Tugas Pengauditan Keperilakuan Pengendalian Internal

COSO Internal Control Principles and Sarbanes‐Oxley (SOx) and Beyond

Chapter 4 - COSO Internal Control Principles

The 17 COSO Internal Control Principles

1. COSO Internal Control Framework Principles

17 prinsip pengendalian internal COSO memberikan lebih banyak panduan dan pemahaman
tentang konsep pengendalian internal, meskipun tidak secara tepat melacak elemen-elemen
kerangka kerja. Elemen-elemen ini tercantum dalam gambar berikut:

Auditor internal harus mengembangkan pemahaman tentang prinsip-prinsip ini sebagai

CBOK. Konsep ini harus membantu auditor internal untuk mengembangkan dan melakukan
tinjauan pengendalian internal mereka secara lebih baik.

2. Control Environment Principle 1: Integrity and Ethical Values

 Prinsip pertama lingkungan pengendalian COSO menekankan pentingnya integritas dan etika
dalam perusahaan. Sejarah dan budaya perusahaan sangat berpengaruh dalam membentuk
lingkungan pengendalian ini. Kode etik perusahaan menjadi instrumen kunci untuk
mewujudkan nilai-nilai tersebut. Kode etik yang efektif tidak hanya dibuat, tetapi juga harus
terus-menerus dikomunikasikan, diimplementasikan, dan diperbarui. Selain itu, perusahaan
perlu memiliki mekanisme pelaporan dan investigasi yang jelas untuk memastikan bahwa
pelanggaran kode etik ditangani secara konsisten, tanpa memandang posisi individu yang
terlibat. Dengan kata lain, integritas dan etika harus menjadi bagian integral dari budaya
perusahaan dan tercermin dalam setiap tindakan yang dilakukan oleh seluruh pemangku
kepentingan.
Poin-poin penting berikut:
● Pentingnya integritas dan etika: Ini adalah fondasi dari lingkungan pengendalian yang kuat.
● Peran kode etik: Kode etik harus menjadi dokumen hidup yang terus relevan dan dipatuhi.
● Komunikasi yang efektif: Kode etik harus dikomunikasikan secara luas dan jelas kepada
semua pemangku kepentingan.
● Penerapan konsisten: Pelanggaran kode etik harus ditindaklanjuti secara konsisten, tanpa
pandang bulu.

3. Control Environment Principle 2: Role of The Board of Directors

Direksi independen memiliki peran krusial dalam memastikan efektivitas operasi perusahaan.
Mereka perlu menjalin hubungan yang baik dengan manajemen senior untuk mendukung
lingkungan pengendalian internal yang kuat. Dewan direksi dan komite auditnya harus
memahami harapan berbagai pihak terkait, seperti pelanggan, karyawan, investor, dan
masyarakat, serta regulasi yang berlaku. Harapan-harapan ini akan membentuk tujuan
perusahaan dan tanggung jawab pengawasan dewan. Dewan direksi perlu secara rutin
meninjau dan menyetujui kebijakan yang mendukung kinerja pengendalian internal. Komite
audit, sebagai bagian dari dewan, memiliki tanggung jawab khusus untuk mengawasi sistem
pengendalian internal. Kolaborasi antara dewan direksi dan manajemen senior menunjukkan
komitmen perusahaan terhadap prinsip-prinsip pengendalian internal.
Poin-poin penting yang diangkat dalam ringkasan ini adalah:
 ● Peran direksi independen: Memastikan efektivitas operasi dan lingkungan pengendalian
internal.
● Hubungan dengan manajemen: Penting untuk menjalin hubungan yang baik.
● Memahami harapan pemangku kepentingan: Membentuk tujuan perusahaan dan tanggung
jawab pengawasan.
● Peran komite audit: Mengawasi sistem pengendalian internal.
● Kolaborasi dewan dan manajemen: Menunjukkan komitmen terhadap prinsip
pengendalian internal.

4. Control Environment Principle 3: Authority and Responsibility Needs

Manajemen harus menetapkan, dengan pengawasan dewan, struktur, jalur pelaporan, serta
wewenang dan tanggungjawab yang sesuai untuk mencapai tujuan pengendalian internnya.
Harus ada struktur organisasi yang ada untuk merencanakan, melaksanakan, mengendalikan,
dan menilai secara berkala kegiatan perusahaan secara keseluruhan. Tujuan lingkungan
pengendalian ini adalah untuk menyediakan akuntabilitas dan arus informasi yang jelas di
dalam dan di keseluruhan perusahaan dan seluruh sub unitnya.
Untuk menentukan bahwa prinsip pengendalian internal perusahaan ini berfungsi, manajemen
dan dewan direksi harus mempertimbangkan beberapa unit operasi, badan hukum, lokasi
geografis, dan penyedia layanan alih daya di perusahaan tersebut untuk mendukung
pencapaian tujuan pengendalian internal ini.

5. Control Environment Principle 4: Commitment to A Competent Workforce

Perusahaan harus menunjukkan komitmen untuk menarik, mengembangkan, dan
mempertahankan individu yang kompeten sesuai dengan tujuannya. Prinsip lingkungan
kontrol COSO ini meminta kebijakan dan tindakan yang memenuhi syarat para pemangku
kepentingan untuk melaksanakan tanggung jawab yang ditugaskan, dan memerlukan keahlian
dan keahlian yang relevan, yang sebagian besar diperoleh dari pengalaman profesional,
pelatihan, dan sertifikasi. Komitmen terhadap kompetensi dinyatakan dalam sikap dan
perilaku individu dalam melaksanakan tanggung jawab seorang.
 Prinsip lingkungan pengendalian ini meminta perusahaan untuk menentukan persyaratan
kompetensi mereka sesuai kebutuhan untuk mendukung pencapaian tujuan pengendalian
internal mereka, dengan pertimbangan yang diberikan kepada:

a. Kebutuhan pengetahuan, keterampilan, dan pengalaman,

b. Sifat dan tingkat penilaian dan keterbatasan wewenang untuk diterapkan posisi
tertentu,

c. Analisis biaya-manfaat dari berbagai tingkat keterampilan dan pengalaman

d. Pertukaran antara tingkat pengawasan dan tingkat kompetensi yang dipersyaratkan

dari masing-masing karyawan.

