Three Lines Model IIA: Pengertian, Peran, dan Contoh di Indonesia

Coba ingat kepanitiaan acara kampus. Ada divisi acara yang menjalankan rundown, ada bendahara dan sekretaris yang mengecek anggaran dan izin, lalu ada BPH atau dosen pembina yang sesekali mengecek apakah semuanya beres. Kalau semua orang merasa “itu tugas orang lain”, acara bisa kacau: konsumsi telat, dana bocor, izin gedung lupa diurus.

Perusahaan menghadapi masalah serupa, cuma skalanya lebih besar. Siapa yang sebenarnya bertanggung jawab atas risiko? Untuk menjawab itu, IIA menerbitkan Three Lines Model pada 2020, pembaruan dari konsep lama Three Lines of Defense [1]. Modul ini membahas asal-usul model, peran tiap lini, enam prinsipnya, cara memetakannya di perusahaan Indonesia, alat praktis bernama assurance map, sampai jebakan yang sering terjadi.

Dari “Three Lines of Defense” ke Three Lines Model

Konsep Three Lines of Defense populer di dunia perbankan dan korporasi sekitar satu dekade sebelum 2020, termasuk lewat makalah posisi IIA tahun 2013. Idenya sederhana: ada tiga “garis pertahanan” yang melindungi organisasi dari risiko. Konsep ini cepat dipakai regulator dan bank di banyak negara karena mudah digambar dan mudah dijelaskan.

Masalahnya, kata defense (pertahanan) membuat manajemen risiko terkesan hanya soal bertahan dari bahaya. Versi 2020 mengubah sudut pandang: risiko perlu dikelola supaya organisasi bisa mencapai tujuan dan menciptakan nilai, bukan sekadar menghindari masalah. Model baru juga menegaskan bahwa “lini” adalah peran, bukan kotak di bagan organisasi. Satu orang atau unit bisa menjalankan lebih dari satu peran, asalkan tanggung jawabnya jelas [1].

Kenapa model ini penting buat kamu yang baru mulai

Kamu mungkin berpikir, “Ini kan urusan direksi.” Sebenarnya tidak juga. Hampir semua posisi di perusahaan bisa dipetakan ke salah satu lini. Staf admin gudang ada di lini pertama. Staf kepatuhan atau K3 di lini kedua. Staf audit internal di lini ketiga. Begitu kamu tahu posisimu, kamu langsung paham apa yang diharapkan darimu saat ada masalah.

• Di lini pertama, kamu adalah orang pertama yang melihat masalah. Melapor cepat dan menjalankan kontrol dengan benar adalah bagian dari pekerjaanmu, bukan tambahan.
• Di lini kedua, kamu harus berani bertanya “kenapa” ke unit lain, meski posisinya lebih senior, karena tugasmu memang menantang dengan data.
• Di lini ketiga, kamu harus menjaga jarak dari pekerjaan operasional supaya penilaianmu tetap dipercaya.

Peran tiap pihak dalam model

• Dewan (governing body): di Indonesia biasanya Dewan Komisaris beserta komitenya (Komite Audit, Komite Pemantau Risiko di bank). Dewan bertanggung jawab kepada pemangku kepentingan atas pengawasan, menetapkan arah, dan memastikan ada audit internal yang independen.
• Manajemen, peran lini pertama: unit yang menghasilkan produk atau layanan, seperti penjualan, produksi, cabang, dan SDM operasional. Mereka memiliki risikonya dan menjalankan kontrol sehari-hari.
• Manajemen, peran lini kedua: fungsi seperti manajemen risiko, kepatuhan, K3, keamanan informasi, dan quality control. Mereka memberi keahlian, kebijakan, pemantauan, dan tantangan (challenge) kepada lini pertama.
• Audit internal, lini ketiga: memberi keyakinan dan saran yang independen dan objektif atas kecukupan tata kelola dan manajemen risiko, termasuk atas kerja lini pertama dan kedua.
• Penyedia assurance eksternal: auditor eksternal, regulator, atau asesor sertifikasi. Mereka di luar organisasi, tapi hasil kerjanya melengkapi gambaran.

