Foto oleh Vitaly Gariev di Unsplash
Di banyak organisasi, tanggung jawab atas risiko tersebar di banyak unit: manajemen operasional, fungsi kepatuhan, manajemen risiko, hingga audit internal. Tanpa pembagian peran yang jelas, pemeriksaan bisa tumpang tindih, sementara area yang paling berisiko justru tidak tersentuh.
Three Lines Model dari The Institute of Internal Auditors (IIA) membantu menjawab masalah tersebut. Artikel ini membahas pengertian, peran tiap lini, lima prinsip pada versi terbaru, hubungannya dengan Global Internal Audit Standards (GIAS), serta contoh penerapannya di perusahaan dan perguruan tinggi.
Apa Itu Three Lines Model?
Three Lines Model adalah kerangka dari IIA untuk membedakan peran dalam tata kelola organisasi, yaitu peran yang memiliki dan mengelola risiko, peran yang memberi dukungan dan pemantauan, serta peran yang memberi assurance independen. Model ini sebelumnya dikenal sebagai Three Lines of Defense.
Pembaruan besar pertama terjadi pada 2020, ketika IIA menerbitkan position paper yang menggeser fokus dari sekadar pertahanan menjadi penciptaan dan perlindungan nilai. Pada Juli 2026, IIA menerbitkan Statement of Position berjudul Assurance and Advice in Support of Effective Governance: Three Lines Model. Dokumen tersebut menyatakan dirinya menggantikan position paper sebelumnya.
Perlu dicatat, Statement of Position bukan bagian dari International Professional Practices Framework (IPPF). IIA menulisnya terutama untuk dewan dan manajemen senior, sehingga sifatnya panduan yang diterapkan dengan pertimbangan profesional, bukan standar wajib bagi auditor internal. Dokumen lengkapnya tersedia di halaman Statements of Position IIA.
Apa Peran Lini Pertama, Kedua, dan Ketiga?
Versi 2026 tetap memakai istilah lini pertama, kedua, dan ketiga. Istilah lini membedakan peran, bukan menggambarkan kotak dalam bagan organisasi. IIA juga mengakui bahwa dalam praktik, peran antarlini bisa beririsan.
| Peran | Tanggung jawab utama | Contoh di perusahaan |
|---|---|---|
| Dewan (board) | Menetapkan tujuan, selera risiko, dan ekspektasi, lalu mengawasi pencapaian tujuan strategis | Dewan komisaris beserta komite audit |
| Lini pertama (manajemen) | Memiliki dan mengelola risiko, serta merancang dan menjalankan proses dan pengendalian | Unit operasional, penjualan, pengadaan, keuangan |
| Lini kedua | Memberi keahlian khusus, dukungan, pemantauan, dan tantangan atas manajemen risiko, kepatuhan, dan pengendalian | Manajemen risiko, kepatuhan, keamanan informasi, quality assurance |
| Lini ketiga (audit internal) | Memberi assurance independen dan objektif atas tata kelola, manajemen risiko, kepatuhan, dan pengendalian, serta advisory tanpa mengambil tanggung jawab manajemen | Satuan Pengawas Internal (SPI) atau divisi audit internal |
| Penyedia assurance eksternal | Memberi keyakinan tambahan dari luar organisasi | Auditor eksternal, regulator, lembaga akreditasi |
Tugas dan posisi fungsi lini ketiga di perusahaan dibahas lebih lengkap dalam artikel Satuan Pengawas Internal Perusahaan.
Apa Saja Lima Prinsip Three Lines Model Versi 2026?
Statement of Position 2026 merumuskan lima prinsip yang menjelaskan bagaimana assurance dan advisory mendukung tata kelola:
- Dewan menetapkan arah. Dewan menetapkan tujuan, selera risiko, dan ekspektasi, lalu mengawasi pencapaian tujuan strategis.
- Pengawasan butuh informasi yang andal. Pengawasan yang efektif bergantung pada informasi yang andal dan berimbang tentang kinerja, risiko, dan pengendalian.
- Akuntabilitas lewat pembagian peran. Dewan dan manajemen senior membangun akuntabilitas dengan menetapkan peran dan tanggung jawab.
