KONSEP PER ENCANAAN PENGAWASAN BERBASIS RISIKO DAN LANGKAH-LANGKAH UMUM PEN YUSUN ANNYA
Disusun oleh Abdul Rozaq Setiawan rozaqsetiawan@gmail.com
abstrak
Perencanaan pengawasan berbasis risiko akan mendukung peran audit intern yang semakin strategis.
Perencanaan tersebut didasarkan pada dokumen risk a ssessment yang dimiliki oleh manajemen
a uditable object. Jika belum terdapat dokumen tersebut, audit intern dapat membantu untuk
menghasilkannya. Faktor pertimbangan untuk memprioritaskan audita ble object terutama didasarkan
pada risiko inheren. Selain itu, faktor lainnya (efektivitas respon risiko, anggaran, signifikansi, dan
kemampuan audit intern) dapat juga digunakan sebagai pelengkap dalam menentukan prioritas
a uditable object. Audit intern harus menjabarkan teknis penilaian masing-masing faktor pertimbangan
tersebut.
Keywords: perencanaan pengawasan berbasis risiko, risk assessment, risiko inheren, efektivitas
respon risiko, anggaran, signifikansi, kemampuan audit intern
Latar Belakang
Peran Aparat Pengawasan Intern Pemerintah (APIP) semakin strategis dan bergerak mengikuti kebutuhan pemangku kepentingan dan tantangan zaman. APIP diharapkan dapat menciptakan nilai tambah (value added) pada perbaikan tata kelola (governance), manajemen risiko (risk management)serta penguatan pengendalian (control).
Dalam rangka mencapai hal tersebut, APIP harus memiliki strategi pengawasan yang efektif, salah satunya melalui perencanaan pengawasan berbasis risiko. International Professional Practices Framework (IPPF) Tahun 2017 paragraf 2010 terkait perencanaan mengharuskan Pimpinan Audit Internal menyusun perencanaan berbasis risiko dalam rangka menetapkan prioritas kegiatan audit internal sesuai dengan tujuan organisasi. Hal ini dipertegas dalam Standar Audit Intern Pemerintah Indonesia paragraf 3010, pimpinan APIP menyusun rencana strategis dan rencana kegiatan audit intern tahunan dengan prioritas pada kegiatan yang mempunyai risiko terbesar dan selaras dengan tujuan APIP serta dengan mempertimbangkan prinsip kewajiban menindaklanjuti pengaduan dari masyarakat. Kedua standar tersebut menunjukkan pentingnya perencanaan pengawasan berbasis risiko untuk menentukan ruang lingkup pengawasan dan prioritas kegiatan yang akan diaudit dalam rangka pencapaian misi dan tujuan APIP.
Konsep Pe rencanaan Pengawasan Berbasis Risiko
Perencanaan pengawasan berbasis risiko merupakan metode penyusunan perencanaan pengawasan periodik menggunakan hasil manajemen risiko auditan. Perencanaan pengawasan disusun untuk periode 1 tahun yang berisi penugasan assurance (penjaminan) dan consulting (konsultansi) dengan mengidentifikasi dan memprioritaskan seluruh area Pemerintah Daerah (Pemda) yang memerlukan assurance (penjaminan) secara objektif termasuk proses manajemen risiko, manajemen risiko-risiko kunci, dan mencatat serta melaporkan risiko (Chartered Institute of Internal Auditors 2014). Perencanaan pengawasan akan fokus pada area yang memiliki risiko tinggi dan selaras dengan tujuan organisasi (Asosiasi Auditor Intern Pemerintah Indonesia 2014). Objek pengawasan yang tercakup dalam dokumen perencanaan pengawasan tahunan dapat berupa urusan/OPD/ program/kegiatan (auditable object).
Pada penyusunan perencanaan pengawasan sebelumnya, APIP pada umumnya mempertimbangkan faktor risiko auditan. Faktor risiko disusun berdasarkan pertimbangan APIP. Faktor risiko yang biasanya digunakan dalam memilih auditan antara lain besaran anggaran, jangka waktu audit terakhir, dan temuan hasil audit sebelumnya.
Dalam penyusunan perencanaan pengawasan berbasis risiko, APIP menghubungkan manajemen risiko dan rencana pengawasan. Untuk menghubungkan hasil manajemen risiko ke dalam perencanaan pengawasan, APIP menyusun audit universe. Audit universe merupakan seluruh populasi auditable object Pemda. Auditable object merupakan urusan/OPD/program/kegiatan Pemda yang dapat dilakukan pengawasan.
