Enterprise Risk Governance (ERG) dan Keberadaannya pada Badan Penyelenggara Jaminan Sosial (BPJS) Kesehatan

Dalam upaya pencapaian visinya, perusahaan harus memiliki kapabilitas dalam mengelola risiko yang melekat (inherent risks) pada kegiatan usaha mereka. Manajemen risiko perusahaan merupakan kegiatan esensial untuk mengelola risiko tersebut agar perusahaan tetap sehat dan berkembang. Menurut ISO 31000:9000, “manajemen risiko merupakan bagian dari tanggung jawab manajemen dan integral dari seluruh proses organisasi, termasuk perencanaan strategis, seluruh proyek, dan perubahan-perubahan pada proses manajemen.” Merujuk kepada definisi tersebut, kegiatan manajemen risiko tidak terlepas dari praktik corporate governance yang merupakan komponen penentu dari pengambilan keputusan, tanggung jawab, dan kewenangan pada unit-unit perusahaan, dalam konteks ini adalah hal-hal terkait dengan kegiatan manajemen risiko perusahaan. Untuk itu, perlu bagi perusahaan untuk mengelola Enterprise Risk Governance (ERG) yang merupakan praktik kepemimpinan pada manajemen risiko yang diterapkan perusahaan. Berdasarkan Monetary Authority of Singapore (MAS), “risk governance adalah arsitektur dari operasi manajemen risiko perusahaan. Hal ini akan menentukan cara perusahaan menerapkan manajemen risiko, dimulai dari menjelaskan mengenai apa itu risiko dan bagaimana cara mengelolanya. Risk governance juga akan menyediakan pedoman untuk pengambilan keputusan berdasarkan informasi terbaik dan mendukung alokasi sumber daya yang efektif”. Sejalan dengan praktik good corporate governance perusahaan, praktik ERG sangat ditentukan dari kualitas sistem dan sumber daya insani yang bertanggung jawab dalam penerapan manajemen risiko perusahaan. ERG menentukan kepemimpinan, kewenangan, tanggung jawab, dan pengalokasian sumber daya pada proses manajemen risiko perusahaan yang nantinya akan berimplikasi pada efektivitas Enterprise Risk Management (ERM). ERG juga akan berperan dalam membangun ERM framework yang menyeluruh dan mendetil, serta menciptakan kontrol internal yang secara efektif dapat mengidentifikasi, menilai, mengelola, dan memitigasi risiko. Menurut Information Systems Audit and Control Association (ISACA), terdapat 3 baris pertahanan pada risk governance suatu perusahaan, yaitu:

1. Komite manajemen risiko. Komite ini merupakan lini pertahanan pertama pada kerangka risk governance, yang diberikan tanggung jawab dan akuntabilitas dalam perencanaan, pembentukan, pelaksanaan, dan pemantauan kegiatan manajemen risiko. Komite ini juga memberikan saran dan pengarahan pada respon terhadap risiko yang melewati batas toleransi risiko perusahaan.
2. Fungsi pemenuhan dan pemantauan manajemen risiko dalam perusahaan. Fungsi ini akan membantu perusahaan dalam melakukan pemantauan terhadap aktivitas manajemen risiko yang dilakukan oleh komite dan unit-unit manajemen risiko untuk memastikan berjalannya aktivitas manajemen risiko yang sesuai dalam perusahaan. Lini pertahanan kedua ini juga bertanggung jawab dalam memastikan pemenuhan perusahaan terhadap peraturan-peraturan yang ditetapkan otoritas industri.
3. Auditor internal dan eksternal. Auditor internal dan eksternal akan turut berpartisipasi dalam memantau risiko yang dihadapi perusahaan berdasarkan pengamatannya pada proses internal dan kondisi keuangan perusahaan. Pada beberapa perusahaan, auditor juga bertanggung jawab untuk mengawasi aktivitas manajemen risiko dari lini pertahanan pertama dan kedua, serta melaporkannya hasil pengawasannya kepada Direksi.

  Perbedaan fundamental yang perlu disoroti adalah bahwa IIA memandang governing body (meliputi direksi dan dewan komisaris) dan senior management sebagai stakeholders yang memiliki peran esensial dalam ERG. Governing body dan senior management, sebagai pihak yang dilayani barisan-barisan pertahanan ERG, akan berperan dalam memastikan berjalannya sistem three lines of defense dengan efektif pada manajemen risiko perusahaan. Chartered Institute of Internal Auditors juga menegaskan bahwa three lines of defense terdiri dari:

1. First line of defense : Operational management. Barisan pertahanan pertama berperan sebagai risk owner dalam melakukan manajemen risiko. Manajemen operasional bertanggung jawab dalam memastikan berjalannya kontrol internal yang efektif, melakukan penanganan risiko, dan melakukan prosedur  kontrol harian.
2. Second line of defense : Risk management and compliance function. Baris pertahanan kedua terdiri dari fungsi manajemen risiko dan pemenuhan yang bertugas memfasilitasi dan memantau implementasi dari manajemen risiko yang dilakukan manajemen operasional. Fungsi pemenuhan juga bertugas memastikan pemenuhan tanggung jawab perusahaan berkaitan dengan regulasi dan hukum yang berlaku.
3. Third line of defense: Internal audit. Divisi internal audit akan berperan dalam mengawasi penerapan manajemen risiko yang dilakukan oleh baris pertahanan pertama dan kedua, serta melaporkannya kepada governing body dan senior management. Hal ini dilakukan untuk menjamin pelaksanaan manajemen risiko yang efektif dan tepat sasaran.

