PENGENDALIAN INTERNAL DAN RISIKO PENGENDALIAN

Tujuan auditor (SA 315) adalah untuk mengidentifikasi dan menilai risiko kesalahan penyajian material, baik yang disebabkan oleh kecurangan maupun kesalahan, pada tingkat laporan keuangan dan asersi, melalui pemahaman atas entitas dan lingkungannya, termasuk pengendalian internal entitas, oleh karena itu menyediakan suatu basis untuk mendesain dan mengimplementasikan respons terhadap risiko kesalahan penyajian material yang telah dinilai. Auditor harus memeroleh suatu pemahaman mengenai entitas dan lingkungannya meliputi:

1. Faktor-faktor industri, peraturan, dan eksternal lain yang relevan termasuk kerangka pelaporan keuangan yang berlaku.
2. Sifat entitas, termasuk:
   1. Operasinya
   2. Struktur kepemilikan dan tata kelolanya
   3. Jenis investasi yang dilakukan dan yang rencananya akan dilaksanakan oleh entitas, termasuk investasi pada entitas bertujuan khusus
   4. Cara entitas tersebut distrukturisasi dan bagaimana entitas tersebut dibiayaiUntuk memungkinkan auditor memahami golongan transaksi, saldo akun, dan pengungkapan yang diharapkan ada dalam laporan keuangan.
3. Pemilihan dan penerapan kebijakan akuntansi oleh entitas, termasuk alas an Auditor harus mengevaluasi apakah kebijakan akuntansi entitas adalah tepat untuk bisnisnya dan konsisten dengan kerangka pelaporan keuangan yang berlaku dan kebijakan akuntansi yang digunakan dalam industri yang relevan.
4. Tujuan dan strategi entitas, serta risiko bisnis terkait yang dapat memunculkan risiko kesalahan penyajian material.
5. Pengukuran dan penelaahan atas kinerja keuangan entitas.

DEFINISI PENGENDALIAN INTERNAL

KOMPONEN PENGENDALIAN INTERNAL

Komponen pengendalian internal menurut COSO antara lain (Protiviti Knowledge Leader):

1. Lingkungan Pengendalian (Control Environment)
   1. Menjalankan integritas dan nilai-nilai etika.
   2. Buatlah komitmen untuk kompetensi.
   3. Gunakan dewan direksi dan komite audit.
   4. Memfasilitasi filosofi manajemen dan gaya operasi.
   5. Membuat struktur organisasi.
   6. Masalah penugasan wewenang dan tanggung jawab.
   7. Memanfaatkan kebijakan dan prosedur sumber daya manusia.
2. Penilaian risiko (Risk Assessment)
   1. Buat tujuan di seluruh perusahaan.
   2. Memasukkan tujuan tingkat proses.
   3. Melakukan identifikasi dan analisis risiko.
   4. Kelola perubahan.
3. Aktivitas Pengendalian (Control Activities)
   1. Ikuti kebijakan dan prosedur.
   2. Meningkatkan keamanan (aplikasi dan jaringan).
   3. Melakukan manajemen perubahan aplikasiRencana kelangsungan bisnis / backup.
   4. Melakukan outsourcing.
4. Informasi dan Komunikasi (Information and Communication)
   1. Mengukur kualitas informasi.
   2. Mengukur efektivitas komunikasi.
5. Pemantauan (Monitoring)
   1. Lakukan pemantauan berkelanjutan.
   2. Lakukan evaluasi terpisah.
   3. Laporkan kekurangan.

Komponen pengendalian internal menurut ISA 315 antara lain:

