Rangkuman Mata Kuliah

Disusun untuk Memenuhi Tugas Mata Kuliah Pengauditan Internal

Disusun Oleh :

Permatasari
A031231033

PROGRAM STUDI AKUNTANSI

1
 Business Processes and Risks
1. Memahami bagaimana organisasi menyusun aktivitasnya untuk mencapai
tujuan mereka
Organisasi mencapai tujuan dengan menyusun aktivitasnya ke
dalam proses bisnis yang terhubung atau ke dalam proyek yang unik.
• Definisi Proses Bisnis: "Serangkaian aktivitas terhubung yang
dikaitkan satu sama lain dengan tujuan mencapai satu atau lebih tujuan
bisnis." (Business Process).
Klasifikasi Aktivitas (Exhibit 5-2):
A. Proses Operasi
Merupakan jantung organisasi, menciptakan nilai langsung bagi
pelanggan.
• Proses 1-3 (Memahami Lingkungan, Mengembangkan Strategi,
Merancang Produk/Layanan) bersifat fondasional dan menentukan
arah.
• Proses 4-6 (Pemasaran & Penjualan, Memproduksi
Produk/Mengirimkan Jasa, Menerbitkan Tagihan & Penagihan)
bersifat berulang dan kontinu dalam satu siklus bisnis.
B. Proses Manajemen dan Pendukung
Mendukung proses operasi tetapi tidak langsung menciptakan nilai
bagi customer.
• Proses 7-10: Mengelola sumber daya (Manusia, Keuangan, TI &
Teknologi, Fisik).
• Proses 11: Mengelola Kepatuhan Hukum dan Regulasi.
• Proses 12: Mengelola Hubungan Eksternal (pemasok, regulator,
mitra)
• Catatan Penting: Aktivitas Tata Kelola (Governance) yang dibahas
di Bab 3 (seperti perencanaan strategis, program ERM, aktivitas
dewan) juga dapat dikategorikan sebagai proses pendukung
organisasi

2
 C. Proyek (Projects)
Untuk aktivitas yang unik, berjangka panjang, dan tidak berulang.
• Proses 13 (Project Operate): Organisasi merancang, membangun,
dan kemudian mengoperasikan asetnya sendiri (e.g., perusahaan
minyak yang mengebor dan mengoperasikan sumur minyak).
• Proses 14 (Project Deliver): Organisasi merancang dan
membangun aset lalu menyerahkannya kepada organisasi lain
untuk dioperasikan (e.g., kontraktor teknik yang membangun
pabrik untuk klien).
2. Mengidentifikasi proses bisnis kunci dalam suatu organisasi
Proses kunci adalah proses yang kegagalannya akan secara langsung
menyebabkan organisasi gagal mencapai tujuannya
Dua Pendekatan Identifikasi:
a. Pendekatan Top-Down (Top-Down Approach)
• Dimulai dari tujuan organisasi yang paling tinggi (strategis).
• Tim dengan perspektif luas (biasanya manajemen senior atau
auditor internal) mengidentifikasi proses mana yang paling kritikal
untuk kesuksesan setiap tujuan.
• Keunggulan: Fokus pada hal yang benar-benar penting bagi
organisasi. Kelemahan: Berpotensi melewatkan proses yang
tampaknya tidak kritis di tingkat strategis tetapi sangat kritis di
tingkat operasional
a. Pendekatan Bottom-Up (Bottom-Up Approach)
• Dimulai dari level aktivitas paling detail. Setiap bagian organisasi
mendokumentasikan semua proses yang mereka lakukan.
• Proses-proses ini kemudian digabungkan untuk membentuk
gambaran menyeluruh.
• Keunggulan: Sangat detail dan komprehensif
• Kelemahan: Sangat rumit untuk organisasi besar, dan sulit
memprioritaskan signifikansi relatif dari ratusan proses

