## Evaluasi Implementasi Risk Based Internal Audit (Studi Kasus pada PT ABC)
Nabilah Aulia 1* , Lufti Julian 2
1,2) Universitas Indonesia
1,2) nab.aulia12@gmail.com
*Corresponding Author
Diajukan : 15 Januari 2024 Disetujui : 27 Januari 2024 Dipublikasi
: 1 Juli 2024

## ABSTRACT
This  research  was  conducted  to  analyze  the  effectiveness  of  the  implementation  of  Risk  Based Internal Audit (RBIA) at PT ABC by using the framework from David Griffith in 2020 related to the implementation of RBIA and the Chartered Institute of Internal Auditors in 2014 in evaluating risk  maturity  as  part  of  RBIA  implementation.    This research is a  case  study  with a  descriptive qualitative approach using interviews and document analysis to explore experiences and in-depth understanding.  The  object  of  research  is  PT  ABC,  which  is  a  private  manufacturing  company engaged in the manufacturing industry. In the past, the company has experienced poor financial conditions. Therefore, PT ABC tries to carry out effective supervision, one of which is carried out through the internal audit division. However, in practice, management's commitment to managing risk has not been fully reflected in company practice. PT ABC management does not have a policy as a form of tone of the top commitment in implementing risk management. The results of the study can be concluded that PT ABC has not been able to implement RBIA comprehensively because the results of the risk maturity assessment carried out are still at level risk naïve. Improvements are needed to increase the level of risk maturity to implement RBIA comprehensively or when the risk assessment reaches level risk defined. This research provides recommendations for a roadmap that can  be  implemented  by  PT  ABC  to  increase  risk  maturity  so  that  RBIA  can  be  implemented comprehensively in the future.
Keywords: Internal Audit; Risk-Based; Risk Maturity Assessment; Risk Management; RBIA

## PENDAHULUAN
Praktik  manajemen  risiko  serta  tata  kelola  perusahaan  secara  simultan  berpengaruh  pada kemampuan  perusahaan  untuk  menciptakan  bisnis  yang  berkelanjutan.  Kegagalan  penerapan sistem pengendalian internal serta manajemen risiko yang efektif dapat mengarahkan perusahaan dalam suatu krisis finansial yang mengarah pada kebangkrutan Perusahaan (Kalia & Gill, 2023).
Salah  satu  contoh  kegagalan  proses  manajemen  risiko  yang  terjadi  adalah  meledaknya anjungan minyak Deepwater Horizon milik British Petroleum (BP) pada pertengahan April tahun 2010. The Deepwater Horizon Joint Investigation Team menyimpulkan bahwa kinerja karyawan BP,  pada  saat  kejadian,  difokuskan  pada  kebijakan  pemotongan  biaya  ( cost-cutting  focus )  dan mengesampingkan penilaian terhadap pencapaian kinerja keselamatan (EHS Today, 2011). Selain itu  hasil  investigasi  juga  tidak  menemukan  adanya  bukti  BP  melakukan  penilaian  risiko  formal terhadap keputusan operasional menjelang terjadinya ledakan tersebut (Wilson, 2018).  Contoh lain terjadi di Indonesia pada perusahaan teh celup yang terkenal di seluruh penjuru negeri. SAEA dan afiliasinya dinyatakan pailit pada tahun 2018, karena perusahaan tidak mampu membayar hutang kepada beberapa bank di Indonesia. Hutang ini digunakan oleh SAEA untuk melakukan ekspansi bisnis, namun investasi besar-besaran tersebut gagal dan tidak mampu mencapai tujuan investasi (Ramadhan et al., 2022). Dalam kasus ini SAEA gagal dalam mengelola risiko salah satunya pada saat  proses  ekspansi  bisnis,  sehingga  tidak  mampu  mengupayakan  tindakan  preventif  dalam menghadapi risiko yang mengancam keberlangsungan usaha perusahaan.
Hal  serupa  juga  terjadi  pada  PT  ABC  yang menjadi  objek  penelitian  ini.  PT  ABC  bergerak pada industri manufaktur yang memproduksi makanan siap masak dan makanan ringan. Pada tahun 2010-an PT ABC dilanda kasus yang melibatkan manajemen senior Perusahaan. Sebagai salah satu perusahaan terdaftar pada bursa efek, PT ABC telah memiliki divisi internal audit. Namun internal audit pada masa itu tidak mampu untuk memberikan sinyal early warning kepada dewan. Sehingga PT ABC terlambat untuk mendeteksi dan mengambil langkah strategis untuk mencegah hal buruk. Untuk mengatasi masalah yang mendera, PT ABC kemudian diakuisisi oleh salah satu perusahaan konglomerasi di Jakarta. Setelah  akuisisi PT ABC berusaha menerapkan sistem tata kelola yang baik sehingga peristiwa serupa tidak terulang.
Kebutuhan PT ABC akan divisi internal audit yang andal dengan metodologi dan proses audit yang tepat sangat dibutuhkan. Namun sayangnya, komitmen manajemen untuk mengelola risiko belum  sepenuhnya  tercermin  dalam  praktik  perusahaan.  Manajemen  PT  ABC  tidak  memiliki kebijakan  sebagai  bentuk tone  of  the  top atau  komitmen  dalam  pelaksanaan  manajemen  risiko. Sementara  dari  tim  internal  audit  menyatakan  bahwa  proses  kerja  internal  audit  sudah menggunakan pendekatan risk based internal audit. Dengan latar belakang permasalahan tersebut maka penulis melakukan penelitian untuk mendalami apakah proses internal audit PT ABC sudah menerapkan RBIA secara efektif sesuai dengan standar dan pedoman yang berlaku. Penelitian ini bertujuan  untuk  menganalisis  efektivitas  penerapan  RBIA  pada  PT  ABC.  Evaluasi  dilakukan dengan  cara  membandingkan  proses  penerapan  RBIA  pada  perusahaan  dengan  teori  atau framework dari David Griffith pada tahun 2020 terkait dengan implementasi RBIA dan Chartered Institute  of  Internal  Auditor  tahun  2014  dalam  melakukan  evaluasi  kematangan  risiko  sebagai bagian  dari  implementasi  RBIA.  Selain  itu  hasil  penelitian  ini  diharapkan  dapat  memberikan rekomendasi kepada PT ABC dalam implementasi RBIA secara lebih komprehensif sehingga dapat membantu dalam pencapaian tujuan perusahaan.
Penelitian ini bertujuan untuk menganalisis efektivitas penerapan RBIA pada PT ABC. Hal ini dilakukan dengan cara membandingkan proses penerapan RBIA pada perusahaan dengan teori atau framework yang digunakan. Dalam penelitian ini framework yang digunakan adalah David Griffith pada  tahun  2020  terkait  dengan  implementasi  RBIA  dan  Chartered  Institute  of  Internal  Auditor tahun 2014 dalam melakukan evaluasi kematangan risiko sebagai bagian dari implementasi RBIA. Sejalan  dengan  itu  penelitian  ini  diharapkan  dapat  memberikan  rekomendasi  kepada  PT  ABC dalam implementasi RBIA secara lebih komprehensif sehingga dapat membantu dalam pencapaian tujuan  perusahaan.  Rekomendasi  diberikan  dengan  mempertimbangkan  kondisi  perusahaan  dan disesuaikan dengan teori penerapan RBIA, sehingga dapat mengantisipasi faktor-faktor yang dapat menghambat penerapan RBIA dalam perencanaan audit.