Model ini hanya jalan kalau manajemen puncak paham risiko. Tulisan tentang risk literacy (melek risiko) di jajaran C-suite menyoroti pentingnya pimpinan memahami risiko [3]. Tanpa itu, fungsi risiko dan audit gampang dianggap beban administrasi, bukan alat pengambilan keputusan.

Enam prinsip Three Lines Model dan artinya di lapangan

IIA merumuskan enam prinsip. Prinsip-prinsip ini sengaja dibuat umum supaya bisa dipakai di bank, pabrik, startup, maupun lembaga pemerintah [1]. Tabel berikut memparafrasekan intinya dan memberi contoh penerapan.

Hubungan antarlini: akuntabilitas, arahan, dan koordinasi

Gambar Three Lines Model versi 2020 tidak hanya berisi kotak-kotak, tapi juga panah. Panah-panah ini menunjukkan tiga jenis hubungan. Pertama, akuntabilitas dan pelaporan: manajemen dan audit internal melapor ke dewan. Kedua, delegasi, arahan, dan sumber daya: dewan memberi arahan ke manajemen dan memastikan audit internal punya sumber daya cukup. Ketiga, keselarasan, komunikasi, koordinasi, dan kolaborasi antara manajemen dan audit internal [1].

Koordinasi tidak berarti audit internal kehilangan independensi. Audit internal boleh memakai data pemantauan lini kedua sebagai masukan perencanaan, boleh menyamakan jadwal supaya auditee tidak diperiksa tiga kali dalam sebulan, dan boleh berbagi temuan. Yang tidak boleh adalah ikut memutuskan atau menjalankan proses yang nanti dinilainya.

Contoh pemetaan di perusahaan Indonesia

Di Indonesia, sektor perbankan termasuk yang paling jelas memakai pola tiga lini, karena regulasi perbankan mewajibkan adanya fungsi manajemen risiko, fungsi kepatuhan, dan satuan kerja audit intern yang terpisah. Perusahaan terbuka juga wajib punya komite audit dan unit audit internal sesuai ketentuan OJK. Untuk sektor lain, penerapannya lebih banyak didorong oleh praktik tata kelola yang baik, permintaan investor, atau persyaratan pemberi pinjaman.

Variasi penerapan: startup, korporasi besar, dan sektor publik

Model 2020 sengaja fleksibel. Startup dengan 60 karyawan tentu tidak bisa punya tiga departemen terpisah seperti bank besar. Yang dijaga adalah logikanya: ada pemilik risiko, ada yang mengawasi, ada yang menilai secara independen.

Pelajaran dari kasus ini: lini kedua yang kuat tidak menggantikan lini ketiga. Tim yang memantau risiko juga bisa punya titik buta, dan titik buta itu hanya terlihat oleh pihak yang tidak ikut merancang sistemnya. Untuk organisasi kecil, audit internal outsourcing atau co-sourcing adalah cara realistis memenuhi peran lini ketiga tanpa membangun tim penuh.

Strategi menerapkan dan jebakan yang sering terjadi

Model ini terlihat sederhana di atas kertas, tapi praktiknya penuh tarik-menarik. Riset dari sudut pandang para CAE menunjukkan bahwa kepercayaan antara audit internal dan pihak lain dibangun lewat kredibilitas dan kejelasan peran [2]. Tanpa kejelasan, lini kedua dan ketiga sering dianggap “sama-sama tukang periksa”.

• Lini kedua jadi pelaksana. Kalau tim kepatuhan yang mengisi checklist untuk lini pertama, lini pertama merasa risikonya bukan urusan mereka lagi.
• Audit internal ikut menjalankan kontrol. Misalnya auditor diminta menyetujui pembayaran besar. Itu mengganggu independensi karena nanti ia mengaudit keputusannya sendiri.
• Dewan pasif. Komite audit hanya menerima laporan tanpa bertanya. Riset tentang jalur pelaporan menunjukkan desain pelaporan ikut menentukan efektivitas audit internal [4].
• Isu baru tanpa pemilik. Risiko ESG, siber, atau AI sering “mengambang”. Kajian tentang keterlibatan audit internal dalam praktik ESG menunjukkan ekspektasi pemangku kepentingan terhadap audit internal makin meluas ke area seperti ini [5].
• Bahasa yang berbeda. Lini kedua memakai skala risiko 1–5, audit internal memakai tinggi-sedang-rendah dengan kriteria lain. Akibatnya laporan ke dewan sulit dibandingkan. Sepakati satu taksonomi dan skala risiko.

