“Kami sudah punya risk register, Pak.”
“Kita juga ada SOP kalau terjadi fraud.”
“Komite risikonya aktif kok, minimal rapat dua bulan sekali.”
Lalu suatu hari, fraud terjadi. Atau kebocoran data. Atau keputusan bisnis yang membuat perusahaan rugi miliaran. Semua orang panik. Tapi kemudian satu per satu mengangkat tangan:
“Itu bukan ranah saya.”
Dan dari situ, kita tahu: masalahnya bukan pada sistem. Tapi pada budaya.
Fenomena ini bukan pengecualian. Di berbagai sektor, risiko kerap diposisikan sebagai urusan teknis: spreadsheet, dashboard, training. Sementara budaya dianggap ranah “lunak”—tanggung jawab HR, atau malah sekadar jargon.
Padahal, nyaris semua kegagalan besar—dari fraud ke kolaps operasional—berakar bukan hanya pada kelemahan sistem, tapi pada pola pikir dan perilaku yang dibentuk oleh budaya. Risiko dan budaya bukan dua entitas terpisah. Mereka duduk di meja yang sama, meski kerap dipisahkan oleh struktur organisasi.
Antara GRC dan Budaya: Sebuah Jurang Tak Kasatmata
Governance, Risk, and Compliance (GRC) dibangun sebagai kerangka kerja agar organisasi tetap di jalur yang benar. Namun dalam praktiknya, GRC lebih sering jadi urusan elite: disusun oleh konsultan, ditandatangani direksi, dan dipresentasikan dalam rapat tahunan.
Ketika sampai ke tingkat operasional, semangatnya sudah menguap. Di lapangan, yang bekerja bukan prosedur, tapi manusia. Dan manusia bergerak mengikuti budaya.
Sebuah studi oleh Harvard Business Review menunjukkan, lebih dari 60% kegagalan implementasi kebijakan risiko disebabkan oleh faktor budaya—bukan ketidaktahuan prosedur.
Budaya yang menghargai kepatuhan tanpa mempertanyakan konteks bisa melahirkan organisasi yang patuh tapi tidak adaptif.
Sementara budaya “asal bos senang” melahirkan laporan yang bersih tapi palsu.
Studi Kasus: Volkswagen & Garuda Indonesia
Tahun 2015, Volkswagen terperosok ke dalam skandal diesel yang mengguncang dunia otomotif. Perusahaan Jerman itu ketahuan memasang software kecurangan pada 11 juta mobil diesel untuk mengakali uji emisi di berbagai negara.
Akibatnya: saham jatuh, denda miliaran dolar dijatuhkan, dan reputasi yang dibangun puluhan tahun hancur dalam semalam.
Apa yang salah? Secara teknis, ini pelanggaran regulasi. Tapi lebih dalam dari itu, penyelidikan menemukan budaya perusahaan yang disfungsional: target agresif, pemimpin yang tidak bisa ditentang, dan sistem yang menghargai hasil lebih dari kejujuran.
Hal serupa terlihat dalam kasus penyelundupan Harley Davidson oleh Garuda Indonesia (2019). Mantan Direktur Utama saat itu menginstruksikan penyelundupan barang mewah menggunakan pesawat baru. Beberapa staf mengetahui kejanggalan, tapi tak ada yang berani bicara.
Kenapa? Karena budaya internal memprioritaskan loyalitas pada atasan ketimbang kepatuhan terhadap prosedur.
Investigasi membuktikan: risiko bukan tak terlihat. Ia terlihat jelas, tapi diloloskan oleh budaya “asal pimpinan senang.”
Risiko Tak Pernah Netral
Banyak organisasi mengelola risiko seperti checklist: risk map, scoring, dokumen kontrol.
Tapi mereka lupa: risiko tidak pernah netral. Ia muncul, tumbuh, atau diabaikan tergantung pada budaya organisasi.
Siapa yang boleh bicara? Siapa yang diminta diam? Siapa yang dapat ruang untuk mempertanyakan keputusan?
Semua itu bukan soal sistem, tapi soal nilai dan norma informal yang hidup sehari-hari di tempat kerja.
Laporan tahunan dari Ethics & Compliance Initiative (ECI) mengungkap:
- 1 dari 3 karyawan melihat pelanggaran etika,
- Tapi hanya setengahnya yang melapor,
- Dan dari yang melapor, hampir 60% mengalami pembalasan.
Artinya? Rasa takut lebih kuat dari sistem pelaporan manapun.
Pemisahan Risiko dan Budaya = Kesalahan Strategis
Banyak pimpinan berpikir,
“Urusan risiko? Serahkan ke risk officer.”
“Soal budaya? Itu urusan HR.”
Padahal, dalam praktiknya risiko justru paling sering muncul dari zona abu-abu yang tidak tercakup oleh SOP.
Contoh klasik: keputusan melewati prosedur demi kejar target.
Di permukaan, keputusan itu rasional. Tapi akar sesungguhnya: budaya kerja yang toxic. Terlalu banyak tekanan, sedikit empati, dan nol ruang untuk bertanya.
Seperti yang dirangkum oleh laporan IRM (2021):
“Without understanding culture, risk management is reduced to documentation.”
Sudah Saatnya Duduk Satu Meja
Kami pernah melihat organisasi yang memisahkan budaya dan risiko. Hasilnya selalu sama:
- SOP disusun,
- Training jalan,
- Tapi keputusan penting tetap lahir dari budaya diam dan takut salah.
Itu yang membuat kami sadar: risiko gak akan pernah efektif kalau diseret sendiri. Ia harus duduk satu meja dengan budaya, dengan nilai, dengan cara orang bicara dan diam.
Ketika mendampingi klien, kami mulai bukan dari proses. Tapi dari percakapan:
Siapa yang berani bicara jujur? Siapa yang tidak? Dan kenapa?
Karena dari situ lah risiko sebenarnya terungkap.
Apa yang Bisa Dilakukan Organisasi?
1. Ukur iklim bicara (speak-up culture)
Bukan sekadar survei kepuasan. Tapi: Apakah orang merasa aman bicara? Apa yang terjadi setelah mereka bicara?
2. Libatkan risk officer dalam diskusi budaya
Mereka bukan pemilik dokumen risiko. Mereka harus tahu bagaimana risiko “berjalan” di level operasional.
3. Tinjau ulang sistem insentif dan hukuman
Apakah sistem justru memberi reward untuk diam? Atau menghukum orang yang jujur?
Risiko, Tapi Manusiawi
Sebagai konsultan, kami tidak memulai proyek manajemen risiko dari form dan matrix.
Kami mulai dari manusia—apa yang mereka takutkan, anggap tabu, dan pelajari dari pengalaman gagal bicara.
Karena kami percaya:
Risiko bukan soal kontrol. Tapi soal keberanian untuk bicara sebelum segalanya runtuh.
Dan keberanian itu hanya tumbuh dalam budaya yang sehat.
Penutup
Risiko dan budaya bukan dua jalur yang paralel.
Mereka simpul yang saling menguatkan—atau saling menjatuhkan.
Jadi sebelum bicara tentang risk scoring dan mitigasi, mari tanya dulu:
Budaya kita, mendukung keberanian? Atau memelihara ketakutan?
