W, O, SD Batch control Cek keberadaan control total atas
4.2.5 Pengendalian Keluaran .1 Program Audit
Type of test
Classification Substantive Test Audit
Instrument Report Design
Control
Lakukan peninjauan terhadap elemen-elemen informasi yang termuat pada form-form laporan yang dihasilkan.
K, W, O, SD
Printing Control
Dapatkan informasi mengenai pembedaan printer untuk keperluan pencetakan laporan yang berbeda.
Lakukan peninjauan terhadap keberadaan lokasi printer.
K, W, O
K, W, O
Report Distribution Control
Dapatkan informasi mengenai tata cara pendistribusian laporan yang dilakukan.
K,W, O
User Output Control
Dapatkan informasi mengenai dilakukannya pengecekan atas kebenaran informasi oleh pengguna laporan.
Dapatkan informasi mengenai dilakukannya perbandingan sisa stok antara data yang tercatat pada DBS dengan hasil opname fisik.
Lakukan pengecekan terhadap keakuratan control total yang ada.
Lakukan peninjauan mengenai kesesuaian antara data input dengan output yang dihasilkan.
K, W, O K,W, SD K, W, AP, SD W, AP, SD Storage Control
Dapatkan informasi mengenai lokasi penyimpanan laporan yang diarsipkan.
Dapatkan informasi mengenai pembatasan hak akses terhadap laporan arsip.
Lakukan peninjauan mengenai penataan yang dilakukan terhadap laporan arsip. K,W, O K, W, O K, W, O Report Collection Control
Dapatkan informasi mengenai adanya kebijakan perusahaan untuk mengumpulkan laporan yang dicetak secara seketika. K, W, O Output Control Retention Control
Dapatkan informasi mengenai jangka
(Keterangan: K-Kuesioner, W-Wawancara, O-Observasi, T-Testing, SD-Studi Dokumentasi)
4.2.5.2 Resume Bukti Audit
[ Kuesioner, wawancara, dan observasi: lihat lampiran L.38, L.47, L.53 ]
Klasifikasi : Report Design Control
Objective :
1. Assessment of Risk Impact:
Dari hasil studi literatur, diketahui bahwa rancangan laporan yang buruk menyebabkan ketidakefisienan dalam penggunaan laporan, dan juga meningkatkan kemungkinan terjadinya unauthorized removal dari halaman laporan yang dicetak untuk menutupi tindakan penyelewengan yang dilakukan. Oleh karenanya, impact dari rancangan laporan yang buruk dimasukkan dalam kategori M.
Probability:
Dari hasil evaluasi yang dilakukan untuk menilai tingkat probabilitas keterjadian atas resiko rancangan laporan yang buruk, diketahui bahwa aplikasi DBS merupakan paket aplikasi terstandarisasi menurut kebutuhan perusahaan menengah,
Destruction Control
Dapatkan informasi mengenai kebijakan perusahaan terhadap laporan-laporan yang sudah tidak dibutuhkan.
Lakukan peninjauan mengenai keberadaan dan penggunaan paper shredder.
K, W, O, SD
yang dibeli dari software developer (bukan built-in-house). Oleh karena itu, tingkat probability tergolong dalam kategori L.
2. Assessment of Control Reliability:
Dari hasil evaluasi atas rancangan laporan yang terdapat pada aplikasi, didapatkan informasi mengenai adanya pencantuman:
Nama laporan yang secara jelas mengidentifikasikan laporan terkait. Waktu dan tanggal laporan dicetak (time stamping).
Cakupan periode atas laporan. Staf yang mencetak laporan terkait. Nomor halaman dari laporan.
Total halaman dari laporan yang dicetak. Penanda akhir atas detail laporan yang dicetak.
Oleh karena itu, tingkat reliability dari pengendalian yang ada dimasukkan dalam kategori H.