3
3. Memahami proses bisnis tertentu dan mampu mendokumentasikannya
Memahami proses dilakukan dengan menggali informasi dari
pemilik proses dan pengguna melalui pertanyaan-pertanyaan kunci (e.g.,
"Mengapa proses ini ada?", "Apa yang memberi rasa pencapaian?").
Dokumentasi adalah kunci untuk orientasi, evaluasi, dan identifikasi
risiko.
• Metode Dokumentasi:
a. Process Maps (Peta Proses): Representasi visual menggunakan
simbol standar (Exhibit 5-5).
• Simbol Dasar: Oval (Terminator/Awal-Akhir), Kotak
(Process/Aktivitas), Belah Ketupat (Decision/Keputusan),
Panah (Flow Line/Arah).
• Tingkat Detil:
o Tingkat Tinggi (High-Level): Memberikan gambaran
besar (Exhibit 5-4).
o Tingkat Detail (Detailed-Level): Memecah proses
menjadi sub-proses dan aktivitas spesifik (Exhibit 5-6).
b. Process Narratives (Narasi Proses): Deskripsi tekstual yang
mendetail yang sering menyertai peta proses untuk menjelaskan
aktivitas, kontrol, dan pengecualian.
4. Memahami jenis-jenis dasar risiko bisnis yang dihadapi organisasi
Risiko dikategorikan ke dalam model untuk memastikan cakupan yang
lengkap. Exhibit 5-7 (Basic Business Risk Model) menyajikan kategorisasi
yang komprehensif:
• Strategic Risks: Risiko yang terkait dengan lingkungan eksternal dan
pilihan strategi internal (e.g., perubahan hukum, reputasi, persaingan,
fokus strategis).
• Compliance Risks: Risiko gagal mematuhi kewajiban eksternal
(hukum, kontrak) dan internal (kode etik, kebijakan).

4
 • Reporting Risks: Risiko terkait keandalan dan ketepatan waktu
pelaporan, baik eksternal (keuangan, pajak) maupun internal
(anggaran, pengukuran kinerja).
• Operations Risks: Risiko pada proses inti operasi, dikelompokkan
menjadi:
o Process: Rantai pasok, eksekusi proses, keselamatan,
kelangsungan bisnis.
o People: Ketersediaan tenaga kerja, kepemimpinan, insentif.
o Financial: Suku bunga, nilai tukar, ketersediaan modal,
likuiditas.
• Information Resources: Risiko TI yang meliputi akses, ketersediaan,
integritas data, dan privasi.
5. Mengidentifikasi dan menilai risiko kunci terhadap tujuan organisasi dan
bagaimana kaitannya dengan proses bisnis
Langkah-Langkahnya adalah:
1. Identifikasi Risiko
Gunakan model Exhibit 5-7 sebagai panduan dalam sesi brainstorming
dengan manajemen
2. Assesmen Risiko
Nilai setiap risiko menggunakan matriks 5x5 (Exhibit 5-8).
• Dampak (Impact): Dinilai pada skala 1 (Negligible) hingga 5
(Extreme), dengan definisi yang jelas (dalam dollar dan dampak
terhadap tujuan bisnis).
• Kemungkinan (Likelihood): Dinilai pada skala 1 (Remote/0-10%)
hingga 5 (Certain/90-100%).
3. Pemetaan & Prioritisasi
Plot risiko pada matriks. Kombinasi dampak dan kemungkinan
menghasilkan skor yang menentukan level risiko:
• Kotak 20-25: Critical Risks (Contoh dalam Exhibit 5-9 untuk
perusahaan jasa keuangan: Catastrophic events, Governance,
Product stagnation).

5
 • Kotak 16-19: High Risks
• Kotak 7-15: Moderate Risks
• Kotak 1-6: Low Risks
4. Menghubungkan Risiko dengan Proses
Buat Risk by Process Matrix (Exhibit 5-11).
• Daftarkan semua risiko (biasanya 30-70) di bagian atas.
• Daftarkan semua proses di sisi kiri.
• Tentukan hubungan setiap proses dengan setiap risiko:
o "K" (Key Link): Proses memainkan peran langsung dan
kunci dalam mengelola risiko tersebut.
o "S" (Secondary Link): Proses membantu mengelola risiko
tersebut secara tidak langsung.
• Untuk satu risiko, seharusnya hanya ada 1-3 proses dengan Key
Link.
6. Mengembangkan audit universe untuk suatu organisasi dan menentukan
rencana audit internal tahunan berdasarkan risiko bisnis kunci
Audit Universe: Adalah daftar lengkap semua proses yang diidentifikasi
(biasanya dari pendekatan bottom-up atau klasifikasi Exhibit 5-2)
Menyusun Rencana Audit:
a. Berdasarkan Matriks Risiko-Proses: Hitung jumlah Key
Link dan Secondary Link untuk setiap proses. Proses dengan
banyak Key Link ke risiko kritis menjadi prioritas audit tertinggi.
Tentukan siklus audit (e.g., 1 tahun untuk risiko kritis, 3-5 tahun
untuk risiko rendah).
b. Berdasarkan Pendekatan Faktor Risiko (Risk Factor Approach -
Exhibit 5-12):

