PADA 8 Juli 2026, The Institute of Internal Auditors memperbarui Three Lines Model. Bagan dasarnya tetap: manajemen berada pada lini pertama; fungsi risiko, kepatuhan, keamanan, mutu, dan para spesialis pada lini kedua; audit internal pada lini ketiga. Jika susunannya masih sama, apa yang sesungguhnya berubah?
Perubahannya bukan pada jumlah lini, melainkan pada cara ketiganya bekerja. Versi 2020 terutama menjelaskan siapa bertanggung jawab atas apa. Versi 2026 bergerak lebih jauh: bagaimana seluruh sumber asurans dan nasihat disatukan agar pimpinan memperoleh satu pandangan yang utuh; kapan pekerjaan fungsi lain dapat diandalkan; dan bagaimana objektivitas dijaga ketika keterbatasan orang membuat dua peran terpaksa bertemu (The IIA, 2020; 2026).
Pertanyaan itu penting karena banyak organisasi memiliki banyak pengawas, tetapi tidak selalu memiliki cukup kepastian. Unit risiko membuat laporan, kepatuhan mencatat pelanggaran, keamanan siber menyalakan alarm, auditor eksternal dan internal meminta data. Setiap orang memegang sepotong cermin; tapi tak seorang pun melihat wajah organisasi secara penuh.
Dari pembagian peran menuju satu pandangan
Model 2026 menegaskan bahwa asurans dan nasihat dapat datang dari ketiga lini, meskipun bobot independensinya berbeda. Lini pertama memberi keyakinan melalui pemantauan harian dan pengendalian proses. Lini kedua memberi keahlian, memantau, dan menantang keputusan. Lini ketiga menilai secara independen apakah keseluruhan sistem sungguh dapat dipercaya.
Di sinilah integrated assurance menjadi penting. Bukan sekadar menyamakan jadwal pemeriksaan, melainkan menyatukan pekerjaan berbagai fungsi ke dalam satu peta risiko dan asurans. Untuk setiap risiko penting, organisasi perlu mengetahui siapa pemiliknya, siapa yang memantau, siapa yang menguji, bukti apa yang tersedia, dan kepada siapa masalah harus dinaikkan. Dari sana tampak dua penyakit lama: satu risiko diperiksa berkali-kali, sementara risiko lain tidak disentuh siapa pun.
Audit internal memperoleh peran lebih kuat sebagai pengintegrasi asurans. Ia bukan atasan fungsi risiko, kepatuhan, keamanan, atau auditor eksternal. Tugasnya menilai apakah pekerjaan mereka cukup andal, menemukan celah dan duplikasi, lalu memberi dewan atau pimpinan tertinggi kesimpulan yang menyeluruh. Koordinasi mengatur siapa datang pada hari apa; integrasi menjawab apakah organisasi benar-benar aman.
Ketika dua lini terpaksa bertemu
Pembaruan 2026 juga lebih realistis terhadap rangkap peran. Dalam organisasi dengan sumber daya terbatas, kepala audit internal kadang diminta mengawasi atau menjalankan fungsi lini kedua. Model baru tidak serta-merta melarangnya, tetapi memasang pagar.
Bila audit internal ikut mengambil keputusan kepatuhan, mengoperasikan manajemen risiko, atau merancang kontrol yang kelak akan diauditnya sendiri, ancaman terhadap objektivitas menjadi kuat. Tanggung jawab itu harus diungkapkan kepada dewan, dibatasi, didokumentasikan, dan area tersebut harus memperoleh asurans dari pihak lain yang independen. Bila CAE hanya mensupervisi fungsi lini kedua, personel, keputusan, bukti kerja, dan penugasan audit tetap harus dipisahkan, disertai persetujuan dewan, reviu independen, dan masa jeda yang memadai.
Pesannya sederhana: kekurangan orang tidak boleh membuat seseorang sekaligus memasak, mencicipi, dan menyatakan masakannya bebas cacat.
Apa artinya bagi pekerjaan auditor?
Bagi manajemen, risiko harus tetap dikelola di tempat keputusan dibuat. Ia tidak dapat dipindahkan kepada unit risiko seperti berkas dari satu meja ke meja lain. Bagi fungsi supervisi, tugasnya bukan sekadar mengumpulkan formulir, tetapi membaca pola, menguji batas toleransi, dan memastikan persoalan lintas unit tidak kehilangan pemilik.
Bagi auditor internal, penugasan tidak cukup berakhir pada daftar temuan per unit. Auditor perlu menjawab: risiko material mana yang belum mendapat asurans; kontrol apa yang belum pernah diuji; pekerjaan siapa yang dapat diandalkan; rangkap peran apa yang mengganggu objektivitas; dan keputusan apa yang harus segera diambil pimpinan.
Cara berpikir ini relevan untuk risiko siber, AI, dan vendor. Ketika layanan disediakan pihak luar, tanggung jawab tidak ikut pindah. Unit pemilik layanan tetap menjadi lini pertama, fungsi spesialis memantau keamanan dan kepatuhan, sedangkan audit internal menilai seluruh rantai—kontrak, akses, data, backup, perubahan sistem, respons insiden, dan pelaporan. Organisasi boleh menyewa tangan orang lain, tetapi tidak dapat menyewakan akuntabilitasnya.
Mengapa penting bagi Indonesia?
Kasus Jiwasraya dengan kerugian negara Rp16,81 triliun (BPK, 2020) dan gangguan PDNS 2 pada 2024 berbeda penyebabnya. Namun keduanya mengingatkan bahwa risiko besar sering tumbuh di ruang antarfungsi: informasi tersedia, pengawas ada, vendor bekerja, laporan dibuat, tetapi potongan-potongan itu tidak segera menjadi satu peringatan yang memaksa keputusan.
Indonesia sebenarnya tidak kekurangan aturan. PP Nomor 60 Tahun 2008, SAIPI 2021, regulasi OJK, serta PER-2/MBU/03/2023 telah menempatkan pengendalian, manajemen risiko, dan pengawasan dalam tata kelola organisasi. Yang sering belum tersedia ialah jembatan di antara semuanya: peta asurans, aturan reliance, perlindungan saat peran bertumpang tindih, dan laporan menyeluruh untuk pimpinan.
Di situlah Three Lines Model 2026 menjadi penting—bukan sebagai bagan baru, melainkan sebagai bahasa bersama. Versi 2020 menunjukkan di mana setiap orang berdiri. Versi 2026 bertanya apakah mereka saling mendengar, apakah pekerjaan mereka dapat dipercaya, dan apakah seluruh suara itu tiba di meja pimpinan sebagai satu peringatan yang jelas.
Sebab kegagalan tata kelola jarang terjadi karena tidak ada penjaga. Ia lebih sering tumbuh ketika setiap penjaga melihat bagian yang berbeda—dan bahaya berjalan tenang di antara tiga lini yang tak pernah sungguh bertemu.
Bogor, 28 Juli 2026
Rujukan ringkas: The IIA (2020; 2026); BPK (2020); PP 60/2008; SAIPI 2021; regulasi OJK; dan PER-2/MBU/03/2023.