Audit Berbasis Risiko: Cara Menyusun Rencana Audit Tahunan

Misalkan kamu punya waktu belajar 20 jam sebelum ujian akhir, dan ada tujuh mata kuliah. Kamu tidak akan membagi rata. Kamu fokus ke mata kuliah yang SKS-nya besar dan materinya paling kamu kuasai sedikit. Itulah logika audit berbasis risiko: waktu terbatas, jadi arahkan ke tempat yang paling penting dan paling rawan.

Tim audit internal di perusahaan menengah mungkin hanya berisi 4–6 orang, sementara unit dan prosesnya bisa ratusan. Standar IIA terbaru meminta kepala audit internal menyusun rencana audit yang berbasis risiko dan memperbaruinya secara berkala [1]. Modul ini membahas cara melakukannya langkah demi langkah: dari istilah dasar, audit universe, penilaian dan skor berbobot, perhitungan kapasitas, sampai cara menjaga rencana tetap relevan sepanjang tahun.

Konsep dasar: dari siklus ke risiko

Dulu banyak fungsi audit memakai pendekatan siklus: setiap cabang diaudit tiap dua tahun, apa pun kondisinya. Masalahnya, cabang yang stabil dan rapi diaudit sama seringnya dengan cabang yang baru ganti kepala, omzetnya melonjak, dan sering komplain. Pendekatan berbasis risiko membalik logikanya: frekuensi dan kedalaman audit ditentukan oleh tingkat risiko.

Audit berbasis risiko berkaitan erat dengan manajemen risiko perusahaan (Enterprise Risk Management, ERM). Kumpulan pertanyaan yang sering diajukan praktisi ERM menunjukkan bahwa banyak organisasi masih bergulat dengan hal dasar seperti cara menilai dan memprioritaskan risiko [2]. Riset di universitas negeri di AS juga menelaah bagaimana struktur audit internal berkaitan dengan praktik manajemen risiko organisasi [3].

Logika risiko bahkan terlihat pada keputusan membentuk audit internal itu sendiri. Studi pada perusahaan NASDAQ, yang tidak diwajibkan punya audit internal, menemukan bahwa perusahaan dengan profil risiko lebih tinggi lebih cenderung membentuk fungsi audit internal, sedangkan perusahaan kecil atau terbatas sumber dayanya lebih jarang berinvestasi di sana [7].

Landasan standar: apa kata GIAS soal rencana audit

Dalam Global Internal Audit Standards, perencanaan fungsi audit ada di Domain IV, khususnya Prinsip 9 tentang perencanaan strategis. Standar 9.4 mengatur rencana audit internal: CAE menyusun rencana berdasarkan penilaian terdokumentasi atas strategi, tujuan, dan risiko organisasi, mempertimbangkan masukan dari dewan dan manajemen senior, meninjau serta memperbaruinya bila perlu, lalu meminta persetujuan dewan [1].

Perencanaan juga terjadi di level penugasan. Prinsip 13 di Domain V meminta auditor memahami risiko area yang akan diaudit sebelum menetapkan tujuan dan ruang lingkup penugasan [1]. Jadi ada dua lapis penilaian risiko: lapis tahunan untuk memilih apa yang diaudit, dan lapis penugasan untuk menentukan bagian mana yang diuji paling dalam.

Istilah kunci yang perlu kamu kuasai

Langkah 1: menyusun audit universe

Audit universe adalah daftar semua unit yang bisa diaudit (auditable units). Bisa disusun per unit organisasi (cabang, divisi, anak usaha), per proses (pengadaan, penggajian, penjualan), per sistem IT, atau per proyek. Pilih satu cara utama supaya tidak tumpang tindih.

