Foto oleh Vitaly Gariev di Unsplash
Di sebuah kampus, tata kelola ada di statuta dan rapat organ, risiko ada di daftar milik unit manajemen risiko, kepatuhan ada di tangan penjaminan mutu dan biro hukum, sedangkan pengawasan ada di SPI. Masing-masing bekerja dengan laporan, jadwal, dan istilahnya sendiri. Akibatnya pimpinan sulit melihat gambaran utuh: risiko mana yang belum dikendalikan, aturan mana yang belum dipenuhi, dan siapa yang bertanggung jawab.
Pendekatan GRC (governance, risk, and compliance) dimaksudkan untuk menyatukan ketiganya. Artikel ini membahas arti GRC bagi perguruan tinggi, bagaimana ketiga pilarnya muncul dalam peraturan dan praktik kampus, siapa memegang peran apa, dan langkah memulainya. Rujukan dicek per 21 Oktober 2026.
Apa Itu GRC dan Mengapa Relevan untuk Perguruan Tinggi?
GRC adalah pendekatan yang mengelola tata kelola (governance), manajemen risiko (risk), dan kepatuhan (compliance) secara terpadu, bukan sebagai tiga urusan yang berjalan sendiri-sendiri. Definisi umumnya dibahas di artikel apa itu GRC.
Singkatan ini kadang dibaca berbeda. Judul laman webinar IIA Indonesia pada Mei 2024 tentang implementasi governance, risk and control di perguruan tinggi memakai huruf C untuk control. Kedua bacaan itu menekankan hal yang sama: tata kelola, risiko, dan pengendalian atau kepatuhan perlu dilihat sebagai satu sistem.
Perlu dicatat, istilah GRC tidak muncul dalam UU 12/2012, PP 4/2014, PP 60/2008, Permendiktisaintek 39/2025, maupun instrumen akreditasi BAN-PT IAPT 4.1 yang dirujuk artikel ini. GRC adalah pendekatan dari praktik profesi, sedangkan unsur-unsurnya ada dalam peraturan tersebut dengan istilah lain.
Bagaimana Tiga Pilar GRC Muncul dalam Peraturan dan Praktik Kampus?
| Pilar | Wujud di kampus | Rujukan |
|---|---|---|
| Tata kelola | Statuta, organ yang saling menilik dan mengimbangi, serta prinsip akuntabilitas dan transparansi | PP 4/2014 Pasal 29 ayat (9); Permendiktisaintek 39/2025 Pasal 67 ayat (2) |
| Risiko | Pemantauan potensi risiko dalam pengawasan dan pengendalian kegiatan pendidikan, dan penilaian risiko sebagai unsur pengendalian intern | Permendiktisaintek 39/2025 Pasal 34 ayat (2) huruf b; PP 60/2008 Pasal 3 ayat (1) huruf b (instansi pemerintah) |
| Kepatuhan dan pengendalian | Kepatuhan pada standar pendidikan tinggi melalui siklus SPMI, kepatuhan pada etika akademik, dan penanganan pengaduan pelanggaran | Permendiktisaintek 39/2025 Pasal 34 ayat (2) huruf c dan d, Pasal 65 sampai 68 |
| Penilaian eksternal | Akreditasi yang menilai tata pamong, termasuk praktik good university governance dan manajemen risiko | BAN-PT IAPT 4.1, kriteria Akuntabilitas |
PP 60/2008 berlaku untuk instansi pemerintah dan menyebut lima unsur sistem pengendalian intern: lingkungan pengendalian, penilaian risiko, kegiatan pengendalian, informasi dan komunikasi, serta pemantauan pengendalian intern. Penerapannya menyatu dan menjadi bagian integral dari kegiatan instansi (Pasal 3). Bagi kampus yang berstatus instansi pemerintah atau BLU, unsur ini menjadi pintu masuk untuk menghubungkan tata kelola, risiko, dan kepatuhan.
Pembahasan masing-masing pilar ada di artikel good university governance dan manajemen risiko perguruan tinggi. Hubungan SPMI dengan SPI dibahas di artikel perbedaan SPI dan SPMI.
Seperti Apa Satu Proses Kampus Dilihat dengan Kacamata GRC?