Coverage:
Dari hasil evaluasi mengenai cakupan atas pengendalian dalam menghadapi resiko yang ada, diketahui hal-hal sebagai berikut:
About Report Time Period Responsible Page End of End-of-
Report name stamping covered staff number page number job marker
Daftar inventory Sample-out Sample-in Antar lokasi Daftar harga Nilai inventory Qty variance
Saldo qty per lokasi
Kartu stock
[ Lihat Lampiran L.12 , L.13 , L.14 , L.15, L.16, L.17, L.18, L.19, L.20 ] Tabel 4.11 Cakupan Pengendalian atas Rancangan Laporan Keterangan: : covered. : not- covered. Oleh karena itu, tingkat coverage tergolong dalam kategori M. Klasifikasi : Printing Control Objective :
1. Assessment of Risk Impact:
Dari hasil studi literatur, diketahui bahwa pencetakan laporan yang tidak dilakukan pada correct printer berdampak terhadap dilihatnya secara sekilas (scanning) data-data sensitif yang tercetak pada laporan oleh staf yang tidak berwenang. Oleh karenanya, impact dari resiko ini dimasukkan dalam kategori M.
Probability:
Dari hasil evaluasi yang dilakukan untuk menilai tingkat probabilitas keterjadian atas resiko yang ada, diketahui bahwa para staf bekerja pada ruangan yang sama dan karyawan sering melakukan perpindahan fisik dalam ruangan kantor sehingga
memperbesar kemungkinan scanning atas data-data laporan yang tercetak. Oleh karena itu, tingkat probability tergolong dalam kategori H.
2. Assessment of Control Reliability:
Dari hasil evaluasi yang dilakukan untuk menilai pengendalian yang diterapkan perusahaan dalam menghadapi resiko yang ada, diketahui bahwa terdapat pembedaan printer untuk keperluan pencetakan laporan, diantaranya yaitu untuk keperluan pencetakan laporan transaksi biasa atau reguler menggunakan printer yang terletak di area publik (di tengah ruangan kantor), sedangkan untuk keperluan pencetakan laporan sensitif digunakan printer yang terletak di lokasi yang terpisah (tidak terletak di area publik). Oleh karena itu, tingkat reliability dari pengendalian yang ada dimasukkan dalam kategori H.
Coverage:
Dari hasil evaluasi mengenai cakupan atas pengendalian yang diterapkan perusahaan dalam menghadapi resiko yang ada, diketahui bahwa:
Semua laporan yang sensitif selalu dicetak menggunakan secured printer yang tidak terletak di area publik.
Adanya kebijakan perusahaan yang menekankan untuk selalu dilakukan pengecekan atas correct printer yang dipilih sebelum menekan tombol ”print”.
Klasifikasi : Report Distribution Control
Objective :
1. Assessment of Risk Impact:
Dari hasil studi literatur, diketahui bahwa pendistribusian laporan yang tidak serahkan langsung kepada user yang dituju menyebabkan terjadinya kehilangan ataupun dibacanya laporan oleh unauthorized user. Oleh karenanya, impact dari resiko ini dimasukkan dalam kategori M.
Probability:
Dari hasil evaluasi yang dilakukan untuk menilai tingkat probabilitas keterjadian atas resiko yang ada, diketahui bahwa para staf bekerja pada ruangan yang sama dan staf tidak selalu berada di meja kerjanya. Oleh karena itu, tingkat probability tergolong dalam kategori H.
2. Assessment of Control Reliability:
Dari hasil evaluasi yang dilakukan untuk menilai pengendalian yang diterapkan perusahaan dalam menghadapi resiko yang ada, diketahui bahwa terdapat kebijakan perusahaan untuk mendistribusikan laporan secara langsung kepada user yang dituju. Oleh karena itu, tingkat reliability dari pengendalian yang ada dimasukkan dalam kategori H.
Coverage:
Dari hasil evaluasi mengenai cakupan atas pengendalian yang ada, diketahui bahwa kebijakan tersebut tidak selalu dipatuhi oleh para karyawan. Apabila user yang dituju sedang tidak berada di tempat, maka biasanya laporan diletakkan langsung di atas meja kerja user yang dituju dan hanya ditempeli dengan memo. Oleh karena itu, tingkat coverage tergolong dalam kategori L.
Klasifikasi : User Output Control
Objective :
1. Assessment of Risk Impact:
Dari hasil studi literatur, diketahui bahwa tidak dilakukannya review atas kebenaran isi dari laporan berdampak terhadap tidak terdeteksinya error ataupun irregularities yang terdapat pada laporan. Oleh karenanya, impact dari resiko ini dimasukkan dalam kategori M.