Dalam semua kasus, manajemen harus mengambil langkah untuk menerapkan prinsip kontrol.
Hal ini penting bagi auditor internal, yang sebagai bagian dari tinjauan mereka harus mencari
apa yang telah dilakukan unit perusahaan untuk menerapkan beberapa prinsip pengendalian
internal.

6. Control Environment Principle 5: Holding People Accountable

Manajemen dan dewan direksi harus menetapkan mekanisme untuk mengkomunikasikan dan
meminta pertanggungjawaban individu atas kinerja tanggung jawab pengendalian internal di
seluruh organisasi dan melaksanakan tindakan perbaikan jika diperlukan. Prinsip
pengendalian internal COSO ini menekankan bahwa manajemen dan semua tingkat
perusahaan harus membuat orang bertanggung jawab atas manajemen pengendalian internal
serta semua kekuatan dan kelemahan terkait. Ini adalah konsep penting yang sering kita
abaikan, dan prinsip pengendalian internal yang penting.

7. Risk Assessment Principle 6: Specifying Appropriate Objectives

Penilaian risiko, elemen kunci dalam kerangka pengendalian internal COSO, didefinisikan di
sini sebagai kemungkinan bahwa suatu peristiwa dapat terjadi yang akan mempengaruhi
pencapaian beberapa tujuan perusahaan secara negatif. Pengelolaan risiko pengendalian
internal mempengaruhi kemampuan perusahaan untuk berhasil, bersaing secara efektif di
 industrinya, mempertahankan kekuatan finansial dan reputasi positifnya, dan menjaga kualitas
keseluruhan produk, layanan, dan orang-orangnya. Manajemen dan juga audit internal harus
bertanya pada diri sendiri situasi potensial apa yang perlu dikhawatirkan dalam waktu yang
relatif dekat. Ini bisa menjadi dasar untuk menetapkan satu set tujuan risiko.

8. Risk Assessment Principle 7: Identifying And Analyzing Risks

Manajemen perusahaan dengan dukungan audit internal harus berusaha untuk
mengidentifikasi semua kemungkinan risiko pengendalian internal yang mungkin berdampak
pada perusahaan. Proses Identifikasi risiko memerlukan pendekatan yang dipelajari dan
disengaja untuk melihat potensi risiko di setiap area operasi dan kemudian mengidentifikasi
area risiko yang lebih signifikan yang dapat mempengaruhi setiap operasi dalam jangka waktu
yang wajar.
Prinsip identifikasi dan analisis risiko COSO meminta pertimbangan semua orang risiko
dalam perusahaan. Selain itu, proses ini harus mempertimbangkan risiko internal dan eksternal
yang berasal dari penyedia layanan outsource, pemasok utama, dan mitra saluran yang secara
langsung atau tidak langsung mempengaruhi pencapaian tujuan perusahaan. Dalam
melakukan penilaian risiko ini, manajemen harus mempertimbangkan tingkat perubahan
dalam menentukan frekuensi proses penilaian risiko. Sementara penilaian risiko adalah proses
dinamis, perusahaan harus menggunakan kombinasi penilaian risiko berkelanjutan dan
periodik. Audit internal dapat memainkan peran penting di sini baik dalam perencanaan audit
internal berbasis risiko dan "batuan di darat" mengidentifikasi area risiko potensial sebagai
bagian dari audit internal di lokasi lapangan.

9. Risk Assessment Principle 8: Evaluating Fraud Risks

Penilaian risiko fraud adalah proses yang harus dilakukan perusahaan untuk menentukan
pemaparan terhadap kecurangan internal dan eksternal. Penilaian harus meninjau operasi dan
pengendalian, termasuk kebijakan dan prosedur, untuk menentukan di mana kesenjangan ada
yang memungkinkan seseorang atau sekelompok orang melakukan kecurangan terhadap
perusahaan tersebut. Penilaian risiko penipuan kemudian harus melihat bidang utama
perusahaan untuk menentukan apakah tindakan telah dilakukan yang akan mengingatkan
manajemen terhadap kecurangan atau untuk secara efektif mencegah eksekusi
 [Link] perusahaan memiliki tingkat risiko dan teknik mitigasi yang berbeda
tergantung pada industri mereka. Gambar 4.3 di bawah ini menunjukkan proses penilaian
risiko penipuan secara umum.
Auditor internal mengalami banyak masalah kesadaran dan kecurangan potensial isu dalam
perjalanan tinjauan terjadwal mereka. Mereka juga biasanya terlibat dalam ulasan tingkat
transaksi yang jauh lebih rinci daripada rekan audit eksternal mereka dan melihat dokumen
atau transaksi yang dapat dipertanyakan lebih sering. Jika manajemen merasa mungkin ada
kecurangan potensial dalam perusahaan, langkah pertama hampir selalu menghubungi audit
internal, yang juga akan memiliki hubungan dan komunikasi dengan departemen hukum
perusahaan. Mereka dapat mendiskusikan potensi kekhawatiran disana dan mendapatkan
pendapat singkat tentang apakah beberapa perhatian memerlukan lebih banyak perhatian.
Jika ada tanda kuat adanya kecurangan aktif, hukum perusahaan hampir selalu siap untuk
terjun ke masalah dan bantuan.

10. Risk Assessment Principle 9: Identifying Changes Affecting Internal Controls

Prinsip penilaian risiko bernilai kecil jika perusahaan melakukan analisis ekstensif untuk
mengidentifikasi risiko namun pada dasarnya tidak melakukan tindakan untuk mengurangi
 risiko yang teridentifikasi. Perusahaan harus mengembangkan strategi manajemen risiko
sebagai bagian dari proses manajemen risiko mereka. Strategi manajemen risiko membahas
bagaimana perusahaan bermaksud untuk menilai risiko yang teridentifikasi, merencanakan
tanggapan, dan memantau risiko tersebut membuat eksplisit dan transparan persepsi risiko
bahwa perusahaan secara rutin menggunakan keputusan investasi dan operasional. Strategi
identifikasi dan analisis risiko merupakan bagian penting dari manajemen risiko perusahaan.
Manajemen harus mengembangkan strategi respons risiko umum untuk setiap risikonya
dengan menggunakan pendekatan yang dibangun di sekitar salah satu dari keempat strategi
umum ini. Dengan Demikian, sebaiknya mempertimbangkan biaya versus manfaat setiap
respons risiko potensial untuk menyesuaikannya dengan keseluruhan selera risiko perusahaan
secara keseluruhan.

