MENJADI RISK & CONTROL EXPERT : MEMELIHARA PROFESIONALISME DAN KOMPETENSI PENGAWAS INTERN. Oleh : Slamet Susanto, Ak., CRMP.

Transkripsi

1 MENJADI RISK & CONTROL EXPERT : MEMELIHARA PROFESIONALISME DAN KOMPETENSI PENGAWAS INTERN Oleh : Slamet Susanto, Ak., CRMP Abstract Auditor Internal dituntut untuk mampu melaksanakan perannya memberikan jasa assurance dan konsultasi yang independen dan obyektif untuk memberikan nilai tambah serta meningkatkan kelancaran operasi organisasi dengan menggunakan pendekatan sistematis dan teratur untuk mengevaluasi dan meningkatkan efektivitas manajemen risiko, pengendalian, dan proses governance. Agar dapat melaksanakan peran tersebut secara profesional, Auditor Internal dituntut untuk meningkatkan dan memelihara profesionalisme dan kompetensinya dalam manajemen risiko, pengendalian, dan proses governance dengan strategi antara lain menjadi risk & control expert dengan memelihara profesionalisme dan kompetensi auditor internal. Kompetensi yang diperlukan untuk memenuhi peran auditor internal dalam memberikan jasa assurance dan konsultasi perbaikan manajemen risiko & pengendalian adalah memiliki pengetahuan tentang manajemen risiko & pengendalian dan mengupdate pengetahuan terkini atas bestpractices penerapan manajemen risiko & pengendalian; mampu menjadi fasilitator dalam pelaksanaan risk assessment perusahaan atau control and risk self assessment unit kerja; mampu mengidentifikasi potensi terjadinya kecurangan dan bagaimana organisasi mengelola risiko kecurangan; mampu mengevaluasi efektivitas penerapan manajemen risiko & pengendalian, memberikan opini kepada Direksi atas kecukupan penerapan manajemen risiko & pengendalian dalam pencapaian tujuan perusahaan, dan menilai tingkat kematangan (maturity level) manajemen risiko perusahaan; mampu memberikan feedback perbaikan proses bisnis perusahaan dengan cara melakukan audit dengan pendekatan berbasis risiko. A. PENDAHULUAN Institute of Internal Audit (IIA) telah mengeluarkan Standar Profesi dan Kode Etik Internal Audit sebagai acuan bagi Auditor Internal melaksanakan perannya. IIA telah mengeluarkan Kerangka Kerja berupa The Institute of Internal Auditors International Professional Practices Framework (IPPF) tahun Dengan dikeluarkannya standar profesi dan kode etik tersebut, profesi Auditor Internal dituntut untuk mampu melaksanakan perannya memberikan jasa assurance dan konsultasi yang independen dan obyektif untuk memberikan nilai tambah serta meningkatkan kelancaran operasi organisasi dengan menggunakan pendekatan sistematis dan teratur untuk mengevaluasi dan meningkatkan efektivitas manajemen risiko, pengendalian, dan proses governance. Agar dapat melaksanakan peran tersebut secara profesional, Auditor Internal dituntut untuk meningkatkan dan memelihara profesionalisme dan kompetensinya dalam manajemen risiko, pengendalian, dan proses governance. Makalah ini

