COSO ERM (Enterprise Risk Management) adalah kerangka kerja manajemen risiko tingkat perusahaan yang diterbitkan oleh Committee of Sponsoring Organizations of the Treadway Commission. Versi terbaru, Enterprise Risk Management — Integrating with Strategy and Performance (2017), mengaitkan pengelolaan risiko langsung dengan strategi dan kinerja, bukan sekadar daftar risiko operasional.
Artikel ini menjelaskan apa itu COSO ERM, lima komponen dan 20 prinsipnya, perbedaannya dengan ISO 31000, serta cara menerapkannya di perusahaan — diperbarui November 2026 untuk auditor internal, praktisi risiko, dan manajemen.
Apa itu COSO ERM?
COSO ERM adalah pedoman yang membantu organisasi mengidentifikasi, menilai, dan mengelola risiko dalam konteks pencapaian tujuan strategis. Prinsip utamanya: risiko tidak dikelola terpisah, melainkan dipadukan ke dalam proses penetapan dan pelaksanaan strategi. Dengan begitu, keputusan bisnis mempertimbangkan risiko sejak awal, bukan setelah masalah muncul.
Kerangka ini banyak diadopsi karena memberi bahasa dan struktur yang sama bagi direksi, manajemen, dan fungsi audit dalam membahas risiko.
Apa saja 5 komponen COSO ERM 2017?
COSO ERM 2017 terdiri dari lima komponen yang saling terkait, menaungi 20 prinsip:
- Governance & Culture (Tata Kelola & Budaya) — peran dewan, struktur pengawasan, dan budaya sadar risiko.
- Strategy & Objective-Setting (Strategi & Penetapan Tujuan) — menyelaraskan selera risiko (risk appetite) dengan strategi dan sasaran bisnis.
- Performance (Kinerja) — mengidentifikasi, menilai prioritas, dan menanggapi risiko yang dapat memengaruhi pencapaian tujuan.
- Review & Revision (Tinjauan & Revisi) — mengevaluasi apakah manajemen risiko masih berjalan efektif seiring perubahan.
- Information, Communication & Reporting (Informasi, Komunikasi & Pelaporan) — memastikan informasi risiko mengalir ke pihak yang tepat.
Kelima komponen ini menggantikan model "kubus" COSO ERM 2004 yang lebih berorientasi pengendalian internal.
Bagaimana perbedaan COSO ERM dan ISO 31000?
Keduanya sama-sama kerangka manajemen risiko, tetapi dengan penekanan berbeda:
- Cakupan: COSO ERM sangat menekankan keterkaitan risiko dengan strategi dan kinerja; ISO 31000 bersifat lebih ringkas dan universal, berlaku untuk organisasi apa pun.
- Struktur: COSO ERM memakai 5 komponen & 20 prinsip; ISO 31000 memakai prinsip, kerangka, dan proses yang lebih sederhana.
- Asal: COSO berakar dari dunia audit dan pelaporan keuangan AS; ISO 31000 adalah standar internasional.
Banyak perusahaan memadukan keduanya — memakai struktur strategis COSO ERM sekaligus proses ringkas ISO 31000. Pelajari pendekatan ISO 31000 lebih lanjut di panduan pelatihan ISO 31000 manajemen risiko, dan konteks GRC-nya di Panduan Pelatihan Manajemen Risiko & GRC.
Bagaimana cara menerapkan COSO ERM di perusahaan?
Penerapan bertahap yang umum dilakukan:
- Dapatkan komitmen direksi dan tetapkan tata kelola risiko (siapa bertanggung jawab atas apa).
- Rumuskan risk appetite sejalan dengan strategi dan tujuan perusahaan.
- Identifikasi & prioritaskan risiko menggunakan risk register, dinilai dari dampak dan kemungkinan.
- Tentukan respons risiko — menerima, mengurangi, membagi, atau menghindari.
- Pantau & laporkan melalui indikator risiko utama (KRI) dan tinjauan berkala.