11. Control Activities Principle 10 : Selecting Control Activities That Mitigate Risks
Prinsip aktivitas kontrol COSO yang penting ini menyatakan bahwa, sebagai bagian dari
lingkungan pengendalian intern secara keseluruhan, perusahaan harus memilih dan
mengembangkan kegiatan pengendalian yang berkontribusi terhadap mitigasi risiko
pengendalian internal terhadap pencapaian tujuan mereka ke tingkat yang dapat diterima.
Kegiatan pengendalian mencakup tindakan yang memastikan bahwa tanggapan terhadap
risiko yang dinilai, serta arahan manajemen lainnya seperti menetapkan kode etik perusahaan
yang dilakukan dengan benar dan tepat waktu.
Karena setiap perusahaan memiliki serangkaian tujuan dan pendekatan penerapannya sendiri,
akan selalu ada perbedaan dalam tujuan, risiko, tanggapan, dan aktivitas pengendalian terkait
mereka.
Faktor-faktor yang spesifik perusahaan dapat mempengaruhi aktivitas pengendalian yang
diperlukan untuk mendukung sistem pengendalian internal mereka:
● Lingkungan dan kompleksitas perusahaan serta sifat dan ruang lingkup operasinya, baik
fisik maupun fisik, semuanya dapat mempengaruhi aktivitas pengendalian perusahaan.
● Perusahaan yang sangat teratur umumnya memiliki respon risiko dan aktivitas
pengendalian yang lebih kompleks daripada entitas yang kurang diatur.
● Ruang lingkup dan sifat respons risiko dan aktivitas pengendalian untuk perusahaan
multinasional dengan operasi beragam umumnya membahas struktur pengendalian
 internal yang lebih kompleks daripada perusahaan domestik yang aktivitasnya kurang
bervariasi.
● Perusahaan dengan sistem perencanaan sumber daya perusahaan yang cukup canggih.
● Perusahaan dengan operasi desentralisasi dan penekanan pada otonomi daerah dan inovasi
menghadirkan lingkungan kontrol yang berbeda daripada yang lain yang operasinya
konstan dan sangat [Link] dan pengembangan kegiatan pengendalian
perusahaan yang kuat yang mengurangi risiko keseluruhan merupakan prinsip
pengendalian internal COSO yang penting. Bagi auditor internal, ini akan mengarah pada
pengembangan dan pelaksanaan audit internal yang efektif.

12. Control Activities Principle 11 : Selecting And Developing Technology Control

COSO menggunakan istilah teknologi dalam prinsip ini, dan bisa mencakup bidang
manufaktur robotika, instrumen pengujian farmasi, dan pengembangan produk video
elektronik yang berorientasi konsumen. Semua produk teknologi dan lebih melampaui apa
yang biasanya kita sebut sistem TI, dan banyak masalah dan masalah pengendalian internal
mereka benar-benar berada di luar jangkauan banyak auditor internal.
Ada berbagai jenis kontrol TI teknis, manajemen, dan tata kelola yang mencakup segala hal
mulai dari kebijakan manajemen TI tingkat tinggi untuk mengendalikan proses aplikasi
spesifik dan bahkan berjalan di perangkat genggam. Gambar 4.4 menjelaskan hirarki kontrol
TI secara keseluruhan, yang sebagian besar akan dibahas dalam bab-bab [Link]
kami di sini adalah bahwa ada satu prinsip pengendalian internal COSO yang membahas
pentingnya pengendalian TI, namun perusahaan memiliki tantangan untuk memilih dan
mengembangkan kontrol TI yang sesuai.
13. Control Activities Principle 12 : Policies And Procedures
Yang ketiga dari prinsip-prinsip kegiatan pengendalian COSO mengharuskan perusahaan
melakukan kegiatan pengendaliannya melalui kebijakan dan prosedur. Kebijakan aktivitas
pengendalian menentukan dan menetapkan apa yang diharapkan, dan prosedur memasukkan
kebijakan tersebut ke dalam tindakan.
Sementara perusahaan biasanya memiliki banyak kebijakan dan prosedur untuk mencapai
tujuannya,kegiatan pengendalian harus dimulai yang secara khusus berkaitan dengan
kebijakan dan prosedur tersebut dan berkontribusi terhadap mitigasi risiko untuk pencapaian
tujuan pada tingkat yang dapat diterima. Kebijakan yang diterbitkan perusahaan harus
memiliki elemen berikut:
● Tujuan kebijakan. Harus ada pernyataan tingkat tinggi yang menguraikan maksud atau
tujuan kebijakan tingkat tinggi.
● Lokasi dan penerapan. Harus ada definisi apakah kebijakan tersebut hanya berlaku untuk
beberapa unit atau bersifat global.
● Peran dan tanggung jawab. Deskripsi harus mencakup semua orang yang terlibat dalam
polis.
 Sebuah prosedur tidak akan berguna jika dilakukan dengan cara hafalan, tanpa fokus yang
tajam dan terus berlanjut terhadap risiko kebijakan yang diarahkan. Elemen kunci dari prinsip
aktivitas pengendalian ini adalah bahwa perusahaan harus menerapkan kebijakan yang
menetapkan prosedur yang diharapkan dan relevan untuk mencerminkan kebijakan ini.
Prinsip kegiatan pengendalian ini menuntut langkah-langkah tindakan sebagai berikut:
● Menetapkan kebijakan dan prosedur untuk mendukung penerapan arahan manajemen.
● Menetapkan tanggung jawab dan akuntabilitas untuk melaksanakan kebijakan dan
prosedur.
● Lakukan dengan menggunakan personil yang kompeten.
● Lakukan pada waktu yang tepat.
● Lakukan tindakan perbaikan bila sesuai.
● Menilai ulang kebijakan dan prosedur.

14. Information and Communication Principle 13 : Using Relevant, Quality Information

Suatu perusahaan harus memperoleh dan menggunakan informasi yang relevan dan
berkualitas untuk mendukung fungsi komponen pengendalian internalnya. Informasi
diperlukan bagi perusahaan untuk melaksanakan tanggung jawab pengendalian internalnya
dalam mendukung tercapainya tujuan. Mendapatkan informasi yang relevan memerlukan
manajemen untuk mengidentifikasi dan menetapkan persyaratan informasi pada tingkat detail
dan spesifik kota yang kuat. Mengidentifikasi kebutuhan informasi adalah proses yang
berulang dan berulang yang terjadi selama kinerja sistem pengendalian internal yang efektif.

