MANAJEMEN RISIKO BAGI AUDITOR*
Ali Riza ( 15919041 )Email : riza.incorp@gmail.com
Magister Akuntansi Universitas Islam Indonesia
Bagi COSO, pengukuran-penetapan risiko adalah kegiatan penting bagi manajemen dan auditor internal korporasi, sehingga auditor internal harus paham proses dan sarana untuk identifikasi, penilaian, pengukuran dan penetapan tingkat risiko (risk assessment) sebagai dasar menyusun prosedur audit internal. COSO menyatakan bahwa setiap entitas menghadapi risiko internal dari luar, bahwa risiko-risiko tersebut harus didentifikasi dan dinilai-diukur terfokus pada pengamanan sasaran strategis korporasi.
Perubahan sosial-politik-ekonomi-industri-hukum dan perubahan kondisi operasional perusahaan teraudit mengandung risiko, manajemen perusahaan harus membentuk mekanisme untuk mengenali dan menghadapi perubahan tersebut. Basis utama manajemen risiko adalah asesmen risiko. Untuk keberlangsungan usaha, asesmen risiko merupakan tanggungjawab manajemen yang bersifat integral dan terus menerus, karena manajemen tak dapat memformulasikan sasaran dengan asumsi sasaran akan tercapai tanpa risiko atau hambatan.
Pengguna Hasil Penilaian
dan penggunaan teknik audit secara tepat. Auditor internal melakukan asesmen risiko untuk meyakini bahwa sarana-pengendalian tertentu masih berfungsi efektif.
Perencanaan Assesment Risiko
Perencanaan audit internal harus berbasis pengetahuan akan risiko kegagalan organisasi dalam mencapai tujuan. Perencanaan strategis perusahaan mencakupi pertimbangan risiko kegagalan organisasi. Manajemen risiko berpengaruh pada perencanaan audit. Auditor melakukan evaluasi kendali internal sebagai sarana penghindaran risiko.
Perluasan Audit Berbasis Risiko
Pada awalnya, kegiatan audit dimulai dengan observasi terhadap control
(pengendalian), analisis pengendalian, disusul kegiatan analisis risiko tiap jenis operasi korporasi tersebut dan analisis keselarasan aktivitas dengan sasaran korporasi. Perluasan Audit Berbasis Risiko mencakupi kegiatan identifikasi, pengukuran dan analisis risiko, lalu memilih aktivitas strategis terkait manajemen risiko sebagai berikut :
1. Mengendalikan risiko, aktivitas pengurangan risiko, besar risiko, jumlah risiko atau frekuensi terjadinya risiko
2. Menerima risiko dan/atau risiko residual (setelah segala upaya mitigasi risiko dilakukan)
3. Menghindari risiko, merancang ulang proses bisnis yang tak berkonsekuensi risiko tertentu
4. Pembagian risiko, pembelahan risiko, memikul risiko beramai-ramai (risk sharing) atau transfer risiko ke unit organisasi lain (bagian lain) atau pihak ketiga (di luar korporasi) yang lebih mampu mengelola-mengendalikan risiko tersebut
Audit Internal dan Manajemen Risiko
internal pada umumnya bersikap abstain untuk manajemen risiko departemen auditor internal sendiri, kecuali diminta Dewan Audit untuk melakukan self-assessment.
Risiko Audit Laporan Keuangan
Persoalan auditor eksternal sebagai berikut berlaku bagi auditor internal yang mengaudit Laporan Keuangan; bahwa risiko auditor terbesar adalah tak mengetahui (gagal untuk mengetahui) hal-hal yang seharusnya mengubah opini auditor terhadap Laporan Keuangan yang mengandung salah-saji secara material. Auditor harus memertimbangkan sifat dan kualitas manajemen, sifat industri, sifat operasi, dan bentuk atau sifat penugasan auditor eksternal.
Untuk mengurangi risiko, auditor wajib mendapatkan asersi LK berupa pernyataan (semacam pernyataan jaminan) manajemen (management representation) tentang (1) eksistensi, (2) kelengkapan, (3) hak dan kewajiban, (4) evaluasi dan alokasi, (5) penyajian dan pengungkapan berbagai akun dan pos penting Laporan Keuangan.
Risiko Inheren
Risiko salah saji laporan keuangan terkait risiko bawaan karena jenis bisnis, jenis industri, jenis operasi khas industri tersebut dan risiko salah saji karena pengendalian internal lemah atau tidak ada.
