interaksi  yang  tinggi  dengan  manajemen  senior  dan  juga  pihak  lain  di organisasi  sehingga  staf  audit  internal  harus  dapat    meningkatkan  kapasitas dirinya.
Penelitian  ini  juga  memberikan  saran  untuk  penelitian  selanjutnya,  yaitu menambah  informan  wawancara,  terutama  pihak  manajemen,  dan  dengan  daftar pertanyaan yang lebih perinci, misalnya untuk mendapatkan informasi bagaimana pengelolaan risiko di unit/departemen mereka masing-masing.
[ ANITARIA SIREGAR DAN SITI NURWAHYUNINGSIH HARAHAP]

## DAFTAR RUJUKAN
Association  of  Certified  Fraud  Examiners.  (2016). Report  to  the  nation  on occupational fraud and abuse: 2016 global fraud study . ACFE. Griffiths,  David.  (2015,  July  8). Risk  based  internal  auditing-An  introduction (Version 4.4). July 19, 2016. www.internalaudit.biz . Harrington, Larry dan  Arthur Piper. (2015). Driving success in a changing world: 10 imperatives for  internal audit . The Global Internal Audit Common Body of  Knowledge.  The  IIA  Research  Foundation.  September  3,  2016. www.the iia.org/goto/CBOK. Ibrahim. (2015). Metodologi penelitian kualitatif . Bandung: Alfabeta. Pickett, K.H. Spencer. (2005a). The essential hand book of internal auditing . John W, Wiley.
Pickett,  K.H.  Spencer.  (2005b). Auditing  the  risk  management  process .  John Wiley & Sons, New Jersey.
Plan  International.  (2016a). How  we  keep  our  funds  save. 15  Agust  2016. https://plan-international.org/finance/how-we-keep-our-funds-safe . Plan  International.  (2014a). Managing  risk  in  Plan-risk  management  toolkit . Global Risk Management Team.
Plan  International.  (2014b). Managing  risk  in  Plan-quarterly  risk  reporting: Quick guide for risk owners and office approvers . Global Risk Management Team.
Plan International. (2013). Plan policy-risk management . Plan International Indonesia. (2014a). Job description compliance manager . Plan International Indonesia. (2010). Job description risk management officer . Richards, David A., Barry C. Melancon dan James D. Ratley. (2007) . Managing the  business  risk  of  fraud:  A  practical  guide .  January  1,  2017. http://www.theiia.org/media/files/fraud-white-paper/fraud%20paper.pdf . Sawyer,  L.B.  (2012). Sawyer’s  guide  for  internal  auditors. The  Institute  of Internal Auditors Research Foundation.
The  Institute  of  Internal  Auditors  (IIA).  (2013). Model  internal  audit  activity charter.
The  Institute  of  Internal  Auditors  (IIA).  (2013). International  standards  for  the professional practice of internal auditing.
The  Institute  of  Internal  Auditors  (IIA).  (2014). Risk  based  internal  auditing- chartered institute of internal auditor.
The  Institute  of  Internal  Auditors  (IIA).  (2015). International  professional  practice framework. .