Gambar 4.5 menunjukkan beberapa contoh jenis informasi yang dihadapi oleh manajemen
perusahaan secara teratur.
Informasi dari Sumber yang Relevan

Informasi internal dan eksternal diterima dari berbagai sumber dan dalam berbagai bentuk dan
format. Dalam mengelola informasi mereka dari sumber eksternal, manajemen harus
mempertimbangkannya dalam kerangka cakupan kegiatan, aktivitas, dan sumber data yang
komprehensif yang tersedia secara internal dan dari sumber terpercaya, dan memilih yang paling
relevan dan berguna bagi struktur organisasi saat ini, bisnis model, atau tujuan.

Pengolahan Data melalui Sistem Informasi

Sistem informasi mencakup kombinasi antara orang, proses, dan teknologi yang mendukung
proses dasar bisnis atau fundamental yang dikelola secara internal maupun yang didukung melalui
hubungan dengan penyedia layanan outsource dan pihak eksternal lainnya. Informasi dapat
diperoleh melalui berbagai bentuk, termasuk input manual atau kompilasi, atau melalui
penggunaan proses TI seperti antarmuka pemrograman aplikasi link otomatis. Volume
informasiyang dapat diakses oleh perusahaan menyajikan peluang dan risiko. Akses yang lebih
besar terhadap informasi umumnya akan meningkatkan kontrol internal. Sifat dan tingkat
kebutuhan informasi, kompleksitas, dan volume informasi ini, dan ketergantungan pada pihak
 eksternal mempengaruhi rentang kecanggihan sistem informasi, termasuk tingkat penyebaran
teknologi.

Sistem informasi yang dikembangkan dengan terintegrasi, proses yang memungkinkan teknologi
memberi peluang bagi perusahaan untuk meningkatkan efisiensi, kecepatan, dan aksesibilitas
informasi kepada pengguna. Selain itu, sistem informasi semacam itu dapat meningkatkan kontrol
internal atas risiko keamanan dan privasi yang terkait dengan informasi yang diperoleh dan
dihasilkan oleh perusahaan.

Mencapai keseimbangan yang tepat antara keuntungan dan biaya untuk mendapatkan dan
mengelola informasi dan sistem pendukung merupakan pertimbangan utama dalam membangun
sistem informasi yang sesuai dengan kebutuhan perusahaan.

15. Information And Communication Principle 14 : Internal Communications

Suatu perusahaan harus secara internal mengkomunikasikan informasi pengendalian internal,

termasuk tujuan dan tanggung jawabnya, untuk mendukung berfungsinya komponen
pengendalian internal lainnya.

Disahkan oleh manajemen senior, komunikasi informasi ini harus disampaikan ke semua elemen
di seluruh perusahaan dan meliputi:

● Pentingnya, relevansi, dan manfaat pengendalian internal yang efektif

● Peran dan tanggung jawab manajemen dan personil lainnya dalam melakukan proses
pengendalian internal tersebut
● Harapan perusahaan untuk berkomunikasi atas, bawah, dan melintasi hal-hal yang signifikan
terkait dengan pengendalian internal, termasuk contoh kelemahan, kemunduran, atau
ketidakpatuhan

Komunikasi Pengendalian Internal

Komunikasi pengendalian internal dimulai dengan penyampaian dan komunikasi tujuan. Semua
Personil juga harus menerima pesan yang jelas dari manajemen senior bahwa tanggung jawab
pengendalian internal mereka harus ditangani secara serius. Melalui komunikasi tujuan dan sub-
tujuan, personil harus memahami bagaimana peran, tanggung jawab, dan tindakan mereka
berhubungan dengan pekerjaan orang lain di perusahaan, tanggung jawab mereka untuk
pengendalian internal, dan apa yang dianggap sebagai perilaku yang dapat diterima dan tidak
dapat diterima.
Selain itu, informasi yang dibagikan melalui komunikasi internal membantu manajemen dan
personil lainnya untuk mengenali masalah atau masalah potensial, menentukan penyebabnya, dan
melakukan tindakan korektif. Komunikasi antara manajemen dan dewan direksi memberikan
informasi yang dibutuhkan kepada dewan pengawas untuk pengendalian internal.

Komunikasi Internal di luar Normal Channels

Agar informasi mengalir, turun, dan melintasi perusahaan, harus ada saluran komunikasi terbuka
dan kemauan yang jelas untuk dilaporkan dan didengarkan. Manajemen dan personil lainnya harus
percaya bahwa atasan mereka benar-benar ingin mengetahui masalah pengendalian internal dan
mereka akan menangani hal tersebut jika diperlukan. Dalam beberapa keadaan, diperlukan jalur
komunikasi yang terpisah untuk membentuk mekanisme kegagalan-aman untuk komunikasi
anonim atau rahasia bila saluran normal tidak berfungsi atau tidak efektif.
Pemangku kepentingan perusahaan harus sepenuhnya memahami bagaimana saluran komunikasi
ini beroperasi dan bagaimana mereka secara sadar dilindungi untuk penggunaannya. Kebijakan
dan prosedur harus dilakukan agar semua komunikasi melalui saluran ini dinilai, diprioritaskan,
dan diselidiki. Prosedur Eskalasi harus dilakukan untuk memastikan bahwa komunikasi yang
diperlukan akan dilakukan kepada anggota dewan yang ditunjuk, kepala audit internal, atau kepala
etika, jika ada fungsi semacam itu, siapa yang bertanggung jawab untuk memastikan bahwa
penilaian tepat waktu dan tepat, investigasi, dan tindakan yang tepat dilakukan.

Metode Komunikasi

Kejelasan dan keefektifan informasi yang dikomunikasikan penting untuk memastikan agar
pesan-pesan ini diterima sebagaimana mestinya. Bentuk komunikasi aktif seperti pertemuan tatap
muka sering kali lebih efektif daripada bentuk pasif seperti mengirim e-mail atau posting Web.
Evaluasi berkala terhadap efektivitas praktik komunikasi perusahaan membantu memastikan
bahwa metode ini berhasil.
 Manajemen harus memilih metode komunikasi yang tepat, dengan mempertimbangkan khalayak,
sifat persyaratan komunikasi, ketepatan waktu, biaya, dan keamanan dan privasi serta persyaratan
hukum atau peraturan. Saat memilih metode atau format untuk komunikasi, manajemen harus
mempertimbangkanlingkungan tempat pesan dikirim, persyaratan mereka untuk menyampaikan
komunikasi kepada pihak internal terutama pihak eksternal dimana pesan terkait dengan
kepatuhan terhadap undang-undang dan peraturan.