1. Lingkungan pengendalian (control environment)
   • Lingkungan pengendalian mencakup fungsi tata kelola dan manajemen, serta sikap, kesadaran dan tindakan pihak yang bertanggung jawab atas tata kelola dan manajemen atas pengendalian internal entitas dan pentingnya pengendalian tersebut dalam entitas. Lingkungan pengendalian menentukan arah organisasi yang memengaruhi kesadaran pengendalian personel organisasi tersebut. Unsur-unsur lingkungan pengendalian:
     • Komunikasi dan penegakan integritas dan nilai etika, komunikasi yang efektif dan continue terkait integritas dan nilai-nilai etika akan mempengaruhi pola pikir pegawai untuk patuh terhadap tata kelola perusahaan dan menjunjung tinggi integritas dan nilai-nilai etika dalam mencapai tujuan suatu entitas.
     • Komitmen terhadap kompetensi, merupakan pertimbangan manajemen tentang tingkat kompetensi untuk pekerjaan tertentu dan bagaimana tingkat-tingkat tersebut diterjemahkan ke dalam keahlian dan pengetahuan yang disyaratkan.
     • Partisipasi oleh pihak yang bertanggung jawab atas tata kelola. Atribut pihak yang bertanggung jawab atas tata kelola antara lain:
       • Independensi mereka dari manajemen
       • Pengalaman dan reputasi mereka
       • Seberapa luas keterlibatan mereka dan informasi yang diterimanya, dan inspeksi atas aktivitas.
       • Ketepatan tindakan mereka, termasuk mengajukan pertanyaan-pertanyaan sulit kepada manajemen dan mengejar jawabannya, serta interaksi mereka dengan auditor internal dan eksternal.
     • Filosofi dan gaya operasi manajemen. Karakteristik manajemen seperti:
       • Pendekatan dalam pengambilan dan pengelolaan risiko bisnis.
       • Sikap dan tindakan terhadap pelaporan keuangan.
       • Sikap terhadap pengolahan informasi dan fungsi akuntansi serta personel.
     • Struktur organisasi, merupakan susunan unit-unit kerja yang di dalamnya terdapat aktivitas, hubungan dan fungsi dalam menjalankan operasional usaha untuk mencapai tujuan entitas.
     • Pemberian wewenang dan tanggung jawab, hal ini seperti bagaimana wewenang dan tanggung jawab atas aktivitas operasi diberikan dan bagaimana hubungan pelaporan dan hierarki otorisasi ditetapkan.
     • Kebijakan dan praktik sumber daya manusia, merupakan kebijakan dan praktik yang berkaitan dengan rekruitmen, pelatihan, promosi, kompensasi dsb.Bukti Audit untuk Unsur-Unsur Lingkungan Pengendalian  diperoleh melalui suatu kombinasi permintaan keterangan dan prosedur penilaian risiko lainnya seperti observasi atau inspeksi atas dokumen. Contoh permintaan keterangan manajemen dan karyawan, mengenai pandangan manajemen atas praktik bisnis dan perilaku etis. Selain itu bukti ini bisa didukung dengan adanya kode etik tertulis.
2. Proses penilaian risiko (risk assessment)
   • Proses  penilaian entitas membentuk basis bagi manajemen untuk menentukan bagaimana risiko dikelola. Jika proses sudah tepat dengan kondisinya, termasuk sifat, ukuran dan kompleksitas entitas, maka hal ini membantu auditor dalam mengidentifikasi risiko kesalahan penyajian material. Penilaian risiko dapat diarahkan untuk melihat bagaimana entitas mempertimbangkan kemungkinan transaksi tidak tercatat atau mengidentifikasi dan menganalisis estimasi signifikan yang tercantum dalam laporan keuangan. Risiko yang relevan dengan pelaporan keuangan yang andal mencakup peristiwa, transaksi, atau kondisi ekstenal dan internal yang dapat terjadi dan mempengaruhi secara buruk kemampuan entitas untuk menginisiasi, mencatat, mengolah dan melaporkan data keuangan yang konsisten dengan asersi manajemen dalam laporan keuangan. Risiko dapat timbul atau berubah karena kondisi-kondisi sebagai berikut:
     • Perubahan dalam lingkungan operasi (misalnya perubahan peraturan).
     • Personel baru.
     • Sistem informasi baru atau yang ditingkatkan.
     • Pertumbuhan yang pesat, misalnya ekspansi perusahaan.
     • Teknologi baru.
     • Model, produk, atau aktivitas bisnis baru.
     • Rekstrukturisasi organisasi
     • Eskpansi entitas di luar negeri (misalnya perubahan dalam hal mata uang asing).
     • Standar akuntansi baru.
3. Sistem Informasi dan Komunikasi
   • Suatu sistem informasi terdiri dari infrastruktur (komponen fisik dan perangkat keras), perangkat lunak, orang, prosedur dan data. Sistem informasi yang relevan dengan tujuan pelaporan keuangan, mencakup sistem akuntansi, terdiri dari prosedur dan catatan yang didesain dan ditetapkan untuk:
     • Memulai, mencatat, memproses, dan melaporkan transaksi entitas (dan juga peristiwa dan kondisi) serta memelihara akuntabilitas aset, liabilitas, dan ekuitas yang terkait.