Tabel berikut adalah ilustrasi, bukan daftar baku. Satu proses yang sama dilihat dari tiga sisi sekaligus:
| Proses | Tata kelola | Risiko | Kepatuhan |
|---|---|---|---|
| Pengelolaan dana penelitian | Kewenangan persetujuan dan pembagian tugas yang jelas | Dana dipakai tidak sesuai kontrak, laporan terlambat | Ketentuan pemberi hibah dan aturan keuangan yang berlaku |
| Pengadaan barang dan jasa | Kebijakan dan delegasi wewenang pengadaan | Harga tidak wajar, konflik kepentingan | Peraturan pengadaan yang berlaku bagi kampus |
| Sistem akademik dan data mahasiswa | Kepemilikan data dan kebijakan akses | Akses tidak sah, nilai diubah, data bocor | Kewajiban pelindungan data pribadi dan etika akademik |
| Penanganan pengaduan | Jalur pelaporan dan perlindungan pelapor | Laporan tidak ditindaklanjuti | Kewajiban memproses pengaduan pelanggaran etika dan peraturan (Permendiktisaintek 39/2025 Pasal 34 ayat (2) huruf d) |
Dengan satu proses dilihat dari tiga sisi, pertanyaan pimpinan menjadi lebih mudah dijawab: apa risikonya, aturan apa yang mengikatnya, dan siapa yang memastikan keduanya berjalan.
Siapa Memegang Peran GRC di Kampus?
Three Lines Model dari IIA membantu memetakan peran tanpa harus membuat unit baru. Pembahasan lengkapnya ada di artikel Three Lines Model. Contoh pemetaan untuk kampus:
| Peran | Contoh pemegang peran | Kaitan dengan GRC |
|---|---|---|
| Organ pengawas atau dewan | Majelis wali amanat, komite audit, atau dewan pengawas, sesuai bentuk kampus | Menetapkan arah dan mengawasi tata kelola |
| Lini pertama | Fakultas, biro, pengelola penelitian, unit pengadaan | Memiliki risiko dan menjalankan pengendalian sehari-hari |
| Lini kedua | Unit manajemen risiko, penjaminan mutu, hukum dan kepatuhan, keamanan teknologi informasi | Merancang kerangka, memantau, dan menantang lini pertama |
| Lini ketiga | SPI | Memberi assurance independen atas tata kelola, manajemen risiko, dan pengendalian |
| Penyedia assurance eksternal | BPK, auditor eksternal, lembaga akreditasi | Memberi keyakinan tambahan dari luar kampus |
Per 21 Oktober 2026, IIA belum menerbitkan panduan GRC atau tata kelola yang khusus untuk perguruan tinggi. Pemetaan di atas adalah penerapan model umum, dan susunan akhirnya mengikuti statuta serta struktur masing-masing kampus. Koordinasi antarpihak tersebut dibahas di artikel koordinasi SPI dengan komite audit, MWA, inspektorat, dan BPK.
Apa Peran SPI dalam GRC?
GIAS 2024 menyatakan audit internal memperkuat kemampuan organisasi menciptakan, melindungi, dan mempertahankan nilai dengan memberi dewan dan manajemen assurance, saran, wawasan, dan pandangan ke depan yang independen, berbasis risiko, dan objektif. Salah satu hal yang ditingkatkannya adalah proses tata kelola, manajemen risiko, dan pengendalian. Jadi SPI bukan pemilik GRC, tetapi pihak yang menilai apakah GRC berjalan.
Standar 9.1 meminta kepala audit internal memahami proses tata kelola, manajemen risiko, dan pengendalian organisasi sebelum menyusun strategi dan rencana audit. Untuk tata kelola, standar itu menyebut hal seperti cara organisasi menetapkan tujuan strategis, mengawasi risiko dan pengendalian, membangun budaya etika, dan mengoordinasikan dewan, penyedia assurance, serta manajemen. Untuk risiko dan pengendalian, standar menyebut kepatuhan pada hukum dan peraturan sebagai salah satu area risiko utama.
Ada batas yang perlu dijaga. Jika SPI ikut merancang atau menjalankan fungsi manajemen risiko atau kepatuhan, objektivitasnya terganggu saat memeriksa fungsi itu. Pada BLU, PMK 129/PMK.05/2020 Pasal 263 melarang auditor SPI merangkap tugas operasional BLU, kecuali pada fungsi kepatuhan dan fungsi manajemen risiko. Pengecualian itu tidak menghapus kebutuhan pengaman independensi, sebagaimana dibahas di artikel piagam audit internal SPI. Gambaran peran SPI secara umum ada di artikel SPI Perguruan Tinggi.
Bagaimana Langkah Memulai GRC Terpadu di Kampus?
- Petakan siapa mengelola apa. Daftar unit yang memegang tata kelola, risiko, kepatuhan, dan pengawasan, beserta laporan yang sudah mereka hasilkan.
- Pilih satu atau dua proses prioritas. Mulai dari proses berisiko tinggi, misalnya dana penelitian atau pengadaan, bukan seluruh kampus sekaligus.
- Satukan daftar risiko dan kewajiban. Hubungkan tiap risiko dengan pengendalian dan aturan yang mengikatnya, sehingga satu proses punya satu catatan.