2 menjelaskan pandangan tentang latar belakang, tujuan, dan cara bagaimana menjadi risk & control expert dengan memelihara profesionalisme dan kompetensi auditor internal. B. PARADIGMA BARU INTERNAL AUDIT 1. Definisi Internal Audit Kegiatan assurance dan konsultasi yang independen dan obyektif yang dirancang untuk memberi nilai tambah serta meningkatkan kelancaran operasi suatu organisasi. Kegiatan tersebut membantu organisasi mencapai tujuannya dengan menggunakan pendekatan sistematis dan teratur untuk mengevaluasi dan meningkatkan efektivitas manajemen risiko, pengendalian dan proses governance. Jasa Assurance diartikan sebagai kegiatan pengujian bukti-bukti secara obyektif dengan maksud memberi penilaian secara independen atas tata kelola organisasi, manajemen risiko, dan proses pengendalian dalam organisasi. Misalnya : penugasan untuk memberi keyakinan atas keuangan, kinerja, kepatuhan, keamanan sistem, dan uji tuntas. Jasa Konsultasi diartikan sebagai pemberian saran dan aktivitas lain yang terkait dengan pemberian jasa kepada klien, dengan sifat dan lingkup yang disepakati dengan klien, dimaksudkan untuk memberi nilai tambah dan memperbaiki tata kelola, manajemen risiko, dan proses pengendalian dalam organisasi tanpa mempertimbangkan asumsi auditor atas tanggung jawab manajemen. Misalnya : konseling, pemberian saran, fasilitasi, dan pelatihan. 2. Paradigma Baru Internal Audit Terdapat pergeseran peran auditor internal dari sebagai watchdog dalam perusahaan menjadi konsultan intern dan katalisator. Peran konsultan akan memberikan nilai tambah dan memperbaiki tata kelola, manajemen risiko, dan proses pengendalian dalam organisasi. Sedangkan peran katalisator akan memberikan jasa kepada manajemen melalui saran-saran yang bersifat konstruktif dan dapat diaplikasikan bagi perbaikan operasi perusahaan. Peran assurance saat ini mengharuskan auditor internal memperbaiki metode atau tool untuk melakukan audit, seperti audit berbasis risiko. Sedangkan peran konsultan dan katalisator mempunyai konsekuensi membawa internal auditor untuk selalu meningkatkan kompetensinya di bidang manajemen risiko, pengendalian, dan proses governance.

3 C. ATURAN YANG MELANDASI AUDITOR INTERNAL MENJADI RISK & CONTROL EXPERT Standar profesi dan kode etik audit internal serta kerangka kompetensi auditor internal yang dikeluarkan oleh IIA telah mengatur tentang butir-butir aturan latar belakang keharusan auditor internal menjadi risk & control expert berikut ini. 1. Standar Profesi dan Kode Etik Audit Internal a. Standar Profesi Standar internasional untuk praktik profesional internal audit tahun 2009 mengatur sebagai berikut: Standar Atribut butir 1210 mengenai keahlian dinyatakan bahwa auditor internal harus memiliki pengetahuan, keterampilan, dan kompetensi lainnya yang dibutuhkan untuk melaksanakan tanggung jawab individualnya. Aktivitas Audit Internal secara kolektif harus memiliki atau mendapatkan pengetahuan, keterampilan, dan kompetensi lain yang dibutuhkan untuk melaksanakan tanggung jawabnya. Standar Atribut butir 1230 mengenai pengembangan profesional yang berkelanjutan dinyatakan bahwa auditor internal harus meningkatkan pengetahuan, keterampilan, dan kompetensi lainnya melalui pengembangan profesional yang berkelanjutan. Standar Kinerja butir 2120 mengenai manajemen risiko dinyatakan bahwa aktivitas internal audit harus mengevaluasi efektivitas dari dan berkontribusi pada perbaikan proses manajemen risiko. Selanjutnya pada butir 2120.A2 dinyatakan bahwa aktivitas internal audit harus mengevaluasi potensi terjadinya kecurangan dan bagaimana organisasi mengelola risiko kecurangan. Standar Kinerja butir 2130 mengenai pengendalian intern dinyatakan bahwa aktivitas internal audit harus menilai organisasi dalam mempertahankan pengendalian yang efektif dengan mengevaluasi efektivitas dan efisiensinya dan dengan mendorong perbaikan yang berkelanjutan. Standar Kinerja butir 2201 mengenai pertimbangan perencanaan dinyatakan bahwa dalam merencanakan sebuah penugasan, internal auditor harus mempertimbangkan: Tujuan dari aktivitas yang direviu dan cara yang digunakan agar aktivitas dapat mengendalikan kinerjanya