     • Memperbaiki dan menuntaskan pengolahan transaksi yang salah, sebagai contoh, dokumentasi sementara (suspense files) yang terotomatisasi dan prosedur yang diikuti untuk meniadakan dokumentasi sementara tersebut secara tepat waktu;
     • Mengolah dan mempertanggungjawabkan sistem yang diabaikan atau bypass terhadap pengendalian;
     • Mentransfer informasi dari sistem pengolahan transaksi ke buku besar;
     • Mencatat informasi yang relevan dengan pelaporan keuangan untuk peristiwa dan kondisi selain transaksi, seperti depresiasi dan amortisasi aset serta perubahan dalam pemulihan piutang; dan
     • Menjamin informasi yang diharuskan untuk diungkapkan oleh kerangka pelaporan keuangan yang berlaku dikumpulkan, dicatat, diproses, diikhtisarkan, dan dilaporkan dengan tepat dalam laporan keuangan.
   • Sistem informasi pada suatu entitas umumnya mencakup penggunaan entri jurnal standar yang dibutuhkan secara berulang untuk mencatat transaksi. Sebagai contoh, entri jurnal untuk mencatat penjualan, pembelian, dan pengeluaran kas dalam buku besar, atau untuk mencatat estimasi akuntansi yang dibuat oleh manajemen secara berkala, seperti perubahan dalam estimasi penyisihan piutang tak tertagih. Selain itu juga mencakup penggunaan entri jurnal nonstandar untuk mencatat transaksi atau penyesuaian yang tidak berulang dan tidak biasa. Sebagai contoh, penyesuaian untuk konsolidasi dan entri untuk kombinasi bisnis atau penghapusan atau estimasi yang tidak berulang seperti penurunan nilai suatu aset. Sistem informasi yang berkualitas akan berdampak pada kebijakan yang tepat dalam mengelola dan mengendalikan aktivitas entitas dan untuk menyusun laporan keuangan yang handal.Komunikasi melalui penyediaan pemahaman tentang peran dan tanggung jawab individu terkait dengan pengendalian internal atas pelaporan keuangan, dapat berupa manual kebijakan, manual akuntansi dan pelaporan keuangan, serta memorandum. Komunikasi juga dapat dilakukan secara elektornis, lisan dan melalui tindakan manajemen.
4. Aktivitas pengendalian (control activities)
   • Auditor harus memahami tentang aktivitas pengendalian yang relevan dengan audit agar dapat menilai risiko kesalahan penyajian material pada tingkat asersi dan merancang prosedur audit yang lebih responsive terhadap risiko yang dinilai. Aktivitas pengendalian merupakan kebijakan dan prosedur yang membantu untuk menjamin bahwa arahan manajemen dilaksanakan. Aktivitas pengendalian, baik dalam sistem teknologi informasi maupun sistem manual, memiliki berbagai tujuan dan diterapkan pada berbagai tingkatan organisasi dan fungsi. Aktivitas pengendalian yang relevan dengan suatu audit dapat dikategorikan sebagai kebijakan dan prosedur yang berkaitan dengan hal-hal sebagai berikut:
     • Penelaahan kinerja, mencakup penelaahan dan analisis kinerja aktual dibandingkan dengan anggaran, perkiraan, dan kinerja periode lalu; membandingkan data internal dengan informasi eksternal dsb.
     • Pengolahan informasi. Pengendalian aktivitas sistem informasi dibagi menjadi dua kelompok yaitu: pengendalian aplikasi dan pengendalian teknologi informasi umum. Contoh pengendalian aplikasi adalah pengecekan keakurasian perhitungan atas catatan, memelihara dan menelaah akun dan neraca saldo. Contoh pengendalian teknologi informasi umum adalah  pengendalian perubahan program, pengendalian atas implementasi paket aplikasi perangkat lunak baru, pembatasan akses dsb.
     • Penendalian fisik pengendalian fisik mencakup: pengamanan yang memadai atas fisik aset, seperti fasilitas yang aman atas akses terhadap aset dan catatan;  otorisasi atas akses terhadap program komputer dan file data; dan penghitungan dan pembandingan dengan jumlah yang tercantum dalam catatan pengendali secara periodik (contoh perbandingan antara hasil penghitungan kas, surat berharga, dan persediaan dengan catatan akuntansi.
     • Pemisahan tugas, berfungsi untuk mengurangi peluang kemungkinan individu manapun untuk berada dalam suatu posisi yang memungkinkannya untuk melakukan dan menyembunyikannya kesalahan atau kecurangan dalam tugas normalnya.
5. Pemantauan (monitoring) terhadap pengendalian
   • Pemantauan terhadap pengendalian merupakan suatu proses untuk menilai efektivitas pelaksanaan pengendalian secara berkala dan tepat waktu, serta melakukan perbaikan jika diperlukan. Pemantauan pengendalian dapat mencakup aktivitas seperti penelaahan manajemen tentang apakah rekonsiliasi bank dibuat secara tepat waktu, evaluasi auditor internal atas kepatuhan personel penjualan terhadap kebijakan entitas atas ketentuan kontrak penjualan, dan pengawasan departemen legal atas kepatuhan terhadap kebijakan etika atau kebijakan bisnis. Aktivitas pemantauan oleh manajemen dari komunikasi eksternal seperti keluhan pelanggan.

