Suap masih menjadi masalah serius di Indonesia. Sepanjang 2025, KPK menangani 116 perkara korupsi yang didominasi kasus suap. Skor Corruption Perceptions Index (CPI) Indonesia turun ke angka 34 dari 37, dengan peringkat merosot 10 posisi ke urutan 109Â dari 180 negara.
Di sisi lain, kasus SAP yang membayar denda lebih dari $220 juta akibat suap di beberapa negara termasuk Indonesia membuktikan bahwa risiko suap bukan ancaman teoritis. Ini nyata dan mahal.
ISO 37001 menyediakan kerangka kerja untuk membangun sistem manajemen anti-suap yang efektif. Fondasi dari sistem ini adalah penilaian risiko suap, yang diatur dalam Klausul 4.5. Tanpa penilaian risiko yang menyeluruh, perusahaan tidak tahu di mana kerentanan terbesarnya berada. Kontrol yang diterapkan tanpa basis risiko yang jelas hanya membuang sumber daya.
Pertumbuhan sertifikasi ISO 37001 menunjukkan bahwa semakin banyak organisasi yang menyadari hal ini. Secara global, jumlah sertifikat mencapai 7.894 di 91 negara pada 2023, naik 32% dari tahun sebelumnya.
Artikel ini membahas cara melakukan penilaian risiko suap sesuai ISO 37001 secara lengkap, dari identifikasi skenario hingga dokumentasi yang dibutuhkan.
Pengertian Penilaian Risiko Suap ISO 37001
Penilaian risiko suap (bribery risk assessment) adalah proses sistematis untuk mengidentifikasi, menganalisis, dan mengevaluasi risiko penyuapan yang dihadapi organisasi. Proses ini menjadi dasar bagi seluruh kontrol anti-suap yang akan diterapkan perusahaan.
Klausul 4.5 ISO 37001 mensyaratkan organisasi untuk melakukan penilaian risiko suap secara terdokumentasi. Menurut panduan rinci tentang Klausul 4.5 ISO 37001, penilaian ini harus mempertimbangkan beberapa aspek penting.
Pertama, ukuran dan kompleksitas organisasi mempengaruhi tingkat risiko. Perusahaan multinasional dengan operasi di banyak negara tentu menghadapi risiko lebih besar dibanding perusahaan lokal.
Kedua, negara dan sektor tempat organisasi beroperasi. Indonesia dengan skor CPI 34 memiliki profil risiko yang berbeda dari Singapura yang skornya 84.
Ketiga, hubungan bisnis perusahaan. Mitra, agen, joint venture, anak perusahaan, dan pemasok bisa menjadi jalur masuknya suap.
Keempat, transaksi berisiko tinggi seperti pengadaan barang dan jasa, perizinan, atau kontrak pemerintah. Data KPK menunjukkan bahwa pengadaan barang dan jasa (PBJ) menjadi modus korupsi paling sering dalam kasus yang mereka tangani.
Penilaian ini bukan kegiatan sekali jalan. ISO 37001 mengharuskan peninjauan ulang secara berkala atau setiap kali terjadi perubahan signifikan dalam organisasi.
12 Langkah Penilaian Risiko Suap yang Efektif
ISO 37001 tidak memaksakan satu metode tertentu. Namun, standar ini bisa dikombinasikan dengan metodologi ISO 31000 tentang manajemen risiko untuk menghasilkan pendekatan yang terstruktur.
