Fraud Triangle, Red Flags, dan Peran Audit Internal Cegah Fraud

Pak Danu (bukan nama sebenarnya) sudah 12 tahun jadi kepala gudang. Rajin, ramah, tidak pernah cuti panjang. Semua orang kaget waktu ketahuan ia menjual stok besi beton ke toko lain lewat surat jalan “retur”. Alasannya: anaknya sakit, utang menumpuk, dan ia merasa “cuma pinjam, nanti diganti”. Cerita semacam ini sering terjadi, dan polanya bisa dipelajari.

Laporan tahunan ACFE (Association of Certified Fraud Examiners) tentang fraud kerja secara konsisten menunjukkan bahwa organisasi kehilangan porsi pendapatan yang signifikan karena kecurangan internal, dan bahwa banyak kasus baru terungkap setelah berlangsung lama [1]. Modul ini membahas teori di balik fraud, istilah yang perlu kamu kenal, skema yang paling umum, tanda bahayanya, cara membangun program anti-fraud, dan di mana posisi auditor internal.

Fraud triangle: kenapa orang baik bisa curang

Teori ini berawal dari penelitian kriminolog Donald Cressey pada 1950-an. Ia mewawancarai para narapidana kasus penggelapan, yaitu orang-orang yang awalnya dipercaya memegang uang lalu menyalahgunakan kepercayaan itu. Cressey menemukan pola yang berulang, yang kemudian dirumuskan menjadi fraud triangle.

• Tekanan (pressure): masalah keuangan pribadi, target penjualan yang tidak realistis, gaya hidup, atau tekanan dari atasan.
• Kesempatan (opportunity): kontrol lemah, satu orang memegang terlalu banyak akses, tidak ada reviu, atau pengawasan yang hanya formalitas.
• Rasionalisasi: pembenaran dalam kepala, seperti “gaji saya kecil”, “perusahaan untung besar”, “nanti saya kembalikan”, atau “semua orang juga begitu”.

Dari diamond sampai pentagon

Teori segitiga kemudian dikembangkan. Fraud diamond menambahkan unsur kapabilitas: posisi, kecerdasan, kepercayaan diri, dan kemampuan menekan orang lain untuk ikut. Gampangnya, tidak semua orang yang tertekan dan punya kesempatan sanggup menjalankan skema yang rumit; yang paham sistem dan punya pengaruh jauh lebih berbahaya. Penelitian terbaru masih memakai fraud diamond untuk memprediksi faktor penyalahgunaan aset [3].

Pengembangan berikutnya, fraud pentagon, menambahkan unsur arogansi: sikap merasa di atas aturan dan yakin kontrol tidak berlaku untuk dirinya. Survei terhadap auditor yang menguji kelima unsur pentagon juga menempatkan nilai etika sebagai faktor yang ikut memengaruhi kecenderungan fraud [8]. Ada pula model fraud hexagon yang menambahkan unsur kolusi. Tinjauan teori fraud yang lebih luas merangkum berbagai model ini dan jalur pencegahannya [2].

Istilah kunci dalam dunia fraud

Skema fraud yang umum menurut ACFE

ACFE mengelompokkan fraud kerja (occupational fraud) ke dalam tiga kategori besar, yang sering digambarkan sebagai fraud tree [1]. Pola yang berulang dari tahun ke tahun: penyalahgunaan aset paling sering terjadi tapi kerugian per kasusnya relatif kecil, sedangkan kecurangan laporan keuangan paling jarang tapi kerugian per kasusnya paling besar.

Kajian kuantitatif dan kualitatif tentang penyalahgunaan aset menelaah bagaimana organisasi mengelola fraud jenis ini, dari pencegahan sampai respons setelah kasus terungkap [6].

Membedah satu skema: vendor fiktif

Supaya kebayang, coba lihat skema billing dari sisi pelaku. Memahami langkah pelaku membantu auditor menebak di titik mana jejaknya tertinggal, dan kontrol mana yang seharusnya menghentikannya.