Probability:
Dari hasil evaluasi yang dilakukan untuk menilai tingkat probabilitas keterjadian atas resiko yang ada, diketahui bahwa laporan yang dicetak biasanya langsung digunakan oleh user yang berkepentingan, tanpa melakukan pengecekan atas kebenaran isi laporan. Oleh karena itu, tingkat probability tergolong dalam kategori H.
2. Assessment of Control Reliability:
Dari hasil evaluasi yang dilakukan untuk menilai pengendalian yang diterapkan perusahaan dalam menghadapi resiko yang ada, diketahui hal-hal sebagai berikut:
Dilakukan perbandingan sisa stok antara data yang tercatat pada DBS dengan hasil opname fisik.
Pada awal pembelian aplikasi, dilakukan review secara mendalam untuk menjamin kehandalan dari aplikasi, yang meliputi uji kesesuaian antara data inputan dengan output yang dihasilkan, dan juga dilakukan tes perhitungan untuk mengecek akurasi dari control total yang ada.
Oleh karena itu, tingkat reliability dari pengendalian yang ada dimasukkan dalam kategori H.
Coverage:
Dari hasil evaluasi mengenai cakupan atas pengendalian yang diterapkan perusahaan dalam menghadapi resiko yang ada, diketahui hal-hal sebagai berikut:
Perbandingan antara sisa stok fisik dengan data DBS dilakukan secara berkala, yaitu pada setiap awal bulan.
Semua laporan output yang dihasilkan memuat data-data yang sesuai dengan data inputan atas transaksi terkait. [ lihat lampiran L.54 ]
Klasifikasi : Storage Control
Objective :
1. Assessment of Risk Impact:
Dari hasil studi literatur, diketahui bahwa penyimpanan laporan yang tidak terkelola dengan baik berakibat pada kerusakan, kehilangan, dan juga ter-expose nya laporan oleh unauthorized user. Oleh karenanya, impact dari resiko ini dimasukkan dalam kategori M.
Probability:
Dari hasil evaluasi yang dilakukan untuk menilai tingkat probabilitas keterjadian atas resiko yang ada, diketahui bahwa para staf bekerja pada ruangan yang sama dan dalam kegiatan operasional perusahaan sehari-hari dihasilkan banyak dokumen (report) atas transaksi-transaksi bisnis yang terjadi. Oleh karena itu, tingkat probability tergolong dalam kategori H.
2. Assessment of Control Reliability:
Dari hasil evaluasi yang dilakukan untuk menilai pengendalian yang diterapkan perusahaan dalam menghadapi resiko yang ada, diketahui bahwa:
Terdapat lemari loker yang digunakan sebagai tempat menyimpan laporan yang diarsipkan.
Adanya staf yang bertanggung jawab terhadap penyimpanan arsip dan kunci loker dipegang olehnya.
Oleh karena itu, tingkat reliability dari pengendalian yang ada dimasukkan dalam kategori H.
Coverage:
Dari hasil evaluasi mengenai cakupan atas pengendalian yang ada, diketahui bahwa: Semua laporan yang sudah selesai digunakan dan dibutuhkan sebagai arsip
disimpan pada lemari loker.
Arsip-arsip yang disimpan ditata dengan baik menurut kategori yang telah ditetapkan dalam rangka memudahkan pencarian ketika dibutuhkan.
Oleh karena itu, tingkat coverage tergolong dalam kategori H.
Klasifikasi : Report Collection Control
Objective :
1. Assessment of Risk Impact:
Dari hasil studi literatur, diketahui bahwa tidak dikumpulkannya laporan yang dicetak secara seketika berdampak terhadap terjadinya kehilangan ataupun unauthorized removal atas laporan yang dihasilkan. Oleh karenanya, impact dari resiko ini dimasukkan dalam kategori M.
Probability:
Dari hasil evaluasi yang dilakukan untuk menilai tingkat probabilitas keterjadian atas resiko yang ada, diketahui hal-hal sebagai berikut:
Lokasi printer untuk keperluan pencetakan laporan transaksi biasa atau reguler terletak di tengah ruangan, yang dapat diakses oleh semua staf.
Untuk secured printer, walau ditempatkan pada lokasi yang terpisah, tetapi tidak terletak pada ruangan yang terkunci.
Oleh karena itu, tingkat probability tergolong dalam kategori H.