16. Information And Communication Principle 15 : External Communications Prinsip COSO

penting yang harus ditetapkan dan diterapkan perusahaan adalah kebijakan dan prosedur yang
memfasilitasi komunikasi eksternal yang efektif. Komunikasi dengan pihak eksternal
memungkinkan orang lain untuk memahami kejadian, aktivitas, dan keadaan lain yang mungkin
mempengaruhi bagaimana mereka berinteraksi dengan perusahaan. Masalah kompleksitas
komunikasi dapat timbul antara perusahaan dan pihak eksternal melalui penyedia layanan dan
pengaturan outsourcing lainnya, usaha patungan dan aliansi, dan transaksi lainnya yang
menciptakan saling ketergantungan antara kedua belah pihak.

17. Monitoring Principle 16: Internal Control Evaluation

Kegiatan pemantauan menilai apakah tujuan pengendalian internal COSO ada dan berfungsi.
Suatu Perusahaan harus menggunakan proses evaluasi yang berkelanjutan dan terpisah untuk
memastikan apakah prinsip pengendalian internal yang ditetapkan.
Ketika pemantauan dirancang dan dilaksanakan dengan tepat, perusahaan harus diuntungkan
karena lebih mungkin untuk:
● Mengidentifikasi dan memperbaiki masalah pengendalian internal secara tepat waktu
● Menghasilkan informasi yang lebih akurat dan andal untuk digunakan dalam pengambilan
keputusan.
● Menyiapkan laporan keuangan yang akurat dan tepat waktu
● Berada dalam posisi untuk memberikan kodifikasi atau pernyataan berkala mengenai
efektivitas pengendalian internal
Seiring waktu, pemantauan yang efektif dapat menyebabkan efisiensi organisasi dan mengurangi
biaya yang terkait dengan pelaporan publik mengenai pengendalian internal, karena masalah
terkait pemantauan diidentifikasi dan ditangani secara proaktif dan bukan reaktif.
18. Monitoring Principle 17: Communicating Internal Control Deficiencies
Perusahaan harus mengkomunikasikan defisiensi pengendalian internalnya pada waktu yang tepat
kepada semua pihak yang bertanggung jawab untuk mengambil tindakan perbaikan, termasuk
manajemen senior dan dewan direksi. Perusahaan harus mengidentifikasi hal-hal yang berkaitan
dengan pemantauan yang layak mendapat perhatian baik yang mewakili kelemahan potensial
maupun nyata dalam beberapa aspek sistem kontrol internal perusahaan dan yang berpotensi
mempengaruhi kemampuan perusahaan untuk mencapai tujuannya secara negatif. Selain itu,
perusahaan harus berusaha untuk mengidentifikasi peluang untuk meningkatkan efisiensi
pengendalian internalnya.

Chapter 5
Sarbanes‐Oxley (SOx) and Beyond
The Sarbanes-Oxley Act (SOx) adalah undang-undang AS yang diberlakukan pada tahun
2002 untuk meningkatkan proses audit laporan keuangan dan untuk memperbaiki serangkaian
praktik dewan direksi, akuntan publik, dan praktik-praktik lainnya. Komponen utama SOx adalah
Dewan Pengawas Akuntansi Perusahaan Publik (PCAOB), sebuah entitas independen yang
menetapkan standar audit eksternal AS dan mengatur industri akuntan publik. Standar audit
tersebut ditetapkan pada tingkat yang sangat tinggi.
Sebagai contoh, bagian berikut ini akan memperkenalkan Standar Audit PCAOB No. 5,
atau AS5. SOx memperkenalkan perubahan besar yang berdampak pada tata kelola perusahaan,
akuntansi, dan proses audit pelaporan keuangan. SOx adalah serangkaian persyaratan yang luas
yang telah mendefinisikan ulang bagaimana kita mengatur perusahaan publik dan bagaimana kita
membuktikan bahwa hasil keuangan yang dilaporkan telah dinyatakan secara wajar.

1. Unsur-Unsur Utama Sarbanes-Oxley Act (SOx)

Gambar 5.1 merangkum bagian-bagian utama dari SOx, dan diskusi tentang judul-
judul utama SOx berikut ini. Yang menarik, meskipun proses pengendalian internal sangat
bergantung pada auditor eksternal dan internal, undang-undang SOx yang asli hampir tidak
memberikan referensi langsung pada peran penting dan tanggung jawab auditor internal.
Judul I: Dewan Pengawas Akuntansi Perusahaan Publik
Undang -undang SOx berisi aturan baru untuk auditor eksternal. Sebelum SOx, American
Institute of Certified Public Accountants (AICPA) memiliki tanggung jawab pengaturan panduan
ity untuk semua auditor eksternal dan kantor akuntan publik mereka melalui administrasi ujian
Akuntan Publik Bersertifikat (CPA) dan pembatasan keanggotaan AICPA untuk CPA. Meskipun
standar dasar - yang disebut standar audit yang berlaku umum (GAAS) - telah ada selama
bertahun-tahun, standar yang lebih baru kemudian dikeluarkan oleh AICPA dan disebut
Pernyataan Standar Audit (SAS). SAS mencakup bidang-bidang spesifik yang membutuhkan
definisi yang lebih baik. SAS No. 79, misalnya, mendefinisikan standar pengendalian internal
awal, dan SAS No. 99 mencakup pertimbangan kecurangan dalam audit laporan keuangan. Kode
etik profesional AICPA mengharuskan CPA untuk mengikuti dan mematuhi semua standar audit
yang berlaku.
Paragraf-paragraf berikut ini memberikan beberapa latar belakang mengenai aturan proses
audit eksternal SOx Judul I dan asal-usul SOx. Pemahaman tentang aturan SOx ini akan membantu
auditor internal dalam hubungannya dengan auditor eksternal dan manajemen bisnis.
 I. Administrasi PCAOB dan Pendaftaran Kantor Akuntan Publik
PCAOB bertanggung jawab untuk mengawasi dan mengatur semua kantor akuntan publik
yang berpraktik di hadapan SEC, termasuk:
a. Mendaftarkan kantor akuntan publik yang melakukan audit terhadap perusahaan.
b. Menetapkan standar audit.
c. Melakukan inspeksi terhadap kantor akuntan publik yang terdaftar.
d. Melakukan investigasi dan prosedur disipliner.
e. Menjalankan fungsi standar dan kualitas lainnya sebagai penangkal bagi dewan.
f. Menegakkan kepatuhan terhadap SOx.