Berdasarkan panduan metodologi dari Speeki, berikut 12 langkah penilaian risiko suap yang komprehensif:
| Langkah | Kegiatan | Output |
|---|---|---|
| 1 | Tentukan ruang lingkup dan kriteria risiko | Dokumen scope dan parameter |
| 2 | Analisis konteks organisasi | Peta pemangku kepentingan dan regulasi |
| 3 | Petakan transaksi dan interaksi | Daftar titik kontak berisiko |
| 4 | Kembangkan skenario suap dengan input lokal | Register skenario spesifik |
| 5 | Skor risiko bruto (sebelum kontrol) | Matriks risiko bruto |
| 6 | Petakan kontrol yang ada | Daftar kontrol per skenario |
| 7 | Uji efektivitas kontrol | Hasil pengujian kontrol |
| 8 | Skor risiko neto (setelah kontrol) | Matriks risiko neto |
| 9 | Evaluasi risiko terhadap appetite | Gap analysis |
| 10 | Rencanakan tindakan perlakuan | Treatment plan |
| 11 | Dokumentasikan dan dapatkan persetujuan | Laporan lengkap yang disetujui |
| 12 | Integrasikan ke audit, pelatihan, dan monitoring | Rencana implementasi tindak lanjut |
Unit analisis dalam penilaian risiko suap bukan kategori risiko yang luas. Yang dinilai adalah skenario suap yang spesifik. Setiap skenario mencakup siapa pihak internal yang terlibat, siapa pihak lawan, jenis transaksinya, bentuk suapnya, dan tujuan yang ingin dicapai.
Pendekatan ini memastikan bahwa setiap potensi suap dipetakan secara detail, bukan sekadar daftar umum.
Faktor Utama Penyebab Peningkatan Risiko Suap
Risiko suap meningkat ketika perusahaan beroperasi di lingkungan dengan tingkat korupsi tinggi, memiliki hubungan bisnis yang kompleks, dan tidak memiliki kontrol internal yang memadai. Semakin banyak faktor risiko yang hadir secara bersamaan, semakin tinggi kemungkinan terjadinya suap.
Menurut analisis Klausul 4.5 ISO 37001, ada empat lensa yang digunakan untuk mengidentifikasi faktor risiko:
1. Pemetaan Transaksi (Transaction Mapping)
Identifikasi semua transaksi yang melibatkan pihak eksternal, terutama yang bernilai tinggi. Pengadaan barang dan jasa, perizinan, dan kontrak pemerintah adalah area paling rentan. Kasus SAP membuktikan hal ini: suap kepada pejabat Indonesia terjadi melalui kontrak dengan Badan Aksesibilitas Telekomunikasi dan Informasi (BAKTI).
2. Pemetaan Interaksi (Interaction Mapping)
Catat semua interaksi yang bisa menjadi jalur suap: jamuan makan bisnis, sponsorship, hadiah, dan hiburan untuk pejabat atau klien. Perhatikan juga interaksi tidak langsung melalui agen atau konsultan.
3. Analisis Titik Tekanan (Pressure Point Analysis)
Identifikasi situasi yang mendorong seseorang untuk menyuap. Misalnya, target penjualan yang tidak realistis, tenggat waktu perizinan yang ketat, atau persaingan bisnis yang sangat kompetitif.
4. Analisis Historis dan Intelijen
Gunakan data historis seperti insiden suap sebelumnya, tindakan penegakan hukum di sektor yang sama, skor CPI negara operasi, dan data dari TRACE Bribery Risk Matrix. Indonesia yang menempati peringkat 109 dalam CPI 2025Â menunjukkan bahwa lingkungan operasional di dalam negeri memiliki risiko suap yang signifikan.
Perusahaan yang menerapkan prinsip anti-penyuapan ISO 37001Â secara disiplin akan lebih mudah mengidentifikasi faktor-faktor ini sejak awal.
Panduan Membuat Matriks dan Skor Risiko Suap
Setelah skenario suap diidentifikasi, langkah berikutnya adalah memberi skor pada setiap skenario. Penilaian menggunakan dua dimensi: kemungkinan terjadinya (likelihood) dan dampaknya (consequence).
Berdasarkan metodologi yang dijelaskan dalam panduan Speeki, skoring dilakukan dalam dua tahap.