- Sumber assurance yang beragam. Berbagai sumber assurance, termasuk dari pihak independen, memberi dewan keyakinan bahwa tata kelola, manajemen risiko, kepatuhan, dan pengendalian berjalan sesuai harapan serta mendorong tindakan korektif tepat waktu.
- Advisory melengkapi assurance. Layanan advisory memberi wawasan, sudut pandang, dan pilihan yang mendukung perbaikan dan pengambilan keputusan.
Versi 2020 memuat enam prinsip dengan rumusan yang berbeda, mulai dari prinsip tata kelola sampai penciptaan dan perlindungan nilai. Jika pedoman internal organisasi Anda masih merujuk versi 2020, rujukannya sebaiknya diperbarui.
Apa yang Ditekankan dalam Versi 2026?
Struktur dasar tiga lini tidak berubah. Yang berubah adalah penekanannya. Beberapa poin yang menonjol dalam Statement of Position 2026:
- Independensi bukan isolasi. Independensi dipandang sebagai gabungan posisi dalam struktur organisasi dan pengaman praktis, tanpa memutus komunikasi antarperan.
- Jeda sebelum memberi assurance. Jeda minimal sekitar 12 bulan antara bertanggung jawab atas suatu proses dan memberi assurance atas proses itu umumnya dinilai cukup untuk menjaga objektivitas.
- Audit internal sebagai integrator assurance. Fungsi audit internal ditegaskan sebagai pihak yang memberi dewan gambaran menyeluruh tentang efektivitas tata kelola, manajemen risiko, kepatuhan, dan pengendalian.
- Koordinasi antarpenyedia assurance. Assurance map, taksonomi risiko bersama, pelaporan yang selaras, dan perencanaan terkoordinasi disebut sebagai cara mengurangi duplikasi dan menemukan celah cakupan.
- Alih daya tidak memindahkan akuntabilitas. Organisasi tetap bertanggung jawab walaupun sebagian peran dikerjakan pihak luar.
- Pihak eksternal diakui. Auditor eksternal, regulator, dan lembaga akreditasi disebut sebagai sumber assurance di luar tiga lini.
Gagasan koordinasi ini sejalan dengan pendekatan combined assurance, yaitu menyatukan pekerjaan berbagai penyedia assurance agar dewan menerima gambaran yang utuh.
Bagaimana Menjaga Independensi Lini Ketiga?
Statement of Position 2026 menyebut beberapa elemen penting independensi organisasi:
- Jalur pelaporan dan kewenangan. Umumnya pelaporan fungsional ke dewan dan pelaporan administratif ke pimpinan eksekutif, dengan kewenangan untuk menyampaikan masalah tanpa hambatan.
- Otonomi ruang lingkup dan perencanaan. Lini ketiga menentukan pekerjaan apa yang diperiksa, bagaimana caranya, dan kesimpulan apa yang diambil.
- Akses tanpa batas. Akses ke aset, fasilitas, informasi, orang, dan sistem tidak boleh disaring oleh pihak yang diperiksa.
- Kendali atas sumber daya. Personel, keahlian, dan anggaran memadai tanpa bergantung pada fungsi yang diperiksa.
- Perlindungan dari tekanan. Pemberi assurance terlindungi dari pembalasan atau pengaruh yang tidak semestinya.
Di luar struktur, ada pula pengaman praktis: pembagian tanggung jawab yang terdokumentasi, review independen ketika ada risiko memeriksa pekerjaan sendiri, persetujuan eksplisit dewan bila cakupan tugas audit internal diperluas, serta komunikasi tepat waktu atas ancaman terhadap objektivitas. Prinsip objektivitas dan integritas auditor juga diatur dalam kode etik auditor internal berdasarkan GIAS.
Bagaimana Hubungan Three Lines Model dengan GIAS?
Global Internal Audit Standards diterbitkan IIA pada 9 Januari 2024 dan berlaku sejak 9 Januari 2025. Standar ini terdiri dari lima domain dan lima belas prinsip. Three Lines Model menjelaskan posisi audit internal di antara peran lain, sedangkan GIAS mengatur bagaimana fungsi audit internal dijalankan.
