Jakarta, TopBusiness — Perusahaan perlu mengukur tingkat kematangan (maturity) Governance, Risk and Compliance (GRC) untuk memastikan penerapannya benar-benar efektif. Keberadaan kebijakan, prosedur, risk register, sistem pengendalian, maupun berbagai fungsi GRC belum cukup menjadi bukti bahwa GRC telah berjalan secara matang.
Pakar dan peneliti GRC sekaligus Dewan Juri TOP GRC Award 2026, Dr. Subramaniam Anbanathan, S.Si., MBA., mengatakan pengukuran tingkat maturitas merupakan basis penting untuk mengetahui efektivitas penerapan GRC dalam organisasi.
“Alasan utama kita dalam menerapkan GRC itu harus didukung oleh penilaian terhadap tingkat maturitas pengelolaan GRC atau sering diistilahkan itu GRC maturity index. Itu merupakan basis bagi kita untuk memastikan seberapa efektif kita menerapkan GRC,” kata Subramaniam dalam Webinar TOP GRC Awards 2026 bertema “Sustainability by Design: A Journey Through Intelligent GRC”, Kamis (27/8/2026).
Menurut Nathan, selama ini masih terdapat kecenderungan organisasi menganggap penerapan GRC telah efektif ketika telah memiliki berbagai perangkat dan infrastruktur pendukung. Padahal, perangkat tersebut baru menunjukkan bahwa perusahaan telah memulai penerapan GRC, bukan menunjukkan tingkat kematangannya.
“Infrastruktur dalam mengelola GRC atau menerapkan GRC itu bukan pertanda bahwasanya kita sudah mature, bukan pertanda bahwasanya organisasi sudah membangun kapabilitas, tapi itu adalah tanda-tanda organisasi baru melakukan langkah awal dalam menerapkan GRC,” ujarnya.
Karena itu, pengukuran maturity diperlukan untuk menjawab pertanyaan yang lebih substantif mengenai efektivitas GRC. Di antaranya, apakah berbagai sistem yang dimiliki perusahaan sudah saling terkoneksi, apakah informasi yang dihasilkan telah menjadi dasar pengambilan keputusan, serta apakah pengendalian dan pengelolaan risiko benar-benar efektif.
“Apakah semua sistem sudah terkoneksi satu dengan yang lainnya? Informasi, misalnya kita punya banyak informasi selama kita menerapkan GRC. Apakah informasi itu sudah menjadi basis dalam membuat keputusan? Begitu juga dengan risiko atau pengendalian internal kita sudah efektif atau tidak,” jelas Nathan.
Mengukur Kapabilitas GRC
Nathan menjelaskan, tingkat maturity GRC pada dasarnya berkaitan dengan kemampuan atau kapabilitas organisasi dalam menerapkan GRC. Kapabilitas tersebut dinilai melalui empat komponen utama, yaitu learn, align, perform, dan review.
Learn mengukur sejauh mana organisasi memahami konteks, pemangku kepentingan, serta budaya organisasi. Selanjutnya, align melihat apakah keputusan yang diambil sudah tepat dan selaras dengan tujuan organisasi.
Tahap perform kemudian menguji apakah keputusan yang telah dibuat benar-benar dilaksanakan. Sementara review digunakan untuk mengetahui apakah penerapan yang dilakukan telah bekerja secara efektif.
“Learn di dalam kerangka proses pembelajaran di sini adalah kata kuncinya do we understand? So, what do you understand? About your context, about your stakeholders. Satu lagi yang terakhir adalah about your culture,” kata Nathan.
Setelah organisasi memahami konteksnya, proses berlanjut pada pertanyaan apakah keputusan yang diambil sudah tepat.
“Are we making the right decision? That is alignment,” ujarnya.
Adapun pada tahap perform, pertanyaannya adalah apakah organisasi telah menjalankan apa yang telah diputuskan. Sedangkan pada tahap review, organisasi perlu memastikan apakah seluruh proses tersebut benar-benar bekerja.
“Are we doing what we decided? … Dan yang terakhir … do we know whether it works,” jelas Nathan.
Menurut dia, keempat komponen tersebut menjadi dasar untuk melihat seberapa efektif GRC diterapkan dalam organisasi.
“Intinya keempat komponen inilah merupakan basis bagi kita untuk melihat how effective you implement your GRC in the organization,” katanya.
Maturity Tidak Sekadar Skor
Dalam konteks TOP GRC Award 2026, pengukuran maturity dikembangkan melalui konsep “dua perspektif, satu tujuan”. Perspektif pertama menggunakan 12 aspek penilaian untuk melihat keunggulan organisasi dalam mengelola GRC dan dampak yang dihasilkan.
Sementara perspektif kedua menggunakan model kapabilitas GRC untuk mengukur tingkat kematangan kapabilitas organisasi.
“Kami membangun yang namanya 12 aspek penilaian. Sebenarnya ini untuk menilai keunggulan kita dalam mengelola GRC termasuk dampak yang diberikannya kepada organisasi,” kata Nathan.
Ke-12 aspek tersebut dikelompokkan ke dalam empat dimensi, yakni values and business impact, tata kelola dan integrasi, execution excellence, serta continuous maturity.
Menurut Nathan, 12 aspek tersebut disusun melalui kajian ilmiah dan tidak berdiri sendiri. Aspek-aspek penilaian tersebut kemudian dikaitkan dengan model kapabilitas sehingga dapat memberikan gambaran yang lebih utuh mengenai kematangan penerapan GRC.
“12 aspek itu kami bangun dari serangkaian kajian scientific approach, kajian ilmiah yang terstruktur juga dan dilengkapi dengan berbagai metode analisis dan statistik terapan,” ujarnya.
Dengan demikian, hasil pengukuran tidak semata-mata berupa angka atau skor maturity. Penilaian juga diarahkan untuk menemukan kondisi aktual, kesenjangan, serta area yang perlu diperkuat organisasi.
Gunakan Mixed Method
Untuk memperoleh gambaran yang lebih komprehensif, proses pengukuran maturity GRC menggunakan pendekatan mixed method. Pendekatan tersebut menggabungkan metode kuantitatif dan kualitatif.
Tahapan penilaian dimulai dari initiating and scoping, kemudian learn and evidence collection, assessment and field work, validasi dan kalibrasi, hingga penilaian serta pelaporan.
Pada tahap awal, tim melakukan persiapan teknis dan nonteknis, termasuk document review. Selanjutnya digunakan web-based questionnaire yang telah distandardisasi.
Meski demikian, Nathan menjelaskan, instrumen tersebut dapat mengalami fine tuning berdasarkan karakteristik industri masing-masing perusahaan.
“Beda karakteristik industri. Ada sedikit penyesuaian untuk parameter-parameter atau kita bilang indikator-indikator web-based questionnaire yang perlu kita fine tuning. Bukan diubah tapi di-fine tuning-kan,” ujarnya.
Hasil kuesioner kemudian menjadi salah satu dasar untuk menentukan pihak-pihak yang perlu diwawancarai. Proses wawancara dilakukan dengan metode semi-structured interview.
Dengan kombinasi tersebut, data kuantitatif yang diperoleh melalui kuesioner dapat dijelaskan lebih mendalam melalui temuan kualitatif dari wawancara.
“Kalau wawancara itu kan kualitatif, sementara questionnaire itu kuantitatif. Inilah yang menunjukkan how the qualitative explain the quantitative,” kata Nathan.