Keberhasilan implementasi Governance, Risk, and Compliance (GRC) tidak hanya bergantung pada teknologi, kebijakan, atau kompetensi tim yang menjalankannya. Salah satu faktor penentu yang paling penting adalah dukungan dari manajemen, terutama direksi dan pimpinan perusahaan. Tanpa komitmen dari tingkat manajemen, program GRC sering kali hanya menjadi inisiatif divisi tertentu, tidak memiliki prioritas yang jelas, serta kesulitan memperoleh anggaran maupun sumber daya yang dibutuhkan.
Sebaliknya, ketika manajemen memberikan dukungan penuh, implementasi GRC akan lebih mudah dijalankan karena memiliki arah strategis, kebijakan yang kuat, serta koordinasi yang lebih baik antarunit kerja. Oleh sebab itu, kemampuan meyakinkan manajemen mengenai pentingnya GRC merupakan bagian penting dari keberhasilan program tersebut.
Artikel ini membahas berbagai strategi yang dapat dilakukan untuk memperoleh dukungan manajemen terhadap implementasi GRC.
Mengapa Dukungan Manajemen Sangat Penting?
GRC merupakan program yang menyentuh hampir seluruh aspek organisasi, mulai dari tata kelola, pengelolaan risiko, kepatuhan, keamanan informasi, audit, hingga operasional bisnis. Karena cakupannya yang luas, implementasi GRC membutuhkan keputusan strategis yang hanya dapat diberikan oleh manajemen.
Dukungan manajemen diperlukan untuk:
Menetapkan arah kebijakan organisasi.
Menyediakan anggaran implementasi.
Menentukan prioritas program.
Mendorong kolaborasi lintas divisi.
Menjadi teladan dalam penerapan tata kelola yang baik.
Mengawasi pencapaian tujuan program.
Tanpa dukungan tersebut, implementasi GRC berisiko berjalan lambat atau bahkan berhenti di tengah jalan.
Hambatan yang Sering Terjadi
Sebelum membahas strategi memperoleh dukungan, penting untuk memahami alasan mengapa sebagian manajemen belum sepenuhnya mendukung program GRC.
Beberapa penyebab yang umum terjadi antara lain:
Menganggap GRC hanya sebagai kewajiban administratif.
Belum memahami manfaat bisnis dari GRC.
Fokus pada target jangka pendek dibandingkan pengelolaan risiko jangka panjang.
Menganggap implementasi GRC memerlukan biaya yang besar.
Tidak memiliki informasi mengenai tingkat risiko organisasi.
Belum pernah mengalami insiden yang menunjukkan pentingnya GRC.
Memahami persepsi tersebut akan membantu tim GRC menyusun pendekatan komunikasi yang lebih efektif.
Langkah-Langkah Mendapatkan Dukungan Manajemen
1. Hubungkan GRC dengan Tujuan Bisnis
Kesalahan yang sering dilakukan adalah menjelaskan GRC hanya dari sisi kepatuhan atau teknis.
Sebaliknya, jelaskan bagaimana GRC dapat membantu perusahaan mencapai tujuan bisnis, misalnya:
Mengurangi kerugian akibat risiko operasional.
Melindungi reputasi perusahaan.
Mendukung pertumbuhan bisnis.
Meningkatkan kepercayaan pelanggan.
Mempermudah ekspansi ke pasar baru.
Memenuhi persyaratan mitra bisnis dan regulator.
Manajemen lebih mudah menerima program yang memiliki dampak langsung terhadap kinerja organisasi.
2. Gunakan Pendekatan Berbasis Risiko
Manajemen biasanya lebih tertarik pada informasi mengenai risiko dibandingkan detail teknis.
Sebagai contoh, daripada mengatakan:
“Server belum menggunakan Multi-Factor Authentication.”
Lebih efektif menjelaskan:
“Apabila akun administrator berhasil diambil alih, operasional perusahaan dapat terganggu dan berpotensi menimbulkan kerugian finansial serta pelanggaran regulasi.”
Pendekatan berbasis dampak bisnis akan lebih mudah dipahami oleh pimpinan.
3. Sajikan Data dan Fakta
Keputusan manajemen sebaiknya didukung oleh data yang objektif.
