I. COSO Internal Control FrameworkPengendalian internal menurut
COSO adalah sebuah proses yang dijalankan oleh dewan komisaris,
manajemen, dan personel di dalam organisasi yang didesain untuk
memberikan keyakinan yang memadai untuk mencapai tujuan keandalan
pelaporan, efektifitas dan efisiensi operasi dan kepatuhan terhadap
peraturan yang berlaku. Agar tujuan pengendalian internal tercapai
maka perusahaan harus memperhatikan komponen pengendalian
internal
Tujuan pengendalian internal yaitu mencakup 3 (tiga) hal pokok
yang dapat diuraikan sebagai berikut :1. Tujuan-tujuan operasi yang
berkaitan dengan efektivitas dan efisiensi operasi, bahwa
pengendalian internal dimaksudkan untuk meningkatkan efektivitas
dan efisiensi dari semua operasi perusahaan sehingga dapat
mengendalikan biaya yang bertujuan untuk mencapai tujuan
organisasi.2. Tujuan-tujuan pelaporan, bahwa pengendalian internal
dimaksudkan untuk meningkatkan keandalan data serta catatan-catatan
akuntansi dalam bentuk laporan keuangan dan laporan manajemen
sehingga tidak menyesatkan pemakai laporan tersebut dan dapat diuji
kebenarannya.3. Tujuan-tujuan ketaatanterhadap hukum dan peraturan
yang berlaku, bahwa pengendalian internal dimaksudkan untuk
meningkatkan ketaatanentitas terhadap hukum-hukum dan peraturan
yang telah ditetapkan pemerintah, pembuat aturan terkait, maupun
kebijakan-kebijakan entitas itu sendiri.
Berdasarkan gambar tersebut menjelaskan bahwa ada suatu hubungan
langsung antara tujuan-tujuan sebagai apa yang hendak dicapai
entitas dengan komponen-komponen pengendalian internal yang
mewakili apa yang diperlukan untuk mencapai tujuan-tujuan itu,
serta struktur organisasi entitas pada setiap tingkatan (divisi,
unit operasi, fungsi, dan lainnya). Ketiga kategori tujuan tersebut
(operasi, pelaporan, dan ketaatan) diwakili oleh kolom, kemudian
kelima komponen pengendalian internal diwakili oleh baris,
sedangkan struktur organisasi entitas direpsentasikan oleh ketiga
dimensinya.
Komponen Pengendalian Internal :1. Control EnvironmentLingkungan
pengendalian adalah kondisi yang dibangun dan diciptakan dalam
suatu organisasi yang akan mempengaruhi pengendalian. Kondisi
lingkungan kerja dipengaruhi oleh beberapa hal, yaitu adanya
penegakan integritas dan wtika seluruh angota organisasi, komitmen
pimpinan manajemen atas kompetensi, kepemimpinan manajemen yang
kondusif, pembentukan struktur organisasi yang sesuai dengan
kebutuhan, pendelegasian wewenang dan tanggung jawab yang tepat,
penyusunan dan penerapan kebijakan yang sehat tentang pembinaan
sumber daya manusia, perwujudan peran aparat pengawasan yang
efektif, dan hubungan kerja yang baik dengan pihak ekstern. Board
Of Directors And Audit Committee Pengendalian internal sangat
dipengaruhi oleh tindakan yang dicontohkan para pemimpin di
perusahaan, seperti dewan direksi dan komite audit. Hal tersebut
dikarenakan dewan direksi dan komite audit didominasi oleh para
pekerja senior dengan pengalaman bertahun-tahun, sehingga kondisi
ini membuat anggota dewan dapat berkurang independensinya. SOx
mengatur audit komite agar dapat menjaga independensinya karena
mereka adalah komponen yang penting dalam pengendalian internal
perusahaan. Managements Philosophy And Operating StyleFilosofi
managemen dan cara managemen mengoperasikan perusahaan, misalnya
manager mempunyai sifat risk-taker atau play safer, menjadi salah
satu hal yang dipertimbangkan auditor internal dalam menentukan
seberapa jauh keefektifan pengendalian internal yang diterapkan.
Organizational StructureKomponen pengendalian internal menyediakan
kerangkan untuk perencanaan, eksekusi, pengendalian, dan pemantauan
yang membantu dalam mencapai tujuan. Struktur organisasi merupakan
aspek yang penting bagi lingkungan pengendalian diperusahaan.
