Chapter 7 - Internal Control and Control

Risk
Notes:
Material itu bukan angka tp apa yang ngebuat org tersebut mengubah keputusannya.
Contoh ada suatu informasi, gara” informasi itu jadi beli atau gk jadi beli.
Salah satu dasar untuk menentukan sampling atau tingkat materialitas adalah
menentukan tingkat resiko.
Gimana cara menurunkan resiko? Dengan menggunakan internal control.
Auditor harus punya sikap skeptisme terhadap klien. Saat Auditor menerima klien
maka ia harus mempertimbangkan resiko nya apa saja.
Di Audit ada istilah Resiko Bawaan (Inherent Risk).
Contoh: Kalo kita audit kas, ada resiko kas hilang. maka untuk menghindari hal itu
dilakukan pengecekan.
Resiko Kas -> bisa hilang
Resiko inventory -> bisa hilang, kadaluwarsa, menyusut/ habis/ menguap (gas, air, dll)
Resiko bawaan itu gak bisa dihilangkan karena ia melekat. Resiko ini dibilang bawaan
kalo gk ada campur tangan manusia.
Misal dalam persediaan, kita mau mengontrol resiko kehilangan persediaan dengan cara
mengunci gudang. Resiko persediaan hilang bakal masih ada, tapi memperkecil resiko
tersebut. → Ini bukan Resiko Bawaan lagi. Mengunci gudang itu salah satu contoh Internal
Control. Resiko yang tersisa itu namanya Control Risk. (Resiko yg tersisa akibat
Internal Control)
Contoh lain: Persediaan Susu. Ada resiko kalo susu nya rusak (ada exp date).
Internal controlnya bisa dengan cara menaruh susu tersebut di dalam kulkas dengan
tujuan memperpanjang umur susu tersebut. Jadi walaupun sudah taruh di kulkas,
tetap saja ada kemungkinan untuk expired (resiko yg tersisa).
Kalo Internal Control nya Bagus → Resiko nya jadi lebih Kecil.

Menurut COSO, Internal Control adalah

Suatu proses, yang dipengaruhi oleh dewan direksi, manajemen, dan personel lain suatu
entitas, yang dirancang untuk memberikan keyakinan memadai mengenai pencapaian tujuan
dalam kategori berikut:
efektivitas dan efisiensi operasi, keandalan pelaporan keuangan, kepatuhan terhadap hukum
dan peraturan yang berlaku dan pengamanan aset terhadap akuisisi, penggunaan atau
disposisi yang tidak sah.

Notes:
Ada 4 tujuan utama Internal Control:
1. Mengamankan Asset → Tujuannya supaya assetnya aman
2. Data Akuntansi jadi dapat lebih terpercaya → Dengan internal control yang bagus
berarti data akuntansi yg dihasilkan perusahaan tersebut mutunya tinggi, resiko salah saji nya

1
 rendah. Kenapa bisa gitu? Karena saat mau di jurnal ada yg periksa, pas udah jadi ada sistem
komputer yg ngeliat debet credit nya sama atau tidak. Jadi Data Accounting jadi terjamin.
3. Efisiensi → Dengan adanya internal control jadi ada pembagian tugas, sehingga tercipta
Efisiensi. Misal si A tugas nya A, Si B tugas nya B. Contoh lain: bagian penjualan haus
mencetak sales order 3 rangkap karena dibutuhkan 3 rangkap saja, kalo lebih dr itu jd gak
efisien.
4. Ditaatinya seluruh kebijakan manajemen atau peratuan yg ada → Kalo ada internal
control kita jadi menuruti peraturan / undang” yg ada. Misal Perusahaan Tbk harus
menyampaikan lap. Keuangan 3 bulan setelah tutup buku, kalo ada internal control lap
keuangan bisa jadinya tepat waktu. Kalo lap. Keuangan jadi tepat waktu maka peraturan bisa
ditaati.

Tujuan Sistem Pengendalian Manajemen:

● Operasi yang efektif: Tujuan pengamanan aset (uang tunai, piutang, catatan akuntansi).
● Pelaporan keuangan: Kebutuhan akan informasi yang akurat karena manajemen
memiliki tanggung jawab untuk melihat bahwa laporan disusun secara wajar sesuai
dengan standar akuntansi. Auditor tertarik terutama pada pengendalian pelaporan
keuangan (terutama pengendalian atas transaksi).
● Kepatuhan: Perusahaan harus mematuhi banyak undang-undang dan peraturan
termasuk undang-undang perusahaan, undang-undang perpajakan, dan peraturan
perlindungan lingkungan.