Data yang dapat disampaikan antara lain:
Jumlah insiden keamanan.
Hasil audit internal.
Temuan regulator.
Tingkat kepatuhan.
Tren risiko.
Kerugian akibat gangguan operasional.
Perbandingan dengan organisasi sejenis.
Visualisasi menggunakan grafik dan dashboard akan membantu manajemen memahami kondisi organisasi dengan lebih cepat.
4. Tunjukkan Nilai Investasi (Return on Investment)
Implementasi GRC memerlukan investasi sehingga manajemen perlu mengetahui manfaat yang akan diperoleh.
Contoh manfaat yang dapat dihitung:
Pengurangan waktu persiapan audit.
Penurunan jumlah temuan audit.
Pengurangan pekerjaan manual.
Penurunan biaya akibat insiden keamanan.
Efisiensi proses pelaporan.
Peningkatan produktivitas tim.
Semakin jelas manfaat finansialnya, semakin besar peluang memperoleh dukungan.
5. Libatkan Manajemen Sejak Awal
Manajemen sebaiknya tidak hanya menerima laporan ketika proyek akan dimulai.
Libatkan mereka sejak tahap:
Penentuan tujuan.
Identifikasi risiko.
Penyusunan roadmap.
Penetapan prioritas.
Evaluasi implementasi.
Keterlibatan sejak awal akan meningkatkan rasa memiliki terhadap program.
6. Mulai dari Quick Wins
Program GRC tidak harus langsung mencakup seluruh organisasi.
Mulailah dari proyek yang dapat memberikan hasil dalam waktu relatif singkat, misalnya:
Digitalisasi risk register.
Otomatisasi pengumpulan bukti audit.
Dashboard kepatuhan.
Workflow persetujuan kebijakan.
Keberhasilan awal akan meningkatkan kepercayaan manajemen terhadap program GRC.
7. Bangun Business Case yang Kuat
Sebelum mengajukan implementasi GRC, siapkan business case yang mencakup:
Permasalahan saat ini.
Risiko apabila tidak dilakukan perbaikan.
Solusi yang diusulkan.
Estimasi biaya.
Manfaat yang diharapkan.
Jadwal implementasi.
Indikator keberhasilan.
Business case yang komprehensif akan mempermudah proses pengambilan keputusan.
Peran Manajemen dalam Program GRC
Setelah memberikan dukungan, manajemen juga memiliki tanggung jawab dalam memastikan keberhasilan implementasi.
Beberapa peran penting antara lain:
Menetapkan Arah Strategis
Manajemen menentukan visi dan sasaran implementasi GRC agar selaras dengan strategi perusahaan.
Menyediakan Sumber Daya
Program GRC membutuhkan:
Anggaran.
SDM.
Teknologi.
Waktu implementasi.
Komitmen penyediaan sumber daya menjadi salah satu bentuk dukungan yang paling nyata.
Menjadi Sponsor Program
Executive sponsor berperan:
Menghilangkan hambatan organisasi.
Mempercepat pengambilan keputusan.
Memberikan arahan strategis.
Menjaga prioritas program.
Memantau Kinerja
Manajemen perlu secara berkala meninjau:
Tingkat kepatuhan.
Status mitigasi risiko.
Hasil audit.
KPI.
Key Risk Indicator (KRI).
Monitoring yang konsisten menunjukkan bahwa GRC merupakan bagian dari strategi perusahaan.
Cara Berkomunikasi dengan Manajemen
Komunikasi kepada manajemen harus berbeda dengan komunikasi kepada tim teknis.
Beberapa prinsip yang perlu diperhatikan:
Fokus pada dampak bisnis.
Gunakan bahasa yang sederhana.
Hindari istilah teknis yang tidak diperlukan.
Sajikan data dalam bentuk grafik atau dashboard.
Berikan rekomendasi yang jelas.
Sertakan alternatif solusi.
Manajemen lebih membutuhkan informasi untuk mengambil keputusan daripada rincian teknis implementasi.