Penyusunan perencanaan pengawasan berbasis risiko tidak harus menunggu manajemen risiko auditan berada pada level tertentu. APIP dapat menyusun perencanaan pengawasan berbasis risiko ketika auditan belum atau telah menerapkan manajemen risiko (Internal Audit Community of Practice 2014). Pada saat organisasi mulai/sedang mengembangkan manajemen risiko, APIP memiliki kesempatan terbaik untuk melaksanakan perannya memberikan nilai tambah pada manajemen risiko organisasi (Griffiths 2005).
Pada auditan yang telah menerapkan manajemen risiko, APIP mengevaluasi level maturitas manajemen risiko (MR) dan berdiskusi dengan manajemen Pemda untuk memastikan keandalan register risikonya. Level maturitas ini digunakan sebagai bahan pertimbangan apakah tingkat risiko dalam register risiko dapat secara langsung atau masih memerlukan perbaikan untuk digunakan dalam penyusunan perencanaan pengawasan.
Level maturitas manajemen risiko bervariasi mulai dari level 1 sampai dengan level 5. Ketika maturitas manajemen risiko berada pada level 4 atau 5, APIP dapat menggunakan langsung informasi tingkat risiko auditan dalam penyusunan perencanaan pengawasan. Pada level lebih rendah (level 1 sampai 3), APIP mengevaluasi register risiko sebelum digunakan dalam penyusunan perencanaan pengawasan. Evaluasi dilakukan untuk meyakini bahwa register risiko telah up to date dan informasi yang relevan terkait penentuan tingkat risiko telah lengkap.
risiko auditan. Selain itu, APIP dapat menggunakan faktor risiko lain (Internal Audit Community of Practice 2014; The Institute of Internal Auditors 2017b, 2017a) yang relevan untuk menentukan urutan prioritas pada auditable object dan risiko auditan (Internal Audit Community of Practice 2014; The Institute of Internal Auditors 2017a, 2017b).
Faktor risiko yang dapat digunakan antara lain besaran anggaran, signifikansi terhadap pencapaian tujuan OPD, dan dampak kepada masyarakat. Faktor risiko lain tersebut digunakan dalam penyusunan perencanaan pengawasan agar APIP dapat mengalokasikan sumber daya pengawasan pada program/kegiatan berisiko tinggi dan signifikan terhadap pencapaian tujuan organisasi.
Panduan untuk memprioritaskan tingkat risiko auditan dalam proses penyusunan perencanaan pengawasan (Chartered Institute of Internal Auditors 2014; The Institute of Internal Auditors 2017a) yaitu:
1. Ukuran risiko inheren: makin besar risikonya makin tinggi prioritasnya.
2. Efektivitas mitigasi/respon/pengendalian dalam mengelola risiko: semakin besar pengurangan
risiko oleh suatu mitigasi/respon/pengendalian, makin tinggi prioritasnya.
3. Jumlah dan sifat assurance (penjaminan) oleh pihak lain (misal: BPK, BPKP, Itjen kementerian,
dll): ketika beberapa pihak menyediakan assurance pada sebuah mitigasi/respon/pengendalian, maka semakin rendah prioritasnya.
4. Kategori risiko yang menurut manajemen/komite audit (wakil pemerintah daerah) perlu
dilakukan assurance (penjaminan) yang objektif setiap periode.
Selain mempertimbangkan tingkat risiko auditan, APIP perlu mempertimbangkan kemampuannya dalam melaksanakan pengawasan seperti kompetensi dan jumlah personil, sumber daya lain (dana, waktu, dll) yang tersedia, serta kemampuan APIP untuk menjangkau lokasi auditan.
Oleh karena itu, terkait kemampuan APIP, ada kemungkinan auditan yang memiliki risiko tinggi dan signifikan terhadap pencapaian tujuan Pemda tidak tercakup dalam perencanaan pengawasan APIP. Atas kondisi tersebut, APIP harus mengidentifikasi dampak adanya keterbatasan kemampuan APIP dan mengomunikasikannya kepada jajaran pimpinan Pemda.
Langkah-langkah Umum Penyusunan Pe rencanaan Pengawasan Berbasis Risiko
Pada bagian ini akan dibahas bagaimana menggunakan informasi tentang risiko (tingkat risiko inheren dan efektivitas risk control) hasil manajemen risiko. Pertimbangan-pertimbangan dalam menggunakan informasi risiko tersebut antara lain:
1. jika belum ada dokumen register risiko
2. jika telah memiliki dokumen register risiko tetapi level maturitas manajemen risiko bervariasi (1-5)
3. bagaimana menentukan prioritas risiko-risiko inheren yang ada 4. bagaimana menentukan prioritas atas efektivitas risk control
penyusunan perencanaan pengawasan berbasis risiko), langkah- langkah umum penyusunan risk-based plan dapat diuraikan sebagai berikut:
1. Mengidentifikasi audit universe entitas
audit universe seluruh populasi auditable object suatu entitas. Auditable object merupakan bagian terkecil entitas yang dapak dilakukan pengawasan secara tersendiri atau bagian terbesar dari entitas yang audit internal mampu melakukan pengawasan(Internal Audit Community of Practice 2014).