Penerapan ERM menjadi semakin penting untuk dijalankan secara komprehensif dan mendetail oleh perusahaan-perusahaan di Indonesia mengingat semakin dekatnya keberadaan Masyarakat Ekonomi ASEAN (MEA). Keberadaan MEA ini menuntut peningkatan kualitas dan standar performa perusahaan untuk dapat mengungguli kompetitor, bertahan dari ancaman, dan memanfaatkan kesempatan yang muncul. Hal ini turut dihadapi oleh BPJS Kesehatan sebagai perusahaan pelayanan jasa asuransi kesehatan masyarakat Indonesia. Untuk dapat memberikan pelayanan optimal kepada masyarakat publik dan meningkatkan taraf kesehatan masyarakat, BPJS Kesehatan harus dapat mengelola risiko yang muncul pada kegiatan bisnisnya seperti risiko informasi teknologi, risiko keuangan, dan risiko fraud. Praktik terbaik ERG menjadi hal yang relevan untuk menjamin adanya pengelolaan yang efektif pada risiko-risiko tersebut. Pada praktiknya, BPJS Kesehatan memiliki struktur manajemen risiko dengan tiga baris pertahanan. Seperti sistem three lines of defense yang digambarkan IIA, baris pertahanan pertama pada BPJS Kesehatan adalah pelaku manajemen risiko di tingkat operasional yang disebut sebagai risk coordinator. Pertahanan kedua yaitu fungsi pemantau pelaksanaan manajemen risiko yang disebut sebagai risk advisor. Pada pertahanan terakhir, BPJS Kesehatan memiliki Komite Risiko, Komite Audit, dan Internal Audit sebagai pengawas risiko dan pemantau penerapan manajemen risiko perusahaan. Selain itu, BPJS Kesehatan telah memiliki target untuk meningkatkan kesadaran dan pengetahuan manajemen risiko pada setiap lini perusahaannya, terutama lini top management mereka. BPJS Kesehatan juga memiliki target untuk menciptakan kultur manajemen risiko yang baik pada perusahaannya. Semakin pentingnya ERM untuk menjamin keberlangsungan perusahaan menuntut adanya praktik terbaik dari ERG. Lalu, bagaimanakah ciri-ciri dari eksistensi ERG yang baik pada perusahaan? Berikut adalah beberapa kondisi yang menggambarkan adanya praktik ERG yang baik pada perusahaan:

1. Terbentuk kultur manajemen risiko yang baik pada seluruh lini perusahaan;
2. Adanya awareness dan concern terhadap risiko dan pengelolaannya pada setiap proses perusahaan, digambarkan dengan pengalokasian resource yang memadai untuk kepentingan aktivitas manajemen risiko;
3. Adanya kebijakan dan prosedur manajemen risiko yang jelas dan telah dikomunikasikan secara komprehensif dengan stakeholders;
4. Adanya kejelasan peran dan tanggung jawab unit-unit perusahaan terkait dengan kegiatan manajemen risiko perusahaan;
5. Adanya perkembangan yang berkelanjutan pada manajemen risiko perusahaan.

Untuk mencapai kondisi-kondisi di atas, dibutuhkan sumber daya insani yang memiliki inisiatif dan kesadaran manajemen risiko, terutama pada jajaran top management perusahaan yang memiliki kewenangan kunci dalam pemanfaatan sumber daya perusahaan. Lini top management tersebut diharapkan dapat membuat kebijakan, prosedur, sistem, dan struktur governance yang dapat membawa pengaruh positif pada kesadaran dan pemahaman terhadap manajemen risiko pada seluruh bagian perusahaan (termasuk stakeholders perusahaan). Karyawan yang merupakan front line dari penerapan manajemen risiko juga perlu dibekali dengan pengetahuan dan keterampilan yang memadai untuk menjalankan manajemen risiko. Terakhir, dibutuhkan pengawasan yang ketat dan pengembangan yang berkelanjutan pada kegiatan manajemen risiko perusahaan agar penerapan manajemen risiko dapat berjalan sesuai rencana dan memberikan nilai tambah bagi perusahaan.   Daftar Pustaka

• Information Systems Audit and Control Association. Diunduh dari http://www.isaca.org/Journal/Past-Issues/2011/Volume-5/Pages/The-Three-Lines-of-Defence-Related-to-Risk-Governance.aspx
• Chartered Institute of Internal Auditors. Diunduh dari https://na.theiia.org/standards-guidance/Public%20Documents/PP%20The%20Three%20Lines%20of%20Defense%20in%20Effective%20Risk%20Management%20and%20Control.pdf
• Monetary Authority of Singapore. Diunduh dari http://www.mas.gov.sg/~/media/resource/fin_development/corporate_governance/RiskGovernanceGuidanceforListedBoards.ashx
• Badan Penyelenggara Jaminan Sosial (BPJS) Kesehatan. Peta Jalan Jaminan Kesehatan Nasional 2012-2019.

  Disusun oleh: Charvin Kusuma – Associate Researcher