BAB II
LANDASAN TEORI
Manajemen Risiko
II.1 Konsep Manajemen Risiko
Menurut artikel 1 dari Peraturan Bank Indonesia (PBI) No. 5/8/PBI/2003 tentang Penerapan Manajemen Risiko Bagi Bank Umum, risiko didefinisikan sebagai “kemungkinan terjadinya peristiwa yang dapat mengakibatkan kerugian untuk bank”. Sedangkan manajemen risiko didefinisikan sebagai “perangkat prosedur dan metodelogi yang digunakan untuk mengidentifikasi pengukuran, pemeriksaan dan pengawasan risiko yang timbul dari kegiatan operasional bank”.
Berdasarkan kedua definisi ini, risiko kenyataannya merupakan kemungkinan terjadinya kegagalan di waktu yang akan datang. Sebagai akibatnya, risiko harus diperhatikan sepantasnya dan diukur. Mengacu pada pendapat Tampubolon, dia merumuskan risiko sebagai peristiwa atau keadaan yang mencegah dan menyebabkan suatu organisasi gagal dalam usaha pencapaian tujuannya. Perumusan ini serupa dengan apa yang Griffiths kemukakan dalam tulisannya. Menurutnya perumusan risiko perlu adanya tujuan, jikalau tidak itu tidak dapat dikategorikan sebagai risiko.
Association of Chartered Certified Accountants (ACCA, 2003) mengklasifikasi sifat tanggapan terhadap risiko yang teridentifikasi, yang harus diambil oleh manajemen:
1. Treat (menangani) 2. Terminate (mengakhiri) 3. Transfer (memindahkan) 4. Tolerate (mentolerir)
Menunjuk pada pasal 2 PBI No. 5/8/PBI/2003, manajemen risiko harus mencakup:
1. Pengawasan aktif oleh dewan komisaris (BOC) dan dewan direksi (BOD). 2. Ketepatan kebijakan, prosedur dan penetapan batas.
3. Ketepatan proses mengidentifikasi, pengukuran, pengawasan, dari pengendalian risiko dan sistem informasi manajemen risiko.
4. Sistem pengendalian internal yang menyeluruh.
II.1.1 Hubungan antara Audit Internal dan Manajemen Risiko
Seperti dinyatakan di atas, manajer adalah pemilik risiko, dan mereka bertanggung jawab untuk mengendalikan risiko yang timbul dari kegiatan mereka. Menurut Tampubolon (2005), “Auditor internal bertanggung jawab untuk meyakinkan manajemen bahwa risiko yang ada telah dikendalikan dalam cara yang semestinya” (h. 28).
Samosir (2005) berpendapat, “Manajemen risiko adalah metode sistematis dan logis untuk mengidentifikasi, menganalisa, mengevaluasi, menangani, memonitor dan mengkomunikasi setiap risiko yang terkait dengan kegiatan fungsi atau proses yang menuntun organisasi dalam meminimalisasi risiko dan memaksimalkan kesempatan” (h. 30).
Samosir juga menambahkan, “Fungsi auditor internal dalam manajemen risiko adalah berbeda untuk setiap organisasi tergantung dari tingkat kerumitan organisasi, dan akan selalu berubah-ubah sejalan dengan perubahan tingkat kerumitan manajemen risiko yang dijalankan dalam organisasi tersebut” (h.30). Tampubolon (2004) menyatakan bahwa “Proses audit umumnya melibatkan ketepatan dan efektivitas manajemen risiko dan tehnik menilai risiko” (h. 201).