Contoh Dashboard untuk Manajemen
Dashboard GRC yang ditujukan kepada manajemen dapat menampilkan:
Indikator
Status
Tingkat Kepatuhan
92%
Risiko Tinggi
8
Risiko Sedang
21
Temuan Audit Terbuka
5
Penyelesaian Mitigasi
87%
Insiden Bulan Ini
3
Vendor Berisiko Tinggi
2
Dashboard seperti ini memudahkan pimpinan memahami kondisi organisasi dalam waktu singkat.
Kesalahan yang Harus Dihindari
Beberapa kesalahan yang sering menyebabkan manajemen kurang mendukung program GRC adalah:
Terlalu fokus pada aspek teknis.
Menyampaikan laporan yang terlalu panjang dan sulit dipahami.
Tidak mengaitkan GRC dengan tujuan bisnis.
Mengajukan anggaran tanpa business case yang jelas.
Tidak menunjukkan hasil implementasi.
Jarang memberikan pembaruan mengenai perkembangan program.
Menganggap dukungan manajemen hanya diperlukan pada awal proyek.
Contoh Implementasi
Sebuah perusahaan distribusi mengalami peningkatan jumlah insiden keamanan akibat lemahnya pengelolaan hak akses. Tim keamanan kemudian mengusulkan implementasi GRC.
Alih-alih hanya menjelaskan fitur aplikasi, tim menyusun business case yang menunjukkan bahwa insiden tersebut berpotensi menyebabkan gangguan operasional, kehilangan kepercayaan pelanggan, serta meningkatnya biaya audit.
Mereka juga menampilkan dashboard yang memperlihatkan jumlah risiko tinggi, waktu penyelesaian insiden, dan biaya yang dapat dihemat melalui otomatisasi proses audit.
Melihat manfaat yang jelas, direksi menyetujui anggaran implementasi, menunjuk seorang direktur sebagai executive sponsor, dan membentuk komite GRC lintas divisi. Dalam waktu satu tahun, perusahaan berhasil meningkatkan tingkat kepatuhan, mempercepat proses audit, dan mengurangi jumlah insiden keamanan.
Best Practice Mendapatkan Dukungan Manajemen
Beberapa praktik terbaik yang dapat diterapkan meliputi:
Kaitkan setiap inisiatif GRC dengan tujuan bisnis.
Gunakan data dan metrik yang mudah dipahami.
Bangun business case yang realistis.
Tunjukkan manfaat jangka pendek melalui quick wins.
Libatkan manajemen dalam proses pengambilan keputusan.
Sampaikan laporan secara ringkas dan berkala.
Gunakan dashboard visual untuk memudahkan pemantauan.
Ukur keberhasilan menggunakan KPI dan Key Risk Indicator (KRI).
Jadikan GRC sebagai bagian dari strategi perusahaan, bukan sekadar proyek kepatuhan.
Indikator Keberhasilan Dukungan Manajemen
Keberhasilan memperoleh dukungan manajemen dapat dilihat dari beberapa indikator berikut:
Indikator
Dampak Positif
Anggaran GRC disetujui
Program dapat berjalan
Executive sponsor ditunjuk
Pengambilan keputusan lebih cepat
Komite GRC terbentuk
Kolaborasi lintas divisi meningkat
KPI GRC masuk ke target organisasi
Prioritas program meningkat
Laporan GRC dibahas dalam rapat manajemen
Pengawasan lebih baik
Tingkat partisipasi unit kerja
Semakin tinggi
Kesimpulan
Dukungan manajemen merupakan fondasi utama keberhasilan implementasi Governance, Risk, and Compliance (GRC). Komitmen pimpinan tidak hanya dibutuhkan untuk menyediakan anggaran dan sumber daya, tetapi juga untuk membangun budaya tata kelola yang baik, memperkuat pengelolaan risiko, dan memastikan kepatuhan menjadi bagian dari strategi organisasi. Dengan menghubungkan GRC pada tujuan bisnis, menyajikan data yang relevan, membangun business case yang kuat, serta menunjukkan manfaat nyata melalui hasil yang terukur, organisasi dapat memperoleh dukungan manajemen yang berkelanjutan. Ketika pimpinan berperan aktif sebagai sponsor program, implementasi GRC akan memiliki peluang yang jauh lebih besar untuk berhasil dan memberikan nilai tambah bagi perusahaan.