Risiko Pengendalian
Risiko pengendalian mencakupi risiko salah saji laporan keuangan tak tercegah atau tak tertemukan pada bingkai waktu tertentu oleh struktur pengendalian internal, kebijakan atau prosedur. Berbagai control risk selalu ada karena keterbatasan inheren dari struktur pengendalian internal. Bila kebijakan dan prosedur tak berjalan efektif, maka auditor melakukan penilaian control risk sebanyak mungkin, dengan catatan bahwa biaya pengendalian risiko harus lebih kecil dari manfaat pengendalian risiko.
Pengendalian inheren tak mampu membuat risiko menjadi 0%, dikurangi dengan strategi-sistem-prosedur terkait control risk. Control risk dirancang untuk menekan risiko-residual tersebut sedapat-dapatnya, sisa risiko selanjutnya menjadi tugas strategi deteksi, sistem-prosedur deteksi penyimpangan, dan salah saji material.
Risiko deteksi berbentuk risiko auditor tak mampu mendeteksi salah-saji-material yang sebetulnya ada.
Risiko deteksi muncul karena
1. Auditor tak memeriksa 100% saldo akun-akun.
2. Ketidakpastian, kesalahan merancang prosedur audit, salah terap prosedur audit, salah tafsir terhadap hasil audit.
Risk Inventory
Daftar risiko paripurna diperoleh dari konsolidasi pengorganisasian manajemen risiko sebagai kerangka dasar risiko bagi seluruh korporasi.
Sebagai contoh, external risk inventory mencakupi antara lain risiko lingkungan, bencana alam, pasar uang dan Rating. Sedangkan internal risk inventory antara lain adalah SDM, Integritas, IT, Akuntansi dan Pelaporan dan Keuangan.
Auditor wajib membuat top minds of risks melalui rating risiko, pembuatan daftar risiko terbesar, ancaman terbesar yang harus dipertimbangkan pada penyusunan rencana strategis, diikuti pemutahiran risk inventory secara berkala. Auditor wajib membuat daftar pemicu risiko menjadi kenyataan-bencana. Direksi korporasi wajib memberi fasilitas diskusi risiko bisnis, membangun infrastruktur pemantau risiko bisnis, membangun sistem identifikasi jenis baru risiko. Auditor internal harus bersikap proaktif terhadap risiko, jangan mengandalkan deteksi risiko telah (terlanjur) menjadi kenyataan, menjamin bahwa jumlah SDM pakar risiko harus seimbang dengan besar dan kerumitan korporasi.
Auditor, Risiko EDI dan E-Commerce
Auditor menganalisis dampak risiko e-commerce kepada organisasi berbasis commerce, evaluasi berkala pengendalian internal perusahaan terhadap commerce. Auditor wajib mengidentifikasi perubahan IT secara berkala, modifikasi e-commerce untuk memperbaiki kendali internal dan kinerja operasi e-e-commerce, biaya dan maslahat modifikasi e-commerce, bingkai waktu modifikasi, probabilitas sukses modifikasi. Auditor harus mewaspadai perubahan operasi karena perubahan e-commerce yang melanda dunia atau perusahaannya, dengan cara mempelajari dan memahami sistem dan infrastruktur EC, terutama; front-end Web server, metode transmisi dan protokol, firewalls, gateways, back end, middleware, hubungan dengan
data, bagaimana distribusi program, lokasi, server, pihak lur dan proses terkait e-commerce, melakukan evaluasi pengendalian dan prosedur e-e-commerce, melakukan evaluasi pengendalian informasi-sensitive, misalnya nomor kartu kredit. Bila auditor lemah dalam keahlian e-commerce, perusahaan dapat mengundang pakar luar untuk melakukan evaluasi e-commerce.
Mirip dengan e-commerce, pada dunia perkapalan, EDI Risk pada dasarnya adalah computer to computer online communication, auditor memeriksa komunikasi baku, informasi baku, format informasi baku, data base dan information centre baku, jaringan komunkasi mantap atau tidak mantap, menengarai risiko kegagalan sistem EDI pada inisiasi, transmisi dan destinasi.
Bukti Audit
• Risiko perikatan asuransi di mitigasi dengan bukti yang cukup (kuantitas dan kualitas)
• Perencanaan pengumpulan bukti berkualitas • Pelaksanaan pengumpulan bukti amat efektif • Prosedur pengumpulan bukti amat efisien
• Prosedur tersepakati pengumpulan bukti amat efisien dan efektif
• Surat representasi, pernyataan bahwa seluruh bukti terbuka/tersedia bagi auditor • Risiko salah saji material laporan-keuangan ter-mitigasi dengan baik
Skeptisme Profesional
Skeptisme profesional sebagai kepribadian auditor mencakupi kehati-hatian, kewaspadaan, tidak langsung percaya saja, critical assesment (penilaian kritis), mempertanyakan validitas bukti, tingkat handal bukti, mewaspadai bukti kontradiktif, keaslian bukti, rekayasa bukti, mencurigai hal-hal mencurigakan, menilai hasil obervasi yang tidak di-samarata-kan, melakukan evaluasi cermat dan membuat kesimpulan nan konservatif
Kecukupan dan Ketepatan Bukti
relevan dengan tugas audit tersebut.