Gambar 2.1 Hubungan antara auditor internal dan manajemen Pengawasan Aktif Direksi/Manajemen
Keputusan mengenai penetapan tujuan, penyusunan strategi dan pemantauan serta tindak lanjut terhadap penyimpangan
Sumber: Tampubolon 2005, h.29
Mengacu pada pendapat Samosir (2005) yang menyatakan bahwa audit yang dijalankan oleh auditor internal tidak hanya berfokus pada kelemahan-kelemahan dari pengendalian internal, tapi juga kelemahan-kelemahan yang ada dalam sistem manajemen risiko. Auditor internal memastikan para eksekutif dan semua staf dan
Lingkungan
(sasaran dan tujuan, strategi, selera risiko rencana tindakan)
Identifikasi Risiko
Sesuai sasaran dan tujuan, strategi dan rencana yang ada
Penaksiran Risiko dan Kontrol
Mengkuantifikasi kemungkinan terjadi sebuah peristiwa, skala dampak serta kontrol yang ada
Tanggapan Terhadap Risiko
Terima Risiko/ Imbal Hindari Risiko Mitigasi Risiko Program Mitigasi
Fungsi Internal Audit
pegawai mempunyai definisi yang sama mengenai risiko. Samosir juga menyatakan fungsi audit internal dalam manajemen risiko, meliputi:
1. Memfokus pada kegiatan audit internal mengenai risiko-risiko yang penting dan primer sebagaimana diidentifikasikan oleh manajemen.
2. Audit proses manajemen risiko dalam organisasi. 3. Menyediakan jaminan mengenai manajemen risiko.
4. Memberikan dukungan dan keterlibatan langsung dalam proses manajemen risiko.
5. Mempermudah penilaian dan identifikasi risiko dalam proses manajemen risiko. 6. Mengkoordinir pelaporan risiko kepada dewan komisaris dan eksekutif, maupun
komite audit dan pihak lain yang terkait.
Menurut Griffiths (2006), “agar RBA menjadi efektif, maka para direktur harus memastikan bahwa kerangka manajemen risiko meliputi:
1. Risiko yang mengancam tujuan-tujuan organisasi telah diidentifikasi dan dinilai oleh para direktur dan manajer, dan pengendalian internal dari respon yang cocok dibangun untuk mengurangi ancaman sempai ke tingkat risiko yang dapat diantisipasi, atau melaporkan kepada dewan jika hal ini tidak mungkin dilakukan.
2. Risiko yang melekat dicatat dan dinilai dalam cara yang terorganisasi sesuai dengan ancaman-ancaman.
3. Risiko yang dapat diantisipasi yang disetujui oleh dewan untuk organisasi dengan dasar demikian agar risiko mudah diidentifikasi.
4. kerangka manajemen risiko merumuskan tanggung jawab fungsi-fungsi yang memberikan jaminan, seperti auditor internal, manajemen, auditor eksternal, telah didefinisikan.” (h. 5).
II.1.2 Risiko dalam Industri Perbankan
Menurut Bank Indonesia (Peraturan No 5/8/PBI/2003 tentang Penerapan Manajemen Risiko Bagi Bank Umum Artikel pasal 4 butir (1)), risiko dapat diklasifikasikan ke dalam berbagai kategori. Beberapa risiko keuangan yang sangat berpotensi mempengaruhi bank yang bersangkutan adalah sebagai berikut:
1. Market Risk (risiko pasar)
Merupakan risiko yang timbul karena adanya pergerakan variabel pasar dari portofolio yang dimiliki oleh bank, yang dapat merugikan bank (adverse movement).
2. Liquidity Risk (risiko likuiditas)
Adalah risiko yang timbul karena bank tidak mampu memenuhi kewajiban yang telah jatuh tempo.
3. Operational Risk
Adalah risiko yang antara lain disebabkan ketidakcukupan dan atau tidak berfungsinya proses internal, kesalahan manusia, kegagalan sistem, atau adanya problem eksternal yang mempengaruhi operasional bank.
4. Legal Risk (risiko hukum)
Adalah risiko yang disebabkan oleh adanya kelemahan aspek yuridis, yang antara lain disebabkan adanya tuntutan hukum, ketiadaan peraturan perundang-undangan yang mendukung, atau kelemahan perikatan seperti tidak dipenuhinya syarat sahnya kontrak dan pengikatan agunan yang tidak sempurna.
5. Reputational Risk (risiko reputasi)
Adalah risiko yang antara lain disebabkan oleh adanya publikasi negatif yang terkait dengan kegiatan usaha bank atau persepsi negatif terhadap bank.