TUJUAN PENGENDALIAN INTERNAL    

Pengendalian internal dirancang, diimplementasikan dan dipelihara untuk merespons risiko bisnis yang teridentifikasi yang mengancam pencapaian setiap tujuan entitas yang berkaitan dengan:

1. Keandalan laporan keuangan entitas.
2. Efektivitas dan efisiensi operasi entitas.
3. Kepatuhan entitas terhadap peraturan perundang-undangan yang berlaku

Tujuan pengendalian internal secara garis besarnya dapat dibagi dalam empat kelompok, yaitu (Tuanakota, 2014:127):

1. Strategis, sasaran-sasaran utama (high level goals) yang mendukung misi entitas.
2. Pelaporan keuangan (pengendalian internal atas pelaporan keuangan).
3. Operasi (pengendalian operasional atau operational controls).
4. Kepatuhan terhadap hukum dan ketentuan perundang-undangan.

Tujuan pengendalian internal yang dibuat manajemen antara lain (Arens dkk., 2011:316):

1. Keandalan laporan keuangan, manajemen memiliki tanggung jawab hukum maupun profesional untuk menyakinkan bahwa informasi disajikan dengan wajar sesuai dengan ketentuan daslam pelaporan keuangan. Tujuan pengendalian internal yang efektif terhadap laporan keuangan adalah untuk memenuhi tanggung jawab pelaporan keuangan.
2. Efesiensi dan efektivitas kegiatan operasi. Pengendalian internal akan mendorong penggunaan sumber daya secara efisien dan efektif untuk mengoptimalkan sasaran yang dituju perusahaan.
3. Kepatuhan terhadap hukum dan peraturan. Beberapa peraturan ada yang terkait dengan akuntansi secara tidak langsung misalnya perlindungan terhadap lingkungan dan hukum hak-hak sipil. Sedangkan yang terkait dengan akuntansi adalah peraturan pajak penghasilan dan kecurangan.

Manfaat menerapakn kerangka COSO adalah membantu proses bisnis dengan melakukan cara yang seragam sesuai dengan serangkaian kontrol internal yang dapat meningkatkan efisiensi sekaligus mengurangi risiko. Manfaat lain adalah bahwa organisasi yang sepenuhnya menggunakan kerangka COSO sering kali berada dalam posisi yang lebih baik untuk mendeteksi aktivitas penipuan, baik aktivitas tersebut dilakukan oleh penjahat dunia maya, pelanggan, atau karyawan tepercaya. Karena kerangka kerja berfokus pada mitigasi risiko dan kepatuhan terhadap praktik terbaik yang telah ada, kerentanan dapat dikurangi secara signifikan.