Notes:
1. Operasi yg efektif → misal kegiatan jual beli barang berjalan dengan lancar dan aman.
2. Pelaporan keuangan → dapat dipercaya datanya
3. Kepatuhan / Ketaatan

Dari ketiga tujuan SPM menurut yg dibawah ini paling penting yg mana?
● External Auditors? Paling penting yang Pelaporan keuangan.
● Managements? Operasi yg efektif untuk pengamanan Asset (Safeguard of Asset)
● Goverment Auditors ? Pelaporan Keuangan.
● Internal Auditors? Operasi yg efektif, efisiensi
● The shareholders ? Pelaporan Keuangan
● Employees? Pelaporan keuangan, bia dapet bonus

Hubungan antara Audit dengan Internal Control

Auditor harus memahami internal control klien. Tujuannya adalah untuk melihat apakah
internal control klien cukup efektif atau tidak. Kalo Internal Control Bagus, maka Control Risk
rendah. Konsekuensi bagi auditor kalo Internal control klien bagus adalah sebagai auditor, ia
akan lebih percaya terhadap laporan keuangan yang dibuat klien (transaksi sudah tercatat
misal), jadi kalo auditor mau ambil sampling gak perlu banyak”. Tingkat materialitas nya juga
bisa ditinggiin, sample yg diambil semakin dikit. Misal: kalo ambil tingkat materialitas yg 2 juta,
kalo ada pembayaran yg 2,5 juta maka akan diambil sebagai sampling. Tapi kalo ambil tingkat
materialitas nya 5 juta, maka pembayaran 2,5 juta gak bisa dijadiin sampling. (Tingkat
Materialitas Tinggi, Sampling Dikit)

2
Siapa yang bertanggung jawab terhadap Internal Control? Management.
Auditor tidak bertanggung jawab dengan Internal Control Perusahaan Klien.(Istilah nya ini tuh
bukan rumah audito jadi gk ada urusannya sm auditor). Maka nanti di akhir auditor akan
menghasilkan report, yaitu Management Letter. Isi Management Letter adalah Auditor
memberikan komentar internal control klien dan memberikan saran perbaikan internal
control itu. (kyk di SIA revaluasi internal control). Management Report diberikan bersamaan
dengan Audit Reoport ke klien.

Sistem Komputerisasi pada Internal Control ada 2:

1. General Control → pengendalian yang bersifat general/umum. Misal harus ada password/ PIN,
komputer harus ada ditempat yang ber AC, Akses komputer harus dibatasi. Contoh lain: org
keuangan punya tugas menerima tagihan menghapus piutang, kalo auditor ketemu, harus tanya
siapa saja yg bisa akses. Gak boleh sembarang org akses karena bisa aja org itu hapus” in
piutang” perusahaan karena dia di bayar.
2. Application Control → Aplikasi dari sistem nya. Bisa dibagi menjadi 3: Input control, process
control, dan output control.
● Input control : contoh nya, kalo ngetik di komputer, apa yg kita ketik adalah yang
keluar dilayar (echo check). Tujuannya adalah agar tidak terjadi kesalahan saat
melakukan input.
● Process control : contoh nya, neraca saldo itu gak harus dibuat saat melakukan
lap. Keuangan. Tetapi ini dilakukan untuk melakukan pengecekan saat proses
berjalan apakah debet kredit nya balance atau tidak.
● Output control : output dari suatu SIA adalah Laporan Keuangan. Jadi apakah
lap keuangan ini outputnya sudah bener atau belum. Maksudnya adalah yang
membaca lap. Keuangan sudah benar atau belum, misal lap keuangan dibagi ke
org gudang (gak nyambung jadinya).

IT Risks:
● Ketergantungan pada sistem atau program yang memproses data secara tidak akurat,
memproses data yang tidak akurat, atau keduanya.
● Akses tidak sah ke data yang dapat mengakibatkan kerusakan data atau perubahan
data yang tidak semestinya.
● Kemungkinan personel TI mendapatkan hak akses di luar yang diperlukan untuk
melakukan tugas yang diberikan kepada mereka sehingga memecah pemisahan tugas.
● Perubahan tidak sah pada data dalam file master.
● Perubahan tidak sah pada sistem atau program.
● Kegagalan untuk membuat perubahan yang diperlukan pada sistem atau program.
● Masukan oleh orang atau sistem tanpa akses resmi.
● Potensi kehilangan data atau ketidakmampuan untuk mengakses data sesuai
kebutuhan.
● Kegagalan manajemen untuk memberikan sumber daya yang cukup untuk mengatasi
risiko keamanan TI dapat mempengaruhi pengendalian internal dengan membiarkan

3
 perubahan yang tidak tepat dilakukan pada program komputer atau data, atau transaksi
yang tidak sah untuk diproses.
● Inkonsistensi antara strategi TI entitas dan strategi bisnisnya.
● Perubahan dalam lingkungan TI.

