Di banyak kantor kementerian dan pemerintah daerah Indonesia, ada satu dokumen yang biasanya tersimpan di laci unit perencanaan: register risiko. Berisi puluhan, kadang ratusan, risiko yang telah diidentifikasi dan dinilai. Disusun rapi dengan kolom kategori, skala kemungkinan, skala dampak, dan skor agregat. Diperbarui setiap tahun. Dilampirkan dalam laporan kinerja.
Lalu siapa yang sebenarnya bertanggung jawab mengelola risiko-risiko itu di lapangan? Pertanyaan ini sering menemukan jawaban yang tidak tegas. Unit manajemen risiko mengaku tugasnya menyusun dokumen. Pelaksana program menganggap pengelolaan risiko bukan domain mereka. Inspektorat berfokus pada audit rutin yang sudah dijadwalkan. Tanggung jawab terbagi-bagi sampai akhirnya, dalam praktik, tidak ada yang benar-benar memegangnya.
Inilah persoalan klasik yang ingin dijawab oleh Three Lines Model, sebuah kerangka tata kelola risiko yang diterbitkan oleh The Institute of Internal Auditors (IIA), asosiasi profesi audit internal global.
Akar Konseptual dan Evolusi 2020
Versi pertama kerangka ini dipublikasikan IIA pada Januari 2013 dengan nama Three Lines of Defense Model. Saat itu, kerangka tersebut menggunakan metafora militer: setiap fungsi adalah “garis pertahanan” terhadap risiko, dengan auditor internal sebagai pertahanan terakhir.
Selama tujuh tahun pemakaian, kerangka ini menerima banyak kritik. Metafora “pertahanan” dianggap terlalu reaktif dan hanya melihat risiko sebagai ancaman, bukan sebagai konsekuensi alami dari aktivitas organisasi yang juga membawa peluang. Selain itu, kerangka asli tidak secara eksplisit memasukkan peran governing body (dewan pengarah, dalam konteks sektor publik adalah pimpinan tertinggi instansi) sebagai aktor tata kelola yang punya kewajiban formal.
Pada 20 Juli 2020, IIA merilis versi baru dengan nama yang lebih sederhana: The IIA’s Three Lines Model. Perubahan utamanya ada empat:
Pertama, metafora “pertahanan” diganti dengan “peran”. Setiap lini bukan benteng yang menahan ancaman, melainkan aktor yang punya tanggung jawab spesifik dalam pencapaian tujuan organisasi.
Kedua, governing body diangkat sebagai aktor formal di luar tiga lini inti, dengan tanggung jawab spesifik untuk akuntabilitas akhir tata kelola.
Ketiga, eksternal auditor disebut sebagai aktor pelengkap di luar struktur internal, untuk memperjelas peran lembaga audit eksternal seperti BPK dalam konteks pemerintahan.
Keempat, prinsip-prinsip tata kelola yang melandasi seluruh kerangka dirumuskan ulang dengan penekanan pada kolaborasi, bukan kompartementalisasi. Setiap aktor bekerja sama dalam mencapai tujuan organisasi, bukan saling memeriksa dalam silo terpisah.
Tiga Lini Inti
Lini Pertama adalah pelaksana operasional. Mereka adalah pemilik risiko sebenarnya, orang-orang yang setiap hari mengambil keputusan operasional yang memengaruhi capaian program.
Di kementerian dan lembaga, Lini Pertama mencakup pejabat Eselon II dan III yang menjalankan kegiatan teknis, kepala biro, kepala pusat, hingga ke level pelaksana yang langsung berinteraksi dengan publik atau menjalankan belanja. Di pemerintah daerah, mereka adalah kepala dinas, kepala bidang, kepala bagian, hingga kepala UPTD yang menjalankan program di tingkat operasional.
Tanggung jawab Lini Pertama dalam Three Lines Model meliputi: mengidentifikasi risiko yang melekat pada aktivitas mereka, mengelola risiko tersebut melalui kontrol operasional sehari-hari, dan melaporkan eksposur risiko kepada Lini Kedua dan governing body. Pemahaman penting di sini: pengelolaan risiko bukan ditranfer ke Lini Kedua atau Lini Ketiga. Ia tetap berada di Lini Pertama. Lini lain hanya mendukung atau memverifikasi.
Lini Kedua adalah fungsi pendukung yang membantu Lini Pertama mengelola risiko. Mereka tidak menggantikan tanggung jawab Lini Pertama; mereka menyediakan metodologi, perangkat, kerangka kerja, dan ruang dialog agar pengelolaan risiko di Lini Pertama menjadi sistematis dan konsisten.
Di K/L dan Pemda, Lini Kedua biasanya mencakup unit manajemen risiko (kalau sudah dibentuk), bagian perencanaan strategis, unit kepatuhan, unit organisasi dan tata laksana, serta fungsi-fungsi sejenis yang menyusun standar dan memantau kepatuhannya.
