Three Lines of Defense (tiga lini pertahanan) adalah model tata kelola risiko yang membagi tanggung jawab pengelolaan risiko ke tiga lapisan: lini pertama (unit operasional pemilik risiko), lini kedua (fungsi manajemen risiko & kepatuhan), dan lini ketiga (audit internal yang memberi asurans independen). Tujuannya: memperjelas siapa mengelola, mengawasi, dan mengaudit risiko.
Model ini menjadi acuan umum perusahaan Indonesia dalam membangun kerangka Governance, Risk, and Compliance (GRC). Artikel ini menjelaskan peran tiap lini, pembaruan model dari The IIA pada 2020, contoh penerapan nyata, serta cara menyiapkan tim melalui pelatihan — diperbarui November 2026.
Apa itu model Three Lines of Defense?
Model Three Lines of Defense (3LoD) pertama kali dipopulerkan untuk menjawab pertanyaan klasik tata kelola: "Siapa yang sebenarnya bertanggung jawab atas risiko?" Jawabannya dibagi tiga agar tidak ada celah maupun tumpang tindih peran:
- Lini 1 — pemilik & pengelola risiko: manajemen dan unit operasional yang menjalankan proses bisnis sehari-hari dan mengelola risiko di sumbernya.
- Lini 2 — fungsi pengawas risiko: manajemen risiko, kepatuhan (compliance), dan quality control yang menetapkan kebijakan, memberi kerangka, serta memantau lini pertama.
- Lini 3 — asurans independen: audit internal yang mengevaluasi efektivitas lini pertama dan kedua, serta melapor ke komite audit/dewan.
Konsep ini melengkapi kerangka risiko seperti COSO ERM dan ISO 31000, yang mengatur bagaimana risiko dikelola — sementara 3LoD mengatur siapa yang mengelolanya.
Apa peran masing-masing lini pertahanan?
Lini pertama: unit operasional
Manajer dan staf operasional memiliki dan mengelola risiko secara langsung. Merekalah yang menjalankan kontrol harian — misalnya verifikasi dokumen, otorisasi transaksi, atau pemeriksaan kualitas. Tanpa lini pertama yang kuat, dua lini berikutnya hanya menambal masalah.
Lini kedua: manajemen risiko & kepatuhan
Lini ini membangun kerangka, kebijakan, dan alat — termasuk risk register — lalu memantau apakah lini pertama menjalankannya. Fungsi compliance memastikan kepatuhan terhadap regulasi, sementara fungsi risiko mengonsolidasikan profil risiko perusahaan.
Lini ketiga: audit internal
Audit internal memberi asurans objektif dan independen kepada dewan dan komite audit bahwa tata kelola, manajemen risiko, dan kontrol telah berjalan efektif. Independensi adalah kuncinya — lini ketiga tidak boleh mengelola risiko yang nanti ia audit sendiri.
Apa yang berubah pada model Three Lines dari IIA (2020)?
Pada 2020, The Institute of Internal Auditors (The IIA) memperbarui model lama menjadi The IIA's Three Lines Model. Perubahan pentingnya:
- Istilah "defense" dilonggarkan — fokus bergeser dari sekadar "bertahan" ke menciptakan dan melindungi nilai.
- Menegaskan peran governing body (dewan) dan hubungan pelaporannya.
- Menekankan prinsip dan kolaborasi, bukan garis kaku antar-fungsi. Lini-lini didorong berkoordinasi, bukan bekerja dalam silo.
Intinya, versi baru lebih fleksibel dan relevan untuk organisasi modern, tanpa menghapus esensi pembagian peran.
Bagaimana contoh penerapan Three Lines of Defense?
Bayangkan sebuah bank menghadapi risiko fraud pembayaran:
- Lini 1: tim operasi pembayaran menjalankan kontrol seperti verifikasi dua tahap dan limit transaksi.
- Lini 2: fungsi manajemen risiko menetapkan kebijakan anti-fraud, memantau indikator risiko, dan fungsi compliance memastikan aturan regulator dipenuhi.