Tahap 1: Skor Risiko Bruto (Sebelum Kontrol)
Setiap dimensi diberi skala 1 hingga 5:
| Skor | Kemungkinan | Indikator untuk Suap |
|---|---|---|
| 1 | Sangat jarang | Negara CPI tinggi, industri terregulasi ketat |
| 2 | Jarang | Beberapa interaksi pemerintah, kontrol kuat |
| 3 | Mungkin terjadi | Negara CPI sedang, agen pihak ketiga terlibat |
| 4 | Kemungkinan besar | CPI rendah, transaksi bernilai tinggi, tekanan target |
| 5 | Hampir pasti | Riwayat suap di sektor, penggunaan agen tanpa due diligence |
| Skor | Dampak | Cakupan |
|---|---|---|
| 1 | Minimal | Dampak finansial kecil, tidak ada perhatian media |
| 2 | Minor | Kerugian finansial terbatas, risiko reputasi rendah |
| 3 | Moderat | Sanksi regulasi, liputan media lokal |
| 4 | Serius | Tuntutan hukum, kerusakan reputasi signifikan |
| 5 | Katastrofik | Tuntutan pidana, denda masif, operasional terhenti |
Risiko bruto = Kemungkinan x Dampak. Hasilnya dikelompokkan menjadi empat band:
| Skor | Tingkat Risiko | Respons yang Dibutuhkan |
|---|---|---|
| 1 hingga 5 | Rendah | Monitoring rutin |
| 6 hingga 11 | Sedang | Kontrol tambahan diperlukan |
| 12 hingga 19 | Tinggi | Tindakan segera dan eskalasi |
| 20 hingga 25 | Ekstrem | Intervensi manajemen puncak |
Tahap 2: Skor Risiko Neto (Setelah Kontrol)
Setelah skor bruto dihitung, kontrol yang sudah ada dipetakan ke setiap skenario. Kontrol dikategorikan sebagai preventif, detektif, atau korektif. Masing-masing diuji efektivitasnya: efektif, sebagian efektif, tidak efektif, atau belum ada.
Kontrol yang efektif umumnya menurunkan skor kemungkinan, bukan skor dampak. Artinya, skenario dengan dampak katastrofik bisa tetap berada di level risiko tinggi meskipun kontrolnya sudah baik.
Perusahaan yang memahami konsep ini akan lebih realistis dalam mengelola ekspektasi manajemen tentang tingkat risiko residual.
Dampak Regulasi PP 20/2026 terhadap Risiko Suap
PP 20/2026 secara resmi melarang biaya suap dan gratifikasi dijadikan pengurang pajak penghasilan (tax deductible). Regulasi ini memperkuat kerangka hukum anti-suap Indonesia dan menambah konsekuensi finansial bagi perusahaan yang masih terlibat praktik penyuapan.
Menurut laporan IKPI tentang PP 20/2026, regulasi ini menambahkan Pasal 20A pada PP No. 55 Tahun 2022. Isinya tegas: pembayaran suap, gratifikasi, dan pembayaran serupa yang terkait tindak pidana korupsi tidak boleh dibebankan sebagai biaya usaha.
Cakupan regulasi ini luas. PP 20/2026 tidak hanya melarang suap kepada pejabat domestik. Larangan juga berlaku untuk suap kepada pejabat publik asing, termasuk pejabat legislatif, eksekutif, yudikatif, serta staf organisasi internasional. Ini sejalan dengan komitmen Indonesia terhadap aksesi OECD.
Bagi perusahaan, PP 20/2026 menambah satu lagi alasan kuat untuk melakukan penilaian risiko suap secara serius. Sebelum regulasi ini, perusahaan nakal bisa “menyembunyikan” biaya suap sebagai biaya operasional yang sah. Sekarang, jalur itu tertutup secara hukum.