Kaitan paling erat ada di Domain III, Governing the Internal Audit Function, yang mengatur hubungan kepala audit internal dengan dewan dan manajemen senior:
| Prinsip GIAS | Standar di dalamnya |
|---|---|
| Prinsip 6, Authorized by the Board | 6.1 Internal Audit Mandate, 6.2 Internal Audit Charter, 6.3 Board and Senior Management Support |
| Prinsip 7, Positioned Independently | 7.1 Organizational Independence, 7.2 Chief Audit Executive Qualifications |
| Prinsip 8, Overseen by the Board | 8.1 Board Interaction, 8.2 Resources, 8.3 Quality, 8.4 External Quality Assessment |
Di sisi pelaksanaan, Standar 9.4 mengatur rencana audit internal yang disusun berdasarkan penilaian strategi, tujuan, dan risiko, sedangkan Standar 13.6 mengatur program kerja penugasan. Keduanya dibahas dalam artikel risk-based audit dan program kerja audit internal. Teks lengkap GIAS dapat diunduh gratis dari situs resmi IIA.
Seperti Apa Contoh Penerapan Three Lines Model di Perusahaan?
Ambil contoh proses pengadaan barang dan jasa di sebuah perusahaan:
- Lini pertama: divisi pengadaan menjalankan prosedur pemilihan vendor, persetujuan berjenjang, dan verifikasi dokumen.
- Lini kedua: fungsi manajemen risiko dan kepatuhan menetapkan kebijakan, memantau indikator risiko pengadaan, dan memberi masukan bila ada penyimpangan.
- Lini ketiga: audit internal menguji efektivitas pengendalian pengadaan secara independen dan melaporkan hasilnya kepada komite audit.
- Dewan: dewan komisaris, melalui komite audit, membahas rencana audit, menerima laporan, dan memantau tindak lanjut.
- Pihak eksternal: auditor eksternal memeriksa laporan keuangan, termasuk dampak transaksi pengadaan.
Bagaimana Three Lines Model Diterapkan di Perguruan Tinggi?
Per 21 Oktober 2026, IIA belum menerbitkan panduan khusus untuk perguruan tinggi. Namun, GIAS memiliki bagian tentang penerapan standar di sektor publik, yang relevan bagi perguruan tinggi negeri. Prinsip tiga lini juga tetap dapat dipakai, karena perguruan tinggi menghadapi risiko akademik, keuangan, riset, teknologi informasi, dan reputasi. Penerapannya dalam kerangka tata kelola, risiko, dan kepatuhan dibahas di artikel GRC di perguruan tinggi, dan hubungan SPI dengan komite audit, majelis, inspektorat, serta BPK di artikel koordinasi SPI.
| Peran | Contoh di perguruan tinggi |
|---|---|
| Dewan atau organ pengawas | Organ yang menjalankan fungsi pengawasan sesuai bentuk dan statuta perguruan tinggi |
| Lini pertama | Fakultas, program studi, biro keuangan, unit pengadaan, pengelola penelitian |
| Lini kedua | Unit manajemen risiko, lembaga penjaminan mutu, unit hukum dan kepatuhan, unit keamanan teknologi informasi |
| Lini ketiga | Satuan Pengawasan Internal (SPI) |
| Penyedia assurance eksternal | BPK, auditor eksternal, BAN-PT atau lembaga akreditasi mandiri |
Lembaga penjaminan mutu yang menjalankan audit mutu internal dapat dipetakan sebagai peran lini kedua, karena kegiatannya membantu memantau pemenuhan standar pendidikan tinggi. SPI berada di lini ketiga dan memberi assurance yang independen atas tata kelola, pengelolaan risiko, dan pengendalian.
Kedudukan dan dasar hukum SPI di kampus dibahas dalam artikel SPI Perguruan Tinggi.
Contoh sederhana assurance map di kampus dapat disusun seperti berikut:
| Area risiko | Lini pertama | Lini kedua | Lini ketiga | Eksternal |
|---|---|---|---|---|
| Pengelolaan dana hibah penelitian | Pengelola penelitian dan peneliti | Unit keuangan atau manajemen risiko | Audit SPI atas penggunaan dana | Pemberi hibah, BPK |
| Pengadaan barang dan jasa | Unit pengadaan | Unit hukum dan kepatuhan | Audit SPI atas proses pengadaan | BPK |
| Keamanan data mahasiswa | Pengelola sistem informasi akademik | Unit keamanan teknologi informasi | Audit SPI atas pengendalian akses | Auditor teknologi informasi eksternal |
| Pemenuhan standar pendidikan | Program studi | Lembaga penjaminan mutu | Review SPI atas tata kelola mutu | BAN-PT atau LAM |
Kebutuhan audit internal di institusi pendidikan juga dibahas dalam halaman Audithink untuk Institusi Pendidikan.