• Pilih 7-15 faktor risiko yang applicable (e.g., Assets at risk,

• Tentukan skor (biasanya 1-3) untuk setiap faktor pada setiap

6
 • Beri bobot (weight) pada setiap faktor berdasarkan
kepentingannya.
• Hitung Overall Risk Score = Σ (Skor Faktor x Bobot Faktor).
• Kelompokkan proses berdasarkan skornya (Low, Medium,
High) dan tentukan siklus auditnya. Proses dengan skor tinggi
diaudit lebih sering.
c. Pertimbangkan juga hasil audit sebelumnya dan kekhawatiran
manajemen.
7. Memahami bagaimana menggunakan teknik penilaian risiko dalam
assurance engagement
Teknik ini diterapkan pada tingkat engagement (tugas audit spesifik) untuk
merencanakan dan melaksanakan audit yang efektif. Contoh: Audit
terhadap proses "Hadir di Kelas Tepat Waktu".
1. Pahami & Dokumentasikan Proses: Buat peta proses detail (Exhibit 5-
6).
2. Identifikasi Risiko Spesifik: Untuk setiap aktivitas dalam peta,
identifikasi hal yang bisa salah (Exhibit 5-14, kolom "Risk
Statement"). Contoh: "Lupa mengatur alarm", "Mobil mogok".
3. Nilai Risiko: Tentukan Dampak dan Kemungkinan untuk setiap risiko.
4. Prioritaskan dengan Risk Map: Plot risiko pada peta (Exhibit 5-15)
untuk fokus pada risiko di kuadran kanan atas (dampak tinggi,
kemungkinan tinggi).
5. Evaluasi Respons Manajemen (Kontrol): Identifikasi bagaimana risiko
dikelola (kolom "Risk Response Strategy"). Apakah diterima (accept),
dihindari (avoid), atau dikurangi (reduce) dengan kontrol?
6. Uji Efektivitas Kontrol: Rencanakan prosedur audit (kolom "How to
Gain Assurance") untuk mendapatkan keyakinan bahwa kontrol
bekerja efektif.
7. Buat Risk-Control Map (Exhibit 5-16): Evaluasi keseimbangan akhir
antara signifikansi risiko dan efektivitas kontrol. Area yang over-
controlled (kontrol terlalu kuat untuk risiko rendah) dan under-
7
 controlled (kontrol lemah untuk risiko tinggi) memerlukan
rekomendasi.
8. Memperoleh kesadaran akan risiko baru yang timbul ketika organisasi
mengalihdayakan beberapa proses kuncinya
Business Process Outsourcing (BPO): Pengalihan proses ke penyedia luar
untuk mengurangi biaya dan meningkatkan efisiensi.
Risiko Baru:
a. Kehilangan Kendali & Visibilitas langsung atas proses.
b. Risiko Kinerja Vendor yang tidak memenuhi SLA (Service Level
Agreement).
c. Risiko Transisi yang kompleks dan mengganggu.
d. Risiko Keamanan Data dan Kerahasiaan.
e. Tantangan dalam Audit, karena proses berada di luar organisasi.
Praktik Terbaik untuk Mengelola Risiko Outsourcing:
a. Dokumentasi proses dan kontrol kunci yang di-outsource.
b. Pemantauan Kinerja vendor yang berkelanjutan.
c. Mendapatkan Assurance atas kontrol vendor, biasanya melalui
laporan audit independen (seperti laporan SOC 1/SOC 2 di AS).
d. Reevaluasi berkala apakah outsourcing masih memberikan nilai.