Dengan pertumbuhan sertifikasi ISO 37001 yang mencapai 7.894 sertifikat di 91 negara pada 2023Â (naik 32% dari tahun sebelumnya), semakin banyak perusahaan yang menyadari pentingnya sistem anti-suap formal. Indonesia sendiri sudah memiliki 697 sertifikat ISO 37001, terbanyak ketiga di dunia setelah Peru dan Italia.
Perusahaan yang serius dalam mencegah penyuapan perlu menempatkan penilaian risiko sebagai prioritas utama, bukan sekadar pelengkap dokumen.
Daftar Dokumen Wajib Penilaian Risiko ISO 37001
ISO 37001 mengharuskan penilaian risiko suap didokumentasikan secara lengkap. Dokumentasi ini bukan sekadar formalitas. Ini adalah bukti kepatuhan yang akan diperiksa saat audit sertifikasi.
Berdasarkan panduan dokumentasi dari Speeki, berikut dokumen yang harus disiapkan:
| Dokumen | Isi Utama |
|---|---|
| Prosedur penilaian risiko | Metodologi, peran, frekuensi, dan pemicu tinjauan ulang |
| Risk register | Detail skenario, skor bruto dan neto, pemetaan kontrol, pemilik risiko |
| Log pengujian kontrol | Hasil uji efektivitas setiap kontrol beserta buktinya |
| Pernyataan risk appetite | Batas toleransi risiko yang disetujui oleh governing body |
| Rencana perlakuan risiko | Tindakan spesifik, penanggung jawab, tenggat waktu, sumber daya |
| Catatan persetujuan | Bukti bahwa manajemen puncak menyetujui hasil penilaian |
| Catatan tinjauan | Rekaman setiap kali penilaian risiko ditinjau ulang |
Penilaian risiko suap harus ditinjau ulang minimal satu kali per tahun. Selain itu, tinjauan wajib dilakukan ketika terjadi perubahan signifikan seperti memasuki pasar baru, akuisisi, penunjukan mitra bisnis baru, insiden suap, perubahan regulasi, atau restrukturisasi organisasi.
Untuk perusahaan yang sedang mempersiapkan implementasi ISO 37001, dokumentasi penilaian risiko adalah langkah awal yang tidak bisa dilewati.
Cara Menguji Efektivitas Kontrol Anti-Suap
Kontrol anti-suap hanya berguna jika benar-benar berfungsi. Pengujian efektivitas kontrol adalah bagian kritis dari penilaian risiko yang sering dilewatkan perusahaan. Tanpa pengujian, perusahaan hanya mengasumsikan bahwa kontrolnya bekerja tanpa bukti nyata.
Menurut panduan pengujian kontrol dari Speeki, setiap kontrol diuji pada tiga dimensi:
1. Desain Kontrol
Apakah kontrol dirancang dengan tepat untuk mengatasi skenario suap yang dimaksud? Misalnya, apakah kebijakan due diligence pihak ketiga mencakup semua kategori mitra yang relevan?
2. Implementasi Kontrol
Apakah kontrol benar-benar diterapkan dalam praktik sehari-hari? Kebijakan yang hanya tertulis di manual tanpa eksekusi di lapangan tidak bernilai.
3. Efektivitas Operasional
Apakah kontrol benar-benar mencegah atau mendeteksi suap? Ini diukur dari bukti empiris: apakah ada insiden yang lolos meskipun kontrol sudah ada?
Hasil pengujian dikategorikan menjadi empat tingkat:
| Rating | Penjelasan | Dampak pada Skor Risiko |
|---|---|---|
| Efektif | Kontrol berfungsi penuh dan terbukti | Menurunkan skor kemungkinan secara signifikan |
| Sebagian efektif | Ada celah kecil dalam implementasi | Sedikit menurunkan skor kemungkinan |
| Tidak efektif | Kontrol ada tapi tidak berfungsi | Tidak mengubah skor risiko |
| Belum ada | Tidak ada kontrol untuk skenario ini | Risiko tetap di level bruto |
Hanya kontrol yang teruji dan terbukti efektif yang boleh digunakan untuk menurunkan skor risiko bruto menjadi risiko neto. Ini adalah prinsip konservatif yang melindungi perusahaan dari rasa aman yang palsu.