Penerapan yang berhasil bergantung pada kompetensi tim. Program Certified Governance, Risk, and Compliance Professional Advanced membekali praktisi dengan kerangka GRC termasuk prinsip COSO ERM dan ISO 31000 secara terstruktur.
Apa manfaat COSO ERM bagi perusahaan?
Penerapan COSO ERM yang konsisten memberi sejumlah manfaat nyata:
- Keputusan strategis lebih matang — risiko dipertimbangkan sejak tahap perumusan strategi, bukan setelah masalah terjadi.
- Alokasi sumber daya lebih tepat — perusahaan fokus mengelola risiko yang paling memengaruhi tujuan, bukan menyebar perhatian secara merata.
- Kepercayaan pemangku kepentingan — investor, regulator, dan dewan melihat tata kelola risiko yang terstruktur.
- Budaya sadar risiko — risiko menjadi bahasa bersama lintas divisi, bukan urusan satu unit saja.
- Kesiapan menghadapi disrupsi — organisasi lebih cepat mendeteksi perubahan dan meresponsnya.
Siapa yang bertanggung jawab atas COSO ERM?
COSO ERM menegaskan bahwa manajemen risiko adalah tanggung jawab bersama, bukan hanya satu departemen. Dewan/komite mengawasi dan menyetujui selera risiko; manajemen puncak memiliki dan menjalankan strategi pengelolaan risiko; pemilik risiko di tiap unit mengelola risiko sehari-hari; sementara audit internal memberikan keyakinan independen atas efektivitas kerangka tersebut. Pembagian peran ini sering dipadukan dengan model three lines agar jelas siapa yang menjalankan, mengawasi, dan menguji pengendalian.
Tantangan umum penerapan COSO ERM
Beberapa hambatan yang sering ditemui: kerangka hanya menjadi dokumen formal tanpa dijalankan; risk appetite tidak dirumuskan secara konkret sehingga sulit dipakai; data risiko tersebar dan tidak terkonsolidasi; serta kurangnya dukungan budaya dari manajemen. Mengatasinya menuntut komitmen pimpinan dan tim yang kompeten, bukan sekadar menyalin template.
FAQ COSO ERM
Apa itu COSO ERM? Kerangka manajemen risiko perusahaan dari COSO yang memadukan pengelolaan risiko dengan strategi dan kinerja, melalui 5 komponen dan 20 prinsip (versi 2017).
Apa saja 5 komponen COSO ERM? Governance & Culture; Strategy & Objective-Setting; Performance; Review & Revision; serta Information, Communication & Reporting.
Apa bedanya COSO ERM 2004 dan 2017? Versi 2004 memakai model kubus berorientasi pengendalian internal, sedangkan 2017 menekankan integrasi risiko dengan strategi dan kinerja.
Mana yang lebih baik, COSO ERM atau ISO 31000? Tidak ada yang mutlak lebih baik. COSO ERM unggul dalam kaitan strategis; ISO 31000 lebih ringkas dan universal. Banyak perusahaan memadukan keduanya.
Siapa yang perlu memahami COSO ERM? Direksi, manajemen risiko, auditor internal, dan fungsi compliance — terutama di perusahaan yang diawasi regulator atau berorientasi tata kelola.
Apakah COSO ERM wajib diterapkan perusahaan di Indonesia? Tidak ada kewajiban hukum tunggal yang mengharuskannya, tetapi banyak perusahaan publik, BUMN, dan lembaga keuangan mengadopsi COSO ERM atau ISO 31000 untuk memenuhi ekspektasi tata kelola regulator dan investor. Penerapannya sangat dianjurkan bagi organisasi yang ingin mengelola risiko secara terstruktur dan meningkatkan kepercayaan pemangku kepentingan.
Sumber / Referensi
- COSO — Enterprise Risk Management: Integrating with Strategy and Performance (2017), coso.org
- ISO — ISO 31000:2018 Risk Management Guidelines
- The Institute of Internal Auditors (IIA) — materi tata kelola & manajemen risiko
Lihat program & jadwal sertifikasi di katalog kursus Dilatih.co.