- Lini 3: audit internal menguji apakah kontrol lini 1 memang berjalan dan kebijakan lini 2 efektif, lalu melaporkan temuan ke komite audit.
Pola yang sama berlaku di manufaktur (risiko mutu/K3), rumah sakit (keselamatan pasien), hingga perusahaan teknologi (keamanan informasi).
Contoh di atas menegaskan satu hal penting: ketiga lini tidak bekerja bergantian, melainkan bersamaan dan saling mengisi. Lini pertama mengelola risiko di sumbernya setiap hari, lini kedua memastikan kerangkanya konsisten di seluruh unit, dan lini ketiga memverifikasi keduanya secara periodik. Ketika salah satu lini lemah, beban akan berpindah ke lini lain dan membuat tata kelola tidak efisien — misalnya audit internal yang terpaksa menambal kontrol operasional yang seharusnya menjadi tanggung jawab lini pertama.
Bagaimana cara perusahaan menerapkan dan melatih timnya?
Menerapkan 3LoD bukan sekadar membuat bagan organisasi. Langkah praktisnya:
- Petakan peran risiko tiap fungsi — hindari area abu-abu dan tumpang tindih.
- Perkuat lini kedua dengan kebijakan, risk register, dan indikator risiko yang jelas.
- Jaga independensi lini ketiga agar laporan audit kredibel.
- Tingkatkan kompetensi melalui pelatihan GRC terstruktur sehingga setiap lini paham perannya.
Untuk mempercepat kesamaan pemahaman lintas fungsi, banyak perusahaan menyelenggarakan pelatihan in-house. Program Certified Governance, Risk, and Compliance Professional Advanced dari Dilatih.co membahas integrasi tata kelola, risiko, dan kepatuhan — termasuk penerapan model tiga lini — dan bisa disesuaikan dengan konteks organisasi Anda. Pelajari juga Panduan Pelatihan Manajemen Risiko & GRC serta pelatihan GRC untuk gambaran menyeluruh.
FAQ: Three Lines of Defense
Apa perbedaan Three Lines of Defense dan COSO ERM? Three Lines of Defense mengatur SIAPA yang mengelola, mengawasi, dan mengaudit risiko (pembagian peran). COSO ERM dan ISO 31000 mengatur BAGAIMANA risiko diidentifikasi, dinilai, dan ditangani (kerangka proses). Keduanya saling melengkapi, bukan menggantikan.
Apakah model ini hanya untuk bank atau perusahaan besar? Tidak. Prinsip pembagian peran risiko berlaku untuk organisasi apa pun. Perusahaan kecil bisa menerapkannya secara proporsional — misalnya satu fungsi merangkap beberapa peran, selama independensi audit tetap dijaga.
Apa risiko terbesar jika model ini tidak diterapkan? Tanpa pembagian yang jelas, risiko bisa "tidak bertuan": semua merasa bukan tanggung jawabnya, kontrol lemah, dan temuan audit berulang. Ini memperbesar peluang fraud, pelanggaran kepatuhan, dan kerugian operasional.
Apakah lini kedua boleh merangkap lini ketiga? Sebaiknya tidak. Audit internal (lini ketiga) harus independen dari fungsi yang ia audit. Jika terpaksa dirangkap pada organisasi kecil, perlu pengamanan tambahan seperti reviu oleh pihak eksternal agar objektivitas terjaga.
Kesimpulan
Three Lines of Defense memberi kerangka tata kelola risiko yang jelas: lini pertama mengelola, lini kedua mengawasi, lini ketiga memberi asurans independen. Versi terbaru The IIA (2020) membuatnya lebih kolaboratif dan berorientasi nilai. Kunci keberhasilannya adalah peran yang tegas dan kompetensi tim yang merata di seluruh lini.
Butuh pelatihan bersertifikat untuk tim Anda? Minta penawaran in-house training atau konsultasi via WhatsApp
Sumber & Referensi
- The Institute of Internal Auditors — The IIA's Three Lines Model (2020): theiia.org
- COSO — Enterprise Risk Management–Integrating with Strategy and Performance: coso.org
- ISO 31000:2018 — Risk management guidelines