II. Standar Audit, Kontrol Kualitas, dan Independensi

Ketika seorang auditor internal telah bekerja untuk mendukung bagian audit eksternal
dalam beberapa tugas audit, pekerjaan ini harus mengikuti pedoman audit PCAOB.
Meskipun frekuensi penerbitannya masih terbatas hingga saat ini, standar PCAOB
mencakup beberapa area berikut ini:
a. Penyimpanan kertas kerja audit.
b. Persetujuan dari mitra.
c. Ruang lingkup pengujian pengendalian internal.
d. Evaluasi struktur dan prosedur pengendalian internal.
e. Standar pengendalian kualitas audit.

III. Inspeksi, Investigasi, dan Prosedur Disiplin

PCAOB melakukan inspeksi kantor akuntan untuk menilai kepatuhan terhadap
peraturan SOx dan standar profesional; hal ini dilakukan setiap tahun pada kantor akuntan
publik yang lebih besar dan setiap tiga tahun sekali jika kantor akuntan yang terdaftar
melakukan kurang dari 100 audit laporan keuangan. Peninjauan tersebut mengevaluasi
sistem kontrol kualitas perusahaan serta standar dokumentasi dan [Link]
didokumentasikan dalam laporan resmi kepada SEC dan dewan akuntansi negara bagian.
Jika diperlukan, PCAOB dapat memulai investigasi kantor akuntan publik dan prosedur
disipliner dan dapat memaksa kesaksian, mewajibkan produksi pekerjaan audit, dan
melakukan proses disipliner. Yang terakhir ini dapat berkisar dari penangguhan sementara
 terhadap individu atau perusahaan hingga denda yang besar, atau bahkan dilarang untuk
berprofesi.

IV. Standar Akuntansi

Ada dan selalu ada perbedaan besar antara standar akuntansi dan standar audit. Standar
akuntansi mendefinisikan beberapa aturan akuntansi yang sangat tepat, seperti mengatakan
bahwa jenis aset tertentu dapat dihapuskan atau disusutkan tidak lebih dari X tahun. Ini
adalah prinsip-prinsip yang disebut prinsip-prinsip akuntansi yang berlaku umum (GAAP)
dan saat ini digantikan oleh standar akuntansi internasional. Sedangkan, standar audit jauh
lebih konseptual, menyoroti bidang-bidang yang harus dipertimbangkan oleh auditor
ketika mengevaluasi pengendalian di beberapa bidang.

Judul II: Independensi Auditor

Auditor internal dan eksternal merupakan sumber daya yang terpisah dan independen,
dengan auditor eksternal bertanggung jawab untuk menilai kewajaran laporan keuangan
perusahaan yang dipublikasikan, sementara auditor internal melayani manajemen dalam berbagai
bidang lainnya. Outsourcing auditor internal dimulai dengan mengikuti alur pemikiran yang sama.
Perusahaan audit eksternal mulai menawarkan untuk mengalihdayakan atau mengambil alih fungsi
audit internal klien yang sudah ada.

I. Keterbatasan Jasa Auditor Eksternal

SOx Section 201, yang mencakup jasa di luar lingkup kegiatan auditor eksternal tradisional
di masa lalu, melarang kantor akuntan publik terdaftar untuk memberikan jasa audit dan
non audit secara bersamaan kepada klien. Larangan ini mencakup audit internal, banyak
bidang konsultasi, dan perencanaan keuangan pejabat senior. Selain larangan memberikan
jasa audit internal outsourcing, SOx melarang kantor akuntan publiknya untuk memberikan
jasa lain, termasuk:
a. Desain dan implementasi sistem informasi keuangan.
Kantor akuntan publik sebelumnya telah memasang sistem informasi keuangan TI,
yang sering kali merupakan hasil rancangan mereka sendiri, di kantor klien mereka.
Hal ini tidak lagi diperbolehkan.
 b. Jasa pembukuan dan laporan keuangan.
Kantor akuntan publik biasanya menawarkan jasa akuntansi kepada klien mereka
selain melakukan audit. Bahkan untuk perusahaan-perusahaan besar, bukan hal
yang aneh jika tim yang bertanggung jawab atas audit laporan keuangan secara
keseluruhan juga melakukan sebagian besar pekerjaan yang diperlukan untuk
membuat laporan keuangan konsolidasi yang sama.
c. Fungsi manajemen dan sumber daya manusia.
Sebelum SOx, perusahaan audit eksternal sering membantu para profesional
mereka sendiri untuk pindah ke posisi manajemen klien. Akibatnya, manajer
akuntansi di beberapa perusahaan sering kali merupakan alumni dari auditor
eksternal mereka. Hal ini terkadang membuat frustasi auditor internal atau orang
lain yang tidak berasal dari kantor akuntan publik yang sama.
d. Jasa lain yang dilarang, seperti jasa aktuaria, hukum, dan penasihat investasi.

II. Persetujuan Awal Komite Audit atas Layanan.

Tentu saja, ada banyak kegiatan auditor eksternal yang tidak harus melalui persetujuan
komite audit formal terlebih dahulu. SOx menetapkan aturan pengecualian de minimus
untuk persyaratan izin komite audit, yang menyatakan bahwa izin tersebut tidak diperlukan
untuk jasa non audit jika:
a. Nilai dolar agregat dari layanan ini tidak melebihi 5% dari total biaya audit
eksternal yang dibayarkan oleh perusahaan selama tahun fiskal.
b. Jasa-jasa tersebut tidak diakui sebagai jasa non audit oleh perusahaan pada saat
perikatan audit secara keseluruhan dimulai.
c. Jasa-jasa tersebut disampaikan kepada komite audit dan disetujui oleh mereka
sebelum penyelesaian audit.
Pengecualian ini memberikan komite audit beberapa fleksibilitas, tetapi sifat dan
akumulasi nilai dolar dari jasa non audit tambahan harus dipantau secara hati-hati
sepanjang tahun fiskal untuk menjaga tingkat kepatuhan. Audit internal dapat membantu
komite audit dalam proses ini untuk membantu memastikan bahwa semua jasa tetap sesuai
dengan aturan SOx.
III. Rotasi Mitra Audit Eksternal.
Rotasi partner audit terkadang membawa tantangan bagi auditor internal yang mungkin
telah bekerja dengan nyaman dengan partner audit yang telah ditunjuk dalam waktu yang
lama dan harus terbiasa bekerja dengan pemimpin tim audit eksternal yang baru dari waktu
ke waktu.

