Jakarta, TopBusienss – Governance, Risk, and Compliance (GRC) tidak boleh berhenti sebagai perangkat untuk memastikan perusahaan lolos audit.
Di tengah turbulensi digital dan risiko yang bergerak setiap saat, GRC harus naik kelas menjadi mesin yang menjaga kualitas operasional, melindungi kinerja bisnis, sekaligus membantu perusahaan mengambil keputusan secara lebih cepat dan tepat.
Pandangan tersebut disampaikan Managing Director, Risk & Sustainability BPI Danantara, Effendi Hengki, dalam keynote speech pada acara puncak TOP GRC Awards 2026 di Dian Ballroom, Hotel Raffles Jakarta, Rabu (9/9/2026).
Effendi menilai paradigma lama yang menempatkan GRC sebagai aktivitas kepatuhan berbasis pemeriksaan historis sudah tidak memadai untuk menghadapi dinamika risiko saat ini. Sebab, hasil audit pada dasarnya hanya menggambarkan apa yang telah terjadi, sementara risiko bisnis terus muncul dan berubah setiap saat.
“Kalau kita cuma melihat hasil audit, apakah GRC kita sudah bagus atau tidak, itu berbicara mengenai historis. Kita audit tiga bulan yang lalu, setahun yang lalu, bahkan setahun yang lalu. Itu semua cermin-cermin masa lalu,” ujar Effendi.
Karena itu, ia mengajak perusahaan mengubah cara pandang dari GRC sebagai snapshot menjadi continuous assurance.
“GRC itu bukan snapshot, bukan hanya screenshot apa yang sudah terjadi. GRC harus berkembang menjadi sesuatu yang bisa memastikan continuous assurance,” tegasnya.
Risiko Tak Menunggu Audit
Bagi Effendi, persoalan utama bukan sekadar apakah perusahaan memiliki kebijakan, prosedur, maupun kerangka GRC. Tantangannya adalah apakah seluruh perangkat tersebut benar-benar mampu menangkap risiko yang muncul dalam aktivitas bisnis sehari-hari.
Ia mengkritisi praktik GRC tradisional yang menurutnya dapat terjebak menjadi compliance theatre atau “drama kepatuhan”. Ketika audit akan dilakukan, perusahaan sibuk mengumpulkan dokumen dan berbagai bukti yang diminta auditor.
Masalahnya, audit berbasis sampel belum tentu mampu menggambarkan keseluruhan risiko perusahaan.
“Pertanyaannya, apakah dengan sampling itu bisa merefleksikan risiko yang kita hadapi? Belum tentu,” katanya.
Jika pemeriksaan hanya mencakup sebagian kecil aktivitas, masih terdapat area yang tidak terpantau. Padahal, menurut Effendi, justru di area yang tidak terlihat itulah risiko dapat muncul dan berkembang menjadi persoalan yang lebih besar.
Risiko tersebut bahkan dapat langsung memukul kinerja perusahaan. Denda dapat menggerus kinerja keuangan, sementara persoalan kepatuhan dapat berkembang menjadi risiko reputasi.
“Bagaimana kita memastikan bahwa secara bisnis, secara performance company tetap bisa berjalan dengan baik. Jangan gara-gara tiba-tiba kena denda, financial company tergerus performance-nya. Jangan tiba-tiba perusahaan kena denda menjadi isu reputasi,” ujarnya.
Dengan demikian, GRC harus ditempatkan sebagai bagian dari mekanisme perlindungan kinerja bisnis, bukan sekadar fungsi administratif.
Dari Penjaga Kepatuhan Menjadi Penggerak Strategi
Effendi menegaskan, GRC harus menjadi enabler yang menciptakan nilai (value creation) bagi perusahaan.
“GRC itu jangan dianggap sebagai kepatuhan,” katanya.
Pada tingkat kematangan GRC yang masih rendah, perusahaan umumnya berfokus memastikan tersedianya framework, kebijakan, dan proses agar memenuhi ketentuan. Namun, GRC seharusnya bergerak lebih jauh, yakni mendukung bahkan mendorong strategi perusahaan.
“GRC itu harusnya menjadi sesuatu yang men-drive strategi. Strategi kita ini haruslah di-support dengan GRC kita,” ujarnya.
Perubahan tersebut menuntut perusahaan beralih dari pendekatan reaktif menuju proaktif. Perusahaan tidak lagi menunggu auditor menemukan kesalahan, tetapi membangun mekanisme yang mampu mendeteksi penyimpangan ketika risiko mulai muncul.
Targetnya adalah menciptakan organisasi yang siap menghadapi pemeriksaan dan risiko setiap saat, bukan hanya ketika audit tahunan berlangsung.
“Kita maunya tidak lagi stres di saat audit, tapi kita sudah siap at any time. Beban kerja kita tidak di hari-H audit saja, tapi merata sepanjang tahun,” kata Effendi.
Auditor Bukan Lagi “Polisi Sejarah”
Transformasi GRC juga akan mengubah peran auditor. Effendi berharap auditor tidak lagi identik dengan “polisi” yang datang mencari kesalahan masa lalu.
Sebaliknya, auditor harus mampu menjadi navigator strategi yang membantu perusahaan memahami arah dan risiko dari strategi yang dijalankan.