Alat praktis: assurance map

Setelah peran tiap lini jelas, langkah berikutnya adalah membuat assurance map (peta assurance). Ini tabel yang menunjukkan, untuk setiap risiko utama, siapa saja yang sudah memberi keyakinan dan seberapa kuat keyakinannya. Gunanya dua: menghindari tiga unit mengecek hal yang sama, dan menemukan risiko besar yang ternyata tidak dicek siapa pun.

Supaya tidak sekadar “ada atau tidak ada”, beri skor kekuatan tiap sumber assurance. Cara sederhana: nilai independensi (1 = dikerjakan pemilik proses sendiri, 2 = fungsi lain di manajemen, 3 = audit internal atau pihak eksternal) dikali kedalaman pengujian (1 = hanya pernyataan, 2 = reviu dokumen, 3 = uji sampel atau analitik penuh). Skornya 1–9.

Skor tertinggi hanya 6, padahal risikonya tergolong tinggi. Kalau tim audit menetapkan bahwa risiko tinggi butuh minimal satu sumber assurance dengan skor 9, maka celahnya jelas: perlu audit internal yang menguji kontrol akses secara mendalam. Angka sederhana seperti ini membantu diskusi dengan dewan menjadi lebih objektif.

• Isi bersama: minta lini pertama dan kedua mengisi kolom mereka, lalu audit internal memvalidasi.
• Beri nilai kekuatan: gunakan skala yang sama untuk semua risiko, dan simpan alasan tiap skor.
• Bawa ke komite audit: peta ini membantu dewan melihat apakah keyakinan yang mereka terima sudah cukup, dan di mana perlu investasi tambahan.

Apa kata riset, dan cara meyakinkan dewan serta manajemen

Riset terbaru memberi beberapa pegangan. Studi terhadap perusahaan tercatat di Malaysia menemukan bahwa penerimaan manajemen atas temuan audit internal, implementasi rekomendasi, dan fitur pengawasan komite audit seperti pertemuan tertutup dengan kepala audit internal berkaitan dengan seberapa jauh auditor eksternal mengandalkan kerja audit internal [6]. Artinya, hubungan lini ketiga dengan dewan dan dengan penyedia assurance eksternal saling memperkuat.

Studi lain di Malaysia menelaah peran investor institusional dalam mendorong investasi pada fungsi audit internal [7]. Buat kamu, pesannya praktis: pemangku kepentingan di luar perusahaan juga peduli pada kekuatan lini ketiga, sehingga argumen penambahan sumber daya audit bisa dikaitkan dengan ekspektasi investor dan pemberi pinjaman.

Latihan mandiri dan checklist

Sebagai tugas lanjutan, terapkan hal yang sama ke organisasi yang kamu kenal: tempat magang, organisasi kampus, atau toko online milik keluarga. Tidak perlu data perusahaan sungguhan.

1. Tulis lima risiko terbesar organisasi tersebut, misalnya uang kas hilang, data anggota bocor, atau acara batal karena izin.
2. Untuk tiap risiko, tentukan siapa pemiliknya (lini 1), siapa yang semestinya memantau (lini 2), dan siapa yang bisa menilai secara independen (lini 3).
3. Tandai risiko yang tidak punya salah satu peran itu.
4. Pilih satu risiko, lalu hitung skor kekuatan assurance-nya dengan rumus independensi × kedalaman.
5. Tulis satu usulan perbaikan dalam tiga kalimat, seolah-olah kamu akan menyampaikannya ke ketua organisasi.

• Saya bisa menjelaskan beda Three Lines of Defense dan Three Lines Model 2020.
• Saya tahu peran dewan, lini pertama, lini kedua, dan lini ketiga, plus contohnya di bank dan BUMN.
• Saya paham bahwa lini adalah peran, bukan kotak di bagan organisasi.
• Saya bisa membuat assurance map sederhana dan memberi skor kekuatannya.
• Saya bisa mengenali tanda lini kedua atau ketiga mengambil alih tugas lini pertama.