Auditable object dapat diidentifikasi berdasarkan sistem, divisi, atau struktur entitas. Pendefinisian auditable object merupakan langkah pertama dalam penyusunan risk-based plan. Auditable object dapat didefinisikan berdasarkan ukuran- ukuran kuantitatif misalnya besaran anggaran. Contoh audit intern menetapkan auditable object berupa program/kegiatan yang memiliki anggaran Rp.2 miliar. Selain itu, auditable object juga dapat mempertimbangkan tahun pelaksanaan (misalnya kegiatan X pada divisi Y tahun 20XX).
Beberapa auditable object merupakan kegiatan yang telah dilaksanakan pada tahun sebelumnya (tahun n-1). Beberapa juga termasuk kegiatan yang dilaksanakan pada tahun pengawasan (tahun n).
Jadi, auditable object tidak harus menunggu sampai suatu kegiatan/proses selesai dilaksanakan. Bisa jadi, kegiatan/proses tersebut masih dilaksanakan (on going) dengan menentukan cut off pada tanggal tertentu atau selesai di tahun pengawasan (current year).
Bagan 1 Periode Auditable Object
Pengawasan pada kegiatan/proses yang masih on going memberikan manfaat yang lebih besar pada pencapaian tujuan dibandingkan kegiatan/proses yang telah selesai tahun sebelumnya. Manfaat- manfaat tersebut antara lain:
a. Jika suatu kegiatan/proses mengalami kendala, audit intern dapat membantu mengusulkan tindakan intervensi apa yang cocok untuk lebih meyakinkan tujuan dapat tercapai.
b. Hasil pengawasan pada kegiatan/proses on going dan current year dapat memperbaiki informasi keuangan entitas yang nantinya akan membantu menguatkan
Last Year
On Going/
kehandalan laporan keuangan pada akhir periode akuntansi. Dengan adanya pengawasan pada kegiatan/proses on going atau current year, jika ada informasi yang tidak valid akan dapat terdeteksi dan dilakukan tindakan korektif.
Pengawasan atas kegiatan yang on going dan current year akan mendeteksi adanya ketidakpatuhan. Atas deteksi tersebut, APIP dapat menjadi pengingat agar ketentuan perundangan dipatuhi oleh entitas.
c. Pengawasan atas kegiatan yang on going dan current year akan mendeteksi adanya kehilangan/kerusakan/masalah atas aset secara dini. Tindakan intervensi yang diperlukan dapat segera diusulkan dan dilaksanakan sebelum masalah aset menjadi besar.
Bagan 2 Langkah Umum Penyusunan Risk-Based Plan
Sumber: (Internal Audit Community of Practice 2014; The Institute of Internal Auditors 2017;
Griffiths 2005) – telah diolah.
Selanjutnya, audit intern menilai apakah entitas telah menerapkan manajemen risiko. Jika entitas:
a. Telah menerapkan manajemen risiko, lanjutkan ke langkah nomor 3. b. Belum menerapkan manajemen risiko, lanjutkan ke langkah nomor 5. 3. Menilai level maturitas manajemen risiko entitas.
Pada entitas yang telah menerapkan manajemen risiko, audit internal menilai level maturitasnya. Level maturitas akan menjadi pertimbangan apakah informasi tentang risiko dalam register risiko dapat digunakan secara langsung untuk penentuan prioritas auditable object atau perlu evaluasi tentang reliabilitas register risikonya.
Level maturitas manajemen risiko bervariasi mulai dari level 1 sampai level 5. Jika maturitas manajemen risiko entitas:
a. Berada pada level 4-5, lanjutkan ke langkah nomor 6. b. Berada pada level 1-3, lanjutkan ke langkah nomor 4. 4. Evaluasi reliabilitas register risiko
Evaluasi dilakukan terhadap proses penyusunan register risiko. Evaluasi bertujuan untuk menilai apakah informasi yang digunakan dalam mengidentifikasi dan menentukan tingkat risiko telah up to date dan telah lengkap.
Jika hasil evaluasi menyatakan:
a. Register risiko reliable, lanjutkan ke langkah nomor 6. b. Register risiko belum reliable, lanjutkan ke langkah nomor 5.
5. Memfasilitasi manajemen untuk melakukan risk assessment sampai menghasilkan dokumen risk assessment/register risiko.
6. Pemberian skor atas risiko inheren
Risiko inheren merupakan risiko sebelum adanya pengendalian. Tingkat risiko inheren dihitung dengan mengalikan skor probabilitas dan dampak.