Dengan mengetahui struktur organisasi perusahaan, seperti
centralisasi atau desentralisasi, internal auditor dapat membuat
sistem pengendalian internal yang tepat bagi peruasahaan. Karena
itu perencanaanstruktur organisasi yang tidak matang dapat
mempengaruhi pengendalian internal. Assignment Of Authority And
ResponsibilityTidak berbeda jauh dengan struktur organisasi di
atas, sekarang ini banyak perusahaan yang memberikan hak kepada
front-line personnelnya untuk turut dalam pengambilan keputusan.
Hal tersebut dapat memberikan risiko tambahan bagi perusahaan
jikalau personnel tersebut salah dalam pengambilan keputusan. Atas
hal tersebut, sangat dibutuhkan pemahaman yang baik bagi tiap-tiap
personnel yang ada di perusahaan mengetahui dengan jelas deskripsi
pekerjaannya serta sasaran d an tujuan perusahaan. Dalam hal ini,
pengendalian internal turut andil. Pengendalian internal yang baik
dapat mengurangi risiko salah pendelegasian dalam pengambilan
keputusan. Human Resources Policies And PracticesBagian sumber daya
manusia harus mempunyai kebijakan dan guidance yang kuat sehingga
dapat memberikan pesan yang kuat kepada pekerja mengenai
pelaksanaan pengendalian internal, etika, dan kompetensi yang
diharapkan perusahaan kepada pekerja. Area yang penting bagi
kebijakan dan praktik oleh SDM yaitu recruitment, hiring, orientasi
bagi karyawan baru, evaluasi, promosi, kompensasi, dan
disiplin.
2. Risk AssessmentMekanisme yang ditetapkan untuk
mengindentifikasi, menganalisis, dan mengelola risiko-risiko yang
berkaitan dengan berbagai aktivitas di mana organisasi beroperasi.
Kerangka pengendalian internal COSO menyarankan bahwa risiko
sebaiknya dilihat dari 3 perspektif:a. Enterprise risks due to
external factorsMisalnya perkembangan teknologi, kebutuhan
pelanggan, harga, waranti, dan service.b. Enterprise risks due to
internal factorsMisalnya kerusakan pada server IT perusahaan,
kualitas pekerja, dan lain-lainnya.c. Specifi activity-level
risksSelain melihat kepada faktor internal dan eksternal, risiko
juga dilihat berdasarkan aktivitas level seperti IT, keuangan,
pemasaran, dan lain-lainnya.
3. Control ActivityPelaksanaan dari kebijakan-kebijakan dan
prosedur-prosedur yang ditetapkan oleh manajemen untuk membantu
memastikan bahwa tujuan dapat tercapai. a. Types Of Control
Activities, berikut rekomendasi oleh COSO mengenaik aktivitas
pengendalian internal untuk perusahaan: Top-level reviews. Direct
functional or activity management. Information processing Physical
controls. Performance indicators. Segregation of duties.
b. Integration Of Control Activities With Risk
AssessmentPengendalian internal harus dilakukan berbarengan dengan
mengidentifikasi risiko. c. Controls Over Information
SystemsKerangka pengendalian internal COSO menekankan butuhnya
prosedur pengendalian untuk sistem informasi yang digunakan
perusahaan. Misalnya membatasi orang yang dapat mengakses ruang
server dan pintu selalu dalam keadaan terkunci.
4. Komunikasi dan InformasiInformasi adalah data yang sudah
diolah yang digunakan untuk pengembalian keputusan dalam rangka
penyelenggaraan tugas dan fungsi organisasi. Informasi yang
berkualitas tentunya harus dikomunikasikan kepada pihak-pihak yang
terkait. Penyampaian informasi yang tidak baik dapat mengakibatkan
kesalahan interpretasi penerimaan informasi. Relationship Of
Information And Internal Control The Communications Aspect Of
Internal Control
5. MonitoringPemantauan (monitoring) adalah tindakan pengawasan
yang dilakukan oleh pimpinan manajemen dan pegawai lain yang
ditunjuk dan bertanggung jawab dalam pelaksanaan tugas sebagai
penilai terhadap kualitas dan efektivitas sistem pengendalian
intern. Pemantauan dapat dilakukan dengan 3 cara yaitu: Ongoing
Monitor Activities Separate Internal Control Evaluation Reporting
Internal Control Deficiencies
II. Terminologi Dalam Mengvaluasi Control
DeficienciesPermasalahan yang terkait pengendalian internal
dibedakan dalam tiga jenis, yaitu:a. kelemahan material (material
weakness),b. kekurangan signifikan (significant deficiency), dan c.