Langkah 2: menilai risiko (dampak × kemungkinan)

Cara paling umum adalah memberi skor dampak dan kemungkinan pada skala 1–5, lalu mengalikannya. Skor 1–25 itu kemudian dikelompokkan: misalnya 15–25 tinggi, 8–14 sedang, 1–7 rendah. Yang penting, kriterianya ditulis jelas supaya dua auditor memberi skor yang sama untuk kondisi yang sama.

Selain dampak dan kemungkinan, banyak fungsi audit menambahkan faktor penyesuai: perubahan besar (sistem baru, pimpinan baru), hasil audit sebelumnya, lama sejak audit terakhir, permintaan komite audit, dan isu regulasi. Risiko siber, misalnya, makin sering naik ke prioritas atas. Riset tentang kualitas audit keamanan siber menyoroti pentingnya sinergi antara kepala audit, tata kelola TI, dan fungsi audit internal [5].

Contoh hitungan: skor risiko berbobot

Perkalian dampak × kemungkinan gampang dipakai, tapi kadang terlalu kasar. Banyak tim memakai skor berbobot: beberapa faktor risiko diberi nilai 1–5, masing-masing dikalikan bobot, lalu dijumlahkan. Hasilnya tetap di skala 1–5, tapi lebih kaya informasi dan lebih mudah dipertanggungjawabkan saat ditanya komite audit.

Lalu terjemahkan skor ke frekuensi audit. Contoh aturan: skor 3,50 ke atas = tinggi, diaudit tiap tahun; 2,50–3,49 = sedang, diaudit tiap dua tahun; di bawah 2,50 = rendah, diaudit tiap tiga tahun atau cukup dipantau dengan analitik data. Dengan aturan itu, aplikasi data pelanggan (4,50) dan pengadaan (3,80) masuk rencana tahun ini, payroll (2,80) dijadwalkan dua tahunan, dan perjalanan dinas (1,80) cukup dipantau.

Langkah 3: menghitung kapasitas dan menyusun rencana tahunan

Variasi: startup, korporasi, bank, BUMN, dan instansi pemerintah

Logika audit berbasis risiko sama di mana pun, tapi sumber risiko, regulasi, dan istilahnya berbeda. Kenali konteksnya sebelum menyalin template dari organisasi lain.

Faktor kualitas di sektor publik juga menarik dicatat. Studi di institusi pendidikan federal di Brasil, berdasarkan persepsi anggota audit internal dan manajemen senior, menelaah faktor yang memengaruhi kualitas audit internal, termasuk praktik perbaikan berkelanjutan dan hubungan dengan auditor eksternal [6]. Pelajaran umumnya: rencana berbasis risiko perlu ditopang tim yang terus belajar dan koordinasi yang baik dengan pihak lain.

Menjaga rencana tetap hidup sepanjang tahun

Risiko tidak menunggu tahun anggaran. Pandemi, sistem baru yang go-live, regulasi baru, atau kasus viral di media sosial bisa mengubah prioritas dalam hitungan minggu. Karena itu banyak fungsi audit kini memakai rencana bergulir (rolling plan): rencana tahunan tetap ada, tapi dikunci per triwulan atau semester, lalu ditinjau ulang.

• Pakai KRI sebagai pemicu. Contoh: jika selisih stok di satu gudang melebihi 1% dua bulan berturut-turut, gudang itu otomatis naik prioritas.
• Manfaatkan analitik data. Area berisiko rendah tidak perlu diaudit penuh; cukup dipantau lewat dashboard pengecualian bulanan.
• Dengarkan sinyal lunak. Laporan whistleblowing, keluhan pelanggan, dan pergantian pejabat kunci adalah tanda awal risiko naik.
• Catat setiap perubahan. Penugasan yang ditambah, ditunda, atau dibatalkan beserta alasannya, lalu laporkan ke komite audit.

Dari rencana tahunan ke penugasan: risiko di level detail

Begitu sebuah unit masuk rencana, penilaian risiko belum selesai. Di awal penugasan, tim perlu memecah proses menjadi subproses dan menilai risiko di tiap bagian, sesuai semangat Prinsip 13 GIAS tentang perencanaan penugasan [1]. Tujuannya supaya hari audit yang terbatas habis untuk bagian yang paling rawan, bukan dibagi rata ke semua langkah.