Tingkat Kehandalan Bukti Audit
Sebagai pengurang risiko audit, sumber bukti harus kompeten, obyektif baik bukti luar dan bukti internal. Bukti luar diasumsikan lebih kompeten, namun setelah penilaian cermat akan sumber bukti luar dan kualitas bukti. Bukti internal berbasis kendali internal nan-handal juga kompeten sebagai bukti audit, bukti tangan pertama / langsung dan bukti tangan kedua/indirect evidence dipertimbangkan dengan seksama.
Risiko Perikatan Audit
Risiko kesimpulan audit tidak tepat secara material tentang hal pokok yang diaudit. Auditor berupaya menekan risiko ke-tingkat serendah mungkin ssebagai risiko dapat diterima auditor, sepanjang masuk akal. Risiko audit dengan keyakinan terbatas lebih besar dari risiko keyakinan memadai. Keyakinan terbatas minimum adalah berbentuk kesimpulan negatif dari auditor berdasar sifat/jenis bukti,saat pemerolehan bukti, dan luas prosedur pengumpulan bukti asurans
Risiko perikatan hukum (kontrak) audit diproksi oleh risiko salah saji material (yaitu risiko inheren, rentan risiko karena kendali internal tidak ada dan risiko pengendalian yang selalu ada karena risiko inheren) dan risiko deteksi, yaitu risiko salah saji material laporan keuangan tak terdeteksi auditor. Jenis / sifat bukti, saat perolehan bukti, dan luas prosedur pengumpulan bukti audit untuk setiap perikatan adalah unik dan berbeda. Tugas auditor adalah melakukan komunikasi secara baik berbagai aspek perikatan, agar tidak masuk ke dalam risiko perikatan.
Perkembangan Terakhir Profesi Auditor Akibat Risiko
Terjadi trend pemutahiran kontrak CPA Internasional, agar tak terjadi tuntutan hukum kepada local firm terafiliasi (KAP disuatu negara yg menjadi anggota KAP Internasional) dibebankan kepada KAP Internasional. Makin dicermati peraturan transmisi informasi tertentu dari local firm kepada KAP Internasional, anggota lain atau sebaliknya.
jasa tertentu pada tataran IAPI dan tataran KAP tertentu, Misal: Larangan Sarbane-Oxley Act.
AICPA Code Of Professional Conduct melarang akuntan publik mengotorisasi transaksi klien audit, melaksanakan transaksi klien audit, mengkonsumsi transaksi klien audit, membuat bukti transaksi klien audit, mlakukan layanan penyimpanan aset (kustodian) klien, menjadi supervisor dalam manajemen klien audit, memberi pelayanan pengiriman barang, juru catat, general councel (penasihat umum) atau jasa sejenis itu.
Dampak berbagai tuntutan hukum kepada auditor menyebabkan trend penugasan audit berdasar kontrak berdasar hukum perikatan, terjadi trend kesadaran akan konsekuensi hukum untuk segala hal yang mengikat AP atau KAP, terjadi trend tuntutan hukum terhadap direksi berdasar berbagai temuan audit, mis. AT, piutang, persediaan tertentu, tidak ada, terjadi tendensi KAP menimbang SD dan kekuatan diri, apakah mampu melaksanakan suatu tawaran audit, terjadi tendensi KAP melakukan dokumentasi kertas kerja audit lebih cermat siap maju ke meja hijau, terjadi perpindahan rekan KAP, dan tanggungjawab simpan atas kerja audit AP yang pindah tersebut, polis asuransi Professional Liability Insurance makin mendapat momentum pasar profesional, redefinisi tanggungjawab bersama, yang pada akhirnya jatuh pada KAP, apabila pihak lain tak mampu. Terjadi trend berbagai Otoritas Pasar Modal yang main mempertanyakan kecukupan standar audit dan program audit LK emiten pembuat LK. Terjadi trend kesehatan auditor, bahwa tanda tangan opini WTP membuat “sport jantung” KAP atau AP, bahwa subsequent event harus ditindak lanjuti secara tegas dan segera oleh auditor sebelum publik dirugikan LK auditan melakukan tuntutan hukum kepada auditor eksternal.