6. Strategic Risk (risiko strategik)
Adalah risiko yang antara lain disebabkan adanya penetapan dan pelaksanaan strategi bank yang tidak tepat, pengambilan keputusan bisnis yang tidak tepat atau kurang responsifnya bank terhadap perubahan eksternal.
II.2 Pengertian dan Jenis Auditing secara Umum II.2.1 Pengertian & Tujuan Auditing
Menurut Mulyadi (2002) “Auditing adalah suatu proses sistematika untuk memperoleh dan mengevaluasi bukti secara objektif mengenai pernyataan-pernyataan tentang kegiatan dan terjadinya ekonomi, dengan tujuan untuk menetapkan tingkat kesesuaian antara pernyataan-pernyataan tersebut dengan kriteria yang telah ditetapkan, serta penyampaian hasil-hasil kepada pemakai yang berkepentingan” (h. 7).
Robertson dan Louwers (1999) menyatakan “Auditing is a systematic process of objectively obtaining and evaluating evidence regarding assertions about economic actions and event to ascertain the degree of correspondence between the assertions and established criteria and communicating the result to interested users” (p. 4).
Tujuan audit menurut R &L adalah ... the purpose of obtaining and evaluating evidence is to ascertain the degree of correspondence between the assertions and established criteria. Auditors will ultimately communicate their findings to interested users. To communicate in an efficient and understandable manner, auditors and users must have a common basis for measuring and describing financial information. This basis is the established criteria essential for effective communication. (p. 4)
Arens & Loebbecke yang diterjemahkan oleh Jusuf, A. A. (2003) menyatakan, “Auditing adalah proses pengumpulan dan pengevaluasian bahan bukti tentang informasi yang dapat diukur mengenai suatu entitas ekonomi yang dilakukan seseorang yang kompeten dan independen untuk dapat menentukan dan melaporkan kesesuaian informasi dimaksud dengan kriteria-kriteria yang telah ditetapkan. Auditing seharusnya dilakukan oleh seorang yang independen dan kompeten. Contohnya petugas auditor kantor pemeriksaan pajak, petugas tersebut menganalisis data yang diajukan wajib pajak dan yang diperolehnya dari sumber-sumber lain, seperti dari majikan si wajib pajak. Tujuan audit ini adalah untuk melihat apakah SPT yang disampaikan oleh wajib pajak sesuai dengan persyaratan pajak yang berlaku. Pada akhir audit, petugas yang bersangkutan akan menyampaikan pemberitahuan kepada wajib pajak mengenai kelebihan atau kekurangan dari pajak yang telah dilapor.” (h. 1)
Berdasarkan definisi-definisi tersebut, untuk melaksanakan audit diperlukan dua elemen terpenting yaitu :
1. informasi-informasi yang relevan dan terpercaya yang dapat diverifikasi dan diukur,
2. kriteria atau standar yang dapat dijadikan acuan bagi proses pengevaluasian. Selain itu, lingkup tanggung jawab auditor harus jelas, terutama mengenai penetapan entitas ekonomi dan periode waktu yang diaudit. Entitas ekonomi yang dimaksudkan bukan hanya lembaga legal seperti Perseroan Terbatas (PT), persekutuan komanditer (CV), koperasi, lembaga pemerintah dan lain-lain, tetapi dapat juga berupa satuan divisi, departemen, bahkan perorangan. Sedangkan periode waktu yang dimaksudkan umumnya satu tahun, tetapi ada pula periode waktu yang disesuaikan pada kesepakatan
sebelumnya untuk melaksanakan proses auditing tersebut pada entitas ekonomi yang telah ditetapkan.
II.2.2 Jenis-jenis Auditing
Menurut Dunil (2005), “Audit yang dilakukan pada perusahaan pada umumnya dapat terdiri dari tipe audit sebagai berikut:
1. Audit laporan keuangan (Financial Report Audit).
Adalah audit yang bertujuan untuk menilai apakah laporan keuangan yang disajikan perusahaan telah sesuai dengan bukti yang mendukungnya. Bukti pendukung laporan keuangan tersebut harus dievaluasi oleh auditor (Akuntan Publik) untuk memperoleh keyakinan dalam memberikan opini atas laporan keuangan yang bersangkutan. Umumnya Laporan Keuangan yang diaudit ditujukan untuk pemegang saham perusahaan dan pihak lain yang berkepentingan.