4 Risiko signifikan pada aktivitas, tujuannya, sumber daya, serta kegiatan dan cara yang digunakan agar potensi dampak dari risiko terjadi pada tingkat yang dapat diterima Kecukupan dan efektivitas aktivitas manajemen risiko serta proses pengendalian dibandingkan dengan kerangka kerja atau model pengendalian yang relevan, dan Peluang untuk membuat peningkatan signifikan pada aktivitas manajemen risiko dan proses pengendalian Standar Kinerja butir 2600 mengenai resolusi penerimaan risiko oleh manajemen senior dinyatakan bahwa pada saat Chief Audit Executive mempercayai bahwa manajemen senior menerima tingkat risiko residual yang mungkin tidak dapat diterima oleh organisasi, maka Chief Audit Executive harus mendiskusikan masalah tersebut dengan manajemen senior. Apabila keputusan terkait risiko residual tidak terpecahkan, Chief Audit Executive harus melaporkan masalah tersebut kepada Dewan untuk diselesaikan. b. Kode Etik Kode etik auditor internal menyatakan bahwa auditor internal diharapkan menerapkan dan menegakkan prinsip-prinsip integritas, obyektivitas, kerahasiaan, dan kompetensi. Prinsip kompetensi berarti bahwa auditor internal menerapkan pengetahuan, keterampilan, dan pengalaman yang diperlukan dalam pelaksanaan layanan audit internal, dengan memperhatikan bahwa auditor internal: 1) Hanya akan menerima pekerjaan apabila memiliki pengetahuan, keterampilan, dan pengalaman yang diperlukan 2) Akan melaksanakan pekerjaan internal audit sesuai dengan Standar Internasional Praktik Profesional Audit Internal 3) Akan terus menerus meningkatkan kecakapan dan efektivitas serta kualitas jasanya. 2. Kerangka Kompetensi Auditor Internal IIA telah mengembangkan kerangka kompetensi auditor internal untuk menguraikan tingkat minimum pengetahuan, keterampilan dan kompetensi yang diperlukan auditor internal dan aktivitas audit internal agar dapat secara efektif melaksanakan tanggung jawab profesionalnya. Kerangka kompetensi tersebut dibagi menjadi empat bidang, yaitu:

5 a. Keahlian Antarpersonal (Interpersonal Skills) Keahlian antarpersonal adalah kemampuan yang dibutuhkan untuk berinteraksi dengan orang lain secara efektif. Dalam bidang keahlian ini seorang auditor internal dipersyaratkan antara lain mampu membuat pengaruh dan memanfaatkan taktik persuasi, menyampaikan pesan dengan jelas dan meyakinkan, serta mau mendengarkan. Selain itu, dia juga harus mampu melakukan fungsi manajemen seperti mengembangkan kebijakan dan prosedur, staffing, perencanaan, penetapan prioritas, mengelola kinerja, dan juga fokus pada customer. Selanjutnya seorang auditor internal juga harus mampu mengelola waktu, menginspirasi orang lain, menjadi katalis perubahan, berkolaborasi dan kooperasi, mengelola konflik, serta menciptakan sinergi kelompok. b. Peralatan dan Teknik (Tools and Techniques) Dalam hal-hal teknis seorang auditor internal diharapkan mampu menggunakan alat-alat riset operasional dan manajemen, teknik forecasting, manajemen projek, analisis proses bisnis, Balance Scorecard, teknik penilaian risiko, pengendalian, dan governance, teknik pengumpulan data dan teknik analisis (sampling, ekstraksi/pengumpulan data, data mining, korelasi, analisis tren, wawancara, kuesioner, checklist), alat dan teknik pemecahan masalah, serta teknik audit berbantuan komputer (TABK) bila diperlukan c. Standar, Teori, dan Metodologi Audit Internal Sebagai kompetensi inti seorang auditor internal wajib memahami definisi audit internal, kode etik, standar atribut dan standar kinerja yang diatur dalam standar internasional audit internal. Standar atribut meliputi antara lain maksud, wewenang, dan tanggung jawab audit internal, independensi, keahlian, due professional care, pendidikan berkelanjutan, serta quality assurance. Sedangkan standar kinerja meliputi antara lain manajemen audit internal, seperti: perencanaan, manajemen sumber daya, kebijakan dan prosedur, koordinasi, dan pelaporan kegiatan. Dalam standar kinerja juga diatur mengenai perencanaan, pelaksanaan, pelaporan, dan pemantauan tindak lanjut penugasan. d. Area-area pengetahuan (Knowledge Areas) Area pengetahuan adalah bidang-bidang pengetahuan yang harus dikuasai auditor internal karena sangat berhubungan dengan nature lingkup kerja auditor internal, antara lain: akuntansi keuangan dan manajemen keuangan, akuntansi manajerial, hukum dan ketentuan perundang-undangan, hukum, ekonomi, kualitas, etika dan kecurangan teknologi informasi, serta teori dan perilaku organisasi.