## STUDI LITERATUR

## Risk-based Internal Audit
Risk  based internal  audit  merupakan  sebuah  metodologi  untuk  memberikan  opini  yang independen dan objektif kepada manajemen perusahaan, apakah atas risiko-risiko perusahaan telah dikelola pada tingkat yang dapat diterima (Griffiths, 2020). Tujuan utama penerapan RBIA adalah untuk memberikan nilai tambah kepada perusahaan melalui aktivitas internal audit yang efektif, efisien,  dan  relevan  dengan  kondisi  perusahaan.  Hal  ini  dilakukan  dengan  cara  memfokuskan kegiatan audit  pada  area-area  yang memiliki risiko tinggi  pada  perusahaan  guna  untuk menjaga keberlanjutan  bisnis.  Selain  itu  penerapan  RBIA  diharapkan  dapat  menjadi  jembatan  antara manajemen dengan internal audit dalam pembahasan terkait risiko perusahaan. Lebih lanjut, tugas internal audit tidak hanya melakukan pemeriksaan, namun juga untuk mendalami kegiatan bisnis yang berisiko tinggi, yang pada akhirnya dapat memperbaiki proses dan meningkatkan value-for- money dari aktivitas bisnis (The Institute of Internal Auditors, 2020).
Perencanaan  audit  berbasis  risiko  merupakan  hal  penting  dalam  perencanaan  audit  berbasis risiko. Kegiatan perencanaan audit diperlukan untuk membagi tahap pemeriksaan dan pengujian menjadi kegiatan audit yang masing-masing dilakukan dengan berfokus pada risiko-risiko dengan nilai  inheren  yang  tinggi.  Bagan  di  bawah  merupakan  aktivitas  utama  dalam  perencanaan  yang dilakukan audit internal dalam implementasi RBIA.
Gambar. 1 The Risk Based Internal Audit Process Sumber: Griffith (2020)