Komponen Internal Control menurut COSO: (ada di SIA)

TCWG (Those Charged With Governance) → Pihak” yang berkepentingan/bertanggung jawab

terhadap tata kelola (Governance). Siapa saja yg dimaksud pihak” ini?
Audit itu hasilnya akan dipakai oleh orang” tertentu. Kalo internal control yg bertanggung jawab
adalah management. Untuk memperkecil kata “Management” maka digunakan “TCWG”. Siapa
saja pihak” yang bertanggung jawab terhadap tata kelola (yg memanage perusahaan) ? Dieksi,
Komisaris, Internal audit, management yang bersangkutan. Org” ini lah yg disebut TCWG.

Cara Mengidentifikasikan Risk → Peranan Auditor adalah mengidentifikasi resiko saat menerima klien.
Teknik untuk mengidentifikasi risiko melibatkan mengidentifikasi dan memprioritaskan aktivitas
berisiko tinggi:
● Identifikasi sumber daya penting bisnis dan tentukan mana yang paling berisiko.
● Identifikasi kemungkinan kewajiban yang mungkin timbul.
● Tinjau kembali risiko yang telah muncul di masa lalu.
● Pertimbangkan risiko tambahan yang dikenakan oleh tujuan baru atau faktor eksternal
baru.
● Berusaha mengantisipasi perubahan dengan mempertimbangkan masalah dan peluang
secara berkelanjutan.

Notes:
Kalo Inherent Risk (IR) itu udah gak bisa diapa” in, bukan tanggung jawab siapa pun dan tidak

4
bisa dikontrol oleh siapapun.
Kalo auditor kasih opini wajar harus tingkat keyakinannya sebesar 90-95%, baru dia boleh kasih
opini wajar. Berarti auditor tau kalo 5-10% nya error atau salah saji. (resiko yang tersisa)
Kalo misal saat sudah dilakukan internal control, resikonya salah nya masih 30% maka yang
dilakukan auditor adalah meng audit agar error nya menjadi 5-10%.
Contoh PT A IR x CR = 70% (Resiko yang tersisa/ Detection Risk (DR)), PT B IR x CR = 30%
(Resiko yang tersisa (DR)). Auditor tidak akan memperlakukan kedua perusahaan itu dengan
cara yang sama. Untuk PT A, karena ia memiliki sisa resiko yang lebih tinggi dan jauh dari
angka 5-10% maka ia perlu melakukan audit yang cukup detail. 5-10% itu dinamakan
Acceptable Audit Risk (AAR).
IR x CR x DR = AAR
Kesimpulannya kalo DR nya rendah (30%) maka auditor gak perlu terlalu banyak melakukan
prosedur”. Tapi sebaliknya dengan kalo DR nya tinggi (70%)
Auditor perannya ada di DR.

Elemen / Prosedur agar Internal Control nya Sukses

● Komunikasi dan penegakan nilai-nilai integritas dan etika
● Komitmen terhadap kompetensi
● Partisipasi oleh pihak yang bertanggung jawab atas tata kelola – independensi dan
integritas dewan direksi
● Filosofi manajemen dan gaya operasi – kepemimpinan melalui kontrol dengan contoh
● Struktur organisasi
● Pembagian wewenang dan tanggung jawab
● Kebijakan dan praktik sumber daya manusia.

Notes:
Saat auditor ketemu klien, maka pasti klien bakal kasih tau internal controlnya yang bagus-
bagus aja. Tapi karena auditor punya sikap skeptisme, maka auditor akan cek langsung ke
lapangan. Misal Klien cerita kalo gudang nya dikunci, tapi ternyata pas di cek sm auditor
gudang nya gk dikunci, siapa aja bisa masuk ke gudang, yg ambil barang bukan orang
gudang. Tindakan auditor ini adalah untuk mengecek apakah yang diceritakan benar atau
tidak di lapangannya. Prosedur ini disebut Complient Test (TOC/ Test of Control)
Tujuan dari TOC: Auditor mau melihat apakah semua yang dibicarakan klien tadi, benar
terjadi atau tidak.

Performance Reviews / Tinjauan Kinerja

Tinjauan kinerja adalah pemeriksaan independen atas kinerja oleh pihak ketiga yang tidak
terlibat langsung dalam aktivitas tersebut. Aktivitas pengendalian ini mencakup tinjauan dan
analisis kinerja aktual vs. anggaran, prakiraan, dan kinerja periode sebelumnya;
menghubungkan kumpulan data yang berbeda – operasi atau keuangan – satu sama lain;
membandingkan data internal dengan sumber informasi eksternal; dan tinjauan kinerja
fungsional atau aktivitas.