Tanggung jawab Lini Kedua meliputi: menyusun kerangka kerja manajemen risiko, memfasilitasi proses identifikasi dan penilaian risiko, memantau implementasi pengendalian, melaporkan eksposur risiko agregat kepada governing body, dan menyediakan pelatihan serta dukungan teknis kepada Lini Pertama.
Lini Ketiga adalah auditor internal yang memberi jaminan independen. Peran mereka adalah memverifikasi kepada governing body bahwa kerangka manajemen risiko di Lini Pertama dan Lini Kedua berjalan efektif. Independensi inilah yang membedakan Lini Ketiga dari Lini Kedua.
Di lingkungan pemerintahan Indonesia, Lini Ketiga diisi oleh APIP (Aparat Pengawasan Intern Pemerintah): Inspektorat Jenderal di kementerian, Inspektorat Utama di Lembaga Pemerintah Non-Kementerian, Inspektorat Daerah di provinsi, kabupaten, dan kota.
Karena perannya adalah memberi jaminan independen, APIP harus melapor langsung kepada pimpinan tertinggi instansi (Menteri, Kepala Lembaga, Gubernur, Bupati, Walikota), bukan kepada unit-unit yang mereka audit. Garis pelaporan ini bukan sekadar formalitas administratif. Ia adalah pondasi independensi yang menentukan apakah Lini Ketiga benar-benar bisa menjalankan fungsinya atau tidak.
Aktor Pelengkap: Governing Body dan Eksternal Auditor
Versi 2020 Three Lines Model mengangkat dua aktor yang sebelumnya kurang ditekankan dalam versi 2013: governing body dan eksternal auditor.
Governing Body dalam konteks pemerintahan Indonesia adalah pimpinan tertinggi instansi. Di kementerian, ini adalah Menteri. Di lembaga, ini adalah Kepala Lembaga. Di pemerintah daerah, ini adalah Gubernur, Bupati, atau Walikota.
Tanggung jawab governing body dalam kerangka Three Lines Model meliputi: menetapkan tujuan strategis organisasi termasuk toleransi risiko (risk appetite dan risk tolerance), mengesahkan kebijakan manajemen risiko organisasi, memastikan tiga lini punya sumber daya yang cukup untuk menjalankan perannya masing-masing, dan menjamin independensi APIP secara struktural maupun fungsional. Governing body bukan pengamat pasif. Mereka adalah penentu kerangka tata kelola itu sendiri.
Eksternal Auditor adalah aktor di luar struktur internal organisasi yang memberi jaminan tambahan kepada pemangku kepentingan eksternal. Dalam konteks pemerintahan Indonesia, peran ini terutama dijalankan oleh Badan Pemeriksa Keuangan Republik Indonesia (BPK RI) sebagai lembaga audit eksternal pemerintah yang diatur dalam Undang-Undang Dasar 1945.
Versi 2020 menempatkan eksternal auditor sebagai pelengkap, bukan bagian dari tiga lini. Pesannya: jaminan independen yang diberikan APIP (Lini Ketiga) dan jaminan yang diberikan BPK (eksternal auditor) bekerja pada level yang berbeda dan saling melengkapi, bukan saling menggantikan.
Mengapa Pemisahan Peran Penting
Salah satu kesalahpahaman yang umum dalam adopsi Three Lines Model adalah anggapan bahwa kerangka ini hanya sekadar diagram struktur organisasi. Padahal yang dimaksud kerangka ini adalah pemisahan peran, bukan pemisahan unit kerja secara fisik.
Sebuah unit kerja bisa menjalankan satu peran utama plus dukungan ke peran lain. Misalnya, bagian perencanaan strategis biasanya menjadi Lini Kedua (memfasilitasi manajemen risiko), tetapi juga punya operasional sendiri (menyusun renstra) yang berarti mereka juga Lini Pertama dalam aktivitas operasionalnya. Yang penting bukan unit mana yang menjadi Lini berapa, melainkan peran apa yang sedang dijalankan dalam konteks aktivitas spesifik.
Pemisahan peran terpenting dan paling rentan dilanggar di praktik adalah antara Lini Kedua dan Lini Ketiga. Kalau unit manajemen risiko berada di bawah Inspektorat, atau sebaliknya Inspektorat berada di bawah Sekretariat yang membawahi unit manajemen risiko, jaminan independen Lini Ketiga sulit dipertanggungjawabkan. Garis pelaporan harus mencerminkan independensi peran, bukan sekadar kenyamanan struktural.
Integrasi dengan SPIP
Untuk konteks Indonesia, satu pertanyaan praktis yang sering muncul: bagaimana Three Lines Model berhubungan dengan Sistem Pengendalian Intern Pemerintah (SPIP) yang diatur Peraturan Pemerintah Nomor 60 Tahun 2008?