## Tahap 1 RBIA : Establish Objective, Risk and Control Register (ORCR) & Evaluate Risk Maturity
Tahap pertama adalah memastikan bahwa manajemen telah memiliki ORCR atau risk register yang  memuat  hasil  identifikasi  risiko  dan  internal  kontrol  yang  diperlukan.  Internal  audit  harus memastikan bahwa ORCR yang digunakan sudah mampu menurunkan risiko teridentifikasi sampai pada  level  yang  diterima  oleh  perusahaan.  ORCR  pada  dasarnya  merupakan  sebuah  alat  bagi manajemen untuk memetakan peluang dan ancaman terhadap tujuan perusahaan. ORCR dihasilkan melalui  serangkaian  proses  risk  management  yang  idealnya  dilakukan  oleh  manajemen,  namun pada kenyataannya banyak ditemukan penyusunan ORCR belum dilakukan secara memadai oleh manajemen. Sehingga, internal audit perlu terjun langsung membantu kegiatan pengelolaan risiko yang dilakukan oleh manajemen. Hal ini salah satunya dapat disebabkan karena, manajemen belum memiliki pemahaman serta kemampuan yang mumpuni dalam pengelolaan risiko.  Kondisi tidak ideal  ini  menunjukkan  bahwa  tingkat  kematangan  perusahaan  dalam  manajemen  risiko  masih rendah (Griffiths, 2020).
Dalam menentukan tingkat maturitas risiko sebuah perusahaan, Institute of Internal Auditors pada  tahun  2019  memberikan  gambaran  terkait  penilaian  proses  manajemen  risiko  pada perusahaan. IIA menggambarkan terdapat lima tingkatan kematangan risiko perusahaan, yaitu: (1) Risk Naïve – Pada tahap ini kegiatan manajemen risiko masih bergantung pada aktivitas internal audit dalam melakukan penilaian risiko dan aktivitas risk-based assurance dan advisory. (2) Risk Aware – Pada tahap ini kegiatan manajemen risiko dilakukan oleh internal audit bertindak sebagai expertise dan membantu risk owner untuk membuat dan memonitor operational controls. (3) Risk Defined –  Pada  tahap  ini  manajemen  sudah  melakukan  manajemen  risiko  sudah  memiliki  dan menjalankan  proses  manajemen  risiko.  (4) Risk  Managed –  Pada  tahap  ini  masing-masing manajemen lini/operasional (lini pertama) sudah memiliki dan mampu mengelola risiko di seluruh perusahaan  dan  berkewajiban  untuk  menerapkan  tindakan  perbaikan  untuk  mengatasi  masalah yang timbul. Aktivitas internal audit akan berfokus dalam memberikan assurance yang independen
dalam  menilai  efektivitas  proses  manajemen  risiko.  (5) Risk  Enabled –  Pada  tahap  maturitas tertinggi  ini  manajemen  lini/operasional  sudah  memiliki  dan  menjalankan  proses  manajemen risiko.
Tingkat maturitas risiko ideal bagi perusahaan bergantung pada kondisi perusahaan. Tingkat maturitas  tertinggi,  belum  tentu  merupakan  tingkat  risiko  terbaik  dan  optimal  bagi  perusahaan. Hasil penilaian risk maturity perusahaan yang masih dalam tingkat 1 (risk naïve) ataupun tingkat 2 ( risk  aware )  harus  dilaporkan  kepada  audit  komite.  Kondisi  tersebut  menunjukkan  bahwa perusahaan tidak memiliki ORCR yang dapat diandalkan sehingga kemampuan manajemen dalam pengelolaan risiko dan internal kontrol guna mencapai tujuan perusahaan diragukan. Pada tingkatan ini, implementasi RBIA bisa saja dilakukan namun, kredibilitas ORCR yang disusun oleh internal audit  diragukan.  Hal  ini  karena  internal  audit  bukan  merupakan  risk  owner  yang  memiliki pemahaman  mendalam  pada  setiap  proses  bisnis.  Jika  perbaikan  tidak  dilakukan  kesadaran manajemen terkait kepemilikan risiko tidak akan muncul dan terus-menerus dititikberatkan kepada internal audit (Griffiths, 2020).
Sejalan dengan pendapat dari Griffith, Chartered Institute of Internal Auditor menyimpulkan hal  yang  sama.  Pada  tingkat  1  dan  2  ( Risk  Naïve  dan  Risk  Aware )  perusahaan  dapat mempertimbangkan untuk menggunakan alternate framework dalam melakukan audit dan belum dapat menggunakan pendekatan RBIA.
Gambar. 2 Range of Audit Strategy Sumber: Chartered IIA (2014).

## Tahap 2 RBIA : Established Risk Audit Universe and Plan & Do the Audit
Tahap  kedua  dalam  perencanaan  RBIA  adalah,  internal  audit  menyusun  rencana  audit  dan melaksanakan audit. Pada tahap perencanaan, auditor harus memiliki audit universe yang disusun berdasarkan ORCR yang telah dimiliki dan dievaluasi oleh internal audit. Internal audit bisa saja menggunakan ORCR yang sudah dirumuskan oleh manajemen sebagai dasar pembuatan rencana audit  berbasis  risiko.  Namun  untuk  mempertahankan  sifat  independen  dan  objektivitas  sesuai dengan Standard IPPF No. 1100, dalam proses penilaian risiko yang dilakukan manajemen, internal auditor harus melakukan proses risk assessment terpisah dengan apa yang dilakukan manajemen untuk  memberikan  keyakinan  bahwa  semua  risiko  kunci  telah  teridentifikasi  dan  tingkat signifikansi  dari  risiko  telah  tercermin  secara  akurat  (The  Institute  of  Internal  Auditors,  2020).
Untuk melakukan hal tersebut, kepala divisi internal audit akan mengumpulkan dan melakukan kaji ulang terhadap dokumen-dokumen kunci perusahaan seperti bagan organisasi, rencana strategis dan laporan risiko berdasarkan pengawasan yang telah diberikan. Hal ini dilakukan untuk menambah pengetahuan  internal  auditor  terkait  bisnis  proses  perusahaan  dan  potensial  risiko  serta pengendalian internal  (The  Institute  of  Internal  Auditors,  2020).  Kompilasi  risiko  teridentifikasi disusun  dalam  risk  register  dan  dikategorikan  sesuai  dengan:  (1)  Divisi  atau  unit  operasi  yang terdampak  dari  risiko,  karena  divisi  atau  unit  operasi  tersebut  memiliki  tanggung  jawab  untuk mencapai tujuan terkait. (2) Internal Control Owner . Merupakan orang-orang yang bertanggung jawab  untuk  melakukan  pengendalian,  biasanya  merupakan  bagian  dari  divisi  atau  unit  operasi terdampak. (3) Proses pengawasan internal beroperasi.
Risk Audit Universe (RAU) adalah sebuah data base audit yang berisikan risiko teridentifikasi dan kontrol yang telah dilakukan manajemen dan kegiatan assurance yang telah dilakukan internal audit pada periode audit sebelumnya. RAU memudahkan internal auditor dalam memonitor setiap risiko yang teridentifikasi sampai dengan tingkat risiko yang diinginkan. Namun, semakin besar risk register yang dimiliki oleh perusahaan semakin sulit untuk  dipantau. Oleh karena itu dalam memonitor RAU biasanya internal audit menggunakan software .
Tahap  selanjutnya  adalah  membuat  rencana  audit  tahunan.  Rencana  audit  tahunan  disusun untuk mengetahui kegiatan dan area audit dalam setahun ke depan dan berapa lama waktu yang dibutuhkan  untuk  masing-masing  audit  dilakukan  serta budget yang  diperlukan.  Rencana  audit tahunan  yang  telah  disusun  akan  disampaikan  kepada  top  manajemen  serta  dewan.  Dalam menyusun  rencana  audit,  sebaiknya  ditetapkan  sebuah policy terkait  risiko  mana  yang  harus dicakup dan berapa sering audit dilakukan atas risiko tersebut.