KETERBATASAN PENGENDALIAN INTERNAL

Keterbatasan pengendalian internal antara lain:

1. Kesalahan dalam membuat keputusan, hal ini dapat berupa kesalahan dalam membuat sistem pengendalian internal sehingga membuat sistem pengendalian menjadi lemah.
2. Kolusi oleh dua orang atau lebih atau pengabaian pengendalian internal yang tidak semestinya. Misalnya pengeditan atas program yang berfungsi untuk mengidentifikasi dan melaporkan transaksi-transaksi yang melebihi batas kredit.
3. Pengabaian manajemen, manajemen atau pimpinan mengabaikan kebijakan atau prosedur yang telah ditetapkan untuk tujuan yang tidak baik seperti untuk kepentingan pribadi, penyajian kondisi keuangan yang berlebihan atau menaikkan laba perusahaan untuk memperoleh bonus.
4. Biaya dan manfaat, biaya yang digunakan dalam melaksanakan pengendalian internal tidak boleh melebihi manfaat yang diberikan.

Keterbatasan kerangka COSO adalah sulit untuk diterapkan dan struktur organisasinya. Sulit diterapkan karena dua alasan utama. Pertama, kerangka tersebut memiliki cakupan yang relatif luas, yang berarti dapat diterapkan ke berbagai organisasi dan proses. Tetapi cakupan yang luas ini juga berarti bahwa kerangka tersebut tidak memiliki banyak panduan preskriptif. Keterbatasan struktur organisasinya karena kerangka COSO dipecah menjadi serangkaian kategori kaku. Organisasi sering kali menemukan bahwa ada proses tertentu yang mungkin bisa masuk ke dalam beberapa kategori, atau yang tidak selaras dengan salah satu kategori. Dengan demikian, organisasi sering kali harus membuat beberapa keputusan sulit saat menerapkan kerangka kerja.

Dalam merancang dan mengimplementasikan pengendalian, manajemen dapat membuat pertimbangan  tentang sifat dan luas pengendalian yang dipilih untuk diimplementasikan, serta sifat dan luas risiko yang diasumsikan. Pertimbangan yang spesifik bagi entitas yang kecil, entitas yang kecil sering memiliki karyawan yang lebih sedikit sehingga jarang terjadi adanya pemisahan tugas.  Namun entitas kecil yang langsung diawasi pemilik lebih efektif dari pada entitas yang besar.

JENIS PENGENDALIAN INTERN

Berdasarkan jenisnya pengendalian intern dikelompokkan  kedalam lima bagian (Ardiningsih, 2018:42-43):

1. Pengendalian preventif, pengendalian yang dilakukan sebagai upaya untuk mencegah terjadinya penyimpangan, dan sebagai upaya antisipasi manajemen sebelum terjadi masalah yang tidak diinginkan. Contohnya pemisahan fungsi, penyeliaan, editing, pengecekan keandalan, kelengkapan dan ketepatan perhitungan.
2. Pengendalian detektif, pengendalian yang menekankan pada upaya penemuan kesalahan yang mungkin terjadi. Contoh rekonsiliasi bank dan observasi kegiatan operasional.
3. Pengendalian korektif, upaya melakukan koreksi terhadap penyebab terjadinya masalah yang diidentifikasi melalui pengendalian detektif, sebagai antisipasi agar kesalahan yang sama tidak berulang di masa yang akan datang.
4. Pengendalian langsung, pengendalian yang dilakukan secara langsung agar kegiatan berjalan dengan sesuai ketentuan. Contoh pengawasan oleh mandor.
5. Pengendalian komprehensif, pengendalian karena diabaikannya suatu aktivitas pengendalian. Contohnya pengetatan pengawasan langsung oleh pemilik terhadap pegawai pada usaha kecil seperti warung.