- Tetapkan pembagian peran. Tuliskan siapa pemilik risiko, siapa yang memantau, dan siapa yang memberi assurance independen.
- Selaraskan jadwal. Gabungkan kalender audit mutu, audit SPI, dan pemeriksaan eksternal agar unit tidak diperiksa bersamaan. Pendekatannya mirip combined assurance.
- Laporkan secara terpadu. Sampaikan kepada pimpinan dan organ pengawas gambaran risiko, kepatuhan, dan tindak lanjut dalam satu laporan.
- Ukur kematangan secara berkala. Nilai perkembangan dengan acuan seperti dalam artikel tingkat kematangan GRC, lalu perbaiki bertahap.
Tantangan penyatuan program dan pilihan kerangka dibahas lebih lanjut di artikel mengintegrasikan program GRC dan integrated risk management.
Apa Kesalahan Umum dalam Menerapkan GRC di Kampus?
- Menganggap GRC sebagai aplikasi. Perangkat lunak hanya membantu. Tanpa pembagian peran dan keputusan pimpinan, hasilnya hanya data yang tersebar di tempat baru.
- Memulai terlalu luas. Seluruh kampus dimasukkan sekaligus sehingga tidak ada yang selesai.
- Mengaburkan peran SPI. SPI dijadikan pemilik risiko atau pengelola kepatuhan, lalu tetap diminta memberi assurance atas pekerjaannya sendiri.
- Mengejar akreditasi saja. Dokumen disiapkan menjelang asesmen, bukan dijalankan sepanjang tahun.
- Tidak menindaklanjuti. Risiko dan temuan dicatat, tetapi tidak ada pemilik dan tenggat penyelesaian.
Bagaimana Software Audit Internal Membantu?
Audithink adalah software untuk fungsi audit internal, bukan sistem GRC lengkap, sistem SPMI, atau platform akreditasi. Untuk SPI, Audithink membantu melalui enam fitur utama: risk assessment untuk memetakan area berisiko, perencanaan audit berbasis penilaian risiko, template program kerja per penugasan, notifikasi tenggat, monitoring tindak lanjut rekomendasi, dan laporan otomatis. Dengan begitu, hasil assurance SPI dapat masuk ke dalam pelaporan terpadu kampus. Kebutuhan audit di kampus dibahas di halaman Audithink untuk Institusi Pendidikan.
FAQ Seputar GRC di Perguruan Tinggi
Apa itu GRC di perguruan tinggi?
GRC adalah pendekatan yang mengelola tata kelola, manajemen risiko, dan kepatuhan secara terpadu. Di perguruan tinggi, unsur-unsurnya muncul sebagai tata pamong, manajemen risiko, penjaminan mutu, dan pengawasan internal.
Apakah perguruan tinggi wajib menerapkan GRC?
Peraturan yang dirujuk artikel ini tidak memakai istilah GRC dan tidak mewajibkannya sebagai program tersendiri. Yang diatur adalah unsur-unsurnya, seperti tata kelola yang baik, penjaminan mutu internal, pemantauan potensi risiko, dan sistem pengendalian intern untuk instansi pemerintah.
Apa bedanya GRC dengan SPMI?
SPMI adalah siklus penjaminan mutu internal untuk memenuhi standar pendidikan tinggi. GRC adalah pendekatan yang lebih luas untuk menghubungkan tata kelola, risiko, dan kepatuhan. SPMI dapat menjadi salah satu bagian dari sisi kepatuhan dan pengendalian dalam GRC.
Apa peran SPI dalam GRC?
SPI berada di lini ketiga yang memberi assurance independen atas proses tata kelola, manajemen risiko, dan pengendalian. SPI menilai apakah GRC berjalan, bukan memilikinya.
Dari mana kampus sebaiknya mulai?
Mulailah dari satu atau dua proses berisiko tinggi, misalnya dana penelitian atau pengadaan. Petakan pemilik risiko dan aturan yang mengikatnya, lalu satukan catatan dan jadwal pemeriksaan untuk proses tersebut.
Apakah Audithink adalah software GRC?
Audithink adalah software untuk fungsi audit internal. Ia membantu SPI dengan risk assessment, perencanaan audit, template program kerja, notifikasi, monitoring tindak lanjut, dan laporan otomatis, tetapi bukan sistem GRC lengkap.
Penutup
GRC di kampus tidak harus dimulai dengan proyek besar. Cukup satu proses yang dilihat dari tiga sisi, dengan peran yang jelas dan satu catatan bersama. Dari situ, pimpinan mendapat gambaran yang utuh, dan SPI dapat memberi assurance dengan dasar yang lebih rapi.
Jika SPI di kampus Anda ingin memetakan risiko, merencanakan audit, dan memantau tindak lanjut dalam satu alur, jadwalkan demo Audithink.