Total alokasinya 12 + 12 + 8 + 7 + 3 + 3 = 45 hari, dengan lebih dari separuh waktu (24 hari) dipakai untuk dua subproses berisiko tinggi. Pola ini membuat hasil audit lebih tajam, dan kalau ternyata ada temuan di area berisiko rendah, tim bisa menggeser alokasi di tengah jalan dengan persetujuan supervisor.

• Tulis tujuan penugasan berbasis risiko. Contoh: “Menilai efektivitas kontrol untuk mencegah vendor fiktif dan pemecahan PO,” bukan sekadar “mengaudit pengadaan.”
• Batasi ruang lingkup dengan jelas. Sebutkan periode, lokasi, dan subproses yang masuk dan tidak masuk.
• Hubungkan kembali ke rencana tahunan. Hasil penugasan menjadi masukan skor “kelemahan kontrol sebelumnya” untuk tahun berikutnya.

Strategi, kesalahan umum, dan cara menyajikan rencana

Kualitas audit internal tidak hanya bergantung pada metode, tapi juga pada tata kelola, kompetensi tim, dan cara berkomunikasi. Kajian tentang kualitas audit internal menelaah bagaimana praktik tata kelola, sumber daya manusia, dan komunikasi dapat meningkatkannya [4]. Dalam konteks perencanaan, ini berarti rencana yang bagus harus dibicarakan, bukan hanya dikirim.

• Skor tanpa kriteria. Setiap auditor memberi angka berdasarkan perasaan. Selalu tulis kriteria dan simpan alasannya.
• Rencana yang beku. Risiko berubah cepat. Tinjau rencana minimal tiap semester atau saat ada kejadian besar.
• Mengabaikan risiko strategis. Hanya mengaudit transaksi keuangan, padahal risiko terbesar mungkin di transformasi digital atau kepatuhan.
• Tidak melibatkan manajemen. Wawancara singkat dengan direksi dan kepala unit sering membuka risiko yang tidak tercatat di register.
• Mengandalkan register ERM mentah-mentah. Gunakan sebagai masukan, tapi tetap lakukan penilaian sendiri secara independen.

Menyajikan rencana ke komite audit

Rencana audit tahunan bukan sekadar daftar penugasan. Komite audit perlu memahami logikanya supaya bisa menyetujui dengan yakin dan ikut membela rencana itu ketika ada tekanan dari pihak yang ingin areanya tidak disentuh. Format yang efektif biasanya muat dalam lima sampai tujuh slide.

1. Ringkasan profil risiko organisasi tahun ini dan perubahan dibanding tahun lalu.
2. Peta risiko audit universe beserta metodologi skor yang dipakai.
3. Daftar penugasan per triwulan, lengkap dengan alasan risiko dan estimasi hari kerja.
4. Risiko tinggi yang tidak tercakup beserta alasannya (kapasitas, sudah dicakup pihak lain, atau ditunda).
5. Kebutuhan sumber daya: jumlah auditor, keahlian khusus (IT, data, syariah), dan anggaran co-sourcing.
6. Indikator kinerja fungsi audit, misalnya realisasi rencana, umur temuan terbuka, dan kepuasan auditee.

Latihan mandiri dan checklist

• Saya bisa menjelaskan beda pendekatan siklus dan pendekatan berbasis risiko.
• Saya tahu bagian GIAS yang mengatur rencana audit dan perencanaan penugasan.
• Saya bisa menyusun audit universe dengan atribut minimal.
• Saya bisa menghitung skor dampak × kemungkinan dan skor berbobot, lalu menerjemahkannya ke frekuensi audit.
• Saya bisa menghitung kapasitas tim dan menyisakan cadangan.