Dalam rangka penyusunan r isk-based plan, audit intern mengambil informasi tingkat risiko inheren masing- masing auditable object. Risiko inheren dipilih yang memiliki tingkat tertinggi. Risiko inheren tersebut diambil informasi tentang tingkat risiko dan efektivitas risk control untuk ditentukan urutan prioritasnya.
Penentuan prioritas dilakukan dengan memberikan skor atas tingkat risiko inheren. Audit intern harus merancang tata cara pemberian skor atas tingkat risiko inheren auditable object.
Selain itu, Audit intern dapat mempertimbangkan faktor- faktor risiko1 lain yang akan digunakan untuk menentukan prioritas auditable object. Rancangan skor untuk menentukan prioritas auditable object dibuat dalam skala yang seragam, misalnya skala 1 – 5.
Selain mempertimbangkan tingkat risiko inheren, pemberian skor dalam penentuan prioritas auditable object juga mempertimbangkan risiko yang telah menjadi masalah. Risiko yang telah menjadi masalah dipertimbangkan untuk diberikan skor tertinggi. Logikanya, risiko yang merupakan potensi masalah (belum terjadi) dalam mencapai
1
tujuan saja dipertimbangkan sebagai faktor utama dalam penentuan prioritas auditable object. Apalagi jika risiko telah nyata-nyata menjadi masalah.
7. Pemberian skor atas efektivitas risk control
Efektivitas risk control merupakan pengurangan tingkat risiko inheren ke level risk appetite. Semakin tinggi efektivitas risk control maka semakin tinggi prioritasnya.
Selain itu, audit intern juga mempertimbangkan r isk control yang:
a. Tidak ada (do nothing/a ccept) pada risiko inheren di bawah risk appetite. Pada kondisi demikian, risk control diberikan skor rendah.
b. Gagal menurunkan tingkat risiko inheren ke level risk appetite. Pada kondisi ini, risk control diberikan skor tertinggi.
8. Pemberian skor faktor risiko lain
Faktor risiko lain yang dapat dipertimbangkan antara lain: a. Materialitas keuangan
Materialitas keuangan diukur berdasarkan persentase anggaran auditable object terhadap total anggaran entitas. Semakin material anggaran suatu auditable object maka semakin tinggi prioritasnya.
b. Kontribusi terhadap keberhasilan entitas
Audit intern menilai kontribusi suatu auditable object terhadap keberhasilan entitas. Biasanya, kegiatan rutin dianggap kurang signifikan kontribusinya terhadap pencapaian tujuan entitas kecuali merupakan kegiatan inti (core business).
Semakin signifikan suatu auditable object terhadap keberhasilan entitas maka semakin tinggi prioritasnya.
c. Kemampuan audit intern
Untuk menilai kemampuan tim audit intern untuk melaksanakan pengawasan pada suatu auditable object, audit intern perlu menetapkan terlebih dahulu manfaat pengawasan. Manfaat pengawasan merupakan manfaat yang diharapkan dapat diberikan oleh suatu penugasan pengawasan terhadap perbaikan proses governance, risk management, dan/atau internal control (Badan Pemeriksa Keuangan Republik Indonesia 2011).
Manfaat pengawasan dirancang pada saat penentuan prioritas selain untuk menilai kemampuan audit intern juga sekaligus untuk memfokuskan tujuan pengawasan serta bermanfaat pada saat pengalokasian sumber daya pengawasan.
Semakin mampu audit intern untuk mewujudkan manfaat pengawasan maka semakin tinggi prioritasnya.
Hal-hal yang dipertimbangkan dalam penilaian kemampuan audit intern (Badan Pemeriksa Keuangan Republik Indonesia 2011) yaitu:
masing-masing kelompok auditable object (misalnya berdasarkan divisi, dinas, dll). Hal tersebut untuk menghindari terjadinya kondisi urutan ranking atas berasal dari satu kelompok saja.
10. Penetapan audit object
Sebelum penetapan sebagai audit object, audit intern perlu mendefinisikan kapasitas pengawasan. Kapasitas pengawasan adalah jumlah penugasan pengawasan yang mampu dilaksanakan oleh audit intern dalam jangka waktu tertentu (biasanya tahunan).
DAFTAR REFER ENSI
Badan Pemeriksa Keuangan Republik Indonesia. 2011. Keputusan Badan Pemeriksa Keuangan Republik Indonesia Nomor /K/I-Xiii.2/12/2011 Tentang Petunjuk Pelaksanaan Pemeriksaan K inerja. Jakarta.
Griffiths, P. 2005. Risk-based Auditing. Aldershot, England: Gower Publishing Limited.
Internal Audit Community of Practice. 2014. Risk Assessment In Audit Planning. In A guide for auditors on how best to assess risks when planning audit work.