2. Assessment of Control Reliability:
Dari hasil evaluasi yang dilakukan untuk menilai pengendalian yang diterapkan perusahaan dalam menghadapi resiko yang ada, diketahui bahwa:
Terdapat kebijakan untuk tidak membiarkan laporan yang dicetak tergeletak pada printer. Laporan harus langsung dikumpulkan dan disimpan pada tempat yang aman.
Terdapat staf yang bertanggung jawab untuk mengumpulkan dan mengamankan laporan output yang tertinggal pada printer.
Oleh karena itu, tingkat reliability dari pengendalian yang ada dimasukkan dalam kategori H.
Coverage:
Dari hasil evaluasi mengenai cakupan atas pengendalian yang ada, diketahui bahwa kebijakan tersebut berlaku bagi semua staf yang melakukan pencetakan laporan dan Chief Accounting bertanggung jawab untuk mengamankan semua laporan yang tertinggal pada printer. Oleh karena itu, tingkat coverage tergolong dalam kategori H.
Klasifikasi : Retention Control
Objective :
1. Assessment of Risk Impact:
Dari hasil studi literatur, diketahui bahwa tidak ditetapkannya jangka waktu atas penyimpanan arsip mengakibatkan arsip yang sebenarnya sudah tidak diperlukan masih mendapatkan maintenance, yang hal ini menyebabkan ketidakefisienan dalam operasional perusahaan. Oleh karenanya, impact dari resiko ini dimasukkan dalam kategori L.
Probability:
Dari hasil evaluasi yang dilakukan untuk menilai tingkat probabilitas keterjadian atas resiko yang ada, diketahui bahwa dalam kegiatan operasional perusahaan sehari-hari, dihasilkan banyak dokumen (report) atas transaksi-transaksi bisnis yang terjadi. Oleh karena itu, tingkat probability tergolong dalam kategori H.
2. Assessment of Control Reliability:
Dari hasil evaluasi yang dilakukan untuk menilai pengendalian yang diterapkan perusahaan dalam menghadapi resiko yang ada, diketahui bahwa terdapat kebijakan perusahaan yang menetapkan mengenai jangka waktu penyimpanan arsip (retention date expires). Oleh karena itu, tingkat reliability dari pengendalian yang ada dimasukkan dalam kategori H.
Coverage:
Dari hasil evaluasi mengenai cakupan atas pengendalian yang ada, diketahui bahwa perusahaan menetapkan jangka waktu penyimpanan terhadap semua jenis laporan output yang dihasilkan selama 5 tahun. Oleh karena itu, tingkat coverage tergolong dalam kategori H.
Klasifikasi : Destruction Controls
Objective :
1. Assessment of Risk Impact:
Dari hasil studi literatur, diketahui bahwa tidak dihancurkannya laporan yang sudah tidak butuhkan berdampak terhadap terjadinya unauthorized use atas laporan tersebut. Oleh karenanya, impact dari resiko ini dimasukkan dalam kategori M.
Probability:
Dari hasil evaluasi yang dilakukan untuk menilai tingkat probabilitas keterjadian atas resiko yang ada, diketahui bahwa dalam kegiatan operasional perusahaan sehari-hari dihasilkan banyak dokumen (report) atas transaksi-transaksi bisnis yang terjadi dan juga laporan analisa untuk keperluan adhoc yang tidak perlu untuk diarsipkan. Oleh karena itu, tingkat probability tergolong dalam kategori H.
2. Assessment of Control Reliability:
Dari hasil evaluasi yang dilakukan untuk menilai pengendalian yang diterapkan perusahaan dalam menghadapi resiko yang ada, diketahui bahwa:
Terdapat penggunaan paper shredder untuk menghancurkan dokumen-dokumen yang sudah tidak dibutuhkan.
Adanya kebijakan perusahaan yang menetapkan bahwa untuk arsip-arsip dokumen output yang sudah berumur lebih dari 5 tahun yang akan dihancurkan, perlu dibuat dokumen yang memuat list arsip yang akan dishredding dan dokumen tersebut harus ditandatangani baik oleh yang memberikan otorisasi maupun yang melakukan penghancuran arsip-arsip tersebut.
Adanya kebijakan perusahaan untuk men-shredding semua laporan yang sudah tidak dibutuhkan.