Three Lines Model bukan pengganti SPIP. Ia adalah peta peran yang menjelaskan siapa mengerjakan apa dalam unsur-unsur SPIP yang sudah berjalan.
SPIP terdiri dari lima unsur utama: Lingkungan Pengendalian, Penilaian Risiko, Kegiatan Pengendalian, Informasi dan Komunikasi, serta Pemantauan. Tiga lini dalam Three Lines Model berperan di unsur-unsur ini dengan pola sebagai berikut:
| Unsur SPIP | Peran Lini Pertama | Peran Lini Kedua | Peran Lini Ketiga |
|---|---|---|---|
| Lingkungan Pengendalian | Membangun budaya kerja yang menjunjung integritas | Memfasilitasi sosialisasi dan internalisasi | Memberi penilaian independen atas efektivitas budaya |
| Penilaian Risiko | Mengidentifikasi dan menilai risiko unit | Menyediakan metodologi dan agregasi | Memverifikasi proses dan hasil penilaian |
| Kegiatan Pengendalian | Merancang dan menjalankan kontrol operasional | Menyusun pedoman kontrol standar | Menguji efektivitas kontrol melalui audit |
| Informasi dan Komunikasi | Memastikan informasi keputusan tersedia | Menyusun standar pelaporan internal | Menilai keandalan sistem informasi |
| Pemantauan | Memantau kinerja pengendalian unit | Mengonsolidasi laporan pemantauan | Audit independen atas seluruh sistem |
Dengan kerangka ini, SPIP menjadi apa yang dikerjakan dan Three Lines Model menjadi siapa yang mengerjakannya. Keduanya saling melengkapi.
Tiga Langkah Praktis Memulai
Untuk pimpinan instansi yang ingin mulai mengadopsi Three Lines Model, tiga langkah praktis berikut bisa menjadi titik mulai.
Pertama, petakan peran yang ada. Sebelum membangun struktur baru, dokumentasikan siapa saat ini menjalankan tiga fungsi tersebut di instansi Anda. Buat tabel sederhana dengan kolom: jenis kegiatan, siapa pemilik risiko (Lini Pertama), siapa fungsi pendukung (Lini Kedua), dan siapa yang memberi jaminan independen (Lini Ketiga). Tumpang tindih dan kekosongan akan langsung terlihat. Seringkali itulah akar persoalan, bukan ketiadaan kerangka.
Kedua, pisahkan Lini Kedua dan Lini Ketiga secara struktural. Garis pelaporan harus mencerminkan independensi peran. Inspektorat melapor langsung kepada pimpinan tertinggi. Unit manajemen risiko, perencanaan, atau kepatuhan melapor melalui jalur yang berbeda. Tidak ada satu pun unit yang menjadi atasan struktural dari Inspektorat selain pimpinan tertinggi instansi.
Ketiga, integrasikan dengan SPIP, jangan ditumpuk. Three Lines Model dan SPIP bekerja pada level berbeda. SPIP adalah kerangka unsur pengendalian yang diatur oleh Peraturan Pemerintah Nomor 60 Tahun 2008. Three Lines Model adalah kerangka peran yang menjelaskan siapa mengerjakan apa dalam unsur-unsur SPIP. Bangun keterhubungannya, bukan tumpukan terpisah yang saling tidak bicara.
Tantangan Umum Implementasi
Beberapa tantangan yang sering muncul dalam adopsi Three Lines Model di instansi pemerintah Indonesia.
Tantangan paling sering: Lini Pertama menganggap manajemen risiko bukan domain mereka. Pelaksana program kerap melihat manajemen risiko sebagai tugas tambahan yang dikerjakan unit perencanaan, bukan bagian intrinsik dari pekerjaan operasional mereka. Pergeseran mindset ini butuh waktu dan komitmen pimpinan yang konsisten.
Tantangan kedua: Lini Kedua tergoda mengambil alih tanggung jawab Lini Pertama. Karena unit manajemen risiko biasanya punya tools dan metodologi yang lebih matang, mereka kadang mengerjakan langsung apa yang seharusnya dikerjakan pelaksana program. Hasilnya: register risiko yang rapi, tetapi tidak mencerminkan pemahaman risiko yang sesungguhnya di lapangan.
Tantangan ketiga: independensi Lini Ketiga tidak terjamin. Inspektorat yang dibebani tugas administratif harian, atau yang melapor melalui jalur yang membatasi independensinya, akan kesulitan memberi jaminan yang benar-benar independen kepada pimpinan.
Tantangan keempat: governing body tidak menjalankan perannya secara aktif. Pimpinan instansi yang menganggap manajemen risiko sebagai pekerjaan teknis di bawahnya, akan kehilangan peran sebagai penetap toleransi risiko dan penjamin independensi APIP.
Mengatasi tantangan-tantangan ini bukan persoalan teknis semata. Ia menyangkut budaya organisasi, komitmen pimpinan, dan kesabaran membangun pemahaman bersama lintas unit.