## Tahap 3 RBIA : Established Risk Audit Universe and Plan  Do the Audit
Tahap ketiga atau terakhir dalam penerapan RBIA adalah menerbitkan audit report yang berisi opini auditor. Sesuai dengan fungsinya pada lini ketiga, internal auditor wajib mengkomunikasikan hasil  audit  kepada  senior management dan  audit  komite.  Sebelum  menyampaikan  laporan  hasil audit kepada senior management serta audit komite, auditor akan menyampaikan temuan mereka kepada pihak-pihak terkait. Fokus pada diskusi ini adalah pada risiko residual yang melebihi selera risiko perusahaan dan menyampaikan temuan-temuan audit signifikan. Hasil yang diharapkan dari diskusi ini adalah tindak lanjut yang akan diambil oleh manajemen untuk menurunkan tingkat risiko residual sehingga masih dalam batas selera risiko yang diterima perusahaan.
Implementasi RBIA berfokus pada risiko bisnis yang tinggi. Oleh karena itu perusahaan perlu memperhatikan  faktor-faktor  yang mempengaruhi  kesuksesan  implementasi.  Berikut merupakan faktor  penentu  keberhasilan  implementasi  RBIA  yang  diambil  dari  beberapa  sumber  (1)  Peran Fungsi  Internal  Audit  adalah  membantu  manajemen  mencapai  tujuan  perusahaan  dengan menggunakan  pendekatan  yang  sistematis  untuk  mengevaluasi  dan  meningkatkan  efektivitas proses  pengelolaan  risiko  (Erlina  et  al.,  2018).  (2)  Keberhasilan  implementasi  RBIA  sangat dipengaruhi  oleh  dukungan  yang  kuat  dari  manajemen  senior  serta  keterlibatan  manajemen  itu sendiri. Dalam penerapan RBIA yang baik, seluruh komponen di perusahaan baik lini pertama dan lini  kedua  saling  berkolaborasi  (Erlina  et  al.,  2018).  (3)  Pembentukan  sistem  manajemen  risiko yang  terstandarisasi  membantu  mengidentifikasi  potensi  risiko  dan  memfasilitasi  internal  audit dalam merencanakan audit. Hal ini disebabkan karena kesadaran atas risiko sudah mulai tumbuh dalam  sebuah  perusahaan.  Crawford  berpendapat  bahwa,  dalam  sistem  manajemen  risiko  peran serta  tugas  dan  tanggung  jawab  masing-masing  manajer  risiko  dan  internal  audit  didefinisikan secara baik dan jelas (Lois et al., 2020)

## Kerangka Konsep Penelitian
Kerangka konsep penelitian ini didasarkan pada teori yang dikemukakan oleh David Griffith pada tahun 2020 terkait dengan implementasi RBIA dan Chartered Institute of Internal Auditors tahun 2014 dalam melakukan evaluasi kematangan risiko sebagai bagian dari implementasi RBIA. Konsep  penerapan  RBIA  diharapkan  dapat  menyediakan  assurance  yang  independen  bagi manajemen bahwa risiko perusahaan sudah teridentifikasi sehingga penerapan manajemen risiko telah  efektif.  Penelitian  ini  bertujuan  untuk  mengetahui  apakah  penerapan  RBIA  pada  PT  ABC
sudah  sesuai  dengan  teori  implementasi  RBIA  dari  David  Griffith  pada  tahun  2020.  Dalam penelitian ini juga menganalisis faktor-faktor yang mendukung atau menghambat PT ABC dalam implementasi RBIA sesuai dengan framework .

