Setelah sebelumnya dibahas tentang evolusi Enterprise Risk Management, maka pembahasan selanjutnya adalah ihwal kerangka kerja. Pergeseran global menuju manajemen risiko yang terstruktur dalam sektor publik telah sangat dipengaruhi oleh pengembangan dan adopsi kerangka kerja yang diakui secara internasional. Kerangka kerja ini menyediakan bahasa yang umum dan dasar konseptual untuk merancang, mengimplementasikan, dan mengevaluasi sistem manajemen risiko dan pengendalian internal. Meskipun terdapat banyak standar, dua kerangka kerja telah muncul sebagai panduan utama baik untuk organisasi swasta maupun publik, yaitu COSO Integrated Framework dan ISO 31000. Adopsi yang luas oleh pemerintah dan dukungan dari badan-badan internasional seperti OECD dan Bank Dunia menandakan konvergensi global menuju pemahaman yang sama tentang apa yang membentuk tata kelola yang baik.
Committee of Sponsoring Organizations of the Treadway Commission (COSO) dibentuk di Amerika Serikat pada tahun 1985 dengan tujuan awal mempelajari penyebab pelaporan keuangan yang curang dan mengembangkan rekomendasi untuk mencegahnya. Asal mula ini sangat penting karena menjelaskan kekuatan dasar kerangka kerja dalam pengendalian internal dan pengawasan terstruktur. Disponsori oleh lima asosiasi profesional utama, termasuk American Institute of Certified Public Accountants (AICPA) dan Institute of Internal Auditors (IIA), COSO menyediakan kepemimpinan pemikiran dalam ERM, pengendalian internal, dan pencegahan kecurangan.
Publikasi yang paling banyak diadopsi adalah Integrated Framework Internal Control yang pertama kali dirilis pada tahun 1992 dan diperbarui secara signifikan pada tahun 2013. Kerangka kerja ini dibangun di sekitar lima komponen yang saling terkait, yang bersama-sama menyediakan struktur komprehensif untuk mencapai tujuan operasional, pelaporan, dan kepatuhan.
Lingkungan Pengendalian menjadi fondasi kerangka kerja ini, yang mencakup tone at the top atau sikap pimpinan terhadap pengendalian. Komponen ini merujuk pada nilai-nilai etis organisasi, struktur tata kelola, komitmen terhadap kompetensi, dan mekanisme akuntabilitas yang mempengaruhi kesadaran pengendalian dari seluruh personel. Lingkungan pengendalian yang kuat sangat penting untuk kesadaran risiko dan integritas organisasi.
Penilaian Risiko mengharuskan manajemen untuk mengidentifikasi dan menganalisis risiko yang mengancam pencapaian tujuan. Komponen ini melibatkan proses yang dinamis dan berulang untuk menentukan bagaimana risiko harus dikelola, menggunakan alat seperti matriks risiko untuk mengevaluasi kemungkinan dan dampak yang mungkin terjadi.
Aktivitas Pengendalian merupakan tindakan yang ditetapkan melalui kebijakan dan prosedur untuk memastikan bahwa respons manajemen terhadap risiko dilaksanakan dengan baik. Contohnya meliputi pemisahan tugas, persetujuan, verifikasi, rekonsiliasi, dan tinjauan kinerja yang sistematis.
Informasi dan Komunikasi menekankan bahwa informasi yang relevan dan berkualitas harus diidentifikasi, ditangkap, dan dikomunikasikan dalam bentuk dan kerangka waktu yang memungkinkan orang untuk melaksanakan tanggung jawab mereka. Komunikasi yang efektif harus mengalir ke atas, ke bawah, dan melintasi organisasi secara menyeluruh.
Aktivitas Pemantauan melibatkan evaluasi berkelanjutan, evaluasi terpisah, atau kombinasi keduanya untuk memastikan bahwa setiap komponen pengendalian internal hadir dan berfungsi dengan baik. Kekurangan yang ditemukan harus dikomunikasikan secara tepat waktu kepada pihak yang bertanggung jawab untuk mengambil tindakan korektif.
Kerangka kerja COSO telah mendapat dukungan luas untuk penggunaan pemerintah, termasuk diterapkan sebagai SPIP di Indonesia. U.S. Government Finance Officers Association (GFOA) secara eksplisit merekomendasikan agar pemerintah negara bagian dan lokal mengadopsi kerangka kerja COSO 2013 sebagai dasar konseptual untuk sistem pengendalian internal mereka. Preferensi terhadap COSO di yurisdiksi seperti Amerika Serikat sering mencerminkan filosofi administratif yang memprioritaskan pengawasan terstruktur, akuntabilitas yang jelas, dan kepatuhan yang dapat diaudit, yang selaras dengan sifat kerangka kerja yang detail dan preskriptif. Hal ini semakin diperkuat dengan penggunaannya dalam memenuhi persyaratan untuk mengelola hibah federal. Pada tahun 2017, COSO juga merilis pembaruan kerangka kerja Enterprise Risk Management—Integrating with Strategy and Performance, yang lebih eksplisit menghubungkan ERM dengan proses perencanaan strategis dan manajemen kinerja organisasi.