2. Audit Kepatuhan (Compliance Audit)
Adalah audit untuk menilai apakah kegiatan / aktivitas keuangan suatu entity telah sesuai dengan kondisi, peraturan dan ketentuan yang mengaturnya. Ketentuan / peraturan menyangkut kegiatan suatu entity tertentu dapat saja berasal dari berbagai instansi, dan tujuan dari audit ini adalah menilai apakah dalam operasinya suatu entity tersebut telah mematuhi ketentuan dan peraturan yang ditetapkan. Audit kepatuhan juga untuk melihat apakah kebijaksanaan dan ketentuan intern yang telah ditetapkan oleh manajemen dipatuhi dan dilaksanakan oleh aparat di bawahnya.
3. Audit Kinerja (Performance Audit)
Adalah audit untuk menilai efektifitas dan efisiensi entity dalam melaksanakan fungsi dan kegiatannya. Audit kinerja dapat diterapkan baik pada perusahaan / entity secara keseluruhan maupun pada bidang tertentu seperti Departemen,
Cabang atau divisi tertentu atau fungsi tertentu.” (h. 14). II.2.3 Audit Eksternal vs Audit Internal
Audit dapat dilaksanakan baik secara eksternal maupun internal yang masing-masing memiliki tujuan yang berbeda.
Audit eksternal pada umumnya dilakukan dalam rangka audit laporan keuangan, dengan tujuan untuk menentukan kelayakan laporan keuangan suatu perusahaan dan hasil yang telah dicapai dalam periode tertentu untuk pemegang saham perusahaan dan pihak lain yang berkepentingan.. Mereka menjamin bahwa laporan keuangan telah dipersiapkan sesuai dengan GAAP (Generally Accepted Accounting Principle) dan dilaporkan secara konsisten dari tahun-tahun sebelumnya, serta menjamin akan kelayakan keamanan aset-aset perusahaan.
Auditor internal menyediakan informasi yang dibutuhkan manajemen agar dapat melaksanakan tanggung jawabnya secara efektif. Para auditor internal bertindak sebagai evaluator independen untuk menilai operasional perusahaan dengan cara mengukur dan mengevaluasi bahwa kelayakan dari kontrol telah sesuai dengan efisiensi dan efektivitas operasional perusahaan. Auditor internal memiliki peran yang sangat penting dalam segala permasalahan yang berkaitan dengan manajemen perusahaan dan risiko-risiko yang terlibat dalam menjalankan bisnis.
II.2.4. Audit Tradisional
Menurut Dunil (2005), “Pengujian transaksi dalam audit tradisional lazimnya ditujukan pada aspek internal control yang penting. Auditor pertama-tama akan melihat bagaimana internal control dalam suatu transaksi / events dilakukan. Apakah memenuhi standar yang ditetapkan antara lain:
• Adanya segregation of duties • Capabilities personnels
• Standard procedures, forms dsb. • Authorized person, dst.” (h.26).
Dunil juga menambahkan (2005), “Temuan auditor dalam tradisional lebih didominasi oleh masalah kelemahan internal control, sehingga rekomendasi auditor umumnya berupa saran untuk:
• agar struktur internal control lebih diperkuat
• memperhatikan perimbangan cost and benefit atas suatu kegiatan
• bagaimana mencapai tujuan dari suatu kegiatan secara efektif dan efisien” (h. 27).
Dunil (2005) berpendapat bahwa, “Dalam audit tradisional, metode pemeriksaan suatu transaksi lazimnya lebih ditekankan pada kecukupan tes yang mendetil tentang suatu aspek yang akan diuji. Berdasarkan itu dilakukan penilaian apakah aspek yang diuji tersebut telah dicatat sesuai, prosesnya benar, internal control nya aman dan bukan merupakan sesuata yang fiktif / dimanipulasi.” (h. 26)
Menurut Dunil (2005), “Dalam audit yang tradisional, SKAI tidak terlibat dalam manajemen. SKAI akan terlibat setelah timbul masalah khususnya apabila terjadi suatu
penyimpangan baik yang ditemukan pada saat audit di lapangan maupun terdapatnya kasus yang dilaporkan oleh suatu satuan kerja.” (h. 25).