## Gambar. 3 Kerangka Konsep Penelitian
Sumber : Penulis (2023)

## METODE
Metode  yang  digunakan  dalam  penelitian  ini  adalah  dengan  menggunakan  metode  kualitatif. Penelitian  kualitatif  bertujuan  untuk  memahami  kondisi  sekitar  objek  penelitian,  merasakan pengalaman  serta  memahami  konteks  dalam  penelitian  (Awasthy,  2020).  Penelitian  kualitatif dikatakan kredibel adalah saat dapat memberikan jaminan dalam sebuah proses pengumpulan data dan dapat menafsirkan data dengan akurat sehingga hasil penelitian mencerminkan kondisi yang terjadi (Sudarmono, 2021). Penelitian kualitatif kali ini dilakukan dengan berfokus pada suatu objek tertentu dan menjadi sebuah penelitian studi kasus. Cresswell (2007)  menjelaskan bahwa penelitian studi kasus merupakan pendekatan yang tepat jika peneliti memiliki kasus yang dapat diidentifikasi dengan  batasan-batasan  yang  ada  dan  berusaha  untuk  memberikan  pemahaman  yang  mendalam mengenai  kasus  (Patnaik    Pandey,  2019).  Dalam  penelitian  ini,  studi  kasus  dilakukan  untuk mendapatkan pemahaman yang mendalam terkait dengan implementasi RBIA pada PT ABC sesuai dengan framework implementasi  RBIA  dari  David  Griffith  pada  tahun  2020.  Sehingga  dapat menilai  sejauh  mana  penerapan  RBIA  pada  PT  ABC  dan  faktor-faktor  yang  menghambat  atau mendukung penerapan perencanaan dan pelaksanaan RBIA pada PT ABC.
Sumber data yang digunakan dalam penelitian ini merupakan data primer yang diperoleh secara langsung  dengan  menggunakan  analisis  dokumen  dan  wawancara.  Analisis  dokumen  bertujuan untuk mendapatkan pemahaman komprehensif terkait dengan praktik implementasi RBIA pada PT ABC. Dokumen yang dianalisis dalam penelitian ini adalah : Perencanaan Audit Tahunan atau audit plan PT ABC untuk tahun 2023; Daftar Risiko PT ABC untuk tahun 2023; Penilaian risiko yang dilakukan  PT  ABC  untuk  tahun  2023;  Piagam  Audit  Internal  terbaru.  Sementara  wawancara dilakukan kepada pihak-pihak internal PT  ABC yang dapat memberikan pemahaman mendalam terkait  dengan  proses implementasi  RBIA  PT  ABC.  Berikut merupakan  narasumber  wawancara yang dipilih :
Tabel. 1 Kriteria Responden Jabatan Kriteria Head of Internal Audit Responden  memiliki  pemahaman  mendalam  tentang  praktik  RBIA berdasarkan teori dan praktik yang dijalankan pada perusahaan. Business Project Consultant Responden  merupakan  tenaga  profesional  yang  dipekerjakan  oleh perusahaan sebagai konsultan terkait dengan project-project strategis yang dilakukan perusahaan. Supply Chain Management Division Head Responden sebagai risk owner dari salah satu divisi dengan tingkat risiko cukup tinggi pada industri manufaktur memiliki kemampuan  dan wawasan yang mumpuni terkait proses pembelian perusahaan. Financial Controller Division  Head Responden sebagai controller bertugas untuk memantau kegiatan finansial perusahaan sehari-hari. Dalam hal ini responden memiliki pemahaman dan pengetahuan khusus terkait internal controls terkait sistem dan manajemen biaya pada perusahaan.
Sumber : Penulis (2023)
Pembagian  kelompok  wawancara  memiliki  tujuan  untuk  membagi  fokus  wawancara.  Pada responden  auditor  fokus  wawancara  diarahkan  langsung  pada  implementasi  RBIA  pada perusahaan.  Sedangkan  pada  responden  auditee  fokus  wawancara  diarahkan  pada  pengetahuan secara  umum  terkait  dengan  pengelolaan  risiko  di  perusahaan  pada  masing-masing  departemen auditee.

## HASIL

## Evaluasi Implementasi RBIA PT ABC
Implementasi  RBIA  sangat  bergantung  dengan  proses  manajemen  risiko.  Berdasarkan  hasil wawancara  dengan  Business  Project  Consultant  PT  ABC,  selanjutnya  disebut  BPC,  perusahaan baik secara unit bisnis maupun grup, tidak memiliki departemen khusus untuk pengelolaan risiko. Sehingga  proses  pengelolaan  risiko  dalam  perusahaan  belum  dilakukan  secara  terstruktur  dan komprehensif.  Menurut  BPC,  dalam  jangka  waktu  pendek,  fungsi  manajemen  risiko  lebih  baik digabung dengan divisi internal audit. Penggabungan dua fungsi ini terdapat batasan yang perlu dijaga oleh internal auditor. Institute of Internal Auditors (2009) dalam paper : The Role of Internal Auditing  in  Enterprise-wide  Risk  Management menjelaskan  terkait  dengan  batasan  yang  harus dijaga oleh internal auditor dalam berperan ganda, seperti dalam tabel berikut.
Tabel. 2 Peran Internal Audit dalam ERM Peran Inti IA dalam Implementasi ERM Peran IA yang dapat dijalankan dengan batasan Peran IA yang tidak boleh dalam Implementasi ERM 1. Memberikan  asuran  atas proses manajemen risiko
2. Memberikan asurans atas evaluasi  risiko  secara memadai
3. Melakukan  evaluasi  atas proses manajemen risiko
4. Melakukan  evaluasi  atas pelaporan risiko utama
5. Melakukan  review  atas pengelolaan risiko utama
1. Memfasilitasi identifikasi evaluasi risiko 2. Mengarahkan  manajemen dalam memberikan response risiko 3. Mengkoordinasikan aktivitas manajemen risiko
4. Menentukan  pembentukan manajemen risiko
5. Mengkonsolidasi  pelaporan risiko 6. Memelihara dan mengembangkan  kerangka kerja manajemen risiko 1. Mengemangkan strategi manajemen risiko
2. Menyusun  selera  risiko ( risk appetite) perusahaan
3. Mengambil  keputusan  atas risiko yang telah teridentifikasi 4. Menjalankan rencana aksi/tindakan  atas  risiko atas nama manajemen 5. Memberikan management assurance dalam risiko
Sumber : IIA Position Paper (2009)
Berdasarkan  wawancara  dengan  BPC,  diketahui  bahwa  manajemen  PT  ABC  sudah memandang risiko sebagai hal yang penting. Namun saat ini, perusahaan tidak memiliki sumber daya (manusia, alat, dan biaya) yang tidak cukup untuk melakukan proses identifikasi risiko yang komprehensif dan terdokumentasi. Bentuk kontrol risiko yang dilakukan PT ABC saat ini adalah perusahaan  telah  memiliki  perangkat policy dalam  bentuk  Standar  Operasional  Prosedur  (SOP) ataupun Instruksi Kerja (IK) serta sebuah dokumen approval delegation of authority. Dokumen ini berisikan tingkatan persetujuan, tanggung jawab dan pengambilan keputusan dari level manajerial tertinggi sampai dengan level manajerial di bawahnya.
Berdasarkan hasil wawancara dengan KAI, selama ini belum pernah dilakukan penilaian risk maturity secara formal.
“Selama ini belum pernah dilakukan maturity assessment secara formal. Sejauh pengamatan saya selama bekerja di sini, (risk maturity) masih di dalam tahap awal. … masih banyak gap dalam penerapan ERM perusahaan dan perlu banyak perbaikan.”
KAI juga menegaskan bahwa, belum ada proses formal dalam mengidentifikasi dan menilai risiko pada perusahaan. Sejalan dengan pendapat KAI, BPC juga memberikan gambaran yang sama terkait dengan tingkat kematangan risiko perusahaan.
“… kesadaran risiko pada level manajerial di perusahaan sudah terbentuk, namun belum ada dokumentasi dalam bentuk risk register, sehingga sulit untuk divalidasi dan dimonitor ….”