6 D. MENJADI RISK & CONTROL EXPERT 1. Peran Internal Audit dalam Manajemen Risiko a. Peran Internal Audit dalam Memberikan Assurance dan Konsultasi atas perbaikan Manajemen Risiko The Institute of Internal Auditor (IIA) bekerja sama dengan Afiliasi IIA di Inggris dan Irlandia, telah mengeluarkan sebuah makalah posisi (position paper) dengan judul The Role of Internal Auditing in Enterprise-wide Risk Management. Tujuan makalah ini adalah untuk membantu Kepala Eksekutif Audit dalam menanggapi isu-isu Enterprise Risk Management (ERM) dalam organisasi mereka. Makalah ini memberikan pedoman bagi auditor internal untuk mempertahankan objektivitas dan independensi yang dipersyaratkan oleh Standar Internasional untuk Praktik Profesional Audit Internal ketika mereka memberikan layanan pemastian (assurance) dan layanan konsultasi. Peran inti audit internal yang berkaitan dengan ERM adalah untuk memberikan layanan pemastian yang objektif bagi Dewan mengenai efektivitas kegiatan ERM organisasi. Pemastian ini membantu meyakinkan bahwa risiko bisnis kunci telah dikelola dengan tepat, dan bahwa sistem pengendalian internal telah berjalan secara efektif. Faktor utama yang harus dipertimbangkan oleh Chief Audit Executive saat menentukan peran audit internal adalah apakah suatu kegiatan menimbulkan ancaman terhadap independensi dan objektivitas auditor internal serta apakah memang terdapat kemungkinan untuk meningkatkan proses manajemen risiko organisasi, kontrol, dan proses tata kelola. Peran auditor internal bervariasi dalam proses ERM bergantung pada kematangan proses ERM dalam organisasi. Sebelum auditor internal melaksanakan apapun peran yang terkait dengan ERM, harus dipastikan terlebih dahulu bahwa seluruh organisasi sepenuhnya memahami bahwa tanggung jawab manajemen risiko terutama berada pada manajemen. Makalah posisi IIA memberikan pedoman peran internal audit mana yang harus, boleh, dan tidak boleh dimainkan di dalam proses ERM organisasi. Peran inti audit internal dalam ERM adalah kegiatan yang berhubungan dengan layanan pemastian yang meliputi: Memberikan keyakinan pada desain dan efektivitas proses manajemen risiko. Memberikan keyakinan bahwa risiko dievaluasi dengan benar. Mengevaluasi proses manajemen risiko. Mengevaluasi pelaporan mengenai status dari risiko-risiko kunci dan pengendaliannya.