Oleh karena itu, tingkat reliability dari pengendalian yang ada dimasukkan dalam kategori H.
Coverage:
Dari hasil evaluasi mengenai cakupan atas pengendalian yang ada, diketahui bahwa tidak semua dokumen yang sudah tidak dibutuhkan di-shredding. Para staf terkadang memotong laporan yang tidak dibutuhkan menjadi beberapa bagian untuk dijadikan kertas memo. Oleh karena itu, tingkat coverage tergolong dalam kategori M.
4.2.5.3 Matrik Penilaian Resiko dan Pengendalian
No. Risk Impact Probability Risk
value
Control Reliability Coverage Control
value
Total Value *
1. Rancangan laporan yang buruk M L -4 Pencantuman nama laporan, time stamping, cakupan periode, responsible staff, nomor halaman, total halaman dan end-of-job marker
H M 8 4
2. Scanning data sensitif yang
tercetak pada laporan oleh staf yang tidak berwenang
M H -6 Penggunaan printer yang berbeda untuk keperluan pencetakan laporan reguler dan laporan sensitif
H H 9 3
3. Pendistribusian laporan secara tidak langsung
M H -6 Kebijakan perusahaan untuk mendistribusikan laporan secara langsung kepada user yang dituju
H L 7 1
4. Tidak dilakukan review atas
kebenaran isi laporan M H -6 Dilakukan perbandingan data stok antara DBS dengan stok fisik; pada awal pembelian aplikasi dilakukan uji coba atas kehandalan aplikasi.
H H 9 3
5. Laporan tidak disimpan
dengan baik M H -6 Penggunaan lemari loker; terdapat staf yang bertanggung jawab terhadap penyimpanan arsip
H H 9 3
6. Laporan yang dicetak tidak
dikumpulkan secara seketika M H -6 Adanya kebijakan untuk tidak membiarkan laporan yang dicetak tergeletak pada printer; terdapat staf yang bertanggung jawab untuk mengumpulkan dan mengamankan laporan yang tertinggal pada printer
7. Tidak ditetapkannya jangka
waktu atas penyimpanan arsip L H -3 Adanya kebijakan perusahaan yang menetapkan mengenai jangka waktu atas penyimpanan arsip
H H 9 6
8. Tidak dihancurkannya laporan
yang sudah tidak dibutuhkan M H -6 Penggunaan kebijakan untuk men-shredding semua laporan paper shredder, terdapat yang sudah tidak dibutuhkan
H M 8 2
Total :: 43 Total :: 68 25
* T otal value = Risk value – Control value
[Keterangan: H - High, M - Medium, L – Low]
Tabel 4.12 Matrik Penilaian Resiko dan Pengendalian -- Output Control
Berdasarkan matrik penilaian resiko dan pengendalian di atas, diperoleh total gabungan nilai antara resiko dan pengendalian sebesar 25 poin, yang berarti secara keseluruhan perusahaan memiliki tingkat pengendalian keluaran yang baik. Bahwa resiko-resiko keluaran yang ada lebih kecil dari tingkat pengendalian yang saat ini diterapkan oleh perusahaan.
4.2.5.4 Temuan Audit
1. Tidak semua laporan memuat informasi mengenai total dari lembar halaman yang dicetak.
Pada laporan daftar inventory, sample out, sample in, antar lokasi, daftar harga, perakitan, dan varians kuantitas tidak termuat informasi mengenai total halaman dari laporan yang dicetak.
Seharusnya, pada setiap halaman dari lembar laporan yang dicetak memuat informasi mengenai total halaman keseluruhan.
Kondisi tersebut terjadi karena pihak perusahaan tidak melakukan pengaturan terhadap ”Page properties” yang terdapat pada aplikasi DBS.
Sebagai akibatnya, staf yang berkepentingan tidak dapat mengetahui dengan segera mengenai lembar halaman yang hilang dari total halaman laporan yang seharusnya.
Oleh karena itu, perusahaan sebaiknya melakukan pengaturan pada menu ”Page properties” untuk memunculkan informasi mengenai total halaman pada setiap lembar laporan yang dicetak.