## Evaluasi Implementasi RBIA PT ABC
Untuk  mengetahui  lebih  lanjut  dari  kondisi  penerapan  manajemen  risiko  pada  PT  ABC, penelitian ini mencoba melakukan penilaian atas tingkat kematangan manajemen risiko perusahaan dengan menggunakan model Risk Maturity Assessment yang dikeluarkan oleh (Chartered Internal Auditor, IIA Ireland  UK (2014)  yang didefinisikan kembali.
Tabel. 3 Self Risk Assessment PT ABC Kriteria Kondisi Perusahaan Kesimpulan 1  Tujuan organisasi telah ditetapkan Sudah ditetapkan dan disetujui oleh dewan komisaris dan disampaikan kepada seluruh karyawan Risk Defined 2  Pemahaman manajemen terkait dengan manajemen risiko diberikan melalui pelatihan Pemahaman dan kesadaran manajemen terkait dengan pengelolaan risiko sudah muncul, walaupun belum seluru manajemen PT ABC memperolehnya Risk Aware 3  Sudah ditetapkan sistem penilaian ( scoring ) dalam penilaian risiko Perusahaan, baik secara bisnis unit maupun grup, belum memiliki kebijakan yang terdokumentasi untuk mengatur proses
pengelolaan atau manajemen risiko.
PT ABC belum memiliki daftar risiko (risk register) komprehensif yang dapat diandalkan. Risk Naïve 4  Sudah ditetapkan selera risiko ( risk appetite )
5  Sudah ditetapkan dan dilaksanan proses identifikasi risiko
Kriteria Kondisi Perusahaan Kesimpulan 6  Sudah ada daftar risiko dan dialokasikan ke masing-masing jabatan tertentu
7  Seluruh risiko telah dinilai dengan menggunakan sistem penilaian yang telah ditetapkan
8  Respon atas risiko telah dipilih dan diterapkan Proses risk review pada PT ABC dilakukan setiap kuartalan atau 3 bulan sekali. Namun pendokumentasian hanya berupa MoM yang bersifat terbatas, dan peneliti memiliki keterbatasan akses terhadap beberapa data confidential perusahaan. Risk Naïve 9  Sudah ditetapkan metode monitoring proses kunci telah berjalan dengan baik, respon dan action plan
10  Risiko sudah di- review secara berkala oleh perusahaan
11  Tingkat risiko yang tidak dapat diturunkan sesuai dengan selera
risiko dilaporkan direksi dan komisaris 12  Seluruh proyek baru yang signifikan secara rutin telah dilakukan penilaian risiko Perusahaan secara khusus memiliki seorang Business Process Consultant (BPC), yang bertanggung jawab untuk memantau setiap strategical project yang sedang dan/atau akan dijalankan oleh perusahaan. Risk Naïve 13  Tanggung jawab atas penentuan, penilaian dan manajemen risiko tertuang dalam uraian job description Tanggung jawab atas penentuan, penilaian dan manajeme risiko secara implisit belum tertuang dalam uraian tugas pokok dan fungsi manajer.
Manajer belum dapat memberikan keyakinan atas efektivitas penerapan manajemen risiko dan internal control pada perusahaan. Risk Naïve 14  Manajer memberikan keyakinan atas efektivitas penerapan manajemen risiko di lingkungannya
15  Manajer menilai kinerja manajemen risiko di lingkungan perusahaan
Sumber : Matrix Chartered IIA diolah kembali (2023)
Dari hasil penilaian dapat disimpulkan bahwa tingkat kematangan proses pengelolaan risiko pada PT ABC berdasarkan matrix yang disusun oleh Chartered Institute of Internal Auditors (IIA UK and Ireland) masih berada dalam level 1 atau dalam kategori Risk Naïve . Hal ini tercermin dari score yang PT ABC dalam penilaian risk maturity, pada level 1 ( risk naïve ) sebanyak 9 point, pada level 2 ( risk aware ) sebanyak 1 point, pada level 3 ( risk define ) sebanyak 2 point, pada level 4 ( risk managed )  sebanyak  3  point  dan  pada  level  4  ( risk  enabled )  sebanyak  0  point.  Risk  Naïve menunjukkan  bahwa  perusahaan  tidak  dan/atau  belum  memiliki  pendekatan  formal  dalam penerapan manajemen risiko. Perusahaan dengan hasil penilaian risk maturity masih dalam level 1 dan 2 ( risk naïve dan risk aware ), belum memungkinkan untuk mengimplementasikan RBIA secara penuh.  Kondisi  tersebut  menunjukkan  bahwa  perusahaan  tidak  memiliki  ORCR  yang  dapat diandalkan sehingga kemamapuan manajemen dalam pengelolaan risiko dan internal kontrol guna mencapai  tujuan  perusahaan  diragukan.  Oleh  karena  itu  IIA  merekomendasikan  PT  ABC  untuk
memprioritaskan  untuk  melakukan  perbaikan  dalam  penerapan  manajemen  risiko  dan menggunakan alternatif lain dalam metode perencanaan audit. Sejalan dengan itu IIA Chartered tahun  2014  memberikan  alternatif  strategi-strategi  yang  dapat  dilakukan  perusahaan  setelah mengetahui hasil dari penilaian risk maturity, seperti gambar di bawah.
Gambar. 4 Alternatif Strategi Hasil Penilaian Risk Maturity Perusahaan Sumber : IIA Chartered (2014)
PT  ABC  berdasarkan  wawancara  dengan  KAI  mengklaim  bahwa  praktik  perencanaan  audit yang  dilakukan  sudah  menggunakan  kerangka  RBIA  dengan  memfokuskan  rencana  audit  pada risiko  yang  teridentifikasi.  Namun  setelah  dilakukan  analisis  lebih  lanjut,  praktik  pelaksanaan RBIA yang dilakukan PT ABC belum menggunakan best practice yang sesuai dengan framework yang disusun oleh David Griffith pada tahun 2020 yang dikutip dari IIA Chartered (2014).
Oleh  karena  itu  sebelum  implementasi  RBIA,  PT  ABC  perlu  melakukan  pengembangan strategi  dan  menyusun  kebijakan terkait manajemen risiko.  Hal pertama  yang  dapat manajemen lakukan  adalah  dengan  merancang Roadmap  Enterprise  Risk  Managemen t  guna  meningkatkan kualitas proses manajemen risiko yang secara langsung berpengaruh pada tingkat maturitas risiko perusahaan.  Nilai  maturitas  risiko  yang  tinggi  bukanlah  menjadi  sebuah  tujuan  perusahaan.  Hal tersebut melainkan merupakan sebuah alat bantu bagi manajemen untuk mengembangkan kapasitas dan  kapabilitas  mereka  dalam  mengelola  risiko  yang  berguna  dalam  pengambilan  keputusan strategis  perusahaan.  Roadmap  strategi  untuk  perbaikan  nilai  maturitas  risiko  perusahaan  perlu disusun untuk mencapai tingkat kematangan risiko yang cukup. Strategi ini disusun berdasarkan konsep risk maturity assessment dalam IIA Chartered.
Gambar. 5 Roadmap Peningkatan Risk Maturity
Sumber : Penulis (2023)
Hal pertama yang harus dilakukan adalah menetapkan tujuan perusahaan yang mencerminkan arah strategis perusahaan dalam mencapai keberhasilan baik dalam jangka pendek maupun jangka Panjang.  Merupakan  satu  hal  yang  sia-sia  jika  tujuan  perusahaan  yang  sudah  ditetapkan,  tidak dikomunikasikan  kepada  karyawan.  Hal  ini  diperlukan  agar  perusahaan  dan  karyawan  memiliki pandangan yang sama untuk keberlangsungan perusahaan.
Manajemen  risiko  merupakan  sebuah  proses  yang  dilakukan  secara  terus  menerus.  Hal  ini mengharuskan  proses  manajemen  risiko  yang  ditetapkan  perusahaan  harus  didokumentasikan dalam  sebuah  SOP  atau  kebijakan  baku  yang  mengikat.  Kebijakan  yang  disusun  menjelaskan pendekatan yang akan dilakukan mulai dari proses identifikasi, evaluasi, mitigasi risiko,  sampai dengan  hal-hal  terkait  lainnya.  Selain  itu  risk  appetite  atau  selera  risiko  perusahaan  harus dirumuskan.  Selera  risiko  ditetapkan  untuk  mengetahui  sejauhmana  risiko  yang  dapat  diterima perusahaan. Tidak kalah penting dari penetapan kebijakan, adalah menentukan fungsi yang akan menjalankan  manajemen  risiko.  Dewan  direksi  dan  komisaris  harus  memutuskan  siapa  yang bertanggung jawab dalam pengelolaan risiko di perusahaan. Jika diputuskan untuk dilakukan oleh divisi internal audit, KAI harus memastikan bahwa penugasan yang diberikan tidak mempengaruhi objektivitas dan independensi dari internal audit.
Jika kebijakan sudah disusun dan PIC sudah ditentukan, maka seluruh sumber daya manusia, dari  level manajemen  sampai dengan manajemen  senior,  yang  terlibat  dalam  proses  manajemen risiko  perlu  diberikan  pelatihan  yang  mumpuni.  Pelatihan  diharapkan  dapat  memberikan pemahaman terkait dengan konsep risiko dan kerangka kerja atau pendekatan manajemen risiko yang  digunakan  pada  perusahaan.  Berbekal  dengan  pelatihan  yang  telah  diberikan,  manajemen diharapkan  sudah  mampu  mengidentifikasi  risiko  pada  masing-masing  divisi.  Masih  termasuk dalam  rangkaian  manajemen  risiko,  perusahaan  perlu  memberikan  penilaian  atas  risiko teridentifikasi.  Dengan  menggunakan  hasil  penelitian  risiko  tersebut,  perusahaan  dapat memprioritaskan risiko sehingga dapat memfokuskan pada risiko-risiko dengan dampak besar dan probabilitas yang tinggi.
Hasil  penilaian  risiko  yang  telah  dilakukan  harus  didokumentasikan  dalam  ORCR  atau  risk register. Risk Register dibuat untuk membantu perusahaan dalam menjaga pemahaman manajemen yang  berkelanjutan  terkait  dengan  risiko  yang  mereka  hadapi  dan  langkah-langkah  untuk mengelolanya. Hasil penilaian risiko yang telah dilakukan dilaporkan kepada direksi dan komisaris termasuk  dengan  risiko-risiko  teridentifikasi  yang    melewati  selera  risiko  perusahaan.  Hal  ini dilakukan untuk memberikan sudut pandang baru bagi direksi dan komisaris dalam pengambilan keputusan.