II.2.5 Risk-Based Audit (RBA)
Tampubolon (2005) berpendapat bahwa “Audit internal yang memfokuskan pada pengendalian internal, tidak menambah tingkat efisiensi dari fungsi audit internal. Bahkan, seringkali, pengendalian yang tidak perlu atau sia-sia telah terimplementasikan yang justru menambah biaya (cost) audit”. Maka Tampubolon menyarankan, “... agar RBA untuk dilaksanakan dalam setiap organisasi. RBA adalah jenis audit yang berfokus dan memprioritaskan risiko-risiko bisnis maupun prosesnya yang lalu mengawasi risiko yang akan timbul.” (h. 41)
Seperti yang sudah dinyatakan sebelumnya, RBA adalah jenis audit yang terfokus pada risiko bisnis dan proses-prosesnya maupun pengawasan terhadap risiko yang mungkin timbul. RBA terdiri dari tehnik dan prosedur dalam mengawasi suatu divisi dengan cara memfokus pada risiko-risiko yang terkait kepada aktivitas bank. Konsep dari RBA adalah semakin tinggi risiko, semakin banyak perhatian yang harus diberikan pada bidang yang mengandung risiko. Dalam mengidentifikasi risiko bisnis, auditor harus dapat membedakan aspek-aspek pengawasan dari bisnis yang bersangkutan. Pengertian mengenai proses bisnis meliputi pengenalan risiko dan pengawasan sistem dalam mencapai tujuan organisasi. Dalam RBA, pengujian tidak hanya diadakan pada peristiwa-peristiwa yang lalu tapi juga meliputi antisipasi kemungkinan-kemungkinan yang mungkin terjadi dengan risiko yang mempengaruhi pernyataan keuangan. Menurut Dunil (2005) “RBA yang dilaksanakan dengan auditor eksternal berbeda dengan RBA yang dijalankan oleh auditor internal:
1. RBA oleh auditor eksternal (akuntan publik)
audit yang dijalankan akuntan publik adalah bertujuan untuk memberikan opini mengenai laporan2 keuangan yang disusun perusahaan. Karenanya bagi akuntan publik salah satu risiko yang harus diperhitungkan adalah kemungkinan adanya misstatement yang material dalam laporan keuangan yang diaudit. Risiko ini harus dikaji, dipelajari kemungkinannya karena dapat berakibat serius terhadap opini akuntan. Karena itu sasaran Risk Based Audit dalam pemeriksaan Laporan Keuangan perusahaan oleh Akuntan Publik adalah untuk mengidentifikasi, menghitung dan meminimalisasi risiko terhadap kemungkinan terdapatnya misstatement dalam Laporan Keuangan yang diaudit.
2. RBA oleh auditor internal
Auditor Internal mengadakan penilaian RBA secara independen hanya untuk maksud memformulasi rencana audit berbasis risiko dengan memperhatikan risiko bisnis yang melekat dari suatu lokasi kegiatan dan efektivitas pengawasan sistim untuk memonitor risiko yang melekat pada kegiatan bisnis.” (h. 18).
Tujuan dan Ruang lingkup RBA secara lengkap dijelaskan secara mendalam dalam lampiran 4
II.3 Audit Tradisional Vs Risk-Based Audit (RBA)
Mengacu pada pendapat Kannan (2004), RBA melibatkan evaluasi sistem manajemen risiko dan prosedur pengawasan yang diterapkan diberbagai wilayah operasi bank. Dalam RBA, fokus auditor internal adalah bagaimana memitigasi risiko maupun mengantisipasi kemungkinan terjadinya risiko dan bagaimana mengawasi bank terhadap berbagai risiko. (h. 1)
Daripada memfokus pada sistem pengujian transaksi menyeluruh, RBA berkonsentrasi pada pengidentifikasian risiko, prioritas terhadap bidang-bidang audit, dan alokasi sumber audit sesuai dengan penilaian risiko. Oleh karena itu, bank perlu membangun kebijakan RBA yang dirumuskan dengan baik, dan yang disetujui oleh dewan. Kebijakan itu harus meliputi metodologi penilaian risiko untuk mengidentifikasi bidang risiko berdasarkan rencana audit yang akan diformulasi. Lebih lagi, itu juga harus meliputi periode waktu maksimal, dengan kegiatan bisnis yang beresiko rendah seharusnya tidak dibiarkan tidak diaudit.
