ESG dan GRC 2026: Menyiapkan Assurance yang Siap Diuji Investor

Laporan keberlanjutan yang rapi tidak lagi cukup. Yang ditanya investor sekarang satu hal: bisa dibuktikan? IAASB menerbitkan International Standard on Sustainability Assurance (ISSA) 5000 pada September 2024, efektif untuk engagement assurance yang dimulai pada atau setelah 15 Desember 2026, dengan adopsi dini dianjurkan (IAASB).

Di saat yang sama, OJK merevisi POJK Nomor 51/POJK.03/2017 tentang Keuangan Berkelanjutan agar selaras kerangka berbasis IFRS S1-S2 pasca UU P2SK. Artinya 2026 adalah tahun ketika klaim ESG berhenti menjadi materi marketing dan berubah menjadi objek pengujian setara audit keuangan.

Artikel ini memetakan mengapa mayoritas perusahaan belum siap, apa yang sebenarnya dicari investor dalam due diligence ESG, dan bagaimana kerangka GRC, khususnya combined assurance dan three lines model, mengubah laporan keberlanjutan Anda menjadi bukti yang tahan uji.

Dari Narasi ke Bukti: Kenapa 2026 Menjadi Titik Balik

Tiga kekuatan bertemu pada tahun yang sama:

1. Standar assurance global mengikat. ISSA 5000 berlaku untuk engagement wajib maupun sukarela, dirancang berjalan bersama standar etika IESSA dari IESBA. Provider assurance, akuntan publik maupun non-akuntan, tidak bisa lagi bekerja dengan metodologi masing-masing. Kualitas, dokumentasi, dan independensi kini diukur dengan yardstick yang sama di semua yurisdiksi.
2. Regulasi domestik bergerak. Revisi POJK 51/2017 diarahkan menyelaraskan pelaporan keuangan berkelanjutan dengan PSSK/IFRS S1-S2, amanat UU Pengembangan dan Penguatan Sektor Keuangan. Emiten dan jasa keuangan akan diminta menyusun pelaporan yang sejak awal diasumsikan akan diperiksa pihak independen.
3. Pasar modal memberi harga pada kredibilitas. Survei IFAC/AICPA-CIMA terhadap sekitar 700 pemimpin bisnis global mencatat hampir seluruh perusahaan besar sudah melaporkan informasi keberlanjutan, tetapi hanya sebagian kecil memperoleh assurance. Gap itulah yang dieksploitasi investor saat menegosiasikan valuasi: data tanpa assurance diberi diskon, atau lebih buruk, dicurigai sebagai greenwashing.

GRC Indonesia berdiri persis di irisan ketiganya: tata kelola, manajemen risiko, dan kepatuhan bukan tiga disiplin terpisah, melainkan satu sistem yang menentukan apakah organisasi mampu memproduksi bukti, bukan sekadar narasi.

Apa yang Sebenarnya Dicari Investor Saat Menguji ESG Anda

Uji tuntas modern atas aspek ESG biasanya menyentuh empat titik lemah yang jarang disadari preparer:

• Kualitas dan keterlacakan data. Angka emisi Scope 1-2-3, jam pelatihan, kecelakaan kerja, dari sistem apa asalnya, siapa pemiliknya, bagaimana perubahan historisnya direkonsiliasi? Data hasil kuesioner email tahunan langsung runtuh di pertanyaan kedua.
• Financial materiality. Investor ingin melihat risiko iklim dan sosial diterjemahkan ke dampak arus kas, capex, dan eksposur portofolio kredit, bukan daftar inisiatif hijau yang tidak terhubung ke laporan keuangan.
• Pengawasan dewan. Apakah komisaris/direksi memiliki mandat eksplisit atas risiko keberlanjutan, frekuensi rapat, dan jejak keputusan? Governance adalah huruf G dalam ESG sekaligus fondasi yang paling mudah diverifikasi.
• Risiko opini modifikasi. Dengan ISSA 5000, provider assurance yang menemukan kendali preparer lemah akan mengeluarkan limited assurance dengan poin penekanan atau pengecualian, sinyal merah yang terbaca seluruh pasar.