7 Meninjau pengelolaan risiko-risiko kunci, termasuk efektivitas dari pengendalian dan respons lain terhadap risiko-risiko tersebut. Peran tambahan lain yang boleh dilaksanakan dalam layanan konsultasi dengan dibarengi pengamanan independensi dan objektivitas yang cukup, antara lain: Memulai pembentukan ERM dalam organisasi. Mengembangkan strategi manajemen risiko bagi persetujuan Dewan. Memfasilitasi identifikasi dan evaluasi risiko. Pelatihan manajemen tentang merespons risiko. Mengoordinasikan kegiatan ERM. Mengonsolidasi laporan mengenai risiko. Memelihara dan mengembangkan kerangka ERM. Peran dalam ERM yang TIDAK boleh dilakukan auditor internal adalah: Mengatur minat risiko (risk appetite). Menerapkan proses manajemen risiko. Menjamin manajemen risiko Membuat keputusan pada respons risiko. Menerapkan respons dan manajemen risiko atas nama manajemen. Akuntabilitas manajemen risiko. b. Peran Internal Audit dalam Mendeteksi Potensi Terjadinya Kecurangan Walaupun internal auditor tidak dapat menjamin bahwa kecurangan tidak akan terjadi, namun ia harus menggunakan kemahiran jabatannya dengan seksama sehingga diharapkan mampu mendeteksi terjadinya kecurangan dan dapat memberikan saran-saran yang bermanfaat kepada manajemen untuk mencegah terjadinya kecurangan. Internal auditor harus memahami bagaimana cara mendeteksi secara dini terjadinya kecurangankecurangan yang timbul. Tindakan pendeteksian tersebut tidak dapat di generalisir terhadap semua kecurangan. Masing-masing jenis kecurangan memiliki karakteristik tersendiri, sehingga untuk dapat mendeteksi kecurangan perlu kiranya pemahaman yang baik terhadap jenis-jenis kecurangan yang mungkin timbul dalam perusahaan. Auditor tidak menjamin bahwa semua kecurangan terdeteksi, tetapi harus melaksanakan kemahiran profesionalnya di dalam merencanakan, melaksanakan dan mengevaluasi hasil prosedur auditnya, sehingga dapat memperoleh keyakinan yang memadai bahwa kekeliruan, ketidakberesan, dan ketidaktaatan yang material dapat dideteksi.

8 Sejalan dengan tanggung jawab profesi auditor serta dalam rangka memenuhi harapan masyarakat tersebut, maka dalam setiap perencanaan dan pelaksanaan auditnya, auditor harus mempertimbangkan risiko kecurangan. Sehubungan dengan hal tersebut, maka auditor hendaknya menempuh langkah berikut berkaitan dengan risiko kecurangan. a. Mengenali kemungkinan kecurangan terkait dengan kegiatan/ substansi masalah/hal yang akan diaudit. b. Menetapkan pengendalian yang seharusnya ada, dalam rangka memastikan bahwa risiko kecurangan di atas tidak akan terjadi. c. Mengidentifikasi apakah pengendalian yang seharusnya ada tersebut benar-benar diterapkan atau tidak diterapkan oleh perusahaan. d. Menetapkan tingkat kemungkinan terjadinya (likehood) serta dampak (consequences) kecurangan tersebut, untuk menetapkan ranking risikonya. e. Memilih risiko kecurangan yang akan didalami dalam kegiatan audit. Kompetensi yang diperlukan untuk memenuhi peran auditor internal dalam memberikan jasa assurance dan konsultasi perbaikan manajemen risiko adalah: a. Memiliki pengetahuan tentang manajemen risiko dan mengupdate pengetahuan terkini atas best practices penerapan manajemen risiko; b. Mampu menjadi fasilitator dalam pelaksanaan risk assessmeent perusahaan atau control and risk self assessment unit kerja; c. Mampu mengidentifikasi potensi terjadinya kecurangan dan bagaimana organisasi mengelola risiko kecurangan; d. Mampu mengevaluasi efektivitas penerapan manajemen risiko, memberikan opini kepada Direksi atas kecukupan penerapan manajemen risiko dalam pencapaian tujuan perusahaan, dan menilai tingkat kematangan (maturity level) manajemen risiko perusahaan; e. Mampu memberikan feedback perbaikan proses bisnis perusahaan dengan cara melakukan audit dengan pendekatan berbasis risiko. Agar dapat melakukan peran tersebut disarankan Auditor Internal memiliki sertifikasi keahlian di bidang manajemen risiko, seperti CRMP atau CRMA, dan memiliki tool untuk melakukan risk assessment, control and