Seperti jenis audit lainnya, RBA dijalankan oleh unit audit internal atau SKAI, dengan prosedurnya tertera dalam pedoman audit internal yang dikenal sebagai Standar Pelaksanaan Fungsi Audit Internal Bank yang ditentukan dalam artikel 9 dari PBI No. 1/6/PBI/1999. Menurut Dunil (2007), “Audit internal harus memiliki pengertian yang baik mengenai proses manajemen risiko, tehnik-tehnik, serta dasar kualifikasi internal audit dalam rangka komunikasi, wawancara dan analisa” (h. 78).
Menurut pernyataan Position Statement of the Institute of Internal Auditors of UK and Ireland (2003), auditor internal dapat mengatakan bahwa mereka telah senantiasa memfokus usaha mereka pada bidang-bidang yang lebih beresiko pada organisasi. Namun, pendekatan ini, menurut sejarah telah diarahkan oleh penilaian risiko audit internal itu sendiri. Dalam RBA, fokus harus untuk mengenal dan mengevaluasi penilaian risiko manajemen dan berlandaskan usaha audit yang mengelilingi proses. Tabel 2.1 Traditional Internal Auditing vs RBA.
Characteristic Old Paradigm
(Traditional Internal Auditing)
New Paradigm (RBA)
Internal Audit Focus Internal Control Business Risk Internal Audit Response Reactive, after-the-fact,
discontinuous, observers of
Coactive, real-time, continuous monitoring,
strategic planning initiatives
participants in strategic plans
Risk Assessment Risk Factors Scenario Planning Internal Audit Tests Important Controls Important Risks Internal Audit Methods Emphasis on the
Completeness of Detail Controls Testing
Emphasis on the significance of Broad Business Risks Covered Internal Audit Recommendations Internal Control: Strengthened Cost-Benefit Efficient/Effective Risk Management: Avoid/Diversify Risk Share/Transfer Risk Control/Accept Risk Internal Audit Reports Addressing the Functional
Controls
Addressing the Process Risks
Internal Audit Role in the Organization
Independent Appraisal Function
Integrated Risk
Management and Corporate Governance
Sumber: Griffiths 2006, h. 5 1. Internal Audit Focus
Pada audit tradisional fokus utama internal audit adalah pada pengendalian internal suatu perusahaan. Sedangkan RBA berfokus pada aspek bisnis yang mengandung risiko yang tinggi. Karena kemungkinan kerugian yang akan menimpa bank adalah pada aspek bisnis yang berisiko tinggi.
2. Internal Audit Response
Dalam audit tradisional Satuan Kerja Audit Intern (SKAI) hanya terlibat setelah timbul masalah khususnya apabila terjadi suatu penyimpangan baik yang ditemukan pada saat audit di lapangan maupun terdapatnya kasus yang dilaporkan oleh suatu satuan kerja. Dalam hal ini maka keterlibatan SKAI bersifat responsif setelah suatu event terjadi. Kemudian keterlibatan SKAI terhenti setelah laporan disampaikan yang selanjutnya menjadi kompetensi risk taking unit untuk menindaklanjuti serta membereskannya.
SKAI baru terlibat kembali apabila ternyata follow up tidak beres atau rekomendasi auditor tidak ditindaklanjuti. Artinya terdapat diskontinuitas dalam keterlibatan SKAI atas suatu event atau kejadian. Keadaan demikian disebabkan karena dalam proses penyusunan Strategic Plan, umumnya SKAI lebih mengfungsikan diri sebagai observers ketimbang sebagai participants.