Pola yang berulang di laporan ACFE

Angka persisnya berubah tiap edisi, jadi selalu cek laporan terbaru sebelum mengutip angka. Tapi beberapa pola muncul konsisten di laporan ACFE dari tahun ke tahun [1], dan pola inilah yang berguna untuk auditor:

• Tip adalah cara deteksi terbanyak, dan sebagian besar tip berasal dari karyawan sendiri. Audit internal dan reviu manajemen menyusul di belakangnya.
• Fraud baru ketahuan setelah lama berjalan, sering berbulan-bulan sampai lebih dari setahun. Makin lama tidak terdeteksi, makin besar kerugiannya.
• Kelemahan kontrol adalah faktor dominan. Kurangnya kontrol internal dan kontrol yang dilewati (override) termasuk penyebab yang paling sering disebut korban.
• Jabatan pelaku menentukan besar kerugian. Pelaku di level pemilik atau eksekutif cenderung menimbulkan kerugian jauh lebih besar dibanding staf.
• Sebagian besar pelaku tidak punya catatan kriminal sebelumnya. Artinya, penyaringan latar belakang saat rekrutmen saja tidak cukup.
• Red flag perilaku sering terlihat, terutama gaya hidup melebihi penghasilan dan kesulitan keuangan.

Lalu, apa artinya buat rencana kerja auditor? Pertama, investasi pada WBS dan budaya berani melapor biasanya memberi hasil deteksi lebih besar daripada menambah jumlah sampel audit. Kedua, karena fraud cenderung berlangsung lama, analitik rutin yang berjalan tiap bulan lebih berguna daripada pemeriksaan setahun sekali. Ketiga, kontrol atas pejabat senior, misalnya reviu klaim biaya direksi oleh komite audit, tidak boleh dianggap tabu. Justru di level itulah potensi kerugiannya paling besar.

Red flags: sinyal yang perlu digali

Red flags adalah tanda bahaya yang meningkatkan kemungkinan adanya fraud. Ingat, red flag bukan bukti. Orang yang beli mobil baru belum tentu korupsi. Tapi kalau beberapa red flag muncul bersamaan di area yang kontrolnya lemah, itu alasan kuat untuk menggali lebih dalam. Studi kasus tentang kecurangan laporan keuangan mengurai red flags yang muncul dalam satu kasus nyata [5], dan pelajarannya berlaku juga untuk auditor internal: sinyal kecil yang diabaikan bisa jadi kasus besar.

Contoh kecil: vendor jasa kebersihan menagih Rp4,9 juta setiap minggu, padahal batas approval manajer adalah Rp5 juta. Nomor invoicenya 101, 102, 103 berturut-turut, yang berarti vendor itu nyaris tidak punya pelanggan lain. Satu sinyal saja belum berarti apa-apa. Tiga sinyal di satu vendor adalah alasan untuk mengecek akta pendirian, alamat, dan rekening penerimanya.

Membangun program anti-fraud

Kerangka COSO 2013 memasukkan pertimbangan potensi fraud sebagai salah satu prinsip dalam komponen penilaian risiko. COSO bersama ACFE juga menerbitkan panduan manajemen risiko fraud yang menyusun program anti-fraud ke dalam lima prinsip yang saling menguatkan. Urutannya bisa dibayangkan seperti bangunan: tata kelola di dasar, pemantauan di puncak.

Whistleblowing system yang benar-benar dipakai

Laporan ACFE berulang kali menempatkan laporan atau tip (dari karyawan, pelanggan, vendor) sebagai cara terbanyak fraud terdeteksi [1]. Artinya, whistleblowing system (WBS) yang dipercaya adalah investasi deteksi yang sangat efektif. Di Indonesia, banyak perusahaan terbuka, BUMN, dan lembaga keuangan sudah memiliki WBS sebagai bagian dari praktik tata kelola, dan OJK mewajibkan lembaga jasa keuangan yang diawasinya menerapkan strategi anti-fraud.