Limited vs Reasonable Assurance: Level Mana yang Realistis untuk 2026

Limited assurance menghasilkan kesimpulan negatif ("tidak ditemukan hal yang membuat kami percaya…") dengan prosedur analitis dan inquiry; cakupan luas, biaya terkendali, dan tetap menjadi pintu masuk wajar bagi perusahaan yang baru memulai. Reasonable assurance menghasilkan pendapat positif ala audit keuangan dengan pengujian substantif penuh, menuntut evidential matter jauh lebih berat, dan umumnya dimulai bertahap per topik: emisi karbon dan energi lebih dulu karena datanya paling terstruktur.

Strategi yang realistis untuk korporasi Indonesia: targetkan limited assurance menyeluruh pada siklus laporan pertama pasca 15 Desember 2026, sambil membangun kapabilitas internal menuju reasonable assurance pada satu hingga dua metrik finansial-material dalam dua sampai tiga tahun berikutnya. Jangan lompat ke reasonable assurance sebelummanajemen risiko dan proses datanya matang, hasilnya justru opini yang bermasalah.

Jembatan GRC: Dari Risk Register ke Assurance Trail

Di sinilah letak keunggulan pendekatan GRC dibanding persiapan parsial tim sustainability sendiri. Assurance yang tahan uji bukan proyek pengumpulan dokumen menjelang engagement, melainkan konsekuensi alami dari sistem kontrol yang berjalan sepanjang tahun.

Model three lines memetakan peran dengan tegas: lini pertama, unit operasional dan bisnis, memiliki serta mengendalikan data ESG; lini kedua, risk and compliance, menetapkan taksonomi risiko, KRI, dan pemantauan; lini ketiga, audit internal, menguji secara independen, persis seperti diuraikan dalampenerapan prinsip Three Lines of Defense. Combined assurance kemudian merajut ketiga lini plus provider eksternal menjadi satu peta keyakinan berlapis tanpa duplikasi pekerjaan. Pendekatan inilah yang menjadi dasar programintegrasi ES-GRC bersertifikat yang kami jalankan bersama emiten dan BUMN.

Praktisnya, setiap disclosure material dalam laporan keberlanjutan dipetakan balik ke entri risk register, pemilik kontrol, frekuensi pengujian, dan bukti pendukung. Ketika provider assurance meminta "tunjukkan bagaimana angka limbah B3 ini dihasilkan", jawaban Anda adalah rantai bukti yang sudah tersedia, bukan rekonstruksi mendadak. Integrasi semacam inilah yang dibahas konsisten di editorial kami, termasukketahanan bisnis melalui integrasi ESG-GRC danmemahami konsep ES-GRC.

Enam Langkah Menyiapkan Assurance yang Siap Diuji

1. Materiality assessment ganda. Jalankan financial materiality (dampak ke nilai perusahaan) dan impact materiality (dampak ke pemangku kepentingan), lalu rekonsiliasi ke satu matriks yang disetujui dewan.
2. Tetapkan pemilik data dan kontrol. Setiap metrik punya nama penanggung jawab, definisi perhitungan tertulis, dan kontrol review berjenjang, bukan spreadsheet anonim.
3. Bangun data lineage dan sistem konsolidasi. Migrasikan dari kompilasi manual ke platform terkontrol dengan versioning; integrasikan dengan tata kelola data yang sudah berjalan (tata kelola data, ERP, dan GRC).
4. Perkuat governance di level dewan. Mandat komite, kebijakan risiko ESG dalam risk appetite statement, dan pelaporan berkala dengan notulen yang dapat ditelusuri.
5. Gap assessment pra-engagement. Uji sendiri readiness disclosure terhadap persyaratan ISSA 5000, identifikasi temuan sebelum provider menemukannya; manfaatkan penilaianrisk maturity level sebagai baseline.
6. Kompetensi orang di lini 1-2-3. Assurance trail hanya sekuat profesional yang menjaganya berjalan; sertifikasi profesi risiko memberikan bahasa dan standar kerja yang sama di seluruh lini.