## KESIMPULAN
Penelitian ini dilaksanakan untuk mengetahui dan mengevaluasi penerapan audit berbasis risiko atau RBIA dalam perencanaan audit pada PT ABC. Dari hasil analisis evaluasi yang dilakukan, disimpulkan  bahwa  penerapan  RBIA  pada  PT  ABC  belum  memungkinkan  untuk diimplementasikan secara penuh. Hal ini dikarenakan hasil penilaian risk maturiy PT ABC masih dalam tingkat 1 ( risk naïve ). Risk naïve mengindikasikan bahwa perusahaan tidak dan/atau belum memiliki  pendekatan  formal  dalam  penerapan  manajemen  risiko.  Manajemen  belum  mampu melakukan proses manajemen risiko secara komprehensif, karena belum memiliki sumber daya, baik manusia maupun pendukung lainnya, yang mendukung. Sebagai alternatif dalam perencanaan audit  tahunan,  manajemen  dapat  menggunakan  kerangka  kerja  alternatif  dengan  tetap mempertimbangkan  faktor  risiko.  Hal  ini  seperti  mempertimbangkan  perhatian  (concern)  dari senior manajemen maupun komisaris terkait dengan area bisnis yang perlu diberikan jasa assurance dari tim internal audit.
Dalam  upaya  meningkatkan  tingkat  maturitas  risiko  PT  ABC,  penelitian  ini  memberikan rekomendasi  peningkatan  nilai  maturitas  risiko.  Sehingga  PT  ABC  dapat  melakukan  proses pengelolaan  risiko  secara  komprehensif  dan  terstruktur.  Sehingga  seluruh  risiko  terkait  dengan kegiatan perusahaan dapat teridentifikasi dan dapat menjadi dasar pertimbangan manajemen dalam pengambilan keputusan.