Dalam konsep manajemen risiko (RBA) , keterlibatan SKAI dalam penyusunan strategic plan adalah sebagai participants yang sejak awal ikut memberikan “warna” dari management risiko suatu bank. Lebih lanjut SKAI juga melakukan continuous monitoring atas pelaksanaan manajemen risiko apakah dalam pelaksanaannya telah dilakukan sesuai dengan yang diinginkan atau tujuan yang ditetapkan dalam strategic plan. Dengan demikian dimungkinkan SKAI mengetahui persoalan atau suatu events secara real time.
3. Risk Assessment
Dalam audit tradisional SKAI juga memperhatikan risiko khususnya risk factor yang sesuai pengalaman auditor perlu diperiksa lebih dalam.
Dalam RBA keterlibatan SKAI sudah sejak dari penyusunan strategic planning, sehingga SKAI dapat mengarahkan, memfokuskan dan memprioritaskan perencanaan auditnya pada scenario analysis.
4. Internal Audit Tests
Pengujian transaksi dalam audit tradisional lazimnya ditujukan pada aspek internal control yang penting.
Dalam RBA, perhatian auditor lebih ditekankan pada business risk yang dihadapi oleh bank. Auditor harus melihat apakah risikonya tinggi (high risk), sedang (moderate risk) atau rendah (low risk). Walaupun sama-sama mempunyai
kelemahan dalam pengendalian internal, namun rekomendasi perbaikan bukan didasarkan pada kelemahan pengendalian internal melainkan bagaimana mengurangi risiko bisnis (mitigasi) sesuai tingkatan risiko yang riil dihadapi oleh satuan kerja atau Risk Taking Unit yang bersangkutan.
5. Internal Audit Methods
Dalam audit tradisional metode pemeriksaan suatu transaksi lazimnya lebih ditekankan pada kecukupan tes yang mendetil tentang suatu aspek yang akan diuji.
Dalam RBA, metodologi lebih ditekankan pada penilaian apakah suatu transaksi, produk atau aktivitas yang dilakukan bank sudah ter-cover risikonya.
6. Internal Audit Recommendations
Temuan auditor dalam audit tradisional lebih didominasi oleh masalah kelemahan internal control. Sebaliknya dalam RBA, rekomendasi didominasi oleh temuan auditor menyangkut pelaksanaan Manajemen Risiko pada satuan kerja Risk Taking Unit.
7. Internal Audit Reports
Dalam audit tradisional, laporan lebih mengarah kepada pelaksanaan kontrol fungsional, yaitu kontrol yang dilakukan oleh suatu satuan kerja fungsional, pejabat (authorized officers) maupun petugas dalam kegiatan suatu transaksi / aktivitas.
Dalam RBA, laporan lebih banyak diarahkan kepada proses penanganan risiko. Bagaimana suatu risiko diidentifikasi, diperhitungkan, dimonitor dan dikendalikan. Lalu dipelajari apakah tingkat risiko yang ditetapkan sudah
acceptable artinya risiko yang bersangkutan ada dalam “range” yang dapat ditanggung oleh perusahaan.
8. Internal Audit Role in the Organization
Dalam audit tradisional, SKAI adalah suatu badan yang melakukan independent review terhadap seluruh kegiatan bank termasuk sebagai lembaga dalam organisasi bank yang wajib melakukan kaji ulang (independent review) terhadap pelaksanaan pengendalian internal dalam organisasi secara keseluruhan. Jadi peranan SKAI sudah ditetapkan sebagai pelaksana fungsi independent review dalam bank.
Dalam RBA, SKAI diikutkan dalam strategic plan yang memperhitungkan semua aspek risiko dalam bisnis perusahaan. Fungsinya bergeser dari keterlibatan yang hanya sebagai observer yang tidak ikut berpartisipasi dalam menetapkan business plan, menjadi participant yang terlibat dalam penentuan masa depan bank. Karena itu dalam RBA, SKAI sudah merupakan bagian yang integral dari sistem manajemen risiko bank secara keseluruhan, dan keberadaannya merupakan keharusan dalam Integrated Risk Management System suatu bank dan merupakan unsur penting dalam menilai Bank’s Corporate Governance.