Integritas sebagai Prasyarat: Peran Anti-Penyuapan ISO 37001

Aspek "G" diuji paling keras dalam due diligence, karena ia menyangkut integritas pelaporan itu sendiri. Disclosure ESG yang bersih tetapi lahir dari budaya suap, izin lingkungan yang dibeli atau data pemasok yang dimanipulasi, adalah bom waktu reputasi. Sistem manajemen anti-penyuapanISO 37001 menutup celah ini lewat due diligence pihak ketiga, gift policy, dan kanal whistleblowing yang terdokumentasi. Bagi investor asing, sertifikasi SMAP adalah proxy cepat bahwa tata kelola Anda berfungsi, bukan formalitas.

Kesimpulan

2026 memindahkan ESG dari ruang komunikasi ke ruang audit: ISSA 5000 efektif 15 Desember 2026, regulasi keuangan berkelanjutan Indonesia bergerak ke kerangka IFRS S1-S2, dan investor memberi harga pada bukti. Organisasi yang siap bukanlah yang laporannya paling cantik, melainkan yang kontrolnya berjalan sehari-hari, datanya dapat ditelusuri, dan dewannya mengawasi dengan jejak keputusan yang jelas. Mulai dari langkah termudah yang berdampak terbesar: tetapkan pemilik setiap metrik ESG minggu ini, lalu jalankan gap assessment terhadap persyaratan assurance sebelum memilih provider. Bila organisasi Anda ingin mengukur maturitas GRC dan menyiapkan jalur menuju ESG assurance secara terstruktur,tim GRC Indonesia siap membantu menentukan program yang paling relevan dengan kebutuhan dan industri Anda, tanpa komitmen.

Frequently Asked Questions

1. Kapan ISSA 5000 mulai berlaku dan apakah wajib bagi perusahaan Indonesia?

ISSA 5000 diterbitkan IAASB pada September 2024 dan efektif untuk engagement assurance yang dimulai pada atau setelah 15 Desember 2026, dengan adopsi dini dianjurkan. Standar ini berlaku baik untuk assurance wajib maupun sukarela. Di Indonesia, kewajiban spesifik mengikuti aturan sektor masing-masing (OJK/IDX), namun provider assurance profesional akan mengadopsi ISSA 5000 sebagai garis dasar, sehingga preparer yang menyiapkan datanya sejak sekarang berada di posisi paling aman.

1. Apa perbedaan limited assurance dan reasonable assurance untuk laporan keberlanjutan?

Limited assurance menghasilkan kesimpulan negatif ("tidak ada yang menunjukkan data salah") dengan prosedur analitis dan inquiry. Reasonable assurance menghasilkan pendapat positif audit keuangan dengan pengujian substantif penuh. Untuk siklus pertama, limited assurance adalah praktik pasar yang wajar; reasonable assurance bertahap per metrik adalah tujuan jangka menengah.

1. Mengapa investor menganggap ESG tanpa assurance sebagai risiko, bukan sekadar kekurangan?

Tanpa assurance, tidak ada pihak independen yang bertanggung jawab atas akurasi disclosure. Dalam due diligence, data semacam ini diperlakukan sebagai klaim sepihak: rentan greenwashing, sulit direkonsiliasi dengan laporan keuangan, dan meningkatkan risiko penyesuaian valuasi atau syarat kontraktual (representation and warranty) dalam transaksi.

1. Siapa yang boleh memberikan assurance ESG di Indonesia?

Setelah ISSA 5000, provider mana pun yang memenuhi standar kualitas dan independensi (IESSA) dapat melakukan engagement: KAP, firma engineering, carbon verification body, atau spesialis lain. Karena itu investor kini memeriksa kredensial provider, bukan hanya ada-tidaknya stempel assurance. Pastikan provider Anda menyatakan kepatuhan pada ISSA 5000 dalam letter of engagement.

1. Jika maturitas data ESG kami masih rendah, mulai dari mana?

Dari inventarisasi disclosure material dan penetapan pemilik data, bukan dari membeli software. Lakukan self-assessment terhadap risk maturity level, tutup celah kontrol pada tiga sampai lima metrik paling material (biasanya emisi, energi, K3), lalu jadwalkan limited assurance pada laporan berikutnya. Pendampingan terstruktur, misalnya melaluiprogram pelatihan dan sertifikasi GRC, mempercepat tim lini 1-2-3 bekerja dengan bahasa yang sama.