## REFERENSI
Awasthy,  R.  (2020). Nature  of  Qualitative  Research .  145–161.  https://doi.org/10.1108/978-1- 78973-973-220191010
Chartered Internal Auditor (IIA Ireland  UK). (2014). Risk Maturity Assessment .
EHS  Today.  (2011). Deepwater  Horizon:  Production  Rewarded,  Safety  Ignored . https://www.ehstoday.com/safety/article/21904043/deepwater-horizon-production- rewarded-safety-ignored
Erlina, Putri, D. R., Sopanah, A.,  Muda, I. (2018). Model of successful risk based internal audit implementation  in  regencies/cities  in  north  sumatera. International  Journal  of  Civil Engineering and Technology , 9 (9), 615–627.
Griffiths, D. (2020). Risk Based Internal Audit . 1–109. https://www.internalaudit.biz/index.html
Institute of Internal Auditors. (2009). IIA position paper: The role of internal auditing in enterprise- wide risk management. The Institute of Internal Auditors , January , 1–8. https://na.theiia.org/standards-guidance/Public Documents/PP The Role of Internal Auditing in Enterprise Risk Management.pdf
Kalia, A.,  Gill, S. (2023). Corporate governance and risk management: a systematic review and synthesis for future research. Journal of Advances in Management Research , 20 (3), 409–461. https://doi.org/10.1108/JAMR-07-2022-0151
Lois, P., Drogalas, G., Nerantzidis, M., Georgiou, I.,  Gkampeta, E. (2020). Risk-based internal audit: factors related to its implementation. Corporate Governance (Bingley) , 21 (4), 645–662. https://doi.org/10.1108/CG-08-2020-0316
Patnaik,  S.,    Pandey,  S.  C.  (2019). Case  Study  Research . 2019 ,  163–179. https://doi.org/10.1108/978-1-78973-973-220191011
Ramadhan, R., Raharja, S. J.,  Muhyi, H. A. (2022). Penyebab Kebangkrutan PT Sariwangi dan Analisisnya dengan menggunakan Teori Goal Setting. Jurnal Ilmu Manajemen Dan Bisnis , 13 (2), 183–190. https://ejournal.upi.edu/index.php/mdb/article/view/45405
Sudarmono.  (2021). Perancangan  Risk  Based  Internal  Audit  Plan  Pada  Divisi  Internal  Audit :
(Studi Kasus PT. XY) . Universtias Indonesia.
The Institute of Internal Auditors. (2020). Integrated Risk Based Internal Auditing .
Wilson, R. (2018). The Story of Risk Management Failure – Deepwater Horizon . Audit Comply. https://www.auditcomply.com/2018/07/18/story-risk-management-failure-deepwater- horizon/#:~:text=Final reports of the disaster demonstrate that multiple,in the days leading up to the blowout.