Penanganan laporan WBS itu rumit. Penelitian tentang pihak yang menangani laporan whistleblowing menggambarkan posisi mereka sebagai “agen ganda”: harus melindungi pelapor sekaligus menjaga kepentingan organisasi [4]. Karena itu, peran dan batas wewenangnya perlu ditulis jelas.

Setelah laporan masuk: jangan lupakan pelapornya

Banyak organisasi fokus pada kanal pelaporan, tapi lupa pada apa yang dialami pelapor setelahnya. Tinjauan literatur sistematis tentang fase pasca-whistleblowing menyoroti bahwa pengalaman pelapor setelah melapor, termasuk risiko pembalasan dan cara organisasi merespons, sangat menentukan apakah orang lain mau melapor di kemudian hari [7]. Pembalasan tidak selalu berupa pemecatan. Bisa juga dikucilkan dari rapat, tidak diberi proyek, atau penilaian kinerja yang tiba-tiba jelek.

• Pantau penilaian kinerja, mutasi, dan promosi pelapor yang identitasnya diketahui selama periode tertentu setelah laporan.
• Beri pelapor kanal untuk melaporkan pembalasan, terpisah dari atasan langsungnya.
• Sampaikan hasil penanganan sejauh tidak melanggar kerahasiaan, supaya pelapor tahu laporannya ditindaklanjuti.

Peran auditor internal vs investigasi

• Yang wajib dimiliki auditor internal: pengetahuan cukup untuk mengenali risiko dan red flags fraud, serta menilai kontrol anti-fraud.
• Yang tidak boleh dilakukan tanpa mandat: menginterogasi, menyita perangkat, atau menuduh. Kesalahan prosedur bisa menggagalkan proses hukum dan menimbulkan gugatan.
• Kalau menemukan indikasi: amankan bukti (salin data, jangan ubah), dokumentasikan, lalu laporkan ke kepala audit internal yang akan berkoordinasi dengan legal dan komite audit.

Standar IIA meminta auditor internal punya pengetahuan yang memadai untuk mengenali risiko fraud dan menilai cara organisasi mengelolanya, tetapi tidak menuntut keahlian setara investigator profesional. Kalau kasusnya butuh keahlian khusus, misalnya forensik digital atau wawancara investigatif, kepala audit internal bisa memakai tenaga ahli dari luar. Yang penting, mandat investigasi dan pembagian peran antara audit internal, legal, SDM, dan keamanan tertulis jelas di kebijakan anti-fraud atau piagam audit sebelum kasus terjadi.

Konteks regulasi di Indonesia

Auditor internal bukan penegak hukum, tapi perlu tahu payung aturan yang relevan supaya bisa menilai risiko dan tahu kapan harus melibatkan legal. Sebut aturannya secara umum di laporan, lalu biarkan tim legal yang menentukan pasal dan langkah hukumnya.

Satu hal yang sering dilupakan: keputusan membawa kasus ke ranah pidana, menyelesaikannya lewat sanksi internal, atau menempuh gugatan perdata untuk memulihkan kerugian adalah keputusan manajemen bersama legal. Tugas auditor internal memastikan fakta terdokumentasi rapi, sehingga pilihan apa pun yang diambil punya dasar yang kuat.

Kesalahan umum dan cara meyakinkan manajemen

Latihan mandiri dan checklist

• Penilaian risiko fraud mencakup proses yang menyentuh uang dan aset, diperbarui minimal setahun sekali.
• Setiap skema berisiko tinggi punya kontrol pencegah atau pendeteksi.
• WBS punya kanal anonim, kebijakan anti-pembalasan, dan jalur eskalasi ke komite audit.
• Ada protokol tertulis saat auditor menemukan indikasi fraud: amankan bukti, laporkan, koordinasi legal.
• Hasil investigasi selalu ditutup dengan perbaikan kontrol, bukan hanya sanksi.