Apa Kesalahan Umum dalam Menerapkan Three Lines Model?
- Menganggap lini sebagai bagan organisasi yang kaku. Model ini membedakan peran, sehingga satu unit perlu memahami peran mana yang sedang dijalankannya.
- Lini pertama melepas kepemilikan risiko. Kehadiran fungsi manajemen risiko atau audit internal tidak memindahkan tanggung jawab risiko dari manajemen.
- Audit internal mengambil peran lini kedua tanpa pengaman. Bila kepala audit internal ikut memegang fungsi lain, perlu persetujuan dewan dan review independen.
- Penyedia assurance bekerja sendiri-sendiri. Akibatnya ada pemeriksaan ganda di satu area dan celah cakupan di area lain.
- Laporan ke dewan tidak berimbang. Dewan perlu informasi tentang kinerja, risiko, dan pengendalian yang andal, bukan hanya kabar baik.
Bagaimana Software Audit Internal Mendukung Lini Ketiga?
Lini ketiga membutuhkan dokumentasi yang rapi agar assurance yang diberikan dapat dipertanggungjawabkan kepada dewan. Audithink membantu tim audit internal melalui enam fitur utama:
- Risk assessment untuk memetakan area berisiko tinggi.
- Perencanaan audit berbasis hasil penilaian risiko.
- Template program kerja untuk setiap penugasan.
- Notifikasi untuk tenggat dan tugas tim.
- Monitoring tindak lanjut rekomendasi.
- Laporan otomatis dari data yang dicatat selama audit.
Audithink adalah alat bantu pengelolaan audit. Pembagian peran, independensi, dan keputusan tata kelola tetap ditetapkan oleh organisasi masing-masing.
FAQ Seputar Three Lines Model
Apa itu Three Lines Model?
Three Lines Model adalah kerangka IIA yang membedakan peran manajemen (lini pertama), fungsi pendukung dan pemantau risiko (lini kedua), dan audit internal yang independen (lini ketiga), di bawah pengawasan dewan.
Apa perbedaan Three Lines Model dan Three Lines of Defense?
Three Lines of Defense adalah nama sebelumnya. Sejak pembaruan 2020, fokusnya bergeser dari pertahanan menjadi kontribusi setiap peran dalam menciptakan dan melindungi nilai organisasi.
Berapa prinsip dalam Three Lines Model versi terbaru?
Statement of Position IIA yang terbit Juli 2026 memuat lima prinsip. Versi 2020 yang digantikannya memuat enam prinsip.
Siapa yang termasuk lini ketiga?
Lini ketiga adalah fungsi audit internal, misalnya Satuan Pengawas Internal di perusahaan atau Satuan Pengawasan Internal di perguruan tinggi.
Apakah Three Lines Model wajib diterapkan?
Statement of Position IIA bukan bagian dari IPPF, sehingga sifatnya panduan. Organisasi menerapkannya sesuai konteks dan kebutuhan tata kelola masing-masing.
Bagaimana Three Lines Model diterapkan di perguruan tinggi?
Fakultas dan unit kerja berperan sebagai lini pertama, unit manajemen risiko dan penjaminan mutu sebagai lini kedua, dan SPI sebagai lini ketiga. BPK, auditor eksternal, dan lembaga akreditasi memberi assurance dari luar.
Penutup
Three Lines Model membantu organisasi membagi peran secara jelas: manajemen memiliki risiko, lini kedua mendukung dan memantau, sedangkan audit internal memberi assurance yang independen. Versi 2026 menegaskan pentingnya informasi yang andal bagi dewan, independensi yang tidak berarti isolasi, dan koordinasi antarpenyedia assurance.
Jika tim audit internal Anda ingin mendokumentasikan perencanaan, program kerja, dan tindak lanjut audit dengan lebih rapi, jadwalkan demo Audithink.