“Kita justru penginnya auditor itu menjadi someone yang bisa menjadi navigator strategi atas strategi perusahaan mau seperti apa. Navigator artinya menavigasi, bukan menjadi polisi yang mencari kesalahan masa lalu,” tuturnya.
Untuk mencapai kondisi tersebut, perusahaan membutuhkan continuous monitoring dan continuous auditing.
Continuous monitoring dilakukan melalui sistem yang memantau aktivitas perusahaan secara terus-menerus. Berbagai aturan, batas transaksi, kewenangan, serta kebijakan dimasukkan ke dalam sistem sehingga setiap penyimpangan dapat segera terdeteksi.
“Sistem inilah yang akan memonitor. Bukan kita yang monitor,” ujarnya.
Sementara itu, continuous auditing tidak berarti auditor harus memeriksa setiap transaksi setiap hari. Fokus audit dapat diarahkan untuk memastikan sistem pengawasan tersebut bekerja secara benar dan memiliki integritas.
“Dia tidak mengaudit transaksinya, tapi dia mengaudit integritas dari sistem itu. Benar enggak sistem ini bekerja dengan benar? Itulah namanya continuous auditing,” jelas Effendi.
Teknologi Menjadi Mesin Pengawasan
Menurut Effendi, transformasi tersebut tidak mungkin dilakukan sepenuhnya secara manual. Perusahaan membutuhkan integrasi sistem dan teknologi untuk mengotomasi pengawasan risiko.
Ia mencontohkan perubahan parameter dalam sistem teknologi informasi yang berpotensi mengubah data bersifat rahasia menjadi data publik. Dengan sistem GRC yang terintegrasi, perubahan tersebut dapat langsung dikenali sebagai penyimpangan terhadap aturan dan memunculkan peringatan, bahkan dapat diblokir.
Tanpa sistem seperti itu, perusahaan baru berpotensi mengetahui masalah ketika audit dilakukan beberapa bulan atau setahun kemudian. Pada saat tersebut, kebocoran data sudah telanjur terjadi dan dampaknya terhadap bisnis dapat semakin besar.
Karena itu, menurut Effendi, sistem GRC harus terhubung dengan sistem yang ada di organisasi dan mampu menerjemahkan berbagai aturan menjadi mekanisme pengawasan otomatis.
Namun, teknologi bukan satu-satunya fondasi. Ia menyebut people and culture, proses, serta teknologi sebagai tiga hal yang harus disiapkan.
Sumber daya manusia harus memiliki mindset dan keterampilan baru. Auditor, misalnya, tidak cukup hanya mampu memeriksa dokumen, tetapi juga harus memahami logika sistem dan teknologi.
“People skill kita juga harus ditingkatkan. Yang tadinya auditor cuma mengerti melihat file PDF, sekarang dia harus punya kemampuan untuk mengerti logika-logika sistem,” katanya.
Di sisi proses, perusahaan harus memastikan berbagai proses kerja dan sistem telah terintegrasi. Dengan integrasi tersebut, aturan transaksi, kebijakan, maupun ketentuan kepatuhan dapat dimasukkan ke dalam sistem dan dipantau secara berkelanjutan.
Danantara Bangun Sistem GRC
Effendi juga mengungkapkan keinginannya membangun GRC system di Danantara sebagai bagian dari upaya memperkuat mekanisme pengawasan organisasi.
Menurutnya, pembangunan sistem tersebut memang bukan pekerjaan sederhana. Perusahaan dapat memilih menggunakan sistem yang tersedia di pasar atau membangun sistem sendiri yang dapat disesuaikan dengan kebutuhan organisasi.
Namun, apa pun pilihannya, sistem harus mampu menjawab kebutuhan organisasi dan tidak membuat perusahaan sepenuhnya bergantung pada proses manual.
“Kita harus bangun ke sana karena tidak mungkin semuanya kita lakukan manual. Apalagi hari-hari terakhir ini kita mengenal istilah AI. Kalau kita semua lakukan manual, kita tidak akan pernah sanggup,” ujarnya.
Pada akhirnya, Effendi mengingatkan bahwa keberhasilan GRC tidak seharusnya diukur dari banyaknya dokumen yang tersedia ketika auditor datang atau sekadar skor yang diperoleh dalam penilaian tahunan.
“Kepatuhan itu bukan tentang hasil akhir dari sebuah proses ritual tahunan. Tahun ini GRC kita dapat skor sekian, tahun ini hasil audit satisfactory. Bukan itu,” tegasnya.
Esensi GRC, lanjut dia, adalah menjaga kualitas dan integritas operasional bisnis secara berkelanjutan.
“GRC ini adalah tentang bagaimana kita menjaga kualitas integritas operasional bisnis di organisasi kita,” katanya.
Dengan perspektif tersebut, organisasi yang berkelanjutan bukanlah organisasi yang memiliki lemari penuh dokumen untuk diperiksa. Organisasi yang sustain adalah organisasi yang mampu melampaui pekerjaan berbasis checklist, mengotomasi pengawasan, dan mengintegrasikan manajemen risiko ke dalam denyut operasional bisnis.
“Sedikit saja celah itu adalah risiko dan kita enggak mungkin melakukannya secara manual. Kita perlu bangun otomasi, perlu bangun sistem,” pungkas Effendi.