MENILAI PENGENDALIAN INTERNAL

Menilai pengendalian internal artinya auditor juga menilai kelemahan pengendalian internal yang mungkin ada. Hal-hal yang perlu dipertimbangkan auditor dalam menilai betapa parahnya kelemahan pengendalian internal adalah (Ardiningsih, 2018:51):

1. Dampak kelemahan pengendalian internal pada kemungkinan salah saji material dalam laporan keuangan.
2. Kerentanan aset terhadap kerugian atau kecurangan.
3. Objektivitas dan kompleksitas dalam menentukan dalam menentukan angka estimasi seperti nilai wajar atas aset.
4. Volume kegiatan yang sudah atau akan terjadi dalam saldo akun, atau jenis atau jenis transaksi yang terekspos oleh kelemahan pengendalian intern.
5. Pentingnya pengendalian internal dalam proses pelaporan keuangan.

Ketika auditor menemukan kelemahan pengendalian internal maka auditor harus mengkomunikasikan ke pihak manajemen. Manajemen memiliki tanggung jawab untuk memberikan tanggapan yang tepat. Prosedur penilaian risiko yang harus dilakukan auditor untuk memperoleh bukti audit mengenai implementasi pengendalian internal meliputi berikut ini (Ardiningsih, 2018:52-53):

1. Pengalaman auditor dari audit tahun sebelumnya.
2. Bertanya (inquiry) kepada pegawai perusahaan klien.
3. Mengamati (observing) atau mengulangi (re-performing) aplikasi dari pengendalian tertentu.
4. Menginspeksi dokumen dan laporan.
5. Menelusuri satu atau beberapa transaksi melalui sistem informasi yang relevan dengan pelaporan keuangan.

PENGENDALIAN INTERNAL YANG RELEVAN UNTUK AUDIT

Faktor-faktor yang relevan dengan pertimbangan auditor tentang apakah suatu pengendalian, baik secara individu maupun bersama dengan pengendalian lain adalah relevan dengan audit dapat mencakup hal-hal berikut ini:

1. Materialitas
2. Signifikan risiko yang terkait.
3. Ukuran entitas.
4. Sifat bisnis entitas, termasuk karakteristik organisasi dan kepemilikannya.
5. Keberagaman dan kompleksitas operasi entitas.
6. Ketentuan hukum dan peraturan yang berlaku.
7. Kondisi dan komponen pengendalian internal yang berlaku.
8. Sifat dan kompleksitas sistem yang merupakan bagian pengendalian internal entitas, termasuk penggunaan organisasi jasa.
9. Apakah, dan bagaimana suatu pengendalian tertentu, baik secara individu atau bersama dengan pengendalian lain, mencegah, atau mendeteksi dan mengoreksi kesalahan penyajian material.

Pengendalian terhadap kelengkapan dan keakuratan informasi yang dihasilkan oleh entitas dapat menjadi relevan dengan audit jika auditor bermaksud untuk menggunakan informasi tersebut dalam merancang dan melaksanakan prosedur lanjutan. Pengendalian yang berkaitan dengan tujuan operasi dan kepatuhan dapat juga menjadi relevan dengan audit jika pengendalian tersebut berkaitan dengan data yang dievaluasi atau digunakan oleh auditor dalam menerapkan prosedur audit.

 

Daftar Referensi :

Ardiningsih, A. (2018). Audit Laporan Keuangan. Jakarta: Bumi Aksara

Elder, R. J., Beasley, M. S., Arens, A. A.,  dan Jusuf, A. A. (2011). Audit dan Jasa Assurance: Pendekatan Terpadu (Adaptasi. Indonesia). Jakarta: Penerbit Salemba Empat

Tuanakotta, T. M. (2014). Audit Berbasis ISA (International Standards on Auditing). Jakarta: Salemba Empat.

Standar Audit 315 Pengidentifikasian dan Penilaian Risiko Kesalahan Penyajian Material Melalui Pemahaman Atas Entitas dan Lingkungannya.

https://www.techtarget.com/searchcio/definition/COSO-Framework

https://info.knowledgeleader.com/bid/161685/what-are-the-five-components-of-the-coso-framework