IV. Laporan Auditor Eksternal kepada Komite Audit.

Auditor eksternal kini diwajibkan untuk melaporkan secara tepat waktu semua kebijakan
dan praktik akuntansi yang digunakan, perlakuan alternatif atas informasi keuangan yang
telah didiskusikan dengan manajemen, kemungkinan perlakuan alternatif, dan pendekatan
yang lebih disukai oleh auditor eksternal.

V. Konflik Kepentingan dan Rotasi Wajib Perusahaan Audit Eksternal.

SOx Judul II, Bagian 206 melarang auditor eksternal memberikan jasa audit kepada
perusahaan yang CEO, CFO, atau kepala akuntansinya telah berpartisipasi dalam audit
yang sama dengan anggota firma audit eksternal pada tahun sebelumnya. Artinya dalam
praktiknya adalah rekan audit tidak boleh meninggalkan jasa audit dan bekerja sebagai
direktur di perusahaan yang baru saja diaudit.

Judul III: Tanggung Jawab Perusahaan

Title III menjelaskan perubahan peraturan baru yang besar untuk komite audit. Ini adalah
area di mana auditor internal harus memiliki tingkat kepentingan dan peran yang lebih besar.
Meskipun komite audit pada umumnya terdiri dari direktur independen, namun ada banyak
pengecualian. SOx memperkenalkan berbagai aturan tata kelola yang luas yang mencakup dewan
perusahaan dan komite audit.

I. Peraturan Tata Kelola Komite Audit

Semua perusahaan yang terdaftar harus memiliki komite audit yang hanya terdiri dari
direktur independen. Kantor audit eksternal melapor langsung kepada komite audit
tersebut, yang bertanggung jawab atas kompensasi mereka, pengawasan pekerjaan audit,
dan penyelesaian setiap ketidaksepakatan audit. SOx mengharuskan komite audit untuk
 membuat prosedur untuk menerima, menyimpan, dan menangani keluhan serta menangani
informasi dari pelapor mengenai masalah akuntansi dan audit.

II. Bagian 302: Tanggung Jawab Perusahaan atas Laporan Keuangan

CEO, CFO, atau orang lain dengan peran serupa harus mengesahkan secara pribadi setiap
laporan tahunan dan triwulanan yang diserahkan. Auditor internal harus sangat berhati-
hati, sesuai dengan peraturan SOx, mengenai sifat dan deskripsi temuan yang ditemukan
selama pelaksanaan audit, mengenai tindak lanjut pelaporan mengenai status tindakan
perbaikan yang telah dilakukan, dan mengenai pendistribusian laporan audit tersebut.

III. Pengaruh yang Tidak Patut atas Pelaksanaan Audit

SOx menjadikannya melanggar hukum bagi pejabat, direktur, atau bawahan yang terkait
untuk melakukan tindakan apa pun, yang bertentangan dengan peraturan SEC, untuk
"secara curang mempengaruhi, memaksa, memanipulasi, atau menyesatkan" auditor CPA
eksternal yang terlibat dalam audit dengan tujuan untuk membuat laporan keuangan
menjadi salah secara material. Ini adalah kata-kata yang keras dalam lingkungan di mana
sering terjadi diskusi dan kompromi tingkat tinggi antara auditor dan manajemen senior
ketika masalah yang signifikan ditemukan selama audit.

IV. Penyitaan, Larangan, dan Penalti

Judul III diakhiri dengan serangkaian aturan dan hukuman terperinci yang mencakup tata
kelola perusahaan. Tujuannya adalah untuk memperketat peraturan yang sudah ada
sebelum SOx atau menambahkan peraturan baru untuk apa yang sering dianggap sebagai
praktik bisnis yang keterlaluan atau paling tidak sangat tidak tepat sebelum SOx. Aturan-
aturan ini, yang diuraikan selanjutnya, tidak berdampak pada komite audit atau auditor
internal atau eksternal secara langsung, karena aturan-aturan ini diarahkan pada bidang-
bidang lain yang diyakini sebagai kelebihan tata kelola perusahaan.

Judul IV: Pengungkapan Keuangan yang Disempurnakan

Judul IV SOx dirancang untuk mengatasi beberapa masalah pengungkapan keuangan,
memperketat aturan konflik kepentingan bagi pejabat eksekutif dan direktur, mewajibkan
manajemen untuk mengevaluasi pengendalian internal, dan mengamanatkan kode etik bagi para
eksekutif.

Judul V: Konflik Kepentingan Analis

Judul V dirancang untuk memperbaiki beberapa pelanggaran analis sekuritas. Para investor
telah mengandalkan rekomendasi analis sekuritas selama bertahun-tahun, namun para analis ini
sering kali terikat dengan perusahaan pialang besar dan bank investasi, serta menganalisis dan
merekomendasikan sekuritas baik kepada investor maupun pemberi kerja lembaga keuangan
mereka.

Judul VI sampai X: Akuntabilitas Penipuan dan White‐Collar Crime

SOx Title VIII dan IX muncul sebagai respons terhadap skandal Enron dan penutupan
Arthur Andersen. Title VIII menetapkan aturan dan hukuman khusus untuk penghancuran catatan
audit perusahaan, serta hukuman pidana hingga 25 tahun bagi skema penipuan sekuritas. Title IX
memperbarui hukuman bagi kejahatan kerah putih dan memperberat hukuman maksimal. Selain
itu, Bagian 906 Title IX mengharuskan CEO dan CFO menandatangani laporan keuangan tahunan,
memastikan informasi tersebut akurat.

