Pertanyaan yang aneh dan tidak masuk akal”, mungkin ada yang ingin mengatakan demikian. Ya, saya tahu: umumnya ‘risk management’ dan ‘internal audit’ adalah dua bagian yang berbeda dan terpisah di sebagian besar perusahaan—termasuk korporasi. Tetapi saya mau mengatkan bahwa: Fungsi internal audit seharusnya dapat berperanan banyak dalam membantu manajemen perusahaan melakukan mitigasi risiko, guna mencapai tujuan-tujuan strategisnya. Lho koq bisa.
Ya. Internal audit memang TIDAK seharusnya mengambil-alih fungsi manajemen (terutama manajemen risiko—misalnya membuat rencana atau mengambil keputusan-keputusan strategis). Akan tetapi, minimal seharusnya dapat
1. Memeriksa (assessing) kelayakan program manajemen risiko
2. Memeriksa dan melaporkan praktek mitigasi risiko utama
3. Memberikan saran, rekomendasi, dan konsultasi mitigasi risiko
4. Menjadi advokat, mentor dan inspirator dalam manajemen risiko
5. Menjadi leader dalam menyusun dan melakukan uji-coba implementasi standar operasi dan prosedur (SOP), terkait dengan manajemen risiko.
Pertanyaan selanjutnya sudahkah ‘internal audit’ menjalankan fungsi dan peranan yang telah saya sebutkan di atas, selama ini. dalam analisis saya hanya sedikit yang telah melakukan peranannya, Sebagian besar manajemen perusahaan dan para eksekutifnya masih mengisolasi fungsi dan pernanan internal audit hanya sebatas pengendalian intern, serta pemeriksaan laporan keuangan.Mungkin ada kekhawatiran bahwa jika peranan dan fungsi internal audit diperluas, akan menimbulkan efek samping. Misalnya:Timbulnya tugas dan wewenang yang tumpang-tindih antara internal audit dengan manajer risk dan jajarannya.