2. Laporan terkadang tidak diserahkan secara langsung kepada user yang dituju.
Apabila user yang dituju sedang tidak berada di tempat maka laporan biasanya diletakkan langsung (secara terbuka) di atas meja kerja user yang dituju, tanpa dimasukkan di dalam amplop; dan hanya ditempeli dengan memo oleh si pemberi laporan.
Seharusnya pendistribusian atas laporan dilakukan secara langsung kepada user yang dituju atau jika tidak, dapat diletakkan di atas meja kerja user dengan terlebih dahulu memasukkan laporan tersebut ke dalam amplop yang disegel.
Kondisi tersebut terjadi karena tidak adanya kesadaran dari setiap staf mengenai resiko terjadinya kehilangan ataupun dibacanya laporan oleh unauthorized user.
Dari hasil evaluasi, diketahui bahwa laporan-laporan yang diletakkan di atas meja staf yang berkepentingan tidak pernah hilang dan dibaca oleh staf lainnya. Meskipun demikian, kemungkinan terjadinya kehilangan ataupun dibacanya laporan oleh unauthorized user tetap saja ada.
Oleh karena itu, pimpinan perusahaan sebaiknya memberikan penekanan kepada para staf untuk selalu mendistribusikan laporan secara langsung kepada user yang dituju atau jika tidak, dapat diletakkan di atas meja kerja user dengan terlebih dahulu memasukkan laporan tersebut ke dalam amplop yang disegel.
3. Laporan yang sudah tidak dibutuhkan tidak selalu di-shredding.
Laporan-laporan yang sudah tidak dibutuhkan tidak selalu dihancurkan dengan menggunakan paper shredder. Para staf terkadang memotong laporan tersebut menjadi beberapa bagian untuk dijadikan kertas memo.
Seharusnya, semua laporan yang sudah tidak dibutuhkan selalu dihancurkan dengan menggunakan paper shredder.
Kondisi tersebut terjadi oleh karena tidak adanya kesadaran dari setiap staf mengenai resiko terjadinya unauthorized use atas laporan, terutama laporan yang memuat data-data sensitif.
Sebagai akibatnya, unauthorized user dapat memperoleh informasi dari lembar belakang kertas memo yang merupakan potongan dari laporan-laporan tersebut, apalagi oleh karena potongan kertas yang dibuat sering kali berukuran cukup besar.
Oleh karena itu, pimpinan perusahaan sebaiknya memberikan penekanan kepada para staf untuk selalu menghancurkan laporan yang sudah tidak dibutuhkan dengan menggunakan paper shredder.
4.2.5.5 Rekomendasi Audit
No. Temuan Audit Resiko Existing condition Rekomendasi Pihak
pelaksana 1. Tidak semua laporan
memuat informasi mengenai total dari lembar halaman yang dicetak.
Tidak terdeteksinya kekurangan dari halaman laporan yang dicetak.
Staf yang berkepentingan tidak dapat mengetahui dengan segera mengenai lembar halaman yang hilang dari total halaman laporan yang seharusnya.
Melakukan pengaturan pada menu ”Page properties” untuk memunculkan informasi mengenai total halaman pada setiap lembar laporan yang dicetak.
Pimpinan perusahaan
2. Laporan terkadang tidak diserahkan secara langsung kepada user yang dituju.
Terjadinya kehilangan ataupun dibacanya laporan oleh
unauthorized user.
Laporan-laporan yang diletakkan di atas meja staf yang berkepentingan tidak pernah hilang ataupun dibaca oleh staf lainnya.
Memberikan penekanan kepada para staf untuk selalu mendistribusikan laporan secara langsung kepada user yang dituju atau jika tidak, dapat diletakkan di atas meja kerja user dengan terlebih dahulu memasukkan laporan tersebut ke dalam amplop yang disegel.
Pimpinan perusahaan
3. Laporan yang sudah tidak dibutuhkan tidak selalu di-shredding.
Terjadinya unauthorized use atas laporan, terutama laporan yang memuat data-data sensitif.
Unauthorized user dapat
memperoleh informasi dari lembar belakang kertas memo yang merupakan potongan dari laporan yang sudah tidak dibutuhkan, apalagi oleh karena potongan kertas yang dibuat sering kali berukuran cukup besar.
Memberikan penekanan kepada para staf untuk selalu menghancurkan laporan yang sudah tidak dibutuhkan dengan menggunakan paper shredder.
Pimpinan perusahaan