Perusahaan yang serius dalam melawan korupsi dalam bisnis harus menjadikan pengujian kontrol sebagai kegiatan rutin, bukan hanya menjelang audit.
Kesimpulan Penilaian Risiko Suap ISO 37001
Penilaian risiko suap adalah fondasi yang menentukan keberhasilan seluruh sistem anti-penyuapan ISO 37001. Tanpa penilaian risiko yang metodis dan terdokumentasi, kontrol anti-suap yang diterapkan perusahaan hanya bersifat kosmetik, tidak tepat sasaran, dan tidak bisa dipertanggungjawabkan.
Tiga hal utama yang perlu Anda ingat:
- Gunakan pendekatan berbasis skenario (bukan kategori umum) untuk mengidentifikasi risiko suap yang spesifik di organisasi Anda
- Uji efektivitas setiap kontrol sebelum menggunakannya untuk menurunkan skor risiko
- Dokumentasikan seluruh proses karena ini adalah bukti kepatuhan yang akan diperiksa saat audit
Dengan PP 20/2026 yang memperketat aturan dan CPI Indonesia yang masih rendah, penilaian risiko suap bukan lagi pilihan. Ini adalah keharusan. Hubungi ISO Indonesia Center untuk konsultasi implementasi ISO 37001 dan penilaian risiko suap yang sesuai dengan konteks bisnis Anda.
FAQ Seputar Penilaian Risiko Suap ISO 37001
1. Apa perbedaan antara penilaian risiko suap dan penilaian risiko umum?
Penilaian risiko suap fokus secara spesifik pada skenario penyuapan, termasuk siapa yang mungkin menyuap, melalui jalur apa, dan dengan tujuan apa. Berbeda dengan penilaian risiko umum (ISO 31000) yang mencakup semua jenis risiko bisnis. Metodologi ISO 37001 Klausul 4.5 mengharuskan analisis pada level skenario individual, bukan kategori risiko yang luas.
2. Seberapa sering penilaian risiko suap harus ditinjau ulang?
Minimal satu kali per tahun. Selain itu, tinjauan ulang wajib dilakukan ketika terjadi perubahan signifikan seperti memasuki pasar baru, akuisisi, insiden suap, atau perubahan regulasi. Menurut panduan Klausul 4.5 ISO 37001, perubahan material pada mitra bisnis atau struktur organisasi juga menjadi pemicu tinjauan.
3. Siapa yang harus memimpin proses penilaian risiko suap?
Anti-Bribery Compliance Officer (ABCO) memimpin proses ini, dengan dukungan dari tim lintas fungsi yang mencakup legal, keuangan, SDM, pengadaan, audit internal, dan manajer unit bisnis. Berdasarkan ISO 37001, input dari manajer negara atau wilayah sangat penting untuk menangkap risiko lokal.
4. Apakah PP 20/2026 berlaku untuk semua jenis perusahaan?
Ya, PP 20/2026Â berlaku untuk semua wajib pajak badan di Indonesia. Regulasi ini melarang biaya suap dan gratifikasi dijadikan pengurang pajak penghasilan, baik suap kepada pejabat domestik maupun pejabat publik asing. Ini berlaku tanpa memandang ukuran atau sektor perusahaan.
5. Berapa lama waktu yang dibutuhkan untuk menyelesaikan penilaian risiko suap?
Untuk organisasi menengah, proses lengkap membutuhkan waktu 4 hingga 8 minggu. Ini mencakup pemetaan transaksi, pengembangan skenario, skoring risiko, pengujian kontrol, dan dokumentasi. Organisasi yang lebih besar atau beroperasi di banyak negara mungkin membutuhkan waktu lebih lama karena kompleksitas skenario yang lebih tinggi.
Leave a Reply