Judul XI: Akuntabilitas Penipuan Perusahaan

Bagian ini berfokus pada tanggung jawab perusahaan dalam kasus pelaporan keuangan
yang curang. SEC diberi wewenang untuk membekukan dana perusahaan yang sedang diselidiki
guna mencegah pembayaran tunai besar kepada individu terkait selama investigasi berlangsung.
Selain itu, Pasal 1105 memberi SEC otoritas untuk melarang individu yang melanggar peraturan
SOx dari menjabat sebagai pejabat atau direktur perusahaan, meskipun tidak bersifat otomatis dan
hanya diterapkan jika diperlukan.
5.2 KINERJA BAGIAN 404 ULASAN DI BAWAH AS5
Pada tahun 2007, peraturan audit Bagian 404 ini berubah dengan dirilisnya AS5,
sebuah pendekatan audit yang lebih berbasis risiko yang juga memungkinkan auditor
eksternal untuk menggunakan pekerjaan auditor internal dengan lebih baik dalam penilaian
mereka. Aturan-aturan ini berdampak pada perusahaan-perusahaan yang telah mencapai
kepatuhan SOx pada periode sebelumnya dan juga perusahaan-perusahaan yang kini
berada di bawah persyaratan pendaftaran.

Bagian 404 Internal Control Assessments Today

SOx Section 404 mensyaratkan penyusunan laporan pengendalian internal tahunan
sebagai bagian dari laporan tahunan 10-K yang diamanatkan oleh SEC bagi perusahaan.
Selain laporan keuangan dan pengungkapan 10-K lainnya, persyaratan Bagian 404
mengharuskan adanya dua elemen informasi dalam setiap 10-K ini:
1. Pernyataan resmi dari manajemen yang mengakui tanggung jawab mereka untuk
membangun dan memelihara struktur dan prosedur pengendalian internal yang
memadai untuk pelaporan keuangan
2. Penilaian, pada akhir tahun fiskal terakhir, atas efektivitas struktur pengendalian
internal perusahaan dan prosedur pelaporan keuangan

Launching the Section 404 Compliance Review: Identifying Key Processes

Proses-proses ini biasanya dipertimbangkan dalam siklus akuntansi dasar dan mencakup:
● Siklus pendapatan: Proses yang berhubungan dengan penjualan atau pendapatan
lain bagi perusahaan.
● Siklus pengeluaran langsung: Meliputi pengeluaran bahan atau biaya produksi
langsung.
● Siklus pengeluaran tidak langsung: Biaya operasional yang tidak dapat secara
langsung dikaitkan dengan kegiatan produksi tetapi diperlukan untuk operasi bisnis
secara keseluruhan.
● Siklus penggajian: Meliputi semua kompensasi personel.
● Siklus persediaan: Meskipun pada akhirnya persediaan akan diterapkan pada
produksi sebagai pengeluaran langsung, proses khusus diperlukan karena sifat
persediaan yang berbasis waktu hingga diterapkan pada produksi.
● Siklus aset tetap: Aset tetap memerlukan proses akuntansi yang terpisah, seperti
akuntansi penyusutan periodik dari waktu ke waktu.
● Siklus TI secara umum: Rangkaian proses ini mencakup kontrol teknologi
informasi (TI) yang bersifat umum atau dapat diterapkan pada semua operasi TI.
Launching the SOx Section 404 Compliance Review: Internal Audit’s Role : Peran Audit
Internal
Peran audit internal dalam tinjauan Pasal 404 dapat mengambil tiga bentuk yang berbeda, sebagai
berikut:
● Auditor internal berperan sebagai konsultan dengan mengidentifikasi,
mendokumentasikan, dan menguji pengendalian internal, kemudian hasilnya disahkan oleh
audit eksternal.
● Auditor internal membantu auditor eksternal dalam meninjau pengendalian internal dan
mendukung audit Pasal 404, sesuai dengan peraturan AS5 yang mengizinkan penggunaan
audit internal.
● Auditor internal bekerja sama dengan sumber daya lain untuk tinjauan Pasal 404,
memungkinkan fokus lebih pada proyek internal lainnya, terutama untuk audit internal
kecil.

Launching the Section 404 Compliance Review: Mengatur Proyek

Beberapa upaya yang diperlukan untuk pendaftar baru akan didasarkan pada kekuatan dan
kecanggihan proses pengendalian internal perusahaan, tetapi harus mengikuti langkah-langkah
berikut.
- Langkah 1: Mengatur Proyek Kepatuhan Bagian 404. Tetapkan tim proyek untuk
memimpin upaya tersebut. Peran, tanggung jawab, dan kebutuhan sumber daya juga harus
diperkirakan.
- Langkah 2: Kembangkan Rencana Proyek Kepatuhan Bagian 404. Proyek kepatuhan
pengendalian internal harus sudah dalam proses sebelum akhir tahun keuangan.
- Langkah 3: Pilih Proses Utama untuk Ditinjau. Setiap perusahaan bergantung pada
berbagai proses keuangan dan operasional untuk menjalankan dan mengelola operasi-
operasi pentingnya.
- Langkah 4: Mendokumentasikan Alur Transaksi Proses yang Dipilih. Langkah berikutnya
dan langkah yang sangat penting dalam Bagian 404 adalah menyiapkan dokumentasi aliran
transaksi untuk proses-proses utama yang dipilih.
- Langkah 5: Menilai Risiko Proses yang Dipilih.
 - Langkah 6: Menilai Efektivitas Pengendalian melalui Prosedur Pengujian yang Tepat.
- Langkah 7: Tinjau Hasil Kepatuhan dengan Pemangku Kepentingan Utama. Manajemen
senior pada akhirnya bertanggung jawab atas laporan akhir Bagian 404 perusahaan.
- Langkah 8: Laporan Lengkap tentang Efektivitas Struktur Pengendalian Internal. Ini
adalah langkah terakhir dalam tinjauan kepatuhan Bagian 404. Ini adalah laporan, bersama
dengan pekerjaan pengesahan auditor eksternal, yang akan diajukan ke SEC sebagai bagian
dari laporan tahunan 10-K perusahaan.

5.3 AS5 ATURAN DAN AUDIT INTERNAL

Tak lama setelah SOx menjadi undang-undang di Amerika Serikat, PCAOB mengeluarkan
Auditing Standard No. 2 (AS2), sebuah panduan baru yang mengharuskan auditor eksternal untuk
mengambil pendekatan yang konservatif dan terperinci dalam audit mereka atas laporan keuangan.
Tujuan AS5 ada empat yaitu:
1. Memfokuskan audit pengendalian internal pada hal-hal yang paling penting.
2. Menghilangkan prosedur audit yang tidak diperlukan untuk mencapai manfaat yang
diharapkan.
3. Membuat audit dapat diukur dengan jelas agar sesuai dengan ukuran dan kompleksitas
perusahaan.
4. Menyederhanakan teks standar.