9 risk self assessment, identifikasi potensi terjadinya kecurangan, evaluasi efektivitas penerapan manajemen risiko, dan risk based audit. 2. Peran Internal Audit dalam Pengendalian Intern Penerapan pengendalian intern di organisasi merupakan tanggung jawab manajemen. Namun demikian, pelaksanaan fungsi audit internal juga terkait sangat erat dengan pengendalian intern yang diterapkan oleh manajemen. Dalam setiap perencanaan dan pelaksanaan kegiatannya, audit intern harus mempertimbangkan apakah pengendalian yang diterapkan oleh manajemen telah memadai untuk menjamin tercapainya tujuan organisasi, dan harus memperhatikan kemungkinan adanya masalah pengendalian yang signifikan. Penilaian terhadap kecukupan pengendalian di unit kerja organisasi menjadi dasar bagi audit intern dalam menetapkan audit universe, dan luasnya sample audit. Dalam pelaksanaan kegiatan konsultasi, internal auditor juga harus memperhatikan pengendalian yang selaras dan mendukung pencapaian tujuan organisasi / unit kerja yang terkait. Fungsi audit internal juga harus mengevaluasi kecukupan dan efektivitas sistem pengendalian intern, yang mencakup governance, kegiatan operasi dan sistem informasi organisasi. Evaluasi sistem pengendalian intern harus mencakup efektivitas dan efisiensi kegiatan operasi, keandalan dan integritas informasi, kepatuhan terhadap peraturan perundang-undangan, dan pengamanan aset organisasi. Chief Audit Executive harus mengkomunikasikan opini menyeluruh mengenai efektivitas proses pengelolaan risiko dan pengendalian intern organisasi kepada pimpinan organisasi, dewan pengawas, dan komite audit. Pelaporan hasil penilaian atas proses pengelolaan risiko dan pengendalian biasanya disampaikan setahun sekali oleh kepala fungsi audit internal kepada pimpinan senior dan dewan pengawas organisasi. Apabila dari hasil penilaian terungkap adanya penyimpangan dan kelemahan yang signifikan dan meluas pada sebagian besar unit/fungsi/kegiatan organisasi dalam proses pengelolaan risiko dan pengendalian intern, maka opini yang disajikan pada laporan hasil evaluasi adalah opini kualifikasi (qualified opinion) atau opini yang menyatakan bahwa proses pengelolaan risiko dan pengendalian intern ternyata tidak berfungsi dengan efektif (adverse opinion). Kompetensi yang diperlukan untuk memenuhi peran auditor internal dalam memberikan jasa assurance dan konsultasi perbaikan pengendalian intern adalah:

10 a. Memiliki pengetahuan tentang pengendalian intern dan mengupdate pengetahuan terkini atas best practices penerapan pengendalian intern; b. Mampu menjadi fasilitator dalam pelaksanaan control and risk self assessment unit kerja; c. Mampu mengidentifikasi kelemahan pengendalian intern untuk mengetahui potensi terjadinya kecurangan; d. Mampu mengevaluasi efektivitas penerapan pengendalian intern, memberikan opini kepada Direksi atas kecukupan penerapan pengendalian intern atas laporan keuangan perusahaan; Agar dapat melakukan peran tersebut disarankan Auditor Internal memiliki sertifikasi keahlian di bidang pengendalian intern, seperti Certified Control Self Assessment, dan memiliki tool untuk melakukan control and risk self assessment, identifikasi kelemahan pengendalian intern untuk mengetahui potensi terjadinya kecurangan, dan evaluasi efektivitas penerapan pengendalian intern atas laporan keuangan perusahaan. Selain itu, Auditor Internal harus meningkatkan pengetahuan, keterampilan, dan kompetensi tersebut melalui pengembangan profesional yang berkelanjutan. E. SIMPULAN Berdasarkan hasil uraian diatas dapat disimpulkan beberapa hal sebagai berikut: 1. Menjadi risk & control expert, memelihara profesionalisme dan kompetensi auditor intern merupakan salah satu wujud kepatuhan auditor intern terhadap standar profesi dan kode etik. 2. Auditor internal dituntut memiliki keahlian di bidang manajemen risiko dan pengendalian dengan cara mengikuti pendidikan dan pelatihan serta sertifikasi manajemen risiko dan pengendalian, seperti CRMP/CRMA, dan CCSA 3. Auditor internal disarankan memiliki tool atau perangkat pendukung untuk menerapkan perannya dalam memberikan jasa assurance dan konsultasi di bidang manajemen risiko dan pengendalian 4. Auditor Internal harus meningkatkan pengetahuan, keterampilan, dan kompetensi melalui pengembangan profesional yang berkelanjutan.

11 DAFTAR PUSTAKA - The Institute of Internal Auditors International Professional Practices Framework (IPPF) January Position Paper : The Role of Internal Auditing in Enterprise-wide Risk Management, 2004