kekurangan pengendalian (control deficiency). Material weakness
(kelemahan material), menurut Auditing Standard No. 2 adalah
kekurangan yang signifikan atau kombinasi dari kekurangan yang
signifikan yang menyebabkan salah saji material pada Laporan
Keuangan Tahunan dan Laporan Keuangan Interim tidak dapat dicegah
atau dideteksi. Significant deficiency (kekurangan signifikan)
adalah kekurangan pengendalian yang mempengaruhi kemampuan
perusahaan untuk memulai, mengotorisasi, mencatat, proses, atau
melaporkan data keuangan yang andal kepada pihak eksternal sesuai
dengan prinsip akuntansi berterima umum. Hal ini akan dapat
menimbulkan kemungkinan yang lebih besar terjadinya salah saji pada
laporan keuangan tahunan dan laporan keuangan interim daripada
hanya sekedar ketidakbenaran yang tidak bisa dicegah atau
dideteksi. Control deficiency (kekurangan pengendalian) terjadi
ketika dalam kondisi normal pengendalian operasional tidak
mengizinkan manajemen atau karyawan (sesuai dengan fungsinya
masing-masing) melakukan pencegahan dan deteksi salah saji secara
tepat waktu. Terminologi Control Deficency menurut COSO merujuk
pada kelemahan dalam komponen atau prinsip yang relevan dari sistem
pengendalian internal yang berpotensi berdampak negative
mempengaruhi kemampuan entitas untuk mencapai tujuannya. untuk
mengidentifikasi control deficiency, termasuk kegiatan monitoring
entitas, penilaian efektivitas dalam komponen lain dari
pengendalian internal, dan eksternal pihak yang memberikan masukan
relatif terhadap keberadaan dan fungsi dari komponen atau rinsip
yang relevan. Untuk tujuan pelaporan internal dan tujuan
operasional. Ketika sebuah organisasi merasakan ada indikasi
kelemahan pengendalian internal, manajemen harus menilai tingkat
kelemahan tersebut berdasarkan potensial efek pada sistem
pengendalian internal entitas. Regulator dan pihak ketiga yang
relevan menetapkan kriteria untuk mengevaluasi tingkat keparahan
control deficiency, dan membuat laporan kelemahan pengendalian
internal yang berkaitan dengan tujuan pengendalian internal. Untuk
tujuan pelaporan dan operasional, manajemen dan direktur perlu
menetapkan kriteria untuk mengevaluasi kelemahan pengendalian
internal dan melaporkan kepada bagian yang bertanggungjawab dalam
mencapai tujuan Selain itu, manajemen juga perlu mengembangkan
pemahaman perbedaan antara hukum, peraturan dan standar dalam
menerapkan framework. Regulator membuat aturan untuk mengevaluasi
control deficiency yang berkaitan dengan laporan keuangan eksternal
dan mengklasifikasikan tingkat keparahan atas deficiency tersebut
baik yang termasuk material weakness dan significat deficiency.
manajemen harus tetap patuh terhadap peraturan, hukum, dan
undang-undang dalam mengevaluasi control deficiency.
III. Kerangka Dalam Mengevaluasi Control Exception dan
DeficiencyICFR merupakan salah satu unsur konsep pengendalian
internal dalam arti luas. Pengendalian internal mencakup semua
proses dan prosedur yang ditetapkan manajemen untuk membantu
memastikan bahwa aset perusahaan terlindungi dan aktivitas
perusahaan berjalan sesuai dengan kebijakan dan prosedur yang
ditetapkan.Pada tahun 1992, Komite Sponsoring Organizations of the
Treadway Komisi ("COSO"), sebuah inisiatif dari beberapa kelompok
yang berkepentingan dengan pengendalian internal yang efektif,
merilis sebuah kerangka kerja untuk membantu perusahaan dalam
penataan dan mengevaluasi sistem pendendalian atas berbagai risiko.
Kerangka kerja COSO mendefinisikan pengendalian internal sebagai
"sebuah proses yang dipengaruhi oleh Dewan Direksi, Manajemen, dan
personil lainnya yang dirancang untuk memberikan jaminan mengenai
pencapaian tujuan yang berkaitan dengan operasional, pelaporan, dan
kepatuhan.ICFR dapat diartikan sebagai suatu pengendalain yang
dirancang secara khusus untuk memitigasi risiko terkait laporan
keuangan. Dengan kata lain ICFR organisasi/ perusahaan meliputi
berbagai pendalian yang dirancang untuk memberikan jaminan/
keyakinan bahwa laporan keuangan perusahaan dapat dipercaya dan
disusun berdasarkan GAAP (standar akuntansi yang berlaku).
Ketidak-akuratan suatu laporan keuangan bisa terjadi karena
kesalahan matematis, ketidak-tepatan penerapan GAAP (standar
akuntansi) atau dilakukan secara sengaja (fraud). ICFR diharapkan
dapat dapat mencegah ketidak-akuratan tersebut.Laporan keuangan
seringkali tidak hanya membutuhkan pengambilan keputusan yang
akurat namun juga membutuhkan suatu judgment. Misalkan untuk
membuat estimasi cadangan kerugian tidak hanya ditetapkan
berdasarkan prosentase tertentu namun juga judgment berdasarkan
asumsi tertentu. Dengan demikian pengendalian tidak dapat
menghilangkan unsur judgement, namun dapat mmberikan guidance dalam
penetapan judgment dengan tetap memperhatikan aturan GAAP.Perlu
dipahami bahwa tidak ada satu ssstem ICFR yang dapat memberikan
jaminan keakuratan 100% karena :a. pengendalian internal dilakukan
oleh orang-orang yang tidak mungkin bebas dari kesalahan,b. faktor
biaya dan manfaat, akan mempengaruhi disain dari sistem
pengendalian, semakin banyak rsisko yang hendak dimitigasi, maka
semakin besar biaya pengendaliannya,c. faktor niat jahat untuk
melakukan kecurangan dam kolusi, akan membuat pengendalian yang
sudah dirancang dengan bagus menjadi tidak berguna.Komponen utama
dalam ICFR adalah pengendalian lingkungan (control environment) dan
pengendalian kegiatan (control activities) yang dapat diuraikan
sebagai berikut :a. Control environment, ICFR dapat berjalan dengan
baik apabila di dukung oleh budaya perusahaan dan komitmen dari
pimpinan berupa pembuatan dan penegakan kode etik perusahaan serta
program pelatihan buat pegawai agar dapat mengikuti perubahan
aturan atau ketentuan.b. Control activities, dapat dilakukan
melalui : pembagian tugas (segregation of duties), misal pegawai
yang bertanggung jawab atas fisik barang tidak diberi akses ke
system pencatatan barang. pencegahan dan penyidikan (preventive
& detective control), misalkan pemisahan pegawai bagian
pencatatan dan pembayaran, pembatasan akses pada IT system serta
rekonsilasi pencatatan kas (detective control). pengendalian level
perusahaan dan level proses (entity-level & process-level
controls), misal pembetukan Komite Audit dan review berkala oleh
CFO (entity level) atau pencocokan dokumen penerimaan barang dengan
vendor invoice (process level).Ketika disain dari ICFR atau
pelaksanaan pengendalian tidak memberikan kesempatan pada manajemen
maupun pegawai untuk mencegah atau mendeteksi kesalahan pelaporan
yang terjadi pada kondisi normal, maka terjadilah deficiency ICFR.
Ketika terjadi deficiency terjadi pada saat disain maupun
pelaksanaan, maka majamenen perlu menilai seberapa besar dampaknya
terhadap proses penyusunan laporan keuangan perusahaan.
Deficiencies yang besar dapat dikategorikan sebagai significant
deficiencies atau material weakness.Dalam hal pelaporan pada SEC,
maka jika terjadi satu material weakness dalam ICFR, maka ICFR
dinilai tidak efektif meskipun pengendalian lainnya sudah
efektif.Adanya material weakness berarti ada kemungkinan
pengendalian yang dilakukan tidak dapat mencegah atau mendeteksi
kesalahan pengungkapan yang material atas laporan keuangan
perusahaan secara tepat waktu. Namun bukan berarti bahwa dengan
adanya material weakness dalam ICFR maka terdapat salah
pengungkapan pada laporan keuangan. IV. Menarik Kesimpulan Akhir
Atas Keefektifan ICoFR
V. Bagaimana Mengkomunikasikan laporan ICoFR
VI. Pendokumentasian Laporan ICoFR
7
